Assurer la conformité avec la gestion des clés

Cette page fournit des informations pour vous aider à garantir la conformité avec la gestion des clés en utilisant le chiffrement pour Assured Workloads.

Présentation

La gestion des clés de chiffrement est essentielle pour assurer la conformité réglementaire des ressources Google Cloud . Assured Workloads permet de respecter ces exigences de conformité grâce au chiffrement fourni par les méthodes suivantes.

CJIS, ITAR et IL5:clés gérées par le client et séparation des tâches:

  • CMEK: Assured Workloads exige l'utilisation de clés de chiffrement gérées par le client (CMEK) pour prendre en charge ces packages de contrôle.
  • Projet de gestion des clés: Assured Workloads crée un projet de gestion des clés pour se conformer aux contrôles de sécurité NIST 800-53. Le projet de gestion des clés est séparé des projets de ressources afin d'établir la séparation des tâches entre les administrateurs de sécurité et les développeurs.

  • Trousseau de clés: Assured Workloads crée également un trousseau de clés pour stocker vos clés. Le projet CMEK limite la création des trousseaux de clés aux emplacements conformes que vous sélectionnez. Une fois le trousseau de clés créé, vous devez gérer la création ou l'importation des clés de chiffrement. Le chiffrement renforcé, la gestion des clés et la séparation des tâches offrent tous des résultats positifs en termes de sécurité et de conformité sur Google Cloud.

Autres packages de contrôle (y compris IL4): Google-owned and Google-managed encryption keys et autres options de chiffrement:

Stratégies de chiffrement

Cette section décrit les stratégies de chiffrement Assured Workloads.

Création de CMEK Assured Workloads

Les CMEK vous permettent de contrôler parfaitement vos données et votre gestion des clés en vous donnant un contrôle total sur le cycle de vie complet de vos clés, de la création à la suppression. Cette fonctionnalité est essentielle pour assurer la conformité aux exigences d'effacement cryptographique dans le Cloud Computing SRG.

Services

Services bénéficiant d'une intégration des CMEK

Le chiffrement CMEK couvre les services suivants, qui stockent les données client pour CJIS.

Autres services : gestion des clés personnalisées

Pour les services qui ne bénéficient pas d'une intégration des clés CMEK, ou pour les clients dont les packages de contrôle n'exigent pas de clés CMEK, les clients Assured Workloads peuvent utiliser les clés Cloud Key Management Service gérées par Google. Cette option est proposée afin de fournir aux clients des options supplémentaires pour la gestion des clés conformément à leurs exigences métier. Aujourd'hui, l'intégration des clés CMEK est limitée aux services couverts et compatibles avec les fonctionnalités CMEK. Le service KMS géré par Google est une méthode de chiffrement acceptable, car il s'applique par défaut à tous les Google Cloud produits et services et fournit un chiffrement certifié FIPS 140-2, en transit et au repos.

Pour découvrir les autres produits compatibles avec Assured Workloads, consultez la section Produits compatibles par package de contrôle.

Rôles de gestion des clés

Les administrateurs et les développeurs implémentent généralement les bonnes pratiques de conformité et de sécurité via la gestion des clés et la séparation des tâches. Par exemple, les développeurs peuvent avoir accès au dossier Assured Workloads alors que les administrateurs ont accès au projet de gestion des clés CMEK.

Administrateurs

Les administrateurs contrôlent généralement l'accès au projet de chiffrement et aux ressources de clé qu'il contient. Les administrateurs sont chargés d'attribuer des ID de ressource de clé aux développeurs pour le chiffrement des ressources. Cette pratique sépare la gestion des clés du processus de développement et permet aux administrateurs de sécurité de gérer les clés de chiffrement de manière centralisée dans le projet CMEK.

Les administrateurs de sécurité peuvent utiliser les stratégies de clé de chiffrement suivantes avec Assured Workloads :

Développeurs

Pendant le développement, lorsque vous provisionnez et configurez des ressources Google Cloudcouvertes qui nécessitent une clé de chiffrement CMEK, vous devez demander l'ID de ressource de clé à votre administrateur. Si vous n'utilisez pas de clé CMEK, nous vous recommandons d'utiliserGoogle-owned and Google-managed encryption keys pour vous assurer que les données sont bien chiffrées.

La méthode de requête est déterminée par votre organisation dans le cadre de vos processus et procédures de sécurité documentés.

Étape suivante