O Google opera uma infraestrutura global desenvolvida para fornecer segurança de última geração em todo o ciclo de vida do processamento de informações. Essa infraestrutura foi desenvolvida para proporcionar implantações de serviços seguras, armazenamento de dados seguro com proteção da privacidade do usuário final, comunicações seguras entre serviços, comunicação privada e segura com clientes na Internet e operações seguras feitas por administradores. O Google Workspace e o Google Cloud são executados nessa infraestrutura.
Projetamos a segurança da nossa infraestrutura em camadas sobrepostas, incluindo segurança física de data centers, proteções de segurança para hardware e software e processos para acomodar a segurança operacional. Essa proteção em camadas cria uma base de segurança forte para tudo o que fazemos. Há uma discussão detalhada sobre a segurança da nossa infraestrutura no whitepaper sobre a visão geral do design de segurança da infraestrutura do Google.
Disponibilidade, integridade e resiliência
O Google projeta os componentes da nossa plataforma para serem altamente redundantes. Os data centers do Google são distribuídos geograficamente para minimizar os efeitos de interrupções regionais, como desastres naturais e falhas locais, sobre produtos globais. Em caso de falha de hardware, software ou rede, os serviços são deslocados de uma instalação para outra de maneira imediata e automática. Dessa forma, as operações podem continuar sem interrupções. Nossa infraestrutura altamente redundante ajuda os clientes a se protegerem contra a perda de dados.
Teste e segurança de equipamento
O Google utiliza códigos de barras e tags de recursos para rastrear o status e a localização do equipamento do data center desde a aquisição até a instalação, a retirada e a destruição. Se um componente for reprovado em um teste de desempenho em qualquer momento do ciclo de vida, ele será removido do inventário e terá o uso descontinuado. Os discos rígidos do Google usam tecnologias, como a criptografia de disco total (FDE, na sigla em inglês) e o bloqueio de unidades, para proteger dados em repouso.
Teste de recuperação de desastres
O Google realiza testes de recuperação de desastres anualmente visando proporcionar um espaço coordenado para as equipes de infraestrutura e aplicativos testarem planos de comunicação, cenários de failover, transição operacional e outras respostas de emergência. Todas as equipes que participam do exercício de recuperação de desastres desenvolvem planos de teste e post mortems que documentam os resultados e as lições aprendidas com os testes.
Criptografia
O Google usa criptografia para proteger dados em trânsito e em repouso. Os dados em trânsito do Google Workspace entre regiões são protegidos usando HTTPS, que é ativado por padrão para todos os usuários. Os serviços do Google Workspace e do Google Cloud criptografam o conteúdo dos clientes armazenado em repouso com um ou mais mecanismos de criptografia, sem exigir ações adicionais por parte do cliente.
Controles de acesso
Para funcionários do Google, os direitos de acesso e os níveis baseiam-se nos respectivos cargos e papéis. Aplicamos os conceitos de privilégio mínimo e necessidade de saber para corresponder os privilégios às responsabilidades definidas. As solicitações de acesso adicional seguem um processo formal que envolve solicitação e aprovação de um proprietário, gerente ou outros executivos de sistema ou de dados, conforme estabelecido pelas políticas de segurança do Google. Os data centers que hospedam componentes de infraestrutura e sistemas do Google Cloud estão sujeitos a restrições físicas de acesso e são equipados com uma equipe de segurança local em tempo integral, seguranças, crachás de acesso, mecanismos de identificação biométrica, bloqueios físicos e câmeras de vídeo para monitorar as partes internas e externas da instalação.
Gerenciamento de incidentes
O Google tem uma equipe de segurança dedicada responsável pela segurança e privacidade dos dados dos clientes e por gerenciar a segurança 24 horas por dia, 7 dias por semana no mundo inteiro. Os membros dessa equipe recebem notificações relativas a incidentes e são responsáveis por ajudar a resolver emergências em tempo integral. As políticas de respostas a incidentes estão em vigor e os procedimentos para a resolução de incidentes críticos são documentados. As informações desses eventos são usadas para ajudar a prevenir incidentes futuros e podem ser usadas como exemplos para o treinamento de segurança de informações. Os processos de gerenciamento de incidentes e os fluxos de trabalho de resposta do Google são documentados. Para fornecer aos clientes e reguladores uma verificação independente de nossos controles de segurança, privacidade e conformidade, os processos de gerenciamento de incidentes do Google são testados regularmente como parte de nossos programas ISO/IEC 27017, ISO/IEC 27018, ISO/IEC 27001, PCI-DSS, SOC 2 e FedRAMP. Mais informações sobre nosso processo de resposta a incidentes podem ser encontradas em nosso artigo sobre o processo de resposta a incidentes com dados.
Gerenciamento de vulnerabilidades
Analisamos vulnerabilidades de software usando uma combinação de ferramentas internas comercialmente disponíveis e criadas para fins específicos, testes intensivos de penetração manuais e automatizados, processos de garantia de qualidade, revisões de segurança de software e auditorias externas. Também recorremos à comunidade de pesquisa de segurança em geral e valorizamos a ajuda recebida na identificação de vulnerabilidades no Google Workspace, no Google Cloud e em outros produtos do Google. Nosso Programa de recompensa para descobertas de vulnerabilidades incentiva pesquisadores a relatar problemas de projeto e implementação que possam colocar em risco os dados do cliente.
Segurança do produto – Google Workspace: para saber mais, acesse https://workspace.google.com/security
Segurança do produto – Google Cloud: para saber mais, acesse https://cloud.google.com/security/
Para ler os termos na íntegra, acesse:
- Google Cloud e Google Workspace: Adendo sobre processamento de dados do Cloud (CDPA)
- Segurança de dados | Seção 7
- Medidas de segurança | Apêndice 2
- Conteúdo relacionado: artigo sobre segurança do Google
