Plantilla de postura predefinida para ISO 27001

Niveles de servicio Premium y Enterprise (obsoleto) (requieren activación a nivel de la organización)

El nivel de servicio Security Command Center Enterprise se cerrará el 21 de mayo de 2027. Si tu organización usa el nivel de servicio Enterprise, se moverá automáticamente al nivel de servicio Premium a partir del 21 de mayo de 2027. Si tienes preguntas, comunícate con tu representante de cuenta o con un especialista en ventas deGoogle Cloud .

La plantilla de postura predefinida v1.0 para el estándar 27001 de la Organización Internacional de Normalización (ISO) te ayuda a supervisar tus cargas de trabajo para verificar que cumplan con el estándar ISO 27001. Esta plantilla incluye un conjunto de políticas de detección de Security Health Analytics que puedes implementar sin realizar ningún cambio.

Detectores de Security Health Analytics

En la siguiente tabla, se describen los detectores de Security Health Analytics que se incluyen en esta plantilla de postura de seguridad.

Nombre del detector	Descripción
SQL_CROSS_DB_OWNERSHIP_CHAINING	Este detector verifica si la marca cross_db_ownership_chaining en Cloud SQL para SQL Server está habilitada.
INSTANCE_OS_LOGIN_DISABLED	Este detector verifica si el Acceso al SO no está activado.
SQL_SKIP_SHOW_DATABASE_DISABLED	Este detector verifica si la marca skip_show_database en Cloud SQL para MySQL está inhabilitada.
ESSENTIAL_CONTACTS_NOT_CONFIGURED	Este detector verifica si tienes al menos un contacto esencial.
AUDIT_LOGGING_DISABLED	Este detector verifica si el registro de auditoría está desactivado para un recurso.
VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED	Este detector verifica si los registros de flujo de VPC no están activados.
API_KEY_EXISTS	Este detector verifica si un proyecto usa claves de API en lugar de la autenticación estándar.
SQL_LOG_MIN_ERROR_STATEMENT_SEVERITY	Este detector verifica si la marca log_min_error_statement en Cloud SQL para PostgreSQL no tiene un nivel de gravedad adecuado.
LOCKED_RETENTION_POLICY_NOT_SET	Este detector verifica si se estableció la política de retención bloqueada para los registros.
SQL_LOG_DISCONNECTIONS_DISABLED	Este detector verifica si la marca log_disconnections en Cloud SQL para PostgreSQL está inhabilitada.
COMPUTE_SERIAL_PORTS_ENABLED	Este detector verifica si los puertos en serie están habilitados.
COMPUTE_PROJECT_WIDE_SSH_KEYS_ALLOWED	Este detector verifica si se están usando claves SSH en todo el proyecto.
KMS_KEY_NOT_ROTATED	Este detector verifica si la rotación para la encriptación de Cloud Key Management Service no está activada.
DNS_LOGGING_DISABLED	Este detector verifica si el registro de DNS está habilitado en la red de VPC.
SQL_LOCAL_INFILE	Este detector verifica si la marca local_infile está habilitada en Cloud SQL para MySQL.
SQL_LOG_MIN_DURATION_STATEMENT_ENABLED	Este detector verifica si la marca log_min_duration_statement en Cloud SQL para PostgreSQL no está configurada como -1.
PUBLIC_DATASET	Este detector verifica si un conjunto de datos está configurado para estar abierto al acceso público. Para obtener más información, consulta Hallazgos de vulnerabilidades en conjuntos de datos.
DISK_CSEK_DISABLED	Este detector verifica si la compatibilidad con la clave de encriptación proporcionada por el cliente (CSEK) está desactivada para una VM.
SQL_USER_CONNECTIONS_CONFIGURED	Este detector verifica si la marca user connections en Cloud SQL para SQL Server está configurada.
SERVICE_ACCOUNT_ROLE_SEPARATION	Este detector verifica la separación de funciones para las claves de cuentas de servicio.
AUDIT_CONFIG_NOT_MONITORED	Este detector verifica si se supervisan los cambios en la configuración de auditoría.
BUCKET_IAM_NOT_MONITORED	Este detector verifica si el registro está desactivado para los cambios de permisos de IAM en Cloud Storage.
PUBLIC_SQL_INSTANCE	Este detector comprueba si una instancia de Cloud SQL permite conexiones desde todas las direcciones IP.
AUTO_BACKUP_DISABLED	Este detector verifica si una base de datos de Cloud SQL no tiene activadas las copias de seguridad automáticas.
DATAPROC_CMEK_DISABLED	Este detector verifica si la compatibilidad con CMEK está desactivada para un clúster de Managed Service para Apache Spark.
LOG_NOT_EXPORTED	Este detector verifica si un recurso no tiene configurado un receptor de registros.
KMS_PROJECT_HAS_OWNER	Este detector verifica si un usuario tiene el permiso de propietario en un proyecto que incluye claves.
KMS_ROLE_SEPARATION	Este detector verifica la separación de funciones para las claves de Cloud KMS.
API_KEY_APIS_UNRESTRICTED	Este detector verifica si las claves de API se usan de una forma demasiado general.
SQL_LOG_MIN_MESSAGES	Este detector verifica si la marca log_min_messages en Cloud SQL para PostgreSQL no está configurada como warning.
SQL_PUBLIC_IP	Este detector verifica si una base de datos de Cloud SQL tiene una dirección IP externa.
DATASET_CMEK_DISABLED	Este detector verifica si la compatibilidad con CMEK está desactivada para un conjunto de datos de BigQuery.
FIREWALL_NOT_MONITORED	Este detector verifica si las métricas de registros y las alertas no están configuradas para supervisar los cambios en las reglas del firewall de VPC.
SQL_LOG_STATEMENT	Este detector verifica si la marca log_statement en Cloud SQL para PostgreSQL Server no está configurada como ddl.
BIGQUERY_TABLE_CMEK_DISABLED	Este detector comprueba si una tabla de BigQuery no está configurada para usar una clave de encriptación administrada por el cliente (CMEK). Para obtener más información, consulta Hallazgos de vulnerabilidades en conjuntos de datos.
CONFIDENTIAL_COMPUTING_DISABLED	Este detector verifica si Confidential Computing está desactivado.
SQL_INSTANCE_NOT_MONITORED	Este detector verifica si el registro está desactivado para los cambios de configuración de Cloud SQL.
KMS_PUBLIC_KEY	Este detector verifica si una clave criptográfica de Cloud Key Management Service es de acceso público. Para obtener más información, consulta Resultados de las vulnerabilidades de KMS.
DEFAULT_NETWORK	Este detector verifica si la red predeterminada existe en un proyecto.
SQL_TRACE_FLAG_3625	Este detector verifica si la marca 3625 (trace flag) en Cloud SQL para SQL Server está inhabilitada.
API_KEY_NOT_ROTATED	Este detector verifica si se rotó una clave de API en los últimos 90 días.
DNSSEC_DISABLED	Este detector verifica si la seguridad de DNS (DNSSEC) está desactivada para Cloud DNS. Para obtener más información, consulta Hallazgos de vulnerabilidades de DNS.
SQL_LOG_CONNECTIONS_DISABLED	Este detector verifica si la marca log_connections en Cloud SQL para PostgreSQL está inhabilitada.
LEGACY_NETWORK	Este detector verifica si existe una red heredada en un proyecto.
PUBLIC_IP_ADDRESS	Este detector verifica si una instancia tiene una dirección IP externa.
FULL_API_ACCESS	Este detector verifica si una instancia usa una cuenta de servicio predeterminada con acceso completo a todas las APIs de Google Cloud .
SQL_CONTAINED_DATABASE_AUTHENTICATION	Este detector verifica si la marca contained database authentication en Cloud SQL para SQL Server está habilitada.
OS_LOGIN_DISABLED	Este detector verifica si el Acceso al SO está desactivado.
SQL_USER_OPTIONS_CONFIGURED	Este detector verifica si la marca user options en Cloud SQL para SQL Server está configurada.
ADMIN_SERVICE_ACCOUNT	Este detector verifica si una cuenta de servicio tiene privilegios de administrador, propietario o editor.
DEFAULT_SERVICE_ACCOUNT_USED	Este detector verifica si se está usando la cuenta de servicio predeterminada.
NETWORK_NOT_MONITORED	Este detector verifica si las métricas de registros y las alertas no están configuradas para supervisar los cambios de la red de VPC.
PUBLIC_BUCKET_ACL	Este detector verifica si un bucket es accesible de manera pública.
CUSTOM_ROLE_NOT_MONITORED	Este detector verifica si el registro está desactivado para los cambios de roles personalizados.
SQL_LOG_ERROR_VERBOSITY	Este detector verifica si la marca log_error_verbosity en Cloud SQL para PostgreSQL no está configurada como default.
LOAD_BALANCER_LOGGING_DISABLED	Este detector verifica si el registro está desactivado para el balanceador de cargas.
OVER_PRIVILEGED_SERVICE_ACCOUNT_USER	Este detector verifica si un usuario tiene roles de cuenta de servicio a nivel del proyecto, en lugar de una cuenta de servicio específica.
SQL_REMOTE_ACCESS_ENABLED	Este detector verifica si la marca remote_access en Cloud SQL para SQL Server está habilitada.
RSASHA1_FOR_SIGNING	Este detector verifica si se usa RSASHA1 para la firma de claves en las zonas de Cloud DNS.
CLOUD_ASSET_API_DISABLED	Este detector verifica si Cloud Asset Inventory está desactivado.
BUCKET_POLICY_ONLY_DISABLED	Este detector verifica si está configurado el acceso uniforme a nivel del bucket.
ROUTE_NOT_MONITORED	Este detector verifica si las métricas de registros y las alertas no están configuradas para supervisar los cambios en la ruta de la red de VPC.
OWNER_NOT_MONITORED	Este detector verifica si el registro está desactivado para las asignaciones y los cambios de propiedad del proyecto.

Visualiza la plantilla de postura de seguridad

Para ver la plantilla de postura de ISO 27001, haz lo siguiente:

gcloud

Antes de usar cualquiera de los datos de comando a continuación, haz los siguientes reemplazos:

• ORGANIZATION_ID: Es el ID numérico de la organización.

Ejecuta el comando gcloud scc posture-templates describe:

Linux, macOS o Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/iso_27001

Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/iso_27001

Windows (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/iso_27001

La respuesta contiene la plantilla de postura de seguridad.

REST

Antes de usar cualquiera de los datos de solicitud a continuación, realiza los siguientes reemplazos:

• ORGANIZATION_ID: Es el ID numérico de la organización.

Método HTTP y URL:

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/iso_27001

Para enviar tu solicitud, expande una de estas opciones:

curl (Linux, macOS o Cloud Shell)

Nota: Con el siguiente comando, se supone que accediste a gcloud CLI con tu cuenta de usuario a través de la ejecución de gcloud init o gcloud auth login , o a través del uso de Cloud Shell, que accede de forma automática a gcloud CLI . Para comprobar la cuenta activa actual, ejecuta gcloud auth list.

Ejecuta el siguiente comando:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/iso_27001"

PowerShell (Windows)

Nota: El siguiente comando supone que accediste a gcloud CLI con tu cuenta de usuario a través de la ejecución de gcloud init o gcloud auth login . Para comprobar la cuenta activa actual, ejecuta gcloud auth list.

Ejecuta el siguiente comando:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/iso_27001" | Select-Object -Expand Content

La respuesta contiene la plantilla de postura de seguridad.

¿Qué sigue?

• Crea una postura de seguridad con esta plantilla de postura predefinida.