Google Cloud y la Directiva sobre redes y sistemas de información de la UE (NIS 2)

Google apoya tus iniciativas de cumplimiento de NIS 2 mediante el compromiso que adquirimos en nuestros contratos de implementar y mantener medidas de seguridad técnica, organizativa y física en relación con nuestros servicios en la nube. También te ofrecemos productos y funciones de seguridad adicionales para proteger tus entornos en la nube. Google publica documentación y recursos para ayudarte en la evaluación de seguridad de nuestros servicios de Google Cloud y Workspace.

A continuación, se proporciona información sobre cómo nuestros contratos, controles y procesos cumplen los requisitos de adquisición de proveedores y proveedores de servicios que se incluyen en el artículo 21.2 de la Directiva NIS 2 y en los puntos 5.1 y 6.1 del anexo del Reglamento de Ejecución de la UE.

Ciberseguridad en Google Cloud y Workspace

La seguridad de Google Cloud y Workspace se aborda en la Adenda sobre Tratamiento de Datos de Cloud, que describe la seguridad de los centros de datos, el hardware, el software y las redes que sustentan los servicios. Dada la naturaleza uno a muchos de nuestros servicios, Google ofrece la misma seguridad sólida para todos los clientes. Proporcionamos a los clientes información detallada sobre nuestras prácticas de seguridad para que puedan conocerlas y estudiarlas como parte de sus requisitos de adquisición.

Para obtener más información, consulta: 

• Centro de confianza de Google Cloud 
• Descripción general de la seguridad de Google 
• Información general sobre el diseño de seguridad de la infraestructura de Google 
• Recursos sobre seguridad

Aunque tú defines la seguridad de tus datos y aplicaciones en la nube, la seguridad de tus datos es de vital importancia para Google. Para ayudarte, tomamos las siguientes medidas proactivas: 

• Encriptado en reposo. Google encripta de forma predeterminada tus datos en reposo, sin que tú tengas que hacer nada más. Para obtener más información, consulta el informe Encriptado en reposo de Google Cloud y el informe sobre el cifrado de Google Workspace.
• Encriptado en tránsito. En Google se encriptan y autentican todos los datos en tránsito en una o más capas de la red cuando estos salen de los límites físicos no controlados por Google o en su nombre. Puedes consultar más información en el informe de Google Cloud sobre el encriptado en tránsito y en el informe sobre el encriptado de Google Workspace. 

Puedes usar los productos de Google Cloud Security para mejorar y monitorizar la seguridad de tus datos. Consulta más información sobre los productos de Google Cloud Security en Productos de seguridad en la nube. 

Google también publica guías y recursos de prácticas recomendadas de seguridad en la nube en la página Prácticas recomendadas de Google Cloud Security y en la página Seguridad y protección de datos de Google Workspace.

Google proporciona acuerdos de nivel de servicio en relación con la disponibilidad de nuestros servicios en la nube. Están disponibles en los Acuerdos de Nivel de Servicio de Google Cloud Platform y en el Acuerdo de Nivel de Servicio de Google Workspace. Los clientes pueden monitorizar continuamente el rendimiento de los servicios de Google (incluidos los acuerdos de nivel de servicio) usando las funciones de los servicios. Google mantiene y pone a disposición de los clientes paneles de control con información sobre el estado de los servicios de Google Cloud en https://status.cloud.google.com y de los servicios de Workspace en https://www.google.com/appsstatus/dashboard/. Los paneles de estado se proporcionan únicamente con fines informativos.

Formación y habilidades del personal

Las competencias y la formación del personal de Google se abordan en el Apéndice 2: Medidas de seguridad de la Adenda sobre Tratamiento de Datos de Cloud. El personal de Google debe cumplir las políticas de confidencialidad y privacidad de Google, recibir formación sobre seguridad y cumplir requisitos adicionales en función de su puesto. Se exige del personal de Google que se comporte de una manera coherente con nuestras directrices respecto a la confidencialidad, la ética empresarial, el uso adecuado y las normas profesionales. 

Verificación de antecedentes del personal

La verificación de antecedentes del personal de Google por parte de Google se aborda en el Apéndice 2: Medidas de seguridad de la Adenda sobre Tratamiento de Datos de Cloud. Google lleva a cabo comprobaciones razonables de los antecedentes en la medida en que esté legalmente permitido y de conformidad con la legislación laboral y las disposiciones legales locales aplicables.

Notificación de Incidentes

Los compromisos de Google en cuanto a la notificación de incidentes se establecen en la sección 7.2 del Adenda sobre Tratamiento de Datos de Cloud. Google notifica a los clientes diligentemente y sin demora indebida tras conocer un incidente de datos y toma medidas razonables rápidamente para minimizar los daños y proteger los datos de los clientes. Consulta más información en el informe sobre el proceso de respuesta a incidentes de datos.

Informes de auditoría

Google reconoce que tú cuentas con que sus controles de seguridad, privacidad y cumplimiento se verifiquen de manera independiente. Para cumplir con estas expectativas, Google se somete a diversas auditorías independientes de terceros de forma periódica. Google se compromete a cumplir los siguientes estándares internacionales clave durante el periodo de vigencia del contrato: 

• ISO/IEC 27001 (sistemas de gestión de la seguridad de la información) 
• SOC 2 
• SOC 3

así como cualquier certificación adicional que se describa en el Apéndice 4 de la Adenda sobre Tratamiento de Datos de Cloud. Puedes consultar las certificaciones e informes de auditoría de Google en cualquier momento. Con el Administrador de informes de cumplimiento puedes acceder en todo momento y de forma sencilla a estos recursos esenciales sobre cumplimiento.

Gestión de vulnerabilidades

El proceso interno de gestión de vulnerabilidades de Google busca amenazas de seguridad en las pilas tecnológicas. Para ello, utiliza una combinación de herramientas comerciales, de código abierto y diseñadas a medida. Las vulnerabilidades que hemos mitigado se publican en los boletines de seguridad de Google Cloud. Puedes consultar más información sobre la gestión de vulnerabilidades en la página Resumen de Google Security.

Ciberseguridad de subencargado del tratamiento

Los requisitos de ciberseguridad de Google para sus subencargado del tratamiento se tratan en la sección 11 y en el apéndice 2: Medidas de seguridad de la Adenda sobre Tratamiento de Datos de Cloud. Antes de incorporar a un subencargado del tratamiento, Google lleva a cabo una auditoría de las prácticas de seguridad y privacidad de dicho subencargado del tratamiento para asegurar que proporciona un nivel de seguridad y privacidad adecuado a su acceso a los datos y al alcance de los servicios para los que se le contrata. Una vez que Google ha evaluado los riesgos que presenta el subencargado del tratamiento, este debe suscribir los términos contractuales adecuados en materia de seguridad, confidencialidad y privacidad.

Extracción y eliminación de datos

La recuperación y la eliminación de los datos de clientes tras la resolución del contrato se abordan en las secciones 6 y 9 de la Adenda sobre Tratamiento de Datos de Cloud. Google permite a los clientes exportar datos de clientes de una manera coherente con la funcionalidad de los Servicios. Google elimina los datos de clientes de sus sistemas al finalizar el periodo de vigencia, tal y como se describe en la Sección 6.

Google seguirá desarrollando nuestras prestaciones a medida que cambie el panorama normativo.