Activa el nivel Premium de Security Command Center para una organización

Nivel de servicio Premium (requiere activación a nivel de la organización)

En este documento, se describe cómo activar Security Command Center Premium para una organización a través de la consola de Google Cloud . Si activas Security Command Center Premium, se habilitarán automáticamente varios servicios.

Para obtener más información sobre Security Command Center Premium, consulta Niveles de servicio de Security Command Center.

Para activar Security Command Center en un nivel de servicio diferente, consulta lo siguiente:

• Activa el nivel Estándar de Security Command Center para una organización
• Activa el Security Command Center Enterprise Center

Para activar Security Command Center solo para un proyecto, consulta Activa Security Command Center para un proyecto.

Antes de comenzar

Antes de activar Security Command Center Premium para una organización, debes hacer lo siguiente:

• Obtén roles y permisos específicos de Identity and Access Management (IAM).
• Revisa las políticas de tu organización, si corresponde.
• Si planeas habilitar la residencia de datos, revisa Planificación de la residencia de datos y determina qué ubicación usar.
• Si planeas usar una clave de encriptación administrada por el cliente (CMEK), completa las tareas requeridas para habilitar la CMEK para Security Command Center.

Roles obligatorios

Para obtener los permisos que necesitas para activar Security Command Center en una organización, pídele a tu administrador que te otorgue los siguientes roles de IAM en tu organización:

• Administrador del centro de seguridad (roles/securitycenter.admin)
• Administrador de la organización (roles/resourcemanager.organizationAdmin)

Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

También puedes obtener los permisos necesarios a través de roles personalizados o cualquier otro rol predefinido.

Revisa las políticas de la organización

Si las políticas de tu organización están configuradas para restringir identidades por dominio, confirma lo siguiente:

• Debes acceder a la consola de Google Cloud en una cuenta que esté en un dominio permitido.
• Tus cuentas de servicio deben estar en un dominio permitido o miembros de un grupo dentro de tu dominio. Este requisito te permite permitir que los servicios que usan la cuenta de servicio de @*.gserviceaccount.com accedan a los recursos cuando el uso compartido restringido del dominio está habilitado.

Si las políticas de tu organización están configuradas para restringir el uso de recursos, verifica que las siguientes APIs estén permitidas por tu política:

• cloudsecuritycompliance.googleapis.com
• securitycenter.googleapis.com
• securitycentermanagement.googleapis.com

Activa Security Command Center Premium

Puedes activar Security Command Center Premium para una organización a través de la consola de Google Cloud .

1. En la consola de Google Cloud , ve a la página de bienvenida de Security Command Center.

   Ve a Security Command Center

   Importante: Debes usar la consola Google Cloud jurisdiccional para activar Security Command Center con controles de residencia de datos. Para obtener más detalles, consulta Acerca de la consola jurisdiccional deGoogle Cloud .

2. Selecciona la organización para la que deseas habilitar Security Command Center Premium y, luego, haz clic en Seleccionar.

3. En la página de bienvenida, selecciona Comenzar una prueba gratuita de Premium.

   Nota: Tu prueba gratuita de Premium dura 30 días. Cuando finalice la prueba, tu organización pasará automáticamente al plan Premium con pago por uso y se cobrará a tu cuenta de facturación según corresponda.
   
   Para cancelar tu prueba de Premium y evitar cargos por uso, debes cambiar a la versión estándar antes de que finalice el período de prueba. Puedes cambiar a una versión inferior en cualquier momento durante la prueba. Para obtener instrucciones detalladas, consulta Cómo cambiar del nivel Premium al nivel Estándar.
   
   Si quieres comprar una suscripción a Premium, consulta Nivel Premium: Precios basados en suscripciones para obtener más detalles.

4. Opcional: Para habilitar la residencia y la encriptación de datos, haz clic en Mostrar más.

   Precaución: Debes configurar la residencia y la encriptación de datos durante la activación de Security Command Center. No puedes cambiar estos parámetros de configuración después de activar Security Command Center.

   Para obtener más información sobre la residencia de los datos, consulta Planificación de la residencia de los datos.

   Precaución: Security Command Center no valida la ubicación de residencia de datos en función de las políticas de la organización que aplican la restricción de ubicaciones de recursos, gcp.resourceLocations. Cuando actives Security Command Center, debes seleccionar una ubicación que sea coherente con las políticas de tu organización.

   Para obtener más información sobre la encriptación de datos, consulta Habilita CMEK para Security Command Center. Si tu organización usa políticas de la organización de CMEK, es posible que solo tengas la opción de elegir CMEK o claves específicas. Si no usas CMEK con Security Command Center, Google encripta los datos en reposo conGoogle-owned and Google-managed encryption keys.

5. Haz clic en Activar.

A medida que los resultados estén disponibles, se mostrarán en la consola. Luego, puedes usar la Google Cloud consola para revisar y solucionar Google Cloud los riesgos de seguridad y datos.

Security Command Center completa su primer análisis completo en un plazo de 24 horas. Es posible que haya una demora antes de que se inicien los análisis de algunos servicios. Para obtener más información, consulta Cuándo se deben esperar hallazgos en Security Command Center.

Servicios de Security Command Center Premium

Después de activar Security Command Center Premium, se habilitan automáticamente servicios específicos y se crean agentes de servicio para que estos servicios puedan actuar en tu nombre.

Servicios

Security Command Center usa servicios de detección para detectar problemas de seguridad en tus entornos de nube. Los siguientes servicios se habilitan cuando activas Security Command Center Premium:

• AI Protection

• Administrador de cumplimiento

• Detección de amenazas a contenedores

  Para que la detección de amenazas a contenedores funcione, asegúrate de que tus clústeres estén en una versión compatible de Google Kubernetes Engine (GKE) y que tus clústeres de GKE estén configurados correctamente. Para obtener más información, consulta Usa Container Threat Detection.

• Administración de la postura de seguridad de los datos (DSPM)

• Event Threat Detection

  Event Threat Detection se basa en los registros generados por Google Cloud. Para usar la detección de eventos de amenazas, habilita los registros en tu organización, carpetas y proyectos.

• Estadísticas del estado de la seguridad

• Postura de seguridad

• Virtual Machine Threat Detection

• Evaluación de vulnerabilidades

• Web Security Scanner

Consulta la documentación de cada servicio para obtener instrucciones de uso y optimización. Por ejemplo, Event Threat Detection se basa en los registros generados porGoogle Cloud. Algunos registros siempre están activados, por lo que Event Threat Detection puede comenzar a analizarlos en cuanto se habilita. Otros registros, como la mayoría de los registros de auditoría de acceso a los datos, deben activarse antes de que Event Threat Detection pueda analizarlos.

Los servicios que se describen en esta sección, y otros servicios adicionales, se pueden habilitar o inhabilitar siguiendo los pasos que se indican en Configura los servicios de Security Command Center.

Agentes de servicio

Un agente de servicio es una cuenta de servicio creada y administrada por Google Cloud para acceder a los recursos en tu nombre. Después de crear un agente de servicio, Security Command Center le otorga automáticamente los roles de IAM necesarios. La activación de Security Command Center Premium incluye los siguientes agentes de servicio:

• Agente de servicio de Cloud Security Command Center para Event Threat Detection, Security Health Analytics, Virtual Machine Threat Detection y Vulnerability Assessment
• Agente de servicio de cumplimiento de la seguridad en la nube para AI Protection y el Administrador de cumplimiento
• Agente de servicio de Container Threat Detection para Container Threat Detection
• Agente de servicio de administración de la postura de seguridad de los datos para DSPM

Nota: Si usas perímetros de servicio, debes configurar políticas de entrada y salida para los agentes de servicio y permitirles el acceso a cada servicio. Para obtener más detalles, consulta la siguiente documentación específica del servicio:

• Administrador de cumplimiento
• Detección de amenazas a contenedores
• DSPM
• Estadísticas del estado de la seguridad
• Evaluación de vulnerabilidades

Modifica tu servicio de Security Command Center

Para obtener más información sobre la administración de niveles, consulta Cómo modificar el nivel Premium de Security Command Center para una organización.

¿Qué sigue?

• Obtén más información para configurar los servicios de Security Command Center.
• Aprende a usar Security Command Center en la consola de Google Cloud .
• Obtén más información para trabajar con los hallazgos de Security Command Center.
• Obtén más información sobre las fuentes de seguridad deGoogle Cloud .
• Descubre cómo Model Armor puede ayudarte a proteger tus cargas de trabajo de IA.
• Habilita Sensitive Data Protection para proteger tus datos sensibles.
• Obtén más información para supervisar tus costos con la Facturación de Cloud.