Protegida B (Canadá)

Introducción

El Gobierno de Canadá (GC) clasifica los datos usando varios niveles de categorización de seguridad (por ejemplo, Protegida A, Protegida B, Confidencial, Secreta y Alto Secreto) en función de la sensibilidad de la información y del posible daño que se produciría si la confidencialidad, integridad o disponibilidad de la información se comprometiera Aunque los departamentos y agencias del GC pueden usar servicios en la nube, primero deben identificar y categorizar la información para saber qué controles de seguridad deben aplicarse.

¿Qué es Protegida B?

La información protegida se puede clasificar en tres categorías: A, B o C. Se aplica a la información personal, la información comercial confidencial o cualquier otra información o recurso que, si se pone en peligro, podría causar un daño razonable a un interés no nacional. Más concretamente, la categoría Protegida B puede incluir información personal sensible, como historiales médicos, informes de evaluación del rendimiento, información financiera detallada, etc. La divulgación no autorizada de este tipo de información podría causar un daño grave a una persona o una organización, como angustia, pérdidas financieras o daños a su reputación.

El GC ha publicado instrumentos de política, como la política sobre la seguridad del Gobierno, la política, directiva y directrices sobre servicios y medios digitales, el manual de seguridad de los contratos y la directiva sobre el uso seguro de servicios comerciales en la nube: aviso sobre la implementación de la política de seguridad (SPIN) que describen los requisitos de seguridad física, de personal y de TI, y los controles que los departamentos, las agencias y las organizaciones del sector privado deben tener en cuenta para proteger la información sensible del Gobierno.

¿Cuáles son los requisitos de los controles de seguridad relacionados con la nube de Protegida B?

En el caso de la nube, los requisitos de control de seguridad se describen en el Anexo 3 de la guía de seguridad de tecnología de la información (ITSG-33): gestión de riesgos de seguridad de TI: un enfoque para todo el ciclo de vida. El perfil de control de seguridad de Medium Cloud del Centro de Ciberseguridad se utiliza como punto de partida de los requisitos de seguridad de TI. Además, el GC ha desarrollado un perfil de control de seguridad en la nube para activos de alto valor protegidos B (PBHVA) que define controles adicionales de integridad y disponibilidad que se pueden aplicar como mejora para admitir cargas de trabajo protegidas B que se han identificado como sistemas de activos de alto valor.

Programa de Seguridad de Contratos (CSP) de Servicios Públicos y Adquisiciones de Canadá (PSPC):

El PSPC CSP verifica la seguridad física y del personal de los contratos de servicios en la nube. Para ello, se debe asegurar que Google Cloud esté registrado en el PSPC CSP y que tenga el nivel de autorización de seguridad necesario para la organización. Además, se facilitan las autorizaciones de seguridad para los empleados que necesiten acceder a información protegida o a zonas de operaciones. Además, la PSPC realiza inspecciones de seguridad física en los centros de datos de Google Cloud en Canadá para confirmar que se cumplen los requisitos de seguridad contractual, las zonas de funcionamiento seguras, la protección adecuada de los datos y el acceso controlado.

Centro Canadiense de Ciberseguridad (CCCS): integridad de la cadena de suministro (SCI)

El equipo de SCI del Centro de Ciberseguridad evalúa los factores de riesgo relacionados con la empresa, como la propiedad, la ubicación y las prácticas comerciales, junto con los riesgos técnicos del producto o servicio en sí. El equipo de SCI utiliza varias fuentes para generar una clasificación de riesgos, que contribuye a la determinación final de la evaluación de seguridad en la nube. Puedes encontrar más información sobre el proceso de SCI en el documento ITSAP.10.070, cadena de suministro cibernética: un enfoque para evaluar los riesgos.

Proceso de evaluación de seguridad de TI de los proveedores de servicios en la nube (CSP) según el Centro Canadiense de Ciberseguridad (CCCS)

El proceso de evaluación de la seguridad de la información tecnológica (ITSM.50.100) de los proveedores de servicios en la nube (CSP) consiste en una evaluación detallada de la solución en la nube en relación con los controles de seguridad, como el perfil de nube de nivel medio o el perfil de superposición de recursos de alto valor protegidos B. Google Cloud es responsable de proporcionar pruebas que demuestren el cumplimiento de cada uno de los controles de seguridad del perfil de control correspondiente. A continuación, el CCCS emite un informe de evaluación de seguridad que resume sus hallazgos.