Kontrol pengelolaan data

Dokumen ini berisi praktik terbaik dan panduan untuk sistem pengelolaan data saat menjalankan workload di Google Cloud.

Sistem pengelolaan data seperti BigQuery dan Cloud Storage memungkinkan Anda menyimpan data yang diperlukan untuk alur kerja, termasuk data pelatihan, artefak model, dan data produksi.

Kontrol umum

Kontrol ini berlaku untuk semua sistem pengelolaan data.

Mengaktifkan Sensitive Data Protection untuk pemeriksaan data

ID kontrol Google COM-CO-5.1
Penerapan Direkomendasikan
Deskripsi

Google Cloud merekomendasikan penggunaan Sensitive Data Protection. infoType atau template tugas yang Anda pilih bergantung pada sistem tertentu.
Produk yang berlaku

Sensitive Data Protection
Kontrol NIST-800-53 terkait
  • SI-4
  • IA-7
  • SC-7
  • SC-8
Kontrol profil CRI terkait
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
Informasi terkait

Kontrol data warehouse

Kontrol ini berlaku untuk BigQuery.

Memastikan set data BigQuery tidak dapat dibaca secara publik atau ditetapkan ke allAuthenticatedUsers

ID kontrol Google BQ-CO-6.1
Penerapan Wajib
Deskripsi

Pastikan BigQuery tidak memiliki set data yang terbuka untuk akses publik, kecuali jika set data tersebut memang dimaksudkan untuk publik. Set data di BigQuery sering kali berisi data sensitif.

Membatasi akses ke informasi dalam set data BigQuery hanya untuk pengguna tertentu. Untuk mengonfigurasi perlindungan ini, Anda harus menyiapkan peran mendetail.

Meninjau akses set data membantu Anda memastikan bahwa Anda tidak mengekspos data ke internet secara tidak sengaja.
Produk yang berlaku
  • Organization Policy Service
  • BigQuery
  • Identity and Access Management (IAM)
Jalur cloudasset.assets/assetType
Operator ==
Nilai

bigquery.googleapis.com/Dataset
Jenis String
Kontrol NIST-800-53 terkait
  • AC-3
  • AC-12
  • AC-17
  • AC-20
Kontrol profil CRI terkait
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
Informasi terkait

Memastikan tabel BigQuery tidak dapat dibaca secara publik atau ditetapkan ke allAuthenticatedUsers

ID kontrol Google BQ-CO-6.2
Penerapan Wajib
Deskripsi

Membatasi akses ke informasi dalam tabel BigQuery hanya untuk pengguna tertentu. Untuk mengonfigurasi perlindungan ini, Anda harus menyiapkan peran mendetail.
Produk yang berlaku
  • Identity and Access Management (IAM)
  • BigQuery
Jalur cloudasset.assets/iamPolicy.bindings.members
Operator anyof
Nilai
  • allUsers
  • allAuthenticatedUsers
Jenis String
Kontrol NIST-800-53 terkait
  • AC-3
  • AC-12
  • AC-17
  • AC-20
Kontrol profil CRI terkait
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
Informasi terkait

Mengenkripsi nilai individual dalam tabel BigQuery

ID kontrol Google BQ-CO-6.3
Penerapan Opsional
Deskripsi

Jika organisasi Anda mengharuskan Anda mengenkripsi nilai individual dalam tabel BigQuery, gunakan fungsi enkripsi Authenticated Encryption with Associated Data (AEAD).
Produk yang berlaku

BigQuery
Kontrol NIST-800-53 terkait
  • SC-13
Kontrol profil CRI terkait
  • PR.DS-5.1
Informasi terkait

Menggunakan tampilan yang diotorisasi untuk set data BigQuery

ID kontrol Google BQ-CO-6.4
Penerapan Opsional
Deskripsi

Tampilan yang diotorisasi memungkinkan Anda membagikan subkumpulan data dalam set data kepada pengguna tertentu. Misalnya, tampilan yang diotorisasi memungkinkan Anda membagikan hasil kueri kepada pengguna dan grup tertentu tanpa memberi mereka akses ke data sumber yang mendasarinya.
Produk yang berlaku

BigQuery
Kontrol NIST-800-53 terkait
  • AC-3
  • AC-12
  • AC-17
  • AC-20
Kontrol profil CRI terkait
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
Informasi terkait

Menggunakan keamanan tingkat kolom BigQuery

ID kontrol Google BQ-CO-6.5
Penerapan Opsional
Deskripsi

Gunakan keamanan tingkat kolom BigQuery untuk membuat kebijakan yang memeriksa apakah pengguna memiliki akses yang tepat pada waktu kueri. BigQuery menyediakan akses yang lebih terperinci ke kolom sensitif menggunakan tag kebijakan atau klasifikasi berbasis jenis data.
Produk yang berlaku

BigQuery
Kontrol NIST-800-53 terkait
  • AC-3
  • AC-12
  • AC-17
  • AC-20
Kontrol profil CRI terkait
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
Informasi terkait

Menggunakan keamanan tingkat baris BigQuery

ID kontrol Google BQ-CO-6.6
Penerapan Opsional
Deskripsi

Gunakan keamanan tingkat baris dan kebijakan akses untuk mengaktifkan kontrol akses terperinci ke subset data dalam tabel BigQuery.
Produk yang berlaku

BigQuery
Kontrol NIST-800-53 terkait
  • AC-3
  • AC-12
  • AC-17
  • AC-20
Kontrol profil CRI terkait
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
Informasi terkait

Menggunakan diagram resource BigQuery

ID kontrol Google BQ-CO-7.1
Penerapan Opsional
Deskripsi

Diagram resource BigQuery memungkinkan administrator BigQuery mengamati performa kueri serta cara organisasi, folder, atau pemesanan menggunakan slot BigQuery.
Produk yang berlaku

BigQuery
Kontrol NIST-800-53 terkait
  • AC-3
  • AC-12
  • AC-17
  • AC-20
Kontrol profil CRI terkait
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
Informasi terkait

Kontrol penyimpanan

Kontrol ini berlaku untuk Cloud Storage.

Memblokir akses publik ke bucket Cloud Storage

ID kontrol Google GCS-CO-4.1
Penerapan Wajib
Deskripsi

Batasan boolean storage.publicAccessPrevention mencegah bucket penyimpanan diakses dari sumber publik tanpa autentikasi. Setelan ini menonaktifkan dan memblokir daftar kontrol akses (ACL) dan izin Identity and Access Management (IAM) yang memberikan akses ke allUsers dan allAuthenticatedUsers. Batasan ini bertindak sebagai jaring pengaman di seluruh organisasi yang secara aktif memblokir setelan apa pun yang akan membuat bucket dapat diakses secara publik.
Produk yang berlaku
  • Organization Policy Service
  • Cloud Storage
Jalur constraints/storage.publicAccessPrevention
Operator ==
Nilai

True
Jenis Boolean
Kontrol NIST-800-53 terkait
  • AC-3
  • AC-17
  • AC-20
Kontrol profil CRI terkait
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Informasi terkait

Menggunakan akses level bucket yang seragam

ID kontrol Google GCS-CO-4.2
Penerapan Wajib
Deskripsi

Batasan boolean storage.uniformBucketLevelAccess mengharuskan bucket menggunakan akses level bucket yang seragam. Akses level bucket yang seragam memungkinkan Anda hanya menggunakan izin Identity and Access Management (IAM) level bucket untuk memberikan akses ke resource Cloud Storage.

Menggunakan dua sistem yang berbeda dan bertentangan untuk mengelola izin di bucket penyimpanan sangatlah rumit dan merupakan penyebab umum kebocoran data yang tidak disengaja. Setelan ini menonaktifkan sistem lama (daftar kontrol akses, atau ACL) dan menjadikan sistem modern yang terpusat (IAM) sebagai satu sumber tepercaya untuk semua izin.
Produk yang berlaku
  • Organization Policy Service
  • Cloud Storage
Jalur constraints/storage.uniformBucketLevelAccess
Operator ==
Nilai

True
Jenis Boolean
Kontrol NIST-800-53 terkait
  • AC-3
  • AC-17
  • AC-20
Kontrol profil CRI terkait
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Informasi terkait

Melindungi kunci HMAC untuk akun layanan

ID kontrol Google GCS-CO-6.9
Penerapan Wajib
Deskripsi

Kunci HMAC adalah jenis kredensial yang berumur panjang dan terkait dengan akun layanan atau akun pengguna di Cloud Storage. Menggunakan kunci HMAC untuk membuat tanda tangan yang disertakan dalam permintaan ke Cloud Storage. Tanda tangan membuktikan bahwa pengguna atau akun layanan telah mengizinkan permintaan.

Tidak seperti kredensial berumur pendek (seperti token OAuth 2.0), kunci HMAC tidak akan otomatis habis masa berlakunya dan tetap valid hingga dicabut secara manual. Kunci HMAC adalah kredensial berisiko tinggi: jika disusupi, kunci tersebut akan memberikan akses persisten ke resource Anda. Anda harus memastikan mekanisme yang sesuai diterapkan untuk membantu melindungi mereka.
Produk yang berlaku

Cloud Storage
Jalur storage.projects.hmacKeys/id
Operator Ada
Nilai

[]
Jenis String
Kontrol NIST-800-53 terkait
  • SC-12
  • SC-13
Kontrol profil CRI terkait
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informasi terkait

Mendeteksi enumerasi bucket Cloud Storage oleh akun layanan

ID kontrol Google GCS-CO-7.2
Penerapan Wajib
Deskripsi

Akun layanan adalah identitas non-manusia yang dirancang untuk aplikasi, dan perilakunya dapat diprediksi serta otomatis. Biasanya, akun layanan tidak perlu memerinci bucket, karena bucket sudah dipetakan. Oleh karena itu, jika Anda mendeteksi akun layanan yang mencoba mengambil daftar semua bucket Cloud Storage, segera selidiki. Enumerasi pengintaian sering digunakan sebagai teknik pengintaian oleh pihak berniat jahat yang telah mendapatkan akses ke akun layanan.
Produk yang berlaku
  • Cloud Storage
  • Cloud Audit Logs
Operator ==
Nilai

storage.bucket.list
Jenis String
Kontrol NIST-800-53 terkait
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Kontrol profil CRI terkait
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informasi terkait

Mendeteksi modifikasi kebijakan IAM pada bucket Cloud Storage oleh akun layanan

ID kontrol Google GCS-CO-7.3
Penerapan Wajib
Deskripsi

Konfigurasikan pemberitahuan yang mendeteksi kapan kebijakan Identity and Access Management (IAM) bucket Cloud Storage diubah untuk memberikan akses publik. Notifikasi ini diaktifkan saat akun utama allUsers atau allAuthenticatedUsers ditambahkan ke kebijakan IAM bucket. Pemberitahuan ini adalah peristiwa penting dengan tingkat keparahan tinggi karena dapat mengekspos semua data dalam bucket. Segera selidiki pemberitahuan ini untuk mengonfirmasi apakah perubahan tersebut diizinkan atau merupakan tanda kesalahan konfigurasi atau pihak berniat jahat.

Dalam pemberitahuan, tetapkan atribut JSON data.protoPayload.serviceData.policyData.bindingDeltas.member ke allUsers atau allAuthenticatedUsers dan tindakan ke ADD.
Produk yang berlaku
  • Cloud Storage
  • Cloud Audit Logs
Kontrol NIST-800-53 terkait
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Kontrol profil CRI terkait
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informasi terkait

Memastikan kebijakan retensi bucket Cloud Storage menggunakan Kunci Bucket

ID kontrol Google GCS-CO-6.1
Penerapan Direkomendasikan
Deskripsi

Bergantung pada persyaratan peraturan Anda, pastikan setiap kebijakan retensi bucket Cloud Storage dikunci. Tetapkan periode retensi ke jangka waktu yang memenuhi persyaratan Anda.
Produk yang berlaku

Cloud Storage
Jalur storage.buckets/retentionPolicy.isLocked
Operator !=
Nilai

True
Jenis Boolean
Kontrol NIST-800-53 terkait
  • SI-12
Kontrol profil CRI terkait
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informasi terkait

Menetapkan aturan siklus proses untuk tindakan SetStorageClass

ID kontrol Google GCS-CO-6.11
Penerapan Direkomendasikan
Deskripsi

Terapkan aturan siklus proses ke setiap bucket Cloud Storage yang memiliki jenis tindakan SetStorageClass.
Produk yang berlaku

Cloud Storage
Jalur storage.buckets/lifecycle.rule.action.type
Operator ==
Nilai

SetStorageClass
Jenis String
Kontrol NIST-800-53 terkait
  • SI-12
Kontrol profil CRI terkait
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informasi terkait

Menetapkan region yang diizinkan untuk kelas penyimpanan

ID kontrol Google GCS-CO-6.12
Penerapan Direkomendasikan
Deskripsi
Pastikan kelas penyimpanan untuk konfigurasi siklus proses tidak berada dalam klasifikasi regional yang diizinkan.
Produk yang berlaku

Cloud Storage
Jalur storage.buckets/lifecycle.rule.action.storageClass
Operator nin
Nilai
  • MULTI_REGIONAL
  • REGIONAL
Jenis String
Kontrol NIST-800-53 terkait
  • SI-12
Kontrol profil CRI terkait
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informasi terkait

Mengaktifkan pengelolaan siklus proses untuk bucket Cloud Storage

ID kontrol Google GCS-CO-6.13
Penerapan Direkomendasikan
Deskripsi

Pastikan pengelolaan siklus proses Cloud Storage diaktifkan dan dikonfigurasi. Kontrol siklus proses berisi konfigurasi untuk siklus proses penyimpanan. Pastikan kebijakan di setelan ini sesuai dengan persyaratan Anda.
Produk yang berlaku

Cloud Storage
Jalur storage.buckets/lifecycle
Operator Ada
Nilai

[]
Jenis Objek
Kontrol NIST-800-53 terkait
  • SI-12
Kontrol profil CRI terkait
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informasi terkait

Mengaktifkan aturan pengelolaan siklus proses untuk bucket Cloud Storage

ID kontrol Google GCS-CO-6.14
Penerapan Direkomendasikan
Deskripsi

Pastikan aturan pengelolaan siklus proses untuk Cloud Storage diaktifkan dan dikonfigurasi. Kontrol aturan berisi konfigurasi untuk siklus proses penyimpanan. Pastikan kebijakan di setelan ini sesuai dengan persyaratan Anda.
Produk yang berlaku

Cloud Storage
Jalur storage.buckets/lifecycle.rule
Operator Kosong
Nilai

[]
Jenis Array
Kontrol NIST-800-53 terkait
  • SI-12
Kontrol profil CRI terkait
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informasi terkait

Meninjau dan mengevaluasi penangguhan sementara pada objek aktif

ID kontrol Google GCS-CO-6.16
Penerapan Direkomendasikan
Deskripsi

Identifikasi semua objek yang temporaryHold-nya ditetapkan ke TRUE, lalu mulai proses investigasi dan validasi. Evaluasi ini sesuai untuk kasus penggunaan berikut:

  • Pembekuan litigasi: Untuk mematuhi persyaratan hukum terkait penyimpanan data, pembekuan sementara dapat digunakan untuk mencegah penghapusan data sensitif yang mungkin relevan dengan penyelidikan atau proses pengadilan yang sedang berlangsung.
  • Pencegahan kebocoran data: Untuk mencegah penghapusan data penting secara tidak sengaja, pembekuan sementara dapat digunakan sebagai langkah pengamanan untuk melindungi informasi bisnis yang penting.
  • Moderasi konten: Untuk meninjau konten yang berpotensi sensitif atau tidak pantas sebelum dapat diakses secara publik, terapkan penangguhan sementara pada konten yang diupload ke Cloud Storage untuk pemeriksaan lebih lanjut dan keputusan moderasi.
Produk yang berlaku

Cloud Storage
Jalur storage.objects/temporaryHold
Operator ==
Nilai

TRUE
Jenis Boolean
Kontrol NIST-800-53 terkait
  • SI-12
Kontrol profil CRI terkait
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informasi terkait

Menerapkan kebijakan retensi di bucket Cloud Storage

ID kontrol Google GCS-CO-6.17
Penerapan Direkomendasikan
Deskripsi

Pastikan semua bucket Cloud Storage memiliki kebijakan retensi.
Produk yang berlaku

Cloud Storage
Jalur storage.buckets/retentionPolicy.retentionPeriod
Operator agesmaller
Nilai

[90,"DAY","AFTER","yyyy-MM-dd'T'HH:mm:ss'Z'"]
Jenis int64
Kontrol NIST-800-53 terkait
  • SI-12
Kontrol profil CRI terkait
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informasi terkait

Menerapkan tag klasifikasi untuk bucket Cloud Storage

ID kontrol Google GCS-CO-6.18
Penerapan Direkomendasikan
Deskripsi

Klasifikasi data adalah komponen dasar dari setiap program tata kelola dan keamanan data. Menerapkan label klasifikasi dengan nilai seperti publik, internal, rahasia, atau terbatas ke setiap bucket sangatlah penting.

Konfirmasi bahwa google_storage_bucket.labels memiliki ekspresi untuk klasifikasi dan buat pelanggaran jika tidak ada.
Produk yang berlaku

Cloud Storage
Jalur storage.buckets/labels.classification
Operator notexists
Nilai

[]
Jenis Diperluas
Kontrol NIST-800-53 terkait
  • SI-12
Kontrol profil CRI terkait
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informasi terkait

Menerapkan bucket log untuk bucket Cloud Storage

ID kontrol Google GCS-CO-6.3
Penerapan Direkomendasikan
Deskripsi

Pastikan setiap bucket Cloud Storage menyertakan bucket log.
Produk yang berlaku

Cloud Storage
Jalur storage.buckets/logging.logBucket
Operator notexists
Nilai

[]
Jenis String
Kontrol NIST-800-53 terkait
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Kontrol profil CRI terkait
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informasi terkait

Mengonfigurasi aturan penghapusan untuk bucket Cloud Storage

ID kontrol Google GCS-CO-6.5
Penerapan Direkomendasikan
Deskripsi

Di Cloud Storage, storage.buckets/lifecycle.rule.action.type mengacu pada jenis tindakan yang akan dilakukan pada objek tertentu berdasarkan aturan siklus proses dalam bucket. Konfigurasi ini membantu mengotomatiskan pengelolaan dan siklus proses data Anda yang disimpan di cloud.

Konfigurasikan storage.buckets/lifecycle.rule.action.type untuk memastikan bahwa objek dihapus secara permanen dari bucket.
Produk yang berlaku

Cloud Storage
Jalur storage.buckets/lifecycle.rule.action.type
Operator ==
Nilai

Delete
Jenis String
Kontrol NIST-800-53 terkait
  • SI-12
Kontrol profil CRI terkait
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informasi terkait

Memastikan kondisi isLive bernilai False untuk aturan penghapusan

ID kontrol Google GCS-CO-6.6
Penerapan Direkomendasikan
Deskripsi

Untuk aturan penghapusan, pastikan kondisi isLive aturan ditetapkan ke false.

Di Cloud Storage, storage.buckets/lifecycle.rule.condition.isLive adalah kondisi boolean yang digunakan dalam aturan siklus proses untuk menentukan apakah suatu objek dianggap aktif. Filter ini membantu memastikan bahwa tindakan dalam aturan siklus proses hanya diterapkan ke objek yang diinginkan berdasarkan status aktifnya.

Kasus penggunaan:

  • Arsipkan versi historis: Arsipkan hanya versi objek yang tidak aktif untuk menghemat biaya penyimpanan sekaligus menjaga versi terbaru tetap mudah diakses.
  • Membersihkan objek yang dihapus: Mengotomatiskan penghapusan permanen objek yang telah dihapus oleh pengguna, sehingga mengosongkan ruang di bucket.
  • Melindungi data aktif: Pastikan tindakan seperti menetapkan penangguhan sementara hanya diterapkan ke objek aktif, sehingga mencegah modifikasi yang tidak disengaja pada versi yang diarsipkan atau dihapus
Produk yang berlaku

Cloud Storage
Jalur storage.buckets/lifecycle.rule.condition.isLive
Operator ==
Nilai

False
Jenis Boolean
Kontrol NIST-800-53 terkait
  • SI-12
Kontrol profil CRI terkait
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informasi terkait

Menerapkan pembuatan versi untuk bucket Cloud Storage

ID kontrol Google GCS-CO-6.7
Penerapan Direkomendasikan
Deskripsi

Pastikan semua bucket Cloud Storage mengaktifkan pembuatan versi. Kasus penggunaan mencakup hal berikut:

  • Perlindungan dan pemulihan data: Lindungi dari kehilangan data yang tidak disengaja dengan mencegah penimpaan dan mengaktifkan pemulihan data yang dihapus atau diubah.
  • Kepatuhan dan audit: Mempertahankan histori semua pengeditan objek untuk tujuan kepatuhan terhadap peraturan atau audit internal.
  • Kontrol versi: Lacak perubahan pada file dan set data, sehingga memungkinkan kolaborasi dan rollback ke versi sebelumnya jika diperlukan.
Produk yang berlaku

Cloud Storage
Jalur storage.buckets/versioning.enabled
Operator !=
Nilai

True
Jenis Boolean
Kontrol NIST-800-53 terkait
  • SI-12
Kontrol profil CRI terkait
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informasi terkait

Menerapkan pemilik untuk bucket Cloud Storage

ID kontrol Google GCS-CO-6.8
Penerapan Direkomendasikan
Deskripsi

Pastikan google_storage_bucket.labels memiliki ekspresi untuk pemilik.
Produk yang berlaku

Cloud Storage
Jalur storage.buckets/labels.owner
Operator notexists
Nilai

[]
Jenis Diperluas
Kontrol NIST-800-53 terkait
  • SI-12
Kontrol profil CRI terkait
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informasi terkait

Mengaktifkan logging aktivitas Cloud Storage utama

ID kontrol Google GCS-CO-7.4
Penerapan Direkomendasikan
Deskripsi

Mengaktifkan logging tambahan di sekitar objek penyimpanan tertentu berdasarkan kasus penggunaannya. Misalnya, catat akses ke bucket data sensitif sehingga Anda dapat melacak siapa yang mendapatkan akses dan kapan. Saat mengaktifkan logging tambahan, pertimbangkan volume log yang mungkin Anda buat.
Produk yang berlaku

Cloud Storage
Kontrol NIST-800-53 terkait
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Kontrol profil CRI terkait
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informasi terkait

Kontrol database

Membatasi alamat IP publik Cloud SQL

Penerapan Wajib
Deskripsi

Cegah Cloud SQL memiliki alamat IP publik dan terekspos langsung ke internet dengan menetapkan batasan kebijakan organisasi constraints/sql.restrictPublicIp. Biasanya, database tidak diekspos langsung ke internet.

Mencegah alamat IP publik membantu mencegah database Anda mendapatkan alamat IP publik, sehingga memastikan database tersebut bersifat pribadi dan hanya dapat diakses dari aplikasi internal tepercaya.
Produk yang berlaku

Cloud SQL
Jalur constraints/sql.restrictPublicIp
Operator =
Nilai

True
Kontrol NIST-800-53 terkait
  • SC-7
Kontrol profil CRI terkait
  • PR.AC-3.1
Informasi terkait

Menerapkan dan menguji pencadangan database

Penerapan Wajib
Deskripsi

Konfigurasikan pencadangan untuk database Anda (misalnya, Cloud SQL dan Filestore), dengan menyimpan salinan di lokasi yang terisolasi atau alternatif. Uji prosedur pencadangan dan pemulihan Anda secara rutin.
Produk yang berlaku
  • Cloud SQL
  • Filestore
  • AlloyDB untuk PostgreSQL
Kontrol NIST-800-53 terkait
  • CP-2
  • CP-6
  • CP-9
  • CP-9(1)
  • CP-10
Kontrol profil CRI terkait
  • PR.IP-4.1
  • PR.IP-4.2
Informasi terkait

Langkah berikutnya