Contrôles de gestion des données pour les cas d'utilisation de l'IA générative

Ce document inclut les bonnes pratiques et les consignes pour les systèmes de gestion de données lors de l'exécution de charges de travail d'IA générative sur Google Cloud.

Les systèmes de gestion de données tels que BigQuery et Cloud Storage vous permettent de stocker les données dont vous avez besoin pour vos workflows de ML, y compris les données d'entraînement, les artefacts de modèle et les données de production.

Commandes courantes

Ces contrôles s'appliquent à tous les systèmes de gestion de données.

Activer la protection des données sensibles pour l'inspection des données

ID de contrôle Google COM-CO-5.1
Implémentation Recommandé
Description

Google Cloud recommande d'utiliser la protection des données sensibles. Les infoTypes ou les modèles de tâches que vous sélectionnez dépendent de vos systèmes spécifiques.
Produits applicables
  • Sensitive Data Protection
Contrôles NIST-800-53 associés
  • SI-4
  • IA-7
  • SC-7
  • SC-8
Commandes associées au profil CRI
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
Informations connexes

Contrôles de l'entrepôt de données

Ces contrôles s'appliquent à BigQuery.

Assurez-vous que les ensembles de données BigQuery ne sont pas lisibles publiquement ni définis sur "allAuthenticatedUsers"

ID de contrôle Google BQ-CO-6.1
Implémentation Obligatoire
Description

Restreignez l'accès aux informations d'un ensemble de données BigQuery à des utilisateurs spécifiques uniquement. Pour configurer cette protection, vous devez définir des rôles détaillés.
Produits applicables
  • Service de règles d'administration
  • BigQuery
  • Identity and Access Management (IAM)
Chemin d'accès cloudasset.assets/assetType
Opérateur ==
Valeur
  • bigquery.googleapis.com/Dataset
Type Chaîne
Contrôles NIST-800-53 associés
  • AC-3
  • AC-12
  • AC-17
  • AC-20
Commandes associées du profil CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
Informations connexes

Assurez-vous que les tables BigQuery ne sont pas lisibles publiquement ni définies sur "allAuthenticatedUsers"

ID de contrôle Google BQ-CO-6.2
Implémentation Obligatoire
Description

Limitez l'accès aux informations d'une table BigQuery à des utilisateurs spécifiques uniquement. Pour configurer cette protection, vous devez définir des rôles détaillés.
Produits applicables
  • Identity and Access Management (IAM)
  • BigQuery
Chemin d'accès cloudasset.assets/iamPolicy.bindings.members
Opérateur anyof
Valeur
  • allUsers
  • allAuthenticatedUsers
Type Chaîne
Contrôles NIST-800-53 associés
  • AC-3
  • AC-12
  • AC-17
  • AC-20
Commandes associées du profil CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
Informations connexes

Chiffrer des valeurs individuelles dans une table BigQuery

ID de contrôle Google BQ-CO-6.3
Implémentation Facultatif
Description

Si votre organisation exige que vous chiffriez des valeurs individuelles dans une table BigQuery, utilisez les fonctions de chiffrement AEAD (Authenticated Encryption with Associated Data).
Produits applicables
  • BigQuery
Contrôles NIST-800-53 associés
  • SC-13
Commandes associées du profil CRI
  • PR.DS-5.1
Informations connexes

Utiliser des vues autorisées pour les ensembles de données BigQuery

ID de contrôle Google BQ-CO-6.4
Implémentation Facultatif
Description

Les vues autorisées vous permettent de partager un sous-ensemble de données d'un ensemble de données avec des utilisateurs spécifiques. Par exemple, une vue autorisée vous permet de partager des résultats de requête avec des utilisateurs et des groupes particuliers sans leur donner accès aux données sources sous-jacentes.
Produits applicables
  • BigQuery
Contrôles NIST-800-53 associés
  • AC-3
  • AC-12
  • AC-17
  • AC-20
Commandes associées du profil CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
Informations connexes

Utiliser la sécurité au niveau des colonnes BigQuery

ID de contrôle Google BQ-CO-6.5
Implémentation Facultatif
Description

Utilisez la sécurité au niveau des colonnes de BigQuery pour créer des stratégies qui vérifient, au moment de la requête, si un utilisateur dispose d'un accès approprié. BigQuery fournit un accès précis aux colonnes sensibles à l'aide de tags avec stratégie ou d'une classification des données basée sur le type.
Produits applicables
  • BigQuery
Contrôles NIST-800-53 associés
  • AC-3
  • AC-12
  • AC-17
  • AC-20
Commandes associées du profil CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
Informations connexes

Utiliser la sécurité au niveau des lignes de BigQuery

ID de contrôle Google BQ-CO-6.6
Implémentation Facultatif
Description

Utilisez la sécurité au niveau des lignes et les règles d'accès pour activer un contrôle d'accès précis à un sous-ensemble de données d'une table BigQuery.
Produits applicables
  • BigQuery
Contrôles NIST-800-53 associés
  • AC-3
  • AC-12
  • AC-17
  • AC-20
Commandes associées du profil CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
Informations connexes

Utiliser les graphiques de ressources BigQuery

ID de contrôle Google BQ-CO-7.1
Implémentation Facultatif
Description

Les graphiques de ressources BigQuery permettent aux administrateurs BigQuery d'observer comment leur organisation, leur dossier ou leur réservation utilisent les emplacements BigQuery et les performances de leurs requêtes.
Produits applicables
  • BigQuery
Contrôles NIST-800-53 associés
  • AC-3
  • AC-12
  • AC-17
  • AC-20
Commandes associées du profil CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
Informations connexes

Contrôles de stockage

Ces contrôles s'appliquent à Cloud Storage.

Bloquer l'accès public aux buckets Cloud Storage

ID de contrôle Google GCS-CO-4.1
Implémentation Obligatoire
Description

La contrainte booléenne storage.publicAccessPrevention empêche l'accès aux buckets de stockage à partir de sources publiques sans authentification. Elle désactive et bloque les listes de contrôle des accès (LCA) et les autorisations Identity and Access Management (IAM) qui accordent l'accès à allUsers et allAuthenticatedUsers. Cette contrainte agit comme un filet de sécurité à l'échelle de l'organisation, en bloquant activement tout paramètre qui rendrait un bucket accessible au public.
Produits applicables
  • Service de règles d'administration
  • Cloud Storage
Chemin d'accès constraints/storage.publicAccessPrevention
Opérateur ==
Valeur
  • True
Type Booléen
Contrôles NIST-800-53 associés
  • AC-3
  • AC-17
  • AC-20
Commandes associées du profil CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Informations connexes

Utiliser l'accès uniforme au niveau du bucket

ID de contrôle Google GCS-CO-4.2
Implémentation Obligatoire
Description

La contrainte booléenne storage.uniformBucketLevelAccess exige que les buckets utilisent l'accès uniforme au niveau du bucket. L'accès uniforme au niveau du bucket vous permet d'utiliser uniquement les autorisations Identity and Access Management (IAM) au niveau du bucket pour accorder l'accès à vos ressources Cloud Storage.

Il est complexe d'utiliser deux systèmes différents et incompatibles pour gérer les autorisations sur les buckets de stockage. C'est aussi une cause fréquente de fuites de données accidentelles. Ce paramètre désactive l'ancien système (listes de contrôle des accès, ou LCA) et fait du système moderne et centralisé (IAM) la source unique fiable pour toutes les autorisations.
Produits applicables
  • Service de règles d'administration
  • Cloud Storage
Chemin d'accès constraints/storage.uniformBucketLevelAccess
Opérateur ==
Valeur
  • True
Type Booléen
Contrôles NIST-800-53 associés
  • AC-3
  • AC-17
  • AC-20
Commandes associées du profil CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Informations connexes

Protéger les clés HMAC pour les comptes de service

ID de contrôle Google GCS-CO-6.9
Implémentation Obligatoire
Description

Une clé HMAC est un type d'identifiant à longue durée de vie associé à un compte de service ou à un compte utilisateur dans Cloud Storage. Utilisez une clé HMAC pour créer des signatures incluses dans les requêtes envoyées à Cloud Storage. Une signature prouve qu'un utilisateur ou un compte de service a autorisé une requête.

Contrairement aux identifiants éphémères (tels que Contrairement aux jetons OAuth 2.0, les clés HMAC n'expirent pas automatiquement et restent valides jusqu'à ce qu'elles soient révoquées manuellement. Les clés HMAC sont des identifiants à haut risque. Si elles sont compromises, elles permettent d'accéder de manière persistante à vos ressources. Vous devez vous assurer que des mécanismes appropriés sont en place pour les protéger.
Produits applicables
  • Cloud Storage
Chemin d'accès storage.projects.hmacKeys/id
Opérateur Exists
Valeur
  • []
Type Chaîne
Contrôles NIST-800-53 associés
  • SC-12
  • SC-13
Commandes associées au profil CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informations connexes

Détecter l'énumération des buckets Cloud Storage par les comptes de service

ID de contrôle Google GCS-CO-7.2
Implémentation Obligatoire
Description

Les comptes de service sont des identités non humaines conçues pour les applications. Leur comportement est prévisible et automatisé. En règle générale, les comptes de service n'ont pas besoin de lister les buckets, car ils sont déjà mappés. Par conséquent, si vous détectez un compte de service qui tente de récupérer la liste de tous les buckets Cloud Storage, examinez-le immédiatement. L'énumération de reconnaissance est souvent utilisée comme technique de reconnaissance par un acteur malveillant qui a obtenu l'accès au compte de service.
Produits applicables
  • Cloud Storage
  • Cloud Audit Logs
Opérateur ==
Valeur
  • storage.bucket.list
Type Chaîne
Contrôles NIST-800-53 associés
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Commandes associées au profil CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informations connexes

Détecter les modifications apportées aux règles Identity and Access Management (IAM) des buckets Cloud Storage par les comptes de service

ID de contrôle Google GCS-CO-7.3
Implémentation Obligatoire
Description

Configurez une alerte qui détecte lorsqu'une stratégie IAM de bucket Cloud Storage est modifiée pour accorder un accès public. Cette alerte se déclenche lorsque les comptes principaux allUsers ou allAuthenticatedUsers sont ajoutés à la stratégie IAM d'un bucket. Cette alerte est un événement critique de haute gravité, car elle peut exposer toutes les données du bucket. Examinez immédiatement cette alerte pour confirmer si la modification a été autorisée ou si elle est le signe d'une mauvaise configuration ou d'un acteur malveillant.

Dans l'alerte, définissez l'attribut JSON data.protoPayload.serviceData.policyData.bindingDeltas.member sur allUsers ou allAuthenticatedUsers, et l'action sur ADD.
Produits applicables
  • Cloud Storage
  • Cloud Audit Logs
Contrôles NIST-800-53 associés
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Commandes associées au profil CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informations connexes

S'assurer que la règle de conservation du bucket Cloud Storage utilise le verrou de bucket

ID de contrôle Google GCS-CO-6.1
Implémentation Recommandé
Description

En fonction de vos exigences réglementaires, assurez-vous que la règle de conservation de chaque bucket Cloud Storage est verrouillée. Définissez la durée de conservation sur une période qui répond à vos besoins.
Produits applicables
  • Cloud Storage
Chemin d'accès storage.buckets/retentionPolicy.isLocked
Opérateur !=
Valeur
  • True
Type Booléen
Contrôles NIST-800-53 associés
  • SI-12
Commandes associées au profil CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informations connexes

Définir des règles de cycle de vie pour l'action SetStorageClass

ID de contrôle Google GCS-CO-6.11
Implémentation Recommandé
Description

Appliquez des règles de cycle de vie à chaque bucket Cloud Storage dont le type d'action est SetStorageClass.
Produits applicables
  • Cloud Storage
Chemin d'accès storage.buckets/lifecycle.rule.action.type
Opérateur ==
Valeur
  • SetStorageClass
Type Chaîne
Contrôles NIST-800-53 associés
  • SI-12
Commandes associées au profil CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informations connexes

Définir les régions autorisées pour les classes de stockage

ID de contrôle Google GCS-CO-6.12
Implémentation Recommandé
Description
Assurez-vous que les classes de stockage de la configuration du cycle de vie ne se trouvent pas dans les classifications régionales autorisées.
Produits applicables
  • Cloud Storage
Chemin d'accès storage.buckets/lifecycle.rule.action.storageClass
Opérateur nin
Valeur
  • MULTI_REGIONAL
  • REGIONAL
Type Chaîne
Contrôles NIST-800-53 associés
  • SI-12
Commandes associées au profil CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informations connexes

Activer la gestion du cycle de vie pour les buckets Cloud Storage

ID de contrôle Google GCS-CO-6.13
Implémentation Recommandé
Description

Assurez-vous que la gestion du cycle de vie de Cloud Storage est activée et configurée. Le contrôle du cycle de vie contient la configuration du cycle de vie du stockage. Vérifiez que les règles de ce paramètre correspondent à vos exigences.
Produits applicables
  • Cloud Storage
Chemin d'accès storage.buckets/lifecycle
Opérateur Exists
Valeur
  • []
Type Objet
Contrôles NIST-800-53 associés
  • SI-12
Commandes associées au profil CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informations connexes

Activer les règles de gestion du cycle de vie pour les buckets Cloud Storage

ID de contrôle Google GCS-CO-6.14
Implémentation Recommandé
Description

Assurez-vous que les règles de gestion du cycle de vie pour Cloud Storage sont activées et configurées. Le contrôle des règles contient la configuration du cycle de vie du stockage. Vérifiez que les règles de ce paramètre correspondent à vos exigences.
Produits applicables
  • Cloud Storage
Chemin d'accès storage.buckets/lifecycle.rule
Opérateur Empty
Valeur
  • []
Type Tableau
Contrôles NIST-800-53 associés
  • SI-12
Commandes associées au profil CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informations connexes

Examiner et évaluer les préservations temporaires placées sur des objets actifs

ID de contrôle Google GCS-CO-6.16
Implémentation Recommandé
Description

Identifiez tous les objets pour lesquels temporaryHold est défini sur TRUE, puis lancez un processus d'investigation et de validation. Cette évaluation convient aux cas d'utilisation suivants :

  • Préservation à titre conservatoire : pour respecter les exigences légales concernant le stockage des données, vous pouvez utiliser une préservation temporaire afin d'empêcher la suppression de données sensibles pouvant être pertinentes pour des enquêtes ou des litiges en cours.
  • Protection contre la perte de données : pour éviter la suppression accidentelle de données importantes, vous pouvez utiliser une conservation temporaire comme mesure de sécurité afin de protéger les informations critiques pour votre activité.
  • Modération de contenu : pour examiner les contenus potentiellement sensibles ou inappropriés avant qu'ils ne deviennent accessibles au public, appliquez une suspension temporaire aux contenus importés dans Cloud Storage afin de les inspecter plus en détail et de prendre une décision de modération.
Produits applicables
  • Cloud Storage
Chemin d'accès storage.objects/temporaryHold
Opérateur ==
Valeur
  • TRUE
Type Booléen
Contrôles NIST-800-53 associés
  • SI-12
Commandes associées au profil CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informations connexes

Appliquer des règles de conservation aux buckets Cloud Storage

ID de contrôle Google GCS-CO-6.17
Implémentation Recommandé
Description

Assurez-vous que tous les buckets Cloud Storage disposent d'une règle de conservation.
Produits applicables
  • Cloud Storage
Chemin d'accès storage.buckets/retentionPolicy.retentionPeriod
Opérateur agesmaller
Valeur
  • [90,"DAY","AFTER","yyyy-MM-dd'T'HH:mm:ss'Z'"]
Type int64
Contrôles NIST-800-53 associés
  • SI-12
Commandes associées au profil CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informations connexes

Appliquer des tags de classification pour les buckets Cloud Storage

ID de contrôle Google GCS-CO-6.18
Implémentation Recommandé
Description

La classification des données est un élément fondamental de tout programme de gouvernance et de sécurité des données. Il est essentiel d'appliquer un libellé de classification avec des valeurs telles que "public", "interne", "confidentiel" ou "limité" à chaque bucket.

Vérifiez que google_storage_bucket.labels comporte une expression pour la classification et créez un cas de non-respect si ce n'est pas le cas.
Produits applicables
  • Cloud Storage
Chemin d'accès storage.buckets/labels.classification
Opérateur notexists
Valeur
  • []
Type Étendu
Contrôles NIST-800-53 associés
  • SI-12
Commandes associées au profil CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informations connexes

Appliquer des buckets de journaux pour les buckets Cloud Storage

ID de contrôle Google GCS-CO-6.3
Implémentation Recommandé
Description

Assurez-vous que chaque bucket Cloud Storage inclut un bucket de journaux.
Produits applicables
  • Cloud Storage
Chemin d'accès storage.buckets/logging.logBucket
Opérateur notexists
Valeur
  • []
Type Chaîne
Contrôles NIST-800-53 associés
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Commandes associées au profil CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informations connexes

Configurer des règles de suppression pour les buckets Cloud Storage

ID de contrôle Google GCS-CO-6.5
Implémentation Recommandé
Description

Dans Cloud Storage, storage.buckets/lifecycle.rule.action.type fait référence au type d'action à effectuer sur un objet spécifique en fonction d'une règle de cycle de vie dans un bucket. Cette configuration permet d'automatiser la gestion et le cycle de vie de vos données stockées dans le cloud.

Configurez storage.buckets/lifecycle.rule.action.type pour vous assurer que les objets sont définitivement supprimés du bucket.
Produits applicables
  • Cloud Storage
Chemin d'accès storage.buckets/lifecycle.rule.action.type
Opérateur ==
Valeur
  • Delete
Type Chaîne
Contrôles NIST-800-53 associés
  • SI-12
Commandes associées au profil CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informations connexes

Assurez-vous que la condition "isLive" est définie sur "False" pour les règles de suppression.

ID de contrôle Google GCS-CO-6.6
Implémentation Recommandé
Description

Pour les règles de suppression, assurez-vous que la condition isLive de la règle est définie sur false.

Dans Cloud Storage, storage.buckets/lifecycle.rule.condition.isLive est une condition booléenne utilisée dans les règles de cycle de vie pour déterminer si un objet est considéré comme actif. Ce filtre permet de s'assurer que les actions d'une règle de cycle de vie ne sont appliquées qu'aux objets souhaités en fonction de leur état actif.

Cas d'utilisation :

  • Archiver les versions historiques : archivez uniquement les versions obsolètes des objets pour réduire les coûts de stockage tout en gardant la dernière version facilement accessible.
  • Nettoyer les objets supprimés : automatisez la suppression définitive des objets supprimés par les utilisateurs pour libérer de l'espace dans le bucket.
  • Protéger les données actives : assurez-vous que les actions telles que la définition de préservations temporaires ne s'appliquent qu'aux objets actifs, ce qui évite toute modification accidentelle des versions archivées ou supprimées.
Produits applicables
  • Cloud Storage
Chemin d'accès storage.buckets/lifecycle.rule.condition.isLive
Opérateur ==
Valeur
  • False
Type Booléen
Contrôles NIST-800-53 associés
  • SI-12
Commandes associées au profil CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informations connexes

Appliquer la gestion des versions pour les buckets Cloud Storage

ID de contrôle Google GCS-CO-6.7
Implémentation Recommandé
Description

Assurez-vous que la gestion des versions est activée pour tous les buckets Cloud Storage. Voici quelques cas d'utilisation :

  • Protection et récupération des données : protégez-vous contre la perte accidentelle de données en empêchant l'écrasement et en permettant la récupération des données supprimées ou modifiées.
  • Conformité et audit : conservez un historique de toutes les modifications apportées aux objets à des fins de conformité réglementaire ou d'audit interne.
  • Contrôle des versions : suivez les modifications apportées aux fichiers et aux ensembles de données, ce qui permet la collaboration et le retour aux versions précédentes si nécessaire.
Produits applicables
  • Cloud Storage
Chemin d'accès storage.buckets/versioning.enabled
Opérateur !=
Valeur
  • True
Type Booléen
Contrôles NIST-800-53 associés
  • SI-12
Commandes associées au profil CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informations connexes

Appliquer des propriétaires pour les buckets Cloud Storage

ID de contrôle Google GCS-CO-6.8
Implémentation Recommandé
Description

Assurez-vous que google_storage_bucket.labels comporte une expression pour un propriétaire.
Produits applicables
  • Cloud Storage
Chemin d'accès storage.buckets/labels.owner
Opérateur notexists
Valeur
  • []
Type Étendu
Contrôles NIST-800-53 associés
  • SI-12
Commandes associées au profil CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informations connexes

Activer la journalisation des principales activités Cloud Storage

ID de contrôle Google GCS-CO-7.4
Implémentation Recommandé
Description

Activez la journalisation supplémentaire autour d'objets de stockage spécifiques en fonction de leur cas d'utilisation. Par exemple, enregistrez l'accès aux buckets de données sensibles pour pouvoir savoir qui y a accédé et quand. Lorsque vous activez la journalisation supplémentaire, tenez compte du volume de journaux que vous pourriez générer.
Produits applicables
  • Cloud Storage
Contrôles NIST-800-53 associés
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Commandes associées au profil CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informations connexes

Étapes suivantes