Implementazione della sicurezza dei dati

Questo documento nel framework Google Cloud Architecture fornisce le best practice per l'implementazione della sicurezza dei dati.

Come parte dell'architettura di deployment, devi considerare quali dati prevedi di elaborare e archiviare in Google Cloud e la loro riservatezza. Progetta i tuoi controlli per proteggere i dati durante il loro ciclo di vita, per identificare la proprietà e la classificazione dei dati e per proteggere i dati da un utilizzo non autorizzato.

Per un progetto di sicurezza che esegue il deployment di un data warehouse BigQuery con le best practice per la sicurezza descritte in questo documento, vedi Proteggere un data warehouse BigQuery che archivia dati riservati.

Classificare automaticamente i dati

Esegui la classificazione dei dati fin dall'inizio del ciclo di vita di gestione dei dati, possibilmente quando i dati vengono creati. In genere, le operazioni di classificazione dei dati richiedono solo alcune categorie, ad esempio:

  • Pubblico: dati che sono stati approvati per l'accesso pubblico.
  • Errore interno: dati non sensibili non rilasciati al pubblico.
  • Riservato: dati sensibili disponibili per la distribuzione interna generale.
  • Limitato: dati altamente sensibili o regolamentati che richiedono una distribuzione limitata.

Utilizza Cloud DLP per scoprire e classificare i dati nel tuo ambiente Google Cloud. Cloud DLP dispone di supporto integrato per la scansione e la classificazione dei dati sensibili in Cloud Storage, BigQuery e Datastore. Offre anche un'API di streaming per supportare origini dati aggiuntive e carichi di lavoro personalizzati.

Cloud DLP può identificare i dati sensibili utilizzando i tipi di informazioni integrati. Può classificare, mascherare, tokenizzare e trasformare automaticamente elementi sensibili (come i dati PII) per consentirti di gestire il rischio di raccolta, archiviazione e utilizzo dei dati. In altre parole, può integrarsi con i tuoi processi del ciclo di vita dei dati per garantire che i dati di ogni fase siano protetti.

Per ulteriori informazioni, consulta i seguenti articoli:

Gestire la governance dei dati utilizzando i metadati

La governance dei dati è una combinazione di processi che assicurano che i dati siano sicuri, privati, accurati, disponibili e utilizzabili. Anche se sei responsabile della definizione di una strategia di governance dei dati per la tua organizzazione, Google Cloud fornisce strumenti e tecnologie per aiutarti a mettere in pratica la tua strategia. Google Cloud fornisce anche un framework per la governance dei dati (PDF) nel cloud.

Utilizza Data Catalog per trovare, curare e utilizzare i metadati per descrivere i tuoi asset di dati nel cloud. Puoi utilizzare Data Catalog per cercare asset di dati e quindi codificare gli asset con i metadati. Per accelerare i tuoi sforzi di classificazione dei dati, integra Data Catalog con Cloud DLP per identificare automaticamente i dati riservati. Dopo aver codificato i dati, puoi utilizzare Google Identity and Access Management (IAM) per limitare i dati che gli utenti possono utilizzare per eseguire query o utilizzare le viste di Data Catalog.

Utilizza Dataproc Metastore o Mevestore Hive per gestire i metadati per i carichi di lavoro. Data Catalog ha un connettore hive che consente al servizio di individuare i metadati all'interno di un metastore hive.

Utilizza Dataprep by Trifacta per definire e applicare le regole per la qualità dei dati tramite una console. Puoi utilizzare Dataprep all'interno di Cloud Data Fusion o utilizzare Dataprep come servizio autonomo.

Proteggere i dati in base alla fase e alla classificazione del ciclo di vita

Dopo aver definito i dati nel contesto del loro ciclo di vita e classificarli in base alla loro sensibilità e rischio, puoi assegnare i controlli di sicurezza appropriati per proteggerli. Devi assicurarti che i controlli garantiscano protezioni adeguate, soddisfino i requisiti di conformità e riducano il rischio. Durante il passaggio al cloud, rivedi la strategia attuale e dove potresti dover modificare i processi attuali.

La tabella seguente descrive tre caratteristiche di una strategia di sicurezza dei dati nel cloud.

Caratteristica Descrizione
Identificazione Scopri qual è l'identità di utenti, risorse e applicazioni mentre creano, modificano, archiviano, utilizzano, condividono ed eliminano dati.

Usa Cloud Identity e IAM per controllare l'accesso ai dati. Se le tue identità richiedono certificati, considera Certificate Authority Service.

Per ulteriori informazioni, vedi Gestire identità e accesso.
Limite e accesso Configura i controlli relativi alla modalità di accesso ai dati, da chi e in quali circostanze. È possibile gestire i limiti di accesso ai dati a questi livelli:

Visibilità Puoi controllare l'utilizzo e creare rapporti che illustrano come vengono controllati e controllati i dati. Google Cloud Logging e Access Transparency forniscono insight sulle attività degli amministratori cloud e del personale Google. Per ulteriori informazioni, consulta la sezione Monitorare i dati.

Cripta i tuoi dati

Per impostazione predefinita, Google Cloud cripta i dati inattivi (at-rest) del cliente, senza che tu debba fare nulla. Oltre alla crittografia predefinita, Google Cloud fornisce opzioni per la crittografia delle busta e la gestione delle chiavi di crittografia. Ad esempio, i dischi permanenti di Compute Engine vengono criptati automaticamente, ma puoi fornire o gestire le tue chiavi.

Devi identificare le soluzioni più adatte ai tuoi requisiti per la generazione, l'archiviazione e la rotazione delle chiavi, indipendentemente dal fatto che tu scelga le chiavi per l'archiviazione, il calcolo o i carichi di lavoro di big data.

Google Cloud include le seguenti opzioni per la crittografia e la gestione delle chiavi:

  • Chiavi di crittografia gestite dal cliente (CMEK) Puoi generare e gestire le chiavi di crittografia utilizzando Cloud Key Management Service (Cloud KMS). Utilizza questa opzione se hai determinati requisiti di gestione delle chiavi, ad esempio la necessità di ruotare regolarmente le chiavi di crittografia.
  • Chiavi di crittografia fornite dal cliente (CSEK). Puoi creare e gestire le tue chiavi di crittografia e quindi metterle a disposizione di Google Cloud quando necessario. Utilizza questa opzione se generi le tue chiavi utilizzando il tuo sistema di gestione delle chiavi on-premise per portare la tua chiave (BYOK). Se fornisci le tue chiavi utilizzando CSEK, Google le replica e le rende disponibili per i tuoi carichi di lavoro. Tuttavia, la sicurezza e la disponibilità di CSEK sono una tua responsabilità perché le chiavi fornite dai clienti non sono archiviate nei modelli di istanza o nell'infrastruttura di Google. Se perdi l'accesso alle chiavi, Google non può aiutarti a recuperare i dati criptati. Rifletti attentamente sulle chiavi che vuoi creare e gestire in autonomia. Puoi utilizzare la CSEK solo per le informazioni più sensibili. Un'altra opzione è eseguire la crittografia lato client sui dati e quindi archiviarli in Google Cloud, dove Google cripta di nuovo i dati.
  • Sistema di gestione delle chiavi di terze parti con Cloud External Key Manager (Cloud EKM). Cloud EKM protegge i tuoi dati inattivi utilizzando chiavi di crittografia archiviate e gestite in un sistema di gestione delle chiavi di terze parti che puoi controllare al di fuori dell'infrastruttura di Google. Quando usi questo metodo, hai la massima certezza che nessun utente esterno possa accedere ai tuoi dati. Cloud EKM ti consente di ottenere un modello sicuro di tipo chiavi in mano per la gestione delle chiavi. Per informazioni sulla compatibilità, consulta l'elenco dei servizi abilitati per Cloud EKM.

Cloud KMS consente inoltre di criptare i tuoi dati con chiavi di crittografia supportate da software o con moduli di sicurezza hardware (HSM) convalidati FIPS 140-2 di livello 3. Se utilizzi Cloud KMS, le tue chiavi di crittografia vengono archiviate nell'area geografica in cui esegui il deployment della risorsa. Cloud HSM distribuisce le tue esigenze di gestione delle chiavi in più aree geografiche, garantendo ridondanza e disponibilità globale delle chiavi.

Per informazioni sul funzionamento della crittografia della busta, vedi Crittografia dei dati inattivi in Google Cloud.

contenuti. Per ulteriori informazioni, vedi Controllare gli amministratori del cloud: accesso ai dati.

Gestisci gli amministratori del cloud: accesso ai tuoi dati

Puoi controllare l'accesso del personale tecnico e dell'Assistenza Google al tuo ambiente su Google Cloud. Access Approval consente di approvare esplicitamente prima che i dipendenti Google accedano ai tuoi dati o alle tue risorse su Google Cloud. Questo prodotto integra la visibilità fornita da Access Transparency, che genera log quando il personale di Google interagisce con i dati. Questi log includono la posizione dell'ufficio e il motivo dell'accesso.

L'utilizzo insieme di questi prodotti può negare a Google la possibilità di decriptare i dati per qualsiasi motivo.

Configurare la posizione dei dati e dell'accesso degli utenti.

Puoi controllare le località di rete da cui gli utenti possono accedere ai dati utilizzando i controlli di servizio VPC. Questo prodotto consente di limitare l'accesso agli utenti di un'area geografica specifica. Puoi applicare questo vincolo anche se l'utente è autorizzato in base al criterio Google IAM. Utilizzando i Controlli di servizio VPC, crei un perimetro di servizio che definisce i confini virtuali da cui è possibile accedere a un servizio, impedendo lo spostamento di dati al di fuori di tali limiti.

Per ulteriori informazioni, consulta i seguenti articoli:

Gestire i segreti tramite Secret Manager.

Secret Manager ti consente di archiviare tutti i secret in un luogo centralizzato. I secret sono informazioni di configurazione come password di database, chiavi API o certificati TLS. Puoi eseguire la rotazione automatica dei secret e configurare le applicazioni in modo che utilizzino automaticamente la versione più recente di un secret. Ogni interazione con Secret Manager genera un audit log, così puoi vedere ogni accesso a ciascun secret.

Cloud Data Loss Prevention include anche una categoria di rilevatori per aiutarti a identificare le credenziali e i secret nei dati che potrebbero essere protetti con Secret Manager.

Monitorare i dati

Per visualizzare i log di utilizzo delle chiavi e delle attività dell'amministratore, utilizza gli audit log di Cloud. Per proteggere i tuoi dati, monitora i log utilizzando Cloud Monitoring per garantire il corretto utilizzo delle tue chiavi.

Cloud Logging acquisisce gli eventi Google Cloud e ti consente di aggiungere ulteriori origini, se necessario. Puoi segmentare i log per area geografica, archiviarli in bucket e integrare il codice personalizzato per l'elaborazione dei log. Per un esempio, consulta Creazione della propria soluzione di analisi.

Puoi anche esportare i log in BigQuery per eseguire analisi della sicurezza e dell'accesso in modo da identificare le modifiche non autorizzate e l'accesso inappropriato ai dati della tua organizzazione.

Security Command Center può aiutarti a identificare e risolvere i problemi di accesso non sicuro ai dati sensibili dell'organizzazione archiviati nel cloud. Tramite un'unica interfaccia di gestione, puoi sottoporre a scansione un'ampia varietà di vulnerabilità e rischi per la sicurezza della tua infrastruttura cloud. Ad esempio, puoi monitorare l'esfiltrazione dei dati, eseguire la scansione dei sistemi di archiviazione per verificare la presenza di dati riservati e stabilire quali bucket Cloud Storage sono aperti a Internet.

Passaggi successivi

Scopri di più sulla sicurezza dei dati consultando le seguenti risorse: