Gérer les frameworks

Les frameworks Compliance Manager sont constitués de contrôles cloud qui vous aident à répondre aux exigences de sécurité et réglementaires d'une organisation ou d'un projet dans vos environnements cloud. L'application d'un framework se fait en deux étapes. Vous devez d'abord identifier les contrôles cloud qui correspondent aux obligations de sécurité et de conformité de votre entreprise. Ensuite, vous déployez un framework qui inclut ces contrôles cloud dans l'organisation, le dossier ou le projet approprié dans Google Cloud. Cette page vous aide à effectuer les étapes suivantes :

  1. Évaluez le framework intégré qui correspond le mieux à vos exigences réglementaires et de sécurité. Vous pouvez créer votre propre framework personnalisé, mais nous vous recommandons de commencer par un framework intégré.

  2. Déterminez les contrôles cloud intégrés qui correspondent aux exigences de votre entreprise.
    (Niveaux Premium et Enterprise uniquement) Si nécessaire, vous pouvez créer des contrôles cloud personnalisés.

  3. Déterminez si vous souhaitez déployer le framework dans votre Google Cloud organisation ou dans des dossiers et projets spécifiques. Vous ne pouvez déployer qu'un seul framework dans chaque organisation, dossier ou projet. Compliance Manager est compatible avec les dossiers configurés pour la gestion des applications.

  4. Copiez un framework existant et modifiez-le pour qu'il corresponde à vos exigences. Si nécessaire, vous pouvez créer un framework personnalisé.

  5. Déployez le framework dans l'organisation, le dossier ou le projet approprié.

Avant de commencer

  • Pour obtenir les autorisations nécessaires pour appliquer des frameworks, demandez à votre administrateur de vous accorder les rôles IAM suivants dans votre organisation ou votre projet :

    Pour en savoir plus sur l'attribution de rôles, consultez Gérer l'accès aux projets, aux dossiers et aux organisations.

    Les rôles permettant de déployer des frameworks avec des règles d'administration contiennent les autorisations orgpolicy.policies.create, orgpolicy.policies.update et orgpolicy.policies.get requises.

    Pour les déploiements au niveau de l'organisation, les rôles permettant de créer des dossiers contiennent les autorisations requises resourcemanager.folders.get, resourcemanager.folders.create et resourcemanager.folders.delete.

    Pour les déploiements au niveau de l'organisation, les rôles permettant de créer des projets contiennent les autorisations requises resourcemanager.projects.get, resourcemanager.projects.create, resourcemanager.projects.delete et resourcemanager.projects.createBillingAssignment.

    Les rôles permettant d'attribuer des frameworks DSPM à des applications contiennent les autorisations apphub.locations.list, apphub.applications.list et apphub.applications.get requises.

    Vous pouvez également obtenir ces autorisations avec des rôles personnalisés ou d'autres rôles prédéfinis.

Afficher les frameworks

Pour afficher la configuration des frameworks intégrés ou d'autres frameworks que vous avez déjà créés, procédez comme suit :

  1. Dans la Google Cloud console, accédez à la page Conformité.

    Accéder

  2. Sélectionnez votre organisation ou votre projet.

  3. Pour afficher tous les frameworks disponibles, cliquez sur l'onglet Configurer.

    Le tableau de bord affiche les frameworks disponibles, une brève description, les plates-formes et niveaux compatibles, ainsi que les ressources auxquelles le framework a été appliqué.

  4. Pour afficher des informations sur un framework spécifique, cliquez sur son nom.

Créer un framework

Une fois que vous avez déterminé les contrôles cloud qui s'appliquent aux ressources de votre organisation ou à un dossier ou projet spécifique, vous pouvez créer un framework. Vous pouvez créer un framework personnalisé ou copier un framework existant et le modifier. Lorsque vous copiez un framework, il inclut les dernières versions des contrôles cloud intégrés.

  1. Dans la Google Cloud console, accédez à la page Conformité.

    Accéder

  2. Sélectionnez votre organisation ou votre projet.

  3. Dans l'onglet Configurer, cliquez sur Créer un framework personnalisé.

  4. Effectuez l'une des actions suivantes :

    • Pour utiliser un framework existant, procédez comme suit :

      1. Sélectionnez Partir d'un framework existant.

      2. Sélectionnez le framework que vous souhaitez copier.

      3. Cliquez sur Ajouter.

    • Pour créer un framework personnalisé, sélectionnez Commencer.

  5. Saisissez un nom, un identifiant unique et une description pour votre framework. Cliquez sur Continuer.

    Si vous copiez un framework existant, la liste des contrôles cloud qui en font partie s'affiche.

  6. Pour ajouter les contrôles cloud dont vous avez besoin, procédez comme suit :

    • Pour ajouter un contrôle cloud existant, cliquez sur Ajouter des contrôles cloud. Sélectionnez tous les contrôles cloud dont vous avez besoin, puis cliquez sur Ajouter.

      Lorsque vous ajoutez un contrôle, vérifiez son type (détecteur, préventif ou d'audit). Notez que les contrôles préventifs et d'audit ne sont disponibles qu'aux niveaux Premium et Enterprise. N'incluez pas de contrôles d'audit uniquement dans un framework que vous souhaitez utiliser pour surveiller votre environnement et détecter les violations. Vous ne pouvez pas déployer de frameworks qui incluent des contrôles d'audit uniquement.

    • (Niveaux Premium et Enterprise uniquement) Pour créer un contrôle cloud personnalisé, cliquez sur Créer un contrôle cloud personnalisé. Pour obtenir des instructions, consultez Créer un contrôle cloud personnalisé.

  7. Cliquez sur Continuer.

  8. Ajoutez tous les paramètres supplémentaires requis par les contrôles cloud.

    Par exemple, si vous souhaitez activer un contrôle cloud de Data Security Posture Management (DSPM), tel que le contrôle cloud Gouvernance des accès aux données , spécifiez les emplacements que les comptes principaux doivent utiliser. Pour en savoir plus sur les contrôles Data Security Posture Management, consultez Contrôle cloud de la gouvernance des accès aux données control.

  9. Cliquez sur Créer.

Déployer un framework

Déployez un framework dans une organisation, un dossier ou un projet afin de pouvoir contrôler et surveiller ces ressources à l'aide des contrôles cloud du framework. Vous pouvez déployer plusieurs frameworks dans chaque organisation, dossier ou projet. Si vous déployez un framework qui n'inclut que les contrôles cloud de sécurité avancée des données, vous pouvez le déployer dans des applications App Hub dans des dossiers configurés pour la gestion des applications.

Les dossiers et les projets héritent des frameworks via la Google Cloud hiérarchie des ressources. Par conséquent, si vous déployez des frameworks au niveau de l'organisation et au niveau d'un projet, tous les contrôles cloud des deux frameworks s'appliquent aux ressources du projet. En cas de différences dans les définitions des contrôles cloud, le contrôle cloud de niveau inférieur est utilisé par les ressources du projet. Par exemple, si une règle de contrôle cloud est définie sur "Autoriser" au niveau de l'organisation et sur "Refuser" au niveau du projet, le paramètre "Refuser" au niveau du projet est appliqué aux ressources du projet.

Nous vous recommandons de déployer un framework au niveau de l'organisation qui inclut les contrôles cloud pouvant s'appliquer à l'ensemble de votre entreprise. Vous pouvez ensuite déployer des frameworks plus stricts dans les dossiers et projets qui en ont besoin.

  1. Dans la Google Cloud console, accédez à la page Conformité.

    Accéder

  2. Sélectionnez votre organisation ou votre projet.

  3. Dans l'onglet Configurer, pour le framework que vous souhaitez déployer, cliquez sur Plus d'actions > Appliquer aux ressources.

  4. Choisissez l'une des options suivantes :

    • Pour surveiller uniquement la dérive, sélectionnez Surveiller.

    • Pour surveiller la dérive et empêcher activement les violations, sélectionnez Surveiller et empêcher.

  5. Sélectionnez la ressource dans laquelle vous souhaitez déployer le framework. Vous pouvez choisir une organisation, un dossier ou un projet existant. Pour la gestion de la stratégie de sécurité des données uniquement, vous pouvez sélectionner une application pour déployer un framework qui n'inclut que les contrôles cloud avancés de gestion de la stratégie de sécurité des données dans une application. Si vous avez choisi d'empêcher activement les violations, vous pouvez créer un dossier ou un projet et y déployer le framework.

  6. Effectuez l'une des actions suivantes :

    • Si vous avez sélectionné Surveiller, procédez comme suit :

      1. Vérifiez les informations.
      2. Si vous avez sélectionné un dossier configuré pour la gestion des applications et que votre framework n'inclut que des contrôles cloud avancés de gestion de la stratégie de sécurité des données, sélectionnez l'application que vous souhaitez surveiller.
      3. Cliquez sur Surveiller.

    • Si vous avez sélectionné Surveiller et empêcher, procédez comme suit :

      1. Cliquez sur Suivant. Examinez les contrôles cloud et les modes.
      2. Cliquez sur Continuer.
      3. Si elles s'affichent, vérifiez les informations supplémentaires requises pour certains contrôles cloud.
      4. Cliquez sur Suivant.
      5. Vérifiez vos sélections, puis cliquez sur Appliquer.

Une fois le framework déployé, vous pouvez surveiller votre environnement pour détecter toute dérive par rapport aux contrôles cloud que vous avez définis. Security Command Center signale les instances de dérive en tant que résultats que vous pouvez examiner, filtrer et résoudre. L'affichage des résultats liés aux contrôles cloud peut prendre environ six heures après le déploiement d'un framework.

Modifier un framework personnalisé

Une fois que vous avez créé un framework, vous pouvez modifier son nom et sa description, ajouter ou supprimer des contrôles cloud, et mettre à jour tous les paramètres. Vous ne pouvez modifier que les frameworks que vous créez. Vous ne pouvez pas modifier les frameworks intégrés.

  1. Dans la Google Cloud console, accédez à la page Conformité.

    Accéder

  2. Sélectionnez votre organisation ou votre projet.

  3. Dans l'onglet Configurer, cliquez sur le framework que vous souhaitez modifier.

  4. Sur la page Détails du framework, vérifiez que le framework n'est pas attribué à une ressource. Si nécessaire, supprimez les attributions.

  5. Cliquez sur Actions > Modifier.

  6. Sur la page Mettre à jour les détails du framework, modifiez le nom et la description si nécessaire. Cliquez sur Continuer.

  7. Pour modifier les contrôles cloud inclus dans le framework, procédez comme suit :

    • Pour ajouter un contrôle cloud existant, cliquez sur Ajouter des contrôles cloud. Sélectionnez tous les contrôles cloud dont vous avez besoin, puis cliquez sur Ajouter.

    • Pour créer un contrôle cloud personnalisé, cliquez sur Créer un contrôle cloud personnalisé. Pour obtenir des instructions, consultez Créer un contrôle cloud personnalisé.

    • Pour supprimer un contrôle cloud, sélectionnez-le, puis cliquez sur Supprimer.

  8. Cliquez sur Continuer.

  9. Ajoutez tous les paramètres supplémentaires requis par les contrôles cloud.

  10. Cliquez sur Enregistrer.

Supprimer des ressources d'un framework déployé

Vous pouvez supprimer l'organisation, les dossiers ou les projets que vous avez attribués à un framework déployé. La suppression de ressources signifie que le framework ne génère plus de résultats pour ce nœud de votre hiérarchie de ressources.

Lorsque vous supprimez des ressources, l'état de la plupart des résultats associés passe à Inactive au bout de sept jours. Si votre framework inclut le contrôle cloud de suppression des données, les résultats passent à Inactive au bout de 90 jours. Les états des résultats liés au contrôle cloud de gouvernance des flux de données et au contrôle cloud de gouvernance des accès aux données ne sont pas modifiés automatiquement.

  1. Dans la Google Cloud console, accédez à la page Conformité.

    Accéder

  2. Sélectionnez votre organisation ou votre projet.

  3. Dans l'onglet Configurer, cliquez sur le framework dont vous souhaitez dissocier des ressources.

  4. Sur la page Détails du framework, cliquez sur Actions > Gérer les attributions de ressources.

  5. Dans le tableau Ressources attribuées, recherchez la ressource que vous souhaitez supprimer, puis cliquez sur Supprimer.

  6. Lisez le message de confirmation, puis cliquez sur Dissocier.

  7. Facultatif : définissez l'état des résultats associés sur Inactive. Pour obtenir des instructions, consultez Modifier l'état d'un résultat.

Mettre à jour un framework vers une version plus récente

Google publie régulièrement des mises à jour de ses frameworks intégrés lorsque les services déploient de nouvelles fonctionnalités ou lorsque de nouvelles bonnes pratiques émergent.

Vous pouvez afficher les versions des frameworks intégrés dans le tableau de bord des frameworks de l'onglet Configurer ou sur la page d'informations du framework.

Google vous informe dans la console et les notes de version lorsque les mises à jour suivantes se produisent :

Pour mettre à jour un framework, procédez comme suit :

  1. Dans la Google Cloud console, accédez à la page Conformité.

    Accéder

  2. Sélectionnez votre organisation ou votre projet.

  3. Dans l'onglet Configurer, cliquez sur le framework que vous souhaitez mettre à jour.

  4. Sur la page Détails du framework, dans le tableau Ressources attribuées , examinez l'état de la mise à jour pour toutes les attributions identifiées comme Mise à jour disponible.

  5. Pour appliquer les modifications, procédez comme suit :

    1. Supprimez l'attribution de la ressource.

    2. Redéployez le framework dans votre ressource afin que Compliance Manager puisse reprendre l'évaluation de la ressource et la création de résultats.

Supprimer un framework personnalisé

Supprimez un framework lorsqu'il n'est plus nécessaire. Vous ne pouvez supprimer que les frameworks que vous créez. Vous ne pouvez pas supprimer les frameworks intégrés.

  1. Dans la Google Cloud console, accédez à la page Conformité.

    Accéder

  2. Sélectionnez votre organisation ou votre projet.

  3. Dans l'onglet Configurer, cliquez sur le framework dont vous souhaitez dissocier des ressources.

  4. Sur la page Détails du framework, vérifiez que le framework n'est pas attribué à une ressource. Si nécessaire, supprimez les attributions.

  5. Cliquez sur Actions > Supprimer.

  6. Dans la fenêtre Supprimer, lisez le message. Saisissez Delete, puis cliquez sur Confirmer.

Étape suivante