Google Cloud 與歐盟網路與資訊系統指令 (NIS2)

Google 在合約中承諾，會針對雲端服務實施並維持技術、組織和實體安全措施，協助您遵循 NIS2 指令。我們也提供額外的安全產品和功能，協助您保護雲端環境。Google 會發布說明文件和資源，協助您評估 Google Cloud 和 Workspace 服務的安全性。

以下說明我們的合約、控管機制和程序如何符合《NIS2 指令》第 21 條第 2 款，和歐盟導入法規附錄第 5.1 點及第 6.1 點的供應商及服務供應商收購規定。

Google Cloud 和 Workspace 的網路安全

如要瞭解 Google Cloud 和 Workspace 的安全性，請參閱《Cloud 資料處理修訂條款》，其中說明支援這些服務的資料中心、硬體、軟體和網路的安全性。Google 服務具有一對多的特性，因此能為所有客戶提供同樣強大的安全防護機制。我們提供有關安全性做法的詳細資訊，讓客戶能瞭解這些做法，並考慮將其做為收購規定的一環，一併遵守。

詳情請參閱：

• Google Cloud 安全防護中心
• Google 安全性總覽
• Google 基礎架構安全性設計總覽
• 安全性資源

雖然雲端的資料和應用程式安全性由您定義，但資料安全性對 Google 來說也是重中之重。我們採取下列主動措施來協助您：

• 靜態資料加密Google 會根據預設為客戶存放的靜態資料加密，因此您不需採取任何動作。詳情請參閱 Google Cloud 的靜態資料加密和 Google Workspace 加密白皮書。
• 傳輸中資料加密資料移出 Google 或 Google 代理單位控管的實體界限時，Google 會在一或多個網路層加密及驗證所有傳輸中的資料。詳情請參閱 Google Cloud 的傳輸中資料加密和 Google Workspace 加密白皮書。

您可以選擇使用 Google Cloud 安全性產品，增強及監控資料安全性。如要瞭解 Google Cloud 安全性產品，請前往 Cloud 安全性產品頁面。

Google 也發布了雲端安全性最佳做法指南和資源，請前往 Google Cloud 安全性最佳做法和 Google Workspace 安全性和資料保護頁面查看。

Google 提供雲端服務可用性的服務水準協議。請參閱《Google Cloud Platform 服務水準協議》和《Google Workspace 服務水準協議》。客戶可以使用服務功能，持續監控 Google 服務 (包括服務水準協議) 的效能。Google 會維護並提供客戶資訊主頁，詳列相關資訊，包括 Google Cloud 服務的狀態資訊 (請前往 https://status.cloud.google.com) 和 Workspace 服務的狀態資訊 (請前往 https://www.google.com/appsstatus/dashboard/)。狀態資訊主頁僅供參考。

人員技能與訓練

如要瞭解 Google 人員的技能和訓練，請參閱《Cloud 資料處理修訂條款》的附錄 2：安全措施。Google 人員必須遵守 Google 的保密和隱私權政策、接受安全訓練，並完成其職務之適當額外要求。Google 人員行為也必須符合我們在機密性、商業道德、適當使用及專業標準等方面的準則。

人員背景查核

如要瞭解 Google 如何對自家員工進行背景查核，請參閱《Cloud 資料處理附加條款》的附錄 2：安全措施。Google 會在法律允許的範圍內，依據適當的當地勞工法規，進行合理適當的背景調查。

事件通知

Google 的事件通知承諾載明於《Cloud 資料處理附加條款》第 7.2 節。若 Google 察覺發生資料事件，會立即通知客戶，不會無故拖延，並迅速採取合理措施將傷害降至最低，維護客戶資料安全。詳情請參閱「資料事件應變程序」。

稽核報告

Google 瞭解您希望 Google 的安全性、隱私權和法規遵循控管機制皆通過獨立驗證。為了提供這樣的保證，Google 會定期委請多家第三方稽核單位進行獨立審查，在合約期間，Google 承諾會遵守下列重要國際標準：

• ISO/IEC 27001 (資訊安全性管理系統)
• SOC 2 
• SOC 3

以及《Cloud 資料處理附加條款》附錄 4 中所述的任何其他認證。您可以隨時查看 Google 目前的認證與稽核報告。您可以透過法規遵循報告管理工具，視需要輕鬆存取這些重要的法規遵循資源。

安全漏洞管理

Google 內部的安全漏洞管理程序，會主動掃描所有技術堆疊是否面臨安全威脅。這項程序會將市售工具、開放原始碼工具，以及依據特定用途建構的內部工具合併使用。我們會在 Google Cloud 安全性公告中發布已緩解風險的安全漏洞。如要進一步瞭解安全漏洞管理，請參閱 Google 安全性總覽。

複委託者網路安全

如要瞭解 Google 對複委託者的網路安全要求，請參閱《Cloud 資料處理附加條款》第 11 節和附錄 2：安全措施。在讓複委託者參與資料處理活動之前，Google 會先稽核其安全性及隱私權做法，並根據該複委託者可能會存取的資料和提供的服務範圍，判斷其採取的安全性及隱私權防護層級是否恰當。Google 評估複委託者的各項風險後，複委託者必須簽訂適當的安全性、機密性和隱私權合約條款。

資料檢索與刪除

如要瞭解合約終止後，客戶資料的檢索和刪除事宜，請參閱《Cloud 資料處理附加條款》的第 6 節和第 9 節。Google 允許客戶以符合服務功能的方式匯出客戶資料。如第 6 節所述，Google 會在合約效期結束時，從 Google 系統中刪除客戶資料。

Google 會持續配合監管生態的變化提升各項功能。