이 문서에는 Google Cloud에서 워크로드를 실행할 때 데이터 관리 시스템에 대한 권장사항과 가이드라인이 포함되어 있습니다.
BigQuery 및 Cloud Storage와 같은 데이터 관리 시스템을 사용하면 학습 데이터, 모델 아티팩트, 프로덕션 데이터를 포함하여 워크플로에 필요한 데이터를 저장할 수 있습니다.
일반적인 관리 기능
이러한 제어는 모든 데이터 관리 시스템에 적용됩니다.
데이터 검사를 위해 Sensitive Data Protection 사용 설정
| Google 관리 ID | COM-CO-5.1 |
|---|---|
| 구현 | 추천 |
| 설명 | Google Cloud 에서는 Sensitive Data Protection을 사용하는 것이 좋습니다. 선택하는 infoType 또는 작업 템플릿은 특정 시스템에 따라 다릅니다. |
| 적용 가능한 제품 |
Sensitive Data Protection |
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
데이터 웨어하우스 제어
이러한 제어는 BigQuery에 적용됩니다.
BigQuery 데이터 세트가 공개적으로 읽을 수 없거나 allAuthenticatedUsers로 설정되지 않았는지 확인
| Google 관리 ID | BQ-CO-6.1 |
|---|---|
| 구현 | 필수 |
| 설명 | 데이터 세트가 공개용이 아닌 한 BigQuery에 공개 액세스가 가능한 데이터 세트가 없는지 확인합니다. BigQuery의 데이터 세트에는 민감한 정보가 포함된 경우가 많습니다. BigQuery 데이터 세트의 정보에 대한 액세스를 특정 사용자로만 제한합니다. 이 보호를 구성하려면 세부적인 역할을 설정해야 합니다. 데이터 세트 액세스를 검토하면 의도치 않게 데이터가 인터넷에 노출되지 않도록 할 수 있습니다. |
| 적용 가능한 제품 |
|
| 경로 | cloudasset.assets/assetType |
| 연산자 | == |
| 값 |
|
| 유형 | 문자열 |
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
BigQuery 테이블을 공개적으로 읽을 수 없거나 allAuthenticatedUsers로 설정되지 않았는지 확인합니다.
| Google 관리 ID | BQ-CO-6.2 |
|---|---|
| 구현 | 필수 |
| 설명 | BigQuery 테이블의 정보에 대한 액세스를 특정 사용자로만 제한합니다. 이 보호를 구성하려면 세부적인 역할을 설정해야 합니다. |
| 적용 가능한 제품 |
|
| 경로 | cloudasset.assets/iamPolicy.bindings.members |
| 연산자 | anyof |
| 값 |
|
| 유형 | 문자열 |
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
BigQuery 테이블의 개별 값 암호화
| Google 관리 ID | BQ-CO-6.3 |
|---|---|
| 구현 | 선택사항 |
| 설명 | 조직에서 BigQuery 테이블 내의 개별 값을 암호화해야 하는 경우 연관 데이터로 인증 암호화 (AEAD) 암호화 함수를 사용합니다. |
| 적용 가능한 제품 |
BigQuery |
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
BigQuery 데이터 세트에 승인된 뷰 사용
| Google 관리 ID | BQ-CO-6.4 |
|---|---|
| 구현 | 선택사항 |
| 설명 | 승인된 뷰를 사용하면 데이터 세트의 데이터 하위 집합을 특정 사용자와 공유할 수 있습니다. 예를 들어 승인된 뷰를 사용하면 기본 소스 데이터에 대한 액세스 권한을 부여하지 않고도 특정 사용자 및 그룹과 쿼리 결과를 공유할 수 있습니다. |
| 적용 가능한 제품 |
BigQuery |
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
BigQuery 열 수준 보안 사용
| Google 관리 ID | BQ-CO-6.5 |
|---|---|
| 구현 | 선택사항 |
| 설명 | BigQuery 열 수준 보안을 사용하여 쿼리 시 사용자에게 적절한 액세스 권한이 있는지 확인하는 정책을 만듭니다. BigQuery는 데이터의 정책 태그 또는 유형 기반 분류를 사용하여 민감한 열에 대해 세분화된 액세스 권한을 부여합니다. |
| 적용 가능한 제품 |
BigQuery |
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
BigQuery 행 수준 보안 사용
| Google 관리 ID | BQ-CO-6.6 |
|---|---|
| 구현 | 선택사항 |
| 설명 | 행 수준 보안 및 액세스 정책을 사용하여 BigQuery 테이블의 데이터 하위 집합에 대한 세분화된 액세스 제어를 사용 설정합니다. |
| 적용 가능한 제품 |
BigQuery |
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
BigQuery 리소스 차트 사용
| Google 관리 ID | BQ-CO-7.1 |
|---|---|
| 구현 | 선택사항 |
| 설명 | BigQuery 관리자는 BigQuery 리소스 차트를 사용하여 조직, 폴더 또는 예약에서 BigQuery 슬롯을 사용하는 방식과 쿼리가 수행되는 방식을 관찰할 수 있습니다. |
| 적용 가능한 제품 |
BigQuery |
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
저장용량 관리
이러한 제어는 Cloud Storage에 적용됩니다.
Cloud Storage 버킷에 대한 공개 액세스 차단
| Google 관리 ID | GCS-CO-4.1 |
|---|---|
| 구현 | 필수 |
| 설명 |
|
| 적용 가능한 제품 |
|
| 경로 | constraints/storage.publicAccessPrevention |
| 연산자 | == |
| 값 |
|
| 유형 | 불리언 |
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
균일한 버킷 수준 액세스 사용
| Google 관리 ID | GCS-CO-4.2 |
|---|---|
| 구현 | 필수 |
| 설명 |
스토리지 버킷의 권한을 관리하기 위해 서로 충돌하는 두 가지 시스템을 사용하는 것은 복잡하며, 우발적인 데이터 유출의 일반적인 원인이 됩니다. 이 설정은 기존 시스템 (액세스 제어 목록 또는 ACL)을 사용 중지하고 최신 중앙 집중식 시스템 (IAM)을 모든 권한의 단일 정보 소스로 만듭니다. |
| 적용 가능한 제품 |
|
| 경로 | constraints/storage.uniformBucketLevelAccess |
| 연산자 | == |
| 값 |
|
| 유형 | 불리언 |
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
서비스 계정의 HMAC 키 보호
| Google 관리 ID | GCS-CO-6.9 |
|---|---|
| 구현 | 필수 |
| 설명 | HMAC 키는 Cloud Storage의 서비스 계정 또는 사용자 계정과 연결된 수명이 긴 사용자 인증 정보 유형입니다. HMAC 키를 사용해 만든 서명은 Cloud Storage에 대한 요청에 포함할 수 있습니다. 서명은 사용자 또는 서비스 계정이 요청을 승인했음을 증명합니다. 단기 사용자 인증 정보 (예: OAuth 2.0 토큰)과 달리 HMAC 키는 자동으로 만료되지 않으며 수동으로 취소할 때까지 유효합니다. HMAC 키는 위험성이 높은 사용자 인증 정보입니다. 보안이 침해되면 리소스에 대한 지속적인 액세스 권한이 제공됩니다. 이러한 데이터를 보호하기 위한 적절한 메커니즘을 마련해야 합니다. |
| 적용 가능한 제품 |
Cloud Storage |
| 경로 | storage.projects.hmacKeys/id |
| 연산자 | 존재 |
| 값 |
|
| 유형 | 문자열 |
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
서비스 계정의 Cloud Storage 버킷 열거 감지
| Google 관리 ID | GCS-CO-7.2 |
|---|---|
| 구현 | 필수 |
| 설명 | 서비스 계정은 애플리케이션용으로 설계된 비인간 ID이며, 그 동작은 예측 가능하고 자동화되어 있습니다. 일반적으로 서비스 계정은 이미 매핑되어 있으므로 버킷을 항목화할 필요가 없습니다. 따라서 서비스 계정이 모든 Cloud Storage 버킷 목록을 검색하려고 시도하는 것을 감지하면 즉시 조사하세요. 정찰 열거는 서비스 계정에 액세스한 악의적인 행위자가 정찰 기법으로 사용하는 경우가 많습니다. |
| 적용 가능한 제품 |
|
| 연산자 | == |
| 값 |
|
| 유형 | 문자열 |
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
서비스 계정의 Cloud Storage 버킷 IAM 정책 수정 감지
| Google 관리 ID | GCS-CO-7.3 |
|---|---|
| 구현 | 필수 |
| 설명 | Cloud Storage 버킷의 Identity and Access Management (IAM) 정책이 공개 액세스 권한을 부여하도록 수정될 때 이를 감지하는 알림을 구성합니다. 이 알림은 알림에서 |
| 적용 가능한 제품 |
|
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
Cloud Storage 버킷 보관 정책에 버킷 잠금이 사용되는지 확인
| Google 관리 ID | GCS-CO-6.1 |
|---|---|
| 구현 | 추천 |
| 설명 | 규제 요구사항에 따라 각 Cloud Storage 버킷 보관 정책이 잠겨 있는지 확인합니다. 보관 기간을 요구사항에 맞는 기간으로 설정합니다. |
| 적용 가능한 제품 |
Cloud Storage |
| 경로 | storage.buckets/retentionPolicy.isLocked |
| 연산자 | != |
| 값 |
|
| 유형 | 불리언 |
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
SetStorageClass 작업의 수명 주기 규칙 설정
| Google 관리 ID | GCS-CO-6.11 |
|---|---|
| 구현 | 추천 |
| 설명 |
|
| 적용 가능한 제품 |
Cloud Storage |
| 경로 | storage.buckets/lifecycle.rule.action.type |
| 연산자 | == |
| 값 |
|
| 유형 | 문자열 |
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
스토리지 클래스에 허용되는 리전 설정
| Google 관리 ID | GCS-CO-6.12 |
|---|---|
| 구현 | 추천 |
| 설명 | 수명 주기 구성의 스토리지 클래스가 허용된 리전 분류 내에 있지 않은지 확인합니다.
|
| 적용 가능한 제품 |
Cloud Storage |
| 경로 | storage.buckets/lifecycle.rule.action.storageClass |
| 연산자 | nin |
| 값 |
|
| 유형 | 문자열 |
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
Cloud Storage 버킷의 수명 주기 관리 사용 설정
| Google 관리 ID | GCS-CO-6.13 |
|---|---|
| 구현 | 추천 |
| 설명 | Cloud Storage의 수명 주기 관리가 사용 설정되고 구성되어 있는지 확인합니다. 수명 주기 제어에는 스토리지 수명 주기의 구성이 포함됩니다. 이 설정의 정책이 요구사항과 일치하는지 확인합니다. |
| 적용 가능한 제품 |
Cloud Storage |
| 경로 | storage.buckets/lifecycle |
| 연산자 | 존재 |
| 값 |
|
| 유형 | 객체 |
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
Cloud Storage 버킷의 수명 주기 관리 규칙 사용 설정
| Google 관리 ID | GCS-CO-6.14 |
|---|---|
| 구현 | 추천 |
| 설명 | Cloud Storage의 수명 주기 관리 규칙이 사용 설정되고 구성되어 있는지 확인합니다. 규칙 컨트롤에는 스토리지 수명 주기 구성이 포함됩니다. 이 설정의 정책이 요구사항과 일치하는지 확인합니다. |
| 적용 가능한 제품 |
Cloud Storage |
| 경로 | storage.buckets/lifecycle.rule |
| 연산자 | 비어 있음 |
| 값 |
|
| 유형 | 배열 |
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
활성 객체의 임시 보존 조치 검토 및 평가
| Google 관리 ID | GCS-CO-6.16 |
|---|---|
| 구현 | 추천 |
| 설명 | temporaryHold가 TRUE로 설정된 모든 객체를 식별하고 조사 및 검증 프로세스를 시작합니다. 이 평가는 다음과 같은 사용 사례에 적합합니다.
|
| 적용 가능한 제품 |
Cloud Storage |
| 경로 | storage.objects/temporaryHold |
| 연산자 | == |
| 값 |
|
| 유형 | 불리언 |
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
Cloud Storage 버킷에 보관 정책 적용
| Google 관리 ID | GCS-CO-6.17 |
|---|---|
| 구현 | 추천 |
| 설명 | 모든 Cloud Storage 버킷에 보관 정책이 있는지 확인합니다. |
| 적용 가능한 제품 |
Cloud Storage |
| 경로 | storage.buckets/retentionPolicy.retentionPeriod |
| 연산자 | agesmaller |
| 값 |
|
| 유형 | int64 |
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
Cloud Storage 버킷에 분류 태그 적용
| Google 관리 ID | GCS-CO-6.18 |
|---|---|
| 구현 | 추천 |
| 설명 | 데이터 분류는 모든 데이터 거버넌스 및 보안 프로그램의 기본 구성요소입니다. 각 버킷에 공개, 내부, 기밀 또는 제한됨과 같은 값이 있는 분류 라벨을 적용하는 것이 필수적입니다.
|
| 적용 가능한 제품 |
Cloud Storage |
| 경로 | storage.buckets/labels.classification |
| 연산자 | notexists |
| 값 |
|
| 유형 | 확장 |
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
Cloud Storage 버킷에 로그 버킷 적용
| Google 관리 ID | GCS-CO-6.3 |
|---|---|
| 구현 | 추천 |
| 설명 | 모든 Cloud Storage 버킷에 로그 버킷이 포함되어 있는지 확인합니다. |
| 적용 가능한 제품 |
Cloud Storage |
| 경로 | storage.buckets/logging.logBucket |
| 연산자 | notexists |
| 값 |
|
| 유형 | 문자열 |
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
Cloud Storage 버킷의 삭제 규칙 구성
| Google 관리 ID | GCS-CO-6.5 |
|---|---|
| 구현 | 추천 |
| 설명 | Cloud Storage에서 버킷에서 객체가 영구적으로 삭제되도록 |
| 적용 가능한 제품 |
Cloud Storage |
| 경로 | storage.buckets/lifecycle.rule.action.type |
| 연산자 | == |
| 값 |
|
| 유형 | 문자열 |
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
삭제 규칙의 isLive 조건이 False인지 확인
| Google 관리 ID | GCS-CO-6.6 |
|---|---|
| 구현 | 추천 |
| 설명 | 삭제 규칙의 경우 규칙의 Cloud Storage에서 사용 사례:
|
| 적용 가능한 제품 |
Cloud Storage |
| 경로 | storage.buckets/lifecycle.rule.condition.isLive |
| 연산자 | == |
| 값 |
|
| 유형 | 불리언 |
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
Cloud Storage 버킷에 버전 관리 적용
| Google 관리 ID | GCS-CO-6.7 |
|---|---|
| 구현 | 추천 |
| 설명 | 모든 Cloud Storage 버킷에 버전 관리가 사용 설정되어 있는지 확인합니다. 사용 사례는 다음과 같습니다.
|
| 적용 가능한 제품 |
Cloud Storage |
| 경로 | storage.buckets/versioning.enabled |
| 연산자 | != |
| 값 |
|
| 유형 | 불리언 |
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
Cloud Storage 버킷의 소유자 적용
| Google 관리 ID | GCS-CO-6.8 |
|---|---|
| 구현 | 추천 |
| 설명 |
|
| 적용 가능한 제품 |
Cloud Storage |
| 경로 | storage.buckets/labels.owner |
| 연산자 | notexists |
| 값 |
|
| 유형 | 확장 |
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
주요 Cloud Storage 활동 로깅 사용 설정
| Google 관리 ID | GCS-CO-7.4 |
|---|---|
| 구현 | 추천 |
| 설명 | 사용 사례에 따라 특정 스토리지 객체에 대한 추가 로깅을 사용 설정합니다. 예를 들어 민감한 정보 버킷에 대한 액세스를 로깅하여 누가 언제 액세스했는지 추적할 수 있습니다. 추가 로깅을 사용 설정할 때는 생성될 수 있는 로그의 양을 고려하세요. |
| 적용 가능한 제품 |
Cloud Storage |
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
데이터베이스 제어
Cloud SQL 공개 IP 주소 제한
| 구현 | 필수 |
|---|---|
| 설명 |
공개 IP 주소를 방지하면 데이터베이스가 공개 IP 주소를 가져오지 못하도록 하여 비공개로 유지되고 신뢰할 수 있는 내부 애플리케이션에서만 액세스할 수 있습니다. |
| 적용 가능한 제품 |
Cloud SQL |
| 경로 | constraints/sql.restrictPublicIp |
| 연산자 | = |
| 값 |
|
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
데이터베이스 백업 구현 및 테스트
| 구현 | 필수 |
|---|---|
| 설명 | 데이터베이스 (예: Cloud SQL 및 Filestore)의 백업을 구성하고 복사본을 격리된 위치 또는 대체 위치에 저장합니다. 백업 및 복원 절차를 정기적으로 테스트합니다. |
| 적용 가능한 제품 |
|
| 관련 NIST-800-53 제어 |
|
| 관련 CRI 프로필 제어 |
|
| 관련 정보 |
다음 단계
도구 및 추론 제어를 검토합니다.
Google Cloud 보안 권장사항 및 가이드라인을 자세히 알아보세요.