Restrizioni e limitazioni per la sanità e la vita Controlli di scienze

Questa pagina descrive le restrizioni, le limitazioni e altre opzioni di configurazione quando si utilizzano i pacchetti di controllo Healthcare and Life Sciences Controls e Healthcare and Life Sciences Controls with US Support.

Panoramica

I pacchetti di controlli Healthcare and Life Sciences Controls e Healthcare and Life Sciences Controls with US Support ti consentono di eseguire carichi di lavoro conformi ai requisiti dell'Health Insurance Portability and Accountability Act (HIPAA) e di Health Information Trust Alliance (HITRUST).

Ogni prodotto supportato soddisfa i seguenti requisiti:

Consentire servizi aggiuntivi

Ogni pacchetto di controlli per la sanità e le scienze biologiche include un dei servizi supportati, applicata in modo forzato da un Limita l'utilizzo dei servizi Vincolo del criterio dell'organizzazione (gcp.restrictServiceUsage) impostato nella tua Cartella Assured Workloads. Tuttavia, puoi modificare il valore di questo vincolo per includere altri servizi, se il tuo carico di lavoro lo richiede. Per ulteriori informazioni, consulta Limitare l'utilizzo delle risorse per i carichi di lavoro.

Eventuali servizi aggiuntivi che scegli di aggiungere alla lista consentita devono essere elencati nella pagina del BAA HIPAA di Google Cloud o nella pagina del CSF HITRUST di Google Cloud.

Quando aggiungi altri servizi modificando gcp.restrictServiceUsage vincolo, il monitoraggio di Assured Workloads segnalerà la conformità violazioni delle norme. Per rimuovere queste violazioni e impedire future notifiche per aggiungere servizi alla lista consentita, devi concedi un'eccezione per ogni violazione delle norme.

Ulteriori considerazioni sull'aggiunta di un servizio alla lista consentita sono descritte nelle sezioni seguenti.

Chiavi di crittografia gestite dal cliente (CMEK)

Prima di aggiungere un servizio alla lista consentita, verifica che supporti CMEK consultando la pagina Servizi compatibili nella documentazione di Cloud KMS. Se vuoi consentire un servizio che non supporta CMEK, è tua responsabilità accettare i rischi associati, come descritto in Responsabilità condivisa in Assured Workloads.

Se vuoi applicare una postura di sicurezza più rigorosa quando utilizzi CMEK, consulta la pagina Visualizza l'utilizzo della chiave nella documentazione di Cloud KMS.

Residenza dei dati

Prima di aggiungere un servizio alla lista consentita, verifica che sia elencato nella alla pagina Servizi Google Cloud con residenza dei dati. Se vuoi consentire un servizio che non supporta la residenza dei dati, è tua scelta accettare i rischi associati come descritto in Responsabilità condivisa in Assured Workloads.

Controlli di servizio VPC

Prima di aggiungere un servizio alla lista consentita, verifica che sia supportato i Controlli di servizio VPC esaminando Prodotti supportati e limitazioni consulta la pagina Controlli di servizio VPC. Se vuoi consentire un servizio che non supporta i Controlli di servizio VPC, è tua responsabilità accettare i rischi associati, come descritto in Responsabilità condivisa in Assured Workloads.

Access Transparency e Access Approval

Prima di aggiungere un servizio alla lista consentita, verifica che possa scrivere Access Transparency registra e supporta le richieste di Access Approval esaminando quanto segue pagine:

Se vuoi consentire un servizio che non scrive i log di Access Transparency e non supporta le richieste di Access Approval, puoi scegliere di accettare ai rischi associati, come descritto Responsabilità condivisa in Assured Workloads.

Prodotti e servizi supportati

I seguenti prodotti sono supportati nei pacchetti di controlli per il settore sanitario e delle scienze biologiche e per il settore sanitario e delle scienze biologiche con assistenza negli Stati Uniti:

Prodotto supportato Endpoint API globali Restrizioni o limitazioni
Cloud Service Mesh mesh.googleapis.com
meshca.googleapis.com
meshconfig.googleapis.com
networksecurity.googleapis.com
networkservices.googleapis.com
 Nessuno
Artifact Registry artifactregistry.googleapis.com
 Nessuno
BigQuery bigquery.googleapis.com
bigqueryconnection.googleapis.com
bigquerydatapolicy.googleapis.com
bigqueryreservation.googleapis.com
bigquerystorage.googleapis.com
 Nessuno
BigQuery Data Transfer Service bigquerydatatransfer.googleapis.com
 Nessuno
Autorizzazione binaria binaryauthorization.googleapis.com
 Nessuno
Certificate Authority Service privateca.googleapis.com
 Nessuno
Bigtable bigtable.googleapis.com
bigtableadmin.googleapis.com
 Nessuno
Cloud Build cloudbuild.googleapis.com
 Nessuno
Cloud Composer composer.googleapis.com
 Nessuno
Cloud Data Fusion datafusion.googleapis.com
 Nessuno
Dataflow dataflow.googleapis.com
datapipelines.googleapis.com
 Nessuno
Dataproc dataproc-control.googleapis.com
dataproc.googleapis.com
 Nessuno
Cloud Data Fusion datafusion.googleapis.com
 Nessuno
Identity and Access Management (IAM) iam.googleapis.com
 Nessuno
Cloud Key Management Service (Cloud KMS) cloudkms.googleapis.com
 Nessuno
Cloud Logging logging.googleapis.com
 Nessuno
Pub/Sub pubsub.googleapis.com
 Nessuno
Cloud Router networkconnectivity.googleapis.com
 Nessuno
Cloud Run run.googleapis.com
 Nessuno
Spanner spanner.googleapis.com
 Funzionalità interessate e vincoli dei criteri dell'organizzazione
Cloud SQL sqladmin.googleapis.com
 Nessuno
Cloud Storage storage.googleapis.com
 Nessuno
Cloud Tasks cloudtasks.googleapis.com
 Nessuno
API Cloud Vision vision.googleapis.com
 Nessuno
Cloud VPN compute.googleapis.com
 Nessuno
Compute Engine compute.googleapis.com
 Vincoli dei criteri dell'organizzazione
Contact Center AI Insights contactcenterinsights.googleapis.com
 Nessuno
Eventarc eventarc.googleapis.com
 Nessuno
Filestore file.googleapis.com
 Nessuno
Google Kubernetes Engine container.googleapis.com
containersecurity.googleapis.com
 Nessuno
Memorystore for Redis redis.googleapis.com
 Nessuno
Persistent Disk compute.googleapis.com
 Nessuno
Secret Manager secretmanager.googleapis.com
 Nessuno
Sensitive Data Protection dlp.googleapis.com
 Nessuno
Speech-to-Text speech.googleapis.com
 Nessuno
Text-to-Speech texttospeech.googleapis.com
 Nessuno
Virtual Private Cloud (VPC) compute.googleapis.com
 Nessuno
Controlli di servizio VPC accesscontextmanager.googleapis.com
 Nessuno

Restrizioni e limitazioni

Le sezioni seguenti descrivono le limitazioni o le limitazioni per le funzionalità a livello di Google Cloud o specifiche del prodotto, inclusi eventuali vincoli delle norme dell'organizzazione impostati per impostazione predefinita nelle cartelle dei controlli per la sanità e le scienze biologiche.

Vincoli dei criteri dell'organizzazione a livello di Google Cloud

I seguenti vincoli dei criteri dell'organizzazione si applicano a qualsiasi servizio Google Cloud applicabile.

Vincolo dei criteri dell'organizzazione Descrizione
gcp.resourceLocations Imposta le seguenti località nell'elenco allowedValues:
  • us-locations
  • us-central1
  • us-central2
  • us-west1
  • us-west2
  • us-west3
  • us-west4
  • us-east1
  • us-east4
  • us-east5
  • us-south1
Questo valore limita la creazione di nuove risorse solo al gruppo di valori selezionato. Se impostato, non è possibile creare risorse in altre regioni, regioni multiple o località al di fuori della selezione. Per ulteriori informazioni, consulta la documentazione relativa ai gruppi di valori delle norme dell'organizzazione.
gcp.restrictServiceUsage Imposta l'opzione su "Consenti tutti i servizi supportati".

Determina quali servizi possono essere attivati e utilizzati. Per ulteriori informazioni, consulta Limitare l'utilizzo delle risorse per i carichi di lavoro.
gcp.restrictTLSVersion Impostato per negare le seguenti versioni TLS:
  • TLS_VERSION_1
  • TLS_VERSION_1_1
Per saperne di più, consulta la pagina Limita versioni TLS.

Compute Engine

Vincoli dei criteri dell'organizzazione di Compute Engine

Vincolo dei criteri dell'organizzazione Descrizione
compute.disableGlobalCloudArmorPolicy Imposta su True.

Disabilita la creazione dei criteri di sicurezza di Google Cloud Armor.

Spanner

Funzionalità di Spanner interessate

Funzionalità Descrizione
Dividi confini Spanner usa un piccolo sottoinsieme di chiavi primarie colonne da definire confini separati, che possono includere dati dei clienti e metadati. Un confine di suddivisione in Spanner indica la posizione in cui gli intervalli contigui di righe vengono suddivisi in pezzi più piccoli.

Questi confini di suddivisione sono accessibili al personale di Google a scopo di assistenza tecnica e debug e non sono soggetti ai controlli dei dati di accesso amministrativo in Controlli per il settore sanitario e delle scienze biologiche.

Vincoli dei criteri dell'organizzazione di Spanner

Vincolo dei criteri dell'organizzazione Descrizione
spanner.assuredWorkloadsAdvancedServiceControls Imposta su True.

Applica controlli aggiuntivi per la sovranità dei dati e la supportabilità Risorse Spanner.
spanner.disableMultiRegionInstanceIfNoLocationSelected Imposta su True.

Disattiva la possibilità di creare istanze Spanner multiregione per applicare la residenza dei dati e la sovranità dei dati.

Passaggi successivi