Implementazione della sicurezza dei dati

Last reviewed 2023-08-08 UTC

Questo documento nel Framework dell'architettura Google Cloud fornisce best practice per l'implementazione della sicurezza dei dati.

Nell'architettura di deployment, devi considerare quali dati pianifichi per l'elaborazione e l'archiviazione in Google Cloud e la sensibilità dei dati. Progetta i controlli per proteggere i dati durante il loro ciclo di vita, per identificare la proprietà e la classificazione dei dati e contribuire a proteggere i dati uso non autorizzato.

Per un progetto di sicurezza che esegue il deployment di un data warehouse BigQuery con le best practice per la sicurezza descritte in questo documento, consulta Proteggere un data warehouse BigQuery in cui sono archiviati dati riservati.

Classifica automaticamente i tuoi dati

Eseguire la classificazione dei dati fin dalle prime fasi del ciclo di vita della gestione dei dati possibile, idealmente quando i dati sono stati creati. Di solito, le operazioni di classificazione richiedono solo poche categorie, come le seguenti:

  • Pubblico: dati approvati per l'accesso pubblico.
  • Interno: dati non sensibili che non vengono divulgati pubblicamente.
  • Riservato: dati sensibili disponibili per la distribuzione interna generale.
  • Con restrizioni: dati altamente sensibili o regolamentati che richiedono limitazioni distribuzione dei contenuti.

Utilizza le funzionalità di Protezione dei dati sensibili per scoprire e classificare i dati nel tuo ambiente Google Cloud. Sensitive Data Protection dispone di supporto integrato per la scansione e la classificazione dei dati sensibili dati in Cloud Storage BigQuery e Datastore. Ha anche un API streaming per supportare origini dati aggiuntive e carichi di lavoro personalizzati.

Sensitive Data Protection può identificare i dati sensibili utilizzando infoType integrati. Può classificare, mascherare, tokenizzare e trasformare automaticamente elementi sensibili ad esempio i dati che consentono l'identificazione personale (PII) per consentirti di gestire il rischio legato alla raccolta, all'archiviazione e all'utilizzo e i dati di Google Cloud. In altre parole, si può integrare con i processi del ciclo di vita dei dati per garantire che i dati siano protetti in ogni fase.

Per ulteriori informazioni, vedi Anonimizzazione e reidentificazione delle PII in set di dati su larga scala utilizzando Sensitive Data Protection.

Gestisci la governance dei dati utilizzando i metadati

Governance dei dati è una combinazione di processi che assicurano che i dati siano sicuri, privati accurati, disponibili e utilizzabili. Nonostante tu sia responsabile della definizione di un strategia di governance dei dati per la tua organizzazione, Google Cloud offre strumenti e tecnologie che ti aiuteranno a mettere in pratica la tua strategia. Google Cloud offre inoltre framework per la governance dei dati (PDF) nel cloud.

Utilizza le funzionalità di Data Catalog a trovare, organizzare e utilizzare metadati per descrivere gli asset di dati nel cloud. Puoi utilizzare Data Catalog per cercare asset di dati e poi codificarli con metadati. Per accelerare le tue attività di classificazione dei dati, integra Data Catalog con Sensitive Data Protection per l'identificazione automatica i dati riservati. Dopo aver applicato i tag ai dati, puoi utilizzare Google Identity and Access Management (IAM) per limitare i dati che gli utenti possono interrogare o utilizzare Viste Data Catalog.

Utilizza le funzionalità di Dataproc Metastore o Metastore Hive per la gestione dei metadati per i carichi di lavoro. Data Catalog ha un connettore hive che consente al servizio di rilevare i metadati che si trovano all'interno di un metastore hive.

Utilizza le funzionalità di Dataprep di Trifacta per definire e applicare regole di qualità dei dati tramite una console. Puoi utilizzare Dataprep dall'interno Cloud Data Fusion o Dataprep come servizio autonomo.

Proteggi i dati in base alla fase del ciclo di vita e alla classificazione

Dopo aver definito i dati nel contesto del loro ciclo di vita e averli classificati in base sensibilità e rischi, puoi assegnare i controlli di sicurezza adeguati proteggerlo. Devi assicurarti che i tuoi controlli forniscano protezioni adeguate, soddisfare i requisiti di conformità e ridurre i rischi. Quando passi al cloud, rivedi la strategia attuale e dove potrebbe essere necessario modificarla i processi di machine learning.

La tabella seguente descrive tre caratteristiche di una strategia di sicurezza dei dati nel cloud.

Caratteristica Descrizione
Identificazione Comprendi l'identità di utenti, risorse e applicazioni Creare, modificare, archiviare, utilizzare, condividere ed eliminare dati.

Utilizzare Cloud Identity e IAM per controllare l'accesso a e i dati di Google Cloud. Se le tue identità richiedono certificati, prendi in considerazione Certificate Authority Service.

Per saperne di più, consulta Gestire l'identità e l'accesso.
Confine e accesso Configura i controlli relativi alle modalità di accesso ai dati, a chi e in base a quali elementi circostanze. I limiti di accesso ai dati possono essere gestiti in queste livelli:
Visibilità Puoi controllare l'utilizzo e creare report che dimostrano come vengono controllato e accessibile. Google Cloud Logging e Access Transparency forniscono insight su le attività dei tuoi amministratori cloud e del personale Google. Per Per ulteriori informazioni, consulta Monitorare i dati.

Cripta i dati

Per impostazione predefinita, Google Cloud cripta i dati archiviati inattivi dei clienti, con non è richiesto alcun intervento da parte tua. Oltre alla crittografia predefinita, Google Cloud offre opzioni per la crittografia envelope e la crittografia e la gestione delle chiavi. Ad esempio, i dischi permanenti di Compute Engine automaticamente, ma puoi fornire o gestire le tue chiavi.

Devi identificare le soluzioni che meglio si adattano ai tuoi requisiti per le generazione, archiviazione e rotazione, indipendentemente dal fatto che tu stia scegliendo le chiavi per il calcolo o per i carichi di lavoro di big data.

Google Cloud include le seguenti opzioni per la crittografia e le chiavi gestione dei dispositivi:

  • Chiavi di crittografia gestite dal cliente (CMEK). Puoi generare e gestire e gestire le chiavi di crittografia Cloud Key Management Service (Cloud KMS). Utilizza questa opzione se hai determinati requisiti di gestione delle chiavi, come dalla necessità di ruotare regolarmente le chiavi di crittografia.
  • Chiavi di crittografia fornite dal cliente (CSEK). Puoi creare e gestire le tue chiavi di crittografia per poi fornirle a Google Cloud necessaria. Utilizza questa opzione se generi le tue chiavi utilizzando sistema di gestione delle chiavi on-premise per il modello Bring Your Own Key (BYOK). Se le chiavi usando la CSEK, Google le replica e le rende disponibili per i tuoi carichi di lavoro. Tuttavia, la sicurezza e la disponibilità della CSEK è una tua responsabilità, perché le chiavi fornite dal cliente modelli di istanza di Google o nell'infrastruttura di Google. Se perdi l'accesso le chiavi, Google non potrà aiutarti a recuperare i dati criptati. Rifletti attentamente sulle chiavi che vuoi creare e gestire autonomamente. Potresti usare CSEK solo per le informazioni più sensibili. Un'altra opzione è eseguire la crittografia lato client per i tuoi dati e poi archiviali in Google Cloud, dove i dati vengono nuovamente criptati da Google.
  • Sistema di gestione delle chiavi di terze parti con Cloud External Key Manager (Cloud EKM). Cloud EKM protegge i dati at-rest utilizzando chiavi di crittografia che vengono memorizzati e gestiti in un sistema di gestione delle chiavi di terze parti che al di fuori dell'infrastruttura Google. Quando utilizzi questo metodo, per garantire che i tuoi dati non siano accessibili a nessuno al di fuori dell'organizzazione. Cloud EKM ti consente di ottenere un'esperienza il modello hold-your-own-key (HYOK) per la gestione delle chiavi. Per compatibilità informazioni, consulta Elenco di servizi abilitati per Cloud EKM.

Cloud KMS ti consente anche di criptare i tuoi dati con chiavi di crittografia basate su software Moduli di sicurezza hardware (HSM) convalidati di livello 3 FIPS 140-2. Se utilizzi a Cloud KMS, le tue chiavi di crittografia sono archiviate nella regione in cui eseguire il deployment della risorsa. Cloud HSM distribuisce le tue esigenze di gestione delle chiavi tra le regioni, fornendo ridondanza e la disponibilità globale delle chiavi.

Per informazioni su come funziona la crittografia envelope, consulta Crittografia at-rest in Google Cloud.

Controlla gli amministratori cloud accesso ai tuoi dati

Puoi controllare l'accesso del personale tecnico e dell'assistenza Google al tuo su Google Cloud. Access Approval ti consente di approvare esplicitamente prima che i dipendenti Google accedano ai tuoi dati o su Google Cloud. Questo prodotto completa la visibilità fornita da Access Transparency che genera log quando il personale di Google interagisce con i tuoi dati. Questi log che includa la posizione dell'ufficio e il motivo dell'accesso.

Se utilizzi questi prodotti insieme, puoi negare a Google la possibilità di decriptare i tuoi dati per qualsiasi motivo.

Configurare la posizione dei dati e dell'accesso degli utenti.

Puoi controllare le località di rete da cui gli utenti possono accedere ai dati utilizzando Controlli di servizio VPC. Questo prodotto ti consente di limitare l'accesso agli utenti in una regione specifica. Puoi questo vincolo anche se l'utente è autorizzato in base alle Google IAM . Con i Controlli di servizio VPC, puoi creare perimetro di servizio che definisce i confini virtuali da cui è possibile accedere a un servizio, impedisce che i dati vengano spostati al di fuori di questi confini.

Per ulteriori informazioni, consulta le seguenti risorse:

Gestire i segreti tramite Secret Manager.

Secret Manager consente di archiviare tutti i tuoi segreti in una posizione centralizzata. I secret sono informazioni di configurazione come password di database, chiavi API o TLS certificati. Puoi ruotare automaticamente i secret, e puoi configurare le applicazioni in modo che utilizzino automaticamente la versione più recente di un secret. Ogni interazione con Secret Manager genera un audit log, potrai visualizzare tutti gli accessi a ogni secret.

Protezione dei dati sensibili ha anche un categoria di rilevatori per aiutarti a identificare credenziali e secret nei dati che potrebbero essere protetti con Secret Manager.

Monitora i tuoi dati

Per visualizzare i log relativi alle attività degli amministratori e all'utilizzo delle chiavi, usa Audit log di Cloud. Per proteggere i tuoi dati, monitora i log utilizzando Cloud Monitoring per garantire l'uso corretto delle chiavi.

Cloud Logging acquisisce gli eventi Google Cloud e consente di aggiungere ulteriori origini se necessaria. Puoi segmentare i log per regione, archiviarli in bucket, e integrare codice personalizzato per l'elaborazione dei log. Ad esempio, vedi Soluzione personalizzata per l'analisi automatica dei log.

Puoi anche esportare i log in BigQuery per eseguire analisi della sicurezza e degli accessi al fine di identificare le modifiche non autorizzate e in modo inappropriato ai dati dell'organizzazione.

Security Command Center può aiutare a identificare e risolvere i problemi di accesso non sicuro a aziendali archiviati nel cloud. Attraverso un’unica gestione puoi analizzare un'ampia gamma di vulnerabilità e rischi della sicurezza alla tua infrastruttura cloud. Ad esempio, puoi monitorare i dati eseguire la scansione dei sistemi di archiviazione per individuare i dati riservati e rilevare quali I bucket Cloud Storage sono aperti a internet.

Passaggi successivi

Scopri di più sulla sicurezza dei dati con le seguenti risorse: