Este documento descreve as diferenças entre o modelo de responsabilidade partilhada e o destino partilhado no Google Cloud. Aborda os desafios e as nuances do modelo de responsabilidade partilhada. Este documento descreve o que é o destino partilhado e como colaboramos com os nossos clientes para resolver os desafios de segurança na nuvem.
Compreender o modelo de responsabilidade partilhada é importante para determinar a melhor forma de proteger os seus dados e cargas de trabalho no Google Cloud. O modelo de responsabilidade partilhada descreve as tarefas que tem no que diz respeito à segurança na nuvem e como estas tarefas são diferentes para os fornecedores de nuvem.
No entanto, compreender a responsabilidade partilhada pode ser desafiante. O modelo requer uma compreensão detalhada de cada serviço que utiliza, das opções de configuração que cada serviço oferece e do que Google Cloudfaz para proteger o serviço. Cada serviço tem um perfil de configuração diferente e pode ser difícil determinar a melhor configuração de segurança. A Google considera que o modelo de responsabilidade partilhada não é suficiente para ajudar os clientes da nuvem a alcançar melhores resultados de segurança. Em vez de responsabilidade partilhada, acreditamos no destino partilhado.
O destino partilhado inclui a criação e a operação de uma plataforma na nuvem fidedigna para as suas cargas de trabalho. Fornecemos orientações sobre práticas recomendadas e código de infraestrutura seguro e atestado que pode usar para implementar as suas cargas de trabalho de forma segura. Lançamos soluções que combinam vários Google Cloud serviços para resolver problemas de segurança complexos e oferecemos opções de seguros inovadoras para ajudar a medir e mitigar os riscos que tem de aceitar. O destino partilhado envolve uma interação mais próxima consigo à medida que protege os seus recursos noGoogle Cloud.
Responsabilidade partilhada
É especialista em conhecer os requisitos de segurança e regulamentares da sua empresa, bem como os requisitos para proteger os seus dados e recursos confidenciais. Quando executa as suas cargas de trabalho no Google Cloud, tem de identificar os controlos de segurança que tem de configurar no Google Cloud para ajudar a proteger os seus dados confidenciais e cada carga de trabalho. Para decidir que controlos de segurança implementar, tem de considerar os seguintes fatores:
- As suas obrigações de conformidade regulamentar
- Os padrões de segurança e o plano de gestão de riscos da sua organização
- Requisitos de segurança dos seus clientes e fornecedores
Definido por cargas de trabalho
Tradicionalmente, as responsabilidades são definidas com base no tipo de carga de trabalho que está a executar e nos serviços na nuvem de que precisa. Os serviços na nuvem incluem as seguintes categorias:
| Serviço na nuvem | Descrição |
|---|---|
| Infraestrutura como serviço (IaaS) | Os serviços de IaaS incluem o Compute Engine, o Cloud Storage e os serviços de rede, como o Cloud VPN, o Cloud Load Balancing e o Cloud DNS.
A IaaS oferece serviços de computação, armazenamento e rede a pedido com preços de pagamento conforme a utilização. Pode usar a IaaS se planear migrar uma carga de trabalho existente nas instalações para a nuvem através da técnica de lift-and-shift ou se quiser executar a sua aplicação em VMs específicas, usando bases de dados ou configurações de rede específicas. Na IaaS, a maior parte das responsabilidades de segurança são suas, e as nossas responsabilidades centram-se na infraestrutura subjacente e na segurança física. |
| Plataforma como serviço (PaaS) | Os serviços de PaaS incluem o App Engine, o Google Kubernetes Engine (GKE) e o BigQuery.
A PaaS fornece o ambiente de tempo de execução no qual pode desenvolver e executar as suas aplicações. Pode usar a PaaS se estiver a criar uma aplicação (como um Website) e quiser focar-se no desenvolvimento e não na infraestrutura subjacente. Na PaaS, somos responsáveis por mais controlos do que na IaaS. Normalmente, isto varia consoante os serviços e as funcionalidades que utiliza. Partilha a responsabilidade connosco pelos controlos ao nível da aplicação e pela gestão de IAM. Continua a ser responsável pela segurança dos seus dados e pela proteção dos clientes. |
| Software como serviço (SaaS) | As aplicações SaaS incluem o Google Workspace, o Google Security Operations e
aplicações SaaS de terceiros que estão disponíveis no Google Cloud Marketplace.
O SaaS fornece aplicações online às quais pode subscrever ou pagar de alguma forma. Pode usar aplicações SaaS quando a sua empresa não tem a experiência interna ou o requisito empresarial para criar a aplicação, mas precisa da capacidade de processar cargas de trabalho. No SaaS, somos responsáveis pela maioria das responsabilidades de segurança. Continua a ser responsável pelos seus controlos de acesso e pelos dados que optar por armazenar na aplicação. |
| Função como serviço (FaaS) ou sem servidor | A FaaS fornece a plataforma para os programadores executarem código pequeno e de finalidade única (denominado funções) que é executado em resposta a eventos específicos. Usaria a FaaS quando quisesse que ocorressem determinadas ações com base num evento específico. Por exemplo, pode criar uma função que é executada sempre que os dados são carregados para o Cloud Storage para que possam ser classificados. A FaaS tem uma lista de responsabilidade partilhada semelhante à SaaS. As funções do Cloud Run são uma aplicação FaaS. |
O diagrama seguinte mostra os serviços na nuvem e define como as responsabilidades são partilhadas entre o fornecedor de nuvem e o cliente.
Conforme mostra o diagrama, o fornecedor de nuvem é sempre responsável pela rede e infraestrutura subjacentes, e os clientes são sempre responsáveis pelas respetivas políticas de acesso e dados.
Definido pela indústria e pelo quadro regulamentar
Vários setores têm quadros regulamentares que definem os controlos de segurança que têm de estar em vigor. Quando move as suas cargas de trabalho para a nuvem, tem de compreender o seguinte:
- Quais são os controlos de segurança da sua responsabilidade
- Que controlos de segurança estão disponíveis como parte da oferta na nuvem
- Que controlos de segurança predefinidos são herdados
Os controlos de segurança herdados (como a nossa encriptação predefinida e os controlos de infraestrutura) são controlos que pode fornecer como parte das provas da sua postura de segurança a auditores e reguladores. Por exemplo, a Norma de Segurança de Dados do Setor de Cartões de Pagamento (PCI DSS) define regulamentos para processadores de pagamentos. Quando move a sua empresa para a nuvem, estes regulamentos são partilhados entre si e o seu PSC. Para compreender como as responsabilidades da PCI DSS são partilhadas entre si e a Google Cloud, consulte o artigo Google Cloud: Matriz de responsabilidade partilhada da PCI DSS.
Outro exemplo: nos Estados Unidos, a Lei de Portabilidade e Responsabilidade dos Seguros de Saúde (HIPAA) estabeleceu normas para o tratamento de informações de saúde pessoais eletrónicas (PHI). Estas responsabilidades também são partilhadas entre o PSC e si. Para mais informações sobre como a Google cumpre as suas responsabilidades ao abrigo da HIPAA, consulte o artigo HIPAA – Conformidade. Google Cloud
Outras indústrias (por exemplo, finanças ou produção) também têm regulamentos que definem como os dados podem ser recolhidos, tratados e armazenados. Para mais informações sobre a responsabilidade partilhada relacionada com estes aspetos e como aGoogle Cloud cumpre as suas responsabilidades, consulte o centro de recursos de conformidade.
Definido por localização
Consoante o cenário da sua empresa, pode ter de considerar as suas responsabilidades com base na localização dos escritórios da empresa, dos clientes e dos dados. Diferentes países e regiões criaram regulamentos que informam como pode processar e armazenar os dados dos seus clientes. Por exemplo, se a sua empresa tiver clientes residentes na União Europeia, pode ter de cumprir os requisitos descritos no Regulamento Geral sobre a Proteção de Dados (RGPD) e pode ser obrigada a manter os dados dos clientes na própria UE. Nesta circunstância, é responsável por garantir que os dados que recolhe permanecem nas Google Cloud regiões na UE. Para mais informações sobre como cumprimos as nossas obrigações ao abrigo do RGPD, consulte o artigo RGPD e Google Cloud.
Para informações sobre os requisitos relacionados com a sua região, consulte as Ofertas de conformidade. Se o seu cenário for particularmente complicado, recomendamos que fale com a nossa equipa de vendas ou um dos nossos parceiros para ajudar a avaliar as suas responsabilidades de segurança.
Desafios para a responsabilidade partilhada
Embora a responsabilidade partilhada ajude a definir as funções de segurança que o fornecedor de nuvem ou o cliente têm, a confiança na responsabilidade partilhada pode ainda criar desafios. Considere os seguintes cenários:
- A maioria das violações de segurança na nuvem são o resultado direto de uma configuração incorreta (indicada como o número 3 no Pandemic 11 Report da Cloud Security Alliance) e espera-se que esta tendência aumente. Os produtos do Google Cloud estão em constante mudança e são lançados novos produtos com frequência. Acompanhar as alterações constantes pode parecer avassalador. Os clientes precisam que os fornecedores de nuvem lhes forneçam práticas recomendadas com opiniões para ajudar a acompanhar as mudanças, começando com as práticas recomendadas por predefinição e tendo uma configuração segura de base.
- Embora a divisão de itens por serviços na nuvem seja útil, muitas empresas têm cargas de trabalho que requerem vários tipos de serviços na nuvem. Nesta circunstância, tem de considerar como vários controlos de segurança para estes serviços interagem, incluindo se se sobrepõem entre e nos serviços. Por exemplo, pode ter uma aplicação nas instalações que está a migrar para o Compute Engine, usar o Google Workspace para o email corporativo e também executar o BigQuery para analisar dados e melhorar os seus produtos.
- A sua empresa e mercados estão em constante mudança, à medida que os regulamentos mudam, entra em novos mercados ou adquire outras empresas. Os novos mercados podem ter requisitos diferentes e a nova aquisição pode alojar as respetivas cargas de trabalho noutra nuvem. Para gerir as alterações constantes, tem de reavaliar constantemente o seu perfil de risco e conseguir implementar novos controlos rapidamente.
- A forma e o local de gestão das suas chaves de encriptação de dados é uma decisão importante que está relacionada com as suas responsabilidades de proteção dos seus dados. A opção que escolher depende dos seus requisitos regulamentares, quer esteja a executar um ambiente de nuvem híbrida ou ainda tenha um ambiente no local, e da sensibilidade dos dados que está a processar e armazenar.
- A gestão de incidentes é uma área importante e, muitas vezes, negligenciada, onde as suas responsabilidades e as responsabilidades do fornecedor de nuvem não são facilmente definidas. Muitos incidentes requerem uma colaboração e apoio técnico estreitos do fornecedor de serviços na nuvem para ajudar a investigá-los e mitigá-los. Outros incidentes podem resultar de recursos na nuvem mal configurados ou credenciais roubadas, e garantir que cumpre as práticas recomendadas para proteger os seus recursos e contas pode ser bastante desafiador.
- As ameaças persistentes avançadas (APTs) e as novas vulnerabilidades podem afetar as suas cargas de trabalho de formas que pode não considerar quando inicia a sua transformação na nuvem. Garantir que se mantém a par do panorama em constante mudança e quem é responsável pela mitigação de ameaças é difícil, especialmente se a sua empresa não tiver uma grande equipa de segurança.
Destino partilhado
Desenvolvemos o destino partilhado para começar a abordar os desafios que o modelo de responsabilidade partilhada não aborda. Google Cloud O destino partilhado foca-se na forma como todas as partes podem interagir melhor para melhorar continuamente a segurança. O destino partilhado baseia-se no modelo de responsabilidade partilhada porque considera a relação entre o fornecedor de nuvem e o cliente como uma parceria contínua para melhorar a segurança.
O destino partilhado consiste em assumirmos a responsabilidade de tornar o mundo digital Google Cloud mais seguro. O destino partilhado inclui ajudar a começar com uma zona de destino segura e ser claro, assertivo e transparente acerca dos controlos, das definições e das práticas recomendadas de segurança associadas. Inclui ajuda para quantificar e gerir melhor o seu risco com a cibersegurança, através do nosso Programa de Proteção contra Riscos. Através da partilha de responsabilidade, queremos evoluir da estrutura de responsabilidade partilhada padrão para um modelo melhor que ajude a proteger a sua empresa e a criar confiança no Google Cloud.
As secções seguintes descrevem vários componentes do destino partilhado.
Ajuda para começar a usar
Um componente fundamental do destino partilhado são os recursos que fornecemos para ajudar a começar, numa configuração segura no Google Cloud. Começar com uma configuração segura ajuda a reduzir o problema das configurações incorretas, que é a causa principal da maioria das violações de segurança.
Os nossos recursos incluem o seguinte:
- Plano de fundações empresariais que aborda as principais preocupações de segurança e as nossas principais recomendações.
Projetos seguros que lhe permitem implementar e manter soluções seguras através da infraestrutura como código (IaC). Os planos têm as nossas recomendações de segurança ativadas por predefinição. Muitos blueprints são criados pelas equipas de segurança da Google e geridos como produtos. Este apoio técnico significa que são atualizadas regularmente, passam por um processo de testes rigoroso e recebem atestações de grupos de testes externos. Os planos incluem o plano de bases empresariais e o plano de armazém de dados seguro.
Google Cloud Práticas recomendadas do Well-Architected Framework que abordam as principais recomendações para incorporar a segurança nos seus designs. O Well-Architected Framework inclui uma secção de segurança e uma zona da comunidade que pode usar para interagir com especialistas e pares.
Guias de navegação da zona de destino que explicam as principais decisões que tem de tomar para criar uma base segura para as suas cargas de trabalho, incluindo a hierarquia de recursos, a integração de identidades, a gestão de chaves e segurança, e a estrutura de rede.
Programa de Proteção contra Riscos
O destino partilhado também inclui o programa de proteção contra o risco (atualmente em pré-visualização), que ajuda a usar o poder do Google Cloud como uma plataforma para gerir o risco, em vez de ver as cargas de trabalho na nuvem como outra fonte de risco que tem de gerir. O Risk Protection Program é uma colaboração entre a Google e duas empresas líderes de seguros cibernéticos, a Munich Re e a Allianz Global & Corporate Speciality. Google Cloud
O Programa de proteção contra riscos inclui o centro de seguros cibernéticos, que fornece estatísticas baseadas em dados que pode usar para compreender melhor a sua postura de segurança na nuvem. Se procura cobertura de seguros cibernéticos, pode partilhar estas estatísticas do Cyber Insurance Hub diretamente com os nossos parceiros de seguros para receber um orçamento. Para mais informações, consulte o Google Cloud Programa de proteção contra riscos agora em pré-visualização.
Ajuda com a implementação e a governação
O destino partilhado também ajuda na governação contínua do seu ambiente. Por exemplo, concentramos os nossos esforços em produtos como os seguintes:
- Assured Workloads, que ajuda a cumprir as suas obrigações de conformidade.
- Security Command Center Premium, que usa informações sobre ameaças, deteção de ameaças, análise da Web e outros métodos avançados para monitorizar e detetar ameaças. Também oferece uma forma de resolver muitas destas ameaças de forma rápida e automática.
- Políticas da organização e definições de recursos que lhe permitem configurar políticas em toda a hierarquia de pastas e projetos.
- Ferramentas de inteligência de políticas que lhe fornecem estatísticas sobre o acesso a contas e recursos.
- Computação confidencial, que lhe permite encriptar dados em utilização.
- Controlos soberanos por parceiros, que está disponível em determinados países e ajuda a aplicar os requisitos de residência de dados.
Colocar em prática a responsabilidade partilhada e o destino partilhado
Como parte do processo de planeamento, considere as seguintes ações para ajudar a compreender e implementar controlos de segurança adequados:
- Crie uma lista do tipo de cargas de trabalho que vai alojar no Google Cloude se requerem serviços IaaS, PaaS e SaaS. Pode usar o diagrama de responsabilidade partilhada como uma lista de verificação para garantir que conhece os controlos de segurança que tem de considerar.
- Crie uma lista de requisitos regulamentares que tem de cumprir e aceda a recursos no centro de recursos de conformidade relacionados com esses requisitos.
- Reveja a lista de esquemas e arquiteturas disponíveis no Architecture Center para os controlos de segurança de que precisa para as suas cargas de trabalho específicas. Os esquemas fornecem uma lista de controlos recomendados e o código de IaC de que precisa para implementar essa arquitetura.
- Use a documentação da zona de destino e as recomendações no guia de bases empresariais para conceber uma hierarquia de recursos e uma arquitetura de rede que satisfaçam os seus requisitos. Pode usar os planos detalhados de cargas de trabalho, como o data warehouse seguro, para acelerar o processo de desenvolvimento.
- Depois de implementar as suas cargas de trabalho, verifique se está a cumprir as suas responsabilidades de segurança através de serviços como o Cyber Insurance Hub, as cargas de trabalho garantidas, as ferramentas de informações sobre políticas e o Security Command Center Premium.
Para mais informações, consulte o guia de transformação na nuvem para o CISO.
O que se segue?
- Reveja os princípios de segurança essenciais.
- Mantenha-se a par dos recursos de destino partilhado.
- Familiarize-se com os projetos> disponíveis, incluindo o projeto de bases de segurança e exemplos de cargas de trabalho, como o data warehouse seguro.
- Leia mais sobre o destino partilhado.
- Leia acerca da nossa infraestrutura segura subjacente na vista geral do design de segurança da infraestrutura da Google.
- Leia como implementar as práticas recomendadas da framework de cibersegurança do NIST Google Cloud (PDF).