Responsabilidade partilhada no Assured Workloads

Esta página descreve a responsabilidade partilhada no Assured Workloads. Para informações gerais sobre a responsabilidade partilhada no Google Cloud, consulte Google CloudResponsabilidades partilhadas e destino partilhado no Google Cloud.

Responsabilidade partilhada pelos dados

É especialista em conhecer os requisitos de segurança e regulamentares da sua empresa e os requisitos para proteger os seus dados e recursos confidenciais. Quando executa as suas cargas de trabalho no Google Cloud, tem de identificar os controlos de segurança que tem de configurar Google Cloud para ajudar a proteger os seus dados confidenciais e cada carga de trabalho. Para decidir que controlos de segurança implementar, tem de considerar os seguintes fatores:

  • As suas obrigações de conformidade regulamentar
  • Os padrões de segurança e o plano de gestão de riscos da sua organização
  • Requisitos de segurança dos seus clientes e fornecedores

A proteção dos seus dados é uma consideração de design principal para todas as operações de infraestrutura, produtos e pessoal da Google. Google Cloud oferece uma segurança robusta para muitos tipos de dados, incluindo Dados do Cliente e Dados dos Serviços. No entanto, se as suas cargas de trabalho tiverem de cumprir requisitos regulamentares específicos ou estiverem sujeitas a normas nacionais que exijam controlos de segurança elevados, as suas políticas internas podem diferir das opções de configuração predefinidas. Se tiver esses requisitos, recomendamos que adote ferramentas e técnicas adicionais para ajudar a manter o nível de conformidade necessário e permitir que a sua equipa siga as práticas recomendadas de gestão de dados e gestão geral de cibersegurança.

Configure Google Cloud o Assured Workloads para responsabilidade partilhada

As seguintes áreas são responsabilidades do cliente enquanto utilizador de qualquer nuvem pública:

  • Compreender que partes dos seus dados têm diferentes requisitos de conformidade e segurança. A maioria dos clientes da nuvem tem alguma infraestrutura de TI que requer segurança comercial geral e alguns clientes têm dados específicos, como dados de saúde, que têm de cumprir um requisito de conformidade mais elevado. O Assured Workloads pode ajudar a cumprir esses requisitos de conformidade mais elevados. Coloque todos os dados confidenciais ou regulamentados com requisitos de acesso ou residência específicos em pastas ou projetos do Assured Workloads adequados e mantenha-os aí.
  • Configurar a gestão de identidade e de acesso (IAM) para garantir que o conteúdo da sua organização é acedido e modificado pelo pessoal adequado.
  • Criar e organizar a hierarquia organizacional de forma que não exponha dados pessoais.
  • Certificar-se de que leu toda a documentação para compreender e seguir as práticas recomendadas.
  • Partilhar informações prudentemente durante as sessões de apoio técnico e a resolução de problemas, e não colocar nem partilhar dados confidenciais ou regulamentados fora das pastas dos Assured Workloads em conformidade.

O âmbito dos dados confidenciais ou regulamentados pode variar consoante muitos fatores, incluindo os regulamentos aos quais você ou os seus clientes estão sujeitos, e pode incluir:

  • Informações da conta
  • Informações de saúde
  • Identificadores pessoais de clientes ou utilizadores
  • Dados do titular do cartão
  • Números de ID

Responsabilidades da Google no modelo de responsabilidade partilhada

Na parceria de responsabilidade partilhada entre a Google e os clientes, a Google assume a responsabilidade pelos elementos fundamentais e pela infraestrutura de criação de uma empresa na nuvem bem-sucedida, alguns dos quais dependem de os clientes assumirem as suas responsabilidades para configurarGoogle Cloud de forma a proteger adequadamente os respetivos dados. Alguns exemplos das responsabilidades da Google:

  • Aplicar a encriptação predefinida e controlos de infraestrutura.
  • A aplicação das políticas de IAM que define para restringir a administração da carga de trabalho e o acesso aos dados às identidades que identifica.
  • Configurar e aplicar todos os controlos do Assured Workloads selecionados pelo cliente associados ao regime de conformidade selecionado, para os tipos de dados protegidos nos recursos para os quais o configurou. Isto inclui restrições sobre onde os dados são armazenados e que funcionários da Google podem ter acesso aos seus dados no âmbito das respetivas atividades empresariais adequadas.
  • Fornecer configurações e controlos através do Assured Workloads para setores regulamentados e dados sensíveis à localização.
  • Fornecer políticas da organização e definições de recursos que lhe permitem configurar políticas em toda a hierarquia de pastas e projetos.
  • Fornecendo ferramentas de inteligência de políticas que lhe dão estatísticas sobre o acesso a contas e recursos.

Configuração específica para a Europa e a UE

Quando usam o Assured Workloads para regiões da UE ou os controlos soberanos para a UE, os clientes têm controlos técnicos adicionais além das garantias do RGPD que podem usar para ajustar a residência dos dados e os controlos de segurança como parte dos respetivos esforços de conformidade. Google Cloud Alguns destes controlos incluem:

  • Um limite de dados da UE, conforme descrito mais detalhadamente na secção Residência dos dados.
  • Encaminhamento do apoio técnico para pessoas da UE em localizações da UE, incluindo subcontratantes.
  • Visibilidade dos pedidos e acessos administrativos.
  • Aprovações de acesso baseadas em políticas (apenas controlos soberanos).
  • Opções personalizadas para encriptação de dados e gestão de chaves.

Exemplos de campos comuns que não são recomendados para dados confidenciais ou regulamentados

Recomendamos vivamente que todos os clientes regulamentados e soberanos tenham cuidado ao introduzir dados nos serviços da Google Cloud . É fundamental evitar adicionar dados confidenciais ou regulamentados em campos de entrada comuns que podem não estar protegidos por controlos técnicos ou não estão incluídos no limite de controlo técnico dos Assured Workloads. Esta prática é necessária para manter a conformidade com os requisitos regulamentares e salvaguarda as suas informações confidenciais ou regulamentadas. Para ajudar, compilámos uma lista de exemplos em vários serviços onde é necessária vigilância adicional. Google Cloud

Evite colocar os seus dados confidenciais ou regulamentados nos seguintes campos comuns:

  • Nomes e IDs de recursos
  • Nomes e IDs de projetos ou pastas
  • Quaisquer campos de descrição ou etiquetas
  • Métricas baseadas em registos
  • Tamanhos de VMs e configurações de serviços semelhantes
  • URIs ou caminhos de ficheiros
  • Indicações de tempo
  • IDs de utilizador
  • Regras de firewall
  • Configurações de análise de segurança
  • Políticas IAM do cliente

O que se segue?