Google Cloud が推奨セキュリティチェックリストを公開しました

ウィスキー、シガー、パイプをこよなく愛する大栗です。

Google Cloud が推奨するセキュリティチェックリスト「Google Cloud minimum viable secure platform（GCMVSP）」が公開されました。60 のセキュリティコントロールが段階的にまとめられており、すぐに使える Terraform コードも提供されています。

• Make security simpler: Introducing the Google Cloud recommended security checklist
• Google Cloud minimum viable secure platform
• GoogleCloudPlatform/ociso-solutions

Google Cloud recommended security checklist とは

Google Cloud の Office of the CISO とセキュリティの専門家が策定した、クラウド環境のセキュリティベースラインを構築するためのチェックリストです。

Minimum Viable Secure Product（MVSP） の原則に基づいており、組織の規模やユースケースに依存しない、普遍的に有益なセキュリティコントロールが整理されています。

4 つの設計思想

チェックリストは以下の 4 つの思想に基づいて設計されています。

チェックリストの構成

実装レベル

チェックリストは 3 段階の実装レベルに分かれています。

必要性に応じて、ベーシックから始めて段階的に適用していくことが推奨されています。

6 つのドメイン

60 のセキュリティコントロールは、以下の 6 つのドメインに分類されています。

各カテゴリのコントロール

各カテゴリの全コントロールをレベル別に紹介します。

認証と認可（Authentication and authorization）

組織（Organization）

インフラストラクチャ（Infrastructure）

データ保護（Data protection）

ネットワーク セキュリティ（Network security）

モニタリング、ロギング、アラート（Monitoring, logging, and alerting）

やってみる

チェックリストに含まれる組織ポリシーを Terraform で一括デプロイしてみます。サンプルのコードでは以下のポリシーが設定されます。

対象のフォルダのポリシーは以下のように非アクティブになっています。

前提条件

• Google Cloud の組織（Organization）が存在すること
• 対象の組織、フォルダ、またはプロジェクトに対して Organization Policy Admin ロールを持つユーザーであること
• gcloud CLI、Terraform、Git CLI がインストール済みであること

$ gcloud --version
Google Cloud SDK 560.0.0
bq 2.1.29
core 2026.03.09
gcloud-crc32c 1.0.0
gsutil 5.36

$ terraform --version
Terraform v1.14.7
on darwin_arm64
+ provider registry.terraform.io/hashicorp/google v7.22.0
+ provider registry.terraform.io/hashicorp/google-beta v7.22.0
+ provider registry.terraform.io/hashicorp/local v2.5.2
+ provider registry.terraform.io/hashicorp/null v3.2.3
+ provider registry.terraform.io/hashicorp/time v0.12.1

現在の対象のポリシーは

リポジトリのクローン

まずは GitHub リポジトリをクローンします。

$ git clone https://github.com/GoogleCloudPlatform/ociso-solutions.git
$ cd ociso-solutions/gcmvsp

ファイル構成の確認

リポジトリの構成は以下のようになっています。

gcmvsp/
├── README.md
├── main.tf        # 組織ポリシーの定義
├── providers.tf   # プロバイダ設定
├── variables.tf   # 変数定義
└── versions.tf    # Terraform バージョン制約

変数ファイルの作成

terraform.tfvars ファイルを作成し、適用先のリソース階層を指定します。

$ cat terraform.tfvars
parent_id = "folders/123456789"

parent_id には組織、フォルダ、またはプロジェクトの ID を指定します。形式は以下の通りです。

Google Cloud への設定であることを示すため providers.tf も記述しておきます。

provider "google" {
  user_project_override = true
  billing_project       = "PROJECT_ID"
}

provider "google-beta" {
  user_project_override = true
  billing_project       = "PROJECT_ID"
}

既存環境への適用時の注意

公式 README にも記載されていますが、既存のリソースが存在する環境に組織ポリシーを適用する場合は注意が必要です。以下の方法でリスクを軽減できます。

• Policy Simulator で組織ポリシーの変更をテスト
• ドライランモード でポリシーを作成して影響を事前確認
• Policy Simulator やドライランに対応していないレガシーポリシーは、重要度の低いプロジェクトやフォルダから段階的に適用

Terraform の実行

$ terraform init
$ terraform plan
$ terraform apply

terraform plan で適用される組織ポリシーの一覧を確認し、問題がなければ terraform apply で適用します。

適用後に組織ポリシーを確認すると対象のポリシーがアクティブになっています。

新規の組織であれば、リソースを作成する前にポリシーを適用することで、ガードレールとして機能させることができます。

さいごに

Google Cloud が推奨セキュリティチェックリスト（GCMVSP）を公開しました。

クラウドセキュリティにおいて「何から始めればよいか」は多くの組織が抱える課題ですが、このチェックリストはその疑問に対する明確な回答を提供しています。60 のコントロールが 3 段階のレベルに分類されているため、組織の成熟度に合わせて段階的に実装を進められる点が実用的です。

チェックリストだけでなく Terraform コードが GitHub でサンプルコードが提供されているので、必要なコントロールを IaC で組織に適用可能になり、すぐにインフラにコードとして適用できるため、セキュリティ対策の実装スピードが大幅に向上します。

State of Cloud Security Research では、約 80% の組織が過去 1 年間にクラウド環境でセキュリティインシデントを経験し、49% が 20 以上のセキュリティツールを使っているという結果が出ています。ツールの乱立による複雑さが課題になっている中で、CSP 自身が提供する体系的なチェックリストは、セキュリティの出発点として非常に心強いものだと思います。

Google Cloud を利用されている方は、まず ベーシックレベルのコントロールから確認してみてはいかがでしょうか。