En Google contamos con una infraestructura internacional diseñada para ofrecer una seguridad puntera durante todo el ciclo de tratamiento de la información. Esta infraestructura se ha desarrollado para garantizar la seguridad de nuestros usuarios en todos los procesos: el despliegue de servicios, el almacenamiento de datos con medidas de privacidad para el usuario final, las comunicaciones entre servicios, las comunicaciones seguras y privadas con los clientes a través de Internet y las operaciones seguras de los administradores. Google Workspace y Google Cloud se ejecutan en esta infraestructura.
Hemos diseñado la seguridad de nuestra infraestructura en capas superpuestas, desde la seguridad física de los centros de datos hasta las protecciones de seguridad de nuestro hardware y software o los procesos que usamos para respaldar la seguridad operacional. Gracias a esta protección por capas, conseguimos unos sólidos cimientos en materia de seguridad en todas las acciones que realizamos. Consulta un análisis detallado sobre nuestra infraestructura de seguridad en el informe Descripción general del diseño de seguridad de la infraestructura de Google.
Disponibilidad, integridad y resistencia
Los componentes que diseñamos para nuestra plataforma son muy redundantes. Los centros de datos de Google están distribuidos geográficamente para minimizar los efectos de las interrupciones del servicio regionales (como desastres naturales o problemas locales) en los productos que funcionan a nivel mundial. Si se produce un fallo en el hardware, en el software o en la red, los servicios se trasladan de una instalación a otra de forma automática e instantánea, de modo que las operaciones pueden continuar sin interrumpirse. El alto nivel de redundancia de nuestra infraestructura ayuda a proteger a los clientes frente a la pérdida de datos.
Seguridad y realización de pruebas de equipos
Google utiliza códigos de barras y etiquetas de recursos para monitorizar el estado y la ubicación de los equipos de los centros de datos durante todas las etapas de su ciclo de vida, desde la adquisición hasta la instalación, la retirada y la destrucción. Si un componente no supera una prueba de rendimiento en algún momento de su ciclo de vida, se quita del inventario y se retira. Las unidades de disco duro de Google utilizan tecnologías como el encriptado de disco completo (FDE) y el bloqueo de unidades para proteger los datos en reposo.
Pruebas de recuperación tras fallos
Cada año, llevamos a cabo pruebas de recuperación tras fallos con el objetivo de ofrecer un espacio coordinado para que los equipos de infraestructura y aplicaciones comprueben los planes de comunicación, las situaciones de conmutación por error, la transición operacional y otras respuestas de emergencia. Todos los equipos que participan en las pruebas de recuperación tras fallos diseñan planes de pruebas y análisis posteriores que documentan los resultados y las lecciones aprendidas a partir de las pruebas.
Cifrado
Google utiliza el encriptado para proteger los datos, tanto los que están en tránsito como los que están en reposo. Los datos en tránsito entre regiones de Google Workspace están protegidos mediante HTTPS. Esta opción está activada de forma predeterminada para todos los usuarios. Los servicios de Google Workspace y Google Cloud encriptan el contenido en reposo que los usuarios hayan almacenado mediante uno o varios mecanismos de encriptado, sin que estos tengan que llevar a cabo ninguna acción.
Controles de acceso
Los derechos y niveles de acceso de los empleados de Google varían según la función y el rol que desempeñen en su puesto. Para asignar los privilegios de acceso a las distintas responsabilidades se emplean los conceptos de "mínimo privilegio" y "necesidad de saber". Las solicitudes de acceso adicional deben seguir un proceso formal que implica la realización de una solicitud y la aprobación pertinente de un propietario de datos o del sistema, de un administrador o de otros directivos, según se estipula en las políticas de seguridad de Google. Los centros de datos en los que se alojan los sistemas y los componentes de la infraestructura de Google Cloud están sujetos a restricciones físicas de acceso y cuentan con personal de seguridad in situ las 24 horas y los 7 días de la semana, guardias de seguridad, tarjetas de acceso, mecanismos de identificación biométrica, cerraduras físicas y cámaras de vídeo que monitorizan los interiores y exteriores de las instalaciones.
Gestión de incidentes
Google cuenta con un equipo específico de seguridad que se encarga de gestionar la protección y la privacidad de los datos de clientes de todo el mundo las 24 horas del día y los 7 días de la semana. Los miembros de este equipo reciben notificaciones sobre incidentes y ayudan a resolver emergencias de forma ininterrumpida. Aplicamos políticas de respuesta a incidentes y los procedimientos que seguimos para solucionar los incidentes más graves están documentados. Las información sobre estos eventos se utiliza para evitar que se produzcan futuros incidentes y puede servir de ejemplo en formaciones sobre seguridad de la información. Los procesos de gestión de incidentes y los flujos de trabajo de respuesta que se llevan a cabo en Google también están documentados. Además, los procesos de gestión de incidentes de Google se someten regularmente a pruebas como parte de nuestros programas ISO/IEC 27017, ISO/IEC 27018, ISO/IEC 27001, PCI-DSS1, SOC 2 y FedRAMP, con el objetivo de ofrecer a los clientes y organismos reguladores una verificación independiente de nuestros controles de seguridad, privacidad y cumplimiento. Consulta nuestro informe sobre el proceso de respuesta a incidentes de datos para obtener más información sobre este tema.
Gestión de vulnerabilidades
En Google, analizamos las vulnerabilidades del software mediante herramientas internas específicas y disponibles en el mercado, pruebas intensivas de penetración manual y automatizada, procesos de control de calidad, revisiones de seguridad del software y auditorías externas. La comunidad investiga cuestiones de seguridad de un modo más amplio, por lo que también valoramos enormemente su labor a la hora de identificar las vulnerabilidades de Google Workspace, de Google Cloud y de otros productos de Google. Nuestro programa Vulnerability Reward Program anima a los investigadores a informar sobre los problemas de diseño e implementación que pueden poner en riesgo los datos de los clientes.
Seguridad de los productos - Google Workspace: consulta más información en https://workspace.google.com/security
Seguridad de los productos - Google Cloud: para obtener más información, consulta https://cloud.google.com/security/.
Para consultar los términos completos, consulta:
- Google Cloud y Google Workspace: Adenda sobre Tratamiento de Datos de Cloud (CDPA)
- Seguridad de los datos | Sección 7
- Medidas de seguridad | Apéndice 2
- Contenido relacionado: Informe sobre seguridad de Google
