Protected B (Canadá)

Introducción

El Gobierno de Canadá (GC) clasifica los datos con varios niveles de categorización de seguridad (p. ej., Protected A, Protected B, Confidential, Secret y Top Secret) según la sensibilidad de la información y el daño potencial que se produciría si la información viera comprometida su confidencialidad, integridad o disponibilidad. Si bien los departamentos y las agencias del GC pueden usar los servicios de nube, los departamentos primero deben identificar y categorizar la información para comprender los controles de seguridad que se deben aplicar.

¿A qué se refiere la categoría Protected B?

La información “protegida” puede clasificarse como Protected A, Protected B o Protected C, y se aplica a la información personal, la información comercial confidencial o cualquier otra información o activo que, si se ve comprometido, podría causar daños a un interés no nacional. Más específicamente, Protected B puede incluir información personal sensible, como historias clínicas, informes de evaluación del rendimiento, información financiera detallada, etc. La divulgación no autorizada de este tipo de información podría causar daños graves a una persona o a una organización, como angustia, pérdida financiera o daño a su reputación.

El GC publicó instrumentos de políticas como la Política de Seguridad del Gobierno Política, Directiva y Lineamiento sobre el Servicio y lo Digital, el Manual de Seguridad Contractual y la Directiva sobre el Uso Seguro de los Servicios de Nube Comercial: Aviso de Implementación de la Política de Seguridad (SPIN) que describen los requisitos de seguridad física, personal y de TI, y los controles que los departamentos, las agencias y las organizaciones del sector privado deben considerar para proteger la información gubernamental sensible.

¿Cuáles son los requisitos de los controles de seguridad relacionados con la nube para Protected B?

En el caso de la nube, los requisitos de control de seguridad se describen en el Anexo 3 de la guía de seguridad de la tecnología de la información (ITSG-33) – Administración de riesgos de seguridad de TI: Un enfoque del ciclo de vida. El perfil de control de seguridad de la nube de nivel medio del Cyber Center se usa como referencia de los requisitos de seguridad de TI. Además, el GC desarrolló un perfil de control de seguridad de la nube de activos de alto valor de Protected B (PBHVA), que define controles de integridad y disponibilidad adicionales que se pueden aplicar como una mejora para admitir cargas de trabajo de Protected B que se identificaron como sistemas de activos de alto valor.

Programa de seguridad contractual (CSP) de Servicios Públicos y Adquisiciones de Canadá (PSPC)

El CSP de PSPC verifica la seguridad física y del personal para los contratos de servicios en la nube. Esto implica garantizar que Google Cloud esté registrado en el CSP de PSPC y que tenga la autorización de seguridad organizacional requerida, y facilita las autorizaciones de seguridad del personal para los empleados que tienen una necesidad comercial de acceder a información o zonas de operación protegidas. El PSPC también realiza inspecciones de seguridad física en las ubicaciones de los centros de datos canadienses de Google Cloud para confirmar que se cumplen los requisitos de seguridad de los contratos, las zonas de operación seguras, la protección adecuada de los datos y el acceso controlado.

Integridad de la cadena de suministro (SCI) del Centro Canadiense de Seguridad Cibernética (CCCS)

El equipo de SCI del Cyber Centre evalúa los factores de riesgo relacionados con la empresa, como la propiedad, la ubicación y las prácticas comerciales, junto con los riesgos técnicos del producto o servicio en sí. El equipo de SCI usa varias fuentes para generar una calificación de riesgo, que contribuye a la determinación final de la evaluación de seguridad en la nube. Para obtener más información sobre el proceso de SCI, consulta ITSAP.10.070, Cyber supply chain: An approach to assessing risk.

Proceso de evaluación de la seguridad de TI de CSP del Centro Canadiense de Seguridad Cibernética (CCCS)

El proceso de evaluación de la seguridad de la tecnología de la información (ITS) del proveedor de servicios en la nube (CSP) (ITSM.50.100) consiste en una evaluación detallada de la solución en la nube en función de los controles de seguridad, como el perfil de nube medio o el perfil de superposición de activos de alto valor Protected B. Google Cloud es responsable de proporcionar evidencia para demostrar el cumplimiento de cada uno de los controles de seguridad en el perfil de control pertinente. Luego, el CCCS emite un informe de evaluación de seguridad en el que se resumen los hallazgos.