Controles de base empresarial seguros para casos de uso de IA generativa

En este documento, se incluyen las prácticas recomendadas y los lineamientos para crear una base empresarial segura cuando se ejecutan cargas de trabajo de IA generativa que usanGoogle Cloud. Una base empresarial segura incluye controles para lo siguiente:

Autenticación y autorización

En esta sección, se incluyen las prácticas recomendadas y los lineamientos para Identity and Access Management (IAM) y Cloud Identity cuando se ejecutan cargas de trabajo de IA generativa en Google Cloud.

Inhabilita los otorgamientos automáticos de IAM para las cuentas de servicio predeterminadas

ID de control de Google IAM-CO-4.1
Implementación Obligatorio
Descripción

Usa la restricción booleana automaticIamGrantsForDefaultServiceAccounts para inhabilitar las asignaciones de roles automáticas cuando los servicios de Google Cloud crean automáticamente cuentas de servicio predeterminadas con roles demasiado permisivos.

De forma predeterminada, algunos sistemas otorgan permisos demasiado amplios a las cuentas automatizadas, lo que representa un posible riesgo de seguridad. Por ejemplo, si no aplicas esta restricción y creas una cuenta de servicio predeterminada, se le otorgará automáticamente el rol de editor (roles/editor) en tu proyecto. Si un atacante compromete una sola parte del sistema, podría obtener el control de todo el proyecto. Esta restricción inhabilita esos permisos automáticos de alto nivel, lo que obliga a adoptar un enfoque más seguro y deliberado en el que solo se otorgan los permisos mínimos necesarios.
Productos aplicables
  • IAM
  • Servicio de políticas de la organización
Ruta constraints/iam.automaticIamGrantsForDefaultServiceAccounts
Operador Is
Valor
  • False
Tipo Booleano
Controles relacionados de NIST-800-53
  • AC-3
  • AC-17
  • AC-20
Controles relacionados con el perfil de CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Información relacionada

Bloquea la creación de claves de cuentas de servicio externas

ID de control de Google IAM-CO-4.2
Implementación Obligatorio
Descripción

Usa la restricción booleana iam.disableServiceAccountKeyCreation para inhabilitar la creación de claves de cuentas de servicio externas. Esta restricción te permite controlar el uso de credenciales a largo plazo no administradas para las cuentas de servicio. Cuando se establece esta restricción, no puedes crear credenciales administradas por el usuario para las cuentas de servicio en los proyectos afectados por la restricción.
Productos aplicables
  • Servicio de políticas de la organización
  • IAM
Ruta constraints/iam.disableServiceAccountKeyCreation
Operador Is
Valor
  • True
Tipo Booleano
Controles relacionados de NIST-800-53
  • AC-3
  • AC-17
  • AC-20
Controles relacionados con el perfil de CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Información relacionada

Bloquea las cargas de claves de cuentas de servicio

ID de control de Google IAM-CO-4.3
Implementación Obligatorio
Descripción

Usa la restricción booleana iam.disableServiceAccountKeyUpload para inhabilitar la carga de claves públicas externas a las cuentas de servicio. Cuando se establece esta restricción, los usuarios no pueden subir claves públicas a cuentas de servicio en proyectos afectados por la restricción.
Productos aplicables
  • Servicio de políticas de la organización
  • IAM
Ruta constraints/iam.disableServiceAccountKeyUpload
Operador Is
Valor
  • True
Tipo Booleano
Controles relacionados de NIST-800-53
  • AC-3
  • AC-17
  • AC-20
Controles relacionados con el perfil de CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Información relacionada

Configura la separación de obligaciones para los administradores de políticas de la organización

ID de control de Google OPS-CO-6.1
Implementación Obligatorio
Descripción
Asigna el rol de administrador de políticas de la organización (roles/orgpolicy.policyAdmin) a los grupos responsables de la postura de seguridad de la organización Google Cloud . Para evitar la creación de recursos que incumplan la política de seguridad, no asignes este rol a los propietarios del proyecto.
Productos aplicables
  • IAM
  • Servicio de políticas de la organización
Controles relacionados de NIST-800-53
  • AC-2
  • AC-3
  • AC-5
Controles relacionados con el perfil de CRI
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.DS-5.1
  • PR.PT-3.1
Información relacionada

Habilita la verificación en 2 pasos para las cuentas de administrador avanzado

ID de control de Google CI-CO-6.1
Implementación Obligatorio
Descripción

Google recomienda las llaves de seguridad Titan para la verificación en 2 pasos (2SV) de las cuentas de administrador avanzado. Sin embargo, para los casos de uso en los que esto no es posible, recomendamos usar otra llave de seguridad como alternativa.
Productos aplicables
  • Cloud Identity
  • Llaves de seguridad Titan
Controles relacionados de NIST-800-53
  • IA-2
  • IA-4
  • IA-5
  • IA-7
Controles relacionados con el perfil de CRI
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
Información relacionada

Aplica la verificación en 2 pasos en la unidad organizacional del administrador avanzado

ID de control de Google CI-CO-6.2
Implementación Obligatorio
Descripción

Aplicar la verificación en 2 pasos (2SV) a una unidad organizativa (UO) específica o a toda la organización Te recomendamos que crees una UO para los administradores avanzados y que apliques la 2SV en esa UO.
Productos aplicables
  • Cloud Identity
Controles relacionados de NIST-800-53
  • IA-2
  • IA-4
  • IA-5
  • IA-7
Controles relacionados con el perfil de CRI
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
Información relacionada

Crea una dirección de correo electrónico exclusiva para el administrador avanzado principal

ID de control de Google CI-CO-6.4
Implementación Obligatorio
Descripción
Crea una dirección de correo electrónico que no sea específica de un usuario en particular como la cuenta principal de administrador avanzado de Cloud Identity.
Productos aplicables
  • Cloud Identity
Controles relacionados de NIST-800-53
  • IA-2
  • IA-4
  • IA-5
Controles relacionados con el perfil de CRI
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
Información relacionada

Crea cuentas de administrador redundantes

ID de control de Google CI-CO-6.7
Implementación Obligatorio
Descripción

No tener un solo administrador avanzado o administrador de la organización Crea una o más cuentas de administrador secundario (hasta 20). Un solo administrador avanzado o administrador de la organización puede generar situaciones de bloqueo. Esta situación también conlleva un mayor riesgo, ya que una persona puede realizar cambios que alteren la plataforma, posiblemente sin supervisión.
Productos aplicables
  • Identity and Access Management (IAM)
  • Google Workspace
  • Cloud Identity
Controles relacionados de NIST-800-53
  • IA-2
  • IA-4
  • IA-5
Controles relacionados con el perfil de CRI
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
Información relacionada

Implementa etiquetas para asignar de manera eficiente políticas de Identity and Access Management (IAM) y políticas de la organización

ID de control de Google IAM-CO-6.1
Implementación Recomendado
Descripción

Las etiquetas proporcionan una forma de crear anotaciones para los recursos y, en algunos casos, permitir o denegar políticas de forma condicional en función de si un recurso tiene una etiqueta específica. Usa etiquetas y la aplicación condicional de políticas para obtener un control detallado de toda la jerarquía de tus recursos.
Productos aplicables
  • Resource Manager
Controles relacionados de NIST-800-53
  • AC-2
  • AC-3
  • AC-5
Controles relacionados con el perfil de CRI
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.DS-5.1
  • PR.PT-3.1
Información relacionada

Audita los cambios de alto riesgo en Identity and Access Management (IAM)

ID de control de Google IAM-CO-7.1
Implementación Recomendado
Descripción

Usa los registros de auditoría de Cloud para supervisar la actividad de alto riesgo, como las cuentas a las que se les otorgan roles de alto riesgo, como administrador de la organización y administrador avanzado. Configura alertas para este tipo de actividad.
Productos aplicables
  • Registros de auditoría de Cloud
Controles relacionados de NIST-800-53
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Controles relacionados con el perfil de CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Información relacionada

Bloquea el acceso a Cloud Shell para las cuentas de usuario administradas de Cloud Identity

ID de control de Google CI-CO-6.8
Implementación Recomendado
Descripción

Para evitar otorgar acceso excesivo a Google Cloud, bloquea el acceso a Cloud Shell para las cuentas de usuario administradas de Cloud Identity.
Productos aplicables
  • Cloud Identity
  • Cloud Shell
Controles relacionados de NIST-800-53
  • SC-7
  • SC-8
Controles relacionados con el perfil de CRI
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Información relacionada

Configura el acceso adaptado al contexto para las consolas de Google

ID de control de Google IAM-CO-8.2
Implementación Opcional
Descripción

Con el acceso adaptado al contexto, puedes crear políticas de seguridad detalladas para el control de acceso a las aplicaciones en función de atributos, como la identidad del usuario, la ubicación, el estado de seguridad del dispositivo y la dirección IP. Te recomendamos que uses el Acceso adaptado al contexto para restringir el acceso a la Google Cloud consola (https://console.cloud.google.com/) y a la Consola del administrador de Google (https://admin.cloud.google.com).
Productos aplicables
  • Cloud Identity
  • Acceso adaptado al contexto
Controles relacionados de NIST-800-53
  • AC-3
  • AC-12
  • AC-17
  • AC-20
  • SC-7
  • SC-8
Controles relacionados con el perfil de CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Información relacionada

Bloquea la recuperación automática de cuentas para las cuentas de administrador avanzado

ID de control de Google CI-CO-6.3
Implementación Opcional
Descripción
Un atacante podría usar el proceso de recuperación automática para restablecer las contraseñas de administrador avanzado. Para mitigar los riesgos de seguridad asociados con los ataques al Sistema de señalización núm. 7 (SS7), los ataques de intercambio de SIM o cualquier otro ataque de phishing, te recomendamos que desactives esta función. Para desactivar la función, ve a la configuración de recuperación de la cuenta en la Consola del administrador de Google.
Productos aplicables
  • Cloud Identity
  • Google Workspace
Controles relacionados de NIST-800-53
  • IA-2
  • IA-4
  • IA-5
Controles relacionados con el perfil de CRI
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
Información relacionada

Desactiva los servicios de Google que no uses

ID de control de Google CI-CO-6.6
Implementación Opcional
Descripción
En general, te recomendamos que desactives los servicios que no usarás.
Productos aplicables
  • Cloud Identity
Ruta http://admin.google.com > Apps > Additional Google Services
Operador Setting
Valor
  • False
Controles relacionados de NIST-800-53
  • SC-7
  • SC-8
Controles relacionados con el perfil de CRI
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Información relacionada

Organización

En esta sección, se incluyen las prácticas recomendadas y los lineamientos para el Servicio de políticas de la organización y Resource Manager cuando se ejecutan cargas de trabajo de IA generativa en Google Cloud.

Restringe las versiones de TLS compatibles con las APIs de Google

ID de control de Google COM-CO-1.1
Implementación Obligatorio
Descripción

Google Cloud admite varias versiones del protocolo TLS. Para cumplir con los requisitos de cumplimiento, es posible que desees rechazar las solicitudes de protocolo de enlace de los clientes que usan versiones anteriores de TLS.

Para configurar este control, usa la restricción de la política de la organización Restrict TLS Versions (gcp.restrictTLSVersion). Puedes aplicar esta restricción a organizaciones, carpetas o proyectos en la jerarquía de recursos. La restricción Restrict TLS Versions usa una lista de entidades denegadas, que rechaza valores explícitos y permite todos los demás. Se produce un error si intentas usar una lista de entidades permitidas.

Debido al comportamiento de la evaluación de la jerarquía de políticas de la organización, la restricción de la versión de TLS se aplica al nodo de recursos especificado y a todas sus carpetas y proyectos (elementos secundarios). Por ejemplo, si rechazas la versión 1.0 de TLS para una organización, también se denegará en todos los elementos secundarios que descienden de esa organización.

Puedes anular la restricción de la versión de TLS heredada actualizando la política de la organización en un recurso secundario. Por ejemplo, si tu política de la organización rechaza TLS 1.0 a nivel de la organización, puedes quitar la restricción para una carpeta secundaria estableciendo una política de la organización independiente en esa carpeta. Si la carpeta tiene elementos secundarios, la política de la carpeta también se aplicará a cada recurso secundario debido a la herencia de políticas.

Para restringir aún más la versión de TLS solo a TLS 1.3, puedes configurar esta política para que también restrinja la versión de TLS 1.2. Debes implementar este control en las aplicaciones que alojes dentro de Google Cloud. Por ejemplo, a nivel de la organización, establece lo siguiente:

["TLS_VERSION_1","TLS_VERSION_1.1","TLS_VERSION_1.2"]
Productos aplicables
  • Todos; administrados por el servicio de políticas de la organización
Ruta gcp.restrictTLSVersion
Operador ==
Valor
  • TLS_VERSION_1
  • TLS_VERSION_1.1
Tipo String
ID de control del Administrador de cumplimiento RESTRICT_LEGACY_TLS_VERSIONS
Controles relacionados de NIST-800-53
  • SC-8
  • SC-13
Controles relacionados con el perfil de CRI
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Información relacionada

Restringe los principales autorizados

ID de control de Google COM-CO-4.1
Implementación Obligatorio
Descripción

Asegúrate de que solo se permitan identidades de tu organización en tu entorno de Google Cloud . Usa la restricción de política de la organización Uso compartido restringido al dominio (iam.allowedPolicyMemberDomains) o iam.managed.allowedPolicyMembers para definir uno o más IDs de cliente de Cloud Identity o Google Workspace cuyas principales se pueden agregar a las políticas de Identity and Access Management (IAM).

Estas restricciones ayudan a evitar que los empleados otorguen acceso a cuentas externas que no están bajo el control de tu organización y que no cumplen con tus políticas de seguridad para la autenticación multifactor (MFA) o la administración de contraseñas. Este control es fundamental para evitar el acceso no autorizado y garantizar que solo se puedan usar identidades corporativas administradas y de confianza.
Productos aplicables
  • Servicio de políticas de la organización
  • IAM
Ruta constraints/iam.allowedPolicyMemberDomains
Operador Is
Valor
  • CUSTOMER_ID,ORG_ID
Tipo Lista
Controles relacionados de NIST-800-53
  • AC-3
  • AC-17
  • AC-20
Controles relacionados con el perfil de CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Información relacionada

Restringe el uso de servicios del recurso

ID de control de Google RM-CO-4.1
Implementación Obligatorio
Descripción

La restricción gcp.restrictServiceUsage garantiza que solo se usen tus servicios Google Cloud aprobados en los lugares correctos. Por ejemplo, una carpeta de producción o altamente sensible tiene una pequeña lista de Google Cloud servicios aprobados para almacenar datos. Es posible que una carpeta de zona de pruebas tenga una lista más grande de servicios y controles de seguridad de los datos complementarios para ayudar a evitar el robo de datos. El valor es específico de tus sistemas y coincide con tu lista aprobada de servicios y dependencias para carpetas y proyectos específicos.

Esta restricción permite que tu organización cree una lista de entidades permitidas de servicios aprobados, lo que ayuda a evitar que los empleados usen servicios no verificados.
Productos aplicables
  • Servicio de políticas de la organización
  • Resource Manager
Ruta constraints/gcp.restrictServiceUsage
Operador Is
Controles relacionados de NIST-800-53
  • AC-3
  • AC-17
  • AC-20
Controles relacionados con el perfil de CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Información relacionada

Restringe las ubicaciones de recursos

ID de control de Google RM-CO-4.2
Implementación Obligatorio
Descripción

La restricción de ubicación de recursos (gcp.resourceLocations) garantiza que solo se usen las regiones Google Cloud aprobadas para almacenar datos. El valor es específico de tus sistemas y coincide con la lista aprobada de regiones de tu organización para la residencia de datos.

Esta restricción permite que tu organización aplique que tus recursos y datos solo se creen y guarden en regiones geográficas específicas aprobadas.
Productos aplicables
  • Servicio de políticas de la organización
  • Resource Manager
Ruta constraints/gcp.resourceLocations
Operador Is
Controles relacionados de NIST-800-53
  • AC-3
  • AC-17
  • AC-20
Controles relacionados con el perfil de CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Información relacionada

Redes

En esta sección, se incluyen las prácticas recomendadas y los lineamientos para la nube privada virtual (VPC) y Cloud DNS cuando se ejecutan cargas de trabajo de IA generativa en Google Cloud.

Bloquea la creación de la red predeterminada

ID de control de Google VPC-CO-6.1
Implementación Obligatorio
Descripción

La restricción booleana compute.skipDefaultNetworkCreation omite la creación de la red predeterminada y los recursos relacionados cuando se crean proyectos Google Cloud .

La red predeterminada es una red de nube privada virtual (VPC) de modo automático con reglas de firewall IPv4 propagadas previamente para permitir rutas de comunicación internas. En general, esta configuración no es una postura de seguridad recomendada para los entornos de producción.
Productos aplicables
  • Servicio de políticas de la organización
  • Nube privada virtual (VPC)
Ruta constraints/compute.skipDefaultNetworkCreation
Valor
  • True
Tipo Booleano
Controles relacionados de NIST-800-53
  • SC-7
  • SC-8
Controles relacionados con el perfil de CRI
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Información relacionada

Habilita las extensiones de seguridad de DNS

ID de control de Google DNS-CO-6.1
Implementación Obligatorio
Descripción

Las extensiones de seguridad del sistema de nombres de dominio (DNSSEC) son una función del sistema de nombres de dominio (DNS) que autentica las respuestas para búsquedas de nombres de dominio. No proporciona protección de la privacidad para esas búsquedas, pero evita que los atacantes manipulen o envenenen las respuestas a las solicitudes de DNS.

En Cloud DNS, habilita DNSSEC en los siguientes lugares:

  • Zona del DNS
  • Dominio de nivel superior (TLD)
  • Resolución de DNS
Productos aplicables
  • Cloud DNS
Controles relacionados de NIST-800-53
  • SC-7
  • SC-8
Controles relacionados con el perfil de CRI
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Información relacionada

Habilita la restricción del alcance del servicio en las políticas de acceso de Access Context Manager

ID de control de Google COM-CO-8.1
Implementación Recomendaciones para la IA generativa en casos de uso
Descripción

Para cada perímetro de servicio, confirma en la consola de Google Cloud que el tipo de perímetro esté establecido como regular.
Productos aplicables
  • Access Context Manager
  • Controles del servicio de VPC
Ruta accesscontextmanager.accessPolicies.servicePerimeters/perimeterType
Operador ==
Valor
  • PERIMETER_TYPE_REGULAR
Tipo String
Controles relacionados de NIST-800-53
  • SC-7
  • SC-8
Controles relacionados con el perfil de CRI
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Información relacionada

Restringe las APIs dentro de los perímetros de servicio de los Controles del servicio de VPC

ID de control de Google COM-CO-8.2
Implementación Recomendaciones para la IA generativa en casos de uso
Descripción

Para cada perímetro de servicio, usa Access Context Manager para confirmar que el perímetro protege la API.
Productos aplicables
  • Controles del servicio de VPC
  • Access Context Manager
Ruta accesscontextmanager.accessPolicies.servicePerimeters/status.restrictedServices
Operador Anyof
Valor
  • aiplatform.googleapis.com
  • artifactregistry.googleapis.com
  • bigquery.googleapis.com
  • cloudasset.googleapis.com
  • cloudbuild.googleapis.com
  • cloudfunctions.googleapis.com
  • cloudresourcemanager.googleapis.com
  • containeranalysis.googleapis.com
  • discoveryengine.googleapis.com
  • dns.googleapis.com
  • notebooks.googleapis.com
  • ondemandscanning.googleapis.com
  • orgpolicy.googleapis.com
  • pubsub.googleapis.com
  • secretmanager.googleapis.com
  • storage.googleapis.com
  • visionai.googleapis.com
Tipo String
Controles relacionados de NIST-800-53
  • SC-7
  • SC-8
Controles relacionados con el perfil de CRI
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Información relacionada

Usar DNS zonal

ID de control de Google DNS-CO-4.1
Implementación Opcional
Descripción

La restricción booleana compute.setNewProjectDefaultToZonalDNSOnly te permite establecer la configuración del DNS interno para que los proyectos nuevos usen solo DNS zonal. Usa DNS zonal, ya que ofrece mayor confiabilidad en comparación con las zonas individuales, ya que aísla las fallas en el registro DNS .
Productos aplicables
  • Política de la organización
Ruta constraints/compute.setNewProjectDefaultToZonalDNSOnly
Operador =
Valor
  • True
Tipo Booleano
Controles relacionados de NIST-800-53
  • AC-3
  • AC-17
  • AC-20
Controles relacionados con el perfil de CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Información relacionada

Registro, supervisión y alertas

En esta sección, se incluyen las prácticas recomendadas y los lineamientos para los servicios de registro y auditoría en Google Cloud , así como la configuración de alertas para servicios como la Facturación de Cloud.

Comparte registros de auditoría de Cloud Identity

ID de control de Google CI-CO-6.5
Implementación Obligatorio
Descripción

Si usas Cloud Identity, comparte los registros de auditoría de Cloud Identity con Google Cloud.

Por lo general, los registros de auditoría de actividad del administrador de Google Workspace o Cloud Identity se administran y ven en la Consola del administrador de Google, por separado de los registros en tu entorno de Google Cloud . Estos registros contienen información relevante para tu entorno de Google Cloud , como los eventos de acceso del usuario.

Te recomendamos que compartas los registros de auditoría de Cloud Identity con tu entorno de Google Cloud para administrar de forma centralizada los registros de todas las fuentes.
Productos aplicables
  • Google Workspace
  • Cloud Logging
  • Cloud Identity
Controles relacionados de NIST-800-53
  • AC-2
  • AC-3
  • AC-8
  • AC-9
Controles relacionados con el perfil de CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
Información relacionada

Usa registros de auditoría

ID de control de Google COM-CO-7.3
Implementación Obligatorio
Descripción

Los servicios deGoogle Cloud escriben entradas de registro de auditoría para responder quién hizo qué, dónde y cuándo con los recursos de Google Cloud .

Habilita el registro de auditoría a nivel de la organización. Puedes configurar el registro con la canalización que usas para configurar la organización de Google Cloud .
Productos aplicables
  • Registros de auditoría de Cloud
Controles relacionados de NIST-800-53
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Controles relacionados con el perfil de CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Información relacionada

Habilitar los registros de flujo de VPC

ID de control de Google COM-CO-7.4
Implementación Obligatorio
Descripción

Los registros de flujo de VPC registran una muestra de flujos de red que envían y reciben las instancias de VM, incluidas las que se usan como nodos de Google Kubernetes Engine (GKE). Por lo general, la muestra es del 50% o menos de los flujos de red de VPC.

Cuando habilitas los registros de flujo de VPC, se habilita el registro en todas las VMs de una subred. Sin embargo, puedes reducir la cantidad de información que se escribe en el registro.

Habilita los registros de flujo de VPC para cada subred de VPC. Puedes configurar el registro con una canalización que uses para crear un proyecto.
Productos aplicables
  • Nube privada virtual
Controles relacionados de NIST-800-53
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Controles relacionados con el perfil de CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Información relacionada

Habilita el registro de las reglas de firewall

ID de control de Google COM-CO-7.5
Implementación Obligatorio
Descripción

De forma predeterminada, las reglas de firewall no escriben registros automáticamente.El registro de reglas de firewall te permite auditar, verificar y analizar los efectos de tus reglas de firewall. Por ejemplo, puedes determinar si una regla de firewall diseñada para denegar tráfico está funcionando según lo previsto. El registro también es útil si quieres determinar cuántas conexiones se ven afectadas por una regla de firewall determinada.

Habilita el registro para cada regla de firewall. Puedes configurar el registro con una canalización que uses para crear un firewall.
Productos aplicables
  • Nube privada virtual
Controles relacionados de NIST-800-53
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Controles relacionados con el perfil de CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Información relacionada

Habilita los registros de auditoría de acceso a los datos

ID de control de Google COM-CO-7.2
Implementación Se recomienda para ciertos casos de uso
Descripción

Para hacer un seguimiento de quién accedió a los datos en tu entorno de Google Cloud , habilita los registros de auditoría de acceso a los datos. Estos registros graban las llamadas a la API que leen, crean o modifican datos del usuario, así como las llamadas a la API que leen la configuración de los recursos.

Te recomendamos que habilites los registros de auditoría de acceso a los datos para los modelos de IA generativa y los datos sensibles para asegurarte de que puedas auditar quién leyó la información. Para usar los registros de auditoría de acceso a los datos, debes configurar tu propia lógica de detección personalizada para actividades específicas, como los accesos de administrador avanzado.

El volumen de los registros de auditoría de acceso a los datos puede ser grande. Habilitar los registros de acceso a los datos podría generar cargos en tu Google Cloud proyecto por el uso de registros adicionales.
Productos aplicables
  • Registros de auditoría de Cloud
Controles relacionados de NIST-800-53
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Controles relacionados con el perfil de CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Información relacionada

Configura alertas de facturación

ID de control de Google CB-CO-6.1
Implementación Recomendado
Descripción

Crea presupuestos de Facturación de Cloud para supervisar todos tus Google Cloud cargos en un solo lugar y evitar sorpresas en tu factura. Después de establecer un importe del presupuesto, configura reglas de límite de alertas de presupuesto para cada proyecto y activa las notificaciones por correo electrónico. Estas notificaciones te ayudan a hacer un seguimiento de tus gastos en relación con tu presupuesto. También puedes usar los presupuestos de Facturación de Cloud para automatizar las respuestas de control de costos.
Productos aplicables
  • Facturación de Cloud
Controles relacionados de NIST-800-53
  • SI-4
  • SI-5
Controles relacionados con el perfil de CRI
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
  • ID.RA-1.1
  • ID.RA-2.1
  • ID.RA-3.1
  • ID.RA-3.2
  • ID.RA-3.3
Información relacionada

Habilita los registros de Transparencia de acceso

ID de control de Google COM-CO-7.7
Implementación Opcional
Descripción

Los registros estándar muestran lo que hacen los usuarios de tu organización, pero los registros de Transparencia de acceso muestran lo que hace el personal de asistencia de Google cuando accede a la cuenta. Por lo general, este acceso solo se produce en respuesta a una solicitud de asistencia. Los registros de Transparencia de acceso proporcionan un registro de auditoría completo y verificable de todo el acceso, lo que es fundamental para cumplir con los estrictos requisitos de cumplimiento y administración de datos.

Puedes habilitar la Transparencia de acceso a nivel de la organización.
Productos aplicables
  • Transparencia de acceso
Controles relacionados de NIST-800-53
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Controles relacionados con el perfil de CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Información relacionada

Exporta datos de facturación para un análisis detallado

ID de control de Google CB-CO-6.2
Implementación Opcional
Descripción

Para realizar un análisis de facturación más detallado, puedes exportar Google Cloud datos de facturación a BigQuery o a un archivo JSON. Por ejemplo, puedes exportar automáticamente datos detallados, como el uso, las estimaciones de costos y los precios, durante todo el día a un conjunto de datos de BigQuery que especifiques. Luego, puedes acceder a los datos de la Facturación de Cloud desde BigQuery para realizar un análisis detallado o usar una herramienta como Looker Studio para visualizar los datos.
Productos aplicables
  • Servicio de transferencia de datos de BigQuery
  • BigQuery
  • Facturación de Cloud
Controles relacionados de NIST-800-53
  • SI-4
  • SI-5
Controles relacionados con el perfil de CRI
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
  • ID.RA-1.1
  • ID.RA-2.1
  • ID.RA-3.1
  • ID.RA-3.2
  • ID.RA-3.3
Información relacionada

Administración de claves y secretos

En esta sección, se incluyen las prácticas recomendadas y los lineamientos para Cloud Key Management Service y Secret Manager cuando se ejecutan cargas de trabajo de IA generativa enGoogle Cloud.

Encripta los datos en reposo en Google Cloud

ID de control de Google COM-CO-2.1
Implementación Obligatorio (predeterminado)
Descripción

Todos los datos en Google Cloud se encriptan en reposo de forma predeterminada con algoritmos aprobados por el NIST.
Productos aplicables
  • Google Cloud predeterminado
Controles relacionados de NIST-800-53
  • SC-28
Controles relacionados con el perfil de CRI
  • PR.DS-1.1
  • PR.DS-1.2
Información relacionada

Usar algoritmos aprobados por el NIST para la encriptación y la desencriptación

ID de control de Google COM-CO-2.4
Implementación Obligatorio
Descripción

Asegúrate de que Cloud Key Management Service (Cloud KMS) solo use algoritmos aprobados por el NIST para almacenar claves sensibles en el entorno. Este control garantiza el uso seguro de las claves solo con algoritmos y seguridad aprobados por el NIST. El campo CryptoKeyVersionAlgorithm es una lista de entidades permitidas proporcionada.

Quita los algoritmos que no cumplan con las políticas de tu organización.
Productos aplicables
  • Cloud KMS
Ruta cloudkms.projects.locations.keyRings.cryptoKeys/versionTemplate.algorithm
Operador in
Valor
  • RSA_SIGN_PSS_2048_SHA256
  • RSA_SIGN_PSS_3072_SHA256
  • RSA_SIGN_PSS_4096_SHA256
  • RSA_DECRYPT_OAEP_2048_SHA256
  • RSA_DECRYPT_OAEP_4096_SHA256
  • RSA_DECRYPT_OAEP_2048_SHA1
  • RSA_DECRYPT_OAEP_4096_SHA1
Tipo String
Controles relacionados de NIST-800-53
  • SC-12
  • SC-13
Controles relacionados con el perfil de CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Información relacionada

Cómo establecer el propósito de las claves de Cloud KMS

ID de control de Google COM-CO-2.5
Implementación Obligatorio
Descripción

Establece el propósito de las claves de Cloud KMS en ENCRYPT_DECRYPT para que las claves solo se usen para encriptar y desencriptar datos. Este control bloquea otras funciones, como la firma, y garantiza que las claves solo se usen para el propósito previsto. Si usas claves para otras funciones, valida esos casos de uso y considera crear claves adicionales.
Productos aplicables
  • Cloud KMS
Ruta cloudkms.projects.locations.keyRings.cryptoKeys/purpose
Operador ==
Valor
  • ENCRYPT_DECRYPT
Tipo String
Controles relacionados de NIST-800-53
  • SC-12
  • SC-13
Controles relacionados con el perfil de CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Información relacionada

Asegúrate de que la configuración de CMEK sea adecuada para los almacenes de datos seguros de BigQuery

ID de control de Google COM-CO-2.6
Implementación Obligatorio
Descripción

El nivel de protección indica cómo se realizan las operaciones criptográficas. Después de crear una clave de encriptación administrada por el cliente (CMEK), no puedes cambiar el nivel de protección. Los niveles de protección admitidos son los siguientes:

  • SOFTWARE: Las operaciones criptográficas se realizan en software.
  • HSM: Las operaciones criptográficas se realizan en un módulo de seguridad de hardware (HSM).
  • EXTERNO: Las operaciones criptográficas se realizan con una clave almacenada en un administrador de claves externo que está conectado a Google Cloud a través de Internet. Se limita a la encriptación simétrica y la firma asimétrica.
  • EXTERNAL_VPC: Las operaciones criptográficas se realizan con una clave almacenada en un administrador de claves externo que está conectado a Google Cloud a través de una red de nube privada virtual (VPC). Se limita a la encriptación simétrica y la firma asimétrica.
Productos aplicables
  • Cloud KMS
  • BigQuery
Ruta cloudkms.projects.locations.keyRings.cryptoKeys/primary.protectionLevel
Operador in
Valor
  • []
Tipo String
Controles relacionados de NIST-800-53
  • SC-12
  • SC-13
Controles relacionados con el perfil de CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Información relacionada

Rota la clave de encriptación cada 90 días

ID de control de Google COM-CO-2.7
Implementación Obligatorio
Descripción

Asegúrate de que el período de rotación de tus claves de Cloud KMS esté establecido en 90 días. Una práctica recomendada general es rotar las claves de seguridad a intervalos regulares. Este control aplica la rotación de claves para las claves que se crean con los servicios de HSM.

Cuando crees este período de rotación, también crea políticas y procedimientos adecuados para manejar de forma segura la creación, el borrado y la modificación del material de claves, de modo que puedas proteger tu información y garantizar la disponibilidad. Asegúrate de que este período cumpla con las políticas corporativas de rotación de claves.
Productos aplicables
  • Cloud KMS
Ruta cloudkms.projects.locations.keyRings.cryptoKeys/rotationPeriod
Operador <=
Valor
  • 90
Tipo int32
Controles relacionados de NIST-800-53
  • SC-12
  • SC-13
Controles relacionados con el perfil de CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Información relacionada

Configura la rotación automática de secretos

ID de control de Google SM-CO-6.2
Implementación Obligatorio
Descripción
Rota los secretos automáticamente y tiene procedimientos de rotación de emergencia disponibles en caso de una vulneración.
Productos aplicables
  • Secret Manager
Controles relacionados de NIST-800-53
  • SC-12
  • SC-13
Controles relacionados con el perfil de CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Información relacionada

Usa CMEK para los mensajes de Pub/Sub

ID de control de Google PS-CO-6.1
Implementación Recomendado
Descripción
Cuando habilitas las claves de encriptación administradas por el cliente (CMEK) para Pub/Sub, obtienes un mayor control de las claves de encriptación que Pub/Sub usa para proteger tus mensajes. En la capa de la aplicación, Pub/Sub encripta de forma individual los mensajes entrantes cuando los recibe. Antes de que Pub/Sub publique mensajes en una suscripción, los encripta con la clave de encriptación de datos (DEK) más reciente que se generó para el tema. Pub/Sub desencripta los mensajes poco antes de entregarlos a los suscriptores. Pub/Sub usa una cuenta de servicio Google Cloud para acceder a Cloud Key Management Service. Pub/Sub mantiene de forma interna la cuenta de servicio para cada proyecto, por lo que no estará visible en tu lista de cuentas de servicio.
Productos aplicables
  • Cloud KMS
  • Pub/Sub
Controles relacionados de NIST-800-53
  • SC-12
  • SC-13
Controles relacionados con el perfil de CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Información relacionada

Restringe la ubicación de las claves de encriptación administradas por el cliente

ID de control de Google COM-CO-2.2
Implementación Recomendado
Descripción

Usa la restricción de la política de la organización Restringe los proyectos que pueden proporcionar CryptoKeys de KMS para CMEK (gcp.restrictCmekCryptoKeyProjects) para definir qué proyectos pueden almacenar claves de encriptación administradas por el cliente (CMEK). Esta restricción te permite centralizar la administración y el control de las claves de encriptación. Cuando una clave seleccionada no cumple con esta restricción, falla la creación del recurso.

Para modificar esta restricción, los administradores necesitan el rol de IAM de Administrador de políticas de la organización (roles/orgpolicy.policyAdmin).

Si deseas agregar una segunda capa de protección, como la opción de usar tu propia clave, cambia esta restricción para que represente los nombres de las claves de la CMEK habilitada.

Detalles del producto:

  • En Vertex AI, almacenas tus claves en el proyecto KEY PROJECTS.
Productos aplicables
  • Cloud KMS
  • Política de la organización
Ruta constraints/gcp.restrictCmekCryptoKeyProjects
Operador notexists
Valor
  • KEY PROJECTS
Tipo String
Controles relacionados de NIST-800-53
  • SC-12
  • SC-13
Controles relacionados con el perfil de CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Información relacionada

Usa CMEK para los servicios de Google Cloud

ID de control de Google COM-CO-2.3
Implementación Recomendado
Descripción

Si necesitas más control sobre las operaciones de clave que el que permite Google-owned and Google-managed encryption keys , puedes usar claves de encriptación administradas por el cliente (CMEK). Estas claves se crean y administran con Cloud KMS. Almacena las claves como claves de software, en un clúster de HSM o en un sistema externo de administración de claves.

Los índices de encriptación y desencriptación de Cloud KMS están sujetos a cuotas.

Detalles específicos de Cloud Storage

En Cloud Storage, usa CMEK en objetos individuales o configura tus buckets de Cloud Storage para usar una CMEK de forma predeterminada en todos los objetos nuevos que se agreguen a un bucket. Cuando se usa una CMEK, Cloud Storage encripta un objeto con la clave en el momento en el que se almacena en un bucket, y Cloud Storage lo desencripta automáticamente cuando el objeto se entrega a los solicitantes.

Las siguientes restricciones se aplican cuando se usan CMEK con Cloud Storage:

  • No puedes encriptar un objeto con una CMEK cuando actualizas los metadatos del objeto. Incluye la clave como parte de una reescritura del objeto en su lugar.
  • Tu Cloud Storage usa el comando de actualización de objetos para establecer claves de encriptación en los objetos, pero el comando reescribe el objeto como parte de la solicitud.
  • Debes crear el llavero de claves de Cloud KMS en la misma ubicación que los datos que deseas encriptar. Por ejemplo, si tu bucket está ubicado en us-east1, cualquier llavero de claves usado para encriptar objetos en ese bucket también debe crearse en us-east1.
  • Para la mayoría de las regiones dobles, debes crear el llavero de claves de Cloud KMS en la multirregión asociada. Por ejemplo, si tu bucket está ubicado en el par us-east1, us-west1, cualquier llavero de claves usado para encriptar objetos en ese bucket debe crearse en la multirregión de EE.UU.
  • Para las regiones dobles predefinidas asia1, eur4 y nam4, debes crear el llavero de claves en la misma región doble predefinida.
  • La suma de comprobación CRC32C y el hash MD5 de los objetos encriptados con CMEK no se muestran cuando se enumeran objetos con la API de JSON.
  • Usar herramientas como Cloud Storage para realizar solicitudes GET de metadatos adicionales en cada objeto de encriptación para recuperar la información de CRC32C y MD5 puede hacer que la lista sea mucho más corta. Cloud Storage no puede usar la parte de desencriptación de las claves asimétricas almacenadas en Cloud KMS para desencriptar automáticamente objetos relevantes de la misma manera que las CMEK.
Productos aplicables
  • Cloud KMS
  • Política de la organización
  • Cloud Storage
Ruta constraints/gcp.restrictNonCmekServices
Operador ==
Valor
  • bigquery.googleapis.com
  • storage.googleapis.com
  • aiplatform.googleapis.com
Tipo String
Controles relacionados de NIST-800-53
  • SC-12
  • SC-13
Controles relacionados con el perfil de CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Información relacionada

Replicar secretos automáticamente

ID de control de Google SM-CO-6.1
Implementación Recomendado
Descripción
Elige la política de replicación automática para replicar tus secretos, a menos que tu carga de trabajo tenga requisitos de ubicación específicos. La política automática satisface las necesidades de disponibilidad y rendimiento de la mayoría de las cargas de trabajo. Si tu carga de trabajo tiene requisitos de ubicación específicos, puedes usar la API para seleccionar las ubicaciones de la política de replicación cuando crees el secreto.
Productos aplicables
  • Secret Manager
Controles relacionados de NIST-800-53
  • SC-12
  • SC-13
Controles relacionados con el perfil de CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Información relacionada

Análisis y postura de seguridad

En este documento, se incluyen las prácticas recomendadas y los lineamientos para Security Command Center cuando se ejecutan cargas de trabajo de IA generativa en Google Cloud.

Habilita Security Command Center a nivel de la organización

ID de control de Google SCC-CO-6.1
Implementación Obligatorio
Descripción
Habilita Security Command Center a nivel de la organización para evitar configuraciones adicionales. Si no quieres usar Security Command Center, debes habilitar otra solución de administración de postura.
Productos aplicables
  • Security Command Center
Controles relacionados de NIST-800-53
  • SI-4
  • SI-5
Controles relacionados con el perfil de CRI
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
  • ID.RA-1.1
  • ID.RA-2.1
  • ID.RA-3.1
  • ID.RA-3.2
  • ID.RA-3.3
Información relacionada

Configura alertas desde Security Command Center

ID de control de Google SCC-CO-7.1
Implementación Recomendado
Descripción
Las alertas de Security Command Center te brindan visibilidad de tu organización y te notifican sobre problemas con tus servicios de Google Cloud para que puedas tomar las medidas adecuadas. Puedes configurar alertas en Cloud Logging para recibir notificaciones sobre los errores relacionados con el agente de servicio de Security Command Center (service-org-ORGANIZATION_NUMBER@security-center-api.iam.gserviceaccount.com).
Productos aplicables
  • Security Command Center
  • Logging
Controles relacionados de NIST-800-53
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Controles relacionados con el perfil de CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Información relacionada

¿Qué sigue?