資料管理控制項

本文提供資料管理系統最佳做法和指南，適用於在 Cloud de Confiance by S3NS上執行工作負載的情況。

BigQuery 和 Cloud Storage 等資料管理系統可讓您儲存工作流程所需的資料，包括訓練資料、模型構件和正式環境資料。

常見控制項

這些控制項適用於所有資料管理系統。

啟用 Sensitive Data Protection 進行資料檢查

Google 控制項 ID COM-CO-5.1
實作 建議
說明

Cloud de Confiance 建議使用 Sensitive Data Protection。選取的 infoType 或工作範本取決於特定系統。
適用產品

Sensitive Data Protection
相關的 NIST-800-53 控制項
  • SI-4
  • IA-7
  • SC-7
  • SC-8
相關的 CRI 設定檔控制項
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
相關資訊

資料倉儲控制項

這些控制項適用於 BigQuery。

確保 BigQuery 資料集未設為可公開讀取，也不會設為 allAuthenticatedUsers

Google 控制項 ID BQ-CO-6.1
實作 必填
說明

除非資料集原本就打算公開，否則請確保 BigQuery 沒有開放公開存取的資料集。BigQuery 中的資料集通常含有機密資料。

只允許特定使用者存取 BigQuery 資料集中的資訊。如要設定這項保護措施，請務必設定詳細角色。

查看資料集存取權，可確保您不會不小心將資料公開至網際網路。
適用產品
  • 組織政策服務
  • BigQuery
  • Identity and Access Management (IAM)
路徑 cloudasset.assets/assetType
運算子 ==
值

bigquery.googleapis.com/Dataset
類型 字串
相關的 NIST-800-53 控制項
  • AC-3
  • AC-12
  • AC-17
  • AC-20
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
相關資訊

確保 BigQuery 資料表未設為可公開讀取，也不會設為 allAuthenticatedUsers

Google 控制項 ID BQ-CO-6.2
實作 必填
說明

只允許特定使用者可以存取 BigQuery 資料表中的資訊。如要設定這項保護措施，請務必設定詳細角色。
適用產品
  • Identity and Access Management (IAM)
  • BigQuery
路徑 cloudasset.assets/iamPolicy.bindings.members
運算子 anyof
值
  • allUsers
  • allAuthenticatedUsers
類型 字串
相關的 NIST-800-53 控制項
  • AC-3
  • AC-12
  • AC-17
  • AC-20
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
相關資訊

加密 BigQuery 資料表中的個別值

Google 控制項 ID BQ-CO-6.3
實作 選用
說明

如果貴組織規定必須加密 BigQuery 資料表中的個別值，請使用「附帶相關資料的驗證加密」(AEAD) 加密函式。
適用產品

BigQuery
相關的 NIST-800-53 控制項
  • SC-13
相關的 CRI 設定檔控制項
  • PR.DS-5.1
相關資訊

使用 BigQuery 資料集的授權 view

Google 控制項 ID BQ-CO-6.4
實作 選用
說明

授權 view 可讓您與特定使用者分享資料集中的部分資料。舉例來說，授權 view 可讓您與特定使用者和群組分享查詢結果，無須授予他們基礎來源資料的存取權。
適用產品

BigQuery
相關的 NIST-800-53 控制項
  • AC-3
  • AC-12
  • AC-17
  • AC-20
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
相關資訊

使用 BigQuery 資料欄層級安全防護機制

Google 控制項 ID BQ-CO-6.5
實作 選用
說明

您可以使用 BigQuery 資料欄層級的安全防護機制來建立政策，以便在執行查詢當下檢查使用者是否具備適當存取權。BigQuery 透過資料的政策標記 (或依據類型的分類方式)，對機密資料欄提供精細的存取權限。
適用產品

BigQuery
相關的 NIST-800-53 控制項
  • AC-3
  • AC-12
  • AC-17
  • AC-20
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
相關資訊

使用 BigQuery 資料列層級安全防護機制

Google 控制項 ID BQ-CO-6.6
實作 選用
說明

使用資料列層級安全防護機制和存取權政策，對 BigQuery 資料表中的部分資料啟用精細的存取控管。
適用產品

BigQuery
相關的 NIST-800-53 控制項
  • AC-3
  • AC-12
  • AC-17
  • AC-20
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
相關資訊

使用 BigQuery 資源圖表

Google 控制項 ID BQ-CO-7.1
實作 選用
說明

BigQuery 資源圖表可讓 BigQuery 管理員觀察組織、資料夾或預留項目如何使用 BigQuery 運算單元，以及查詢的執行情況。
適用產品

BigQuery
相關的 NIST-800-53 控制項
  • AC-3
  • AC-12
  • AC-17
  • AC-20
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
相關資訊

儲存空間控制選項

這些控制項適用於 Cloud Storage。

禁止公開存取 Cloud Storage bucket

Google 控制項 ID GCS-CO-4.1
實作 必填
說明

storage.publicAccessPrevention 布林限制可防止未經驗證的公開來源存取 Storage bucket。這項功能會停用並封鎖存取控制清單 (ACL) 和 Identity and Access Management (IAM) 權限，這些權限會授予 allUsers 和 allAuthenticatedUsers 的存取權。這項限制就像是整個組織的安全網，會主動封鎖任何可能導致 bucket 公開存取的設定。
適用產品
  • 組織政策服務
  • Cloud Storage
路徑 constraints/storage.publicAccessPrevention
運算子 ==
值

True
類型 布林值
相關的 NIST-800-53 控制項
  • AC-3
  • AC-17
  • AC-20
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
相關資訊

使用統一 bucket 層級存取權

Google 控制項 ID GCS-CO-4.2
實作 必填
說明

storage.uniformBucketLevelAccess 布林值限制會要求 bucket 使用統一 bucket 層級存取權。啟用統一 bucket 層級存取權後，您只能使用 bucket 層級的身分與存取權管理 (IAM) 權限，授予 Cloud Storage 資源的存取權。

使用兩個不同且衝突的系統管理儲存貯體權限，不僅複雜，也常導致資料意外外洩。這項設定會關閉舊版系統 (存取控制清單，或稱 ACL)，並將新版集中式系統 (IAM) 設為所有權限的單一事實來源。
適用產品
  • 組織政策服務
  • Cloud Storage
路徑 constraints/storage.uniformBucketLevelAccess
運算子 ==
值

True
類型 布林值
相關的 NIST-800-53 控制項
  • AC-3
  • AC-17
  • AC-20
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
相關資訊

保護服務帳戶的 HMAC 金鑰

Google 控制項 ID GCS-CO-6.9
實作 必填
說明

HMAC 金鑰是與 Cloud Storage 中的服務帳戶或使用者帳戶相關聯的長期憑證。使用 HMAC 金鑰建立簽章，並將簽章加入 Cloud Storage 要求。簽章可證明使用者或服務帳戶已授權要求。

與短期憑證 (例如 OAuth 2.0 權杖)，HMAC 金鑰不會自動過期，在手動撤銷前都有效。HMAC 金鑰是高風險憑證，一旦遭盜用，攻擊者就能持續存取您的資源。請務必採取適當機制，保護這些資料。
適用產品

Cloud Storage
路徑 storage.projects.hmacKeys/id
運算子 已存在
值

[]
類型 字串
相關的 NIST-800-53 控制項
  • SC-12
  • SC-13
相關的 CRI 設定檔控制項
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
相關資訊

偵測服務帳戶是否列舉 Cloud Storage bucket

Google 控制項 ID GCS-CO-7.2
實作 必填
說明

服務帳戶是非人類身分，專為應用程式設計，行為可預測且自動化。一般來說，服務帳戶不需要列出 bucket，因為這些 bucket 已經對應。因此，如果發現服務帳戶嘗試擷取所有 Cloud Storage bucket 的清單，請立即調查。惡意行為人取得服務帳戶存取權後，通常會使用偵察列舉做為偵察技術。
適用產品
  • Cloud Storage
  • Cloud 稽核記錄
運算子 ==
值

storage.bucket.list
類型 字串
相關的 NIST-800-53 控制項
  • AU-2
  • AU-3
  • AU-8
  • AU-9
相關的 CRI 設定檔控制項
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
相關資訊

偵測服務帳戶對 Cloud Storage bucket 的 IAM 政策修改

Google 控制項 ID GCS-CO-7.3
實作 必填
說明

設定快訊，偵測 Cloud Storage bucket 的 Identity and Access Management (IAM) 政策是否經過修改，以授予公開存取權。當 allUsers 或 allAuthenticatedUsers 主體新增至 bucket 的 IAM 政策時，系統會觸發這項快訊。這項快訊是嚴重程度高的重大事件，因為 bucket 中的所有資料都可能外洩。請立即調查這則快訊，確認這項變更是否經過授權，或是否為設定錯誤或惡意行為人的跡象。

在快訊中，將 data.protoPayload.serviceData.policyData.bindingDeltas.member JSON 屬性設為 allUsers 或 allAuthenticatedUsers，並將動作設為 ADD。
適用產品
  • Cloud Storage
  • Cloud 稽核記錄
相關的 NIST-800-53 控制項
  • AU-2
  • AU-3
  • AU-8
  • AU-9
相關的 CRI 設定檔控制項
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
相關資訊

確保 Cloud Storage bucket 資料保留政策使用 bucket 鎖定功能

Google 控制項 ID GCS-CO-6.1
實作 建議
說明

請根據法規要求，確保每個 Cloud Storage bucket 的保留政策都已鎖定。將保留期限設為符合您需求的時限。
適用產品

Cloud Storage
路徑 storage.buckets/retentionPolicy.isLocked
運算子 !=
值

True
類型 布林值
相關的 NIST-800-53 控制項
  • SI-12
相關的 CRI 設定檔控制項
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相關資訊

為 SetStorageClass 動作設定生命週期規則

Google 控制項 ID GCS-CO-6.11
實作 建議
說明

將生命週期規則套用至每個動作類型為 SetStorageClass 的 Cloud Storage bucket。
適用產品

Cloud Storage
路徑 storage.buckets/lifecycle.rule.action.type
運算子 ==
值

SetStorageClass
類型 字串
相關的 NIST-800-53 控制項
  • SI-12
相關的 CRI 設定檔控制項
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相關資訊

設定儲存空間級別允許的區域

Google 控制項 ID GCS-CO-6.12
實作 建議
說明
確認生命週期設定的儲存空間級別不在允許的區域分類範圍內。
適用產品

Cloud Storage
路徑 storage.buckets/lifecycle.rule.action.storageClass
運算子 nin
值
  • MULTI_REGIONAL
  • REGIONAL
類型 字串
相關的 NIST-800-53 控制項
  • SI-12
相關的 CRI 設定檔控制項
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相關資訊

為 Cloud Storage bucket 啟用生命週期管理功能

Google 控制項 ID GCS-CO-6.13
實作 建議
說明

請確認 Cloud Storage 的生命週期管理功能已啟用並設定。生命週期控制項包含儲存空間生命週期的設定。確認這項設定中的政策符合您的需求。
適用產品

Cloud Storage
路徑 storage.buckets/lifecycle
運算子 已存在
值

[]
類型 物件
相關的 NIST-800-53 控制項
  • SI-12
相關的 CRI 設定檔控制項
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相關資訊

啟用 Cloud Storage bucket 的生命週期管理規則

Google 控制項 ID GCS-CO-6.14
實作 建議
說明

確認已啟用並設定 Cloud Storage 的生命週期管理規則。規則控制項包含儲存空間生命週期的設定。確認這項設定中的政策符合您的需求。
適用產品

Cloud Storage
路徑 storage.buckets/lifecycle.rule
運算子 空白
值

[]
類型 陣列
相關的 NIST-800-53 控制項
  • SI-12
相關的 CRI 設定檔控制項
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相關資訊

查看及評估有效物件的暫時性保留

Google 控制項 ID GCS-CO-6.16
實作 建議
說明

找出所有將 temporaryHold 設為 TRUE 的物件，並開始調查和驗證程序。這項評估適用於下列用途：

  • 法律保留：為遵守資料儲存的法律要求，您可以使用暫時性保留，防止刪除可能與進行中調查或訴訟相關的機密資料。
  • 資料遺失防護：為防止重要資料遭誤刪，可使用暫時性保留做為安全措施，保護重要業務資訊。
  • 內容審核：如要在公開內容前，先審查可能含有敏感或不當資訊的內容，可以對上傳至 Cloud Storage 的內容套用暫時性保留，以便進一步檢查及做出審核決定。
適用產品

Cloud Storage
路徑 storage.objects/temporaryHold
運算子 ==
值

TRUE
類型 布林值
相關的 NIST-800-53 控制項
  • SI-12
相關的 CRI 設定檔控制項
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相關資訊

強制執行 Cloud Storage bucket 的資料保留政策

Google 控制項 ID GCS-CO-6.17
實作 建議
說明

確保所有 Cloud Storage bucket 都設有資料保留政策。
適用產品

Cloud Storage
路徑 storage.buckets/retentionPolicy.retentionPeriod
運算子 agesmaller
值

[90,"DAY","AFTER","yyyy-MM-dd'T'HH:mm:ss'Z'"]
類型 int64
相關的 NIST-800-53 控制項
  • SI-12
相關的 CRI 設定檔控制項
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相關資訊

強制執行 Cloud Storage bucket 的分類標記

Google 控制項 ID GCS-CO-6.18
實作 建議
說明

資料分類是所有資料治理和安全計畫的基礎。請務必為每個 bucket 套用分類標籤，並設定公開、內部、機密或受限等值。

確認 google_storage_bucket.labels 有分類的運算式，如果沒有，請建立違規事項。
適用產品

Cloud Storage
路徑 storage.buckets/labels.classification
運算子 notexists
值

[]
類型 延長
相關的 NIST-800-53 控制項
  • SI-12
相關的 CRI 設定檔控制項
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相關資訊

強制對 Cloud Storage bucket 使用記錄檔 bucket

Google 控制項 ID GCS-CO-6.3
實作 建議
說明

確認每個 Cloud Storage bucket 都包含記錄 bucket。
適用產品

Cloud Storage
路徑 storage.buckets/logging.logBucket
運算子 notexists
值

[]
類型 字串
相關的 NIST-800-53 控制項
  • AU-2
  • AU-3
  • AU-8
  • AU-9
相關的 CRI 設定檔控制項
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
相關資訊

設定 Cloud Storage bucket 的刪除規則

Google 控制項 ID GCS-CO-6.5
實作 建議
說明

在 Cloud Storage 中，storage.buckets/lifecycle.rule.action.type 是指根據 bucket 內的生命週期規則，對特定物件採取的動作類型。這項設定有助於自動管理雲端儲存資料，以及資料的生命週期。

設定 storage.buckets/lifecycle.rule.action.type，確保物件會從 bucket 永久刪除。
適用產品

Cloud Storage
路徑 storage.buckets/lifecycle.rule.action.type
運算子 ==
值

Delete
類型 字串
相關的 NIST-800-53 控制項
  • SI-12
相關的 CRI 設定檔控制項
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相關資訊

確保刪除規則的 isLive 條件為 False

Google 控制項 ID GCS-CO-6.6
實作 建議
說明

如果是刪除規則，請確認規則的 isLive 條件設為 false。

在 Cloud Storage 中，storage.buckets/lifecycle.rule.condition.isLive 是布林值條件，用於生命週期規則，判斷物件是否為有效。這項篩選器可確保生命週期規則中的動作，只會根據物件的即時狀態套用至所需物件。

應用實例：

  • 封存歷來版本：僅封存非現行版本的物件，節省儲存費用，同時確保最新版本隨時可供存取。
  • 清除已刪除的物件：自動永久刪除使用者已刪除的物件，釋出值區空間。
  • 保護使用中的資料：確保設定暫時保留等動作只會套用至使用中的物件，避免意外修改封存或刪除的版本
適用產品

Cloud Storage
路徑 storage.buckets/lifecycle.rule.condition.isLive
運算子 ==
值

False
類型 布林值
相關的 NIST-800-53 控制項
  • SI-12
相關的 CRI 設定檔控制項
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相關資訊

強制執行 Cloud Storage bucket 版本管理

Google 控制項 ID GCS-CO-6.7
實作 建議
說明

確保所有 Cloud Storage bucket 都已啟用版本管理。用途包括：

  • 資料保護和復原：防止資料遭到覆寫，並啟用刪除或修改資料的復原功能，避免資料意外遺失。
  • 法規遵循和稽核：保留所有物件編輯記錄，以符合法規或內部稽核需求。
  • 版本管控：追蹤檔案和資料集的變更，方便協作，並在必要時還原至先前版本。
適用產品

Cloud Storage
路徑 storage.buckets/versioning.enabled
運算子 !=
值

True
類型 布林值
相關的 NIST-800-53 控制項
  • SI-12
相關的 CRI 設定檔控制項
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相關資訊

強制執行 Cloud Storage bucket 的擁有者

Google 控制項 ID GCS-CO-6.8
實作 建議
說明

確認 google_storage_bucket.labels 具有擁有者的運算式。
適用產品

Cloud Storage
路徑 storage.buckets/labels.owner
運算子 notexists
值

[]
類型 延長
相關的 NIST-800-53 控制項
  • SI-12
相關的 CRI 設定檔控制項
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相關資訊

啟用重要 Cloud Storage 活動的記錄功能

Google 控制項 ID GCS-CO-7.4
實作 建議
說明

根據特定儲存空間物件的用途，啟用額外的記錄功能。舉例來說，您可以記錄私密資料 bucket 的存取權，追蹤存取者和存取時間。啟用額外記錄功能時，請考量您可能會產生的記錄量。
適用產品

Cloud Storage
相關的 NIST-800-53 控制項
  • AU-2
  • AU-3
  • AU-8
  • AU-9
相關的 CRI 設定檔控制項
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
相關資訊

資料庫控制項

限制 Cloud SQL 公開 IP 位址

實作 必填
說明

設定constraints/sql.restrictPublicIp組織政策限制，避免 Cloud SQL 擁有公開 IP 位址，直接暴露於網際網路。一般來說，資料庫不會直接公開至網際網路。

禁止使用公開 IP 位址，可避免資料庫取得公開 IP 位址，確保資料庫為私人性質，且只能透過受信任的內部應用程式存取。
適用產品

Cloud SQL
路徑 constraints/sql.restrictPublicIp
運算子 =
值

True
相關的 NIST-800-53 控制項
  • SC-7
相關的 CRI 設定檔控制項
  • PR.AC-3.1
相關資訊

實作及測試資料庫備份

實作 必填
說明

設定資料庫備份 (例如 Cloud SQL 和 Filestore)，將副本儲存在隔離或替代位置。定期測試備份與還原程序。
適用產品
  • Cloud SQL
  • Filestore
  • AlloyDB for PostgreSQL
相關的 NIST-800-53 控制項
  • CP-2
  • CP-6
  • CP-9
  • CP-9(1)
  • CP-10
相關的 CRI 設定檔控制項
  • PR.IP-4.1
  • PR.IP-4.2
相關資訊

後續步驟