Il est possible qu'une partie ou l'ensemble des informations de cette page ne s'appliquent pas au Cloud de confiance S3NS. Pour en savoir plus, consultez Différences par rapport à Google Cloud.

Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Paramètres de gestion des données

Ce document inclut les bonnes pratiques et les consignes à suivre pour les systèmes de gestion de données lors de l'exécution de charges de travail sur Cloud de Confiance by S3NS.

Les systèmes de gestion des données tels que BigQuery et Cloud Storage vous permettent de stocker les données dont vous avez besoin pour vos workflows, y compris les données d'entraînement, les artefacts de modèle et les données de production.

Contrôles courants

Ces contrôles s'appliquent à tous les systèmes de gestion des données.

Activer la protection des données sensibles pour l'inspection des données

ID de contrôle Google	COM-CO-5.1
Implémentation	Recommandé
Description	Cloud de Confiance recommande d'utiliser Sensitive Data Protection. Les infoTypes ou les modèles de tâche que vous sélectionnez dépendent de vos systèmes spécifiques.
Produits applicables	Sensitive Data Protection
Contrôles NIST 800-53 associés	SI-4 IA-7 SC-7 SC-8
Contrôles de profil CRI associés	PR.AC-1.1 PR.AC-1.2 PR.AC-1.3 PR.DS-5.1 PR.DS-8.1 ID.RA-1.1 DE.CM-1.1 DE.CM-1.2 DE.CM-1.3 DE.CM-1.4 DE.CM-5.1 DE.CM-6.1 DE.CM-6.2 DE.CM-6.3 DE.CM-7.1 DE.CM-7.2 DE.CM-7.3 DE.CM-7.4 DE.DP-2.1 DE.DP-3.1 DE.DP-4.1 DE.DP-4.2 DE.DP-5.1 DE.AE-2.1 DE.AE-3.1 DE.AE-3.2 DE.AE-4.1
Informations connexes	Modèles InfoTypes et détecteurs d'infoTypes

Paramètres de l'entrepôt de données

Ces contrôles s'appliquent à BigQuery.

Assurez-vous que les ensembles de données BigQuery ne sont pas lisibles publiquement ni définis sur "allAuthenticatedUsers"

ID de commande Google	BQ-CO-6.1
Implémentation	Obligatoire
Description	Assurez-vous que BigQuery ne contient pas d'ensembles de données accessibles au public, sauf s'ils sont destinés à être publics. Les ensembles de données BigQuery contiennent souvent des données sensibles. Limitez l'accès aux informations d'un ensemble de données BigQuery à des utilisateurs spécifiques. Pour configurer cette protection, vous devez configurer des rôles détaillés. Examiner l'accès aux ensembles de données vous aide à vous assurer de ne pas exposer involontairement des données sur Internet.
Produits applicables	Service de règles d'administration BigQuery Identity and Access Management (IAM)
Chemin d'accès	`cloudasset.assets/assetType`
Opérateur	==
Valeur	`bigquery.googleapis.com/Dataset`
Type	Chaîne
Contrôles NIST 800-53 associés	AC-3 AC-12 AC-17 AC-20
Commandes associées du profil CRI	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.PT-3.1 PR-PT-4.1
Informations connexes	Révoquer l'accès à un ensemble de données allAuthenticatedUsers Contrôler l'accès aux ressources avec IAM

Assurez-vous que les tables BigQuery ne sont pas lisibles publiquement ni définies sur allAuthenticatedUsers

ID de commande Google	BQ-CO-6.2
Implémentation	Obligatoire
Description	Restreindre l'accès aux informations d'une table BigQuery à des utilisateurs spécifiques uniquement. Pour configurer cette protection, vous devez configurer des rôles détaillés.
Produits applicables	Identity and Access Management (IAM) BigQuery
Chemin d'accès	`cloudasset.assets/iamPolicy.bindings.members`
Opérateur	anyof
Valeur	`allUsers` `allAuthenticatedUsers`
Type	Chaîne
Contrôles NIST 800-53 associés	AC-3 AC-12 AC-17 AC-20
Commandes associées du profil CRI	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.PT-3.1 PR-PT-4.1
Informations connexes	Révoquer l'accès à une table ou à une vue allAuthenticatedUsers Contrôler l'accès aux ressources avec IAM

Chiffrer des valeurs individuelles dans une table BigQuery

ID de commande Google	BQ-CO-6.3
Implémentation	Facultatif
Description	Si votre organisation exige que vous chiffriez des valeurs individuelles dans une table BigQuery, utilisez les fonctions de chiffrement authentifié avec données associées (AEAD).
Produits applicables	BigQuery
Contrôles NIST-800-53 associés	SC-13
Contrôles associés du profil CRI	PR.DS-5.1
Informations connexes	Fonctions de chiffrement AEAD

Utiliser des vues autorisées pour les ensembles de données BigQuery

ID de commande Google	BQ-CO-6.4
Implémentation	Facultatif
Description	Les vues autorisées vous permettent de partager un sous-ensemble de données d'un ensemble de données avec des utilisateurs spécifiques. Par exemple, une vue autorisée vous permet de partager des résultats de requête avec des utilisateurs et des groupes particuliers sans leur donner accès aux tables sous-jacentes.
Produits applicables	BigQuery
Contrôles NIST-800-53 associés	AC-3 AC-12 AC-17 AC-20
Commandes associées du profil CRI	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.PT-3.1 PR-PT-4.1
Informations connexes	Vues autorisées

Utiliser la sécurité au niveau des colonnes BigQuery

ID de commande Google	BQ-CO-6.5
Implémentation	Facultatif
Description	Utilisez la sécurité au niveau des colonnes de BigQuery pour créer des stratégies qui vérifient, au moment de la requête, si un utilisateur dispose d'un accès approprié. BigQuery fournit un accès précis aux colonnes sensibles à l'aide de tags avec stratégie, autrement dit une classification des données basée sur le type.
Produits applicables	BigQuery
Contrôles NIST-800-53 associés	AC-3 AC-12 AC-17 AC-20
Commandes associées du profil CRI	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.PT-3.1 PR-PT-4.1
Informations connexes	Présentation du contrôle des accès au niveau de la colonne

Utiliser la sécurité au niveau des lignes BigQuery

ID de contrôle Google	BQ-CO-6.6
Implémentation	Facultatif
Description	Utilisez la sécurité au niveau des lignes et les règles d'accès pour activer un contrôle des accès précis à un sous-ensemble de données d'une table BigQuery.
Produits applicables	BigQuery
Contrôles NIST-800-53 associés	AC-3 AC-12 AC-17 AC-20
Commandes associées du profil CRI	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.PT-3.1 PR-PT-4.1
Informations connexes	Présentation du contrôle des accès au niveau des lignes

Utiliser les graphiques de ressources BigQuery

ID de commande Google	BQ-CO-7.1
Implémentation	Facultatif
Description	Les graphiques de ressources BigQuery permettent aux administrateurs BigQuery d'observer comment leur organisation, leur dossier ou leur réservation utilise les emplacements BigQuery, ainsi que les performances de leurs requêtes.
Produits applicables	BigQuery
Contrôles NIST-800-53 associés	AC-3 AC-12 AC-17 AC-20
Commandes associées du profil CRI	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.PT-3.1 PR-PT-4.1
Informations connexes	Surveiller l'état, l'utilisation des ressources et les jobs

Contrôles du stockage

Ces contrôles s'appliquent à Cloud Storage.

Bloquer l'accès public aux buckets Cloud Storage

ID de contrôle Google	GCS-CO-4.1
Implémentation	Obligatoire
Description	La contrainte booléenne `storage.publicAccessPrevention` empêche l'accès aux buckets de stockage à partir de sources publiques sans authentification. Elle désactive et bloque les listes de contrôle des accès (LCA) et les autorisations Identity and Access Management (IAM) qui accordent l'accès à `allUsers` et `allAuthenticatedUsers`. Cette contrainte agit comme un filet de sécurité à l'échelle de l'organisation, en bloquant activement tout paramètre qui rendrait un bucket accessible au public.
Produits applicables	Service de règles d'administration Cloud Storage
Chemin d'accès	`constraints/storage.publicAccessPrevention`
Opérateur	==
Valeur	`True`
Type	Booléen
Contrôles NIST-800-53 associés	AC-3 AC-17 AC-20
Commandes associées du profil CRI	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1
Informations connexes	Protection contre l'accès public

Utiliser l'accès uniforme au niveau du bucket

ID de commande Google	GCS-CO-4.2
Implémentation	Obligatoire
Description	La contrainte booléenne `storage.uniformBucketLevelAccess` exige que les buckets utilisent l'accès uniforme au niveau du bucket. L'accès uniforme au niveau du bucket vous permet d'utiliser uniquement les autorisations Identity and Access Management (IAM) au niveau du bucket pour accorder l'accès à vos ressources Cloud Storage. Il est complexe d'utiliser deux systèmes différents et incompatibles pour gérer les autorisations sur les buckets de stockage. C'est aussi une cause fréquente de fuites de données accidentelles. Ce paramètre désactive l'ancien système (listes de contrôle des accès ou LCA) et fait du système moderne et centralisé (IAM) la source unique de vérité pour toutes les autorisations.
Produits applicables	Service de règles d'administration Cloud Storage
Chemin d'accès	`constraints/storage.uniformBucketLevelAccess`
Opérateur	==
Valeur	`True`
Type	Booléen
Contrôles NIST-800-53 associés	AC-3 AC-17 AC-20
Commandes associées du profil CRI	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1
Informations connexes	Exiger un accès uniforme au niveau du bucket

Protéger les clés HMAC pour les comptes de service

ID de commande Google	GCS-CO-6.9
Implémentation	Obligatoire
Description	Une clé HMAC est un type d'identifiant à longue durée de vie associé à un compte de service ou à un compte utilisateur dans Cloud Storage. Utilisez une clé HMAC pour créer des signatures qui sont incluses dans les requêtes envoyées à Cloud Storage. Une signature prouve qu'un utilisateur ou un compte de service a autorisé une requête. Contrairement aux identifiants éphémères (tels que Contrairement aux jetons d'accès temporaires (comme les jetons OAuth 2.0), les clés HMAC n'expirent pas automatiquement et restent valides jusqu'à ce qu'elles soient révoquées manuellement. Les clés HMAC sont des identifiants à haut risque : si elles sont compromises, elles fournissent un accès persistant à vos ressources. Vous devez vous assurer que des mécanismes appropriés sont en place pour les protéger.
Produits applicables	Cloud Storage
Chemin d'accès	`storage.projects.hmacKeys/id`
Opérateur	Existe
Valeur	`[]`
Type	Chaîne
Contrôles NIST-800-53 associés	SC-12 SC-13
Commandes associées du profil CRI	PR.DS-1.1 PR.DS-1.2 PR.DS-2.1 PR.DS-2.2 PR.DS-5.1
Informations connexes	Gérer des clés HMAC pour les comptes de service

Détecter l'énumération des buckets Cloud Storage par les comptes de service

ID de commande Google	GCS-CO-7.2
Implémentation	Obligatoire
Description	Les comptes de service sont des identités non humaines conçues pour les applications. Leur comportement est prévisible et automatisé. En règle générale, les comptes de service n'ont pas besoin de lister les buckets, car ils sont déjà mappés. Par conséquent, si vous détectez un compte de service qui tente de récupérer la liste de tous les buckets Cloud Storage, examinez-le immédiatement. L'énumération de reconnaissance est souvent utilisée comme technique de reconnaissance par une personne malveillante qui a obtenu l'accès au compte de service.
Produits applicables	Cloud Storage Cloud Audit Logs
Opérateur	==
Valeur	`storage.bucket.list`
Type	Chaîne
Contrôles NIST-800-53 associés	AU-2 AU-3 AU-8 AU-9
Commandes associées du profil CRI	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4
Informations connexes	Journaux d'audit Cloud avec Cloud Storage

Détecter les modifications de stratégie IAM des buckets Cloud Storage par des comptes de service

ID de contrôle Google	GCS-CO-7.3
Implémentation	Obligatoire
Description	Configurez une alerte qui détecte quand la stratégie IAM (Identity and Access Management) d'un bucket Cloud Storage est modifiée pour accorder un accès public. Cette alerte se déclenche lorsque les comptes principaux `allUsers` ou `allAuthenticatedUsers` sont ajoutés à la stratégie IAM d'un bucket. Cette alerte est un événement critique de gravité élevée, car elle peut exposer toutes les données du bucket. Examinez immédiatement cette alerte pour confirmer si la modification était autorisée ou s'il s'agit d'un signe de mauvaise configuration ou d'une personne malveillante. Dans l'alerte, définissez l'attribut JSON `data.protoPayload.serviceData.policyData.bindingDeltas.member` sur `allUsers` ou `allAuthenticatedUsers`, et l'action sur `ADD`.
Produits applicables	Cloud Storage Cloud Audit Logs
Contrôles NIST 800-53 associés	AU-2 AU-3 AU-8 AU-9
Commandes associées du profil CRI	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4
Informations connexes	Journaux d'audit Cloud avec Cloud Storage

Assurez-vous que la règle de conservation du bucket Cloud Storage utilise le verrou de bucket

ID de commande Google	GCS-CO-6.1
Implémentation	Recommandé
Description	En fonction de vos exigences réglementaires, assurez-vous que chaque règle de conservation des bucket Cloud Storage est verrouillée. Définissez la période de conservation sur une durée qui répond à vos besoins.
Produits applicables	Cloud Storage
Chemin d'accès	`storage.buckets/retentionPolicy.isLocked`
Opérateur	!=
Valeur	`True`
Type	Booléen
Contrôles NIST 800-53 associés	SI-12
Contrôles de profil CRI associés	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Informations connexes	Utiliser et verrouiller des règles de conservation

Définir des règles de cycle de vie pour l'action SetStorageClass

ID de commande Google	GCS-CO-6.11
Implémentation	Recommandé
Description	Appliquez des règles de cycle de vie à chaque bucket Cloud Storage associé à un type d'action `SetStorageClass`.
Produits applicables	Cloud Storage
Chemin d'accès	`storage.buckets/lifecycle.rule.action.type`
Opérateur	==
Valeur	`SetStorageClass`
Type	Chaîne
Contrôles NIST 800-53 associés	SI-12
Contrôles de profil CRI associés	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Informations connexes	Gestion du cycle de vie des objets

Définir les régions autorisées pour les classes de stockage

ID de contrôle Google	GCS-CO-6.12
Implémentation	Recommandé
Description	Assurez-vous que les classes de stockage de la configuration de cycle de vie ne se trouvent pas dans les classifications régionales autorisées.
Produits applicables	Cloud Storage
Chemin d'accès	`storage.buckets/lifecycle.rule.action.storageClass`
Opérateur	nin
Valeur	`MULTI_REGIONAL` `REGIONAL`
Type	Chaîne
Contrôles NIST 800-53 associés	SI-12
Contrôles de profil CRI associés	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Informations connexes	Emplacement des buckets Gestion du cycle de vie des objets

Activer la gestion du cycle de vie pour les buckets Cloud Storage

ID de commande Google	GCS-CO-6.13
Implémentation	Recommandé
Description	Assurez-vous que la gestion du cycle de vie de Cloud Storage est activée et configurée. Le contrôle du cycle de vie contient la configuration du cycle de vie du stockage. Vérifiez que les règles de ce paramètre correspondent à vos exigences.
Produits applicables	Cloud Storage
Chemin d'accès	`storage.buckets/lifecycle`
Opérateur	Existe
Valeur	`[]`
Type	Objet
Contrôles NIST 800-53 associés	SI-12
Contrôles de profil CRI associés	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Informations connexes	Gestion du cycle de vie des objets

Activer les règles de gestion du cycle de vie pour les buckets Cloud Storage

ID de commande Google	GCS-CO-6.14
Implémentation	Recommandé
Description	Assurez-vous que les règles de gestion du cycle de vie pour Cloud Storage sont activées et configurées. Le contrôle de règle contient la configuration du cycle de vie de l'espace de stockage. Vérifiez que les règles de ce paramètre correspondent à vos exigences.
Produits applicables	Cloud Storage
Chemin d'accès	`storage.buckets/lifecycle.rule`
Opérateur	Vide
Valeur	`[]`
Type	Tableau
Contrôles NIST 800-53 associés	SI-12
Contrôles de profil CRI associés	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Informations connexes	Gestion du cycle de vie des objets

Examiner et évaluer les préservations temporaires sur les objets actifs

ID de commande Google	GCS-CO-6.16
Implémentation	Recommandé
Description	Identifiez tous les objets pour lesquels temporaryHold est défini sur TRUE, puis lancez un processus d'investigation et de validation. Cette évaluation est appropriée pour les cas d'utilisation suivants : Conservation légale : pour respecter les obligations légales concernant le stockage des données, vous pouvez utiliser une préservation temporaire afin d'empêcher la suppression de données sensibles pouvant être pertinentes pour des enquêtes ou des litiges en cours. Protection contre la perte de données : pour éviter la suppression accidentelle de données importantes, la préservation temporaire peut être utilisée comme mesure de sécurité pour protéger les informations critiques de l'entreprise. Modération du contenu : pour examiner un contenu potentiellement sensible ou inapproprié avant qu'il ne soit accessible au public, appliquez une préservation temporaire au contenu importé dans Cloud Storage pour l'inspecter plus en détail et prendre des décisions de modération.
Produits applicables	Cloud Storage
Chemin d'accès	`storage.objects/temporaryHold`
Opérateur	==
Valeur	`TRUE`
Type	Booléen
Contrôles NIST 800-53 associés	SI-12
Contrôles de profil CRI associés	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Informations connexes	Obligations de conservation d'objets

Appliquer des règles de conservation aux buckets Cloud Storage

ID de contrôle Google	GCS-CO-6.17
Implémentation	Recommandé
Description	Assurez-vous que tous les buckets Cloud Storage disposent d'une règle de conservation.
Produits applicables	Cloud Storage
Chemin d'accès	`storage.buckets/retentionPolicy.retentionPeriod`
Opérateur	agesmaller
Valeur	`[90,"DAY","AFTER","yyyy-MM-dd'T'HH:mm:ss'Z'"]`
Type	int64
Contrôles NIST-800-53 associés	SI-12
Contrôles de profil CRI associés	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Informations connexes	Verrou de bucket

Appliquer des tags de classification aux buckets Cloud Storage

ID de commande Google	GCS-CO-6.18
Implémentation	Recommandé
Description	La classification des données est un élément fondamental de tout programme de gouvernance et de sécurité des données. Il est essentiel d'appliquer à chaque bucket un libellé de classification avec des valeurs telles que "public", "interne", "confidentiel" ou "restreint". Vérifiez que `google_storage_bucket.labels` comporte une expression pour la classification et créez une infraction si ce n'est pas le cas.
Produits applicables	Cloud Storage
Chemin d'accès	`storage.buckets/labels.classification`
Opérateur	notexists
Valeur	`[]`
Type	Étendu
Contrôles NIST 800-53 associés	SI-12
Contrôles de profil CRI associés	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Informations connexes	Tags et libellés

Appliquer des buckets de journaux pour les buckets Cloud Storage

ID de contrôle Google	GCS-CO-6.3
Implémentation	Recommandé
Description	Assurez-vous que chaque bucket Cloud Storage inclut un bucket de journaux.
Produits applicables	Cloud Storage
Chemin d'accès	`storage.buckets/logging.logBucket`
Opérateur	notexists
Valeur	`[]`
Type	Chaîne
Contrôles NIST-800-53 associés	AU-2 AU-3 AU-8 AU-9
Commandes associées du profil CRI	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4
Informations connexes	Configurer des buckets de journaux

Configurer des règles de suppression pour les buckets Cloud Storage

ID de commande Google	GCS-CO-6.5
Implémentation	Recommandé
Description	Dans Cloud Storage, `storage.buckets/lifecycle.rule.action.type` fait référence au type d'action à effectuer sur un objet spécifique en fonction d'une règle de cycle de vie dans un bucket. Cette configuration permet d'automatiser la gestion et le cycle de vie de vos données stockées dans le cloud. Configurez la `storage.buckets/lifecycle.rule.action.type` pour vous assurer que les objets sont définitivement supprimés du bucket.
Produits applicables	Cloud Storage
Chemin d'accès	`storage.buckets/lifecycle.rule.action.type`
Opérateur	==
Valeur	`Delete`
Type	Chaîne
Contrôles NIST 800-53 associés	SI-12
Contrôles de profil CRI associés	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Informations connexes	Gérer les cycles de vie des objets

Assurez-vous que la condition isLive est définie sur "False" pour les règles de suppression

ID de commande Google	GCS-CO-6.6
Implémentation	Recommandé
Description	Pour les règles de suppression, assurez-vous que la condition `isLive` de la règle est définie sur `false`. Dans Cloud Storage, `storage.buckets/lifecycle.rule.condition.isLive` est une condition booléenne utilisée dans les règles de cycle de vie pour déterminer si un objet est considéré comme actif. Ce filtre permet de s'assurer que les actions d'une règle de cycle de vie ne sont appliquées qu'aux objets souhaités en fonction de leur état d'activité. Cas d'utilisation : Archiver les versions historiques : archivez uniquement les versions non actuelles des objets pour réduire les coûts de stockage tout en gardant la dernière version facilement accessible. Nettoyer les objets supprimés : automatisez la suppression définitive des objets qui ont été supprimés par les utilisateurs, ce qui libère de l'espace dans le bucket. Protéger les données actives : assurez-vous que les actions telles que la définition de suspensions temporaires ne s'appliquent qu'aux objets actifs, ce qui évite toute modification accidentelle des versions archivées ou supprimées.
Produits applicables	Cloud Storage
Chemin d'accès	`storage.buckets/lifecycle.rule.condition.isLive`
Opérateur	==
Valeur	`False`
Type	Booléen
Contrôles NIST 800-53 associés	SI-12
Contrôles de profil CRI associés	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Informations connexes	isLive

Appliquer la gestion des versions pour les buckets Cloud Storage

ID de commande Google	GCS-CO-6.7
Implémentation	Recommandé
Description	Assurez-vous que la gestion des versions est activée pour tous les buckets Cloud Storage. Voici quelques cas d'utilisation : Protection et récupération des données : protégez-vous contre la perte accidentelle de données en empêchant les écrasements et en permettant la récupération des données supprimées ou modifiées. Conformité et audit : conservez un historique de toutes les modifications apportées aux objets à des fins de conformité réglementaire ou d'audit interne. Contrôle des versions : suivez les modifications apportées aux fichiers et aux ensembles de données, ce qui permet la collaboration et le retour aux versions précédentes si nécessaire.
Produits applicables	Cloud Storage
Chemin d'accès	`storage.buckets/versioning.enabled`
Opérateur	!=
Valeur	`True`
Type	Booléen
Contrôles NIST 800-53 associés	SI-12
Contrôles de profil CRI associés	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Informations connexes	Gestion des versions des objets

Appliquer des propriétaires pour les buckets Cloud Storage

ID de contrôle Google	GCS-CO-6.8
Implémentation	Recommandé
Description	Assurez-vous que `google_storage_bucket.labels` comporte une expression pour un propriétaire.
Produits applicables	Cloud Storage
Chemin d'accès	`storage.buckets/labels.owner`
Opérateur	notexists
Valeur	`[]`
Type	Étendu
Contrôles NIST 800-53 associés	SI-12
Contrôles de profil CRI associés	PR.IP-2.1 PR.IP-2.2 PR.IP-2.3
Informations connexes	Utiliser les étiquettes de buckets

Activer la journalisation des activités Cloud Storage clés

ID de commande Google	GCS-CO-7.4
Implémentation	Recommandé
Description	Activez la journalisation supplémentaire autour d'objets de stockage spécifiques en fonction de leur cas d'utilisation. Par exemple, enregistrez les accès aux buckets de données sensibles afin de pouvoir identifier qui y a accédé et quand. Lorsque vous activez la journalisation supplémentaire, tenez compte du volume de journaux que vous pouvez générer.
Produits applicables	Cloud Storage
Contrôles NIST-800-53 associés	AU-2 AU-3 AU-8 AU-9
Commandes associées du profil CRI	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4
Informations connexes	Journaux d'audit Cloud avec Cloud Storage

Contrôles de base de données

Limiter les adresses IP publiques Cloud SQL

Implémentation	Obligatoire
Description	Empêchez Cloud SQL d'avoir une adresse IP publique et d'être directement exposé à Internet en définissant la contrainte de règle d'administration `constraints/sql.restrictPublicIp`. En règle générale, les bases de données ne sont pas directement exposées à Internet. Empêcher l'utilisation d'adresses IP publiques permet d'éviter que vos bases de données n'en obtiennent, ce qui garantit qu'elles restent privées et ne sont accessibles qu'à partir d'applications internes fiables.
Produits applicables	Cloud SQL
Chemin d'accès	`constraints/sql.restrictPublicIp`
Opérateur	=
Valeur	`True`
Contrôles NIST 800-53 associés	SC-7
Commandes associées du profil CRI	PR.AC-3.1
Informations connexes	Améliorer la sécurité des instances en désactivant l'adresse IP publique Règles d'administration des connexions

Implémenter et tester les sauvegardes de base de données

Implémentation	Obligatoire
Description	Configurez des sauvegardes pour vos bases de données (par exemple, Cloud SQL et Filestore), en stockant des copies dans des emplacements isolés ou alternatifs. Testez régulièrement vos procédures de sauvegarde et de restauration.
Produits applicables	Cloud SQL Filestore AlloyDB pour PostgreSQL
Contrôles NIST 800-53 associés	CP-2 CP-6 CP-9 CP-9(1) CP-10
Commandes associées du profil CRI	PR.IP-4.1 PR.IP-4.2
Informations connexes	Présentation des sauvegardes Cloud SQL À propos des sauvegardes Filestore Configurer des plans de sauvegarde AlloyDB pour PostgreSQL

Étapes suivantes

Examinez les outils et les paramètres d'inférence.
Consultez d'autres Cloud de Confiance by S3NS bonnes pratiques et consignes de sécurité.