Modèle de posture prédéfini pour ISO 27001

Le modèle de stratégie prédéfini v1.0 pour la norme ISO (Organisation internationale de normalisation) 27001 vous aide à surveiller la conformité de vos charges de travail avec la norme ISO 27001. Ce modèle inclut un ensemble de règles de détection des détecteurs Security Health Analytics que vous pouvez déployer sans apporter de modifications.

Détecteurs Security Health Analytics

Le tableau suivant décrit les détecteurs Security Health Analytics inclus dans ce modèle de stratégie.

Nom du détecteur Description
SQL_CROSS_DB_OWNERSHIP_CHAINING

Ce détecteur vérifie si l'option cross_db_ownership_chaining est activée dans Cloud SQL pour SQL Server.
INSTANCE_OS_LOGIN_DISABLED

Ce détecteur vérifie si OS Login est activé.
SQL_SKIP_SHOW_DATABASE_DISABLED

Ce détecteur vérifie si l'option skip_show_database est désactivée dans Cloud SQL pour MySQL.
ESSENTIAL_CONTACTS_NOT_CONFIGURED

Ce détecteur vérifie si vous avez au moins un contact essentiel.
AUDIT_LOGGING_DISABLED

Ce détecteur vérifie si la journalisation d'audit est désactivée pour une ressource.
VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED

Ce détecteur vérifie si les journaux de flux VPC ne sont pas activés.
API_KEY_EXISTS

Ce détecteur vérifie si un projet utilise des clés API au lieu de l'authentification standard.
SQL_LOG_MIN_ERROR_STATEMENT_SEVERITY

Ce détecteur vérifie si l'option log_min_error_statement dans Cloud SQL pour PostgreSQL n'a pas un niveau de gravité approprié.
LOCKED_RETENTION_POLICY_NOT_SET

Ce détecteur vérifie si la règle de conservation verrouillée est définie pour les journaux.
SQL_LOG_DISCONNECTIONS_DISABLED

Ce détecteur vérifie si l'option log_disconnections est désactivée dans Cloud SQL pour PostgreSQL.
COMPUTE_SERIAL_PORTS_ENABLED

Ce détecteur vérifie si les ports série sont activés.
COMPUTE_PROJECT_WIDE_SSH_KEYS_ALLOWED

Ce détecteur vérifie si des clés SSH sont utilisées à l'échelle du projet.
KMS_KEY_NOT_ROTATED

Ce détecteur vérifie si la rotation du chiffrement Cloud Key Management Service n'est pas activée.
DNS_LOGGING_DISABLED

Ce détecteur vérifie si la journalisation DNS est activée sur le réseau VPC.
SQL_LOCAL_INFILE

Ce détecteur vérifie si l'option local_infile est activée dans Cloud SQL pour MySQL.
SQL_LOG_MIN_DURATION_STATEMENT_ENABLED

Ce détecteur vérifie si l'option log_min_duration_statement de Cloud SQL pour PostgreSQL n'est pas définie sur -1.
PUBLIC_DATASET

Ce détecteur vérifie si un ensemble de données est configuré pour être accessible au public. Pour en savoir plus, consultez Résultats de failles de l'ensemble de données.
DISK_CSEK_DISABLED

Ce détecteur vérifie si la compatibilité avec les clés de chiffrement fournies par le client (CSEK) est désactivée pour une VM.
SQL_USER_CONNECTIONS_CONFIGURED

Ce détecteur vérifie si l'option user connections est configurée dans Cloud SQL pour SQL Server.
SERVICE_ACCOUNT_ROLE_SEPARATION

Ce détecteur vérifie la séparation des tâches pour les clés de compte de service.
AUDIT_CONFIG_NOT_MONITORED

Ce détecteur vérifie si les modifications apportées à la configuration d'audit sont surveillées.
BUCKET_IAM_NOT_MONITORED

Ce détecteur vérifie si la journalisation est désactivée pour les modifications d'autorisations IAM dans Cloud Storage.
PUBLIC_SQL_INSTANCE

Ce détecteur vérifie si une instance Cloud SQL autorise les connexions depuis toutes les adresses IP.
AUTO_BACKUP_DISABLED

Ce détecteur vérifie si les sauvegardes automatiques ne sont pas activées pour une base de données Cloud SQL.
DATAPROC_CMEK_DISABLED

Ce détecteur vérifie si la compatibilité avec les CMEK est désactivée pour un cluster Managed Service pour Apache Spark.
LOG_NOT_EXPORTED

Ce détecteur vérifie si une ressource n'a pas de récepteur de journaux configuré.
KMS_PROJECT_HAS_OWNER

Ce détecteur vérifie si un utilisateur dispose de l'autorisation Propriétaire sur un projet qui inclut des clés.
KMS_ROLE_SEPARATION

Ce détecteur vérifie la séparation des tâches pour les clés Cloud KMS.
API_KEY_APIS_UNRESTRICTED

Ce détecteur vérifie si des clés API sont utilisées de manière trop large.
SQL_LOG_MIN_MESSAGES

Ce détecteur vérifie si l'option log_min_messages de Cloud SQL pour PostgreSQL n'est pas définie sur warning.
SQL_PUBLIC_IP

Ce détecteur vérifie si une base de données Cloud SQL possède une adresse IP externe.
DATASET_CMEK_DISABLED

Ce détecteur vérifie si la compatibilité avec les CMEK est désactivée pour un ensemble de données BigQuery.
FIREWALL_NOT_MONITORED

Ce détecteur vérifie que les métriques de journal et les alertes ne sont pas configurées pour surveiller les modifications apportées aux règles de pare-feu VPC.
SQL_LOG_STATEMENT

Ce détecteur vérifie si l'option log_statement de Cloud SQL pour PostgreSQL n'est pas définie sur ddl.
BIGQUERY_TABLE_CMEK_DISABLED

Ce détecteur vérifie si une table BigQuery n'est pas configurée pour utiliser une clé de chiffrement gérée par le client (CMEK). Pour en savoir plus, consultez Résultats de failles de l'ensemble de données.
CONFIDENTIAL_COMPUTING_DISABLED

Ce détecteur vérifie si l'informatique confidentielle est désactivée.
SQL_INSTANCE_NOT_MONITORED

Ce détecteur vérifie si la journalisation est désactivée pour les modifications de configuration Cloud SQL.
KMS_PUBLIC_KEY

Ce détecteur vérifie si une clé cryptographique Cloud Key Management Service est accessible au public. Pour en savoir plus, consultez Résultats de failles KMS.
DEFAULT_NETWORK

Ce détecteur vérifie si le réseau par défaut existe dans un projet.
SQL_TRACE_FLAG_3625

Ce détecteur vérifie si l'option 3625 (trace flag) est désactivée dans Cloud SQL pour SQL Server.
API_KEY_NOT_ROTATED

Ce détecteur vérifie si une clé API a subi une rotation au cours des 90 derniers jours.
DNSSEC_DISABLED

Ce détecteur vérifie si la sécurité DNS (DNSSEC) est désactivée pour Cloud DNS. Pour en savoir plus, consultez Résultats de failles DNS.
SQL_LOG_CONNECTIONS_DISABLED

Ce détecteur vérifie si l'option log_connections est désactivée dans Cloud SQL pour PostgreSQL.
LEGACY_NETWORK

Ce détecteur vérifie si un ancien réseau existe dans un projet.
PUBLIC_IP_ADDRESS

Ce détecteur vérifie si une instance possède une adresse IP externe.
FULL_API_ACCESS

Ce détecteur vérifie si une instance utilise un compte de service par défaut avec un accès complet à toutes les API Google Cloud .
SQL_CONTAINED_DATABASE_AUTHENTICATION

Ce détecteur vérifie si l'option contained database authentication est activée dans Cloud SQL pour SQL Server.
OS_LOGIN_DISABLED

Ce détecteur vérifie si OS Login est désactivé.
SQL_USER_OPTIONS_CONFIGURED

Ce détecteur vérifie si l'option user options est configurée dans Cloud SQL pour SQL Server.
ADMIN_SERVICE_ACCOUNT

Ce détecteur vérifie si un compte de service dispose des droits d'administrateur, de propriétaire ou d'éditeur.
DEFAULT_SERVICE_ACCOUNT_USED

Ce détecteur vérifie si le compte de service par défaut est utilisé.
NETWORK_NOT_MONITORED

Ce détecteur vérifie que les métriques de journal et les alertes ne sont pas configurées pour surveiller les modifications apportées au réseau VPC.
PUBLIC_BUCKET_ACL

Ce détecteur vérifie si un bucket est accessible au public.
CUSTOM_ROLE_NOT_MONITORED

Ce détecteur vérifie si la journalisation est désactivée pour les modifications de rôles personnalisés.
SQL_LOG_ERROR_VERBOSITY

Ce détecteur vérifie si l'option log_error_verbosity de Cloud SQL pour PostgreSQL n'est pas définie sur default.
LOAD_BALANCER_LOGGING_DISABLED

Ce détecteur vérifie si la journalisation est désactivée pour l'équilibreur de charge.
OVER_PRIVILEGED_SERVICE_ACCOUNT_USER

Ce détecteur vérifie si un utilisateur possède des rôles de compte de service au niveau du projet, plutôt que pour un compte de service spécifique.
SQL_REMOTE_ACCESS_ENABLED

Ce détecteur vérifie si l'option remote_access est activée dans Cloud SQL pour SQL Server.
RSASHA1_FOR_SIGNING

Ce détecteur vérifie si RSASHA1 est utilisé pour la signature de clé dans les zones Cloud DNS.
CLOUD_ASSET_API_DISABLED

Ce détecteur vérifie si l'inventaire des éléments cloud est désactivé.
BUCKET_POLICY_ONLY_DISABLED

Ce détecteur vérifie si l'accès uniforme au niveau du bucket est configuré.
ROUTE_NOT_MONITORED

Ce détecteur vérifie que les métriques de journal et les alertes ne sont pas configurées pour surveiller les modifications apportées aux routes du réseau VPC.
OWNER_NOT_MONITORED

Ce détecteur vérifie si la journalisation est désactivée pour les attributions et les modifications de propriété du projet.

Afficher le modèle de stratégie

Pour afficher le modèle de stratégie pour ISO 27001, procédez comme suit :

gcloud

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

  • ORGANIZATION_ID : ID numérique de l'organisation.

Exécutez la commande gcloud scc posture-templates describe :

Linux, macOS ou Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/iso_27001

Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/iso_27001

Windows (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/iso_27001

La réponse contient le modèle de stratégie.

REST

Avant d'utiliser les données de requête, effectuez les remplacements suivants :

  • ORGANIZATION_ID : ID numérique de l'organisation.

Méthode HTTP et URL : 

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/iso_27001

Pour envoyer votre requête, développez l'une des options suivantes :

La réponse contient le modèle de stratégie.

Étapes suivantes