Nouvelles bonnes pratiques pour automatiser des déploiements cloud plus sécurisés

Les organisations migrent vers le cloud pour de nombreuses raisons : gagner en efficacité, simplifier la gestion ou encore renforcer la sécurité. En effet, la migration vers le cloud présente un avantage majeur : l'opportunité d'établir une sécurité de base et un état de conformité rigoureux.

Mais cela nécessite du travail. Vous pouvez vous appuyer sur l'infrastructure principale à la conception sécurisée de Google Cloud, ou encore sur ses fonctionnalités de sécurité intégrées et ses outils avancés. Cependant, vous devez également configurer des déploiements cloud pour répondre à vos exigences en termes de sécurité et de conformité. Nous pensons que dans le cadre de notre responsabilité partagée en matière de sécurité, il est indispensable de faciliter le respect de ces exigences.

C'est pour cette raison que nous avons lancé cette semaine notre Centre des bonnes pratiques de sécurité dans Google Cloud, une nouvelle plate-forme offrant une expertise de pointe sur la sécurité par Google et ses partenaires. Cette expertise se présente sous la forme de plans, de guides, de livres blancs et bien d'autres supports. Elle peut vous aider à accélérer votre migration vers le cloud tout en privilégiant la sécurité et la conformité. Vous bénéficiez également de modèles et de code téléchargeables et déployables pour vous permettre d'automatiser le déploiement de services et de ressources de manière plus sécurisée.

Des plans pour vous aider à automatiser des déploiements plus sécurisés

Dans ce nouveau centre de ressources, nous avons publié un plan de sécurité de base complet et inédit pour vous fournir une sélection de conseils avisés. Nous vous accompagnons également lors de l'automatisation pour que vous puissiez intégrer la sécurité dès le départ dans vos déploiements Google Cloud. Nous avons développé le plan de sécurité de base en nous fondant sur l'expérience de nos clients. Il aborde les sujets suivants :

• La structure organisationnelle de Google Cloud
• L'authentification et l'autorisation
• La hiérarchie et le déploiement des ressources
• La mise en réseau (segmentation et sécurité)
• La journalisation
• Les contrôles de détection
• La configuration de la facturation

Le plan en lui-même inclut un guide détaillé des bonnes pratiques, ainsi que des éléments déployables sous la forme de scripts de compilation personnalisables Terraform, pouvant être utilisés pour mettre en place un environnement Google Cloud configuré selon nos conseils.

Ce document vient s'ajouter à d'autres plans publiés récemment. Leur objectif commun : proposer de bonnes pratiques concernant l'automatisation de stratégies de sécurité pour des applications et des charges de travail spécifiques.

Le plan PCI sur GKE contient des architectures de référence ainsi qu'un ensemble de configurations et de scripts Terraform qui expliquent comment amorcer la création d'un environnement PCI dans Google Cloud. Au cœur de ce plan se trouve l'exemple d'application Online Boutique, dans laquelle les utilisateurs peuvent parcourir des articles, les ajouter au panier et les acheter. Ce plan permet de déployer rapidement et facilement des charges de travail sur Google Kubernetes Engine (GKE), de manière reproductible, compatible et sécurisée. Ces charges de travail sont conformes à la norme de sécurité de l'industrie des cartes de paiement (PCI DSS, Payment Card Industry Data Security Standard). Le plan inclut également un mappage PCI DSS 3.2.1 pour la solution et un livre blanc de conformité PCI. Celui-ci fournit une évaluation tierce et indépendante du plan par Coalfire, l'auditeur PCI DSS de Google.

Le toolkit de protection des données Google Cloud Healthcare constitue un framework d'automatisation pour déployer des ressources Google Cloud afin de stocker et de traiter des données de santé, y compris les données de santé protégées telles que définies par la loi américaine Health Insurance Portability and Accountability Act (HIPAA). Ce toolkit fournit un exemple de configuration d'infrastructure Google Cloud pour le stockage des données, l'analyse ou le développement d'applications. Il comprend une grande partie des contrôles de sécurité et de confidentialité recommandés pour les données de santé, tels que la configuration de l'accès approprié, la gestion des journaux d'audit et la surveillance des activités suspectes.

Les plans de sécurité Anthos fournissent des informations et des instructions normatives pour établir un ensemble de stratégies de sécurité lorsque vous créez ou migrez des charges de travail qui utilisent des clusters Anthos. Il existe actuellement des plans individuels permettant d'appliquer des règles, d'appliquer des restrictions de localité pour les clusters sur Google Cloud ainsi que d'auditer et de surveiller les écarts par rapport aux règles. Chaque plan inclut un guide de mise en œuvre et des éléments déployables (fichiers de définition de ressource personnalisée, et modèles et scripts Terraform). Les plans s'ajoutent les uns aux autres. Vous pouvez donc en appliquer plusieurs à vos environnements.

Premiers pas

Accédez à notre Centre des bonnes pratiques de sécurité dans Google Cloud dès aujourd'hui pour découvrir comment accélérer votre migration vers le cloud et améliorer votre stratégie de sécurité. Nous vous conseillons également de visionner plusieurs sessions Next OnAir qui abordent le sujet des plans : Master Security and Compliance in the Public Cloud et Enhance Your Security Posture and Run PCI Compliant Apps with Anthos. Écoutez ensuite notre récent podcast GCP sur les plans pour connaître les offres actuelles et les projets à venir. Enfin, vérifiez régulièrement les derniers ajouts au centre, car nous continuons à l'enrichir et à le mettre à jour avec des contenus provenant d'experts Google Cloud et de nos partenaires.