Ce document du framework d'architecture Google Cloud présente les bonnes pratiques à suivre pour la gestion des actifs.
La gestion des actifs est un élément important de l'analyse des besoins de votre entreprise. Vous devez avoir une excellente compréhension de vos actifs, de leur valeur et des chemins ou processus critiques qui s'y rapportent. Vous devez disposer d'un inventaire précis des actifs avant de pouvoir concevoir le moindre contrôle de sécurité visant à les protéger.
Pour gérer les incidents de sécurité et répondre aux exigences réglementaires de votre organisation, vous avez besoin d'un inventaire précis et à jour des actifs, avec un moyen d'analyser les données historiques de cet inventaire. Vous devez être en mesure de suivre vos actifs, y compris l'évolution de leur exposition au risque au fil du temps.
Le passage à Google Cloud signifie que vous devez modifier vos processus de gestion des actifs pour vous adapter à un environnement cloud. Par exemple, l'un des avantages du passage au cloud est que vous augmentez la capacité de votre entreprise à évoluer rapidement. Toutefois, la possibilité d'évoluer rapidement peut entraîner des problèmes informatiques fantômes lorsque vos employés créent des ressources cloud qui ne sont pas correctement gérées et sécurisées. Par conséquent, vos processus de gestion des actifs doivent offrir une flexibilité suffisante aux employés pour leur permettre d'effectuer leur travail, tout en intégrant des contrôles de sécurité appropriés.
Utiliser les outils cloud de gestion des actifs
Les outils de gestion des actifs Google Cloud sont spécialement adaptés à notre environnement et aux principaux cas d'utilisation de nos clients.
L'un de ces outils est l'inventaire des éléments cloud, qui fournit des informations en temps réel sur l'état actuel de vos actifs ainsi qu'un historique sur cinq semaines. Grâce à ce service, vous pouvez obtenir un instantané de votre inventaire à l'échelle de l'organisation pour une grande variété de ressources et de règles Google Cloud. Les outils d'automatisation peuvent ensuite se servir de cet instantané pour la surveillance, l'application de règles ou l'archivage à des fins d'audit de conformité. Si vous souhaitez analyser les modifications apportées à des actifs, l'inventaire des éléments cloud permet également d'exporter l'historique des métadonnées.
Pour en savoir plus sur l'inventaire des éléments cloud, consultez les pages Solution personnalisée pour répondre à des modifications d'éléments et Contrôles de détection.
Gestion automatisée des actifs
L'automatisation vous permet de créer et de gérer rapidement des actifs en fonction des exigences de sécurité que vous spécifiez. Vous pouvez automatiser les aspects du cycle de vie des actifs de différentes manières :
- Déployez votre infrastructure cloud à l'aide d'outils d'automatisation tels que Terraform. Google Cloud fournit un plan de base d'entreprise qui vous aide à configurer des ressources d'infrastructure conformes aux bonnes pratiques de sécurité. De plus, il configure des notifications pour les modifications d'actifs et la conformité dans l'inventaire des éléments cloud.
- Déployez vos applications en utilisant des outils d'automatisation tels que Cloud Run et Artifact Registry.
Surveillez les manquements aux règles de conformité.
Des manquements aux règles peuvent se produire pendant toutes les phases du cycle de vie des actifs. Par exemple, les actifs peuvent être créés sans les contrôles de sécurité appropriés, ou leurs privilèges peuvent être trop élevés. De même, les actifs peuvent être abandonnés sans que les procédures de fin de vie appropriées ne soient appliquées.
Pour éviter ces scénarios, nous vous recommandons de surveiller les actifs pour détecter les manquements aux règles de conformité. L'ensemble d'actifs que vous surveillez dépend des résultats de votre évaluation des risques et de vos exigences commerciales. Pour en savoir plus sur la surveillance des actifs, consultez la section Surveiller les modifications d'actifs.
Intégrez vos systèmes existants de surveillance de la gestion des éléments.
Si vous utilisez déjà un système SIEM ou un autre système de surveillance, intégrez vos actifs Google Cloud à ce système. L'intégration garantit que votre organisation dispose d'une vue unifiée et complète de l'ensemble des ressources, quel que soit l'environnement. Pour en savoir plus, consultez les pages Exporter des données de sécurité Google Cloud vers votre système SIEM et Scénarios d'exportation de données Cloud Logging : Splunk.
Enrichir votre surveillance à l'aide de l'analyse de données
Vous pouvez exporter votre inventaire vers une table BigQuery ou un bucket Cloud Storage à des fins d'analyse supplémentaire.
Étape suivante
Pour en savoir plus sur la gestion de vos actifs, consultez les ressources suivantes :
- Gérer l'identité et l'accès (document suivant de cette série)
- Choisir une hiérarchie de ressources pour votre zone de destination Google Cloud