Puedes usar el Administrador de cumplimiento en Google Cloud para asegurarte de que tu infraestructura, tus cargas de trabajo y tus datos cumplan con los requisitos de seguridad y reglamentarios de tu organización.Google Cloud El Administrador de cumplimiento te permite hacer lo siguiente:
- Define e implementa una configuración segura y que cumpla con los requisitos para tu entorno deGoogle Cloud .
- Consulta los paneles que muestran la alineación de tu entorno con tus requisitos de cumplimiento y seguridad.
- Audita tus entornos de nube, lo que incluye recopilar evidencia y generar informes de evaluación.
El Administrador de cumplimiento usa controles definidos por software que te permiten evaluar la compatibilidad con varios programas de cumplimiento y requisitos de seguridad dentro de una organización deGoogle Cloud .
Componentes del Administrador de cumplimiento
En la siguiente tabla, se describen los componentes del Administrador de cumplimiento.
| Regla | Es un elemento técnico dentro de un control de la nube que te permite cumplir con un requisito de cumplimiento, seguridad o privacidad. Las reglas pueden ser políticas de la organización, políticas de IAM, configuración de la nube y lógica de detección basada en Common Expression Language (CEL). |
|---|---|
| Control de nube | Es un conjunto de reglas y metadatos asociados que puedes usar para definir la intención de cumplimiento o seguridad de tu organización. Compliance Manager incluye una biblioteca de controles integrados en la nube y te permite crear los tuyos. Los metadatos de un control de la nube incluyen instrucciones de corrección y la gravedad del hallazgo. Los controles de la nube tienen los siguientes modos:
|
| Control regulatorio | Un requisito de cumplimiento normativo o de seguridad definido por la industria La asignación de relaciones entre los controles de la nube y los controles regulatorios define cómo uno o más controles de la nube satisfacen un requisito de control regulatorio. Ten en cuenta lo siguiente:
|
| Framework | Es una colección de controles de la nube y controles regulatorios que representan las prácticas recomendadas de seguridad o los estándares definidos por la industria, como FedRAMP o NIST. Un framework puede incluir una asignación entre los controles de la nube y los controles reglamentarios. El Administrador de cumplimiento incluye una biblioteca de frameworks integrados. Puedes personalizar estos marcos de trabajo o crear los tuyos propios. |
| Implementación del framework | Es la vinculación entre un marco de trabajo específico y una organización, una carpeta o un proyecto cuando implementas el marco de trabajo. |
En el siguiente diagrama, se muestran los componentes del Administrador de cumplimiento.
Frameworks integrados
El Administrador de cumplimiento admite frameworks integrados paraGoogle Cloud. Puedes implementar estos frameworks tal como están o personalizarlos para satisfacer tus necesidades particulares.
Frameworks para Google Cloud
Los siguientes frameworks están disponibles:
- Protección de la IA
- Comparativa de CIS en Kubernetes v1.1.7
- Aspectos básicos de la seguridad y la privacidad de los datos
Cómo usar Compliance Manager con los servicios y las funciones de Security Command Center
Puedes habilitar otros servicios y funciones de Security Command Center y usarlos en la misma organización en la que habilites el Administrador de cumplimiento. Ten en cuenta lo siguiente:
Si implementas un framework en una carpeta o un proyecto que tiene habilitadas las estadísticas del estado de seguridad, es posible que recibas resultados duplicados. El Administrador de cumplimiento usa un motor de evaluación diferente al de Security Health Analytics.
Puedes implementar un framework en la misma carpeta o proyecto en el que implementas una postura de seguridad con el servicio de postura de seguridad. El Administrador de cumplimiento y la postura de seguridad no interactúan, y lo que configures en una postura no afectará lo que configures en un marco. Sin embargo, debido a que la postura de seguridad usa las estadísticas del estado de seguridad, es posible que recibas resultados duplicados.
Compliance Manager usa el extremo global, no el extremo que podrías especificar cuando habilitas la residencia de datos para Security Command Center. Sin embargo, puedes especificar la ubicación en la que deseas auditar tu entorno. Para obtener más información, consulta Audita tu entorno con el Administrador de cumplimiento.