Google Cloud Framework de la arquitectura: Seguridad, privacidad y cumplimiento

Last reviewed 2025-02-05 UTC

El pilar de seguridad, privacidad y cumplimiento del framework de arquitectura proporciona recomendaciones para ayudarte a diseñar, implementar y operar cargas de trabajo en la nube que cumplan con tus requisitos de seguridad, privacidad y cumplimiento.Google Cloud

Este documento está diseñado para ofrecer estadísticas valiosas y satisfacer las necesidades de una variedad de profesionales y de ingenieros de seguridad. En la siguiente tabla, se describen los públicos previstos para este documento:

Público Qué proporciona este documento
Directores de seguridad de la información (CISO), líderes de unidades de negocio y administradores de TI Un marco general para establecer y mantener la excelencia de la seguridad en la nube y garantizar una vista integral de las áreas de seguridad para tomar decisiones fundamentadas sobre las inversiones en seguridad.
Arquitectos e ingenieros de seguridad Prácticas de seguridad clave para las fases de diseño y operativas que ayudan a garantizar que las soluciones se diseñen para la seguridad, la eficiencia y la escalabilidad.
Equipos de DevSecOps Orientación para incorporar controles de seguridad generales para planificar la automatización que permite una infraestructura segura y confiable.
Funcionarios de cumplimiento y administradores de riesgos Recomendaciones de seguridad clave para seguir un enfoque estructurado de la administración de riesgos con protecciones que ayudan a cumplir con las obligaciones de cumplimiento.

Para garantizar que tus Google Cloud cargas de trabajo cumplan con tus requisitos de seguridad, privacidad y cumplimiento, todas las partes interesadas de tu organización deben adoptar un enfoque colaborativo. Además, debes reconocer que la seguridad en la nube es una responsabilidad que compartes entre tú y Google. Para obtener más información, consulta Responsabilidades compartidas y destino compartido en Google Cloud.

Las recomendaciones de este pilar se agrupan en principios de seguridad básicos. Cada recomendación basada en principios se asigna a una o más de las áreas de enfoque de seguridad en la nube de implementación clave que podrían ser fundamentales para tu organización. En cada recommendation, se destaca la guía sobre el uso y la configuración de los productos y las funciones deGoogle Cloud para ayudar a mejorar la posición de seguridad de tu organización.

Principios básicos

Las recomendaciones de este pilar se agrupan en los siguientes principios básicos de seguridad. Cada principio de este pilar es importante. Según los requisitos de tu organización y carga de trabajo, puedes priorizar ciertos principios.

  • Implementa la seguridad según el diseño: Integra las consideraciones de seguridad de la nube y de la red a partir de la fase de diseño inicial de tus aplicaciones y tu infraestructura. Google Cloud proporciona planes y recomendaciones de arquitectura para ayudarte a aplicar este principio.
  • Implementa la confianza cero: Usa un enfoque de nunca confiar, siempre verificar, en el que se otorga acceso a los recursos en función de la verificación continua de la confianza. Google Cloudrespalda este principio a través de productos como Chrome Enterprise Premium y el Proxy de Identity-Aware (IAP).
  • Implementa la seguridad de detección temprana de errores: Implementa controles de seguridad al principio del ciclo de vida de desarrollo de software. Evita los defectos de seguridad antes de realizar cambios en el sistema. Detecta y corrige errores de seguridad de forma anticipada, rápida y confiable después de que se confirman los cambios del sistema. Google Cloud admite este principio a través de productos como Cloud Build, la Autorización Binaria y Artifact Registry.
  • Implementa una defensa cibernética preventiva: Adopta un enfoque proactivo de la seguridad mediante la implementación de medidas fundamentales sólidas, como la inteligencia sobre amenazas. Este enfoque te ayuda a crear una base para una detección y respuesta de amenazas más eficaces. El enfoque deGoogle Cloudpara los controles de seguridad en capas se alinea con este principio.
  • Usa la IA de forma segura y responsable: Desarrolla e implementa sistemas de IA de forma responsable y segura. Las recomendaciones para este principio están alineadas con la orientación de la perspectiva de la IA y el AA del framework de arquitectura y del Secure AI Framework (SAIF) de Google.
  • Usa la IA para la seguridad: Usa las capacidades de IA para mejorar tus sistemas y procesos de seguridad existentes a través de Gemini en seguridad y las capacidades generales de seguridad de la plataforma. Usa la IA como herramienta para aumentar la automatización del trabajo correctivo y garantizar la higiene de la seguridad para que otros sistemas sean más seguros.
  • Satisface las necesidades regulatorias, de cumplimiento y de privacidad: Satisface las reglamentaciones, los estándares de cumplimiento y los requisitos de privacidad específicos de la industria. Google Cloud te ayuda a cumplir con estas obligaciones a través de productos como Assured Workloads, el servicio de políticas de la organización y nuestro centro de recursos de cumplimiento.

Mentalidad de seguridad de la organización

Una mentalidad organizacional centrada en la seguridad es fundamental para una adopción y operación exitosas de la nube. Esta mentalidad debe estar profundamente arraigada en la cultura de tu organización y reflejarse en sus prácticas, que se guían por los principios de seguridad básicos, como se describió anteriormente.

Una mentalidad de seguridad organizacional enfatiza que debes pensar en la seguridad durante el diseño del sistema, asumir la confianza cero y, además, integrar funciones de seguridad en todo el proceso de desarrollo. Con esta mentalidad, también piensas de forma proactiva sobre las medidas de ciberdefensa, usas la IA de forma segura y consideras tus requisitos de cumplimiento, privacidad y reglamentarios. Si adoptas estos principios, tu organización puede cultivar una cultura que prioriza la seguridad, aborda las amenazas de forma proactiva, protege los recursos valiosos y ayuda a garantizar un uso responsable de la tecnología.

Áreas de enfoque de la seguridad en la nube

En esta sección, se describen las áreas en las que debes enfocarte cuando planificas, implementas y administras la seguridad de tus aplicaciones, sistemas y datos. Las recomendaciones de cada principio de este pilar son relevantes para una o más de estas áreas de enfoque. En el resto de este documento, las recomendaciones especifican las áreas de enfoque de seguridad correspondientes para brindar mayor claridad y contexto.

Área de enfoque Actividades y componentes Productos, funciones y soluciones Google Cloud relacionados
Seguridad de la infraestructura
  • Infraestructura de red segura
  • Encripta los datos en tránsito y en reposo.
  • Controla el flujo de tráfico.
  • Servicios de IaaS y PaaS seguros
  • Protege contra el acceso no autorizado.
Administración de identidades y accesos
  • Usa controles de autenticación, autorización y acceso.
  • Administrar identidades en la nube
  • Administrar las políticas de administración de identidades y accesos
Seguridad de los datos
  • Almacena los datos de forma Google Cloud segura.
  • Controla el acceso a los datos.
  • Descubre y clasifica los datos.
  • Diseña los controles necesarios, como la encriptación, los controles de acceso y la prevención de pérdida de datos.
  • Protege los datos en reposo, en tránsito y en uso.
Seguridad de la IA y el AA
  • Aplica controles de seguridad en diferentes capas de la infraestructura y la canalización de la IA y el AA.
  • Garantiza la seguridad del modelo.
Operaciones de seguridad (SecOps)
  • Adopta una plataforma y un conjunto de prácticas de SecOps modernos para lograr una administración de incidentes, una detección de amenazas y unos procesos de respuesta eficaces.
  • Supervisa los sistemas y las aplicaciones de forma continua para detectar eventos de seguridad.
Seguridad para aplicaciones
  • Protege las aplicaciones contra vulnerabilidades y ataques de software.
Administración, riesgo y cumplimiento de la nube
  • Establece políticas, procedimientos y controles para administrar los recursos de la nube de forma eficaz y segura.
Registro, auditoría y supervisión
  • Analizar los registros para identificar posibles amenazas
  • Hacer un seguimiento y registrar las actividades del sistema para el análisis de cumplimiento y seguridad

Colaboradores

Autores:

  • Wade Holmes | Director de Soluciones Globales
  • Hector Diaz | Arquitecto de seguridad en la nube
  • Carlos Leonardo Rosario | Especialista en seguridad de Google Cloud
  • John Bacon | Arquitecto de Soluciones de Socios
  • Sachin Kalra | Gerente global de Soluciones de seguridad

Otros colaboradores: