Memantau folder Assured Workloads untuk mendeteksi pelanggaran

Assured Workloads secara aktif memantau folder Assured Workloads Anda untuk menemukan pelanggaran kepatuhan dengan membandingkan persyaratan paket kontrol folder dengan detail berikut:

  • Kebijakan organisasi: Setiap folder Assured Workloads dikonfigurasi dengan setelan batasan kebijakan organisasi tertentu yang membantu memastikan kepatuhan. Jika setelan ini diubah dengan cara yang tidak sesuai, akan terjadi pelanggaran. Lihat bagian Pelanggaran kebijakan organisasi yang dipantau untuk mengetahui informasi selengkapnya.
  • Resource: Bergantung pada setelan kebijakan organisasi folder Assured Workloads Anda, resource di bawah folder tersebut mungkin dibatasi, seperti jenis dan lokasinya. Lihat bagian Pelanggaran resource yang dipantau untuk mengetahui informasi selengkapnya. Jika ada resource yang tidak mematuhi kebijakan, akan terjadi pelanggaran.

Jika terjadi pelanggaran, Anda dapat menyelesaikannya atau membuat pengecualian untuk pelanggaran tersebut jika sesuai. Pelanggaran dapat memiliki salah satu dari tiga status berikut:

Pemantauan Assured Workloads diaktifkan secara otomatis saat Anda membuat folder Assured Workloads.

Sebelum memulai

Peran dan izin IAM yang diperlukan

Untuk melihat pelanggaran kebijakan organisasi atau pelanggaran resource, Anda harus diberi peran IAM di folder Assured Workloads yang berisi izin berikut:

  • assuredworkloads.violations.get
  • assuredworkloads.violations.list

Izin ini disertakan dalam peran IAM Assured Workloads berikut:

  • Administrator Assured Workloads (roles/assuredworkloads.admin)
  • Editor Assured Workloads (roles/assuredworkloads.editor)
  • Pembaca Assured Workloads (roles/assuredworkloads.reader)

Untuk mengaktifkan pemantauan pelanggaran resource, Anda harus diberi peran IAM di folder Assured Workloads yang berisi izin berikut:

  • assuredworkloads.workload.update: Izin ini disertakan dalam peran berikut:

    • Administrator Assured Workloads (roles/assuredworkloads.admin)
    • Editor Assured Workloads (roles/assuredworkloads.editor)

  • resourcemanager.folders.setIamPolicy: Izin ini disertakan dalam peran administratif, seperti berikut:

    • Organization Administrator (roles/resourcemanager.organizationAdmin)
    • Security Admin (roles/iam.securityAdmin)

Untuk memberikan pengecualian atas pelanggaran kepatuhan, Anda harus diberi peran IAM di folder Assured Workloads yang berisi izin berikut:

  • assuredworkloads.violations.update: Izin ini disertakan dalam peran berikut:

    • Administrator Assured Workloads (roles/assuredworkloads.admin)
    • Editor Assured Workloads (roles/assuredworkloads.editor)

Selain itu, untuk mengatasi pelanggaran kebijakan organisasi dan melihat log audit, peran IAM berikut harus diberikan:

  • Administrator Kebijakan Organisasi (roles/orgpolicy.policyAdmin)
  • Logs Viewer (roles/logging.viewer)

Menyiapkan notifikasi email pelanggaran

Jika terjadi atau diselesaikan pelanggaran kepatuhan organisasi atau jika ada pengecualian, anggota kategori Hukum di Kontak Penting akan menerima email secara default. Perilaku ini diperlukan karena tim hukum Anda harus selalu mengetahui masalah kepatuhan terhadap peraturan.

Tim Anda yang mengelola pelanggaran, baik tim keamanan maupun tim lainnya, juga harus ditambahkan ke kategori Hukum sebagai kontak. Hal ini memastikan bahwa mereka akan dikirimi notifikasi email saat terjadi perubahan.

Mengaktifkan atau menonaktifkan notifikasi

Untuk mengaktifkan atau menonaktifkan notifikasi untuk folder Assured Workloads tertentu:

  1. Buka halaman Assured Workloads di konsol Google Cloud :

    Buka Assured Workloads

  2. Di kolom Name, klik nama folder Assured Workloads yang setelan notifikasinya ingin Anda ubah.

  3. Di kartu Pemantauan Assured Workloads, hapus centang pada kotak Aktifkan notifikasi untuk menonaktifkan notifikasi, atau centang kotak tersebut untuk mengaktifkan notifikasi untuk folder.

Di halaman Folder Assured Workloads, folder yang menonaktifkan notifikasi akan menampilkan Notifikasi email pemantauan dinonaktifkan.

Melihat pelanggaran di organisasi Anda

Anda dapat melihat pelanggaran di seluruh organisasi di konsolGoogle Cloud dan gcloud CLI.

Konsol

Anda dapat melihat jumlah pelanggaran di seluruh organisasi Anda di halaman Assured Workloads di bagian Compliance di konsolGoogle Cloud atau halaman Monitoring di bagian Compliance.

Halaman Assured Workloads

Buka halaman Assured Workloads untuk melihat pelanggaran secara sekilas:

Buka Assured Workloads

Di bagian atas halaman, ringkasan pelanggaran kebijakan organisasi dan pelanggaran resource ditampilkan. Klik link Lihat untuk membuka halaman Monitoring.

Untuk setiap folder Assured Workloads dalam daftar, setiap pelanggaran akan ditampilkan di kolom Pelanggaran kebijakan org. dan Pelanggaran resource. Pelanggaran yang belum terselesaikan memiliki ikon yang aktif, dan pengecualian memiliki ikon yang aktif. Anda dapat memilih pelanggaran atau pengecualian untuk melihat detail selengkapnya.

Jika pemantauan pelanggaran resource tidak diaktifkan di folder, ikon akan aktif di kolom Pembaruan dengan link Aktifkan Pemantauan pelanggaran resource. Klik link untuk mengaktifkan fitur. Anda juga dapat mengaktifkannya dengan mengklik tombol Aktifkan di halaman detail folder Assured Workloads.

Halaman Pemantauan

Buka halaman Monitoring untuk melihat pelanggaran secara lebih mendetail:

Buka Monitoring

Dua tab ditampilkan: Pelanggaran Kebijakan Organisasi dan Pelanggaran Resource. Jika ada lebih dari satu pelanggaran yang belum terselesaikan, ikon akan aktif di tab.

Di kedua tab, pelanggaran yang belum terselesaikan ditampilkan secara default. Lihat bagian Lihat detail pelanggaran di bawah untuk mengetahui informasi selengkapnya.

gcloud CLI

Untuk mencantumkan pelanggaran kepatuhan saat ini di organisasi Anda, jalankan perintah berikut:

gcloud assured workloads violations list --location=LOCATION --organization=ORGANIZATION_ID --workload=WORKLOAD_ID

Dengan:

Responsnya mencakup informasi berikut untuk setiap pelanggaran:

  • Link log audit untuk pelanggaran.
  • Pertama kali pelanggaran terjadi.
  • Jenis pelanggaran.
  • Deskripsi pelanggaran.
  • Nama pelanggaran, yang dapat digunakan untuk mengambil detail selengkapnya.
  • Kebijakan organisasi yang terpengaruh, dan batasan kebijakan terkait.
  • Status pelanggaran saat ini. Nilai yang valid adalah belum terselesaikan, terselesaikan, atau pengecualian.

Untuk mengetahui flag opsional, lihat dokumentasi Cloud SDK.

Melihat detail pelanggaran

Untuk melihat pelanggaran kepatuhan tertentu dan detailnya, selesaikan langkah-langkah berikut:

Konsol

  1. Di Konsol Google Cloud , buka halaman Monitoring.

    Buka Monitoring

    Di halaman Monitoring, tab Pelanggaran Kebijakan Organisasi dipilih secara default. Tab ini menampilkan semua pelanggaran kebijakan organisasi yang belum terselesaikan di seluruh folder Assured Workloads dalam organisasi.

    Tab Pelanggaran Resource menampilkan semua pelanggaran yang belum terselesaikan yang terkait dengan resource di semua folder Assured Workloads dalam organisasi.

  2. Untuk kedua tab, gunakan opsi Quick filters untuk memfilter menurut status pelanggaran, jenis pelanggaran, jenis paket kontrol, jenis pelanggaran, folder tertentu, batasan kebijakan organisasi tertentu, atau jenis resource tertentu.

  3. Untuk kedua tab, jika ada pelanggaran yang sudah ada, klik ID pelanggaran untuk melihat informasi yang lebih mendetail.

Dari halaman Detail pelanggaran, Anda dapat melakukan tugas berikut:

  • Salin ID pelanggaran.

  • Lihat folder Assured Workloads tempat terjadinya pelanggaran, dan kapan pelanggaran tersebut pertama kali terjadi.

  • Melihat log audit, yang mencakup:

    • Kapan pelanggaran terjadi.

    • Kebijakan mana yang diubah sehingga menyebabkan pelanggaran, dan pengguna mana yang melakukan perubahan tersebut.

    • Jika pengecualian diberikan, pengguna mana yang memberikannya.

    • Jika berlaku, lihat resource spesifik tempat terjadinya pelanggaran.

  • Melihat kebijakan organisasi yang terpengaruh.

  • Melihat dan menambahkan pengecualian pelanggaran kepatuhan. Daftar pengecualian sebelumnya untuk folder atau resource ditampilkan, termasuk pengguna yang memberikan pengecualian dan justifikasi yang diberikan pengguna.

  • Ikuti langkah-langkah perbaikan untuk menyelesaikan pengecualian.

Untuk pelanggaran kebijakan organisasi, Anda juga dapat melihat hal berikut:

  • Kebijakan organisasi yang terpengaruh: Untuk melihat kebijakan tertentu yang terkait dengan pelanggaran kepatuhan, klik Lihat Kebijakan.
  • Pelanggaran resource turunan: Pelanggaran kebijakan organisasi berbasis resource dapat menyebabkan pelanggaran resource turunan. Untuk melihat atau menyelesaikan pelanggaran resource turunan, klik ID Pelanggaran.

Untuk pelanggaran sumber daya, Anda juga dapat melihat hal berikut:

  • Pelanggaran kebijakan organisasi induk: Jika pelanggaran kebijakan organisasi induk menjadi penyebab pelanggaran resource turunan, pelanggaran tersebut harus ditangani di tingkat induk. Untuk melihat detail pelanggaran induk, klik Lihat Pelanggaran.
  • Pelanggaran lain pada resource tertentu yang menyebabkan pelanggaran resource juga terlihat.

gcloud CLI

Untuk melihat detail pelanggaran kepatuhan, jalankan perintah berikut:

gcloud assured workloads violations describe VIOLATION_PATH

Dengan VIOLATION_PATH dalam format berikut:

ORGANIZATION_ID/locations/LOCATION/workloads/WORKLOAD_ID/violations/VIOLATION_ID

VIOLATION_PATH ditampilkan di kolom name respons list untuk setiap pelanggaran.

Responsnya mencakup informasi berikut:

  • Link log audit untuk pelanggaran.

  • Pertama kali pelanggaran terjadi.

  • Jenis pelanggaran.

  • Deskripsi pelanggaran.

  • Kebijakan organisasi yang terpengaruh, dan batasan kebijakan terkait.

  • Langkah-langkah perbaikan untuk menyelesaikan pelanggaran.

  • Status pelanggaran saat ini. Nilai yang valid adalah unresolved, resolved, atau exception.

Untuk mengetahui flag opsional, lihat dokumentasi Cloud SDK.

Mengatasi pelanggaran

Untuk memperbaiki pelanggaran, selesaikan langkah-langkah berikut:

Konsol

  1. Di Konsol Google Cloud , buka halaman Monitoring.

    Buka Monitoring

  2. Klik ID pelanggaran untuk melihat informasi yang lebih mendetail.

  3. Di bagian Perbaikan, ikuti petunjuk untuk konsol atau CLIGoogle Cloud guna mengatasi masalah.

gcloud CLI

  1. Lihat detail pelanggaran menggunakan gcloud CLI.

  2. Ikuti langkah-langkah perbaikan dalam respons untuk menyelesaikan pelanggaran.

Menambahkan pengecualian pelanggaran

Terkadang, pelanggaran mungkin valid untuk situasi tertentu. Anda dapat menambahkan satu atau beberapa pengecualian untuk pelanggaran dengan menyelesaikan langkah-langkah berikut.

Konsol

  1. Di Konsol Google Cloud , buka halaman Monitoring.

    Buka Monitoring

  2. Di kolom ID Pelanggaran, klik pelanggaran yang ingin Anda tambahi pengecualian.

  3. Di bagian Pengecualian, klik Tambahkan Baru.

  4. Masukkan justifikasi bisnis untuk pengecualian. Jika Anda ingin pengecualian berlaku untuk semua resource turunan, centang kotak Terapkan ke semua pelanggaran resource turunan yang ada, lalu klik Kirim.

  5. Anda dapat menambahkan pengecualian tambahan sesuai kebutuhan dengan mengulangi langkah-langkah ini dan mengklik Tambahkan Baru.

Status pelanggaran kini disetel ke Pengecualian.

gcloud CLI

Untuk menambahkan pengecualian pada pelanggaran, jalankan perintah berikut:

gcloud assured workloads violations acknowledge VIOLATION_PATH --comment="BUSINESS_JUSTIFICATION"

Dengan BUSINESS_JUSTIFICATION adalah alasan pengecualian, dan VIOLATION_PATH dalam format berikut:

ORGANIZATION_ID/locations/LOCATION/workloads/WORKLOAD_ID/violations/VIOLATION_ID

VIOLATION_PATH ditampilkan di kolom name respons list untuk setiap pelanggaran.

Setelah berhasil mengirim perintah, status pelanggaran akan ditetapkan ke Pengecualian.

Pelanggaran kebijakan organisasi yang dipantau

Assured Workloads memantau pelanggaran batasan kebijakan organisasi yang berbeda, bergantung pada paket kontrol yang diterapkan ke folder Assured Workloads Anda. Gunakan daftar berikut untuk memfilter pelanggaran berdasarkan paket kontrol yang terpengaruh.

Batasan kebijakan organisasi Jenis pelanggaran Deskripsi Paket kontrol yang terpengaruh
Akses yang tidak mematuhi kebijakan terhadap data Cloud SQL Akses

Terjadi saat akses yang tidak mematuhi kebijakan ke data diagnostik Cloud SQL yang tidak mematuhi kebijakan diizinkan.

Pelanggaran ini disebabkan oleh perubahan nilai yang sesuai untuk paket kontrol sql.restrictNoncompliantDiagnosticDataAccess batasan.
Batas Data Uni Eropa dengan Pembenaran Akses
Local Controls by S3NS (Sovereign Controls by Partners)
Sovereign Controls oleh SIA/Minsait (Sovereign Controls oleh Partner)