Assurer la conformité avec la gestion des clés

Cette page fournit des informations sur la conformité avec la gestion des clés à l'aide du chiffrement pour Assured Workloads.

Présentation

La gestion des clés de chiffrement est essentielle pour assurer la conformité réglementaire des ressources Google Cloud. Assured Workloads assure la conformité grâce au chiffrement de différentes manières:

  1. CJIS ou ITAR: clés obligatoires gérées par le client et séparation des tâches facultatif pour les niveaux d'impact 4 (IL4) et d'impact 5 (IL5).

    1. CMEK : Assured Workloads exige l'utilisation de clés de chiffrement gérées par le client (CMEK) pour prendre en charge ces packages de contrôle.
    2. Projet de gestion des clés : Assured Workloads crée un projet de gestion des clés pour se conformer aux contrôles de sécurité NIST 800-53. Le projet de gestion des clés est séparé des projets de ressources afin d'établir la séparation des tâches entre les administrateurs de sécurité et les développeurs.

    3. Trousseau de clés : Assured Workloads crée également un trousseau de clés pour stocker vos clés. Le projet CMEK limite la création des trousseaux de clés aux emplacements conformes que vous sélectionnez. Une fois le trousseau de clés créé, vous devez gérer la création ou l'importation des clés de chiffrement. Le chiffrement renforcé, la gestion des clés et la séparation des tâches offrent tous des résultats positifs en termes de sécurité et de conformité sur Google Cloud.

  2. Autres packages de contrôle (y compris IL4 et IL5) : clés appartenant à Google et gérées par Google, ainsi que d'autres options de chiffrement.

Stratégies de chiffrement

Cette section décrit les stratégies de chiffrement Assured Workloads.

Création de CMEK Assured Workloads

CMEK vous permet de disposer de contrôles avancés sur la gestion de vos données et de vos clés en ce qui vous permet de gérer l'intégralité du cycle de vie de vos clés, de leur création de suppression. Cette fonctionnalité est essentielle pour assurer la conformité aux exigences d'effacement cryptographique dans le Cloud Computing SRG.

Services

Services bénéficiant d'une intégration des CMEK

Le chiffrement CMEK couvre les services suivants, qui stockent les données client pour CJIS.

Autres services : gestion des clés personnalisées

Pour les services qui ne sont pas intégrés aux CMEK ou pour les clients dont le contrôle ne nécessitent pas de clé CMEK, les clients Assured Workloads ont permettant d'utiliser des clés Cloud Key Management Service gérées par Google. Cette option est proposée afin de fournir aux clients des options supplémentaires de gestion des clés vos besoins organisationnels. Aujourd'hui, l'intégration des clés CMEK est limitée aux services couverts et compatibles avec les fonctionnalités CMEK. Le service KMS géré par Google est une méthode de chiffrement acceptable, car elle s'applique par défaut à tous les services et produits Google Cloud et fournit un chiffrement certifié FIPS 140-2, en transit et au repos.

Pour découvrir les autres produits compatibles avec Assured Workloads, consultez la section Produits compatibles par package de contrôle.

Rôles de gestion des clés

Les administrateurs et les développeurs implémentent généralement les bonnes pratiques de conformité et de sécurité via la gestion des clés et la séparation des tâches. Par exemple, les développeurs peuvent avoir accès au dossier Assured Workloads alors que les administrateurs ont accès au projet de gestion des clés CMEK.

Administrateurs

Les administrateurs contrôlent généralement l'accès au projet de chiffrement et aux ressources de clé qu'il contient. Les administrateurs sont chargés d'attribuer des ID de ressource de clé aux développeurs pour le chiffrement des ressources. Cette pratique sépare la gestion des clés du processus de développement et permet aux administrateurs de sécurité de gérer les clés de chiffrement de manière centralisée dans le projet CMEK.

Les administrateurs de sécurité peuvent utiliser les stratégies de clé de chiffrement suivantes avec Assured Workloads :

Développeurs

Pendant le développement, lorsque vous provisionnez et configurez des ressources Google Cloud couvertes qui nécessitent une clé de chiffrement CMEK, vous devez demander l'ID de ressource de clé à votre administrateur. Si vous n'utilisez pas de CMEK, nous vous recommandons d'utiliser Clés détenues et gérées par Google pour garantir le chiffrement des données.

La méthode de requête est déterminée par votre organisation dans le cadre de vos processus et procédures de sécurité documentés.

Étape suivante