コンプライアンスマネージャーの概要

Google Cloud のコンプライアンスマネージャーを使うことで、組織のセキュリティや規制の要件を満たすように、Google Cloud 上のインフラストラクチャ、ワークロード、データを確認できます。コンプライアンスマネージャーを使用すると、次のことができます。

Google Cloud 環境に準拠した安全な構成を定義してデプロイします。
環境がコンプライアンスとセキュリティの要件の評価レポートに準拠していることを示すダッシュボードを表示します。
証拠の収集やレポートの生成など、クラウド環境を監査します。

コンプライアンスマネージャーは、Google Cloud 組織内の複数のコンプライアンスプログラムとセキュリティ要件のサポートを評価できるソフトウェア定義の制御を使用します。

コンプライアンスマネージャーのコンポーネント

次の表に、コンプライアンスマネージャーのコンポーネントを示します。

ルール	コンプライアンス、セキュリティ、プライバシーの要件を満たすことができるクラウドコントロール内の技術項目。ルールは、組織のポリシー、IAM ポリシー、クラウド設定、Common Expression Language（CEL）に基づく検出ロジックにすることができます。
クラウドコントロール	組織のセキュリティまたはコンプライアンスの意図を定義するために使用できる一連のルールと関連するメタデータ。コンプライアンスマネージャーには、組み込みのクラウドコントロールのライブラリが含まれており、独自のコントロールを作成することもできます。クラウドコントロールのメタデータには、修復手順と検出結果の重大度が含まれます。クラウドコントロールには次のモードがあります。検出: コンプライアンスマネージャーは、モニタリング目的で定義されたリソースにクラウドコントロールを適用します。違反が検出され、アラートが生成されます。予防措置は自動的に実行されません。予防的: コンプライアンスマネージャーは、定義されたリソースにクラウドコントロールを適用し、ルールを積極的に適用します。クラウド制御に違反するリソースアクティビティはブロックされ、ブロックされたアクションに対してアラートが生成されます。一部のクラウドコントロールは、機能するために追加情報の提供を必要とします。たとえば、ワークロードとリソースが特定のリージョンで実行されているかどうかを確認するクラウドコントロールを使用する場合は、クラウドコントロールの作成時に許可されるリージョンを指定する必要があります。監査: Compliance Manager は、このクラウドコントロールを使用して、コンプライアンス義務との整合性を確保するために環境を監査します。Compliance Manager は、このコントロールを使用してコンプライアンス監査の証拠を収集し、ギャップを特定します。
規制管理	業界で定義されたセキュリティまたは規制コンプライアンス要件。クラウドコントロールと規制管理間の関係マッピングでは、1 つ以上のクラウドコントロールが規制管理の要件を満たす方法を定義します。次の点を考慮してください。 1 つのクラウド制御を複数の規制制御にマッピングできます。 1 つの規制制御を複数のクラウド制御にマッピングできます。
フレームワーク	セキュリティのベストプラクティスや、FedRAMP や NIST などの業界定義の標準を表すクラウド制御と規制制御のコレクション。フレームワークには、クラウドコントロールと規制管理間のマッピングを含めることができます。コンプライアンスマネージャーには、組み込みフレームワークのライブラリが含まれています。これらのフレームワークをカスタマイズすることも、独自のフレームワークを作成することもできます。
フレームワークのデプロイ	フレームワークをデプロイする際に、そのフレームワークと組織、フォルダ、プロジェクトとの間に設定される関連付けのこと。

次の図式は、コンプライアンスマネージャーのコンポーネントを示しています。

コンプライアンスマネージャーのコンポーネント。

組み込みフレームワーク

コンプライアンスマネージャーは、Google Cloudの組み込みフレームワークをサポートしています。これらのフレームワークはそのままデプロイすることも、特定のニーズに合わせてカスタマイズすることもできます。

Google Cloudのフレームワーク

次のフレームワークを使用できます。

コンプライアンスマネージャーを Security Command Center のサービスや機能とあわせて利用する

他の Security Command Center サービスと機能を有効にして、コンプライアンスマネージャーを有効にした同じ組織で使用できます。次の点を考慮してください。

ほとんどの Security Health Analytics 検出機能は、コンプライアンスマネージャーのクラウドコントロールとしても使用できます。詳細については、Security Health Analytics 検出機能とクラウドコントロールのマッピングをご覧ください。
ほとんどの Security Health Analytics 検出機能は、デフォルトでオンになっています。コンプライアンスマネージャーを有効にすると、特定の組み込みフレームワークがGoogle Cloud 組織に自動的に適用されます。必要に応じて、より多くのクラウドコントロールを含む追加のフレームワークをデプロイできます。
Security Health Analytics の検出機能を無効にすることができます。クラウドコントロールを無効にするには、そのコントロールを含むカスタムフレームワークからクラウドコントロールを削除するか、デプロイされた組み込みフレームワークの割り当てを解除する必要があります。
Security Health Analytics とコンプライアンスマネージャーの両方で検出結果が生成されます。ただし、Security Health Analytics は securitycenter.googleapis.com API を使用して検出結果を生成し、コンプライアンスマネージャーは cloudsecuritycompliance.googleapis.com API を使用します。同じリソースで Security Health Analytics とコンプライアンスマネージャーを有効にすると、重複する検出結果が生成されることがあります。重複する検出結果は、Security Health Analytics 検出機能とコンプライアンスマネージャークラウドコントロールの両方が同じ構成を確認する場合に発生します（たとえば、両方が特定のサービスで CMEK が有効になっているかどうかを確認する場合など）。検出結果ダッシュボードでは、重複する検出結果は異なるプロバイダ ID で表示されます。検出結果が重複しないようにするには、次のいずれかを行います。
- デプロイしたフレームワークに、環境に適用されるすべての Security Health Analytics 検出機能にマッピングされるクラウドコントロールが含まれている場合は、プロジェクトまたはフォルダの Security Health Analytics を無効にします。
- フレームワークに必要な Security Health Analytics 検出機能が含まれていない場合は、重複する Security Health Analytics 検出機能の検出結果をミュートします。
セキュリティポスチャーサービスを使用してセキュリティポスチャーをデプロイした場合、コンプライアンスマネージャーを有効にすると、重複する検出結果が表示されることがあります。セキュリティポスチャーに一致するフレームワークのデプロイを検討し、ポスチャーデプロイを削除します。
コンプライアンスマネージャーは、Security Command Center のデータ所在地を有効にするときに指定するエンドポイントではなく、グローバルエンドポイントを使用します。ただし、環境の監査を行うロケーションを指定できます。詳細については、コンプライアンスマネージャーで環境を監査するをご覧ください。

次のステップ

コンプライアンスマネージャーを有効にする。