Protected B (Canada)

Introduzione

Il governo del Canada (GC) classifica i dati utilizzando vari livelli di categorizzazione della sicurezza (ad es. Protected A, Protected B, Confidential, Secret e Top Secret) a seconda della sensibilità delle informazioni e del potenziale danno che si verificherebbe se la riservatezza, l'integrità e/o la disponibilità delle informazioni fossero compromesse. Sebbene i servizi cloud possano essere utilizzati dai dipartimenti e dalle agenzie del Governo del Canada, i dipartimenti del Governo del Canada devono prima identificare e categorizzare le informazioni per comprendere i controlli di sicurezza che devono essere applicati.

Che cos'è Protected B?

Le informazioni "protette" possono essere classificate come Protected A, Protected B o Protected C e si applicano a informazioni personali, informazioni commerciali riservate o qualsiasi altra informazione o asset che, se compromessi, potrebbero ragionevolmente causare danni a un interesse non nazionale. Più precisamente, Protected B può includere informazioni personali sensibili come: cartelle cliniche, report di valutazione del rendimento, informazioni finanziarie dettagliate e così via. La divulgazione non autorizzata di questo tipo di informazioni potrebbe causare gravi danni a una persona o organizzazione, come ansia, perdite finanziarie o danni alla reputazione.

Il Governo del Canada ha pubblicato strumenti normativi come la policy sulla sicurezza governativa, la policy, la direttiva e le linee guida sui servizi e sul digitale, il manuale sulla sicurezza dei contratti e la direttiva sull'uso sicuro dei servizi cloud commerciali: avviso sull'applicazione delle norme sulla sicurezza (SPIN) che descrivono i requisiti di sicurezza fisica, del personale e dell'IT e i controlli che i dipartimenti, le agenzie e le organizzazioni del settore privato dovrebbero prendere in considerazione per salvaguardare le informazioni sensibili del governo.

Quali sono i requisiti di controllo della sicurezza relativi al cloud per Protected B?

Per il cloud, i requisiti di controllo della sicurezza sono descritti nell'Allegato 3 di Information Technology Security Guidance (ITSG-33) – IT Security Risk Management: A Lifecycle Approach. Il profilo di controllo della sicurezza del cloud di livello medio del Cyber Center viene utilizzato come base per i requisiti di sicurezza IT. Inoltre, il Governo del Canada ha sviluppato un profilo di controllo della sicurezza Cloud Protected B High Value Assets (PBHVA) che definisce controlli aggiuntivi di integrità e disponibilità che possono essere applicati come funzionalità avanzata per supportare i carichi di lavoro Protected B che sono stati identificati come sistemi di asset di alto valore.

Public Services and Procurement Canada (PSPC) Contract Security Program (CSP)

Il PSPC CSP verifica la sicurezza fisica e del personale per i contratti di servizi cloud. Ciò comporta la verifica che Google Cloud sia registrato nel PSPC CSP e disponga dell'autorizzazione di sicurezza organizzativa richiesta e faciliti le autorizzazioni di sicurezza del personale per i dipendenti che hanno una necessità aziendale di accedere a informazioni o zone operative protette. Inoltre, il PSPC effettua ispezioni di sicurezza fisica presso le sedi dei data center canadesi di Google Cloud per verificare che siano soddisfatti i requisiti di sicurezza delle zone operative, della protezione dei dati, dell'accesso controllato e della sicurezza contrattuale.

Canadian Centre for Cyber Security (CCCS) Supply Chain Integrity (SCI)

Il team SCI del Cyber Center valuta i fattori di rischio legati all'azienda, come proprietà, località e pratiche commerciali, oltre ai rischi tecnici del prodotto o del servizio stesso. Il team SCI utilizza varie fonti per generare un rating di rischio, che contribuisce alla determinazione finale della valutazione della sicurezza del cloud. Ulteriori informazioni sul processo SCI sono disponibili in ITSAP.10.070, Cyber supply chain: An approach to assessing risk.

Procedura di valutazione della sicurezza informatica del Canadian Centre for Cyber Security (CCCS) per i CSP

Il Cloud Service Provider (CSP) Information Technology Security (ITS) Assessment Process (ITSM.50.100) consiste in una valutazione dettagliata della soluzione cloud rispetto ai controlli di sicurezza, come il profilo Medium Cloud e/o il profilo Overlay Protected B High Value Asset. Google Cloud è responsabile della fornitura di prove che dimostrino la conformità a ciascuno dei controlli di sicurezza nel profilo di controllo pertinente. Il CCCS rilascia quindi un report sulla valutazione della sicurezza che riassume i risultati.