Vista geral das justificações de acesso a chaves

Esta página oferece uma vista geral das justificações de acesso às chaves. As Justificações de acesso às chaves fazem parte do compromisso a longo prazo da Google com a transparência, a confiança dos utilizadores e a propriedade dos dados por parte dos clientes. As Justificações de acesso às chaves direcionam os sistemas Google para gerar códigos de justificação para cada operação criptográfica que envolva chaves inscritas no Cloud Key Management Service (Cloud KMS).

As Justificações de acesso às chaves funcionam em conjunto com a aprovação de acesso e a transparência de acesso da seguinte forma: a aprovação de acesso permite-lhe autorizar pedidos de acesso aos dados do cliente por parte do pessoal da Google. A transparência de acesso ajuda a descobrir informações sobre quando os dados do cliente são acedidos, e as Justificações de acesso às chaves fornecem controlo de acesso às chaves para todas as interações com dados do cliente em repouso encriptados por uma chave gerida pelo cliente. Em conjunto, cada um destes produtos oferece capacidades de gestão de acesso que lhe dão controlo e contexto para pedidos administrativos de acesso aos dados de clientes.

Vista geral

As Justificações de acesso às chaves permitem-lhe definir uma política nas chaves do Cloud Key Management Service (Cloud KMS) para ver, aprovar e recusar pedidos de acesso às chaves consoante o código de justificação fornecido. Para determinados parceiros de gestão de chaves externas, pode configurar políticas de Justificações de acesso às chaves fora do Google Cloud para serem aplicadas exclusivamente pelo gestor de chaves externas e não pelo Cloud KMS.

Consoante o pacote de controlos do Assured Workloads que escolher, estão disponíveis as seguintes funcionalidades de Justificações de acesso às chaves:

  • Para determinados pacotes de controlo regionais, a Transparência de acesso às chaves regista estes códigos de justificação nos seus registos de auditoria do Cloud KMS.
  • Para determinados pacotes de controlo regionais, regulamentares ou soberanos, as justificações de acesso às chaves permitem-lhe definir uma política nas suas chaves para aprovar ou recusar pedidos de acesso às chaves consoante o código de justificação fornecido. Algumas fronteiras de dados regionais oferecem esta funcionalidade além da transparência de acesso às chaves.
  • Para determinados pacotes de controlo soberano, pode usar parceiros de gestão de chaves externos suportados para configurar políticas de Justificações de acesso às chaves fora doGoogle Cloud. Estas políticas são aplicadas exclusivamente pelo gestor de chaves externo e não pelo Cloud KMS.

Além destas funcionalidades, o pacote de controlos do Assured Workloads que escolher também determina que tipos de chaves do Cloud KMS estão disponíveis:

Como funciona a encriptação em repouso

AGoogle Cloud encriptação em repouso funciona encriptando os seus dados armazenados na Google Cloud com uma chave de encriptação que reside fora do serviço onde os dados são armazenados. Por exemplo, se encriptar dados no Cloud Storage, o serviço apenas armazena as informações encriptadas que armazenou, enquanto a chave usada para encriptar esses dados é armazenada no Cloud KMS (se estiver a usar chaves de encriptação geridas pelo cliente [CMEK]) ou no seu gestor de chaves externo (se estiver a usar o Cloud EKM).

Quando usa um Google Cloud serviço, quer que as suas aplicações continuem a funcionar conforme descrito, e isto requer que os seus dados sejam desencriptados. Por exemplo, se executar uma consulta através do BigQuery, o serviço do BigQuery tem de desencriptar os seus dados para os poder analisar. O BigQuery consegue isto fazendo um pedido de desencriptação ao gestor de chaves para obter os dados necessários.

Por que motivo as minhas chaves podem ser acedidas?

As suas chaves de encriptação são acedidas com maior frequência por sistemas automatizados enquanto processam as suas próprias solicitações e cargas de trabalho no Google Cloud.

Além dos acessos iniciados pelo cliente e dos acessos automatizados do sistema, um funcionário da Google pode ter de iniciar operações que usam as suas chaves de encriptação pelos seguintes motivos:

  • Fazer uma cópia de segurança dos seus dados: a Google pode ter de aceder às suas chaves de encriptação para fazer uma cópia de segurança dos seus dados por motivos de recuperação de desastres.

  • Resolver um pedido de apoio técnico: um funcionário da Google pode ter de desencriptar os seus dados para cumprir a obrigação contratual de fornecer apoio técnico.

  • Gerir e resolver problemas dos sistemas: o pessoal da Google pode iniciar operações que usam as suas chaves de encriptação para realizar a depuração técnica necessária para um pedido de apoio técnico ou uma investigação complexa. O acesso também pode ser necessário para corrigir falhas de armazenamento ou corrupção de dados.

  • Garantir a integridade e a conformidade dos dados, e proteger contra fraudes e abusos: A Google pode ter de desencriptar os dados pelos seguintes motivos:

    • Para garantir a segurança dos seus dados e contas.
    • Para garantir que está a usar os serviços Google em conformidade com os Google Cloud Termos de Utilização.
    • Para investigar queixas de outros utilizadores e clientes, ou outros sinais de atividade abusiva.
    • Para validar que os Google Cloud serviços estão a ser usados em conformidade com os requisitos regulamentares aplicáveis, como os regulamentos de combate ao branqueamento de capitais.

  • Manter a fiabilidade do sistema: o pessoal da Google pode pedir acesso para investigar se uma suspeita de indisponibilidade do serviço não afeta o seu sistema. Além disso, o acesso pode ser pedido para garantir a cópia de segurança e a recuperação de indisponibilidades ou falhas do sistema.

Para ver a lista de códigos de justificação, consulte os códigos de motivos de justificação para justificações de acesso a chaves.

Gerir o acesso às suas chaves

As justificações de acesso a chaves fornecem um motivo sempre que as chaves geridas pelo Cloud KMS ou as chaves geridas externamente são acedidas. Quando a sua chave é usada para qualquer operação criptográfica, recebe uma justificação para o acesso baseado em serviços (para serviços suportados) e o acesso direto à API.

Depois de os seus principais projetos serem inscritos nas Justificações de acesso às chaves, começa imediatamente a receber justificações para cada acesso às chaves para novas chaves. Para as chaves existentes anteriormente, começa a receber justificações para cada acesso à chave no prazo de 24 horas.

Ativar justificações de acesso a chaves

As Justificações de acesso às chaves só podem ser usadas com o Assured Workloads e estão ativadas por predefinição quando cria uma nova pasta do Assured Workloads configurada para um pacote de controlos que inclua Justificações de acesso às chaves. Consulte a vista geral do Assured Workloads para mais informações.

Exclusões de justificações de acesso a chaves

As justificações de acesso às chaves aplicam-se apenas às seguintes situações:

  • Operações em dados encriptados: para os campos num determinado serviço que são encriptados por uma chave gerida pelo cliente, consulte a documentação do serviço.
  • A transição de dados em repouso para dados em utilização: embora a Google continue a aplicar proteções aos seus dados em utilização, as Justificações de acesso às chaves regem apenas a transição de dados em repouso para dados em utilização.

As seguintes funcionalidades do Compute Engine e do Persistent Disk estão isentas quando usadas com a CMEK:

Justificações de acesso a chaves com aprovação de acesso

Para cargas de trabalho com a aprovação de acesso ativada com uma chave de assinatura personalizada, as justificações de acesso às chaves também se aplicam ao processamento de pedidos de aprovação de acesso assinados. Os pedidos de aprovação de acesso só podem ser processados se a justificação associada ao acesso à chave também for permitida pela política de justificações de acesso à chave. Quando um cliente assina um pedido de aprovação de acesso, a justificação associada reflete-se no pedido de assinatura para aprovação.

Todos os acessos aos dados de clientes que ocorram a partir de um pedido de aprovação de acesso assinado e aprovado aparecem nos registos da Transparência de acesso associados ao pedido de aprovação.

O que se segue?