Einstellungen für die Datenverwaltung für Anwendungsfälle für generative KI

Dieses Dokument enthält die Best Practices und Richtlinien für Datenverwaltungssysteme, wenn generative KI-Arbeitslasten auf Google Cloudausgeführt werden.

Mit Datenverwaltungssystemen wie BigQuery und Cloud Storage können Sie die Daten speichern, die Sie für Ihre ML-Workflows benötigen, einschließlich Trainingsdaten, Modellartefakten und Produktionsdaten.

Häufig verwendete Steuerelemente

Diese Kontrollen gelten für alle Datenverwaltungssysteme.

Schutz sensibler Daten für die Datenprüfung aktivieren

Google-Einstellungs-ID	COM-CO-5.1
Implementierung	Empfohlen
Beschreibung	Google Cloud empfiehlt die Verwendung von Sensitive Data Protection. Die von Ihnen ausgewählten infoTypes oder Jobvorlagen hängen von Ihren jeweiligen Systemen ab.
Entsprechende Produkte	Sensitive Data Protection
Zugehörige NIST-800-53-Kontrollen	SI-4 IA-7 SC-7 SC-8
Zugehörige CRI-Profileinstellungen	PR.AC-1.1 PR.AC-1.2 PR.AC-1.3 PR.DS-5.1 PR.DS-8.1 ID.RA-1.1 DE.CM-1.1 DE.CM-1.2 DE.CM-1.3 DE.CM-1.4 DE.CM-5.1 DE.CM-6.1 DE.CM-6.2 DE.CM-6.3 DE.CM-7.1 DE.CM-7.2 DE.CM-7.3 DE.CM-7.4 DE.DP-2.1 DE.DP-3.1 DE.DP-4.1 DE.DP-4.2 DE.DP-5.1 DE.AE-2.1 DE.AE-3.1 DE.AE-3.2 DE.AE-4.1
Weitere Informationen	Vorlagen infoTypes und infoType-Detektoren

Data-Warehouse-Steuerelemente

Diese Steuerelemente gelten für BigQuery.

Achten Sie darauf, dass BigQuery-Datasets nicht öffentlich lesbar sind oder auf „allAuthenticatedUsers“ festgelegt sind.

Google-Einstellungs-ID	BQ-CO-6.1
Implementierung	Erforderlich
Beschreibung	Den Zugriff auf die Informationen in einem BigQuery-Dataset auf bestimmte Nutzer beschränken. Um diesen Schutz zu konfigurieren, müssen Sie detaillierte Rollen einrichten.
Entsprechende Produkte	Organisationsrichtliniendienst BigQuery Identity and Access Management (IAM)
Pfad	`cloudasset.assets/assetType`
Operator	`==`
Wert	`bigquery.googleapis.com/Dataset`
Typ	String
Zugehörige NIST-800-53-Kontrollen	AC-3 AC-12 AC-17 AC-20
Zugehörige CRI-Profileinstellungen	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.PT-3.1 PR-PT-4.1
Weitere Informationen	Zugriff auf ein Dataset widerrufen allAuthenticatedUsers Zugriff auf Ressourcen mit IAM steuern

Achten Sie darauf, dass BigQuery-Tabellen nicht öffentlich lesbar sind oder auf „allAuthenticatedUsers“ festgelegt sind.

Google-Einstellungs-ID	BQ-CO-6.2
Implementierung	Erforderlich
Beschreibung	Den Zugriff auf die Informationen in einer BigQuery-Tabelle auf bestimmte Nutzer beschränken Um diesen Schutz zu konfigurieren, müssen Sie detaillierte Rollen einrichten.
Entsprechende Produkte	Identity and Access Management (IAM) BigQuery
Pfad	`cloudasset.assets/iamPolicy.bindings.members`
Operator	`anyof`
Wert	`allUsers` `allAuthenticatedUsers`
Typ	String
Zugehörige NIST-800-53-Kontrollen	AC-3 AC-12 AC-17 AC-20
Zugehörige CRI-Profileinstellungen	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.PT-3.1 PR-PT-4.1
Weitere Informationen	Zugriff auf eine Tabelle oder Ansicht aufheben allAuthenticatedUsers Zugriff auf Ressourcen mit IAM steuern

Einzelne Werte in einer BigQuery-Tabelle verschlüsseln

Google-Einstellungs-ID	BQ-CO-6.3
Implementierung	Optional
Beschreibung	Wenn Ihre Organisation erfordert, dass Sie einzelne Werte in einer BigQuery-Tabelle verschlüsseln, verwenden Sie die AEAD-Verschlüsselungsfunktionen (Authenticated Encryption with Associated Data).
Entsprechende Produkte	BigQuery
Zugehörige NIST-800-53-Kontrollen	SC-13
Zugehörige Einstellungen für das CRI-Profil	PR.DS-5.1
Weitere Informationen	AEAD-Verschlüsselungsfunktionen

Autorisierte Ansichten für BigQuery-Datasets verwenden

Google-Einstellungs-ID	BQ-CO-6.4
Implementierung	Optional
Beschreibung	Mit autorisierten Ansichten können Sie eine Teilmenge der Daten in einem Dataset für bestimmte Nutzer freigeben. Mit einer autorisierten Ansicht können Sie beispielsweise Abfrageergebnisse mit bestimmten Nutzern und Gruppen teilen, ohne diesen Zugriff auf die zugrunde liegenden Quelldaten zu erteilen.
Entsprechende Produkte	BigQuery
Zugehörige NIST-800-53-Kontrollen	AC-3 AC-12 AC-17 AC-20
Zugehörige CRI-Profileinstellungen	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.PT-3.1 PR-PT-4.1
Weitere Informationen	Autorisierte Ansichten

BigQuery-Sicherheit auf Spaltenebene verwenden

Google-Einstellungs-ID	BQ-CO-6.5
Implementierung	Optional
Beschreibung	Mit der BigQuery-Sicherheit auf Spaltenebene können Sie Richtlinien erstellen, mit denen zum Zeitpunkt der Abfrage überprüft wird, ob ein Nutzer den entsprechenden Zugriff hat. BigQuery bietet mithilfe von Richtlinien-Tags oder der typbasierten Klassifizierung von Daten differenzierten Zugriff auf vertrauliche Spalten.
Entsprechende Produkte	BigQuery
Zugehörige NIST-800-53-Kontrollen	AC-3 AC-12 AC-17 AC-20
Zugehörige CRI-Profileinstellungen	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.PT-3.1 PR-PT-4.1
Weitere Informationen	Einführung in die Zugriffssteuerung auf Spaltenebene

BigQuery-Sicherheit auf Zeilenebene verwenden

Google-Einstellungs-ID	BQ-CO-6.6
Implementierung	Optional
Beschreibung	Mit Sicherheit auf Zeilenebene und Zugriffsrichtlinien können Sie eine detaillierte Zugriffssteuerung für eine Teilmenge von Daten in einer BigQuery-Tabelle aktivieren.
Entsprechende Produkte	BigQuery
Zugehörige NIST-800-53-Kontrollen	AC-3 AC-12 AC-17 AC-20
Zugehörige CRI-Profileinstellungen	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.PT-3.1 PR-PT-4.1
Weitere Informationen	Einführung in die Zugriffssteuerung auf Zeilenebene

BigQuery-Ressourcendiagramme verwenden

Google-Einstellungs-ID	BQ-CO-7.1
Implementierung	Optional
Beschreibung	Mit BigQuery-Ressourcendiagrammen können BigQuery-Administratoren beobachten, wie ihre Organisation, ihr Ordner oder ihre Reservierung BigQuery-Slots nutzt und wie ihre Abfragenqualität ist.
Entsprechende Produkte	BigQuery
Zugehörige NIST-800-53-Kontrollen	AC-3 AC-12 AC-17 AC-20
Zugehörige CRI-Profileinstellungen	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.PT-3.1 PR-PT-4.1
Weitere Informationen	Zustand, Ressourcennutzung und Jobs überwachen

Speichersteuerung

Diese Steuerelemente gelten für Cloud Storage.

Öffentlichen Zugriff auf Cloud Storage-Buckets blockieren

Google-Einstellungs-ID	GCS-CO-4.1
Implementierung	Erforderlich
Beschreibung	Die boolesche Einschränkung `storage.publicAccessPrevention` verhindert, dass ohne Authentifizierung von öffentlichen Quellen auf Speicher-Buckets zugegriffen wird. Dabei werden ACLs und IAM-Berechtigungen deaktiviert und blockiert, die `allUsers` und `allAuthenticatedUsers` Zugriff gewähren. Diese Einschränkung dient als organisationsweites Sicherheitsnetz, das alle Einstellungen aktiv blockiert, die einen Bucket öffentlich zugänglich machen würden.
Entsprechende Produkte	Organisationsrichtliniendienst Cloud Storage
Pfad	`constraints/storage.publicAccessPrevention`
Operator	`==`
Wert	`True`
Typ	Boolesch
Zugehörige NIST-800-53-Kontrollen	AC-3 AC-17 AC-20
Zugehörige CRI-Profileinstellungen	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1
Weitere Informationen	Verhinderung des öffentlichen Zugriffs

Einheitlichen Zugriff auf Bucket-Ebene verwenden

Google-Einstellungs-ID	GCS-CO-4.2
Implementierung	Erforderlich
Beschreibung	Die boolesche Einschränkung `storage.uniformBucketLevelAccess` erfordert, dass Buckets einen einheitlichen Zugriff auf Bucket-Ebene verwenden. Mit dem einheitlichen Zugriff auf Bucket-Ebene können Sie nur IAM-Berechtigungen (Identity and Access Management) auf Bucket-Ebene verwenden, um Zugriff auf Ihre Cloud Storage-Ressourcen zu gewähren. Die Verwendung von zwei verschiedenen und in Konflikt stehenden Systemen zur Verwaltung von Berechtigungen für Speicher-Buckets ist komplex und eine häufige Ursache für versehentliche Datenlecks. Mit dieser Einstellung wird das alte System (Zugriffssteuerungslisten oder ACLs) deaktiviert und das moderne, zentralisierte System (IAM) zur einzigen Quelle der Wahrheit für alle Berechtigungen.
Entsprechende Produkte	Organisationsrichtliniendienst Cloud Storage
Pfad	`constraints/storage.uniformBucketLevelAccess`
Operator	`==`
Wert	`True`
Typ	Boolesch
Zugehörige NIST-800-53-Kontrollen	AC-3 AC-17 AC-20
Zugehörige CRI-Profileinstellungen	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1
Weitere Informationen	Einheitlichen Zugriff auf Bucket-Ebene erfordern

HMAC-Schlüssel für Dienstkonten schützen

Google-Einstellungs-ID	GCS-CO-6.9
Implementierung	Erforderlich
Beschreibung	Ein HMAC-Schlüssel ist eine langlebige Art von Anmeldedaten, die mit einem Dienstkonto oder einem Nutzerkonto in Cloud Storage verknüpft ist. Mit einem HMAC-Schlüssel können Sie Signaturen erstellen, die in Anfragen an Cloud Storage aufgenommen werden. Eine Signatur beweist, dass ein Nutzer oder Dienstkonto eine Anfrage autorisiert hat. Im Gegensatz zu kurzlebigen Anmeldedaten (z. B. HMAC-Schlüssel laufen nicht automatisch ab und bleiben gültig, bis sie manuell widerrufen werden. HMAC-Schlüssel sind Anmeldedaten mit hohem Risiko: Wenn sie manipuliert werden, ermöglichen sie dauerhaften Zugriff auf Ihre Ressourcen. Sie müssen dafür sorgen, dass geeignete Mechanismen zum Schutz vorhanden sind.
Entsprechende Produkte	Cloud Storage
Pfad	`storage.projects.hmacKeys/id`
Operator	`Exists`
Wert	`[]`
Typ	String
Zugehörige NIST-800-53-Kontrollen	SC-12 SC-13
Zugehörige CRI-Profileinstellungen	PR.DS-1.1 PR.DS-1.2 PR.DS-2.1 PR.DS-2.2 PR.DS-5.1
Weitere Informationen	HMAC-Schlüssel für Dienstkonten verwalten

Aufzählen von Cloud Storage-Buckets durch Dienstkonten erkennen

Google-Einstellungs-ID	GCS-CO-7.2
Implementierung	Erforderlich
Beschreibung	Dienstkonten sind nicht menschliche Identitäten, die für Anwendungen entwickelt wurden. Ihr Verhalten ist vorhersehbar und automatisiert. Normalerweise müssen für Dienstkonten keine Buckets aufgeschlüsselt werden, da sie bereits zugeordnet sind. Wenn Sie also feststellen, dass ein Dienstkonto versucht, eine Liste aller Cloud Storage-Buckets abzurufen, sollten Sie dies sofort untersuchen. Die Aufzählung zur Informationsbeschaffung wird häufig von einem böswilligen Akteur verwendet, der Zugriff auf das Dienstkonto erhalten hat.
Entsprechende Produkte	Cloud Storage Cloud-Audit-Logs
Operator	`==`
Wert	`storage.bucket.list`
Typ	String
Zugehörige NIST-800-53-Kontrollen	AU-2 AU-3 AU-8 AU-9
Zugehörige CRI-Profileinstellungen	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4
Weitere Informationen	Cloud-Audit-Logs mit Cloud Storage

Änderungen an IAM-Richtlinien (Identity and Access Management) von Cloud Storage-Buckets durch Dienstkonten erkennen

Google-Einstellungs-ID	GCS-CO-7.3
Implementierung	Erforderlich
Beschreibung	Konfigurieren Sie eine Benachrichtigung, die erkennt, wenn die IAM-Richtlinie eines Cloud Storage-Bucket so geändert wird, dass öffentlicher Zugriff gewährt wird. Diese Benachrichtigung wird ausgelöst, wenn die Hauptkonten `allUsers` oder `allAuthenticatedUsers` der IAM-Richtlinie eines Buckets hinzugefügt werden. Diese Benachrichtigung ist ein kritisches Ereignis mit hoher Schwere, da dadurch alle Daten im Bucket offengelegt werden können. Untersuchen Sie diese Benachrichtigung sofort, um zu bestätigen, ob die Änderung autorisiert war oder ein Zeichen für eine Fehlkonfiguration oder einen böswilligen Akteur ist. Legen Sie in der Benachrichtigung das JSON-Attribut `data.protoPayload.serviceData.policyData.bindingDeltas.member` auf `allUsers` oder `allAuthenticatedUsers` und die Aktion auf `ADD` fest.
Entsprechende Produkte	Cloud Storage Cloud-Audit-Logs
Zugehörige NIST-800-53-Kontrollen	AU-2 AU-3 AU-8 AU-9
Zugehörige CRI-Profileinstellungen	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4
Weitere Informationen	Cloud-Audit-Logs mit Cloud Storage

Achten Sie darauf, dass die Aufbewahrungsrichtlinie für Cloud Storage-Bucket die Bucket-Sperre verwendet

Google-Einstellungs-ID	GCS-CO-6.1
Implementierung	Empfohlen
Beschreibung	Je nach Ihren behördlichen Anforderungen müssen Sie dafür sorgen, dass die Aufbewahrungsrichtlinie für jeden Cloud Storage-Bucket gesperrt ist. Legen Sie die Aufbewahrungsdauer auf einen Zeitraum fest, der Ihren Anforderungen entspricht.
Entsprechende Produkte	Cloud Storage
Pfad	`storage.buckets/retentionPolicy.isLocked`
Operator	`!=`
Wert	`True`
Typ	Boolesch
Zugehörige NIST-800-53-Kontrollen	SI-12
Zugehörige CRI-Profileinstellungen	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Weitere Informationen	Aufbewahrungsrichtlinien verwenden und sperren

Lebenszyklusregeln für die Aktion „SetStorageClass“ festlegen

Google-Einstellungs-ID	GCS-CO-6.11
Implementierung	Empfohlen
Beschreibung	Wenden Sie Lebenszyklusregeln auf jeden Cloud Storage-Bucket mit dem Aktionstyp `SetStorageClass` an.
Entsprechende Produkte	Cloud Storage
Pfad	`storage.buckets/lifecycle.rule.action.type`
Operator	`==`
Wert	`SetStorageClass`
Typ	String
Zugehörige NIST-800-53-Kontrollen	SI-12
Zugehörige CRI-Profileinstellungen	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Weitere Informationen	Verwaltung des Objektlebenszyklus

Zulässige Regionen für Speicherklassen festlegen

Google-Einstellungs-ID	GCS-CO-6.12
Implementierung	Empfohlen
Beschreibung	Achten Sie darauf, dass die Speicherklassen für die Lebenszykluskonfiguration nicht innerhalb der zulässigen regionalen Klassifizierungen liegen.
Entsprechende Produkte	Cloud Storage
Pfad	`storage.buckets/lifecycle.rule.action.storageClass`
Operator	`nin`
Wert	`MULTI_REGIONAL` `REGIONAL`
Typ	String
Zugehörige NIST-800-53-Kontrollen	SI-12
Zugehörige CRI-Profileinstellungen	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Weitere Informationen	Bucket-Standorte Verwaltung des Objektlebenszyklus

Lebenszyklusverwaltung für Cloud Storage-Buckets aktivieren

Google-Einstellungs-ID	GCS-CO-6.13
Implementierung	Empfohlen
Beschreibung	Achten Sie darauf, dass die Lebenszyklusverwaltung von Cloud Storage aktiviert und konfiguriert ist. Die Lebenszyklussteuerung enthält die Konfiguration für den Speicherlebenszyklus. Prüfen Sie, ob die Richtlinien in dieser Einstellung Ihren Anforderungen entsprechen.
Entsprechende Produkte	Cloud Storage
Pfad	`storage.buckets/lifecycle`
Operator	`Exists`
Wert	`[]`
Typ	Objekt
Zugehörige NIST-800-53-Kontrollen	SI-12
Zugehörige CRI-Profileinstellungen	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Weitere Informationen	Verwaltung des Objektlebenszyklus

Lebenszyklusverwaltungsregeln für Cloud Storage-Buckets aktivieren

Google-Einstellungs-ID	GCS-CO-6.14
Implementierung	Empfohlen
Beschreibung	Achten Sie darauf, dass Regeln für die Lebenszyklusverwaltung für Cloud Storage aktiviert und konfiguriert sind. Die Regelsteuerung enthält die Konfiguration für den Speicherlebenszyklus. Prüfen Sie, ob die Richtlinien in dieser Einstellung Ihren Anforderungen entsprechen.
Entsprechende Produkte	Cloud Storage
Pfad	`storage.buckets/lifecycle.rule`
Operator	`Empty`
Wert	`[]`
Typ	Array
Zugehörige NIST-800-53-Kontrollen	SI-12
Zugehörige CRI-Profileinstellungen	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Weitere Informationen	Verwaltung des Objektlebenszyklus

Temporäre Holds für aktive Objekte prüfen und bewerten

Google-Einstellungs-ID	GCS-CO-6.16
Implementierung	Empfohlen
Beschreibung	Identifizieren Sie alle Objekte, für die „temporaryHold“ auf „TRUE“ gesetzt ist, und starten Sie einen Untersuchungs- und Validierungsprozess. Diese Bewertung eignet sich für die folgenden Anwendungsfälle: Litigation Hold:Um die gesetzlichen Anforderungen für die Speicherung von Daten zu erfüllen, kann ein temporärer Hold verwendet werden, um das Löschen sensibler Daten zu verhindern, die für laufende Untersuchungen oder Rechtsstreitigkeiten relevant sein könnten. Schutz vor Datenverlust:Um ein versehentliches Löschen wichtiger Daten zu verhindern, kann ein temporärer Hold als Sicherheitsmaßnahme zum Schutz wichtiger Geschäftsinformationen verwendet werden. Inhaltsmoderation:Wenden Sie eine temporäre Sperre auf Inhalte an, die in Cloud Storage hochgeladen werden, um potenziell sensible oder unangemessene Inhalte zu überprüfen, bevor sie öffentlich zugänglich werden.
Entsprechende Produkte	Cloud Storage
Pfad	`storage.objects/temporaryHold`
Operator	`==`
Wert	`TRUE`
Typ	Boolesch
Zugehörige NIST-800-53-Kontrollen	SI-12
Zugehörige CRI-Profileinstellungen	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Weitere Informationen	Objekt-Holds

Aufbewahrungsrichtlinien für Cloud Storage-Buckets erzwingen

Google-Einstellungs-ID	GCS-CO-6.17
Implementierung	Empfohlen
Beschreibung	Achten Sie darauf, dass alle Cloud Storage-Buckets eine Aufbewahrungsrichtlinie haben.
Entsprechende Produkte	Cloud Storage
Pfad	`storage.buckets/retentionPolicy.retentionPeriod`
Operator	`agesmaller`
Wert	`[90,"DAY","AFTER","yyyy-MM-dd'T'HH:mm:ss'Z'"]`
Typ	int64
Zugehörige NIST-800-53-Kontrollen	SI-12
Zugehörige CRI-Profileinstellungen	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Weitere Informationen	Bucket-Sperre

Klassifizierungstags für Cloud Storage-Buckets erzwingen

Google-Einstellungs-ID	GCS-CO-6.18
Implementierung	Empfohlen
Beschreibung	Die Datenklassifizierung ist ein grundlegender Bestandteil jedes Programms für Data Governance und Sicherheit. Es ist wichtig, jedem Bucket ein Klassifizierungslabel mit Werten wie „Öffentlich“, „Intern“, „Vertraulich“ oder „Eingeschränkt“ zuzuweisen. Prüfen Sie, ob `google_storage_bucket.labels` einen Ausdruck für die Klassifizierung enthält, und erstellen Sie einen Verstoß, falls dies nicht der Fall ist.
Entsprechende Produkte	Cloud Storage
Pfad	`storage.buckets/labels.classification`
Operator	`notexists`
Wert	`[]`
Typ	Erweitert
Zugehörige NIST-800-53-Kontrollen	SI-12
Zugehörige CRI-Profileinstellungen	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Weitere Informationen	Tags und Labels

Log-Buckets für Cloud Storage-Buckets erzwingen

Google-Einstellungs-ID	GCS-CO-6.3
Implementierung	Empfohlen
Beschreibung	Achten Sie darauf, dass jeder Cloud Storage-Bucket einen Log-Bucket enthält.
Entsprechende Produkte	Cloud Storage
Pfad	`storage.buckets/logging.logBucket`
Operator	`notexists`
Wert	`[]`
Typ	String
Zugehörige NIST-800-53-Kontrollen	AU-2 AU-3 AU-8 AU-9
Zugehörige CRI-Profileinstellungen	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4
Weitere Informationen	Log-Buckets konfigurieren

Löschregeln für Cloud Storage-Buckets konfigurieren

Google-Einstellungs-ID	GCS-CO-6.5
Implementierung	Empfohlen
Beschreibung	In Cloud Storage bezieht sich `storage.buckets/lifecycle.rule.action.type` auf den Aktionstyp, der für ein bestimmtes Objekt basierend auf einer Lebenszyklusregel in einem Bucket ausgeführt werden soll. Diese Konfiguration trägt dazu bei, die Verwaltung und den Lebenszyklus Ihrer in der Cloud gespeicherten Daten zu automatisieren. Konfigurieren Sie `storage.buckets/lifecycle.rule.action.type` so, dass Objekte dauerhaft aus dem Bucket gelöscht werden.
Entsprechende Produkte	Cloud Storage
Pfad	`storage.buckets/lifecycle.rule.action.type`
Operator	`==`
Wert	`Delete`
Typ	String
Zugehörige NIST-800-53-Kontrollen	SI-12
Zugehörige CRI-Profileinstellungen	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Weitere Informationen	Objektlebenszyklen verwalten

Achten Sie darauf, dass die Bedingung „isLive“ für Löschregeln auf „False“ gesetzt ist.

Google-Einstellungs-ID	GCS-CO-6.6
Implementierung	Empfohlen
Beschreibung	Achten Sie bei Löschregeln darauf, dass die `isLive`-Bedingung der Regel auf `false` festgelegt ist. In Cloud Storage ist `storage.buckets/lifecycle.rule.condition.isLive` eine boolesche Bedingung, die in Lebenszyklusregeln verwendet wird, um zu bestimmen, ob ein Objekt als aktiv gilt. Mit diesem Filter wird dafür gesorgt, dass Aktionen in einer Lebenszyklusregel nur auf die gewünschten Objekte angewendet werden, basierend auf ihrem Live-Status. Anwendungsfälle: Alte Versionen archivieren:Archivieren Sie nur nicht aktuelle Versionen von Objekten, um Speicherkosten zu sparen und gleichzeitig die neueste Version leicht zugänglich zu halten. Gelöschte Objekte bereinigen:Automatisieren Sie das endgültige Löschen von Objekten, die von Nutzern gelöscht wurden, um Speicherplatz im Bucket freizugeben. Live-Daten schützen:Aktionen wie das Festlegen temporärer Holds dürfen nur auf Live-Objekte angewendet werden, um eine versehentliche Änderung von archivierten oder gelöschten Versionen zu verhindern.
Entsprechende Produkte	Cloud Storage
Pfad	`storage.buckets/lifecycle.rule.condition.isLive`
Operator	`==`
Wert	`False`
Typ	Boolesch
Zugehörige NIST-800-53-Kontrollen	SI-12
Zugehörige CRI-Profileinstellungen	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Weitere Informationen	isLive

Versionsverwaltung für Cloud Storage-Buckets erzwingen

Google-Einstellungs-ID	GCS-CO-6.7
Implementierung	Empfohlen
Beschreibung	Achten Sie darauf, dass für alle Cloud Storage-Buckets die Versionsverwaltung aktiviert ist. Anwendungsfälle: Datenschutz und ‑wiederherstellung:Schützen Sie sich vor versehentlichem Datenverlust, indem Sie das Überschreiben von Daten verhindern und die Wiederherstellung gelöschter oder geänderter Daten ermöglichen. Compliance und Auditing:Speichern Sie einen Verlauf aller Objektbearbeitungen für die Einhaltung von Vorschriften oder interne Audits. Versionsverwaltung:Änderungen an Dateien und Datasets nachverfolgen, um die Zusammenarbeit zu ermöglichen und bei Bedarf Rollbacks auf frühere Versionen durchzuführen.
Entsprechende Produkte	Cloud Storage
Pfad	`storage.buckets/versioning.enabled`
Operator	`!=`
Wert	`True`
Typ	Boolesch
Zugehörige NIST-800-53-Kontrollen	SI-12
Zugehörige CRI-Profileinstellungen	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Weitere Informationen	Objektversionsverwaltung

Inhaber für Cloud Storage-Buckets erzwingen

Google-Einstellungs-ID	GCS-CO-6.8
Implementierung	Empfohlen
Beschreibung	Achten Sie darauf, dass `google_storage_bucket.labels` einen Ausdruck für einen Inhaber hat.
Entsprechende Produkte	Cloud Storage
Pfad	`storage.buckets/labels.owner`
Operator	`notexists`
Wert	`[]`
Typ	Erweitert
Zugehörige NIST-800-53-Kontrollen	SI-12
Zugehörige CRI-Profileinstellungen	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Weitere Informationen	Bucket-Labels verwenden

Logging wichtiger Cloud Storage-Aktivitäten aktivieren

Google-Einstellungs-ID	GCS-CO-7.4
Implementierung	Empfohlen
Beschreibung	Zusätzliches Logging für bestimmte Speicherobjekte basierend auf ihrem Anwendungsfall aktivieren. Protokollieren Sie beispielsweise den Zugriff auf Buckets mit sensiblen Daten, damit Sie nachvollziehen können, wer wann Zugriff erhalten hat. Berücksichtigen Sie beim Aktivieren zusätzlicher Protokollierung das Volumen der Protokolle, die Sie möglicherweise generieren.
Entsprechende Produkte	Cloud Storage
Zugehörige NIST-800-53-Kontrollen	AU-2 AU-3 AU-8 AU-9
Zugehörige CRI-Profileinstellungen	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4
Weitere Informationen	Cloud-Audit-Logs mit Cloud Storage

Einstellungen für die Datenverwaltung für Anwendungsfälle für generative KI Mit Sammlungen den Überblick behalten Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.