Controles de Cloud Storage para casos prácticos de IA generativa

En este documento se incluyen las prácticas recomendadas y las directrices de Cloud Storage para ejecutar cargas de trabajo de IA generativa que usen Google Cloud. Usa Cloud Storage con Vertex AI para almacenar datos de entrenamiento, artefactos de modelos y datos de producción.

Estos son algunos casos prácticos de Cloud Storage con Vertex AI:

• Almacenamiento de datos de entrenamiento: Vertex AI te permite almacenar tus conjuntos de datos de entrenamiento en segmentos de Cloud Storage. Usar Cloud Storage ofrece varias ventajas:
  • Cloud Storage puede gestionar conjuntos de datos de cualquier tamaño, lo que te permite entrenar modelos con grandes cantidades de datos sin limitaciones de almacenamiento.
  • Puedes definir controles de acceso granulares y cifrado en tus segmentos de Cloud Storage para asegurarte de que tus datos de entrenamiento sensibles estén protegidos.
  • Cloud Storage te permite monitorizar los cambios y volver a versiones anteriores de tus datos, lo que proporciona valiosas pistas de auditoría y facilita la reproducción de experimentos de entrenamiento.
  • Vertex AI se integra a la perfección con Cloud Storage, lo que te permite acceder a tus datos de entrenamiento en la plataforma.
• Almacenar artefactos de modelos: puedes almacenar artefactos de modelos entrenados, como archivos de modelos, configuraciones de hiperparámetros y registros de entrenamiento, en segmentos de Cloud Storage. Con Cloud Storage, puedes hacer lo siguiente:
  • Guarda todos los artefactos de tu modelo en Cloud Storage como repositorio centralizado para acceder a ellos y gestionarlos cómodamente.
  • Monitoriza y gestiona diferentes versiones de tus modelos, lo que facilita las comparaciones y las restauraciones si es necesario.
  • Concede a tus compañeros y colaboradores acceso a segmentos de Cloud Storage específicos para compartir modelos de forma eficiente.
• Almacenar datos de producción: en el caso de los modelos que se usan en producción, Cloud Storage puede almacenar los datos que se proporcionan al modelo para generar predicciones. Por ejemplo, puedes usar Cloud Storage para hacer lo siguiente:
  • Almacena datos e interacciones de los usuarios para ofrecer recomendaciones personalizadas en tiempo real.
  • Conserva las imágenes para procesarlas y clasificarlas bajo demanda con tus modelos.
  • Mantener los datos de las transacciones para identificar fraudes en tiempo real con tus modelos.
• Integración con otros servicios: Cloud Storage se integra a la perfección con otros Google Cloud servicios que se usan en los flujos de trabajo de Vertex AI, como los siguientes:
  • Dataflow para optimizar los flujos de procesamiento de preprocesamiento y transformación de datos.
  • BigQuery para acceder a grandes conjuntos de datos almacenados en BigQuery para el entrenamiento y la inferencia de modelos.
  • Funciones de Cloud Run para acciones basadas en predicciones de modelos o cambios de datos en segmentos de Cloud Storage.
• Gestionar costes: Cloud Storage ofrece un modelo de precios de pago por uso, lo que significa que solo pagas por el almacenamiento que utilizas. Esto proporciona eficiencia en los costes, sobre todo en el caso de conjuntos de datos de gran tamaño.
• Habilita la alta disponibilidad y la durabilidad: Cloud Storage asegura que tus datos tengan una alta disponibilidad y estén protegidos frente a fallos o interrupciones, lo que garantiza la fiabilidad y un acceso sólido a tus recursos de aprendizaje automático.
• Habilita la compatibilidad con varias regiones: almacena tus datos en varias regiones de Cloud Storage que estén geográficamente más cerca de tus usuarios o aplicaciones para mejorar el rendimiento y reducir la latencia del acceso a los datos y las predicciones de los modelos.

Controles obligatorios de Cloud Storage

Se recomienda encarecidamente usar los siguientes controles al usar Cloud Storage.

Bloquear el acceso público a los segmentos de Cloud Storage

ID de control de Google	GCS-CO-4.1
Categoría	Obligatorio
Descripción	La restricción booleana storage.publicAccessPrevention impide el acceso a los recursos actuales y futuros a través de Internet. Inhabilita y bloquea las listas de control de acceso (ACL) y los permisos de Gestión de Identidades y Accesos (IAM) que conceden acceso a allUsers y allAuthenticatedUsers.
Productos aplicables	Servicio de política de organización Cloud Storage
Ruta	constraints/storage.publicAccessPrevention
Operador	==
Valor	True
Tipo	Booleano
Controles relacionados de NIST 800-53	AC-3 AC-17 AC-20
Controles relacionados con el perfil de CRI	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1
Información relacionada	Prevención del acceso público

Usar el acceso uniforme a nivel de segmento

ID de control de Google	GCS-CO-4.2
Categoría	Obligatorio
Descripción	La restricción booleana storage.uniformBucketLevelAccess exige que se use el acceso uniforme a nivel de segmento en los segmentos. El acceso uniforme a nivel de segmento te permite usar solo los permisos de gestión de identidades y accesos (IAM) a nivel de segmento para conceder acceso a tus recursos de Cloud Storage.
Productos aplicables	Servicio de política de organización Cloud Storage
Ruta	constraints/storage.uniformBucketLevelAccess
Operador	==
Valor	True
Tipo	Booleano
Controles relacionados de NIST 800-53	AC-3 AC-17 AC-20
Controles relacionados con el perfil de CRI	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1
Información relacionada	Requerir acceso uniforme a nivel de segmento

Proteger las claves HMAC de las cuentas de servicio

ID de control de Google	GCS-CO-6.9
Categoría	Obligatorio
Descripción	Una clave HMAC es un tipo de credencial de larga duración que está asociada a una cuenta de servicio o a una cuenta de usuario de Cloud Storage. Usa una clave HMAC para crear firmas que se incluyan en las solicitudes a Cloud Storage. Una firma demuestra que un usuario o una cuenta de servicio ha autorizado una solicitud. A diferencia de las credenciales de duración reducida (como Tokens de OAuth 2.0), las claves HMAC no caducan automáticamente y siguen siendo válidas hasta que se revocan manualmente. Las claves HMAC son credenciales de alto riesgo: si se ven comprometidas, proporcionan acceso persistente a tus recursos. Debes asegurarte de que se apliquen los mecanismos adecuados para protegerlos.
Productos aplicables	Cloud Storage
Ruta	storage.projects.hmacKeys/id
Operador	Exists
Valor	[]
Tipo	Cadena
Controles relacionados de NIST 800-53	SC-12 SC-13
Controles relacionados con el perfil de CRI	PR.DS-1.1 PR.DS-1.2 PR.DS-2.1 PR.DS-2.2 PR.DS-5.1
Información relacionada	Gestionar claves HMAC para cuentas de servicio

Detectar la enumeración de los segmentos de Cloud Storage por parte de las cuentas de servicio

ID de control de Google	GCS-CO-7.2
Categoría	Obligatorio
Descripción	Las cuentas de servicio son identidades no humanas diseñadas para aplicaciones, y su comportamiento es predecible y automatizado. Normalmente, las cuentas de servicio no necesitan enumerar los contenedores, ya que ya están asignados. Por lo tanto, si detectas que una cuenta de servicio intenta obtener una lista de todos los segmentos de Cloud Storage, investiga el problema inmediatamente. La enumeración de reconocimiento se suele usar como técnica de reconocimiento por un agente malicioso que ha obtenido acceso a la cuenta de servicio.
Productos aplicables	Cloud Storage Registros de auditoría de Cloud
Operador	==
Valor	storage.bucket.list
Tipo	Cadena
Controles relacionados de NIST 800-53	AU-2 AU-3 AU-8 AU-9
Controles relacionados con el perfil de CRI	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4
Información relacionada	Registros de auditoría de Cloud con Cloud Storage

Detectar las modificaciones de las políticas de gestión de identidades y accesos (IAM) de los segmentos de Cloud Storage por parte de las cuentas de servicio

ID de control de Google	GCS-CO-7.3
Categoría	Obligatorio
Descripción	Configura una alerta que detecte cuándo se modifica la política de IAM de un segmento de Cloud Storage para conceder acceso público. Esta alerta se activa cuando se añaden las entidades allUsers o allAuthenticatedUsers a la política de gestión de identidades y accesos de un segmento. Esta alerta es un evento crítico de gravedad alta porque puede exponer todos los datos del contenedor. Investiga esta alerta inmediatamente para confirmar si el cambio se ha autorizado o si es un signo de una configuración incorrecta o de un agente malicioso. En la alerta, asigna el valor allUsers o allAuthenticatedUsers al atributo JSON data.protoPayload.serviceData.policyData.bindingDeltas.member y el valor ADD a la acción.
Productos aplicables	Cloud Storage Registros de auditoría de Cloud
Controles relacionados de NIST 800-53	AU-2 AU-3 AU-8 AU-9
Controles relacionados con el perfil de CRI	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4
Información relacionada	Registros de auditoría de Cloud con Cloud Storage

Controles recomendados en función del caso práctico de IA generativa

En función de tus casos prácticos con la IA generativa, te recomendamos que uses controles adicionales. Entre estos controles se incluyen los controles de conservación de datos y otros controles basados en políticas que se rigen por las políticas de tu empresa.

Asegúrate de que la política de conservación de los segmentos de Cloud Storage use el bloqueo de segmentos

ID de control de Google	GCS-CO-6.1
Categoría	Recomendado
Descripción	En función de los requisitos normativos, asegúrese de que la política de retención de cada segmento de Cloud Storage esté bloqueada. Define el periodo de conservación que se ajuste a tus necesidades.
Productos aplicables	Cloud Storage
Ruta	storage.buckets/retentionPolicy.isLocked
Operador	!=
Valor	True
Tipo	Booleano
Controles relacionados de NIST 800-53	SI-12
Controles relacionados con el perfil de CRI	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Información relacionada	Usar y bloquear políticas de retención

Definir reglas de ciclo de vida para la acción SetStorageClass

ID de control de Google	GCS-CO-6.11
Categoría	Recomendado
Descripción	Aplica reglas de ciclo de vida a cada segmento de Cloud Storage que tenga un tipo de acción SetStorageClass.
Productos aplicables	Cloud Storage
Ruta	storage.buckets/lifecycle.rule.action.type
Operador	==
Valor	SetStorageClass
Tipo	Cadena
Controles relacionados de NIST 800-53	SI-12
Controles relacionados con el perfil de CRI	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Información relacionada	Administración del ciclo de vida de los objetos

Definir las regiones permitidas para las clases de almacenamiento

ID de control de Google	GCS-CO-6.12
Categoría	Recomendado
Descripción	Asegúrate de que las clases de almacenamiento de la configuración del ciclo de vida no estén dentro de las clasificaciones regionales permitidas.
Productos aplicables	Cloud Storage
Ruta	storage.buckets/lifecycle.rule.action.storageClass
Operador	nin
Valor	MULTI_REGIONAL REGIONAL
Tipo	Cadena
Controles relacionados de NIST 800-53	SI-12
Controles relacionados con el perfil de CRI	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Información relacionada	Ubicaciones de segmentos Administración del ciclo de vida de los objetos

Habilitar la gestión del ciclo de vida en segmentos de Cloud Storage

ID de control de Google	GCS-CO-6.13
Categoría	Recomendado
Descripción	Asegúrate de que la gestión del ciclo de vida de Cloud Storage esté habilitada y configurada. El control del ciclo de vida contiene la configuración del ciclo de vida del almacenamiento. Verifica que las políticas de este ajuste se ajustan a tus requisitos.
Productos aplicables	Cloud Storage
Ruta	storage.buckets/lifecycle
Operador	Exists
Valor	[]
Tipo	Objeto
Controles relacionados de NIST 800-53	SI-12
Controles relacionados con el perfil de CRI	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Información relacionada	Administración del ciclo de vida de los objetos

Habilitar reglas de gestión del ciclo de vida en segmentos de Cloud Storage

ID de control de Google	GCS-CO-6.14
Categoría	Recomendado
Descripción	Asegúrate de que las reglas de gestión del ciclo de vida de Cloud Storage estén habilitadas y configuradas. El control de reglas contiene la configuración del ciclo de vida del almacenamiento. Verifica que las políticas de este ajuste se ajustan a tus requisitos.
Productos aplicables	Cloud Storage
Ruta	storage.buckets/lifecycle.rule
Operador	Empty
Valor	[]
Tipo	Matriz
Controles relacionados de NIST 800-53	SI-12
Controles relacionados con el perfil de CRI	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Información relacionada	Administración del ciclo de vida de los objetos

Revisar y evaluar las retenciones temporales de objetos activos

ID de control de Google	GCS-CO-6.16
Categoría	Recomendado
Descripción	Identifica todos los objetos en los que temporaryHold se haya definido como TRUE e inicia un proceso de investigación y validación. Esta evaluación es adecuada para los siguientes casos prácticos: Retención por motivos legales: para cumplir los requisitos legales de almacenamiento de datos, se puede usar una retención temporal para evitar que se eliminen datos sensibles que puedan ser relevantes para investigaciones o litigios en curso. Prevención de la pérdida de datos: para evitar que se eliminen datos importantes por error, se puede usar la conservación temporal como medida de seguridad para proteger la información empresarial crítica. Moderación de contenido: para revisar el contenido potencialmente sensible o inapropiado antes de que sea accesible públicamente, aplica una retención temporal al contenido subido a Cloud Storage para inspeccionarlo más a fondo y tomar decisiones de moderación.
Productos aplicables	Cloud Storage
Ruta	storage.objects/temporaryHold
Operador	==
Valor	TRUE
Tipo	Booleano
Controles relacionados de NIST 800-53	SI-12
Controles relacionados con el perfil de CRI	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Información relacionada	Retenciones de objetos

Aplicar políticas de retención en segmentos de Cloud Storage

ID de control de Google	GCS-CO-6.17
Categoría	Recomendado
Descripción	Asegúrate de que todos los segmentos de Cloud Storage tengan una política de retención.
Productos aplicables	Cloud Storage
Ruta	storage.buckets/retentionPolicy.retentionPeriod
Operador	agesmaller
Valor	[90,"DAY","AFTER","yyyy-MM-dd'T'HH:mm:ss'Z'"]
Tipo	int64
Controles relacionados de NIST 800-53	SI-12
Controles relacionados con el perfil de CRI	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Información relacionada	Bloqueo del segmento

Implementar obligatoriamente etiquetas de clasificación en los segmentos de Cloud Storage

ID de control de Google	GCS-CO-6.18
Categoría	Recomendado
Descripción	La clasificación de datos es un componente fundamental de cualquier programa de gobierno y seguridad de datos. Es fundamental aplicar una etiqueta de clasificación con valores como público, interno, confidencial o restringido a cada segmento. Confirma que google_storage_bucket.labels tiene una expresión para la clasificación y crea una infracción si no la tiene.
Productos aplicables	Cloud Storage
Ruta	storage.buckets/labels.classification
Operador	notexists
Valor	[]
Tipo	Ampliada
Controles relacionados de NIST 800-53	SI-12
Controles relacionados con el perfil de CRI	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Información relacionada	Etiquetas

Implementar obligatoriamente los segmentos de registro en los segmentos de Cloud Storage

ID de control de Google	GCS-CO-6.3
Categoría	Recomendado
Descripción	Asegúrate de que todos los segmentos de Cloud Storage incluyan un segmento de registro.
Productos aplicables	Cloud Storage
Ruta	storage.buckets/logging.logBucket
Operador	notexists
Valor	[]
Tipo	Cadena
Controles relacionados de NIST 800-53	AU-2 AU-3 AU-8 AU-9
Controles relacionados con el perfil de CRI	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4
Información relacionada	Configurar segmentos de registro

Configurar reglas de eliminación para segmentos de Cloud Storage

ID de control de Google	GCS-CO-6.5
Categoría	Recomendado
Descripción	En Cloud Storage, storage.buckets/lifecycle.rule.action.type hace referencia al tipo de acción que se debe llevar a cabo en un objeto específico en función de una regla de ciclo de vida de un segmento. Esta configuración ayuda a automatizar la gestión y el ciclo de vida de los datos almacenados en la nube. Configura storage.buckets/lifecycle.rule.action.type para asegurarte de que los objetos se eliminen permanentemente del contenedor.
Productos aplicables	Cloud Storage
Ruta	storage.buckets/lifecycle.rule.action.type
Operador	==
Valor	Delete
Tipo	Cadena
Controles relacionados de NIST 800-53	SI-12
Controles relacionados con el perfil de CRI	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Información relacionada	Gestionar los ciclos de vida de los objetos

Asegúrate de que la condición isLive sea False en las reglas de eliminación

ID de control de Google	GCS-CO-6.6
Categoría	Recomendado
Descripción	En las reglas de eliminación, asegúrate de que la condición isLive de la regla sea false. En Cloud Storage, storage.buckets/lifecycle.rule.condition.isLive es una condición booleana que se usa en las reglas de ciclo de vida para determinar si un objeto se considera activo. Este filtro ayuda a asegurarse de que las acciones de una regla de ciclo de vida se apliquen solo a los objetos deseados en función de su estado activo. Casos prácticos: Archivar versiones anteriores: archiva solo las versiones de objetos que no estén actualizadas para ahorrar costes de almacenamiento y, al mismo tiempo, mantener la versión más reciente fácilmente accesible. Limpiar objetos eliminados: automatiza la eliminación permanente de los objetos que han eliminado los usuarios, lo que libera espacio en el contenedor. Protege los datos activos: asegúrate de que las acciones, como la configuración de retenciones temporales, solo se apliquen a los objetos activos para evitar que se modifiquen accidentalmente las versiones archivadas o eliminadas.
Productos aplicables	Cloud Storage
Ruta	storage.buckets/lifecycle.rule.condition.isLive
Operador	==
Valor	False
Tipo	Booleano
Controles relacionados de NIST 800-53	SI-12
Controles relacionados con el perfil de CRI	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Información relacionada	isLive

Implementar obligatoriamente el control de versiones en los segmentos de Cloud Storage

ID de control de Google	GCS-CO-6.7
Categoría	Recomendado
Descripción	Asegúrate de que todos los segmentos de Cloud Storage tengan habilitada la gestión de versiones. Estos son algunos de los usos: Protección y recuperación de datos: protege los datos frente a pérdidas accidentales evitando que se sobrescriban y permitiendo la recuperación de datos eliminados o modificados. Cumplimiento y auditoría: mantén un historial de todas las ediciones de objetos para cumplir las normativas o para realizar auditorías internas. Control de versiones: registra los cambios en los archivos y conjuntos de datos, lo que permite colaborar y volver a versiones anteriores si es necesario.
Productos aplicables	Cloud Storage
Ruta	storage.buckets/versioning.enabled
Operador	!=
Valor	True
Tipo	Booleano
Controles relacionados de NIST 800-53	SI-12
Controles relacionados con el perfil de CRI	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Información relacionada	Gestión de versiones de objetos

Implementar obligatoriamente los propietarios de los segmentos de Cloud Storage

ID de control de Google	GCS-CO-6.8
Categoría	Recomendado
Descripción	Asegúrate de que google_storage_bucket.labels tenga una expresión para un propietario.
Productos aplicables	Cloud Storage
Ruta	storage.buckets/labels.owner
Operador	notexists
Valor	[]
Tipo	Ampliada
Controles relacionados de NIST 800-53	SI-12
Controles relacionados con el perfil de CRI	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Información relacionada	Usar etiquetas de segmento

Habilitar el registro de las actividades clave de Cloud Storage

ID de control de Google	GCS-CO-7.4
Categoría	Recomendado
Descripción	Habilita el registro adicional de objetos de almacenamiento concretos en función de su caso práctico. Por ejemplo, registra el acceso a los segmentos de datos sensibles para poder rastrear quién ha obtenido acceso y cuándo. Cuando habilites el registro adicional, ten en cuenta el volumen de registros que puedes generar.
Productos aplicables	Cloud Storage
Controles relacionados de NIST 800-53	AU-2 AU-3 AU-8 AU-9
Controles relacionados con el perfil de CRI	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4
Información relacionada	Registros de auditoría de Cloud con Cloud Storage

Siguientes pasos

• Consulta los controles de Dataflow.

• Consulta más Google Cloud prácticas recomendadas y directrices de seguridad para cargas de trabajo de IA generativa.