Google mengoperasikan infrastruktur global yang dirancang untuk menyediakan keamanan tercanggih dalam keseluruhan siklus pemrosesan informasi. Infrastruktur ini dibangun untuk menghadirkan penerapan layanan yang aman, penyimpanan data yang aman dengan perlindungan privasi pengguna akhir, komunikasi yang aman antarlayanan, komunikasi yang aman dan pribadi dengan pelanggan melalui Internet, serta operasi yang aman oleh administrator. Google Workspace dan Google Cloud dijalankan di infrastruktur ini.
Kami mendesain keamanan infrastruktur secara berlapis-lapis, mulai dari keamanan fisik pusat data, perlindungan keamanan hardware dan software, hingga proses yang kami gunakan untuk mendukung keamanan operasional. Perlindungan berlapis ini memberikan landasan keamanan yang kuat untuk semua hal yang kami lakukan. Pembahasan mendetail mengenai Keamanan Infrastruktur kami dapat dibaca di Laporan resmi ringkasan desain keamanan infrastruktur Google.
Ketersediaan, Integritas, dan Ketahanan
Google merancang komponen platform kami agar memiliki redundansi yang tinggi. Pusat data Google tersebar secara geografis untuk meminimalkan dampak gangguan regional terhadap produk global, seperti bencana alam dan pemadaman listrik lokal. Jika terjadi kegagalan hardware, software, atau jaringan, layanan dialihkan dengan cepat dan otomatis dari satu fasilitas ke fasilitas lainnya sehingga operasi dapat berlanjut tanpa gangguan. Infrastruktur kami yang sangat redundan membantu pelanggan terlindungi dari kehilangan data.
Pengujian Peralatan dan Keamanan
Google memanfaatkan kode batang dan tag aset untuk melacak status dan lokasi peralatan pusat data mulai dari akuisisi hingga pemasangan, penghentian, dan penghancuran. Jika gagal lulus uji performa di titik mana pun selama siklus prosesnya, komponen akan dihapus dari inventaris dan dihentikan. Hard drive Google memanfaatkan teknologi, seperti Enkripsi Disk Penuh (FDE) dan penguncian drive, untuk melindungi data dalam penyimpanan.
Pengujian Disaster Recovery
Google melakukan pengujian pemulihan dari bencana setiap tahun untuk menyediakan tempat yang terkoordinasi bagi tim infrastruktur dan aplikasi guna menguji rencana komunikasi, skenario failover, transisi operasional, dan tanggap darurat lainnya. Semua tim yang mengikuti latihan pemulihan dari bencana harus menyusun rencana pengujian dan post mortem yang mendokumentasikan hasil dan pelajaran yang diperoleh dari pengujian tersebut.
Enkripsi
Google menggunakan enkripsi untuk melindungi data dalam pengiriman dan dalam penyimpanan. Data Google Workspace dalam pengiriman antar-region dilindungi menggunakan HTTPS, yang diaktifkan secara default untuk semua pengguna. Layanan Google Workspace dan Google Cloud mengenkripsi konten pelanggan yang tersimpan dalam penyimpanan, tanpa memerlukan tindakan apa pun dari pelanggan, menggunakan satu atau beberapa mekanisme enkripsi.
Kontrol Akses
Untuk karyawan Google, hak dan tingkat akses didasarkan pada fungsi dan peran kerjanya, menggunakan konsep hak istimewa terendah dan perlu mengetahui untuk mencocokkan hak istimewa akses dengan tanggung jawab yang ditetapkan. Permintaan akses tambahan mengikuti proses formal yang melibatkan permintaan dan persetujuan dari pemilik data atau sistem, pengelola, atau eksekutif lainnya, sebagaimana ditentukan oleh kebijakan keamanan Google. Pusat data yang menampung sistem dan komponen infrastruktur Google Cloud tunduk pada pembatasan akses fisik dan dilengkapi dengan personel keamanan di lokasi 24 x 7, penjaga keamanan, badge akses, mekanisme identifikasi biometrik, kunci fisik, dan kamera video untuk memantau bagian dalam dan luar fasilitas.
Manajemen Insiden
Google memiliki tim keamanan khusus yang bertanggung jawab atas keamanan dan privasi data pelanggan serta mengelola keamanan 24 jam sehari, 7 hari seminggu di seluruh dunia. Individu dari tim ini menerima notifikasi terkait insiden dan bertanggung jawab untuk membantu menyelesaikan keadaan darurat 24 x 7. Kebijakan respons insiden sudah diterapkan dan prosedur untuk menyelesaikan insiden kritis didokumentasikan. Informasi dari peristiwa ini digunakan untuk membantu mencegah insiden di masa mendatang dan dapat digunakan sebagai contoh untuk pelatihan keamanan informasi. Proses pengelolaan insiden dan alur kerja respons Google didokumentasikan. Proses pengelolaan insiden Google diuji secara berkala sebagai bagian dari program ISO/IEC 27017, ISO/IEC 27018, ISO/IEC 27001, PCI-DSS, SOC 2, dan FedRAMP untuk memberikan verifikasi independen atas kontrol keamanan, privasi, dan kepatuhan kami kepada pelanggan dan regulator. Informasi selengkapnya tentang proses respons insiden kami dapat ditemukan di Laporan resmi proses respons insiden data.
Pengelolaan Kerentanan
Kami memindai untuk menemukan adanya kerentanan software menggunakan kombinasi alat internal yang di-build khusus dan tersedia secara komersial, pengujian penetrasi otomatis dan manual yang intensif, proses jaminan kualitas, peninjauan keamanan software, serta audit eksternal. Kami juga mengandalkan komunitas penelitian keamanan yang lebih luas dan sangat menghargai bantuan mereka dalam mengidentifikasi kerentanan di Google Workspace, Google Cloud, dan produk Google lainnya. Program Reward Kerentanan kami mendorong para peneliti untuk melaporkan masalah desain dan penerapan yang dapat membahayakan data pelanggan.
Keamanan produk - Google Workspace: Untuk mempelajari lebih lanjut, buka https://workspace.google.com/security
Keamanan produk - Google Cloud: Untuk mempelajari lebih lanjut, buka https://cloud.google.com/security/
Untuk persyaratan lengkapnya, lihat:
- Google Cloud dan Google Workspace - Adendum Pemrosesan Data Cloud (CDPA)
- Keamanan Data | Pasal 7
- Tindakan Keamanan | Lampiran 2
- Konten Terkait: Laporan resmi keamanan Google
