Puoi utilizzare Compliance Manager in Google Cloud per assicurarti che la tua Google Cloud infrastruttura, i tuoi carichi di lavoro e i tuoi dati soddisfino i requisiti di sicurezza e normativi della tua organizzazione. Compliance Manager ti consente di:
- Definisci ed esegui il deployment di una configurazione conforme e sicura per il tuo ambienteGoogle Cloud .
- Visualizza dashboard che mostrano l'allineamento del tuo ambiente ai requisiti di conformità e sicurezza. report di valutazione.
- (Solo livelli Premium ed Enterprise) Controlla i tuoi ambienti cloud, inclusi la raccolta di prove e la generazione di report.
Compliance Manager utilizza controlli definiti dal software che ti consentono di valutare il supporto di più programmi di conformità e requisiti di sicurezza all'interno di un'Google Cloud organizzazione.
Componenti di Compliance Manager
La tabella seguente descrive i componenti di Compliance Manager.
| Regola | Un elemento tecnico all'interno di un controllo cloud che ti consente di soddisfare un requisito di conformità, sicurezza o privacy. Le regole possono essere policy dell'organizzazione, policy IAM, impostazioni cloud e logica di rilevamento basata su Common Expression Language (CEL). |
|---|---|
| Controllo cloud | Un insieme di regole e metadati associati che puoi utilizzare per definire l'intento di sicurezza o conformità della tua organizzazione. Compliance Manager include una libreria di controlli cloud integrati e ti consente di creare i tuoi. I metadati in un controllo cloud includono istruzioni di correzione e gravità del risultato. I controlli cloud hanno le seguenti modalità:
|
| Controllo normativo | Un requisito di conformità normativa o di sicurezza definito dal settore. Il mapping delle relazioni tra i controlli cloud e i controlli normativi definisce in che modo uno o più controlli cloud soddisfano un requisito di controllo normativo. Considera quanto segue:
|
| Framework | Una raccolta di controlli cloud e normativi che rappresentano le best practice per la sicurezza o gli standard definiti dal settore, come FedRAMP o NIST. Un framework può includere una mappatura tra i controlli cloud e i controlli normativi. Compliance Manager include una libreria di framework integrati. Puoi personalizzare questi framework o crearne di tuoi. |
| Deployment del framework | Il binding tra un framework specifico e un'organizzazione, una cartella o un progetto quando lo implementi. |
Il seguente diagramma mostra i componenti di Compliance Manager.
Framework integrati
Compliance Manager supporta i framework integrati per Google Cloud. Puoi eseguire il deployment di questi framework così come sono oppure puoi personalizzarli in base alle tue esigenze specifiche.
Framework per Google Cloud
Sono disponibili i seguenti framework:
| Framework | Livello di servizio | ||
|---|---|---|---|
| Standard | Premium | Aziende | |
| Elementi essenziali per la sicurezza | |||
| Protezione AI | |||
| Center for Information Security (CIS) Controls 8.0 | |||
| CIS Google Cloud Computing Platform 3.0 | |||
| Benchmark CIS per Kubernetes v1.1.7 | |||
| Cloud Controls Matrix (CCM) 4 | |||
| Elementi essenziali di sicurezza e privacy dei dati | |||
| International Organization for Standardization (ISO) 27001, 2022 | |||
| National Institute of Standards and Technology (NIST) 800-53 R5 | |||
| NIST Cybersecurity Framework (CSF) 1.1 | |||
Utilizzo di Compliance Manager con servizi e funzionalità di Security Command Center
Puoi attivare altri servizi e funzionalità di Security Command Center e utilizzarli nella stessa organizzazione in cui attivi Compliance Manager. Considera quanto segue:
La maggior parte dei rilevatori di Security Health Analytics è disponibile anche come controlli cloud in Compliance Manager. Per saperne di più, consulta Mappatura dei detector di Security Health Analytics ai controlli cloud.
La maggior parte dei rilevatori di Security Health Analytics è attiva per impostazione predefinita. Quando attivi Compliance Manager, alcuni framework integrati vengono applicati automaticamente alla tua organizzazioneGoogle Cloud . Puoi implementare framework aggiuntivi con più controlli cloud in base alle esigenze.
Puoi disattivare i rilevatori di Security Health Analytics. Per disattivare un controllo cloud, devi rimuoverlo dai framework personalizzati che lo includono o annullare l'assegnazione del framework integrato di cui è stato eseguito il deployment.
Sia Security Health Analytics che Compliance Manager generano risultati. Tuttavia, Security Health Analytics utilizza l'API
securitycenter.googleapis.comper generare risultati, mentre Compliance Manager utilizza l'APIcloudsecuritycompliance.googleapis.com. Se abiliti Security Health Analytics e Compliance Manager sulla stessa risorsa, potresti generare risultati duplicati. I risultati duplicati si verificano quando sia un rilevatore Security Health Analytics sia un controllo cloud di Compliance Manager verificano la stessa configurazione (ad esempio, entrambi controllano se CMEK è abilitata per un servizio specifico). Nella dashboard dei risultati, i risultati duplicati vengono visualizzati con ID fornitore diversi. Per evitare risultati duplicati, completa una delle seguenti operazioni:Se i framework che hai implementato includono controlli cloud che vengono mappati a tutti i rilevatori di Security Health Analytics che si applicano al tuo ambiente, disattiva Security Health Analytics per il progetto o la cartella.
Se i framework non includono i rilevatori Security Health Analytics richiesti, disattiva i risultati duplicati del rilevatore Security Health Analytics.
Se hai eseguito il deployment di una postura di sicurezza utilizzando il servizio postura di sicurezza, potresti ricevere risultati duplicati quando abiliti Compliance Manager. Valuta la possibilità di implementare un framework che corrisponda alla tua strategia di sicurezza ed elimina l'implementazione della strategia.
Compliance Manager utilizza l'endpoint globale, non l'endpoint che potresti specificare quando abiliti la residenza dei dati per Security Command Center. Tuttavia, puoi specificare la posizione in cui vuoi eseguire l'audit del tuo ambiente. Per saperne di più, consulta Eseguire l'audit del tuo ambiente con Compliance Manager.