Controles de base empresarial seguros para casos de uso de IA generativa

Este documento inclui as práticas recomendadas e diretrizes para criar uma base empresarial segura ao executar cargas de trabalho de IA generativa que usam o Google Cloud. Uma base empresarial segura inclui controles para o seguinte:

Autenticação e autorização

Esta seção inclui as práticas recomendadas e diretrizes para o Identity and Access Management (IAM) e o Cloud Identity ao executar cargas de trabalho de IA generativa no Google Cloud.

Desativar concessões automáticas do IAM para contas de serviço padrão

ID de controle do Google IAM-CO-4.1
Implementação Obrigatório
Descrição

Use a restrição booleana automaticIamGrantsForDefaultServiceAccounts para desativar as concessões automáticas de papéis quando os serviços do Google Cloud criam automaticamente contas de serviço padrão com papéis excessivamente permissivos.

Por padrão, alguns sistemas concedem permissões muito amplas a contas automatizadas, o que é um possível risco à segurança. Por exemplo, se você não aplicar essa restrição e criar uma conta de serviço padrão, ela vai receber automaticamente o papel de editor (roles/editor) no projeto. Se um invasor comprometer uma única parte do sistema, ele poderá assumir o controle de todo o projeto. Essa restrição desativa as permissões automáticas de alto nível, forçando uma abordagem mais segura e deliberada em que apenas as permissões mínimas necessárias são concedidas.
Produtos aplicáveis
  • IAM
  • Serviço de política da organização
Caminho constraints/iam.automaticIamGrantsForDefaultServiceAccounts
Operador Is
Valor
  • False
Tipo Booleano
Controles relacionados do NIST-800-53
  • AC-3
  • AC-17
  • AC-20
Controles relacionados ao perfil de CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Informações relacionadas

Bloquear a criação de chaves de conta de serviço externas

ID de controle do Google IAM-CO-4.2
Implementação Obrigatório
Descrição

Use a restrição booleana iam.disableServiceAccountKeyCreation para desativar a criação de chaves de conta de serviço externas. Com essa restrição, é possível controlar o uso de credenciais de longo prazo não gerenciadas para contas de serviço. Quando essa restrição é definida, não é possível criar credenciais gerenciadas pelo usuário para contas de serviço em projetos afetados por ela.
Produtos aplicáveis
  • Serviço de política da organização
  • IAM
Caminho constraints/iam.disableServiceAccountKeyCreation
Operador Is
Valor
  • True
Tipo Booleano
Controles relacionados do NIST-800-53
  • AC-3
  • AC-17
  • AC-20
Controles relacionados ao perfil de CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Informações relacionadas

Bloquear uploads de chaves de conta de serviço

ID de controle do Google IAM-CO-4.3
Implementação Obrigatório
Descrição

Use a restrição booleana iam.disableServiceAccountKeyUpload para desativar o upload de chaves públicas externas para contas de serviço. Quando essa restrição é definida, os usuários não podem fazer upload de chaves públicas para contas de serviço em projetos afetados pela restrição.
Produtos aplicáveis
  • Serviço de política da organização
  • IAM
Caminho constraints/iam.disableServiceAccountKeyUpload
Operador Is
Valor
  • True
Tipo Booleano
Controles relacionados do NIST-800-53
  • AC-3
  • AC-17
  • AC-20
Controles relacionados ao perfil de CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Informações relacionadas

Configurar a separação de tarefas para administradores de políticas da organização

ID de controle do Google OPS-CO-6.1
Implementação Obrigatório
Descrição
Atribua a função de administrador da política da organização (roles/orgpolicy.policyAdmin) aos grupos responsáveis pela postura de segurança da organização Google Cloud . Para evitar a criação de recursos que violem a política de segurança, não atribua essa função aos proprietários do projeto.
Produtos aplicáveis
  • IAM
  • Serviço de política da organização
Controles relacionados do NIST-800-53
  • AC-2
  • AC-3
  • AC-5
Controles relacionados ao perfil de CRI
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.DS-5.1
  • PR.PT-3.1
Informações relacionadas

Ativar a verificação em duas etapas para contas de superadministrador

ID de controle do Google CI-CO-6.1
Implementação Obrigatório
Descrição

O Google recomenda as chaves de segurança Titan para a verificação em duas etapas (2SV) em contas de superadministrador. No entanto, para casos de uso em que isso não é possível, recomendamos usar outra chave de segurança como alternativa.
Produtos aplicáveis
  • Cloud Identity
  • Chaves de segurança Titan
Controles relacionados do NIST-800-53
  • IA-2
  • IA-4
  • IA-5
  • IA-7
Controles relacionados ao perfil de CRI
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
Informações relacionadas

Aplicar a verificação em duas etapas na unidade organizacional do superadministrador

ID de controle do Google CI-CO-6.2
Implementação Obrigatório
Descrição

Aplique a verificação em duas etapas (2SV) a uma unidade organizacional (UO) específica ou a toda a organização. Recomendamos que você crie uma UO para superadministradores e implemente a verificação em duas etapas nessa UO.
Produtos aplicáveis
  • Cloud Identity
Controles relacionados do NIST-800-53
  • IA-2
  • IA-4
  • IA-5
  • IA-7
Controles relacionados ao perfil de CRI
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
Informações relacionadas

Criar um endereço de e-mail exclusivo para o superadministrador principal

ID de controle do Google CI-CO-6.4
Implementação Obrigatório
Descrição
Crie um endereço de e-mail que não seja específico de um usuário como a conta principal de superadministrador do Cloud Identity.
Produtos aplicáveis
  • Cloud Identity
Controles relacionados do NIST-800-53
  • IA-2
  • IA-4
  • IA-5
Controles relacionados ao perfil de CRI
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
Informações relacionadas

Criar contas de administrador redundantes

ID de controle do Google CI-CO-6.7
Implementação Obrigatório
Descrição

Não ter um único superadministrador ou administrador da organização. Crie uma ou mais contas de administrador de backup (até 20). Um único superadministrador ou administrador da organização pode resultar em cenários de bloqueio. Essa situação também acarreta um risco maior, já que uma pessoa pode fazer mudanças que alteram a plataforma, possivelmente sem supervisão.
Produtos aplicáveis
  • Identity and Access Management (IAM)
  • Google Workspace
  • Cloud Identity
Controles relacionados do NIST-800-53
  • IA-2
  • IA-4
  • IA-5
Controles relacionados ao perfil de CRI
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
Informações relacionadas

Implementar tags para atribuir com eficiência políticas do Identity and Access Management (IAM) e políticas da organização

ID de controle do Google IAM-CO-6.1
Implementação Recomendado
Descrição

As tags fornecem uma maneira de criar anotações para recursos e, em alguns casos, permitir ou negar políticas condicionalmente com base em um recurso ter uma tag específica. Use tags e aplicação condicional de políticas para ter um controle refinado em toda a hierarquia de recursos.
Produtos aplicáveis
  • Resource Manager
Controles relacionados do NIST-800-53
  • AC-2
  • AC-3
  • AC-5
Controles relacionados ao perfil de CRI
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.DS-5.1
  • PR.PT-3.1
Informações relacionadas

Auditar mudanças de alto risco no Identity and Access Management (IAM)

ID de controle do Google IAM-CO-7.1
Implementação Recomendado
Descrição

Use os Registros de auditoria do Cloud para monitorar atividades de alto risco, como contas recebendo papéis de alto risco, como administrador da organização e superadministrador. Configure alertas para esse tipo de atividade.
Produtos aplicáveis
  • Registros de auditoria do Cloud
Controles relacionados do NIST-800-53
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Controles relacionados ao perfil de CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informações relacionadas

Bloquear o acesso ao Cloud Shell para contas de usuário gerenciadas do Cloud Identity

ID de controle do Google CI-CO-6.8
Implementação Recomendado
Descrição

Para evitar conceder acesso excessivo a Google Cloud, bloqueie o acesso ao Cloud Shell para contas de usuário gerenciadas pelo Cloud Identity.
Produtos aplicáveis
  • Cloud Identity
  • Cloud Shell
Controles relacionados do NIST-800-53
  • SC-7
  • SC-8
Controles relacionados ao perfil de CRI
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Informações relacionadas

Configurar o acesso baseado no contexto para consoles do Google

ID de controle do Google IAM-CO-8.2
Implementação Opcional
Descrição

Com o acesso baseado no contexto, é possível criar políticas de segurança de controle de acesso granulares para aplicativos com base em atributos como identidade do usuário, local, status de segurança do dispositivo e endereço IP. Recomendamos que você use o Acesso baseado no contexto para restringir o acesso ao console Google Cloud (https://console.cloud.google.com/) e ao Google Admin Console (https://admin.cloud.google.com).
Produtos aplicáveis
  • Cloud Identity
  • Acesso baseado no contexto
Controles relacionados do NIST-800-53
  • AC-3
  • AC-12
  • AC-17
  • AC-20
  • SC-7
  • SC-8
Controles relacionados ao perfil de CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Informações relacionadas

Bloquear a recuperação de conta para superadministradores

ID de controle do Google CI-CO-6.3
Implementação Opcional
Descrição
Um invasor pode usar o processo de autorecuperação para redefinir senhas de superadministradores. Para reduzir os riscos de segurança associados a ataques do Sistema de Sinalização 7 (SS7), de troca de chip ou outros ataques de phishing, recomendamos que você desative esse recurso. Para desativar o recurso, acesse as configurações de recuperação de conta no Google Admin Console.
Produtos aplicáveis
  • Cloud Identity
  • Google Workspace
Controles relacionados do NIST-800-53
  • IA-2
  • IA-4
  • IA-5
Controles relacionados ao perfil de CRI
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
Informações relacionadas

Desativar os Serviços do Google que não são usados

ID de controle do Google CI-CO-6.6
Implementação Opcional
Descrição
Em geral, recomendamos desativar os serviços que você não vai usar.
Produtos aplicáveis
  • Cloud Identity
Caminho http://admin.google.com > Apps > Additional Google Services
Operador Setting
Valor
  • False
Controles relacionados do NIST-800-53
  • SC-7
  • SC-8
Controles relacionados ao perfil de CRI
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Informações relacionadas

Organização

Esta seção inclui as práticas recomendadas e diretrizes para o serviço de política da organização e o Resource Manager ao executar cargas de trabalho de IA generativa no Google Cloud.

Restringir as versões do TLS compatíveis com as APIs do Google

ID de controle do Google COM-CO-1.1
Implementação Obrigatório
Descrição

OGoogle Cloud é compatível com várias versões do protocolo TLS. Para atender aos requisitos de compliance, talvez seja necessário negar solicitações de handshake de clientes que usam versões mais antigas do TLS.

Para configurar esse controle, use a restrição da política da organização Restringir versões TLS (gcp.restrictTLSVersion). É possível aplicar essa restrição a organizações, pastas ou projetos na hierarquia de recursos. A restrição Restringir versões do TLS usa uma lista de bloqueio, que nega valores explícitos e permite todos os outros. Um erro vai ocorrer se você tentar usar uma lista de permissão.

Devido ao comportamento da avaliação da hierarquia de políticas da organização, a restrição de versão do TLS se aplica ao nó de recurso especificado e a todas as pastas e projetos (filhos) dele. Por exemplo, se você negar o TLS 1.0 para uma organização, ele também será negado para todos os filhos que descendem dela.

É possível substituir a restrição de versão do TLS herdada atualizando a política da organização em um recurso filho. Por exemplo, se a política da organização negar o TLS 1.0 no nível da organização, você poderá remover a restrição de uma pasta filha definindo uma política separada nessa pasta. Se a pasta tiver filhos, a política dela também será aplicada a cada recurso filho devido à herança de política.

Para restringir ainda mais a versão do TLS apenas ao TLS 1.3, defina essa política para também restringir a versão 1.2 do TLS. É preciso implementar esse controle em aplicativos hospedados no Google Cloud. Por exemplo, no nível da organização, defina:

["TLS_VERSION_1","TLS_VERSION_1.1","TLS_VERSION_1.2"]
Produtos aplicáveis
  • Todas; gerenciadas pelo Serviço de política da organização
Caminho gcp.restrictTLSVersion
Operador ==
Valor
  • TLS_VERSION_1
  • TLS_VERSION_1.1
Tipo String
ID do controle do Compliance Manager RESTRICT_LEGACY_TLS_VERSIONS
Controles relacionados do NIST-800-53
  • SC-8
  • SC-13
Controles relacionados ao perfil de CRI
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informações relacionadas

Restringir principais autorizados

ID de controle do Google COM-CO-4.1
Implementação Obrigatório
Descrição

Verifique se apenas as identidades da sua organização são permitidas no ambiente Google Cloud . Use a restrição de política da organização Compartilhamento restrito de domínio (iam.allowedPolicyMemberDomains) ou iam.managed.allowedPolicyMembers para definir um ou mais IDs de cliente do Cloud Identity ou do Google Workspace com principais que podem ser adicionados às políticas do Identity and Access Management (IAM).

Essas restrições ajudam a impedir que os funcionários concedam acesso a contas externas fora do controle da sua organização que não seguem as políticas de segurança para autenticação multifator (MFA) ou gerenciamento de senhas. Esse controle é essencial para evitar o acesso não autorizado e garantir que apenas identidades corporativas confiáveis e gerenciadas possam ser usadas.
Produtos aplicáveis
  • Serviço de política da organização
  • IAM
Caminho constraints/iam.allowedPolicyMemberDomains
Operador Is
Valor
  • CUSTOMER_ID,ORG_ID
Tipo Lista
Controles relacionados do NIST-800-53
  • AC-3
  • AC-17
  • AC-20
Controles relacionados ao perfil de CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Informações relacionadas

Restringir o uso do serviço de recursos

ID de controle do Google RM-CO-4.1
Implementação Obrigatório
Descrição

A restrição gcp.restrictServiceUsage garante que apenas os serviços aprovados Google Cloud sejam usados nos lugares certos. Por exemplo, uma pasta de produção ou altamente sensível tem uma pequena lista de serviços Google Cloud aprovados para armazenar dados. Uma pasta de sandbox pode ter uma lista maior de serviços e controles de segurança de dados para ajudar a evitar a exfiltração de dados. O valor é específico para seus sistemas e corresponde à sua lista aprovada de serviços e dependências para pastas e projetos específicos.

Com essa restrição, sua organização pode criar uma lista de permissões de serviços aprovados, o que ajuda a impedir que os funcionários usem serviços não testados.
Produtos aplicáveis
  • Serviço de política da organização
  • Resource Manager
Caminho constraints/gcp.restrictServiceUsage
Operador Is
Controles relacionados do NIST-800-53
  • AC-3
  • AC-17
  • AC-20
Controles relacionados ao perfil de CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Informações relacionadas

Restringir locais de recursos

ID de controle do Google RM-CO-4.2
Implementação Obrigatório
Descrição

A restrição de local do recurso (gcp.resourceLocations) garante que apenas as regiões Google Cloud aprovadas sejam usadas para armazenar dados. O valor é específico para seus sistemas e corresponde à lista aprovada de regiões da sua organização para residência de dados.

Com essa restrição, sua organização pode garantir que os recursos e dados sejam criados e salvos apenas em regiões geográficas específicas e aprovadas.
Produtos aplicáveis
  • Serviço de política da organização
  • Resource Manager
Caminho constraints/gcp.resourceLocations
Operador Is
Controles relacionados do NIST-800-53
  • AC-3
  • AC-17
  • AC-20
Controles relacionados ao perfil de CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Informações relacionadas

Rede

Esta seção inclui as práticas recomendadas e diretrizes para a nuvem privada virtual (VPC) e o Cloud DNS ao executar cargas de trabalho de IA generativa no Google Cloud.

Bloquear a criação de rede padrão

ID de controle do Google VPC-CO-6.1
Implementação Obrigatório
Descrição

A restrição booleana compute.skipDefaultNetworkCreation pula a criação da rede padrão e dos recursos relacionados ao criar projetos Google Cloud .

A rede padrão é uma rede de nuvem privada virtual (VPC) de modo automático com regras de firewall IPv4 já preenchidas para permitir caminhos de comunicação internos. Em geral, essa configuração não é uma postura de segurança recomendada para ambientes de produção.
Produtos aplicáveis
  • Serviço de política da organização
  • Nuvem privada virtual (VPC)
Caminho constraints/compute.skipDefaultNetworkCreation
Valor
  • True
Tipo Booleano
Controles relacionados do NIST-800-53
  • SC-7
  • SC-8
Controles relacionados ao perfil de CRI
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Informações relacionadas

Ativar extensões de segurança de DNS

ID de controle do Google DNS-CO-6.1
Implementação Obrigatório
Descrição

As extensões de segurança do Sistema de Nomes de Domínio (DNSSEC) são um recurso do Sistema de Nomes de Domínio (DNS) que autentica respostas a pesquisas de nome de domínio. Ela não fornece proteções de privacidade para as pesquisas, mas impede que invasores manipulem ou envenenem as respostas a solicitações de DNS.

No Cloud DNS, ative o DNSSEC nos seguintes locais:

  • Zona de DNS
  • Domínio de nível superior (TLD)
  • Resolução DNS
Produtos aplicáveis
  • Cloud DNS
Controles relacionados do NIST-800-53
  • SC-7
  • SC-8
Controles relacionados ao perfil de CRI
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Informações relacionadas

Ativar a restrição de escopo de serviço nas políticas de acesso do Access Context Manager

ID de controle do Google COM-CO-8.1
Implementação Recomendado para IA generativa em casos de uso
Descrição

Para cada perímetro de serviço, confirme no console Google Cloud se o tipo de perímetro está definido como "regular".
Produtos aplicáveis
  • Access Context Manager
  • VPC Service Controls
Caminho accesscontextmanager.accessPolicies.servicePerimeters/perimeterType
Operador ==
Valor
  • PERIMETER_TYPE_REGULAR
Tipo String
Controles relacionados do NIST-800-53
  • SC-7
  • SC-8
Controles relacionados ao perfil de CRI
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Informações relacionadas

Restringir APIs em perímetros de serviço do VPC Service Controls

ID de controle do Google COM-CO-8.2
Implementação Recomendado para IA generativa em casos de uso
Descrição

Para cada perímetro de serviço, use o Access Context Manager para confirmar se ele está protegendo a API.
Produtos aplicáveis
  • VPC Service Controls
  • Access Context Manager
Caminho accesscontextmanager.accessPolicies.servicePerimeters/status.restrictedServices
Operador Anyof
Valor
  • aiplatform.googleapis.com
  • artifactregistry.googleapis.com
  • bigquery.googleapis.com
  • cloudasset.googleapis.com
  • cloudbuild.googleapis.com
  • cloudfunctions.googleapis.com
  • cloudresourcemanager.googleapis.com
  • containeranalysis.googleapis.com
  • discoveryengine.googleapis.com
  • dns.googleapis.com
  • notebooks.googleapis.com
  • ondemandscanning.googleapis.com
  • orgpolicy.googleapis.com
  • pubsub.googleapis.com
  • secretmanager.googleapis.com
  • storage.googleapis.com
  • visionai.googleapis.com
Tipo String
Controles relacionados do NIST-800-53
  • SC-7
  • SC-8
Controles relacionados ao perfil de CRI
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Informações relacionadas

Usar DNS zonal

ID de controle do Google DNS-CO-4.1
Implementação Opcional
Descrição

A restrição booleana compute.setNewProjectDefaultToZonalDNSOnly permite definir a configuração do DNS interno para que novos projetos usem apenas o DNS zonal. Use o DNS zonal porque ele oferece mais confiabilidade em comparação com zonas individuais, já que isola falhas no registro de DNS .
Produtos aplicáveis
  • Política da organização
Caminho constraints/compute.setNewProjectDefaultToZonalDNSOnly
Operador =
Valor
  • True
Tipo Booleano
Controles relacionados do NIST-800-53
  • AC-3
  • AC-17
  • AC-20
Controles relacionados ao perfil de CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Informações relacionadas

Geração de registros, monitoramento e alertas

Esta seção inclui as práticas recomendadas e as diretrizes para serviços de geração de registros e auditoria em Google Cloud e para configurar alertas de serviços como o Cloud Billing.

Compartilhar registros de auditoria do Cloud Identity

ID de controle do Google CI-CO-6.5
Implementação Obrigatório
Descrição

Se você usa o Cloud Identity, compartilhe os registros de auditoria dele com Google Cloud.

Os registros de auditoria de atividade de administrador do Google Workspace ou do Cloud Identity geralmente são gerenciados e visualizados no Google Admin Console, separadamente dos registros no seu ambiente Google Cloud . Esses registros contêm informações relevantes para seu ambiente do Google Cloud , como eventos de login do usuário.

Recomendamos que você compartilhe os registros de auditoria do Cloud Identity com o ambiente Google Cloud para gerenciar de maneira centralizada registros de todas as fontes.
Produtos aplicáveis
  • Google Workspace
  • Cloud Logging
  • Cloud Identity
Controles relacionados do NIST-800-53
  • AC-2
  • AC-3
  • AC-8
  • AC-9
Controles relacionados ao perfil de CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
Informações relacionadas

Usar registros de auditoria

ID de controle do Google COM-CO-7.3
Implementação Obrigatório
Descrição

Os serviços doGoogle Cloud gravam entradas de registro de auditoria para responder quem fez o quê, onde e quando com os recursos do Google Cloud .

Ative a geração de registros de auditoria no nível da organização. É possível configurar o registro em log usando o pipeline que você usa para configurar a organização do Google Cloud .
Produtos aplicáveis
  • Registros de auditoria do Cloud
Controles relacionados do NIST-800-53
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Controles relacionados ao perfil de CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informações relacionadas

Ativar VPC Flow Logs

ID de controle do Google COM-CO-7.4
Implementação Obrigatório
Descrição

Os registros de fluxo de VPC registram uma amostra de fluxos de rede enviados e recebidos por instâncias de VM, incluindo aquelas usadas como nós do Google Kubernetes Engine (GKE). A amostra geralmente é de 50% ou menos dos fluxos de rede VPC.

Quando ativados, os registros funcionam em todas as VMs de uma sub-rede. No entanto, é possível reduzir a quantidade de informações gravadas na geração de registros.

Ative os registros de fluxo de VPC para cada sub-rede de VPC. É possível configurar o registro em registros usando um pipeline que você usa para criar um projeto.
Produtos aplicáveis
  • Nuvem privada virtual
Controles relacionados do NIST-800-53
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Controles relacionados ao perfil de CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informações relacionadas

Ativar a geração de registros de regras de firewall

ID de controle do Google COM-CO-7.5
Implementação Obrigatório
Descrição

Por padrão, as regras de firewall não gravam registros automaticamente.A geração de registros de regras de firewall permite auditar, verificar e analisar os efeitos das suas regras de firewall. Por exemplo, é possível determinar se uma regra de firewall criada para negar tráfego está funcionando conforme o esperado. A geração de registros também é útil quando é preciso determinar quantas conexões são afetadas por uma determinada regra de firewall.

Ative a geração de registros para cada regra de firewall. É possível configurar a geração de registros usando um pipeline que você usa para criar um firewall.
Produtos aplicáveis
  • Nuvem privada virtual
Controles relacionados do NIST-800-53
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Controles relacionados ao perfil de CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informações relacionadas

Ativar registros de auditoria de acesso a dados

ID de controle do Google COM-CO-7.2
Implementação Recomendado para determinados casos de uso
Descrição

Para rastrear quem acessou dados no seu ambiente Google Cloud , ative os registros de auditoria de acesso a dados. Esses registros gravam chamadas de API que leem, criam ou modificam dados do usuário, bem como chamadas de API que leem configurações de recursos.

Recomendamos ativar os registros de auditoria de acesso a dados para modelos de IA generativa e dados sensíveis para garantir que você possa auditar quem leu as informações. Para usar os registros de auditoria de acesso a dados, configure sua própria lógica de detecção personalizada para atividades específicas, como logins de superadministrador.

O volume de registros de auditoria de acesso a dados pode ser grande. Ativar os registros de acesso a dados pode resultar em uma cobrança no projeto Google Cloud referente ao uso de registros adicionais.
Produtos aplicáveis
  • Registros de auditoria do Cloud
Controles relacionados do NIST-800-53
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Controles relacionados ao perfil de CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informações relacionadas

Configurar alertas de faturamento

ID de controle do Google CB-CO-6.1
Implementação Recomendado
Descrição

Evite surpresas na sua fatura criando orçamentos do Cloud Billing para monitorar todas as cobranças do Google Cloud em um só lugar. Depois de definir um valor de orçamento, defina regras de limite de alerta de orçamento por projeto para acionar notificações por e-mail. Essas notificações ajudam você a acompanhar os gastos em relação ao orçamento. Também é possível usar os orçamentos do Cloud Billing para automatizar as respostas de controle de custos.
Produtos aplicáveis
  • Cloud Billing
Controles relacionados do NIST-800-53
  • SI-4
  • SI-5
Controles relacionados ao perfil de CRI
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
  • ID.RA-1.1
  • ID.RA-2.1
  • ID.RA-3.1
  • ID.RA-3.2
  • ID.RA-3.3
Informações relacionadas

Ativar os registros da Transparência no acesso

ID de controle do Google COM-CO-7.7
Implementação Opcional
Descrição

Os registros padrão mostram o que os usuários da sua organização estão fazendo, mas os registros de transparência no acesso mostram o que a equipe de suporte do Google faz ao acessar a conta. Esse acesso geralmente só acontece em resposta a uma solicitação de suporte. Os registros da Transparência no acesso fornecem uma trilha de auditoria completa e verificável de todos os acessos, o que é essencial para atender a requisitos rigorosos de conformidade e governança de dados.

É possível ativar a Transparência no acesso no nível da organização.
Produtos aplicáveis
  • Transparência no acesso
Controles relacionados do NIST-800-53
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Controles relacionados ao perfil de CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informações relacionadas

Exportar dados de faturamento para análise detalhada

ID de controle do Google CB-CO-6.2
Implementação Opcional
Descrição

Para mais análises de faturamento, exporte Google Cloud dados de faturamento para o BigQuery ou um arquivo JSON. Por exemplo, você pode exportar automaticamente dados detalhados, como uso, estimativas de custo e preços, ao longo do dia para um conjunto de dados do BigQuery especificado. Em seguida, é possível acessar os dados do Cloud Billing pelo BigQuery para análise detalhada ou usar uma ferramenta como o Looker Studio para visualizar seus dados.
Produtos aplicáveis
  • Serviço de transferência de dados do BigQuery
  • BigQuery
  • Cloud Billing
Controles relacionados do NIST-800-53
  • SI-4
  • SI-5
Controles relacionados ao perfil de CRI
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
  • ID.RA-1.1
  • ID.RA-2.1
  • ID.RA-3.1
  • ID.RA-3.2
  • ID.RA-3.3
Informações relacionadas

Gerenciamento de chaves e secrets

Esta seção inclui as práticas recomendadas e diretrizes do Cloud Key Management Service e do Secret Manager ao executar cargas de trabalho de IA generativa noGoogle Cloud.

Criptografar dados em repouso em Google Cloud

ID de controle do Google COM-CO-2.1
Implementação Obrigatório (padrão)
Descrição

Todos os dados em Google Cloud são criptografados em repouso por padrão usando algoritmos aprovados pelo NIST.
Produtos aplicáveis
  • Google Cloud padrão
Controles relacionados do NIST-800-53
  • SC-28
Controles relacionados ao perfil de CRI
  • PR.DS-1.1
  • PR.DS-1.2
Informações relacionadas

Use algoritmos aprovados pelo NIST para criptografia e descriptografia

ID de controle do Google COM-CO-2.4
Implementação Obrigatório
Descrição

Verifique se o Cloud Key Management Service (Cloud KMS) usa apenas algoritmos aprovados pelo NIST para armazenar chaves sensíveis no ambiente. Esse controle garante o uso seguro de chaves apenas por algoritmos e segurança aprovados pelo NIST. O campo CryptoKeyVersionAlgorithm é uma lista de permissões fornecida.

Remova algoritmos que não estejam em conformidade com as políticas da sua organização.
Produtos aplicáveis
  • Cloud KMS
Caminho cloudkms.projects.locations.keyRings.cryptoKeys/versionTemplate.algorithm
Operador in
Valor
  • RSA_SIGN_PSS_2048_SHA256
  • RSA_SIGN_PSS_3072_SHA256
  • RSA_SIGN_PSS_4096_SHA256
  • RSA_DECRYPT_OAEP_2048_SHA256
  • RSA_DECRYPT_OAEP_4096_SHA256
  • RSA_DECRYPT_OAEP_2048_SHA1
  • RSA_DECRYPT_OAEP_4096_SHA1
Tipo String
Controles relacionados do NIST-800-53
  • SC-12
  • SC-13
Controles relacionados ao perfil de CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informações relacionadas

Definir a finalidade das chaves do Cloud KMS

ID de controle do Google COM-CO-2.5
Implementação Obrigatório
Descrição

Defina a finalidade das chaves do Cloud KMS como ENCRYPT_DECRYPT para que elas sejam usadas apenas para criptografar e descriptografar dados. Esse controle bloqueia outras funções, como a assinatura, e garante que as chaves sejam usadas apenas para a finalidade pretendida. Se você usa chaves para outras funções, valide esses casos de uso e considere criar chaves adicionais.
Produtos aplicáveis
  • Cloud KMS
Caminho cloudkms.projects.locations.keyRings.cryptoKeys/purpose
Operador ==
Valor
  • ENCRYPT_DECRYPT
Tipo String
Controles relacionados do NIST-800-53
  • SC-12
  • SC-13
Controles relacionados ao perfil de CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informações relacionadas

Verifique se as configurações da CMEK são adequadas para data warehouses seguros do BigQuery

ID de controle do Google COM-CO-2.6
Implementação Obrigatório
Descrição

O nível de proteção indica como as operações criptográficas são realizadas. Depois de criar uma chave de criptografia gerenciada pelo cliente (CMEK), não é possível mudar o nível de proteção. Os níveis de proteção compatíveis são os seguintes:

  • SOFTWARE:as operações criptográficas são realizadas em software.
  • HSM:as operações criptográficas são realizadas em um módulo de segurança de hardware (HSM).
  • EXTERNO:as operações criptográficas são realizadas usando uma chave armazenada em um gerenciador de chaves externo conectado ao Google Cloud pela Internet. Limitado à criptografia simétrica e à assinatura assimétrica.
  • EXTERNAL_VPC::as operações criptográficas são realizadas com uma chave armazenada em um gerenciador de chaves externo conectado a Google Cloud por uma rede de nuvem privada virtual (VPC). Limitado à criptografia simétrica e à assinatura assimétrica.
Produtos aplicáveis
  • Cloud KMS
  • BigQuery
Caminho cloudkms.projects.locations.keyRings.cryptoKeys/primary.protectionLevel
Operador in
Valor
  • []
Tipo String
Controles relacionados do NIST-800-53
  • SC-12
  • SC-13
Controles relacionados ao perfil de CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informações relacionadas

Alternar a chave de criptografia a cada 90 dias

ID de controle do Google COM-CO-2.7
Implementação Obrigatório
Descrição

Verifique se o período de rotação das chaves do Cloud KMS está definido como 90 dias. Uma prática recomendada geral é alternar as chaves de segurança em intervalos regulares. Esse controle exige a rotação de chaves criadas com serviços de HSM.

Ao criar esse período de rotação, também crie políticas e procedimentos adequados para lidar com segurança com a criação, exclusão e modificação de material de chaves. Assim, você ajuda a proteger suas informações e garante a disponibilidade. Verifique se esse período obedece às políticas corporativas de rotação de chaves.
Produtos aplicáveis
  • Cloud KMS
Caminho cloudkms.projects.locations.keyRings.cryptoKeys/rotationPeriod
Operador <=
Valor
  • 90
Tipo int32
Controles relacionados do NIST-800-53
  • SC-12
  • SC-13
Controles relacionados ao perfil de CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informações relacionadas

Configurar a rotação automática de secrets

ID de controle do Google SM-CO-6.2
Implementação Obrigatório
Descrição
Faça a rotação dos Secrets automaticamente e tenha procedimentos de rotação de emergência disponíveis em caso de comprometimento.
Produtos aplicáveis
  • Secret Manager
Controles relacionados do NIST-800-53
  • SC-12
  • SC-13
Controles relacionados ao perfil de CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informações relacionadas

Usar o CMEK para mensagens do Pub/Sub

ID de controle do Google PS-CO-6.1
Implementação Recomendado
Descrição
Ao ativar as chaves de criptografia gerenciadas pelo cliente (CMEK) para o Pub/Sub, você tem mais controle sobre as chaves de criptografia que o Pub/Sub usa para proteger suas mensagens. Na camada do aplicativo, o Pub/Sub criptografa individualmente as mensagens recebidas quando as recebe. Antes de o Pub/Sub publicar mensagens em uma assinatura, ele as criptografa usando a chave de criptografia de dados (DEK) mais recente gerada para o tópico. O Pub/Sub descriptografa as mensagens pouco antes de elas serem entregues aos assinantes. O Pub/Sub usa uma conta de serviço Google Cloud para acessar o Cloud Key Management Service. A conta de serviço é mantida internamente pelo Pub/Sub para cada projeto e não fica visível na sua lista de contas de serviço.
Produtos aplicáveis
  • Cloud KMS
  • Pub/Sub
Controles relacionados do NIST-800-53
  • SC-12
  • SC-13
Controles relacionados ao perfil de CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informações relacionadas

Restringir o local das chaves de criptografia gerenciadas pelo cliente

ID de controle do Google COM-CO-2.2
Implementação Recomendado
Descrição

Use a restrição da política da organização Restringir quais projetos podem fornecer CryptoKeys do KMS para CMEK (gcp.restrictCmekCryptoKeyProjects) para definir quais projetos podem armazenar chaves de criptografia gerenciadas pelo cliente (CMEKs). Com essa restrição, é possível centralizar a governança e o gerenciamento das chaves de criptografia. Quando uma chave selecionada não atende a essa restrição, a criação de recursos falha.

Para modificar essa restrição, os administradores precisam do papel do IAM de Administrador da política da organização (roles/orgpolicy.policyAdmin).

Se você quiser adicionar uma segunda camada de proteção, como trazer sua própria chave, mude essa restrição para representar os nomes das chaves da CMEK ativada.

Especificações do produto:

  • Na Vertex AI, você armazena as chaves no projeto KEY PROJECTS.
Produtos aplicáveis
  • Cloud KMS
  • Política da organização
Caminho constraints/gcp.restrictCmekCryptoKeyProjects
Operador notexists
Valor
  • KEY PROJECTS
Tipo String
Controles relacionados do NIST-800-53
  • SC-12
  • SC-13
Controles relacionados ao perfil de CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informações relacionadas

Usar a CMEK para serviços do Google Cloud

ID de controle do Google COM-CO-2.3
Implementação Recomendado
Descrição

Se você precisar de mais controle sobre as operações de chaves do que o permitido por Google-owned and Google-managed encryption keys , use as chaves de criptografia gerenciadas pelo cliente (CMEKs). Essas chaves são criadas e gerenciadas usando o Cloud KMS. Armazene as chaves como chaves de software, em um cluster do HSM ou em um sistema externo de gerenciamento de chaves.

As taxas de criptografia e descriptografia do Cloud KMS estão sujeitas a cotas.

Especificidades do Cloud Storage

No Cloud Storage, use CMEKs em objetos individuais ou configure os buckets do Cloud Storage para usar uma CMEK por padrão em todos os novos objetos adicionados a um bucket. Ao usar uma CMEK, um objeto é criptografado com a chave pelo Cloud Storage no momento em que é armazenado em um bucket, e o objeto é descriptografado automaticamente pelo Cloud Storage quando o objeto é veiculado aos solicitantes.

As seguintes restrições se aplicam ao usar CMEKs com o Cloud Storage:

  • Não é possível atualizar os metadados de um objeto com uma CMEK. Inclua a chave como parte da regravação do objeto.
  • O Cloud Storage usa o comando de atualização de objetos para definir chaves de criptografia em objetos, mas o comando reescreve o objeto como parte da solicitação.
  • Você precisa criar o keyring do Cloud KMS no mesmo local dos dados que pretende criptografar. Por exemplo, se o bucket estiver localizado em us-east1, qualquer keyring usado para criptografar objetos nesse bucket também precisará ser criado em us-east1.
  • Para a maioria das birregiões, você precisa criar o keyring do Cloud KMS na multirregião associada. Por exemplo, se o bucket estiver localizado no par us-east1, us-west1, qualquer keyring usado para criptografar objetos nesse bucket precisará ser criado na multirregião dos EUA.
  • Para as regiões birregionais predefinidas asia1, eur4 e nam4, é necessário criar o keyring na mesma região dupla predefinida.
  • A soma de verificação CRC32C e o hash MD5 de objetos criptografados com CMEKs não são retornados ao listar objetos com a API JSON.
  • Usar ferramentas como o Cloud Storage para realizar solicitações GET de metadados adicionais em cada objeto de criptografia para recuperar as informações CRC32C e MD5 pode reduzir bastante a listagem. O Cloud Storage não pode usar a parte de descriptografia de chaves assimétricas armazenadas no Cloud KMS para descriptografar automaticamente objetos relevantes da mesma maneira que as CMEKs.
Produtos aplicáveis
  • Cloud KMS
  • Política da organização
  • Cloud Storage
Caminho constraints/gcp.restrictNonCmekServices
Operador ==
Valor
  • bigquery.googleapis.com
  • storage.googleapis.com
  • aiplatform.googleapis.com
Tipo String
Controles relacionados do NIST-800-53
  • SC-12
  • SC-13
Controles relacionados ao perfil de CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informações relacionadas

Replicar secrets automaticamente

ID de controle do Google SM-CO-6.1
Implementação Recomendado
Descrição
Escolha a política de replicação automática para replicar seus secrets, a menos que a carga de trabalho tenha requisitos de local específicos. A política automática atende às necessidades de disponibilidade e desempenho da maioria das cargas de trabalho. Se a carga de trabalho tiver requisitos de local específicos, use a API para selecionar os locais da política de replicação ao criar o secret.
Produtos aplicáveis
  • Secret Manager
Controles relacionados do NIST-800-53
  • SC-12
  • SC-13
Controles relacionados ao perfil de CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informações relacionadas

Postura e análise de segurança

Este documento inclui as práticas recomendadas e diretrizes do Security Command Center ao executar cargas de trabalho de IA generativa no Google Cloud.

Ativar o Security Command Center no nível da organização

ID de controle do Google SCC-CO-6.1
Implementação Obrigatório
Descrição
Ative o Security Command Center no nível da organização para evitar configurações adicionais. Se você não quiser usar o Security Command Center, ative outra solução de gerenciamento de postura.
Produtos aplicáveis
  • Security Command Center
Controles relacionados do NIST-800-53
  • SI-4
  • SI-5
Controles relacionados ao perfil de CRI
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
  • ID.RA-1.1
  • ID.RA-2.1
  • ID.RA-3.1
  • ID.RA-3.2
  • ID.RA-3.3
Informações relacionadas

Configurar alertas do Security Command Center

ID de controle do Google SCC-CO-7.1
Implementação Recomendado
Descrição
Os alertas do Security Command Center oferecem visibilidade da sua organização e notificam sobre problemas com os serviços do Google Cloud para que você possa tomar as medidas adequadas. É possível configurar alertas no Cloud Logging para receber notificações sobre erros relacionados ao agente de serviço do Security Command Center (service-org-ORGANIZATION_NUMBER@security-center-api.iam.gserviceaccount.com).
Produtos aplicáveis
  • Security Command Center
  • Logging
Controles relacionados do NIST-800-53
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Controles relacionados ao perfil de CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informações relacionadas

A seguir