KI-Schutz konfigurieren

AI Protection hilft Ihnen, Ihre KI-Assets und ‑Workflows zu schützen, indem Ihre Modelle, Daten und KI-bezogene Infrastruktur überwacht werden. In diesem Leitfaden wird beschrieben, wie Sie AI Protection konfigurieren.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für Ihre Organisation zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Konfigurieren von AI Protection und zum Aufrufen von Dashboarddaten benötigen:

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Mit den folgenden Google Cloud CLI-Befehlen können Sie einem Nutzer die oben genannten Rollen zuweisen:

Rollen mit der gcloud CLI zuweisen

  • Führen Sie den folgenden Befehl aus, um einem Nutzer die Rolle „Security Center Admin Viewer“ zuzuweisen:

    gcloud organizations add-iam-policy-binding ORGANIZATION_ID
  --member=user:USER_EMAIL_ID
  --role=roles/securitycenter.admin

  • Führen Sie den folgenden Befehl aus, um einem Nutzer die Rolle „Security Center Admin Viewer“ zuzuweisen:

    gcloud organizations add-iam-policy-binding ORGANIZATION_ID
  --member=user:USER_EMAIL_ID
  --role=roles/securitycenter.adminViewer

    Ersetzen Sie Folgendes:

    • ORGANIZATION_ID: die numerische Organisations-ID
    • USER_EMAIL_ID: die E-Mail-Adresse des Nutzers, der Zugriff benötigt

Unterstützte Regionen

Eine Liste der Regionen, in denen AI Protection unterstützt wird, finden Sie unter Regionale Endpunkte.

Zugriff für Dienstkonten

Achten Sie darauf, dass alle in den folgenden Abschnitten erwähnten Dienstkonten nicht durch eine Organisationsrichtlinie blockiert werden.

KI-Schutz einrichten

So aktivieren Sie den KI-Schutz auf Organisationsebene:

  1. Wenn Sie Security Command Center in Ihrer Organisation noch nicht aktiviert haben, aktivieren Sie Security Command Center Enterprise.
  2. Nachdem Sie die Enterprise-Dienststufe von Security Command Center aktiviert haben, richten Sie AI Protection anhand der Anleitung im SCC-Einrichtungsleitfaden ein:
    1. Maximieren Sie den Zusammenfassungsbereich Sicherheitsfunktionen prüfen.
    2. Klicken Sie im Bereich KI-Schutz auf Einrichten.
    3. Folgen Sie der Anleitung, um zu prüfen, ob die erforderlichen und abhängigen Dienste für AI Protection konfiguriert sind. Weitere Informationen dazu, was automatisch aktiviert wird und was eine zusätzliche Konfiguration erfordert, finden Sie unter Dienste aktivieren und konfigurieren Google Cloud.
  3. Aktivieren Sie die Erkennung der Ressourcen, die Sie mit AI Protection schützen möchten.

Google Cloud -Dienste aktivieren und konfigurieren

Nachdem Sie Security Command Center Enterprise aktiviert haben, aktivieren und konfigurieren Sie zusätzlicheGoogle Cloud -Dienste, um die vollständigen Funktionen von AI Protection zu nutzen.

Die folgenden Dienste werden automatisch aktiviert:

  • AI Discovery-Dienst
  • Angriffspfadsimulationen
  • Cloud-Audit-Logs
  • Cloud Monitoring
  • Compliancemanagement
  • Event Threat Detection
  • Verwaltung des Datensicherheitsstatus
  • Notebook Security Scanner
  • Schutz sensibler Daten

Für AI Protection sind die folgenden Dienste erforderlich:

Für einige dieser Dienste ist eine zusätzliche Konfiguration erforderlich, wie in den folgenden Abschnitten beschrieben.

AI Discovery-Dienst konfigurieren

Der AI Discovery-Dienst wird automatisch im Rahmen der Einrichtung von Security Command Center Enterprise aktiviert. Die IAM-Rolle „Monitoring Viewer“ (roles/monitoring.viewer) ist vorhanden. Prüfen Sie jedoch, ob sie auf das Dienstkonto der Security Command Center Enterprise-Organisation angewendet wird.

  1. Rufen Sie in der Google Cloud Console die Seite IAM auf.

    IAM aufrufen

  2. Klicken Sie auf Zugriff gewähren.

  3. Geben Sie im Feld Neue Hauptkonten das Dienstkonto der Security Command Center Enterprise-Organisation ein. Das Dienstkonto hat das Format service-org-ORG_ID@security-center-api.gserviceaccount.com. Ersetzen Sie ORG_ID durch Ihre Organisations-ID.

  4. Wählen Sie im Feld Rolle auswählen die Option Monitoring-Betrachter aus.

  5. Klicken Sie auf Speichern.

Erweiterte DSPM-Cloud-Steuerelemente konfigurieren

Konfigurieren Sie DSPM mit erweiterten Cloud-Steuerelementen für Datenzugriff, ‑fluss und ‑schutz. Weitere Informationen finden Sie unter Erweiterte Cloud-Sicherheitsfunktionen für Daten bereitstellen.

Wenn Sie ein benutzerdefiniertes Framework erstellen, das für KI-Arbeitslasten gilt, fügen Sie dem Framework die folgenden Cloud-Kontrollen hinzu:

  • Data Access Governance: Beschränken Sie den Zugriff auf sensible Daten auf bestimmte Hauptkonten wie Nutzer oder Gruppen. Sie geben zulässige Hauptkonten mit der IAM v2-Hauptkonto-ID-Syntax an. Sie können beispielsweise eine Richtlinie erstellen, die nur Mitgliedern von gdpr-processing-team@example.com den Zugriff auf bestimmte Ressourcen erlaubt.
  • Data Flow Governance: Beschränken Sie den Datenfluss auf bestimmte Regionen. Sie können beispielsweise eine Richtlinie erstellen, die den Zugriff auf Daten nur aus den USA oder der EU zulässt. Sie geben die zulässigen Ländercodes mit dem Unicode Common Locale Data Repository (CLDR) an.
  • Datenschutz (mit CMEK): Ressourcen, die ohne vom Kunden verwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEK) erstellt wurden, identifizieren und Empfehlungen erhalten. Sie können beispielsweise eine Richtlinie erstellen, um Ressourcen zu erkennen, die ohne CMEK für storage.googleapis.com und bigquery.googleapis.com erstellt wurden. Mit dieser Richtlinie werden unverschlüsselte Assets erkannt, aber ihre Erstellung wird nicht verhindert.

Model Armor konfigurieren

  1. Aktivieren Sie den modelarmor.googleapis.com-Dienst für jedes Projekt, in dem generative KI verwendet wird. Weitere Informationen
  2. Konfigurieren Sie die folgenden Einstellungen, um Sicherheits- und Schutzmaßnahmen für Prompts und Antworten von Large Language Models (LLMs) festzulegen:
    • Model Armor-Vorlagen: Erstellen Sie eine Model Armor-Vorlage. In diesen Vorlagen wird festgelegt, welche Arten von Risiken erkannt werden sollen, z. B. sensible Daten, Prompt-Injections und Jailbreak-Erkennung. Außerdem werden die Mindestschwellenwerte für diese Filter definiert.
    • Filter: Model Armor verwendet verschiedene Filter, um Risiken zu erkennen, darunter die Erkennung schädlicher URLs, die Erkennung von Prompt Injection und Jailbreaking sowie den Schutz sensibler Daten.
    • Mindesteinstellungen: Konfigurieren Sie die Mindesteinstellungen auf Projektebene, um den Standardschutz für alle Gemini-Modelle festzulegen.

Notebook Security Scanner konfigurieren

  1. Aktivieren Sie den Notebook Security Scanner-Dienst für Ihre Organisation. Weitere Informationen finden Sie unter Notebook Security Scanner aktivieren.
  2. Weisen Sie notebook-security-scanner-prod@system.gserviceaccount.com in allen Projekten, die Notebooks enthalten, die Rolle „Dataform-Betrachter“ (roles/dataform.viewer) zu.

Schutz sensibler Daten konfigurieren

Aktivieren Sie die dlp.googleapis.com API für Ihr Projekt und konfigurieren Sie Sensitive Data Protection, um nach sensiblen Daten zu suchen.

  1. Enable the Data Loss Prevention API.

    Enable the API

  2. Weisen Sie AI Protection-Nutzern die Rollen DLP Reader und DLP Data Profiles Admin zu.

  3. Sensitive Data Protection konfigurieren, um nach sensiblen Daten zu suchen.

Optional: Zusätzliche wertvolle Ressourcen konfigurieren

Konfiguration für den Wert von Ressourcen erstellen

Bei der nächsten Angriffspfadsimulation wird die Gruppe hochwertiger Ressourcen abgedeckt und es werden Angriffspfade generiert.

Nächste Schritte