שימוש ב-Data Security Posture Management

במאמר הזה מוסבר איך משתמשים ב-Data Security Posture Management‏ (DSPM).

אם אתם משתמשים ברמה Security Command Center Standard, אתם יכולים להשתמש בתכונות מוגבלות של DSPM.

הפעלת DSPM

אנחנו משביתים את DSPM, ולכן אי אפשר להפעיל אותו בארגונים שלא משתמשים בו כבר. אם DSPM כבר מופעל בארגון שלכם, הוא יהיה זמין עד לתאריך ההשבתה, והמידע שבמסמך הזה ימשיך להיות רלוונטי.

מידע נוסף על רמות השירות של Security Command Center זמין במאמר רמות השירות של Security Command Center.

כדי להגן על משאבים נוספים באמצעות DSPM, צריך להפעיל את הגילוי של המשאבים האלה (ברמות Premium ו-Enterprise בלבד).

כשהפעלתם את DSPM בארגון, הפעלתם גם את השירותים הבאים (רק ברמות Premium ו-Enterprise):

  • Compliance Manager כדי ליצור, להחיל ולנהל מסגרות של אבטחת מידע ואמצעי בקרה בענן.
  • ‫Sensitive Data Protection כדי להשתמש באותות של רגישות הנתונים להערכת סיכוני הנתונים כברירת מחדל.
  • ‫Event Threat Detection (חלק מ-Security Command Center) ברמת הארגון, כדי להשתמש בבקרת הענן לניהול הגישה לנתונים ובבקרת הענן לניהול זרימת הנתונים.
  • הגנה באמצעות AI כדי לאבטח את מחזור החיים של עומסי העבודה שלכם ב-AI (רק ברמת Security Command Center Enterprise).

מסגרת העבודה "יסודות אבטחת המידע והפרטיות" הוחלה על הארגון באופן אוטומטי (ברמות Premium ו-Enterprise בלבד).

(רמות Premium ו-Enterprise בלבד) סוכן השירות של DSPM‏ (service-org-ORGANIZATION_ID@gcp-sa-dspm-hpsa.) נוצר כשהפעלתם את DSPM.

במאמר ניהול זהויות והרשאות גישה להפעלות ברמת הארגון מוסבר על התפקידים של ניהול זהויות והרשאות גישה ב-DSPM.

שנמוך מרמת Premium או Enterprise לרמת Standard

כשמשדרגים לאחור מרמת Premium או Enterprise לרמת Standard, יכולות ה-DSPM מושפעות באופן הבא:

  • מסגרות שהוסרו: מסגרות DSPM שנפרסו ותלויות בתכונות של Premium או Enterprise יוסרו.
  • אובדן גישה לתכונות: לא תהיה לכם יותר גישה לאמצעי בקרה מתקדמים לאבטחת מידע ולמסגרות נתונים בהתאמה אישית.
  • חזרה לגרסה הבסיסית: ב-DSPM נעשה שימוש בבדיקות הבסיסיות של אבטחת המידע שכלולות במסגרת Security Essentials.
  • הממצאים הופכים ללא פעילים: כל הממצאים שנוצרו בעבר על ידי מסגרות ברמת Premium או Enterprise הופכים ללא פעילים. הממצאים היחידים שעדיין זמינים הם אלה שנובעים מה-framework של Security Essentials.

אם תשדרגו בחזרה לרמת Premium או Enterprise אחרי ששדרגתם לאחור לרמת Standard, לא תוכלו לשחזר באופן אוטומטי את פריסות ה-framework שהוסרו במהלך השדרוג לאחור. צריך לפרוס מחדש באופן ידני את המסגרות האלה ולבנות מחדש את ההגדרות המשויכות.

תמיכה של DSPM בהיקפים של VPC Service Controls

כשמפעילים את DSPM בארגון שכולל את גבולות האבטחה של VPC Service Controls, חשוב לשים לב לדברים הבאים:

  • המגבלות של Security Command Center

  • אי אפשר להשתמש בגבולות גזרה כדי להגן על משאבי DSPM, כי כל המשאבים נמצאים ברמת הארגון. כדי לנהל את ההרשאות של DSPM, השתמשו ב-IAM.

  • מכיוון ש-DSPM מופעל ברמת הארגון, הוא לא יכול לזהות סיכונים והפרות של נתונים בתוך גבולות גזרה לשירות. כדי לאשר גישה, צריך לבצע את הפעולות הבאות:

    1. מוודאים שיש לכם את התפקידים הנדרשים להגדרת VPC Service Controls ברמת הארגון.

    2. מגדירים את כלל התעבורה הנכנסת הבא:

    - ingressFrom:
  identities:
  - serviceAccount: DSPM_SA_EMAIL_ADDRESS
  sources:
      - accessLevel: "*"
  ingressTo:
    operations: "*"
    resources: "*"

    מחליפים את DSPM_SA_EMAIL_ADDRESS בכתובת האימייל של סוכן השירות של DSPM‏ (service-org-ORGANIZATION_ID@gcp-sa-dspm-hpsa.).

    תפקידי ה-IAM הנדרשים לסוכן השירות מוקצים כשמפעילים את DSPM, והם קובעים אילו פעולות סוכן השירות יכול לבצע.

    מידע נוסף על כללי כניסה מופיע במאמר הגדרת כללי מדיניות כניסה ויציאה.

יצירת מסגרות מותאמות אישית לאבטחת מידע

אם צריך, מעתיקים את המסגרת של יסודות אבטחת המידע והפרטיות ומתאימים אותה אישית כדי לעמוד בדרישות של אבטחת המידע והתאימות. איך מחילים מסגרת

פריסת אמצעי בקרה מתקדמים בענן לאבטחת מידע

אם צריך, מוסיפים את אמצעי הבקרה המתקדמים בענן לאבטחת מידע למסגרות בהתאמה אישית. כדי לפרוס את אמצעי הבקרה האלה, צריך להגדיר אותם. במאמר החלת מסגרת מוסבר איך פורסים אמצעי בקרה ומסגרות בענן.

אתם יכולים לפרוס מסגרות שכוללות אמצעי בקרה מתקדמים בענן לאבטחת מידע בארגון, בתיקיות, בפרויקטים ובאפליקציות של App Hub בתיקיות שהוגדרו לניהול אפליקציות. כדי לפרוס את אמצעי הבקרה המתקדמים בענן לאבטחת מידע באפליקציות, המסגרת יכולה לכלול רק את אמצעי הבקרה האלה. צריך לבחור את התיקייה לניהול אפליקציות ואת האפליקציה שרוצים שהבקרות בענן יעקבו אחריה. אין תמיכה באפליקציות בפרויקטים מארחים או בתחום של פרויקט יחיד.

כמה נקודות שכדאי לחשוב עליהן:

  • כדאי לעיין במידע על כל אמצעי בקרה מתקדם לאבטחת מידע בענן כדי להבין את המגבלות.

  • מבצעים את המשימות של כל כלל, כפי שמתואר בטבלה הבאה.

    כלל שלבי הגדרת תצורה נוספים
    בקרת ענן למשילות גישה לנתונים
    • מפעילים את יומני הביקורת של הגישה לנתונים ב-Cloud Storage וב-Agent Platform (אם רלוונטי בסביבה שלכם).

      מגדירים את סוג הרשאת הגישה לנתונים בתור DATA_READ. מפעילים את יומני הגישה לנתונים ברמת הארגון או ברמת הפרויקט, בהתאם למקום שבו מחילים את אמצעי הבקרה בענן של משילות הגישה לנתונים.

      מוודאים שרק חשבונות משתמשים מורשים מוחרגים מרישום ביומן הביקורת. חשבונות משתמשים שפטורים מרישום ביומן הביקורת פטורים גם מ-DSPM.

    • מוסיפים חשבון משתמש אחד או יותר (עד 200 חשבונות משתמשים) באחד מהפורמטים הבאים:
      • למשתמש, principal://goog/subject/USER_EMAIL_ADDRESS

        לדוגמה: principal://goog/subject/alex@example.com

      • לקבוצה, principalSet://goog/group/GROUP_EMAIL_ADDRESS

        לדוגמה: principalSet://goog/group/my-group@example.com
    בקרת ענן לניהול זרימת נתונים

    • מפעילים את יומני הביקורת של הגישה לנתונים ב-Cloud Storage וב-Agent Platform (אם רלוונטי בסביבה שלכם).

      מגדירים את סוג הרשאת הגישה לנתונים בתור DATA_READ. מפעילים את יומני הגישה לנתונים ברמת הארגון או ברמת הפרויקט, בהתאם למקום שבו מחילים את אמצעי הבקרה בענן של משילות הגישה לנתונים.

      מוודאים שרק חשבונות משתמשים מורשים מוחרגים מרישום ביומן הביקורת. חשבונות משתמשים שפטורים מרישום ביומן הביקורת פטורים גם מ-DSPM.

    • מציינים את המדינות המותרות באמצעות קודי המדינות שמוגדרים ב-Unicode Common Locale Data Repository (CLDR)‎.
    אמצעי בקרה בענן להגנה על נתונים ולניהול מפתחות מפעילים את CMEK ב-BigQuery וב-Agent Platform.
    אמצעי בקרה בענן למחיקת נתונים מגדירים את תקופות השמירה. לדוגמה, כדי להגדיר תקופת שמירה של 90 יום בשניות, מגדירים את תקופת השמירה ל-777600.

המאמרים הבאים