Visão geral das justificativas de acesso às chaves

Esta página oferece uma visão geral das Justificativas de acesso às chaves. Justificativas de acesso às chaves fazem parte do compromisso de longo prazo do Google com a transparência, a confiança do usuário e a propriedade do cliente sobre os dados. O Access Approval permite que você autorize solicitações do pessoal do Google para acessar Dados do cliente. A Transparência no acesso ajuda você a descobrir informações sobre quando os dados do cliente são acessados, e as Justificativas de acesso às chaves fornecem controle de acesso às chaves para todas as interações com dados do cliente em repouso que são criptografados por uma chave gerenciada pelo cliente.

Juntos, esses produtos oferecem recursos de gerenciamento de acesso que dão a você controle e contexto para solicitações administrativas para acessar dados do cliente.

Visão geral

As Justificativas de acesso às chaves permitem definir uma política no Cloud Key Management Service (Cloud KMS) para visualizar, aprovar e negar solicitações de acesso às chaves, dependendo do código de justificativa fornecido. Para alguns parceiros de gerenciamento de chaves externos, é possível configurar políticas das Justificativas de acesso às chaves fora do Google Cloud para serem aplicadas exclusivamente pelo gerenciador de chaves externo, em vez do Cloud KMS. As justificativas de acesso às chaves funcionam com os seguintes tipos de chaves do Cloud KMS, dependendo do pacote de controle do Assured Workloads selecionado:

Como funciona a criptografia em repouso

A criptografia em repouso do Google Cloud criptografa os dados armazenados no Google Cloud com uma chave de criptografia que fica fora do serviço em que os dados são armazenados. Por exemplo, se você criptografar dados no Cloud Storage, o serviço só armazena as informações criptografadas que você salvou, enquanto a chave usada para criptografar esses dados é armazenada no Cloud KMS (se você estiver usando chaves de criptografia gerenciadas pelo cliente (CMEK)) ou no gerenciador de chaves externo (se você estiver usando o Cloud EKM).

Ao usar um serviço do Google Cloud, você quer que seus aplicativos continuem funcionando conforme descrito, e isso exigirá que seus dados sejam descriptografados. Por exemplo, se você executar uma consulta usando o BigQuery, o serviço do BigQuery precisará descriptografar os dados para analisá-los. O BigQuery faz isso fazendo uma solicitação de descriptografia para o gerenciador de chaves para receber os dados necessários.

Por quais motivos minhas chaves seriam acessadas?

Suas chaves de criptografia são acessadas com mais frequência por sistemas automatizados ao atender às suas próprias solicitações e cargas de trabalho no Google Cloud.

Além dos acessos iniciados pelo cliente e dos acessos automatizados ao sistema, um funcionário do Google pode precisar iniciar operações que usam suas chaves de criptografia pelos seguintes motivos:

  • Fazer backup dos seus dados: talvez o Google precise acessar suas chaves de criptografia para fazer backup dos seus dados por motivos de recuperação de desastres.

  • Resolver uma solicitação de suporte: um funcionário do Google pode precisar descriptografar seus dados para cumprir a obrigação contratual de oferecer suporte.

  • Gerenciar e resolver problemas de sistemas: o pessoal do Google pode iniciar operações que usam suas chaves de criptografia para realizar a depuração técnica necessária para uma solicitação ou investigação de suporte complexa. O acesso também pode ser necessário para corrigir falhas de armazenamento ou corrupção de dados.

  • Garantir a integridade e o compliance de dados e proteger contra fraudes e abusos: o Google pode precisar descriptografar dados pelos seguintes motivos:

    • Para garantir a segurança dos seus dados e contas.
    • Para garantir que você está usando os serviços do Google em conformidade com os Termos de Serviço do Google Cloud.
    • Investigar reclamações de outros usuários e clientes ou outros sinais de atividade abusiva.
    • Para verificar se os serviços do Google Cloud estão sendo usados de acordo com os requisitos regulamentares aplicáveis, como regulamentações contra lavagem de dinheiro.

  • Manter a confiabilidade do sistema: a equipe do Google pode solicitar acesso para investigar se uma suspeita de interrupção do serviço não afeta você. Além disso, o acesso pode ser solicitado para garantir o backup e a recuperação de interrupções ou falhas do sistema.

Para conferir a lista de códigos de justificativa, consulte Códigos de motivo de justificativa para justificativas de acesso às chaves.

Como gerenciar o acesso às suas chaves

As Justificativas de acesso às chaves oferecem um motivo sempre que as chaves gerenciadas pelo Cloud KMS ou gerenciadas externamente são acessadas. Quando a chave é usada para qualquer operação criptográfica, você recebe uma justificativa de acesso baseado em serviço (para serviços com suporte) e de acesso direto à API.

Depois que seus projetos principais forem inscritos nas justificativas de acesso às chaves, você vai começar a receber justificativas para cada acesso a chaves novas. Para chaves existentes, você vai começar a receber justificativas para cada acesso em até 24 horas.

Como ativar justificações de acesso à chave

As justificativas de acesso às chaves só podem ser usadas com o Assured Workloads e são ativadas por padrão quando você cria uma nova pasta do Assured Workloads configurada para um pacote de controle que inclui justificativas de acesso às chaves. Consulte a Visão geral do Assured Workloads para mais informações.

Exclusões das justificativas de acesso à chave

As Justificativas de acesso às chaves se aplicam apenas às seguintes situações:

  • Operações em dados criptografados: para os campos em um determinado serviço que são criptografados por uma chave gerenciada pelo cliente, consulte a documentação do serviço.
  • A transição de dados em repouso para dados em uso: embora o Google continue a aplicar proteções aos seus dados em uso, as Justificativas de acesso às chaves regem apenas a transição de dados em repouso para dados em uso.

Os seguintes recursos do Compute Engine e do Persistent Disk estão isentos quando usados com CMEK:

Justificativas de acesso às chaves com aprovação de acesso

Para cargas de trabalho com o Access Approval ativado com uma chave de assinatura personalizada, as justificativas de acesso às chaves também serão aplicadas ao processamento de solicitações de aprovação de acesso assinado. As solicitações de aprovação de acesso só podem ser processadas se a justificativa associada ao acesso à chave também for permitida pela política de Justificativas de acesso às chaves. Quando um cliente assina uma solicitação de aprovação de acesso, a justificativa associada é refletida na solicitação de assinatura para a aprovação.

Todos os acessos aos dados do cliente que ocorrem a partir de uma solicitação de aprovação de acesso aprovada e assinada vão aparecer nos registros de transparência no acesso vinculados à solicitação de aprovação.

A seguir