Présentation d'Access Transparency

Cette page présente Access Transparency. Access Transparency s'inscrit dans l'engagement à long terme de Google en faveur de la transparence, de la confiance des utilisateurs et de la propriété des données par les clients. Access Approval vous permet d'autoriser les demandes du personnel Google d'accéder aux données client, tandis qu'Access Transparency vous aide à découvrir quand les données client sont consultées. Pour les clients qui utilisent des approbations d'accès signées avec une clé de chiffrement gérée par le client (CMEK), Google offre également aux utilisateurs une visibilité et un contrôle sur les demandes d'accès aux clés via les justifications d'accès aux clés.

Ensemble, chacun de ces produits fournit des fonctionnalités de gestion des accès qui vous permettent de contrôler et de contextualiser les requêtes administratives d'accès aux données client.

Présentation

Les journaux Access Transparency enregistrent les actions effectuées par le personnel de Google lorsqu'il accède aux données client. Les entrées de journal Access Transparency incluent des informations telles que la ressource et l'action concernées, l'heure et le motif de l'action, ainsi que des informations sur l'utilisateur ayant obtenu l'accès. Les informations sur l'accès incluent des détails sur l'emplacement physique, l'entité employeuse et la catégorie d'emploi de l'employé Google. Pour en savoir plus sur les informations contenues dans les journaux Access Transparency, consultez la section Descriptions des champs de journal.

Les journaux Access Transparency sont similaires aux journaux Cloud Audit Logs. Toutefois, les journaux Cloud Audit Logs enregistrent les actions que les membres de votre organisation Google Cloud ont effectuées sur vos ressources Google Cloud, tandis que les journaux Access Transparency enregistrent les actions effectuées par les équipes Google. Lorsqu'ils sont utilisés ensemble, Cloud Audit Logs et les journaux d'audit Access Transparency vous fournissent des journaux d'audit sur les actions des clients et les accès administratifs Google aux données client.

Quand utiliser Access Transparency ?

Vous pouvez avoir besoin des journaux Access Transparency pour les raisons suivantes:

  • Vérifier que le personnel de Google n'accède à votre contenu que pour des raisons commerciales valables, telles que la résolution d'une panne ou le traitement de vos demandes d'assistance
  • Vérifier que l'accès du personnel Google correspond aux produits et aux données pour lesquels vous demandez de l'aide dans une demande d'assistance client.
  • vérifier la conformité avec les obligations légales et les réglementations ;
  • Collecter et analyser les événements d'accès suivis au moyen d'un outil automatisé de gestion des informations et des événements de sécurité (SIEM, Security Information and Event Management), tel que Google Security Operations.

Utiliser les journaux Access Transparency pour améliorer la stratégie de sécurité globale

Les journaux Access Transparency constituent une source d'informations supplémentaire précieuse dans vos workflows d'opérations de sécurité. En insérant les journaux Access Transparency dans vos outils de gestion des informations et des événements de sécurité (SIEM) à des fins de conformité ou d'audit, vous pouvez enrichir les données existantes, telles que les résultats de sécurité de Security Command Center. Pour en savoir plus sur l'ingestion des journaux Access Transparency, consultez la page Ingérer des données Google Cloud dans Google Security Operations.

Services Google Cloud générant des journaux Access Transparency

Pour obtenir la liste des services Google Cloud qui génèrent des journaux Access Transparency, consultez la section Services compatibles.

Quand le personnel Google peut-il accéder au contenu client ?

Les informations visibles par le personnel Google sont strictement limitées. Tout accès aux données client nécessite une justification valide pour l'accès privilégié. Pour connaître la liste des justifications commerciales valides, consultez Codes de motif de justification.

Comment Google forme-t-il ses employés à la confidentialité du contenu des clients ?

Tous les employés Google sont tenus de signer un accord de confidentialité et de respecter le code de conduite de Google. Pour en savoir plus sur l'intégration des employés et la formation à la sécurité et à la confidentialité, consultez le Livre blanc sur la sécurité de Google.

Comment Google traite-t-il les demandes gouvernementales concernant le contenu des clients ?

Si Google reçoit une demande d'un gouvernement concernant les données client, sa politique est de demander au gouvernement de déposer sa requête de données directement auprès du client Google Cloud. Pour en savoir plus, consultez le livre blanc sur les demandes gouvernementales Google Cloud.

Étape suivante