Google Cloud & EU Network and Information Systems Directive (NIS2)

Google mendukung upaya Anda untuk mematuhi NIS2 dengan berkomitmen dalam kontrak kami untuk menerapkan dan mempertahankan tindakan keamanan teknis, organisasi, dan fisik sehubungan dengan layanan cloud kami. Kami juga menawarkan produk dan fitur keamanan tambahan untuk membantu Anda melindungi lingkungan cloud Anda. Google memublikasikan dokumentasi dan referensi untuk membantu Anda dalam penilaian keamanan atas layanan Google Cloud dan Workspace kami.

Informasi tentang bagaimana kontrak, kontrol, dan proses kami mendukung persyaratan akuisisi pemasok dan penyedia layanan Anda yang tercantum dalam Pasal 21(2) dari Direktif NIS2 dan Poin 5.1 dan 6.1 dari lampiran peraturan pelaksanaan Uni Eropa diberikan di bawah ini.

Pengamanan cyber di Google Cloud dan Workspace

Keamanan di Google Cloud dan Workspace dibahas dalam Adendum Pemrosesan Data Cloud, yang menjelaskan keamanan pusat data, hardware, software, dan jaringan yang mendukung layanan. Mengingat layanan kami yang bersifat one-to-many, Google menyediakan keamanan yang sama tangguhnya bagi semua pelanggan kami. Kami memberikan informasi mendetail kepada pelanggan tentang praktik keamanan kami sehingga pelanggan dapat memahami dan mempertimbangkan praktik keamanan tersebut sebagai bagian dari persyaratan akuisisi mereka.

Informasi lebih lanjut tersedia di: 

• Pusat Kepercayaan Google Cloud 
• Ringkasan Keamanan Google 
• Ringkasan Desain Keamanan Infrastruktur Google 
• Resource Keamanan

Meskipun Anda menentukan keamanan data dan aplikasi di cloud, keamanan data Anda merupakan hal yang sangat penting bagi Google. Kami mengambil langkah proaktif berikut untuk membantu Anda: 

• Enkripsi dalam penyimpanan. Google mengenkripsi data pelanggan yang tersimpan dalam keadaan nonaktif secara default, tanpa perlu tindakan tambahan dari Anda. Informasi selengkapnya tersedia di Enkripsi dalam penyimpanan Google Cloud dan Laporan resmi Enkripsi Google Workspace.
• Enkripsi dalam pengiriman. Google mengenkripsi dan mengautentikasi semua data dalam pengiriman di satu atau beberapa lapisan jaringan saat data dipindahkan ke luar batas fisik yang tidak dikontrol oleh Google atau atas nama Google. Informasi selengkapnya tersedia di Enkripsi dalam pengiriman Google Cloud dan Laporan resmi Enkripsi Google Workspace. 

Anda dapat memilih untuk menggunakan produk Google Cloud Security guna meningkatkan dan memantau keamanan data Anda. Informasi tentang produk Keamanan Google Cloud tersedia di Produk Keamanan Cloud. 

Google juga memublikasikan panduan dan referensi praktik terbaik keamanan cloud di praktik terbaik keamanan Google Cloud dan di halaman keamanan dan perlindungan data Google Workspace kami.

Google memberikan perjanjian tingkat layanan terkait ketersediaan layanan cloud kami. Perjanjian tersebut tersedia di Perjanjian Tingkat Layanan Google Cloud Platform dan Perjanjian Tingkat Layanan Google Workspace. Pelanggan dapat memantau performa layanan Google (termasuk perjanjian tingkat layanan) secara berkelanjutan menggunakan fungsi layanan. Google mengelola dan menyediakan dasbor kepada pelanggan yang memberikan informasi tentang status layanan Google Cloud di https://status.cloud.google.com dan layanan Workspace di https://www.google.com/appsstatus/dashboard/. Dasbor status disediakan hanya untuk tujuan informasi.

Keahlian dan Pelatihan Personel

Keterampilan dan pelatihan personel Google dibahas dalam Lampiran 2: Tindakan Keamanan Adendum Pemrosesan Data Cloud. Staf Google diwajibkan untuk mematuhi kebijakan kerahasiaan dan privasi Google, mendapatkan pelatihan keamanan, dan diwajibkan untuk memenuhi persyaratan tambahan yang sesuai dengan peran mereka. Staf Google juga diwajibkan untuk berperilaku sesuai dengan pedoman kami mengenai kerahasiaan, etika bisnis, penggunaan yang sesuai, dan standar profesional. 

Verifikasi Latar Belakang Pegawai

Verifikasi latar belakang personel Google oleh Google dibahas dalam Lampiran 2: Langkah-langkah Keamanan Adendum Pemrosesan Data Cloud. Google melakukan pemeriksaan latar belakang yang sesuai secara wajar, sejauh diizinkan secara hukum dan sesuai dengan hukum ketenagakerjaan serta peraturan berdasarkan hukum setempat.

Notifikasi Insiden

Komitmen notifikasi insiden Google ditetapkan dalam Pasal 7.2 Adendum Pemrosesan Data Cloud. Google akan segera memberitahukan pelanggan begitu insiden terkait data terdeteksi, tanpa penundaan yang tidak perlu. Google juga akan segera mengambil langkah-langkah yang tepat untuk meminimalkan potensi kerugian serta melindungi data pelanggan. Informasi selengkapnya tersedia di Proses Respons Insiden Data.

Laporan Audit

Google memahami bahwa Anda mengharapkan verifikasi independen terhadap kontrol keamanan, privasi, dan kepatuhan kami. Google secara rutin menjalani beberapa audit dari pihak ketiga yang independen untuk memberikan jaminan ini. Google berkomitmen untuk mematuhi standar internasional utama berikut selama jangka waktu kontrak kami dengan Anda: 

• ISO/IEC 27001 (Sistem Manajemen Keamanan Informasi) 
• SOC 2 
• SOC 3

serta sertifikasi tambahan yang dijelaskan di Lampiran 4 Adendum Pemrosesan Data Cloud. Anda dapat meninjau laporan sertifikasi dan audit terkini dari Google kapan saja. Pengelola laporan kepatuhan menyediakan akses yang mudah dan sesuai permintaan ke berbagai referensi kepatuhan yang penting ini.

Pengelolaan Kerentanan

Proses pengelolaan kerentanan internal Google secara aktif memindai ancaman keamanan di seluruh technology stack. Proses ini menggunakan kombinasi alat komersial, open source, dan alat internal yang dibuat untuk tujuan khusus. Kerentanan yang telah kami mitigasi dipublikasikan ke buletin keamanan Google Cloud. Informasi selengkapnya tentang pengelolaan kerentanan tersedia di Ringkasan Keamanan Google.

Pengamanan Cyber Subprosesor

Persyaratan pengamanan cyber Google untuk sub-pemrosesnya dibahas di Bagian 11 dan Lampiran 2: Langkah-langkah Keamanan Adendum Pemrosesan Data Cloud. Google akan melakukan audit terhadap praktik privasi dan keamanan subpemroses sebelum melakukan orientasi untuk memastikan subpemroses memberikan tingkat keamanan dan privasi yang sesuai dengan akses mereka ke data serta cakupan layanan yang akan diberikan. Setelah Google menilai risiko yang ditimbulkan oleh subpemroses, Subpemroses diwajibkan untuk menyepakati persyaratan kontrak keamanan, kerahasiaan, dan privasi yang sesuai.

Pengambilan dan Penghapusan Data

Pengambilan dan penghapusan data pelanggan setelah penghentian kontrak dibahas di Bagian 6 dan 9 Adendum Pemrosesan Data Cloud. Google memungkinkan pelanggan mengekspor data pelanggan dengan cara yang konsisten dengan fungsi Layanan. Google akan menghapus data pelanggan dari sistem Google pada akhir jangka waktu sebagaimana dijelaskan di Pasal 6.

Google akan terus mengembangkan kemampuan seiring dengan perubahan lanskap peraturan.