Google Cloud Framework bem estruturado: segurança, privacidade e compliance

Last reviewed 2025-02-14 UTC

O pilar de segurança, privacidade e compliance no Google Cloud Framework bem estruturado oferece recomendações para ajudar você a projetar, implantar e operar cargas de trabalho na nuvem que atendam aos seus requisitos de segurança, privacidade e compliance.

Este documento foi criado para oferecer insights valiosos e atender às necessidades de uma variedade de profissionais e engenheiros de segurança. A tabela a seguir descreve os públicos-alvo deste documento:

Público-alvo O que este documento oferece
Diretores de segurança da informação (CISOs), líderes de unidades de negócios e gerentes de TI Um modelo geral para estabelecer e manter a excelência em segurança na nuvem e garantir uma visão abrangente das áreas de segurança para tomar decisões informadas sobre investimentos em segurança.
Arquitetos e engenheiros de segurança Principais práticas de segurança para as fases de design e operacional para ajudar a garantir que as soluções sejam projetadas para segurança, eficiência e escalabilidade.
Equipes de DevSecOps Orientações para incorporar controles de segurança gerais ao planejamento da automação que permite uma infraestrutura segura e confiável.
Oficiais de compliance e gerentes de risco Principais recomendações de segurança para seguir uma abordagem estruturada de gerenciamento de riscos com proteções que ajudam a atender às obrigações de compliance.

Para garantir que as cargas de trabalho Google Cloud atendam aos requisitos de segurança, privacidade e compliance, todas as partes interessadas da organização precisam adotar uma abordagem colaborativa. Além disso, você precisa reconhecer que a segurança da nuvem é uma responsabilidade compartilhada entre você e o Google. Para mais informações, consulte Responsabilidades compartilhadas e destino compartilhado no Google Cloud.

As recomendações deste pilar são agrupadas em princípios de segurança fundamentais. Cada recomendação baseada em princípios é mapeada para uma ou mais das principais áreas de foco da implantação da segurança na nuvem que podem ser essenciais para sua organização. Cada recomendação destaca orientações sobre o uso e a configuração de produtos e recursos doGoogle Cloud para ajudar a melhorar a postura de segurança da sua organização.

Princípios básicos

As recomendações neste pilar são agrupadas nos seguintes princípios básicos de segurança. Cada princípio deste pilar é importante. Dependendo dos requisitos da sua organização e da carga de trabalho, você pode priorizar determinados princípios.

  • Implementar a segurança no design: integre as considerações de segurança da nuvem e da rede a partir da fase inicial de design dos seus aplicativos e da infraestrutura. Google Cloud oferece modelos de arquitetura e recomendações para ajudar você a aplicar esse princípio.
  • Implementar a confiança zero: use uma abordagem nunca confie, sempre verifique, em que o acesso aos recursos é concedido com base na verificação contínua de confiança. Google Cloud oferece suporte a esse princípio com produtos como o Chrome Enterprise Premium e o Identity-Aware Proxy (IAP).
  • Implementar a segurança de deslocamento para a esquerda: implemente controles de segurança no início do ciclo de vida de desenvolvimento de software. Evite defeitos de segurança antes de fazer mudanças no sistema. Detectar e corrigir bugs de segurança de forma rápida, confiável e antecipada depois que as mudanças no sistema forem confirmadas. Google Cloud apoia esse princípio com produtos como Cloud Build, Autorização binária e Artifact Registry.
  • Implementar defesa cibernética preventiva: adote uma abordagem proativa de segurança implementando medidas fundamentais robustas, como a inteligência contra ameaças. Essa abordagem ajuda a criar uma base para uma detecção e resposta a ameaças mais eficazes. A abordagem deGoogle Cloud para controles de segurança em camadas está alinhada a esse princípio.
  • Usar a IA de forma segura e responsável: desenvolva e implante sistemas de IA de maneira responsável e segura. As recomendações para esse princípio estão alinhadas com as orientações da perspectiva de IA e ML do framework bem estruturado e do framework de IA segura (SAIF) do Google.
  • Usar a IA para segurança: use os recursos de IA para melhorar seus sistemas e processos de segurança com o Gemini na segurança e os recursos gerais de segurança da plataforma. Use a IA como uma ferramenta para aumentar a automação do trabalho corretivo e garantir a higiene de segurança para tornar outros sistemas mais seguros.
  • Atender às necessidades regulatórias, de compliance e de privacidade: cumpra regulamentações específicas do setor, padrões de compliance e requisitos de privacidade.O Google Cloud ajuda você a atender a essas obrigações com produtos como o Assured Workloads, o Organization Policy Service e nossa central de recursos de compliance.

Mentalidade de segurança organizacional

Uma mentalidade organizacional focada na segurança é essencial para a adoção e a operação bem-sucedidas da nuvem. Essa mentalidade precisa estar profundamente enraizada na cultura da sua organização e refletida nas práticas, que são guiadas pelos princípios de segurança fundamentais, conforme descrito anteriormente.

Uma mentalidade de segurança organizacional enfatiza que você pensa na segurança durante o design do sistema, assume a confiança zero e integra recursos de segurança ao longo do processo de desenvolvimento. Com essa mentalidade, você também pensa de forma proativa sobre medidas de defesa cibernética, usa a IA com segurança e para a segurança e considera os requisitos regulatórios, de privacidade e de compliance. Ao adotar esses princípios, sua organização pode cultivar uma cultura de segurança que aborda proativamente as ameaças, protege os recursos valiosos e ajuda a garantir o uso responsável da tecnologia.

Áreas de foco da segurança na nuvem

Esta seção descreve as áreas em que você deve se concentrar ao planejar, implementar e gerenciar a segurança de seus aplicativos, sistemas e dados. As recomendações de cada princípio deste pilar são relevantes para uma ou mais essas áreas de foco. No restante deste documento, as recomendações especificam as áreas de foco de segurança correspondentes para fornecer mais clareza e contexto.

Área de foco Atividades e componentes Produtos, recursos e soluções Google Cloud relacionados
Segurança da infraestrutura
  • Proteger a infraestrutura de rede.
  • Criptografe dados em trânsito e em repouso.
  • Controle o fluxo de tráfego.
  • Proteger serviços de IaaS e PaaS.
  • Proteger contra acesso não autorizado.
Gerenciamento de identidade e acesso
  • Use autenticação, autorização e controles de acesso.
  • Gerenciar identidades na nuvem.
  • Gerenciar políticas de gerenciamento de identidade e acesso.
Segurança de dados
  • Armazene dados em Google Cloud com segurança.
  • Controle o acesso aos dados.
  • Descubra e classifique os dados.
  • Projete os controles necessários, como criptografia, controles de acesso e prevenção contra perda de dados.
  • Proteja dados em repouso, em trânsito e em uso.
Segurança de IA e ML
  • Aplique controles de segurança em diferentes camadas da infraestrutura e do pipeline de IA e ML.
  • Garantir a segurança do modelo.
Operações de segurança (SecOps)
  • Adote uma plataforma de SecOps moderna e um conjunto de práticas para gerenciamento eficaz de incidentes, detecção de ameaças e processos de resposta.
  • Monitore sistemas e aplicativos continuamente para detectar eventos de segurança.
Segurança para aplicativos
  • Proteger aplicativos contra vulnerabilidades e ataques de software.
Governança, risco e compliance na nuvem
  • Estabeleça políticas, procedimentos e controles para gerenciar recursos da nuvem de forma eficaz e segura.
Geração de registros, auditoria e monitoramento
  • Analisar registros para identificar possíveis ameaças.
  • Rastrear e registrar as atividades do sistema para análise de compliance e segurança.

Colaboradores

Autores:

  • Wade Holmes | Diretor de soluções globais
  • Hector Diaz | Arquiteto de segurança de nuvem
  • Carlos Leonardo Rosario | Especialista em segurança do Google Cloud
  • John Bacon | Arquiteto de soluções de parceiros
  • Sachin Kalra | Gerente de soluções de segurança globais

Outros colaboradores:

Implementar a segurança incorporada ao design

Esse princípio no pilar de segurança do Google Cloud Framework de arquitetura bem estruturada fornece recomendações para incorporar recursos, controles e práticas de segurança robustos ao design de aplicativos, serviços e plataformas em nuvem. Da ideação às operações, a segurança é mais eficaz quando está integrada como parte integrante de cada estágio do processo de design.

Visão geral do princípio

Conforme explicado em Visão geral do compromisso do Google com a segurança por design, os termos seguro por padrão e seguro por design são usados com frequência de forma intercambiável, mas representam abordagens distintas para criar sistemas seguros. Ambas as abordagens têm como objetivo minimizar vulnerabilidades e melhorar a segurança, mas diferem em escopo e implementação:

  • Seguro por padrão: foca em garantir que as configurações padrão de um sistema sejam definidas em um modo seguro, minimizando a necessidade de que usuários ou administradores tomem medidas para proteger o sistema. Essa abordagem tem como objetivo oferecer um nível básico de segurança para todos os usuários.
  • Segurança incorporada ao design: enfatiza a incorporação proativa de considerações de segurança em todo o ciclo de vida de desenvolvimento de um sistema. Essa abordagem é sobre antecipar possíveis ameaças e vulnerabilidades e fazer escolhas de design que mitigam os riscos. Essa abordagem envolve o uso de práticas de programação seguras, a realização de análises de segurança e a incorporação de segurança em todo o processo de design. A abordagem de segurança por design é uma filosofia abrangente que orienta o processo de desenvolvimento e ajuda a garantir que a segurança não seja um elemento posterior, mas parte integrante do design de um sistema.

Recomendações

Para implementar o princípio de segurança por design nas cargas de trabalho na nuvem, considere as recomendações nas seções a seguir:

Escolha componentes do sistema que ajudam a proteger suas cargas de trabalho

Essa recomendação é relevante para todas as áreas de foco.

Uma decisão fundamental para a segurança eficaz é a seleção de componentes de sistema robustos, incluindo componentes de hardware e software, que constituem sua plataforma, solução ou serviço. Para reduzir a superfície de ataque de segurança e limitar possíveis danos, você também precisa considerar cuidadosamente os padrões de implantação desses componentes e as configurações deles.

No código do aplicativo, recomendamos que você use bibliotecas, abstrações e frameworks de aplicativos simples, seguros e confiáveis para eliminar classes de vulnerabilidades. Para verificar vulnerabilidades em bibliotecas de software, use ferramentas de terceiros. Você também pode usar o Assured Open Source Software, que ajuda a reduzir os riscos da sua cadeia de suprimentos de software usando pacotes de software de código aberto (OSS) que o Google usa e protege.

Sua infraestrutura precisa usar opções de rede, armazenamento e computação que ofereçam suporte a operações seguras e estejam alinhadas aos seus requisitos de segurança e níveis de aceitação de risco. A segurança da infraestrutura é importante para cargas de trabalho internas e voltadas para a Internet.

Para informações sobre outras soluções do Google que oferecem suporte a essa recomendação, consulte Implementar a segurança shift-left.

Criar uma abordagem de segurança em camadas

Essa recomendação é relevante para as seguintes áreas de foco:

  • Segurança de IA e ML
  • Segurança da infraestrutura
  • Gerenciamento de identidade e acesso
  • Segurança de dados

Recomendamos que você implemente a segurança em cada camada do aplicativo e da pilha de infraestrutura aplicando uma abordagem de defesa profunda.

Use os recursos de segurança em cada componente da plataforma. Para limitar o acesso e identificar os limites do possível impacto (ou seja, o raio de explosão) em caso de um incidente de segurança, faça o seguinte:

  • Simplifique o design do sistema para acomodar a flexibilidade sempre que possível.
  • Documente os requisitos de segurança de cada componente.
  • Incorpore um mecanismo seguro para atender aos requisitos de resiliência e recuperação.

Ao projetar as camadas de segurança, faça uma avaliação de risco para determinar os recursos de segurança necessários para atender aos requisitos de segurança internos e externos regulatórios. Recomendamos que você use um framework de avaliação de risco padrão do setor que se aplique a ambientes de nuvem e seja relevante para seus requisitos regulamentares. Por exemplo, a Cloud Security Alliance (CSA) fornece a matriz de controles do Cloud (CCM, na sigla em inglês). Sua avaliação de riscos fornece um catálogo de riscos e controles de segurança correspondentes para mitigá-los.

Ao realizar a avaliação de risco, lembre-se de que você tem um acordo de responsabilidade compartilhada com o provedor de nuvem. Portanto, os riscos em um ambiente de nuvem são diferentes dos riscos em um ambiente local. Por exemplo, em um ambiente local, é preciso reduzir as vulnerabilidades para a pilha de hardware. Por outro lado, em um ambiente de nuvem, o provedor de nuvem assume esses riscos. Além disso, lembre-se de que os limites das responsabilidades compartilhadas diferem entre os serviços IaaS, PaaS e SaaS de cada provedor de nuvem.

Depois de identificar possíveis riscos, você precisa projetar e criar um plano de mitigação que use controles técnicos, administrativos e operacionais, além de proteções contratuais e declarações de terceiros. Além disso, um método de estimativa de ameaça, como o método de estimativa de ameaça do aplicativo OWASP, ajuda a identificar possíveis lacunas e sugere ações para corrigir as lacunas.

Usar infraestrutura e serviços reforçados e certificados

Essa recomendação é relevante para todas as áreas de foco.

Um programa de segurança maduro mitiga novas vulnerabilidades, conforme descrito nos boletins de segurança. O programa de segurança também precisa fornecer remediação para corrigir vulnerabilidades em implantações existentes e proteger suas VMs e imagens de contêineres. É possível usar guias de proteção específicos para o SO e o aplicativo das imagens, além de comparativos de mercado, como o fornecido pelo Center for Internet Security (CIS).

Se você usa imagens personalizadas para suas VMs do Compute Engine, é necessário corrigir as imagens por conta própria. Como alternativa, use as imagens de SO selecionadas fornecidas pelo Google, que são corrigidas regularmente. Para executar contêineres em VMs do Compute Engine, use imagens do SO otimizadas para contêineres selecionadas pelo Google. O Google corrige e atualiza essas imagens regularmente.

Se você usa o GKE, recomendamos ativar o upgrade automático de nós para que o Google atualize os nós do cluster com os patches mais recentes. O Google gerencia os planos de controle do GKE, que são atualizados e corrigidos automaticamente. Para reduzir ainda mais a superfície de ataque dos contêineres, use imagens distroless. As imagens distroless são ideais para aplicativos sensíveis à segurança, microsserviços e situações em que minimizar o tamanho da imagem e a superfície de ataque é essencial.

Para cargas de trabalho sensíveis, use a VM protegida, que impede que códigos maliciosos sejam carregados durante o ciclo de inicialização da VM. As instâncias de VM protegidas fornecem segurança de inicialização, monitoram a integridade e usam o Módulo da plataforma confiável virtual (vTPM).

Para ajudar a proteger o acesso SSH, o Login do SO permite que os funcionários se conectem às VMs usando permissões de gerenciamento de identidade e acesso (IAM) como a fonte confiável, em vez de confiar em chaves SSH. Portanto, não é necessário gerenciar chaves SSH em toda a organização. O login do SO vincula o acesso de um administrador ao ciclo de vida do funcionário. Assim, quando os funcionários mudam de função ou saem da organização, o acesso deles é revogado com a conta. O Login do SO também é compatível com a autenticação de dois fatores do Google, que adiciona uma camada extra de segurança contra ataques de invasão de conta.

No GKE, as instâncias de aplicativos são executadas em contêineres do Docker. Para ativar um perfil de risco definido e impedir que os funcionários façam alterações nos contêineres, verifique se os contêineres são sem estado e imutáveis. O princípio de imutabilidade significa que os funcionários não modificam o contêiner nem o acessam interativamente. Se o contêiner precisar ser alterado, crie uma nova imagem e implante-a novamente. Ative o acesso SSH aos contêineres subjacentes somente em cenários de depuração específicos.

Para ajudar a proteger globalmente as configurações em todo o ambiente, use as políticas da organização para definir restrições ou limites em recursos que afetam o comportamento dos ativos na nuvem. Por exemplo, é possível definir as seguintes políticas da organização e aplicá-las globalmente em uma Google Cloud organização ou seletivamente no nível de uma pasta ou de um projeto:

  • Desative a alocação de endereços IP externos para VMs.
  • Restringir a criação de recursos a locais geográficos específicos.
  • Desative a criação de contas de serviço ou das chaves delas.

Criptografar dados em repouso e em trânsito

Essa recomendação é relevante para as seguintes áreas de foco:

  • Segurança da infraestrutura
  • Segurança de dados

A criptografia de dados é um controle fundamental para proteger informações sensíveis e é uma parte importante da governança de dados. Uma estratégia eficaz de proteção de dados inclui controle de acesso, segmentação de dados e residência geográfica, auditoria e implementação de criptografia com base em uma avaliação cuidadosa dos requisitos.

Por padrão, Google Cloud criptografa os dados do cliente armazenados em repouso, sem que você precise fazer nada. Além da criptografia padrão, Google Cloud oferece opções para criptografia de envelopes e gerenciamento de chaves de criptografia. Identifique as soluções que melhor se adaptam às suas necessidades de geração, armazenamento e rotação de chave, seja para chaves de armazenamento, computação ou cargas de trabalho de Big Data. Por exemplo, chaves de criptografia gerenciadas pelo cliente (CMEKs) podem ser criadas no Cloud Key Management Service (Cloud KMS). As CMEKs podem ser baseadas em software ou protegidas por HSM para atender aos requisitos de regulamentação ou compliance, como a necessidade de alternar chaves de criptografia regularmente. O Cloud KMS Autokey permite automatizar o provisionamento e a atribuição de CMEKs. Além disso, é possível usar suas próprias chaves originadas de um sistema de gerenciamento de chaves de terceiros com o Gerenciador de chaves externas do Cloud (Cloud EKM).

Recomendamos que os dados sejam criptografados em trânsito. O Google criptografa e autentica dados em trânsito em uma ou mais camadas de rede quando eles são transferidos para outros limites físicos não controlados pelo Google ou em nome dele. Todo o tráfego de VM para VM em uma rede VPC e entre redes VPC com peering é criptografado. É possível usar o MACsec para criptografar o tráfego em conexões do Cloud Interconnect. O IPsec fornece criptografia para o tráfego por conexões do Cloud VPN. É possível proteger o tráfego de um aplicativo para outro na nuvem usando recursos de segurança, como configurações de TLS e mTLS na Apigee e Cloud Service Mesh para aplicativos contêineres.

Por padrão, Google Cloud criptografa dados em repouso e em trânsito pela rede. No entanto, os dados não são criptografados por padrão enquanto estão em uso na memória. Se a sua organização lida com dados confidenciais, você precisa reduzir as ameaças que comprometem a confidencialidade e a integridade do aplicativo ou dos dados na memória do sistema. Para mitigar essas ameaças, use a computação confidencial, que oferece um ambiente de execução confiável para suas cargas de trabalho de computação. Para mais informações, consulte Visão geral de VMs confidenciais.

Implementar confiança zero

Esse princípio no pilar de segurança do Google Cloud Framework de arquitetura bem estruturada ajuda a garantir a segurança abrangente em todas as cargas de trabalho na nuvem. O princípio de confiança zero enfatiza as seguintes práticas:

  • Como eliminar a confiança implícita
  • Como aplicar o princípio do menor privilégio ao controle de acesso
  • Como forçar a validação explícita de todas as solicitações de acesso
  • Adotar uma mentalidade de suposição de violação para permitir a verificação contínua e o monitoramento da postura de segurança

Visão geral do princípio

O modelo de confiança zero muda o foco da segurança de perímetro para uma abordagem em que nenhum usuário ou dispositivo é considerado confiável por padrão. Em vez disso, cada solicitação de acesso precisa ser verificada, independentemente da origem. Essa abordagem envolve a autenticação e autorização de todos os usuários e dispositivos, a validação do contexto deles (localização e postura do dispositivo) e a concessão de acesso de menor privilégio apenas aos recursos necessários.

A implementação do modelo de confiança zero ajuda sua organização a melhorar a postura de segurança, minimizando o impacto de possíveis violações e protegendo dados e aplicativos sensíveis contra acesso não autorizado. O modelo de confiança zero ajuda a garantir a confidencialidade, a integridade e a disponibilidade de dados e recursos na nuvem.

Recomendações

Para implementar o modelo de confiança zero para suas cargas de trabalho na nuvem, considere as recomendações nas seções a seguir:

Proteger a rede

Esta recomendação é relevante para a seguinte área de foco: segurança da infraestrutura.

A transição da segurança baseada em perímetro convencional para um modelo de confiança zero exige várias etapas. Talvez sua organização já tenha integrado determinados controles de confiança zero à postura de segurança. No entanto, um modelo de confiança zero não é um produto ou solução singular. Em vez disso, é uma integração holística de várias camadas de segurança e práticas recomendadas. Esta seção descreve recomendações e técnicas para implementar a confiança zero para a segurança da rede.

  • Controle de acesso: aplique controles de acesso com base na identidade e no contexto do usuário usando soluções como o Chrome Enterprise Premium e o Identity-Aware Proxy (IAP). Ao fazer isso, você transfere a segurança do perímetro da rede para usuários e dispositivos individuais. Essa abordagem permite o controle de acesso granular e reduz a superfície de ataque.
  • Segurança de rede: proteja as conexões de rede entre seus ambientes locais, Google Cloude multicloud.
  • Design de rede: evite possíveis riscos de segurança excluindo redes padrão em projetos atuais e desativando a criação de redes padrão em novos projetos.
    • Para evitar conflitos, planeje a alocação de rede e endereço IP com cuidado.
    • Para aplicar o controle de acesso de maneira eficaz, limite o número de redes de nuvem privada virtual (VPC) por projeto.
  • Segmentação: isole as cargas de trabalho, mas mantenha o gerenciamento centralizado de rede.
  • Segurança do perímetro: proteja contra ataques DDoS e ameaças a aplicativos da Web.
    • Para se proteger contra ameaças, use o Google Cloud Armor.
    • Configure políticas de segurança para permitir, negar ou redirecionar o tráfego na bordaGoogle Cloud .
  • Automação: automatize o provisionamento de infraestrutura adotando princípios de infraestrutura como código (IaC) e usando ferramentas como o Terraform, o Jenkins e o Cloud Build. A IaC ajuda a garantir configurações de segurança consistentes, implantações simplificadas e rollbacks rápidos em caso de problemas.
  • Base segura: estabeleça um ambiente de aplicativo seguro usando o blueprint de bases empresariais. Este blueprint fornece orientações e scripts de automação para ajudar você a implementar as práticas recomendadas de segurança e configurar seus Google Cloud recursos com segurança.

Verificar cada tentativa de acesso explicitamente

Essa recomendação é relevante para as seguintes áreas de foco:

  • Gerenciamento de identidade e acesso
  • Operações de segurança (SecOps)
  • Geração de registros, auditoria e monitoramento

Implemente mecanismos de autenticação e autorização fortes para qualquer usuário, dispositivo ou serviço que tente acessar seus recursos na nuvem. Não confie no perímetro de local ou de rede como um controle de segurança. Não confie automaticamente em nenhum usuário, dispositivo ou serviço, mesmo que ele já esteja na rede. Em vez disso, toda tentativa de acesso a recursos precisa ser autenticada e autorizada de forma rigorosa. É necessário implementar medidas de verificação de identidade avançadas, como a autenticação multifator (MFA). Você também precisa garantir que as decisões de acesso sejam baseadas em políticas detalhadas que considerem vários fatores contextuais, como função do usuário, postura do dispositivo e localização.

Para implementar essa recomendação, use os seguintes métodos, ferramentas e tecnologias:

  • Gerenciamento unificado de identidade: use um único provedor de identidade (IdP) para garantir o gerenciamento consistente de identidade em toda a organização.
    • OGoogle Cloud oferece suporte à federação com a maioria dos IdPs, incluindo o Active Directory no local. A federação permite estender sua infraestrutura de gerenciamento de identidade atual para Google Cloud e ativar o logon único (SSO) para os usuários.
    • Se você não tiver um IdP, use o Cloud Identity Premium ou o Google Workspace.
  • Permissões limitadas da conta de serviço: use contas de serviço com cuidado e siga o princípio do menor privilégio.
    • Conceda apenas as permissões necessárias para que cada conta de serviço execute as tarefas designadas.
    • Use a Federação de identidade da carga de trabalho para aplicativos executados no Google Kubernetes Engine (GKE) ou fora do Google Cloud para acessar recursos com segurança.
  • Processos robustos: atualize seus processos de identidade para se alinhar às práticas recomendadas de segurança na nuvem.
    • Para ajudar a garantir a conformidade com os requisitos regulamentares, implemente a governança de identidade para rastrear acesso, riscos e violações da política.
    • Revise e atualize seus processos atuais para conceder e auditar papéis e permissões de controle de acesso.
  • Autenticação forte: implemente o SSO para autenticação do usuário e implemente a MFA para contas privilegiadas.
    • OGoogle Cloud oferece suporte a vários métodos de MFA, incluindo chaves de segurança Titan, para aumentar a segurança.
    • Para autenticação de carga de trabalho, use OAuth 2.0 ou JSON Web Tokens (JWTs) assinados.
  • Privilégio mínimo: minimize o risco de acesso não autorizado e violações de dados aplicando os princípios de privilégio mínimo e separação de funções.
    • Evite provisionar demais o acesso do usuário.
    • Considere implementar o acesso privilegiado just-in-time para operações sensíveis.
  • Logging: ative o registro de auditoria para atividades de administrador e de acesso a dados.

Monitorar e manter a rede

Essa recomendação é relevante para as seguintes áreas de foco:

  • Geração de registros, auditoria e monitoramento
  • Segurança para aplicativos
  • Operações de segurança (SecOps)
  • Segurança da infraestrutura

Ao planejar e implementar medidas de segurança, suponha que um invasor já esteja dentro do seu ambiente. Essa abordagem proativa envolve o uso das seguintes ferramentas e técnicas para fornecer visibilidade à sua rede:

  • Registro e monitoramento centralizados: colete e analise registros de segurança de todos os seus recursos de nuvem com o registro e monitoramento centralizados.

    • Estabeleça valores de referência para o comportamento normal da rede, detecte anomalias e identifique possíveis ameaças.
    • Analise continuamente os fluxos de tráfego de rede para identificar padrões suspeitos e possíveis ataques.

  • Insights sobre a performance e a segurança da rede: use ferramentas como o Network Analyzer. Monitore o tráfego em busca de protocolos incomuns, conexões inesperadas ou picos repentinos na transferência de dados, que podem indicar atividade maliciosa.

  • Verificação e remediação de vulnerabilidades: verifique regularmente sua rede e seus aplicativos em busca de vulnerabilidades.

    • Use o Web Security Scanner, que identifica automaticamente vulnerabilidades nas instâncias, contêineres e clusters do GKE do Compute Engine.
    • Priorize a correção com base na gravidade das vulnerabilidades e no impacto potencial delas nos sistemas.

  • Detecção de invasões: monitore o tráfego de rede em busca de atividades maliciosas e bloqueie automaticamente ou receba alertas de eventos suspeitos usando o Cloud IDS e o serviço de prevenção contra invasões do Cloud NGFW.

  • Análise de segurança: implemente o Google SecOps para correlacionar eventos de segurança de várias fontes, fornecer análises em tempo real de alertas de segurança e facilitar a resposta a incidentes.

  • Configurações consistentes: use ferramentas de gerenciamento de configuração para garantir que você tenha configurações de segurança consistentes em toda a rede.

Implementar a segurança shift-left

Esse princípio no pilar de segurança do Google Cloud Framework bem estruturado ajuda a identificar controles práticos que podem ser implementados no início do ciclo de vida de desenvolvimento de software para melhorar sua postura de segurança. Ele fornece recomendações que ajudam a implementar proteções de segurança preventivas e controles de segurança pós-implantação.

Visão geral do princípio

Shift-left security significa adotar práticas de segurança no início do ciclo de vida de desenvolvimento de software. Esse princípio tem os seguintes objetivos:

  • Evite defeitos de segurança antes de fazer mudanças no sistema. Implemente proteções de segurança preventivas e adote práticas como infraestrutura como código (IaC), política como código e verificações de segurança no pipeline de CI/CD. Também é possível usar outros recursos específicos da plataforma, como o serviço de política da organização e os clusters do GKE reforçados em Google Cloud.
  • Detecte e corrija bugs de segurança de forma rápida e confiável depois que as mudanças no sistema forem confirmadas. Adote práticas como revisões de código, verificação de vulnerabilidades pós-implantação e testes de segurança.

Os princípios de segurança Implementar a segurança por design e de deslocamento para a esquerda são relacionados, mas diferem no escopo. O princípio de segurança incorporada ajuda a evitar falhas de design fundamentais que exigiriam a reformulação de todo o sistema. Por exemplo, um exercício de modelagem de ameaças revela que o design atual não inclui uma política de autorização e que todos os usuários teriam o mesmo nível de acesso sem ela. A segurança shift-left ajuda a evitar defeitos de implementação (bugs e configurações incorretas) antes que as mudanças sejam aplicadas e permite correções rápidas e confiáveis após a implantação.

Recomendações

Para implementar o princípio de segurança de shift-left para suas cargas de trabalho na nuvem, considere as recomendações nas seções a seguir:

Adotar controles de segurança preventivos

Essa recomendação é relevante para as seguintes áreas de foco:

  • Gerenciamento de identidade e acesso
  • Governança, risco e compliance na nuvem

Os controles de segurança preventivos são essenciais para manter uma postura de segurança forte na nuvem. Esses controles ajudam a reduzir os riscos de maneira proativa. É possível evitar configurações incorretas e acesso não autorizado a recursos, permitir que os desenvolvedores trabalhem com eficiência e ajudar a garantir a conformidade com os padrões do setor e as políticas internas.

Os controles de segurança preventivos são mais eficazes quando implementados usando infraestrutura como código (IaC). Com a IaC, os controles de segurança preventivos podem incluir verificações mais personalizadas no código da infraestrutura antes que as mudanças sejam implantadas. Quando combinados com a automação, os controles de segurança preventivos podem ser executados como parte das verificações automáticas do pipeline de CI/CD.

Os produtos e recursos Google Cloud abaixo podem ajudar você a implementar controles preventivos no seu ambiente:

O IAM permite que você autorize quem pode atuar em recursos específicos com base nas permissões. Para mais informações, consulte Controle de acesso aos recursos da organização com o IAM.

O serviço de política da organização permite definir restrições em recursos para especificar como eles podem ser configurados. Por exemplo, é possível usar uma política da organização para fazer o seguinte:

Além de usar políticas organizacionais, é possível restringir o acesso a recursos usando os seguintes métodos:

  • Tags com IAM: atribua uma tag a um conjunto de recursos e defina a definição de acesso para a própria tag, em vez de definir as permissões de acesso em cada recurso.
  • Condições do IAM: definem o controle de acesso condicional e baseado em atributos para recursos.
  • Defesa em profundidade: use o VPC Service Controls para restringir ainda mais o acesso aos recursos.

Para mais informações sobre o gerenciamento de recursos, consulte Decidir uma hierarquia de recursos para sua Google Cloud zona de destino.

Automatizar o provisionamento e o gerenciamento de recursos de nuvem

Essa recomendação é relevante para as seguintes áreas de foco:

  • Segurança para aplicativos
  • Governança, risco e compliance na nuvem

A automação do provisionamento e gerenciamento de recursos e cargas de trabalho em nuvem é mais eficaz quando você também adota a IaC declarativa, em vez de scripts imperativos. A IaC não é uma ferramenta ou prática de segurança por si só, mas ajuda a melhorar a segurança da sua plataforma. A adoção da IaC permite criar infraestruturas repetíveis e oferece à equipe de operações um estado válido conhecido. O IaC também melhora a eficiência de rollbacks, mudanças de auditoria e solução de problemas.

Quando combinada com pipelines de CI/CD e automação, a IaC também permite adotar práticas como política como código com ferramentas como a OPA. É possível auditar as mudanças de infraestrutura ao longo do tempo e executar verificações automáticas no código da infraestrutura antes que as mudanças sejam implantadas.

Para automatizar a implantação da infraestrutura, use ferramentas como o Config Controller, o Terraform, o Jenkins e o Cloud Build. Para ajudar você a criar um ambiente de aplicativo seguro usando IaC e automação, Google Cloud fornece o blueprint de bases empresariais. Este blueprint é um design opinativo do Google que segue todas as práticas e configurações recomendadas. O blueprint fornece instruções detalhadas para configurar e implantar a topologia Google Cloud usando o Terraform e o Cloud Build.

É possível modificar os scripts do blueprint de bases empresariais para configurar um ambiente que siga as recomendações do Google e atenda aos seus requisitos de segurança. Você pode criar no blueprint com outros blueprints ou projetar sua própria automação. O Google Cloud Architecture Center fornece outros blueprints que podem ser implementados com base no blueprint de bases empresariais. Confira a seguir alguns exemplos desses modelos:

Automatizar versões seguras de aplicativos

Esta recomendação é relevante para a seguinte área de foco: segurança do aplicativo.

Sem ferramentas automatizadas, pode ser difícil implantar, atualizar e corrigir ambientes de aplicativos complexos para atender a requisitos de segurança consistentes. Recomendamos que você crie pipelines de CI/CD automatizados para o ciclo de vida de desenvolvimento de software (SDLC). Os pipelines automatizados de CI/CD ajudam a remover erros manuais, fornecem loops de feedback de desenvolvimento padronizados e permitem iterações eficientes do produto. A entrega contínua é uma das práticas recomendadas pela estrutura DORA.

A automação de lançamentos de aplicativos usando pipelines de CI/CD ajuda a melhorar sua capacidade de detectar e corrigir bugs de segurança de forma rápida e confiável. Por exemplo, é possível verificar vulnerabilidades de segurança automaticamente quando os artefatos são criados, restringir o escopo das análises de segurança e reverter para uma versão conhecida e segura. Também é possível definir políticas para diferentes ambientes (como desenvolvimento, teste ou produção) para que apenas artefatos verificados sejam implantados.

Para ajudar a automatizar os lançamentos de aplicativos e incorporar verificações de segurança no pipeline de CI/CD,o Google Cloud oferece várias ferramentas, incluindo o Cloud Build, o Cloud Deploy, o Web Security Scanner e a Autorização binária.

Para estabelecer um processo que verifique vários requisitos de segurança no SDLC, use o framework Níveis da cadeia de suprimentos para artefatos de software (SLSA) definido pelo Google. A SLSA exige verificações de segurança para o código-fonte, o processo de build e a procedência do código. Muitos desses requisitos podem ser incluídos em um pipeline de CI/CD automatizado. Para entender como o Google aplica essas práticas internamente, consulte a abordagem doGoogle Cloudem relação à mudança.

Verifique se as implantações do aplicativo seguem os processos aprovados

Esta recomendação é relevante para a seguinte área de foco: segurança do aplicativo.

Se um invasor comprometer seu pipeline de CI/CD, toda a pilha de aplicativos poderá ser afetada. Para proteger o pipeline, aplique um processo de aprovação estabelecido antes de implantar o código na produção.

Se você usa o Google Kubernetes Engine (GKE), o GKE Enterprise ou o Cloud Run, é possível estabelecer um processo de aprovação usando a autorização binária. A autorização binária anexa assinaturas configuráveis a imagens de contêiner. Essas assinaturas (também chamadas de atestados) ajudam a validar a imagem. No momento da implantação, a autorização binária usa esses atestados para determinar se um processo foi concluído. Por exemplo, você pode usar a autorização binária para:

  • Verifique se um sistema de build específico ou um pipeline de CI criou uma imagem de contêiner.
  • Confira se uma imagem de contêiner está em conformidade com uma política de assinatura de vulnerabilidades.
  • Verifique se uma imagem de contêiner transmite os critérios de promoção para o próximo ambiente de implantação, por exemplo, do desenvolvimento para o controle de qualidade.

Ao usar a autorização binária, você pode exigir que apenas o código confiável seja executado nas plataformas de destino.

Verificar vulnerabilidades conhecidas antes da implantação do aplicativo

Esta recomendação é relevante para a seguinte área de foco: segurança do aplicativo.

Recomendamos o uso de ferramentas automatizadas que possam realizar continuamente verificações de vulnerabilidade em artefatos de aplicativos antes que eles sejam implantados na produção.

Para aplicativos contêineres, use o Artifact Analysis para executar automaticamente verificações de vulnerabilidade em imagens de contêiner. O Artifact Analysis verifica as novas imagens quando elas são enviadas para o Artifact Registry. A verificação extrai informações sobre os pacotes do sistema no contêiner. Após a verificação inicial, o Artifact Analysis monitora continuamente os metadados de imagens verificadas no Artifact Registry em busca de novas vulnerabilidades. Quando o Artifact Analysis recebe informações de vulnerabilidade novas e atualizadas de origens de vulnerabilidade, ele faz o seguinte:

  • Atualiza os metadados das imagens digitalizadas para mantê-las atualizadas.
  • Cria novas ocorrências de vulnerabilidade para novas notas.
  • Exclui ocorrências de vulnerabilidade que não são mais válidas.

Monitore o código do aplicativo para buscar vulnerabilidades conhecidas

Esta recomendação é relevante para a seguinte área de foco: segurança do aplicativo.

Use ferramentas automatizadas para monitorar constantemente o código do aplicativo em busca de vulnerabilidades conhecidas, como o OWASP Top 10. Para mais informações sobre Google Cloud produtos e recursos compatíveis com as 10 principais técnicas de mitigação do OWASP, consulte As 10 principais opções de mitigação do OWASP no Google Cloud.

Use o Web Security Scanner para ajudar a identificar vulnerabilidades de segurança nos aplicativos da Web do App Engine, Compute Engine e GKE. O scanner rastreia seu aplicativo, segue todos os links no escopo dos URLs iniciais e tenta acessar o máximo possível de entradas de usuário e manipuladores de eventos. Ele verifica e detecta automaticamente vulnerabilidades comuns, incluindo scripting entre sites, injeção de código, conteúdo misto e bibliotecas desatualizadas ou não seguras. O Web Security Scanner oferece identificação precoce desses tipos de vulnerabilidades sem distrair você com falsos positivos.

Além disso, se você usa o GKE Enterprise para gerenciar frotas de clusters do Kubernetes, o painel de postura de segurança mostra recomendações opinativas e acionáveis para melhorar a postura de segurança da sua frota.

Implementar defesa cibernética preventiva

Esse princípio no pilar de segurança do Google Cloud Framework de arquitetura bem estruturada oferece recomendações para criar programas de defesa cibernética robustos como parte da estratégia de segurança geral.

Esse princípio enfatiza o uso da inteligência contra ameaças para orientar proativamente seus esforços nas principais funções de defesa cibernética, conforme definido em The Defender's Advantage: A guide to activating cyber defense.

Visão geral do princípio

Quando você defende seu sistema contra ataques cibernéticos, você tem uma vantagem significativa, mas pouco utilizada contra invasores. Como o fundador da Mandiant afirma, "Você deve saber mais sobre seus negócios, sistemas, topologia e infraestrutura do que qualquer invasor. Isso é uma vantagem incrível." Para ajudar você a usar essa vantagem inerente, este documento fornece recomendações sobre práticas de defesa cibernética proativas e estratégicas que são mapeadas para o framework do Defender's Advantage.

Recomendações

Para implementar a defesa cibernética preventiva para suas cargas de trabalho em nuvem, considere as recomendações nas seções a seguir:

Integrar as funções de defesa cibernética

Essa recomendação é relevante para todas as áreas de foco.

O modelo do Defender's Advantage identifica seis funções essenciais de defesa cibernética: Inteligência, Detecção, Resposta, Validação, Busca e Controle de missão. Cada função se concentra em uma parte única da missão de defesa cibernética, mas essas funções precisam ser bem coordenadas e trabalhar juntas para fornecer uma defesa eficaz. Concentre-se em criar um sistema robusto e integrado em que cada função oferece suporte às outras. Se você precisar de uma abordagem por fases para a adoção, considere a ordem sugerida a seguir. Dependendo do seu nível de maturidade atual na nuvem, da topologia de recursos e do cenário de ameaças específico, talvez seja necessário priorizar determinadas funções.

  1. Inteligência: a função "Inteligência" orienta todas as outras funções. Entender o cenário de ameaças, incluindo os invasores mais prováveis, as táticas, técnicas e procedimentos (TTPs) deles e o possível impacto, é fundamental para priorizar as ações em todo o programa. A função de inteligência é responsável pela identificação de partes interessadas, definição de requisitos de inteligência, coleta, análise e disseminação de dados, automação e criação de um perfil de ameaça cibernética.
  2. Detectar e responder: essas funções são o núcleo da defesa ativa, que envolve identificar e lidar com atividades maliciosas. Essas funções são necessárias para agir de acordo com a inteligência coletada pela função de inteligência. A função Detect requer uma abordagem metodológica que alinhe as detecções aos TTPs do invasor e garanta um registro robusto. A função de resposta precisa se concentrar na triagem inicial, na coleta de dados e na correção de incidentes.
  3. Validar: a função "Validar" é um processo contínuo que garante que o ecossistema de controle de segurança esteja atualizado e funcionando conforme o esperado. Essa função garante que sua organização entenda a superfície de ataque, saiba onde existem vulnerabilidades e meça a eficácia dos controles. A validação de segurança também é um componente importante do ciclo de vida da engenharia de detecção e precisa ser usada para identificar lacunas de detecção e criar novas detecções.
  4. Hunt: a função Hunt envolve a pesquisa proativa de ameaças ativas em um ambiente. Essa função precisa ser implementada quando sua organização tiver um nível de maturidade de referência nas funções de detecção e resposta. A função Hunt amplia os recursos de detecção e ajuda a identificar lacunas e pontos fracos nos controles. A função Hunt precisa ser baseada em ameaças específicas. Essa função avançada se beneficia de uma base de recursos robustos de inteligência, detecção e resposta.
  5. Mission Control: a função Mission Control atua como o hub central que conecta todas as outras funções. Essa função é responsável pela estratégia, comunicação e ação decisiva em todo o programa de defesa cibernética. Ele garante que todas as funções funcionem juntas e estejam alinhadas às metas de negócios da sua organização. É preciso entender claramente a finalidade da função do Controle de missão antes de usá-la para conectar as outras funções.

Use a função de inteligência em todos os aspectos da defesa cibernética

Essa recomendação é relevante para todas as áreas de foco.

Essa recomendação destaca a função de inteligência como parte fundamental de um programa de defesa cibernética forte. A inteligência contra ameaças fornece conhecimento sobre agentes de ameaças, as táticas, técnicas e procedimentos (TTPs) deles e indicadores de comprometimento (IOCs). Esse conhecimento deve informar e priorizar ações em todas as funções de defesa cibernética. Uma abordagem orientada por inteligência ajuda a alinhar as defesas para atender às ameaças que provavelmente afetarão sua organização. Essa abordagem também ajuda na alocação e priorização eficientes de recursos.

Os produtos e recursos Google Cloud a seguir ajudam você a aproveitar a inteligência contra ameaças para orientar suas operações de segurança. Use esses recursos para identificar e priorizar possíveis ameaças, vulnerabilidades e riscos e, em seguida, planeje e implemente as ações adequadas.

  • O Google Security Operations (Google SecOps) ajuda a armazenar e analisar dados de segurança de maneira centralizada. Use o Google SecOps para mapear registros para um modelo comum, aprimorá-los e vinculá-los a linhas do tempo para ter uma visão abrangente dos ataques. Também é possível criar regras de detecção, configurar a correspondência de IoC e realizar atividades de busca de ameaças. A plataforma também oferece detecções selecionadas, que são regras predefinidas e gerenciadas para ajudar a identificar ameaças. O Google SecOps também pode ser integrado à inteligência da linha de frente da Mandiant. O Google SecOps integra de forma exclusiva a IA líder do setor, além de inteligência contra ameaças da Mandiant e do VirusTotal do Google. Essa integração é essencial para avaliar ameaças e entender quem está visando sua organização e o possível impacto.

  • O Security Command Center Enterprise, que é desenvolvido pela IA do Google, permite que profissionais de segurança avaliem, investiguem e respondam de forma eficiente a problemas de segurança em vários ambientes de nuvem. Os profissionais de segurança que podem se beneficiar do Security Command Center incluem analistas da central de operações de segurança (SOC), analistas de vulnerabilidade e postura e gerentes de compliance. O Security Command Center Enterprise enriquece dados de segurança, avalia riscos e prioriza vulnerabilidades. Essa solução fornece às equipes as informações necessárias para lidar com vulnerabilidades de alto risco e remediar ameaças ativas.

  • O Chrome Enterprise Premium oferece proteção de dados e contra ameaças, o que ajuda a proteger os usuários contra riscos de exfiltração e impede que malwares entrem em dispositivos gerenciados pela empresa. O Chrome Enterprise Premium também oferece visibilidade de atividades inseguras ou potencialmente inseguras que podem acontecer no navegador.

  • O monitoramento de rede, com ferramentas como o Network Intelligence Center, oferece visibilidade sobre o desempenho da rede. O monitoramento de rede também pode ajudar a detectar padrões de tráfego incomuns ou detectar quantidades de transferência de dados que possam indicar um ataque ou uma tentativa de exfiltração de dados.

Entenda e aproveite a vantagem do defensor

Essa recomendação é relevante para todas as áreas de foco.

Como mencionado anteriormente, você tem uma vantagem sobre os invasores quando tem um entendimento completo dos seus negócios, sistemas, topologia e infraestrutura. Para aproveitar essa vantagem de conhecimento, use esses dados sobre seus ambientes durante o planejamento de defesa cibernética.

OGoogle Cloud oferece os seguintes recursos para ajudar você a ter visibilidade proativa para identificar ameaças, entender os riscos e responder de forma oportuna para reduzir possíveis danos:

  • O Chrome Enterprise Premium ajuda a melhorar a segurança dos dispositivos corporativos, protegendo os usuários contra riscos de exfiltração. Ele estende os serviços de Proteção de dados sensíveis ao navegador e evita malware. Ele também oferece recursos como proteção contra malware e phishing para evitar a exposição a conteúdo não seguro. Além disso, ele oferece controle sobre a instalação de extensões para ajudar a evitar extensões não seguras ou não verificadas. Esses recursos ajudam a estabelecer uma base segura para suas operações.

  • O Security Command Center Enterprise oferece um mecanismo de risco contínuo que oferece análise e gerenciamento de risco abrangentes e contínuos. O recurso do mecanismo de risco enriquece dados de segurança, avalia riscos e prioriza vulnerabilidades para ajudar a corrigir problemas rapidamente. O Security Command Center permite que sua organização identifique proativamente as fraquezas e implemente mitigações.

  • O Google SecOps centraliza dados de segurança e fornece registros enriquecidos com cronogramas. Isso permite que os defensores identifiquem proativamente comprometimentos ativos e adaptem as defesas com base no comportamento dos invasores.

  • O monitoramento de rede ajuda a identificar atividades irregulares que podem indicar um ataque e fornece indicadores iniciais que podem ser usados para tomar medidas. Para ajudar a proteger proativamente seus dados contra roubo, monitore continuamente a exfiltração de dados e use as ferramentas fornecidas.

Valide e melhore suas defesas continuamente

Essa recomendação é relevante para todas as áreas de foco.

Essa recomendação enfatiza a importância de testes direcionados e validação contínua de controles para entender os pontos fortes e fracos em toda a superfície de ataque. Isso inclui a validação da eficácia de controles, operações e pessoal por métodos como estes:

Você também precisa procurar ativamente ameaças e usar os resultados para melhorar a detecção e a visibilidade. Use as ferramentas a seguir para testar e validar continuamente suas defesas contra ameaças reais:

  • O Security Command Center Enterprise oferece um mecanismo de risco contínuo para avaliar vulnerabilidades e priorizar a correção, o que permite a avaliação contínua da sua postura de segurança geral. Ao priorizar problemas, o Security Command Center Enterprise ajuda a garantir que os recursos sejam usados de maneira eficaz.

  • O Google SecOps oferece detecções selecionadas e de busca de ameaças que permitem identificar proativamente os pontos fracos dos seus controles. Esse recurso permite testes contínuos e melhora sua capacidade de detectar ameaças.

  • O Chrome Enterprise Premium oferece recursos de proteção de dados e contra ameaças que podem ajudar a lidar com ameaças novas e em evolução, além de atualizar continuamente suas defesas contra riscos de exfiltração e malware.

  • O Cloud Next Generation Firewall (NGFW) oferece monitoramento de rede e de exfiltração de dados. Esses recursos podem ajudar você a validar a eficácia da sua postura de segurança atual e identificar possíveis fraquezas. O monitoramento de extração de dados ajuda a validar a força dos mecanismos de proteção de dados da sua organização e a fazer ajustes proativos quando necessário. Ao integrar as descobertas de ameaças do Cloud NGFW ao Security Command Center e ao Google SecOps, é possível otimizar a detecção de ameaças baseada em rede, a resposta a ameaças e automatizar playbooks. Para mais informações sobre essa integração, consulte Como unificar as defesas da nuvem: Security Command Center e Cloud NGFW Enterprise.

Gerenciar e coordenar os esforços de defesa cibernética

Essa recomendação é relevante para todas as áreas de foco.

Como descrito anteriormente em Integrar as funções de defesa cibernética, a função de controle de missão interconecta as outras funções do programa de defesa cibernética. Essa função permite a coordenação e o gerenciamento unificado em todo o programa. Ele também ajuda a coordenar com outras equipes que não trabalham com segurança cibernética. A função do Mission Control promove o empoderamento e a responsabilidade, facilita a agilidade e a especialização e impulsiona a responsabilidade e a transparência.

Os produtos e recursos a seguir podem ajudar você a implementar a função do Mission Control:

  • O Security Command Center Enterprise funciona como um hub central para coordenar e gerenciar suas operações de defesa cibernética. Ele reúne ferramentas, equipes e dados, além dos recursos de resposta integrados do Google SecOps. O Security Command Center oferece visibilidade clara do estado de segurança da sua organização e permite a identificação de configurações incorretas de segurança em diferentes recursos.
  • O Google SecOps oferece uma plataforma para que as equipes respondam a ameaças mapeando registros e criando linhas do tempo. Também é possível definir regras de detecção e pesquisar ameaças.
  • O Google Workspace e o Chrome Enterprise Premium ajudam a gerenciar e controlar o acesso do usuário final a recursos sensíveis. É possível definir controles de acesso granulares com base na identidade do usuário e no contexto de uma solicitação.
  • O monitoramento de rede fornece insights sobre o desempenho dos recursos de rede. É possível importar insights de monitoramento de rede para o Security Command Center e o Google SecOps para monitoramento centralizado e correlação com outros pontos de dados baseados em linha do tempo. Essa integração ajuda a detectar e responder a possíveis mudanças no uso da rede causadas por atividades maliciosas.
  • O monitoramento de exfiltração de dados ajuda a identificar possíveis incidentes de perda de dados. Com esse recurso, você pode mobilizar uma equipe de resposta a incidentes de maneira eficiente, avaliar os danos e limitar a extração de dados. Você também pode melhorar as políticas e os controles atuais para garantir a proteção de dados.

Resumo do produto

A tabela a seguir lista os produtos e recursos descritos neste documento e os associa às recomendações e aos recursos de segurança associados.

Google Cloud produto Recomendações aplicáveis
Google SecOps Usar a função de inteligência em todos os aspectos da defesa cibernética: Ativa a busca de ameaças e a correspondência de IoC e se integra ao Mandiant para avaliação abrangente de ameaças.

Entender e aproveitar a vantagem do defensor: oferece detecções selecionadas e centraliza dados de segurança para a identificação proativa de comprometimentos.

Validar e melhorar continuamente as defesas: permite o teste e a melhoria contínuos dos recursos de detecção de ameaças.

Gerenciar e coordenar os esforços de defesa cibernética com o Mission Control: oferece uma plataforma para resposta a ameaças, análise de registros e criação de cronogramas.

Security Command Center Enterprise Use a função de inteligência em todos os aspectos da defesa cibernética: usa a IA para avaliar riscos, priorizar vulnerabilidades e fornecer insights úteis para correção.

Entender e aproveitar a vantagem do defensor: oferece análise abrangente de risco, priorização de vulnerabilidades e identificação proativa de pontos fracos.

Valide e melhore suas defesas continuamente: oferece avaliação contínua da postura de segurança e priorização de recursos.

Gerenciar e coordenar esforços de defesa cibernética com o Mission Control: atua como um hub central para gerenciar e coordenar operações de defesa cibernética.

Chrome Enterprise Premium Usar a função de inteligência em todos os aspectos da defesa cibernética: protege os usuários contra riscos de exfiltração, evita malware e oferece visibilidade sobre atividades inseguras do navegador.

Entender e aproveitar a vantagem do defensor: aumenta a segurança dos dispositivos corporativos com proteção de dados, prevenção de malware e controle sobre extensões.

Valide e melhore suas defesas continuamente: endereça ameaças novas e em evolução com atualizações contínuas das defesas contra riscos de exfiltração e malware.

Gerenciar e coordenar esforços de defesa cibernética com o controle de missão: gerencie e controle o acesso do usuário final a recursos sensíveis, incluindo controles de acesso granulares.

Google Workspace Gerenciar e coordenar esforços de defesa cibernética com o controle de missão: gerencie e controle o acesso do usuário final a recursos sensíveis, incluindo controles de acesso granulares.
Network Intelligence Center Use a função de inteligência em todos os aspectos da defesa cibernética: oferece visibilidade sobre o desempenho da rede e detecta padrões de tráfego ou transferências de dados incomuns.
Cloud NGFW Validar e melhorar suas defesas continuamente: otimiza a detecção e a resposta a ameaças baseadas em rede pela integração com o Security Command Center e o Google SecOps.

Usar a IA de forma segura e responsável

Esse princípio no pilar de segurança do Google Cloud framework bem estruturado oferece recomendações para ajudar a proteger seus sistemas de IA. Essas recomendações estão alinhadas ao framework de IA segura (SAIF) do Google, que oferece uma abordagem prática para lidar com as preocupações de segurança e risco dos sistemas de IA. O SAIF é um framework conceitual que visa fornecer padrões em todo o setor para criar e implantar IA de maneira responsável.

Visão geral do princípio

Para garantir que seus sistemas de IA atendam aos requisitos de segurança, privacidade e compliance, adote uma estratégia holística que comece com o design inicial e se estenda à implantação e às operações. É possível implementar essa estratégia holística aplicando os seis elementos principais do SAIF.

O Google usa a IA para melhorar as medidas de segurança, como identificar ameaças, automatizar tarefas de segurança e melhorar os recursos de detecção, mantendo as pessoas envolvidas nas decisões críticas.

O Google enfatiza uma abordagem colaborativa para melhorar a segurança da IA. Essa abordagem envolve parcerias com clientes, setores e governos para aprimorar as diretrizes do SAIF e oferecer recursos práticos e úteis.

As recomendações para implementar esse princípio estão agrupadas nas seguintes seções:

Recomendações para usar a IA com segurança

Para usar a IA com segurança, você precisa de controles de segurança básicos e específicos para IA. Esta seção fornece uma visão geral das recomendações para garantir que as implantações de IA e ML atendam aos requisitos de segurança, privacidade e compliance da sua organização. Para ter uma visão geral dos princípios e recomendações de arquitetura específicos para cargas de trabalho de IA e ML em Google Cloud, consulte a perspectiva de IA e ML no Framework bem estruturado.

Definir metas e requisitos claros para o uso da IA

Essa recomendação é relevante para as seguintes áreas de foco:

  • Governança, risco e compliance na nuvem
  • Segurança de IA e ML

Essa recomendação está alinhada ao elemento do SAIF sobre contextualizar os riscos do sistema de IA nos processos comerciais de apoio. Ao projetar e evoluir sistemas de IA, é importante entender as metas de negócios, os riscos e os requisitos de compliance específicos.

Manter os dados seguros e evitar perdas ou manuseio indevido

Essa recomendação é relevante para as seguintes áreas de foco:

  • Segurança da infraestrutura
  • Gerenciamento de identidade e acesso
  • Segurança de dados
  • Segurança para aplicativos
  • Segurança de IA e ML

Essa recomendação está alinhada com os seguintes elementos do SAIF:

  • Amplie as bases robustas de segurança para o ecossistema de IA. Esse elemento inclui coleta, armazenamento, controle de acesso e proteção contra envenenamento de dados.
  • Contextualize os riscos dos sistemas de IA. Dê ênfase na segurança de dados para apoiar os objetivos de negócios e a conformidade.

Manter os pipelines de IA seguros e robustos contra adulteração

Essa recomendação é relevante para as seguintes áreas de foco:

  • Segurança da infraestrutura
  • Gerenciamento de identidade e acesso
  • Segurança de dados
  • Segurança para aplicativos
  • Segurança de IA e ML

Essa recomendação está alinhada com os seguintes elementos do SAIF:

  • Amplie as bases robustas de segurança para o ecossistema de IA. Como elemento chave para estabelecer um sistema de IA seguro, proteja seus artefatos de código e modelo.
  • Ajustar os controles para ciclos de feedback mais rápidos. Como é importante para a mitigação e a resposta a incidentes, acompanhe seus recursos e execuções de pipeline.

Implantar apps em sistemas seguros usando ferramentas e artefatos seguros

Essa recomendação é relevante para as seguintes áreas de foco:

  • Segurança da infraestrutura
  • Gerenciamento de identidade e acesso
  • Segurança de dados
  • Segurança para aplicativos
  • Segurança de IA e ML

O uso de sistemas seguros e ferramentas e artefatos validados em aplicativos baseados em IA está alinhado com o elemento do SAIF sobre a expansão de bases de segurança fortes para o ecossistema de IA e a cadeia de suprimentos. Para resolver essa recomendação, siga estas etapas:

Proteger e monitorar entradas

Essa recomendação é relevante para as seguintes áreas de foco:

  • Geração de registros, auditoria e monitoramento
  • Operações de segurança
  • Segurança de IA e ML

Essa recomendação está alinhada com o elemento SAIF sobre estender a detecção e resposta para trazer a IA para o universo de ameaças da organização. Para evitar problemas, é fundamental gerenciar comandos para sistemas de IA generativa, monitorar entradas e controlar o acesso do usuário.

Recomendações para governança de IA

Todas as recomendações desta seção são relevantes para a seguinte área de foco: governança, risco e compliance na nuvem.

OGoogle Cloud oferece um conjunto robusto de ferramentas e serviços que podem ser usados para criar sistemas de IA responsáveis e éticos. Também oferecemos um framework de políticas, procedimentos e considerações éticas que podem orientar o desenvolvimento, a implantação e o uso de sistemas de IA.

Como refletido nas nossas recomendações, a abordagem do Google para governança de IA é guiada pelos seguintes princípios:

  • Imparcialidade
  • Transparência
  • Responsabilidade
  • Privacidade
  • Segurança

Usar indicadores de imparcialidade

A Vertex AI pode detectar vieses durante a coleta de dados ou o processo de avaliação pós-treinamento. A Vertex AI fornece métricas de avaliação de modelo como viés de dados e viés de modelo para ajudar você a avaliar o modelo quanto ao viés.

Essas métricas estão relacionadas à imparcialidade em diferentes categorias, como raça, gênero e classe. No entanto, interpretar desvios estatísticos não é um exercício simples, porque as diferenças entre as categorias podem não ser resultado de viés ou um indicador de dano.

Usar a Vertex Explainable AI

Para entender como os modelos de IA tomam decisões, use a Vertex Explainable AI. Esse recurso ajuda a identificar possíveis vieses ocultos na lógica do modelo.

Esse recurso de explicabilidade é integrado ao BigQuery ML e à Vertex AI, que oferecem explicações baseadas em atributos. É possível fazer a explicabilidade no BigQuery ML ou registrar seu modelo na Vertex AI e fazer a explicabilidade na Vertex AI.

Rastrear linhagem de dados

Acompanhe a origem e a transformação dos dados usados nos seus sistemas de IA. Esse rastreamento ajuda a entender a jornada dos dados e identificar possíveis fontes de viés ou erro.

A linhagem de dados é um recurso do Dataplex que permite acompanhar como os dados se movimentam nos sistemas: de onde vêm, para onde são transmitidos e quais transformações são aplicadas a eles.

Estabelecer a responsabilidade

Estabeleça responsabilidades claras para o desenvolvimento, a implantação e os resultados dos seus sistemas de IA.

Use o Cloud Logging para registrar os principais eventos e decisões feitas pelos seus sistemas de IA. Os registros fornecem um histórico de auditoria para ajudar você a entender o desempenho do sistema e identificar áreas que precisam de melhorias.

Use o Error Reporting para analisar sistematicamente os erros cometidos pelos sistemas de IA. Essa análise pode revelar padrões que apontam para vieses ou áreas em que o modelo precisa de mais refinamento.

Implementar a privacidade diferencial

Durante o treinamento do modelo, adicione ruído aos dados para dificultar a identificação de pontos de dados individuais, mas permitindo que o modelo aprenda de maneira eficaz. Com o SQL no BigQuery, é possível transformar os resultados de uma consulta com agregações diferencialmente particulares.

Usar a IA para segurança

Esse princípio no pilar de segurança do Google Cloud Framework com boa arquitetura fornece recomendações para usar a IA e melhorar a segurança das cargas de trabalho na nuvem.

Devido ao aumento do número e da sofisticação dos ataques cibernéticos, é importante aproveitar o potencial da IA para melhorar a segurança. A IA pode ajudar a reduzir o número de ameaças, o esforço manual exigido pelos profissionais de segurança e compensar a escassez de especialistas no domínio da segurança cibernética.

Visão geral do princípio

Use os recursos de IA para melhorar seus sistemas e processos de segurança. É possível usar o Gemini em Security e os recursos de IA intrínsecos integrados aos serviços do Google Cloud .

Esses recursos de IA podem transformar a segurança, oferecendo assistência em todas as etapas do ciclo de vida da segurança. Por exemplo, é possível usar a IA para fazer o seguinte:

  • Analise e explique códigos potencialmente maliciosos sem fazer engenharia reversa.
  • Reduza o trabalho repetitivo para profissionais de segurança cibernética.
  • Use a linguagem natural para gerar consultas e interagir com dados de eventos de segurança.
  • Mostre informações contextuais.
  • Ofereça recomendações para respostas rápidas.
  • Ajudar na correção de eventos.
  • Resuma alertas de alta prioridade para configurações incorretas e vulnerabilidades, destacando possíveis impactos e recomendando mitigações.

Níveis de autonomia de segurança

A IA e a automação podem ajudar você a alcançar melhores resultados de segurança ao lidar com ameaças de segurança cibernética em constante evolução. Ao usar a IA para segurança, você pode alcançar níveis mais altos de autonomia para detectar e evitar ameaças e melhorar sua postura de segurança geral. O Google define quatro níveis de autonomia quando você usa a IA para segurança, e eles descrevem o papel crescente da IA em ajudar e, eventualmente, liderar tarefas de segurança:

  1. Manual: as pessoas executam todas as tarefas de segurança (prevenir, detectar, priorizar e responder) em todo o ciclo de vida da segurança.
  2. Assistida: ferramentas de IA, como o Gemini, aumentam a produtividade humana ao resumir informações, gerar insights e fazer recomendações.
  3. Semiautônoma: a IA assume a responsabilidade principal por muitas tarefas de segurança e delega a humanos somente quando necessário.
  4. Autônoma: a IA atua como um assistente confiável que impulsiona o ciclo de vida de segurança com base nas metas e preferências da sua organização, com mínima intervenção humana.

Recomendações

As seções a seguir descrevem as recomendações para usar a IA para segurança. As seções também indicam como as recomendações se alinham aos elementos principais do framework de IA segura (SAIF) do Google e como elas são relevantes para os níveis de autonomia de segurança.

Melhorar a detecção e a resposta a ameaças com a IA

Essa recomendação é relevante para as seguintes áreas de foco:

  • Operações de segurança (SecOps)
  • Geração de registros, auditoria e monitoramento

A IA pode analisar grandes volumes de dados de segurança, oferecer insights sobre o comportamento de agentes de ameaças e automatizar a análise de códigos potencialmente maliciosos. Essa recomendação está alinhada aos seguintes elementos do SAIF:

  • Estender a detecção e a resposta para que também considerem as ameaças com base em IA
  • Automatize as defesas para acompanhar as ameaças atuais e novas.

Dependendo da sua implementação, essa recomendação pode ser relevante para os seguintes níveis de autonomia:

  • Assistida: a IA ajuda na análise e detecção de ameaças.
  • Semiautônoma: a IA assume mais responsabilidade pela tarefa de segurança.

A Inteligência contra ameaças do Google, que usa IA para analisar o comportamento dos usuários que causam ameaças e o código malicioso, pode ajudar você a implementar essa recomendação.

Simplificar a segurança de especialistas e não especialistas

Essa recomendação é relevante para as seguintes áreas de foco:

  • Operações de segurança (SecOps)
  • Governança, risco e compliance na nuvem

As ferramentas com tecnologia de IA podem resumir alertas e recomendar mitigações. Esses recursos podem tornar a segurança mais acessível para uma gama mais ampla de profissionais. Esta recomendação está alinhada com os seguintes elementos do SAIF:

  • Automatize as defesas para acompanhar as ameaças atuais e novas.
  • Ajustar os controles no nível da plataforma para garantir uma segurança consistente em toda a organização.

Dependendo da sua implementação, essa recomendação pode ser relevante para os seguintes níveis de autonomia:

  • Assistida: a IA ajuda a melhorar a acessibilidade das informações de segurança.
  • Semiautônoma: a IA ajuda a tornar as práticas de segurança mais eficazes para todos os usuários.

O Gemini no Security Command Center pode fornecer resumos de alertas para configurações incorretas e vulnerabilidades.

Automatizar tarefas de segurança demoradas com IA

Essa recomendação é relevante para as seguintes áreas de foco:

  • Segurança da infraestrutura
  • Operações de segurança (SecOps)
  • Segurança para aplicativos

A IA pode automatizar tarefas, como analisar malware, gerar regras de segurança e identificar configurações incorretas. Esses recursos podem ajudar a reduzir a carga de trabalho das equipes de segurança e acelerar os tempos de resposta. Essa recomendação está alinhada ao elemento SAIF sobre a automatização de defesas para acompanhar ameaças novas e antigas.

Dependendo da sua implementação, essa recomendação pode ser relevante para os seguintes níveis de autonomia:

  • Assistida: a IA ajuda a automatizar tarefas.
  • Semiautônoma: a IA assume a responsabilidade principal pelas tarefas de segurança e solicita assistência humana apenas quando necessário.

O Gemini no Google SecOps pode ajudar a automatizar tarefas de alto esforço, auxiliando analistas, recuperando o contexto relevante e fazendo recomendações para as próximas etapas.

Incorporar a IA aos processos de governança e gerenciamento de riscos

Esta recomendação é relevante para a seguinte área de foco: governança, risco e compliance na nuvem.

Você pode usar a IA para criar um inventário de modelos e perfis de risco. Você também pode usar a IA para implementar políticas de privacidade de dados, risco cibernético e risco de terceiros. Essa recomendação está alinhada ao elemento do SAIF sobre contextualizar os riscos do sistema de IA nos processos comerciais de apoio.

Dependendo da sua implementação, essa recomendação pode ser relevante para o nível de autonomia semiautônoma. Nesse nível, a IA pode orquestrar agentes de segurança que executam processos para alcançar suas metas de segurança personalizadas.

Implementar práticas de desenvolvimento seguras para sistemas de IA

Essa recomendação é relevante para as seguintes áreas de foco:

  • Segurança para aplicativos
  • Segurança de IA e ML

É possível usar a IA para codificação segura, limpeza de dados de treinamento e validação de ferramentas e artefatos. Essa recomendação está alinhada ao elemento do SAIF sobre ampliar as bases de segurança para o ecossistema de IA.

Essa recomendação pode ser relevante para todos os níveis de autonomia de segurança, porque um sistema de IA seguro precisa estar em vigor antes que a IA possa ser usada de forma eficaz para segurança. A recomendação é mais relevante para o nível assistido, em que as práticas de segurança são aumentadas pela IA.

Para implementar essa recomendação, siga as diretrizes de Níveis da cadeia de suprimentos para artefatos de software (SLSA) para artefatos de IA e use imagens de contêiner validadas.

Atenda às necessidades regulatórias, de compliance e de privacidade

Esse princípio no pilar de segurança do Google Cloud Framework de arquitetura bem estruturada ajuda você a identificar e atender aos requisitos de regulamentação, conformidade e privacidade para implantações em nuvem. Esses requisitos influenciam muitas das decisões que você precisa tomar sobre os controles de segurança que precisam ser usados para suas cargas de trabalho no Google Cloud.

Visão geral do princípio

Atender às necessidades regulatórias, de compliance e de privacidade é um desafio inevitável para todas as empresas. Os requisitos regulamentares da nuvem dependem de vários fatores, incluindo:

  • As leis e regulamentações aplicáveis aos locais físicos da sua organização
  • As leis e regulamentações que se aplicam aos locais físicos dos seus clientes
  • Requisitos regulamentares do seu setor

Os regulamentos de privacidade definem como você pode receber, processar, armazenar e gerenciar os dados dos usuários. Seus dados são seus, incluindo os dados que você recebe dos usuários. Portanto, muitos controles de privacidade são de sua responsabilidade, incluindo controles de cookies, gerenciamento de sessões e permissão de usuários.

As recomendações para implementar esse princípio estão agrupadas nas seguintes seções:

Recomendações para lidar com riscos organizacionais

Esta seção traz recomendações para ajudar a identificar e resolver riscos para sua organização.

Identificar riscos para sua organização

Esta recomendação é relevante para a seguinte área de foco: governança, risco e compliance na nuvem.

Antes de criar e implantar recursos no Google Cloud, faça uma avaliação de risco. Essa avaliação precisa determinar os recursos de segurança necessários para atender aos requisitos de segurança internos e externos regulatórios.

Sua avaliação de risco fornece um catálogo de riscos específicos da organização e informa sobre a capacidade da organização de detectar e combater ameaças de segurança. É necessário realizar uma análise de risco imediatamente após a implantação e sempre que houver mudanças nas necessidades de negócios, nos requisitos regulamentares ou nas ameaças à sua organização.

Conforme mencionado no princípio Implementar a segurança por design, os riscos de segurança em um ambiente de nuvem são diferentes dos riscos locais. Essa diferença se deve ao modelo de responsabilidade compartilhada na nuvem, que varia de acordo com o serviço (IaaS, PaaS ou SaaS) e seu uso. Use um framework de avaliação de risco específico da nuvem, como a matriz de controles do Cloud (CCM). Use o modelo de ameaças, como a estimativa de ameaça do aplicativo OWASP, para identificar e corrigir vulnerabilidades. Para receber ajuda de especialistas em avaliações de risco, entre em contato com seu representante de contas do Google ou consulte o diretório de parceiros do Google Cloud.

Depois de catalogar seus riscos, você precisa determinar como resolvê-los, ou seja, se quer aceitá-los, evitá-los, transferi-los ou mitigá-los. Para conferir os controles de mitigação que você pode implementar, consulte a próxima seção sobre como reduzir os riscos.

Reduza seus riscos

Esta recomendação é relevante para a seguinte área de foco: governança, risco e compliance na nuvem.

Ao adotar novos serviços de nuvem pública, é possível reduzir os riscos usando controles técnicos, proteções contratuais e verificações ou atestados de terceiros.

Os controles técnicos são recursos e tecnologias usados para proteger o ambiente. Eles incluem controles de segurança na nuvem integrados, como firewalls e geração de registros. Os controles técnicos também podem incluir o uso de ferramentas de terceiros para reforçar ou apoiar sua estratégia de segurança. Há duas categorias de controles técnicos:

  • É possível implementar os controles de segurança do Google Cloudpara ajudar a mitigar os riscos que se aplicam ao seu ambiente. Por exemplo, é possível proteger a conexão entre as redes locais e as redes de nuvem usando o Cloud VPN e o Cloud Interconnect.
  • O Google conta com recursos robustos de controle e auditoria internos para proteger os dados dos clientes contra acesso interno. Nossos registros de auditoria fornecem registros quase em tempo real do acesso do administrador do Google no Google Cloud.

As proteções contratuais se referem aos compromissos jurídicos assumidos por nós em relação aos serviçosGoogle Cloud . O Google tem o compromisso de manter e expandir nosso portfólio de compliance. O Adendo sobre processamento de dados do Cloud (CDPA) descreve nossos compromissos com o processamento e a segurança dos seus dados. O CDPA também descreve os controles de acesso que limitam o acesso dos engenheiros de suporte do Google aos ambientes dos clientes e descreve nossos rigorosos processos de registro e aprovação. Recomendamos que você revise os controles contratuais do Google Cloud com seus especialistas jurídicos e regulamentares e verifique se eles atendem aos seus requisitos. Se você precisar de mais informações, entre em contato com o representante técnico da conta.

Verificações ou atestados de terceiros se referem a uma auditoria de terceiros no provedor de nuvem para garantir que ele atenda aos requisitos de conformidade. Por exemplo, para saber mais sobre Google Cloud atestados em relação às diretrizes da ISO/IEC 27017, consulte ISO/IEC 27017: conformidade. Para conferir as certificações e as cartas de atestado atuais, consulte a Central de recursos de compliance. Google Cloud

Recomendações para atender às obrigações regulatórias e de compliance

Uma jornada típica de compliance tem três estágios: avaliação, remediação de lacunas e monitoramento contínuo. Esta seção fornece recomendações que podem ser usadas em cada uma dessas etapas.

Avaliar suas necessidades de conformidade

Esta recomendação é relevante para a seguinte área de foco: governança, risco e compliance na nuvem.

A avaliação de conformidade começa com uma análise completa de todas as suas obrigações regulamentares e como sua empresa as está implementando. Para ajudar na sua avaliação dos serviços do Google Cloud , use a Central de recursos de compliance. Este site oferece informações sobre:

  • Suporte de serviço para vários regulamentos
  • Google Cloud certificações e atestados

Para entender melhor o ciclo de vida da conformidade no Google e como seus requisitos podem ser atendidos, entre em contato com a equipe de vendas para pedir ajuda a um especialista em compliance do Google. Ou entre em contato com seu Google Cloud gerente de contas para solicitar um workshop de compliance.

Para mais informações sobre ferramentas e recursos que podem ser usados para gerenciar a segurança e o compliance de Google Cloud cargas de trabalho, consulte Como garantir o compliance na nuvem.

Automatizar a implementação de requisitos de compliance

Esta recomendação é relevante para a seguinte área de foco: governança, risco e compliance na nuvem.

Para ajudar a manter a conformidade com as regulamentações em constante mudança, determine se você pode automatizar a implementação dos requisitos de compliance. É possível usar os recursos de compliance fornecidos pelo Google Cloud e os blueprints que usam as configurações recomendadas para um regime de compliance específico.

O Assured Workloads usa os controles do Google Cloud para ajudar você a cumprir suas obrigações de compliance. Você pode fazer o seguinte com o Assured Workloads:

  • Selecione seu regime de conformidade. Em seguida, a ferramenta define automaticamente os controles de acesso da equipe de referência para o regime selecionado.
  • Defina o local dos dados usando políticas da organização para que os dados em repouso e os recursos permaneçam apenas nessa região.
  • Selecione a opção de gerenciamento de chaves (como o período de rotação de chaves) que melhor atende às necessidades de segurança e conformidade.
  • Selecione os critérios de acesso da equipe de suporte do Google para atender a determinados requisitos regulamentares, como o FedRAMP de nível médio. Por exemplo, é possível selecionar se a equipe de suporte do Google concluiu as verificações de histórico adequadas.
  • Use chaves de propriedade do Google e Google-owned and Google-managed encryption key que estejam em conformidade com o FIPS-140-2 e ofereçam suporte à conformidade do FedRAMP Moderado. Para ter uma camada adicional de controle e separação de tarefas, use as chaves de criptografia gerenciadas pelo cliente (CMEK). Para mais informações sobre chaves, consulte Criptografar dados em repouso e em trânsito.

Além do Assured Workloads, você pode usar Google Cloud modelos relevantes para seu regime de compliance. É possível modificar esses blueprints para incorporar as políticas de segurança às implantações de infraestrutura.

Para ajudar você a criar um ambiente que atenda aos seus requisitos de compliance, os blueprints e guias de soluções do Google incluem configurações recomendadas e fornecem módulos do Terraform. A tabela a seguir lista os blueprints que abordam a segurança e o alinhamento com os requisitos de compliance.

Requisito Blueprints e guias de solução
FedRAMP
HIPAA

Monitorar a conformidade

Essa recomendação é relevante para as seguintes áreas de foco:

  • Governança, risco e compliance na nuvem
  • Registro, monitoramento e auditoria

A maioria das regulamentações exige que você monitore atividades específicas, incluindo atividades relacionadas ao acesso. Para ajudar no monitoramento, você pode usar o seguinte:

  • Transparência no acesso: acesse registros quase em tempo real quando Google Cloud os administradores acessam seu conteúdo.
  • Geração de registros de regras de firewall: grave conexões TCP e UDP dentro de uma rede VPC para qualquer regra que você criar. Esses registros podem ser úteis para auditar o acesso à rede ou fornecer aviso antecipado de que a rede está sendo usada de maneira não aprovada.
  • Registros de fluxo de VPC: registram os fluxos de tráfego de rede enviados ou recebidos por instâncias de VM.
  • Security Command Center Premium: monitora a conformidade com vários padrões.
  • OSSEC (ou outra ferramenta de código aberto) para registrar a atividade de indivíduos que têm acesso de administrador ao ambiente.
  • Justificativas de acesso à chave: confira os motivos de uma solicitação de acesso à chave.
  • Notificações do Security Command Center: receba alertas quando ocorrerem problemas de não conformidade. Por exemplo, receba alertas quando os usuários desativar a verificação em duas etapas ou quando as contas de serviço tiverem privilégios em excesso. Também é possível configurar a correção automática para notificações específicas.

Recomendações para gerenciar a soberania de dados

Esta recomendação é relevante para a seguinte área de foco: governança, risco e compliance na nuvem.

A soberania de dados oferece um mecanismo para impedir que o Google acesse seus dados. Você aprova o acesso somente para comportamentos do provedor que você acredita serem necessários. Por exemplo, você pode gerenciar a soberania de dados das seguintes maneiras:

Gerenciar a soberania operacional

Esta recomendação é relevante para a seguinte área de foco: governança, risco e compliance na nuvem.

A soberania operacional oferece garantias de que a equipe do Google não pode comprometer suas cargas de trabalho. Por exemplo, você pode gerenciar a soberania operacional das seguintes maneiras:

Gerenciar a soberania de software

Esta recomendação é relevante para a seguinte área de foco: governança, risco e compliance na nuvem.

A soberania de software oferece garantias de que você pode controlar a disponibilidade das cargas de trabalho e executá-las onde quiser. Além disso, você pode ter esse controle sem depender ou ficar preso a um único provedor de nuvem. A soberania de software inclui a capacidade de sobreviver a eventos que exigem que você mude rapidamente o local de implantação das cargas de trabalho e o nível de conexão externa permitido.

Por exemplo, para ajudar a gerenciar a soberania do software,o Google Cloud oferece suporte a implantações híbridas e de várias nuvens. Além disso, o GKE Enterprise permite gerenciar e implantar seus aplicativos em ambientes locais e em nuvem. Se você escolher implantações no local por motivos de soberania de dados, o Google Distributed Cloud é uma combinação de hardware e software que traz Google Cloud para seu data center.

Recomendações para atender aos requisitos de privacidade

OGoogle Cloud inclui os seguintes controles que promovem a privacidade:

  • Criptografia padrão de todos os dados quando estão em repouso, em trânsito e durante o processamento.
  • Protege contra acesso de pessoas com informações privilegiadas.
  • Compatibilidade com diversas regulamentações de privacidade.

As recomendações a seguir abordam outros controles que você pode implementar. Para mais informações, consulte a Central de recursos de privacidade.

Controlar a residência de dados

Esta recomendação é relevante para a seguinte área de foco: governança, risco e compliance na nuvem.

Essa seção descreve onde seus dados são armazenados em repouso. Os requisitos de residência de dados variam de acordo com os objetivos de design do sistema, questões regulatórias do setor, legislação nacional, implicações fiscais e até mesmo a cultura.

O controle da residência de dados começa com:

  • Entenda o tipo de dados e o local deles.
  • Determine quais riscos existem para seus dados e quais leis e regulamentos se aplicam.
  • Controle onde seus dados são armazenados ou para onde vão.

Para ajudar a cumprir os requisitos de residência de dados, o Google Cloud permite controlar onde seus dados são armazenados, como são acessados e como são processados. É possível usar políticas de local de recursos para restringir onde os recursos são criados e para limitar onde os dados são replicados entre regiões. É possível usar a propriedade de local de um recurso para identificar onde o serviço é implantado e quem o mantém. Para mais informações, consulte Serviços com suporte com locais de recursos.

Classificar seus dados confidenciais

Esta recomendação é relevante para a seguinte área de foco: Segurança de dados.

Defina quais dados são confidenciais e, em seguida, garanta que eles sejam protegidos adequadamente. Os dados confidenciais podem incluir números de cartão de crédito, endereços, números de telefone e outras informações de identificação pessoal (PII). Com a Proteção de dados confidenciais, é possível configurar classificações apropriadas. Em seguida, você pode marcar e tokenizar seus dados antes de armazená-los no Google Cloud. Além disso, o Dataplex oferece um serviço de catálogo que fornece uma plataforma para armazenar, gerenciar e acessar seus metadados. Para mais informações e um exemplo de classificação e desidentificação de dados, consulte Desidentificação e reidentificação de PII usando a proteção de dados sensíveis.

Bloquear o acesso a dados confidenciais

Essa recomendação é relevante para as seguintes áreas de foco:

  • Segurança de dados
  • Gerenciamento de identidade e acesso

Coloque dados sensíveis no próprio perímetro de serviço usando o VPC Service Controls. Os VPC Service Controls melhoram sua capacidade de reduzir o risco de cópia ou transferência não autorizada de dados (exfiltração de dados) de serviços gerenciados pelo Google. Com o VPC Service Controls, é possível configurar os perímetros de segurança em torno dos recursos dos serviços gerenciados pelo Google para controlar a movimentação de dados por todo o perímetro. Defina os controles de acesso do Google Identity and Access Management (IAM) para esses dados. Configure a autenticação multifator (MFA) para todos os usuários que precisam de acesso a dados sensíveis.

Responsabilidades compartilhadas e destino compartilhado no Google Cloud

Este documento descreve as diferenças entre o modelo de responsabilidade compartilhada e o destino compartilhado em Google Cloud. além de discutir os desafios e as nuances do modelo de responsabilidade compartilhada. Este documento também descreve o que é o destino compartilhado e como funciona a parceria com clientes para enfrentar os desafios de segurança na nuvem.

É importante entender o modelo de responsabilidade compartilhada para definir a melhor forma de proteger dados e cargas de trabalho no Google Cloud. O modelo de responsabilidade compartilhada descreve as tarefas de segurança na nuvem e como essas tarefas são diferentes para os provedores de nuvem.

No entanto, entender a responsabilidade compartilhada pode ser um desafio. O modelo exige conhecimento profundo de cada serviço que você usa, das opções de configuração que cada serviço oferece e do que o Google Cloud faz para proteger o serviço. Cada serviço tem um perfil de configuração diferente, e pode ser difícil identificar a melhor configuração de segurança. O Google acredita que o modelo de responsabilidade compartilhada não ajuda os clientes de nuvem a atingir melhores resultados de segurança. Em vez da responsabilidade compartilhada, acreditamos no destino compartilhado.

O destino compartilhado inclui a criação e operação de uma plataforma de nuvem confiável para cargas de trabalho. Temos práticas recomendadas e um código de infraestrutura atestado e seguro que pode ser usado para implantar as cargas de trabalho com segurança. Lançamos soluções que combinam vários Google Cloud serviços para resolver problemas complexos de segurança e oferecemos opções inovadoras de seguro para ajudar você a avaliar e mitigar os riscos que precisa aceitar. O destino compartilhado envolve uma interação mais próxima com você para proteger seus recursos no Google Cloud.

Responsabilidade compartilhada

Você é especialista em requisitos regulamentares e de segurança da sua empresa, e os requisitos para proteger seus dados e recursos confidenciais. Ao executar cargas de trabalho no Google Cloud, você precisa identificar os controles de segurança que precisam ser configurados em Google Cloud para ajudar a proteger seus dados confidenciais e cada carga de trabalho. Para decidir quais controles de segurança serão implementados, considere os seguintes fatores:

  • Obrigações regulatórias de conformidade
  • Padrões de segurança e plano de gerenciamento de riscos da organização
  • Requisitos de segurança de clientes e fornecedores

Definido por cargas de trabalho

Tradicionalmente, as responsabilidades são definidas com base no tipo de carga de trabalho executada e nos serviços de nuvem de que você precisa. Os serviços do Cloud incluem as seguintes categorias:

Serviço em nuvem Descrição
Infraestrutura como serviço (IaaS) Os serviços de IaaS incluem Google Compute Engine, Cloud Storage e serviços de rede, como Cloud VPN, Cloud Load Balancing e Cloud DNS.

A IaaS oferece serviços de computação, armazenamento e rede sob demanda com pagamento por utilização. É possível usar a IaaS para migrar uma carga de trabalho local para a nuvem usando lift-and-shift ou executar o aplicativo em VMs específicas, com determinados bancos de dados ou configurações de rede.

Na IaaS, a maior parte das responsabilidades de segurança é sua, e nossas responsabilidades se concentram na infraestrutura básica e na segurança física.

Plataforma como serviço (PaaS) Os serviços de PaaS incluem App Engine, Google Kubernetes Engine (GKE) e BigQuery.

O PaaS oferece o ambiente de execução em que você desenvolve e executa aplicativos. É possível usar o PaaS para criar um aplicativo (como um site) e se concentrar no desenvolvimento, e não na infraestrutura subjacente.

Na PaaS, somos responsáveis por mais controles do que na IaaS. Normalmente, isso varia de acordo com os serviços e recursos que você usa. Vocês compartilha a responsabilidade conosco pelos controles no nível do aplicativo e pelo gerenciamento do IAM. Você é responsável pela segurança dos dados e pela proteção do cliente.
Software como serviço (SaaS) Os aplicativos de SaaS incluem o Google Workspace, as Operações de segurança do Google e aplicativos SaaS de terceiros disponíveis no Google Cloud Marketplace.

O SaaS oferece aplicativos on-line que você pode assinar ou pagar de alguma maneira. É possível usar aplicativos SaaS quando a empresa não tem a experiência interna ou o requisito de negócios para criar o aplicativo, mas exige a capacidade de processar cargas de trabalho.

Em SaaS, a maior parte das responsabilidades de segurança é nossa. Você é responsável pelos seus controles de acesso e pelos dados que quer armazenar no aplicativo.

Função como serviço (FaaS) ou sem servidor

O FaaS oferece a plataforma para que desenvolvedores executem código pequeno de finalidade única (chamado de funções) em resposta a eventos específicos. Use o FaaS quando quiser que algo específico ocorra com base em um determinado evento. Por exemplo, é possível criar uma função que será executada sempre que os dados forem enviados para o Cloud Storage para classificação.

O FaaS tem uma lista de responsabilidades compartilhadas semelhante à de SaaS. O Cloud Run functions é um aplicativo FaaS.

O diagrama a seguir mostra os serviços em nuvem e define como as responsabilidades são compartilhadas entre o provedor de nuvem e o cliente.

Responsabilidades de segurança compartilhadas

Como mostra o diagrama, o provedor de nuvem sempre permanece responsável pela rede e pela infraestrutura subjacentes, e os clientes sempre são responsáveis pelas políticas de acesso e pelos dados.

Definida pelo setor e pela estrutura regulamentar

Vários setores têm frameworks regulamentares que definem os controles de segurança que precisam ser implementados. Ao mover cargas de trabalho para a nuvem, você precisa entender o seguinte:

  • Quais controles de segurança são de sua responsabilidade
  • Quais controles de segurança estão disponíveis como parte da oferta na nuvem
  • Quais controles de segurança padrão são herdados

Controles de segurança herdados, como nossa criptografia padrão e controles de infraestrutura, são controles que você pode fornecer como parte das evidências da sua posição de segurança a auditores e reguladores. Por exemplo, o Padrão de Segurança de Dados do Setor de Cartões de Pagamento (PCI DSS, na sigla em inglês) define regulamentações para processadores de pagamentos. Quando você migra a empresa para a nuvem, essas regulamentações são compartilhadas entre você e seu CSP. Para entender como as responsabilidades do PCI DSS são compartilhadas entre você e o Google Cloud, consulte Google Cloud: matriz de responsabilidade compartilhada do PCI DSS.

Outro exemplo: nos Estados Unidos, a Lei de Portabilidade e Responsabilidade de Seguros de Saúde (HIPAA, na sigla em inglês) definiu padrões para o tratamento de informações sobre saúde pessoal (PHI, na sigla em inglês) no meio eletrônico. Essas responsabilidades também são compartilhadas entre o CSP e você. Para saber mais sobre como o Google Cloud cumpre nossas responsabilidades de acordo com a HIPAA, consulte HIPAA: compliance.

Outros setores, como finanças ou manufatura, também têm regulamentações que definem como os dados podem ser coletados, processados e armazenados. Para mais informações sobre a responsabilidade compartilhada relacionada a esses setores e como o Google Cloud atende às nossas responsabilidades, consulte a Central de recursos de compliance.

Definida por local

Dependendo do cenário da empresa, talvez você precise considerar suas responsabilidades com base na localização de escritórios, clientes e dados. Diferentes países e regiões criaram regulamentações que informam como processar e armazenar dados de clientes. Por exemplo, caso sua empresa tenha clientes residentes na União Europeia, talvez seja necessário respeitar os requisitos descritos no Regulamento geral de proteção de dados (GDPR) e você tenha a obrigação de manter os dados dos clientes na UE. Nessa circunstância, você é responsável por garantir que os dados coletados permaneçam nas regiõesGoogle Cloud na UE. Para mais informações sobre como cumprimos as obrigações relacionadas ao GDPR, consulte GDPR e Google Cloud.

Para informações sobre os requisitos relacionados à sua região, consulte Ofertas de compliance. Se a situação for particularmente complicada, fale com a equipe de vendas ou com um dos nossos parceiros para ajudar você a avaliar as responsabilidades de segurança.

Desafios da responsabilidade compartilhada

Embora a responsabilidade compartilhada ajude a definir os papéis de segurança que você ou o provedor de nuvem têm, contar com a responsabilidade compartilhada ainda pode criar desafios. Considere os cenários a seguir:

  • A maioria das violações de segurança na nuvem é resultado direto da configuração incorreta (listada como número 3 no relatório Pandemic 11 do Cloud Security Alliance), e essa tendência tende a aumentar. Os produtos de nuvem mudam sempre, e novos produtos são lançados constantemente. Acompanhar a mudança constante pode ser difícil. Os clientes precisam de provedores de nuvem para oferecer práticas recomendadas firmes que ajudam a acompanhar a mudança, começando com as práticas recomendadas por padrão e uma configuração segura de referência.
  • Ainda que a divisão de itens por serviços em nuvem seja útil, muitas empresas têm cargas de trabalho que exigem vários tipos de serviços em nuvem. Nessas circunstâncias, é preciso considerar como vários controles de segurança desses serviços interagem, inclusive se eles se sobrepõem entre os serviços. Por exemplo, é possível migrar um aplicativo local para o Compute Engine, usar o Google Workspace para e-mails corporativos e também executar o BigQuery para analisar dados e melhorar seus produtos.
  • Sua empresa e seus mercados mudam constantemente; conforme as regulamentações mudam, à medida que você entra em novos mercados ou conforme adquire outras empresas. Os novos mercados podem ter requisitos diferentes, e a nova aquisição pode hospedar as cargas de trabalho em outra nuvem. Para gerenciar mudanças constantes, é necessário sempre reavaliar seu perfil de risco e implementar novos controles rapidamente.
  • Como e onde gerenciar chaves de criptografia de dados é uma decisão importante que está vinculada às suas responsabilidades de proteger dados. A opção escolhida depende dos requisitos regulamentares, se você está executando um ambiente de nuvem híbrida ou ainda tem um ambiente local, bem como da confidencialidade dos dados que está processando e armazenando.
  • O gerenciamento de incidentes é uma área importante e geralmente ignorada, em que suas responsabilidades e as do provedor de nuvem não são facilmente definidas. Muitos incidentes exigem colaboração e suporte do provedor de nuvem na investigação e mitigação. Outros incidentes podem resultar de recursos de nuvem mal configurados ou de credenciais roubadas, e garantir que você siga as práticas recomendadas para proteger recursos e contas pode ser uma tarefa desafiadora.
  • Ameaças permanentes avançadas (APTs, na sigla em inglês) e novas vulnerabilidades podem afetar as cargas de trabalho de maneiras que talvez você não considere ao iniciar a transformação na nuvem. É difícil garantir que você se mantenha a atualização nesse cenário em constante mudança e saiba quem é responsável pela mitigação de ameaças, especialmente se a empresa não tiver uma grande equipe de segurança.

Destino compartilhado

Desenvolvemos um destino compartilhado no Google Cloud para começar a enfrentar os desafios que o modelo de responsabilidade compartilhada não soluciona. O destino compartilhado se concentra em como todas as partes podem interagir melhor para melhorar a segurança continuamente. O destino compartilhado se baseia no modelo de responsabilidade compartilhada porque vê a relação entre o provedor de nuvem e o cliente como uma parceria contínua para melhorar a segurança.

Com o destino compartilhado, assumimos a responsabilidade de tornar o Google Cloud mais seguro. O destino compartilhado ajuda você a começar a usar uma zona de destino segura e ser simples, firme e transparente em relação a recomendações de controles de segurança, configurações e as práticas recomendadas associadas. Isso inclui ajudar você a quantificar e gerenciar melhor seus riscos com seguro cibernético por meio do Programa de proteção a riscos. Ao usar o destino compartilhado, queremos evoluir do framework de responsabilidade compartilhada padrão para um modelo melhor que ajuda a proteger sua empresa e criar confiança no Google Cloud.

As seções a seguir descrevem vários componentes do destino compartilhado.

Ajuda para começar

Um componente essencial do destino compartilhado são os recursos que oferecemos para ajudar você a começar, em uma configuração segura do Google Cloud. Começar com uma configuração segura ajuda a reduzir o problema de configurações incorretas, que é a causa raiz da maioria das violações de segurança.

Nossos recursos incluem:

  • Blueprint de bases empresariais, que discute as principais preocupações com a segurança e nossas principais recomendações.

  • Modelos seguros que permitem implantar e manter soluções seguras usando a infraestrutura como código (IaC, na sigla em inglês). Os modelos têm as recomendações de segurança ativadas por padrão. Muitos modelos são criados por equipes de segurança do Google e gerenciados como produtos. Esse suporte significa que eles são atualizados regularmente, passam por um processo de teste rigoroso e recebem atestados de grupos de teste terceirizados. Os blueprints incluem o Blueprint de bases empresariais e o Blueprint de data warehouse seguro.

  • Google Cloud Práticas recomendadas do framework bem estruturado que abordam as principais recomendações para criar designs com segurança integrada. O framework bem estruturado inclui uma seção de segurança e uma zona de comunidade que você pode usar para se conectar com especialistas e colegas.

  • Guias de navegação na zona de destino que orientam sobre as principais decisões que você precisa tomar para criar uma base segura para suas cargas de trabalho, incluindo hierarquia de recursos, integração de identidade, segurança, gerenciamento de chaves e estrutura de rede.

Programa de Proteção Contra Riscos

O destino compartilhado também inclui o Programa de proteção contra riscos (atualmente em pré-lançamento), que ajuda você a usar o poder do Google Cloud como uma plataforma para gerenciar riscos, em vez de apenas ver cargas de trabalho de nuvem como outra fonte de risco que precisa ser gerenciada. O Programa de Proteção Contra Riscos é uma colaboração entre o Google Cloud e duas empresas líderes em seguros cibernéticos, Munique Re e Allianz Global & Corporate Speciality.

O Programa de proteção a riscos inclui o Gerenciador de Risco, que mostra insights baseados em dados que podem ser usados para entender melhor sua postura de segurança na nuvem. Se você estiver procurando cobertura de seguro cibernético, compartilhe os insights do Gerenciador de Risco diretamente com nossos parceiros de seguro para receber uma cotação. Para mais informações, consulte Google Cloud Programa de proteção a riscos agora em Pré-lançamento.

Ajuda com implantação e governança

O destino compartilhado também ajuda na governança contínua do seu ambiente. Por exemplo, concentramos esforços em produtos como estes:

Colocar a responsabilidade compartilhada e o destino compartilhado em prática

Como parte do processo de planejamento, considere as seguintes ações para entender melhor e implementar os controles de segurança apropriados:

  • Crie uma lista dos tipos de cargas de trabalho que você hospedará no Google Cloude se elas exigem serviços IaaS, PaaS e SaaS. Use o diagrama de responsabilidade compartilhada como uma lista de verificação para garantir que você conhece os controles de segurança que precisa considerar.
  • Crie uma lista de requisitos regulamentares que precisam ser cumpridos e acesse recursos na Central de recursos de compliance relacionada a esses requisitos.
  • Veja a lista de arquiteturas e modelos disponíveis no Architecture Center para os controles de segurança necessários para cargas de trabalho específicas. Os modelos contam com uma lista de controles recomendados e o código de IaC necessário para implantar essa arquitetura.
  • Use a documentação da zona de destino e as recomendações no guia de princípios básicos empresariais para projetar uma hierarquia de recursos e uma arquitetura de rede que atendam aos seus requisitos. Use os modelos de carga de trabalho consistentes, como o armazenamento de dados seguro, para acelerar o processo de desenvolvimento.
  • Depois de implantar as cargas de trabalho, verifique se você está cumprindo as responsabilidades de segurança usando serviços como o Gerenciador de Risco, o Assured Workloads, as ferramentas de inteligência de política e o Security Command Center Premium.

Para mais informações, consulte o Guia da ISO para a transformação na nuvem.

A seguir