Un employé a été licencié mais a conservé son accès à Google Cloud pendant deux semaines. Pour vérifier s'il a accédé à des données client sensibles après son licenciement, où devriez-vous chercher et que devriez-vous rechercher ?

La bonne réponse est de consulter les journaux d'audit d'accès aux données (Data Access audit logs) dans Cloud Logging et de rechercher l'e-mail de l'utilisateur en tant que principal. Les journaux d'audit d'accès aux données enregistrent les opérations qui lisent ou modifient les données au sein de vos ressources Google Cloud, telles que la lecture de données client sensibles. L'e-mail de l'utilisateur sera le "principal" (l'identité qui a effectué l'action) dans ces journaux. Les journaux d'événements système ne sont pas pertinents ici car ils concernent les événements au niveau de l'infrastructure. Les journaux d'activité d'administration enregistrent les opérations qui modifient la configuration ou les métadonnées des ressources, et non l'accès aux données. Rechercher un compte de service associé à l'utilisateur est incorrect car l'utilisateur accède directement aux données avec son propre compte, pas via un compte de service.