El nivel Estándar de Security Command Center te permite obtener visibilidad centralizada de las vulnerabilidades y los riesgos en toda tu organización. Activar el nivel a nivel de la organización en la consola de Google Cloud otorga acceso a las funciones de referencia de seguridad y cumplimiento en todos los recursos de tu organización. Sin embargo, las capacidades específicas de evaluación de vulnerabilidades requieren configuración. Para obtener detalles sobre las funciones, consulta Niveles de servicio de Security Command Center y Diferencias entre los niveles Standard y Standard heredado.
Para activar otros niveles o alcances, consulta Activa Security Command Center Premium para una organización, Activa Security Command Center Enterprise o Activa Security Command Center para un proyecto.
Antes de comenzar
Antes de activar Security Command Center Standard para una organización, debes hacer lo siguiente:
- Obtener roles y permisos específicos de Identity and Access Management (IAM)
- Opcional: Habilita la API de Security Center Management.
- Revisa las políticas de tu organización, si corresponde.
- Si planeas habilitar la residencia de datos, revisa Planificación de la residencia de datos y determina qué ubicación usar.
Si planeas usar una clave de encriptación administrada por el cliente (CMEK), completa las tareas requeridas para habilitar la CMEK en Security Command Center.
Puedes configurar la residencia de datos y la encriptación de datos cuando actives Security Command Center. Para cambiar estos parámetros de configuración después de activar Security Command Center Standard o Premium, consulta Cómo modificar la configuración de residencia de datos o encriptación de datos.
Roles obligatorios
Para obtener los permisos que necesitas para activar Security Command Center en una organización, pídele a tu administrador que te otorgue los siguientes roles de IAM en tu organización:
- Administrador del centro de seguridad (
roles/securitycenter.admin) - Administrador de la organización (
roles/resourcemanager.organizationAdmin)
Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.
También puedes obtener los permisos necesarios a través de roles personalizados o cualquier otro rol predefinido.
Habilita la API de Security Center Management
Si planeas usar la API de Security Center Management, habilítala en el proyecto en el que planeas llamarla:
Roles necesarios para habilitar las APIs
Para habilitar APIs, necesitas el permiso serviceusage.services.enable. Si creaste el proyecto, es probable que ya tengas este permiso a través del rol de propietario (roles/owner). De lo contrario, puedes obtener este permiso a través del rol de administrador de Service Usage (roles/serviceusage.serviceUsageAdmin). Obtén más información para otorgar roles.
Revisa las políticas de la organización
Si las políticas de tu organización están configuradas para restringir identidades por dominio, confirma lo siguiente:
- Debes acceder a la consola de Google Cloud en una cuenta que esté en un dominio permitido.
- Tus cuentas de servicio deben estar en un dominio permitido o miembros de un grupo dentro de tu dominio. Este requisito te permite habilitar servicios que usan la cuenta de servicio
@*.gserviceaccount.compara acceder a recursos cuando se habilita el uso compartido restringido por dominio.
Si las políticas de tu organización están configuradas para restringir el uso de recursos, verifica que las siguientes APIs estén permitidas por tu política:
securitycenter.googleapis.comsecuritycentermanagement.googleapis.com
Activa Security Command Center Standard
Puedes activar Security Command Center Standard para una organización a través de la consola deGoogle Cloud .
En la consola de Google Cloud , ve a la página de bienvenida de Security Command Center.
Si deseas habilitar la residencia de datos, abre una consola jurisdiccional con la URL que coincida con la ubicación que planeas configurar.
Debes usar la consola Google Cloud jurisdiccional para activar Security Command Center con controles de residencia de datos y modificar la configuración de residencia de datos después de la activación. Para obtener más información, consulta Acerca de laGoogle Cloud consola jurisdiccional.
Selecciona la organización para la que deseas habilitar Security Command Center Standard y, luego, haz clic en Obtener Standard.
En la página de bienvenida, haz clic en Seleccionar.
Opcional: Para confirmar la configuración de residencia de datos o cambiar la configuración de encriptación de datos, haz clic en Mostrar más.
- Si usas una consola jurisdiccional, el campo Residencia de datos muestra Habilitar y el campo Ubicación muestra la misma ubicación que la consola jurisdiccional. Para cambiar la ubicación, abre la consola con una URL que coincida con la ubicación que deseas configurar.
- La configuración predeterminada de encriptación de datos usa Google-owned and Google-managed encryption keys.
Para usar una clave de Cloud Key Management Service, haz clic en Editar encriptación de datos y, luego, haz lo siguiente:
- Selecciona Clave de Cloud KMS.
- Selecciona un proyecto.
- Selecciona una llave. Puedes seleccionar una clave de cualquier Google Cloud proyecto, incluidos los proyectos de otras organizaciones. En la lista, solo se muestran las claves de ubicaciones compatibles.
Para saber qué ubicaciones clave son compatibles con Security Command Center, consulta Cómo determinar la ubicación clave.
Si tu organización usa políticas de la organización de CMEK, es posible que solo tengas la opción de elegir CMEK o claves específicas.
Durante el proceso de activación, Security Command Center otorga el rol de encriptador/desencriptador de CryptoKey de Cloud KMS (
roles/cloudkms.cryptoKeyEncrypterDecrypter) al agente de servicio de Security Command Center de Cloud en la clave de Cloud KMS.
Haz clic en Activar.
A medida que los resultados estén disponibles, se mostrarán en la consola. Luego, puedes usar la consola de Google Cloud para revisar y solucionar Google Cloud los riesgos de seguridad y datos.
Security Command Center completa su primer análisis completo en un plazo de 24 horas. Es posible que haya una demora antes de que se inicien los análisis de algunos servicios. Para obtener más información, consulta Cuándo se deben esperar hallazgos en Security Command Center.
Si actualizas de Security Command Center Standard a Premium, obtendrás acceso a gráficos que muestran el progreso del análisis de funciones como problemas, amenazas y marcos. Los gráficos existentes también se actualizan con los resultados del análisis de los detectores Premium a medida que están disponibles.
Servicios para Security Command Center Standard
Después de activar Security Command Center Standard, se habilitan automáticamente servicios específicos y se crean agentes de servicio para que estos servicios puedan actuar en tu nombre.
Security Command Center usa servicios de detección para detectar problemas de seguridad. Los siguientes servicios se habilitan cuando activas Security Command Center Standard:
Consulta la documentación de cada servicio para obtener instrucciones de uso y optimización.
Para habilitar servicios adicionales, sigue los pasos que se indican en Cómo configurar los servicios de Security Command Center.
Cómo modificar tu nivel de servicio de Security Command Center
Para obtener más información sobre la administración de niveles, consulta Cómo modificar el nivel Estándar de Security Command Center para una organización.
¿Qué sigue?
- Obtén más información para configurar los servicios de Security Command Center.
- Aprende a usar Security Command Center en la consola de Google Cloud .
- Aprende a trabajar con los hallazgos de Security Command Center.
- Obtén más información sobre las fuentes de seguridad deGoogle Cloud .
- Descubre cómo Model Armor puede ayudarte a proteger tus cargas de trabajo de IA.