Google gestisce un'infrastruttura globale progettata per fornire una sicurezza all'avanguardia durante tutto il ciclo di vita di trattamento delle informazioni. Questa infrastruttura è pensata per fornire deployment sicuro dei servizi, archiviazione sicura dei dati con misure di salvaguardia della privacy degli utenti finali, comunicazioni sicure tra i servizi, comunicazioni sicure e private con i clienti in Internet e gestione sicura da parte degli amministratori. Google Workspace e Google Cloud vengono eseguiti su questa infrastruttura.
Abbiamo progettato la sicurezza della nostra infrastruttura su più livelli che poggiano l'uno sopra l'altro, dalla sicurezza fisica dei data center ai sistemi di protezione di hardware e software, fino alle procedure adoperate a sostegno della sicurezza operativa. Questa protezione su più livelli crea solide fondamenta di sicurezza per tutte le nostre operazioni. Una discussione dettagliata sulla sicurezza della nostra infrastruttura è disponibile nel nostro white paper Panoramica sulla progettazione della sicurezza dell'infrastruttura Google.
Disponibilità, integrità e resilenza
Google progetta i componenti della sua piattaforma per garantire un'elevata ridondanza. I data center di Google sono distribuiti geograficamente in modo da ridurre al minimo l'impatto di eventuali problemi a livello locale, ad esempio calamità naturali e interruzioni del servizio, sui prodotti globali. In caso di guasti all'hardware, al software o alla rete, i servizi vengono spostati automaticamente e immediatamente da una struttura all'altra, in modo che le operazioni possano continuare senza interruzioni. La nostra infrastruttura a elevata ridondanza aiuta i clienti a proteggersi dalla perdita di dati.
Test e sicurezza delle apparecchiature
Google utilizza codici a barre ed etichette asset per monitorare lo stato e la posizione delle apparecchiature dei data center dall'acquisizione all'installazione, al ritiro e alla distruzione. Se un componente non supera un test delle prestazioni in qualsiasi momento durante il suo ciclo di vita viene rimosso dall'inventario e ritirato. I dischi rigidi di Google utilizzano tecnologie come la crittografia dell'intero disco (FDE, Full Disk Encryption) e il blocco delle unità per proteggere i dati inattivi.
Test per il ripristino di emergenza
Google esegue annualmente una serie di test relativi al ripristino di emergenza per offrire ai team dell'infrastruttura e delle applicazioni un ambiente coordinato che consenta loro di testare piani di comunicazione, scenari di failover, transizioni operative e altre misure di risposta alle emergenze. Tutti i team che partecipano all'esercizio sul ripristino di emergenza sviluppano piani di test e post mortem che documentano i risultati e le lezioni apprese dai test.
Crittografia
Google utilizza la crittografia per proteggere i dati in transito e inattivi. I dati di Google Workspace in transito tra aree geografiche sono protetti mediante il protocollo HTTPS, attivato per impostazione predefinita per tutti gli utenti. I servizi di Google Workspace e Google Cloud utilizzano uno o più meccanismi di crittografia per criptare i contenuti inattivi dei clienti, senza che sia richiesta alcuna azione da parte dei clienti.
Controlli di accesso
Per i dipendenti di Google, i livelli e i diritti di accesso sono basati sulla qualifica e sul ruolo professionale e, per abbinare i privilegi di accesso alle responsabilità definite, si fa ricorso ai principi di privilegio minimo e necessità di sapere (need-to-know). Le richieste di autorizzazioni supplementari di accesso devono seguire una procedura formale che prevede una richiesta e un'approvazione da parte del proprietario o del gestore dei dati o del sistema oppure di altri dirigenti, secondo quanto previsto dalle norme di sicurezza di Google. I data center che ospitano i sistemi e i componenti dell'infrastruttura di Google Cloud sono soggetti a restrizioni per l'accesso fisico e dotati di personale di sicurezza in loco 24 ore su 24, 7 giorni su 7, guardie di sicurezza, badge di accesso, meccanismi di identificazione biometrica, barriere fisiche e videocamere per monitorare l'interno e l'esterno della struttura.
Gestione degli incidenti
Google ha un team dedicato alla sicurezza incaricato di occuparsi della sicurezza e della privacy dei dati dei clienti e di gestire la sicurezza 24 ore su 24, 7 giorni su 7, in tutto il mondo. I membri di questo team ricevono le notifiche relative agli incidenti e si occupano di aiutare a risolvere le emergenze 24 ore su 24, 7 giorni su 7. Sono attivi criteri di risposta agli incidenti ed è disponibile documentazione sulle procedure per risolvere gli incidenti critici. Le informazioni derivanti da questi eventi vengono utilizzate per prevenire incidenti futuri e possono essere utilizzate come esempi per i training sulla sicurezza delle informazioni. I processi di gestione degli incidenti e i flussi di lavoro di risposta di Google sono documentati. I processi di gestione degli incidenti di Google sono sottoposti a test regolarmente, nell'ambito dei nostri programmi ISO/IEC 27017, ISO/IEC 27018, ISO/IEC 27001, PCI-DSS1, SOC 2 e FedRAMP per fornire ai clienti e agli enti regolatori verifiche indipendenti dei nostri controlli di sicurezza, privacy e conformità. Altre informazioni sul nostro processo di risposta agli incidenti sono disponibili nel nostro white paper sul processo di risposta agli incidenti relativi ai dati.
Gestione delle vulnerabilità
Analizziamo le vulnerabilità del software utilizzando una combinazione di strumenti disponibili in commercio e strumenti interni appositamente progettati, test di penetrazione intensivi automatizzati e manuali, processi di garanzia di qualità, revisioni della sicurezza del software e audit esterni. Ci affidiamo anche alla più ampia comunità di esperti della sicurezza, il cui aiuto è estremamente utile per identificare eventuali vulnerabilità in Google Workspace, Google Cloud e altri prodotti Google. Il nostro Vulnerability Reward Program incoraggia i ricercatori a segnalare i problemi di progettazione e implementazione che potrebbero mettere a rischio i dati dei clienti.
Sicurezza del prodotto - Google Workspace: per saperne di più, visita https://workspace.google.com/security
Sicurezza del prodotto - Google Cloud: per saperne di più, visita https://cloud.google.com/security/
Per i termini completi, consulta:
- Google Cloud e Google Workspace - Addendum per il trattamento dei dati Cloud (CDPA)
- Sicurezza dei dati | Sezione 7
- Misure di sicurezza | Appendice 2
- Contenuti correlati: white paper sulla sicurezza di Google
