Gesetzliche, Compliance- und Datenschutzanforderungen erfüllen

Last reviewed 2025-02-05 UTC

Dieses Prinzip in der Sicherheitssäule des Google Cloud Architektur-Frameworks hilft Ihnen, rechtliche, Compliance- und Datenschutzanforderungen für Cloud-Implementierungen zu identifizieren und einzuhalten. Diese Anforderungen beeinflussen viele der Entscheidungen, die Sie hinsichtlich der Sicherheitskontrollen treffen müssen, die für Ihre Arbeitslasten inGoogle Cloudverwendet werden müssen.

Die Einhaltung von behördlichen, Compliance- und Datenschutzanforderungen ist für alle Unternehmen eine unvermeidliche Herausforderung. Die aufsichtsrechtlichen Anforderungen an die Cloud hängen von mehreren Faktoren ab, darunter:

  • Die Gesetze und Bestimmungen, die für die physischen Standorte Ihrer Organisation gelten
  • Die Gesetze und Bestimmungen, die für die physischen Standorte Ihrer Kunden gelten
  • Die aufsichtsrechtlichen Anforderungen Ihrer Branche

Datenschutzbestimmungen definieren, wie Sie die Daten Ihrer Nutzer abrufen, verarbeiten, speichern und verwalten dürfen. Ihre Daten gehören Ihnen, einschließlich der Daten, die Sie von Ihren Nutzern erhalten. Daher liegen viele Datenschutzeinstellungen in Ihrer Verantwortung, einschließlich Steuerelementen für Cookies, Sitzungsverwaltung und Erhalt von Nutzerberechtigungen.

Die Empfehlungen zur Implementierung dieses Prinzips sind in den folgenden Abschnitten zusammengefasst:

Empfehlungen zur Bewältigung von organisatorischen Risiken

In diesem Abschnitt finden Sie Empfehlungen, wie Sie Risiken für Ihre Organisation erkennen und beheben können.

Risiken für Ihre Organisation erkennen

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Cloud-Governance, Risiko und Compliance.

Bevor Sie Ressourcen in Google Clouderstellen und bereitstellen, führen Sie eine Risikobewertung durch. Bei dieser Bewertung sollten die Sicherheitsfunktionen ermittelt werden, die Sie benötigen, um Ihre internen Sicherheitsanforderungen und externen rechtlichen Anforderungen zu erfüllen.

Die Risikobewertung liefert eine Auflistung aller relevanten unternehmensspezifischen Risiken und Informationen dazu, in welchem Maße Ihr Unternehmen in der Lage ist, Sicherheitsbedrohungen zu erkennen und ihnen entgegenzuwirken. Sie müssen sofort nach der Bereitstellung und bei Änderungen Ihrer geschäftlichen Anforderungen, behördlichen Auflagen oder Bedrohungen für Ihr Unternehmen eine Risikoanalyse durchführen.

Wie im Prinzip Sicherheit durch Design implementieren erwähnt, unterscheiden sich die Sicherheitsrisiken in einer Cloud-Umgebung von den Risiken vor Ort. Dieser Unterschied ist auf das Modell der geteilten Verantwortung in der Cloud zurückzuführen, das je nach Dienst (IaaS, PaaS oder SaaS) und Ihrer Nutzung variiert. Verwenden Sie ein cloudspezifisches Framework zur Risikobewertung, z. B. die Cloud Controls Matrix (CCM). Verwenden Sie Bedrohungsmodelle wie das OWASP-App-Bedrohungsmodell, um Sicherheitslücken zu identifizieren und zu beheben. Wenn Sie Hilfe bei Risikobewertungen benötigen, wenden Sie sich an Ihren Google Account Manager oder sehen Sie sich das Partnerverzeichnis von Google Cloudan.

Nachdem Sie die Risiken katalogisiert haben, müssen Sie festlegen, wie Sie auf diese reagieren möchten, d. h. ob Sie sie akzeptieren, vermeiden, übertragen oder minimieren möchten. Informationen zu den Risikominderungskontrollen, die Sie implementieren können, finden Sie im nächsten Abschnitt.

Risiken minimieren

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Cloud-Governance, Risiko und Compliance.

Wenn Sie neue öffentliche Cloud-Dienste einführen, können Sie Risiken mithilfe von technischen Kontrollen, vertraglichen Schutzmaßnahmen sowie Prüfungen oder Attestierungen von Drittanbietern minimieren.

Technische Steuerelemente sind Funktionen und Technologien, mit denen Sie Ihre Umgebung schützen. Dazu gehören integrierte Cloud-Sicherheitskontrollen wie Firewalls und Logging. Technische Kontrollen können auch die Verwendung von Drittanbietertools umfassen, um Ihre Sicherheitsstrategie zu stärken oder zu unterstützen. Es gibt zwei Kategorien technischer Steuerelemente:

  • Sie können die Sicherheitskontrollen von Google Cloudimplementieren, um die Risiken in Ihrer Umgebung zu minimieren. Sie können beispielsweise die Verbindung zwischen Ihren lokalen Netzwerken und Ihren Cloud-Netzwerken mit Cloud VPN und Cloud Interconnect schützen.
  • Google umfasst robuste interne Kontrollmechanismen und Prüfungen, um den Zugriff auf Kundendaten durch Insider zu schützen. Unsere Audit-Logs bieten Ihnen echtzeitnahe Logs über den Google-Administratorzugriff auf Google Cloud.

Vertragliche Schutzmaßnahmen beziehen sich auf die rechtlichen Verpflichtungen, die wir in Bezug aufGoogle Cloud -Dienste eingehen. Google setzt sich für die Erhaltung und Erweiterung des Compliance-Portfolios ein. Im Zusatz zur Verarbeitung von Cloud-Daten sind unsere Verpflichtungen in Bezug auf die Verarbeitung und Sicherheit Ihrer Daten beschrieben. Außerdem werden darin die Zugriffssteuerungen beschrieben, mit denen der Zugriff der Google-Supporttechniker auf die Umgebungen der Kunden beschränkt wird. Dazu gehört auch das strenge Protokollierungs- und Genehmigungsverfahren. Wir empfehlen Ihnen, die vertraglichen Kontrollen von Google Cloudmit Ihren Rechts- und Regulierungsexperten zu prüfen und zu bestätigen, dass sie Ihren Anforderungen entsprechen. Weitere Informationen erhalten Sie von Ihrem technischen Kundenbetreuer.

Überprüfungen oder Bescheinigungen von Drittanbietern beziehen sich darauf, dass ein Drittanbieter den Cloud-Anbieter prüft, um sicherzustellen, dass der Anbieter die Compliance-Anforderungen erfüllt. Informationen zu Google Cloud Attestationen im Hinblick auf die ISO/IEC 27017-Richtlinien finden Sie unter ISO/IEC 27017 – Compliance. Die aktuellen Google Cloud Zertifizierungen und Bescheinigungen finden Sie im Center für Compliance-Ressourcen.

Empfehlungen zur Einhaltung gesetzlicher Auflagen und Compliance-Anforderungen

Ein typisches Compliance-Verfahren besteht aus drei Phasen: Bewertung, Lückenbeseitigung und kontinuierliches Monitoring. In diesem Abschnitt finden Sie Empfehlungen für jede dieser Phasen.

Compliance-Anforderungen ermitteln

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Cloud-Governance, Risiko und Compliance.

Die Compliance-Bewertung beginnt mit einer gründlichen Prüfung aller regulatorischen Verpflichtungen und ihrer Implementierung in Ihrem Unternehmen. Verwenden Sie das Center für Compliance-Ressourcen, um Hilfe bei der Bewertung von Google Cloud Diensten zu erhalten. Auf dieser Website finden Sie Informationen zu folgenden Themen:

  • Dienstunterstützung für verschiedene Vorschriften
  • Google Cloud Zertifizierungen und Attestierungen

Wenn Sie mehr über den Compliance-Lebenszyklus bei Google und darüber erfahren möchten, wie Ihre Anforderungen erfüllt werden können, können Sie sich an das Vertriebsteam wenden, um Hilfe von einem Compliance-Experten von Google anzufordern. Alternativ können Sie sich an IhrenGoogle Cloud Account Manager wenden, um einen Compliance-Workshop anzufordern.

Weitere Informationen zu Tools und Ressourcen, mit denen Sie die Sicherheit und Compliance für Google Cloud Arbeitslasten verwalten können, finden Sie unter Compliance in der Cloud gewährleisten.

Implementierung von Complianceanforderungen automatisieren

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Cloud-Governance, Risiko und Compliance.

Prüfen Sie, ob Sie die Einhaltung von Compliance-Anforderungen automatisieren können, um die Einhaltung von gesetzlichen Vorschriften zu gewährleisten. Sie können sowohl die Compliance-orientierten Funktionen von Google Cloud als auch Blueprints verwenden, die empfohlene Konfigurationen für ein bestimmtes Compliance-Regime verwenden.

Assured Workloads basiert auf den Einstellungen in Google Cloud und hilft Ihnen, Ihre Compliance-Anforderungen zu erfüllen. Assured Workloads bietet folgende Möglichkeiten:

  • Wählen Sie Ihre Compliance-Richtlinie aus. Das Tool legt dann automatisch die grundlegenden Zugriffsrechte für Mitarbeiter für das ausgewählte Regime fest.
  • Legen Sie den Speicherort für Ihre Daten mithilfe von Organisationsrichtlinien fest, damit Ihre ruhenden Daten und Ihre Ressourcen in dieser Region verbleiben.
  • Wählen Sie die Option zur Schlüsselverwaltung (z. B. den Schlüsselrotationszeitraum) aus, die Ihren Sicherheits- und Compliance-Anforderungen am besten entspricht.
  • Wählen Sie die Zugriffskriterien für Google-Supportmitarbeiter aus, um bestimmte rechtliche Bestimmungen wie FedRAMP Moderate zu erfüllen. Sie können beispielsweise festlegen, ob Google-Supportmitarbeiter die entsprechenden Zuverlässigkeitsüberprüfungen absolviert haben.
  • Verwenden Sie Schlüssel, die Google gehören, Google-owned and Google-managed encryption key FIPS-140-2-konform sind und die FedRAMP Moderate-Compliance unterstützen. Für eine zusätzliche Kontrollebene und Aufgabentrennung können Sie vom Kunden verwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEKs) verwenden. Weitere Informationen zu Schlüsseln finden Sie unter Ruhedaten und Daten in der Übertragung verschlüsseln.

Neben Assured Workloads können Sie Google CloudBlueprints verwenden, die für Ihre Compliance-Regelung relevant sind. Sie können diese Blueprints anpassen, um Ihre Sicherheitsrichtlinien in Ihre Infrastrukturbereitstellungen einzubinden.

Damit Sie eine Umgebung erstellen können, die Ihren Compliance-Anforderungen entspricht, enthalten die Blueprints und Lösungsleitfäden von Google empfohlene Konfigurationen und Terraform-Module. In der folgenden Tabelle sind Blueprints aufgeführt, die die Sicherheit und die Einhaltung von Compliance-Anforderungen betreffen.

Compliance überwachen

Diese Empfehlung ist für die folgenden Fokusbereiche relevant:

  • Cloud-Governance, -Risiken und -Compliance
  • Logging, Überwachung und Prüfung

Bei den meisten Vorschriften müssen Sie bestimmte Aktivitäten überwachen, einschließlich Zugriffsaktivitäten. Folgendes können Sie beim Monitoring als Hilfe verwenden:

  • Access Transparency: Sie können Logs nahezu in Echtzeit abrufen, wenn Google Cloud Administratoren auf Ihre Inhalte zugreifen.
  • Logging von Firewallregeln: Mit dieser Funktion können Sie TCP- und UDP-Verbindungen in einem VPC-Netzwerk für alle Regeln aufzeichnen, die Sie erstellen. Diese Logs können nützlich sein, um den Netzwerkzugriff zu prüfen oder frühzeitig auf eine unzulässige Netzwerknutzung hinzuweisen.
  • VPC-Fluss-Logs: zeichnen Netzwerktraffic-Flüsse auf, die von VM-Instanzen gesendet oder empfangen werden.
  • Security Command Center Premium: Überwachung der Compliance mit verschiedenen Standards.
  • OSSEC (oder ein anderes Open-Source-Tool): Logging der Aktivität von Personen mit Administratorzugriff auf die Umgebung.
  • Key Access Justifications: Hier sehen Sie die Gründe für eine Schlüsselzugriffsanfrage.
  • Security Command Center-Benachrichtigungen: Sie erhalten Benachrichtigungen, wenn Probleme mit der Compliance auftreten. Sie können beispielsweise Benachrichtigungen erhalten, wenn Nutzer die Bestätigung in zwei Schritten deaktivieren oder Dienstkonten zu viele Berechtigungen haben. Sie können auch die automatische Korrektur für bestimmte Benachrichtigungen einrichten.

Empfehlungen zur Verwaltung Ihrer Datenhoheit

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Cloud-Governance, Risiko und Compliance.

Datenhoheit bietet Ihnen einen Mechanismus, durch den Google nicht auf Ihre Daten zugreifen kann. Sie genehmigen den Zugriff nur für Anbieterverhalten, dem Sie zustimmen. Beispielsweise können Sie Ihre Datenhoheit so verwalten:

Betriebshoheit verwalten

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Cloud-Governance, Risiko und Compliance.

Die Betriebshoheit sorgt dafür, dass Google-Mitarbeiter Ihre Arbeitslasten nicht beeinträchtigen können. Beispielsweise können Sie die Betriebshoheit auf folgende Weise verwalten:

Softwarehoheit verwalten

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Cloud-Governance, Risiko und Compliance.

Die Softwarehoheit bietet Ihnen die Sicherheit, dass Sie die Verfügbarkeit Ihrer Arbeitslasten steuern und sie überall ausführen können. Außerdem können Sie diese Kontrolle haben, ohne von einem einzelnen Cloud-Anbieter abhängig zu sein oder an ihn gebunden zu sein. Die Softwarehoheit umfasst die Fähigkeit, Ereignisse zu überstehen, bei denen Sie schnell ändern müssen, wo Ihre Arbeitslasten bereitgestellt werden und welches Maß an externer Verbindung zulässig ist.

Um Ihnen beispielsweise bei der Verwaltung Ihrer Softwaresouveränität zu helfen, Google Cloud unterstützt Hybrid- und Multi-Cloud-Bereitstellungen. Darüber hinaus können Sie mit GKE Enterprise Ihre Anwendungen sowohl in Cloud- als auch in lokalen Umgebungen verwalten und bereitstellen. Wenn Sie aus Gründen der Datensouveränität eine lokale Bereitstellung auswählen, ist Google Distributed Cloud eine Kombination aus Hardware und Software, die Sie in Ihr Rechenzentrum einbinden. Google Cloud

Empfehlungen zur Erfüllung der Datenschutzanforderungen

Google Cloud umfasst die folgenden Kontrollen, die den Datenschutz fördern:

  • Standardverschlüsselung aller Daten, wenn sie inaktiv sind, übertragen werden und während sie verarbeitet werden.
  • Schutzmaßnahmen vor Insiderzugriffen.
  • Unterstützung zahlreicher Datenschutzbestimmungen.

Die folgenden Empfehlungen beziehen sich auf zusätzliche Steuerelemente, die Sie implementieren können. Weitere Informationen finden Sie im Datenschutz-Center.

Datenstandort steuern

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Cloud-Governance, Risiko und Compliance.

Mit Datenstandort wird beschrieben, wo Ihre inaktiven Daten gespeichert werden. Die Anforderungen an den Datenstandort hängen von den Zielsetzungen von Systemdesigns, branchenüblichen Vorschriften, nationalen Gesetzen, Steuerbelangen und sogar der Kultur ab.

Die Steuerung des Datenstandorts beginnt mit Folgendem:

  • Datentyp und Speicherort ermitteln
  • Bestimmen, welche Risiken für Ihre Daten bestehen und welche Gesetze und Vorschriften gelten
  • Sie können festlegen, wo Ihre Daten gespeichert oder wohin sie übertragen werden.

Um die Anforderungen an den Datenstandort zu erfüllen,können Sie mit Google Cloud steuern, wo Ihre Daten gespeichert werden, wie auf sie zugegriffen wird und wie sie verarbeitet werden. Mit Richtlinien für Ressourcenstandorte können Sie einschränken, wo Ressourcen erstellt werden, und begrenzen, wo Daten zwischen Regionen repliziert werden. Mit dem Standortattribut einer Ressource lässt sich angeben, wo der Dienst bereitgestellt wird und wer ihn verwaltet. Weitere Informationen finden Sie unter Unterstützte Dienste für Ressourcenstandorte.

Vertrauliche Daten klassifizieren

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Datensicherheit.

Sie müssen festlegen, welche Daten vertraulich sind, und dann dafür sorgen, dass diese ordnungsgemäß geschützt werden. Vertrauliche Daten können Kreditkartennummern, Adressen, Telefonnummern und andere personenidentifizierbare Informationen sein. Mit dem Schutz sensibler Daten können Sie geeignete Klassifizierungen einrichten. Sie können dann Ihre Daten taggen und tokenisieren, bevor Sie sie in Google Cloudspeichern. Darüber hinaus bietet Dataplex einen Katalogdienst, der eine Plattform zum Speichern, Verwalten und Abrufen von Metadaten bietet. Weitere Informationen und ein Beispiel für die Datenklassifizierung und De-Identifikation finden Sie unter Personenidentifizierbare Informationen mit dem Schutz sensibler Daten de-identifizieren und re-identifizieren.

Zugriff auf sensible Daten sperren

Diese Empfehlung ist für die folgenden Fokusbereiche relevant:

  • Datensicherheit
  • Identitäts- und Zugriffsverwaltung

Platzieren Sie vertrauliche Daten mit VPC Service Controls in einem eigenen Dienstperimeter. Mit VPC Service Controls verringern Sie das Risiko unerlaubten Kopierens oder unbefugten Übertragens von Daten (Daten-Exfiltration) aus von Google verwalteten Diensten. Mit VPC Service Controls können Sie Sicherheitsperimeter für die Ressourcen Ihrer von Google verwalteten Dienste konfigurieren und die Übertragung von Daten in und aus dem Perimeter steuern. Legen Sie für diese Daten die Zugriffssteuerung der Google Identitäts- und Zugriffsverwaltung (IAM) fest. Konfigurieren Sie die Multi-Faktor-Authentifizierung (MFA) für alle Nutzer, die Zugriff auf vertrauliche Daten benötigen.