Google Cloud Well-Architected Framework: sicurezza, privacy e conformità

Last reviewed 2025-02-14 UTC

Questa pagina fornisce una visualizzazione in un'unica pagina di tutte le pagine del pilastro Sicurezza, privacy e conformità del Framework Well-Architected. Puoi stampare questa pagina o salvarla in formato PDF utilizzando la funzione di stampa del browser.

Questa pagina non ha un sommario. Non puoi utilizzare i link su questa pagina per navigare al suo interno.

Il pilastro Sicurezza, privacy e conformità nel Google Cloud Framework Well-Architected fornisce consigli per aiutarti a progettare, implementare e gestire i carichi di lavoro cloud che soddisfano i tuoi requisiti di sicurezza, privacy e conformità.

Questo documento è progettato per offrire approfondimenti preziosi e soddisfare le esigenze di una gamma di professionisti e tecnici della sicurezza. La tabella seguente descrive i segmenti di pubblico di destinazione di questo documento:

Pubblico	Informazioni fornite da questo documento
Responsabili della sicurezza informatica (CISO), responsabili delle unità di business e gestori IT	Un framework generale per stabilire e mantenere l'eccellenza della sicurezza nel cloud e garantire una visione completa delle aree di sicurezza per prendere decisioni consapevoli sugli investimenti in sicurezza.
Architetti e ingegneri della sicurezza	Best practice di sicurezza chiave per le fasi di progettazione e operatività per contribuire a garantire che le soluzioni siano progettate per sicurezza, efficienza e scalabilità.
Team DevSecOps	Indicazioni per integrare controlli di sicurezza generali per pianificare l'automazione che consenta un'infrastruttura sicura e affidabile.
Responsabili della conformità e gestori del rischio	Consigli di sicurezza chiave per seguire un approccio strutturato alla gestione del rischio con misure di salvaguardia che aiutano a soddisfare le obbligazioni di conformità.

Per assicurarti che i tuoi Google Cloud carichi di lavoro soddisfino i requisiti di sicurezza, privacy e conformità, tutti gli stakeholder della tua organizzazione devono adottare un approccio collaborativo. Inoltre, devi riconoscere che la sicurezza nel cloud è una responsabilità condivisa tra te e Google. Per ulteriori informazioni, consulta Responsabilità condivise e destino condiviso su Google Cloud.

I consigli di questo pilastro sono raggruppati in principi di sicurezza di base. Ogni consiglio basato su principi è mappato a una o più delle principali aree di applicazione della sicurezza del cloud di implementazione che potrebbero essere fondamentali per la tua organizzazione. Ogni consiglio mette in evidenza indicazioni sull'utilizzo e sulla configurazione di Google Cloud prodotti e funzionalità per contribuire a migliorare la strategia di sicurezza della tua organizzazione.

Principi fondamentali

I consigli di questo pilastro sono raggruppati nei seguenti principi fondamentali della sicurezza. Ogni principio di questo pilastro è importante. A seconda dei requisiti della tua organizzazione e del carico di lavoro, puoi scegliere di dare la priorità a determinati principi.

• Implementa la sicurezza per progettazione: integra le considerazioni sulla sicurezza del cloud e della rete fin dalla fase di progettazione iniziale delle applicazioni e dell'infrastruttura.Google Cloud fornisce blueprint e consigli di architettura per aiutarti ad applicare questo principio.
• Implementa Zero Trust: utilizza un approccio non fidarsi mai, verificare sempre, in cui l'accesso alle risorse viene concesso in base a una verifica continua dell'affidabilità. Google Cloudsupporta questo principio tramite prodotti come Chrome Enterprise Premium e Identity-Aware Proxy (IAP).
• Implementa la sicurezza con approccio shift-left: implementa i controlli di sicurezza nelle prime fasi del ciclo di vita di sviluppo del software. Evita i difetti di sicurezza prima di apportare modifiche al sistema. Rileva e correggi i bug di sicurezza in modo tempestivo, rapido e affidabile dopo che le modifiche al sistema sono state committate. Google Cloud supporta questo principio tramite prodotti come Cloud Build, Autorizzazione binaria e Artifact Registry.
• Implementa una difesa informatica preventiva: adotta un approccio proattivo alla sicurezza implementando misure di base solide come la threat intelligence. Questo approccio ti aiuta a creare una base per un rilevamento e una risposta alle minacce più efficaci. L'approccio diGoogle Cloudai controlli di sicurezza a più livelli è in linea con questo principio.
• Utilizza l'IA in modo sicuro e responsabile: sviluppa ed esegui il deployment di sistemi di IA in modo responsabile e sicuro. I suggerimenti per questo principio sono in linea con le indicazioni riportate nel prospettivo dell'IA e del ML del Well-Architected Framework e nel Secure AI Framework (SAIF) di Google.
• Utilizza l'IA per la sicurezza: utilizza le funzionalità di IA per migliorare i sistemi e le procedure di sicurezza esistenti tramite Gemini in Security e le funzionalità di sicurezza della piattaforma complessive. Utilizza l'IA come strumento per aumentare l'automazione delle attività di correzione e garantire la sicurezza per rendere più sicuri altri sistemi.
• Soddisfa le esigenze di conformità, normative e privacy: rispetta le normative, gli standard di conformità e i requisiti di privacy specifici del settore. Google Cloud ti aiuta a soddisfare queste obbligazioni tramite prodotti come Assured Workloads, Organization Policy Service e il nostro Centro risorse per la conformità.

Mentalità di sicurezza organizzativa

Un approccio organizzativo incentrato sulla sicurezza è fondamentale per l'adozione e il funzionamento del cloud. Questo approccio deve essere profondamente radicato nella cultura della tua organizzazione e rispecchiato nelle sue pratiche, che si basano sui principi di sicurezza di base descritti in precedenza.

Un approccio alla sicurezza organizzativa sottolinea la necessità di pensare alla sicurezza durante la progettazione del sistema, di adottare il modello Zero Trust e di integrare le funzionalità di sicurezza durante il processo di sviluppo. In questo modo, puoi anche pensare in modo proattivo alle misure di cyberdifesa, utilizzare l'AI in modo sicuro e per la sicurezza e prendere in considerazione i requisiti normativi, di privacy e conformità. Se adotta questi principi, la tua organizzazione può coltivare una cultura incentrata sulla sicurezza che affronta in modo proattivo le minacce, protegge le risorse di valore e contribuisce a garantire un utilizzo responsabile della tecnologia.

Aree di interesse della sicurezza del cloud

Questa sezione descrive le aree su cui concentrarti quando pianifichi, implementi e gestisci la sicurezza delle tue applicazioni, dei tuoi sistemi e dei tuoi dati. I consigli in ogni principio di questo pilastro sono pertinenti a una o più di queste aree di interesse. Nel resto del documento, i consigli specificano le aree di attenzione per la sicurezza corrispondenti per fornire ulteriore chiarezza e contesto.

Area di messa a fuoco	Attività e componenti	Prodotti, funzionalità e soluzioni Google Cloud correlati
Sicurezza dell'infrastruttura	Infrastruttura di rete sicura. Crittografare i dati in transito e at-rest. Controlla il flusso del traffico. Servizi IaaS e PaaS sicuri. Proteggere da accessi non autorizzati.	Regole firewall Controlli di servizio VPC Google Cloud Armor Cloud Next Generation Firewall Secure Web Proxy
Gestione di identità e accessi	Utilizza l'autenticazione, l'autorizzazione e i controlli dell'accesso. Gestisci le identità cloud. Gestisci i criteri di gestione di identità e accessi.	Cloud Identity Servizio Identity and Access Management (IAM) di Google Federazione delle identità della forza lavoro Federazione delle identità per i workload
Sicurezza dei dati	Memorizza i dati in Google Cloud sicurezza. Controllare l'accesso ai dati. Individua e classifica i dati. Progetta i controlli necessari, come crittografia, controlli di accesso e prevenzione della perdita di dati. Proteggere i dati at-rest, in transito e in uso.	Servizio IAM di Google Sensitive Data Protection Controlli di servizio VPC Cloud KMS Confidential Computing
Sicurezza di AI e ML	Applica controlli di sicurezza a diversi livelli dell'infrastruttura e della pipeline di IA e ML. Garantire la sicurezza del modello.	SAIF di Google Model Armor
Operazioni di sicurezza (SecOps)	Adotta una piattaforma SecOps moderna e un insieme di pratiche per gestire efficacemente gli incidenti, rilevare le minacce e rispondere alle emergenze. Monitora costantemente i sistemi e le applicazioni per rilevare eventi di sicurezza.	Google Security Operations
Sicurezza delle applicazioni	Proteggi le applicazioni da vulnerabilità e attacchi software.	Artifact Registry Artifact Analysis Autorizzazione binaria Assured Open Source Software Google Cloud Armor Web Security Scanner
Governance, rischio e conformità del cloud	Stabilisci criteri, procedure e controlli per gestire le risorse cloud in modo efficace e sicuro.	Servizio Criteri dell'organizzazione Cloud Asset Inventory Security Command Center Enterprise Resource Manager
Logging, controllo e monitoraggio	Analizza i log per identificare potenziali minacce. Monitora e registra le attività del sistema per analisi di conformità e sicurezza.	Cloud Logging Cloud Monitoring Audit log di Cloud Log di flusso VPC

Collaboratori

Autori:

• Wade Holmes | Global Solutions Director
• Hector Diaz | Cloud Security Architect
• Carlos Leonardo Rosario | Esperto di sicurezza Google Cloud
• John Bacon | Partner Solutions Architect
• Sachin Kalra | Global Security Solution Manager

Altri collaboratori:

• Anton Chuvakin | Security Advisor, Ufficio del CISO
• Daniel Lees | Cloud Security Architect
• Filipe Gracio, PhD | Customer Engineer
• Gary Harmson | Customer Engineer
• Gino Pelliccia | Principal Architect
• Jose Andrade | Customer Engineer per l'Infrastruttura aziendale
• Kumar Dhanagopal | Sviluppatore di soluzioni cross-product
• Laura Hyatt | Enterprise Cloud Architect
• Marwan Al Shawi | Partner Customer Engineer
• Nicolas Pintaux | Customer Engineer, specialista in modernizzazione delle applicazioni
• Noah McDonald | Consulente per la sicurezza del cloud
• Osvaldo Costa | Networking Specialist Customer Engineer
• Radhika Kanakam | Senior Program Manager, Cloud GTM
• Susan Wu | Outbound Product Manager

Implementare la sicurezza integrata

Questo principio del pilastro della sicurezza del Google Cloud Well-Architected Framework fornisce consigli per incorporare funzionalità, controlli e metodi di sicurezza efficaci nella progettazione di applicazioni, servizi e piattaforme cloud. Dall'ideazione alle operazioni, la sicurezza è più efficace se è integrata come parte integrante di ogni fase del processo di progettazione.

Panoramica del principio

Come spiegato in Panoramica dell'impegno di Google per la sicurezza per progettazione, per impostazione predefinita e per progettazione vengono spesso utilizzati in modo intercambiabile, ma rappresentano approcci distinti per la creazione di sistemi sicuri. Entrambi gli approcci hanno lo scopo di ridurre al minimo le vulnerabilità e migliorare la sicurezza, ma differiscono per ambito e implementazione:

• Sicuro per impostazione predefinita: si concentra sull'assicurarsi che le impostazioni predefinite di un sistema siano impostate su una modalità sicura, riducendo al minimo la necessità per gli utenti o gli amministratori di intraprendere azioni per proteggere il sistema. Questo approccio mira a fornire un livello di sicurezza di base per tutti gli utenti.
• Sicuro per progettazione: dà risalto all'integrazione proattiva di considerazioni di sicurezza durante tutto il ciclo di vita di sviluppo di un sistema. Questo approccio consiste nell'anticipare tempestivamente potenziali minacce e vulnerabilità e nel fare scelte di progettazione che mitigano i rischi. Questo approccio prevede l'utilizzo di pratiche di codifica sicura, la conduzione di revisioni di sicurezza e l'integrazione della sicurezza in tutto il processo di progettazione. L'approccio secure-by-design è una filosofia generale che guida il processo di sviluppo e contribuisce a garantire che la sicurezza non sia un'aggiunta tardiva, ma parte integrante della progettazione di un sistema.

Consigli

Per implementare il principio di sicurezza per progettazione per i tuoi carichi di lavoro cloud, prendi in considerazione i consigli riportati nelle seguenti sezioni:

• Scegliere componenti di sistema che contribuiscono a proteggere i workload
• Creare un approccio alla sicurezza a più livelli
• Utilizza servizi e infrastrutture rafforzati e attestati
• Crittografare i dati at-rest e in transito

Scegli componenti di sistema che contribuiscono a proteggere i tuoi workload

Questo consiglio è pertinente per tutte le aree di interesse.

Una decisione fondamentale per una sicurezza efficace è la selezione di componenti di sistema robusti, inclusi componenti hardware e software, che costituiscono la tua piattaforma, soluzione o servizio. Per ridurre la superficie di attacco della sicurezza e limitare i potenziali danni, devi anche considerare attentamente i pattern di deployment di questi componenti e le relative configurazioni.

Nel codice dell'applicazione, ti consigliamo di utilizzare librerie, astratti e framework di applicazioni semplici, sicuri e affidabili per eliminare le classi di vulnerabilità. Per eseguire la ricerca di vulnerabilità nelle librerie software, puoi utilizzare strumenti di terze parti. Puoi anche utilizzare Assured Open Source Software, che contribuisce a ridurre i rischi per la catena di fornitura software utilizzando i pacchetti di software open source (OSS) che Google utilizza e protegge.

L'infrastruttura deve utilizzare opzioni di networking, archiviazione e calcolo che supportino un funzionamento sicuro e siano in linea con i requisiti di sicurezza e i livelli di accettazione del rischio. La sicurezza dell'infrastruttura è importante sia per i carichi di lavoro interni sia per quelli rivolti a internet.

Per informazioni su altre soluzioni Google che supportano questo consiglio, consulta Implementare la sicurezza shift-left.

Crea un approccio alla sicurezza a più livelli

Questo consiglio è pertinente per le seguenti aree di interesse:

• Sicurezza di AI e ML
• Sicurezza dell'infrastruttura
• Gestione di identità e accessi
• Sicurezza dei dati

Ti consigliamo di implementare la sicurezza a ogni livello dell'applicazione e dell'infrastruttura adottando un approccio di difesa in profondità.

Utilizza le funzionalità di sicurezza in ogni componente della tua piattaforma. Per limitare l'accesso e identificare i confini del potenziale impatto (ovvero il raggio d'azione) in caso di incidente di sicurezza:

• Semplifica la progettazione del sistema per garantire la flessibilità, ove possibile.
• Documenta i requisiti di sicurezza di ogni componente.
• Incorpora un meccanismo consolidato e sicuro per soddisfare i requisiti di resilienza e recupero.

Quando progetti i livelli di sicurezza, esegui una valutazione dei rischi per determinare le funzionalità di sicurezza necessarie per soddisfare i requisiti di sicurezza interni e i requisiti normativi esterni. Ti consigliamo di utilizzare un framework di valutazione del rischio standard del settore che si applichi agli ambienti cloud e che sia pertinente ai tuoi requisiti normativi. Ad esempio, Cloud Security Alliance (CSA) fornisce la Cloud Controls Matrix (CCM). La valutazione dei rischi fornisce un catalogo di rischi e i controlli di sicurezza corrispondenti per mitigarli.

Quando esegui la valutazione del rischio, ricorda che hai un contratto di responsabilità condivisa con il tuo provider cloud. Pertanto, i rischi in un ambiente cloud sono diversi da quelli in un ambiente on-premise. Ad esempio, in un ambiente on-premise, devi mitigare le vulnerabilità del tuo stack hardware. Al contrario, in un ambiente cloud, questi rischi sono a carico del cloud provider. Inoltre, ricorda che i confini delle responsabilità condivise differiscono tra i servizi IaaS, PaaS e SaaS per ciascun provider cloud.

Dopo aver identificato i potenziali rischi, devi progettare e creare un piano di mitigazione che utilizzi controlli tecnici, amministrativi e operativi, nonché protezioni contrattuali e attestazioni di terze parti. Inoltre, un metodo di modellazione delle minacce, come il metodo di modellazione delle minacce per le applicazioni OWASP, ti aiuta a identificare potenziali lacune e a suggerire azioni per risolverle.

Utilizza servizi e infrastrutture rafforzati e attestati

Questo consiglio è pertinente per tutte le aree di interesse.

Un programma di sicurezza maturo mitiga le nuove vulnerabilità come descritto nei bollettini sulla sicurezza. Il programma di sicurezza deve anche fornire una soluzione per correggere le vulnerabilità nei deployment esistenti e proteggere le immagini VM e dei contenitori. Puoi utilizzare guide per l'applicazione di misure di protezione specifiche per il sistema operativo e l'applicazione delle tue immagini, nonché benchmark come quello fornito dal Center of Internet Security (CIS).

Se utilizzi immagini personalizzate per le tue VM Compute Engine, devi applicare le patch alle immagini autonomamente. In alternativa, puoi utilizzare le immagini OS selezionate fornite da Google, che vengono sottoposte a patch regolarmente. Per eseguire i container sulle VM di Compute Engine, utilizza immagini del sistema operativo ottimizzate per i container selezionate da Google. Google applica patch e aggiorna regolarmente queste immagini.

Se utilizzi GKE, ti consigliamo di attivare gli upgrade automatici dei nodi in modo che Google aggiorni i nodi del cluster con le patch più recenti. Google gestisce i piani di controllo GKE, che vengono aggiornati e sottoposti a patch automaticamente. Per ridurre ulteriormente la superficie di attacco dei container, puoi utilizzare immagini senza i pacchetti di distribuzione. Le immagini senza distribuzione sono ideali per applicazioni sensibili alla sicurezza, microservizi e situazioni in cui è fondamentale ridurre al minimo le dimensioni dell'immagine e la superficie di attacco.

Per i carichi di lavoro sensibili, utilizza le VM Shielded, che impediscono il caricamento di codice dannoso durante il ciclo di avvio della VM. Le istanze VM schermate forniscono sicurezza di avvio, monitorano l'integrità e utilizzano il Virtual Trusted Platform Module (vTPM).

Per contribuire a proteggere l'accesso SSH, OS Login consente ai dipendenti di connettersi alle VM utilizzando le autorizzazioni IAM (Identity and Access Management) come fonte attendibile anziché fare affidamento sulle chiavi SSH. Di conseguenza, non devi gestire le chiavi SSH in tutta l'organizzazione. L'accesso al sistema operativo lega l'accesso di un amministratore al ciclo di vita del dipendente, pertanto quando i dipendenti cambiano ruolo o lasciano l'organizzazione, il loro accesso viene revocato con il loro account. Accedi con il sistema operativo supporta anche l'autenticazione a due fattori di Google, che aggiunge un ulteriore livello di sicurezza contro gli attacchi di acquisizione dell'account.

In GKE, le istanze di applicazione vengono eseguite all'interno di container Docker. Per attivare un profilo di rischio definito e impedire ai dipendenti di apportare modifiche ai contenitori, assicurati che i contenitori siano senza stato e immutabili. Il principio di immutabilità prevede che i dipendenti non modifichino il contenitore o non vi accedano in modo interattivo. Se il contenitore deve essere modificato, devi creare una nuova immagine ed eseguirne il nuovo deployment. Attiva l'accesso SSH ai contenitori di base solo in scenari di debug specifici.

Per contribuire a proteggere le configurazioni a livello globale nell'intero ambiente, puoi utilizzare i criteri dell'organizzazione per impostare vincoli o guardrail sulle risorse che influiscono sul comportamento dei asset cloud. Ad esempio, puoi definire i seguenti criteri dell'organizzazione e applicarli a livello globale in un' Google Cloud organizzazione o selettivamente a livello di cartella o progetto:

• Disattiva l'allocazione di indirizzi IP esterni alle VM.
• Limita la creazione di risorse a località geografiche specifiche.
• Disattiva la creazione di account di servizio o delle relative chiavi.

Crittografare i dati at-rest e in transito

Questo consiglio è pertinente per le seguenti aree di interesse:

• Sicurezza dell'infrastruttura
• Sicurezza dei dati

La crittografia dei dati è un controllo di base per proteggere le informazioni sensibili ed è un elemento chiave della governance dei dati. Una strategia di protezione dei dati efficace include il controllo dell'accesso, la segmentazione dei dati e la residenza geografica, il controllo e l'implementazione della crittografia basata su un'attenta valutazione dei requisiti.

Per impostazione predefinita, Google Cloud cripta i dati archiviati non attivi dei clienti, senza che sia richiesta alcuna azione da parte tua. Oltre alla crittografia predefinita, Google Cloud offre opzioni per la crittografia dell'involucro e la gestione delle chiavi di crittografia. Devi identificare le soluzioni più adatte alle tue esigenze in termini di generazione, archiviazione e rotazione delle chiavi, indipendentemente dal fatto che tu scelga le chiavi per lo spazio di archiviazione, per il calcolo o per i carichi di lavoro di big data. Ad esempio, le chiavi di crittografia gestite dal cliente (CMEK) possono essere create in Cloud Key Management Service (Cloud KMS). Le CMEK possono essere basate su software o protette da HSM per soddisfare i requisiti normativi o di conformità, ad esempio la necessità di ruotare regolarmente le chiavi di crittografia. Cloud KMS Autokey ti consente di automatizzare il provisioning e l'assegnazione dei CMEK. Inoltre, puoi utilizzare le tue chiavi provenienti da un sistema di gestione delle chiavi di terze parti utilizzando Cloud External Key Manager (Cloud EKM).

Consigliamo vivamente di criptare i dati in transito. Google crittografa e autentica i dati in transito su uno o più livelli di rete quando i dati si spostano al di fuori di confini fisici non controllati da Google o per conto di Google. Tutto il traffico da VM a VM all'interno di una rete VPC e tra reti VPC in peering viene criptato. Puoi utilizzare MACsec per la crittografia del traffico sulle connessioni Cloud Interconnect. IPsec fornisce la crittografia per il traffico sulle connessioni Cloud VPN. Puoi proteggere il traffico da applicazione ad applicazione nel cloud utilizzando funzionalità di sicurezza come le configurazioni TLS e mTLS in Apigee e Anthos Service Mesh per le applicazioni containerizzate.

Per impostazione predefinita, Google Cloud cripta i dati at-rest e in transito sulla rete. Tuttavia, i dati non vengono criptati per impostazione predefinita mentre sono in uso in memoria. Se la tua organizzazione gestisce dati riservati, devi mitigare eventuali minacce che minano la riservatezza e l'integrità dell'applicazione o dei dati nella memoria di sistema. Per ridurre al minimo queste minacce, puoi utilizzare Confidential Computing, che fornisce un ambiente di esecuzione attendibile per i tuoi carichi di lavoro di calcolo. Per ulteriori informazioni, consulta la Panoramica delle VM riservate.

Implementa Zero Trust

Questo principio del pilastro della sicurezza del Google Cloud Well-Architected Framework ti aiuta a garantire una sicurezza completa per tutti i tuoi carichi di lavoro cloud. Il principio di Zero Trust enfatizza le seguenti pratiche:

• Eliminazione della fiducia implicita
• Applicazione del principio del privilegio minimo al controllo degli accessi
• Applicazione della convalida esplicita di tutte le richieste di accesso
• Adottare una mentalità di presumi violazione per abilitare la verifica e il monitoraggio continuo della strategia di sicurezza

Panoramica del principio

Il modello zero trust sposta l'attenzione dalla sicurezza perimetrale a un approccio in cui nessun utente o dispositivo è considerato intrinsecamente attendibile. Invece, ogni richiesta di accesso deve essere verificata, indipendentemente dalla sua provenienza. Questo approccio prevede l'autenticazione e l'autorizzazione di ogni utente e dispositivo, la convalida del contesto (posizione e stato del dispositivo) e la concessione dell'accesso con privilegio minimo solo alle risorse necessarie.

L'implementazione del modello Zero Trust aiuta la tua organizzazione a migliorare la propria security posture riducendo al minimo l'impatto di potenziali violazioni e proteggendo dati e applicazioni sensibili da accessi non autorizzati. Il modello di sicurezza zero-trust ti aiuta a garantire la riservatezza, l'integrità e la disponibilità di dati e risorse nel cloud.

Consigli

Per implementare il modello Zero Trust per i tuoi carichi di lavoro cloud, tieni presenti i consigli riportati nelle seguenti sezioni:

• Proteggere la rete
• Verifica esplicitamente ogni tentativo di accesso
• Monitorare e gestire la rete

Protezione della rete

Questo consiglio è pertinente alla seguente area di interesse: Sicurezza dell'infrastruttura.

La transizione dalla sicurezza perimetrale convenzionale a un modello Zero Trust richiede più passaggi. La tua organizzazione potrebbe aver già integrato determinati controlli zero trust nella propria strategia di sicurezza. Tuttavia, un modello Zero Trust non è un prodotto o una soluzione singola. Si tratta invece di un'integrazione olistica di diversi livelli di sicurezza e best practice. Questa sezione descrive consigli e tecniche per implementare il modello zero trust per la sicurezza di rete.

• Controllo dell'accesso: applica i controlli dell'accesso in base all'identità e al contesto dell'utente utilizzando soluzioni come Chrome Enterprise Premium e Identity-Aware Proxy (IAP). In questo modo, sposti la sicurezza dal perimetro della rete ai singoli utenti e dispositivi. Questo approccio consente il controllo granulare dell'accesso e riduce la superficie di attacco.
• Sicurezza di rete: connetti in sicurezza le reti tra i tuoi ambienti on-premise, Google Cloude multi-cloud.
  • Utilizza i metodi di connettività privata di Cloud Interconnect e VPN IPsec.
  • Per contribuire a proteggere l'accesso a Google Cloud servizi e API, utilizza Private Service Connect.
  • Per contribuire a proteggere l'accesso in uscita dai carichi di lavoro di cui è stato eseguito il deployment su GKE Enterprise, utilizza i gateway in uscita di Cloud Service Mesh.
• Design della rete: evita potenziali rischi per la sicurezza eliminando le reti predefinite nei progetti esistenti e disattivando la creazione di reti predefinite nei nuovi progetti.
  • Per evitare conflitti, pianifica attentamente l'allocazione della rete e degli indirizzi IP.
  • Per applicare un controllo dell'accesso efficace, limita il numero di reti Virtual Private Cloud (VPC) per progetto.
• Segmentazione: isola i workload, ma mantieni la gestione della rete centralizzata.
  • Per segmentare la rete, utilizza VPC condiviso.
  • Definisci criteri e regole firewall a livello di organizzazione, cartella e rete VPC.
  • Per impedire l'esfiltrazione di dati, stabilisci perimetri sicuri attorno a dati e servizi sensibili utilizzando Controlli di servizio VPC.
• Sicurezza del perimetro: protezione da attacchi DDoS e minacce alle applicazioni web.
  • Per proteggerti dalle minacce, utilizza Google Cloud Armor.
  • Configura i criteri di sicurezza per consentire, negare o reindirizzare il traffico alGoogle Cloud perimetro.
• Automazione: automatizza il provisioning dell'infrastruttura adottando i principi di Infrastructure as Code (IaC) e utilizzando strumenti come Terraform, Jenkins e Cloud Build. La IaC contribuisce a garantire configurazioni di sicurezza coerenti, deployment semplificati e rollback rapidi in caso di problemi.
• Base sicura: crea un ambiente di applicazione sicuro utilizzando il progetto di base di un'azienda. Questo blueprint fornisce indicazioni prescrittive e script di automazione per aiutarti a implementare le best practice per la sicurezza e configurare in modo sicuro le tue risorseGoogle Cloud .

Verificare esplicitamente ogni tentativo di accesso

Questo consiglio è pertinente per le seguenti aree di interesse:

• Gestione di identità e accessi
• Operazioni di sicurezza (SecOps)
• Logging, controllo e monitoraggio

Implementa meccanismi di autenticazione e autorizzazione efficaci per qualsiasi utente, dispositivo o servizio che tenta di accedere alle tue risorse cloud. Non fare affidamento sulla posizione o sul perimetro di rete come controllo di sicurezza. Non considerare attendibile automaticamente nessun utente, dispositivo o servizio, anche se si trova già all'interno della rete. Al contrario, ogni tentativo di accesso alle risorse deve essere autenticato e autorizzato in modo rigoroso. Devi implementare misure di verifica dell'identità efficaci, come l'autenticazione a più fattori (MFA). Devi anche assicurarti che le decisioni sull'accesso si basino su criteri granulari che prendono in considerazione vari fattori contestuali, come il ruolo dell'utente, la posizione e la configurazione del dispositivo.

Per implementare questo consiglio, utilizza i seguenti metodi, strumenti e tecnologie:

• Gestione unificata delle identità: assicurati una gestione coerente delle identità in tutta l'organizzazione utilizzando un unico provider di identità (IdP).
  • Google Cloud supporta la federazione con la maggior parte degli IdP, tra cui Active Directory on-premise. La federazione ti consente di estendere l'infrastruttura di gestione delle identità esistente Google Cloud e di attivare il Single Sign-On (SSO) per gli utenti.
  • Se non hai un IdP esistente, ti consigliamo di utilizzare Cloud Identity Premium o Google Workspace.
• Autorizzazioni degli account di servizio limitate: utilizza gli account di servizio con attenzione e rispetta il principio del privilegio minimo.
  • Concedi solo le autorizzazioni necessarie per consentire a ogni service account di svolgere le attività designate.
  • Utilizza la federazione delle identità per i carichi di lavoro per le applicazioni in esecuzione su Google Kubernetes Engine (GKE) o al di fuoriGoogle Cloud per accedere alle risorse in modo sicuro.
• Procedure efficaci: aggiorna le procedure di identità in modo che rispettino le best practice per la sicurezza nel cloud.
  • Per contribuire a garantire la conformità ai requisiti normativi, implementa la governance delle identità per monitorare l'accesso, i rischi e le violazioni dei criteri.
  • Rivedi e aggiorna le procedure esistenti per concedere e controllare i ruoli e le autorizzazioni di controllo dell'accesso.
• Autenticazione forte: implementa l'accesso singolo per l'autenticazione utente e l'autenticazione a più fattori per gli account con privilegi.
  • Google Cloud supporta vari metodi MFA, tra cui i token di sicurezza Titan, per una maggiore sicurezza.
  • Per l'autenticazione del carico di lavoro, utilizza OAuth 2.0 o token web JSON (JWT) firmati.
• Privilegio minimo: riduci al minimo il rischio di accessi non autorizzati e violazioni dei dati applicando i principi del privilegio minimo e della separazione dei compiti.
  • Evita di eseguire il provisioning eccessivo dell'accesso utente.
  • Valuta la possibilità di implementare l'accesso con privilegi just-in-time per operazioni sensibili.
• Logging: attiva l'audit logging per le attività di accesso ai dati e di amministrazione.
  • Per l'analisi e il rilevamento delle minacce, esegui la scansione dei log utilizzando Security Command Center Enterprise o Google Security Operations.
  • Configura criteri di conservazione dei log appropriati per bilanciare le esigenze di sicurezza con i costi di archiviazione.

Monitora e gestisci la tua rete

Questo consiglio è pertinente per le seguenti aree di interesse:

• Logging, controllo e monitoraggio
• Sicurezza delle applicazioni
• Operazioni di sicurezza (SecOps)
• Sicurezza dell'infrastruttura

Quando pianifichi e implementi le misure di sicurezza, presupponi che un malintenzionato sia già all'interno del tuo ambiente. Questo approccio proattivo prevede l'utilizzo di diversi strumenti e tecniche per fornire visibilità sulla tua rete:

• Logging e monitoraggio centralizzati: raccogli e analizza i log di sicurezza di tutte le tue risorse cloud tramite logging e monitoraggio centralizzati.

  • Stabilire le linee di base per il normale comportamento della rete, rilevare anomalie e identificare potenziali minacce.
  • Analizza continuamente i flussi di traffico di rete per identificare pattern sospetti e potenziali attacchi.

• Approfondimenti sul rendimento e sulla sicurezza della rete: utilizza strumenti come Network Analyzer. Monitora il traffico per rilevare protocolli insoliti, connessioni impreviste o picchi improvvisi nel trasferimento di dati, che potrebbero indicare attività dannose.

• Scansione e correzione delle vulnerabilità: esegui regolarmente la scansione della rete e delle applicazioni per rilevare le vulnerabilità.

  • Utilizza Web Security Scanner, che può identificare automaticamente le vulnerabilità nelle istanze, nei container e nei cluster GKE di Compute Engine.
  • Dai la priorità alla correzione in base alla gravità delle vulnerabilità e al loro potenziale impatto sui tuoi sistemi.

• Rilevamento di intrusioni: monitora il traffico di rete per rilevare attività dannose e blocca automaticamente o ricevi avvisi per eventi sospetti utilizzando Cloud IDS e il servizio di prevenzione delle intrusioni Cloud NGFW.

• Analisi della sicurezza: valuta la possibilità di implementare Google SecOps per correlare gli eventi di sicurezza provenienti da varie origini, fornire analisi in tempo reale degli avvisi di sicurezza e facilitare la risposta agli incidenti.

• Configurazioni coerenti: assicurati di avere configurazioni di sicurezza coerenti nella tua rete utilizzando gli strumenti di gestione della configurazione.

Implementare la sicurezza shift-left

Questo principio del pilastro della sicurezza del Google Cloud Well-Architected Framework ti aiuta a identificare controlli pratici che puoi implementare nelle prime fasi del ciclo di vita dello sviluppo del software per migliorare la tua postura di sicurezza. Fornisce consigli che ti aiutano a implementare barriere di sicurezza preventive e controlli di sicurezza post-deployment.

Panoramica del principio

La sicurezza shift-left consiste nell'adottare pratiche di sicurezza nelle prime fasi del ciclo di vita di sviluppo del software. Questo principio ha i seguenti obiettivi:

• Evita i difetti di sicurezza prima di apportare modifiche al sistema. Implementa misure di sicurezza preventive e adotta pratiche come Infrastructure as Code (IaC), Policy as Code e controlli di sicurezza nella pipeline CI/CD. Puoi anche utilizzare altre funzionalità specifiche della piattaforma, come Organization Policy Service e cluster GKE rafforzati in Google Cloud.
• Rileva e correggi i bug di sicurezza in modo tempestivo, rapido e affidabile dopo l'applicazione di eventuali modifiche al sistema. Adotta pratiche come revisioni del codice, scansione delle vulnerabilità post-deployment e test di sicurezza.

I principi di sicurezza Implementa la sicurezza in base al design e di sicurezza shift-left sono correlati, ma differiscono per ambito. Il principio di sicurezza per progettazione ti aiuta a evitare difetti di progettazione fondamentali che richiederebbero la riprogettazione dell'intero sistema. Ad esempio, un esercizio di modeling delle minacce rivela che il design attuale non include un criterio di autorizzazione e che tutti gli utenti avrebbero lo stesso livello di accesso senza questo criterio. La sicurezza di tipo shift-left consente di evitare difetti di implementazione (bug e errori di configurazione) prima dell'applicazione delle modifiche e di apportare correzioni rapide e affidabili dopo il deployment.

Consigli

Per implementare il principio di sicurezza shift-left per i tuoi carichi di lavoro cloud, prendi in considerazione i consigli riportati nelle seguenti sezioni:

• Adottare controlli di sicurezza preventivi
• Automatizza il provisioning e la gestione delle risorse cloud
• Automatizzare le release di applicazioni sicure
• Assicurati che i deployment delle applicazioni seguano i processi approvati
• Esegui la ricerca di vulnerabilità note prima del deployment dell'applicazione
• Monitorare il codice dell'applicazione per verificare la presenza di vulnerabilità note

Adotta controlli di sicurezza preventivi

Questo consiglio è pertinente per le seguenti aree di interesse:

• Gestione di identità e accessi
• Governance, rischio e conformità del cloud

I controlli di sicurezza preventivi sono fondamentali per mantenere una security posture solida nel cloud. Questi controlli ti aiutano a ridurre i rischi in modo proattivo. Puoi evitare configurazioni errate e accesso non autorizzato alle risorse, consentire agli sviluppatori di lavorare in modo efficiente e contribuire a garantire la conformità agli standard di settore e alle norme interne.

I controlli di sicurezza preventivi sono più efficaci se vengono implementati utilizzando Infrastructure as Code (IaC). Con IaC, i controlli di sicurezza preventivi possono includere controlli più personalizzati sul codice dell'infrastruttura prima del deployment delle modifiche. Se combinati con l'automazione, i controlli di sicurezza preventivi possono essere eseguiti come parte dei controlli automatici della pipeline CI/CD.

I seguenti prodotti e Google Cloud funzionalità possono aiutarti a implementare controlli preventivi nel tuo ambiente:

• Vincoli del servizio Criteri dell'organizzazione: configura vincoli predefiniti e personalizzati con controllo centralizzato.
• Controlli di servizio VPC: crea perimetri intorno ai tuoi Google Cloud servizi.
• Identity and Access Management (IAM), Privileged Access Manager, e criteri di Principal Access Boundary: limitano l'accesso alle risorse.
• Policy Controller e Open Policy Agent (OPA): applica i vincoli IaC nella pipeline CI/CD ed evita le configurazioni errate del cloud.

IAM ti consente di autorizzare chi può intervenire su risorse specifiche in base alle autorizzazioni. Per ulteriori informazioni, consulta Controllo dell'accesso alle risorse dell'organizzazione con IAM.

Il servizio Criteri dell'organizzazione ti consente di impostare limitazioni sulle risorse per specificare come possono essere configurate. Ad esempio, puoi utilizzare un criterio dell'organizzazione per:

• Limita la condivisione delle risorse in base al dominio.
• Limita l'utilizzo degli account di servizio.
• Limita la posizione fisica delle risorse appena create.

Oltre a utilizzare i criteri dell'organizzazione, puoi limitare l'accesso alle risorse utilizzando i seguenti metodi:

• Tag con IAM: assegna un tag a un insieme di risorse e imposta la definizione di accesso per il tag stesso, anziché definire le autorizzazioni di accesso su ogni risorsa.
• Condizioni IAM: definiscono il controllo dell'accesso condizionale basato su attributi per le risorse.
• Difesa in profondità: utilizza i Controlli di servizio VPC per limitare ulteriormente l'accesso alle risorse.

Per ulteriori informazioni sulla gestione delle risorse, consulta Decidere una gerarchia delle risorse per la Google Cloud landing zone.

Automatizza il provisioning e la gestione delle risorse cloud

Questo consiglio è pertinente per le seguenti aree di interesse:

• Sicurezza delle applicazioni
• Governance, rischio e conformità del cloud

L'automazione del provisioning e della gestione delle risorse e dei carichi di lavoro cloud è più efficace se adotti anche IaC dichiarativa, anziché scripting imperativo. L'IaC non è uno strumento o una pratica di sicurezza da solo, ma ti aiuta a migliorare la sicurezza della tua piattaforma. L'adozione di IaC ti consente di creare un'infrastruttura ripetibile e fornisce al tuo team operativo uno stato di buona qualità noto. La IaC migliora anche l'efficienza dei rollback, delle modifiche di controllo e della risoluzione dei problemi.

Se combinata con le pipeline CI/CD e l'automazione, la IaC offre anche la possibilità di adottare pratiche come i criteri come codice con strumenti come OPA. Puoi controllare le modifiche dell'infrastruttura nel tempo ed eseguire controlli automatici sul codice dell'infrastruttura prima di eseguire il deployment delle modifiche.

Per automatizzare il deployment dell'infrastruttura, puoi utilizzare strumenti come Config Controller, Terraform, Jenkins e Cloud Build. Per aiutarti a creare un ambiente di applicazioni sicuro utilizzando l'IaC e l'automazione, Google Cloud fornisce il progetto di base per le aziende. Questo blueprint è il design opinabile di Google che segue tutte le nostre pratiche e configurazioni consigliate. Il blueprint fornisce istruzioni dettagliate per configurare e implementare la Google Cloud topologia utilizzando Terraform e Cloud Build.

Puoi modificare gli script del progetto base per le aziende per configurare un ambiente che segua i consigli di Google e soddisfi i tuoi requisiti di sicurezza. Puoi sviluppare ulteriormente il blueprint con altri blueprint o progettare la tua automazione.Google Cloud Architecture Center fornisce altri progetti che possono essere implementati in base al progetto di fondazione dell'azienda. Di seguito sono riportati alcuni esempi di questi blueprint:

• Esegui il deployment di una piattaforma per sviluppatori enterprise su Google Cloud
• Esegui il deployment di un'architettura serverless sicura utilizzando Cloud Run
• Creare ed eseguire il deployment di modelli di machine learning e AI generativa in un'azienda
• Importa i dati da Google Cloud in un data warehouse BigQuery protetto
• Esegui il deployment di funzionalità di monitoraggio e telemetria di rete in Google Cloud

Automatizzare le release sicure delle applicazioni

Questo consiglio è pertinente alla seguente area di attenzione: Sicurezza delle applicazioni.

Senza strumenti automatici, può essere difficile eseguire il deployment, l'aggiornamento e l'applicazione di patch di ambienti di applicazioni complessi per soddisfare requisiti di sicurezza coerenti. Ti consigliamo di creare pipeline CI/CD automatizzate per il ciclo di vita di sviluppo del software (SDLC). Le pipeline CI/CD automatizzate ti aiutano a rimuovere gli errori manuali, fornire loop di feedback di sviluppo standardizzati e consentire iterazioni di prodotto efficaci. La distribuzione continua è una delle best practice consigliate dal framework DORA.

L'automazione dei rilasci delle applicazioni tramite le pipeline CI/CD consente di migliorare la capacità di rilevare e correggere i bug di sicurezza in modo tempestivo, rapido e affidabile. Ad esempio, puoi eseguire automaticamente la ricerca di vulnerabilità di sicurezza quando vengono creati gli elementi, restringere l'ambito delle revisioni di sicurezza e eseguire il rollback a una versione nota e sicura. Puoi anche definire criteri per ambienti diversi (ad esempio ambienti di sviluppo, di test o di produzione) in modo che venga eseguito il deployment solo degli elementi verificati.

Per aiutarti ad automatizzare le release delle applicazioni e incorporare i controlli di sicurezza nella tua pipeline CI/CD, Google Cloud fornisce diversi strumenti, tra cui Cloud Build, Cloud Deploy, Web Security Scanner e Autorizzazione binaria.

Per stabilire una procedura che verifichi più requisiti di sicurezza nel tuo SDLC, utilizza il framework Supply-chain Levels for Software Artifacts (SLSA) definito da Google. SLSA richiede controlli di sicurezza per il codice sorgente, il processo di compilazione e la provenienza del codice. Molti di questi requisiti possono essere inclusi in una pipeline CI/CD automatizzata. Per capire in che modo Google applica queste pratiche internamente, consulta l'approccio diGoogle Cloudal cambiamento.

Assicurarsi che i deployment delle applicazioni seguano i processi approvati.

Questo consiglio è pertinente alla seguente area di attenzione: Sicurezza delle applicazioni.

Se un malintenzionato compromette la pipeline CI/CD, l'intero stack delle applicazioni può essere interessato. Per contribuire a proteggere la pipeline, devi applicare un processo di approvazione stabilito prima di eseguire il deployment del codice in produzione.

Se utilizzi Google Kubernetes Engine (GKE), GKE Enterprise o Cloud Run, puoi stabilire una procedura di approvazione utilizzando l'autorizzazione binaria. L'autorizzazione binaria associa firme configurabili alle immagini container. Queste firme (chiamate anche attestazioni) contribuiscono a convalidare l'immagine. Al momento del deployment, Autorizzazione binaria utilizza queste attestazioni per determinare se un processo è stato completato. Ad esempio, puoi utilizzare l'autorizzazione binaria per:

• Verifica che un sistema di compilazione o una pipeline CI specifici abbiano creato un'immagine del contenitore.
• Verificare che un'immagine del contenitore sia conforme a un criterio di firma delle vulnerabilità.
• Verifica che un'immagine contenitore soddisfi i criteri per la promozione al successivo ambiente di deployment, ad esempio dallo sviluppo al QA.

Utilizzando l'autorizzazione binaria, puoi imporre l'esecuzione solo di codice attendibile sulle piattaforme di destinazione.

Esegui la ricerca di vulnerabilità note prima del deployment dell'applicazione

Questo consiglio è pertinente alla seguente area di attenzione: Sicurezza delle applicazioni.

Ti consigliamo di utilizzare strumenti automatici che possono eseguire continuamente scansioni di vulnerabilità sugli elementi dell'applicazione prima che vengano implementati in produzione.

Per le applicazioni containerizzate, utilizza Artifact Analysis per eseguire automaticamente scansioni delle vulnerabilità per le immagini container. Artifact Analysis esegue la scansione delle nuove immagini quando vengono caricate su Artifact Registry. La scansione estrae informazioni sui pacchetti di sistema nel contenitore. Dopo la scansione iniziale, Artifact Analysis monitora continuamente i metadati delle immagini sottoposte a scansione in Artifact Registry per rilevare nuove vulnerabilità. Quando Analisi elementi riceve informazioni sulle vulnerabilità nuove e aggiornate da sorgenti di vulnerabilità, esegue le seguenti operazioni:

• Aggiorna i metadati delle immagini scansionate per mantenerli aggiornati.
• Crea nuove occorrenze di vulnerabilità per le nuove note.
• Consente di eliminare le occorrenze di vulnerabilità che non sono più valide.

Monitorare il codice dell'applicazione per verificare la presenza di vulnerabilità note.

Questo consiglio è pertinente alla seguente area di attenzione: Sicurezza delle applicazioni.

Utilizza strumenti automatizzati per monitorare costantemente il codice dell'applicazione alla ricerca di vulnerabilità note come quelle elencate nella lista OWASP Top 10. Per saperne di più sui Google Cloud prodotti e sulle funzionalità che supportano le tecniche di mitigazione OWASP Top 10, consulta Opzioni di mitigazione OWASP Top 10 su Google Cloud.

Utilizza Web Security Scanner per identificare le vulnerabilità di sicurezza nelle tue applicazioni web di App Engine, Compute Engine e GKE. Lo scanner analizza l'applicazione, segue tutti i link nell'ambito degli URL di partenza e tenta di eseguire il maggior numero possibile di input utente e gestori di eventi. Può eseguire automaticamente la scansione e rilevare le vulnerabilità comuni, tra cui scripting tra siti, iniezione di codice, contenuti misti e librerie obsolete o non sicure. Web Security Scanner consente di identificare in anteprima questi tipi di vulnerabilità senza distrarti con falsi positivi.

Inoltre, se utilizzi GKE Enterprise per gestire parchi risorse di cluster Kubernetes, la dashboard della postura di sicurezza mostra suggerimenti attendibili e strategici per aiutarti a migliorare la postura di sicurezza del tuo parco risorse.

Implementa una difesa informatica preventiva

Questo principio del pilastro della sicurezza del Google Cloud Well-Architected Framework fornisce consigli per creare programmi di cyberdifesa efficaci nell'ambito della strategia di sicurezza complessiva.

Questo principio sottolinea l'uso dell'intelligence sulle minacce per guidare in modo proattivo le tue attività nelle funzioni di difesa informatica di base, come definito in The Defender's Advantage: una guida per attivare la difesa informatica.

Panoramica del principio

Quando difendi il tuo sistema dagli attacchi informatici, hai un vantaggio significativo e sottoutilizzato rispetto agli utenti malintenzionati. Come afferma il fondatore di Mandiant, "devi conoscere la tua attività, i tuoi sistemi, la tua topologia e la tua infrastruttura meglio di qualsiasi malintenzionato. Si tratta di un vantaggio incredibile." Per aiutarti a sfruttare questo vantaggio intrinseco, questo documento fornisce consigli sulle pratiche di difesa informatica proattive e strategiche mappate al framework Defender's Advantage.

Consigli

Per implementare la difesa cibernetica preventiva per i tuoi workload cloud, prendi in considerazione i consigli riportati nelle seguenti sezioni:

• Integrare le funzioni della difesa informatica
• Utilizza la funzione di intelligence in tutti gli aspetti della difesa informatica
• Comprendere e sfruttare il vantaggio del difensore
• Convalida e migliora continuamente le tue difese
• Gestire e coordinare le attività di cyberdifesa

Integrare le funzioni della difesa informatica

Questo consiglio è pertinente per tutte le aree di interesse.

Il framework The Defender's Advantage identifica sei funzioni critiche della difesa informatica: Intelligence, Rilevamento, Risposta, Convalida, Ricerca e Mission Control. Ogni funzione si concentra su un aspetto unico della missione di cyberdifesa, ma queste funzioni devono essere ben coordinate e lavorare insieme per fornire una difesa efficace. Concentrati sulla creazione di un sistema robusto e integrato in cui ogni funzione supporta le altre. Se hai bisogno di un approccio graduale per l'adozione, considera l'ordine suggerito di seguito. A seconda del livello di maturità del cloud, della topologia delle risorse e del panorama di minacce specifico, potresti dare la priorità a determinate funzioni.

1. Intelligenza: la funzione di intelligence guida tutte le altre funzioni. Comprendere il panorama delle minacce, inclusi gli autori di attacchi più probabili, le loro tattiche, tecniche e procedure (TTP) e il potenziale impatto, è fondamentale per dare la priorità alle azioni nell'intero programma. La funzione di intelligence è responsabile dell'identificazione degli stakeholder, della definizione dei requisiti di intelligence, della raccolta, dell'analisi e della diffusione dei dati, dell'automazione e della creazione di un profilo di minacce informatiche.
2. Rileva e rispondi: queste funzioni costituiscono il nucleo della difesa attiva, che prevede l'identificazione e la gestione delle attività dannose. Queste funzioni sono necessarie per intervenire in base alle informazioni raccolte dalla funzione di intelligence. La funzione Detect richiede un approccio metodico che allinei i rilevamenti alle TTP degli aggressori e garantisca un logging affidabile. La funzione di risposta deve concentrarsi sulla selezione iniziale, sulla raccolta dei dati e sulla correzione degli incidenti.
3. Convalida: la funzione di convalida è un processo continuo che garantisce che l'ecosistema di controllo della sicurezza sia aggiornato e funzioni come previsto. Questa funzione garantisce che la tua organizzazione comprenda la superficie di attacco, sappia dove esistono vulnerabilità e misuri l'efficacia dei controlli. La convalida della sicurezza è anche un componente importante del ciclo di vita della progettazione del rilevamento e deve essere utilizzata per identificare le lacune di rilevamento e creare nuovi rilevamenti.
4. Caccia: la funzione Caccia prevede la ricerca proattiva di minacce attive all'interno di un ambiente. Questa funzione deve essere implementata quando la tua organizzazione ha un livello di maturità di base nelle funzioni di rilevamento e risposta. La funzione Hunt espande le funzionalità di rilevamento e aiuta a identificare lacune e punti deboli nei controlli. La funzione di ricerca deve essere basata su minacce specifiche. Questa funzionalità avanzata si basa su solide funzionalità di intelligence, rilevamento e risposta.
5. Mission Control: la funzione Mission Control funge da hub centrale che collega tutte le altre funzioni. Questa funzione è responsabile della strategia, della comunicazione e dell'azione decisiva nell'ambito del programma di cyberdifesa. Garantisce che tutte le funzioni funzionino insieme e che siano in linea con gli obiettivi commerciali della tua organizzazione. Devi concentrarti su una comprensione chiara dello scopo della funzione Mission Control prima di utilizzarla per collegare le altre funzioni.

Utilizza la funzione di intelligence in tutti gli aspetti della difesa informatica

Questo consiglio è pertinente per tutte le aree di interesse.

Questo consiglio mette in evidenza la funzione di intelligence come parte fondamentale di un solido programma di cyberdifesa. La threat intelligence fornisce informazioni sugli attori delle minacce, sulle loro TTP e sugli indicatori di compromissione (IOC). Queste conoscenze devono informare e dare la priorità alle azioni in tutte le funzioni di difesa informatica. Un approccio basato sull'intelligence ti aiuta ad allineare le difese per far fronte alle minacce che hanno maggiori probabilità di colpire la tua organizzazione. Questo approccio aiuta anche a ottimizzare l'allocazione e la definizione delle priorità delle risorse.

I seguenti Google Cloud prodotti e funzionalità ti aiutano a sfruttare la threat intelligence per orientare le tue operazioni di sicurezza. Utilizza queste funzionalità per identificare e dare la priorità a potenziali minacce, vulnerabilità e rischi, quindi pianifica e implementa le azioni appropriate.

• Google Security Operations (Google SecOps) ti aiuta ad archiviare e analizzare i dati di sicurezza in modo centralizzato. Utilizza Google SecOps per mappare i log in un modello comune, arricchirli e collegarli alle sequenze temporali per una visione completa degli attacchi. Puoi anche creare regole di rilevamento, configurare la corrispondenza di indicatori di compromissione e svolgere attività di ricerca di minacce. La piattaforma fornisce anche rilevamenti selezionati, ovvero regole predefinite e gestite per aiutare a identificare le minacce. Google SecOps può anche essere integrato con Mandiant Frontline Intelligence. Google SecOps integra in modo unico l'AI leader del settore, insieme alla threat intelligence di Mandiant e a Google VirusTotal. Questa integrazione è fondamentale per la valutazione delle minacce e per capire chi ha scelto come bersaglio la tua organizzazione e il potenziale impatto.

• Security Command Center Enterprise, basato sull'IA di Google, consente ai professionisti della sicurezza di valutare, esaminare e rispondere in modo efficiente ai problemi di sicurezza in più ambienti cloud. I professionisti della sicurezza che possono trarre vantaggio da Security Command Center includono analisti del Security Operations Center (SOC), analisti di vulnerabilità e posizione e responsabili della conformità. Security Command Center Enterprise arricchisce i dati sulla sicurezza, valuta i rischi e dà priorità alle vulnerabilità. Questa soluzione fornisce ai team le informazioni di cui hanno bisogno per gestire le vulnerabilità ad alto rischio e correggere le minacce attive.

• Chrome Enterprise Premium offre protezione dei dati e dalle minacce, che aiuta a proteggere gli utenti dai rischi di esfiltrazione e impedisce ai malware di accedere ai dispositivi gestiti dall'azienda. Chrome Enterprise Premium offre anche visibilità sulle attività non sicure o potenzialmente non sicure che possono verificarsi nel browser.

• Il monitoraggio della rete, tramite strumenti come Network Intelligence Center, offre visibilità sulle prestazioni della rete. Il monitoraggio della rete può anche aiutarti a rilevare pattern di traffico insoliti o quantità di trasferimento di dati che potrebbero indicare un attacco o un tentativo di esfiltrazione dei dati.

Comprendere e sfruttare il vantaggio di chi si difende

Questo consiglio è pertinente per tutte le aree di interesse.

Come accennato in precedenza, hai un vantaggio rispetto agli attaccanti se hai una conoscenza approfondita della tua attività, dei tuoi sistemi, della tua topologia e della tua infrastruttura. Per sfruttare questo vantaggio in termini di conoscenza, utilizza questi dati sui tuoi ambienti durante la pianificazione della cyberdifesa.

Google Cloud offre le seguenti funzionalità per aiutarti a ottenere in modo proattivo la visibilità necessaria per identificare le minacce, comprendere i rischi e rispondere in modo tempestivo per mitigare i potenziali danni:

• Chrome Enterprise Premium ti aiuta a migliorare la sicurezza dei dispositivi aziendali proteggendo gli utenti dai rischi di esfiltrazione. Estende i servizi Sensitive Data Protection nel browser e impedisce i malware. Offre inoltre funzionalità come la protezione da malware e phishing per contribuire a evitare l'esposizione a contenuti non sicuri. Inoltre, ti consente di controllare l'installazione delle estensioni per evitare quelle non sicure o non sottoposte a verifica. Queste funzionalità ti aiutano a creare una base sicura per le tue operazioni.

• Security Command Center Enterprise fornisce un motore dei rischi continuo che offre analisi e gestione dei rischi complete e continuative. La funzionalità dell'engine di rischio arricchisce i dati sulla sicurezza, valuta i rischi e dà la priorità alle vulnerabilità per aiutarti a risolvere rapidamente i problemi. Security Command Center consente alla tua organizzazione di identificare in modo proattivo le debolezze e implementare le mitigazioni.

• Google SecOps centralizza i dati sulla sicurezza e fornisce log arricchiti con tempistiche. In questo modo, i difensori possono identificare in modo proattivo le compromissioni attive e adattare le difese in base al comportamento degli aggressori.

• Il monitoraggio della rete consente di identificare attività di rete irregolari che potrebbero indicare un attacco e fornisce indicatori precoci che puoi utilizzare per intervenire. Per proteggere in modo proattivo i tuoi dati dal furto, monitora costantemente la loro esfiltrazione e utilizza gli strumenti forniti.

Convalida e migliora continuamente le tue difese

Questo consiglio è pertinente per tutte le aree di interesse.

Questo consiglio sottolinea l'importanza dei test mirati e della convalida continua dei controlli per comprendere i punti di forza e di debolezza dell'intera superficie di attacco. Ciò include la convalida dell'efficacia di controlli, operazioni e personale tramite metodi come:

• Test di penetrazione
• Esercizi di red team/blue team e purple team
• Simulazioni di emergenza

Devi anche cercare attivamente le minacce e utilizzare i risultati per migliorare il rilevamento e la visibilità. Utilizza i seguenti strumenti per testare e convalidare continuamente le tue difese contro le minacce del mondo reale:

• Security Command Center Enterprise fornisce un motore di valutazione dei rischi continuo per valutare le vulnerabilità e dare la priorità alla correzione, il che consente di valutare costantemente la tua postura di sicurezza complessiva. Assegnando priorità ai problemi, Security Command Center Enterprise ti aiuta a garantire che le risorse vengano utilizzate in modo efficace.

• Google SecOps offre rilevamenti selezionati e di ricerca di minacce che ti consentono di identificare in modo proattivo i punti deboli dei tuoi controlli. Questa funzionalità consente di testare e migliorare continuamente la tua capacità di rilevare le minacce.

• Chrome Enterprise Premium offre funzionalità di protezione dei dati e dalle minacce che possono aiutarti a gestire minacce nuove ed emergenti e ad aggiornare continuamente le tue difese contro i rischi di esfiltrazione e i malware.

• Cloud Next Generation Firewall (Cloud NGFW) fornisce il monitoraggio della rete e della fuga di dati. Queste funzionalità possono aiutarti a convalidare l'efficacia della tua attuale security posture e identificare potenziali debolezze. Il monitoraggio dell'esfiltrazione dei dati consente di convalidare l'efficacia degli attuali meccanismi di protezione dei dati dell'organizzazione e di apportare aggiustamenti proattivi ove necessario. Quando integri i risultati relativi alle minacce di Cloud NGFW con Security Command Center e Google SecOps, puoi ottimizzare il rilevamento delle minacce basato sulla rete, ottimizzare la risposta alle minacce e automatizzare i playbook. Per ulteriori informazioni su questa integrazione, consulta Unifying Your Cloud Defenses: Security Command Center & Cloud NGFW Enterprise.

Gestire e coordinare le attività di difesa informatica

Questo consiglio è pertinente per tutte le aree di interesse.

Come descritto in precedenza in Integrare le funzioni di difesa informatica, la funzione di controllo missione interconnette le altre funzioni del programma di difesa informatica. Questa funzione consente il coordinamento e la gestione unificata del programma. Inoltre, ti aiuta a coordinarti con altri team che non si occupano di cybersicurezza. La funzionalità Mission Control promuove empowerment e responsabilità, facilita l'agilità e la competenza e promuove responsabilità e trasparenza.

I seguenti prodotti e funzionalità possono aiutarti a implementare la funzione Mission Control:

• Security Command Center Enterprise funge da hub centrale per coordinare e gestire le operazioni di cyberdifesa. Mette insieme strumenti, team e dati, oltre alle funzionalità di risposta di Google SecOps integrate. Security Command Center offre una chiara visibilità sullo stato della sicurezza della tua organizzazione e consente di identificare le configurazioni errate della sicurezza in diverse risorse.
• Google SecOps fornisce una piattaforma per consentire ai team di rispondere alle minacce mappando i log e creando sequenze temporali. Puoi anche definire regole di rilevamento e cercare minacce.
• Google Workspace e Chrome Enterprise Premium ti aiutano a gestire e controllare l'accesso degli utenti finali alle risorse sensibili. Puoi definire controlli di accesso granulari in base all'identità dell'utente e al contesto di una richiesta.
• Il monitoraggio della rete fornisce informazioni sul rendimento delle risorse di rete. Puoi importare gli approfondimenti sul monitoraggio della rete in Security Command Center e in Google SecOps per il monitoraggio e la correlazione centralizzati rispetto ad altri punti dati basati su sequenze temporali. Questa integrazione ti aiuta a rilevare e rispondere a potenziali variazioni nell'utilizzo della rete causate da attività illecite.
• Il monitoraggio dell'esfiltrazione di dati consente di identificare possibili incidenti di perdita di dati. Con questa funzionalità, puoi mobilitare in modo efficiente un team di risposta agli incidenti, valutare i danni e limitare l'ulteriore esfiltrazione di dati. Puoi anche migliorare i criteri e i controlli attuali per garantire la protezione dei dati.

Riepilogo prodotto

La tabella seguente elenca i prodotti e le funzionalità descritti in questo documento e li mappa alle funzionalità di sicurezza e ai consigli associati.

Google Cloud prodotto	Consigli applicabili
Google SecOps	Utilizza la funzione di intelligence in tutti gli aspetti della difesa informatica: Consente la ricerca delle minacce e la corrispondenza degli indicatori di compromissione e si integra con Mandiant per una valutazione completa delle minacce. Comprendi e sfrutta il vantaggio del difensore: fornisce rilevamenti selezionati e centralizza i dati di sicurezza per l'identificazione proattiva delle compromissioni. Convalida e migliora continuamente le tue difese: consente il test e il miglioramento continui delle funzionalità di rilevamento delle minacce. Gestisci e coordina le attività di difesa informatica tramite Mission Control: fornisce una piattaforma per la risposta alle minacce, l'analisi dei log e la creazione di schemi temporali.
Security Command Center Enterprise	Utilizza la funzione di intelligence in tutti gli aspetti della difesa informatica: utilizza l'IA per valutare i rischi, dare la priorità alle vulnerabilità e fornire informazioni strategiche per la correzione. Comprendi e sfrutta il Defender's Advantage: offre analisi dei rischi completa, priorità alle vulnerabilità e identificazione proattiva delle debolezze. Convalida e migliora costantemente le tue difese: fornisce una valutazione continua della strategia di sicurezza e la priorità delle risorse. Gestisci e coordina le attività di difesa informatica tramite Mission Control: agisce come hub centrale per la gestione e il coordinamento delle operazioni di difesa informatica.
Chrome Enterprise Premium	Utilizza la funzione di intelligence in tutti gli aspetti della difesa informatica: Protegge gli utenti dai rischi di esfiltrazione, previene i malware e fornisce visibilità sulle attività del browser non sicure. Comprendi e sfrutta il vantaggio del difensore: migliora la sicurezza dei dispositivi aziendali tramite protezione dei dati, prevenzione del malware e controllo delle estensioni. Convalida e migliora continuamente le tue difese: affronta le minacce nuove ed emergenti tramite aggiornamenti continui delle difese contro i rischi di esfiltrazione e i malware. Gestisci e coordina le attività di cyberdifesa tramite Mission Control: gestisci e controlla l'accesso degli utenti finali alle risorse sensibili, inclusi i controlli granulari degli accessi.
Google Workspace	Gestisci e coordina le attività di cyberdifesa tramite Mission Control: gestisci e controlla l'accesso degli utenti finali alle risorse sensibili, inclusi i controlli granulari degli accessi.
Network Intelligence Center	Utilizza la funzione di intelligence in tutti gli aspetti della difesa informatica: fornisce visibilità sul rendimento della rete e rileva pattern di traffico o trasferimenti di dati insoliti.
Cloud NGFW	Convalida e migliora continuamente le tue difese: ottimizza il rilevamento e la risposta alle minacce basate sulla rete tramite l'integrazione con Security Command Center e Google SecOps.

Utilizzare l'IA in modo sicuro e responsabile

Questo principio del pilastro della sicurezza del Google Cloud Well-Architected Framework fornisce consigli per aiutarti a proteggere i tuoi sistemi di IA. Questi consigli sono in linea con il Secure AI Framework (SAIF) di Google, che fornisce un approccio pratico per affrontare i problemi di sicurezza e rischio dei sistemi di IA. SAIF è un framework concettuale che mira a fornire standard di settore per lo sviluppo e l'implementazione dell'IA in modo responsabile.

Panoramica del principio

Per contribuire a garantire che i tuoi sistemi di IA soddisfino i requisiti di sicurezza, privacy e conformità, devi adottare una strategia olistica che inizi con la progettazione iniziale e si estenda al deployment e alle operazioni. Puoi implementare questa strategia olistica applicando i sei elementi chiave del SAIF.

Google utilizza l'IA per migliorare le misure di sicurezza, ad esempio identificare le minacce, automatizzare le attività di sicurezza e migliorare le funzionalità di rilevamento, mantenendo i responsabili al corrente per le decisioni critiche.

Google punta su un approccio collaborativo per migliorare la sicurezza dell'IA. Questo approccio prevede la collaborazione con clienti, settori e governi per migliorare le linee guida SAIF e offrire risorse pratiche e utili.

I consigli per implementare questo principio sono raggruppati nelle seguenti sezioni:

• Consigli per utilizzare l'IA in modo sicuro
• Consigli per la governance dell'IA

Consigli per utilizzare l'IA in modo sicuro

Per utilizzare l'IA in modo sicuro, sono necessari sia i controlli di sicurezza di base sia quelli specifici per l'IA. Questa sezione fornisce una panoramica dei consigli per garantire che i tuoi implementazioni di IA e ML soddisfino i requisiti di sicurezza, privacy e conformità della tua organizzazione. Per una panoramica dei principi e dei consigli di architettura specifici per i workload di IA e ML in Google Cloud, consulta la prospettiva IA e ML nel framework Well-Architected.

Definisci obiettivi e requisiti chiari per l'utilizzo dell'IA

Questo consiglio è pertinente per le seguenti aree di interesse:

• Governance, rischio e conformità del cloud
• Sicurezza di AI e ML

Questo consiglio è in linea con l'elemento SAIF relativo alla contestualizzazione dei rischi dei sistemi di IA nei processi aziendali circostanti. Quando progetti e sviluppi sistemi di IA, è importante comprendere i tuoi obiettivi, rischi e requisiti di conformità aziendali specifici.

Mantieni i dati al sicuro ed evita la perdita o la gestione errata

Questo consiglio è pertinente per le seguenti aree di interesse:

• Sicurezza dell'infrastruttura
• Gestione di identità e accessi
• Sicurezza dei dati
• Sicurezza delle applicazioni
• Sicurezza di AI e ML

Questo consiglio è in linea con i seguenti elementi SAIF:

• Adotta solide basi di sicurezza anche nell'ecosistema IA. Questo elemento include la raccolta, lo stoccaggio, il controllo dell'accesso e la protezione dai dati dannosi.
• Contestualizza i rischi dei sistemi di IA. Metti in evidenza la sicurezza dei dati per supportare gli scopi commerciali e la conformità.

Mantieni le pipeline di AI sicure e resistenti alla manomissione

Questo consiglio è pertinente per le seguenti aree di interesse:

• Sicurezza dell'infrastruttura
• Gestione di identità e accessi
• Sicurezza dei dati
• Sicurezza delle applicazioni
• Sicurezza di AI e ML

Questo consiglio è in linea con i seguenti elementi SAIF:

• Adotta solide basi di sicurezza anche nell'ecosistema IA. Come elemento chiave per creare un sistema di AI sicuro, proteggi gli elementi del codice e del modello.
• Adatta i controlli per cicli di feedback più rapidi. Poiché è importante per la mitigazione e la risposta agli incidenti, monitora le risorse e le esecuzioni della pipeline.

Esegui il deployment delle app su sistemi sicuri utilizzando strumenti e elementi sicuri

Questo consiglio è pertinente per le seguenti aree di interesse:

• Sicurezza dell'infrastruttura
• Gestione di identità e accessi
• Sicurezza dei dati
• Sicurezza delle applicazioni
• Sicurezza di AI e ML

L'utilizzo di sistemi sicuri e di strumenti e artefatti convalidati nelle applicazioni basate sull'IA è in linea con l'elemento SAIF relativo all'espansione di solide basi di sicurezza nell'ecosistema e nella catena di approvvigionamento dell'IA. Per seguire questo consiglio, svolgi i seguenti passaggi:

• Implementa un ambiente sicuro per l'addestramento e il deployment di ML
• Utilizza immagini container convalidate
• Applica le linee guida di Supply-chain Levels for Software Artifacts (SLSA)

Proteggere e monitorare gli input

Questo consiglio è pertinente per le seguenti aree di interesse:

• Logging, controllo e monitoraggio
• Operazioni di sicurezza
• Sicurezza di AI e ML

Questo consiglio è in linea con l'elemento SAIF relativo all'estensione del rilevamento e della risposta per includere l'IA nell'universo delle minacce di un'organizzazione. Per evitare problemi, è fondamentale gestire i prompt per i sistemi di IA generativa, monitorare gli input e controllare l'accesso degli utenti.

Consigli per la governance dell'IA

Tutti i consigli in questa sezione sono pertinenti alla seguente area di interesse: governance, rischio e conformità del cloud.

Google Cloud offre un solido insieme di strumenti e servizi che puoi utilizzare per creare sistemi di IA responsabili ed etici. Offriamo inoltre un framework di norme, procedure e considerazioni etiche che possono guidare lo sviluppo, l'implementazione e l'utilizzo dei sistemi di IA.

Come indicato nei nostri consigli, l'approccio di Google alla governance dell'IA si basa sui seguenti principi:

• Equità
• Trasparenza
• Responsabilità
• Privacy
• Sicurezza

Utilizzare gli indicatori di equità

Vertex AI può rilevare i bias durante la raccolta dei dati o la procedura di valutazione post-addestramento. Vertex AI fornisce metriche di valutazione dei modelli come bias dei dati e bias del modello per aiutarti a valutare la presenza di bias nel modello.

Queste metriche sono correlate all'equità in diverse categorie, come etnia, genere e classe. Tuttavia, interpretare le deviazioni statistiche non è un compito semplice, perché le differenze tra le categorie potrebbero non essere il risultato di pregiudizi o un indicatore di danni.

Utilizzo di Vertex Explainable AI

Per capire in che modo i modelli di IA prendono decisioni, utilizza Vertex Explainable AI. Questa funzionalità ti aiuta a identificare potenziali bias che potrebbero essere nascosti nella logica del modello.

Questa funzionalità di spiegabilità è integrata con BigQuery ML e Vertex AI, che forniscono spiegazioni basate su caratteristiche. Puoi eseguire l'esplicabilità in BigQuery ML o registrare il tuo modello in Vertex AI ed eseguire l'esplicabilità in Vertex AI.

Monitora la derivazione dei dati

Monitora l'origine e la trasformazione dei dati utilizzati nei tuoi sistemi di IA. Questo monitoraggio ti aiuta a comprendere il percorso dei dati e a identificare potenziali fonti di bias o errori.

La derivazione dei dati è una funzionalità di Dataplex che consente di monitorare il modo in cui i dati vengono trasferiti nei sistemi: da dove provengono, dove vengono inviati e a quali trasformazioni sono sottoposti.

Stabilire la responsabilità

Stabilisci responsabilità chiare per lo sviluppo, l'implementazione e i risultati dei tuoi sistemi di IA.

Utilizza Cloud Logging per registrare gli eventi chiave e le decisioni prese dai tuoi sistemi di IA. I log forniscono una traccia di controllo per aiutarti a comprendere il rendimento del sistema e identificare le aree di miglioramento.

Utilizza Error Reporting per analizzare sistematicamente gli errori commessi dai sistemi di IA. Questa analisi può rivelare schemi che indicano bias sottostanti o aree in cui il modello deve essere ulteriormente perfezionato.

Implementare la privacy differenziale

Durante l'addestramento del modello, aggiungi rumore ai dati per rendere difficile l'identificazione dei singoli punti dati, ma consenti comunque al modello di apprendere in modo efficace. Con SQL in BigQuery, puoi trasformare i risultati di una query con aggregazioni con privacy differenziale.

Utilizzare l'IA per la sicurezza

Questo principio del pilastro della sicurezza del Google Cloud Well-Architected Framework fornisce suggerimenti per utilizzare l'AI per aiutarti a migliorare la sicurezza dei tuoi caricamenti di lavoro cloud.

A causa dell'aumento del numero e della sofisticatezza degli attacchi informatici, è importante sfruttare il potenziale dell'IA per contribuire a migliorare la sicurezza. L'IA può contribuire a ridurre il numero di minacce, l'impegno manuale richiesto dai professionisti della sicurezza e compensare la scarsità di esperti nel dominio della cybersicurezza.

Panoramica del principio

Utilizza le funzionalità di AI per migliorare i sistemi e le procedure di sicurezza esistenti. Puoi utilizzare Gemini in Sicurezza nonché le funzionalità di AI intrinseche integrate nei Google Cloud servizi.

Queste funzionalità di IA possono trasformare la sicurezza fornendo assistenza in ogni fase del ciclo di vita della sicurezza. Ad esempio, puoi utilizzare l'IA per:

• Analizza e spiega il codice potenzialmente dannoso senza eseguire il reverse engineering.
• Riduci il lavoro ripetitivo per i professionisti della cybersicurezza.
• Utilizza il linguaggio naturale per generare query e interagire con i dati degli eventi di sicurezza.
• Mostrare informazioni contestuali.
• Offrire suggerimenti per risposte rapide.
• Aiutano a risolvere gli eventi.
• Riassume gli avvisi ad alta priorità relativi a configurazioni errate e vulnerabilità, evidenziando l'impatto potenziale e consigliando misure correttive.

Livelli di autonomia di sicurezza

L'IA e l'automazione possono aiutarti a ottenere risultati migliori in termini di sicurezza quando hai a che fare con minacce alla cybersicurezza in continua evoluzione. Utilizzando l'AI per la sicurezza, puoi raggiungere livelli di autonomia superiori per rilevare e prevenire le minacce e migliorare la tua security posture complessiva. Google definisce quattro livelli di autonomia quando utilizzi l'IA per la sicurezza e delineano il ruolo crescente dell'IA nell'assistenza e, in ultima analisi, nel controllo delle attività di sicurezza:

1. Manuale: le persone eseguono tutte le attività di sicurezza (prevenzione, rilevamento, assegnazione delle priorità e risposta) nell'intero ciclo di vita della sicurezza.
2. Assistita: gli strumenti di IA, come Gemini, aumentano la produttività umana riepilogando le informazioni, generando approfondimenti e dando consigli.
3. Semi-autonoma: l'IA si assume la responsabilità principale di molte attività di sicurezza e le delega agli esseri umani solo quando necessario.
4. Autonomo: l'AI agisce come un assistente affidabile che gestisce il ciclo di vita della sicurezza in base agli obiettivi e alle preferenze della tua organizzazione, con un intervento umano minimo.

Consigli

Le sezioni seguenti descrivono i consigli per l'utilizzo dell'IA per la sicurezza. Le sezioni indicano anche in che modo i consigli sono in linea con gli elementi di base del Secure AI Framework (SAIF) di Google e in che modo sono pertinenti ai livelli di autonomia per la sicurezza.

• Migliorare il rilevamento e la risposta alle minacce con l'IA
• Semplifica la sicurezza sia per gli esperti che per i non esperti
• Automatizzare le attività di sicurezza che richiedono molto tempo con l'IA
• Incorporare l'IA nei processi di gestione del rischio e di governance
• Implementare pratiche di sviluppo sicure per i sistemi di IA

Nota: per saperne di più sulla visione complessiva di Google Cloudsull'utilizzo di Gemini nei nostri prodotti per accelerare l'IA per la sicurezza, consulta il white paper Google Cloud's Product Vision for AI-Powered Security.

Migliora il rilevamento e la risposta alle minacce con l'IA

Questo consiglio è pertinente per le seguenti aree di interesse:

• Operazioni di sicurezza (SecOps)
• Logging, controllo e monitoraggio

L'AI può analizzare grandi volumi di dati sulla sicurezza, offrire approfondimenti sul comportamento degli autori di minacce e automatizzare l'analisi del codice potenzialmente dannoso. Questo consiglio è in linea con i seguenti elementi SAIF:

• Estendi il rilevamento e la risposta per includere l'IA nell'universo delle minacce della tua organizzazione.
• Automatizza le difese per tenere il passo con le minacce esistenti e quelle nuove.

A seconda dell'implementazione, questo consiglio può essere pertinente per i seguenti livelli di autonomia:

• Assistita: l'IA aiuta con l'analisi e il rilevamento delle minacce.
• Semi-autonoma: l'AI si assume più responsabilità per l'attività di sicurezza.

Google Threat Intelligence, che utilizza l'IA per analizzare il comportamento degli autori di minacce e il codice dannoso, può aiutarti a implementare questo consiglio.

Semplifica la sicurezza sia per gli esperti che per i non esperti

Questo consiglio è pertinente per le seguenti aree di interesse:

• Operazioni di sicurezza (SecOps)
• Governance, rischio e conformità del cloud

Gli strumenti basati sull'IA possono riassumere gli avvisi e consigliare le mitigazioni e queste funzionalità possono rendere la sicurezza più accessibile a una gamma più ampia di personale. Questo consiglio è in linea con i seguenti elementi SAIF:

• Automatizza le difese per tenere il passo con le minacce esistenti e quelle nuove.
• Armonizza i controlli a livello di piattaforma per garantire una sicurezza coerente in tutta l'organizzazione.

A seconda dell'implementazione, questo consiglio può essere pertinente per i seguenti livelli di autonomia:

• Assistita: l'IA ti aiuta a migliorare l'accessibilità delle informazioni sulla sicurezza.
• Semi-autonoma: l'IA contribuisce a rendere più efficaci le pratiche di sicurezza per tutti gli utenti.

Gemini in Security Command Center può fornire riepiloghi degli avvisi relativi a configurazioni errate e vulnerabilità.

Automatizza le attività di sicurezza che richiedono molto tempo con l'IA

Questo consiglio è pertinente per le seguenti aree di interesse:

• Sicurezza dell'infrastruttura
• Operazioni di sicurezza (SecOps)
• Sicurezza delle applicazioni

L'AI può automatizzare attività come l'analisi di malware, la generazione di regole di sicurezza e l'identificazione di configurazioni errate. Queste funzionalità possono contribuire a ridurre il carico di lavoro dei team di sicurezza e ad accelerare i tempi di risposta. Questo consiglio è in linea con l'elemento SAIF relativo all'automazione delle difese per tenere il passo con le minacce esistenti e quelle nuove.

A seconda dell'implementazione, questo consiglio può essere pertinente per i seguenti livelli di autonomia:

• Assistita: l'IA ti aiuta ad automatizzare le attività.
• Semi-autonoma: l'AI si assume la responsabilità principale delle attività di sicurezza e richiede l'assistenza umana solo se necessario.

Gemini in Google SecOps può contribuire ad automatizzare le attività ad alta intensità di lavoro aiutando gli analisti, recuperando il contesto pertinente e fornendo consigli per i passaggi successivi.

Integrare l'IA nei processi di governance e gestione del rischio

Questo consiglio è pertinente alla seguente area di interesse: governance, rischio e conformità del cloud.

Puoi utilizzare l'IA per creare un inventario di modelli e profili di rischio. Puoi anche utilizzare l'IA per implementare norme relative alla privacy dei dati, ai rischi informatici e ai rischi di terze parti. Questo consiglio è in linea con l'elemento SAIF relativo alla contestualizzazione dei rischi del sistema di IA nei processi aziendali circostanti.

A seconda dell'implementazione, questo consiglio può essere pertinente al livello di autonomia semiautonoma. A questo livello, l'IA può orchestrare agenti di sicurezza che eseguono processi per raggiungere i tuoi obiettivi di sicurezza personalizzati.

Implementare pratiche di sviluppo sicure per i sistemi di IA

Questo consiglio è pertinente per le seguenti aree di interesse:

• Sicurezza delle applicazioni
• Sicurezza di AI e ML

Puoi utilizzare l'AI per la programmazione sicura, la pulizia dei dati di addestramento e la convalida di strumenti e elementi. Questo consiglio è in linea con l'elemento SAIF relativo all'espansione di solide basi di sicurezza nell'ecosistema AI.

Questo consiglio può essere pertinente per tutti i livelli di autonomia di sicurezza, perché è necessario un sistema di IA sicuro prima che l'IA possa essere utilizzata efficacemente per la sicurezza. Il consiglio è più pertinente per il livello di assistenza, in cui le pratiche di sicurezza sono potenziate dall'IA.

Per implementare questo consiglio, segui le linee guida di Supply-chain Levels for Software Artifacts (SLSA) per gli elementi AI e utilizza immagini container convalidate.

Soddisfa le esigenze normative, di conformità e di privacy

Questo principio del pilastro della sicurezza del Google Cloud Well-Architected Framework ti aiuta a identificare e soddisfare i requisiti normativi, di conformità e di privacy per i deployment cloud. Questi requisiti influiscono su molte delle decisioni da prendere in merito ai controlli di sicurezza da utilizzare per i carichi di lavoro in Google Cloud.

Panoramica del principio

Soddisfare le esigenze normative, di conformità e di privacy è una sfida inevitabile per tutte le attività. I requisiti normativi del cloud dipendono da diversi fattori, tra cui:

• Le leggi e le normative vigenti nelle sedi fisiche della tua organizzazione
• Le leggi e le normative vigenti per le sedi fisiche dei tuoi clienti
• Requisiti normativi del tuo settore

I regolamenti sulla privacy definiscono le modalità di ottenimento, elaborazione, archiviazione e gestione dei dati degli utenti. I tuoi dati sono di tua proprietà, inclusi quelli che ricevi dai tuoi utenti. Pertanto, molti controlli per la privacy sono a tua responsabilità, inclusi i controlli per i cookie, la gestione delle sessioni e l'ottenimento dell'autorizzazione dell'utente.

I consigli per implementare questo principio sono raggruppati nelle seguenti sezioni:

• Suggerimenti per gestire i rischi organizzativi
• Consigli per soddisfare le obbligazioni normative e di conformità
• Suggerimenti per gestire la sovranità dei dati
• Suggerimenti per soddisfare i requisiti relativi alla privacy

Consigli per affrontare i rischi organizzativi

Questa sezione fornisce consigli per aiutarti a identificare e risolvere i rischi per la tua organizzazione.

Identificare i rischi per la tua organizzazione

Questo consiglio è pertinente alla seguente area di interesse: governance, rischio e conformità del cloud.

Prima di creare e implementare risorse su Google Cloud, completa una valutazione del rischio. Questa valutazione dovrebbe determinare le funzionalità di sicurezza necessarie per soddisfare i requisiti di sicurezza interni e i requisiti normativi esterni.

La valutazione del rischio fornisce un catalogo di rischi specifici per l'organizzazione e ti informa sulla capacità dell'organizzazione di rilevare e contrastare le minacce alla sicurezza. Devi eseguire un'analisi dei rischi immediatamente dopo il deployment e ogni volta che cambiano le esigenze della tua attività, i requisiti normativi o le minacce alla tua organizzazione.

Come indicato nel principio Implementa la sicurezza per progettazione, i rischi per la sicurezza in un ambiente cloud sono diversi da quelli on-premise. Questa differenza è dovuta al modello di responsabilità condivisa nel cloud, che varia in base al servizio (IaaS, PaaS o SaaS) e al tuo utilizzo. Utilizza un framework di valutazione del rischio specifico per il cloud come la Cloud Controls Matrix (CCM). Utilizza la modellazione delle minacce, come la modellazione delle minacce alle applicazioni OWASP, per identificare e risolvere le vulnerabilità. Per ricevere assistenza da esperti per le valutazioni dei rischi, contatta il rappresentante del tuo account Google o consulta la directory dei partner di Google Cloud.

Dopo aver catalogato i rischi, devi stabilire come affrontarli, ovvero se accettarli, evitarli, trasferirli o mitigarli. Per i controlli di mitigazione che puoi implementare, consulta la sezione successiva sulla mitigazione dei rischi.

Riduci i rischi

Questo consiglio è pertinente alla seguente area di interesse: governance, rischio e conformità del cloud.

Quando adotti nuovi servizi cloud pubblici, puoi mitigare i rischi utilizzando controlli tecnici, protezioni contrattuali e verifiche o attestazioni di terze parti.

I controlli tecnici sono funzionalità e tecnologie che utilizzi per proteggere il tuo ambiente. Sono inclusi i controlli di sicurezza cloud integrati come firewall e logging. I controlli tecnici possono includere anche l'utilizzo di strumenti di terze parti per rafforzare o supportare la tua strategia di sicurezza. Esistono due categorie di controlli tecnici:

• Puoi implementare i controlli di sicurezza di Google Cloudper contribuire a mitigare i rischi che si applicano al tuo ambiente. Ad esempio, puoi proteggere la connessione tra le tue reti on-premise e le tue reti cloud utilizzando Cloud VPN e Cloud Interconnect.
• Google dispone di solidi controlli e audit interni per proteggere i dati dei clienti dall'accesso di personale interno. I nostri log di controllo forniscono log in tempo quasi reale degli accessi degli amministratori Google su Google Cloud.

Le protezioni contrattuali si riferiscono agli impegni legali assunti da Google in merito aiGoogle Cloud servizi. Google si impegna a mantenere ed espandere il suo portfolio di conformità. L'Addendum per il trattamento dei dati Cloud (ATDC) descrive i nostri impegni in materia di trattamento e sicurezza dei tuoi dati. L'ATDC illustra inoltre i controlli di accesso che limitano l'accesso degli ingegneri dell'assistenza Google agli ambienti dei clienti e descrive la nostra rigorosa procedura di registrazione e approvazione. Ti consigliamo di esaminare i controlli contrattuali di Google Cloudinsieme ai tuoi esperti legali e normativi e di verificare che soddisfino i tuoi requisiti. Per ulteriori informazioni, contatta il rappresentante dell'account tecnico.

Le verifiche o attestazioni di terze parti si riferiscono al controllo del fornitore cloud da parte di un fornitore di terze parti per garantire che il fornitore soddisfi i requisiti di conformità. Ad esempio, per informazioni sulle Google Cloud attestazioni relative alle linee guida ISO/IEC 27017, consulta ISO/IEC 27017 - Conformità. Per visualizzare le Google Cloud certificazioni e le lettere di attestazione attuali, visita il Centro risorse per la conformità.

Consigli per soddisfare le obbligazioni normative e di conformità

Un tipico percorso di conformità prevede tre fasi: la valutazione, la correzione delle lacune e il monitoraggio continuo. Questa sezione fornisce consigli che puoi utilizzare durante ciascuna di queste fasi.

Valuta le tue esigenze di conformità

Questo consiglio è pertinente alla seguente area di interesse: governance, rischio e conformità del cloud.

La valutazione della conformità inizia con un'attenta revisione di tutti gli obblighi normativi e di come la tua attività li sta implementando. Per aiutarti nella valutazione dei Google Cloud servizi, utilizza il Centro risorse per la conformità. Questo sito fornisce informazioni su quanto segue:

• Assistenza per i servizi per varie normative
• Google Cloud certificazioni e attestati

Per comprendere meglio il ciclo di vita della conformità in Google e come soddisfare i requisiti, puoi contattare il team di vendita per richiedere l'aiuto di uno specialista della conformità Google. In alternativa, puoi contattare il tuo Google Cloud account manager per richiedere un seminario sulla conformità.

Per ulteriori informazioni sugli strumenti e le risorse che puoi utilizzare per gestire la sicurezza e la conformità per i Google Cloud carichi di lavoro, consulta Garantire la conformità nel cloud.

Automatizza l'implementazione dei requisiti di conformità

Questo consiglio è pertinente alla seguente area di interesse: governance, rischio e conformità del cloud.

Per aiutarti a rispettare le normative in evoluzione, determina se puoi automatizzare l'implementazione dei requisiti di conformità. Puoi utilizzare sia le funzionalità incentrate sulla conformità fornite da Google Cloud sia i blueprint che utilizzano le configurazioni consigliate per un determinato regime di conformità.

Assured Workloads si basa sui controlli di Google Cloud per aiutarti a soddisfare i tuoi obblighi di conformità. Assured Workloads ti consente di:

• Seleziona il regime di conformità. Lo strumento imposta automaticamente i controlli di accesso del personale di riferimento per il regime selezionato.
• Imposta la posizione dei dati utilizzando i criteri dell'organizzazione in modo che i dati at-rest e le risorse rimangano solo in quella regione.
• Seleziona l'opzione di gestione delle chiavi (ad esempio il periodo di rotazione delle chiavi) che meglio soddisfa i tuoi requisiti di sicurezza e conformità.
• Seleziona i criteri di accesso per il personale dell'Assistenza Google per soddisfare determinati requisiti normativi, come FedRAMP Moderate. Ad esempio, puoi selezionare se il personale dell'Assistenza Google ha completato i controlli dei precedenti appropriati.
• Utilizzare risorse di proprietà di Google Google-owned and Google-managed encryption key conformi a FIPS-140-2 e che supportano la conformità FedRAMP Moderate. Per un ulteriore livello di controllo e per la separazione delle responsabilità, puoi utilizzare le chiavi di crittografia gestite dal cliente (CMEK). Per ulteriori informazioni sulle chiavi, consulta Criptare i dati at-rest e in transito.

Oltre ad Assured Workloads, puoi utilizzare Google Cloud blueprint pertinenti al tuo regime di conformità. Puoi modificare questi progetti base per incorporare i criteri di sicurezza nei deployment dell'infrastruttura.

Per aiutarti a creare un ambiente che supporti i tuoi requisiti di conformità, le guide alle soluzioni e ai progetti di Google includono configurazioni consigliate e forniscono moduli Terraform. La tabella seguente elenca i blueprint che si occupano di sicurezza e allineamento ai requisiti di conformità.

Requisito	Progetti e guide alle soluzioni
FedRAMP	Google Cloud Guida all'implementazione di FedRAMP Configurazione di un carico di lavoro a tre livelli in linea con FedRAMP su Google Cloud
HIPAA	Protezione degli dati sanitari su Google Cloud Configurazione di un progetto conforme a HIPAA tramite Data Protection Toolkit

Monitora la conformità

Questo consiglio è pertinente per le seguenti aree di interesse:

• Governance, rischio e conformità del cloud
• Logging, monitoraggio e controllo

La maggior parte delle normative richiede il monitoraggio di particolari attività, tra cui quelle relative all'accesso. Per facilitare il monitoraggio, puoi utilizzare quanto segue:

• Access Transparency: visualizza i log in tempo quasi reale quando gli amministratori accedono ai tuoi contenuti. Google Cloud
• Registrazione delle regole firewall: registra le connessioni TCP e UDP all'interno di una rete VPC per tutte le regole che crei. Questi log possono essere utili per controllare l'accesso alla rete o per fornire un avviso in anteprima che la rete viene utilizzata in un modo non approvato.
• Log di flusso VPC: registrano i flussi di traffico di rete inviati o ricevuti dalle istanze VM.
• Security Command Center Premium: monitora la conformità a vari standard.
• OSSEC (o un altro strumento open source): registra l'attività delle persone che hanno accesso amministrativo al tuo ambiente.
• Key Access Justifications: visualizza i motivi di una richiesta di accesso alle chiavi.
• Notifiche di Security Command Center: ricevi avvisi quando si verificano problemi di non conformità. Ad esempio, ricevi avvisi quando gli utenti disattivano la verifica in due passaggi o quando gli account di servizio hanno privilegi eccessivi. Puoi anche configurare la correzione automatica per notifiche specifiche.

Suggerimenti per gestire la sovranità dei dati

Questo consiglio è pertinente alla seguente area di interesse: governance, rischio e conformità del cloud.

La sovranità dei dati ti offre un meccanismo per impedire a Google di accedere ai tuoi dati. Approvi l'accesso solo per i comportamenti del fornitore che ritieni necessari. Ad esempio, puoi gestire la sovranità dei tuoi dati nei seguenti modi:

• Archivia e gestisci le chiavi di crittografia al di fuori del cloud.
• Concedi l'accesso a queste chiavi in base a giustificazioni dell'accesso dettagliate.
• Proteggi i dati in uso utilizzando Confidential Computing.

Gestire la sovranità operativa

Questo consiglio è pertinente alla seguente area di interesse: governance, rischio e conformità del cloud.

La sovranità operativa garantisce che il personale di Google non possa compromettere i tuoi carichi di lavoro. Ad esempio, puoi gestire la sovranità operativa nei seguenti modi:

• Limitare il deployment delle nuove risorse a regioni specifiche del provider.
• Limitare l'accesso del personale Google in base ad attributi predefiniti come cittadinanza o posizione geografica.

Gestire la sovranità del software

Questo consiglio è pertinente alla seguente area di interesse: governance, rischio e conformità del cloud.

La sovranità del software ti garantisce che puoi controllare la disponibilità dei tuoi carichi di lavoro ed eseguirli ovunque. Inoltre, puoi avere questo controllo senza dipendere da un unico provider cloud o esserne vincolato. La sovranità del software include la capacità di sopravvivere a eventi che richiedono di cambiare rapidamente il luogo in cui sono distribuiti i carichi di lavoro e il livello di connessione esterna consentito.

Ad esempio, per aiutarti a gestire la sovranità del software, Google Cloud supporta deployment ibridi e multi-cloud. Inoltre, GKE Enterprise ti consente di gestire ed eseguire il deployment delle applicazioni sia in ambienti cloud sia in ambienti on-premise. Se scegli i deployment on-premise per motivi di sovranità dei dati, Google Distributed Cloud è una combinazione di hardware e software che porta Google Cloud nel Google Cloud tuo data center.

Consigli per soddisfare i requisiti relativi alla privacy

Google Cloud include i seguenti controlli che promuovono la privacy:

• Crittografia predefinita di tutti i dati quando sono inattivi, in transito e durante l'elaborazione.
• Misure di salvaguardia contro l'accesso di personale interno.
• Supporto di numerose normative sulla privacy.

I seguenti consigli riguardano i controlli aggiuntivi che puoi implementare. Per ulteriori informazioni, consulta il Centro risorse per la privacy.

Controllare la residenza dei dati

Questo consiglio è pertinente alla seguente area di interesse: governance, rischio e conformità del cloud.

Per residenza dei dati si intende il luogo in cui sono archiviati i dati at-rest. I requisiti di residenza dei dati variano in base agli obiettivi di progettazione del sistema, ai problemi normativi del settore, alle leggi nazionali, alle implicazioni fiscali e persino alla cultura.

Il controllo della residenza dei dati inizia con quanto segue:

• Scopri il tipo di dati e la relativa posizione.
• Determina quali rischi esistono per i tuoi dati e quali leggi e normative si applicano.
• Controlla dove vengono archiviati o dove vengono inviati i tuoi dati.

Per aiutarti a rispettare i requisiti di residenza dei dati, Google Cloud ti consente di controllare dove vengono archiviati i tuoi dati, come viene eseguito l'accesso e come vengono elaborati. Puoi utilizzare i criteri sulla località delle risorse per limitare i luoghi di creazione delle risorse e quelli di replica dei dati tra le regioni. Puoi utilizzare la proprietà location di una risorsa per identificare dove è dipiegato il servizio e chi lo gestisce. Per ulteriori informazioni, consulta Località delle risorse dei servizi supportati.

Classifica i tuoi dati riservati

Questo consiglio è pertinente alla seguente area di interesse: Sicurezza dei dati.

È necessario definire quali dati sono riservati e poi garantire che i dati riservati siano adeguatamente protetti. I dati riservati possono includere numeri di carte di credito, indirizzi, numeri di telefono e altre informazioni che consentono l'identificazione personale (PII). Con Sensitive Data Protection, puoi impostare classificazioni appropriate. In seguito è possibile etichettare e tokenizzare i dati prima di archiviarli in Google Cloud. Inoltre, Dataplex offre un servizio di catalogo che fornisce una piattaforma per archiviare, gestire e accedere ai metadati. Per ulteriori informazioni e un esempio di classificazione e anonimizzazione dei dati, consulta Anonimizzazione e reidentificazione delle PII utilizzando Sensitive Data Protection.

Bloccare l'accesso ai dati sensibili

Questo consiglio è pertinente per le seguenti aree di interesse:

• Sicurezza dei dati
• Gestione di identità e accessi

Posiziona i dati sensibili nel proprio perimetro di servizio utilizzando Controlli di servizio VPC. I Controlli di servizio VPC migliorano la tua capacità di ridurre il rischio di copia o trasferimento non autorizzato di dati (esfiltrazione di dati) dai servizi gestiti da Google. Con i Controlli di servizio VPC, puoi configurare perimetri di sicurezza attorno alle risorse dei tuoi servizi gestiti da Google per controllare il movimento dei dati all'interno del perimetro. Impostare i controlli di accesso di Google Identity and Access Management (IAM) per questi dati. Configura l'autenticazione a più fattori (MFA) per tutti gli utenti che devono accedere a dati sensibili.

Responsabilità condivise e destino condiviso su Google Cloud

Questo documento descrive le differenze tra il modello di responsabilità condivisa e il destino condiviso in Google Cloud. Vengono discusse le sfide e le sfumature del modello di responsabilità condivisa. Questo documento descrive che cos'è il destino condiviso e come collaboriamo con i nostri clienti per risolvere le sfide della sicurezza del cloud.

È importante comprendere il modello di responsabilità condivisa per determinare come proteggere al meglio i dati e i carichi di lavoro su Google Cloud. Il modello di responsabilità condivisa descrive le attività che devi svolgere per la sicurezza nel cloud e in che modo queste attività sono diverse per i provider cloud.

Tuttavia, comprendere la responsabilità condivisa può essere difficile. Il modello richiede una conoscenza approfondita di ogni servizio che utilizzi, delle opzioni di configurazione fornite da ciascun servizio e di cosa fa Google Cloudper proteggerlo. Ogni servizio ha un profilo di configurazione diverso e può essere difficile determinare la configurazione di sicurezza migliore. Google ritiene che il modello di responsabilità condivisa non sia sufficiente per aiutare i clienti cloud a ottenere risultati migliori in termini di sicurezza. Invece di una responsabilità condivisa, crediamo nel destino condiviso.

Il destino condiviso include la creazione e il funzionamento di una piattaforma cloud attendibile per i tuoi carichi di lavoro. Forniamo linee guida sulle best practice e codice di infrastruttura protetto e verificato che puoi utilizzare per eseguire il deployment dei tuoi carichi di lavoro in modo sicuro. Lanciamo soluzioni che combinano vari Google Cloud servizi per risolvere problemi di sicurezza complessi e offriamo opzioni di assicurazione innovative per aiutarti a misurare e mitigare i rischi che devi accettare. Il destino condiviso prevede un'interazione più stretta con te per proteggere le tue risorse suGoogle Cloud.

Responsabilità condivisa

Sei esperto dei requisiti di sicurezza e normativi della tua attività e conosci i requisiti per proteggere i tuoi dati e le tue risorse riservate. Quando esegui i carichi di lavoro su Google Cloud, devi identificare i controlli di sicurezza che devi configurare in Google Cloud per contribuire a difendere i tuoi dati riservati e ogni carico di lavoro. Per decidere quali controlli di sicurezza implementare, devi considerare i seguenti fattori:

• I tuoi obblighi di conformità normativa
• Gli standard di sicurezza e il piano di gestione dei rischi della tua organizzazione
• Requisiti di sicurezza dei tuoi clienti e dei tuoi fornitori

Definito in base ai carichi di lavoro

Tradizionalmente, le responsabilità vengono definite in base al tipo di carico di lavoro eseguito e ai servizi cloud richiesti. I servizi cloud includono le seguenti categorie:

Servizio cloud	Descrizione
Infrastructure as a Service (IaaS)	I servizi IaaS includono Compute Engine, Cloud Storage e servizi di rete come Cloud VPN, Cloud Load Balancing e Cloud DNS. IaaS fornisce servizi di calcolo, archiviazione e rete on demand con prezzi di pagamento a consumo. Puoi utilizzare l'IaaS se prevedi di eseguire la migrazione di un caricamento di lavoro on-premise esistente nel cloud utilizzando il lift-and-shift o se vuoi eseguire la tua applicazione su VM specifiche, utilizzando database o configurazioni di rete specifici. In IaaS, la maggior parte delle responsabilità relative alla sicurezza è tua, mentre le nostre sono incentrate sull'infrastruttura di base e sulla sicurezza fisica.
Platform as a service (PaaS)	I servizi PaaS includono App Engine, Google Kubernetes Engine (GKE) e BigQuery. PaaS fornisce l'ambiente di runtime in cui puoi sviluppare ed eseguire le tue applicazioni. Puoi utilizzare PaaS se stai creando un'applicazione (ad esempio un sito web) e vuoi concentrarti sullo sviluppo e non sull'infrastruttura sottostante. In PaaS, siamo responsabili di più controlli rispetto a IaaS. In genere, questo varia in base ai servizi e alle funzionalità che utilizzi. Condividi con noi la responsabilità per i controlli a livello di applicazione e la gestione IAM. Tu rimani responsabile della sicurezza dei tuoi dati e della protezione dei clienti.
Software as a Service (SaaS)	Le applicazioni SaaS includono Google Workspace, Google Security Operations e applicazioni SaaS di terze parti disponibili in Google Cloud Marketplace. Il SaaS fornisce applicazioni online a cui puoi abbonarti o per le quali puoi pagare in qualche modo. Puoi utilizzare le applicazioni SaaS quando la tua azienda non dispone delle competenze interne o dei requisiti aziendali per creare l'applicazione, ma richiede la possibilità di elaborare i carichi di lavoro. In SaaS, abbiamo la responsabilità principale della sicurezza. Sei responsabile dei controlli di accesso e dei dati che scegli di memorizzare nell'applicazione.
Function as a Service (FaaS) o serverless	FaaS fornisce la piattaforma per consentire agli sviluppatori di eseguire codice di piccole dimensioni e a scopo specifico (chiamato funzioni) che viene eseguito in risposta a determinati eventi. Utilizza FaaS quando vuoi che si verifichino determinate operazioni in base a un determinato evento. Ad esempio, potresti creare una funzione che venga eseguita ogni volta che i dati vengono caricati in Cloud Storage in modo che possano essere classificati. FaaS ha un elenco di responsabilità condivise simile a quello del SaaS. Cloud Run Functions è un'applicazione FaaS.

Il seguente diagramma mostra i servizi cloud e definisce in che modo le responsabilità vengono condivise tra il cloud provider e il cliente.

Come mostrato nel diagramma, il fornitore di servizi cloud rimane sempre responsabile della rete e dell'infrastruttura di base, mentre i clienti rimangono sempre responsabili dei propri dati e criteri di accesso.

Definito dal settore e dal quadro normativo

Vari settori hanno framework normativi che definiscono i controlli di sicurezza che devono essere implementati. Quando sposti i carichi di lavoro nel cloud, devi comprendere quanto segue:

• Quali controlli di sicurezza sono di tua responsabilità
• Quali controlli di sicurezza sono disponibili nell'ambito dell'offerta cloud
• Quali controlli di sicurezza predefiniti vengono ereditati

I controlli di sicurezza ereditati (come la nostra crittografia predefinita e i controlli dell'infrastruttura) sono controlli che puoi fornire come parte della prova della tua posizione di sicurezza a revisori e autorità di regolamentazione. Ad esempio, lo standard PCI DSS (Payment Card Industry Data Security Standard) definisce le normative per gli elaboratori dei pagamenti. Quando trasferisci la tua attività al cloud, queste normative vengono condivise tra te e il tuo fornitore di servizi cloud. Per capire come le responsabilità PCI DSS sono condivise tra te e Google Cloud, consulta Google Cloud: matrice di responsabilità condivisa PCI DSS.

Un altro esempio è l'Health Insurance Portability and Accountability Act (HIPAA) degli Stati Uniti, che ha stabilito standard per la gestione delle informazioni sanitarie personali elettroniche (PHI). Queste responsabilità sono condivise anche tra il fornitore di servizi cloud e te. Per ulteriori informazioni su come Google Cloud soddisfa le nostre responsabilità ai sensi dell'HIPAA, consulta HIPAA - Conformità.

Anche altri settori (ad esempio quello finanziario o manifatturiero) hanno normative che definiscono le modalità di raccolta, elaborazione e archiviazione dei dati. Per ulteriori informazioni sulla responsabilità condivisa in merito e su comeGoogle Cloud soddisfa le nostre responsabilità, visita il Centro risorse per la conformità.

Definito in base alla località

A seconda dello scenario della tua attività, potresti dover prendere in considerazione le tue responsabilità in base alla sede degli uffici, dei clienti e dei dati della tua attività. Diversi paesi e regioni hanno creato regolamenti che indicano come puoi elaborare e archiviare i dati dei tuoi clienti. Ad esempio, se la tua attività ha clienti residenti nell'Unione europea, potrebbe dover rispettare i requisiti descritti nel Regolamento generale sulla protezione dei dati (GDPR) e potresti essere obbligato a conservare i dati dei clienti nell'UE stessa. In questo caso, sei responsabile di garantire che i dati raccolti rimangano nelle Google Cloud regioni dell'UE. Per saperne di più su come soddisfiamo le nostre obbligazioni ai sensi del GDPR, consulta GDPR e Google Cloud.

Per informazioni sui requisiti relativi alla tua regione, consulta Offerte di conformità. Se il tuo scenario è particolarmente complicato, ti consigliamo di rivolgerti al nostro team di vendita o a uno dei nostri partner per valutare le tue responsabilità in materia di sicurezza.

Sfide per la responsabilità condivisa

Sebbene la responsabilità condivisa aiuti a definire i ruoli di sicurezza di te o del fornitore di servizi cloud, fare affidamento su questa responsabilità può comunque creare delle difficoltà. Considera i seguenti scenari:

• La maggior parte delle violazioni della sicurezza del cloud è il risultato diretto di una configurazione errata (indicata come numero 3 nel report Pandemic 11 della Cloud Security Alliance) e questa tendenza dovrebbe aumentare. I prodotti cloud sono in continuaevoluzione e vengono lanciati di continuo nuovi prodotti. Stare al passo con i cambiamenti costanti può sembrare scoraggiante. I clienti hanno bisogno che i fornitori di servizi cloud forniscano loro best practice per aiutarli a stare al passo con i cambiamenti, a partire dalle best practice per impostazione predefinita e da una configurazione di sicurezza di riferimento.
• Sebbene sia utile suddividere gli elementi in base ai servizi cloud, molte aziende hanno carichi di lavoro che richiedono più tipi di servizi cloud. In questo caso, devi considerare in che modo interagiscono i vari controlli di sicurezza per questi servizi, ad esempio se si sovrappongono tra loro e tra i diversi servizi. Ad esempio, potresti avere un'applicazione on-premise di cui stai eseguendo la migrazione a Compute Engine, utilizzare Google Workspace per l'email aziendale ed eseguire BigQuery per analizzare i dati al fine di migliorare i tuoi prodotti.
• La tua attività e i mercati sono in continua evoluzione: man mano che le normative cambiano, quando entri in nuovi mercati o acquisisci altre aziende. I nuovi mercati potrebbero avere requisiti diversi e la nuova acquisizione potrebbe ospitare i propri carichi di lavoro su un altro cloud. Per gestire le continue modifiche, devi rivalutare costantemente il tuo profilo di rischio ed essere in grado di implementare rapidamente nuovi controlli.
• Come e dove gestire le chiavi di crittografia dei dati è una decisione importante che riguarda le tue responsabilità di protezione dei dati. L'opzione che scegli dipende dai tuoi requisiti normativi, dal fatto che tu stia utilizzando un ambiente cloud ibrido o abbia ancora un ambiente on-premise e dalla sensibilità dei dati che stai elaborando e archiviando.
• La gestione degli incidenti è un'area importante e spesso trascurata in cui le tue responsabilità e quelle del cloud provider non sono facilmente definite. Molti incidenti richiedono la stretta collaborazione e il supporto del fornitore di cloud per aiutarci a esaminarli e mitigarli. Altri incidenti possono essere causati da risorse cloud configurate in modo errato o da credenziali rubate e garantire il rispetto delle best practice per la protezione delle risorse e degli account può essere piuttosto complicato.
• Le minacce avanzate persistenti (APT) e le nuove vulnerabilità possono influire sui tuoi carichi di lavoro in modi che potresti non considerare quando inizi la trasformazione al cloud. È difficile rimanere al passo con il panorama in evoluzione e capire chi è responsabile della mitigazione delle minacce, soprattutto se la tua attività non dispone di un team di sicurezza di grandi dimensioni.

Destino condiviso

Abbiamo sviluppato il destino condiviso per Google Cloud iniziare a risolvere le sfide che il modello di responsabilità condivisa non affronta. Il destino condiviso si concentra su come tutte le parti possono interagire meglio per migliorare continuamente la sicurezza. Il destino condiviso si basa sul modello di responsabilità condivisa perché considera il rapporto tra il provider cloud e il cliente come una partnership continua per migliorare la sicurezza.

Il destino condiviso significa che ci assumiamo la responsabilità di rendere Google Cloud più sicuri. Il destino condiviso include l'aiuto per iniziare con una landing zone protetta e la chiarezza, l'obiettività e la trasparenza in merito a controlli, impostazioni e best practice di sicurezza consigliati. Ti aiuta anche a quantificare e gestire meglio il rischio con l'assicurazione informatica, utilizzando il nostro programma Risk Protection. Con il destino condiviso, vogliamo evolverci dal framework di responsabilità condivisa standard a un modello migliore che ti aiuti a proteggere la tua attività e a creare fiducia in Google Cloud.

Le sezioni seguenti descrivono i vari componenti del destino condiviso.

Guida per iniziare

Un componente chiave del destino condiviso sono le risorse che forniamo per aiutarti a iniziare, in una configurazione sicura in Google Cloud. Iniziare con una configurazione sicura aiuta a ridurre il problema delle configurazioni errate, che è la causa principale della maggior parte delle violazioni della sicurezza.

Le nostre risorse includono:

• Enterprise Foundations Blueprint che illustrano i principali problemi di sicurezza e i nostri consigli migliori.

• Progetti sicuri che consentono di eseguire il deployment e gestire soluzioni sicure tramite Infrastructure as Code (IaC). Per impostazione predefinita, i blueprint hanno attivati i nostri consigli per la sicurezza. Molti blueprint vengono creati dai team di sicurezza di Google e gestiti come prodotti. Questo supporto significa che vengono aggiornati regolarmente, sottoposti a un processo di test rigoroso e ricevono attestazioni da gruppi di test di terze parti. I progetti di base includono il progetto di base per le aziende e il progetto di base per il data warehouse protetto.

• Google Cloud Best practice del framework Well-Architected che forniscono i principali consigli per garantire la sicurezza nei tuoi progetti. Il framework Well-Architected include una sezione sulla sicurezza e una zona della community che puoi utilizzare per entrare in contatto con esperti e colleghi.

• Guide alla navigazione delle zone di destinazione che illustrano le decisioni principali che devi prendere per creare una base sicura per i tuoi carichi di lavoro, tra cui gerarchia delle risorse, onboarding delle identità, gestione di chiavi e sicurezza e struttura della rete.

Programma di protezione dai rischi

Il destino condiviso include anche il Programma di protezione dai rischi (attualmente in anteprima), che ti consente di sfruttare la potenza di Google Cloud come piattaforma per gestire i rischi, anziché considerare i carichi di lavoro cloud come un'altra fonte di rischio da gestire. Il programma di protezione dai rischi è una collaborazione tra Google Cloud e due importanti compagnie di assicurazione informatica, Munich Re e Allianz Global & Corporate Specialty.

Il Programma di protezione dai rischi include Risk Manager, che fornisce approfondimenti basati sui dati che puoi utilizzare per comprendere meglio la tua security posture cloud. Se stai cercando una copertura assicurativa informatica, puoi condividere queste informazioni di Risk Manager direttamente con i nostri partner assicurativi per ottenere un preventivo. Per saperne di più, consulta Google Cloud Il programma di protezione dai rischi è ora disponibile in anteprima.

Guida per il deployment e la governance

Il destino condiviso ti aiuta anche con la governance continua del tuo ambiente. Ad esempio, ci concentriamo su prodotti come:

• Assured Workloads, che ti aiuta a soddisfare i tuoi obblighi di conformità.
• Security Command Center Premium, che utilizza la threat intelligence, il rilevamento delle minacce, la scansione web e altri metodi avanzati per monitorare e rilevare le minacce. Inoltre, offre un modo per risolvere molte di queste minacce in modo rapido e automatico.
• Criteri dell'organizzazione e impostazioni delle risorse che consentono di configurare i criteri di tutta la gerarchia di cartelle e progetti.
• Strumenti di Policy Intelligence che forniscono approfondimenti sull'accesso ad account e risorse.
• Confidential Computing, che ti consente di criptare i dati in uso.
• Controlli di sovranità dei partner, disponibile in alcuni paesi, e contribuisce a applicare i requisiti di localizzazione dei dati.

Mettere in pratica la responsabilità condivisa e il destino condiviso

Nell'ambito della procedura di pianificazione, valuta le seguenti azioni per aiutarti a comprendere e implementare i controlli di sicurezza appropriati:

• Crea un elenco del tipo di carichi di lavoro che ospiterai in Google Cloude indica se richiedono servizi IaaS, PaaS e SaaS. Puoi utilizzare il diagramma di responsabilità condivisa come elenco di controllo per assicurarti di conoscere i controlli di sicurezza che devi prendere in considerazione.
• Crea un elenco dei requisiti normativi che devi rispettare e accedi alle risorse nel Centro risorse per la conformità relative a questi requisiti.
• Esamina l'elenco di progetti e architetture disponibili nell'Architecture Center per i controlli di sicurezza necessari per i tuoi carichi di lavoro specifici. I blueprint forniscono un elenco di controlli consigliati e il codice IaC necessario per eseguire il deployment dell'architettura.
• Utilizza la documentazione della landing zone e i consigli riportati nella guida alle basi dell'enterprise per progettare una gerarchia delle risorse e un'architettura di rete che soddisfi i tuoi requisiti. Puoi utilizzare i blueprint di carichi di lavoro con opinioni, come il data warehouse protetto, per accelerare il processo di sviluppo.
• Dopo aver eseguito il deployment dei carichi di lavoro, verifica di rispettare le tue responsabilità in materia di sicurezza utilizzando servizi come Risk Manager, Assured Workloads, gli strumenti di Policy Intelligence e Security Command Center Premium.

Per ulteriori informazioni, consulta il documento Guida di CISO alla trasformazione del cloud.

Passaggi successivi

• Consulta i principi fondamentali della sicurezza.
• Tieniti al passo con le risorse con lo stesso destino.
• Acquisisci familiarità con i progetti di riferimento disponibili, tra cui il progetto di riferimento per le basi della sicurezza ed esempi di carichi di lavoro come il data warehouse protetto.
• Scopri di più sul destino condiviso.
• Scopri di più sulla nostra infrastruttura sicura di base nella panoramica sulla progettazione della sicurezza dell'infrastruttura Google.
• Scopri come implementare le best practice del NIST Cybersecurity Framework in Google Cloud (PDF).