Protected B (Canadá)

Introdução

O Governo do Canadá (GC) classifica os dados usando vários níveis de categorização de segurança (por exemplo, Protected A, Protected B, Confidential, Secret e Top Secret) do dano potencial que ocorreria se a confidencialidade, integridade e/ou disponibilidade delas fosse comprometida. Embora os serviços de nuvem possam ser usados por departamentos e agências do GC, os departamentos do GC precisam primeiro identificar e categorizar as informações para entender os controles de segurança que devem ser aplicados.

O que é o Protected B?

As informações "protegidas" podem ser categorizadas como Protected A, Protected B ou Protected C e se aplicam a informações pessoais, comerciais confidenciais ou qualquer outro ativo ou informação que, se comprometida, possa causar danos a um interesse não nacional. Mais especificamente, o Protected B pode incluir informações pessoais sensíveis, como: registros médicos, relatórios de avaliação de desempenho, informações financeiras detalhadas etc. A divulgação não autorizada desse tipo de informação pode causar danos graves a uma pessoa ou organização, como angústia, perda financeira ou danos à reputação.

O GC publicou instrumentos de políticas, como a Política de Segurança do Governo Política, Diretiva e Diretriz sobre serviços e tecnologia digital, Manual de segurança de contrato e Diretriz sobre o uso seguro de serviços de nuvem comerciais: Aviso de implementação da política de segurança (SPIN, na sigla em inglês) que descrevem os requisitos de segurança física, de pessoal e de TI e os controles que departamentos, agências e organizações do setor privado devem considerar para proteger informações sensíveis do governo.

Quais são os requisitos de controle de segurança relacionados à nuvem para Protected B?

Para a nuvem, os requisitos de controle de segurança estão descritos no Anexo 3 do Information Technology Security Guidance (ITSG-33) – IT Security Risk Management: A Lifecycle Approach. O perfil de controle de segurança de nuvem médio do Cyber Center é usado como base dos requisitos de segurança de TI. Além disso, o GC desenvolveu um perfil de controle de segurança na nuvem para ativos de alto valor (PBHVA) que define controles de integridade e disponibilidade adicionais que podem ser aplicados como uma melhoria para oferecer suporte a cargas de trabalho de proteção B que foram identificadas como sistemas de ativos de alto valor.

Programa de segurança de contratos (CSP) dos Serviços Públicos e Compras do Canadá (PSPC)

O CSP do PSPC verifica a segurança física e de pessoal para contratos de serviços de nuvem. Isso envolve garantir que o Google Cloud esteja registrado no PSPC CSP e tenha a autorização de segurança organizacional necessária, além de facilitar as autorizações de segurança pessoal para funcionários que precisam acessar informações protegidas ou zonas de operação. O PSPC também realiza inspeções de segurança física nos locais dos data centers canadenses do Google Cloud para confirmar que as zonas de operação seguras, a proteção adequada dos dados, o acesso controlado e os requisitos de segurança do contrato são atendidos.

Canadian Centre for Cyber Security (CCCS) Supply Chain Integrity (SCI)

A equipe de SCI do Cyber Center avalia os fatores de risco relacionados à empresa, como propriedade, localização e práticas comerciais, além dos riscos técnicos do produto ou serviço em si. A equipe de SCI usa várias fontes para gerar uma classificação de risco, que contribui para a determinação final da avaliação de segurança da nuvem. Mais informações sobre o processo de SCI podem ser encontradas em ITSAP.10.070, Cyber supply chain: An approach to assessing risk.

Processo de avaliação de segurança de TI do Centro Canadense de Segurança Cibernética (CCCS)

O processo de avaliação da segurança da tecnologia da informação (ITS) do provedor de serviços de nuvem (CSP) (ITSM.50.100) consiste em uma avaliação detalhada da solução de nuvem em relação aos controles de segurança, como o perfil de nuvem médio e/ou o perfil de sobreposição de recursos de alto valor protegido B. O Google Cloud é responsável por fornecer evidências que demonstrem a adesão a cada um dos controles de segurança no perfil de controle relevante. O CCCS emite um relatório de avaliação de segurança resumindo as descobertas.