Questo documento descrive le differenze tra il modello di responsabilità condivisa e il destino condiviso in Google Cloud. Parla delle sfide e delle sfumature del modello di responsabilità condivisa. Questo documento descrive il destino condiviso e come collaboriamo con i nostri clienti per affrontare le sfide della sicurezza nel cloud.
Comprendere il modello di responsabilità condivisa è importante per determinare come proteggere al meglio dati e carichi di lavoro su Google Cloud. Il modello di responsabilità condivisa descrive le attività che svolgi in relazione alla sicurezza nel cloud e le differenze tra queste attività per i provider di servizi cloud.
Comprendere una responsabilità condivisa, tuttavia, può essere difficile. Il modello richiede una comprensione approfondita di ogni servizio utilizzato, delle opzioni di configurazione fornite da ciascun servizio e di ciò che Google Cloud fa per proteggere il servizio. Ogni servizio ha un profilo di configurazione diverso e può essere difficile determinare la configurazione di sicurezza migliore. Il modello di responsabilità condivisa si ferma prima di aiutare i clienti cloud a ottenere risultati migliori in termini di sicurezza. Anziché una responsabilità condivisa, crediamo nel fato condiviso.
Il destino condiviso include la creazione e la gestione di una piattaforma cloud affidabile per i tuoi carichi di lavoro. Offriamo indicazioni sulle best practice e un codice di infrastruttura sicuro e attestato che puoi utilizzare per eseguire il deployment dei tuoi carichi di lavoro in modo sicuro. Rilasciamo soluzioni che combinano vari servizi Google Cloud per risolvere problemi di sicurezza complessi e offriamo opzioni assicurative innovative per aiutarti a misurare e mitigare i rischi che devi accettare. Il destino condiviso ci comporta un'interazione più stretta con te man mano che proteggi le tue risorse su Google Cloud.
Responsabilità condivisa
Sei esperto nel conoscere i requisiti normativi e di sicurezza per la tua azienda e i requisiti per la protezione di risorse e dati riservati. Quando esegui i tuoi carichi di lavoro su Google Cloud, devi identificare i controlli di sicurezza che devi configurare in Google Cloud per proteggere i tuoi dati riservati e ogni carico di lavoro. Per decidere quali controlli di sicurezza implementare, è necessario considerare i seguenti fattori:
- Obblighi di conformità normativa
- Gli standard di sicurezza e il piano di gestione dei rischi della tua organizzazione
- Requisiti di sicurezza dei clienti e dei fornitori
Definito dai carichi di lavoro
Tradizionalmente, le responsabilità sono definite in base al tipo di carico di lavoro in esecuzione e ai servizi cloud richiesti. I servizi cloud includono le seguenti categorie:
| Servizio cloud | Description |
|---|---|
| Infrastructure as a Service (IaaS) | I servizi IaaS includono Compute Engine, Cloud Storage e servizi di networking come Cloud VPN, Cloud Load Balancing e Cloud DNS.
IaaS fornisce servizi di computing, archiviazione e rete on demand con pagamento a consumo. Puoi utilizzare IaaS se prevedi di eseguire la migrazione nel cloud di un carico di lavoro on-premise esistente utilizzando il lift and shift o se vuoi eseguire l'applicazione su determinate VM, utilizzando configurazioni di rete o database specifici. In IaaS, la maggior parte delle responsabilità in materia di sicurezza spetta a te e le nostre responsabilità si concentrano sull'infrastruttura sottostante e sulla sicurezza fisica. |
| Platform as a service (PaaS) | I servizi PaaS includono App Engine, Google Kubernetes Engine (GKE) e BigQuery.
PaaS fornisce l'ambiente di runtime in cui puoi sviluppare ed eseguire le tue applicazioni. Puoi utilizzare PaaS se stai creando un'applicazione (ad esempio un sito web) e vuoi concentrarti sullo sviluppo e non sull'infrastruttura sottostante. Nella PaaS, siamo responsabili di più controlli che in IaaS. In genere, questa opzione varia in base ai servizi e alle funzionalità che utilizzi. Condividi la responsabilità con noi per i controlli a livello di applicazione e la gestione IAM. Sei responsabile della sicurezza dei dati e della protezione dei clienti. |
| Software as a Service (SaaS) | Le applicazioni SaaS includono Google Workspace, Google Security Operations e
le applicazioni SaaS di terze parti disponibili in Google Cloud Marketplace.
SaaS offre applicazioni online a cui puoi abbonarti o a cui pagare. Puoi utilizzare le applicazioni SaaS quando la tua azienda non dispone delle competenze interne o dei requisiti aziendali per creare le applicazioni da sole, ma richiede la capacità di elaborare i carichi di lavoro. Nel Software come servizio, la maggior parte delle responsabilità in materia di sicurezza è di nostra proprietà. Sei comunque responsabile dei controlli di accesso e dei dati che scegli di archiviare nell'applicazione. |
| Function as a Service (FaaS) o serverless | FaaS offre agli sviluppatori la piattaforma per eseguire piccoli codici a uso specifico (chiamati funzioni) che vengono eseguiti in risposta a determinati eventi. Puoi usare FaaS quando vuoi che avvengano cose particolari in base a un particolare evento. Ad esempio, puoi creare una funzione da eseguire ogni volta che i dati vengono caricati in Cloud Storage in modo da poter essere classificati. FaaS ha un elenco di responsabilità condivise simile a quello di SaaS. Cloud Functions è un'applicazione FaaS. |
Il seguente diagramma mostra i servizi cloud e definisce le modalità di condivisione delle responsabilità tra il provider cloud e il cliente.
Come mostrato nel diagramma, il cloud provider rimane sempre responsabile della rete e dell'infrastruttura sottostanti e i clienti rimangono sempre responsabili dei propri dati e criteri di accesso.
Definito dal settore e dal quadro normativo
Vari settori dispongono di quadri normativi che definiscono i controlli di sicurezza che devono essere messi in atto. Quando sposti i tuoi carichi di lavoro nel cloud, devi conoscere quanto segue:
- Quali controlli di sicurezza sono di tua responsabilità
- Quali controlli di sicurezza sono disponibili nell'ambito dell'offerta cloud
- Quali controlli di sicurezza predefiniti vengono ereditati
I controlli di sicurezza ereditati (come la crittografia predefinita e i controlli dell'infrastruttura) sono che puoi fornire a revisori e regolatori come parte delle prove della tua strategia di sicurezza. Ad esempio, lo standard PCI DSS (Payment Card Industry Data Security Standard) definisce le normative per gli elaboratori dei pagamenti. Quando sposti la tua azienda nel cloud, queste normative vengono condivise tra te e il tuo CSP. Per comprendere in che modo le responsabilità PCI DSS vengono condivise tra te e Google Cloud, consulta Google Cloud: Matrice di responsabilità condivisa PCI DSS.
Come ulteriore esempio, negli Stati Uniti la normativa HIPAA (Health Insurance Portability and Accountability Act) ha definito standard per la gestione dei dati PHI elettronici. Queste responsabilità sono inoltre condivise tra l'utente e il CSP. Per ulteriori informazioni su come Google Cloud soddisfa le nostre responsabilità ai sensi dell'HIPAA, consulta la pagina Conformità HIPAA.
Anche altri settori, come quello finanziario o manifatturiero, hanno normative che definiscono le modalità di raccolta, elaborazione e archiviazione dei dati. Per ulteriori informazioni sulla responsabilità condivisa in merito e su come Google Cloud soddisfa le nostre responsabilità, consulta il Centro risorse per la conformità.
Definito in base alla località
A seconda dello scenario aziendale, potresti dover prendere in considerazione le tue responsabilità in base alla posizione degli uffici della tua azienda, ai tuoi clienti e ai tuoi dati. Diversi paesi e regioni hanno creato normative che regolano il modo in cui puoi elaborare e archiviare i dati dei tuoi clienti. Ad esempio, se la tua attività ha clienti che risiedono nell'Unione Europea, potrebbe dover rispettare i requisiti descritti nel Regolamento generale sulla protezione dei dati (GDPR) e potresti avere l'obbligo di conservare i dati dei tuoi clienti nell'UE stessa. In questa circostanza, è tua responsabilità assicurarti che i dati che raccogli rimangano nelle regioni di Google Cloud nell'UE. Per ulteriori informazioni su come adempiere ai nostri obblighi GDPR, consulta la pagina GDPR e Google Cloud.
Per informazioni sui requisiti relativi alla tua regione, consulta Offerte relative alla conformità. Se il tuo scenario è particolarmente complicato, ti consigliamo di rivolgerti al nostro team di vendita o a uno dei nostri partners per valutare le tue responsabilità in materia di sicurezza.
Sfide della responsabilità condivisa
Sebbene la responsabilità condivisa contribuisca a definire i ruoli di sicurezza assegnati a te o al cloud provider, affidarti a una responsabilità condivisa può comunque creare problemi. Considera i seguenti scenari:
- La maggior parte delle violazioni alla sicurezza nel cloud è il risultato diretto di errori di configurazione (indicati come numero 3 nel report Pandemic 11 di Cloud Security Alliance) e questa tendenza è destinata ad aumentare. I prodotti cloud sono in continua evoluzione e ne vengono lanciati costantemente di nuovi. Stare al passo con i continui cambiamenti può sembrare un'impresa ardua. I clienti hanno bisogno che i provider di servizi cloud forniscano best practice utili per stare al passo con il cambiamento, a partire dalle best practice predefinite e da una configurazione di base sicura.
- Sebbene sia utile suddividere gli elementi per servizi cloud, molte aziende hanno carichi di lavoro che richiedono più tipi di servizi cloud. In questa circostanza, devi considerare come interagiscono i vari controlli di sicurezza per questi servizi, inclusa la loro sovrapposizione tra e tra i servizi. Ad esempio, potresti avere un'applicazione on-premise di cui stai eseguendo la migrazione a Compute Engine, utilizzare Google Workspace per l'email aziendale e anche eseguire BigQuery per analizzare i dati e migliorare i tuoi prodotti.
- La tua attività e i tuoi mercati cambiano continuamente; man mano che le normative cambiano, man mano che entri in nuovi mercati o acquisisci altre aziende. I tuoi nuovi mercati potrebbero avere requisiti diversi e la tua nuova acquisizione potrebbe ospitare i relativi carichi di lavoro su un altro cloud. Per gestire i cambiamenti costanti, devi rivalutare costantemente il tuo profilo di rischio ed essere in grado di implementare rapidamente nuovi controlli.
- Come e dove gestire le chiavi di crittografia dei dati è una decisione importante che dipende dalle tue responsabilità in relazione alla protezione dei dati. L'opzione che scegli dipende dai requisiti normativi, dal fatto che tu stia eseguendo un ambiente cloud ibrido o comunque un ambiente on-premise, e dalla sensibilità dei dati elaborati e archiviati.
- La gestione degli incidenti è un'area importante e spesso trascurata in cui le responsabilità e quelle del cloud provider non sono facilmente definite. Molti incidenti richiedono la collaborazione e il supporto stretti del provider cloud per indagare e mitigare. Altri incidenti possono derivare da risorse cloud configurate in modo errato o da credenziali rubate e assicurarsi di rispettare le best practice per la protezione delle risorse e degli account può essere molto difficile.
- Le minacce persistenti avanzate (APT) e le nuove vulnerabilità possono influire sui tuoi carichi di lavoro in modi che non potresti prendere in considerazione all'avvio della trasformazione cloud. È difficile assicurarsi di essere sempre aggiornati sull'evoluzione del panorama e di chi è responsabile della mitigazione delle minacce, in particolare se l'azienda non ha un grande team di sicurezza.
Destino condiviso
Abbiamo stabilito il destino condiviso in Google Cloud per iniziare ad affrontare le sfide che il modello di responsabilità condivisa non affronta. Il destino condiviso si concentra sul modo in cui tutte le parti possono interagire meglio per migliorare continuamente la sicurezza. Il destino condiviso si basa sul modello di responsabilità condivisa perché considera la relazione tra il cloud provider e il cliente come una partnership continua per migliorare la sicurezza.
Il destino condiviso prevede che ci assumiamo la responsabilità di rendere Google Cloud più sicuro. Il destino condiviso include aiutarti a iniziare a creare una zona di destinazione sicura ed essere chiaro, improntato e trasparente in merito ai controlli di sicurezza, alle impostazioni e alle best practice associate. tra cui l'aiutarti a quantificare e gestire meglio il rischio con l'assicurazione informatica, attraverso il nostro programma di protezione dai rischi. Utilizzando il destino condiviso, vogliamo evolverci dal framework di responsabilità condivisa standard a un modello migliore che ti aiuti a proteggere la tua attività e creare fiducia in Google Cloud.
Le seguenti sezioni descrivono vari elementi del destino condiviso.
Un aiuto per iniziare
Un componente chiave del destino condiviso sono le risorse che mettiamo a disposizione per aiutarti a iniziare, in una configurazione sicura in Google Cloud. Iniziare da una configurazione sicura aiuta a ridurre il problema degli errori di configurazione, che è la causa principale della maggior parte delle violazioni della sicurezza.
Le nostre risorse includono:
- Progetto di base per le piattaforme aziendali che illustra i principali problemi di sicurezza e i nostri principali consigli.
Progetti sicuri che ti consentono di eseguire il deployment e la gestione di soluzioni sicure utilizzando Infrastructure as Code (IaC). I suggerimenti di sicurezza sono abilitati per i progetti base per impostazione predefinita. Molti progetti sono creati dai team di sicurezza di Google e gestiti come prodotti. Questo tipo di assistenza implica che vengono aggiornati regolarmente, vengono sottoposti a un rigoroso processo di test e ricevono attestazioni da gruppi di test di terze parti. I progetti includono il progetto di base per le aziende e il progetto sicuro per il data warehouse.
del framework dell'architettura che fornisce i principali consigli per integrare la sicurezza nei tuoi progetti. Il framework dell'architettura include una sezione sulla sicurezza e una zona della community che puoi utilizzare per entrare in contatto con esperti e colleghi.
Guide alla navigazione delle zone di destinazione che illustrano le decisioni principali da prendere per creare una base sicura per i carichi di lavoro, tra cui gerarchia delle risorse, onboarding delle identità, gestione di sicurezza e chiavi e struttura di rete.
Programma di protezione dai rischi
Il destino condiviso include anche il Programma di protezione dai rischi (attualmente in anteprima), che consente di utilizzare la potenza di Google Cloud come piattaforma per gestire i rischi, anziché considerare i carichi di lavoro cloud come un'altra fonte di rischio da gestire. Il Risk Protection Program è una collaborazione tra Google Cloud e due principali compagnie assicurative informatiche, Monaco Re e Allianz Global & Corporate Speciality.
Il programma di protezione dai rischi include Risk Manager, che fornisce insight basati sui dati che puoi utilizzare per comprendere meglio la tua strategia di sicurezza cloud. Se stai cercando una copertura assicurativa informatica, puoi condividere questi insight da Risk Manager direttamente con i nostri partner assicurativi per ottenere un preventivo. Per maggiori informazioni, consulta la pagina relativa al programma di protezione dai rischi di Google Cloud ora in anteprima.
Guida per deployment e governance
Il destino condiviso aiuta anche con la continua governance del tuo ambiente. Ad esempio, ci concentriamo su prodotti quali:
- Assured Workloads, che ti aiuta a rispettare gli obblighi di conformità.
- Security Command Center Premium, che utilizza l'intelligence sulle minacce, il rilevamento delle minacce, la scansione web e altri metodi avanzati per monitorare e rilevare le minacce. Offre anche un modo per risolvere molte di queste minacce in modo rapido e automatico.
- Criteri dell'organizzazione e impostazioni delle risorse che consentono di configurare criteri nell'intera gerarchia di cartelle e progetti.
- Strumenti di Policy Intelligence che forniscono insight sull'accesso ad account e risorse.
- Confidential Computing, che consente di criptare i dati in uso.
- Sovereign Cloud, disponibile in Germania e che implementa i requisiti di residenza dei dati.
Mettere in pratica una responsabilità condivisa e un destino condiviso
Nell'ambito del processo di pianificazione, prendi in considerazione le seguenti azioni per comprendere e implementare controlli di sicurezza appropriati:
- Crea un elenco del tipo di carichi di lavoro che ospiti in Google Cloud e se richiedono servizi IaaS, PaaS e SaaS. Puoi utilizzare il diagramma di responsabilità condivisa come elenco di controllo per assicurarti di conoscere i controlli di sicurezza che devi prendere in considerazione.
- Crea un elenco dei requisiti normativi da rispettare e accedi alle risorse relative a tali requisiti nel Centro risorse per la conformità.
- Esamina l'elenco dei progetti e delle architetture disponibili nel Centro architetture per conoscere i controlli di sicurezza richiesti per i tuoi carichi di lavoro specifici. I progetti forniscono un elenco di controlli consigliati e il codice IaC di cui hai bisogno per eseguire il deployment di quell'architettura.
- Utilizza la documentazione della zona di destinazione e i suggerimenti nella guida agli elementi di base aziendali per progettare una gerarchia delle risorse e un'architettura di rete che soddisfino i tuoi requisiti. Puoi utilizzare i progetti base per i carichi di lavoro, come il data warehouse sicuro, per accelerare il processo di sviluppo.
- Dopo aver eseguito il deployment dei carichi di lavoro, verifica di soddisfare le tue responsabilità di sicurezza utilizzando servizi come Gestore rischi, Assured Workloads, strumenti di Policy Intelligence e Security Command Center Premium.
Per ulteriori informazioni, consulta il documento della guida alla trasformazione cloud del CISO.
Passaggi successivi
- Consulta i principi di sicurezza (prossimo documento di questa serie).
- Ricevi aggiornamenti sulle risorse di destino condivise.
- Acquisisci familiarità con i progetti disponibili, tra cui il progetto delle piattaforme di sicurezza e gli esempi di carichi di lavoro come il data warehouse sicuro.
- Scopri di più sul destino condiviso.
- Per saperne di più sulla nostra infrastruttura sicura sottostante, consulta la panoramica sulla progettazione della sicurezza dell'infrastruttura di Google.
- Leggi come implementare le best practice del NIST Cybersecurity Framework in Google Cloud (PDF).