אמצעי בקרה לניהול נתונים

במאמר הזה מפורטות השיטות המומלצות וההנחיות למערכות לניהול נתונים כשמריצים עומסי עבודה ב- Google Cloud.

מערכות לניהול נתונים כמו BigQuery ו-Cloud Storage מאפשרות לאחסן את הנתונים שנדרשים לתהליכי העבודה, כולל נתוני אימון, פריטי מידע שנוצרו בתהליך הפיתוח ונתוני ייצור.

אמצעי בקרה נפוצים

אמצעי הבקרה האלה חלים על כל המערכות לניהול נתונים.

הפעלת Sensitive Data Protection לבדיקת נתונים

מזהה הבקרה של Google COM-CO-5.1
הטמעה מומלץ
תיאור

‫Google Cloud ממליצה להשתמש ב-Sensitive Data Protection. סוגי המידע או תבניות המשימות שבוחרים תלויים במערכות הספציפיות שלכם.
המוצרים הרלוונטיים

Sensitive Data Protection
אמצעי בקרה קשורים של NIST-800-53
  • SI-4
  • IA-7
  • SC-7
  • SC-8
אמצעי בקרה קשורים בפרופיל CRI
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
מידע קשור

אמצעי בקרה על מחסן הנתונים

אמצעי הבקרה האלה חלים על BigQuery.

מוודאים שמערכי הנתונים ב-BigQuery לא ניתנים לקריאה באופן ציבורי או מוגדרים ל-allAuthenticatedUsers

מזהה הבקרה של Google BQ-CO-6.1
הטמעה חובה
תיאור

לוודא שב-BigQuery אין מערכי נתונים שפתוחים לגישה ציבורית, אלא אם הם מיועדים להיות ציבוריים. מערכי נתונים ב-BigQuery מכילים לעיתים קרובות מידע רגיש.

להגביל את הגישה למידע במערך נתונים ב-BigQuery למשתמשים ספציפיים בלבד. כדי להגדיר את ההגנה הזו, צריך להגדיר תפקידים מפורטים.

בדיקת הגישה למערך הנתונים עוזרת לוודא שלא חושפים בטעות נתונים לאינטרנט.
המוצרים הרלוונטיים
  • שירות מדיניות הארגון
  • BigQuery
  • ניהול זהויות והרשאות גישה (IAM)
נתיב cloudasset.assets/assetType
אופרטור ==
ערך

bigquery.googleapis.com/Dataset
סוג String
אמצעי בקרה קשורים של NIST-800-53
  • AC-3
  • AC-12
  • AC-17
  • AC-20
אמצעי בקרה קשורים בפרופיל CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
מידע קשור

מוודאים שהטבלאות ב-BigQuery לא ניתנות לקריאה באופן ציבורי או מוגדרות ל-allAuthenticatedUsers

מזהה הבקרה של Google BQ-CO-6.2
הטמעה חובה
תיאור

להגביל את הגישה למידע בטבלה ב-BigQuery למשתמשים ספציפיים בלבד. כדי להגדיר את ההגנה הזו, צריך להגדיר תפקידים מפורטים.
המוצרים הרלוונטיים
  • ניהול זהויות והרשאות גישה (IAM)
  • BigQuery
נתיב cloudasset.assets/iamPolicy.bindings.members
אופרטור anyof
ערך
  • allUsers
  • allAuthenticatedUsers
סוג String
אמצעי בקרה קשורים של NIST-800-53
  • AC-3
  • AC-12
  • AC-17
  • AC-20
אמצעי בקרה קשורים בפרופיל CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
מידע קשור

הצפנת ערכים ספציפיים בטבלה ב-BigQuery

מזהה הבקרה של Google BQ-CO-6.3
הטמעה אופציונלי
תיאור

אם הארגון שלכם דורש להצפין ערכים נפרדים בטבלה ב-BigQuery, אתם יכולים להשתמש בפונקציות של הצפנה מאומתת עם מידע נלווה (AEAD).
המוצרים הרלוונטיים

BigQuery
אמצעי בקרה קשורים של NIST-800-53
  • SC-13
אמצעי בקרה קשורים בפרופיל CRI
  • PR.DS-5.1
מידע קשור

שימוש בתצוגות מורשות למערכי נתונים ב-BigQuery

מזהה הבקרה של Google BQ-CO-6.4
הטמעה אופציונלי
תיאור

תצוגות מורשות מאפשרות לכם לשתף קבוצת משנה של נתונים במערך נתונים עם משתמשים ספציפיים. לדוגמה, תצוגה מורשית מאפשרת לכם לשתף תוצאות של שאילתות עם משתמשים וקבוצות מסוימים בלי לתת להם גישה לנתוני המקור הבסיסיים.
המוצרים הרלוונטיים

BigQuery
אמצעי בקרה קשורים של NIST-800-53
  • AC-3
  • AC-12
  • AC-17
  • AC-20
אמצעי בקרה קשורים בפרופיל CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
מידע קשור

שימוש באבטחה ברמת העמודה ב-BigQuery

מזהה הבקרה של Google BQ-CO-6.5
הטמעה אופציונלי
תיאור

אפשר להשתמש באבטחה ברמת העמודה ב-BigQuery כדי ליצור כללי מדיניות שבודקים בזמן השאילתה אם למשתמש יש גישה מתאימה. ‫BigQuery מספק גישה מדויקת לעמודות עם נתונים רגישים באמצעות תגי מדיניות או סיווג מבוסס-נתונים.
המוצרים הרלוונטיים

BigQuery
אמצעי בקרה קשורים של NIST-800-53
  • AC-3
  • AC-12
  • AC-17
  • AC-20
אמצעי בקרה קשורים בפרופיל CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
מידע קשור

שימוש באבטחה ברמת השורה ב-BigQuery

מזהה הבקרה של Google BQ-CO-6.6
הטמעה אופציונלי
תיאור

כדי להפעיל בקרת גישה פרטנית לקבוצת משנה של נתונים בטבלה ב-BigQuery, אתם יכולים להשתמש באבטחה ברמת השורה ובכללי מדיניות גישה.
המוצרים הרלוונטיים

BigQuery
אמצעי בקרה קשורים של NIST-800-53
  • AC-3
  • AC-12
  • AC-17
  • AC-20
אמצעי בקרה קשורים בפרופיל CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
מידע קשור

שימוש בתרשימי משאבים ב-BigQuery

מזהה הבקרה של Google BQ-CO-7.1
הטמעה אופציונלי
תיאור

תרשימי המשאבים של BigQuery מאפשרים לאדמינים של BigQuery לראות איך הארגון, התיקייה או ההזמנה שלהם משתמשים ביחידות הקיבולת של BigQuery, ואיך השאילתות שלהם פועלות.
המוצרים הרלוונטיים

BigQuery
אמצעי בקרה קשורים של NIST-800-53
  • AC-3
  • AC-12
  • AC-17
  • AC-20
אמצעי בקרה קשורים בפרופיל CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
מידע קשור

אמצעי בקרה על האחסון

אמצעי הבקרה האלה חלים על Cloud Storage.

חסימת הגישה הציבורית לקטגוריות של Cloud Storage

מזהה הבקרה של Google GCS-CO-4.1
הטמעה חובה
תיאור

האילוץ הבוליאני storage.publicAccessPrevention מונע גישה לקטגוריות אחסון ממקורות ציבוריים ללא אימות. הוא משבית וחוסם רשימות של בקרת גישה (ACL) והרשאות של ניהול זהויות והרשאות גישה (IAM) שמעניקות גישה אל allUsers ואל allAuthenticatedUsers. האילוץ הזה פועל כרשת ביטחון ברמת הארגון שחוסמת באופן פעיל כל הגדרה שתהפוך קטגוריה לנגישה באופן ציבורי.
המוצרים הרלוונטיים
  • שירות מדיניות הארגון
  • Cloud Storage
נתיב constraints/storage.publicAccessPrevention
אופרטור ==
ערך

True
סוג בוליאני
אמצעי בקרה קשורים של NIST-800-53
  • AC-3
  • AC-17
  • AC-20
אמצעי בקרה קשורים בפרופיל CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
מידע קשור

שימוש בהרשאות גישה אחידות ברמת הקטגוריה (UBLA)

מזהה הבקרה של Google GCS-CO-4.2
הטמעה חובה
תיאור

האילוץ הבוליאני storage.uniformBucketLevelAccess דורש שהקטגוריות ישתמשו בהרשאות גישה מאוחדות ברמת הקטגוריה (UBLA). הרשאות גישה מאוחדות ברמת הקטגוריה (UBLA) מאפשרות לכם להשתמש רק בהרשאות של ניהול זהויות והרשאות גישה (IAM) ברמת הקטגוריה כדי לתת גישה למשאבים של Cloud Storage.

שימוש בשתי מערכות שונות וסותרות לניהול הרשאות בקטגוריות אחסון הוא מורכב, ולעיתים קרובות גורם לדליפות נתונים מקריות. ההגדרה הזו משביתה את המערכת הקודמת (רשימות של בקרת גישה, או ACL) והופכת את המערכת המודרנית והריכוזית (IAM) למקור האמת היחיד (SSOT) לכל ההרשאות.
המוצרים הרלוונטיים
  • שירות מדיניות הארגון
  • Cloud Storage
נתיב constraints/storage.uniformBucketLevelAccess
אופרטור ==
ערך

True
סוג בוליאני
אמצעי בקרה קשורים של NIST-800-53
  • AC-3
  • AC-17
  • AC-20
אמצעי בקרה קשורים בפרופיל CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
מידע קשור

הגנה על מפתחות HMAC של חשבונות שירות

מזהה הבקרה של Google GCS-CO-6.9
הטמעה חובה
תיאור

מפתח HMAC הוא סוג של פרטי כניסה לטווח ארוך שמשויך לחשבון שירות או לחשבון משתמש ב-Cloud Storage. אפשר להשתמש במפתח HMAC כדי ליצור חתימות, ולכלול אותן בבקשות ל-Cloud Storage. חתימה מוכיחה שמשתמש או חשבון שירות אישרו בקשה.

בניגוד לפרטי כניסה לטווח קצר (כמו אסימוני OAuth 2.0), למפתחות HMAC אין תפוגה אוטומטית והם נשארים בתוקף עד שמבטלים אותם ידנית. מפתחות HMAC הם פרטי כניסה בסיכון גבוה: אם הם נחשפים, הם מספקים גישה קבועה למשאבים שלכם. אתם צריכים לוודא שקיימים מנגנונים מתאימים שיעזרו להגן עליהם.
המוצרים הרלוונטיים

Cloud Storage
נתיב storage.projects.hmacKeys/id
אופרטור קיים
ערך

[]
סוג String
אמצעי בקרה קשורים של NIST-800-53
  • SC-12
  • SC-13
אמצעי בקרה קשורים בפרופיל CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
מידע קשור

זיהוי ספירה של קטגוריות של Cloud Storage באמצעות חשבונות שירות

מזהה הבקרה של Google GCS-CO-7.2
הטמעה חובה
תיאור

חשבונות שירות הם זהויות לא אנושיות שמיועדות לאפליקציות, וההתנהגות שלהם צפויה ואוטומטית. בדרך כלל, חשבונות שירות לא צריכים לפרט קטגוריות, כי הן כבר ממופות. לכן, אם אתם מזהים חשבון שירות שמנסה לאחזר רשימה של כל הקטגוריות של Cloud Storage, כדאי לבדוק את זה מיד. גורמים זדוניים שקיבלו גישה לחשבון השירות משתמשים לעיתים קרובות בטכניקה של ספירת איסוף מידע כדי לאסוף מידע.
המוצרים הרלוונטיים
  • Cloud Storage
  • יומני ביקורת של Cloud
אופרטור ==
ערך

storage.bucket.list
סוג String
אמצעי בקרה קשורים של NIST-800-53
  • AU-2
  • AU-3
  • AU-8
  • AU-9
אמצעי בקרה קשורים בפרופיל CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
מידע קשור

זיהוי שינויים במדיניות IAM של קטגוריות Cloud Storage על ידי חשבונות שירות

מזהה הבקרה של Google GCS-CO-7.3
הטמעה חובה
תיאור

הגדרת התראה שמזהה מתי מדיניות ניהול הזהויות והרשאות הגישה (IAM) של קטגוריה ב-Cloud Storage משתנה כדי להעניק גישה ציבורית. ההתראה הזו מופעלת כשחשבונות המשתמשים allUsers או allAuthenticatedUsers נוספים למדיניות ה-IAM של קטגוריה. ההתראה הזו היא אירוע קריטי ברמת חומרה גבוהה, כי היא יכולה לחשוף את כל הנתונים בקטגוריה. צריך לבדוק את ההתראה הזו מיד כדי לוודא שהשינוי אושר, או שהוא סימן להגדרה שגויה או לגורם זדוני.

בהתראה, מגדירים את מאפיין ה-JSON‏ data.protoPayload.serviceData.policyData.bindingDeltas.member לערך allUsers או allAuthenticatedUsers ואת הפעולה לערך ADD.
המוצרים הרלוונטיים
  • Cloud Storage
  • יומני ביקורת של Cloud
אמצעי בקרה קשורים של NIST-800-53
  • AU-2
  • AU-3
  • AU-8
  • AU-9
אמצעי בקרה קשורים בפרופיל CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
מידע קשור

מוודאים שמדיניות שמירת הנתונים של קטגוריית Cloud Storage משתמשת ב-Bucket Lock

מזהה הבקרה של Google GCS-CO-6.1
הטמעה מומלץ
תיאור

בהתאם לדרישות הרגולטוריות, צריך לוודא שכל מדיניות שמירת נתונים בקטגוריה של Cloud Storage נעולה. מגדירים את תקופת השמירה לפרק זמן שעומד בדרישות שלכם.
המוצרים הרלוונטיים

Cloud Storage
נתיב storage.buckets/retentionPolicy.isLocked
אופרטור ‎!=‎
ערך

True
סוג בוליאני
אמצעי בקרה קשורים של NIST-800-53
  • SI-12
אמצעי בקרה קשורים בפרופיל CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
מידע קשור

הגדרת כללים של מחזור חיים לפעולה SetStorageClass

מזהה הבקרה של Google GCS-CO-6.11
הטמעה מומלץ
תיאור

מחילים כללי מחזור חיים על כל קטגוריה של Cloud Storage שיש לה סוג פעולה SetStorageClass.
המוצרים הרלוונטיים

Cloud Storage
נתיב storage.buckets/lifecycle.rule.action.type
אופרטור ==
ערך

SetStorageClass
סוג String
אמצעי בקרה קשורים של NIST-800-53
  • SI-12
אמצעי בקרה קשורים בפרופיל CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
מידע קשור

הגדרת אזורים מותרים לסוגי אחסון (storage classes)

מזהה הבקרה של Google GCS-CO-6.12
הטמעה מומלץ
תיאור
מוודאים שסוגי האחסון של הגדרת מחזור החיים לא נמצאים בסיווגים אזוריים מותרים.
המוצרים הרלוונטיים

Cloud Storage
נתיב storage.buckets/lifecycle.rule.action.storageClass
אופרטור nin
ערך
  • MULTI_REGIONAL
  • REGIONAL
סוג String
אמצעי בקרה קשורים של NIST-800-53
  • SI-12
אמצעי בקרה קשורים בפרופיל CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
מידע קשור

הפעלת ניהול מחזור החיים בקטגוריות של Cloud Storage

מזהה הבקרה של Google GCS-CO-6.13
הטמעה מומלץ
תיאור

מוודאים שניהול מחזור החיים של Cloud Storage מופעל ומוגדר. בקרת מחזור החיים מכילה את ההגדרות של מחזור החיים של האחסון. מוודאים שהכללים בהגדרה הזו תואמים לדרישות שלכם.
המוצרים הרלוונטיים

Cloud Storage
נתיב storage.buckets/lifecycle
אופרטור קיים
ערך

[]
סוג אובייקט
אמצעי בקרה קשורים של NIST-800-53
  • SI-12
אמצעי בקרה קשורים בפרופיל CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
מידע קשור

הפעלת כללים לניהול מחזור החיים בקטגוריות של Cloud Storage

מזהה הבקרה של Google GCS-CO-6.14
הטמעה מומלץ
תיאור

מוודאים שכללי ניהול מחזור החיים של Cloud Storage מופעלים ומוגדרים. אמצעי הבקרה של הכלל מכיל את ההגדרה של מחזור החיים של האחסון. מוודאים שהכללים בהגדרה הזו תואמים לדרישות שלכם.
המוצרים הרלוונטיים

Cloud Storage
נתיב storage.buckets/lifecycle.rule
אופרטור ריק
ערך

[]
סוג מערך
אמצעי בקרה קשורים של NIST-800-53
  • SI-12
אמצעי בקרה קשורים בפרופיל CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
מידע קשור

בדיקה והערכה של השהיות זמניות באובייקטים פעילים

מזהה הבקרה של Google GCS-CO-6.16
הטמעה מומלץ
תיאור

מזהים את כל האובייקטים שבהם הערך של temporaryHold מוגדר כ-TRUE ומתחילים בתהליך חקירה ואימות. ההערכה הזו מתאימה לתרחישים הבאים:

  • שמירה לצורך משפטי: כדי לעמוד בדרישות המשפטיות לאחסון נתונים, אפשר להשתמש בהשהיה זמנית כדי למנוע מחיקה של נתונים רגישים שעשויים להיות רלוונטיים לחקירות או להתדיינות שמתנהלות.
  • מניעת אובדן נתונים: כדי למנוע מחיקה מקרית של נתונים חשובים, אפשר להשתמש בהחזקה זמנית כאמצעי בטיחות להגנה על מידע עסקי קריטי.
  • ניהול תוכן: כדי לבדוק תוכן שעלול להיות רגיש או בלתי הולם לפני שהוא הופך לנגיש לכולם, אפשר להחיל השהיה זמנית על תוכן שמועלה ל-Cloud Storage לצורך בדיקה נוספת והחלטות לגבי ניהול התוכן.
המוצרים הרלוונטיים

Cloud Storage
נתיב storage.objects/temporaryHold
אופרטור ==
ערך

TRUE
סוג בוליאני
אמצעי בקרה קשורים של NIST-800-53
  • SI-12
אמצעי בקרה קשורים בפרופיל CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
מידע קשור

אכיפת מדיניות שמירת נתונים בקטגוריות של Cloud Storage

מזהה הבקרה של Google GCS-CO-6.17
הטמעה מומלץ
תיאור

מוודאים שלכל הקטגוריות של Cloud Storage יש מדיניות שמירת נתונים.
המוצרים הרלוונטיים

Cloud Storage
נתיב storage.buckets/retentionPolicy.retentionPeriod
אופרטור agesmaller
ערך

[90,"DAY","AFTER","yyyy-MM-dd'T'HH:mm:ss'Z'"]
סוג int64
אמצעי בקרה קשורים של NIST-800-53
  • SI-12
אמצעי בקרה קשורים בפרופיל CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
מידע קשור

אכיפת תגי סיווג לקטגוריות של Cloud Storage

מזהה הבקרה של Google GCS-CO-6.18
הטמעה מומלץ
תיאור

סיווג נתונים הוא רכיב בסיסי בכל תוכנית של משילות מידע (data governance) ואבטחה. חשוב להחיל על כל קטגוריה תווית סיווג עם ערכים כמו "ציבורי", "פנימי", "סודי" או "מוגבל".

צריך לוודא שב-google_storage_bucket.labels יש ביטוי לסיווג, ואם אין, ליצור הפרה.
המוצרים הרלוונטיים

Cloud Storage
נתיב storage.buckets/labels.classification
אופרטור notexists
ערך

[]
סוג מורחב
אמצעי בקרה קשורים של NIST-800-53
  • SI-12
אמצעי בקרה קשורים בפרופיל CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
מידע קשור

אכיפת השימוש בקטגוריות של יומנים בקטגוריות של Cloud Storage

מזהה הבקרה של Google GCS-CO-6.3
הטמעה מומלץ
תיאור

מוודאים שבכל קטגוריה של Cloud Storage יש קטגוריית יומנים.
המוצרים הרלוונטיים

Cloud Storage
נתיב storage.buckets/logging.logBucket
אופרטור notexists
ערך

[]
סוג String
אמצעי בקרה קשורים של NIST-800-53
  • AU-2
  • AU-3
  • AU-8
  • AU-9
אמצעי בקרה קשורים בפרופיל CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
מידע קשור

הגדרת כללי מחיקה לקטגוריות של Cloud Storage

מזהה הבקרה של Google GCS-CO-6.5
הטמעה מומלץ
תיאור

ב-Cloud Storage, המונח storage.buckets/lifecycle.rule.action.type מתייחס לסוג הפעולה שצריך לבצע באובייקט ספציפי על סמך כלל מחזור חיים בתוך קטגוריה. ההגדרה הזו עוזרת לנהל באופן אוטומטי את הנתונים שמאוחסנים בענן ואת מחזור החיים שלהם.

מגדירים את storage.buckets/lifecycle.rule.action.type כדי לוודא שהאובייקטים נמחקים באופן סופי מהקטגוריה.
המוצרים הרלוונטיים

Cloud Storage
נתיב storage.buckets/lifecycle.rule.action.type
אופרטור ==
ערך

Delete
סוג String
אמצעי בקרה קשורים של NIST-800-53
  • SI-12
אמצעי בקרה קשורים בפרופיל CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
מידע קשור

צריך לוודא שהתנאי isLive מוגדר כ-False בכללי המחיקה

מזהה הבקרה של Google GCS-CO-6.6
הטמעה מומלץ
תיאור

בכללי מחיקה, צריך לוודא שהתנאי isLive של הכלל מוגדר לערך false.

ב-Cloud Storage, ‏storage.buckets/lifecycle.rule.condition.isLive הוא תנאי בוליאני שמשמש בכללי מחזור החיים כדי לקבוע אם אובייקט נחשב לפעיל. המסנן הזה עוזר לוודא שהפעולות בכלל מחזור החיים יחולו רק על האובייקטים הרצויים, בהתאם לסטטוס הפעילות שלהם.

תרחישים לדוגמה:

  • העברת גרסאות היסטוריות לארכיון: העברת גרסאות לא עדכניות של אובייקטים לארכיון כדי לחסוך בעלויות האחסון, תוך שמירה על נגישות קלה לגרסה העדכנית.
  • ניקוי אובייקטים שנמחקו: מחיקה סופית אוטומטית של אובייקטים שנמחקו על ידי משתמשים, כדי לפנות מקום בקטגוריה.
  • הגנה על נתונים פעילים: מוודאים שפעולות כמו הגדרת החזקות זמניות חלות רק על אובייקטים פעילים, כדי למנוע שינוי מקרי של גרסאות שנמחקו או הועברו לארכיון.
המוצרים הרלוונטיים

Cloud Storage
נתיב storage.buckets/lifecycle.rule.condition.isLive
אופרטור ==
ערך

False
סוג בוליאני
אמצעי בקרה קשורים של NIST-800-53
  • SI-12
אמצעי בקרה קשורים בפרופיל CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
מידע קשור

אכיפת ניהול גרסאות בקטגוריות של Cloud Storage

מזהה הבקרה של Google GCS-CO-6.7
הטמעה מומלץ
תיאור

מוודאים שבכל הקטגוריות של Cloud Storage מופעל ניהול גרסאות. תרחישי שימוש לדוגמה:

  • הגנה על נתונים ושחזור נתונים: הגנה מפני אובדן נתונים מקרי על ידי מניעת החלפה של נתונים, ואפשרות לשחזר נתונים שנמחקו או שונו.
  • תאימות וביקורת: שמירת היסטוריה של כל העריכות של האובייקטים לצורך עמידה בתקנות או ביקורת פנימית.
  • ניהול גרסאות: מעקב אחרי שינויים בקבצים ובקבוצות נתונים, שמאפשר שיתוף פעולה וחזרה לגרסאות קודמות במקרה הצורך.
המוצרים הרלוונטיים

Cloud Storage
נתיב storage.buckets/versioning.enabled
אופרטור ‎!=‎
ערך

True
סוג בוליאני
אמצעי בקרה קשורים של NIST-800-53
  • SI-12
אמצעי בקרה קשורים בפרופיל CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
מידע קשור

אכיפת בעלים לקטגוריות של Cloud Storage

מזהה הבקרה של Google GCS-CO-6.8
הטמעה מומלץ
תיאור

צריך לוודא שיש ביטוי לבעלים של google_storage_bucket.labels.
המוצרים הרלוונטיים

Cloud Storage
נתיב storage.buckets/labels.owner
אופרטור notexists
ערך

[]
סוג מורחב
אמצעי בקרה קשורים של NIST-800-53
  • SI-12
אמצעי בקרה קשורים בפרופיל CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
מידע קשור

הפעלת רישום ביומן של פעילויות עיקריות ב-Cloud Storage

מזהה הבקרה של Google GCS-CO-7.4
הטמעה מומלץ
תיאור

להפעיל רישום נוסף ביומן לגבי אובייקטים ספציפיים של אחסון, בהתאם לתרחיש לדוגמה. לדוגמה, לתעד ביומן את הגישה לקטגוריות של נתונים רגישים כדי שתוכלו לראות מי קיבל גישה ומתי. כשמפעילים רישום נוסף ביומן, חשוב להביא בחשבון את נפח היומנים שאתם עשויים ליצור.
המוצרים הרלוונטיים

Cloud Storage
אמצעי בקרה קשורים של NIST-800-53
  • AU-2
  • AU-3
  • AU-8
  • AU-9
אמצעי בקרה קשורים בפרופיל CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
מידע קשור

אמצעי בקרה על מסדי נתונים

הגבלת כתובות IP ציבוריות של Cloud SQL

הטמעה חובה
תיאור

כדי למנוע מצב שבו ל-Cloud SQL תהיה כתובת IP ציבורית והוא יהיה חשוף ישירות לאינטרנט, צריך להגדיר את אילוץ מדיניות הארגון constraints/sql.restrictPublicIp. בדרך כלל, מסדי נתונים לא חשופים ישירות לאינטרנט.

מניעת כתובות IP ציבוריות עוזרת למנוע ממסדי הנתונים לקבל כתובות IP ציבוריות, וכך מבטיחה שהם יהיו פרטיים ונגישים רק מאפליקציות פנימיות מהימנות.
המוצרים הרלוונטיים

Cloud SQL
נתיב constraints/sql.restrictPublicIp
אופרטור =
ערך

True
אמצעי בקרה קשורים של NIST-800-53
  • SC-7
אמצעי בקרה קשורים בפרופיל CRI
  • PR.AC-3.1
מידע קשור

הטמעה ובדיקה של גיבויים של מסדי נתונים

הטמעה חובה
תיאור

להגדיר גיבויים למסדי הנתונים (לדוגמה, Cloud SQL ו-Filestore), ולאחסן עותקים במיקומים מבודדים או חלופיים. חשוב לבדוק באופן קבוע את הליכי הגיבוי והשחזור.
המוצרים הרלוונטיים
  • Cloud SQL
  • Filestore
  • ‫AlloyDB ל-PostgreSQL
אמצעי בקרה קשורים של NIST-800-53
  • CP-2
  • CP-6
  • CP-9
  • CP-9(1)‎
  • CP-10
אמצעי בקרה קשורים בפרופיל CRI
  • PR.IP-4.1
  • PR.IP-4.2
מידע קשור

המאמרים הבאים