Google Cloud Framework Well-Architected: sécurité, confidentialité et conformité

Last reviewed 2025-02-14 UTC

Cette page offre une vue d'une seule page de toutes les pages du pilier Sécurité, confidentialité et conformité du Framework Well-Architected. Vous pouvez imprimer cette page ou l'enregistrer au format PDF à l'aide de la fonction d'impression de votre navigateur.

Cette page ne comporte pas de sommaire. Vous ne pouvez pas utiliser les liens de cette page pour naviguer sur la page.

Le pilier Sécurité, confidentialité et conformité du Google Cloud framework Well-Architected fournit des recommandations pour vous aider à concevoir, déployer et exploiter des charges de travail cloud qui répondent à vos exigences en matière de sécurité, de confidentialité et de conformité.

Ce document est conçu pour fournir des insights précieux et répondre aux besoins d'une grande variété de professionnels et d'ingénieurs de la sécurité. Le tableau suivant décrit les audiences cibles de ce document:

Audience	Contenu de ce document
Responsables de la sécurité des systèmes d'information (RSSI), responsables d'unités commerciales et responsables informatiques	Un cadre général permettant d'établir et de maintenir une excellence en matière de sécurité dans le cloud, et de garantir une vue d'ensemble des domaines de sécurité pour prendre des décisions éclairées sur les investissements en matière de sécurité.
Architectes et ingénieurs en sécurité	Bonnes pratiques de sécurité clés pour les phases de conception et d'exploitation afin de garantir que les solutions sont conçues pour la sécurité, l'efficacité et la scalabilité.
Équipes DevSecOps	Conseils pour intégrer des contrôles de sécurité globaux afin de planifier une automatisation qui permet d'obtenir une infrastructure sécurisée et fiable.
Responsables de la conformité et gestionnaires des risques	Recommandations de sécurité clés pour suivre une approche structurée de la gestion des risques avec des mesures de protection qui aident à respecter les obligations de conformité.

Pour vous assurer que vos charges de travail répondent à vos exigences de sécurité, de confidentialité et de conformité, toutes les personnes concernées de votre organisation doivent adopter une approche collaborative. Google Cloud En outre, vous devez reconnaître que la sécurité cloud est une responsabilité partagée entre vous et Google. Pour en savoir plus, consultez la section Responsabilités partagées et destin commun sur Google Cloud.

Les recommandations de ce pilier sont regroupées en principes de sécurité fondamentaux. Chaque recommandation basée sur des principes est mappée sur un ou plusieurs des principaux domaines d'application de la sécurité cloud qui peuvent être essentiels pour votre organisation. Chaque recommandation met en avant des conseils sur l'utilisation et la configuration des produits et fonctionnalitésGoogle Cloud pour vous aider à améliorer le niveau de sécurité de votre organisation.

Principes de base

Les recommandations de ce pilier sont regroupées dans les principes de sécurité fondamentaux suivants. Chaque principe de ce pilier est important. En fonction des exigences de votre organisation et de votre charge de travail, vous pouvez choisir de donner la priorité à certains principes.

• Implémentez la sécurité par conception : intégrez des considérations de sécurité cloud et de sécurité réseau dès la phase de conception initiale de vos applications et de votre infrastructure.Google Cloud fournit des modèles d'architecture et des recommandations pour vous aider à appliquer ce principe.
• Implémentez la sécurité "zéro confiance" : utilisez une approche toujours vérifier systématiquement, où l'accès aux ressources est accordé en fonction d'une vérification continue de la confiance. Google Cloudapplique ce principe via des produits tels que Chrome Enterprise Premium et Identity-Aware Proxy (IAP).
• Implémentez la sécurité shift-left : implémentez des contrôles de sécurité dès le début du cycle de vie du développement logiciel. Évitez les défauts de sécurité avant d'apporter des modifications au système. Détectez et corrigez les bugs de sécurité de manière précoce, rapide et fiable après la validation des modifications du système. Google Cloud applique ce principe via des produits tels que Cloud Build, l'autorisation binaire et Artifact Registry.
• Implémentez une cyberdéfense préventive : adoptez une approche proactive de la sécurité en implémentant des mesures fondamentales robustes, comme les renseignements sur les menaces. Cette approche vous aide à jeter les bases d'une détection et d'une gestion des menaces plus efficaces. L'approche deGoogle Cloudconcernant les contrôles de sécurité en couches est conforme à ce principe.
• Utiliser l'IA de manière sécurisée et responsable : développez et déployez des systèmes d'IA de manière responsable et sécurisée. Les recommandations de ce principe sont conformes aux conseils de la perspective de l'IA et du ML du framework Well-Architected et du framework d'IA sécurisé (SAIF) de Google.
• Utiliser l'IA pour la sécurité : utilisez les fonctionnalités d'IA pour améliorer vos systèmes et processus de sécurité existants grâce à Gemini dans la sécurité et aux fonctionnalités globales de sécurité de la plate-forme. Utilisez l'IA comme outil pour automatiser davantage le travail de correction et assurer une hygiène de sécurité afin de renforcer la sécurité d'autres systèmes.
• Respectez les exigences réglementaires, de conformité et de confidentialité : respectez les réglementations, les normes de conformité et les exigences de confidentialité propres à votre secteur. Google Cloud vous aide à respecter ces obligations grâce à des produits tels qu'Assurance de charge de travail, le service de règles de l'organisation et notre Centre de ressources sur la conformité.

État d'esprit de sécurité organisationnel

Un état d'esprit organisationnel axé sur la sécurité est essentiel pour une adoption et une exploitation réussies du cloud. Cette mentalité doit être profondément ancrée dans la culture de votre organisation et reflétée dans ses pratiques, qui sont guidées par des principes de sécurité fondamentaux, comme décrit précédemment.

Un état d'esprit axé sur la sécurité organisationnelle vous invite à penser à la sécurité lors de la conception du système, à supposer une confiance zéro et à intégrer des fonctionnalités de sécurité tout au long de votre processus de développement. Dans cet état d'esprit, vous réfléchissez également de manière proactive aux mesures de cyberdéfense, utilisez l'IA de manière sécurisée et pour la sécurité, et tenez compte de vos exigences réglementaires, de confidentialité et de conformité. En adoptant ces principes, votre organisation peut cultiver une culture axée sur la sécurité qui répond de manière proactive aux menaces, protège les actifs précieux et contribue à garantir une utilisation responsable de la technologie.

Axes d'attention de la sécurité dans le cloud

Cette section décrit les domaines sur lesquels vous devez vous concentrer lorsque vous planifiez, implémentez et gérez la sécurité de vos applications, systèmes et données. Les recommandations de chaque principe de ce pilier sont pertinentes pour un ou plusieurs de ces domaines d'intérêt. Dans le reste de ce document, les recommandations spécifient les domaines de sécurité correspondants pour plus de clarté et de contexte.

Zone de mise au point	Activités et composants	Produits, fonctionnalités et solutions Google Cloud associés
Sécurité de l'infrastructure	Sécurisez l'infrastructure réseau. Chiffrez les données en transit et au repos. Contrôler le flux de trafic Sécurisez les services IaaS et PaaS. Protégez-vous contre les accès non autorisés.	Stratégies de pare-feu VPC Service Controls Google Cloud Armor Pare-feu Cloud nouvelle génération Proxy Web sécurisé
Gestion de l'authentification et des accès	Utilisez l'authentification, l'autorisation et le contrôle des accès. Gérer les identités cloud Gérer les stratégies de gestion de l'identité et des accès	Cloud Identity Service Identity and Access Management (IAM) de Google Fédération des identités des employés Fédération d'identité de charge de travail
Sécurité des données	Stockez les données de manière sécurisée dans Google Cloud . Contrôlez l'accès aux données. Détectez et classez les données. Concevez les contrôles nécessaires, tels que le chiffrement, le contrôle des accès et la prévention contre la perte de données. Protégez les données au repos, en transit et en cours d'utilisation.	Service IAM de Google Sensitive Data Protection VPC Service Controls Cloud KMS Informatique confidentielle
Sécurité de l'IA et du ML	Appliquez des contrôles de sécurité à différentes couches de l'infrastructure et du pipeline d'IA et de ML. Assurer la sécurité du modèle	Framework d'IA sécurisé de Google (SAIF) Model Armor
Opérations de sécurité (SecOps)	Adoptez une plate-forme et un ensemble de pratiques SecOps modernes pour une gestion efficace des incidents, de la détection des menaces et des processus de réponse. Surveillez en permanence les systèmes et les applications pour détecter les événements de sécurité.	Google Security Operations
Sécurité des applications	Protégez les applications contre les failles logicielles et les attaques.	Artifact Registry Artifact Analysis Autorisation binaire Assured Open Source Software Google Cloud Armor Web Security Scanner
Gouvernance, risques et conformité dans le cloud	Établir des règles, des procédures et des contrôles pour gérer efficacement et de manière sécurisée les ressources cloud.	Service de règles d'organisation Inventaire des éléments cloud Security Command Center Enterprise Resource Manager
Journalisation, audit et surveillance	Analyser les journaux pour identifier les menaces potentielles Suivre et enregistrer les activités du système pour l'analyse de la conformité et de la sécurité	Cloud Logging Cloud Monitoring Cloud Audit Logging Journaux de flux VPC

Contributeurs

Auteurs :

• Wade Holmes | Directeur des solutions mondiales
• Hector Diaz | Architecte en sécurité cloud
• Carlos Leonardo Rosario | Spécialiste de la sécurité Google Cloud
• John Bacon | Partner Solutions Architect
• Sachin Kalra | Global Security Solution Manager

Autres contributeurs :

• Anton Chuvakin | Conseiller en sécurité, Bureau du RSSI
• Daniel Lees | Architecte en sécurité cloud
• Dr Filipe Gracio | Ingénieur client
• Gary Harmson | Ingénieur client
• Gino Pelliccia | Architecte principal
• Jose Andrade | Ingénieur client Enterprise Infrastructure
• Kumar Dhanagopal Développeur de solutions multiproduits
• Laura Hyatt | Architecte cloud d'entreprise
• Marwan Al Shawi | Partner Customer Engineer
• Nicolas Pinteaux | Ingénieur client, spécialiste de la modernisation des applications
• Noah McDonald | Consultant en sécurité cloud
• Osvaldo Costa | Ingénieur client spécialiste en gestion des réseaux
• Radhika Kanakam | Senior Program Manager, Cloud GTM
• Susan Wu | Responsable produit orienté client

Implémenter la sécurité dès la conception

Ce principe du pilier de sécurité du Google Cloud framework Well-Architected fournit des recommandations pour intégrer des fonctionnalités, des contrôles et des pratiques de sécurité robustes dans la conception de vos applications, services et plates-formes cloud. De l'idéation aux opérations, la sécurité est plus efficace lorsqu'elle est intégrée à chaque étape de votre processus de conception.

Présentation des principes

Comme expliqué dans la section Présentation de l'engagement de Google en faveur de la sécurité par conception, les termes sécurisé par défaut et sécurisé par conception sont souvent utilisés de manière interchangeable, mais ils représentent des approches distinctes pour créer des systèmes sécurisés. Les deux approches visent à minimiser les failles et à renforcer la sécurité, mais elles diffèrent en termes de champ d'application et d'implémentation:

• Sécurité par défaut: vise à s'assurer que les paramètres par défaut d'un système sont définis sur un mode sécurisé, ce qui réduit au minimum la nécessité pour les utilisateurs ou les administrateurs de prendre des mesures pour sécuriser le système. Cette approche vise à fournir un niveau de sécurité de référence pour tous les utilisateurs.
• Conception sécurisée: met l'accent sur l'intégration proactive de considérations de sécurité tout au long du cycle de développement d'un système. Cette approche consiste à anticiper les menaces et les failles potentielles à un stade précoce et à faire des choix de conception qui atténuent les risques. Cette approche implique d'utiliser des pratiques de codage sécurisé, de procéder à des examens de sécurité et d'intégrer la sécurité tout au long du processus de conception. L'approche de sécurité par conception est une philosophie globale qui guide le processus de développement et permet de s'assurer que la sécurité n'est pas une réflexion après coup, mais qu'elle fait partie intégrante de la conception d'un système.

Recommandations

Pour implémenter le principe de sécurité par conception pour vos charges de travail cloud, tenez compte des recommandations des sections suivantes:

• Choisir des composants système qui contribuent à sécuriser vos charges de travail
• Créer une approche multicouche de la sécurité
• Utiliser une infrastructure et des services renforcés et certifiés
• Chiffrer les données au repos et en transit

Choisissez des composants système qui contribuent à sécuriser vos charges de travail

Cette recommandation s'applique à tous les domaines d'action.

La sélection de composants système robustes (matériels et logiciels) qui constituent votre plate-forme, votre solution ou votre service est une décision fondamentale pour une sécurité efficace. Pour réduire la surface d'attaque de la sécurité et limiter les dommages potentiels, vous devez également examiner attentivement les modèles de déploiement de ces composants et leurs configurations.

Dans le code de votre application, nous vous recommandons d'utiliser des bibliothèques, des abstractions et des frameworks d'application simples, sûrs et fiables afin d'éliminer des classes de failles. Pour rechercher des failles dans les bibliothèques logicielles, vous pouvez utiliser des outils tiers. Vous pouvez également utiliser le logiciel Open Source Assured, qui permet de réduire les risques liés à votre chaîne d'approvisionnement logicielle en utilisant des packages logiciels Open Source (OSS) que Google utilise et sécurise.

Votre infrastructure doit utiliser des options de mise en réseau, de stockage et de calcul qui permettent un fonctionnement sécurisé et sont conformes à vos exigences de sécurité et à vos niveaux d'acceptation des risques. La sécurité de l'infrastructure est importante à la fois pour les charges de travail internes et celles exposées à Internet.

Pour en savoir plus sur les autres solutions Google compatibles avec cette recommandation, consultez la section Implémenter la sécurité à gauche.

Créer une approche multicouche de la sécurité

Cette recommandation s'applique aux axes d'action suivants:

• Sécurité de l'IA et du ML
• Sécurité de l'infrastructure
• Gestion de l'authentification et des accès
• Sécurité des données

Nous vous recommandons d'implémenter la sécurité à chaque couche de votre application et de votre pile d'infrastructure en appliquant une approche de défense en profondeur.

Utilisez les fonctionnalités de sécurité de chaque composant de votre plate-forme. Pour limiter l'accès et identifier les limites de l'impact potentiel (c'est-à-dire le rayon d'impact) en cas d'incident de sécurité, procédez comme suit:

• Simplifiez la conception de votre système pour plus de flexibilité.
• Documentez les exigences de sécurité de chaque composant.
• Intégrez un mécanisme sécurisé et robuste pour répondre aux exigences de résilience et de reprise après sinistre.

Lorsque vous concevez les couches de sécurité, effectuez une évaluation des risques pour déterminer les fonctionnalités de sécurité dont vous avez besoin pour répondre aux exigences de sécurité internes et aux exigences réglementaires externes. Nous vous recommandons d'utiliser un framework d'évaluation des risques standard dans l'industrie, qui s'applique aux environnements cloud et qui est pertinent pour vos exigences réglementaires. Par exemple, la Cloud Security Alliance (CSA) fournit la matrice des contrôles cloud (CCM). L'évaluation des risques vous fournit un catalogue des risques et des contrôles de sécurité correspondants pour les atténuer.

Lorsque vous effectuez l'évaluation des risques, n'oubliez pas que vous avez un accord de responsabilité partagée avec votre fournisseur cloud. Par conséquent, les risques dans un environnement cloud diffèrent de ceux dans un environnement sur site. Par exemple, dans un environnement sur site, vous devez limiter les failles de votre pile matérielle. En revanche, dans un environnement cloud, ces risques sont supportés par le fournisseur cloud. N'oubliez pas non plus que les limites des responsabilités partagées diffèrent entre les services IaaS, PaaS et SaaS pour chaque fournisseur de services cloud.

Après avoir identifié les risques potentiels, vous devez concevoir et créer un plan d'atténuation qui utilise des contrôles techniques, administratifs et opérationnels, ainsi que des protections contractuelles et des attestations tierces. En outre, une méthode de modélisation des menaces, telle que la méthode de modélisation des menaces d'application OWASP, vous aide à identifier les lacunes potentielles et à suggérer des actions pour les combler.

Utiliser une infrastructure et des services renforcés et certifiés

Cette recommandation s'applique à tous les domaines d'action.

Un programme de sécurité mature corrige les nouvelles failles, comme décrit dans les bulletins de sécurité. Le programme de sécurité doit également fournir des mesures correctives pour corriger les failles des déploiements existants et sécuriser vos images de VM et de conteneur. Vous pouvez utiliser des guides de renforcement spécifiques à l'OS et à l'application de vos images, ainsi que des benchmarks comme celui fourni par le Center of Internet Security (CIS).

Si vous utilisez des images personnalisées pour vos VM Compute Engine, vous devez appliquer vous-même les correctifs. Vous pouvez également utiliser les images d'OS sélectionnées fournies par Google, qui sont corrigées régulièrement. Pour exécuter des conteneurs sur des VM Compute Engine, utilisez des images de système d'exploitation optimisées pour les conteneurs sélectionnées par Google. Google corrige et met régulièrement à jour ces images.

Si vous utilisez GKE, nous vous recommandons d'activer la mise à niveau automatique des nœuds pour que Google mette à jour vos nœuds de cluster en appliquant les derniers correctifs. Google gère les plans de contrôle GKE, qui sont automatiquement mis à jour et corrigés. Pour réduire davantage la surface d'attaque de vos conteneurs, vous pouvez utiliser des images distroless. Les images distroless sont idéales pour les applications sensibles à la sécurité, les microservices et les situations où il est essentiel de réduire la taille de l'image et la surface d'attaque.

Pour les charges de travail sensibles, utilisez une VM protégée, qui empêche le chargement de code malveillant pendant le cycle de démarrage de la VM. Les instances de VM protégées offrent une sécurité au démarrage, surveillent l'intégrité et utilisent le module vTPM (Virtual Trusted Platform Module).

Pour sécuriser l'accès SSH, OS Login permet à vos employés de se connecter à vos VM en utilisant des autorisations IAM en tant que source de vérité plutôt que des clés SSH. Vous n'avez donc pas besoin de gérer les clés SSH dans votre organisation. OS Login permet de lier l'accès administrateur au cycle de vie de l'employé. Ainsi, lorsque les employés changent de rôle ou quittent votre organisation, leur accès est révoqué avec leur compte. OS Login est également compatible avec l'authentification à deux facteurs Google, qui ajoute une couche de sécurité supplémentaire contre les attaques par piratage de compte.

Dans GKE, les instances d'application s'exécutent dans des conteneurs Docker. Pour activer un profil de risque défini et empêcher les employés de modifier les conteneurs, assurez-vous que vos conteneurs sont sans état et immuables. Le principe d'immuabilité signifie que vos employés ne peuvent pas modifier le conteneur ni y accéder de manière interactive. Si le conteneur doit être modifié, vous devez créer une nouvelle image et la redéployer. N'activez l'accès SSH aux conteneurs sous-jacents que dans des scénarios de débogage spécifiques.

Pour sécuriser globalement les configurations de votre environnement, vous pouvez utiliser des règles d'administration afin de définir des contraintes ou des garde-fous sur les ressources qui affectent le comportement de vos composants cloud. Par exemple, vous pouvez définir les règles d'administration suivantes et les appliquer de manière globale à l'ensemble d'une Google Cloud organisation ou de manière sélective au niveau d'un dossier ou d'un projet:

• Désactivez l'allocation d'adresses IP externes aux VM.
• Limitez la création de ressources à des emplacements géographiques spécifiques.
• Désactivez la création de comptes de service ou de leurs clés.

Chiffrer les données au repos et en transit

Cette recommandation s'applique aux axes d'action suivants:

• Sécurité de l'infrastructure
• Sécurité des données

Le chiffrement des données est un contrôle de base pour protéger les informations sensibles. Il constitue un élément clé de la gouvernance des données. Une stratégie de protection des données efficace comprend le contrôle des accès, la segmentation des données et la résidence géographique, l'audit, et l'implémentation du chiffrement basée sur une évaluation minutieuse des exigences.

Par défaut, Google Cloud chiffre les données client stockées au repos, sans aucune action requise de votre part. En plus du chiffrement par défaut,Google Cloud propose des options de chiffrement encapsulé et de gestion des clés de chiffrement. Vous devez identifier les solutions les plus adaptées à vos exigences en termes de génération, de stockage et de rotation des clés, que ce soit pour des charges de travail de stockage, de calcul ou de big data. Par exemple, vous pouvez créer des clés de chiffrement gérées par le client (CMEK) dans Cloud Key Management Service (Cloud KMS). Les CMEK peuvent être basées sur des logiciels ou protégées par un HSM pour répondre à vos exigences réglementaires ou de conformité, comme la nécessité de faire tourner régulièrement les clés de chiffrement. Cloud KMS Autokey vous permet d'automatiser le provisionnement et l'attribution des CMEK. De plus, vous pouvez importer vos propres clés provenant d'un système de gestion de clés tiers à l'aide de Cloud External Key Manager (Cloud EKM).

Nous vous recommandons vivement de chiffrer les données en transit. Google chiffre et authentifie les données en transit sur une ou plusieurs couches réseau lorsque des données sont transférées en dehors des limites physiques qui ne sont pas contrôlées par ou pour le compte de Google. Tout le trafic de VM à VM au sein d'un réseau VPC et entre des réseaux VPC appairés est chiffré. Vous pouvez utiliser MACsec pour chiffrer le trafic via les connexions Cloud Interconnect. IPsec fournit le chiffrement du trafic via les connexions Cloud VPN. Vous pouvez protéger le trafic d'application à application dans le cloud à l'aide de fonctionnalités de sécurité telles que les configurations TLS et mTLS dans Apigee et Cloud Service Mesh pour les applications conteneurisées.

Par défaut, Google Cloud chiffre les données au repos et en transit sur le réseau. Toutefois, les données ne sont pas chiffrées par défaut lorsqu'elles sont utilisées en mémoire. Si votre organisation gère des données confidentielles, vous devez limiter les menaces qui compromettent la confidentialité et l'intégrité de l'application ou des données stockées dans la mémoire système. Pour atténuer ces menaces, vous pouvez utiliser le calcul confidentiel, qui fournit un environnement d'exécution sécurisé pour vos charges de travail de calcul. Pour en savoir plus, consultez la page Présentation de Confidential VM.

Implémenter la confiance zéro

Ce principe du pilier de sécurité du Google Cloud framework Well-Architected vous aide à assurer une sécurité complète pour l'ensemble de vos charges de travail cloud. Le principe de sécurité "zéro confiance" met l'accent sur les pratiques suivantes:

• Éliminer la confiance implicite
• Appliquer le principe du moindre privilège au contrôle des accès
• Application de la validation explicite de toutes les demandes d'accès
• Adopter un état d'esprit présumant de la violation pour permettre une vérification et une surveillance continue de la posture de sécurité

Présentation des principes

Le modèle de sécurité zéro confiance déplace l'accent de la sécurité périmétrique vers une approche dans laquelle aucun utilisateur ni aucun appareil n'est considéré comme intrinsèquement fiable. À la place, chaque demande d'accès doit être validée, quelle que soit son origine. Cette approche implique d'authentifier et d'autoriser chaque utilisateur et appareil, de valider leur contexte (position et position de l'appareil) et d'accorder un accès avec le niveau de privilège le plus faible aux seules ressources nécessaires.

L'implémentation du modèle de confiance zéro aide votre organisation à améliorer sa stratégie de sécurité en minimisant l'impact des violations potentielles et en protégeant les données et applications sensibles contre les accès non autorisés. Le modèle de confiance zéro vous aide à garantir la confidentialité, l'intégrité et la disponibilité des données et des ressources dans le cloud.

Recommandations

Pour implémenter le modèle de confiance zéro pour vos charges de travail cloud, tenez compte des recommandations des sections suivantes:

• Sécuriser votre réseau
• Vérifiez explicitement chaque tentative d'accès.
• Surveiller et gérer votre réseau

Sécuriser votre réseau

Cette recommandation s'applique à la zone de concentration suivante : sécurité de l'infrastructure.

La transition d'une sécurité périmétrique classique à un modèle de confiance zéro nécessite plusieurs étapes. Il est possible que votre organisation ait déjà intégré certains contrôles de sécurité zéro confiance à sa stratégie de sécurité. Toutefois, un modèle de confiance zéro n'est pas un produit ou une solution unique. Il s'agit plutôt d'une intégration globale de plusieurs couches de sécurité et de bonnes pratiques. Cette section décrit les recommandations et les techniques permettant d'implémenter la sécurité zéro confiance pour la sécurité du réseau.

• Contrôle des accès: appliquez des contrôles des accès en fonction de l'identité et du contexte de l'utilisateur à l'aide de solutions telles que Chrome Enterprise Premium et Identity-Aware Proxy (IAP). Vous déplacez ainsi la sécurité du périmètre réseau vers les utilisateurs et appareils individuels. Cette approche permet un contrôle précis des accès et réduit la surface d'attaque.
• Sécurité réseau: sécurisez les connexions réseau entre vos environnements sur site, Google Cloudet multicloud.
  • Utilisez les méthodes de connectivité privée de Cloud Interconnect et des VPN IPsec.
  • Pour sécuriser l'accès aux services et aux API Google Cloud , utilisez Private Service Connect.
  • Pour sécuriser l'accès sortant des charges de travail déployées sur GKE Enterprise, utilisez des passerelles de sortie Cloud Service Mesh.
• Conception de réseau: évitez les risques de sécurité potentiels en supprimant les réseaux par défaut dans les projets existants et en désactivant la création de réseaux par défaut dans les nouveaux projets.
  • Pour éviter les conflits, planifiez soigneusement votre réseau et l'allocation des adresses IP.
  • Pour appliquer un contrôle des accès efficace, limitez le nombre de réseaux cloud privé virtuel (VPC) par projet.
• Segmentation: isolez les charges de travail, tout en conservant une gestion centralisée du réseau.
  • Pour segmenter votre réseau, utilisez un VPC partagé.
  • Définissez des stratégies et des règles de pare-feu au niveau de l'organisation, du dossier et du réseau VPC.
  • Pour éviter l'exfiltration de données, établissez des périmètres sécurisés autour des données et des services sensibles à l'aide de VPC Service Controls.
• Sécurité périmétrique: protection contre les attaques DDoS et les menaces sur les applications Web.
  • Pour vous protéger contre les menaces, utilisez Google Cloud Armor.
  • Configurez des stratégies de sécurité pour autoriser, refuser ou rediriger le trafic au niveau de laGoogle Cloud .
• Automatisation: automatisez le provisionnement de l'infrastructure en adoptant les principes de l'Infrastructure as Code (IaC) et en utilisant des outils tels que Terraform, Jenkins et Cloud Build. L'intégration continue de la sécurité permet de garantir des configurations de sécurité cohérentes, des déploiements simplifiés et des rollbacks rapides en cas de problème.
• Base sécurisée: établissez un environnement d'application sécurisé à l'aide du plan de base d'entreprise. Ce plan fournit des conseils et des scripts d'automatisation pour vous aider à mettre en œuvre les bonnes pratiques de sécurité et à configurer vos ressourcesGoogle Cloud de manière sécurisée.

Vérifier explicitement chaque tentative d'accès

Cette recommandation s'applique aux axes d'action suivants:

• Gestion de l'authentification et des accès
• Opérations de sécurité (SecOps)
• Journalisation, audit et surveillance

Implémentez des mécanismes d'authentification et d'autorisation stricts pour tout utilisateur, appareil ou service qui tente d'accéder à vos ressources cloud. Ne vous appuyez pas sur l'emplacement ni sur le périmètre réseau comme contrôle de sécurité. N'accordez pas automatiquement de confiance à un utilisateur, à un appareil ou à un service, même s'ils se trouvent déjà dans le réseau. À la place, chaque tentative d'accès aux ressources doit être rigoureusement authentifiée et autorisée. Vous devez mettre en œuvre des mesures de validation d'identité strictes, telles que l'authentification multifacteur (MFA). Vous devez également vous assurer que les décisions d'accès sont basées sur des règles précises qui tiennent compte de divers facteurs contextuels tels que le rôle de l'utilisateur, la position de l'appareil et l'emplacement.

Pour mettre en œuvre cette recommandation, utilisez les méthodes, outils et technologies suivants:

• Gestion unifiée des identités: assurez une gestion cohérente des identités dans l'ensemble de votre organisation en utilisant un seul fournisseur d'identité (IdP).
  • Google Cloud est compatible avec la fédération avec la plupart des IdP, y compris Active Directory sur site. La fédération vous permet d'étendre votre infrastructure de gestion des identités existante à Google Cloud et d'activer l'authentification unique (SSO) pour les utilisateurs.
  • Si vous ne disposez d'aucun fournisseur d'identité, envisagez d'utiliser Cloud Identity Premium ou Google Workspace.
• Autorisations limitées des comptes de service: utilisez les comptes de service avec précaution et respectez le principe du moindre privilège.
  • N'accordez que les autorisations nécessaires à chaque compte de service pour qu'il puisse effectuer les tâches qui lui sont attribuées.
  • Utilisez la fédération d'identité de charge de travail pour les applications exécutées sur Google Kubernetes Engine (GKE) ou exécutées en dehors deGoogle Cloud afin d'accéder aux ressources de manière sécurisée.
• Processus robustes: mettez à jour vos processus d'identité pour les aligner sur les bonnes pratiques de sécurité dans le cloud.
  • Pour vous assurer de la conformité aux exigences réglementaires, implémentez une gouvernance des identités afin de suivre les accès, les risques et les cas de non-respect des règles.
  • Examinez et mettez à jour vos processus existants pour accorder et auditer les rôles et autorisations de contrôle des accès.
• Authentification forte: implémentez l'authentification unique pour l'authentification des utilisateurs et l'authentification multifacteur pour les comptes privilégiés.
  • Google Cloud est compatible avec diverses méthodes d'authentification multifacteur, y compris les clés de sécurité Titan, pour une sécurité renforcée.
  • Pour l'authentification des charges de travail, utilisez OAuth 2.0 ou des jetons Web JSON (JWT) signés.
• Principe du moindre privilège: réduisez le risque d'accès non autorisé et de violation de données en appliquant les principes du moindre privilège et de la séparation des tâches.
  • Évitez de trop provisionner l'accès des utilisateurs.
  • Envisagez d'implémenter un accès privilégié en temps opportun pour les opérations sensibles.
• Journalisation: activez la journalisation d'audit pour les activités d'administration et d'accès aux données.
  • Pour l'analyse et la détection des menaces, analysez les journaux à l'aide de Security Command Center Enterprise ou de Google Security Operations.
  • Configurez des stratégies de conservation des journaux appropriées pour équilibrer les besoins de sécurité avec les coûts de stockage.

Surveiller et gérer votre réseau

Cette recommandation s'applique aux axes d'action suivants:

• Journalisation, audit et surveillance
• Sécurité des applications
• Opérations de sécurité (SecOps)
• Sécurité de l'infrastructure

Lorsque vous planifiez et implémentez des mesures de sécurité, partez du principe qu'un pirate informatique est déjà dans votre environnement. Cette approche proactive implique d'utiliser les différents outils et techniques suivants pour assurer la visibilité de votre réseau:

• Journalisation et surveillance centralisées: collectez et analysez les journaux de sécurité de toutes vos ressources cloud grâce à une journalisation et une surveillance centralisées.

  • Établissez des références pour le comportement normal du réseau, détectez les anomalies et identifiez les menaces potentielles.
  • Analysez en continu les flux de trafic réseau pour identifier les schémas suspects et les attaques potentielles.

• Insights sur les performances et la sécurité du réseau: utilisez des outils tels que Network Analyzer. Surveillez le trafic pour détecter les protocoles inhabituels, les connexions inattendues ou les pics soudains de transfert de données, qui pourraient indiquer une activité malveillante.

• Analyse des failles et correction: analysez régulièrement votre réseau et vos applications pour détecter les failles.

  • Utilisez Web Security Scanner, qui peut identifier automatiquement les failles dans vos instances Compute Engine, conteneurs et clusters GKE.
  • Priorisez la correction en fonction de la gravité des failles et de leur impact potentiel sur vos systèmes.

• Détection des intrusions: surveillez le trafic réseau à la recherche d'activités malveillantes et bloquez automatiquement les événements suspects ou recevez des alertes à leur sujet à l'aide de Cloud IDS et du service de prévention des intrusions Cloud NGFW.

• Analyse de la sécurité: envisagez d'implémenter Google SecOps pour corréler les événements de sécurité provenant de différentes sources, fournir une analyse en temps réel des alertes de sécurité et faciliter la gestion des incidents.

• Configurations cohérentes: assurez-vous que les configurations de sécurité sont cohérentes sur l'ensemble de votre réseau à l'aide d'outils de gestion des configurations.

Implémenter la sécurité en amont

Ce principe du pilier de sécurité du Google Cloud framework Well-Architected vous aide à identifier les contrôles pratiques que vous pouvez implémenter dès le début du cycle de vie du développement logiciel pour améliorer votre posture de sécurité. Il fournit des recommandations qui vous aident à mettre en place des garde-fous de sécurité préventifs et des contrôles de sécurité post-déploiement.

Présentation des principes

La sécurité en amont consiste à adopter des pratiques de sécurité dès le début du cycle de vie du développement logiciel. Ce principe a les objectifs suivants:

• Évitez les défauts de sécurité avant d'apporter des modifications au système. Implémentez des garde-fous de sécurité préventifs et adoptez des pratiques telles que l'Infrastructure as Code (IaC), le Policy as Code et les contrôles de sécurité dans le pipeline CI/CD. Vous pouvez également utiliser d'autres fonctionnalités spécifiques à la plate-forme, comme le service de règles d'administration et les clusters GKE renforcés dans Google Cloud.
• Détectez et corrigez les bugs de sécurité de manière précoce, rapide et fiable après toute modification du système. Adoptez des pratiques telles que les revues de code, l'analyse des failles post-déploiement et les tests de sécurité.

Les principes de sécurité Implémenter la sécurité par conception et de sécurité shift-left sont liés, mais leur champ d'application diffère. Le principe de sécurité par conception vous aide à éviter les failles de conception fondamentales qui nécessiteraient de repenser l'ensemble du système. Par exemple, un exercice de modélisation des menaces révèle que la conception actuelle n'inclut pas de stratégie d'autorisation, et que tous les utilisateurs auraient le même niveau d'accès sans elle. La sécurité décalée vers la gauche vous aide à éviter les défauts d'implémentation (bugs et erreurs de configuration) avant l'application des modifications, et permet de corriger rapidement et de manière fiable les problèmes après le déploiement.

Recommandations

Pour implémenter le principe de sécurité shift-left pour vos charges de travail cloud, tenez compte des recommandations des sections suivantes:

• Adopter des contrôles de sécurité préventifs
• Automatisez le provisionnement et la gestion des ressources cloud.
• Automatiser les versions sécurisées des applications
• Assurez-vous que les déploiements d'applications suivent les processus approuvés.
• Rechercher les failles connues avant le déploiement de l'application
• Surveillez les failles connues dans le code de votre application.

Adopter des contrôles de sécurité préventifs

Cette recommandation s'applique aux axes d'action suivants:

• Gestion de l'authentification et des accès
• Gouvernance, risques et conformité dans le cloud

Les contrôles de sécurité préventifs sont essentiels pour maintenir un niveau de sécurité élevé dans le cloud. Ces contrôles vous aident à atténuer de manière proactive les risques. Vous pouvez éviter les erreurs de configuration et les accès non autorisés aux ressources, permettre aux développeurs de travailler efficacement et contribuer à garantir la conformité aux normes du secteur et aux règles internes.

Les contrôles de sécurité préventifs sont plus efficaces lorsqu'ils sont implémentés à l'aide de l'infrastructure as code (IaC). Avec l'IaC, les contrôles de sécurité préventifs peuvent inclure des vérifications plus personnalisées du code de l'infrastructure avant le déploiement des modifications. Associés à l'automatisation, les contrôles de sécurité préventifs peuvent s'exécuter dans le cadre des vérifications automatiques de votre pipeline CI/CD.

Les produits et fonctionnalités suivants peuvent vous aider à implémenter des contrôles préventifs dans votre environnement : Google Cloud

• Contraintes du service de règles d'administration : configurez des contraintes prédéfinies et personnalisées avec un contrôle centralisé.
• VPC Service Controls : créez des périmètres autour de vos Google Cloud services.
• Identity and Access Management (IAM), Privileged Access Manager et principal access boundary policies : limitent l'accès aux ressources.
• Policy Controller et Open Policy Agent (OPA) : appliquez des contraintes d'intégration continue dans votre pipeline CI/CD et évitez les erreurs de configuration dans le cloud.

IAM vous permet d'autoriser qui peut agir sur des ressources spécifiques en fonction des autorisations. Pour en savoir plus, consultez la section Contrôle des accès aux ressources de l'organisation avec IAM.

Le service de règles d'administration vous permet de définir des restrictions sur les ressources pour spécifier leur configuration. Par exemple, vous pouvez utiliser une règle d'administration pour effectuer les opérations suivantes:

• Limiter le partage des ressources en fonction du domaine
• Limiter l'utilisation des comptes de service.
• Limitez l'emplacement physique des ressources nouvellement créées.

En plus d'utiliser des règles d'administration, vous pouvez restreindre l'accès aux ressources à l'aide des méthodes suivantes:

• Tags avec IAM : attribuez un tag à un ensemble de ressources, puis définissez la définition d'accès pour le tag lui-même, plutôt que de définir les autorisations d'accès sur chaque ressource.
• Conditions IAM : définissez un contrôle des accès conditionnel et basé sur des attributs pour les ressources.
• Défense en profondeur: utilisez VPC Service Controls pour restreindre davantage l'accès aux ressources.

Pour en savoir plus sur la gestion des ressources, consultez la section Choisir une hiérarchie de ressources pour votre Google Cloud zone de destination.

Automatiser le provisionnement et la gestion des ressources cloud

Cette recommandation s'applique aux axes d'action suivants:

• Sécurité des applications
• Gouvernance, risques et conformité dans le cloud

L'automatisation du provisionnement et de la gestion des ressources et des charges de travail cloud est plus efficace lorsque vous adoptez également l'IaC déclarative, par opposition au script impératif. L'IaC n'est pas un outil ni une pratique de sécurité en soi, mais il vous aide à améliorer la sécurité de votre plate-forme. L'adoption de l'IaC vous permet de créer une infrastructure reproductible et de fournir à votre équipe d'exploitation un état correct connu. L'IaC améliore également l'efficacité des rollbacks, des modifications d'audit et du dépannage.

Combiné aux pipelines CI/CD et à l'automatisation, l'IaC vous permet également d'adopter des pratiques telles que les règles en tant que code avec des outils tels qu'OPA. Vous pouvez auditer les modifications de l'infrastructure au fil du temps et exécuter des vérifications automatiques sur le code de l'infrastructure avant le déploiement des modifications.

Pour automatiser le déploiement de l'infrastructure, vous pouvez utiliser des outils tels que Config Controller, Terraform, Jenkins et Cloud Build. Pour vous aider à créer un environnement d'application sécurisé à l'aide de l'IaC et de l'automatisation,Google Cloud fournit le plan de base d'entreprise. Ce plan est la conception subjective de Google, qui suit toutes nos pratiques et configurations recommandées. Le plan fournit des instructions détaillées pour configurer et déployer votre topologie Google Cloud à l'aide de Terraform et de Cloud Build.

Vous pouvez modifier les scripts du plan de base d'entreprise pour configurer un environnement qui suit les recommandations de Google et répond à vos propres exigences de sécurité. Vous pouvez vous appuyer sur ce plan en utilisant des plans supplémentaires ou en concevant votre propre automatisation. LeGoogle Cloud Centre d'architecture fournit d'autres modèles pouvant être implémentés sur le plan de base d'entreprise. Voici quelques exemples de ces modèles:

• Déployer une plate-forme de développeur d'entreprise sur Google Cloud
• Déployer une architecture sécurisée sans serveur à l'aide de Cloud Run
• Créez et déployez des modèles d'IA générative et de machine learning dans une entreprise
• Importer des données depuis Google Cloud dans un entrepôt de données BigQuery sécurisé
• Déployer des fonctionnalités de surveillance et de télémétrie réseau dans Google Cloud

Automatiser les versions sécurisées des applications

Cette recommandation s'applique à la zone de concentration suivante : sécurité des applications.

Sans outils automatisés, il peut être difficile de déployer, de mettre à jour et d'appliquer des correctifs aux environnements applicatifs complexes pour satisfaire les exigences de sécurité. Nous vous recommandons de créer des pipelines CI/CD automatisés pour votre cycle de développement logiciel (SDLC). Les pipelines CI/CD automatisés vous aident à supprimer les erreurs manuelles, à fournir des boucles de rétroaction standardisées pour le développement et à permettre des itérations de produits efficaces. La livraison continue est l'une des bonnes pratiques recommandées par le framework DORA.

L'automatisation des versions d'applications à l'aide de pipelines CI/CD vous permet de détecter et de corriger les bugs de sécurité plus tôt, plus rapidement et plus efficacement. Par exemple, vous pouvez rechercher automatiquement les failles de sécurité lors de la création des artefacts, réduire la portée des examens de sécurité et revenir à une version connue et sûre. Vous pouvez également définir des règles pour différents environnements (tels que les environnements de développement, de test ou de production) afin que seuls les artefacts validés soient déployés.

Pour vous aider à automatiser les versions d'applications et à intégrer des vérifications de sécurité dans votre pipeline CI/CD, Google Cloud fournit plusieurs outils, y compris Cloud Build, Cloud Deploy, Web Security Scanner et Binary Authorization.

Pour établir un processus qui vérifie plusieurs exigences de sécurité dans votre SDLC, utilisez le framework SLSA (Supply-chain Levels for Software Artifacts), défini par Google. SLSA nécessite des vérifications de sécurité pour le code source, le processus de compilation et la provenance du code. Un grand nombre de ces exigences peuvent être incluses dans un pipeline CI/CD automatisé. Pour comprendre comment Google applique ces pratiques en interne, consultez la section Approche deGoogle Cloudface au changement.

Garantissez que les déploiements d'applications suivent les processus approuvés.

Cette recommandation s'applique à la zone de concentration suivante : sécurité des applications.

Si un pirate informatique compromet votre pipeline CI/CD, l'ensemble de votre pile d'applications peut être affecté. Pour sécuriser le pipeline, vous devez appliquer un processus d'approbation bien défini avant de déployer le code en production.

Si vous utilisez Google Kubernetes Engine (GKE), GKE Enterprise ou Cloud Run, vous pouvez mettre en place un processus d'approbation à l'aide de l'autorisation binaire. L'autorisation binaire associe des signatures configurables aux images de conteneurs. Ces signatures (également appelées attestations) aident à valider l'image. Au moment du déploiement, l'autorisation binaire utilise ces attestations pour déterminer si un processus a été terminé. Par exemple, vous pouvez utiliser l'autorisation binaire pour effectuer les opérations suivantes:

• Vérifier qu'un système de compilation ou un pipeline CI spécifique a bien créé une image de conteneur.
• Vérifier qu'une image de conteneur est conforme aux règles de signature des failles.
• Vérifier qu'une image de conteneur transmet les critères de promotion à l'environnement de déploiement suivant, par exemple de l'environnement de développement vers l'environnement de contrôle qualité

L'autorisation binaire vous permet d'exiger que seul du code approuvé s'exécute sur vos plates-formes cibles.

Rechercher les failles connues avant le déploiement de l'application

Cette recommandation s'applique à la zone de concentration suivante : sécurité des applications.

Nous vous recommandons d'utiliser des outils automatisés pour analyser en continu les failles des artefacts d'application avant leur déploiement en production.

Pour les applications conteneurisées, utilisez Artifact Analysis pour exécuter automatiquement des analyses de failles pour les images de conteneur. Artifact Analysis analyse les nouvelles images au fur et à mesure de leur importation dans Artifact Registry. Cette analyse extrait des informations sur les packages système du conteneur. Une fois l'analyse initiale terminée, Artifact Analysis surveille en permanence les métadonnées des images analysées dans Artifact Registry afin de détecter de nouvelles failles. Lorsque Artifact Analysis reçoit de nouvelles informations ou des informations actualisées sur les failles provenant de sources de failles, il effectue les opérations suivantes:

• Mise à jour des métadonnées des images analysées afin de les actualiser.
• Création d'occurrences de failles pour les nouvelles notes.
• Suppression des occurrences de failles qui ne sont plus valides.

Détectez les failles connues dans votre code d'application.

Cette recommandation s'applique à la zone de concentration suivante : sécurité des applications.

Utilisez des outils automatisés pour surveiller en permanence le code de votre application afin de détecter les failles connues, comme le OWASP Top 10. Pour en savoir plus sur les Google Cloud produits et fonctionnalités compatibles avec le top 10 des techniques d'atténuation de l'OWASP, consultez la section Top 10 des options d'atténuation de l'OWASP sur Google Cloud.

Utilisez Web Security Scanner pour identifier les failles de sécurité dans vos applications Web App Engine, Compute Engine et GKE. Le service explore votre application et tous les liens associés à vos URL de démarrage, et tente de tester un maximum d'entrées utilisateur et de gestionnaires d'événements. Il recherche et détecte automatiquement les failles courantes, y compris les scripts intersites, les injections de code, les contenus mixtes et les bibliothèques obsolètes ou non sécurisées. Web Security Scanner permet d'identifier rapidement ces types de failles sans vous distraire avec de faux positifs.

De plus, si vous utilisez GKE Enterprise pour gérer des parcs de clusters Kubernetes, le tableau de bord de la stratégie de sécurité affiche des recommandations avisées et exploitables pour vous aider à améliorer la stratégie de sécurité de votre parc.

Implémenter une cyberdéfense préventive

Ce principe du pilier de sécurité du Google Cloud framework Well-Architected fournit des recommandations pour créer des programmes de cyberdéfense robustes dans le cadre de votre stratégie de sécurité globale.

Ce principe met l'accent sur l'utilisation de l'intelligence sur les menaces pour guider de manière proactive vos efforts dans les principales fonctions de cyberdéfense, comme défini dans The Defender's Advantage: A guide to activating cyber defense.

Présentation des principes

Lorsque vous défendez votre système contre les cyberattaques, vous disposez d'un avantage important et sous-utilisé par rapport aux pirates informatiques. Comme le fondateur de Mandiant l'affirme, "personne d'autre ne connaît mieux que vous votre entreprise, vos systèmes, votre topologie et votre infrastructure. C'est un avantage incroyable." Pour vous aider à exploiter cet avantage inné, ce document fournit des recommandations sur les pratiques de cyberdéfense proactives et stratégiques qui sont mappées sur le framework "The Defender's Advantage".

Recommandations

Pour implémenter une cyberdéfense préventive pour vos charges de travail cloud, tenez compte des recommandations des sections suivantes:

• Intégrer les fonctions de cyberdéfense
• Utiliser la fonction Intelligence dans tous les aspects de la cyberdéfense
• Comprendre et exploiter l'avantage du défenseur
• Validez et améliorez vos défenses en continu
• Gérer et coordonner les efforts de cyberdéfense

Intégrer les fonctions de cyberdéfense

Cette recommandation s'applique à tous les domaines d'action.

Le framework The Defender's Advantage identifie six fonctions essentielles de la cyberdéfense: Intelligence, Détection, Réponse, Validation, Recherche et Mission Control. Chaque fonction se concentre sur une partie unique de la mission de cyberdéfense, mais ces fonctions doivent être bien coordonnées et travailler ensemble pour assurer une défense efficace. Concentrez-vous sur la création d'un système robuste et intégré dans lequel chaque fonction soutient les autres. Si vous avez besoin d'une approche par étapes pour l'adoption, suivez l'ordre suggéré ci-dessous. En fonction de votre niveau de maturité cloud actuel, de la topologie des ressources et du paysage de menaces spécifique, vous pouvez donner la priorité à certaines fonctions.

1. Intelligence: la fonction Intelligence guide toutes les autres fonctions. Comprendre le paysage des menaces, y compris les pirates informatiques les plus probables, leurs tactiques, techniques et procédures, ainsi que l'impact potentiel, est essentiel pour hiérarchiser les actions dans l'ensemble du programme. La fonction Intelligence est responsable de l'identification des personnes concernées, de la définition des exigences en matière d'intelligence, de la collecte, de l'analyse et de la diffusion des données, de l'automatisation et de la création d'un profil de cybermenace.
2. Détection et réponse: ces fonctions constituent le cœur de la défense active, qui consiste à identifier et à traiter les activités malveillantes. Ces fonctions sont nécessaires pour agir sur les informations recueillies par la fonction d'intelligence. La fonction de détection nécessite une approche méthodique qui aligne les détections sur les TTP des pirates informatiques et garantit une journalisation robuste. La fonction de réponse doit se concentrer sur le tri initial, la collecte de données et la résolution des incidents.
3. Valider: la fonction de validation est un processus continu qui garantit que votre écosystème de contrôle de la sécurité est à jour et fonctionne comme prévu. Cette fonction garantit que votre organisation comprend la surface d'attaque, sait où se trouvent les failles et mesure l'efficacité des contrôles. La validation de la sécurité est également un élément important du cycle de vie de l'ingénierie de détection. Elle doit être utilisée pour identifier les lacunes de détection et créer de nouvelles détections.
4. Recherche: la fonction de recherche consiste à rechercher de manière proactive les menaces actives dans un environnement. Cette fonction doit être implémentée lorsque votre organisation atteint un niveau de maturité de référence dans les fonctions de détection et de réponse. La fonction de recherche étend les fonctionnalités de détection et aide à identifier les lacunes et les points faibles des contrôles. La fonction de recherche doit être basée sur des menaces spécifiques. Cette fonctionnalité avancée bénéficie d'une base de capacités d'intelligence, de détection et de réponse robustes.
5. Mission Control: la fonction Mission Control sert de hub central qui connecte toutes les autres fonctions. Cette fonction est responsable de la stratégie, de la communication et des actions décisives dans l'ensemble de votre programme de cyberdéfense. Il permet de s'assurer que toutes les fonctions fonctionnent ensemble et qu'elles sont alignées sur les objectifs commerciaux de votre organisation. Vous devez vous concentrer sur la compréhension claire de l'objectif de la fonction Mission Control avant de l'utiliser pour connecter les autres fonctions.

Utiliser la fonction Intelligence dans tous les aspects de la cyberdéfense

Cette recommandation s'applique à tous les domaines d'action.

Cette recommandation met en avant la fonction de renseignement comme élément essentiel d'un programme de cyberdéfense efficace. La Threat Intelligence fournit des informations sur les acteurs de la menace, leurs modes opératoires et les indicateurs de compromission (IOC). Ces connaissances doivent guider et hiérarchiser les actions dans toutes les fonctions de cyberdéfense. Une approche basée sur l'intelligence vous aide à aligner vos défenses sur les menaces les plus susceptibles d'affecter votre organisation. Cette approche permet également d'allouer et de hiérarchiser efficacement les ressources.

Les produits et fonctionnalités Google Cloud suivants vous aident à tirer parti de l'intelligence sur les menaces pour guider vos opérations de sécurité. Utilisez ces fonctionnalités pour identifier et hiérarchiser les menaces, les failles et les risques potentiels, puis planifier et implémenter les actions appropriées.

• Google Security Operations (Google SecOps) vous aide à stocker et à analyser les données de sécurité de manière centralisée. Utilisez Google SecOps pour mapper les journaux dans un modèle commun, les enrichir et les associer à des chronologies afin d'obtenir une vue complète des attaques. Vous pouvez également créer des règles de détection, configurer la mise en correspondance d'indicateurs de compromission et effectuer des activités de recherche des menaces. La plate-forme fournit également des détections sélectionnées, qui sont des règles prédéfinies et gérées pour vous aider à identifier les menaces. Google SecOps peut également s'intégrer à l'intelligence de première ligne de Mandiant. Google SecOps intègre de manière unique une IA de pointe, ainsi que les renseignements sur les menaces de Mandiant et de Google VirusTotal. Cette intégration est essentielle pour évaluer les menaces, identifier les personnes qui ciblent votre organisation et comprendre l'impact potentiel.

• Security Command Center Enterprise, optimisé par l'IA de Google, permet aux professionnels de la sécurité d'évaluer, d'examiner et de répondre efficacement aux problèmes de sécurité dans plusieurs environnements cloud. Les professionnels de la sécurité qui peuvent bénéficier de Security Command Center incluent les analystes du centre d'opérations de sécurité (SOC), les analystes de la vulnérabilité et de la posture, ainsi que les responsables de la conformité. Security Command Center Enterprise enrichit les données de sécurité, évalue les risques et hiérarchise les failles. Cette solution fournit aux équipes les informations dont elles ont besoin pour traiter les failles à haut risque et corriger les menaces actives.

• Chrome Enterprise Premium offre une protection contre les menaces et la compromission des données, qui permet de protéger les utilisateurs contre les risques d'exfiltration et d'empêcher les logiciels malveillants d'accéder aux appareils gérés par l'entreprise. Chrome Enterprise Premium offre également une visibilité sur les activités dangereuses ou potentiellement dangereuses qui peuvent se produire dans le navigateur.

• La surveillance du réseau, via des outils tels que Network Intelligence Center, offre une visibilité sur les performances du réseau. La surveillance du réseau peut également vous aider à détecter des schémas de trafic inhabituels ou des volumes de transfert de données susceptibles d'indiquer une attaque ou une tentative d'exfiltration de données.

Comprendre et exploiter l'avantage du défenseur

Cette recommandation s'applique à tous les domaines d'action.

Comme indiqué précédemment, vous avez un avantage sur les pirates informatiques lorsque vous avez une compréhension approfondie de votre entreprise, de vos systèmes, de votre topologie et de votre infrastructure. Pour tirer parti de cet avantage, utilisez ces données sur vos environnements lors de la planification de la cyberdéfense.

Google Cloud fournit les fonctionnalités suivantes pour vous aider à obtenir une visibilité proactive afin d'identifier les menaces, de comprendre les risques et de réagir rapidement pour atténuer les dommages potentiels:

• Chrome Enterprise Premium vous aide à renforcer la sécurité des appareils professionnels en protégeant les utilisateurs contre les risques d'exfiltration. Il étend les services de protection des données sensibles dans le navigateur et empêche les logiciels malveillants. Il propose également des fonctionnalités telles que la protection contre les logiciels malveillants et l'hameçonnage pour éviter l'exposition à des contenus dangereux. De plus, elle vous permet de contrôler l'installation d'extensions pour éviter les extensions dangereuses ou non vérifiées. Ces fonctionnalités vous aident à établir une base sécurisée pour vos opérations.

• Security Command Center Enterprise fournit un moteur de gestion des risques continu qui offre une analyse et une gestion des risques complètes et continues. La fonctionnalité du moteur de risque enrichit les données de sécurité, évalue les risques et hiérarchise les failles pour vous aider à résoudre rapidement les problèmes. Security Command Center permet à votre organisation d'identifier de manière proactive les points faibles et de mettre en place des mesures d'atténuation.

• Google SecOps centralise les données de sécurité et fournit des journaux enrichis avec des chronologies. Cela permet aux défenseurs d'identifier de manière proactive les compromis actifs et d'adapter les défenses en fonction du comportement des pirates informatiques.

• La surveillance du réseau permet d'identifier une activité réseau irrégulière qui pourrait indiquer une attaque et fournit des indicateurs précoces que vous pouvez utiliser pour prendre des mesures. Pour protéger vos données de manière proactive contre le vol, surveillez en permanence l'exfiltration de données et utilisez les outils fournis.

Validez et améliorez vos défenses en continu

Cette recommandation s'applique à tous les domaines d'action.

Cette recommandation met l'accent sur l'importance des tests ciblés et de la validation continue des contrôles pour comprendre les points forts et les points faibles sur l'ensemble de la surface d'attaque. Cela inclut la validation de l'efficacité des contrôles, des opérations et du personnel à l'aide de méthodes telles que les suivantes:

• Tests d'intrusion
• Exercices d'équipe rouge-bleue et d'équipe violette
• Simulations

Vous devez également rechercher activement des menaces et utiliser les résultats pour améliorer la détection et la visibilité. Utilisez les outils suivants pour tester et valider en permanence vos défenses contre les menaces réelles:

• Security Command Center Enterprise fournit un moteur d'analyse des risques en continu pour évaluer les failles et hiérarchiser les corrections, ce qui permet d'évaluer en continu votre posture de sécurité globale. En hiérarchisant les problèmes, Security Command Center Enterprise vous aide à vous assurer que les ressources sont utilisées efficacement.

• Google SecOps propose des détections de menaces et sélectionnées qui vous permettent d'identifier de manière proactive les failles de vos contrôles. Cette fonctionnalité permet de tester en continu et d'améliorer votre capacité à détecter les menaces.

• Chrome Enterprise Premium fournit des fonctionnalités de protection des données et de défense contre les menaces qui peuvent vous aider à faire face aux menaces nouvelles et évolutives, et à mettre à jour en continu vos défenses contre les risques d'exfiltration et les logiciels malveillants.

• Cloud Next Generation Firewall (Cloud NGFW) fournit une surveillance du réseau et de l'exfiltration de données. Ces fonctionnalités peuvent vous aider à valider l'efficacité de votre posture de sécurité actuelle et à identifier les faiblesses potentielles. La surveillance de l'exfiltration de données vous aide à valider la solidité des mécanismes de protection des données de votre organisation et à apporter des ajustements proactifs si nécessaire. Lorsque vous intégrez les résultats des menaces de Cloud NGFW à Security Command Center et Google SecOps, vous pouvez optimiser la détection des menaces basée sur le réseau, optimiser la réponse aux menaces et automatiser les playbooks. Pour en savoir plus sur cette intégration, consultez Unifier vos défenses cloud: Security Command Center et Cloud NGFW Enterprise.

Gérer et coordonner les efforts de cyberdéfense

Cette recommandation s'applique à tous les domaines d'action.

Comme décrit précédemment dans la section Intégrer les fonctions de cyberdéfense, la fonction Mission Control interconnecte les autres fonctions du programme de cyberdéfense. Cette fonction permet de coordonner et de gérer de manière unifiée l'ensemble du programme. Cela vous aide également à vous coordonner avec d'autres équipes qui ne travaillent pas sur la cybersécurité. La fonction Mission Control favorise l'autonomisation et la responsabilisation, facilite l'agilité et l'expertise, et favorise la responsabilité et la transparence.

Les produits et fonctionnalités suivants peuvent vous aider à implémenter la fonctionnalité Mission Control:

• Security Command Center Enterprise sert de hub central pour coordonner et gérer vos opérations de cyberdéfense. Il rassemble des outils, des équipes et des données, ainsi que les fonctionnalités de réponse Google SecOps intégrées. Security Command Center offre une visibilité claire sur l'état de sécurité de votre organisation et permet d'identifier les erreurs de configuration de sécurité sur différentes ressources.
• Google SecOps fournit une plate-forme permettant aux équipes de répondre aux menaces en mappant les journaux et en créant des chronologies. Vous pouvez également définir des règles de détection et rechercher des menaces.
• Google Workspace et Chrome Enterprise Premium vous aident à gérer et à contrôler l'accès des utilisateurs finaux aux ressources sensibles. Vous pouvez définir des contrôles d'accès précis en fonction de l'identité de l'utilisateur et du contexte d'une requête.
• La surveillance du réseau fournit des insights sur les performances des ressources réseau. Vous pouvez importer des insights de surveillance du réseau dans Security Command Center et Google SecOps pour une surveillance et une corrélation centralisées par rapport à d'autres points de données basés sur une chronologie. Cette intégration vous aide à détecter et à gérer les modifications potentielles de l'utilisation du réseau causées par une activité malveillante.
• La surveillance de l'exfiltration des données permet d'identifier les incidents de perte de données potentiels. Grâce à cette fonctionnalité, vous pouvez mobiliser efficacement une équipe de gestion des incidents, évaluer les dommages et limiter l'exfiltration de données supplémentaire. Vous pouvez également améliorer les règles et les commandes actuelles pour assurer la protection des données.

Récapitulatif produit

Le tableau suivant liste les produits et fonctionnalités décrits dans ce document, et les met en correspondance avec les recommandations et les fonctionnalités de sécurité associées.

Google Cloud produit	Recommandations applicables
Google SecOps	Utilisez la fonction Intelligence dans tous les aspects de la cyberdéfense : elle permet de rechercher des menaces et de faire correspondre des IoC, et s'intègre à Mandiant pour une évaluation complète des menaces. Comprendre et exploiter l'avantage du défenseur: fournit des détections sélectionnées et centralise les données de sécurité pour identifier de manière proactive les cas de compromission. Validez et améliorez vos défenses en continu : permet de tester et d'améliorer en continu les fonctionnalités de détection des menaces. Gérer et coordonner les efforts de cyberdéfense via Mission Control: fournit une plate-forme pour la réponse aux menaces, l'analyse des journaux et la création de chronologie.
Security Command Center Enterprise	Utilisez la fonction Intelligence dans tous les aspects de la cyberdéfense : elle utilise l'IA pour évaluer les risques, hiérarchiser les failles et fournir des insights pratiques pour les corriger. Comprendre et exploiter l'avantage du défenseur: offre une analyse des risques complète, une hiérarchisation des failles et une identification proactive des points faibles. Validez et améliorez vos défenses en continu: fournit une évaluation continue de la posture de sécurité et une hiérarchisation des ressources. Gérer et coordonner les efforts de cyberdéfense via Mission Control: sert de hub central pour gérer et coordonner les opérations de cyberdéfense.
Chrome Enterprise Premium	Utilisez la fonctionnalité Intelligence dans tous les aspects de la cyberdéfense : elle protège les utilisateurs contre les risques d'exfiltration, empêche les logiciels malveillants et offre une visibilité sur les activités dangereuses du navigateur. Comprendre et exploiter l'avantage de votre défenseur: renforce la sécurité des appareils professionnels grâce à la protection des données, à la prévention des logiciels malveillants et au contrôle des extensions. Validez et améliorez vos défenses en continu : répond aux menaces nouvelles et évolutives grâce à des mises à jour continues des défenses contre les risques d'exfiltration et les logiciels malveillants. Gérer et coordonner les efforts de cyberdéfense via Mission Control: gérez et contrôlez l'accès des utilisateurs finaux aux ressources sensibles, y compris les contrôles d'accès précis.
Google Workspace	Gérer et coordonner les efforts de cyberdéfense via Mission Control: gérez et contrôlez l'accès des utilisateurs finaux aux ressources sensibles, y compris les contrôles d'accès précis.
Network Intelligence Center	Utilisez la fonction Intelligence dans tous les aspects de la cyberdéfense : elle offre une visibilité sur les performances du réseau et détecte les schémas de trafic ou les transferts de données inhabituels.
Cloud NGFW	Validez et améliorez vos défenses en continu : optimise la détection et la gestion des menaces basées sur le réseau grâce à l'intégration de Security Command Center et de Google SecOps.

Utiliser l'IA de manière sécurisée et responsable

Ce principe du pilier de sécurité du Google Cloud framework Well-Architected fournit des recommandations pour vous aider à sécuriser vos systèmes d'IA. Ces recommandations sont conformes au framework d'IA sécurisé (SAIF) de Google, qui fournit une approche pratique pour répondre aux préoccupations liées à la sécurité et aux risques des systèmes d'IA. Le SAIF est un framework conceptuel qui vise à fournir des normes du secteur pour le développement et le déploiement responsable de l'IA.

Présentation des principes

Pour vous assurer que vos systèmes d'IA répondent à vos exigences de sécurité, de confidentialité et de conformité, vous devez adopter une stratégie globale qui commence par la conception initiale et s'étend au déploiement et aux opérations. Vous pouvez mettre en œuvre cette stratégie globale en appliquant les six éléments fondamentaux du SAIF.

Google utilise l'IA pour améliorer les mesures de sécurité, par exemple en identifiant les menaces, en automatisant les tâches de sécurité et en améliorant les capacités de détection, tout en gardant les humains informés pour les décisions critiques.

Google met l'accent sur une approche collaborative pour améliorer la sécurité de l'IA. Cette approche implique de collaborer avec les clients, les secteurs et les gouvernements pour améliorer les consignes du SAIF et proposer des ressources pratiques et concrètes.

Les recommandations pour mettre en œuvre ce principe sont regroupées dans les sections suivantes:

• Recommandations pour utiliser l'IA de manière sécurisée
• Recommandations pour la gouvernance de l'IA

Recommandations pour utiliser l'IA de manière sécurisée

Pour utiliser l'IA de manière sécurisée, vous avez besoin à la fois de contrôles de sécurité fondamentaux et de contrôles de sécurité spécifiques à l'IA. Cette section présente un aperçu des recommandations pour vous assurer que vos déploiements d'IA et de ML répondent aux exigences de sécurité, de confidentialité et de conformité de votre organisation. Pour obtenir un aperçu des principes et des recommandations d'architecture spécifiques aux charges de travail d'IA et de ML dans Google Cloud, consultez la perspective d'IA et de ML dans le framework Well-Architected.

Définir des objectifs et des exigences clairs pour l'utilisation de l'IA

Cette recommandation s'applique aux axes d'action suivants:

• Gouvernance, risques et conformité dans le cloud
• Sécurité de l'IA et du ML

Cette recommandation s'aligne sur l'élément du SAIF concernant la contextualisation des risques liés aux systèmes d'IA dans les processus métier environnants. Lorsque vous concevez et faites évoluer des systèmes d'IA, il est important de comprendre vos objectifs commerciaux, risques et exigences de conformité spécifiques.

Protéger les données et éviter leur perte ou leur mauvaise utilisation

Cette recommandation s'applique aux axes d'action suivants:

• Sécurité de l'infrastructure
• Gestion de l'authentification et des accès
• Sécurité des données
• Sécurité des applications
• Sécurité de l'IA et du ML

Cette recommandation est conforme aux éléments SAIF suivants:

• Développer des bases solides pour la sécurité de l'écosystème d'IA Cet élément inclut la collecte, le stockage, le contrôle des accès et la protection contre l'empoisonnement des données.
• Contextualisez les risques liés aux systèmes d'IA. Mettre l'accent sur la sécurité des données pour soutenir les objectifs commerciaux et la conformité

Protéger les pipelines d'IA contre les accès non autorisés

Cette recommandation s'applique aux axes d'action suivants:

• Sécurité de l'infrastructure
• Gestion de l'authentification et des accès
• Sécurité des données
• Sécurité des applications
• Sécurité de l'IA et du ML

Cette recommandation est conforme aux éléments SAIF suivants:

• Développer des bases solides pour la sécurité de l'écosystème d'IA Pour établir un système d'IA sécurisé, sécurisez votre code et vos artefacts de modèle.
• Adapter les commandes pour accélérer les boucles de rétroaction Pour la gestion des incidents et l'atténuation des risques, suivez vos composants et les exécutions de pipeline.

Déployer des applications sur des systèmes sécurisés à l'aide d'outils et d'artefacts sécurisés

Cette recommandation s'applique aux axes d'action suivants:

• Sécurité de l'infrastructure
• Gestion de l'authentification et des accès
• Sécurité des données
• Sécurité des applications
• Sécurité de l'IA et du ML

L'utilisation de systèmes sécurisés, d'outils et d'artefacts validés dans les applications basées sur l'IA s'inscrit dans l'élément du SAIF visant à développer des bases de sécurité solides pour l'écosystème et la chaîne d'approvisionnement de l'IA. Pour suivre cette recommandation, procédez comme suit:

• Implémenter un environnement sécurisé pour l'entraînement et le déploiement du ML
• Utiliser des images de conteneurs validées
• Appliquer les consignes sur les niveaux de la chaîne d'approvisionnement pour les artefacts logiciels (SLSA)

Protéger et surveiller les entrées

Cette recommandation s'applique aux axes d'action suivants:

• Journalisation, audit et surveillance
• Opérations de sécurité
• Sécurité de l'IA et du ML

Cette recommandation s'aligne sur l'élément SAIF concernant l'extension de la détection et de la réponse pour intégrer l'IA aux stratégies de protection contre les menaces pesant sur les organisations. Pour éviter les problèmes, il est essentiel de gérer les requêtes pour les systèmes d'IA générative, de surveiller les entrées et de contrôler l'accès des utilisateurs.

Recommandations pour la gouvernance de l'IA

Toutes les recommandations de cette section sont pertinentes pour le axe d'intérêt suivant : gouvernance, risque et conformité cloud.

Google Cloud propose un ensemble robuste d'outils et de services que vous pouvez utiliser pour créer des systèmes d'IA responsables et éthiques. Nous proposons également un framework de règles, de procédures et de considérations éthiques qui peuvent guider le développement, le déploiement et l'utilisation des systèmes d'IA.

Comme indiqué dans nos recommandations, l'approche de Google en matière de gouvernance de l'IA est guidée par les principes suivants:

• Équité
• Transparence
• Responsabilité
• Confidentialité
• Sécurité

Utiliser des indicateurs d'équité

Vertex AI peut détecter les biais lors de la collecte des données ou du processus d'évaluation post-entraînement. Vertex AI fournit des métriques d'évaluation de modèle telles que les biais de données et les biais de modèle pour vous aider à évaluer les biais de votre modèle.

Ces métriques sont liées à l'équité dans différentes catégories, comme l'origine ethnique, le genre et la classe. Toutefois, l'interprétation des écarts statistiques n'est pas un exercice simple, car les différences entre les catégories ne sont pas nécessairement le résultat d'un biais ni un signal de préjudice.

Utiliser Vertex Explainable AI

Pour comprendre comment les modèles d'IA prennent des décisions, utilisez Vertex Explainable AI. Cette fonctionnalité vous aide à identifier les biais potentiels qui pourraient être masqués dans la logique du modèle.

Cette fonctionnalité d'explicabilité est intégrée à BigQuery ML et à Vertex AI, qui fournissent des explications basées sur les caractéristiques. Vous pouvez effectuer l'explicabilité dans BigQuery ML ou enregistrer votre modèle dans Vertex AI et effectuer l'explicabilité dans Vertex AI.

Suivre la traçabilité des données

Suivez l'origine et la transformation des données utilisées dans vos systèmes d'IA. Ce suivi vous aide à comprendre le parcours des données et à identifier les sources potentielles de biais ou d'erreurs.

La traçabilité des données est une fonctionnalité Dataplex qui vous permet de suivre la manière dont les données transitent par vos systèmes: leur origine, la cible de transmission, et les transformations qui leur sont appliquées.

Instaurer la responsabilisation

Définissez des responsabilités claires pour le développement, le déploiement et les résultats de vos systèmes d'IA.

Utilisez Cloud Logging pour consigner les événements clés et les décisions prises par vos systèmes d'IA. Les journaux fournissent une piste d'audit pour vous aider à comprendre les performances du système et à identifier les points à améliorer.

Utilisez Error Reporting pour analyser systématiquement les erreurs commises par les systèmes d'IA. Cette analyse peut révéler des tendances qui pointent vers des biais sous-jacents ou des domaines dans lesquels le modèle doit être affiné.

Implémenter la confidentialité différentielle

Lors de l'entraînement du modèle, ajoutez du bruit aux données afin de rendre difficile l'identification des points de données individuels, tout en permettant au modèle d'apprendre efficacement. Avec le SQL dans BigQuery, vous pouvez transformer les résultats d'une requête à l'aide d'agrégations différentiellement privées.

Utiliser l'IA pour la sécurité

Ce principe du pilier de sécurité du Google Cloud framework Well-Architected fournit des recommandations pour utiliser l'IA afin de vous aider à améliorer la sécurité de vos charges de travail cloud.

En raison de l'augmentation du nombre et de la sophistication des cyberattaques, il est important de tirer parti du potentiel de l'IA pour améliorer la sécurité. L'IA peut contribuer à réduire le nombre de menaces, à réduire l'effort manuel requis par les professionnels de la sécurité et à compenser la pénurie d'experts dans le domaine de la cybersécurité.

Présentation des principes

Utilisez les capacités d'IA pour améliorer vos systèmes et processus de sécurité existants. Vous pouvez utiliser Gemini dans la sécurité ainsi que les fonctionnalités d'IA intrinsèques intégrées aux services Google Cloud .

Ces fonctionnalités d'IA peuvent transformer la sécurité en fournissant une assistance à chaque étape du cycle de vie de la sécurité. Par exemple, vous pouvez utiliser l'IA pour effectuer les opérations suivantes:

• Analysez et expliquez le code potentiellement malveillant sans avoir à faire de rétro-ingénierie.
• Réduire le travail répétitif des professionnels de la cybersécurité
• Utilisez le langage naturel pour générer des requêtes et interagir avec les données d'événements de sécurité.
• Présentez des informations contextuelles.
• Proposer des recommandations pour des réponses rapides
• Aide à la résolution des événements.
• Récapitulez les alertes à priorité élevée en cas d'erreur de configuration et de faille, en soulignant l'impact potentiel et en recommandant des mesures d'atténuation.

Niveaux d'autonomie de sécurité

L'IA et l'automatisation peuvent vous aider à améliorer la sécurité lorsque vous faites face à des menaces de cybersécurité en constante évolution. En utilisant l'IA pour la sécurité, vous pouvez atteindre des niveaux d'autonomie plus élevés pour détecter et prévenir les menaces, et améliorer votre posture de sécurité globale. Google définit quatre niveaux d'autonomie lorsque vous utilisez l'IA pour la sécurité. Ils décrivent le rôle croissant de l'IA dans l'assistance et la gestion des tâches de sécurité:

1. Manuelle: les humains exécutent toutes les tâches de sécurité (prévention, détection, hiérarchisation et réponse) tout au long du cycle de vie de la sécurité.
2. Assistée: les outils d'IA, comme Gemini, améliorent la productivité humaine en résumant les informations, en générant des insights et en formulant des recommandations.
3. Semi-autonome: l'IA est principalement responsable de nombreuses tâches de sécurité et ne délègue aux humains que lorsque cela est nécessaire.
4. Autonome: l'IA agit en tant qu'assistant de confiance qui pilote le cycle de vie de la sécurité en fonction des objectifs et des préférences de votre organisation, avec une intervention humaine minimale.

Recommandations

Les sections suivantes décrivent les recommandations concernant l'utilisation de l'IA pour la sécurité. Les sections indiquent également comment les recommandations s'alignent sur les éléments fondamentaux du framework d'IA sécurisé (SAIF) de Google et comment elles sont pertinentes pour les niveaux d'autonomie de sécurité.

• Améliorer la détection et la réponse aux menaces grâce à l'IA
• Simplifier la sécurité, que vous soyez expert ou non
• Automatiser les tâches de sécurité fastidieuses grâce à l'IA
• Intégrer l'IA aux processus de gestion et de gouvernance des risques
• Implémenter des pratiques de développement sécurisées pour les systèmes d'IA

Remarque :Pour en savoir plus sur la vision globale de Google Cloudconcernant l'utilisation de Gemini dans nos produits pour accélérer l'IA à des fins de sécurité, consultez le livre blanc Vision du produit deGoogle Cloudpour la sécurité optimisée par l'IA.

Améliorer la détection et la gestion des menaces grâce à l'IA

Cette recommandation s'applique aux axes d'action suivants:

• Opérations de sécurité (SecOps)
• Journalisation, audit et surveillance

L'IA peut analyser de grands volumes de données de sécurité, fournir des insights sur le comportement des acteurs de la menace et automatiser l'analyse du code potentiellement malveillant. Cette recommandation est conforme aux éléments SAIF suivants:

• Étendez la détection et la réponse afin d'intégrer l'IA aux stratégies de protection contre les menaces pesant sur votre organisation.
• Automatisez les défenses pour faire face aux menaces existantes comme nouvelles.

Selon votre implémentation, cette recommandation peut être pertinente pour les niveaux d'autonomie suivants:

• Assistée: l'IA aide à analyser et à détecter les menaces.
• Semi-autonome: l'IA assume davantage de responsabilités pour la tâche de sécurité.

Google Threat Intelligence, qui utilise l'IA pour analyser le comportement des acteurs de la menace et le code malveillant, peut vous aider à mettre en œuvre cette recommandation.

Simplifier la sécurité, que vous soyez expert ou non

Cette recommandation s'applique aux axes d'action suivants:

• Opérations de sécurité (SecOps)
• Gouvernance, risques et conformité dans le cloud

Les outils optimisés par l'IA peuvent résumer les alertes et recommander des mesures d'atténuation. Ces fonctionnalités peuvent rendre la sécurité plus accessible à un plus grand nombre de personnes. Cette recommandation est conforme aux éléments SAIF suivants:

• Automatisez les défenses pour faire face aux menaces existantes comme nouvelles.
• Harmoniser les contrôles au niveau de la plate-forme afin de garantir une sécurité homogène dans l'organisation

Selon votre implémentation, cette recommandation peut être pertinente pour les niveaux d'autonomie suivants:

• Assistée: l'IA vous aide à améliorer l'accessibilité des informations de sécurité.
• Semi-autonome: l'IA permet de rendre les pratiques de sécurité plus efficaces pour tous les utilisateurs.

Gemini dans Security Command Center peut fournir des récapitulatifs des alertes en cas d'erreur de configuration et de faille.

Automatiser les tâches de sécurité fastidieuses grâce à l'IA

Cette recommandation s'applique aux axes d'action suivants:

• Sécurité de l'infrastructure
• Opérations de sécurité (SecOps)
• Sécurité des applications

L'IA peut automatiser des tâches telles que l'analyse des logiciels malveillants, la génération de règles de sécurité et l'identification des erreurs de configuration. Ces fonctionnalités peuvent contribuer à réduire la charge de travail des équipes de sécurité et à accélérer les délais de réponse. Cette recommandation est conforme à l'élément du SAIF concernant l'automatisation des défenses pour s'adapter aux menaces nouvelles et existantes.

Selon votre implémentation, cette recommandation peut être pertinente pour les niveaux d'autonomie suivants:

• Assistée: l'IA vous aide à automatiser des tâches.
• Semi-autonome: l'IA est responsable principale des tâches de sécurité et ne demande l'aide d'un humain que si nécessaire.

Gemini dans Google SecOps peut vous aider à automatiser les tâches fastidieuses en assistant les analystes, en récupérant le contexte pertinent et en vous proposant des recommandations pour la suite.

Intégrer l'IA aux processus de gestion et de gouvernance des risques

Cette recommandation s'applique à la zone de concentration suivante : gouvernance, risques et conformité dans le cloud.

Vous pouvez utiliser l'IA pour créer un inventaire de modèles et des profils de risque. Vous pouvez également utiliser l'IA pour mettre en œuvre des règles concernant la confidentialité des données, les risques cyber et les risques tiers. Cette recommandation est conforme à l'élément du SAIF concernant la contextualisation des risques liés aux systèmes d'IA dans les processus métier environnants.

Selon votre implémentation, cette recommandation peut être pertinente pour le niveau d'autonomie semi-autonome. À ce niveau, l'IA peut orchestrer des agents de sécurité qui exécutent des processus pour atteindre vos objectifs de sécurité personnalisés.

Implémenter des pratiques de développement sécurisées pour les systèmes d'IA

Cette recommandation s'applique aux axes d'action suivants:

• Sécurité des applications
• Sécurité de l'IA et du ML

Vous pouvez utiliser l'IA pour le codage sécurisé, le nettoyage des données d'entraînement et la validation des outils et des artefacts. Cette recommandation est conforme à l'élément du SAIF concernant le déploiement de bases de sécurité solides dans l'écosystème de l'IA.

Cette recommandation peut s'appliquer à tous les niveaux d'autonomie de sécurité, car un système d'IA sécurisé doit être en place avant que l'IA puisse être utilisée efficacement pour la sécurité. La recommandation est la plus pertinente pour le niveau d'assistance, où les pratiques de sécurité sont renforcées par l'IA.

Pour mettre en œuvre cette recommandation, suivez les consignes Supply-chain Levels for Software Artifacts (SLSA) pour les artefacts d'IA et utilisez des images de conteneur validées.

Répondre aux exigences réglementaires, de conformité et de confidentialité

Ce principe du pilier de sécurité du Google Cloud framework Well-Architected vous aide à identifier et à respecter les exigences réglementaires, de conformité et de confidentialité pour les déploiements cloud. Ces exigences influencent de nombreuses décisions que vous devez prendre concernant les contrôles de sécurité à appliquer à vos charges de travail dansGoogle Cloud.

Présentation des principes

Répondre aux exigences réglementaires, de conformité et de confidentialité est un défi inévitable pour toutes les entreprises. Les exigences réglementaires sur le cloud dépendent de plusieurs facteurs, parmi lesquels:

• Les lois et réglementations qui s'appliquent aux établissements physiques de votre organisation
• Les lois et réglementations qui s'appliquent à l'emplacement physique de vos clients
• Les exigences réglementaires de votre secteur d'activité

Les réglementations en matière de confidentialité définissent la manière dont vous pouvez obtenir, traiter, stocker et gérer les données de vos utilisateurs. Vos données vous appartiennent, y compris celles que vous recevez de vos utilisateurs. Par conséquent, de nombreux paramètres de confidentialité relèvent de votre responsabilité, y compris les contrôles sur les cookies, la gestion des sessions et l'obtention de l'autorisation de l'utilisateur.

Les recommandations pour mettre en œuvre ce principe sont regroupées dans les sections suivantes:

• Recommandations pour gérer les risques organisationnels
• Recommandations pour répondre aux obligations réglementaires et de conformité
• Recommandations pour gérer la souveraineté de vos données
• Recommandations pour répondre aux exigences de confidentialité

Recommandations pour gérer les risques organisationnels

Cette section fournit des recommandations pour vous aider à identifier et à traiter les risques pour votre organisation.

Identifier les risques pour votre organisation

Cette recommandation s'applique à la zone de concentration suivante : gouvernance, risques et conformité dans le cloud.

Avant de créer et de déployer des ressources sur Google Cloud, effectuez une évaluation des risques. Cette évaluation doit déterminer les fonctionnalités de sécurité dont vous avez besoin pour répondre à vos exigences de sécurité internes et à vos exigences réglementaires externes.

L'évaluation des risques vous fournit un catalogue des risques spécifiques à votre organisation et vous informe sur sa capacité à détecter et à contrer les menaces de sécurité. Vous devez effectuer une analyse des risques immédiatement après le déploiement et chaque fois que vos besoins métier, vos exigences réglementaires ou les menaces qui pèsent sur votre organisation changent.

Comme indiqué dans le principe Implémenter la sécurité par conception, les risques de sécurité dans un environnement cloud diffèrent des risques sur site. Cette différence est due au modèle de responsabilité partagée dans le cloud, qui varie selon le service (IaaS, PaaS ou SaaS) et votre utilisation. Utilisez un framework d'évaluation des risques spécifique au cloud, comme la matrice des contrôles cloud (CCM). Utilisez la modélisation des menaces, comme la modélisation des menaces d'application de l'OWASP, pour identifier et corriger les failles. Pour obtenir l'aide d'un expert pour les évaluations des risques, contactez votre représentant de compte Google ou consultez l'annuaire des partenaires de Google Cloud.

Après avoir catalogué vos risques, vous devez déterminer comment les corriger, c'est-à-dire si vous souhaitez les accepter, les éviter, les transférer ou les limiter. Pour connaître les contrôles d'atténuation que vous pouvez mettre en œuvre, consultez la section suivante sur la réduction des risques.

Limiter vos risques

Cette recommandation s'applique à la zone de concentration suivante : gouvernance, risques et conformité dans le cloud.

Lorsque vous adoptez de nouveaux services cloud publics, vous pouvez atténuer les risques à l'aide de contrôles techniques, de protections contractuelles et d'attestations ou de vérifications tierces.

Les contrôles techniques sont les fonctionnalités et technologies que vous utilisez pour protéger votre environnement. Celles-ci incluent des contrôles de sécurité cloud intégrés, tels que les pare-feu et la journalisation. Les contrôles techniques peuvent également inclure l'utilisation d'outils tiers pour renforcer ou soutenir votre stratégie de sécurité. Il existe deux catégories de contrôles techniques:

• Vous pouvez implémenter les contrôles de sécurité de Google Cloudpour vous aider à atténuer les risques qui s'appliquent à votre environnement. Par exemple, vous pouvez sécuriser la connexion entre vos réseaux sur site et vos réseaux cloud à l'aide de Cloud VPN et de Cloud Interconnect.
• Google a mis en place des contrôles internes et des audits rigoureux pour se protéger contre les accès d'initiés aux données client. Nos journaux d'audit vous fournissent des journaux en temps quasi réel sur l'accès administrateur Google sur Google Cloud.

Les protections contractuelles désignent les engagements juridiques que nous avons pris concernant les servicesGoogle Cloud . Google s'engage à maintenir et à développer notre portefeuille de solutions de conformité. L'Avenant relatif au traitement des données dans le cloud (ATDC) décrit nos engagements concernant le traitement et la sécurité de vos données. Le CDPA décrit également les contrôles mis en place pour limiter l'accès des ingénieurs de l'assistance Google aux environnements des clients. Il décrit notre journalisation rigoureuse et au processus d'approbation. Nous vous recommandons de consulter les contrôles contractuels de Google Cloudavec vos experts juridiques et réglementaires, et de vérifier qu'ils répondent à vos exigences. Pour en savoir plus, contactez votre responsable de compte technique.

Les vérifications ou attestations tierces désignent les audits réalisés par des tiers pour s'assurer que les fournisseurs cloud répondent aux exigences de conformité. Par exemple, pour en savoir plus sur les Google Cloud attestations concernant les consignes ISO/CEI 27017, consultez la section ISO/CEI 27017 – Conformité. Pour consulter les certifications et les lettres d'attestation Google Cloud actuelles, consultez le Centre de ressources pour la conformité.

Recommandations pour répondre aux obligations réglementaires et de conformité

Un processus de conformité typique passe par trois étapes: évaluation, correction des lacunes et surveillance continue. Cette section fournit des recommandations que vous pouvez appliquer à chacune de ces étapes.

Évaluer vos besoins en conformité

Cette recommandation s'applique à la zone de concentration suivante : gouvernance, risques et conformité dans le cloud.

L'évaluation de la conformité commence par un examen approfondi de toutes vos obligations réglementaires et de la façon dont votre entreprise les met en œuvre. Pour vous aider à évaluer les services Google Cloud , utilisez le Centre de ressources pour la conformité. Ce site fournit des informations sur les éléments suivants:

• Compatibilité du service avec les différentes réglementations
• Google Cloud certifications et attestations

Pour mieux comprendre le cycle de vie de la conformité chez Google et découvrir comment respecter vos obligations réglementaires, vous pouvez contacter le service commercial pour demander l'aide d'un spécialiste de la conformité Google. Vous pouvez également contacter votre responsable de compteGoogle Cloud pour demander un atelier de conformité.

Pour en savoir plus sur les outils et les ressources que vous pouvez utiliser pour gérer la sécurité et la conformité des charges de travail Google Cloud , consultez Assurer la conformité dans le cloud.

Automatiser l'implémentation des exigences de conformité

Cette recommandation s'applique à la zone de concentration suivante : gouvernance, risques et conformité dans le cloud.

Pour vous aider à respecter les réglementations changeantes, déterminez si vous pouvez automatiser la mise en œuvre des exigences de conformité. Vous pouvez utiliser à la fois les fonctionnalités axées sur la conformité fournies par Google Cloud et les modèles qui utilisent les configurations recommandées pour un régime de conformité particulier.

Assured Workloads s'appuie sur les contrôles internes de Google Cloud pour vous aider à respecter vos obligations de conformité. Assured Workloads vous permet d'effectuer les opérations suivantes :

• Choisir votre régime de conformité. L'outil définit ensuite automatiquement les contrôles d'accès pour le personnel de référence pour le régime sélectionné.
• Définissez l'emplacement de vos données à l'aide de règles d'administration afin que vos données au repos et vos ressources ne résident que dans la région de votre choix.
• Sélectionnez l'option de gestion des clés (par exemple, la période de rotation des clés) qui correspond le mieux à vos exigences de sécurité et de conformité.
• Sélectionnez les critères d'accès du personnel d'assistance Google pour répondre à certaines exigences réglementaires telles que le niveau d'impact modéré du FedRAMP. Par exemple, vous pouvez sélectionner si le personnel d'assistance Google a effectué les vérifications d'antécédents appropriées.
• Utilisez des clés appartenant à Google et Google-owned and Google-managed encryption key conformes à la norme FIPS-140-2 et compatibles avec le niveau d'impact modéré du programme FedRAMP. Pour ajouter une couche de contrôle et pour la séparation des tâches, vous pouvez utiliser des clés de chiffrement gérées par le client (CMEK). Pour en savoir plus sur les clés, consultez la page Chiffrer les données au repos et en transit.

En plus d'Assured Workloads, vous pouvez utiliser des Google Cloud maquettes pertinentes pour votre régime de conformité. Vous pouvez modifier ces modèles pour intégrer vos règles de sécurité à vos déploiements d'infrastructure.

Pour vous aider à créer un environnement conforme à vos exigences, les plans et les guides de solution de Google incluent des configurations recommandées et fournissent des modules Terraform. Le tableau suivant répertorie les plans qui répondent aux problématiques de sécurité et de respect des obligations réglementaires.

Exigence	Modèles et guides de solutions
FedRAMP	Google Cloud Guide d'implémentation du FedRAMP Configurer une charge de travail à trois niveaux conforme au programme FedRAMP sur Google Cloud
HIPAA	Protéger les données de santé sur Google Cloud Configurer une charge de travail en conformité avec la loi HIPAA à l'aide du kit de protection des données

Surveiller la conformité

Cette recommandation s'applique aux axes d'action suivants:

• Gouvernance, risques et conformité dans le cloud
• Journalisation, surveillance et audit

La plupart des réglementations vous obligent à surveiller des activités particulières, y compris celles liées à l'accès. Pour vous aider dans la surveillance, vous pouvez utiliser:

• Access Transparency : affichez des journaux en quasi-temps réel lorsque les Google Cloud administrateurs accèdent à votre contenu.
• Journalisation des règles de pare-feu : enregistre les connexions TCP et UDP au sein d'un réseau VPC pour toutes les règles que vous créez. Ces journaux peuvent être utiles pour auditer l'accès au réseau ou pour identifier le plus tôt possible les cas d'utilisation non approuvée du réseau.
• Journaux de flux VPC : enregistrent les flux de trafic réseau envoyés ou reçus par les instances de VM.
• Security Command Center Premium : surveillez la conformité avec différentes normes.
• OSSEC (ou un autre outil Open Source): consignez l'activité des personnes disposant d'un accès administrateur à votre environnement.
• Justifications d'accès aux clés : affichez les raisons d'une demande d'accès à une clé.
• Notifications Security Command Center : recevez des alertes en cas de problèmes de non-conformité. Par exemple, recevez des alertes lorsque des utilisateurs désactivent la validation en deux étapes ou lorsque des comptes de service disposent de droits trop élevés. Vous pouvez également configurer la résolution automatique pour des notifications spécifiques.

Recommandations pour gérer la souveraineté de vos données

Cette recommandation s'applique à la zone de concentration suivante : gouvernance, risques et conformité dans le cloud.

La souveraineté des données fournit un mécanisme qui empêche Google d'accéder à vos données. Vous n'approuvez l'accès que pour les actions fournisseur que vous jugez nécessaires. Par exemple, vous pouvez gérer la souveraineté de vos données de différentes manières:

• Stocker et gérer les clés de chiffrement en dehors du cloud.
• Accordez l'accès à ces clés sur la base de justifications d'accès détaillées.
• Protégez les données utilisées à l'aide de l'informatique confidentielle.

Gérer votre souveraineté opérationnelle

Cette recommandation s'applique à la zone de concentration suivante : gouvernance, risques et conformité dans le cloud.

La souveraineté opérationnelle vous garantit que le personnel de Google ne peut pas compromettre vos charges de travail. Par exemple, vous pouvez gérer la souveraineté opérationnelle de plusieurs manières:

• Limitez le déploiement des nouvelles ressources à des régions de fournisseur spécifiques.
• Limitez l'accès du personnel de Google en fonction d'attributs prédéfinis tels que la citoyenneté ou l'emplacement géographique.

Gérer la souveraineté logicielle

Cette recommandation s'applique à la zone de concentration suivante : gouvernance, risques et conformité dans le cloud.

La souveraineté logicielle vous garantit que vous pouvez contrôler la disponibilité de vos charges de travail et les exécuter où vous le souhaitez. De plus, vous pouvez exercer ce contrôle sans dépendre d'un seul fournisseur cloud. La souveraineté logicielle inclut la capacité à survivre aux événements qui nécessitent de modifier rapidement l'emplacement de déploiement de vos charges de travail et le niveau de connexion externe autorisé.

Par exemple, pour vous aider à gérer votre souveraineté logicielle, Google Cloudest compatible avec les déploiements hybrides et multicloud. De plus, GKE Enterprise vous permet de gérer et de déployer vos applications simultanément dans des environnements cloud et sur site. Si vous choisissez des déploiements sur site pour des raisons de souveraineté des données, Google Distributed Cloud est une combinaison de matériel et de logiciels qui intègre Google Cloud à votre centre de données. Google Cloud

Recommandations pour répondre aux exigences de confidentialité

Google Cloud inclut les contrôles suivants pour faciliter la confidentialité:

• Chiffrement par défaut de toutes les données au repos, en transit et pendant leur traitement.
• Protection contre les accès par des initiés.
• Compatibilité avec de nombreuses réglementations en matière de confidentialité.

Les recommandations suivantes concernent les commandes supplémentaires que vous pouvez implémenter. Pour en savoir plus, consultez le Centre de ressources sur la confidentialité.

Contrôler la résidence des données

Cette recommandation s'applique à la zone de concentration suivante : gouvernance, risques et conformité dans le cloud.

La résidence des données décrit l'emplacement de stockage de vos données au repos. Les exigences de résidence des données varient en fonction des objectifs de conception des systèmes, de la réglementation applicable au secteur, de la législation nationale, des implications fiscales et même de la culture.

Le contrôle de la résidence des données commence par ce qui suit :

• Identifier le type de données et leur emplacement
• Déterminez les risques qui existent pour vos données, et les lois et réglementations qui s'appliquent.
• Contrôler l'emplacement de stockage de vos données ou leur destination

Pour vous aider à respecter les exigences de résidence des données, Google Cloud vous permet de contrôler l'emplacement de stockage de vos données, leur mode d'accès et leur traitement. Vous pouvez utiliser des règles d'emplacement des ressources pour limiter l'emplacement de création des ressources et l'emplacement des données dupliquées entre les régions. Vous pouvez utiliser la propriété "location" d'une ressource pour identifier où le service est déployé et qui le gère. Pour en savoir plus, consultez la section Services compatibles avec les emplacements de ressources.

Classer vos données confidentielles

Cette recommandation s'applique à la zone de concentration suivante : sécurité des données.

Vous devez définir les données confidentielles, puis vous assurer qu'elles sont correctement protégées. Les données confidentielles peuvent inclure des numéros de carte de crédit, des adresses, des numéros de téléphone et d'autres informations permettant d'identifier personnellement l'utilisateur. À l'aide de la protection des données sensibles, vous pouvez configurer les classifications appropriées. Vous pouvez ensuite ajouter des tags à vos données et les tokeniser avant de les stocker dans Google Cloud. De plus, Dataplex propose un service de catalogue qui fournit une plate-forme permettant de stocker, de gérer et d'accéder à vos métadonnées. Pour en savoir plus et obtenir un exemple de classification et d'anonymisation des données, consultez Anonymiser et désanonymiser les informations permettant d'identifier personnellement l'utilisateur à l'aide de la protection des données sensibles.

Verrouillage de l'accès aux données sensibles

Cette recommandation s'applique aux axes d'action suivants:

• Sécurité des données
• Gestion de l'authentification et des accès

Placez les données sensibles dans leur propre périmètre de service à l'aide de VPC Service Controls. VPC Service Controls vous aide à limiter les risques de copie ou de transfert non autorisé de données (exfiltration de données) à partir de services gérés par Google. Cette solution vous permet de configurer des périmètres de sécurité autour des ressources de vos services gérés par Google pour contrôler le déplacement des données au-delà des limites des périmètres. Définissez des contrôles d'accès Google Identity and Access Management (IAM) pour ces données. Configurez l'authentification multifacteur (MFA) pour tous les utilisateurs ayant besoin d'accéder à des données sensibles.

Responsabilités partagées et partage de sort sur Google Cloud

Ce document décrit les différences entre le modèle de responsabilité partagée et le partage de sort dans Google Cloud. Il aborde les défis et les nuances du modèle de responsabilité partagée. Ce document explique le principe du partage de sort et notre méthode de collaboration avec nos clients pour relever les défis liés à la sécurité dans le cloud.

Il est important de comprendre le modèle de responsabilité partagée pour déterminer comment protéger au mieux vos données et vos charges de travail sur Google Cloud. Le modèle de responsabilité partagée décrit les tâches liées à la sécurité que vous devez effectuer dans le cloud et explique ce qui les différencie des autres tâches pour les fournisseurs de cloud.

Cependant, il peut être difficile de comprendre la responsabilité partagée. Le modèle nécessite une compréhension approfondie de chaque service utilisé, des options de configuration fournies par chaque service et des mesures mises en place par Google Cloudpour sécuriser ce service. Chaque service possède un profil de configuration différent, et il peut être difficile de déterminer la meilleure configuration de sécurité. Google pense que le modèle de responsabilité partagée ne suffit pas pour aider les clients cloud à obtenir de meilleures performances de sécurité. Nous préférons le partage de sort à la responsabilité partagée.

Le partage de sort nous permet de créer et d'exploiter une plate-forme cloud fiable pour vos charges de travail. Nous offrons des bonnes pratiques ainsi qu'un code d'infrastructure sécurisé et certifié qui vous permet de déployer vos charges de travail de manière sécurisée. Nous publions des solutions qui combinent divers Google Cloud services afin de résoudre des problèmes de sécurité complexes. Nous proposons également des options d'assurance innovantes pour vous aider à évaluer et à limiter les risques que vous devez accepter. Le partage de sort nous oblige à interagir de manière plus étroite avec vous lorsque vous sécurisez vos ressources surGoogle Cloud.

Responsabilité partagée

Personne ne connaît mieux que vous les exigences de sécurité et les obligations réglementaires pour votre entreprise, ainsi que les exigences liées à la protection de vos données et ressources confidentielles. Lorsque vous exécutez vos charges de travail sur Google Cloud, vous devez identifier les contrôles de sécurité que vous devez configurer dans Google Cloud pour protéger vos données confidentielles et toutes vos charges de travail. Pour déterminer les contrôles de sécurité à mettre en œuvre, vous devez prendre en compte les facteurs suivants :

• Vos obligations liées à la conformité réglementaire
• Les normes de sécurité et le plan de gestion des risques de votre organisation
• Les exigences de sécurité de vos clients et de vos fournisseurs

Défini par les charges de travail

Traditionnellement, les responsabilités sont définies en fonction du type de charge de travail que vous exécutez et des services cloud dont vous avez besoin. Les services cloud incluent les catégories suivantes :

Service cloud	Description
Infrastructure as a Service (IaaS)	Les services IaaS incluent Compute Engine, Cloud Storage et des services de mise en réseau tels que Cloud VPN, Cloud Load Balancing et Cloud DNS. L'IaaS fournit des services de calcul, de stockage et de réseau à la demande grâce au paiement à l'usage. Vous pouvez utiliser l'IaaS si vous prévoyez de migrer une charge de travail sur site existante vers le cloud à l'aide de la migration Lift and Shift, ou si vous souhaitez exécuter votre application sur des VM spécifiques, à l'aide de bases de données ou de configurations réseau spécifiques. Dans le domaine IaaS, vous êtes responsable des questions de sécurité, et nous sommes en charge de l'infrastructure sous-jacente et la sécurité physique.
Platform as a Service (PaaS)	Les services PaaS incluent App Engine, Google Kubernetes Engine (GKE) et BigQuery. PaaS fournit l'environnement d'exécution dans lequel vous pouvez développer et exécuter vos applications. Vous pouvez utiliser PaaS si vous créez une application (comme un site Web) et que vous souhaitez vous concentrer sur le développement plutôt que sur l'infrastructure sous-jacente. Dans le domaine PaaS, nous sommes responsables d'un plus grand nombre de contrôles qu'avec la solution IaaS. En règle générale, cela varie en fonction des services et des fonctionnalités que vous utilisez. Vous partagez avec nous la responsabilité des contrôles au niveau de l'application et de la gestion IAM. Vous demeurez responsable de la sécurité de vos données et de la protection de vos clients.
Software as a Service (SaaS)	Les applications SaaS incluent Google Workspace, Google Security Operations et les applications SaaS tierces disponibles dans Google Cloud Marketplace. SaaS fournit des applications en ligne auxquelles vous pouvez vous abonner ou que vous pouvez payer d'une manière ou d'une autre. Vous pouvez utiliser des applications SaaS lorsque votre entreprise ne dispose pas de l'expertise interne ou des exigences métier pour créer l'application elle-même, mais cela nécessite d'avoir la capacité de traiter des charges de travail. Dans le domaine SaaS, nous assumons la plupart des responsabilités liées à la sécurité. Vous restez responsable de vos contrôles d'accès et des données que vous choisissez de stocker dans l'application.
Functions as a Service (FaaS) ou sans serveur	FaaS fournit aux développeurs une plate-forme permettant d'exécuter un petit code à usage unique (appelé fonctions) qui s'exécute en réponse à des événements particuliers. Vous pouvez utiliser FaaS lorsque vous souhaitez que des opérations spécifiques se produisent en fonction d'un événement particulier. Par exemple, vous pouvez créer une fonction qui s'exécute chaque fois que des données sont importées dans Cloud Storage à des fins de classement. La liste des responsabilités partagées du domaine FaaS est semblable à celle du domaine SaaS. Cloud Run Functions est une application FaaS.

Le schéma suivant illustre les services cloud et définit la manière dont les responsabilités sont partagées entre le fournisseur cloud et le client.

Comme le montre le schéma, le fournisseur cloud reste responsable du réseau et de l'infrastructure sous-jacents, et les clients restent responsables de leurs règles d'accès et de leurs données.

Défini par le secteur et le cadre réglementaire

Différents secteurs possèdent des cadres réglementaires qui définissent les contrôles de sécurité à mettre en place. Lorsque vous déplacez vos charges de travail vers le cloud, vous devez connaître les points suivants :

• Les contrôles de sécurité qui relèvent de votre responsabilité
• Les contrôles de sécurité disponibles dans l'offre cloud
• Les contrôles de sécurité par défaut qui sont hérités

Les contrôles de sécurité hérités (tels que notre chiffrement par défaut et nos contrôles d'infrastructure) sont des contrôles que vous pouvez fournir en tant que preuves de votre stratégie de sécurité aux auditeurs et aux autorités de régulation. Par exemple, la norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS, Payment Card Industry Data Security Standard) définit les réglementations pour les sociétés de traitement des paiements. Lorsque vous migrez votre entreprise vers le cloud, ces réglementations sont partagées entre vous et votre FSC. Pour comprendre comment les responsabilités PCI DSS sont partagées entre vous etGoogle Cloud, consultez Google Cloud: tableau de responsabilité partagée PCI DSS.

Autre exemple : aux États-Unis, la loi HIPAA (Health Insurance Portability and Accountability Act) a établi des normes concernant le traitement des données de santé électroniques à caractère personnel. Ces responsabilités sont également partagées entre le FSC et vous-même. Pour en savoir plus sur la manière dont Google Cloud respecte nos responsabilités en vertu de la loi HIPAA, consultez la section Loi HIPAA – Conformité.

D'autres secteurs (par exemple, la finance ou l'industrie) appliquent également des réglementations qui définissent la façon dont les données peuvent être collectées, traitées et stockées. Pour en savoir plus sur la responsabilité partagée dans ces cas-là et sur la manière dontGoogle Cloud respecte nos responsabilités, consultez le Centre de ressources pour la conformité.

Défini par l'emplacement

Selon votre scénario d'entreprise, vous devrez peut-être prendre en compte vos responsabilités en fonction de l'emplacement de vos bureaux, de vos clients et de vos données. Plusieurs pays et régions ont créé des réglementations indiquant comment traiter et stocker les données de vos clients. Par exemple, si votre entreprise dispose de clients qui résident dans l'Union européenne, elle peut être amenée à respecter les exigences décrites dans le Règlement général sur la protection des données (RGPD) et vous pourriez être tenu de conserver vos données client dans l'UE. Dans ce cas, vous devez vous assurer que les données que vous collectez restent dans les régionsGoogle Cloud de l'UE. Pour en savoir plus sur le respect de nos obligations liées au RGPD, consultez la page RGPD et Google Cloud.

Pour en savoir plus sur les exigences liées à votre région, consultez la section Offres de conformité. Si votre scénario est particulièrement complexe, nous vous recommandons de contacter notre équipe commerciale ou l'un de nos partenaires pour vous aider à évaluer vos responsabilités liées à la sécurité.

Défis liés à la responsabilité partagée

Bien que la responsabilité partagée permet de définir les rôles de sécurité dont vous ou le fournisseur cloud disposez, l'exploitation de la responsabilité partagée peut toujours constituer un défi. Étudions les cas de figure suivants :

• La plupart des brèches de sécurité dans le cloud sont le résultat direct d'une mauvaise configuration (définie en tant que numéro 3 dans le rapport 11 sur la pandémie de Cloud Security Alliance), et cette tendance devrait augmenter. Les produits cloud sont en constante évolution, et de nouveaux produits sont constamment lancés. S'adapter aux changements constants peut sembler fastidieux. Les clients ont besoin de fournisseurs cloud pour leur fournir des bonnes pratiques recommandées afin de se tenir au courant des changements, en commençant par les bonnes pratiques par défaut et en établissant une configuration sécurisée de référence.
• Même si la division des éléments entre les services cloud est utile, de nombreuses entreprises ont des charges de travail qui nécessitent plusieurs types de services cloud. Dans ce cas, vous devez examiner les interactions entre les différents contrôles de sécurité de ces services, y compris leur éventuel chevauchement entre les services. Par exemple, vous pouvez avoir une application sur site que vous migrez vers Compute Engine, utiliser Google Workspace pour la messagerie professionnelle, et exécuter BigQuery pour analyser les données afin d'améliorer vos produits.
• Votre entreprise et vos marchés évoluent en permanence, à mesure que la réglementation évolue, que vous pénétrez de nouveaux marchés ou que vous acquérez d'autres entreprises. Vos nouveaux marchés peuvent avoir des exigences différentes, et vos nouvelles acquisitions peuvent héberger les charges de travail sur un autre cloud. Pour gérer les changements constants, vous devez réévaluer en permanence votre profil de risque et être capable de mettre en œuvre rapidement de nouveaux contrôles.
• La façon dont vous gérez les clés de chiffrement de vos données est une décision importante à prendre en compte pour protéger vos données. L'option que vous choisissez dépend de vos exigences réglementaires, que vous exécutiez un environnement cloud hybride ou que vous disposiez toujours d'un environnement sur site, et de la sensibilité des données que vous traitez et stockez.
• La gestion des incidents est un domaine important et souvent négligé, dans lequel vos responsabilités et celles du fournisseur cloud ne sont pas facilement définies. De nombreux incidents nécessitent une collaboration étroite et une assistance de la part du fournisseur cloud si vous souhaitez les examiner et les limiter. D'autres incidents peuvent être dus à une mauvaise configuration des ressources cloud ou au vol d'identifiants, et les bonnes pratiques liées à la sécurisation de vos ressources et de vos comptes peuvent être difficiles à suivre
• Les menaces persistantes avancées et les nouvelles failles peuvent avoir une incidence inattendue sur vos charges de travail lorsque vous démarrez votre transformation cloud. Il est difficile de rester informé de l'évolution du paysage et de savoir qui est responsable de l'atténuation des menaces, en particulier si votre entreprise ne dispose pas d'une large équipe de sécurité.

Partage du sort

Nous avons développé le partage de sort dans Google Cloud pour commencer à relever les défis que le modèle de responsabilité partagée ne résout pas. Le partage de sort consiste à permettre à toutes les parties d'interagir plus efficacement afin d'améliorer continuellement la sécurité. Le partage de sort s'appuie sur le modèle de responsabilité partagée, car il considère la relation entre le fournisseur cloud et le client comme un partenariat continu pour améliorer la sécurité.

Le partage de sort consiste à assumer nos responsabilités concernant la sécurité de Google Cloud. Le partage de sort vous permet de commencer à utiliser une zone de destination sécurisée, et d'être clair, ferme et transparent sur les contrôles de sécurité, ainsi que sur les paramètres et les bonnes pratiques associés. Il vous aide à quantifier et à gérer les risques avec la cyberassurance, grâce à Risk Protection Program. Avec le partage de sort, nous souhaitons faire passer le framework de responsabilité partagée standard au niveau supérieur afin de vous aider à mieux sécuriser votre entreprise et à développer la confiance dans Google Cloud.

Les sections suivantes décrivent divers composants du partage de sort.

Aide à la mise en route

Les ressources que nous fournissons pour vous aider à démarrer dans une configuration sécurisée au sein de Google Cloudconstituent un élément clé du partage de sort. Commencer par une configuration sécurisée permet de réduire le problème des erreurs de configuration, qui est la cause principale de la plupart des brèches de sécurité.

Nos ressources peuvent inclure les éléments suivants :

• Le plan de base d'entreprise, qui englobe les principaux problèmes de sécurité et nos recommandations les plus importantes.

• Les plans sécurisés, qui vous permettent de déployer et de gérer des solutions sécurisées via Infrastructure as Code (IaC) Les recommandations de sécurité des plans sont activées par défaut. De nombreux plans sont créés par les équipes de sécurité de Google et gérés en tant que produits. Cela signifie qu'ils sont régulièrement mis à jour, qu'ils sont soumis à un processus de test rigoureux et qu'ils reçoivent des attestations de la part de groupes de tests tiers. Les plans incluent le plan de base d'entreprise et le plan d'entrepôt de données sécurisé.

• Google Cloud Bonnes pratiques du framework Well-Architected qui répondent aux principales recommandations pour intégrer la sécurité à vos conceptions. Le framework Well-Architected comprend une section sur la sécurité et une zone communautaire qui vous permettent de communiquer avec des experts et des pairs.

• Les guides de navigation des zones de destination vous guident dans les principales décisions que vous devez prendre pour créer une base sécurisée pour vos charges de travail, y compris la hiérarchie des ressources, l'intégration des identités, la gestion de la sécurité et des clés, ainsi que la structure du réseau.

Risk Protection Program

Le partage de sort inclut également le Risk Protection Program (actuellement en version bêta), qui vous aide à utiliser la puissance de Google Cloud en tant que plate-forme de gestion des risques, plutôt que de considérer les charges de travail cloud comme d'autres sources de risques à gérer. Risk Protection Program est le fruit de la collaboration entre Google Cloud et deux grandes entreprises de cyberassurance, Munich Re et Allianz Global & Corporate Specialty.

Risk Protection Program comprend Risk Manager, qui fournit des insights basés sur les données qui peuvent vous servir à mieux comprendre votre stratégie de sécurité dans le cloud. Si vous cherchez à souscrire une cyberassurance, vous pouvez partager les insights générés par Risk Manager directement avec nos partenaires assureurs afin d'obtenir un devis. Pour en savoir plus, consultez la page Google Cloud Risk Protection Program de Google Cloud actuellement en version bêta.

Aide concernant le déploiement et la gouvernance

Le partage de sort contribue également à la gouvernance continue de votre environnement. Par exemple, nous nous concentrons sur les produits suivants :

• Assured Workloads, qui vous aide à respecter vos obligations réglementaires.
• Security Command Center Premium, qui utilise les renseignements sur les menaces, la détection des menaces, l'analyse Web et d'autres méthodes avancées dans le but de surveiller et de détecter les menaces. Cette solution permet également de résoudre rapidement et automatiquement de nombreuses menaces.
• Les règles d'administration et les paramètres de ressources vous permettent de configurer des stratégies à travers l'ensemble de votre hiérarchie de dossiers et de projets.
• Les outils Policy Intelligence, qui fournissent des insights sur l'accès aux comptes et aux ressources.
• L'informatique confidentielle, qui permet de chiffrer les données utilisées.
• Les Contrôles souverains par les partenaires, disponibles dans certains pays, qui aident à appliquer les exigences de résidence des données.

Appliquer la responsabilité partagée et le partage de sort

Lors de votre processus de planification, envisagez les actions suivantes pour vous aider à comprendre et à mettre en œuvre des contrôles de sécurité appropriés :

• Créez une liste des types de charges de travail que vous hébergez dansGoogle Cloudet indiquez si elles nécessitent les services IaaS, PaaS et SaaS. Vous pouvez utiliser le schéma de responsabilité partagée comme checklist pour vous assurer que vous connaissez les contrôles de sécurité à prendre en compte.
• Créez une liste d'exigences réglementaires à respecter et accédez aux ressources du Centre de ressources pour la conformité associées à ces exigences.
• Consultez la liste des plans et architectures disponibles dans le Centre d'architecture pour connaître les contrôles de sécurité requis pour vos charges de travail particulières. Les plans fournissent une liste de commandes recommandées et le code IaC nécessaire au déploiement de cette architecture.
• Utilisez la documentation sur les zones de destination et les recommandations du guide sur les principes de base de l'entreprise pour concevoir une hiérarchie de ressources et une architecture réseau conformes à vos exigences. Vous pouvez utiliser les plans de charge de travail avisés, comme l'entrepôt de données sécurisé, pour accélérer votre processus de développement.
• Après avoir déployé vos charges de travail, vérifiez que vous répondez à vos responsabilités de sécurité à l'aide de services tels que Risk Manager, Assured Workloads, les outils Policy Intelligence et Security Command Center Premium.

Pour en savoir plus, consultez le guide du RSSI sur la transformation cloud.

Étape suivante

• Consultez les principes de sécurité fondamentaux.
• Tenez-vous informé des ressources de partage de sort.
• Familiarisez-vous avec les plans disponibles, y compris avec le plan de base de sécurité et les exemples de charges de travail, comme l'entrepôt de données sécurisé.
• En savoir plus sur le partage de sort
• Pour en savoir plus sur notre infrastructure sécurisée sous-jacente, consultez la présentation de la sécurité sur l'infrastructure de Google.
• Découvrez comment mettre en œuvre les bonnes pratiques du CyberSecurity Framework du National Institute of Standards and Technology (NIST) dans Google Cloud (PDF).