Paramètres de gestion des données

Ce document présente les bonnes pratiques et les consignes pour les systèmes de gestion des données lors de l'exécution de charges de travail sur Google Cloud.

Les systèmes de gestion des données tels que BigQuery et Cloud Storage vous permettent de stocker les données dont vous avez besoin pour vos workflows, y compris les données d'entraînement, les artefacts de modèle et les données de production.

Contrôles courants

Ces contrôles s'appliquent à tous les systèmes de gestion des données.

Activer Sensitive Data Protection pour l'inspection des données

ID de commande Google COM-CO-5.1
Implémentation Recommandé
Description

Google Cloud recommande d'utiliser Sensitive Data Protection. Les infoTypes ou les modèles de tâche que vous sélectionnez dépendent de vos systèmes spécifiques.
Produits applicables

Sensitive Data Protection
Contrôles NIST-800-53 associés
  • SI-4
  • IA-7
  • SC-7
  • SC-8
Commandes associées du profil CRI
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
Informations connexes

Contrôles d'entrepôt de données

Ces contrôles s'appliquent à BigQuery.

Assurez-vous que les ensembles de données BigQuery ne sont pas lisibles publiquement ni définis sur allAuthenticatedUsers

ID de commande Google BQ-CO-6.1
Implémentation Obligatoire
Description

Assurez-vous que BigQuery ne contient pas d'ensembles de données accessibles au public, sauf s'ils sont destinés à être publics. Les ensembles de données BigQuery contiennent souvent des données sensibles.

Limitez l'accès aux informations d'un ensemble de données BigQuery à des utilisateurs spécifiques. Pour configurer cette protection, vous devez configurer des rôles détaillés.

L'examen de l'accès aux ensembles de données vous permet de vous assurer que vous n'exposez pas involontairement des données sur Internet.
Produits applicables
  • Service de règles d'administration
  • BigQuery
  • Identity and Access Management (IAM)
Chemin d'accès cloudasset.assets/assetType
Opérateur ==
Valeur

bigquery.googleapis.com/Dataset
Type Chaîne
Contrôles NIST-800-53 associés
  • AC-3
  • AC-12
  • AC-17
  • AC-20
Commandes associées du profil CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
Informations connexes

Assurez-vous que les tables BigQuery ne sont pas lisibles publiquement ni définies sur allAuthenticatedUsers

ID de commande Google BQ-CO-6.2
Implémentation Obligatoire
Description

Restreindre l'accès aux informations d'une table BigQuery à des utilisateurs spécifiques uniquement. Pour configurer cette protection, vous devez configurer des rôles détaillés.
Produits applicables
  • Identity and Access Management (IAM)
  • BigQuery
Chemin d'accès cloudasset.assets/iamPolicy.bindings.members
Opérateur anyof
Valeur
  • allUsers
  • allAuthenticatedUsers
Type Chaîne
Contrôles NIST-800-53 associés
  • AC-3
  • AC-12
  • AC-17
  • AC-20
Commandes associées du profil CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
Informations connexes

Chiffrer des valeurs individuelles dans une table BigQuery

ID de commande Google BQ-CO-6.3
Implémentation Facultatif
Description

Si votre organisation exige que vous chiffriez des valeurs individuelles dans une table BigQuery, utilisez les fonctions de chiffrement authentifié avec données associées (AEAD).
Produits applicables

BigQuery
Contrôles NIST-800-53 associés
  • SC-13
Commandes associées du profil CRI
  • PR.DS-5.1
Informations connexes

Utiliser des vues autorisées pour les ensembles de données BigQuery

ID de commande Google BQ-CO-6.4
Implémentation Facultatif
Description

Les vues autorisées vous permettent de partager un sous-ensemble de données d'un ensemble de données avec des utilisateurs spécifiques. Par exemple, une vue autorisée vous permet de partager des résultats de requête avec des utilisateurs et des groupes particuliers sans leur donner accès aux données sources sous-jacentes.
Produits applicables

BigQuery
Contrôles NIST-800-53 associés
  • AC-3
  • AC-12
  • AC-17
  • AC-20
Commandes associées du profil CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
Informations connexes

Utiliser la sécurité au niveau des colonnes dans BigQuery

ID de commande Google BQ-CO-6.5
Implémentation Facultatif
Description

Utilisez la sécurité au niveau des colonnes de BigQuery pour créer des stratégies qui vérifient, au moment de la requête, si un utilisateur dispose d'un accès approprié. BigQuery fournit un accès précis aux colonnes sensibles à l'aide de tags avec stratégie, autrement dit une classification des données basée sur le type.
Produits applicables

BigQuery
Contrôles NIST-800-53 associés
  • AC-3
  • AC-12
  • AC-17
  • AC-20
Commandes associées du profil CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
Informations connexes

Utiliser la sécurité au niveau des lignes BigQuery

ID de commande Google BQ-CO-6.6
Implémentation Facultatif
Description

Utilisez la sécurité au niveau des lignes et les règles d'accès pour activer un contrôle ultraprécis des accès à un sous-ensemble de données d'une table BigQuery.
Produits applicables

BigQuery
Contrôles NIST-800-53 associés
  • AC-3
  • AC-12
  • AC-17
  • AC-20
Commandes associées du profil CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
Informations connexes

Utiliser les graphiques de ressources BigQuery

ID de commande Google BQ-CO-7.1
Implémentation Facultatif
Description

Les graphiques de ressources BigQuery permettent aux administrateurs BigQuery d'observer comment leur organisation, leur dossier ou leur réservation utilise les emplacements BigQuery, ainsi que les performances de leurs requêtes.
Produits applicables

BigQuery
Contrôles NIST-800-53 associés
  • AC-3
  • AC-12
  • AC-17
  • AC-20
Commandes associées du profil CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
Informations connexes

Contrôles de l'espace de stockage

Ces contrôles s'appliquent à Cloud Storage.

Bloquer l'accès public aux buckets Cloud Storage

ID de commande Google GCS-CO-4.1
Implémentation Obligatoire
Description

La contrainte booléenne storage.publicAccessPrevention empêche l'accès aux buckets de stockage à partir de sources publiques sans authentification. Elle désactive et bloque les listes de contrôle des accès (LCA) et les autorisations Identity and Access Management (IAM) qui accordent l'accès à allUsers et allAuthenticatedUsers. Cette contrainte agit comme un filet de sécurité à l'échelle de l'organisation qui bloque activement tout paramètre rendant un bucket accessible au public.
Produits applicables
  • Service de règles d'administration
  • Cloud Storage
Chemin d'accès constraints/storage.publicAccessPrevention
Opérateur ==
Valeur

True
Type Booléen
Contrôles NIST-800-53 associés
  • AC-3
  • AC-17
  • AC-20
Commandes associées du profil CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Informations connexes

Utiliser l'accès uniforme au niveau du bucket

ID de commande Google GCS-CO-4.2
Implémentation Obligatoire
Description

La contrainte booléenne storage.uniformBucketLevelAccess exige que les buckets utilisent l'accès uniforme au niveau du bucket. L'accès uniforme au niveau du bucket vous permet d'utiliser uniquement les autorisations Identity and Access Management (IAM) au niveau du bucket pour accorder l'accès à vos ressources Cloud Storage.

L'utilisation de deux systèmes différents et contradictoires pour gérer les autorisations sur les buckets de stockage est complexe et constitue une cause fréquente de fuites de données accidentelles. Ce paramètre désactive l'ancien système (listes de contrôle des accès ou LCA) et fait du système moderne et centralisé (IAM) la source unique de vérité pour toutes les autorisations.
Produits applicables
  • Service de règles d'administration
  • Cloud Storage
Chemin d'accès constraints/storage.uniformBucketLevelAccess
Opérateur ==
Valeur

True
Type Booléen
Contrôles NIST-800-53 associés
  • AC-3
  • AC-17
  • AC-20
Commandes associées du profil CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Informations connexes

Protéger les clés HMAC pour les comptes de service

ID de commande Google GCS-CO-6.9
Implémentation Obligatoire
Description

Une clé HMAC est un type d'identifiant de longue durée associé à un compte de service ou à un compte utilisateur dans Cloud Storage. Utilisez une clé HMAC pour créer des signatures qui sont incluses dans les requêtes envoyées à Cloud Storage. Une signature prouve qu'un utilisateur ou un compte de service a autorisé une requête.

Contrairement aux identifiants éphémères (tels que Contrairement aux identifiants de courte durée (comme les jetons OAuth 2.0), les clés HMAC n'expirent pas automatiquement et restent valides jusqu'à ce qu'elles soient révoquées manuellement. Les clés HMAC sont des identifiants à haut risque : si elles sont compromises, elles fournissent un accès persistant à vos ressources. Vous devez vous assurer que des mécanismes appropriés sont en place pour les protéger.
Produits applicables

Cloud Storage
Chemin d'accès storage.projects.hmacKeys/id
Opérateur Existe
Valeur

[]
Type Chaîne
Contrôles NIST-800-53 associés
  • SC-12
  • SC-13
Commandes associées du profil CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informations connexes

Détecter l'énumération des buckets Cloud Storage par les comptes de service

ID de commande Google GCS-CO-7.2
Implémentation Obligatoire
Description

Les comptes de service sont des identités non humaines conçues pour les applications. Leur comportement est prévisible et automatisé. Normalement, les comptes de service n'ont pas besoin de lister les buckets, car ils sont déjà mappés. Par conséquent, si vous détectez un compte de service qui tente de récupérer la liste de tous les buckets Cloud Storage, examinez-le immédiatement. L'énumération de reconnaissance est souvent utilisée comme technique de reconnaissance par une personne malveillante qui a obtenu l'accès au compte de service.
Produits applicables
  • Cloud Storage
  • Cloud Audit Logs
Opérateur ==
Valeur

storage.bucket.list
Type Chaîne
Contrôles NIST-800-53 associés
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Commandes associées du profil CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informations connexes

Détecter les modifications de stratégie IAM des buckets Cloud Storage par des comptes de service

ID de commande Google GCS-CO-7.3
Implémentation Obligatoire
Description

Configurez une alerte qui détecte quand la stratégie Identity and Access Management (IAM) d'un bucket Cloud Storage est modifiée pour accorder un accès public. Cette alerte se déclenche lorsque les comptes principaux allUsers ou allAuthenticatedUsers sont ajoutés à la stratégie IAM d'un bucket. Cette alerte est un événement critique de gravité élevée, car elle peut exposer toutes les données du bucket. Examinez immédiatement cette alerte pour confirmer si la modification a été autorisée ou s'il s'agit d'un signe de mauvaise configuration ou d'une personne malveillante.

Dans l'alerte, définissez l'attribut JSON data.protoPayload.serviceData.policyData.bindingDeltas.member sur allUsers ou allAuthenticatedUsers, et l'action sur ADD.
Produits applicables
  • Cloud Storage
  • Cloud Audit Logs
Contrôles NIST-800-53 associés
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Commandes associées du profil CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informations connexes

Assurez-vous que la règle de conservation du bucket Cloud Storage utilise le verrou de bucket

ID de commande Google GCS-CO-6.1
Implémentation Recommandé
Description

En fonction de vos exigences réglementaires, assurez-vous que chaque règle de conservation des bucket Cloud Storage est verrouillée. Définissez la durée de conservation sur une période qui répond à vos besoins.
Produits applicables

Cloud Storage
Chemin d'accès storage.buckets/retentionPolicy.isLocked
Opérateur !=
Valeur

True
Type Booléen
Contrôles NIST-800-53 associés
  • SI-12
Commandes associées du profil CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informations connexes

Définir des règles de cycle de vie pour l'action SetStorageClass

ID de commande Google GCS-CO-6.11
Implémentation Recommandé
Description

Appliquez des règles de cycle de vie à chaque bucket Cloud Storage associé à un type d'action SetStorageClass.
Produits applicables

Cloud Storage
Chemin d'accès storage.buckets/lifecycle.rule.action.type
Opérateur ==
Valeur

SetStorageClass
Type Chaîne
Contrôles NIST-800-53 associés
  • SI-12
Commandes associées du profil CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informations connexes

Définir les régions autorisées pour les classes de stockage

ID de commande Google GCS-CO-6.12
Implémentation Recommandé
Description
Assurez-vous que les classes de stockage de la configuration de cycle de vie ne se trouvent pas dans les classifications régionales autorisées.
Produits applicables

Cloud Storage
Chemin d'accès storage.buckets/lifecycle.rule.action.storageClass
Opérateur nin
Valeur
  • MULTI_REGIONAL
  • REGIONAL
Type Chaîne
Contrôles NIST-800-53 associés
  • SI-12
Commandes associées du profil CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informations connexes

Activer la gestion du cycle de vie pour les buckets Cloud Storage

ID de commande Google GCS-CO-6.13
Implémentation Recommandé
Description

Assurez-vous que la gestion du cycle de vie de Cloud Storage est activée et configurée. Le contrôle du cycle de vie contient la configuration du cycle de vie du stockage. Vérifiez que les règles de ce paramètre correspondent à vos exigences.
Produits applicables

Cloud Storage
Chemin d'accès storage.buckets/lifecycle
Opérateur Existe
Valeur

[]
Type Objet
Contrôles NIST-800-53 associés
  • SI-12
Commandes associées du profil CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informations connexes

Activer les règles de gestion du cycle de vie pour les buckets Cloud Storage

ID de commande Google GCS-CO-6.14
Implémentation Recommandé
Description

Assurez-vous que les règles de gestion du cycle de vie pour Cloud Storage sont activées et configurées. Le contrôle de règle contient la configuration du cycle de vie de l'espace de stockage. Vérifiez que les règles de ce paramètre correspondent à vos exigences.
Produits applicables

Cloud Storage
Chemin d'accès storage.buckets/lifecycle.rule
Opérateur Vide
Valeur

[]
Type Tableau
Contrôles NIST-800-53 associés
  • SI-12
Commandes associées du profil CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informations connexes

Examiner et évaluer les obligations de conservation temporaires sur les objets actifs

ID de commande Google GCS-CO-6.16
Implémentation Recommandé
Description

Identifiez tous les objets pour lesquels "temporaryHold" est défini sur TRUE, puis lancez un processus d'investigation et de validation. Cette évaluation est appropriée pour les cas d'utilisation suivants :

  • Obligation de conservation à titre conservatoire : pour respecter les obligations légales de stockage des données, une préservation temporaire peut être utilisée pour empêcher la suppression de données sensibles susceptibles d'être pertinentes pour des enquêtes ou des litiges en cours.
  • Protection contre la perte de données : pour éviter la suppression accidentelle de données importantes, la conservation temporaire peut être utilisée comme mesure de sécurité pour protéger les informations critiques de l'entreprise.
  • Modération du contenu : pour examiner un contenu potentiellement sensible ou inapproprié avant qu'il ne soit accessible au public, appliquez une préservation temporaire au contenu importé dans Cloud Storage pour l'inspecter plus en détail et prendre des décisions de modération.
Produits applicables

Cloud Storage
Chemin d'accès storage.objects/temporaryHold
Opérateur ==
Valeur

TRUE
Type Booléen
Contrôles NIST-800-53 associés
  • SI-12
Commandes associées du profil CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informations connexes

Appliquer des règles de conservation aux buckets Cloud Storage

ID de commande Google GCS-CO-6.17
Implémentation Recommandé
Description

Assurez-vous que tous les buckets Cloud Storage disposent d'une règle de conservation.
Produits applicables

Cloud Storage
Chemin d'accès storage.buckets/retentionPolicy.retentionPeriod
Opérateur agesmaller
Valeur

[90,"DAY","AFTER","yyyy-MM-dd'T'HH:mm:ss'Z'"]
Type int64
Contrôles NIST-800-53 associés
  • SI-12
Commandes associées du profil CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informations connexes

Appliquer des tags de classification aux buckets Cloud Storage

ID de commande Google GCS-CO-6.18
Implémentation Recommandé
Description

La classification des données est un composant fondamental de tout programme de gouvernance et de sécurité des données. Il est essentiel d'appliquer à chaque bucket une étiquette de classification avec des valeurs telles que "public", "interne", "confidentiel" ou "limité".

Vérifiez que google_storage_bucket.labels comporte une expression de classification et créez une violation si ce n'est pas le cas.
Produits applicables

Cloud Storage
Chemin d'accès storage.buckets/labels.classification
Opérateur notexists
Valeur

[]
Type Étendu
Contrôles NIST-800-53 associés
  • SI-12
Commandes associées du profil CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informations connexes

Appliquer des buckets de journaux pour les buckets Cloud Storage

ID de commande Google GCS-CO-6.3
Implémentation Recommandé
Description

Assurez-vous que chaque bucket Cloud Storage inclut un bucket de journaux.
Produits applicables

Cloud Storage
Chemin d'accès storage.buckets/logging.logBucket
Opérateur notexists
Valeur

[]
Type Chaîne
Contrôles NIST-800-53 associés
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Commandes associées du profil CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informations connexes

Configurer des règles de suppression pour les buckets Cloud Storage

ID de commande Google GCS-CO-6.5
Implémentation Recommandé
Description

Dans Cloud Storage, storage.buckets/lifecycle.rule.action.type fait référence au type d'action à effectuer sur un objet spécifique en fonction d'une règle de cycle de vie dans un bucket. Cette configuration permet d'automatiser la gestion et le cycle de vie de vos données stockées dans le cloud.

Configurez la storage.buckets/lifecycle.rule.action.type pour vous assurer que les objets sont définitivement supprimés du bucket.
Produits applicables

Cloud Storage
Chemin d'accès storage.buckets/lifecycle.rule.action.type
Opérateur ==
Valeur

Delete
Type Chaîne
Contrôles NIST-800-53 associés
  • SI-12
Commandes associées du profil CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informations connexes

Assurez-vous que la condition isLive est définie sur "False" pour les règles de suppression

ID de commande Google GCS-CO-6.6
Implémentation Recommandé
Description

Pour les règles de suppression, assurez-vous que la condition isLive de la règle est définie sur false.

Dans Cloud Storage, storage.buckets/lifecycle.rule.condition.isLive est une condition booléenne utilisée dans les règles de cycle de vie pour déterminer si un objet est considéré comme actif. Ce filtre permet de s'assurer que les actions d'une règle de cycle de vie ne sont appliquées qu'aux objets souhaités en fonction de leur état d'activité.

Cas d'utilisation :

  • Archiver les versions historiques : archivez uniquement les versions non actuelles des objets pour réduire les coûts de stockage tout en gardant la dernière version facilement accessible.
  • Nettoyer les objets supprimés : automatisez la suppression définitive des objets qui ont été supprimés par les utilisateurs, ce qui libère de l'espace dans le bucket.
  • Protéger les données actives : assurez-vous que les actions telles que la définition de préservations temporaires ne sont appliquées qu'aux objets actifs, afin d'éviter toute modification accidentelle des versions archivées ou supprimées.
Produits applicables

Cloud Storage
Chemin d'accès storage.buckets/lifecycle.rule.condition.isLive
Opérateur ==
Valeur

False
Type Booléen
Contrôles NIST-800-53 associés
  • SI-12
Commandes associées du profil CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informations connexes

Appliquer la gestion des versions pour les buckets Cloud Storage

ID de commande Google GCS-CO-6.7
Implémentation Recommandé
Description

Assurez-vous que la gestion des versions est activée pour tous les buckets Cloud Storage. Voici quelques cas d'utilisation :

  • Protection et récupération des données : protégez-vous contre la perte accidentelle de données en empêchant les écrasements et en permettant la récupération des données supprimées ou modifiées.
  • Conformité et audit : conservez un historique de toutes les modifications d'objets à des fins de conformité réglementaire ou d'audit interne.
  • Contrôle des versions : suivez les modifications apportées aux fichiers et aux ensembles de données, ce qui permet de collaborer et de revenir aux versions précédentes si nécessaire.
Produits applicables

Cloud Storage
Chemin d'accès storage.buckets/versioning.enabled
Opérateur !=
Valeur

True
Type Booléen
Contrôles NIST-800-53 associés
  • SI-12
Commandes associées du profil CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informations connexes

Appliquer des propriétaires pour les buckets Cloud Storage

ID de commande Google GCS-CO-6.8
Implémentation Recommandé
Description

Assurez-vous que google_storage_bucket.labels comporte une expression pour un propriétaire.
Produits applicables

Cloud Storage
Chemin d'accès storage.buckets/labels.owner
Opérateur notexists
Valeur

[]
Type Étendu
Contrôles NIST-800-53 associés
  • SI-12
Commandes associées du profil CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informations connexes

Activer la journalisation des activités clés de Cloud Storage

ID de commande Google GCS-CO-7.4
Implémentation Recommandé
Description

Activez la journalisation supplémentaire pour des objets de stockage spécifiques en fonction de leur cas d'utilisation. Par exemple, enregistrez l'accès aux buckets de données sensibles afin de pouvoir identifier qui y a accédé et quand. Lorsque vous activez la journalisation supplémentaire, tenez compte du volume de journaux que vous pourriez générer.
Produits applicables

Cloud Storage
Contrôles NIST-800-53 associés
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Commandes associées du profil CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informations connexes

Contrôles de base de données

Limiter les adresses IP publiques Cloud SQL

Implémentation Obligatoire
Description

Empêchez Cloud SQL d'avoir une adresse IP publique et d'être directement exposé à Internet en définissant la contrainte de règle d'administration constraints/sql.restrictPublicIp. En règle générale, les bases de données ne sont pas directement exposées à Internet.

Empêcher les adresses IP publiques permet d'éviter que vos bases de données n'obtiennent des adresses IP publiques, ce qui garantit qu'elles sont privées et accessibles uniquement depuis des applications internes de confiance.
Produits applicables

Cloud SQL
Chemin d'accès constraints/sql.restrictPublicIp
Opérateur =
Valeur

True
Contrôles NIST-800-53 associés
  • SC-7
Commandes associées du profil CRI
  • PR.AC-3.1
Informations connexes

Implémenter et tester des sauvegardes de base de données

Implémentation Obligatoire
Description

Configurez des sauvegardes pour vos bases de données (par exemple, Cloud SQL et Filestore), en stockant des copies dans des emplacements isolés ou alternatifs. Testez régulièrement vos procédures de sauvegarde et de restauration.
Produits applicables
  • Cloud SQL
  • Filestore
  • AlloyDB pour PostgreSQL
Contrôles NIST-800-53 associés
  • CP-2
  • CP-6
  • CP-9
  • CP-9(1)
  • CP-10
Commandes associées du profil CRI
  • PR.IP-4.1
  • PR.IP-4.2
Informations connexes

Étapes suivantes