Einige oder alle Informationen auf dieser Seite gelten möglicherweise nicht für Cloud de Confiance von S3NS. Weitere Informationen finden Sie unter Unterschiede zu Google Cloud.

Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Kontrollen für die Datenverwaltung

Dieses Dokument enthält Best Practices und Richtlinien für Datenmanagementsysteme beim Ausführen von Arbeitslasten in Cloud de Confiance by S3NS.

Mit Datenmanagementsystemen wie BigQuery und Cloud Storage können Sie die Daten speichern, die Sie für Ihre Workflows benötigen, einschließlich Trainingsdaten, Modellartefakte und Produktionsdaten.

Allgemeine Einstellungen

Diese Einstellungen gelten für alle Datenmanagementsysteme.

Sensitive Data Protection für die Datenprüfung aktivieren

Google-Einstellungs-ID	COM-CO-5.1
Implementierung	Empfohlen
Beschreibung	Cloud de Confiance empfiehlt die Verwendung von Sensitive Data Protection. Die von Ihnen ausgewählten infoTypes oder Jobvorlagen hängen von Ihren jeweiligen Systemen ab.
Entsprechende Produkte	Sensitive Data Protection
Zugehörige NIST-800-53-Kontrollen	SI-4 IA-7 SC-7 SC-8
Zugehörige CRI-Profileinstellungen	PR.AC-1.1 PR.AC-1.2 PR.AC-1.3 PR.DS-5.1 PR.DS-8.1 ID.RA-1.1 DE.CM-1.1 DE.CM-1.2 DE.CM-1.3 DE.CM-1.4 DE.CM-5.1 DE.CM-6.1 DE.CM-6.2 DE.CM-6.3 DE.CM-7.1 DE.CM-7.2 DE.CM-7.3 DE.CM-7.4 DE.DP-2.1 DE.DP-3.1 DE.DP-4.1 DE.DP-4.2 DE.DP-5.1 DE.AE-2.1 DE.AE-3.1 DE.AE-3.2 DE.AE-4.1
Weitere Informationen	Vorlagen infoTypes und infoType-Detektoren

Data-Warehouse-Steuerelemente

Diese Einstellungen gelten für BigQuery.

Achten Sie darauf, dass BigQuery-Datasets nicht öffentlich lesbar oder auf „allAuthenticatedUsers“ festgelegt sind

Google-Einstellungs-ID	BQ-CO-6.1
Implementierung	Erforderlich
Beschreibung	Achten Sie darauf, dass in BigQuery keine Datasets öffentlich zugänglich sind, es sei denn, sie sind dafür vorgesehen. Datasets in BigQuery enthalten häufig sensible Daten. Den Zugriff auf die Informationen in einem BigQuery-Dataset auf bestimmte Nutzer beschränken Zum Konfigurieren dieses Schutzes müssen Sie detaillierte Rollen einrichten. Wenn Sie den Dataset-Zugriff überprüfen, können Sie sicherstellen, dass Sie Daten nicht unbeabsichtigt im Internet veröffentlichen.
Entsprechende Produkte	Organisationsrichtliniendienst BigQuery Identity and Access Management (IAM)
Pfad	`cloudasset.assets/assetType`
Operator	==
Wert	`bigquery.googleapis.com/Dataset`
Typ	String
Zugehörige NIST-800-53-Kontrollen	AC-3 AC-12 AC-17 AC-20
Zugehörige CRI-Profileinstellungen	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.PT-3.1 PR-PT-4.1
Weitere Informationen	Zugriff auf ein Dataset widerrufen allAuthenticatedUsers Zugriff auf Ressourcen mit IAM steuern

Achten Sie darauf, dass BigQuery-Tabellen nicht öffentlich lesbar sind oder auf „allAuthenticatedUsers“ festgelegt sind.

Google-Einstellungs-ID	BQ-CO-6.2
Implementierung	Erforderlich
Beschreibung	Den Zugriff auf die Informationen in einer BigQuery-Tabelle auf bestimmte Nutzer beschränken Um diesen Schutz zu konfigurieren, müssen Sie detaillierte Rollen einrichten.
Entsprechende Produkte	Identity and Access Management (IAM) BigQuery
Pfad	`cloudasset.assets/iamPolicy.bindings.members`
Operator	anyof
Wert	`allUsers` `allAuthenticatedUsers`
Typ	String
Zugehörige NIST-800-53-Kontrollen	AC-3 AC-12 AC-17 AC-20
Zugehörige CRI-Profileinstellungen	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.PT-3.1 PR-PT-4.1
Weitere Informationen	Zugriff auf eine Tabelle oder Ansicht aufheben allAuthenticatedUsers Zugriff auf Ressourcen mit IAM steuern

Einzelne Werte in einer BigQuery-Tabelle verschlüsseln

Google-Einstellungs-ID	BQ-CO-6.3
Implementierung	Optional
Beschreibung	Wenn Ihre Organisation die Verschlüsselung einzelner Werte in einer BigQuery-Tabelle erfordert, verwenden Sie die AEAD-Verschlüsselungsfunktionen (Authenticated Encryption with Associated Data).
Entsprechende Produkte	BigQuery
Zugehörige NIST-800-53-Kontrollen	SC-13
Zugehörige CRI-Profileinstellungen	PR.DS-5.1
Weitere Informationen	AEAD-Verschlüsselungsfunktionen

Autorisierte Ansichten für BigQuery-Datasets verwenden

Google-Einstellungs-ID	BQ-CO-6.4
Implementierung	Optional
Beschreibung	Mit autorisierten Ansichten können Sie eine Teilmenge von Daten in einem Dataset für bestimmte Nutzer freigeben. Mit einer autorisierten Ansicht können Sie beispielsweise Abfrageergebnisse mit bestimmten Nutzern und Gruppen teilen, ohne diesen Zugriff auf die zugrunde liegenden Quelldaten zu gewähren.
Entsprechende Produkte	BigQuery
Zugehörige NIST-800-53-Kontrollen	AC-3 AC-12 AC-17 AC-20
Zugehörige CRI-Profileinstellungen	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.PT-3.1 PR-PT-4.1
Weitere Informationen	Autorisierte Ansichten

BigQuery-Sicherheit auf Spaltenebene verwenden

Google-Einstellungs-ID	BQ-CO-6.5
Implementierung	Optional
Beschreibung	Mit der BigQuery-Sicherheit auf Spaltenebene können Sie Richtlinien erstellen, mit denen zum Zeitpunkt der Abfrage überprüft wird, ob ein Nutzer den entsprechenden Zugriff hat. BigQuery bietet mithilfe von Richtlinien-Tags oder der typbasierten Klassifizierung von Daten differenzierten Zugriff auf vertrauliche Spalten.
Entsprechende Produkte	BigQuery
Zugehörige NIST-800-53-Kontrollen	AC-3 AC-12 AC-17 AC-20
Zugehörige CRI-Profileinstellungen	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.PT-3.1 PR-PT-4.1
Weitere Informationen	Einführung in die Zugriffssteuerung auf Spaltenebene

BigQuery-Sicherheit auf Zeilenebene verwenden

Google-Einstellungs-ID	BQ-CO-6.6
Implementierung	Optional
Beschreibung	Verwenden Sie die Sicherheit auf Zeilenebene und Zugriffsrichtlinien, um eine detaillierte Zugriffssteuerung für eine Teilmenge der Daten in einer BigQuery-Tabelle zu ermöglichen.
Entsprechende Produkte	BigQuery
Zugehörige NIST-800-53-Kontrollen	AC-3 AC-12 AC-17 AC-20
Zugehörige CRI-Profileinstellungen	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.PT-3.1 PR-PT-4.1
Weitere Informationen	Einführung in die Zugriffssteuerung auf Zeilenebene

BigQuery-Ressourcendiagramme verwenden

Google-Einstellungs-ID	BQ-CO-7.1
Implementierung	Optional
Beschreibung	Mit den BigQuery-Ressourcendiagrammen können BigQuery-Administratoren beobachten, wie ihre Organisation, ihr Ordner oder ihre Reservierung BigQuery-Slots nutzt und wie ihre Abfragen ausgeführt werden.
Entsprechende Produkte	BigQuery
Zugehörige NIST-800-53-Kontrollen	AC-3 AC-12 AC-17 AC-20
Zugehörige CRI-Profileinstellungen	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.PT-3.1 PR-PT-4.1
Weitere Informationen	Zustand, Ressourcennutzung und Jobs überwachen

Speichersteuerung

Diese Einstellungen gelten für Cloud Storage.

Öffentlichen Zugriff auf Cloud Storage-Buckets blockieren

Google-Einstellungs-ID	GCS-CO-4.1
Implementierung	Erforderlich
Beschreibung	Die boolesche Einschränkung `storage.publicAccessPrevention` verhindert, dass ohne Authentifizierung über öffentliche Quellen auf Speicher-Buckets zugegriffen wird. Dabei werden ACLs und IAM-Berechtigungen deaktiviert und blockiert, die `allUsers` und `allAuthenticatedUsers` Zugriff gewähren. Diese Einschränkung fungiert als organisationsweites Sicherheitsnetz, das alle Einstellungen aktiv blockiert, die einen Bucket öffentlich zugänglich machen würden.
Entsprechende Produkte	Organisationsrichtliniendienst Cloud Storage
Pfad	`constraints/storage.publicAccessPrevention`
Operator	==
Wert	`True`
Typ	Boolesch
Zugehörige NIST-800-53-Kontrollen	AC-3 AC-17 AC-20
Zugehörige CRI-Profileinstellungen	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1
Weitere Informationen	Verhinderung des öffentlichen Zugriffs

Einheitlichen Zugriff auf Bucket-Ebene verwenden

Google-Einstellungs-ID	GCS-CO-4.2
Implementierung	Erforderlich
Beschreibung	Für die boolesche Einschränkung `storage.uniformBucketLevelAccess` muss für Buckets der einheitliche Zugriff auf Bucket-Ebene verwendet werden. Mit dem einheitlichen Zugriff auf Bucket-Ebene können Sie nur IAM-Berechtigungen auf Bucket-Ebene verwenden, um Zugriff auf Ihre Cloud Storage-Ressourcen zu gewähren. Die Verwendung von zwei unterschiedlichen und widersprüchlichen Systemen zur Verwaltung von Berechtigungen für Storage-Buckets ist komplex und eine häufige Ursache für versehentliche Datenlecks. Mit dieser Einstellung wird das alte System (Access Control Lists, ACLs) deaktiviert und das moderne, zentrale System (IAM) zur einzigen verlässlichen Quelle für alle Berechtigungen.
Entsprechende Produkte	Organisationsrichtliniendienst Cloud Storage
Pfad	`constraints/storage.uniformBucketLevelAccess`
Operator	==
Wert	`True`
Typ	Boolesch
Zugehörige NIST-800-53-Kontrollen	AC-3 AC-17 AC-20
Zugehörige CRI-Profileinstellungen	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1
Weitere Informationen	Einheitlichen Zugriff auf Bucket-Ebene erfordern

HMAC-Schlüssel für Dienstkonten schützen

Google-Einstellungs-ID	GCS-CO-6.9
Implementierung	Erforderlich
Beschreibung	Ein HMAC-Schlüssel ist eine langlebige Art von Anmeldedaten, die mit einem Dienstkonto oder einem Nutzerkonto in Cloud Storage verknüpft ist. Mit einem HMAC-Schlüssel können Sie Signaturen erstellen, die in Anfragen an Cloud Storage aufgenommen werden. Eine Signatur beweist, dass ein Nutzer oder Dienstkonto eine Anfrage autorisiert hat. Im Gegensatz zu kurzlebigen Anmeldedaten (z. B. OAuth 2.0-Tokens) laufen HMAC-Schlüssel nicht automatisch ab und bleiben gültig, bis sie manuell widerrufen werden. HMAC-Schlüssel sind Anmeldedaten mit hohem Risiko: Wenn sie manipuliert werden, ermöglichen sie dauerhaften Zugriff auf Ihre Ressourcen. Sie müssen dafür sorgen, dass geeignete Mechanismen zum Schutz dieser Daten vorhanden sind.
Entsprechende Produkte	Cloud Storage
Pfad	`storage.projects.hmacKeys/id`
Operator	Vorhanden
Wert	`[]`
Typ	String
Zugehörige NIST-800-53-Kontrollen	SC-12 SC-13
Zugehörige CRI-Profileinstellungen	PR.DS-1.1 PR.DS-1.2 PR.DS-2.1 PR.DS-2.2 PR.DS-5.1
Weitere Informationen	HMAC-Schlüssel für Dienstkonten verwalten

Aufzählen von Cloud Storage-Buckets durch Dienstkonten erkennen

Google-Einstellungs-ID	GCS-CO-7.2
Implementierung	Erforderlich
Beschreibung	Dienstkonten sind nicht menschliche Identitäten, die für Anwendungen entwickelt wurden. Ihr Verhalten ist vorhersehbar und automatisiert. Normalerweise müssen Dienstkonten keine Buckets aufschlüsseln, da sie bereits zugeordnet sind. Wenn Sie also feststellen, dass ein Dienstkonto versucht, eine Liste aller Cloud Storage-Buckets abzurufen, sollten Sie dies sofort untersuchen. Die Reconnaissance-Enumeration wird häufig als Reconnaissance-Technik von böswilligen Akteuren verwendet, die Zugriff auf das Dienstkonto erlangt haben.
Entsprechende Produkte	Cloud Storage Cloud-Audit-Logs
Operator	==
Wert	`storage.bucket.list`
Typ	String
Zugehörige NIST-800-53-Kontrollen	AU-2 AU-3 AU-8 AU-9
Zugehörige CRI-Profilkontrollen	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4
Weitere Informationen	Cloud-Audit-Logs mit Cloud Storage

IAM-Richtlinienänderungen von Cloud Storage-Buckets durch Dienstkonten erkennen

Google-Einstellungs-ID	GCS-CO-7.3
Implementierung	Erforderlich
Beschreibung	Konfigurieren Sie eine Benachrichtigung, die erkennt, wenn die IAM-Richtlinie (Identity and Access Management) eines Cloud Storage-Bucket so geändert wird, dass öffentlicher Zugriff gewährt wird. Diese Benachrichtigung wird ausgelöst, wenn die Hauptkonten `allUsers` oder `allAuthenticatedUsers` der IAM-Richtlinie eines Buckets hinzugefügt werden. Diese Benachrichtigung ist ein kritisches Ereignis mit hohem Schweregrad, da alle Daten im Bucket offengelegt werden können. Untersuchen Sie diese Benachrichtigung sofort, um zu bestätigen, ob die Änderung autorisiert war oder ein Zeichen für eine Fehlkonfiguration oder einen böswilligen Akteur ist. Legen Sie in der Benachrichtigung das JSON-Attribut `data.protoPayload.serviceData.policyData.bindingDeltas.member` auf `allUsers` oder `allAuthenticatedUsers` und die Aktion auf `ADD` fest.
Entsprechende Produkte	Cloud Storage Cloud-Audit-Logs
Zugehörige NIST-800-53-Kontrollen	AU-2 AU-3 AU-8 AU-9
Zugehörige CRI-Profilkontrollen	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4
Weitere Informationen	Cloud-Audit-Logs mit Cloud Storage

Achten Sie darauf, dass für die Aufbewahrungsrichtlinie des Cloud Storage-Bucket die Bucket-Sperre verwendet wird

Google-Einstellungs-ID	GCS-CO-6.1
Implementierung	Empfohlen
Beschreibung	Je nach Ihren behördlichen Anforderungen müssen Sie dafür sorgen, dass die Aufbewahrungsrichtlinie für jeden Cloud Storage-Bucket gesperrt ist. Legen Sie die Aufbewahrungsdauer auf einen Zeitraum fest, der Ihren Anforderungen entspricht.
Entsprechende Produkte	Cloud Storage
Pfad	`storage.buckets/retentionPolicy.isLocked`
Operator	!=
Wert	`True`
Typ	Boolesch
Zugehörige NIST-800-53-Kontrollen	SI-12
Zugehörige CRI-Profileinstellungen	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Weitere Informationen	Aufbewahrungsrichtlinien verwenden und sperren

Lebenszyklusregeln für die Aktion „SetStorageClass“ festlegen

Google-Einstellungs-ID	GCS-CO-6.11
Implementierung	Empfohlen
Beschreibung	Wenden Sie Lebenszyklusregeln auf jeden Cloud Storage-Bucket mit dem Aktionstyp `SetStorageClass` an.
Entsprechende Produkte	Cloud Storage
Pfad	`storage.buckets/lifecycle.rule.action.type`
Operator	==
Wert	`SetStorageClass`
Typ	String
Zugehörige NIST-800-53-Kontrollen	SI-12
Zugehörige CRI-Profileinstellungen	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Weitere Informationen	Verwaltung des Objektlebenszyklus

Zulässige Regionen für Speicherklassen festlegen

Google-Einstellungs-ID	GCS-CO-6.12
Implementierung	Empfohlen
Beschreibung	Achten Sie darauf, dass die Speicherklassen für die Lebenszykluskonfiguration nicht innerhalb der zulässigen regionalen Klassifizierungen liegen.
Entsprechende Produkte	Cloud Storage
Pfad	`storage.buckets/lifecycle.rule.action.storageClass`
Operator	nin
Wert	`MULTI_REGIONAL` `REGIONAL`
Typ	String
Zugehörige NIST-800-53-Kontrollen	SI-12
Zugehörige CRI-Profileinstellungen	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Weitere Informationen	Bucket-Standorte Verwaltung des Objektlebenszyklus

Lebenszyklusverwaltung für Cloud Storage-Buckets aktivieren

Google-Einstellungs-ID	GCS-CO-6.13
Implementierung	Empfohlen
Beschreibung	Achten Sie darauf, dass die Lebenszyklusverwaltung von Cloud Storage aktiviert und konfiguriert ist. Die Lebenszyklussteuerung enthält die Konfiguration für den Speicherlebenszyklus. Prüfen Sie, ob die Richtlinien in dieser Einstellung Ihren Anforderungen entsprechen.
Entsprechende Produkte	Cloud Storage
Pfad	`storage.buckets/lifecycle`
Operator	Vorhanden
Wert	`[]`
Typ	Objekt
Zugehörige NIST-800-53-Kontrollen	SI-12
Zugehörige CRI-Profileinstellungen	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Weitere Informationen	Verwaltung des Objektlebenszyklus

Regeln für die Lebenszyklusverwaltung für Cloud Storage-Buckets aktivieren

Google-Einstellungs-ID	GCS-CO-6.14
Implementierung	Empfohlen
Beschreibung	Achten Sie darauf, dass Regeln für die Lebenszyklusverwaltung für Cloud Storage aktiviert und konfiguriert sind. Die Regelsteuerung enthält die Konfiguration für den Speicherlebenszyklus. Prüfen Sie, ob die Richtlinien in dieser Einstellung Ihren Anforderungen entsprechen.
Entsprechende Produkte	Cloud Storage
Pfad	`storage.buckets/lifecycle.rule`
Operator	Leer
Wert	`[]`
Typ	Array
Zugehörige NIST-800-53-Kontrollen	SI-12
Zugehörige CRI-Profileinstellungen	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Weitere Informationen	Verwaltung des Objektlebenszyklus

Temporäre Holds für aktive Objekte prüfen und bewerten

Google-Einstellungs-ID	GCS-CO-6.16
Implementierung	Empfohlen
Beschreibung	Identifizieren Sie alle Objekte, für die „temporaryHold“ auf „TRUE“ gesetzt ist, und starten Sie einen Untersuchungs- und Validierungsprozess. Diese Art der Bewertung eignet sich für die folgenden Anwendungsfälle: Legal Hold: Um die rechtlichen Anforderungen für die Speicherung von Daten zu erfüllen, kann ein temporärer Hold verwendet werden, um das Löschen sensibler Daten zu verhindern, die für laufende Untersuchungen oder Rechtsstreitigkeiten relevant sein könnten. Schutz vor Datenverlust: Um zu verhindern, dass wichtige Daten versehentlich gelöscht werden, kann ein temporärer Hold als Sicherheitsmaßnahme zum Schutz wichtiger Geschäftsinformationen verwendet werden. Inhaltsmoderation: Wenn Sie potenziell sensible oder unangemessene Inhalte überprüfen möchten, bevor sie öffentlich zugänglich werden, können Sie einen temporären Hold auf in Cloud Storage hochgeladene Inhalte anwenden, um sie weiter zu prüfen und Moderationsentscheidungen zu treffen.
Entsprechende Produkte	Cloud Storage
Pfad	`storage.objects/temporaryHold`
Operator	==
Wert	`TRUE`
Typ	Boolesch
Zugehörige NIST-800-53-Kontrollen	SI-12
Zugehörige CRI-Profileinstellungen	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Weitere Informationen	Objekt-Holds

Aufbewahrungsrichtlinien für Cloud Storage-Buckets erzwingen

Google-Einstellungs-ID	GCS-CO-6.17
Implementierung	Empfohlen
Beschreibung	Sorgen Sie dafür, dass alle Cloud Storage-Buckets eine Aufbewahrungsrichtlinie haben.
Entsprechende Produkte	Cloud Storage
Pfad	`storage.buckets/retentionPolicy.retentionPeriod`
Operator	agesmaller
Wert	`[90,"DAY","AFTER","yyyy-MM-dd'T'HH:mm:ss'Z'"]`
Typ	int64
Zugehörige NIST-800-53-Kontrollen	SI-12
Zugehörige CRI-Profileinstellungen	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Weitere Informationen	Bucket-Sperre

Klassifizierungs-Tags für Cloud Storage-Buckets erzwingen

Google-Einstellungs-ID	GCS-CO-6.18
Implementierung	Empfohlen
Beschreibung	Die Datenklassifizierung ist ein grundlegender Bestandteil jedes Data-Governance- und Sicherheitsprogramms. Es ist wichtig, auf jeden Bucket ein Klassifizierungslabel mit Werten wie „Öffentlich“, „Intern“, „Vertraulich“ oder „Eingeschränkt“ anzuwenden. Prüfe, ob `google_storage_bucket.labels` einen Ausdruck für die Klassifizierung enthält, und erstelle einen Verstoß, falls dies nicht der Fall ist.
Entsprechende Produkte	Cloud Storage
Pfad	`storage.buckets/labels.classification`
Operator	notexists
Wert	`[]`
Typ	Erweitert
Zugehörige NIST-800-53-Kontrollen	SI-12
Zugehörige CRI-Profileinstellungen	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Weitere Informationen	Tags und Labels

Log-Buckets für Cloud Storage-Buckets erzwingen

Google-Einstellungs-ID	GCS-CO-6.3
Implementierung	Empfohlen
Beschreibung	Achten Sie darauf, dass jeder Cloud Storage-Bucket einen Log-Bucket enthält.
Entsprechende Produkte	Cloud Storage
Pfad	`storage.buckets/logging.logBucket`
Operator	notexists
Wert	`[]`
Typ	String
Zugehörige NIST-800-53-Kontrollen	AU-2 AU-3 AU-8 AU-9
Zugehörige CRI-Profilkontrollen	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4
Weitere Informationen	Log-Buckets konfigurieren

Löschregeln für Cloud Storage-Buckets konfigurieren

Google-Einstellungs-ID	GCS-CO-6.5
Implementierung	Empfohlen
Beschreibung	In Cloud Storage bezieht sich `storage.buckets/lifecycle.rule.action.type` auf die Art der Aktion, die für ein bestimmtes Objekt basierend auf einer Lebenszyklusregel in einem Bucket ausgeführt werden soll. Diese Konfiguration hilft, die Verwaltung und den Lebenszyklus Ihrer in der Cloud gespeicherten Daten zu automatisieren. Konfigurieren Sie die `storage.buckets/lifecycle.rule.action.type`, damit Objekte endgültig aus dem Bucket gelöscht werden.
Entsprechende Produkte	Cloud Storage
Pfad	`storage.buckets/lifecycle.rule.action.type`
Operator	==
Wert	`Delete`
Typ	String
Zugehörige NIST-800-53-Kontrollen	SI-12
Zugehörige CRI-Profileinstellungen	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Weitere Informationen	Objektlebenszyklen verwalten

Achten Sie darauf, dass die Bedingung „isLive“ für Löschregeln „False“ ist

Google-Einstellungs-ID	GCS-CO-6.6
Implementierung	Empfohlen
Beschreibung	Achten Sie bei Löschregeln darauf, dass die `isLive`-Bedingung der Regel auf `false` festgelegt ist. In Cloud Storage ist `storage.buckets/lifecycle.rule.condition.isLive` eine boolesche Bedingung, die in Lebenszyklusregeln verwendet wird, um zu bestimmen, ob ein Objekt als live gilt. Mit diesem Filter können Sie dafür sorgen, dass Aktionen innerhalb einer Lebenszyklusregel nur auf die gewünschten Objekte angewendet werden, basierend auf ihrem Livestatus. Anwendungsfälle: Ältere Versionen archivieren: Archivieren Sie nur nicht aktuelle Versionen von Objekten, um Speicherkosten zu sparen, während die aktuelle Version leicht zugänglich bleibt. Gelöschte Objekte bereinigen: Automatisieren Sie das endgültige Löschen von Objekten, die von Nutzern gelöscht wurden, um Speicherplatz im Bucket freizugeben. Live-Daten schützen: Sorgen Sie dafür, dass Aktionen wie das Festlegen von temporären Holds nur auf Live-Objekte angewendet werden, um versehentliche Änderungen an archivierten oder gelöschten Versionen zu verhindern.
Entsprechende Produkte	Cloud Storage
Pfad	`storage.buckets/lifecycle.rule.condition.isLive`
Operator	==
Wert	`False`
Typ	Boolesch
Zugehörige NIST-800-53-Kontrollen	SI-12
Zugehörige CRI-Profileinstellungen	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Weitere Informationen	isLive

Versionsverwaltung für Cloud Storage-Buckets erzwingen

Google-Einstellungs-ID	GCS-CO-6.7
Implementierung	Empfohlen
Beschreibung	Achten Sie darauf, dass für alle Cloud Storage-Buckets die Versionsverwaltung aktiviert ist. Dies ist unter anderem in folgenden Fällen hilfreich: Datenschutz und ‑wiederherstellung: Schützen Sie sich vor versehentlichem Datenverlust, indem Sie das Überschreiben verhindern und die Wiederherstellung gelöschter oder geänderter Daten ermöglichen. Compliance und Auditing:Speichern Sie einen Verlauf aller Objektbearbeitungen für die Einhaltung regulatorischer Anforderungen oder interne Audits. Versionsverwaltung:Änderungen an Dateien und Datasets nachverfolgen, um die Zusammenarbeit zu ermöglichen und bei Bedarf Rollbacks auf frühere Versionen durchzuführen.
Entsprechende Produkte	Cloud Storage
Pfad	`storage.buckets/versioning.enabled`
Operator	!=
Wert	`True`
Typ	Boolesch
Zugehörige NIST-800-53-Kontrollen	SI-12
Zugehörige CRI-Profileinstellungen	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Weitere Informationen	Objektversionierung

Inhaber für Cloud Storage-Buckets erzwingen

Google-Einstellungs-ID	GCS-CO-6.8
Implementierung	Empfohlen
Beschreibung	Achten Sie darauf, dass `google_storage_bucket.labels` einen Ausdruck für einen Inhaber hat.
Entsprechende Produkte	Cloud Storage
Pfad	`storage.buckets/labels.owner`
Operator	notexists
Wert	`[]`
Typ	Erweitert
Zugehörige NIST-800-53-Kontrollen	SI-12
Zugehörige CRI-Profileinstellungen	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Weitere Informationen	Bucket-Labels verwenden

Logging wichtiger Cloud Storage-Aktivitäten aktivieren

Google-Einstellungs-ID	GCS-CO-7.4
Implementierung	Empfohlen
Beschreibung	Aktivieren Sie zusätzliches Logging für bestimmte Speicherobjekte basierend auf ihrem Anwendungsfall. Protokollieren Sie beispielsweise den Zugriff auf sensible Daten-Buckets, damit Sie nachvollziehen können, wer wann Zugriff erhalten hat. Wenn Sie zusätzliches Logging aktivieren, sollten Sie das Volumen der Logs berücksichtigen, die möglicherweise generiert werden.
Entsprechende Produkte	Cloud Storage
Zugehörige NIST-800-53-Kontrollen	AU-2 AU-3 AU-8 AU-9
Zugehörige CRI-Profilkontrollen	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4
Weitere Informationen	Cloud-Audit-Logs mit Cloud Storage

Datenbanksteuerung

Öffentliche IP-Adressen von Cloud SQL einschränken

Implementierung	Erforderlich
Beschreibung	Verhindern Sie, dass Cloud SQL eine öffentliche IP-Adresse hat und direkt dem Internet ausgesetzt ist, indem Sie die Einschränkung der Organisationsrichtlinie `constraints/sql.restrictPublicIp` festlegen. In der Regel sind Datenbanken nicht direkt mit dem Internet verbunden. Wenn Sie öffentliche IP-Adressen verhindern, können Ihre Datenbanken keine öffentlichen IP-Adressen erhalten. So bleiben sie privat und sind nur über vertrauenswürdige, interne Anwendungen zugänglich.
Entsprechende Produkte	Cloud SQL
Pfad	`constraints/sql.restrictPublicIp`
Operator	=
Wert	`True`
Zugehörige NIST-800-53-Kontrollen	SC-7
Zugehörige CRI-Profileinstellungen	PR.AC-3.1
Weitere Informationen	Instanzsicherheit durch Deaktivieren der öffentlichen IP-Adresse verbessern Organisationsrichtlinien für die Verbindung

Datenbanksicherungen implementieren und testen

Implementierung	Erforderlich
Beschreibung	Konfigurieren Sie Sicherungen für Ihre Datenbanken (z. B. Cloud SQL und Filestore) und speichern Sie Kopien an isolierten oder alternativen Standorten. Testen Sie Ihre Sicherungs- und Wiederherstellungsverfahren regelmäßig.
Entsprechende Produkte	Cloud SQL Filestore AlloyDB for PostgreSQL
Zugehörige NIST-800-53-Kontrollen	CP-2 CP-6 CP-9 CP-9(1) CP-10
Zugehörige CRI-Profileinstellungen	PR.IP-4.1 PR.IP-4.2
Weitere Informationen	Cloud SQL-Sicherungen – Übersicht Informationen zu Filestore-Sicherungen AlloyDB for PostgreSQL-Sicherungspläne konfigurieren