数据和基础架构安全概览

本页面介绍适用于 Security Command Center 的数据和基础架构安全性。

数据处理

当您注册 Security Command Center 时， Google Cloud 会处理与您所用的 Google Cloud 服务相关的信息，包括：

  • 与您的 Google Cloud资源关联的配置和元数据
  • Identity and Access Management (IAM) 政策和用户的配置和元数据
  • Google Cloud级 API 访问模式和用法
  • 适用于 Google Cloud 组织的 Cloud Logging 内容
  • Security Command Center 元数据，包括服务设置和安全发现结果

Security Command Center 会处理与您配置来扫描或监控的云日志和资源相关的数据，包括遥测数据和其他数据，以提供发现结果并改进服务。 因此，Google 会根据 Google Cloud 隐私权声明的条款将扫描和监控报告作为服务数据进行处理。

为了保护资源免受新威胁和不断演变的威胁的影响，Security Command Center 会分析与配置错误的资源相关的数据、日志中的失陷指标和攻击途径。这些活动可能包括用于改进服务模型的处理、强化客户环境安全的建议、服务的有效性和质量以及用户体验。如果您希望在不处理您的数据以改进服务的情况下使用服务，可以与 Google Cloud 支持团队联系退出该计划。如果您选择不处理您的数据，则可能无法使用某些依赖于安全遥测的功能。此类示例包括为您的环境量身定制的自定义检测，以及包含您的服务配置的服务改进。

系统会对数据进行静态加密以及对内部系统之间传输的数据进行加密。此外，Security Command Center 的数据访问权限控制符合《健康保险流通与责任法案》(HIPAA) 和其他 Google Cloud合规性要求。

限制敏感数据

组织中的管理员和其他特权用户在向 Security Command Center 添加数据时必须小心谨慎。

通过 Security Command Center，特权用户可向Google Cloud 资源以及扫描生成的发现结果添加描述性信息。在某些情况下，用户在使用产品时可能会在无意间中继敏感数据，例如向发现结果添加客户名称或账号。为了保护您的数据，我们建议您在命名或注释资产时避免添加敏感信息。

作为一项额外的保护措施，Security Command Center 可与 Sensitive Data Protection 集成。Sensitive Data Protection 会发现、分类和遮盖敏感数据和个人信息，例如信用卡号、社会保障号和 Google Cloud 凭证。

Sensitive Data Protection 费用可能相当大，具体取决于信息的数量。请遵循控制 Sensitive Data Protection 费用的最佳实践。

如需了解如何设置 Security Command Center（包括管理资源），请参阅优化 Security Command Center。

发现结果的数据保留

Security Command Center 处理的数据会捕获并存储在发现结果中，这些发现结果用于标识组织、文件夹和项目内的资源和资产中的威胁、漏洞和错误配置。发现结果包含一系列每日快照，用于捕获发现结果每天的状态和属性。

下表列出了 Security Command Center 中发现结果的保留期限。

发现结果 保留期限
非活跃漏洞 7 天
非活跃错误配置 30 天
所有活跃内容（威胁除外） 在经过以下时长后删除：
  • 13 个月（企业方案和高级方案）
  • 35 天（标准方案）
所有其他发现结果 90 天

只要发现结果至少有一个快照仍在适用的保留期限内，就会持续保存在 Security Command Center 中。如需将发现结果及其所有数据保留更长时间，请将其导出到其他存储位置。如需了解详情，请参阅导出 Security Command Center 数据。

任何第三方发现结果都会依据其创建时间，在超过保留期限后被删除。如果发现结果是错误生成的，或者没有任何安全、风险或合规性价值，则可能会随时被删除。

对于所有层级，如果组织被从 Google Cloud中删除，则保留期限的规定将不适用。某个组织被删除后，源自该组织及其文件夹和项目的所有发现结果都将在 Google Cloud 上的数据删除中记录的保留期限内被删除。

如果项目被删除，该项目的发现结果不会一并被删除，而是会保留下来，以方便包含所删除项目的组织进行审核。保留期限取决于所删除项目中激活的层级：企业方案和高级方案层级的保留期限为 13 个月，标准方案层级为 35 天。

如果您删除项目并需要同时删除项目的所有发现结果，请与 Cloud Customer Care 联系，他们可以为您提前删除项目中的所有发现结果。

磁盘克隆的数据保留

Virtual Machine Threat Detection 会获取虚拟机永久性磁盘的短期克隆，并将其存储在 Google 拥有的项目中，对于可用区级磁盘，存储在同一可用区中；对于区域级磁盘，则存储在同一区域中。VM Threat Detection 会扫描磁盘克隆，并在完成磁盘扫描活动和处理错误（例如超时）后一小时内将其删除。

基础架构安全

Security Command Center 构建于 Google 用于自己的消费者和企业服务的基础架构之上。我们的基础架构的分层安全机制旨在保护 Google Cloud中的所有服务、数据、通信和操作。

如需详细了解 Google 的基础架构安全，请参阅 Google 基础架构安全设计概览。

后续步骤