Postura predefinita per l'AI sicura, elementi essenziali

Livelli di servizio Premium ed Enterprise (richiede l'attivazione a livello di organizzazione)

Questa pagina descrive le policy preventive e di rilevamento incluse nella versione 1.0.0 della postura predefinita per l'AI sicura, Essentials. Questa postura include due set di policy:

• Un set di policy che include le policy dell'organizzazione che si applicano ai carichi di lavoro di Vertex AI.

• Un set di policy che include rilevatori personalizzati di Security Health Analytics che si applicano ai carichi di lavoro di Vertex AI.

Puoi utilizzare questa postura per configurare una postura di sicurezza che ti aiuti a proteggere le risorse di Gemini e Vertex AI. Puoi eseguire il deployment di questa postura predefinita senza apportare modifiche.

Norme	Descrizione	Standard di conformità
ainotebooks.disableFileDownloads	Questo vincolo impedisce la creazione di istanze di Vertex AI Workbench con l'opzione Download file abilitata. Per impostazione predefinita, l'opzione Download file può essere attivata su qualsiasi istanza di Vertex AI Workbench. Il valore è true per disattivare i download di file sulle nuove istanze di Vertex AI Workbench.	Controllo NIST SP 800-53: AC-3(1)
ainotebooks.disableRootAccess	Questo vincolo impedisce alle istanze e ai notebook gestiti dall'utente di Vertex AI Workbench appena creati di abilitare l'accesso root. Per impostazione predefinita, le istanze e i notebook gestiti dall'utente di Vertex AI Workbench possono avere l'accesso root abilitato. Il valore è true per disabilitare l'accesso root alle nuove istanze e ai nuovi notebook gestiti dall'utente di Vertex AI Workbench.	Controllo NIST SP 800-53: AC-3 e AC-6(2)
ainotebooks.disableTerminal	Questo vincolo impedisce la creazione di istanze di Vertex AI Workbench in cui sia abilitato il terminale. Per impostazione predefinita, il terminale può essere abilitato nelle istanze di Vertex AI Workbench. Il valore è true per disabilitare il terminale sulle nuove istanze di Vertex AI Workbench.	Controllo NIST SP 800-53: AC-3, AC-6 e CM-2
ainotebooks.requireAutoUpgradeSchedule	Questo vincolo richiede che nelle nuove istanze e nei nuovi notebook gestiti dall'utente di Vertex AI Workbench sia impostata una pianificazione automatica degli upgrade. Il valore è true per richiedere gli upgrade automatici pianificati dei nuovi notebook e istanze gestiti dall'utente di Vertex AI Workbench.	Controllo NIST SP 800-53: AU-9, CM-2 e CM-6
ainotebooks.restrictPublicIp	Questo vincolo restringe l'accesso degli IP pubblici a istanze e notebook di Vertex AI Workbench appena creati. Per impostazione predefinita, gli indirizzi IP pubblici possono accedere alle istanze e ai notebook di Vertex AI Workbench. Il valore è true per limitare l'accesso all'IP pubblico sui nuovi notebook e istanze di Vertex AI Workbench.	Controllo NIST SP 800-53: AC-3, AC-4 e SC-7

Rilevatori di Security Health Analytics

La tabella seguente descrive i moduli personalizzati per Security Health Analytics inclusi nella postura predefinita.

Nome rilevatore	Risorsa applicabile	Descrizione	Standard di conformità
vertexAIDataSetCMEKDisabled	aiplatform.googleapis.com/Dataset	Questo rilevatore controlla se un set di dati non è criptato utilizzando una chiave di crittografia gestita dal cliente (CMEK). Per risolvere questo risultato, verifica di aver creato la chiave e il portachiavi, di aver configurato le autorizzazioni e di aver fornito la chiave quando hai creato il set di dati. Per istruzioni, consulta Configurare CMEK per le risorse.	Controllo NIST SP 800-53: SC-12 e SC-13
vertexAIModelCMEKDisabled	aiplatform.googleapis.com/Model	Questo rilevatore controlla se un modello non è criptato utilizzando una CMEK. Per risolvere questo risultato, verifica di aver creato la chiave e il portachiavi, di aver configurato le autorizzazioni e di aver fornito la chiave quando hai creato il modello. Per istruzioni, consulta Configurare CMEK per le risorse.	Controllo NIST SP 800-53: SC-12 e SC-13
vertexAIEndpointCMEKDisabled	aiplatform.googleapis.com/Endpoint	Questo rilevatore controlla se un endpoint non è criptato utilizzando una CMEK. Per risolvere questo risultato, verifica di aver creato la chiave e il portachiavi, di aver configurato le autorizzazioni e di aver fornito la chiave quando hai creato il tuo endpoint. Per istruzioni, consulta Configurare CMEK per le risorse.	Controllo NIST SP 800-53: SC-12 e SC-13
vertexAITrainingPipelineCMEKDisabled	aiplatform.googleapis.com/TrainingPipeline	Questo rilevatore controlla se una pipeline di addestramento non è criptata utilizzando una CMEK. Per risolvere questo risultato, verifica di aver creato la chiave e il portachiavi, di aver configurato le autorizzazioni e di aver fornito la chiave quando hai creato la pipeline di addestramento. Per istruzioni, consulta Configurare CMEK per le risorse.	Controllo NIST SP 800-53: SC-12 e SC-13
vertexAICustomJobCMEKDisabled	aiplatform.googleapis.com/CustomJob	Questo rilevatore controlla se un job che esegue un carico di lavoro personalizzato non è criptato utilizzando una CMEK. Per risolvere questo risultato, verifica di aver creato la chiave e il portachiavi, di aver configurato le autorizzazioni e di aver fornito la chiave quando hai creato il job personalizzato. Per istruzioni, consulta Configurare CMEK per le risorse.	Controllo NIST SP 800-53: SC-12 e SC-13
vertexAIDataLabelingJobHyperparameterTuningJobCMEKDisabled	aiplatform.googleapis.com/HyperparameterTuningJob	Questo rilevatore controlla se un job di ottimizzazione degli iperparametri non è criptato utilizzando una CMEK. Per risolvere questo risultato, verifica di aver creato la chiave e il portachiavi, di aver configurato le autorizzazioni e di aver fornito la chiave quando hai creato il tuo job di ottimizzazione degli iperparametri. Per istruzioni, consulta Configurare CMEK per le risorse.	Controllo NIST SP 800-53: SC-12 e SC-13

Visualizzare il modello di postura

Per visualizzare il modello di postura per l'AI sicura, Essentials:

gcloud

Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:

• ORGANIZATION_ID: l'ID numerico dell'organizzazione.

Esegui il gcloud scc posture-templates describe comando:

Linux, macOS o Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_ai_essential

Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_ai_essential

Windows (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_ai_essential

La risposta contiene il modello di postura.

REST

Prima di utilizzare i dati della richiesta, apporta le sostituzioni seguenti:

• ORGANIZATION_ID: l'ID numerico dell'organizzazione.

Metodo HTTP e URL:

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_ai_essential

Per inviare la richiesta, espandi una di queste opzioni:

curl (Linux, macOS o Cloud Shell)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso all'interfaccia a riga di comando gcloud con il tuo account utente eseguendo gcloud init o gcloud auth login oppure utilizzando Cloud Shell, che consente di accedere automaticamente all'interfaccia a riga di comando gcloud. Puoi controllare l'account attualmente attivo eseguendo gcloud auth list.

Esegui questo comando:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_ai_essential"

PowerShell (Windows)

Nota: il comando seguente presuppone che tu abbia eseguito l'accesso all'interfaccia a riga di comando gcloud con il tuo account utente eseguendo gcloud init o gcloud auth login . Puoi controllare l'account attualmente attivo eseguendo gcloud auth list.

Esegui questo comando:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_ai_essential" | Select-Object -Expand Content

La risposta contiene il modello di postura.

Passaggi successivi

• Crea una postura di sicurezza utilizzando questa postura predefinita.