Google は、情報処理サイクル全体を通して最先端のセキュリティを提供するグローバル インフラストラクチャを運用しています。このインフラストラクチャは、サービスのデプロイにおけるセキュリティ、データ ストレージのセキュリティ（およびエンドユーザーのプライバシー保護）、サービス間の通信のセキュリティ、インターネット経由でのお客様との通信における機密性とセキュリティ、管理者による安全な運用を提供する目的で構築されています。Google Workspace と Google Cloud は、このインフラストラクチャ上で動作しています。
Google のインフラストラクチャのセキュリティは、データセンターの物理的なセキュリティから、ハードウェアやソフトウェアのセキュリティ保護、そして運用のセキュリティをサポートするプロセスまでが階層型で設計されています。このような階層型の保護により、どのような処理に対しても強固なセキュリティ基盤が提供されます。インフラストラクチャ セキュリティについて詳しくは、Google インフラストラクチャのセキュリティ設計の概要についてのホワイトペーパーをご覧ください。
可用性、完全性、復元力
Google のプラットフォームの構成要素は、冗長性に優れた設計になっています。Google のデータセンターは地理的に分散されているため、ある地域で自然災害や局地的な停電などが生じてグローバルなプロダクトが使用できなくなっても、その影響は最小限に抑えられます。ハードウェア、ソフトウェア、ネットワークの障害が発生しても、サービスは自動的かつ瞬時に別の施設に切り替わるため、オペレーションは中断されずに継続されます。冗長性の高いインフラストラクチャにより、お客様をデータ損失から保護します。
機器のテストとセキュリティ
Google はバーコードとアセットタグを使用して、データセンターの機器を取得から設置、廃用、破壊までステータスと場所を追跡します。ライフサイクル中に性能試験に合格しなかったコンポーネントは、在庫から除外され、廃棄されます。Google のハードドライブは、フルディスク暗号化（FDE）やドライブロックなどのテクノロジーを活用して保存データを保護します。
障害復旧のテスト
Google は、インフラストラクチャ チームとアプリケーション チームがコミュニケーション計画やフェイルオーバー シナリオ、オペレーション移行、その他の緊急対策を共通した手順で実施できるように、障害復旧テストを毎年実施しています。障害復旧訓練に参加するすべてのチームがテスト計画を策定し、テストの結果とそこから得た知見を分析する事後検証を行います。
暗号化
Google は、暗号化を使用して転送中のデータと保存中のデータを保護しています。Google Workspace のリージョン間で転送されるデータは HTTPS を使用して保護されます。HTTPS はデフォルトですべてのユーザーに対して有効です。Google Workspace と Google Cloud のサービスでは、1 つ以上の暗号化メカニズムを使用して、保存されているお客様のコンテンツを暗号化しています。お客様による操作は必要ありません。
アクセス制御
Google 社員に対するアクセス権やアクセスレベルは、職務や役割に基づいて付与されており、責務に対して必要なアクセス権が、最小権限および need to know（知る必要がある人にのみ知らせる）原則に則して与えられています。追加のアクセス権を得るには、Google のセキュリティ ポリシーに従い、データまたはシステムのオーナー、マネージャー、他のエグゼクティブなどへのリクエストとその承認による正式な手順を踏む必要があります。Google Cloud システムとインフラストラクチャのコンポーネントを収納するデータセンターは物理的なアクセス制限の対象となり、24 時間年中無休のセキュリティ要員、セキュリティ ガード、アクセスバッジ、生体認証識別メカニズム、物理的な鍵、施設の内部と外部のビデオカメラによる監視が使用されています。
インシデント管理
Google にはお客様のデータのセキュリティとプライバシーを担当する専任のセキュリティ チームが存在しており、全世界におけるセキュリティ管理を毎日 24 時間、年中無休体制で実施しています。このチームの要員はインシデントに関連する通知を受け取り、24 時間年中無休で緊急事態の解決に当たっています。インシデント対応ポリシーが規定され、重要なインシデントを解決するための手順が文書化されています。これらのイベントからの情報は、将来のインシデントを防止するために使用され、情報セキュリティ トレーニングの例としても使用できます。Google のインシデント管理プロセスと対応ワークフローは文書化されています。Google のインシデント管理プロセスは、Google の ISO/IEC 27017、ISO/IEC 27018、ISO/IEC 27001、PCI-DSS1、SOC 2、FedRAMP プログラムの一部として定期的にテストが行われており、Google のお客様と規制当局に Google のセキュリティ、プライバシー、コンプライアンスの制御についての独立機関による検証結果を提供しています。Google のインシデント対応プロセスの詳細については、データ インシデント対応プロセスに関するホワイトペーパーをご覧ください。
脆弱性の管理
Google は、市販ツールと社内で開発された専用のツール、自動および手動による集中的な侵入テスト、品質管理プロセス、ソフトウェア セキュリティ レビュー、外部監査を組み合わせ、ソフトウェアの脆弱性をスキャンしています。また、Google は広範なセキュリティ研究コミュニティとも連携しており、Google Workspace、Google Cloud、その他の Google プロダクトの脆弱性を発見するため、このような提携を重視しています。Google の脆弱性報奨金プログラムでは、お客様のデータを危機にさらす可能性のある設計上および実装上の問題点を報告するよう、研究者に呼びかけています。
プロダクトのセキュリティ - Google Workspace: 詳しくは、https://workspace.google.com/security をご覧ください。
プロダクトのセキュリティ - Google Cloud: 詳しくは、https://cloud.google.com/security/ をご覧ください。
利用規約の全文は、以下をご覧ください。
- Google Cloud と Google Workspace - Cloud のデータ処理に関する追加条項（CDPA）
- データ セキュリティ | セクション 7
- セキュリティ対策 | 付録 2
- 関連コンテンツ: Google のセキュリティに関するホワイトペーパー
