Modello di postura predefinito per ISO 27001

Questa pagina descrive i criteri di rilevamento inclusi nella versione 1.0 del modello di postura predefinito per lo standard ISO 27001. Questo modello include un set di criteri che definisce i rilevatori di Security Health Analytics che si applicano ai carichi di lavoro che devono essere conformi allo standard ISO 27001.

Puoi eseguire il deployment di questo modello di postura senza apportare modifiche.

Rilevatori di Security Health Analytics

La tabella seguente descrive i rilevatori di Security Health Analytics inclusi in questo modello di postura.

Nome rilevatore Descrizione
SQL_CROSS_DB_OWNERSHIP_CHAINING

Questo rilevatore verifica se il flag cross_db_ownership_chaining in Cloud SQL per SQL Server non è disattivato.
INSTANCE_OS_LOGIN_DISABLED

Questo rilevatore verifica se OS Login non è attivo.
SQL_SKIP_SHOW_DATABASE_DISABLED

Questo rilevatore verifica se il flag skip_show_database in Cloud SQL per MySQL non è attivo.
ESSENTIAL_CONTACTS_NOT_CONFIGURED

Questo rilevatore verifica se hai almeno un contatto necessario.
AUDIT_LOGGING_DISABLED

Questo rilevatore verifica se l'audit logging è disattivato per una risorsa.
VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED

Questo rilevatore verifica se Log di flusso VPC non è attivo.
API_KEY_EXISTS

Questo rilevatore verifica se un progetto utilizza chiavi API anziché l'autenticazione standard.
SQL_LOG_MIN_ERROR_STATEMENT_SEVERITY

Questo rilevatore verifica se il flag log_min_error_statement in Cloud SQL per PostgreSQL non ha un livello di gravità appropriato.
LOCKED_RETENTION_POLICY_NOT_SET

Questo rilevatore verifica se il criterio di conservazione bloccato è impostato per i log.
SQL_LOG_DISCONNECTIONS_DISABLED

Questo rilevatore verifica se il flag log_disconnections in Cloud SQL per PostgreSQL non è attivo.
COMPUTE_SERIAL_PORTS_ENABLED

Questo rilevatore verifica se le porte seriali sono abilitate.
COMPUTE_PROJECT_WIDE_SSH_KEYS_ALLOWED

Questo rilevatore verifica se vengono utilizzate chiavi SSH a livello di progetto.
KMS_KEY_NOT_ROTATED

Questo rilevatore controlla se la rotazione per la crittografia di Cloud Key Management Service non è attiva.
DNS_LOGGING_DISABLED

Questo rilevatore verifica se il logging DNS è abilitato sulla rete VPC.
SQL_LOCAL_INFILE

Questo rilevatore verifica se il flag local_infile in Cloud SQL per MySQL non è disattivato.
SQL_LOG_MIN_DURATION_STATEMENT_ENABLED

Questo rilevatore verifica se il flag log_min_duration_statement in Cloud SQL per PostgreSQL non è impostato su -1.
PUBLIC_DATASET

Questo rilevatore verifica se un set di dati è configurato per essere aperto all'accesso pubblico. Per ulteriori informazioni, consulta la sezione Risultati sulle vulnerabilità dei set di dati.
DISK_CSEK_DISABLED

Questo rilevatore verifica se il supporto della chiave di crittografia fornita dal cliente (CSEK) è disattivato per una VM.
SQL_USER_CONNECTIONS_CONFIGURED

Questo rilevatore verifica se è configurato il flag user connections in Cloud SQL per SQL Server.
SERVICE_ACCOUNT_ROLE_SEPARATION

Questo rilevatore verifica la separazione dei doveri per le chiavi degli account di servizio.
AUDIT_CONFIG_NOT_MONITORED

Questo rilevatore verifica se le modifiche alla configurazione dell'audit vengono monitorate.
BUCKET_IAM_NOT_MONITORED

Questo rilevatore verifica se il logging è disattivato per le modifiche alle autorizzazioni IAM in Cloud Storage.
PUBLIC_SQL_INSTANCE

Questo rilevatore verifica se Cloud SQL consente le connessioni da tutti gli indirizzi IP.
AUTO_BACKUP_DISABLED

Questo rilevatore verifica se in un database Cloud SQL non sono attivati i backup automatici.
DATAPROC_CMEK_DISABLED

Questo rilevatore verifica se il supporto CMEK è disattivato per un cluster Dataproc.
LOG_NOT_EXPORTED

Questo rilevatore verifica se per una risorsa non è configurato un sink di log.
KMS_PROJECT_HAS_OWNER

Questo rilevatore verifica se un utente dispone dell'autorizzazione Proprietario per un progetto che include chiavi.
KMS_ROLE_SEPARATION

Questo rilevatore verifica la separazione dei doveri per le chiavi Cloud KMS.
API_KEY_APIS_UNRESTRICTED

Questo rilevatore controlla se le chiavi API vengono utilizzate in modo troppo ampio.
SQL_LOG_MIN_MESSAGES

Questo rilevatore verifica se il flag log_min_messages in Cloud SQL per PostgreSQL non è impostato su warning.
SQL_PUBLIC_IP

Questo rilevatore verifica se un database Cloud SQL ha un indirizzo IP esterno.
DATASET_CMEK_DISABLED

Questo rilevatore verifica se il supporto CMEK è disattivato per un set di dati BigQuery.
FIREWALL_NOT_MONITORED

Questo rilevatore verifica se le metriche di log e gli avvisi non sono configurati per monitorare le modifiche alle regole del firewall VPC.
SQL_LOG_STATEMENT

Questo rilevatore verifica se il flag log_statement nel server Cloud SQL per PostgreSQL non è impostato su ddl.
BIGQUERY_TABLE_CMEK_DISABLED

Questo rilevatore verifica se una tabella BigQuery non è configurata per l'utilizzo di una chiave di crittografia gestita dal cliente (CMEK). Per ulteriori informazioni, consulta la sezione Risultati sulle vulnerabilità dei set di dati.
CONFIDENTIAL_COMPUTING_DISABLED

Questo rilevatore verifica se Confidential Computing è disattivato.
SQL_INSTANCE_NOT_MONITORED

Questo rilevatore verifica se il logging è disattivato per le modifiche alla configurazione di Cloud SQL.
KMS_PUBLIC_KEY

Questo rilevatore verifica se una chiave di crittografia di Cloud Key Management Service è accessibile pubblicamente. Per saperne di più, consulta la sezione Risultati di vulnerabilità KMS.
DEFAULT_NETWORK

Questo rilevatore verifica se in un progetto esiste la rete predefinita.
SQL_TRACE_FLAG_3625

Questo rilevatore verifica se il flag 3625 (trace flag) in Cloud SQL per SQL Server non è attivo.
API_KEY_NOT_ROTATED

Questo rilevatore verifica se una chiave API è stata ruotata negli ultimi 90 giorni.
DNSSEC_DISABLED

Questo rilevatore verifica se la sicurezza DNS (DNSSEC) è disattivata per Cloud DNS. Per saperne di più, consulta la sezione Risultati di vulnerabilità DNS.
SQL_LOG_CONNECTIONS_DISABLED

Questo rilevatore verifica se il flag log_connections in Cloud SQL per PostgreSQL non è attivo.
LEGACY_NETWORK

Questo rilevatore verifica se in un progetto esiste una rete legacy.
PUBLIC_IP_ADDRESS

Questo rilevatore verifica se un'istanza ha un indirizzo IP esterno.
FULL_API_ACCESS

Questo rilevatore verifica se un'istanza utilizza un account di servizio predefinito con accesso completo a tutte le API Google Cloud.
SQL_CONTAINED_DATABASE_AUTHENTICATION

Questo rilevatore verifica se il flag contained database authentication in Cloud SQL per SQL Server non è disattivato.
OS_LOGIN_DISABLED

Questo rilevatore verifica se OS Login è disattivato.
SQL_USER_OPTIONS_CONFIGURED

Questo rilevatore verifica se è configurato il flag user options in Cloud SQL per SQL Server.
ADMIN_SERVICE_ACCOUNT

Questo rilevatore verifica se un account di servizio dispone dei privilegi Amministratore, Proprietario o Editor.
DEFAULT_SERVICE_ACCOUNT_USED

Questo rilevatore verifica se è in uso l'account di servizio predefinito.
NETWORK_NOT_MONITORED

Questo rilevatore verifica se le metriche di log e gli avvisi non sono configurati per monitorare le modifiche alla rete VPC.
PUBLIC_BUCKET_ACL

Questo rilevatore verifica se un bucket è accessibile pubblicamente.
CUSTOM_ROLE_NOT_MONITORED

Questo rilevatore verifica se il logging è disattivato per le modifiche ai ruoli personalizzati.
SQL_LOG_ERROR_VERBOSITY

Questo rilevatore verifica se il flag log_error_verbosity in Cloud SQL per PostgreSQL non è impostato su default.
LOAD_BALANCER_LOGGING_DISABLED

Questo rilevatore verifica se il logging è disattivato per il bilanciatore del carico.
OVER_PRIVILEGED_SERVICE_ACCOUNT_USER

Questo rilevatore verifica se un utente dispone di ruoli per l'account di servizio a livello di progetto, anziché per un account di servizio specifico.
SQL_REMOTE_ACCESS_ENABLED

Questo rilevatore verifica se il flag remote_access in Cloud SQL per SQL Server non è disattivato.
RSASHA1_FOR_SIGNING

Questo rilevatore verifica se RSASHA1 viene utilizzato per la firma della chiave nelle zone Cloud DNS.
CLOUD_ASSET_API_DISABLED

Questo rilevatore verifica se Cloud Asset Inventory è disattivato.
BUCKET_POLICY_ONLY_DISABLED

Questo rilevatore verifica se è configurato un accesso uniforme a livello di bucket.
ROUTE_NOT_MONITORED

Questo rilevatore verifica se le metriche di log e gli avvisi non sono configurati per monitorare le modifiche alle route di rete VPC.
OWNER_NOT_MONITORED

Questo rilevatore verifica se il logging è disattivato per le assegnazioni e le modifiche alla proprietà dei progetti.

Definizione YAML

Di seguito è riportata la definizione YAML per il modello di posture per ISO 27001.

name: organizations/123/locations/global/postureTemplates/iso_27001
description: Posture Template to make your workload ISO-27001 compliant.
revision_id: v.1.0
state: ACTIVE
policy_sets:
- policy_set_id: ISO-27001 detective policy set
  description: 63 SHA modules that new customers can automatically enable.
  policies:
  - policy_id: SQL cross DB ownership chaining
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_CROSS_DB_OWNERSHIP_CHAINING
  - policy_id: Instance OS login disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: INSTANCE_OS_LOGIN_DISABLED
  - policy_id: SQL skip show database disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_SKIP_SHOW_DATABASE_DISABLED
  - policy_id: Essential contacts not configured
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: ESSENTIAL_CONTACTS_NOT_CONFIGURED
  - policy_id: Audit logging disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: AUDIT_LOGGING_DISABLED
  - policy_id: VPC flow logs settings not recommended
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED
  - policy_id: API key exists
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: API_KEY_EXISTS
  - policy_id: SQL log min error statement severity
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_LOG_MIN_ERROR_STATEMENT_SEVERITY
  - policy_id: Locked retention policy not set
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: LOCKED_RETENTION_POLICY_NOT_SET
  - policy_id: SQL log disconnections disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_LOG_DISCONNECTIONS_DISABLED
  - policy_id: Compute serial ports enabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: COMPUTE_SERIAL_PORTS_ENABLED
  - policy_id: Compute project wide ssh keys allowed
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: COMPUTE_PROJECT_WIDE_SSH_KEYS_ALLOWED
  - policy_id: KMS key not rotated
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: KMS_KEY_NOT_ROTATED
  - policy_id: DNS logging disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: DNS_LOGGING_DISABLED
  - policy_id: SQL local infile
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_LOCAL_INFILE
  - policy_id: SQL log min duration statement enabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_LOG_MIN_DURATION_STATEMENT_ENABLED
  - policy_id: Public dataset
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: PUBLIC_DATASET
  - policy_id: Disk CSEK disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: DISK_CSEK_DISABLED
  - policy_id: SQL user connections configured
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_USER_CONNECTIONS_CONFIGURED
  - policy_id: Service account role separation
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SERVICE_ACCOUNT_ROLE_SEPARATION
  - policy_id: Audit config not monitored
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: AUDIT_CONFIG_NOT_MONITORED
  - policy_id: Bucket IAM not monitored
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: BUCKET_IAM_NOT_MONITORED
  - policy_id: Public SQL instance
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: PUBLIC_SQL_INSTANCE
  - policy_id: Auto backup disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: AUTO_BACKUP_DISABLED
  - policy_id: Dataproc CMEK disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: DATAPROC_CMEK_DISABLED
  - policy_id: Log not exported
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: LOG_NOT_EXPORTED
  - policy_id: KMS project has owner
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: KMS_PROJECT_HAS_OWNER
  - policy_id: KMS role separation
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: KMS_ROLE_SEPARATION
  - policy_id: API key APIs unrestricted
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: API_KEY_APIS_UNRESTRICTED
  - policy_id: SQL log min messages
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_LOG_MIN_MESSAGES
  - policy_id: SQL public IP
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_PUBLIC_IP
  - policy_id: Dataset CMEK disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: DATASET_CMEK_DISABLED
  - policy_id: Firewall not monitored
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: FIREWALL_NOT_MONITORED
  - policy_id: SQL log statement
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_LOG_STATEMENT
  - policy_id: BigQuery table CMEK disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: BIGQUERY_TABLE_CMEK_DISABLED
  - policy_id: Confidential computing disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: CONFIDENTIAL_COMPUTING_DISABLED
  - policy_id: SQL instance not monitored
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_INSTANCE_NOT_MONITORED
  - policy_id: KMS public key
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: KMS_PUBLIC_KEY
  - policy_id: Default network
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: DEFAULT_NETWORK
  - policy_id: SQL trace flag 3625
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_TRACE_FLAG_3625
  - policy_id: API key not rotated
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: API_KEY_NOT_ROTATED
  - policy_id: DNSSEC disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: DNSSEC_DISABLED
  - policy_id: SQL log connections disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_LOG_CONNECTIONS_DISABLED
  - policy_id: Legacy network
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: LEGACY_NETWORK
  - policy_id: Public IP address
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: PUBLIC_IP_ADDRESS
  - policy_id: Full API access
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: FULL_API_ACCESS
  - policy_id: SQL contained database authentication
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_CONTAINED_DATABASE_AUTHENTICATION
  - policy_id: OS login disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: OS_LOGIN_DISABLED
  - policy_id: SQL user options configured
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_USER_OPTIONS_CONFIGURED
  - policy_id: Admin service account
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: ADMIN_SERVICE_ACCOUNT
  - policy_id: Default service account used
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: DEFAULT_SERVICE_ACCOUNT_USED
  - policy_id: Network not monitored
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: NETWORK_NOT_MONITORED
  - policy_id: Public bucket ACL
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: PUBLIC_BUCKET_ACL
  - policy_id: Custom role not monitored
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: CUSTOM_ROLE_NOT_MONITORED
  - policy_id: SQL log error verbosity
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_LOG_ERROR_VERBOSITY
  - policy_id: Load balancer logging disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: LOAD_BALANCER_LOGGING_DISABLED
  - policy_id: Over privileged service account user
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: OVER_PRIVILEGED_SERVICE_ACCOUNT_USER
  - policy_id: SQL remote access enabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: SQL_REMOTE_ACCESS_ENABLED
  - policy_id: RSASHA1 for signing
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: RSASHA1_FOR_SIGNING
  - policy_id: Cloud asset API disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: CLOUD_ASSET_API_DISABLED
  - policy_id: Bucket policy only disabled
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: BUCKET_POLICY_ONLY_DISABLED
  - policy_id: Route not monitored
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: ROUTE_NOT_MONITORED
  - policy_id: Owner not monitored
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: OWNER_NOT_MONITORED

Passaggi successivi