Es posible que parte de la información de esta página (o toda) no se aplique a Cloud de Confiance de S3NS. Consulta Diferencias con Google Cloud para obtener más información.

Google uses AI technology to translate content into your preferred language. AI translations can contain errors.

Controles de administración de datos

En este documento, se incluyen las prácticas recomendadas y los lineamientos para los sistemas de administración de datos cuando se ejecutan cargas de trabajo en Cloud de Confiance by S3NS.

Los sistemas de administración de datos, como BigQuery y Cloud Storage, te permiten almacenar los datos que necesitas para tus flujos de trabajo, incluidos los datos de entrenamiento, los artefactos del modelo y los datos de producción.

Controles comunes

Estos controles se aplican a todos los sistemas de administración de datos.

Habilita Sensitive Data Protection para la inspección de datos

ID de control de Google	COM-CO-5.1
Implementación	Recomendado
Descripción	Cloud de Confiance recomienda usar Sensitive Data Protection. Los infoTypes o las plantillas de trabajo que selecciones dependerán de tus sistemas particulares.
Productos aplicables	Protección de datos sensibles
Controles relacionados de NIST-800-53	SI-4 IA-7 SC-7 SC-8
Controles relacionados del perfil de CRI	PR.AC-1.1 PR.AC-1.2 PR.AC-1.3 PR.DS-5.1 PR.DS-8.1 ID.RA-1.1 DE.CM-1.1 DE.CM-1.2 DE.CM-1.3 DE.CM-1.4 DE.CM-5.1 DE.CM-6.1 DE.CM-6.2 DE.CM-6.3 DE.CM-7.1 DE.CM-7.2 DE.CM-7.3 DE.CM-7.4 DE.DP-2.1 DE.DP-3.1 DE.DP-4.1 DE.DP-4.2 DE.DP-5.1 DE.AE-2.1 DE.AE-3.1 DE.AE-3.2 DE.AE-4.1
Información relacionada	Plantillas Infotipos y detectores de Infotipos

Controles del almacén de datos

Estos controles se aplican a BigQuery.

Asegúrate de que los conjuntos de datos de BigQuery no sean legibles públicamente ni estén configurados como allAuthenticatedUsers

ID de control de Google	BQ-CO-6.1
Implementación	Obligatorio
Descripción	Asegúrate de que BigQuery no tenga conjuntos de datos abiertos al acceso público, a menos que estén destinados a ser públicos. Los conjuntos de datos en BigQuery suelen contener datos sensibles. Restringe el acceso a la información de un conjunto de datos de BigQuery solo a usuarios específicos. Para configurar esta protección, debes establecer roles detallados. Revisar el acceso al conjunto de datos te ayuda a garantizar que no expongas datos a Internet de forma involuntaria.
Productos aplicables	Servicio de políticas de la organización BigQuery Identity and Access Management (IAM)
Ruta	`cloudasset.assets/assetType`
Operador	==
Valor	`bigquery.googleapis.com/Dataset`
Tipo	String
Controles relacionados de NIST-800-53	AC-3 AC-12 AC-17 AC-20
Controles relacionados del perfil de CRI	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.PT-3.1 PR-PT-4.1
Información relacionada	Revoca el acceso a un conjunto de datos allAuthenticatedUsers Controla el acceso a los recursos con IAM

Asegúrate de que las tablas de BigQuery no sean legibles de forma pública ni estén configuradas como allAuthenticatedUsers

ID de control de Google	BQ-CO-6.2
Implementación	Obligatorio
Descripción	Restringe el acceso a la información de una tabla de BigQuery solo a usuarios específicos. Para configurar esta protección, debes establecer roles detallados.
Productos aplicables	Identity and Access Management (IAM) BigQuery
Ruta	`cloudasset.assets/iamPolicy.bindings.members`
Operador	anyof
Valor	`allUsers` `allAuthenticatedUsers`
Tipo	String
Controles relacionados de NIST-800-53	AC-3 AC-12 AC-17 AC-20
Controles relacionados del perfil de CRI	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.PT-3.1 PR-PT-4.1
Información relacionada	Revoca el acceso a una tabla o vista allAuthenticatedUsers Controla el acceso a los recursos con IAM

Encripta valores individuales en una tabla de BigQuery

ID de control de Google	BQ-CO-6.3
Implementación	Opcional
Descripción	Si tu organización requiere que encriptes valores individuales dentro de una tabla de BigQuery, usa las funciones de encriptación de la encriptación autenticada con datos asociados (AEAD).
Productos aplicables	BigQuery
Controles relacionados de NIST-800-53	SC-13
Controles relacionados del perfil de CRI	PR.DS-5.1
Información relacionada	Funciones de encriptación AEAD

Usa vistas autorizadas para conjuntos de datos de BigQuery

ID de control de Google	BQ-CO-6.4
Implementación	Opcional
Descripción	Las vistas autorizadas te permiten compartir un subconjunto de datos en un conjunto de datos con usuarios específicos. Por ejemplo, una vista autorizada te permite compartir resultados de consultas con usuarios y grupos específicos sin darles acceso a los datos de origen subyacentes.
Productos aplicables	BigQuery
Controles relacionados de NIST-800-53	AC-3 AC-12 AC-17 AC-20
Controles relacionados del perfil de CRI	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.PT-3.1 PR-PT-4.1
Información relacionada	Vistas autorizadas

Usa la seguridad a nivel de la columna de BigQuery

ID de control de Google	BQ-CO-6.5
Implementación	Opcional
Descripción	Usa la seguridad a nivel de la columna de BigQuery para crear políticas que verifiquen, en el momento de la consulta, si un usuario tiene acceso adecuado. BigQuery proporciona acceso detallado a columnas sensibles con etiquetas de política o clasificación basada en tipos de datos.
Productos aplicables	BigQuery
Controles relacionados de NIST-800-53	AC-3 AC-12 AC-17 AC-20
Controles relacionados del perfil de CRI	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.PT-3.1 PR-PT-4.1
Información relacionada	Introducción al control de acceso a nivel de columna

Usa la seguridad a nivel de la fila de BigQuery

ID de control de Google	BQ-CO-6.6
Implementación	Opcional
Descripción	Usa la seguridad a nivel de las filas y las políticas de acceso para habilitar el control de acceso detallado a un subconjunto de datos en una tabla de BigQuery.
Productos aplicables	BigQuery
Controles relacionados de NIST-800-53	AC-3 AC-12 AC-17 AC-20
Controles relacionados del perfil de CRI	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.PT-3.1 PR-PT-4.1
Información relacionada	Introducción al control de acceso a nivel de la fila

Usa gráficos de recursos de BigQuery

ID de control de Google	BQ-CO-7.1
Implementación	Opcional
Descripción	Los gráficos de recursos de BigQuery permiten que los administradores de BigQuery observen cómo sus organizaciones, carpetas o reservas usan ranuras de BigQuery y el rendimiento de sus consultas.
Productos aplicables	BigQuery
Controles relacionados de NIST-800-53	AC-3 AC-12 AC-17 AC-20
Controles relacionados del perfil de CRI	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.PT-3.1 PR-PT-4.1
Información relacionada	Supervisa el estado, el uso de recursos y los trabajos

Controles de almacenamiento

Estos controles se aplican a Cloud Storage.

Bloquea el acceso público a los buckets de Cloud Storage

ID de control de Google	GCS-CO-4.1
Implementación	Obligatorio
Descripción	La restricción booleana `storage.publicAccessPrevention` impide que se acceda a los buckets de almacenamiento desde fuentes públicas sin autenticación. Inhabilita y bloquea las listas de control de acceso (LCA) y los permisos de Identity and Access Management (IAM) que otorgan acceso a `allUsers` y `allAuthenticatedUsers`. Esta restricción actúa como una red de seguridad en toda la organización que bloquea de forma activa cualquier parámetro de configuración que haga que un bucket sea accesible de forma pública.
Productos aplicables	Servicio de políticas de la organización Cloud Storage
Ruta	`constraints/storage.publicAccessPrevention`
Operador	==
Valor	`True`
Tipo	Booleano
Controles relacionados de NIST-800-53	AC-3 AC-17 AC-20
Controles relacionados del perfil de CRI	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1
Información relacionada	Prevención del acceso público

Usar el acceso uniforme a nivel de bucket

ID de control de Google	GCS-CO-4.2
Implementación	Obligatorio
Descripción	La restricción booleana `storage.uniformBucketLevelAccess` requiere que los buckets usen el acceso uniforme a nivel de bucket. El acceso uniforme a nivel de bucket te permite usar solo permisos de Identity and Access Management (IAM) a nivel del bucket para otorgar acceso a tus recursos de Cloud Storage. Usar dos sistemas diferentes y en conflicto para administrar los permisos en los buckets de almacenamiento es complejo y una causa común de filtraciones accidentales de datos. Este parámetro de configuración desactiva el sistema heredado (listas de control de acceso o LCA) y convierte el sistema moderno y centralizado (IAM) en la única fuente de información para todos los permisos.
Productos aplicables	Servicio de políticas de la organización Cloud Storage
Ruta	`constraints/storage.uniformBucketLevelAccess`
Operador	==
Valor	`True`
Tipo	Booleano
Controles relacionados de NIST-800-53	AC-3 AC-17 AC-20
Controles relacionados del perfil de CRI	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1
Información relacionada	Exige el acceso uniforme a nivel de bucket

Protege las claves HMAC de las cuentas de servicio

ID de control de Google	GCS-CO-6.9
Implementación	Obligatorio
Descripción	Una clave HMAC es un tipo de credencial de larga duración que se asocia con una cuenta de servicio o una cuenta de usuario en Cloud Storage. Usa una clave HMAC para crear firmas que se incluyen en solicitudes a Cloud Storage. Una firma demuestra que un usuario o una cuenta de servicio autorizaron una solicitud. A diferencia de las credenciales de corta duración (como A diferencia de los tokens de OAuth 2.0, las claves HMAC no vencen automáticamente y siguen siendo válidas hasta que se revocan de forma manual. Las claves HMAC son credenciales de alto riesgo: si se ven comprometidas, proporcionan acceso persistente a tus recursos. Debes asegurarte de que existan los mecanismos adecuados para protegerlos.
Productos aplicables	Cloud Storage
Ruta	`storage.projects.hmacKeys/id`
Operador	Ya existe.
Valor	`[]`
Tipo	String
Controles relacionados de NIST-800-53	SC-12 SC-13
Controles relacionados del perfil de CRI	PR.DS-1.1 PR.DS-1.2 PR.DS-2.1 PR.DS-2.2 PR.DS-5.1
Información relacionada	Administra las claves HMAC de las cuentas de servicio

Detecta la enumeración de buckets de Cloud Storage por cuentas de servicio

ID de control de Google	GCS-CO-7.2
Implementación	Obligatorio
Descripción	Las cuentas de servicio son identidades no humanas diseñadas para aplicaciones, y su comportamiento es predecible y automatizado. Por lo general, las cuentas de servicio no necesitan detallar los buckets, ya que ya están asignados. Por lo tanto, si detectas que una cuenta de servicio intenta recuperar una lista de todos los buckets de Cloud Storage, investiga el caso de inmediato. La enumeración de reconocimiento suele ser utilizada como técnica de reconocimiento por un agente malicioso que obtuvo acceso a la cuenta de servicio.
Productos aplicables	Cloud Storage Registros de auditoría de Cloud
Operador	==
Valor	`storage.bucket.list`
Tipo	String
Controles relacionados de NIST-800-53	AU-2 AU-3 AU-8 AU-9
Controles relacionados del perfil de CRI	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4
Información relacionada	Registros de auditoría de Cloud con Cloud Storage

Detecta las modificaciones de políticas de IAM en buckets de Cloud Storage por cuentas de servicio

ID de control de Google	GCS-CO-7.3
Implementación	Obligatorio
Descripción	Configura una alerta que detecte cuando se modifique la política de Identity and Access Management (IAM) de un bucket de Cloud Storage para otorgar acceso público. Esta alerta se activa cuando los principales `allUsers` o `allAuthenticatedUsers` se agregan a la política de IAM de un bucket. Esta alerta es un evento crítico de gravedad alta porque puede exponer todos los datos del bucket. Investiga esta alerta de inmediato para confirmar si el cambio se autorizó o si es un signo de un parámetro de configuración incorrecto o de un agente malicioso. En la alerta, establece el atributo `data.protoPayload.serviceData.policyData.bindingDeltas.member` JSON en `allUsers` o `allAuthenticatedUsers`, y la acción en `ADD`.
Productos aplicables	Cloud Storage Registros de auditoría de Cloud
Controles relacionados de NIST-800-53	AU-2 AU-3 AU-8 AU-9
Controles relacionados del perfil de CRI	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4
Información relacionada	Registros de auditoría de Cloud con Cloud Storage

Asegúrate de que la política de retención del bucket de Cloud Storage use el bloqueo de bucket

ID de control de Google	GCS-CO-6.1
Implementación	Recomendado
Descripción	Según tus requisitos reglamentarios, asegúrate de que cada política de retención de bucket de Cloud Storage esté bloqueada. Establece el período de retención en un período que cumpla con tus requisitos.
Productos aplicables	Cloud Storage
Ruta	`storage.buckets/retentionPolicy.isLocked`
Operador	!=
Valor	`True`
Tipo	Booleano
Controles relacionados de NIST-800-53	SI-12
Controles relacionados del perfil de CRI	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Información relacionada	Usa y bloquea políticas de retención

Establece reglas de ciclo de vida para la acción SetStorageClass

ID de control de Google	GCS-CO-6.11
Implementación	Recomendado
Descripción	Aplica reglas de ciclo de vida a cada bucket de Cloud Storage que tenga un tipo de acción `SetStorageClass`.
Productos aplicables	Cloud Storage
Ruta	`storage.buckets/lifecycle.rule.action.type`
Operador	==
Valor	`SetStorageClass`
Tipo	String
Controles relacionados de NIST-800-53	SI-12
Controles relacionados del perfil de CRI	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Información relacionada	Administración del ciclo de vida de los objetos

Cómo establecer las regiones permitidas para las clases de almacenamiento

ID de control de Google	GCS-CO-6.12
Implementación	Recomendado
Descripción	Asegúrate de que las clases de almacenamiento para la configuración del ciclo de vida no se encuentren dentro de las clasificaciones regionales permitidas.
Productos aplicables	Cloud Storage
Ruta	`storage.buckets/lifecycle.rule.action.storageClass`
Operador	nin
Valor	`MULTI_REGIONAL` `REGIONAL`
Tipo	String
Controles relacionados de NIST-800-53	SI-12
Controles relacionados del perfil de CRI	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Información relacionada	Ubicaciones de buckets Administración del ciclo de vida de los objetos

Habilita la administración del ciclo de vida para los buckets de Cloud Storage

ID de control de Google	GCS-CO-6.13
Implementación	Recomendado
Descripción	Asegúrate de que la administración del ciclo de vida de Cloud Storage esté habilitada y configurada. El control del ciclo de vida contiene la configuración del ciclo de vida del almacenamiento. Verifica que las políticas de este parámetro de configuración coincidan con tus requisitos.
Productos aplicables	Cloud Storage
Ruta	`storage.buckets/lifecycle`
Operador	Ya existe.
Valor	`[]`
Tipo	Objeto
Controles relacionados de NIST-800-53	SI-12
Controles relacionados del perfil de CRI	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Información relacionada	Administración del ciclo de vida de los objetos

Habilita las reglas de administración del ciclo de vida para los buckets de Cloud Storage

ID de control de Google	GCS-CO-6.14
Implementación	Recomendado
Descripción	Asegúrate de que las reglas de administración del ciclo de vida de Cloud Storage estén habilitadas y configuradas. El control de reglas contiene la configuración del ciclo de vida del almacenamiento. Verifica que las políticas de este parámetro de configuración coincidan con tus requisitos.
Productos aplicables	Cloud Storage
Ruta	`storage.buckets/lifecycle.rule`
Operador	Vacío
Valor	`[]`
Tipo	Arreglo
Controles relacionados de NIST-800-53	SI-12
Controles relacionados del perfil de CRI	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Información relacionada	Administración del ciclo de vida de los objetos

Revisar y evaluar las conservaciones temporales en objetos activos

ID de control de Google	GCS-CO-6.16
Implementación	Recomendado
Descripción	Identifica todos los objetos en los que temporaryHold está establecido como TRUE y comienza un proceso de investigación y validación. Esta evaluación es adecuada para los siguientes casos de uso: Conservación por motivos legales: Para cumplir con los requisitos legales de almacenamiento de datos, se puede usar la conservación temporal para evitar el borrado de datos sensibles que puedan ser relevantes para investigaciones o litigios en curso. Prevención de pérdida de datos: Para evitar la eliminación accidental de datos importantes, la conservación temporal se puede usar como medida de seguridad para proteger la información comercial crítica. Moderación de contenido: Para revisar el contenido potencialmente sensible o inapropiado antes de que sea de acceso público, aplica una retención temporal al contenido subido a Cloud Storage para su posterior inspección y toma de decisiones de moderación.
Productos aplicables	Cloud Storage
Ruta	`storage.objects/temporaryHold`
Operador	==
Valor	`TRUE`
Tipo	Booleano
Controles relacionados de NIST-800-53	SI-12
Controles relacionados del perfil de CRI	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Información relacionada	Conservaciones de objetos

Aplica políticas de retención en buckets de Cloud Storage

ID de control de Google	GCS-CO-6.17
Implementación	Recomendado
Descripción	Asegúrate de que todos los buckets de Cloud Storage tengan una política de retención.
Productos aplicables	Cloud Storage
Ruta	`storage.buckets/retentionPolicy.retentionPeriod`
Operador	agesmaller
Valor	`[90,"DAY","AFTER","yyyy-MM-dd'T'HH:mm:ss'Z'"]`
Tipo	int64
Controles relacionados de NIST-800-53	SI-12
Controles relacionados del perfil de CRI	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Información relacionada	Bloqueo del bucket

Aplica etiquetas de clasificación para los buckets de Cloud Storage

ID de control de Google	GCS-CO-6.18
Implementación	Recomendado
Descripción	La clasificación de datos es un componente fundamental de cualquier programa de administración y seguridad de datos. Es fundamental aplicar una etiqueta de clasificación con valores como público, interno, confidencial o restringido a cada bucket. Confirma que `google_storage_bucket.labels` tenga una expresión para la clasificación y crea un incumplimiento si no la tiene.
Productos aplicables	Cloud Storage
Ruta	`storage.buckets/labels.classification`
Operador	notexists
Valor	`[]`
Tipo	Extendido
Controles relacionados de NIST-800-53	SI-12
Controles relacionados del perfil de CRI	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Información relacionada	Etiquetas

Aplica buckets de registros para los buckets de Cloud Storage

ID de control de Google	GCS-CO-6.3
Implementación	Recomendado
Descripción	Asegúrate de que cada bucket de Cloud Storage incluya un bucket de registros.
Productos aplicables	Cloud Storage
Ruta	`storage.buckets/logging.logBucket`
Operador	notexists
Valor	`[]`
Tipo	String
Controles relacionados de NIST-800-53	AU-2 AU-3 AU-8 AU-9
Controles relacionados del perfil de CRI	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4
Información relacionada	Configura buckets de registros

Configura reglas de eliminación para buckets de Cloud Storage

ID de control de Google	GCS-CO-6.5
Implementación	Recomendado
Descripción	En Cloud Storage, `storage.buckets/lifecycle.rule.action.type` hace referencia al tipo de acción que se debe realizar en un objeto específico según una regla del ciclo de vida dentro de un bucket. Esta configuración ayuda a automatizar la administración y el ciclo de vida de tus datos almacenados en la nube. Configura `storage.buckets/lifecycle.rule.action.type` para garantizar que los objetos se borren de forma permanente del bucket.
Productos aplicables	Cloud Storage
Ruta	`storage.buckets/lifecycle.rule.action.type`
Operador	==
Valor	`Delete`
Tipo	String
Controles relacionados de NIST-800-53	SI-12
Controles relacionados del perfil de CRI	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Información relacionada	Administra los ciclos de vida de los objetos

Asegúrate de que la condición isLive sea falsa para las reglas de eliminación

ID de control de Google	GCS-CO-6.6
Implementación	Recomendado
Descripción	En el caso de las reglas de eliminación, asegúrate de que la condición `isLive` de la regla esté establecida en `false`. En Cloud Storage, `storage.buckets/lifecycle.rule.condition.isLive` es una condición booleana que se usa en las reglas de ciclo de vida para determinar si un objeto se considera activo. Este filtro ayuda a garantizar que las acciones dentro de una regla del ciclo de vida se apliquen solo a los objetos deseados según su estado activo. Casos de uso: Archiva versiones históricas: Archiva solo las versiones no actuales de los objetos para ahorrar costos de almacenamiento y, al mismo tiempo, mantener la versión más reciente fácilmente accesible. Limpieza de objetos borrados: Automatiza el borrado permanente de los objetos que borraron los usuarios, lo que libera espacio en el bucket. Protege los datos activos: Asegúrate de que las acciones, como establecer conservaciones temporales, se apliquen solo a los objetos activos, lo que evita la modificación accidental de versiones archivadas o borradas.
Productos aplicables	Cloud Storage
Ruta	`storage.buckets/lifecycle.rule.condition.isLive`
Operador	==
Valor	`False`
Tipo	Booleano
Controles relacionados de NIST-800-53	SI-12
Controles relacionados del perfil de CRI	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Información relacionada	isLive

Aplica el control de versiones para los buckets de Cloud Storage

ID de control de Google	GCS-CO-6.7
Implementación	Recomendado
Descripción	Asegúrate de que todos los buckets de Cloud Storage tengan habilitado el control de versiones. Los casos de uso incluyen lo siguiente: Protección y recuperación de datos: Protege contra la pérdida accidental de datos evitando el reemplazo y permitiendo la recuperación de datos borrados o modificados. Cumplimiento y auditoría: Mantén un historial de todas las ediciones de objetos para fines de cumplimiento de reglamentaciones o auditoría interna. Control de versiones: Realiza un seguimiento de los cambios en los archivos y los conjuntos de datos, lo que permite la colaboración y la reversión a versiones anteriores si es necesario.
Productos aplicables	Cloud Storage
Ruta	`storage.buckets/versioning.enabled`
Operador	!=
Valor	`True`
Tipo	Booleano
Controles relacionados de NIST-800-53	SI-12
Controles relacionados del perfil de CRI	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Información relacionada	Control de versiones de objetos

Aplica propietarios para los buckets de Cloud Storage

ID de control de Google	GCS-CO-6.8
Implementación	Recomendado
Descripción	Asegúrate de que `google_storage_bucket.labels` tenga una expresión para un propietario.
Productos aplicables	Cloud Storage
Ruta	`storage.buckets/labels.owner`
Operador	notexists
Valor	`[]`
Tipo	Extendido
Controles relacionados de NIST-800-53	SI-12
Controles relacionados del perfil de CRI	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Información relacionada	Usa etiquetas de bucket

Habilita el registro de actividades clave de Cloud Storage

ID de control de Google	GCS-CO-7.4
Implementación	Recomendado
Descripción	Habilita el registro adicional en torno a objetos de almacenamiento particulares según su caso de uso. Por ejemplo, registra el acceso a los buckets de datos sensibles para que puedas rastrear quién obtuvo acceso y cuándo. Cuando habilites el registro adicional, considera el volumen de registros que podrías generar.
Productos aplicables	Cloud Storage
Controles relacionados de NIST-800-53	AU-2 AU-3 AU-8 AU-9
Controles relacionados del perfil de CRI	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4
Información relacionada	Registros de auditoría de Cloud con Cloud Storage

Controles de la base de datos

Restringe las direcciones IP públicas de Cloud SQL

Implementación	Obligatorio
Descripción	Configura la restricción de política de la organización `constraints/sql.restrictPublicIp` para evitar que Cloud SQL tenga una dirección IP pública y esté expuesto directamente a Internet. Por lo general, las bases de datos no se exponen directamente a Internet. Impedir el uso de direcciones IP públicas ayuda a evitar que tus bases de datos tengan direcciones IP públicas, lo que garantiza que sean privadas y solo se pueda acceder a ellas desde aplicaciones internas de confianza.
Productos aplicables	Cloud SQL
Ruta	`constraints/sql.restrictPublicIp`
Operador	=
Valor	`True`
Controles relacionados de NIST-800-53	SC-7
Controles relacionados del perfil de CRI	PR.AC-3.1
Información relacionada	Inhabilita la IP pública para mejorar la seguridad de la instancia Políticas de la organización de conexión

¿Qué sigue?

Revisa las herramientas y los controles de inferencia.
Consulta más Cloud de Confiance by S3NS prácticas recomendadas y lineamientos de seguridad.