生成式 AI 用途的企業基礎安全控制項

本文提供最佳做法和指南，協助您在執行使用Google Cloud的生成式 AI 工作負載時，建構安全的企業基礎。安全的企業基礎包括下列項目的控管措施：

驗證及授權

本節提供 Identity and Access Management (IAM) 和 Cloud Identity 最佳做法和指南，適用於在 Google Cloud上執行生成式 AI 工作負載的情況。

停用預設服務帳戶的自動 IAM 授予功能

Google 控制項 ID IAM-CO-4.1
實作 必填
說明

如果 Google Cloud 服務自動建立具有過於寬鬆角色的預設服務帳戶，請使用 automaticIamGrantsForDefaultServiceAccounts 布林值限制停用自動角色授予功能。

根據預設，部分系統會授予自動化帳戶過於廣泛的權限，這可能造成安全風險。舉例來說，如果您未強制執行這項限制，當您建立預設服務帳戶時，系統會自動將專案的編輯者角色 (roles/editor) 授予該服務帳戶。如果攻擊者入侵系統的某個部分，就可能掌控整個專案。這項限制會停用這些自動的高層級權限，強制採用更安全、審慎的做法，只授予必要的最低權限。
適用產品
  • IAM
  • 組織政策服務
路徑 constraints/iam.automaticIamGrantsForDefaultServiceAccounts
運算子 Is
值
  • False
類型 布林值
相關的 NIST-800-53 控制項
  • AC-3
  • AC-17
  • AC-20
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
相關資訊

禁止建立外部服務帳戶金鑰

Google 控制項 ID IAM-CO-4.2
實作 必填
說明

使用 iam.disableServiceAccountKeyCreation 布林限制，禁止建立外部服務帳戶金鑰。這項限制可讓您控管服務帳戶的非代管長期憑證。設定此限制後，即無法為受限專案的服務帳戶建立使用者自行管理的憑證。
適用產品
  • 組織政策服務
  • IAM
路徑 constraints/iam.disableServiceAccountKeyCreation
運算子 Is
值
  • True
類型 布林值
相關的 NIST-800-53 控制項
  • AC-3
  • AC-17
  • AC-20
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
相關資訊

禁止上傳服務帳戶金鑰

Google 控制項 ID IAM-CO-4.3
實作 必填
說明

使用 iam.disableServiceAccountKeyUpload 布林限制，禁止將外部公開金鑰上傳至服務帳戶。設定此限制後，使用者就無法將公開金鑰上傳至受限專案的服務帳戶。
適用產品
  • 組織政策服務
  • IAM
路徑 constraints/iam.disableServiceAccountKeyUpload
運算子 Is
值
  • True
類型 布林值
相關的 NIST-800-53 控制項
  • AC-3
  • AC-17
  • AC-20
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
相關資訊

為組織政策管理員劃分責任

Google 控制項 ID OPS-CO-6.1
實作 必填
說明
將組織政策管理員 (roles/orgpolicy.policyAdmin) 角色指派給負責 Google Cloud 組織資安態勢的群組。為避免建立違反安全性政策的資源，請勿將這個角色指派給專案擁有者。
適用產品
  • IAM
  • 組織政策服務
相關的 NIST-800-53 控制項
  • AC-2
  • AC-3
  • AC-5
相關的 CRI 設定檔控制項
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.DS-5.1
  • PR.PT-3.1
相關資訊

為超級管理員帳戶啟用兩步驟驗證

Google 控制項 ID CI-CO-6.1
實作 必填
說明

Google 建議超級管理員帳戶使用 Titan 安全金鑰進行兩步驟驗證 (2SV)。不過，如果無法這麼做，建議您改用其他安全金鑰。
適用產品
  • Cloud Identity
  • Titan 安全金鑰
相關的 NIST-800-53 控制項
  • IA-2
  • IA-4
  • IA-5
  • IA-7
相關的 CRI 設定檔控制項
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
相關資訊

對超級管理員機構單位強制執行兩步驟驗證

Google 控制項 ID CI-CO-6.2
實作 必填
說明

對特定組織單位 (OU) 或整個機構強制執行兩步驟驗證。建議您為超級管理員建立機構單位，並對該機構單位強制執行兩步驟驗證。
適用產品
  • Cloud Identity
相關的 NIST-800-53 控制項
  • IA-2
  • IA-4
  • IA-5
  • IA-7
相關的 CRI 設定檔控制項
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
相關資訊

為主要超級管理員建立專屬電子郵件地址

Google 控制項 ID CI-CO-6.4
實作 必填
說明
建立一個非特定使用者的電子郵件地址，做為主要的 Cloud Identity 超級管理員帳戶。
適用產品
  • Cloud Identity
相關的 NIST-800-53 控制項
  • IA-2
  • IA-4
  • IA-5
相關的 CRI 設定檔控制項
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
相關資訊

建立備援管理員帳戶

Google 控制項 ID CI-CO-6.7
實作 必填
說明

沒有單一超級管理員或機構管理員。建立一或多個 (最多 20 個) 備份管理員帳戶。如果只有一位超級管理員或機構管理員，可能會導致帳戶遭到鎖定。這種情況的風險也較高，因為一個人就能變更平台，而且可能沒有監督。
適用產品
  • 身分與存取權管理 (IAM)
  • Google Workspace
  • Cloud Identity
相關的 NIST-800-53 控制項
  • IA-2
  • IA-4
  • IA-5
相關的 CRI 設定檔控制項
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
相關資訊

導入標記以便有效指派 Identity and Access Management (IAM) 政策和組織政策

Google 控制項 ID IAM-CO-6.1
實作 建議
說明

標記可用於建立資源的註解，在某些情況下，還可將資源是否具備特定標記設為條件，並按照這項條件允許或拒絕政策。只要使用標記並依據條件強制執行政策，即可精細控管資源階層結構。
適用產品
  • Resource Manager
相關的 NIST-800-53 控制項
  • AC-2
  • AC-3
  • AC-5
相關的 CRI 設定檔控制項
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.DS-5.1
  • PR.PT-3.1
相關資訊

稽核 Identity and Access Management (IAM) 的高風險變更

Google 控制項 ID IAM-CO-7.1
實作 建議
說明

使用 Cloud 稽核記錄監控高風險活動，例如帳戶獲派組織管理員和超級管理員等高風險角色。設定這類活動的快訊。
適用產品
  • Cloud 稽核記錄
相關的 NIST-800-53 控制項
  • AU-2
  • AU-3
  • AU-8
  • AU-9
相關的 CRI 設定檔控制項
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
相關資訊

封鎖 Cloud Identity 代管使用者帳戶的 Cloud Shell 存取權

Google 控制項 ID CI-CO-6.8
實作 建議
說明

為避免授予過多存取權給 Google Cloud，請封鎖 Cloud Identity 管理的使用者帳戶對 Cloud Shell 的存取權。
適用產品
  • Cloud Identity
  • Cloud Shell
相關的 NIST-800-53 控制項
  • SC-7
  • SC-8
相關的 CRI 設定檔控制項
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
相關資訊

為 Google 控制台設定情境感知存取權

Google 控制項 ID IAM-CO-8.2
實作 選用
說明

透過情境感知存取權功能，您可以根據使用者身分、位置、裝置安全性狀態和 IP 位址等屬性，為應用程式建立精細的存取控管安全性政策。建議您使用情境感知存取權，限制對 Google Cloud 控制台 (https://console.cloud.google.com/) 和 Google 管理控制台 (https://admin.cloud.google.com) 的存取權。
適用產品
  • Cloud Identity
  • 情境感知存取權
相關的 NIST-800-53 控制項
  • AC-3
  • AC-12
  • AC-17
  • AC-20
  • SC-7
  • SC-8
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
相關資訊

禁止超級管理員帳戶自助式救援

Google 控制項 ID CI-CO-6.3
實作 選用
說明
攻擊者可能會利用自助救援程序重設超級管理員密碼。為降低與第 7 號信號系統 (SS7) 攻擊、SIM 卡調換攻擊或其他網路釣魚攻擊相關的安全風險，建議您關閉這項功能。如要關閉這項功能，請前往 Google 管理控制台中的帳戶救援設定。
適用產品
  • Cloud Identity
  • Google Workspace
相關的 NIST-800-53 控制項
  • IA-2
  • IA-4
  • IA-5
相關的 CRI 設定檔控制項
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
相關資訊

關閉未使用的 Google 服務

Google 控制項 ID CI-CO-6.6
實作 選用
說明
一般來說，建議您關閉不會使用的服務。
適用產品
  • Cloud Identity
路徑 http://admin.google.com > Apps > Additional Google Services
運算子 Setting
值
  • False
相關的 NIST-800-53 控制項
  • SC-7
  • SC-8
相關的 CRI 設定檔控制項
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
相關資訊

機構

本節提供組織政策服務和 Resource Manager 最佳做法和指南，適用於在 Google Cloud上執行生成式 AI 工作負載的情況。

限制 Google API 支援的 TLS 版本

Google 控制項 ID COM-CO-1.1
實作 必填
說明

Google Cloud 支援多個 TLS 通訊協定版本。為符合法規要求，您可能會想拒絕使用舊版 TLS 的用戶端傳送的交握要求。

如要設定這項控制項，請使用「限制 TLS 版本」 (gcp.restrictTLSVersion) 組織政策限制。您可以在資源階層中，將這項限制套用至機構、資料夾或專案。「Restrict TLS Versions」(限制 TLS 版本) 限制條件會使用拒絕清單，拒絕明確值，並允許所有其他值。如果嘗試使用允許清單，就會發生錯誤。

由於組織政策階層評估的行為，TLS 版本限制會套用至指定的資源節點，以及該節點的所有資料夾和專案 (子項)。舉例來說，如果拒絕機構使用 TLS 1.0 版，該機構的所有子項也會拒絕使用。

如要覆寫沿用的 TLS 版本限制，請更新子項資源的機構政策。舉例來說，如果機構政策在機構層級禁止使用 TLS 1.0，您可以在子項資料夾中設定個別的機構政策，移除該資料夾的限制。如果資料夾有任何子項，由於政策繼承，資料夾的政策也會套用至每個子項資源。

如要進一步將 TLS 版本限制為僅限 TLS 1.3，您可以設定這項政策，同時限制 TLS 1.2 版。您必須在 Google Cloud內代管的應用程式中實作這項控制項。舉例來說，您可以在機構層級設定：

["TLS_VERSION_1","TLS_VERSION_1.1","TLS_VERSION_1.2"]
適用產品
  • 全部；由機構政策服務管理
路徑 gcp.restrictTLSVersion
運算子 ==
值
  • TLS_VERSION_1
  • TLS_VERSION_1.1
類型 字串
Compliance Manager 控制項 ID RESTRICT_LEGACY_TLS_VERSIONS
相關的 NIST-800-53 控制項
  • SC-8
  • SC-13
相關的 CRI 設定檔控制項
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
相關資訊

限制授權主體

Google 控制項 ID COM-CO-4.1
實作 必填
說明

確保只有貴機構的身分可存取 Google Cloud 環境。使用「網域限定共用」 (iam.allowedPolicyMemberDomains) 或 iam.managed.allowedPolicyMembers 組織政策限制，定義一或多組 Cloud Identity 或 Google Workspace 客戶 ID，只有這類客戶 ID 的主體能新增至 Identity and Access Management (IAM) 政策。

這些限制有助於防止員工將存取權授予貴機構控管範圍外的外部帳戶，這類帳戶可能不符合多重驗證 (MFA) 或密碼管理的安全政策。這項控管措施至關重要，可防止未經授權的存取行為，確保只有受信任的受管理公司身分可用。
適用產品
  • 組織政策服務
  • IAM
路徑 constraints/iam.allowedPolicyMemberDomains
運算子 Is
值
  • CUSTOMER_ID,ORG_ID
類型 清單
相關的 NIST-800-53 控制項
  • AC-3
  • AC-17
  • AC-20
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
相關資訊

限制使用資源服務

Google 控制項 ID RM-CO-4.1
實作 必填
說明

gcp.restrictServiceUsage 限制可確保只有您核准的 Google Cloud 服務會用於適當位置。舉例來說，正式版群組或高度機密資料夾的核准資料儲存服務清單很短。 Google Cloud 沙箱資料夾可能會有較長的服務清單和相關的資料安全性控管措施，有助於防止資料竊取。這個值是系統專屬值，且與特定資料夾和專案的核准服務和依附元件清單相符。

貴機構可以透過這項限制條件建立核准服務的許可清單，防止員工使用未經審查的服務。
適用產品
  • 組織政策服務
  • Resource Manager
路徑 constraints/gcp.restrictServiceUsage
運算子 Is
相關的 NIST-800-53 控制項
  • AC-3
  • AC-17
  • AC-20
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
相關資訊

限制資源位置

Google 控制項 ID RM-CO-4.2
實作 必填
說明

「資源位置限制」(gcp.resourceLocations) 限制可確保系統只會使用您核准的 Google Cloud 區域儲存資料。這個值是您的系統專用，且符合貴機構核准的資料落地區域清單。

這項限制條件可讓貴機構強制執行，資源和資料只能在特定核准的地理區域建立及儲存。
適用產品
  • 組織政策服務
  • Resource Manager
路徑 constraints/gcp.resourceLocations
運算子 Is
相關的 NIST-800-53 控制項
  • AC-3
  • AC-17
  • AC-20
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
相關資訊

網路

本節提供虛擬私有雲 (VPC) 和 Cloud DNS 最佳做法和指南，適用於在 Google Cloud上執行生成式 AI 工作負載的情況。

封鎖預設網路的建立作業

Google 控制項 ID VPC-CO-6.1
實作 必填
說明

建立專案時，compute.skipDefaultNetworkCreation布林限制會略過預設網路和相關資源的建立作業 Google Cloud 。

預設網路為自動模式虛擬私有雲 (VPC) 網路，具有預先填入的 IPv4 防火牆規則，可允許內部通訊路徑。一般來說，這種設定不建議用於正式環境，因為安全性不夠。
適用產品
  • 組織政策服務
  • 虛擬私人雲端 (VPC)
路徑 constraints/compute.skipDefaultNetworkCreation
值
  • True
類型 布林值
相關的 NIST-800-53 控制項
  • SC-7
  • SC-8
相關的 CRI 設定檔控制項
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
相關資訊

啟用 DNS 安全性擴充功能

Google 控制項 ID DNS-CO-6.1
實作 必填
說明

網域名稱系統安全擴充功能 (DNSSEC) 是網域名稱系統 (DNS) 的一項功能，可驗證網域名稱查詢的回應。這項功能不會為這些查詢提供隱私保護服務，但可防止攻擊者操縱或汙染 DNS 要求的回應。

請在 Cloud DNS 的下列位置啟用 DNSSEC：

  • DNS 區域
  • 頂層網域 (TLD)
  • DNS 解析
適用產品
  • Cloud DNS
相關的 NIST-800-53 控制項
  • SC-7
  • SC-8
相關的 CRI 設定檔控制項
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
相關資訊

在 Access Context Manager 存取權政策中啟用服務範圍限制

Google 控制項 ID COM-CO-8.1
實作 建議用於生成式 AI 的用途
說明

在 Google Cloud 控制台中，確認每個 service perimeter 的類型都設為一般。
適用產品
  • Access Context Manager
  • VPC Service Controls
路徑 accesscontextmanager.accessPolicies.servicePerimeters/perimeterType
運算子 ==
值
  • PERIMETER_TYPE_REGULAR
類型 字串
相關的 NIST-800-53 控制項
  • SC-7
  • SC-8
相關的 CRI 設定檔控制項
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
相關資訊

在 VPC Service Controls 服務範圍內限制 API

Google 控制項 ID COM-CO-8.2
實作 建議用於生成式 AI 的用途
說明

針對每個服務範圍，使用 Access Context Manager 確認範圍是否保護 API。
適用產品
  • VPC Service Controls
  • Access Context Manager
路徑 accesscontextmanager.accessPolicies.servicePerimeters/status.restrictedServices
運算子 Anyof
值
  • aiplatform.googleapis.com
  • artifactregistry.googleapis.com
  • bigquery.googleapis.com
  • cloudasset.googleapis.com
  • cloudbuild.googleapis.com
  • cloudfunctions.googleapis.com
  • cloudresourcemanager.googleapis.com
  • containeranalysis.googleapis.com
  • discoveryengine.googleapis.com
  • dns.googleapis.com
  • notebooks.googleapis.com
  • ondemandscanning.googleapis.com
  • orgpolicy.googleapis.com
  • pubsub.googleapis.com
  • secretmanager.googleapis.com
  • storage.googleapis.com
  • visionai.googleapis.com
類型 字串
相關的 NIST-800-53 控制項
  • SC-7
  • SC-8
相關的 CRI 設定檔控制項
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
相關資訊

使用可用區 DNS

Google 控制項 ID DNS-CO-4.1
實作 選用
說明

您可以透過 compute.setNewProjectDefaultToZonalDNSOnly 布林值限制，將新專案的內部 DNS 設定設為僅限區域性 DNS。請使用區域性 DNS，因為與個別區域相比，區域性 DNS 可隔離 DNS 註冊中的失敗，因此可靠性較高。
適用產品
  • 組織政策
路徑 constraints/compute.setNewProjectDefaultToZonalDNSOnly
運算子 =
值
  • True
類型 布林值
相關的 NIST-800-53 控制項
  • AC-3
  • AC-17
  • AC-20
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
相關資訊

記錄、監控、快訊

本節提供記錄和稽核 Google Cloud 服務的最佳做法和指南，以及設定 Cloud Billing 等服務的快訊。

分享 Cloud Identity 的稽核記錄

Google 控制項 ID CI-CO-6.5
實作 必填
說明

如果使用 Cloud Identity，請將 Cloud Identity 的稽核記錄分享至 Google Cloud。

Google Workspace 或 Cloud Identity 的管理員活動稽核記錄通常是在 Google 管理控制台中管理及查看，與 Google Cloud 環境中的記錄分開。這些記錄包含與 Google Cloud 環境相關的資訊，例如使用者登入事件。

建議您將 Cloud Identity 稽核記錄分享至 Google Cloud 環境，集中管理所有來源的記錄。
適用產品
  • Google Workspace
  • Cloud Logging
  • Cloud Identity
相關的 NIST-800-53 控制項
  • AC-2
  • AC-3
  • AC-8
  • AC-9
相關的 CRI 設定檔控制項
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
相關資訊

使用稽核記錄

Google 控制項 ID COM-CO-7.3
實作 必填
說明

Google Cloud 服務會寫入稽核記錄項目，協助您瞭解 Google Cloud 資源中「人事時地物」等問題。

在機構層級啟用稽核記錄。您可以使用設定 Google Cloud 機構的管道設定記錄。
適用產品
  • Cloud 稽核記錄
相關的 NIST-800-53 控制項
  • AU-2
  • AU-3
  • AU-8
  • AU-9
相關的 CRI 設定檔控制項
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
相關資訊

啟用虛擬私有雲流量記錄

Google 控制項 ID COM-CO-7.4
實作 必填
說明

虛擬私有雲流量記錄會從 VM 執行個體收發的網路流量中取樣，並記錄下來，包括做為 Google Kubernetes Engine (GKE) 節點的執行個體。樣本通常是虛擬私有雲網路流量的 50% 以下。

啟用虛擬私有雲端流量記錄時，系統會對子網路中的所有 VM 啟用記錄功能。不過，您可以減少寫入記錄的資訊量。

為每個虛擬私有雲子網路啟用虛擬私有雲流量記錄。您可以使用建立專案的管道設定記錄功能。
適用產品
  • 虛擬私有雲
相關的 NIST-800-53 控制項
  • AU-2
  • AU-3
  • AU-8
  • AU-9
相關的 CRI 設定檔控制項
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
相關資訊

啟用防火牆規則記錄

Google 控制項 ID COM-CO-7.5
實作 必填
說明

根據預設，防火牆規則不會自動寫入記錄。您可以根據防火牆規則記錄，進一步稽核、驗證及分析防火牆規則的成效。舉例來說，您可以判斷用於拒絕流量的防火牆規則是否正常運作。當您需要查明特定防火牆規則影響的連線數量時，這項記錄也能派上用場。

為每項防火牆規則啟用記錄功能。您可以使用建立防火牆的管道設定記錄。
適用產品
  • 虛擬私有雲
相關的 NIST-800-53 控制項
  • AU-2
  • AU-3
  • AU-8
  • AU-9
相關的 CRI 設定檔控制項
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
相關資訊

啟用資料存取稽核記錄

Google 控制項 ID COM-CO-7.2
實作 建議用於特定用途
說明

如要追蹤環境中 Google Cloud 的資料存取者，請啟用資料存取稽核記錄。這些記錄會記載讀取、建立或修改使用者資料的 API 呼叫，以及讀取資源設定的 API 呼叫。

強烈建議您為生成式 AI 模型和敏感資料啟用資料存取稽核記錄，確保您可以稽核哪些人讀取了相關資訊。如要使用資料存取稽核記錄，您必須為特定活動 (例如超級管理員登入) 設定自訂偵測邏輯。

資料存取稽核記錄的量可能很大。啟用資料存取記錄可能會導致專案產生額外的記錄使用費。 Google Cloud

適用產品
  • Cloud 稽核記錄
相關的 NIST-800-53 控制項
  • AU-2
  • AU-3
  • AU-8
  • AU-9
相關的 CRI 設定檔控制項
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
相關資訊

設定帳單快訊

Google 控制項 ID CB-CO-6.1
實作 建議
說明

您可以設定 Cloud Billing 預算來集中監控所有的 Google Cloud 費用，以免產生意外支出。設定預算金額後，請為每個專案設定預算快訊門檻規則，以觸發電子郵件通知。這些通知有助於追蹤支出與預算的比較。您也可以透過 Cloud Billing 預算自動採取控制成本的因應行動。
適用產品
  • Cloud Billing
相關的 NIST-800-53 控制項
  • SI-4
  • SI-5
相關的 CRI 設定檔控制項
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
  • ID.RA-1.1
  • ID.RA-2.1
  • ID.RA-3.1
  • ID.RA-3.2
  • ID.RA-3.3
相關資訊

啟用資料存取透明化控管機制記錄檔

Google 控制項 ID COM-CO-7.7
實作 選用
說明

標準記錄會顯示貴機構使用者執行的操作，而資料存取透明化控管機制記錄則會顯示 Google 支援人員存取帳戶時執行的操作。通常只有在您提出支援要求時，我們才會存取您的帳戶。資料存取透明化控管機制記錄會提供所有存取作業的完整稽核追蹤記錄，方便您驗證，這對於滿足嚴格的法規遵循和資料治理要求至關重要。

您可以在機構層級啟用資料存取透明化控管機制。
適用產品
  • 資料存取透明化控管機制
相關的 NIST-800-53 控制項
  • AU-2
  • AU-3
  • AU-8
  • AU-9
相關的 CRI 設定檔控制項
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
相關資訊

匯出帳單資料以進行詳細分析

Google 控制項 ID CB-CO-6.2
實作 選用
說明

如要進一步分析帳單，您可以將帳單資料匯出至 BigQuery 或 JSON 檔案。 Google Cloud 舉例來說，您可以全天將詳細資料 (例如用量、預估費用和定價) 自動匯出至指定的 BigQuery 資料集。接著，您就能在 BigQuery 中存取 Cloud Billing 資料來執行詳細的分析，或是透過 Looker Studio 等工具以圖表呈現資料。
適用產品
  • BigQuery 資料移轉服務
  • BigQuery
  • Cloud Billing
相關的 NIST-800-53 控制項
  • SI-4
  • SI-5
相關的 CRI 設定檔控制項
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
  • ID.RA-1.1
  • ID.RA-2.1
  • ID.RA-3.1
  • ID.RA-3.2
  • ID.RA-3.3
相關資訊

金鑰和密鑰管理

本節提供 Cloud Key Management Service 和 Secret Manager 最佳做法和指南，適用於在Google Cloud上執行生成式 AI 工作負載的情況。

加密靜態資料 Google Cloud

Google 控制項 ID COM-CO-2.1
實作 必要 (預設)
說明

根據預設， Google Cloud 中的所有資料都會使用 NIST 核准的演算法進行靜態加密。
適用產品
  • Google Cloud 預設
相關的 NIST-800-53 控制項
  • SC-28
相關的 CRI 設定檔控制項
  • PR.DS-1.1
  • PR.DS-1.2
相關資訊

使用 NIST 核准的演算法進行加密和解密

Google 控制項 ID COM-CO-2.4
實作 必填
說明

請確保 Cloud Key Management Service (Cloud KMS) 只使用 NIST 核准的演算法，在環境中儲存機密金鑰。這項控制項只會使用 NIST 核准的演算法和安全性，確保金鑰安全無虞。CryptoKeyVersionAlgorithm 欄位是提供的許可清單。

移除不符合貴機構政策的演算法。
適用產品
  • Cloud KMS
路徑 cloudkms.projects.locations.keyRings.cryptoKeys/versionTemplate.algorithm
運算子 in
值
  • RSA_SIGN_PSS_2048_SHA256
  • RSA_SIGN_PSS_3072_SHA256
  • RSA_SIGN_PSS_4096_SHA256
  • RSA_DECRYPT_OAEP_2048_SHA256
  • RSA_DECRYPT_OAEP_4096_SHA256
  • RSA_DECRYPT_OAEP_2048_SHA1
  • RSA_DECRYPT_OAEP_4096_SHA1
類型 字串
相關的 NIST-800-53 控制項
  • SC-12
  • SC-13
相關的 CRI 設定檔控制項
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
相關資訊

設定 Cloud KMS 金鑰的用途

Google 控制項 ID COM-CO-2.5
實作 必填
說明

將 Cloud KMS 金鑰的用途設為 ENCRYPT_DECRYPT，確保金鑰只用於加密及解密資料。這項控制項會封鎖其他函式 (例如簽署)，並確保金鑰只會用於預期用途。如果您將金鑰用於其他功能，請驗證這些用途，並考慮建立其他金鑰。
適用產品
  • Cloud KMS
路徑 cloudkms.projects.locations.keyRings.cryptoKeys/purpose
運算子 ==
值
  • ENCRYPT_DECRYPT
類型 字串
相關的 NIST-800-53 控制項
  • SC-12
  • SC-13
相關的 CRI 設定檔控制項
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
相關資訊

確保 CMEK 設定適用於安全的 BigQuery 資料倉儲

Google 控制項 ID COM-CO-2.6
實作 必填
說明

防護等級會指示執行加密編譯作業的方式。建立客戶管理的加密金鑰 (CMEK) 後，就無法變更防護等級。支援的保護等級如下：

  • 軟體：加密編譯作業會在軟體中執行。
  • HSM：加密編譯作業會在硬體安全性模組 (HSM) 中執行。
  • 外部：加密編譯作業會使用儲存在外部金鑰管理工具中的金鑰執行，該工具透過網際網路連線至 Google Cloud 。僅限對稱式加密和非對稱式簽署。
  • EXTERNAL_VPC:加密編譯作業會使用儲存在外部金鑰管理工具中的金鑰執行，該工具透過虛擬私有雲 (VPC) 網路連線 Google Cloud 。僅限對稱式加密和非對稱式簽署。
適用產品
  • Cloud KMS
  • BigQuery
路徑 cloudkms.projects.locations.keyRings.cryptoKeys/primary.protectionLevel
運算子 in
值
  • []
類型 字串
相關的 NIST-800-53 控制項
  • SC-12
  • SC-13
相關的 CRI 設定檔控制項
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
相關資訊

每 90 天輪替一次加密金鑰

Google 控制項 ID COM-CO-2.7
實作 必填
說明

請確保 Cloud KMS 金鑰的輪替週期設為 90 天。一般最佳做法是定期輪替安全金鑰。這項控制項會強制輪替使用 HSM 服務建立的金鑰。

建立輪替週期時，請一併建立適當的政策和程序，安全地處理金鑰材料的建立、刪除和修改作業，確保資訊受到保護且可用。請確保這段時間符合貴公司的金鑰輪替政策。
適用產品
  • Cloud KMS
路徑 cloudkms.projects.locations.keyRings.cryptoKeys/rotationPeriod
運算子 <=
值
  • 90
類型 int32
相關的 NIST-800-53 控制項
  • SC-12
  • SC-13
相關的 CRI 設定檔控制項
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
相關資訊

設定自動 Secret 輪換

Google 控制項 ID SM-CO-6.2
實作 必填
說明
自動輪換 Secret，並在遭到入侵時提供緊急輪換程序。
適用產品
  • Secret Manager
相關的 NIST-800-53 控制項
  • SC-12
  • SC-13
相關的 CRI 設定檔控制項
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
相關資訊

使用 CMEK 保護 Pub/Sub 訊息

Google 控制項 ID PS-CO-6.1
實作 建議
說明
為 Pub/Sub 啟用客戶自行管理的加密金鑰 (CMEK) 後，您就能進一步控管 Pub/Sub 用於保護訊息的加密金鑰。在應用程式層，Pub/Sub 會在收到訊息時加密個別訊息。Pub/Sub 會先使用為主題產生的最新資料加密金鑰 (DEK) 加密訊息，再將訊息發布至訂閱項目。Pub/Sub 會在訊息傳送給訂閱端不久前解密訊息。Pub/Sub 會使用 Google Cloud 服務帳戶存取 Cloud Key Management Service。Pub/Sub 是在內部為每個專案維護服務帳戶，因此這些帳戶不會顯示在服務帳戶清單中。
適用產品
  • Cloud KMS
  • Pub/Sub
相關的 NIST-800-53 控制項
  • SC-12
  • SC-13
相關的 CRI 設定檔控制項
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
相關資訊

限制客戶自行管理的加密金鑰位置

Google 控制項 ID COM-CO-2.2
實作 建議
說明

使用「限制哪些專案可提供 CMEK 的 KMS CryptoKey」 (gcp.restrictCmekCryptoKeyProjects) 組織政策限制，定義哪些專案可以儲存客戶自行管理的加密金鑰 (CMEK)。這項限制條件可讓您集中管理加密金鑰的控管作業。如果所選金鑰不符合這項限制，資源建立作業就會失敗。

如要修改這項限制，管理員必須具備「機構政策管理員」 (roles/orgpolicy.policyAdmin) IAM 角色。

如要新增第二層保護措施 (例如自備金鑰)，請變更這項限制條件，代表已啟用的 CMEK 金鑰名稱。

產品特定項目：

  • 在 Vertex AI 中，您會將金鑰儲存在 KEY PROJECTS 專案中。
適用產品
  • Cloud KMS
  • 機構政策
路徑 constraints/gcp.restrictCmekCryptoKeyProjects
運算子 notexists
值
  • KEY PROJECTS
類型 字串
相關的 NIST-800-53 控制項
  • SC-12
  • SC-13
相關的 CRI 設定檔控制項
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
相關資訊

為 Google Cloud 服務啟用 CMEK

Google 控制項 ID COM-CO-2.3
實作 建議
說明

如果您需要比 Google-owned and Google-managed encryption keys 允許的範圍更大的金鑰作業控制權，可以使用客戶自行管理的加密金鑰 (CMEK)。這些金鑰是使用 Cloud KMS 建立及管理。將金鑰儲存為軟體金鑰、儲存在 HSM 叢集內，或儲存在外部金鑰管理系統中。

Cloud KMS 加密和解密作業的速率會受到配額限制。

Cloud Storage 具體做法

在 Cloud Storage 中，您可以對個別物件使用 CMEK，也可以將 Cloud Storage 值區設為預設對所有新增物件使用 CMEK。使用 CMEK 時，Cloud Storage 會在物件儲存至值區時，以金鑰加密物件，並在將物件提供給要求者時自動解密。

將 CMEK 與 Cloud Storage 搭配使用時有以下限制：

  • 您無法透過更新物件的中繼資料，使用 CMEK 將物件加密。請改將金鑰加入物件重寫的一部分。
  • Cloud Storage 會使用物件更新指令在物件上設定加密金鑰，但該指令會在要求中重寫物件。
  • 建立 Cloud KMS 金鑰環的位置必須與待加密資料的位置相同。舉例來說，如果值區位於 us-east1，則用於加密該值區中物件的金鑰環也必須建立在 us-east1。
  • 對於大多數雙區域，您必須在相關聯的多區域中建立 Cloud KMS 金鑰環。舉例來說，如果值區位於 us-east1、us-west1 這一對區域中，則用於加密該值區中物件的任何金鑰環，都必須在美國多區域中建立。
  • 如果是 asia1、eur4 和 nam4 預先定義的雙重區域，您必須在相同的預先定義雙重區域中建立金鑰環。
  • 使用 JSON API 列出物件時，系統不會傳回以 CMEK 加密的物件的 CRC32C 總和檢查碼和 MD5 雜湊。
  • 使用 Cloud Storage 等工具對每個加密物件執行額外的中繼資料 GET 要求，以擷取 CRC32C 和 MD5 資訊，可大幅縮短清單。Cloud Storage 無法使用儲存在 Cloud KMS 中的非對稱金鑰解密部分，自動解密相關物件，這與 CMEK 的做法不同。
適用產品
  • Cloud KMS
  • 機構政策
  • Cloud Storage
路徑 constraints/gcp.restrictNonCmekServices
運算子 ==
值
  • bigquery.googleapis.com
  • storage.googleapis.com
  • aiplatform.googleapis.com
類型 字串
相關的 NIST-800-53 控制項
  • SC-12
  • SC-13
相關的 CRI 設定檔控制項
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
相關資訊

自動複製 Secret

Google 控制項 ID SM-CO-6.1
實作 建議
說明
除非工作負載有特定地點規定，否則請選擇自動複製政策來複製 Secret。自動政策可滿足大多數工作負載的可用性和效能需求。如果工作負載有特定地點規定，您可以在建立 Secret 時，使用 API 選取複製政策的位置。
適用產品
  • Secret Manager
相關的 NIST-800-53 控制項
  • SC-12
  • SC-13
相關的 CRI 設定檔控制項
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
相關資訊

安全防護機制和分析

本文提供 Security Command Center 最佳做法和指南，適用於在 Google Cloud上執行生成式 AI 工作負載的情況。

在組織層級啟用 Security Command Center

Google 控制項 ID SCC-CO-6.1
實作 必填
說明
在組織層級啟用 Security Command Center，以免產生額外設定。如果不想使用 Security Command Center，請啟用其他資安態勢管理解決方案。
適用產品
  • Security Command Center
相關的 NIST-800-53 控制項
  • SI-4
  • SI-5
相關的 CRI 設定檔控制項
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
  • ID.RA-1.1
  • ID.RA-2.1
  • ID.RA-3.1
  • ID.RA-3.2
  • ID.RA-3.3
相關資訊

透過 Security Command Center 設定警告

Google 控制項 ID SCC-CO-7.1
實作 建議
說明
您可以透過 Security Command Center 的警告掌握貴組織的狀況，並在 Google Cloud 服務發生問題時收到通知，以便採取適當行動。您可以在 Cloud Logging 中設定警告，接收與 Security Command Center 服務代理 (service-org-ORGANIZATION_NUMBER@security-center-api.iam.gserviceaccount.com) 相關的錯誤通知。
適用產品
  • Security Command Center
  • Logging
相關的 NIST-800-53 控制項
  • AU-2
  • AU-3
  • AU-8
  • AU-9
相關的 CRI 設定檔控制項
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
相關資訊

後續步驟