Compliance mit Schlüsselverwaltung unterstützen

Auf dieser Seite finden Sie Informationen zur Unterstützung der Compliance bei der Schlüsselverwaltung mithilfe von Verschlüsselung für Assured Workloads.

Überblick

Die Verwaltung von Verschlüsselungsschlüsseln ist für die Compliance mit gesetzlichen Vorschriften bei Google Cloud-Ressourcen von grundlegender Bedeutung. Assured Workloads unterstützt die Compliance auf folgende Arten durch Verschlüsselung:

  1. CJIS: Vom Kunden verwaltete Schlüssel und Aufgabentrennung, optional für IL4 und IL5.

    1. CMEK: Assured Workloads schreibt die Verwendung von vom Kunden verwalteten Verschlüsselungsschlüsseln (CMEKs) vor, um diese Compliance-Programme zu unterstützen.
    2. Schlüsselverwaltungsprojekt: Assured Workloads erstellt ein Schlüsselverwaltungsprojekt, das auf die NIST 800-53-Sicherheitskontrollen ausgerichtet ist. Das Schlüsselverwaltungsprojekt ist von Ressourcenordnern getrennt, um eine Aufgabentrennung zwischen Sicherheitsadministratoren und Entwicklern einzurichten.

    3. Schlüsselbund: Assured Workloads erstellt auch einen Schlüsselbund, um Ihre Schlüssel zu speichern. Das CMEK-Projekt beschränkt die Erstellung von Schlüsselbunden auf konforme Standorte, die Sie auswählen. Nachdem Sie den Schlüsselbund erstellt haben, verwalten Sie das Erstellen oder Importieren von Verschlüsselungsschlüsseln. Eine starke Verschlüsselung, Schlüsselverwaltung und Aufgabentrennung unterstützen positive Sicherheits- und Compliance-Ergebnisse in Google Cloud.

  2. Andere Complianceprogramme (einschließlich IL4 und IL5): von Google verwaltete Schlüssel und andere Verschlüsselungsoptionen.

Verschlüsselungsstrategien

In diesem Abschnitt werden die Verschlüsselungsstrategien von Assured Workloads beschrieben.

CMEK-Erstellung in Assured Workloads

Mit CMEK erhalten Sie erweiterte Kontrollen über Ihre Daten- und Schlüsselverwaltung, indem Sie Ihren gesamten Schlüssellebenszyklus verwalten, vom Erstellen bis zum Löschen. Diese Funktion ist entscheidend für die Unterstützung kryptografischer Löschanforderungen im Cloud Computing SRG.

Dienste

CMEK-integrierte Dienste

CMEK deckt die folgenden Dienste ab, in denen Kundendaten für CJIS gespeichert werden.

Andere Dienste: Verwaltung benutzerdefinierter Schlüssel

Für Dienste, die nicht in CMEK eingebunden sind, oder für Kunden, deren Complianceprogramme keinen CMEK erfordern, haben Assured Workloads-Kunden die Möglichkeit, von Google verwaltete Cloud Key Management Service-Schlüssel zu verwenden. Diese Option wird angeboten, um Kunden zusätzliche Optionen für die Schlüsselverwaltung zu bieten, die den Anforderungen Ihres Unternehmens entsprechen. Derzeit ist die CMEK-Integration auf die Dienste innerhalb des Geltungsbereichs beschränkt, die CMEK-Funktionen unterstützen. Der von Google verwaltete KMS ist eine akzeptable Verschlüsselungsmethode, da er standardmäßig alle Google Cloud-Produkte und -Dienste mit FIPS 140-2-validierter Verschlüsselung bei der Übertragung und im inaktiven Zustand abdeckt.

Informationen zu anderen von Assured Workloads unterstützten Produkten finden Sie unter Unterstützte Produkte nach Complianceprogramm.

Schlüsselverwaltungsrollen

Administratoren und Entwickler unterstützen in der Regel Best Practices für Compliance und Sicherheit durch Schlüsselverwaltung und Aufgabentrennung. Beispielsweise haben Entwickler möglicherweise Zugriff auf den Assured Workloads-Ressourcenordner, Administratoren dagegen auf das CMEK-Schlüsselverwaltungsprojekt.

Administratoren

Administratoren steuern normalerweise den Zugriff auf das Verschlüsselungsprojekt und die darin enthaltenen Schlüsselressourcen. Die Administratoren sind dafür verantwortlich, Entwicklern Schlüsselressourcen-IDs zuzuweisen, damit sie Ressourcen verschlüsseln können. Bei dieser Vorgehensweise wird die Verwaltung von Schlüsseln vom Entwicklungsprozess getrennt. Außerdem können Sicherheitsadministratoren Verschlüsselungsschlüssel zentral im CMEK-Projekt verwalten.

Sicherheitsadministratoren können bei Assured Workloads die folgenden Verschlüsselungsschlüsselstrategien verwenden:

Entwicklerinnen und Entwickler

Wenn Sie während der Entwicklung Google Cloud-Ressourcen innerhalb des Geltungsbereichs bereitstellen und konfigurieren, die einen CMEK-Verschlüsselungsschlüssel erfordern, fordern Sie die Ressourcen-ID des Schlüssels von Ihrem Administrator an. Wenn Sie nicht CMEK verwenden, empfehlen wir, von Google verwaltete Schlüssel zu verwenden, um sicherzustellen, dass die Daten verschlüsselt werden.

Die Anfragemethode wird von Ihrer Organisation als Teil Ihrer dokumentierten Sicherheitsprozesse und -verfahren bestimmt.

Nächste Schritte