La résidence des données vous permet de mieux contrôler l'emplacement de vos données Security Command Center. Ce document fournit des informations essentielles sur la façon dont Security Command Center prend en charge la résidence des données.
Les définitions suivantes s'appliquent à ce document :
- Un emplacement est une Google Cloud région ou un emplacement multirégional qui correspond à l'emplacement dans lequel vos données résident.
- La signification du terme vos données est équivalente à celle du terme "Données client" dans l'élément Emplacement des données des Google Cloud Conditions générales du service.
Pour savoir comment utiliser les ressources Security Command Center lorsque la résidence des données est activée, consultez Points de terminaison régionaux de Security Command Center.
Emplacements de données compatibles
Cette section décrit les emplacements de données que vous pouvez utiliser pour Security Command Center et les services associés.
Emplacements des données Security Command Center
Lorsque vous activez la résidence des données, l'API Security Command Center prend en charge les emplacements multirégionaux suivants comme emplacements de données :Google Cloud
- Union européenne (
eu) - Les données résident dans n'importe quelle Google Cloud région des États membres de l'Union européenne.
- Royaume d'Arabie saoudite (KSA) (
sa) - Les données résident dans n'importe quelle Google Cloud région du Royaume d'Arabie saoudite.
- États-Unis (
us) - Les données résident dans n'importe quelle Google Cloud région des États-Unis.
Si vous utilisez le niveau de service Standard ou Premium, le passage au niveau Enterprise ne modifie pas l'emplacement de vos données Security Command Center. Si vous n'avez pas activé la résidence des données Security Command Center pour le niveau Standard ou Premium, vous ne pouvez pas l'activer lorsque vous passez au niveau Enterprise.
Pour en savoir plus sur les emplacements Security Command Center, consultez Produits disponibles par emplacement.
Si vous devez spécifier un emplacement par défaut pour la résidence des données que Security Command Center ne prend pas en charge, contactez votre responsable de compte ou un Google Cloud spécialiste des ventes.
Emplacements des données Google SecOps
Pour Google Security Operations, la résidence des données est toujours activée. Pour savoir où résident les données Google SecOps, consultez la liste des emplacements Google SecOps.
Fonctionnalités et étapes de lancement compatibles
Si vous activez la résidence des données, certaines fonctionnalités peuvent ne pas être disponibles, selon le niveau de service que vous utilisez.
Niveau Enterprise
Pour le niveau de service Enterprise de Security Command Center, si vous activez la résidence des données, les fonctionnalités suivantes ne sont pas disponibles :
- Cloud Infrastructure Entitlement Management (CIEM) pour les fournisseurs de cloud externes
Nombre de ressources analysées sur la page Conformité de la Google Cloud console
S'applique uniquement si vous utilisez Security Health Analytics pour la gestion de la conformité.
- Mandiant Attack Surface Management
Niveau Premium
Pour le niveau de service Premium de Security Command Center, si vous activez la résidence des données, les fonctionnalités suivantes ne sont pas disponibles :
- Protection par IA dans les environnements de résidence des données de l'UE ou du Royaume d'Arabie saoudite
Nombre de ressources analysées sur la page Conformité de la Google Cloud console
S'applique uniquement si vous utilisez Security Health Analytics pour la gestion de la conformité.
Fonctionnalités et services avant disponibilité générale
Comme indiqué dans l'élément Conditions des offres avant disponibilité générale des Conditions générales du service, les conditions Emplacement des données ne s'appliquent pas aux fonctionnalités et services avant disponibilité générale (GA).
Exigences en matière de résidence des données
Cette section explique les exigences pour utiliser la résidence des données dans Security Command Center et les services associés.
Exigences pour Security Command Center
Vous ne pouvez activer la résidence des données pour Security Command Center que lorsque vous activez Security Command Center pour une organisation pour la première fois. Une fois la résidence des données activée, vous ne pouvez plus la désactiver.
La résidence des données nécessite l'utilisation de l'API Security Command Center v2. Si la résidence des données est activée, vous ne pouvez pas utiliser les versions antérieures de l'API Security Command Center.
Si vous n'activez pas la résidence des données lorsque vous activez Security Command Center, alors Security Command Center ne limite pas vos données à un emplacement particulier, et elles sont stockées conformément aux Conditions d'utilisation de Google Cloud Platform.
Si le niveau Standard de Security Command Center a été activé automatiquement dans votre organisation, puis que vous déployez une règle d'administration qui limite les emplacements des ressources, Security Command Center peut être désactivé. Pour en savoir plus sur cette modification, consultez Considérations relatives à la résidence des données après l'activation automatique du niveau Standard. Vous devez le réactiver manuellement.
Exigences pour Google SecOps
Pour Google SecOps, la résidence des données est activée par défaut. Vous ne pouvez pas désactiver la résidence des données pour Google SecOps.
Comment et quand la résidence des données est-elle appliquée ?
Lorsque vous activez la résidence des données pour Security Command Center, certaines données Security Command Center sont conservées dans un emplacement spécifié lorsqu'elles se trouvent dans l'un des états suivants :
- Au repos : validées dans un espace de stockage persistant
- En cours d'utilisation : en mémoire
- En transit : en mémoire ou sur le réseau, et chiffrées avec TLS (Transport Layer Security) par un client en dehors de Google
Une fois que vous avez activé la résidence des données et sélectionné un emplacement de données, Security Command Center effectue les opérations suivantes :
- Lorsqu'un résultat est créé pour une ressource qui réside dans l'emplacement spécifié, le résultat réside toujours dans votre emplacement de données.
- Lorsqu'un résultat est créé pour une ressource qui réside dans un autre emplacement, le résultat réside finalement dans votre emplacement de données. Toutefois, le résultat peut résider temporairement dans une autre région.
- Lorsque vous créez des types spécifiques de ressources de configuration dans votre emplacement de données, elles résident dans cet emplacement.
- Dans les cas où Security Command Center stocke des données qui ne sont pas des Données client, comme défini dans l'élément Emplacement des données des Google Cloud Conditions générales du service, Security Command Center stocke les données conformément aux Conditions d'utilisation de Google Cloud Platform.
Ressources Security Command Center et résidence des données
La liste suivante explique comment Security Command Center applique les contrôles de résidence des données aux ressources Security Command Center. Si une ressource n'est pas listée ici, elle n'est pas soumise aux contrôles de résidence des données et est stockée conformément aux Conditions d'utilisation de Google Cloud Platform.
- Exportations BigQuery
Les configurations d'exportation BigQuery sont soumises aux contrôles de résidence des données. Utilisez les points de terminaison régionaux pour créer et gérer ces ressources de configuration.
L'API Security Command Center représente les configurations d'exportation BigQuery en tant que
BiqQueryExportressources.- Exportations continues
Les configurations d'exportation continue sont soumises aux contrôles de résidence des données. Utilisez les points de terminaison régionaux pour créer et gérer ces ressources de configuration.
L'API Security Command Center représente les configurations d'exportation continue en tant que
NotificationConfigressources.- Résultats
Les résultats sont soumis aux contrôles de résidence des données.
Lorsqu'un résultat est créé pour une ressource qui réside dans l'emplacement de données que vous avez sélectionné, le résultat réside toujours dans le même emplacement.
Lorsqu'un résultat est créé pour une ressource qui réside dans un autre emplacement, le résultat réside finalement dans l'emplacement de données que vous avez sélectionné. Toutefois, le résultat peut résider dans une autre région au moment de sa création.
Pour conserver tous les résultats dans votre emplacement de données, créez toujours toutes vos Google Cloud ressources dans cet emplacement.
- Ressources Google SecOps
Toutes les ressources Google SecOps sont soumises aux contrôles de résidence des données. Utilisez les points de terminaison régionaux pour créer et gérer ces ressources de configuration.
- Règles de masquage
Les configurations de règles de masquage sont soumises aux contrôles de résidence des données. Utilisez les points de terminaison régionaux pour créer et gérer ces ressources de configuration.
L'API Security Command Center représente les configurations de règles de masquage en tant que
MuteConfigressources.- Autres ressources et paramètres Security Command Center
Les ressources et paramètres Security Command Center qui ne figurent pas dans cette liste, tels que ceux qui définissent les services activés ou le niveau actif, ne sont pas soumis aux contrôles de résidence des données. Ces données sont stockées conformément aux Conditions d'utilisation de Google Cloud Platform.
Créer ou afficher des données dans un emplacement
Lorsque la résidence des données est activée, vous devez spécifier un emplacement lorsque vous créez ou affichez des données soumises aux contrôles de résidence des données. Security Command Center choisit automatiquement un emplacement pour les résultats qu'il crée.
Vous ne pouvez créer ou afficher des données que dans un seul emplacement à la fois. Par exemple, si vous listez les résultats dans l'emplacement des États-Unis (us), vous ne verrez pas les résultats dans l'emplacement de l'Union européenne (eu).
Pour savoir comment créer ou afficher des données soumises aux contrôles de résidence des données, consultez À propos de la console Google Cloud juridictionnelle et Outils pour les points de terminaison régionaux.
Étape suivante
- Découvrez comment activer Security Command Center pour une organisation.
- Découvrez comment utiliser les points de terminaison régionaux de Security Command Center.
- Activez Security Command Center pour diffuser les résultats vers BigQuery.
- Configurez des exportations continues de Security Command Center vers Pub/Sub.
- Créez une règle de masquage pour les résultats.