Activa el nivel Premium de Security Command Center para una organización

Nivel de servicio Premium (requiere activación a nivel de la organización)

En este documento, se describe cómo activar Security Command Center Premium para una organización a través de la Google Cloud consola. Si activas Security Command Center Premium, se habilitará automáticamente una variedad de servicios.

Para obtener más información sobre Security Command Center Premium, consulta Niveles de servicio de Security Command Center.

Para activar Security Command Center en un nivel de servicio diferente, consulta lo siguiente:

• Activa el nivel Estándar de Security Command Center para una organización
• Activa el Security Command Center Enterprise Center

Para activar Security Command Center solo para un proyecto, consulta Activa Security Command Center para un proyecto.

Antes de comenzar

Antes de activar Security Command Center Premium para una organización, debes hacer lo siguiente:

• Obtener roles y permisos específicos de Identity and Access Management (IAM)
• Opcional: Habilitar APIs adicionales
• Revisar las políticas de tu organización, si corresponde
• Si planeas habilitar la residencia de datos, revisa Planificación de la residencia de datos y determina qué ubicación usar.
• Si planeas usar una clave de encriptación administrada por el cliente (CMEK), completa las tareas necesarias para habilitar CMEK para Security Command Center.

Puedes configurar la residencia de datos y la encriptación de datos cuando activas Security Command Center. Para cambiar estos parámetros de configuración después de activar Security Command Center Standard o Premium, consulta Modifica la configuración de residencia de datos o encriptación de datos.

Roles obligatorios

Para obtener los permisos que necesitas para activar Security Command Center para una organización, pídele a tu administrador que te otorgue los siguientes roles de IAM en tu organización:

• Administrador del centro de seguridad (roles/securitycenter.admin)
• Administrador de la organización (roles/resourcemanager.organizationAdmin)

Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

También puedes obtener los permisos necesarios mediante roles personalizados o cualquier otro rol predefinido.

Habilita la API de Security Center Management

Si planeas usar la API de Security Center Management, habilita esta API en el proyecto en el que planeas llamarla:

Roles necesarios para habilitar las APIs

Para habilitar las APIs, necesitas el permiso serviceusage.services.enable. Si creaste el proyecto, es probable que ya tengas este permiso a través del rol Propietario (roles/owner). De lo contrario, puedes obtener este permiso a través del rol Administrador de Service Usage (roles/serviceusage.serviceUsageAdmin). Obtén información para otorgar roles.

Habilitar la API

Revisa las políticas de la organización

Si las políticas de tu organización están configuradas para restringir identidades por dominio, confirma lo siguiente:

• Debes acceder a la Google Cloud consola de en una cuenta que esté en un dominio permitido.
• Tus cuentas de servicio deben estar en un dominio permitido o miembros de un grupo dentro de tu dominio. Este requisito te permite permitir que los servicios que usan la cuenta de servicio @*.gserviceaccount.com accedan a los recursos cuando el uso compartido restringido del dominio se habilita.

Si las políticas de tu organización están configuradas para restringir el uso de recursos, verifica que tu política permita las siguientes APIs:

• cloudsecuritycompliance.googleapis.com
• securitycenter.googleapis.com
• securitycentermanagement.googleapis.com

Activa Security Command Center Premium

Puedes activar Security Command Center Premium para una organización a través de la Google Cloud consola.

1. En la Google Cloud consola de, ve a la página de bienvenida de Security Command Center.

   Ve a Security Command Center

2. Si deseas habilitar la residencia de datos, abre una consola jurisdiccional con la URL que coincida con la ubicación que planeas configurar.

   Debes usar la consola jurisdiccional Google Cloud para activar Security Command Center con controles de residencia de datos y modificar la configuración de residencia de datos después de la activación. Para obtener más información, consulta Acerca de la consola Google Cloud jurisdiccional.

   Precaución: Security Command Center no valida tu ubicación de residencia de datos en función de las políticas de la organización que aplican la restricción de ubicaciones de recursos, gcp.resourceLocations. Cuando configuras la residencia de datos, debes seleccionar una ubicación que sea coherente con las políticas de tu organización.

3. Selecciona la organización en la que quieres habilitar Security Command Center Premium y haz clic en Seleccionar.

4. En la página de bienvenida, selecciona Comenzar una prueba gratuita de Premium.

   Nota: La prueba gratuita de Premium dura 30 días. Cuando finalice la prueba, tu organización pasará automáticamente al plan Premium con pago por uso y se cobrará a tu cuenta de facturación según corresponda.

   Para cancelar la prueba de Premium y evitar cargos por uso, debes cambiar al nivel Estándar antes de que finalice el período de prueba. Puedes cambiar de nivel en cualquier momento durante la prueba. Para obtener instrucciones detalladas, consulta Cómo cambiar del nivel Premium al nivel Estándar.

   Si deseas comprar una suscripción a Premium, consulta Nivel Premium: Precios basados en suscripciones para obtener más detalles.

5. Opcional: Para confirmar la configuración de residencia de datos o cambiar la configuración de encriptación de datos, haz clic en Mostrar más.

   • Si usas una consola jurisdiccional, el el campo Residencia de datos muestra Habilitar y el el campo Ubicación muestra la misma ubicación que la consola jurisdiccional. Para cambiar la ubicación, abre la consola con una URL que coincida con la ubicación que deseas configurar.
   • La configuración predeterminada de encriptación de datos usa Google-owned and Google-managed encryption keys. Para usar una clave de Cloud Key Management Service, haz clic en Editar encriptación de datos y, luego, haz lo siguiente:
     1. Selecciona Clave de Cloud KMS.
     2. Selecciona un proyecto.
     3. Selecciona una clave. Puedes seleccionar una clave de cualquier Google Cloud proyecto, incluidos los proyectos de otras organizaciones. Solo las claves en ubicaciones compatibles se muestran en la lista.

     Para saber qué ubicaciones de claves son compatibles con Security Command Center, consulta Determina la ubicación de la clave.

     Si tu organización usa políticas de la organización de CMEK, es posible que solo tengas la opción de elegir CMEK o claves específicas.

     Durante el proceso de activación, Security Command Center otorga el rol de Encriptador/Desencriptador de CryptoKey de Cloud KMS (roles/cloudkms.cryptoKeyEncrypterDecrypter) al agente de servicio de Cloud Security Command Center en la clave de Cloud KMS.

6. Haz clic en Activar.

A medida que los resultados estén disponibles, se mostrarán en la consola. Luego, puedes usar la Google Cloud consola de para revisar y solucionar los Google Cloud riesgos de seguridad y datos.

Security Command Center completa su primer análisis completo en un plazo de 24 horas. Es posible que haya una demora antes de que se inicien los análisis de algunos servicios. Para obtener más información, consulta Cuándo esperar resultados en Security Command Center.

Servicios para Security Command Center Premium

Después de activar Security Command Center Premium, se habilitan automáticamente servicios específicos y se crean agentes de servicio para que estos servicios puedan actuar en tu nombre.

Servicios

Security Command Center usa servicios de detección para detectar problemas de seguridad en tus entornos de nube. Los siguientes servicios se habilitan cuando activas Security Command Center Premium:

• AI Protection

• Administrador de cumplimiento

• Container Threat Detection

  Para que Container Threat Detection funcione, asegúrate de que tus clústeres estén en una versión compatible de Google Kubernetes Engine (GKE) y que tus clústeres de GKE estén configurados correctamente. Para obtener más información, consulta Usa Container Threat Detection.

• Administración de la postura de seguridad de los datos (DSPM)

• Event Threat Detection

  Event Threat Detection se basa en registros generados por Google Cloud. Para usar Event Threat Detection, habilita los registros en la organización, las carpetas y los proyectos.

• Security Health Analytics

• Postura de seguridad

• Virtual Machine Threat Detection

• Evaluación de vulnerabilidades

• Web Security Scanner

Consulta la documentación de cada servicio para obtener instrucciones de uso y optimización. Por ejemplo, Event Threat Detection se basa en registros generados por Google Cloud. Algunos registros siempre están activados, por lo que Event Threat Detection puede comenzar a analizarlos en cuanto se habilita. Otros registros, como la mayoría de los registros de auditoría de acceso a datos, deben activarse antes de que Event Threat Detection pueda analizarlos.

Los servicios que se describen en esta sección, y los servicios adicionales, se pueden habilitar o inhabilitar siguiendo los pasos que se indican en Configura los servicios de Security Command Center.

Agentes de servicio

Un agente de servicio es una cuenta de servicio creada y administrada por Google Cloud para acceder a los recursos en tu nombre. Después de crear un agente de servicio, Security Command Center otorga automáticamente los roles de IAM necesarios al agente de servicio. La activación de Security Command Center Premium incluye los siguientes agentes de servicio:

• Agente de servicio de Cloud Security Command Center para Event Threat Detection, Security Health Analytics, Virtual Machine Threat Detection y Evaluación de vulnerabilidades
• Agente de servicio del cumplimiento de la seguridad en la nube para AI Protection y el Administrador de cumplimiento
• Agente de servicio de Container Threat Detection para la detección de amenazas a contenedores
• Agente de servicio de administración de la postura de seguridad de los datos para DSPM

Nota: Si usas perímetros de servicio, debes configurar políticas de entrada y salida para los agentes de servicio para permitirles el acceso a cada servicio. Consulta la siguiente documentación específica del servicio para obtener más detalles:

• Administrador de cumplimiento
• Container Threat Detection
• DSPM
• Security Health Analytics
• Evaluación de vulnerabilidades

Modifica tu servicio de Security Command Center

Para obtener más información sobre la administración de niveles, consulta Modifica el nivel Premium de Security Command Center para una organización.

¿Qué sigue?

• Obtén información para configurar los servicios de Security Command Center.
• Obtén información para usar Security Command Center en la Google Cloud consola.
• Obtén información para trabajar con los resultados de Security Command Center.
• Obtén más información sobre Google Cloud las fuentes de seguridad.
• Descubre cómo Model Armor puede ayudarte a proteger tus cargas de trabajo de IA.
• Habilita Sensitive Data Protection para proteger tus datos sensibles.
• Obtén información para supervisar tus costos con Facturación de Cloud.