Responsabilità e destino condiviso su Google Cloud

Last reviewed 2023-08-21 UTC

Questo documento descrive le differenze tra il modello di responsabilità condivisa e condiviso il destino in Google Cloud. Parla delle sfide e delle sfumature del modello di responsabilità condivisa. Questo documento descrive cos'è il destino condiviso e come collaboriamo con i nostri clienti per affrontare le sfide della sicurezza del cloud.

Comprendere il modello di responsabilità condivisa è importante per stabilire in che modo per proteggere al meglio i dati e i carichi di lavoro su Google Cloud. Lo strumento condiviso il modello di responsabilità descrive le attività che svolgi per quanto riguarda la sicurezza nel cloud e come queste attività sono diverse per i cloud provider.

Comprendere la responsabilità condivisa, tuttavia, può essere difficile. Il modello richiede una conoscenza approfondita di ogni servizio che utilizzi, le opzioni di configurazione offerte da ciascun servizio e le funzionalità per proteggere il servizio. Ogni servizio ha un profilo di configurazione diverso, e può essere difficile determinare la migliore configurazione di sicurezza. Google ritiene che il modello di responsabilità condivisa si ferma subito di aiutare i clienti cloud a ottenere risultati migliori in materia di sicurezza. Invece di essere condiviso responsabilità, crediamo nel destino condiviso.

Il destino condiviso include la creazione e la gestione di una piattaforma cloud affidabile per i carichi di lavoro. Forniamo linee guida sulle best practice e sicurezza, del codice dell'infrastruttura da utilizzare per eseguire il deployment dei carichi di lavoro in modo sicuro. Rilasciamo soluzioni che combinano vari servizi Google Cloud per problemi di sicurezza complessi e offriamo opzioni assicurative innovative per aiutarti misurare e mitigare i rischi che è necessario accettare. La sorte condivisa ci coinvolge a interagire più da vicino con te man mano che proteggi le risorse in Google Cloud.

Responsabilità condivisa

Conosci i requisiti normativi e di sicurezza per il tuo la tua attività e conoscere i requisiti per proteggere i tuoi dati riservati Google Cloud. Quando esegui i tuoi carichi di lavoro su Google Cloud, devi identificare i controlli di sicurezza da configurare in Google Cloud per di proteggere i dati riservati e ogni carico di lavoro. Per decidere quale sicurezza di controllo da implementare, è necessario considerare i seguenti fattori:

  • I tuoi obblighi di conformità normativa
  • Standard di sicurezza e piano di gestione dei rischi della tua organizzazione
  • I requisiti di sicurezza dei tuoi clienti e dei tuoi fornitori

Definite dai carichi di lavoro

Tradizionalmente, le responsabilità vengono definite in base al tipo di carico di lavoro che che esegui e dei servizi cloud di cui hai bisogno. I servizi cloud includono le seguenti categorie:

Servizio cloud Descrizione
Infrastructure as a Service (IaaS) I servizi IaaS includono Compute Engine, Cloud Storage e le funzionalità di networking come Cloud VPN, Cloud Load Balancing e Cloud DNS.

IaaS fornisce servizi di computing, archiviazione e rete on demand con con pagamento a consumo. Puoi utilizzare IaaS se prevedi di eseguire la migrazione di un dei carichi di lavoro on-premise esistenti nel cloud utilizzando lift and shift se vuoi eseguire l'applicazione su particolari VM, usando configurazioni di rete o database.

In IaaS, la maggior parte delle responsabilità in materia di sicurezza sono tua, e le nostre delle responsabilità si concentrano sull'infrastruttura sottostante sicurezza fisica.

Platform as a service (PaaS) I servizi PaaS includono App Engine, Google Kubernetes Engine (GKE) e BigQuery.

PaaS fornisce l'ambiente di runtime che puoi sviluppare ed eseguire per le tue applicazioni. Puoi usare PaaS se stai creando un (ad esempio un sito web) e vuoi concentrarti sullo sviluppo non sull'infrastruttura sottostante.

In PaaS siamo responsabili di più controlli rispetto a quelli IaaS. In genere, questa scelta varia in base ai servizi e alle funzionalità che utilizzi. Condividi con noi la responsabilità a livello di applicazione e gestione IAM. Tu la responsabilità della sicurezza dei dati e della protezione dei clienti.
Software as a Service (SaaS) Le applicazioni SaaS includono Google Workspace, Google Security Operations e applicazioni SaaS di terze parti disponibili in Google Cloud Marketplace.

SaaS fornisce applicazioni online a cui puoi abbonarti o a cui puoi in qualche modo. Puoi utilizzare le applicazioni SaaS quando la tua azienda non dispone delle competenze interne o dei requisiti aziendali per creare la domanda stessa, ma richiede la possibilità di elaborarla carichi di lavoro con scale out impegnativi.

Nel SaaS, abbiamo la maggior parte delle responsabilità in materia di sicurezza. Rimani responsabile dei controlli dell'accesso e dei dati che scegli di di archiviazione nell'applicazione.

Function as a Service (FaaS) o serverless

FaaS offre agli sviluppatori la piattaforma per eseguire piccole codice monouso (chiamato funzioni) che viene eseguito in risposta a determinati eventi. Puoi usare FaaS per cercare ciò che accade in base a un particolare evento. Ad esempio, creare una funzione da eseguire ogni volta che i dati vengono caricati Cloud Storage in modo che possa essere classificata.

FaaS ha un elenco di responsabilità condiviso simile a quello di SaaS. Cloud Functions è un FaaS un'applicazione.

Il seguente diagramma mostra i servizi cloud e definisce il modo in cui le responsabilità vengono condivise tra il cloud provider e il cliente.

Responsabilità di sicurezza condivise

Come mostra il diagramma, il cloud provider rimane sempre responsabile rete e infrastruttura sottostanti e i clienti rimangono sempre responsabili per i dati e i criteri di accesso.

Definite dal settore e dal quadro normativo

Vari settori hanno quadri normativi che definiscono i controlli di sicurezza che deve essere applicata. Quando sposti i carichi di lavoro nel cloud, devi comprendere quanto segue:

  • Quali controlli di sicurezza sono di tua responsabilità
  • Quali controlli di sicurezza sono disponibili nell'ambito dell'offerta cloud
  • Quali controlli di sicurezza predefiniti vengono ereditati

I controlli di sicurezza ereditati (come crittografia predefinita e controlli dell'infrastruttura) controlli che puoi fornire come prova della tua sicurezza la posizione a revisori e regolatori. Ad esempio, i dati relativi al settore delle carte di pagamento Lo standard di sicurezza (PCI DSS) definisce le normative per gli elaboratori dei pagamenti. Quando trasferire la tua attività nel cloud, queste normative sono condivise tra te e il tuo CSP. Per comprendere in che modo le responsabilità PCI DSS sono condivise tra te e Google Cloud, consulta Google Cloud: Matrice di responsabilità condivisa PCI DSS.

Per fare un altro esempio, negli Stati Uniti il team Health Insurance Portability e L'HIPAA (Accountability Act) ha stabilito standard per la gestione dei dati personali elettronici informazioni sanitarie. Queste responsabilità sono condivise anche tra il CSP e te. Per ulteriori informazioni su come Google Cloud soddisfa le nostre responsabilità per la normativa HIPAA, vedi HIPAA - Conformità.

Anche altri settori (come quello finanziario o manifatturiero) hanno delle normative che definiscono il modo in cui i dati possono essere raccolti, elaborati e archiviati. Per maggiori informazioni informazioni sulla responsabilità condivisa correlata a questi aspetti e su come Google Cloud rispetta le nostre responsabilità, vedi Centro risorse per la conformità.

Definito dalla località

A seconda del tuo scenario aziendale, potresti dover prendere in considerazione di responsabilità in base alla località in cui si trovano gli uffici, i clienti e i tuoi dati. Regioni e paesi diversi hanno creato normative che spiegare come puoi elaborare e archiviare i dati dei tuoi clienti. Ad esempio, se ha clienti che risiedono nell'Unione Europea, la tua azienda potrebbe che devono rispettare i requisiti descritti nella Regolamento generale sulla protezione dei dati (GDPR) (GDPR) e potresti avere l'obbligo di conservare i dati dei tuoi clienti nella stessa UE. In questa circostanza, è tua responsabilità garantire che i dati che desideri raccolta rimane nel Regioni di Google Cloud nell'UE. Per ulteriori informazioni su come rispettiamo gli obblighi del GDPR, vedi GDPR e Google Cloud.

Per informazioni sui requisiti relativi alla tua regione, vedi Offerte relative alla conformità. Se il tuo scenario è particolarmente complicato, ti consigliamo di rivolgerti al nostro team di vendita o uno dei nostri partner per aiutarti a valutare le tue responsabilità in termini di sicurezza.

Le sfide della responsabilità condivisa

Sebbene la responsabilità condivisa aiuti a definire i ruoli di sicurezza di un cloud provider, affidarsi alla responsabilità condivisa può comunque creare le sfide più difficili. Considera i seguenti scenari:

  • La maggior parte delle violazioni della sicurezza nel cloud sono il risultato diretto di una configurazione errata (elencato come numero 3 del Cloud Security Alliance's Pandemic 11 Report) e ci si aspetta un aumento di questa tendenza. I prodotti Cloud sono costantemente cambiano e ne vengono costantemente lanciate di nuove. Tenere il passo con un cambiamento costante può sembrare un'impresa ardua. I clienti hanno bisogno di provider di servizi cloud fornire loro best practice utili per stare al passo con i cambiare, iniziando con le best practice predefinite e con una base di riferimento configurazione sicura.
  • Anche se dividere le voci per servizi cloud è utile, molte aziende per gestire carichi di lavoro che richiedono più tipi di servizi cloud. In questo è necessario considerare in che modo i vari controlli di sicurezza interagiscono tra loro, ad esempio se si sovrappongono i servizi di machine learning. Ad esempio, potresti avere un'applicazione on-premise stai eseguendo la migrazione a Compute Engine, utilizza Google Workspace per l'email aziendale ed eseguire BigQuery per analizzare i dati per migliorare i tuoi prodotti.
  • La tua attività e i tuoi mercati sono in continua evoluzione; come normative cambiare, man mano che entri in nuovi mercati o acquisisci altre aziende. Il tuo nuovi mercati potrebbero avere requisiti diversi e la tua nuova acquisizione potrebbero ospitare i propri carichi di lavoro su un altro cloud. Per gestire la costante modifiche, è necessario rivalutare costantemente il profilo di rischio ed essere in grado di implementare rapidamente nuovi controlli.
  • Come e dove gestire le chiavi di crittografia dei dati è importante decisione legata alle tue responsabilità in merito alla protezione dei tuoi dati. La l'opzione scelta dipende dai requisiti normativi, stai eseguendo un ambiente cloud ibrido o hai ancora un ambiente on-premise dell'ambiente di lavoro e la sensibilità dei dati che elabori per l'archiviazione.
  • La gestione degli incidenti è un'area importante e spesso trascurata in cui le tue responsabilità e quelle del cloud provider non sono facilmente definito. Molti incidenti richiedono una stretta collaborazione e supporto da parte del per indagare e mitigarne l'impatto. Altri incidenti possono il risultato di risorse cloud mal configurate o di credenziali rubate; verificando di rispettare le best practice per la protezione delle risorse può essere molto impegnativo.
  • Le minacce persistenti avanzate (APT) e le nuove vulnerabilità possono influire i tuoi carichi di lavoro in modi che potresti non prendere in considerazione e la trasformazione cloud. Assicurarsi di essere aggiornati sui cambiamenti il panorama delle minacce, e chi è responsabile della mitigazione delle minacce è difficile, in particolare se la tua azienda non ha un grande team di sicurezza.

Destino condiviso

Abbiamo sviluppato il destino condiviso in Google Cloud per iniziare ad affrontare sfide non affrontate dal modello di responsabilità condivisa. Destino condiviso si concentra sul modo in cui tutte le parti possono interagire al meglio per migliorare continuamente la sicurezza. Il destino condiviso si basa sul modello di responsabilità condivisa perché rapporto tra cloud provider e cliente come una partnership continuativa migliorare la sicurezza.

Il destino condiviso riguarda la responsabilità di rendere Google Cloud in modo più sicuro. Il destino condiviso include l'aiutarti a iniziare con una rete zona di destinazione ed essere chiari, guidati e trasparenti in merito alla sicurezza consigliata controlli, impostazioni e best practice associate. oltre ad aiutarti quantificare e gestire meglio il rischio con l’assicurazione informatica, utilizzando il nostro strumento Programma di protezione dei dati. Usando il destino condiviso, vogliamo evolverci di responsabilità condivisa a un modello migliore che ti aiuti a proteggere e creare fiducia in Google Cloud.

Le seguenti sezioni descrivono i vari componenti del destino condiviso.

Un aiuto per iniziare

Un elemento fondamentale del destino condiviso sono le risorse che forniamo per aiutarti a ottenere una configurazione sicura in Google Cloud. Inizia con una sicurezza aiuta a ridurre il problema di errori di configurazione, causa della maggior parte delle violazioni della sicurezza.

Le nostre risorse includono:

  • Progetto di base aziendale che parlano dei principali problemi di sicurezza e dei nostri principali consigli.

  • Progetti sicuri che ti consentono di eseguire il deployment e la gestione di soluzioni sicure utilizzando l'infrastruttura (IaC). I suggerimenti sulla sicurezza dei progetti vengono attivati predefinito. Molti progetti vengono creati dai team di sicurezza di Google e gestiti come prodotti. Questo tipo di assistenza significa che vengono aggiornati regolarmente, un processo di test rigoroso e ricevono attestazioni da terze parti gruppi di test. I progetti includono progetto base aziendale e ai progetto di data warehouse protetto.

  • delle best practice relative al framework dell'architettura che riguardano i principali per integrare la sicurezza nei progetti. L'architettura Il framework include un sezione dedicata alla sicurezza e un zona della comunità che puoi utilizzare per entrare in contatto con esperti e colleghi.

  • Guide alla navigazione nelle zone di destinazione che ti indicano le decisioni principali che devi prendere per creare una base sicura per i tuoi carichi di lavoro, tra cui la gerarchia delle risorse, onboarding delle identità, sicurezza e gestione delle chiavi e struttura di rete.

Programma di protezione dai rischi

Il destino condiviso include anche Programma di protezione dai rischi (attualmente in anteprima), che consente di utilizzare la potenza di Google Cloud come per la gestione del rischio, anziché considerare semplicemente i carichi di lavoro cloud come un'altra l'origine del rischio che devi gestire. Il programma di protezione dai rischi è un collaborazione tra Google Cloud e due assicurazioni informatiche leader aziende, Munich Re e Allianz Global & Specialità aziendali.

Il programma di protezione dai rischi include Risk Manager, che fornisce insight basati sui dati che puoi utilizzare per comprendere meglio della strategia di sicurezza del cloud. Se sei alla ricerca di una copertura assicurativa informatica, puoi condividiamo queste informazioni da Risk Manager direttamente con la nostra assicurazione ai partner per richiedere un preventivo. Per ulteriori informazioni, vedi Programma Google Cloud Risk Protection ora in anteprima.

Guida per il deployment e la governance

Il destino condiviso è utile anche per mantenere costante il controllo del tuo ambiente. Per Ad esempio, concentriamo gli sforzi su prodotti come i seguenti:

Mettere in pratica la responsabilità condivisa e il destino condiviso

Nell'ambito del tuo processo di pianificazione, considera le seguenti azioni per aiutarti a comprendere e implementare adeguati controlli di sicurezza:

  • Crea un elenco del tipo di carichi di lavoro che ospitarai Google Cloud e se richiedono servizi IaaS, PaaS e SaaS. Puoi utilizzare il diagramma di responsabilità condivisa come elenco di controllo per assicurarti di conoscere i controlli di sicurezza necessari le informazioni da considerare.
  • Crea un elenco di requisiti normativi da rispettare e accedere alle risorse Centro risorse per la conformità che si riferiscono a tali requisiti.
  • Esamina l'elenco dei progetti e delle architetture disponibili nel Centro architettura per i controlli di sicurezza richiesti per i carichi di lavoro. I progetti forniscono un elenco dei controlli consigliati e il codice IaC che di cui hai bisogno per il deployment.
  • Utilizza la documentazione sulla zona di destinazione e i consigli nel guida alle basi aziendali per progettare una gerarchia delle risorse e un'architettura di rete che soddisfi le i tuoi requisiti. Puoi utilizzare i progetti base per i carichi di lavoro, come un data warehouse sicuro per accelerare il processo di sviluppo.
  • Dopo aver eseguito il deployment dei carichi di lavoro, verifica di soddisfare le tue responsabilità in materia di sicurezza usando servizi quali Risk Manager, Assured Workloads Strumenti di Policy Intelligence e Security Command Center Premium.

Per ulteriori informazioni, consulta Guida alla trasformazione cloud per il CISO.

Passaggi successivi