Visão geral das justificativas de acesso às chaves

Esta página oferece uma visão geral das justificativas de acesso à chave. As principais justificativas de acesso fazem parte do compromisso de longo prazo do Google com a transparência, a confiança do usuário e a propriedade do cliente sobre os dados. O Access Approval permite que você autorize solicitações do pessoal do Google para acessar dados do cliente. A transparência no acesso ajuda você a descobrir informações sobre quando os dados do cliente são acessados. As justificativas de acesso às chaves fornecem controle de acesso às chaves para todas as interações com dados do cliente em repouso que são criptografados por uma chave gerenciada pelo cliente.

Juntos, esses produtos oferecem recursos de gerenciamento de acesso que dão a você controle e contexto para solicitações administrativas de acesso aos dados do cliente.

Visão geral

As Justificativas de acesso às chaves permitem definir uma política no Cloud Key Management Service (Cloud KMS) para visualizar, aprovar e negar solicitações de acesso às chaves, dependendo do código de justificativa fornecido. Para alguns parceiros externos de gerenciamento de chaves, é possível configurar políticas de justificativas de acesso a chaves fora de Google Cloud para que sejam aplicadas exclusivamente pelo gerenciador de chaves externo, em vez do Cloud KMS. As justificativas de acesso às chaves funcionam com os seguintes tipos de chaves do Cloud KMS, dependendo do pacote de controle do Assured Workloads selecionado:

Como funciona a criptografia em repouso

A criptografia em repouso doGoogle Cloud funciona criptografando os dados armazenados no Google Cloud com uma chave de criptografia que fica fora do serviço em que os dados são armazenados. Por exemplo, se você criptografar dados no Cloud Storage, o serviço só armazena as informações criptografadas que você salvou, enquanto a chave usada para criptografar esses dados é armazenada no Cloud KMS (se você estiver usando chaves de criptografia gerenciadas pelo cliente (CMEK)) ou no gerenciador de chaves externo (se você estiver usando o Cloud EKM).

Ao usar um serviço Google Cloud , você quer que seus aplicativos continuem funcionando conforme descrito, e isso exigirá que seus dados sejam descriptografados. Por exemplo, se você executar uma consulta usando o BigQuery, o serviço do BigQuery precisará descriptografar os dados para analisá-los. O BigQuery faz isso fazendo uma solicitação de descriptografia ao gerenciador de chaves para receber os dados necessários.

Por quais motivos minhas chaves seriam acessadas?

Suas chaves de criptografia são acessadas com mais frequência por sistemas automatizados ao atender suas próprias solicitações e cargas de trabalho no Google Cloud.

Além dos acessos iniciados pelo cliente e dos acessos automatizados ao sistema, um funcionário do Google pode precisar iniciar operações que usam suas chaves de criptografia pelos seguintes motivos:

  • Fazer backup dos seus dados: talvez o Google precise acessar suas chaves de criptografia para fazer backup dos seus dados por motivos de recuperação de desastres.

  • Resolver uma solicitação de suporte: um funcionário do Google pode precisar descriptografar seus dados para cumprir a obrigação contratual de prestar suporte.

  • Gerenciar e resolver problemas de sistemas: o pessoal do Google pode iniciar operações que usam suas chaves de criptografia para realizar a depuração técnica necessária para uma solicitação ou investigação de suporte complexa. O acesso também pode ser necessário para corrigir falhas de armazenamento ou corrupção de dados.

  • Garantir a integridade e o compliance de dados e proteger contra fraudes e abusos: o Google pode precisar descriptografar dados pelos seguintes motivos:

    • Para garantir a segurança dos seus dados e contas.
    • Para garantir que você está usando os serviços do Google em conformidade com os Google Cloud Termos de Serviço.
    • Investigar reclamações de outros usuários e clientes ou outros sinais de atividade abusiva.
    • Para verificar se os Google Cloud serviços estão sendo usados de acordo com os requisitos regulamentares aplicáveis, como regulamentações contra lavagem de dinheiro.

  • Manter a confiabilidade do sistema: a equipe do Google pode solicitar acesso para investigar se uma suspeita de interrupção do serviço não afeta você. Além disso, o acesso pode ser solicitado para garantir o backup e a recuperação de interrupções ou falhas do sistema.

Para conferir a lista de códigos de justificativa, consulte Códigos de motivo de justificativa para justificativas de acesso às chaves.

Como gerenciar o acesso às suas chaves

As Justificativas de acesso às chaves oferecem um motivo sempre que as chaves gerenciadas pelo Cloud KMS ou gerenciadas externamente são acessadas. Quando a chave é usada para qualquer operação criptográfica, você recebe uma justificativa de acesso baseado em serviço (para serviços com suporte) e de acesso direto à API.

Depois que seus projetos principais forem inscritos nas justificativas de acesso às chaves, você vai começar a receber justificativas para cada acesso a chaves novas. Para chaves existentes, você vai começar a receber justificativas para cada acesso em até 24 horas.

Como ativar justificações de acesso à chave

As justificativas de acesso às chaves só podem ser usadas com o Assured Workloads e são ativadas por padrão quando você cria uma nova pasta do Assured Workloads configurada para um pacote de controle que inclui justificativas de acesso às chaves. Consulte a Visão geral do Assured Workloads para mais informações.

Exclusões das justificativas de acesso à chave

As justificativas de acesso à chave se aplicam apenas às seguintes situações:

  • Operações em dados criptografados: para os campos em um determinado serviço que são criptografados por uma chave gerenciada pelo cliente, consulte a documentação do serviço.
  • A transição de dados em repouso para dados em uso: embora o Google continue a aplicar proteções aos seus dados em uso, as justificativas de acesso à chave regem apenas a transição de dados em repouso para dados em uso.

Os seguintes recursos do Compute Engine e do disco permanente estão isentos quando usados com CMEK:

Justificativas de acesso à chave com aprovação de acesso

Para cargas de trabalho com o recurso "Aprovação de acesso" ativado com uma chave de assinatura personalizada, as justificativas de acesso às chaves também serão aplicadas ao processamento de solicitações de aprovação de acesso assinado. As solicitações de aprovação de acesso só podem ser processadas se a justificativa associada ao acesso à chave também for permitida pela política de justificativas de acesso à chave. Quando um cliente assina uma solicitação de aprovação de acesso, a justificativa associada é refletida na solicitação de assinatura para a aprovação.

Todos os acessos aos dados do cliente que ocorrem a partir de uma solicitação de aprovação de acesso aprovada e assinada vão aparecer nos registros de Transparência no acesso vinculados à solicitação de aprovação.

A seguir