Planifier la résidence des données

La résidence des données vous permet de mieux contrôler l'emplacement de vos données Security Command Center. Cette page fournit des informations essentielles sur la façon dont Security Command Center prend en charge la résidence des données.

Les définitions suivantes s'appliquent à cette page:

• Un emplacement est une région ou une zone multirégionale Google Cloud qui correspond à l'emplacement de vos données.
• Le terme vos données a la même signification que le terme "Données client" dans l'élément Emplacement des données des Conditions d'utilisation générales de Google Cloud.

Emplacements de données compatibles

Security Command Center n'accepte que les multirégions Google Cloud suivantes comme emplacements de données:

Union européenne (eu)

Les données résident dans n'importe quelle région Google Cloud des États membres de l'Union européenne.

États-Unis (us)

Les données sont stockées dans n'importe quelle région Google Cloud située aux États-Unis.

Royaume d'Arabie saoudite (sa)

Les données résident dans n'importe quelle région Google Cloud en Arabie saoudite.

Numéro international (global)

Les données peuvent se trouver dans n'importe quelle région Google Cloud. Si la résidence des données n'est pas activée, l'emplacement global (global) est le seul accepté.

Pour en savoir plus sur les zones géographiques où Security Command Center est disponible, consultez la page Produits disponibles par zone géographique.

Si vous devez spécifier un emplacement par défaut pour la résidence des données que Security Command Center n'est pas en mesure de prendre en charge, contactez votre représentant de compte ou un spécialiste commercial Google Cloud.

Exigences en matière de résidence des données

Vous ne pouvez activer la résidence des données que lorsque vous activez le niveau Standard ou Premium de Security Command Center dans une organisation pour la première fois. Le niveau Enterprise n'est pas compatible avec la résidence des données.

Une fois la résidence des données activée, vous ne pouvez plus la désactiver ni modifier votre emplacement par défaut.

La résidence des données nécessite d'utiliser l'API Security Command Center v2. Si la résidence des données est activée, vous ne pouvez pas utiliser d'anciennes versions de l'API Security Command Center.

Si vous ne l'activez pas lorsque vous activez Security Command Center, il ne limite pas vos données à un emplacement particulier et elles sont stockées conformément aux Conditions d'utilisation de Google Cloud Platform.

URL régionales

Pour le Royaume d'Arabie saoudite, vous devez utiliser des URL spécifiques à la région pour accéder à la console Google Cloud de la juridiction, ainsi qu'à certaines méthodes et commandes de gcloud CLI, des bibliothèques clientes Cloud et de l'API Security Command Center:

gcloud config set api_endpoint_overrides/securitycenter \
    https://securitycenter.me-central2.rep.googleapis.com/

gcloud config unset api_endpoint_overrides/securitycenter

import (
	"context"
	"fmt"

	securitycenter "cloud.google.com/go/securitycenter/apiv2"
	"google.golang.org/api/option"
)

// createClientWithEndpoint creates a Security Command Center client for a
// regional endpoint.
func createClientWithEndpoint(repLocation string) error {
	// Assemble the regional endpoint URL using provided location.
	repEndpoint := fmt.Sprintf("securitycenter.%s.rep.googleapis.com:443", repLocation)
	// Instantiate client for regional endpoint. Use this client to access resources that
	// are subject to data residency controls, and that are located in the region
	// specified in repLocation.
	repCtx := context.Background()
	repClient, err := securitycenter.NewClient(repCtx, option.WithEndpoint(repEndpoint))
	if err != nil {
		return err
	}
	defer repClient.Close()

	return nil
}

import com.google.cloud.securitycenter.v2.SecurityCenterClient;
import com.google.cloud.securitycenter.v2.SecurityCenterSettings;
import java.io.IOException;

public class CreateClientWithEndpoint {

  public static void main(String[] args) throws IOException {
    // TODO: Replace the value with the endpoint for the region in which your
    // Security Command Center data resides.
    String regionalEndpoint = "securitycenter.me-central2.rep.googleapis.com:443";
    SecurityCenterClient client = createClientWithEndpoint(regionalEndpoint);
    System.out.println("Client initiated with endpoint: " + client.getSettings().getEndpoint());
  }

  // Creates Security Command Center client for a regional endpoint.
  public static SecurityCenterClient createClientWithEndpoint(String regionalEndpoint)
      throws java.io.IOException {
    SecurityCenterSettings regionalSettings =
        SecurityCenterSettings.newBuilder().setEndpoint(regionalEndpoint).build();
    return SecurityCenterClient.create(regionalSettings);
  }
}

Lorsque la résidence des données est appliquée

Lorsque vous activez la résidence des données pour Security Command Center, certaines données Security Command Center sont conservées dans un emplacement spécifié lorsqu'elles se trouvent dans l'un des états suivants:

• Au repos: tous les emplacements compatibles
• En cours d'utilisation: KSA (sa) uniquement
• En transit: KSA (sa) uniquement

Résidence des données au repos

Les données sont au repos lorsque tous les critères suivants sont remplis:

• Les données concernent un type de ressource soumis à des contrôles de résidence des données.
• Vous n'avez pas demandé d'opération nécessitant l'accès aux données.
• Les données ne sont pas consultées de manière à générer des journaux d'audit ou des journaux Access Transparency.

Lorsque vous activez la résidence des données, Security Command Center effectue les opérations suivantes:

Résidence des données en cours d'utilisation

Les données sont utilisées lorsque toutes les conditions suivantes sont remplies:

• Les données concernent un type de ressource soumis à des contrôles de résidence des données.
• Google Cloud termine une opération lancée à votre demande (par exemple, parce que votre application a appelé l'API Security Command Center) ou une opération qui génère des journaux d'audit ou des journaux Access Transparency.
• Google Cloud peut traiter les données d'une manière qui nécessite de connaître leur signification, par exemple en mettant à jour des champs spécifiques dans une ressource de configuration. Cela inclut tous les cas où les données ne sont pas chiffrées en mémoire.

Lorsque vous activez la résidence des données, Security Command Center effectue les opérations suivantes:

Résidence des données en transit

Les données sont en transit lorsque tous les critères suivants sont remplis:

• Les données concernent un type de ressource soumis à des contrôles de résidence des données.
• Les données sont transmises, avec chiffrement, sur le réseau de Google, ou elles se trouvent en mémoire, avec chiffrement, dans le but de les transmettre sur le réseau de Google.

Lorsque vous activez la résidence des données, Security Command Center effectue les opérations suivantes:

Emplacement des données par défaut

Pour les emplacements en Europe, aux États-Unis et dans le monde, lorsque vous activez la résidence des données Security Command Center, vous spécifiez un emplacement Security Command Center par défaut. Vous pouvez sélectionner n'importe quel emplacement de données compatible comme emplacement par défaut.

Security Command Center n'utilise l'emplacement par défaut que pour stocker les résultats au repos qui s'appliquent aux types de ressources suivants:

• Ressources qui ne se trouvent pas dans un emplacement de données compatible pour Security Command Center
• Ressources qui ne spécifient pas d'emplacement dans leurs métadonnées

Si vous déployez des ressources Google Cloud dans plusieurs emplacements ou régions, vous pouvez choisir l'emplacement mondial (global) par défaut.

Si vous ne déployez des ressources que dans un seul emplacement, vous pouvez choisir la région multirégionale qui l'inclut comme région par défaut.

Ressources Security Command Center et résidence des données

La liste suivante explique comment Security Command Center applique des contrôles de résidence des données aux ressources Security Command Center. Si une ressource n'est pas listée ici, elle n'est pas soumise aux contrôles de résidence des données et est stockée conformément aux Conditions d'utilisation de Google Cloud Platform.

Éléments

Les métadonnées des éléments sont stockées par Cloud Asset Inventory et ne sont pas soumises à des contrôles de résidence des données. Ces données sont stockées conformément aux Conditions d'utilisation de Google Cloud Platform.

C'est pourquoi la page Éléments de Security Command Center dans la console Google Cloud affiche toujours toutes les ressources de votre organisation, de votre dossier ou de votre projet, quel que soit leur emplacement ou l'emplacement que vous sélectionnez dans la console Google Cloud. Toutefois, lorsque la résidence des données est activée et que vous consultez les détails d'un composant, la page Composants n'affiche pas d'informations sur les résultats qui affectent le composant.

Niveaux d'exposition aux attaques et chemins d'attaque

Les scores d'exposition aux attaques et les chemins d'attaque ne sont pas soumis aux contrôles de résidence des données. Ces données sont stockées conformément aux Conditions d'utilisation de Google Cloud Platform.

exportations BigQuery

Les configurations d'exportation BigQuery sont soumises à des contrôles de résidence des données.

Union européenne, États-Unis et monde

Lorsque vous créez ces ressources, vous spécifiez leur emplacement. Ces configurations ne s'appliquent qu'aux résultats situés au même endroit.

KSA

Utilisez les URL régionales pour créer et gérer ces ressources de configuration. Ils résident en Arabie saoudite, ainsi que vos résultats.

L'API Security Command Center représente les configurations d'exportation BigQuery en tant que ressources BiqQueryExport.

Exportations continues

Les configurations d'exportation continue sont soumises aux contrôles de résidence des données.

Union européenne, États-Unis et monde

Lorsque vous créez ces ressources, vous spécifiez leur emplacement. Ces configurations ne s'appliquent qu'aux résultats situés au même endroit.

KSA

Utilisez les URL régionales pour créer et gérer ces ressources de configuration. Ils résident en Arabie saoudite, ainsi que vos résultats.

L'API Security Command Center représente les configurations d'exportation continue en tant que ressources NotificationConfig.

Résultats

Les résultats sont soumis aux contrôles de résidence des données.

Union européenne, États-Unis et monde

Lorsqu'un résultat est créé, il se trouve dans l'emplacement Security Command Center où se trouve la ressource concernée.

Si une ressource affectée se trouve en dehors d'un emplacement compatible ou ne dispose d'aucun identifiant d'emplacement, les résultats de la ressource se trouvent dans votre emplacement par défaut.

KSA

Lorsqu'une anomalie est créée pour une ressource située en Arabie saoudite, elle se trouve toujours dans ce pays.

Lorsqu'un résultat est créé pour une ressource située dans un autre emplacement, il se trouve finalement dans l'emplacement Arabie saoudite. Toutefois, la découverte peut se trouver dans une autre région au moment de sa création.

Pour vous assurer que les résultats se trouvent toujours dans le Royaume d'Arabie saoudite, créez toutes vos ressources dans ce pays.

Règles de masquage

Les configurations des règles de masquage sont soumises aux contrôles de résidence des données.

Union européenne, États-Unis et monde

Lorsque vous créez ces ressources, vous spécifiez leur emplacement. Ces configurations ne s'appliquent qu'aux résultats situés au même endroit.

KSA

Utilisez les URL régionales pour créer et gérer ces ressources de configuration. Ils résident en Arabie saoudite, ainsi que vos résultats.

L'API Security Command Center représente les configurations de règles de masquage en tant que ressources MuteConfig.

Autres ressources et paramètres de Security Command Center

Les ressources et paramètres de Security Command Center qui ne sont pas listés ici, tels que ceux qui définissent les services activés ou le niveau actif, ne sont pas soumis aux contrôles de résidence des données. Ces données sont stockées conformément aux Conditions d'utilisation de Google Cloud Platform.

Créer ou afficher des données dans une zone géographique

Lorsque la résidence des données est activée, vous devez spécifier un emplacement lorsque vous créez ou affichez des données soumises à des contrôles de résidence des données. Security Command Center choisit automatiquement un emplacement pour les résultats qu'il crée.

Vous ne pouvez créer ou afficher des données que dans un seul emplacement à la fois. Par exemple, si vous listez les résultats dans l'emplacement mondial (global), vous ne verrez pas les résultats dans l'emplacement Union européenne (eu).

Pour créer ou afficher des données qui se trouvent dans un emplacement Security Command Center, procédez comme suit:

gcloud scc findings list ORGANIZATION_ID --location=LOCATION

gcloud scc findings list ORGANIZATION_ID --location=LOCATION

gcloud scc findings list ORGANIZATION_ID --location=LOCATION

gcloud config set api_endpoint_overrides/securitycenter \
    https://securitycenter.me-central2.rep.googleapis.com/

gcloud scc findings list ORGANIZATION_ID --location=sa

gcloud scc findings list ORGANIZATION_ID --location=sa

gcloud scc findings list ORGANIZATION_ID --location=sa

GET https://securitycenter.googleapis.com/v2/organizations/ORGANIZATION_ID/sources/-/locations/LOCATION/findings

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securitycenter.googleapis.com/v2/organizations/ORGANIZATION_ID/sources/-/locations/LOCATION/findings"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securitycenter.googleapis.com/v2/organizations/ORGANIZATION_ID/sources/-/locations/LOCATION/findings" | Select-Object -Expand Content

GET https://securitycenter.me-central2.rep.googleapis.com/v2/organizations/ORGANIZATION_ID/sources/-/locations/sa/findings

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securitycenter.me-central2.rep.googleapis.com/v2/organizations/ORGANIZATION_ID/sources/-/locations/sa/findings"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securitycenter.me-central2.rep.googleapis.com/v2/organizations/ORGANIZATION_ID/sources/-/locations/sa/findings" | Select-Object -Expand Content

Étape suivante

• Découvrez comment activer Security Command Center avec la résidence des données activée.
• Activez Security Command Center pour transmettre les résultats vers BigQuery.
• Configurez des exportations continues de Security Command Center vers Pub/Sub.
• Créez une règle de blocage pour les résultats.