אמצעי בקרה לניהול נתונים

במסמך הזה מפורטות שיטות מומלצות והנחיות לשימוש במערכות לניהול נתונים כשמריצים עומסי עבודה ב- Cloud de Confiance by S3NS.

מערכות לניהול נתונים כמו BigQuery ו-Cloud Storage מאפשרות לכם לאחסן את הנתונים שאתם צריכים לתהליכי העבודה שלכם, כולל נתוני אימון, ארטיפקטים של מודלים ונתוני ייצור.

אמצעי בקרה נפוצים

אמצעי הבקרה האלה חלים על כל המערכות לניהול נתונים.

הפעלת Sensitive Data Protection לבדיקת נתונים

מזהה הבקרה של Google COM-CO-5.1
הטמעה מומלץ
תיאור

‫Cloud de Confiance ממליצה להשתמש ב-Sensitive Data Protection. סוגי המידע או תבניות המשימות שבוחרים תלויים במערכות הספציפיות שלכם.
מוצרים רלוונטיים

Sensitive Data Protection
אמצעי בקרה קשורים בתקן NIST-800-53
  • SI-4
  • IA-7
  • SC-7
  • SC-8
אמצעי בקרה קשורים בפרופיל CRI
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
מידע קשור

אמצעי בקרה במחסן נתונים

אמצעי הבקרה האלה חלים על BigQuery.

מוודאים שמערכי הנתונים ב-BigQuery לא ניתנים לקריאה על ידי הציבור או שהם מוגדרים לכל המשתמשים המאומתים

מזהה הבקרה של Google BQ-CO-6.1
הטמעה חובה
תיאור

מוודאים שב-BigQuery אין מערכי נתונים שפתוחים לגישה ציבורית, אלא אם מערכי הנתונים מיועדים להיות ציבוריים. מערכי נתונים ב-BigQuery מכילים לעיתים קרובות נתונים רגישים.

להגביל את הגישה למידע במערך נתונים ב-BigQuery למשתמשים ספציפיים בלבד. כדי להגדיר את ההגנה הזו, צריך להגדיר תפקידים מפורטים.

בדיקת הגישה למערך הנתונים עוזרת לוודא שלא חשפתם נתונים לאינטרנט בלי להתכוון.
מוצרים רלוונטיים
  • שירות מדיניות הארגון
  • BigQuery
  • ניהול זהויות והרשאות גישה (IAM)
נתיב cloudasset.assets/assetType
אופרטור ==
ערך

bigquery.googleapis.com/Dataset
סוג String
אמצעי בקרה קשורים בתקן NIST-800-53
  • AC-3
  • AC-12
  • AC-17
  • AC-20
אמצעי בקרה קשורים בפרופיל CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
מידע קשור

צריך לוודא שהטבלאות ב-BigQuery לא ניתנות לקריאה באופן ציבורי או מוגדרות ל-allAuthenticatedUsers

מזהה הבקרה של Google BQ-CO-6.2
הטמעה חובה
תיאור

להגביל את הגישה למידע בטבלה ב-BigQuery למשתמשים ספציפיים בלבד. כדי להגדיר את ההגנה הזו, צריך להגדיר תפקידים מפורטים.
מוצרים רלוונטיים
  • ניהול זהויות והרשאות גישה (IAM)
  • BigQuery
נתיב cloudasset.assets/iamPolicy.bindings.members
אופרטור anyof
ערך
  • allUsers
  • allAuthenticatedUsers
סוג String
אמצעי בקרה קשורים בתקן NIST-800-53
  • AC-3
  • AC-12
  • AC-17
  • AC-20
אמצעי בקרה קשורים בפרופיל CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
מידע קשור

הצפנת ערכים ספציפיים בטבלה ב-BigQuery

מזהה הבקרה של Google BQ-CO-6.3
הטמעה אופציונלי
תיאור

אם הארגון שלכם דורש להצפין ערכים נפרדים בטבלה ב-BigQuery, אתם יכולים להשתמש בפונקציות של הצפנה מאומתת עם מידע נלווה (AEAD).
מוצרים רלוונטיים

BigQuery
אמצעי בקרה קשורים של NIST-800-53
  • SC-13
אמצעי בקרה קשורים בפרופיל CRI
  • PR.DS-5.1
מידע קשור

שימוש בתצוגות מורשות למערכי נתונים של BigQuery

מזהה אמצעי הבקרה של Google BQ-CO-6.4
הטמעה אופציונלי
תיאור

תצוגות מורשות מאפשרות לכם לשתף קבוצת משנה של נתונים במערך נתונים עם משתמשים ספציפיים. לדוגמה, תצוגה מורשית מאפשרת לכם לשתף תוצאות של שאילתות עם משתמשים וקבוצות מסוימים, בלי לתת להם גישה לנתוני המקור הבסיסיים.
מוצרים רלוונטיים

BigQuery
אמצעי בקרה קשורים של NIST-800-53
  • AC-3
  • AC-12
  • AC-17
  • AC-20
אמצעי בקרה קשורים בפרופיל CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
מידע קשור

שימוש באבטחה ברמת העמודה ב-BigQuery

מזהה אמצעי הבקרה של Google BQ-CO-6.5
הטמעה אופציונלי
תיאור

אפשר להשתמש באבטחה ברמת העמודה ב-BigQuery כדי ליצור כללי מדיניות שבודקים בזמן השאילתה אם למשתמש יש גישה מתאימה. ‫BigQuery מספק גישה מדויקת לעמודות עם נתונים רגישים באמצעות תגי מדיניות או סיווג מבוסס-נתונים.
מוצרים רלוונטיים

BigQuery
אמצעי בקרה קשורים של NIST-800-53
  • AC-3
  • AC-12
  • AC-17
  • AC-20
אמצעי בקרה קשורים בפרופיל CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
מידע קשור

שימוש באבטחה ברמת השורה ב-BigQuery

מזהה אמצעי בקרה של Google BQ-CO-6.6
הטמעה אופציונלי
תיאור

אפשר להשתמש באבטחה ברמת השורה ובמדיניות גישה כדי להפעיל בקרת גישה פרטנית לקבוצת משנה של נתונים בטבלה ב-BigQuery.
מוצרים רלוונטיים

BigQuery
אמצעי בקרה קשורים של NIST-800-53
  • AC-3
  • AC-12
  • AC-17
  • AC-20
אמצעי בקרה קשורים בפרופיל CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
מידע קשור

שימוש בתרשימי משאבים ב-BigQuery

מזהה אמצעי בקרה של Google BQ-CO-7.1
הטמעה אופציונלי
תיאור

תרשימי המשאבים של BigQuery מאפשרים לאדמינים של BigQuery לראות איך הארגון, התיקייה או ההזמנה שלהם משתמשים ביחידות הקיבולת של BigQuery, ואיך השאילתות שלהם פועלות.
מוצרים רלוונטיים

BigQuery
אמצעי בקרה קשורים של NIST-800-53
  • AC-3
  • AC-12
  • AC-17
  • AC-20
אמצעי בקרה קשורים בפרופיל CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
מידע קשור

אמצעי בקרה על האחסון

אמצעי הבקרה האלה חלים על Cloud Storage.

חסימת הגישה הציבורית לקטגוריות של Cloud Storage

מזהה הבקרה של Google GCS-CO-4.1
הטמעה חובה
תיאור

האילוץ הבוליאני storage.publicAccessPrevention מונע גישה לקטגוריות אחסון ממקורות ציבוריים ללא אימות. היא משביתה וחוסמת רשימות של בקרת גישה (ACL) והרשאות לניהול זהויות והרשאות גישה (IAM) שמעניקות גישה אל allUsers ואל allAuthenticatedUsers. האילוץ הזה פועל כרשת ביטחון ברמת הארגון, וחוסם באופן פעיל כל הגדרה שתאפשר גישה ציבורית לקטגוריה.
מוצרים רלוונטיים
  • שירות מדיניות הארגון
  • Cloud Storage
נתיב constraints/storage.publicAccessPrevention
אופרטור ==
ערך

True
סוג בוליאני
אמצעי בקרה קשורים של NIST-800-53
  • AC-3
  • AC-17
  • AC-20
אמצעי בקרה קשורים בפרופיל CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
מידע קשור

שימוש בגישה אחידה ברמת הקטגוריה

מזהה אמצעי הבקרה של Google GCS-CO-4.2
הטמעה חובה
תיאור

האילוץ הבוליאני storage.uniformBucketLevelAccess דורש שהקטגוריות ישתמשו בגישה אחידה ברמת הקטגוריה. גישה אחידה ברמת הקטגוריה מאפשרת לכם להשתמש רק בהרשאות של ניהול זהויות והרשאות גישה (IAM) ברמת הקטגוריה כדי לתת גישה למשאבים של Cloud Storage.

השימוש בשתי מערכות שונות וסותרות לניהול הרשאות בקטגוריות אחסון הוא מורכב, ולעיתים קרובות גורם לדליפות נתונים מקריות. ההגדרה הזו משביתה את המערכת מדור קודם (רשימות של בקרת גישה, או ACL) והופכת את המערכת המודרנית והמרכזית (IAM) למקור האמת היחיד לכל ההרשאות.
מוצרים רלוונטיים
  • שירות מדיניות הארגון
  • Cloud Storage
נתיב constraints/storage.uniformBucketLevelAccess
אופרטור ==
ערך

True
סוג בוליאני
אמצעי בקרה קשורים של NIST-800-53
  • AC-3
  • AC-17
  • AC-20
אמצעי בקרה קשורים בפרופיל CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
מידע קשור

הגנה על מפתחות HMAC לחשבונות שירות

מזהה אמצעי בקרה של Google GCS-CO-6.9
הטמעה חובה
תיאור

מפתח HMAC הוא סוג של פרטי כניסה לטווח ארוך, שאפשר לשייך לחשבון שירות או לחשבון משתמש ב-Cloud Storage. אפשר להשתמש במפתח HMAC כדי ליצור חתימות, ולכלול אותן בבקשות ל-Cloud Storage. חתימה מוכיחה שמשתמש או חשבון שירות אישרו בקשה.

בניגוד לפרטי כניסה לטווח קצר (כמו אסימוני OAuth 2.0), התוקף של מפתחות HMAC לא פג באופן אוטומטי והם נשארים בתוקף עד שמבטלים אותם באופן ידני. מפתחות HMAC הם פרטי כניסה בסיכון גבוה: אם הם נחשפים, הם מספקים גישה קבועה למשאבים שלכם. אתם צריכים לוודא שקיימים מנגנונים מתאימים שיעזרו להגן עליהם.
מוצרים רלוונטיים

Cloud Storage
נתיב storage.projects.hmacKeys/id
אופרטור קיים
ערך

[]
סוג String
אמצעי בקרה קשורים בתקן NIST-800-53
  • SC-12
  • SC-13
אמצעי בקרה קשורים בפרופיל CRI
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
מידע קשור

זיהוי ספירה של קטגוריות של Cloud Storage על ידי חשבונות שירות

מזהה הבקרה של Google GCS-CO-7.2
הטמעה חובה
תיאור

חשבונות שירות הם זהויות לא אנושיות שמיועדות לאפליקציות, וההתנהגות שלהם צפויה ואוטומטית. בדרך כלל, חשבונות שירות לא צריכים לפרט את הבאקטים, כי הם כבר ממופים. לכן, אם אתם מזהים חשבון שירות שמנסה לאחזר רשימה של כל הקטגוריות של Cloud Storage, בדקו את זה מיד. גורמים זדוניים שקיבלו גישה לחשבון השירות משתמשים לעיתים קרובות בטכניקת איסוף מידע שנקראת "ספירת משאבים".
מוצרים רלוונטיים
  • Cloud Storage
  • יומני ביקורת של Cloud
אופרטור ==
ערך

storage.bucket.list
סוג String
אמצעי בקרה קשורים בתקן NIST-800-53
  • AU-2
  • AU-3
  • AU-8
  • AU-9
אמצעי בקרה קשורים בפרופיל CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
מידע קשור

זיהוי שינויים במדיניות IAM של קטגוריות Cloud Storage על ידי חשבונות שירות

מזהה אמצעי הבקרה של Google GCS-CO-7.3
הטמעה חובה
תיאור

הגדרת התראה שמזהה מתי מדיניות ניהול הזהויות והרשאות הגישה (IAM) של קטגוריה ב-Cloud Storage משתנה כדי להעניק גישה ציבורית. ההתראה הזו מופעלת כשחשבונות המשתמשים allUsers או allAuthenticatedUsers נוספים למדיניות IAM של קטגוריה. ההתראה הזו היא אירוע קריטי ברמת חומרה גבוהה, כי היא יכולה לחשוף את כל הנתונים בקטגוריה. צריך לבדוק את ההתראה הזו מיד כדי לוודא שהשינוי אושר, או שהוא סימן להגדרה שגויה או לגורם זדוני.

בהתראה, מגדירים את מאפיין ה-JSON‏ data.protoPayload.serviceData.policyData.bindingDeltas.member לערך allUsers או allAuthenticatedUsers ואת הפעולה לערך ADD.
מוצרים רלוונטיים
  • Cloud Storage
  • יומני ביקורת של Cloud
אמצעי בקרה קשורים של NIST-800-53
  • AU-2
  • AU-3
  • AU-8
  • AU-9
אמצעי בקרה קשורים בפרופיל CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
מידע קשור

איך מוודאים שמדיניות שמירת הנתונים של קטגוריה ב-Cloud Storage משתמשת בנעילת קטגוריה

מזהה אמצעי הבקרה של Google GCS-CO-6.1
הטמעה מומלץ
תיאור

בהתאם לדרישות הרגולטוריות, חשוב לוודא שכללי מדיניות שמירת הנתונים של כל קטגוריה ב-Cloud Storage נעולים. מגדירים את תקופת השמירה לטווח זמן שעומד בדרישות שלכם.
מוצרים רלוונטיים

Cloud Storage
נתיב storage.buckets/retentionPolicy.isLocked
אופרטור ‎!=
ערך

True
סוג בוליאני
אמצעי בקרה קשורים של NIST-800-53
  • SI-12
אמצעי בקרה קשורים בפרופיל CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
מידע קשור

הגדרת כללים של מחזור חיים לפעולה SetStorageClass

מזהה אמצעי הבקרה של Google GCS-CO-6.11
הטמעה מומלץ
תיאור

החלת כללי מחזור חיים על כל קטגוריה של Cloud Storage שיש לה סוג פעולה SetStorageClass.
מוצרים רלוונטיים

Cloud Storage
נתיב storage.buckets/lifecycle.rule.action.type
אופרטור ==
ערך

SetStorageClass
סוג String
אמצעי בקרה קשורים בתקן NIST-800-53
  • SI-12
אמצעי בקרה קשורים בפרופיל CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
מידע קשור

הגדרת אזורים מותרים לסוגי אחסון (storage classes)

מזהה הבקרה של Google GCS-CO-6.12
הטמעה מומלץ
תיאור
חשוב לוודא שסוגי האחסון של הגדרת מחזור החיים לא נמצאים בסיווגים אזוריים מותרים.
מוצרים רלוונטיים

Cloud Storage
נתיב storage.buckets/lifecycle.rule.action.storageClass
אופרטור nin
ערך
  • MULTI_REGIONAL
  • REGIONAL
סוג String
אמצעי בקרה קשורים בתקן NIST-800-53
  • SI-12
אמצעי בקרה קשורים בפרופיל CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
מידע קשור

הפעלת ניהול מחזור החיים בקטגוריות של Cloud Storage

מזהה הבקרה של Google GCS-CO-6.13
הטמעה מומלץ
תיאור

מוודאים שניהול מחזור החיים של Cloud Storage מופעל ומוגדר. בקרת מחזור החיים מכילה את ההגדרות של מחזור החיים של האחסון. מוודאים שהכללים בהגדרה הזו תואמים לדרישות שלכם.
מוצרים רלוונטיים

Cloud Storage
נתיב storage.buckets/lifecycle
אופרטור קיים
ערך

[]
סוג אובייקט
אמצעי בקרה קשורים של NIST-800-53
  • SI-12
אמצעי בקרה קשורים בפרופיל CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
מידע קשור

הפעלת כללים לניהול מחזור החיים בקטגוריות של Cloud Storage

מזהה אמצעי בקרה של Google GCS-CO-6.14
הטמעה מומלץ
תיאור

מוודאים שכללי ניהול מחזור החיים של Cloud Storage מופעלים ומוגדרים. אמצעי הבקרה של הכלל מכיל את ההגדרה של מחזור החיים של האחסון. מוודאים שהכללים בהגדרה הזו תואמים לדרישות שלכם.
מוצרים רלוונטיים

Cloud Storage
נתיב storage.buckets/lifecycle.rule
אופרטור ריק
ערך

[]
סוג מערך
אמצעי בקרה קשורים בתקן NIST-800-53
  • SI-12
אמצעי בקרה קשורים בפרופיל CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
מידע קשור

בדיקה והערכה של השהיות זמניות באובייקטים פעילים

מזהה הבקרה של Google GCS-CO-6.16
הטמעה מומלץ
תיאור

תזהה את כל האובייקטים שבהם הערך של temporaryHold מוגדר כ-TRUE ותתחיל תהליך חקירה ואימות. ההערכה הזו מתאימה לתרחישי השימוש הבאים:

  • הקפאה משפטית: כדי לעמוד בדרישות משפטיות לאחסון נתונים, אפשר להשתמש בהקפאה זמנית כדי למנוע מחיקה של נתונים רגישים שעשויים להיות רלוונטיים לחקירות או להתדיינות שמתנהלות.
  • מניעת אובדן נתונים: כדי למנוע מחיקה בטעות של נתונים חשובים, אפשר להשתמש בהקפאה זמנית כאמצעי בטיחות להגנה על מידע עסקי קריטי.
  • בדיקת תוכן: כדי לבדוק תוכן רגיש או בלתי הולם לפני שהוא הופך לזמין לציבור, אפשר להחיל השהיה זמנית על תוכן שמועלה ל-Cloud Storage לצורך בדיקה נוספת וקבלת החלטות לגבי ניהול התוכן.
מוצרים רלוונטיים

Cloud Storage
נתיב storage.objects/temporaryHold
אופרטור ==
ערך

TRUE
סוג בוליאני
אמצעי בקרה קשורים של NIST-800-53
  • SI-12
אמצעי בקרה קשורים בפרופיל CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
מידע קשור

אכיפת מדיניות שמירת נתונים בקטגוריות של Cloud Storage

מזהה הבקרה של Google GCS-CO-6.17
הטמעה מומלץ
תיאור

מוודאים שלכל הקטגוריות של Cloud Storage יש מדיניות שמירת נתונים.
מוצרים רלוונטיים

Cloud Storage
נתיב storage.buckets/retentionPolicy.retentionPeriod
אופרטור agesmaller
ערך

[90,"DAY","AFTER","yyyy-MM-dd'T'HH:mm:ss'Z'"]
סוג int64
אמצעי בקרה קשורים בתקן NIST-800-53
  • SI-12
אמצעי בקרה קשורים בפרופיל CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
מידע קשור

אכיפת תגי סיווג לקטגוריות של Cloud Storage

מזהה הבקרה של Google GCS-CO-6.18
הטמעה מומלץ
תיאור

סיווג נתונים הוא רכיב בסיסי בכל תוכנית של משילות מידע (data governance) ואבטחה. חשוב להחיל על כל דלי תווית סיווג עם ערכים כמו ציבורי, פנימי, סודי או מוגבל.

צריך לוודא שיש ביטוי לסיווג ב-google_storage_bucket.labels, ואם אין, ליצור הפרה.
מוצרים רלוונטיים

Cloud Storage
נתיב storage.buckets/labels.classification
אופרטור notexists
ערך

[]
סוג מורחב
אמצעי בקרה קשורים של NIST-800-53
  • SI-12
אמצעי בקרה קשורים בפרופיל CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
מידע קשור

אכיפה של קטגוריות ליומנים בקטגוריות של Cloud Storage

מזהה אמצעי הבקרה של Google GCS-CO-6.3
הטמעה מומלץ
תיאור

לוודא שבכל קטגוריה של Cloud Storage יש קטגוריית יומנים.
מוצרים רלוונטיים

Cloud Storage
נתיב storage.buckets/logging.logBucket
אופרטור notexists
ערך

[]
סוג String
אמצעי בקרה קשורים בתקן NIST-800-53
  • AU-2
  • AU-3
  • AU-8
  • AU-9
אמצעי בקרה קשורים בפרופיל CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
מידע קשור

הגדרת כללי מחיקה לקטגוריות של Cloud Storage

מזהה הבקרה של Google GCS-CO-6.5
הטמעה מומלץ
תיאור

ב-Cloud Storage, המונח storage.buckets/lifecycle.rule.action.type מתייחס לסוג הפעולה שצריך לבצע באובייקט ספציפי על סמך כלל מחזור חיים בתוך קטגוריה. ההגדרה הזו עוזרת לאוטומט את הניהול ואת מחזור החיים של הנתונים שמאוחסנים בענן.

מגדירים את storage.buckets/lifecycle.rule.action.type כדי לוודא שהאובייקטים נמחקים באופן סופי מהקטגוריה.
מוצרים רלוונטיים

Cloud Storage
נתיב storage.buckets/lifecycle.rule.action.type
אופרטור ==
ערך

Delete
סוג String
אמצעי בקרה קשורים בתקן NIST-800-53
  • SI-12
אמצעי בקרה קשורים בפרופיל CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
מידע קשור

מוודאים שהתנאי isLive הוא False לכללי מחיקה

מזהה הבקרה של Google GCS-CO-6.6
הטמעה מומלץ
תיאור

בכללי מחיקה, צריך לוודא שהתנאי isLive של הכלל מוגדר ל-false.

ב-Cloud Storage, ‏storage.buckets/lifecycle.rule.condition.isLive הוא תנאי בוליאני שמשמש בכללי מחזור החיים כדי לקבוע אם אובייקט נחשב לפעיל. המסנן הזה עוזר לוודא שהפעולות בכלל מחזור החיים יחולו רק על האובייקטים הרצויים על סמך הסטטוס שלהם בזמן אמת.

תרחישים לדוגמה:

  • שמירת גרסאות היסטוריות בארכיון: שמירה בארכיון רק של גרסאות לא עדכניות של אובייקטים כדי לחסוך בעלויות האחסון, תוך שמירה על הגישה לגרסה העדכנית ביותר.
  • ניקוי אובייקטים שנמחקו: מחיקה סופית אוטומטית של אובייקטים שנמחקו על ידי משתמשים, כדי לפנות מקום בקטגוריה.
  • הגנה על נתונים פעילים: מוודאים שפעולות כמו הגדרת החזקות זמניות חלות רק על אובייקטים פעילים, כדי למנוע שינוי לא מכוון של גרסאות בארכיון או גרסאות שנמחקו.
מוצרים רלוונטיים

Cloud Storage
נתיב storage.buckets/lifecycle.rule.condition.isLive
אופרטור ==
ערך

False
סוג בוליאני
אמצעי בקרה קשורים של NIST-800-53
  • SI-12
אמצעי בקרה קשורים בפרופיל CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
מידע קשור

אכיפת ניהול גרסאות בקטגוריות של Cloud Storage

מזהה אמצעי בקרה של Google GCS-CO-6.7
הטמעה מומלץ
תיאור

מוודאים שבכל הקטגוריות של Cloud Storage מופעל ניהול גרסאות. תרחישי שימוש לדוגמה:

  • הגנה על נתונים ושחזור שלהם: הגנה מפני אובדן נתונים בטעות על ידי מניעת החלפה של נתונים ושחזור של נתונים שנמחקו או שונו.
  • תאימות וביקורת: שמירה של היסטוריית כל העריכות של אובייקטים לצורך עמידה בתקנות או לביקורת פנימית.
  • ניהול גרסאות: מעקב אחרי שינויים בקבצים ובקבוצות נתונים, שמאפשר שיתוף פעולה וחזרה לגרסאות קודמות במקרה הצורך.
מוצרים רלוונטיים

Cloud Storage
נתיב storage.buckets/versioning.enabled
אופרטור ‎!=
ערך

True
סוג בוליאני
אמצעי בקרה קשורים של NIST-800-53
  • SI-12
אמצעי בקרה קשורים בפרופיל CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
מידע קשור

אכיפת בעלות על קטגוריות של Cloud Storage

מזהה הבקרה של Google GCS-CO-6.8
הטמעה מומלץ
תיאור

צריך לוודא שב-google_storage_bucket.labels יש ביטוי לבעלים.
מוצרים רלוונטיים

Cloud Storage
נתיב storage.buckets/labels.owner
אופרטור notexists
ערך

[]
סוג מורחב
אמצעי בקרה קשורים של NIST-800-53
  • SI-12
אמצעי בקרה קשורים בפרופיל CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
מידע קשור

הפעלת רישום ביומן של פעילויות מרכזיות ב-Cloud Storage

מזהה אמצעי הבקרה של Google GCS-CO-7.4
הטמעה מומלץ
תיאור

להפעיל רישום נוסף ביומן של אובייקטים ספציפיים של אחסון, בהתאם לתרחיש לדוגמה. לדוגמה, אפשר לרשום ביומן גישה לקטגוריות של נתונים רגישים כדי שתוכלו לעקוב אחרי מי קיבל גישה ומתי. כשמפעילים רישום נוסף ביומן, חשוב להביא בחשבון את נפח היומנים שאתם עשויים ליצור.
מוצרים רלוונטיים

Cloud Storage
אמצעי בקרה קשורים של NIST-800-53
  • AU-2
  • AU-3
  • AU-8
  • AU-9
אמצעי בקרה קשורים בפרופיל CRI
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
מידע קשור

אמצעי בקרה על מסדי נתונים

הגבלת כתובות IP ציבוריות של Cloud SQL

הטמעה חובה
תיאור

כדי למנוע מ-Cloud SQL לקבל כתובת IP ציבורית ולהיחשף ישירות לאינטרנט, מגדירים את האילוץ constraints/sql.restrictPublicIp של מדיניות הארגון. בדרך כלל, מסדי נתונים לא נחשפים ישירות לאינטרנט.

מניעת כתובות IP ציבוריות עוזרת למנוע ממסדי הנתונים שלכם לקבל כתובות IP ציבוריות, וכך לוודא שהם פרטיים ושהגישה אליהם אפשרית רק מאפליקציות פנימיות מהימנות.
מוצרים רלוונטיים

Cloud SQL
נתיב constraints/sql.restrictPublicIp
אופרטור =
ערך

True
אמצעי בקרה קשורים של NIST-800-53
  • SC-7
אמצעי בקרה קשורים בפרופיל CRI
  • PR.AC-3.1
מידע קשור

הטמעה ובדיקה של גיבויים של מסדי נתונים

הטמעה חובה
תיאור

הגדרת גיבויים למסדי הנתונים (לדוגמה, Cloud SQL ו-Filestore), ושמירת עותקים במיקומים מבודדים או חלופיים. לבדוק באופן קבוע את הליכי הגיבוי והשחזור.
מוצרים רלוונטיים
  • Cloud SQL
  • Filestore
  • ‫AlloyDB ל-PostgreSQL
אמצעי בקרה קשורים של NIST-800-53
  • CP-2
  • CP-6
  • CP-9
  • CP-9(1)‎
  • CP-10
אמצעי בקרה קשורים בפרופיל CRI
  • PR.IP-4.1
  • PR.IP-4.2
מידע קשור

המאמרים הבאים