Contrôles de base sécurisés pour les cas d'utilisation de l'IA générative en entreprise

Ce document inclut les bonnes pratiques et les consignes pour créer une base d'entreprise sécurisée lors de l'exécution de charges de travail d'IA générative qui utilisentGoogle Cloud. Une base d'entreprise sécurisée inclut des contrôles pour les éléments suivants :

Authentification et autorisation

Cette section inclut les bonnes pratiques et les consignes pour Identity and Access Management (IAM) et Cloud Identity lorsque vous exécutez des charges de travail d'IA générative sur Google Cloud.

Désactiver l'attribution automatique de rôles IAM pour les comptes de service par défaut

ID de contrôle Google IAM-CO-4.1
Implémentation Obligatoire
Description

Utilisez la contrainte booléenne automaticIamGrantsForDefaultServiceAccounts pour désactiver l'attribution automatique de rôles lorsque les services Google Cloud créent automatiquement des comptes de service par défaut avec des rôles trop permissifs.

Par défaut, certains systèmes accordent des autorisations trop larges aux comptes automatisés, ce qui constitue un risque de sécurité potentiel. Par exemple, si vous n'appliquez pas cette contrainte et que vous créez un compte de service par défaut, le rôle Éditeur (roles/editor) lui est automatiquement attribué sur votre projet. Si un pirate informatique parvient à compromettre une seule partie du système, il peut prendre le contrôle de l'ensemble du projet. Cette contrainte désactive ces autorisations automatiques de haut niveau, ce qui impose une approche plus sécurisée et délibérée où seules les autorisations minimales nécessaires sont accordées.
Produits applicables
  • IAM
  • Service de règles d'administration
Chemin d'accès constraints/iam.automaticIamGrantsForDefaultServiceAccounts
Opérateur Is
Valeur
  • False
Type Booléen
Contrôles NIST-800-53 associés
  • AC-3
  • AC-17
  • AC-20
Commandes associées du profil CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Informations connexes

Bloquer la création de clés de compte de service externes

ID de contrôle Google IAM-CO-4.2
Implémentation Obligatoire
Description

Utilisez la contrainte booléenne iam.disableServiceAccountKeyCreation pour désactiver la création de clés de compte de service externes. Cette contrainte vous permet de contrôler l'utilisation des identifiants à long terme non gérés pour les comptes de service. Lorsque cette contrainte est définie, vous ne pouvez pas créer d'identifiants gérés par l'utilisateur pour les comptes de service dans les projets affectés par la contrainte.
Produits applicables
  • Service de règles d'administration
  • IAM
Chemin d'accès constraints/iam.disableServiceAccountKeyCreation
Opérateur Is
Valeur
  • True
Type Booléen
Contrôles NIST-800-53 associés
  • AC-3
  • AC-17
  • AC-20
Commandes associées du profil CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Informations connexes

Bloquer l'importation de clés de compte de service

ID de contrôle Google IAM-CO-4.3
Implémentation Obligatoire
Description

Utilisez la contrainte booléenne iam.disableServiceAccountKeyUpload pour désactiver l'importation de clés publiques externes dans des comptes de service. Lorsque cette contrainte est définie, les utilisateurs ne peuvent pas importer de clés publiques dans les comptes de service de projets affectés par la contrainte.
Produits applicables
  • Service de règles d'administration
  • IAM
Chemin d'accès constraints/iam.disableServiceAccountKeyUpload
Opérateur Is
Valeur
  • True
Type Booléen
Contrôles NIST-800-53 associés
  • AC-3
  • AC-17
  • AC-20
Commandes associées du profil CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Informations connexes

Configurer la séparation des tâches pour les administrateurs des règles d'administration

ID de contrôle Google OPS-CO-6.1
Implémentation Obligatoire
Description
Attribuez le rôle Administrateur des règles de l'organisation (roles/orgpolicy.policyAdmin) aux groupes responsables de la sécurité de l'organisation Google Cloud . Pour éviter la création de ressources qui enfreignent les règles de sécurité, n'attribuez pas ce rôle aux propriétaires de projet.
Produits applicables
  • IAM
  • Service de règles d'administration
Contrôles NIST-800-53 associés
  • AC-2
  • AC-3
  • AC-5
Commandes associées du profil CRI
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.DS-5.1
  • PR.PT-3.1
Informations connexes

Activer la validation en deux étapes pour les comptes super-administrateur

ID de contrôle Google CI-CO-6.1
Implémentation Obligatoire
Description

Google recommande les clés de sécurité Titan pour la validation en deux étapes des comptes de super-administrateur. Toutefois, pour les cas d'utilisation où cela n'est pas possible, nous vous recommandons d'utiliser une autre clé de sécurité.
Produits applicables
  • Cloud Identity
  • Clés de sécurité Titan
Contrôles NIST-800-53 associés
  • IA-2
  • IA-4
  • IA-5
  • IA-7
Commandes associées du profil CRI
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
Informations connexes

Appliquer la validation en deux étapes à l'unité organisationnelle des super-administrateurs

ID de contrôle Google CI-CO-6.2
Implémentation Obligatoire
Description

Appliquez la validation en deux étapes pour une unité organisationnelle spécifique ou pour l'ensemble de l'organisation. Nous vous recommandons de créer une UO pour les super-administrateurs et d'y appliquer la validation en deux étapes.
Produits applicables
  • Cloud Identity
Contrôles NIST-800-53 associés
  • IA-2
  • IA-4
  • IA-5
  • IA-7
Commandes associées du profil CRI
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
Informations connexes

Créer une adresse e-mail exclusive pour le super-administrateur principal

ID de contrôle Google CI-CO-6.4
Implémentation Obligatoire
Description
Créez une adresse e-mail qui n'est pas spécifique à un utilisateur particulier et définissez-la en tant que compte super-administrateur Cloud Identity principal.
Produits applicables
  • Cloud Identity
Contrôles NIST-800-53 associés
  • IA-2
  • IA-4
  • IA-5
Commandes associées du profil CRI
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
Informations connexes

Créer des comptes administrateur redondants

ID de contrôle Google CI-CO-6.7
Implémentation Obligatoire
Description

Vous n'avez pas de super-administrateur ni d'administrateur de l'organisation. Créez un ou plusieurs comptes administrateur de secours (20 au maximum). Un seul super-administrateur ou administrateur de l'organisation peut entraîner des scénarios de blocage. Cette situation présente également un risque plus élevé, car une seule personne peut apporter des modifications à la plate-forme, potentiellement sans surveillance.
Produits applicables
  • Identity and Access Management (IAM)
  • Google Workspace
  • Cloud Identity
Contrôles NIST-800-53 associés
  • IA-2
  • IA-4
  • IA-5
Commandes associées du profil CRI
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
Informations connexes

Implémenter des tags pour attribuer efficacement des stratégies de Identity and Access Management (IAM) et des règles d'administration

ID de contrôle Google IAM-CO-6.1
Implémentation Recommandé
Description

Les tags permettent de créer des annotations pour les ressources et, dans certains cas, d'autoriser ou de refuser des règles de manière conditionnelle selon qu'une ressource possède un tag spécifique ou non. Utilisez les tags et l'application conditionnelle de règles pour un contrôle ultraprécis de votre hiérarchie de ressources.
Produits applicables
  • Resource Manager
Contrôles NIST-800-53 associés
  • AC-2
  • AC-3
  • AC-5
Commandes associées du profil CRI
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.DS-5.1
  • PR.PT-3.1
Informations connexes

Auditer les modifications à haut risque apportées à Identity and Access Management (IAM)

ID de contrôle Google IAM-CO-7.1
Implémentation Recommandé
Description

Utilisez Cloud Audit Logs pour surveiller les activités à haut risque, comme l'attribution de rôles à haut risque (administrateur de l'organisation et super-administrateur, par exemple) à des comptes. Configurez des alertes pour ce type d'activité.
Produits applicables
  • Cloud Audit Logs
Contrôles NIST-800-53 associés
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Commandes associées du profil CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informations connexes

Bloquer l'accès à Cloud Shell pour les comptes utilisateur gérés Cloud Identity

ID de contrôle Google CI-CO-6.8
Implémentation Recommandé
Description

Pour éviter d'accorder un accès excessif à Google Cloud, bloquez l'accès à Cloud Shell pour les comptes utilisateur gérés Cloud Identity.
Produits applicables
  • Cloud Identity
  • Cloud Shell
Contrôles NIST-800-53 associés
  • SC-7
  • SC-8
Commandes associées du profil CRI
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Informations connexes

Configurer l'accès contextuel pour les consoles Google

ID de contrôle Google IAM-CO-8.2
Implémentation Facultatif
Description

Grâce à l'accès contextuel, vous pouvez créer des règles de sécurité précises pour le contrôle des accès aux applications, sur la base d'attributs comme l'identité des utilisateurs, le lieu, le niveau de sécurité des appareils et l'adresse IP. Nous vous recommandons d'utiliser l'accès contextuel pour limiter l'accès à la console Google Cloud (https://console.cloud.google.com/) et à la console d'administration Google (https://admin.cloud.google.com).
Produits applicables
  • Cloud Identity
  • Accès contextuel
Contrôles NIST-800-53 associés
  • AC-3
  • AC-12
  • AC-17
  • AC-20
  • SC-7
  • SC-8
Commandes associées du profil CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Informations connexes

Bloquer l'autorécupération de comptes super-administrateur

ID de contrôle Google CI-CO-6.3
Implémentation Facultatif
Description
Un pirate informatique pourrait utiliser la procédure d'autorécupération pour réinitialiser les mots de passe des super-administrateurs. Pour atténuer les risques de sécurité associés aux attaques Signaling System 7 (SS7), aux attaques par échange de carte SIM ou à d'autres attaques par hameçonnage, nous vous recommandons de désactiver cette fonctionnalité. Pour désactiver cette fonctionnalité, accédez aux paramètres de récupération de compte dans la console d'administration Google.
Produits applicables
  • Cloud Identity
  • Google Workspace
Contrôles NIST-800-53 associés
  • IA-2
  • IA-4
  • IA-5
Commandes associées du profil CRI
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
Informations connexes

Désactiver les services Google inutilisés

ID de contrôle Google CI-CO-6.6
Implémentation Facultatif
Description
En général, nous vous recommandons de désactiver les services que vous n'utiliserez pas.
Produits applicables
  • Cloud Identity
Chemin d'accès http://admin.google.com > Apps > Additional Google Services
Opérateur Setting
Valeur
  • False
Contrôles NIST-800-53 associés
  • SC-7
  • SC-8
Commandes associées du profil CRI
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Informations connexes

Organisation

Cette section inclut les bonnes pratiques et les consignes concernant le service de règles d'administration et Resource Manager lors de l'exécution de charges de travail d'IA générative sur Google Cloud.

Restreindre les versions TLS compatibles avec les API Google

ID de contrôle Google COM-CO-1.1
Implémentation Obligatoire
Description

Google Cloud est compatible avec plusieurs versions du protocole TLS. Pour répondre aux exigences de conformité, vous pouvez refuser les demandes d'établissement de liaison des clients qui utilisent d'anciennes versions de TLS.

Pour configurer ce contrôle, utilisez la contrainte de règle d'administration Limiter les versions TLS (gcp.restrictTLSVersion). Vous pouvez appliquer cette contrainte aux organisations, aux dossiers ou aux projets dans la hiérarchie des ressources. La contrainte Restreindre les versions TLS utilise une liste d'interdiction, qui refuse les valeurs explicites et autorise toutes les autres. Une erreur se produit si vous essayez d'utiliser une liste d'autorisation.

En raison du comportement de l'évaluation de la hiérarchie des règles d'administration, la restriction de version TLS s'applique au nœud de ressource spécifié et à tous ses dossiers et projets (enfants). Par exemple, si vous refusez la version 1.0 de TLS pour une organisation, elle est également refusée pour tous les enfants qui en dépendent.

Vous pouvez remplacer la restriction de version TLS héritée en modifiant la règle d'administration sur une ressource enfant. Par exemple, si votre règle d'administration refuse TLS 1.0 au niveau de l'organisation, vous pouvez supprimer la restriction pour un dossier enfant en définissant une règle d'administration distincte pour ce dossier. Si le dossier comporte des enfants, la règle du dossier sera également appliquée à chaque ressource enfant en raison de l'héritage des règles.

Pour limiter davantage la version TLS à TLS 1.3 uniquement, vous pouvez définir cette règle pour limiter également la version TLS 1.2. Vous devez implémenter ce contrôle sur les applications que vous hébergez dans Google Cloud. Par exemple, au niveau de l'organisation, définissez :

["TLS_VERSION_1","TLS_VERSION_1.1","TLS_VERSION_1.2"]
Produits applicables
  • Tous ; géré par le service de règles d'administration
Chemin d'accès gcp.restrictTLSVersion
Opérateur ==
Valeur
  • TLS_VERSION_1
  • TLS_VERSION_1.1
Type Chaîne
ID de contrôle Compliance Manager RESTRICT_LEGACY_TLS_VERSIONS
Contrôles NIST-800-53 associés
  • SC-8
  • SC-13
Commandes associées du profil CRI
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informations connexes

Restreindre les comptes principaux autorisés

ID de contrôle Google COM-CO-4.1
Implémentation Obligatoire
Description

Assurez-vous que seules les identités de votre organisation sont autorisées dans votre environnement Google Cloud . Utilisez la contrainte de règle d'administration Partage restreint au domaine (iam.allowedPolicyMemberDomains) ou iam.managed.allowedPolicyMembers pour définir un ou plusieurs ID client Cloud Identity ou Google Workspace dont les comptes principaux peuvent être ajoutés aux stratégies Identity and Access Management (IAM).

Ces contraintes permettent d'empêcher les employés d'accorder l'accès à des comptes externes qui ne respectent pas les règles de sécurité de votre organisation concernant l'authentification multifacteur (MFA) ou la gestion des mots de passe. Ce contrôle est essentiel pour empêcher les accès non autorisés et s'assurer que seules les identités d'entreprise gérées et fiables peuvent être utilisées.
Produits applicables
  • Service de règles d'administration
  • IAM
Chemin d'accès constraints/iam.allowedPolicyMemberDomains
Opérateur Is
Valeur
  • CUSTOMER_ID,ORG_ID
Type Liste
Contrôles NIST-800-53 associés
  • AC-3
  • AC-17
  • AC-20
Commandes associées du profil CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Informations connexes

Restreindre l'utilisation des services de ressources

ID de contrôle Google RM-CO-4.1
Implémentation Obligatoire
Description

La contrainte gcp.restrictServiceUsage garantit que seuls vos services Google Cloud approuvés sont utilisés aux bons endroits. Par exemple, un dossier de production ou très sensible dispose d'une petite liste de services Google Cloud autorisés à stocker des données. Un dossier sandbox peut contenir une liste plus longue de services et de contrôles de sécurité des données associés pour empêcher l'exfiltration de données. La valeur est spécifique à vos systèmes et correspond à la liste approuvée de services et de dépendances pour des dossiers et projets spécifiques.

Cette contrainte permet à votre organisation de créer une liste d'autorisation des services approuvés, ce qui permet d'empêcher les employés d'utiliser des services non vérifiés.
Produits applicables
  • Service de règles d'administration
  • Resource Manager
Chemin d'accès constraints/gcp.restrictServiceUsage
Opérateur Is
Contrôles NIST-800-53 associés
  • AC-3
  • AC-17
  • AC-20
Commandes associées du profil CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Informations connexes

Limiter les emplacements de ressources

ID de contrôle Google RM-CO-4.2
Implémentation Obligatoire
Description

La contrainte de restriction d'emplacement des ressources (gcp.resourceLocations) garantit que seules vos régions approuvées Google Cloud sont utilisées pour stocker les données. La valeur est spécifique à vos systèmes et correspond à la liste des régions approuvées par votre organisation pour la résidence des données.

Cette contrainte permet à votre organisation de s'assurer que vos ressources et vos données ne sont créées et enregistrées que dans des régions géographiques spécifiques approuvées.
Produits applicables
  • Service de règles d'administration
  • Resource Manager
Chemin d'accès constraints/gcp.resourceLocations
Opérateur Is
Contrôles NIST-800-53 associés
  • AC-3
  • AC-17
  • AC-20
Commandes associées du profil CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Informations connexes

Mise en réseau

Cette section inclut les bonnes pratiques et les consignes pour le cloud privé virtuel (VPC) et Cloud DNS lors de l'exécution de charges de travail d'IA générative sur Google Cloud.

Bloquer la création du réseau par défaut

ID de contrôle Google VPC-CO-6.1
Implémentation Obligatoire
Description

La contrainte booléenne compute.skipDefaultNetworkCreation permet d'ignorer la création du réseau par défaut et des ressources associées lors de la création de projets Google Cloud .

Le réseau par défaut est un réseau cloud privé virtuel (VPC) en mode automatique avec des règles de pare-feu IPv4 préremplies pour autoriser les chemins de communication internes. En général, cette configuration n'est pas recommandée pour la sécurité des environnements de production.
Produits applicables
  • Service de règles d'administration
  • Cloud privé virtuel (VPC)
Chemin d'accès constraints/compute.skipDefaultNetworkCreation
Valeur
  • True
Type Booléen
Contrôles NIST-800-53 associés
  • SC-7
  • SC-8
Commandes associées du profil CRI
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Informations connexes

Activer les extensions de sécurité DNS

ID de contrôle Google DNS-CO-6.1
Implémentation Obligatoire
Description

Les extensions de sécurité DNS (DNSSEC, Domain Name System Security Extensions) sont une fonctionnalité du système DNS qui authentifie les réponses aux recherches de noms de domaine. Elle n'offre aucune protection de la confidentialité pour ces recherches, mais empêche les pirates informatiques de manipuler ou de contaminer les réponses aux requêtes DNS.

Dans Cloud DNS, activez DNSSEC aux emplacements suivants :

  • Zone DNS
  • Domaine de premier niveau (TLD)
  • Résolution DNS
Produits applicables
  • Cloud DNS
Contrôles NIST-800-53 associés
  • SC-7
  • SC-8
Commandes associées du profil CRI
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Informations connexes

Activer la restriction du champ d'application du service dans les règles d'accès Access Context Manager

ID de contrôle Google COM-CO-8.1
Implémentation Recommandations pour l'IA générative sur les cas d'utilisation
Description

Pour chaque périmètre de service, vérifiez dans la console Google Cloud que le type de périmètre est défini sur "Standard".
Produits applicables
  • Access Context Manager
  • VPC Service Controls
Chemin d'accès accesscontextmanager.accessPolicies.servicePerimeters/perimeterType
Opérateur ==
Valeur
  • PERIMETER_TYPE_REGULAR
Type Chaîne
Contrôles NIST-800-53 associés
  • SC-7
  • SC-8
Commandes associées du profil CRI
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Informations connexes

Restreindre les API dans les périmètres de service VPC Service Controls

ID de contrôle Google COM-CO-8.2
Implémentation Recommandations pour l'IA générative sur les cas d'utilisation
Description

Pour chaque périmètre de service, utilisez Access Context Manager pour confirmer que le périmètre protège l'API.
Produits applicables
  • VPC Service Controls
  • Access Context Manager
Chemin d'accès accesscontextmanager.accessPolicies.servicePerimeters/status.restrictedServices
Opérateur Anyof
Valeur
  • aiplatform.googleapis.com
  • artifactregistry.googleapis.com
  • bigquery.googleapis.com
  • cloudasset.googleapis.com
  • cloudbuild.googleapis.com
  • cloudfunctions.googleapis.com
  • cloudresourcemanager.googleapis.com
  • containeranalysis.googleapis.com
  • discoveryengine.googleapis.com
  • dns.googleapis.com
  • notebooks.googleapis.com
  • ondemandscanning.googleapis.com
  • orgpolicy.googleapis.com
  • pubsub.googleapis.com
  • secretmanager.googleapis.com
  • storage.googleapis.com
  • visionai.googleapis.com
Type Chaîne
Contrôles NIST-800-53 associés
  • SC-7
  • SC-8
Commandes associées du profil CRI
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Informations connexes

Utiliser un DNS zonal

ID de contrôle Google DNS-CO-4.1
Implémentation Facultatif
Description

La contrainte booléenne compute.setNewProjectDefaultToZonalDNSOnly vous permet de définir le paramètre DNS interne des nouveaux projets sur le DNS zonal uniquement. Utilisez le DNS zonal, car il offre une fiabilité supérieure à celle des zones individuelles, car il isole les défaillances de l'enregistrement DNS .
Produits applicables
  • Règle d'administration
Chemin d'accès constraints/compute.setNewProjectDefaultToZonalDNSOnly
Opérateur =
Valeur
  • True
Type Booléen
Contrôles NIST-800-53 associés
  • AC-3
  • AC-17
  • AC-20
Commandes associées du profil CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Informations connexes

Journalisation, surveillance, alertes

Cette section inclut les bonnes pratiques et les consignes pour les services de journalisation et d'audit dans Google Cloud , ainsi que la configuration des alertes pour les services tels que Cloud Billing.

Partager les journaux d'audit depuis Cloud Identity

ID de contrôle Google CI-CO-6.5
Implémentation Obligatoire
Description

Si vous utilisez Cloud Identity, partagez les journaux d'audit de Cloud Identity avec Google Cloud.

En règle générale, les journaux d'audit pour les activités d'administration de Google Workspace ou Cloud Identity sont affichés et gérés dans la console d'administration Google séparément de vos journaux dans votre environnement Google Cloud . Ces journaux contiennent des informations pertinentes pour votre environnement Google Cloud , telles que des événements de connexion utilisateur.

Nous vous recommandons de partager les journaux d'audit Cloud Identity avec votre environnement Google Cloud pour gérer les journaux de manière centralisée à partir de toutes les sources.
Produits applicables
  • Google Workspace
  • Cloud Logging
  • Cloud Identity
Contrôles NIST-800-53 associés
  • AC-2
  • AC-3
  • AC-8
  • AC-9
Commandes associées du profil CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
Informations connexes

Utiliser les journaux d'audit

ID de contrôle Google COM-CO-7.3
Implémentation Obligatoire
Description

Les servicesGoogle Cloud génèrent des entrées dans les journaux d'audit pour répondre à la question "qui a fait quoi, où et quand ?" avec les ressources Google Cloud .

Activez la journalisation d'audit au niveau de l'organisation. Vous pouvez configurer la journalisation à l'aide du pipeline que vous utilisez pour configurer l'organisation Google Cloud .
Produits applicables
  • Cloud Audit Logs
Contrôles NIST-800-53 associés
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Commandes associées du profil CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informations connexes

Activer les journaux de flux VPC

ID de contrôle Google COM-CO-7.4
Implémentation Obligatoire
Description

Les journaux de flux VPC enregistrent un échantillon des flux réseau envoyés et reçus par les instances de VM, y compris celles utilisées comme nœuds Google Kubernetes Engine (GKE). Il correspond généralement à 50 % ou moins des flux du réseau VPC.

Lorsque vous activez les journaux de flux VPC, vous activez la journalisation pour toutes les VM d'un sous-réseau. Cependant, vous pouvez réduire la quantité d'informations écrites dans Logging.

Activez les journaux de flux VPC pour chaque sous-réseau VPC. Vous pouvez configurer la journalisation à l'aide d'un pipeline que vous utilisez pour créer un projet.
Produits applicables
  • Cloud privé virtuel
Contrôles NIST-800-53 associés
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Commandes associées du profil CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informations connexes

Activer la journalisation des règles de pare-feu

ID de contrôle Google COM-CO-7.5
Implémentation Obligatoire
Description

Par défaut, les règles de pare-feu n'écrivent pas automatiquement de journaux.La journalisation des règles de pare-feu vous permet d'auditer, de vérifier et d'analyser les effets de vos règles de pare-feu. Par exemple, vous pouvez déterminer si une règle de pare-feu conçue pour refuser le trafic fonctionne comme prévu. La journalisation est également utile si vous souhaitez déterminer le nombre de connexions affectées par une règle de pare-feu donnée.

Activez la journalisation pour chaque règle de pare-feu. Vous pouvez configurer la journalisation à l'aide d'un pipeline que vous utilisez pour créer un pare-feu.
Produits applicables
  • Cloud privé virtuel
Contrôles NIST-800-53 associés
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Commandes associées du profil CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informations connexes

Activer les journaux d'audit des accès aux données

ID de contrôle Google COM-CO-7.2
Implémentation Recommandé pour certains cas d'utilisation
Description

Pour savoir qui a accédé aux données dans votre environnement Google Cloud , activez les journaux d'audit des accès aux données. Ces journaux enregistrent les appels d'API qui lisent, créent ou modifient les données utilisateur, ainsi que les appels d'API qui lisent les configurations de ressources.

Nous vous recommandons vivement d'activer les journaux d'audit d'accès aux données pour les modèles d'IA générative et les données sensibles afin de pouvoir vérifier qui a lu les informations. Pour utiliser les journaux d'audit pour l'accès aux données, vous devez configurer votre propre logique de détection personnalisée pour des activités spécifiques, comme les connexions des super-administrateurs.

Le volume des journaux d'audit pour l'accès aux données peut être important. Lorsque vous activez les journaux d'accès aux données, l'utilisation de journaux supplémentaires peut être facturée pour votre projet Google Cloud .
Produits applicables
  • Cloud Audit Logs
Contrôles NIST-800-53 associés
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Commandes associées du profil CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informations connexes

Configurer des alertes de facturation

ID de contrôle Google CB-CO-6.1
Implémentation Recommandé
Description

Évitez les mauvaises surprises sur votre facture en créant des budgets Cloud Billing pour surveiller tous vos frais Google Cloud depuis un seul et même endroit. Une fois que vous avez fixé un montant pour votre budget, définissez les règles fixant des seuils d'alertes budgétaires pour chaque projet afin de déclencher des notifications par e-mail. Ces notifications vous aident à suivre vos dépenses par rapport à votre budget. Vous pouvez également utiliser les budgets Cloud Billing pour automatiser les réponses de contrôle des coûts.
Produits applicables
  • Cloud Billing
Contrôles NIST-800-53 associés
  • SI-4
  • SI-5
Commandes associées du profil CRI
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
  • ID.RA-1.1
  • ID.RA-2.1
  • ID.RA-3.1
  • ID.RA-3.2
  • ID.RA-3.3
Informations connexes

Activer les journaux Access Transparency

ID de contrôle Google COM-CO-7.7
Implémentation Facultatif
Description

Les journaux standards vous indiquent ce que font les utilisateurs de votre organisation, tandis que les journaux Access Transparency indiquent ce que fait l'équipe d'assistance Google lorsqu'elle accède au compte. Cet accès n'est généralement accordé qu'en réponse à une demande d'assistance. Les journaux Access Transparency fournissent une piste d'audit complète et vérifiable de tous les accès, ce qui est essentiel pour répondre aux exigences strictes en termes de conformité et de gouvernance des données.

Vous pouvez activer Access Transparency au niveau de l'organisation.
Produits applicables
  • Access Transparency
Contrôles NIST-800-53 associés
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Commandes associées du profil CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informations connexes

Exporter les données de facturation pour une analyse détaillée

ID de contrôle Google CB-CO-6.2
Implémentation Facultatif
Description

Pour une analyse plus approfondie de la facturation, vous pouvez exporter les données de facturation Google Cloud vers BigQuery ou un fichier JSON. Par exemple, vous pouvez exporter automatiquement des données détaillées (comme l'utilisation, les estimations de coûts et les tarifs) tout au long de la journée vers un ensemble de données BigQuery que vous spécifiez. Vous pouvez ensuite accéder à vos données Cloud Billing depuis BigQuery pour une analyse détaillée ou utiliser un outil tel que Looker Studio pour les visualiser.
Produits applicables
  • Service de transfert de données BigQuery
  • BigQuery
  • Cloud Billing
Contrôles NIST-800-53 associés
  • SI-4
  • SI-5
Commandes associées du profil CRI
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
  • ID.RA-1.1
  • ID.RA-2.1
  • ID.RA-3.1
  • ID.RA-3.2
  • ID.RA-3.3
Informations connexes

Gestion des clés et des secrets

Cette section inclut les bonnes pratiques et les consignes pour Cloud Key Management Service et Secret Manager lorsque vous exécutez des charges de travail d'IA générative surGoogle Cloud.

Chiffrer les données au repos dans Google Cloud

ID de contrôle Google COM-CO-2.1
Implémentation Obligatoire (par défaut)
Description

Toutes les données dans Google Cloud sont chiffrées au repos par défaut à l'aide d'algorithmes approuvés par le NIST.
Produits applicables
  • Google Cloud par défaut
Contrôles NIST-800-53 associés
  • SC-28
Commandes associées du profil CRI
  • PR.DS-1.1
  • PR.DS-1.2
Informations connexes

Utiliser des algorithmes approuvés par le NIST pour le chiffrement et le déchiffrement

ID de contrôle Google COM-CO-2.4
Implémentation Obligatoire
Description

Assurez-vous que Cloud Key Management Service (Cloud KMS) n'utilise que des algorithmes approuvés par le NIST pour stocker les clés sensibles dans l'environnement. Ce contrôle garantit une utilisation sécurisée des clés en n'autorisant que les algorithmes et les mesures de sécurité approuvés par le NIST. Le champ CryptoKeyVersionAlgorithm est une liste d'autorisation fournie.

Supprimez les algorithmes qui ne respectent pas les règles de votre organisation.
Produits applicables
  • Cloud KMS
Chemin d'accès cloudkms.projects.locations.keyRings.cryptoKeys/versionTemplate.algorithm
Opérateur in
Valeur
  • RSA_SIGN_PSS_2048_SHA256
  • RSA_SIGN_PSS_3072_SHA256
  • RSA_SIGN_PSS_4096_SHA256
  • RSA_DECRYPT_OAEP_2048_SHA256
  • RSA_DECRYPT_OAEP_4096_SHA256
  • RSA_DECRYPT_OAEP_2048_SHA1
  • RSA_DECRYPT_OAEP_4096_SHA1
Type Chaîne
Contrôles NIST-800-53 associés
  • SC-12
  • SC-13
Commandes associées du profil CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informations connexes

Définir l'objectif des clés Cloud KMS

ID de contrôle Google COM-CO-2.5
Implémentation Obligatoire
Description

Définissez l'objectif des clés Cloud KMS sur ENCRYPT_DECRYPT afin que les clés ne soient utilisées que pour chiffrer et déchiffrer les données. Ce contrôle bloque d'autres fonctions, telles que la signature, et garantit que les clés ne sont utilisées que pour l'usage prévu. Si vous utilisez des clés pour d'autres fonctions, validez ces cas d'utilisation et envisagez de créer des clés supplémentaires.
Produits applicables
  • Cloud KMS
Chemin d'accès cloudkms.projects.locations.keyRings.cryptoKeys/purpose
Opérateur ==
Valeur
  • ENCRYPT_DECRYPT
Type Chaîne
Contrôles NIST-800-53 associés
  • SC-12
  • SC-13
Commandes associées du profil CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informations connexes

Assurez-vous que les paramètres CMEK sont appropriés pour sécuriser les entrepôts de données BigQuery

ID de contrôle Google COM-CO-2.6
Implémentation Obligatoire
Description

Le niveau de protection indique comment sont effectuées les opérations de chiffrement. Une fois que vous avez créé une clé de chiffrement gérée par le client (CMEK), vous ne pouvez plus modifier le niveau de protection. Voici les niveaux de protection acceptés :

  • LOGICIEL : les opérations de chiffrement sont effectuées dans le logiciel.
  • HSM : les opérations de chiffrement sont effectuées dans un module de sécurité matériel (HSM).
  • EXTERNAL : les opérations de chiffrement sont effectuées à l'aide d'une clé stockée dans un gestionnaire de clés externe connecté à Google Cloud via Internet. Limité au chiffrement symétrique et à la signature asymétrique.
  • EXTERNAL_VPC: : les opérations de chiffrement sont effectuées à l'aide d'une clé stockée dans un gestionnaire de clés externe connecté à Google Cloud via un réseau de cloud privé virtuel (VPC). Limité au chiffrement symétrique et à la signature asymétrique.
Produits applicables
  • Cloud KMS
  • BigQuery
Chemin d'accès cloudkms.projects.locations.keyRings.cryptoKeys/primary.protectionLevel
Opérateur in
Valeur
  • []
Type Chaîne
Contrôles NIST-800-53 associés
  • SC-12
  • SC-13
Commandes associées du profil CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informations connexes

Alterner la clé de chiffrement tous les 90 jours

ID de contrôle Google COM-CO-2.7
Implémentation Obligatoire
Description

Assurez-vous que la période de rotation de vos clés Cloud KMS est définie sur 90 jours. Une bonne pratique générale consiste à alterner régulièrement vos clés de sécurité. Cette commande applique la rotation des clés créées avec les services HSM.

Lorsque vous créez cette période de rotation, créez également des règles et des procédures appropriées pour gérer de manière sécurisée la création, la suppression et la modification du matériel de clé afin de protéger vos informations et d'assurer leur disponibilité. Assurez-vous que cette période respecte les règles de votre entreprise concernant la rotation des clés.
Produits applicables
  • Cloud KMS
Chemin d'accès cloudkms.projects.locations.keyRings.cryptoKeys/rotationPeriod
Opérateur <=
Valeur
  • 90
Type int32
Contrôles NIST-800-53 associés
  • SC-12
  • SC-13
Commandes associées du profil CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informations connexes

Configurer la rotation automatique des secrets

ID de contrôle Google SM-CO-6.2
Implémentation Obligatoire
Description
Alternez les secrets automatiquement et mettez en place des procédures de rotation d'urgence en cas de compromis.
Produits applicables
  • Secret Manager
Contrôles NIST-800-53 associés
  • SC-12
  • SC-13
Commandes associées du profil CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informations connexes

Utiliser CMEK pour les messages Pub/Sub

ID de contrôle Google PS-CO-6.1
Implémentation Recommandé
Description
Lorsque vous activez les clés de chiffrement gérées par le client (CMEK) pour Pub/Sub, vous obtenez un meilleur contrôle sur les clés de chiffrement que Pub/Sub utilise pour protéger vos messages. Au niveau de la couche d'application, Pub/Sub chiffre individuellement les messages entrants dès leur réception. Avant que Pub/Sub ne publie les messages dans un abonnement, il les chiffre à l'aide de la clé de chiffrement des données (DEK) la plus récente ayant été générée pour le sujet. Pub/Sub déchiffre les messages peu de temps avant qu'ils ne soient distribués aux abonnés. Pub/Sub utilise un compte de service Google Cloud pour accéder à Cloud Key Management Service. Le compte de service est géré en interne par Pub/Sub pour chaque projet. Il ne s'affiche pas dans votre liste de comptes de service.
Produits applicables
  • Cloud KMS
  • Pub/Sub
Contrôles NIST-800-53 associés
  • SC-12
  • SC-13
Commandes associées du profil CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informations connexes

Restreindre l'emplacement des clés de chiffrement gérées par le client

ID de contrôle Google COM-CO-2.2
Implémentation Recommandé
Description

Utilisez la contrainte de règle d'administration Limiter les projets susceptibles de fournir des CryptoKeys de services de gestion des clés comme CMEK (gcp.restrictCmekCryptoKeyProjects) pour définir les projets pouvant stocker des clés de chiffrement gérées par le client (CMEK). Cette contrainte vous permet de centraliser la gouvernance et la gestion des clés de chiffrement. Si une clé sélectionnée ne respecte pas cette contrainte, la création de la ressource échoue.

Pour modifier cette contrainte, les administrateurs ont besoin du rôle IAM Administrateur des règles d'administration (roles/orgpolicy.policyAdmin).

Si vous souhaitez ajouter une deuxième couche de protection, comme "apportez votre propre clé", modifiez cette contrainte pour représenter les noms de clés de la clé CMEK activée.

Spécificités du produit :

  • Dans Vertex AI, vous stockez vos clés dans le projet PROJETS DE CLÉS.
Produits applicables
  • Cloud KMS
  • Règles d'administration
Chemin d'accès constraints/gcp.restrictCmekCryptoKeyProjects
Opérateur notexists
Valeur
  • KEY PROJECTS
Type Chaîne
Contrôles NIST-800-53 associés
  • SC-12
  • SC-13
Commandes associées du profil CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informations connexes

Utiliser CMEK pour les services Google Cloud

ID de contrôle Google COM-CO-2.3
Implémentation Recommandé
Description

Si vous avez besoin de davantage de contrôle sur les opérations de clé que ne le permet Google-owned and Google-managed encryption keys , vous pouvez utiliser les clés de chiffrement gérées par le client (CMEK). Ces clés sont créées et gérées à l'aide de Cloud KMS. Stockez les clés sous forme de clés logicielles, dans un cluster HSM ou dans un système de gestion de clés externe.

Les taux de chiffrement et de déchiffrement de Cloud KMS sont soumis à des quotas.

Spécificités de Cloud Storage

Dans Cloud Storage, utilisez des CMEK sur des objets individuels ou configurez vos buckets Cloud Storage pour qu'ils utilisent une CMEK par défaut sur tous les nouveaux objets ajoutés à un bucket. Lorsque vous utilisez une clé CMEK, un objet est chiffré avec la clé par Cloud Storage au moment de son stockage dans un bucket. L'objet est automatiquement déchiffré par Cloud Storage lorsqu'il est destiné aux demandeurs.

Les restrictions suivantes s'appliquent lorsque vous utilisez des clés CMEK avec Cloud Storage :

  • Vous ne pouvez pas chiffrer un objet avec une clé CMEK en mettant à jour les métadonnées de cet objet. À la place, incluez la clé dans le cadre d'une réécriture de l'objet.
  • Votre Cloud Storage utilise la commande d'actualisation des objets pour définir des clés de chiffrement sur les objets, mais la commande réécrit l'objet dans le cadre de la requête.
  • Vous devez créer le trousseau de clés Cloud KMS au même emplacement que celui des données que vous souhaitez chiffrer. Par exemple, si votre bucket est situé dans us-east1, les trousseaux de clés utilisés pour chiffrer des objets dans ce bucket doivent également être créés dans us-east1.
  • Pour la plupart des régions doubles, vous devez créer le trousseau de clés Cloud KMS dans la région multirégionale associée. Par exemple, si votre bucket est situé dans la paire us-east1, us-west1, tout trousseau de clés utilisé pour chiffrer des objets dans ce bucket doit être créé dans la multirégion États-Unis.
  • Pour les emplacements birégionaux prédéfinis asia1, eur4 et nam4, vous devez créer le trousseau de clés dans l'emplacement birégional prédéfini.
  • La somme de contrôle CRC32C et le hachage MD5 des objets chiffrés avec des clés CMEK ne sont pas renvoyés lorsque vous listez des objets avec l'API JSON.
  • L'utilisation d'outils tels que Cloud Storage pour effectuer des requêtes GET de métadonnées supplémentaires sur chaque objet de chiffrement afin de récupérer les informations CRC32C et MD5 peut réduire considérablement la durée de l'opération de listage. Cloud Storage ne peut pas utiliser la partie servant au déchiffrement des clés asymétriques stockées dans Cloud KMS pour déchiffrer automatiquement les objets concernés de la même manière que les CMEK.
Produits applicables
  • Cloud KMS
  • Règles d'administration
  • Cloud Storage
Chemin d'accès constraints/gcp.restrictNonCmekServices
Opérateur ==
Valeur
  • bigquery.googleapis.com
  • storage.googleapis.com
  • aiplatform.googleapis.com
Type Chaîne
Contrôles NIST-800-53 associés
  • SC-12
  • SC-13
Commandes associées du profil CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informations connexes

Répliquer automatiquement les secrets

ID de contrôle Google SM-CO-6.1
Implémentation Recommandé
Description
Choisissez la règle de réplication automatique pour répliquer vos secrets, sauf si votre charge de travail a des exigences d'emplacement spécifiques. La règle automatique répond aux exigences de disponibilité et de performances de la plupart des charges de travail. Si votre charge de travail impose des exigences d'emplacement spécifiques, vous pouvez utiliser l'API pour sélectionner les emplacements de la règle de réplication lorsque vous créez le secret.
Produits applicables
  • Secret Manager
Contrôles NIST-800-53 associés
  • SC-12
  • SC-13
Commandes associées du profil CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informations connexes

Stratégie de sécurité et analyse

Ce document inclut les bonnes pratiques et les consignes à suivre pour Security Command Center lorsque vous exécutez des charges de travail d'IA générative sur Google Cloud.

Activer Security Command Center au niveau de l'organisation

ID de contrôle Google SCC-CO-6.1
Implémentation Obligatoire
Description
Activez Security Command Center au niveau de l'organisation pour éviter toute configuration supplémentaire. Si vous ne souhaitez pas utiliser Security Command Center, vous devez activer une autre solution de gestion de la posture.
Produits applicables
  • Security Command Center
Contrôles NIST-800-53 associés
  • SI-4
  • SI-5
Commandes associées du profil CRI
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
  • ID.RA-1.1
  • ID.RA-2.1
  • ID.RA-3.1
  • ID.RA-3.2
  • ID.RA-3.3
Informations connexes

Configurer les alertes de Security Command Center

ID de contrôle Google SCC-CO-7.1
Implémentation Recommandé
Description
Les alertes de Security Command Center vous permettent de mieux comprendre votre organisation et vous informent des problèmes liés à vos services Google Cloud afin que vous puissiez prendre les mesures appropriées. Vous pouvez configurer des alertes dans Cloud Logging pour recevoir des notifications sur les erreurs liées à l'agent de service Security Command Center (service-org-ORGANIZATION_NUMBER@security-center-api.iam.gserviceaccount.com).
Produits applicables
  • Security Command Center
  • Journalisation
Contrôles NIST-800-53 associés
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Commandes associées du profil CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informations connexes

Étapes suivantes