Protección de datos en reposo

En este documento, se describen las políticas de encriptación para los datos en reposo en Cloud Monitoring y los pasos que puedes seguir a fin de garantizar que los datos sensibles del cliente estén protegidos.

Este documento está dirigido a los clientes que deben cumplir con los requisitos de seguridad de los datos.

Encriptación de datos en reposo

Todos los datos en reposo dentro de Cloud Monitoring se encriptan con una encriptación de clave pública/privada administrada por Google, como se describe en Encriptación en reposo en Google Cloud.

Cloud Monitoring no admite el uso de claves de encriptación administradas por el cliente (CMEK) para proteger tus datos en reposo. De forma predeterminada, Monitoring no almacena datos sensibles y no está diseñado para usarse para PII ni para otro contenido privado de los clientes. Puedes usar Monitoring para almacenar datos de actividad del usuario agregados y no identificables, o información agregada basada en eventos de segundo orden, como el recuento de solicitudes y otras métricas similares.

Sin embargo, hay lugares en Monitoring en los que puedes insertar datos sensibles de clientes de forma involuntaria. Debido a que Cloud Monitoring almacena metadatos y etiquetas de recursos, los datos del cliente pueden ingresar a Monitoring cuando nombras configuraciones o realizas acciones de metadatos, como etiquetar un recurso, anotar una instancia de VM o almacenar recursos personalizados mediante definiciones de recursos personalizadas (CRD) en Google Kubernetes Engine.

En el resto de este documento, se describen los puntos en los que se pueden insertar estos datos y cómo buscar su captura.

Posibles puntos de inserción

En la siguiente tabla, se describen los puntos en los que se pueden enviar los datos sensibles a Cloud Monitoring.

	Datos generados por Google como métricas definidas por el sistema y paneles integrados	Datos generados por el cliente como métricas personalizadas o basadas en registros y paneles personalizados
Etiquetas de recursos	Valores derivados de datos del cliente, como el nombre de la instancia de VM, o independientes de los datos del cliente, como el número de proyecto	Valores que contengan datos sensibles, por ejemplo, nombres de hardware que aún no se lanzó
Etiquetas de métrica	Valores derivados de datos del cliente, como el nombre de la instancia de VM, o independientes de los datos del cliente, como el número de proyecto	Claves, por ejemplo, que muestren que existe una determinada dimensión de un software Valores que contengan datos sensibles, por ejemplo, nombres de hardware que aún no se lanzó
Datos en series temporales	No es posible realizar ninguna acción, no se puede ocultar	Las series temporales en las métricas definidas por el usuario (métricas personalizadas y basadas en registros) pueden contener datos sensibles del cliente si tus aplicaciones los recopilan de forma intencional.
Descriptores de métricas	No es posible realizar ninguna acción, no se puede ocultar	Nombres visibles Descripciones Claves de etiquetas, por ejemplo, que muestran que existe una dimensión determinada de un software
Políticas de alertas	No es posible realizar ninguna acción, no se puede ocultar	Nombres visibles de las políticas y las condiciones incorporadas Etiqueta las claves y los valores que se usan para filtrar alertas de ciertas series temporales Información proporcionada como documentación Si tienes políticas basadas en objetivos de nivel de servicio, su configuración puede incluir lo siguiente: Nombre visible Claves y valores de etiquetas especificados por el usuario
Paneles	No es posible realizar ninguna acción, no se puede ocultar	Nombres visibles Texto en los elementos del panel Filtros y otras dimensiones de consulta que se usan para seleccionar datos de series temporales para gráficos y otros elementos en el panel
Canales de notificaciones	No es posible realizar ninguna acción, no se puede ocultar	Nombres visibles Descripciones Etiquetas y valores que se usan para definir los canales
Grupos de recursos	No es posible realizar ninguna acción, no se puede ocultar	Nombres visibles Filtros utilizados para designar la pertenencia a un grupo
Verificaciones de tiempo de actividad	No es posible realizar ninguna acción, no se puede ocultar	Nombres visibles Direcciones IP, rutas de acceso Cualquier string opcional del comparador de contenido
Alcances de métricas	No aplicable	Solo metadatos

Protege metadatos sensibles

Si quieres proteger todos los datos con CMEK, no debes colocar información sensible en la configuración de recursos o los metadatos en Google Cloud. Si se deben usar datos sensibles en la configuración de recursos, en los metadatos de recursos o en los valores de etiquetas, te recomendamos que los protejas mediante identificadores ocultos en Google Cloud y una tabla de asignación externa a Google Cloud.

Si envías datos sensibles de series temporales a Monitoring, la única forma de garantizar que se borren los datos es borrar tu proyecto de Google Cloud. De lo contrario, los datos de las series temporales se borran solo después de que alcanzan el límite de retención de datos, que en la actualidad es de 24 meses para las métricas definidas por el usuario.

Inspeccionar datos para garantizar el cumplimiento

Puedes inspeccionar tus datos de forma manual en Cloud Monitoring para asegurarte de que cumplan con tus estándares de seguridad.

Datos de configuración

Para garantizar que las etiquetas y los filtros que se usan en los artefactos de configuración, como las políticas de alertas, se oculten de forma correcta, puedes recuperar e inspeccionar los datos de configuración. Revisa lo siguiente:

Políticas de alertas, como se describe en Enumera y obtén políticas de alertas. Las políticas de alertas basadas en objetivos de nivel de servicio tienen filtros que hacen referencia al SLO, por ejemplo:
```
filter: select_slo_burn_rate("projects/PROJECT_NUMBER/services/SERVICE_ID/serviceLevelObjectives/SLO_ID")
```
Puedes recuperar la configuración del SLO si proporcionas el nombre completamente calificado del SLO del filtro al método serviceLevelObjects/get.
Canales de notificaciones, como se describe en Enumera los canales de notificaciones de un proyecto.
Opciones de configuración de verificaciones de tiempo de actividad, como se describe en Administra las verificaciones de tiempo de actividad
Paneles personalizados, como se describe en Enumera paneles.
Grupos de recursos, mediante el método groups.list

Datos de las métricas

A fin de inspeccionar datos de métricas, debes considerar los descriptores de métricas para las métricas definidas por el usuario y los datos de series temporales escritos con esos descriptores.

Descriptores de métricas

Para asegurarte de que los nombres visibles, las descripciones y las claves de etiqueta en cualquier descriptor de métrica se oculten correctamente, inspecciona los descriptores, como se describe en Enumera descriptores de métricas. Para buscar específicamente métricas basadas en registros y métricas personalizadas, usa los siguientes filtros:

Para métricas personalizadas: metric.type = starts_with("custom.googleapis.com")
Para métricas basadas en registros: metric.type = starts_with("logging.googleapis.com/user")

Datos de series temporales

Para asegurarte de que los datos de las series temporales se oculten de forma correcta, recupera los datos de las series temporales y, luego, inspecciona los valores de las etiquetas de métricas y recursos, y otros datos almacenados. Presta especial atención a los datos de series temporales recopilados por métricas personalizadas o métricas basadas en registros. Para obtener información sobre cómo recuperar datos de series temporales, consulta Recupera datos de series temporales.