Questo documento nel framework dell'architettura Google Cloud fornisce le best practice per l'implementazione della sicurezza dei dati.
Nell'ambito dell'architettura di deployment, devi considerare quali dati prevedi di elaborare e archiviare in Google Cloud e la sensibilità dei dati. Progetta i tuoi controlli per contribuire a proteggere i dati durante il loro ciclo di vita, a identificarne la proprietà e la classificazione e a proteggerli dall'uso non autorizzato.
Per un progetto di sicurezza che esegue il deployment di un data warehouse BigQuery con le best practice per la sicurezza descritte in questo documento, vedi Proteggere un data warehouse BigQuery che archivia dati riservati.
Classifica automaticamente i tuoi dati
Eseguire la classificazione dei dati il prima possibile nel ciclo di vita della gestione dei dati, idealmente quando i dati vengono creati. Di solito, gli sforzi di classificazione dei dati richiedono solo poche categorie, tra cui:
- Pubblico: dati approvati per l'accesso pubblico.
- Interno: dati non sensibili che non vengono rilasciati al pubblico.
- Riservato: dati sensibili disponibili per la distribuzione interna generale.
- Con restrizioni: dati altamente sensibili o regolamentati che richiedono una distribuzione limitata.
Utilizza Sensitive Data Protection per scoprire e classificare i dati nel tuo ambiente Google Cloud. Sensitive Data Protection dispone del supporto integrato per la scansione e la classificazione dei dati sensibili in Cloud Storage, BigQuery e Datastore. Dispone inoltre di API di streaming per supportare origini dati aggiuntive e carichi di lavoro personalizzati.
Sensitive Data Protection può identificare i dati sensibili utilizzando infoType integrati. Può classificare, mascherare, tokenizzare e trasformare automaticamente elementi sensibili (come i dati PII) per consentirti di gestire il rischio di raccolta, archiviazione e utilizzo dei dati. In altre parole, può integrarsi con i processi del ciclo di vita dei dati per garantire che i dati in ogni fase siano protetti.
Per maggiori informazioni, consulta Anonimizzazione e reidentificazione delle PII in set di dati su larga scala utilizzando Sensitive Data Protection.
Gestisci la governance dei dati utilizzando i metadati
La governance dei dati è una combinazione di processi che garantiscono che i dati siano sicuri, privati, accurati, disponibili e utilizzabili. Anche se sei responsabile della definizione di una strategia di governance dei dati per la tua organizzazione, Google Cloud fornisce strumenti e tecnologie per aiutarti a mettere in pratica la tua strategia. Google Cloud fornisce anche un framework per la governance dei dati (PDF) nel cloud.
Utilizza Data Catalog per trovare, selezionare e utilizzare metadati per descrivere i tuoi asset di dati nel cloud. Puoi utilizzare Data Catalog per cercare asset di dati e contrassegnarli con i metadati. Per accelerare le iniziative di classificazione dei dati, integra Data Catalog con Sensitive Data Protection per identificare automaticamente i dati riservati. Dopo aver taggato i dati, puoi utilizzare Google Identity and Access Management (IAM) per limitare i dati che gli utenti possono eseguire query o utilizzare tramite le viste di Data Catalog.
Utilizza Dataproc Metastore o il metastore Hive per gestire i metadati per i carichi di lavoro. Data Catalog dispone di un connettore hive che consente al servizio di rilevare i metadati all'interno di un metastore hive.
Utilizza Dataprep di Trifacta per definire e applicare le regole sulla qualità dei dati tramite una console. Puoi utilizzare Dataprep da Cloud Data Fusion o utilizzare Dataprep come servizio autonomo.
Proteggi i dati in base alla fase del ciclo di vita e alla classificazione
Dopo aver definito i dati nel contesto del loro ciclo di vita e classificati in base alla sensibilità e al rischio, puoi assegnare i controlli di sicurezza adeguati per proteggerli. Devi assicurarti che i controlli offrano protezioni adeguate, soddisfino i requisiti di conformità e riducono i rischi. Passando al cloud, esamina la tua strategia attuale e scopri dove potresti dover modificare i processi attuali.
La seguente tabella descrive tre caratteristiche di una strategia di sicurezza dei dati nel cloud.
| Caratteristica | Descrizione |
|---|---|
| Identificazione | Scopri l'identità di utenti, risorse e applicazioni mentre creano, modificano, archiviano, utilizzano, condividono ed eliminano i dati. Utilizza Cloud Identity e IAM per controllare l'accesso ai dati. Se le tue identità richiedono dei certificati, prendi in considerazione Certificate Authority Service. Per saperne di più, consulta Gestire identità e accesso. |
| Confine e accesso | Configura controlli relativi alle modalità di accesso ai dati, da chi e in quali circostanze. I limiti di accesso ai dati possono essere gestiti a questi
livelli:
|
| Visibilità | Puoi verificare l'utilizzo e creare report che dimostrano in che modo viene controllato e accessibile i dati. Google Cloud Logging e Access Transparency forniscono insight sulle attività dei tuoi amministratori cloud e del personale Google. Per ulteriori informazioni, vedi Monitorare i dati. |
Cripta i dati
Per impostazione predefinita, Google Cloud cripta i dati dei clienti archiviati at-rest, senza che sia necessario alcun intervento da parte tua. Oltre alla crittografia predefinita, Google Cloud offre opzioni per la gestione delle chiavi di crittografia envelope e di crittografia. Ad esempio, i dischi permanenti di Compute Engine vengono criptati automaticamente, ma puoi fornire o gestire le tue chiavi.
Devi identificare le soluzioni più adatte ai tuoi requisiti per la generazione, l'archiviazione e la rotazione delle chiavi, che tu stia scegliendo le chiavi per l'archiviazione, per il calcolo o per i carichi di lavoro dei big data.
Google Cloud include le seguenti opzioni per la crittografia e la gestione delle chiavi:
- Chiavi di crittografia gestite dal cliente (CMEK). Puoi generare e gestire le chiavi di crittografia utilizzando Cloud Key Management Service (Cloud KMS). Utilizza questa opzione se hai determinati requisiti di gestione delle chiavi, come la necessità di ruotare regolarmente le chiavi di crittografia.
- Chiavi di crittografia fornite dal cliente (CSEK). Puoi creare e gestire le tue chiavi di crittografia e poi fornirle a Google Cloud quando necessario. Utilizza questa opzione se generi le tue chiavi utilizzando il sistema di gestione delle chiavi on-premise per utilizzare la tua chiave (BYOK). Se fornisci le tue chiavi utilizzando CSEK, Google le replica e le rende disponibili per i tuoi carichi di lavoro. Tuttavia, la sicurezza e la disponibilità della CSEK è una tua responsabilità perché le chiavi fornite dal cliente non sono archiviate nei modelli di istanza o nell'infrastruttura di Google. Se perdi l'accesso alle chiavi, Google non può aiutarti a recuperare i dati criptati. Pensa attentamente alle chiavi che vuoi creare e gestire autonomamente. Puoi usare CSEK solo per le informazioni più sensibili. Un'altra opzione è eseguire la crittografia lato client sui dati e poi archiviarli in Google Cloud, dove Google vengono nuovamente criptati da Google.
- Sistema di gestione delle chiavi di terze parti con Cloud External Key Manager (Cloud EKM). Cloud EKM protegge i dati at-rest utilizzando chiavi di crittografia archiviate e gestite in un sistema di gestione delle chiavi di terze parti, che puoi controllare al di fuori dell'infrastruttura di Google. Quando utilizzi questo metodo, hai la certezza che i tuoi dati non sono accessibili a nessuno al di fuori della tua organizzazione. Cloud EKM consente di creare un modello HYOK (hold-your-own-key) sicuro per la gestione delle chiavi. Per informazioni sulla compatibilità, consulta l'elenco dei servizi abilitati per Cloud EKM.
Cloud KMS ti consente inoltre di criptare i dati con chiavi di crittografia supportate da software o con moduli di sicurezza hardware (HSM) convalidati di livello 3 (FIPS 140-2). Se utilizzi Cloud KMS, le tue chiavi di crittografia vengono archiviate nella regione in cui esegui il deployment della risorsa. Cloud HSM distribuisce le esigenze di gestione delle chiavi tra regioni, fornendo ridondanza e disponibilità globale delle chiavi.
Per informazioni sul funzionamento della crittografia envelope, consulta Crittografia at-rest in Google Cloud.
Controlla l'accesso degli amministratori cloud ai tuoi dati
Puoi controllare l'accesso al tuo ambiente su Google Cloud da parte del personale tecnico e dell'Assistenza Google. Access Approval consente di approvare esplicitamente i dati prima che i dipendenti Google accedano ai tuoi dati o alle tue risorse su Google Cloud. Questo prodotto completa la visibilità fornita da Access Transparency, che genera log quando il personale Google interagisce con i tuoi dati. Questi log includono la posizione dell'ufficio e il motivo dell'accesso.
Se utilizzi questi prodotti insieme, puoi negare a Google per qualsiasi motivo la possibilità di decriptare i tuoi dati.
Configurare la posizione dei dati e dell'accesso degli utenti.
Puoi controllare le località di rete da cui gli utenti possono accedere ai dati utilizzando i Controlli di servizio VPC. Questo prodotto ti consente di limitare l'accesso agli utenti in una regione specifica. Puoi applicare questo vincolo anche se l'utente è autorizzato in base al tuo criterio Google IAM. Utilizzando i Controlli di servizio VPC, puoi creare un perimetro di servizio che definisce i confini virtuali da cui è possibile accedere a un servizio, impedendo così lo spostamento dei dati al di fuori di questi confini.
Per ulteriori informazioni, consulta le seguenti risorse:
- Automazione della classificazione dei dati caricati su Cloud Storage
- Governance dei dati nel cloud
- Governance dei dati dal data warehouse a BigQuery
- Mestore Cloud Hives ora disponibile
Gestire i segreti tramite Secret Manager.
Secret Manager ti consente di archiviare tutti i tuoi secret in un luogo centralizzato. I Secret sono informazioni di configurazione come password di database, chiavi API o certificati TLS. Puoi ruotare automaticamente i secret e puoi configurare le applicazioni in modo che utilizzino automaticamente la versione più recente di un secret. Ogni interazione con Secret Manager genera un audit log, in modo da visualizzare ogni accesso a ogni secret.
Sensitive Data Protection ha anche una categoria di rilevatori per aiutarti a identificare le credenziali e i secret nei dati che potrebbero essere protetti con Secret Manager.
Monitora i tuoi dati
Per visualizzare i log delle attività dell'amministratore e dell'utilizzo delle chiavi, utilizza Cloud Audit Logs. Per proteggere i dati, monitora i log con Cloud Monitoring per garantire l'utilizzo corretto delle chiavi.
Cloud Logging acquisisce gli eventi di Google Cloud e, se necessario, ti consente di aggiungere altre origini. Puoi segmentare i log per regione, archiviarli in bucket e integrare un codice personalizzato per l'elaborazione dei log. Per un esempio, consulta Soluzione personalizzata per l'analisi automatica dei log.
Puoi anche esportare i log in BigQuery per eseguire analisi su sicurezza e accessi, in modo da identificare modifiche non autorizzate e accessi inappropriati ai dati dell'organizzazione.
Security Command Center può aiutarti a identificare e risolvere i problemi di accesso non sicuro ai dati aziendali sensibili archiviati nel cloud. Tramite un'unica interfaccia di gestione, puoi analizzare un'ampia gamma di vulnerabilità e rischi di sicurezza per la tua infrastruttura cloud. Ad esempio, puoi monitorare l'esfiltrazione di dati, eseguire la scansione dei sistemi di archiviazione per rilevare i dati riservati e rilevare quali bucket Cloud Storage sono aperti a internet.
Passaggi successivi
Scopri di più sulla sicurezza dei dati nelle seguenti risorse:
Deployment delle applicazioni in modo sicuro (prossimo documento di questa serie)
Proteggi un data warehouse BigQuery che archivia i dati riservati
Progettare e implementare una strategia di sicurezza dei dati (PDF)
Riservatezza dei dati del cliente garantita con Google Cloud (PDF)