O pilar de segurança, privacidade e conformidade no Google Cloud Well-Architected Framework fornece recomendações para ajudar a conceber, implementar e operar cargas de trabalho na nuvem que cumprem os seus requisitos de segurança, privacidade e conformidade.
Este documento foi concebido para oferecer estatísticas valiosas e satisfazer as necessidades de uma variedade de profissionais e engenheiros de segurança. A tabela seguinte descreve os públicos-alvo pretendidos para este documento:
| Público-alvo | O que este documento oferece |
|---|---|
| Chief Information Security Officers (CISOs), líderes de unidades de negócio e gestores de TI | Uma estrutura geral para estabelecer e manter a excelência em segurança na nuvem e garantir uma vista abrangente das áreas de segurança para tomar decisões informadas sobre investimentos em segurança. |
| Arquitetos e engenheiros de segurança | Práticas de segurança essenciais para as fases de conceção e operacionalização para ajudar a garantir que as soluções são concebidas para segurança, eficiência e escalabilidade. |
| Equipas de DevSecOps | Orientações para incorporar controlos de segurança abrangentes para planear a automatização que permite uma infraestrutura segura e fiável. |
| Responsáveis pela conformidade e gestores de risco | Recomendações de segurança importantes para seguir uma abordagem estruturada à gestão de riscos com salvaguardas que ajudam a cumprir as obrigações de conformidade. |
Para garantir que as suas cargas de trabalho cumprem os requisitos de segurança, privacidade e conformidade, todas as partes interessadas na sua organização têm de adotar uma abordagem colaborativa. Google Cloud Além disso, tem de reconhecer que a segurança na nuvem é uma responsabilidade partilhada entre si e a Google. Para mais informações, consulte Responsabilidades partilhadas e destino partilhado no Google Cloud.
As recomendações neste pilar estão agrupadas em princípios de segurança essenciais. Cada recomendação baseada em princípios é mapeada para uma ou mais das áreas de foco da segurança na nuvem que podem ser críticas para a sua organização. Cada recomendação realça orientações sobre a utilização e a configuração de produtos e capacidades para ajudar a melhorar a postura de segurança da sua organização.Google Cloud
Princípios fundamentais
As recomendações neste pilar estão agrupadas nos seguintes princípios fundamentais de segurança. Todos os princípios neste pilar são importantes. Consoante os requisitos da sua organização e carga de trabalho, pode optar por priorizar determinados princípios.
- Implemente a segurança desde a conceção: integre considerações de segurança na nuvem e de segurança de rede a partir da fase de design inicial das suas aplicações e infraestrutura. OGoogle Cloud fornece planos de arquitetura e recomendações para ajudar a aplicar este princípio.
- Implemente a confiança zero: use uma abordagem de nunca confie, valide sempre, em que o acesso aos recursos é concedido com base na validação contínua da confiança.O Google Cloud suporta este princípio através de produtos como o Chrome Enterprise Premium e o Identity-Aware Proxy (IAP).
- Implemente a segurança shift-left: implemente controlos de segurança no início do ciclo de vida de desenvolvimento de software. Evite defeitos de segurança antes de fazer alterações ao sistema. Detetar e corrigir erros de segurança de forma antecipada, rápida e fiável após a confirmação das alterações do sistema. Google Cloud Esta abordagem é suportada por produtos como o Cloud Build, a autorização binária e o Artifact Registry.
- Implemente uma defesa cibernética preventiva: Adote uma abordagem proativa à segurança implementando medidas fundamentais robustas, como informações sobre ameaças. Esta abordagem ajuda a criar uma base para uma deteção e uma resposta a ameaças mais eficazes. A abordagem daGoogle Cloudaos controlos de segurança em camadas está alinhada com este princípio.
- Use a IA de forma segura e responsável: Desenvolva e implemente sistemas de IA de forma responsável e segura. As recomendações para este princípio estão alinhadas com as orientações na perspetiva de IA e ML do Well-Architected Framework e na Secure AI Framework (SAIF) da Google.
- Use a IA para segurança: Use as capacidades de IA para melhorar os seus sistemas e processos de segurança existentes através do Gemini in Security e das capacidades de segurança da plataforma em geral. Use a IA como uma ferramenta para aumentar a automatização do trabalho de remediação e garantir a higiene da segurança para tornar outros sistemas mais seguros.
- Satisfazer as necessidades regulamentares, de conformidade e de privacidade: Aderir a regulamentos específicos da indústria, normas de conformidade e requisitos de privacidade. Google Cloud ajuda a cumprir estas obrigações através de produtos como o Assured Workloads, o Organization Policy Service e o nosso centro de recursos de conformidade.
Mentalidade de segurança organizacional
Uma mentalidade organizacional focada na segurança é crucial para a adoção e a operação bem-sucedidas da nuvem. Esta mentalidade deve estar profundamente enraizada na cultura da sua organização e refletir-se nas respetivas práticas, que são orientadas por princípios de segurança essenciais, conforme descrito anteriormente.
Uma mentalidade de segurança organizacional enfatiza que pensa na segurança durante a conceção do sistema, assume a confiança zero e integra funcionalidades de segurança ao longo do processo de desenvolvimento. Nesta perspetiva, também pensa proativamente em medidas de ciberdefesa, usa a IA de forma segura e para segurança, e considera os seus requisitos regulamentares, de privacidade e de conformidade. Ao adotar estes princípios, a sua organização pode cultivar uma cultura de prioridade à segurança que aborda proativamente as ameaças, protege os bens valiosos e ajuda a garantir uma utilização responsável da tecnologia.
Principais áreas da segurança na nuvem
Esta secção descreve as áreas nas quais deve focar-se quando planeia, implementa e gere a segurança das suas aplicações, sistemas e dados. As recomendações em cada princípio deste pilar são relevantes para uma ou mais destas áreas de foco. Ao longo do resto deste documento, as recomendações especificam as áreas de foco de segurança correspondentes para oferecer maior clareza e contexto.
| Área de foco | Atividades e componentes | Produtos, capacidades e soluções relacionados Google Cloud |
|---|---|---|
| Segurança das infraestruturas |
|
|
| Gestão de identidade e de acesso |
|
|
| Segurança dos dados |
|
|
| Segurança de IA e ML |
|
|
| Operações de segurança (SecOps) |
|
|
| Segurança para aplicações |
|
|
| Governança, risco e conformidade na nuvem |
|
|
| Registo, auditoria e monitorização |
|
Colaboradores
Autores:
- Wade Holmes | Global Solutions Director
- Hector Diaz | Arquiteto de segurança da nuvem
- Carlos Leonardo Rosario | Especialista em segurança do Google Cloud
- John Bacon | Partner Solutions Architect
- Sachin Kalra | Global Security Solution Manager
Outros colaboradores:
- Anton Chuvakin | Security Advisor, Office of the CISO
- Daniel Lees | Arquiteto de segurança da nuvem
- Filipe Gracio, PhD | Engenheiro de clientes, especialista em IA/AA
- Gary Harmson | Principal Architect
- Gino Pelliccia | Principal Architect
- Jose Andrade | Customer Engineer, SRE Specialist
- Kumar Dhanagopal | Cross-Product Solution Developer
- Laura Hyatt | Customer Engineer, FSI
- Marwan Al Shawi | Partner Customer Engineer
- Nicolas Pintaux | Customer Engineer, Application Modernization Specialist
- Noah McDonald | Consultor de segurança na nuvem
- Osvaldo Costa | Customer Engineer especialista em redes
- Radhika Kanakam | Program Lead, Google Cloud Well-Architected Framework
- Samantha He | Redatora técnica
- Susan Wu | Outbound Product Manager