生成 AI ユースケースのセキュアなエンタープライズ基盤コントロール

このドキュメントでは、Google Cloudを使用する生成 AI ワークロードを実行する際に、安全なエンタープライズ基盤を構築するためのベスト プラクティスとガイドラインについて説明します。安全なエンタープライズ基盤には、次の制御が含まれます。

認証と認可

このセクションでは、 Google Cloudで生成 AI ワークロードを実行する際の Identity and Access Management（IAM）と Cloud Identity のベスト プラクティスとガイドラインについて説明します。

デフォルトのサービス アカウントに対する IAM ロールの自動付与を無効にする

Google コントロール ID IAM-CO-4.1
実装 必須
説明

Google Cloud サービスが制限の緩すぎるロールを持つデフォルトのサービス アカウントを自動的に作成する場合、automaticIamGrantsForDefaultServiceAccounts ブール型制約を使用して自動的なロール付与を無効にします。

デフォルトでは、一部のシステムで自動アカウントに過度に広範な権限が付与されるため、セキュリティ リスクが生じる可能性があります。たとえば、この制約を適用せずにデフォルトのサービス アカウントを作成すると、そのサービス アカウントにはプロジェクトの編集者ロール（roles/editor）が自動的に付与されます。攻撃者がシステムの一部を侵害すると、プロジェクト全体を制御できる可能性があります。この制約により、自動的な高レベルの権限が無効になり、必要最小限の権限のみが付与される、より安全で慎重なアプローチが強制されます。
対象プロダクト
  • IAM
  • 組織ポリシー サービス
パス constraints/iam.automaticIamGrantsForDefaultServiceAccounts
演算子 Is
値
  • False
型 ブール値
関連する NIST-800-53 コントロール
  • AC-3
  • AC-17
  • AC-20
関連する CRI プロファイル コントロール
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
関連情報

外部サービス アカウント キーの作成をブロックする

Google コントロール ID IAM-CO-4.2
実装 必須
説明

iam.disableServiceAccountKeyCreation ブール値制約を使用して、外部サービス アカウント キーの作成を無効にします。この制約を使用すると、サービス アカウントに関する、管理されない長期認証情報の使用を制御できます。この制約を設定すると、制約の影響を受けるプロジェクト内のサービス アカウントにユーザー管理の認証情報を作成できなくなります。
対象プロダクト
  • 組織ポリシー サービス
  • IAM
パス constraints/iam.disableServiceAccountKeyCreation
演算子 Is
値
  • True
型 ブール値
関連する NIST-800-53 コントロール
  • AC-3
  • AC-17
  • AC-20
関連する CRI プロファイル コントロール
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
関連情報

サービス アカウント キーのアップロードをブロックする

Google コントロール ID IAM-CO-4.3
実装 必須
説明

iam.disableServiceAccountKeyUpload ブール型制約を使用して、サービス アカウントに外部公開鍵をアップロードできないようにします。この制約を設定すると、ユーザーは制約の影響を受けるプロジェクト内のサービス アカウントに公開鍵をアップロードできなくなります。
対象プロダクト
  • 組織ポリシー サービス
  • IAM
パス constraints/iam.disableServiceAccountKeyUpload
演算子 Is
値
  • True
型 ブール値
関連する NIST-800-53 コントロール
  • AC-3
  • AC-17
  • AC-20
関連する CRI プロファイル コントロール
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
関連情報

組織のポリシー管理者の職務分離を構成する

Google コントロール ID OPS-CO-6.1
実装 必須
説明
Google Cloud 組織のセキュリティ ポスチャーに責任を負うグループに、組織のポリシー管理者（roles/orgpolicy.policyAdmin）ロールを割り当てます。セキュリティ ポリシーに違反するリソースの作成を回避するため、このロールをプロジェクト オーナーに割り当てないでください。
対象プロダクト
  • IAM
  • 組織ポリシー サービス
関連する NIST-800-53 コントロール
  • AC-2
  • AC-3
  • AC-5
関連する CRI プロファイル コントロール
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.DS-5.1
  • PR.PT-3.1
関連情報

特権管理者アカウントで 2 段階認証プロセスを有効にする

Google コントロール ID CI-CO-6.1
実装 必須
説明

Google では、特権管理者アカウントの 2 段階認証プロセス（2SV）に Titan セキュリティ キーを使用することを推奨しています。ただし、この方法が不可能なユースケースでは、別のセキュリティ キーを代わりに使用することをおすすめします。
対象プロダクト
  • Cloud Identity
  • Titan セキュリティ キー
関連する NIST-800-53 コントロール
  • IA-2
  • IA-4
  • IA-5
  • IA-7
関連する CRI プロファイル コントロール
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
関連情報

特権管理者組織部門に 2 段階認証プロセスを適用する

Google コントロール ID CI-CO-6.2
実装 必須
説明

特定の組織部門（OU）または組織全体に 2 段階認証プロセス（2SV）を適用します。特権管理者用の OU を作成し、その OU に 2 段階認証プロセスを適用することをおすすめします。
対象プロダクト
  • Cloud Identity
関連する NIST-800-53 コントロール
  • IA-2
  • IA-4
  • IA-5
  • IA-7
関連する CRI プロファイル コントロール
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
関連情報

メインの特権管理者専用のメールアドレスを作成する

Google コントロール ID CI-CO-6.4
実装 必須
説明
特定のユーザーに固有でないメールアドレスを、Cloud Identity のメインの特権管理者アカウントとして作成します。
対象プロダクト
  • Cloud Identity
関連する NIST-800-53 コントロール
  • IA-2
  • IA-4
  • IA-5
関連する CRI プロファイル コントロール
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
関連情報

冗長な管理者アカウントを作成する

Google コントロール ID CI-CO-6.7
実装 必須
説明

単一の特権管理者または組織管理者がいない。1 つ以上の（最大 20 個）バックアップ管理者アカウントを作成します。特権管理者または組織管理者が 1 人しかいない場合、ロックアウト シナリオが発生する可能性があります。また、1 人のユーザーがプラットフォームを変更する可能性があり、監視がない可能性があるため、リスクも高くなります。
対象プロダクト
  • Identity and Access Management（IAM）
  • Google Workspace
  • Cloud Identity
関連する NIST-800-53 コントロール
  • IA-2
  • IA-4
  • IA-5
関連する CRI プロファイル コントロール
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
関連情報

タグを実装して、Identity and Access Management（IAM）ポリシーと組織のポリシーを効率的に割り当てる

Google コントロール ID IAM-CO-6.1
実装 推奨
説明

タグを使用すると、リソースのアノテーションを作成できます。場合によっては、リソースに特定のタグが付加されているかどうかに基づいて、条件付きでポリシーの許可や拒否を行うことができます。タグと条件付きポリシー適用を使用して、リソース階層全体にわたり、きめ細かい制御を行います。
対象プロダクト
  • Resource Manager
関連する NIST-800-53 コントロール
  • AC-2
  • AC-3
  • AC-5
関連する CRI プロファイル コントロール
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.DS-5.1
  • PR.PT-3.1
関連情報

Identity and Access Management（IAM）に対するリスクの高い変更を監査する

Google コントロール ID IAM-CO-7.1
実装 推奨
説明

Cloud Audit Logs を使用して、組織管理者や特権管理者などのリスクの高いロールがアカウントに付与されるなど、リスクの高いアクティビティをモニタリングします。このタイプのアクティビティに関するアラートを設定します。
対象プロダクト
  • Cloud Audit Logs
関連する NIST-800-53 コントロール
  • AU-2
  • AU-3
  • AU-8
  • AU-9
関連する CRI プロファイル コントロール
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
関連情報

Cloud Identity のマネージド ユーザー アカウントの Cloud Shell へのアクセスをブロックする

Google コントロール ID CI-CO-6.8
実装 推奨
説明

Google Cloudへの過剰なアクセス権を付与しないようにするには、Cloud Identity のマネージド ユーザー アカウントに対する Cloud Shell へのアクセスをブロックします。
対象プロダクト
  • Cloud Identity
  • Cloud Shell
関連する NIST-800-53 コントロール
  • SC-7
  • SC-8
関連する CRI プロファイル コントロール
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
関連情報

Google コンソールのコンテキストアウェア アクセスを構成する

Google コントロール ID IAM-CO-8.2
実装 省略可
説明

コンテキストアウェア アクセスを使用すると、ユーザー ID、アクセス元の地域、デバイスのセキュリティ状況、IP アドレスなどの属性に基づいて、アプリケーションに対する詳細なアクセス制御セキュリティ ポリシーを設定できます。コンテキストアウェア アクセスを使用して、 Google Cloud コンソール（https://console.cloud.google.com/）と Google 管理コンソール（https://admin.cloud.google.com）へのアクセスを制限することをおすすめします。
対象プロダクト
  • Cloud Identity
  • コンテキストアウェア アクセス
関連する NIST-800-53 コントロール
  • AC-3
  • AC-12
  • AC-17
  • AC-20
  • SC-7
  • SC-8
関連する CRI プロファイル コントロール
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
関連情報

特権管理者アカウントの自己復元をブロックする

Google コントロール ID CI-CO-6.3
実装 省略可
説明
攻撃者は自己復元プロセスを使用して、特権管理者のパスワードを再設定する可能性があります。シグナリング システム 7（SS7）攻撃、SIM スワップ攻撃、その他のフィッシング攻撃に関連するセキュリティ リスクを軽減するため、この機能をオフにすることをおすすめします。この機能を無効にするには、Google 管理コンソールでアカウントの復元設定に移動します。
対象プロダクト
  • Cloud Identity
  • Google Workspace
関連する NIST-800-53 コントロール
  • IA-2
  • IA-4
  • IA-5
関連する CRI プロファイル コントロール
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
関連情報

使用していない Google サービスをオフにする

Google コントロール ID CI-CO-6.6
実装 省略可
説明
通常は、使用しないサービスをオフにすることをおすすめします。
対象プロダクト
  • Cloud Identity
パス http://admin.google.com > Apps > Additional Google Services
演算子 Setting
値
  • False
関連する NIST-800-53 コントロール
  • SC-7
  • SC-8
関連する CRI プロファイル コントロール
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
関連情報

組織

このセクションでは、 Google Cloudで生成 AI ワークロードを実行する際の組織のポリシー サービスと Resource Manager のベスト プラクティスとガイドラインについて説明します。

Google API でサポートされる TLS バージョンを制限する

Google コントロール ID COM-CO-1.1
実装 必須
説明

Google Cloud は複数の TLS プロトコル バージョンをサポートしています。コンプライアンス要件を満たすため、古い TLS バージョンを使用しているクライアントからの handshake リクエストを拒否する場合があります。

このコントールを構成するには、TLS バージョンを制限（gcp.restrictTLSVersion）の組織のポリシーの制約を使用します。この制約は、リソース階層内の組織、フォルダ、プロジェクトに適用できます。TLS バージョンを制限する制約では、明示的な値を拒否し、他のすべての値を許可する拒否リストが使用されます。許可リストを使用しようとするとエラーが発生します。

組織のポリシー階層の評価の動作により、TLS バージョン制限は、指定されたリソースノードのほかに、そのすべての子フォルダとプロジェクトに適用されます。たとえば、組織で TLS バージョン 1.0 を拒否すると、その組織の子孫であるすべての子でも拒否されます。

子リソースの組織のポリシーを更新すると、継承された TLS バージョン制限をオーバーライドできます。たとえば、組織のポリシーが組織レベルで TLS 1.0 を拒否する場合、そのフォルダに別の組織のポリシーを設定することで子フォルダの制限を解除できます。フォルダに子がある場合、ポリシーの継承により、フォルダのポリシーが各子リソースにも適用されます。

TLS バージョンを TLS 1.3 のみに制限するには、このポリシーを設定して TLS バージョン 1.2 も制限します。このコントールは、 Google Cloud内でホストするアプリケーションに実装する必要があります。たとえば、組織レベルで次のように設定します。

["TLS_VERSION_1","TLS_VERSION_1.1","TLS_VERSION_1.2"]
対象プロダクト
  • すべて。組織のポリシー サービスによって管理
パス gcp.restrictTLSVersion
演算子 ==
値
  • TLS_VERSION_1
  • TLS_VERSION_1.1
型 文字列
コンプライアンス マネージャーのコントロール ID RESTRICT_LEGACY_TLS_VERSIONS
関連する NIST-800-53 コントロール
  • SC-8
  • SC-13
関連する CRI プロファイル コントロール
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
関連情報

承認済みプリンシパルを制限する

Google コントロール ID COM-CO-4.1
実装 必須
説明

Google Cloud 環境で組織の ID のみが許可されるようにします。ドメインで制限された共有（iam.allowedPolicyMemberDomains）または iam.managed.allowedPolicyMembers 組織のポリシー制約を使用して、プリンシパルを Identity and Access Management（IAM）ポリシーに追加できる Cloud Identity または Google Workspace のユーザー ID を 1 つ以上定義します。

これらの制約により、従業員が組織の管理外の外部アカウントにアクセス権を付与することを防ぐことができます。これらのアカウントは、多要素認証（MFA）やパスワード管理に関するセキュリティ ポリシーに準拠していません。この制御は、不正アクセスを防ぎ、信頼できる管理対象の企業 ID のみを使用できるようにするために不可欠です。
対象プロダクト
  • 組織ポリシー サービス
  • IAM
パス constraints/iam.allowedPolicyMemberDomains
演算子 Is
値
  • CUSTOMER_ID,ORG_ID
型 リスト
関連する NIST-800-53 コントロール
  • AC-3
  • AC-17
  • AC-20
関連する CRI プロファイル コントロール
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
関連情報

リソース サービスの使用を制限する

Google コントロール ID RM-CO-4.1
実装 必須
説明

gcp.restrictServiceUsage 制約により、承認済みの Google Cloud サービスのみが適切な場所で使用されるようにします。たとえば、本番環境のフォルダや機密性の高いフォルダには、データの保存を承認する Google Cloud サービスを制限します。サンドボックス フォルダは、より多くのサービスをリストに追加して承認して、それと同時に、データの引き出しを防ぐデータ セキュリティ コントロールを設定します。この値はシステムに固有のもので、特定のフォルダとプロジェクトの承認済みサービスと依存関係のリストと一致します。

この制約を使用すると、組織で承認済みサービスの許可リストを作成できるため、従業員が審査されていないサービスを使用するのを防ぐことができます。
対象プロダクト
  • 組織ポリシー サービス
  • Resource Manager
パス constraints/gcp.restrictServiceUsage
演算子 Is
関連する NIST-800-53 コントロール
  • AC-3
  • AC-17
  • AC-20
関連する CRI プロファイル コントロール
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
関連情報

リソースのロケーションを制限する

Google コントロール ID RM-CO-4.2
実装 必須
説明

リソース ロケーション制限（gcp.resourceLocations）制約により、承認された Google Cloud リージョンのみがデータの保存に使用されるようにします。値はシステムに固有であり、組織のデータ所在地に関する承認済みリージョンのリストと一致します。

この制約により、組織は、リソースとデータが特定の承認済み地理的リージョンでのみ作成および保存されるように強制できます。
対象プロダクト
  • 組織ポリシー サービス
  • Resource Manager
パス constraints/gcp.resourceLocations
演算子 Is
関連する NIST-800-53 コントロール
  • AC-3
  • AC-17
  • AC-20
関連する CRI プロファイル コントロール
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
関連情報

ネットワーキング

このセクションでは、 Google Cloudで生成 AI ワークロードを実行する際の Virtual Private Cloud（VPC）と Cloud DNS のベスト プラクティスとガイドラインについて説明します。

デフォルト ネットワークの作成をブロックする

Google コントロール ID VPC-CO-6.1
実装 必須
説明

compute.skipDefaultNetworkCreation ブール値制約により、 Google Cloud プロジェクトの作成時にデフォルトのネットワークと関連リソースの作成がスキップされます。

デフォルト ネットワークは、内部通信パスを許可する IPv4 ファイアウォール ルールが事前入力された自動モードの Virtual Private Cloud（VPC）ネットワークです。通常、この設定は本番環境で推奨されるセキュリティ対策ではありません。
対象プロダクト
  • 組織ポリシー サービス
  • Virtual Private Cloud（VPC）
パス constraints/compute.skipDefaultNetworkCreation
値
  • True
型 ブール値
関連する NIST-800-53 コントロール
  • SC-7
  • SC-8
関連する CRI プロファイル コントロール
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
関連情報

DNS Security Extensions を有効にする

Google コントロール ID DNS-CO-6.1
実装 必須
説明

DNSSEC（Domain Name System Security Extensions）は、ドメイン名のルックアップに対するレスポンスを認証するドメイン ネーム システム（DNS）の機能です。これらのルックアップに対するプライバシー保護は行いませんが、DNS リクエストに対するレスポンスの改ざんや汚染を防ぎます。

Cloud DNS 内の次の場所で DNSSEC を有効にします。

  • DNS ゾーン
  • トップレベル ドメイン（TLD）
  • DNS の解決
対象プロダクト
  • Cloud DNS
関連する NIST-800-53 コントロール
  • SC-7
  • SC-8
関連する CRI プロファイル コントロール
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
関連情報

Access Context Manager のアクセス ポリシーでサービス スコープの制限を有効にする

Google コントロール ID COM-CO-8.1
実装 生成 AI のユースケースに推奨
説明

すべてのサービス境界について、 Google Cloud コンソールで境界のタイプが標準に設定されていることを確認します。
対象プロダクト
  • Access Context Manager
  • VPC Service Controls
パス accesscontextmanager.accessPolicies.servicePerimeters/perimeterType
演算子 ==
値
  • PERIMETER_TYPE_REGULAR
型 文字列
関連する NIST-800-53 コントロール
  • SC-7
  • SC-8
関連する CRI プロファイル コントロール
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
関連情報

VPC Service Controls サービス境界内の API を制限する

Google コントロール ID COM-CO-8.2
実装 生成 AI のユースケースに推奨
説明

サービス境界ごとに、Access Context Manager を使用して、境界が API を保護していることを確認します。
対象プロダクト
  • VPC Service Controls
  • Access Context Manager
パス accesscontextmanager.accessPolicies.servicePerimeters/status.restrictedServices
演算子 Anyof
値
  • aiplatform.googleapis.com
  • artifactregistry.googleapis.com
  • bigquery.googleapis.com
  • cloudasset.googleapis.com
  • cloudbuild.googleapis.com
  • cloudfunctions.googleapis.com
  • cloudresourcemanager.googleapis.com
  • containeranalysis.googleapis.com
  • discoveryengine.googleapis.com
  • dns.googleapis.com
  • notebooks.googleapis.com
  • ondemandscanning.googleapis.com
  • orgpolicy.googleapis.com
  • pubsub.googleapis.com
  • secretmanager.googleapis.com
  • storage.googleapis.com
  • visionai.googleapis.com
型 文字列
関連する NIST-800-53 コントロール
  • SC-7
  • SC-8
関連する CRI プロファイル コントロール
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
関連情報

ゾーン DNS を使用する

Google コントロール ID DNS-CO-4.1
実装 省略可
説明

compute.setNewProjectDefaultToZonalDNSOnly ブール値制約を使用すると、新しいプロジェクトの内部 DNS 設定をゾーン DNS のみに設定できます。ゾーン DNS を使用します。ゾーン DNS は DNS 登録で発生する障害を隔離するため、個々のゾーンよりも信頼性が高くなります。
対象プロダクト
  • 組織のポリシー
パス constraints/compute.setNewProjectDefaultToZonalDNSOnly
演算子 =
値
  • True
型 ブール値
関連する NIST-800-53 コントロール
  • AC-3
  • AC-17
  • AC-20
関連する CRI プロファイル コントロール
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
関連情報

ロギング、モニタリング、アラート

このセクションでは、 Google Cloud でのロギングと監査サービスのベスト プラクティスとガイドライン、Cloud Billing などのサービスのアラートの構成について説明します。

Cloud Identity から監査ログを共有する

Google コントロール ID CI-CO-6.5
実装 必須
説明

Cloud Identity を使用している場合は、Cloud Identity から Google Cloudに監査ログを共有します。

Google Workspace または Cloud Identity の管理アクティビティ監査ログは通常、 Google Cloud 環境のログとは別に Google 管理コンソールで管理および表示されます。これらのログには、ユーザーのログイン イベントなど、 Google Cloud 環境に関連する情報が含まれています。

すべてのソースからのログを一元管理するために、Cloud Identity 監査ログを Google Cloud 環境と共有することをおすすめします。
対象プロダクト
  • Google Workspace
  • Cloud Logging
  • Cloud Identity
関連する NIST-800-53 コントロール
  • AC-2
  • AC-3
  • AC-8
  • AC-9
関連する CRI プロファイル コントロール
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
関連情報

監査ログを使用する

Google コントロール ID COM-CO-7.3
実装 必須
説明

Google Cloud サービスは、 Google Cloud リソースで誰がいつどこで何をしたかを調べるために、監査ログエントリを書き込みます。

組織レベルで監査ロギングを有効にします。 Google Cloud 組織の設定に使用するパイプラインを使用して、ロギングを構成できます。
対象プロダクト
  • Cloud Audit Logs
関連する NIST-800-53 コントロール
  • AU-2
  • AU-3
  • AU-8
  • AU-9
関連する CRI プロファイル コントロール
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
関連情報

VPC Flow Logs を有効にする

Google コントロール ID COM-CO-7.4
実装 必須
説明

VPC Flow Logs は、VM インスタンスで送受信されたネットワーク フローのサンプルを記録します（Google Kubernetes Engine（GKE）ノードとして使用されたインスタンスを含む）。サンプルは通常、VPC ネットワーク フローの 50% 以下です。

VPC フローログを有効にすると、サブネット内のすべての VM に対して Logging を有効にすることになります。 ただし、Logging に書き込まれる情報の量は削減されます。

各 VPC サブネットで VPC Flow Logs を有効にします。プロジェクトの作成に使用するパイプラインを使用して、ロギングを構成できます。
対象プロダクト
  • Virtual Private Cloud
関連する NIST-800-53 コントロール
  • AU-2
  • AU-3
  • AU-8
  • AU-9
関連する CRI プロファイル コントロール
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
関連情報

ファイアウォール ルール ロギングを有効にする

Google コントロール ID COM-CO-7.5
実装 必須
説明

デフォルトでは、ファイアウォール ルールはログを自動的に書き込みません。ファイアウォール ルール ロギングを使用すると、ファイアウォール ルールの効果を監査、検証、分析できます。このロギングを使用すると、たとえば、トラフィックを拒否するように指定されたファイアウォール ルールが意図したとおりに機能しているかどうかを確認できます。ロギングは、特定のファイアウォール ルールによって影響を受ける接続の数を判別する場合にも役立ちます。

各ファイアウォール ルールに対してロギングを有効にします。ファイアウォールの作成に使用するパイプラインを使用して、ロギングを構成できます。
対象プロダクト
  • Virtual Private Cloud
関連する NIST-800-53 コントロール
  • AU-2
  • AU-3
  • AU-8
  • AU-9
関連する CRI プロファイル コントロール
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
関連情報

データアクセス監査ログを有効にする

Google コントロール ID COM-CO-7.2
実装 特定のユースケースで推奨
説明

Google Cloud 環境でデータにアクセスしたユーザーを追跡するには、データアクセス監査ログを有効にします。これらのログには、ユーザーデータの読み取り、作成、変更を行う API 呼び出しと、リソース構成の読み取りを行う API 呼び出しが記録されます。

生成 AI モデルと機密データに対してデータアクセス監査ログを有効にすることを強くおすすめします。これにより、情報を読み取ったユーザーを監査できます。データアクセス監査ログを使用するには、特権管理者のログインなどの特定のアクティビティに対して独自のカスタム検出ロジックを設定する必要があります。

データアクセス監査ログのボリュームは大きなものになる可能性があります。データアクセス ログを有効にすると、 Google Cloud プロジェクトに対して追加のログ使用量の費用が発生する可能性があります。
対象プロダクト
  • Cloud Audit Logs
関連する NIST-800-53 コントロール
  • AU-2
  • AU-3
  • AU-8
  • AU-9
関連する CRI プロファイル コントロール
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
関連情報

請求アラートを構成する

Google コントロール ID CB-CO-6.1
実装 推奨
説明

Cloud Billing の予算を作成して、 Google Cloud のすべての料金を 1 か所でモニタリングすることで、想定外の請求が発生する事態を回避します。予算額を設定したら、プロジェクトごとに予算アラートしきい値のルールを設定して、メール通知をトリガーします。これらの通知は、予算に対する費用の追跡に役立ちます。Cloud Billing の予算を使用して、費用管理のレスポンスを自動化することもできます。
対象プロダクト
  • Cloud Billing
関連する NIST-800-53 コントロール
  • SI-4
  • SI-5
関連する CRI プロファイル コントロール
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
  • ID.RA-1.1
  • ID.RA-2.1
  • ID.RA-3.1
  • ID.RA-3.2
  • ID.RA-3.3
関連情報

アクセスの透明性ログを有効にする

Google コントロール ID COM-CO-7.7
実装 省略可
説明

標準ログには組織のユーザーが行った操作が表示されますが、アクセスの透明性ログには Google サポート スタッフがアカウントにアクセスしたときに行った操作が表示されます。通常、このアクセスはサポート リクエストに応じてのみ行われます。アクセスの透明性ログは、すべてのアクセスに関する完全で検証可能な監査証跡を提供します。これは、厳格なコンプライアンスとデータガバナンスの要件を満たすために不可欠です。

アクセスの透明性は組織レベルで有効にできます。
対象プロダクト
  • アクセスの透明性
関連する NIST-800-53 コントロール
  • AU-2
  • AU-3
  • AU-8
  • AU-9
関連する CRI プロファイル コントロール
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
関連情報

詳細な分析用に課金データをエクスポートする

Google コントロール ID CB-CO-6.2
実装 省略可
説明

請求の詳細な分析を行うには、 Google Cloud 課金データを BigQuery または JSON ファイルにエクスポートします。たとえば、指定した BigQuery データセットに使用量、費用の見積もり、料金など、1 日分の詳細なデータを自動的にエクスポートできます。これにより、BigQuery から Cloud Billing データにアクセスして、詳細な分析を行うことが可能になります。また、データポータルなどのツールを使用してデータを可視化することもできます。
対象プロダクト
  • BigQuery Data Transfer Service
  • BigQuery
  • Cloud Billing
関連する NIST-800-53 コントロール
  • SI-4
  • SI-5
関連する CRI プロファイル コントロール
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
  • ID.RA-1.1
  • ID.RA-2.1
  • ID.RA-3.1
  • ID.RA-3.2
  • ID.RA-3.3
関連情報

鍵とシークレットの管理

このセクションでは、Google Cloudで生成 AI ワークロードを実行する際の Cloud Key Management Service と Secret Manager のベスト プラクティスとガイドラインについて説明します。

Google Cloudで保存データを暗号化する

Google コントロール ID COM-CO-2.1
実装 必須（デフォルト）
説明

Google Cloud のすべてのデータは、デフォルトで NIST 承認済みのアルゴリズムを使用して保存時に暗号化されます。
対象プロダクト
  • Google Cloud デフォルト
関連する NIST-800-53 コントロール
  • SC-28
関連する CRI プロファイル コントロール
  • PR.DS-1.1
  • PR.DS-1.2
関連情報

暗号化と復号に NIST 承認済みのアルゴリズムを使用する

Google コントロール ID COM-CO-2.4
実装 必須
説明

Cloud Key Management Service（Cloud KMS）が NIST 承認済みのアルゴリズムのみを使用して、環境内の機密鍵を保存していることを確認します。このコントールにより、NIST 承認済みのアルゴリズムとセキュリティのみを使用して、安全な鍵の使用が保証されます。CryptoKeyVersionAlgorithm フィールドは、指定された許可リストです。

組織のポリシーに準拠していないアルゴリズムを削除します。
対象プロダクト
  • Cloud KMS
パス cloudkms.projects.locations.keyRings.cryptoKeys/versionTemplate.algorithm
演算子 in
値
  • RSA_SIGN_PSS_2048_SHA256
  • RSA_SIGN_PSS_3072_SHA256
  • RSA_SIGN_PSS_4096_SHA256
  • RSA_DECRYPT_OAEP_2048_SHA256
  • RSA_DECRYPT_OAEP_4096_SHA256
  • RSA_DECRYPT_OAEP_2048_SHA1
  • RSA_DECRYPT_OAEP_4096_SHA1
型 文字列
関連する NIST-800-53 コントロール
  • SC-12
  • SC-13
関連する CRI プロファイル コントロール
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
関連情報

Cloud KMS 鍵の目的を設定する

Google コントロール ID COM-CO-2.5
実装 必須
説明

Cloud KMS 鍵の目的を ENCRYPT_DECRYPT に設定して、鍵がデータの暗号化と復号にのみ使用されるようにします。このコントールにより、署名などの他の機能がブロックされ、鍵が本来の目的にのみ使用されるようになります。他の機能に鍵を使用している場合は、それらのユースケースを検証し、追加の鍵の作成を検討してください。
対象プロダクト
  • Cloud KMS
パス cloudkms.projects.locations.keyRings.cryptoKeys/purpose
演算子 ==
値
  • ENCRYPT_DECRYPT
型 文字列
関連する NIST-800-53 コントロール
  • SC-12
  • SC-13
関連する CRI プロファイル コントロール
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
関連情報

安全な BigQuery データ ウェアハウスに適切な CMEK 設定がされていることを確認する

Google コントロール ID COM-CO-2.6
実装 必須
説明

保護レベルは暗号オペレーションをどのように行うかを表します。顧客管理の暗号鍵（CMEK）を作成した後に、保護レベルを変更することはできません。サポートされている保護レベルは次のとおりです。

  • SOFTWARE: 暗号オペレーションはソフトウェアで行われます。
  • HSM: 暗号オペレーションはハードウェア セキュリティ モジュール（HSM）で実行されます。
  • EXTERNAL: 暗号オペレーションは、インターネット経由で Google Cloud に接続されている外部鍵マネージャーに保存されている鍵を使用して実行されます。オペレーションは、対称暗号化と非対称署名に限定されています。
  • EXTERNAL_VPC: Virtual Private Cloud（VPC）ネットワークを介して Google Cloud に接続されている外部鍵マネージャーに保存されている鍵を使用して、暗号オペレーションが実行されます。オペレーションは、対称暗号化と非対称署名に限定されています。
対象プロダクト
  • Cloud KMS
  • BigQuery
パス cloudkms.projects.locations.keyRings.cryptoKeys/primary.protectionLevel
演算子 in
値
  • []
型 文字列
関連する NIST-800-53 コントロール
  • SC-12
  • SC-13
関連する CRI プロファイル コントロール
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
関連情報

暗号鍵を 90 日ごとにローテーションする

Google コントロール ID COM-CO-2.7
実装 必須
説明

Cloud KMS 鍵のローテーション期間が 90 日に設定されていることを確認します。一般的なベスト プラクティスは、セキュリティ キーを定期的にローテーションすることです。このコントロールは、HSM サービスで作成された鍵のローテーションを強制します。

このローテーション期間を作成するときは、鍵マテリアルの作成、削除、変更を安全に処理するための適切なポリシーと手順も作成して、情報を保護し、可用性を確保できるようにします。この期間が、鍵のローテーションに関する企業ポリシーに準拠していることを確認します。
対象プロダクト
  • Cloud KMS
パス cloudkms.projects.locations.keyRings.cryptoKeys/rotationPeriod
演算子 <=
値
  • 90
型 int32
関連する NIST-800-53 コントロール
  • SC-12
  • SC-13
関連する CRI プロファイル コントロール
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
関連情報

シークレットの自動ローテーションを設定する

Google コントロール ID SM-CO-6.2
実装 必須
説明
シークレットを自動的にローテーションし、不正使用が発生した場合は緊急時のローテーション手順を使用します。
対象プロダクト
  • Secret Manager
関連する NIST-800-53 コントロール
  • SC-12
  • SC-13
関連する CRI プロファイル コントロール
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
関連情報

Pub/Sub メッセージに CMEK を使用する

Google コントロール ID PS-CO-6.1
実装 推奨
説明
Pub/Sub で顧客管理の暗号鍵（CMEK）を有効にすると、Pub/Sub がメッセージの保護に使用する暗号鍵をより詳細に制御できます。アプリケーション レイヤでは、Pub/Sub が受信メッセージを受信すると、Pub/Sub が受信メッセージを個別に暗号化します。Pub/Sub は、サブスクリプションにメッセージをパブリッシュする前に、トピック用に生成された最新のデータ暗号鍵（DEK）を使用してメッセージを暗号化します。Pub/Sub は、メッセージをサブスクライバーに配信する直前に復号します。Pub/Sub は Google Cloud サービス アカウントを使用して Cloud Key Management Service にアクセスします。サービス アカウントはプロジェクトごとに Pub/Sub によって内部的に維持されます。サービス アカウントのリストには表示されません。
対象プロダクト
  • Cloud KMS
  • Pub/Sub
関連する NIST-800-53 コントロール
  • SC-12
  • SC-13
関連する CRI プロファイル コントロール
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
関連情報

顧客管理の暗号鍵のロケーションを制限する

Google コントロール ID COM-CO-2.2
実装 推奨
説明

CMEK 用の KMS CryptoKey を提供できるプロジェクトを制限する（gcp.restrictCmekCryptoKeyProjects）組織のポリシーの制約を使用して、顧客管理の暗号鍵（CMEK）を保存できるプロジェクトを定義します。この制約により、暗号鍵のガバナンスと管理を一元化できます。選択した鍵がこの制約を満たしていない場合、リソースの作成は失敗します。

この制約を変更するには、管理者に組織ポリシー管理者（roles/orgpolicy.policyAdmin）の IAM ロールが必要です。

独自の鍵の持ち込みなど、第 2 の保護レイヤを追加する場合は、この制約を変更して、有効になっている CMEK の鍵名を表します。

プロダクトの詳細:

  • Gemini Enterprise Agent Platform では、鍵は KEY PROJECTS プロジェクトに保存されます。
対象プロダクト
  • Cloud KMS
  • 組織ポリシー
パス constraints/gcp.restrictCmekCryptoKeyProjects
演算子 notexists
値
  • KEY PROJECTS
型 文字列
関連する NIST-800-53 コントロール
  • SC-12
  • SC-13
関連する CRI プロファイル コントロール
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
関連情報

Google Cloud サービスに CMEK を使用する

Google コントロール ID COM-CO-2.3
実装 推奨
説明

鍵オペレーションを Google-owned and Google-managed encryption keys よりも細かく制御する必要がある場合は、顧客管理の暗号鍵（CMEK）を使用できます。これらの鍵は、Cloud KMS を使用して作成および管理されます。鍵は、ソフトウェア鍵として、HSM クラスタまたは外部の鍵管理システムに保存します。

Cloud KMS の暗号化と復号の割合は、割り当ての対象になります。

Cloud Storage の詳細

Cloud Storage で、個々のオブジェクトに CMEK を使用するか、バケットに追加されたすべての新しいオブジェクトで CMEK がデフォルトで使用されるように Cloud Storage バケットを構成します。CMEK を使用すると、オブジェクトはバケットに保存されるときに Cloud Storage によって鍵で暗号化されます。オブジェクトがリクエスト元に提供されるときに、Cloud Storage によって自動的に復号されます。

Cloud Storage で CMEK を使用する場合、次の制限が適用されます。

  • オブジェクトのメタデータを更新しても、CMEK でオブジェクトを暗号化することはできません。代わりに、オブジェクトの書き換えの一部としてその暗号鍵を含めてください。
  • Cloud Storage は、オブジェクトの更新コマンドを使用してオブジェクトの暗号鍵を設定しますが、このコマンドはリクエストの一部としてオブジェクトを書き換えます。
  • Cloud KMS キーリングは、暗号化するデータと同じロケーションに作成する必要があります。たとえば、バケットが us-east1 にある場合、そのバケットのオブジェクトの暗号化に使用されるキーリングも us-east1 に作成する必要があります。
  • ほとんどのデュアルリージョンでは、関連付けられたマルチリージョンに Cloud KMS キーリングを作成する必要があります。たとえば、バケットが us-east1 と us-west1 のペアにある場合、そのバケット内のオブジェクトの暗号化に使用するキーリングは、US マルチリージョンに作成する必要があります。
  • 事前定義のデュアルリージョン asia1、eur4、nam4 では、同じ事前定義のデュアルリージョンにキーリングを作成する必要があります。
  • JSON API を使用してオブジェクトを一覧表示する場合、CMEK を使用して暗号化されたオブジェクトの CRC32C チェックサムと MD5 ハッシュは返されません。
  • Cloud Storage などのツールを使用して、各暗号化オブジェクトに対して追加のメタデータ GET リクエストを実行して CRC32C と MD5 の情報を取得すると、リスティングを大幅に短縮できます。Cloud Storage では、Cloud KMS に保存されている非対称鍵の復号部分を使用して、CMEK と同じ方法で関連オブジェクトを自動的に復号することはできません。
対象プロダクト
  • Cloud KMS
  • 組織ポリシー
  • Cloud Storage
パス constraints/gcp.restrictNonCmekServices
演算子 ==
値
  • bigquery.googleapis.com
  • storage.googleapis.com
  • aiplatform.googleapis.com
型 文字列
関連する NIST-800-53 コントロール
  • SC-12
  • SC-13
関連する CRI プロファイル コントロール
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
関連情報

シークレットを自動的に複製する

Google コントロール ID SM-CO-6.1
実装 推奨
説明
ワークロードに特定のロケーション要件がない限り、自動レプリケーション ポリシーを選択してシークレットを複製します。自動ポリシーは、ほとんどのワークロードの可用性とパフォーマンスのニーズを満たしています。ワークロードに特定のロケーション要件がある場合は、API を使用して、シークレットの作成時にレプリケーション ポリシーのロケーションを選択できます。
対象プロダクト
  • Secret Manager
関連する NIST-800-53 コントロール
  • SC-12
  • SC-13
関連する CRI プロファイル コントロール
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
関連情報

セキュリティ ポスチャーと分析

このドキュメントでは、 Google Cloudで生成 AI ワークロードを実行する際の Security Command Center のベスト プラクティスとガイドラインについて説明します。

組織レベルで Security Command Center を有効にする

Google コントロール ID SCC-CO-6.1
実装 必須
説明
追加の構成を回避するため、組織レベルで Security Command Center を有効にします。Security Command Center を使用しない場合は、別のポスチャー管理ソリューションを有効にする必要があります。
対象プロダクト
  • Security Command Center
関連する NIST-800-53 コントロール
  • SI-4
  • SI-5
関連する CRI プロファイル コントロール
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
  • ID.RA-1.1
  • ID.RA-2.1
  • ID.RA-3.1
  • ID.RA-3.2
  • ID.RA-3.3
関連情報

Security Command Center からアラートを構成する

Google コントロール ID SCC-CO-7.1
実装 推奨
説明
Security Command Center からのアラートにより、組織の可視性が向上し、 Google Cloud サービスの問題が通知されるため、適切な対応を取ることができます。Cloud Logging でアラートを設定すると、Security Command Center サービス エージェント（service-org-ORGANIZATION_NUMBER@security-center-api.iam.gserviceaccount.com）に関連するエラーの通知を受け取ることができます。
対象プロダクト
  • Security Command Center
  • ロギング
関連する NIST-800-53 コントロール
  • AU-2
  • AU-3
  • AU-8
  • AU-9
関連する CRI プロファイル コントロール
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
関連情報

次のステップ