Google opera con una infraestructura de escala global diseñada para proporcionar seguridad de vanguardia en todo el ciclo de vida del procesamiento de la información. Esta infraestructura se creó para lograr una implementación segura de los servicios, un almacenamiento seguro de datos con protecciones de privacidad de usuarios finales, comunicaciones seguras entre los servicios, una comunicación privada y segura con los clientes en Internet y una forma de trabajo segura para los administradores. Google Workspace y Google Cloud se ejecutan en esta infraestructura.
Diseñamos la seguridad de nuestra infraestructura con capas que se complementan entre sí, desde la seguridad física de los centros de datos y las protecciones de seguridad de nuestro hardware y software hasta los procesos que usamos para respaldar la seguridad operativa. En esta protección por capas, se crea una base sólida de seguridad para todas nuestras actividades. Si deseas leer un análisis detallado de la seguridad de nuestra infraestructura, consulta el informe Descripción general del diseño de seguridad de la infraestructura de Google.
Disponibilidad, integridad y resiliencia
Google diseña los componentes de la plataforma para que sean altamente redundantes. Los centros de datos de Google están distribuidos geográficamente para minimizar los efectos de las interrupciones regionales en los productos globales, como en el caso de desastres naturales y suspensiones de servicio locales. Si se produce una falla en el hardware, el software o la red, los servicios se cambian de forma inmediata y automática de una instalación a otra para que las operaciones puedan continuar sin interrupciones. Nuestra infraestructura altamente redundante ayuda a los clientes a protegerse de la pérdida de datos.
Seguridad y pruebas del equipo
Google utiliza códigos de barras y etiquetas de elementos para hacer un seguimiento del estado y la ubicación del equipo del centro de datos desde la adquisición hasta la instalación, el retiro y la destrucción. Si un componente no pasa una prueba de cumplimiento en cualquier momento de su ciclo de vida, se quita del inventario y se da de baja. Los discos duros de Google usan tecnologías como la encriptación de disco completo (FDE) y el bloqueo de la unidad para proteger los datos en reposo.
Pruebas de recuperación ante desastres
Google realiza pruebas de recuperación ante desastres de forma anual a fin de proporcionar un lugar coordinado para que los equipos de infraestructura y aplicaciones prueben los planes de comunicación, las situaciones de conmutación por error, la transición operativa y otras respuestas a emergencias. Todos los equipos que participan del ejercicio de recuperación ante desastres desarrollan planes de pruebas y acciones posteriores que documentan los resultados y los aprendizajes que se obtuvieron con las pruebas.
Encriptación
Google usa la encriptación para proteger datos en tránsito y en reposo. Los datos en tránsito entre regiones de Google Workspace están protegidos con HTTPS, que se activa de forma predeterminada para todos los usuarios. Los servicios de Google Workspace y Google Cloud encriptan el contenido de los clientes almacenado en reposo mediante uno o más mecanismos de encriptación sin que los clientes deban realizar ninguna acción.
Controles de acceso
A los empleados de Google se les otorgan derechos y niveles de acceso según su puesto de trabajo y su función, y se les asignan los privilegios mínimos y la información básica necesarios para que cumplan con sus responsabilidades. Las solicitudes de acceso adicional siguen un proceso formal que requiere una solicitud y la aprobación del propietario de los datos o del sistema, del administrador o de otros ejecutivos, ya que así lo dictaminan las políticas de seguridad de Google. Los centros de datos que albergan los componentes de sistemas y de infraestructura de Google Cloud están sujetos a restricciones de acceso físico y equipados con personal de seguridad las 24 horas, todos los días, guardias de seguridad, credenciales de acceso, mecanismos de identificación biométrica, cerraduras físicas y cámaras de video para supervisar el interior y el exterior de las instalaciones.
Administración de incidentes
Google cuenta con un equipo de seguridad exclusivo que es el responsable de la seguridad y la privacidad de los datos de los clientes y que controla la seguridad las 24 horas, todos los días en todo el mundo. Las personas de este equipo reciben notificaciones relacionadas con incidentes y son las responsables de ayudar a solucionar las emergencias las 24 horas, todos los días. Se establecieron políticas de respuesta ante incidentes y los procedimientos para resolver incidentes críticos están documentados. La información de estos eventos se usa para evitar incidentes en el futuro y se puede utilizar a fin de proporcionar ejemplos en las capacitaciones de seguridad de la información. Los procesos para la administración de incidentes y los flujos de trabajo de las respuestas están documentados. Los procesos de Google se prueban con regularidad como parte de nuestros programas ISO/IEC 27017, ISO/IEC 27018, ISO/IEC 27001, PCI-DSS, SOC 2 y FedRAMP para ofrecerles a nuestros clientes y entes reguladores una verificación independiente de nuestros controles de cumplimiento, seguridad y privacidad. Si deseas obtener más información sobre nuestro proceso de respuesta ante incidentes, consulta el Informe del proceso de respuesta ante incidentes de datos.
Administración de vulnerabilidades
Analizamos las vulnerabilidades del software con una combinación de herramientas internas para propósitos específicos que están comercialmente disponibles, pruebas intensivas de penetración manuales y automatizadas, procesos de control de calidad, revisiones de la seguridad del software y auditorías externas. También nos apoyamos en la comunidad más amplia de investigadores de la seguridad y valoramos enormemente su ayuda en la identificación de vulnerabilidades en Google Workspace, Google Cloud y otros productos de Google. Nuestro Programa de recompensas por detección de vulnerabilidades incentiva a los investigadores a informar problemas en el diseño y la implementación que podrían poner en riesgo los datos de los clientes.
Seguridad del producto: Google Workspace: Para obtener más información, visita https://workspace.google.com/security.
Seguridad de productos: Google Cloud: Para obtener más información, visita https://cloud.google.com/security/
Para conocer todas las condiciones, consulta lo siguiente:
- Google Cloud y Google Workspace: Anexo de Tratamiento de Datos de Cloud (CDPA)
- Seguridad de los datos | Sección 7
- Medidas de seguridad | Apéndice 2
- Contenido relacionado: Informe de seguridad de Google
