Questo documento descrive le differenze tra il modello di responsabilità condivisa e il destino condiviso in Google Cloud. Vengono discusse le sfide e le sfumature del modello di responsabilità condivisa. Questo documento descrive che cos'è il destino condiviso e come collaboriamo con i nostri clienti per risolvere le sfide della sicurezza del cloud.
È importante comprendere il modello di responsabilità condivisa per determinare come proteggere al meglio i dati e i carichi di lavoro su Google Cloud. Il modello di responsabilità condivisa descrive le attività che devi svolgere per la sicurezza nel cloud e in che modo queste attività sono diverse per i provider cloud.
Tuttavia, comprendere la responsabilità condivisa può essere complicato. Il modello richiede una conoscenza approfondita di ogni servizio che utilizzi, delle opzioni di configurazione fornite da ciascun servizio e di cosa fa Google Cloudper proteggerlo. Ogni servizio ha un profilo di configurazione diverso e può essere difficile determinare la configurazione di sicurezza migliore. Google ritiene che il modello di responsabilità condivisa non sia sufficiente per aiutare i clienti cloud a ottenere risultati migliori in termini di sicurezza. Invece di responsabilità condivisa, crediamo nel destino condiviso.
Il destino condiviso include la creazione e il funzionamento di una piattaforma cloud attendibile per i tuoi carichi di lavoro. Forniamo linee guida sulle best practice e codice di infrastruttura protetto e verificato che puoi utilizzare per eseguire il deployment dei tuoi carichi di lavoro in modo sicuro. Lanciamo soluzioni che combinano vari Google Cloud servizi per risolvere problemi di sicurezza complessi e offriamo opzioni di assicurazione innovative per aiutarti a misurare e mitigare i rischi che devi accettare. Il destino condiviso prevede un'interazione più stretta con te per proteggere le tue risorse suGoogle Cloud.
Responsabilità condivisa
Sei esperto dei requisiti di sicurezza e normativi della tua attività e conosci i requisiti per proteggere i tuoi dati e le tue risorse riservate. Quando esegui i carichi di lavoro su Google Cloud, devi identificare i controlli di sicurezza che devi configurare in Google Cloud per contribuire a difendere i tuoi dati riservati e ogni carico di lavoro. Per decidere quali controlli di sicurezza implementare, devi considerare i seguenti fattori:
- I tuoi obblighi di conformità normativa
- Gli standard di sicurezza e il piano di gestione dei rischi della tua organizzazione
- Requisiti di sicurezza dei tuoi clienti e dei tuoi fornitori
Definito dai carichi di lavoro
Tradizionalmente, le responsabilità vengono definite in base al tipo di carico di lavoro eseguito e ai servizi cloud richiesti. I servizi cloud includono le seguenti categorie:
| Servizio cloud | Descrizione |
|---|---|
| Infrastructure as a Service (IaaS) | I servizi IaaS includono Compute Engine, Cloud Storage e servizi di rete come Cloud VPN, Cloud Load Balancing e Cloud DNS.
IaaS fornisce servizi di calcolo, archiviazione e rete on demand con prezzi di pagamento a consumo. Puoi utilizzare l'IaaS se prevedi di eseguire la migrazione di un caricamento di lavoro on-premise esistente nel cloud utilizzando il lift-and-shift o se vuoi eseguire la tua applicazione su VM specifiche, utilizzando database o configurazioni di rete specifici. In IaaS, la maggior parte delle responsabilità relative alla sicurezza è tua, mentre le nostre sono incentrate sull'infrastruttura di base e sulla sicurezza fisica. |
| Platform as a service (PaaS) | I servizi PaaS includono App Engine, Google Kubernetes Engine (GKE) e BigQuery.
PaaS fornisce l'ambiente di runtime in cui puoi sviluppare ed eseguire le tue applicazioni. Puoi utilizzare PaaS se stai creando un'applicazione (ad esempio un sito web) e vuoi concentrarti sullo sviluppo e non sull'infrastruttura sottostante. In PaaS, siamo responsabili di più controlli rispetto a IaaS. In genere, questo varia in base ai servizi e alle funzionalità che utilizzi. Condividi con noi la responsabilità per i controlli a livello di applicazione e la gestione IAM. Tu rimani responsabile della sicurezza dei tuoi dati e della protezione dei clienti. |
| Software as a Service (SaaS) | Le applicazioni SaaS includono Google Workspace, Google Security Operations e applicazioni SaaS di terze parti disponibili in Google Cloud Marketplace.
Il SaaS fornisce applicazioni online a cui puoi abbonarti o per le quali puoi pagare in qualche modo. Puoi utilizzare le applicazioni SaaS quando la tua azienda non dispone delle competenze interne o dei requisiti aziendali per creare l'applicazione, ma richiede la possibilità di elaborare i carichi di lavoro. In SaaS, abbiamo la responsabilità principale della sicurezza. Rimarrai responsabile dei controlli di accesso e dei dati che scegli di memorizzare nell'applicazione. |
| Function as a Service (FaaS) o serverless | FaaS fornisce la piattaforma per consentire agli sviluppatori di eseguire codice di piccole dimensioni e a scopo specifico (chiamato funzioni) in risposta a eventi specifici. Utilizza FaaS quando vuoi che si verifichino determinate operazioni in base a un determinato evento. Ad esempio, potresti creare una funzione che venga eseguita ogni volta che i dati vengono caricati in Cloud Storage in modo che possano essere classificati. FaaS ha un elenco di responsabilità condivise simile a quello del SaaS. Cloud Run Functions è un'applicazione FaaS. |
Il seguente diagramma mostra i servizi cloud e definisce in che modo le responsabilità vengono condivise tra il cloud provider e il cliente.
Come mostrato nel diagramma, il fornitore di servizi cloud rimane sempre responsabile della rete e dell'infrastruttura di base, mentre i clienti rimangono sempre responsabili dei propri dati e criteri di accesso.
Definito dal settore e dal quadro normativo
Vari settori hanno framework normativi che definiscono i controlli di sicurezza che devono essere implementati. Quando sposti i carichi di lavoro nel cloud, devi comprendere quanto segue:
- Quali controlli di sicurezza sono di tua responsabilità
- Quali controlli di sicurezza sono disponibili nell'ambito dell'offerta cloud
- Quali controlli di sicurezza predefiniti vengono ereditati
I controlli di sicurezza ereditati (come la nostra crittografia predefinita e i controlli dell'infrastruttura) sono controlli che puoi fornire come parte della prova della tua posizione di sicurezza a revisori e autorità di regolamentazione. Ad esempio, lo standard PCI DSS (Payment Card Industry Data Security Standard) definisce le normative per gli elaboratori dei pagamenti. Quando trasferisci la tua attività al cloud, queste normative vengono condivise tra te e il tuo fornitore di servizi cloud. Per capire come le responsabilità PCI DSS sono condivise tra te e Google Cloud, consulta Google Cloud: matrice di responsabilità condivisa PCI DSS.
Un altro esempio è l'Health Insurance Portability and Accountability Act (HIPAA) degli Stati Uniti, che ha stabilito standard per la gestione delle informazioni sanitarie personali elettroniche (PHI). Queste responsabilità sono condivise anche tra il fornitore di servizi cloud e te. Per ulteriori informazioni su come Google Cloud soddisfa le nostre responsabilità ai sensi dell'HIPAA, consulta HIPAA - Conformità.
Anche altri settori (ad esempio quello finanziario o manifatturiero) hanno normative che definiscono le modalità di raccolta, elaborazione e archiviazione dei dati. Per ulteriori informazioni sulla responsabilità condivisa in merito e su comeGoogle Cloud soddisfa le nostre responsabilità, consulta il Centro risorse per la conformità.
Definito dalla località
A seconda dello scenario della tua attività, potresti dover prendere in considerazione le tue responsabilità in base alla sede degli uffici, dei clienti e dei dati della tua attività. Diversi paesi e regioni hanno creato regolamenti che indicano come puoi elaborare e archiviare i dati dei tuoi clienti. Ad esempio, se la tua attività ha clienti residenti nell'Unione europea, potrebbe dover rispettare i requisiti descritti nel Regolamento generale sulla protezione dei dati (GDPR) e potrebbe essere tenuta a conservare i dati dei clienti nell'UE stessa. In questo caso, sei responsabile di garantire che i dati raccolti rimangano nelle Google Cloud regioni dell'UE. Per saperne di più su come soddisfiamo le nostre obbligazioni ai sensi del GDPR, consulta GDPR e Google Cloud.
Per informazioni sui requisiti relativi alla tua regione, consulta Offerte di conformità. Se il tuo scenario è particolarmente complicato, ti consigliamo di rivolgerti al nostro team di vendita o a uno dei nostri partner per valutare le tue responsabilità in materia di sicurezza.
Sfide per la responsabilità condivisa
Sebbene la responsabilità condivisa aiuti a definire i ruoli di sicurezza di te o del fornitore di servizi cloud, fare affidamento su questa responsabilità può comunque creare delle difficoltà. Considera i seguenti scenari:
- La maggior parte delle violazioni della sicurezza del cloud è il risultato diretto di una configurazione errata (indicata come numero 3 nel report Pandemic 11 della Cloud Security Alliance) e questa tendenza dovrebbe aumentare. I prodotti cloud sono in continuaevoluzione e vengono lanciati di continuo nuovi prodotti. Stare al passo con i cambiamenti costanti può sembrare scoraggiante. I clienti hanno bisogno che i fornitori di servizi cloud forniscano loro best practice per aiutarli a stare al passo con i cambiamenti, a partire dalle best practice predefinite e da una configurazione di sicurezza di riferimento.
- Sebbene sia utile suddividere gli elementi in base ai servizi cloud, molte aziende hanno carichi di lavoro che richiedono più tipi di servizi cloud. In questo caso, devi considerare in che modo interagiscono i vari controlli di sicurezza per questi servizi, ad esempio se si sovrappongono tra loro e tra i diversi servizi. Ad esempio, potresti avere un'applicazione on-premise di cui stai eseguendo la migrazione a Compute Engine, utilizzare Google Workspace per l'email aziendale ed eseguire BigQuery per analizzare i dati al fine di migliorare i tuoi prodotti.
- La tua attività e i mercati sono in continua evoluzione: man mano che le normative cambiano, quando entri in nuovi mercati o acquisisci altre aziende. I nuovi mercati potrebbero avere requisiti diversi e la nuova acquisizione potrebbe ospitare i propri carichi di lavoro su un altro cloud. Per gestire le continue modifiche, devi rivalutare costantemente il tuo profilo di rischio ed essere in grado di implementare rapidamente nuovi controlli.
- Come e dove gestire le chiavi di crittografia dei dati è una decisione importante che riguarda le tue responsabilità di protezione dei dati. L'opzione che scegli dipende dai tuoi requisiti normativi, dal fatto che tu stia utilizzando un ambiente cloud ibrido o abbia ancora un ambiente on-premise e dalla sensibilità dei dati che stai elaborando e archiviando.
- La gestione degli incidenti è un'area importante e spesso trascurata in cui le tue responsabilità e quelle del cloud provider non sono facilmente definite. Molti incidenti richiedono la collaborazione e il supporto stretti del fornitore di cloud per aiutarci a esaminarli e mitigarli. Altri incidenti possono essere causati da risorse cloud configurate in modo errato o da credenziali rubate e garantire il rispetto delle best practice per la protezione delle risorse e degli account può essere piuttosto complicato.
- Le minacce avanzate persistenti (APT) e le nuove vulnerabilità possono influire sui tuoi carichi di lavoro in modi che potresti non considerare quando inizi la trasformazione al cloud. È difficile rimanere al passo con l'evoluzione del panorama e capire chi è responsabile della mitigazione delle minacce, soprattutto se la tua attività non dispone di un team di sicurezza di grandi dimensioni.
Destino condiviso
Abbiamo sviluppato il destino condiviso per Google Cloud iniziare a risolvere le sfide che il modello di responsabilità condivisa non affronta. Il destino condiviso si concentra su come tutte le parti possono interagire meglio per migliorare continuamente la sicurezza. Il destino condiviso si basa sul modello di responsabilità condivisa perché considera il rapporto tra il provider cloud e il cliente come una partnership continua per migliorare la sicurezza.
Il destino condiviso significa che ci assumiamo la responsabilità di rendere Google Cloud più sicuri. Il destino condiviso include l'aiuto per iniziare con una landing zone protetta e la chiarezza, l'obiettività e la trasparenza in merito a controlli, impostazioni e best practice di sicurezza consigliati. Ti aiuta anche a quantificare e gestire meglio il rischio con l'assicurazione informatica, utilizzando il nostro programma Risk Protection. Con il destino condiviso, vogliamo evolverci dal framework di responsabilità condivisa standard a un modello migliore che ti aiuti a proteggere la tua attività e a creare fiducia in Google Cloud.
Le sezioni seguenti descrivono i vari componenti del destino condiviso.
Guida per iniziare
Un componente chiave del destino condiviso sono le risorse che forniamo per aiutarti a iniziare, in una configurazione sicura in Google Cloud. Iniziare con una configurazione sicura aiuta a ridurre il problema delle configurazioni errate, che è la causa principale della maggior parte delle violazioni della sicurezza.
Le nostre risorse includono:
- Enterprise Foundations Blueprint che illustrano i principali problemi di sicurezza e i nostri consigli migliori.
Progetti sicuri che consentono di eseguire il deployment e gestire soluzioni sicure tramite Infrastructure as Code (IaC). Per impostazione predefinita, i nostri consigli per la sicurezza sono attivati nei blueprint. Molti blueprint vengono creati dai team di sicurezza di Google e gestiti come prodotti. Questo supporto significa che vengono aggiornati regolarmente, sottoposti a un processo di test rigoroso e ricevono attestazioni da gruppi di test di terze parti. I progetti di base includono il progetto di base per le aziende e il progetto di base per il data warehouse protetto.
Best practice per il framework dell'architettura che forniscono i principali suggerimenti per garantire la sicurezza nei tuoi progetti. Il framework di architettura include una sezione sulla sicurezza e una zona della community che puoi utilizzare per entrare in contatto con esperti e colleghi.
Guide alla navigazione delle zone di destinazione che illustrano le decisioni principali che devi prendere per creare una base sicura per i tuoi carichi di lavoro, tra cui gerarchia delle risorse, onboarding delle identità, gestione di chiavi e sicurezza e struttura della rete.
Programma di protezione dai rischi
Il destino condiviso include anche il Programma di protezione dai rischi (attualmente in anteprima), che ti consente di sfruttare la potenza di Google Cloud come piattaforma per gestire i rischi, anziché considerare i carichi di lavoro cloud come un'altra fonte di rischio da gestire. Il programma di protezione dai rischi è una collaborazione tra Google Cloud e due importanti compagnie di assicurazione informatica, Munich Re e Allianz Global & Corporate Specialty.
Il Programma di protezione dai rischi include Risk Manager, che fornisce approfondimenti basati sui dati che puoi utilizzare per comprendere meglio la tua security posture cloud. Se stai cercando una copertura assicurativa informatica, puoi condividere queste informazioni di Risk Manager direttamente con i nostri partner assicurativi per ottenere un preventivo. Per ulteriori informazioni, consulta Google Cloud Il programma di protezione dai rischi è ora disponibile in anteprima.
Guida per il deployment e la governance
Il destino condiviso ti aiuta anche con la governance continua del tuo ambiente. Ad esempio, ci concentriamo su prodotti come:
- Assured Workloads, che ti aiuta a soddisfare i tuoi obblighi di conformità.
- Security Command Center Premium, che utilizza la threat intelligence, il rilevamento delle minacce, la scansione web e altri metodi avanzati per monitorare e rilevare le minacce. Inoltre, offre un modo per risolvere molte di queste minacce in modo rapido e automatico.
- Criteri dell'organizzazione e impostazioni delle risorse che consentono di configurare i criteri di tutta la gerarchia di cartelle e progetti.
- Strumenti di Policy Intelligence che forniscono approfondimenti sull'accesso ad account e risorse.
- Confidential Computing, che ti consente di criptare i dati in uso.
- Controlli di sovranità dei partner, disponibile in alcuni paesi, e che contribuisce a applicare i requisiti di localizzazione dei dati.
Mettere in pratica la responsabilità condivisa e il destino condiviso
Nell'ambito della procedura di pianificazione, prendi in considerazione le seguenti azioni per aiutarti a comprendere e implementare i controlli di sicurezza appropriati:
- Crea un elenco del tipo di carichi di lavoro che ospiterai in Google Cloude indica se richiedono servizi IaaS, PaaS e SaaS. Puoi utilizzare il diagramma di responsabilità condivisa come elenco di controllo per assicurarti di conoscere i controlli di sicurezza da prendere in considerazione.
- Crea un elenco dei requisiti normativi che devi rispettare e accedi alle risorse nel Centro risorse per la conformità relative a questi requisiti.
- Esamina l'elenco di progetti e architetture disponibili nel Architecture Center per i controlli di sicurezza necessari per i tuoi carichi di lavoro specifici. I blueprint forniscono un elenco di controlli consigliati e il codice IaC necessario per eseguire il deployment dell'architettura.
- Utilizza la documentazione della landing zone e i consigli riportati nella guida alle basi dell'enterprise per progettare una gerarchia delle risorse e un'architettura di rete che soddisfi i tuoi requisiti. Puoi utilizzare i blueprint dei carichi di lavoro con opinioni, come il data warehouse protetto, per accelerare il processo di sviluppo.
- Dopo aver eseguito il deployment dei carichi di lavoro, verifica di rispettare le tue responsabilità in materia di sicurezza utilizzando servizi come Risk Manager, Assured Workloads, gli strumenti di Policy Intelligence e Security Command Center Premium.
Per ulteriori informazioni, consulta il documento Guida di CISO alla trasformazione del cloud.
Passaggi successivi
- Esamina i principi di sicurezza (documento successivo di questa serie).
- Tieniti al passo con le risorse con lo stesso destino.
- Acquisisci familiarità con i progetti di riferimento disponibili, tra cui il progetto di riferimento per le basi della sicurezza ed esempi di carichi di lavoro come il data warehouse protetto.
- Scopri di più sul destino condiviso.
- Scopri di più sulla nostra infrastruttura sicura di base nella panoramica sulla progettazione della sicurezza dell'infrastruttura Google.
- Scopri come implementare le best practice del NIST Cybersecurity Framework in Google Cloud (PDF).