Compliance Manager 總覽

Standard、Premium 和 Enterprise (已淘汰) 服務級別

Security Command Center Enterprise 服務級別將於 2027 年 5 月 21 日停止服務。 如果貴機構使用 Enterprise 服務層級，系統會在 2027 年 5 月 21 日當天或之後，自動將貴機構移至 Premium 服務層級。如有任何問題，請洽詢您的帳戶代表或Google Cloud 銷售專家。

您可以在 Google Cloud 中使用法規遵循管理員，確保基礎架構、工作負載和資料符合貴機構或專案的安全性與法規要求。Google Cloud 合規性管理員可讓您執行下列操作：

• 為Google Cloud 環境定義及部署符合規範的安全設定。
• 查看資訊主頁，瞭解環境是否符合法規遵循和安全防護要求。
• (僅限 Premium 和 Enterprise 級別) 稽核雲端環境，包括收集證據和產生報表。

注意： 無論父項機構的設定為何，您都能為環境中的個別專案啟用法規遵循管理員。

Google Cloud

法規遵循管理工具會使用軟體定義的控制項，讓您評估Google Cloud 組織或專案是否支援多項法規遵循計畫和安全防護要求。

Compliance Manager 元件

下表說明法規遵循管理員的元件。

規則	雲端控制項中的技術項目，可協助您滿足法規遵循、安全性或隱私權規定。規則可以是機構政策、IAM 政策、雲端設定，以及以一般運算語言 (CEL) 為基礎的偵測邏輯。
CloudControl	一組規則和相關聯的中繼資料，可用於定義貴機構或專案的安全或法規遵循意圖。法規遵循管理員內建雲端控制項程式庫，您也可以自行建立。 雲端控制項中的中繼資料包括補救說明和嚴重程度。 雲端控制項有下列模式： 偵測：Compliance Manager 會將雲端控管機制套用至定義的資源，以利監控。系統偵測到任何違規行為，並產生快訊。系統不會自動採取預防措施。 某些雲端控管機制需要您提供額外資訊，才能正常運作。舉例來說，如果您想使用雲端控管措施，檢查工作負載和資源是否在特定區域中執行，就必須在建立雲端控管措施時指定允許的區域。 (僅限 Premium 和 Enterprise 層級) 稽核： 法規遵循管理員會使用這項雲端控制項 稽核您的環境，確保符合法規遵循義務。 法規遵循管理員會使用這項控制措施收集法規遵循稽核的證據，並找出任何缺口。
法規控管機制	產業定義的安全或法規遵循要求。雲端控管機制與法規控管機制之間的關係對應，定義一或多項雲端控管機制如何滿足法規控管機制要求。請考量下列事項： 單一雲端控管措施可對應至多個法規控管措施。 單一法規控管措施可對應至多個雲端控管措施。
架構	這類控管措施包括雲端控管措施和法規控管措施，代表安全最佳做法或業界定義的標準，例如 FedRAMP 或 NIST。框架可包含雲端控管措施與法規控管措施之間的對應關係。 法規遵循管理工具內建架構庫，您可以自訂這些架構，也可以自行建立架構。 注意：標準層級僅支援「安全性基本功能」架構。其他內建架構則需要 Premium 或 Enterprise 方案。詳情請參閱「 Google Cloud架構」。
架構部署	部署架構時，特定架構與機構、資料夾或專案之間的繫結。

下圖顯示法規遵循管理工具的元件。

內建架構

法規遵循管理員支援Google Cloud的內建架構。您可以直接部署這些架構，也可以根據特定需求自訂架構。

所有 Security Command Center 方案都適用安全基本架構。

下列架構僅適用於進階版和企業版：

• AI 保護
• 資訊安全中心 (CIS) Controls 8.0
• CIS Google Cloud Computing Platform Benchmark v3.0
• CIS Kubernetes 基準政策 v1.1.7
• Cloud Controls Matrix (CCM) 4
• 資料安全與隱私權基本知識
• 資料安全架構範本
• FedRAMP 低度影響
• 國際標準化組織 (ISO) 27001, 2022
• 美國國家標準暨技術研究院 (NIST) SP 800-53 R5
• NIST AI 600-1 隱私權控管
• NIST 網路安全架構 (CSF) 1.1
• 付款卡產業資料安全標準 (PCI DSS) 4.0
• 卡達國家資訊保障標準 2.1 版
• 系統與組織控管 (SOC) 2

偵測性控制措施的法規遵循管理員掃描類型

法規遵循管理員掃描作業有兩種模式：

• 批次掃描：系統會定期排定所有已註冊的機構或專案，執行所有偵測性雲端控制項。

  如要瞭解掃描頻率，請參閱「Compliance Manager 掃描延遲時間」。

• 近乎即時的掃描：僅限進階級，只要偵測到資源設定有變，支援的偵測雲端控管機制就會開始掃描。

如要查看不支援近乎即時掃描的雲端控制項清單，請參閱「僅支援批次掃描的雲端控制項」。

偵測用控管功能的 Compliance Manager 掃描延遲時間

下列各節說明初始掃描產生發現項目所需的時間，以及在環境中部署偵測雲端控制項後續掃描的頻率。

注意： 批次掃描時間表是成效目標，而非服務保證。

初始掃描

如果是 Premium 和 Enterprise 方案，系統會在啟用後約一小時開始進行初始批次掃描。首次執行 Compliance Manager 掃描作業最多需要 48 小時。

如果是 Security Command Center Standard 級別，批次掃描作業每 96 小時執行一次，因此初始發現項目延遲時間可能為 96 小時。

部署架構後，與偵測性雲端控制項相關的發現項目最多可能需要 6 小時才會顯示。

在初始掃描期間，您可能會在 Google Cloud 控制台中看到一些發現項目，但此時加入程序尚未完成。初步發現結果準確且可做為行動依據，但並不完整。建議不要在 Premium 或 Enterprise 方案的前 48 小時內開始稽核。

後續掃描

初次掃描作業完成後，系統會定期執行後續的批次掃描作業，如下所示：

• 如果是 Premium 和 Enterprise 方案，系統每 16 小時會執行一次批次掃描。
• 如果是標準層級，批次掃描作業每 38 小時會執行一次。

透過近乎即時的掃描作業，相關 Google Cloud 資源設定變更可能會導致發現項目更新。視素材資源類型和變更而定，更新程序可能需要幾分鐘。

監控資訊主頁的延遲時間

Compliance Manager 包含監控資訊主頁，可匯總法規遵循程度的資料。「發現項目」資訊主頁顯示發現項目後，最多可能需要 24 小時，該項目才會影響監控資訊主頁的法規遵循計數。此外，資產變更 (例如建立或更新) 最多可能需要 48 小時，才會顯示在監控資訊主頁上。

搭配 Security Command Center 服務和功能使用法規遵循管理工具

Premium 和 Enterprise (已淘汰) 服務層級

您可以在啟用 Compliance Manager 的相同機構或專案中，啟用及使用其他 Security Command Center 服務和功能。請考量下列事項：

• 大多數安全狀態分析偵測工具也以雲端控制項的形式，提供於 Compliance Manager 中。詳情請參閱「將安全狀態分析偵測工具對應至雲端控制項」。

• 大多數安全狀態分析偵測工具預設為開啟。啟用法規遵循管理工具後，系統會自動將特定內建架構套用至您的Google Cloud 機構。您可以視需要部署其他架構，並使用更多雲端控制項。

• 您可以停用安全狀態分析偵測工具。 如要停用雲端控管機制，請從包含該機制的自訂架構中移除雲端控管機制，或取消指派已部署的內建架構。

• Security Health Analytics 和 Compliance Manager 都會產生發現項目。不過，安全狀態分析會使用 securitycenter.googleapis.com API 產生發現項目，而 Compliance Manager 則會使用 cloudsecuritycompliance.googleapis.com API。如果對同一項資源啟用 Security Health Analytics 和 Compliance Manager，可能會產生重複的發現項目。如果安全狀態分析偵測工具和法規遵循管理員雲端控制項都檢查相同的設定 (例如，兩者都檢查特定服務是否已啟用 CMEK)，就會出現重複的發現項目。在調查結果資訊主頁中，重複的調查結果會顯示不同的供應商 ID。為避免取得重複的發現項目，請完成下列任一操作：

  • 如果您部署的架構包含雲端控制項，且這些控制項會對應至適用於您環境的所有安全狀態分析偵測工具，請為專案或資料夾停用安全狀態分析。

  • 如果架構未納入必要的安全狀態分析偵測工具，請將重複的安全狀態分析偵測工具發現項目設為靜音。

• 如果您使用資安態勢服務部署資安態勢，啟動 Compliance Manager 時，可能會收到重複的發現項目。請考慮部署符合資安態勢的框架，並刪除資安態勢部署作業。

• Compliance Manager 使用的是全域端點，而非您為 Security Command Center 啟用資料落地設定時指定的端點。不過，您可以指定要稽核環境的位置。詳情請參閱「使用合規管理員稽核環境」。

後續步驟

• 啟用 Compliance Manager。