Processo di risposta agli incidenti relativi ai dati

Scarica la versione PDF

Introduzione

Il mantenimento di un ambiente sicuro e protetto per i dati del cliente è la massima priorità per Google Cloud. Per proteggere i dati del cliente, Google applica procedure di sicurezza delle informazioni leader del settore, che combinano processi rigorosi, un team di altissimo livello e un'infrastruttura di sicurezza e privacy multilivello. Questo articolo si concentra sul solido approccio di Google alla gestione e alla risposta agli incidenti relativi ai dati per Google Cloud.

La risposta agli incidenti è un aspetto chiave nell'ambito del programma di sicurezza e privacy di Google. Possiamo contare su un processo rigoroso per la gestione degli incidenti relativi ai dati. Questo processo specifica azioni, escalation, mitigazione, risoluzione e notifica di qualsiasi incidente che possa avere un impatto su riservatezza, integrità o disponibilità dei dati del cliente.

In Google, un incidente relativo ai dati viene definito come una violazione della sicurezza di Google che porti in modo accidentale o illecito all'accesso ai dati del cliente o alla loro distruzione, perdita, alterazione o divulgazione non autorizzata, su sistemi gestiti o altrimenti controllati da Google. Mentre Google prende provvedimenti per affrontare minacce prevedibili a dati e sistemi, gli incidenti relativi ai dati non comprendono attività o tentativi non riusciti che non compromettono la sicurezza dei dati del cliente, inclusi tentativi di accesso non riusciti, ping, scansioni delle porte, attacchi di tipo "denial of service" e altri attacchi di rete su firewall o sistemi in rete.

Contributo di Google alla protezione dei dati del cliente

La sicurezza dei dati del cliente è della massima importanza. Tuttavia, la sicurezza è il risultato della collaborazione tra Google e il cliente. Mentre Google protegge l'infrastruttura e i servizi cloud sottostanti, il cliente protegge le applicazioni, i dispositivi e i sistemi di sua proprietà creati avvalendosi dell'infrastruttura cloud di Google. Google offre ai clienti linee guida e molteplici funzionalità di sicurezza per l'implementazione di pratiche di sicurezza di livello Google:

  • Gestione di identità e accessi

  • Crittografia dei dati inattivi e in transito per impostazione predefinita, ovvero senza alcuno sforzo aggiuntivo da parte dei clienti

  • Autenticazione a più fattori, inclusa chiave hardware resistente al phishing come secondo fattore

  • Una gamma di opzioni di sicurezza della rete tra cui virtual private cloud (VPC) e VPC condiviso, protezione DDoS integrata per soluzioni "Software as a Service" (SaaS) e "Platform as a Service" (PaaS), e l'opzione di utilizzarla anche per soluzioni "Infrastructure as a Service" (IaaS)

  • Audit log dettagliato

Per ulteriori informazioni su come Google protegge il cloud, consulta il white paper Google Infrastructure Security Design Overview e la presentazione sulla sicurezza NEXT '18 associata o visita il sito dedicato alla sicurezza di Google Cloud.

Google offre ai clienti visibilità sui servizi che utilizzano su Google Cloud; i clienti possono utilizzare il Centro sicurezza di Google Workspace per prevenire, rilevare e risolvere i problemi con Gmail, Drive, dispositivi, OAuth e account utente. Analogamente a GCP, i clienti possono utilizzare il Cloud Security Command Center per ottenere visibilità su asset, vulnerabilità, rischi e criteri all'interno dell'organizzazione.

Da parte loro, i clienti devono configurare correttamente le funzionalità di sicurezza per soddisfare le proprie esigenze, installare aggiornamenti software, impostare firewall e zone di sicurezza di rete e assicurarsi che gli utenti finali proteggano le proprie credenziali e non espongano dati sensibili a soggetti non autorizzati.

La Figura 1 fornisce un esempio illustrativo di come la responsabilità si sposta tra cliente e Google in base alla portata dei servizi gestiti utilizzati dal cliente stesso. Mano a mano che il cliente passa da soluzioni on-premise a offerte di cloud computing IaaS, PaaS e SaaS, Google gestisce una parte maggiore del servizio cloud globale e il cliente ha meno responsabilità relative alla sicurezza.

Per ulteriori informazioni sulle configurazioni di sicurezza del cloud, i clienti devono fare riferimento alla documentazione di prodotto adeguata.

Grafico relativo alla responsabilità

Risposta agli incidenti relativi ai dati

Il programma di risposta agli incidenti di Google è gestito da team di esperti che si occupano di risposta agli incidenti attraverso molte funzioni specializzate per garantire che ogni risposta si adatti alle sfide presentate da ciascun incidente. A seconda della natura di quest'ultimo, il team di risposta professionale può includere elementi dei seguenti team:

  • Gestione degli incidenti relativi al cloud
  • Progettazione dei prodotti
  • Site Reliability Engineering
  • Sicurezza e privacy del cloud
  • Digital forensics
  • Indagini globali
  • Rilevamento dei segnali
  • Consulenza su sicurezza, privacy e prodotti
  • Affidabilità e sicurezza
  • Tecnologie di contrasto a comportamenti illeciti
  • Assistenza clienti

Gli specialisti di questi team vengono coinvolti in vari modi. Ad esempio, gli incident commander coordinano la risposta agli incidenti e, se necessario, il team di digital forensics rileva gli attacchi in corso e conduce indagini forensi. I tecnici di prodotto lavorano per limitare l'impatto sui clienti e forniscono soluzioni per correggere i prodotti interessati. Il team legale lavora con i membri del team di sicurezza e privacy appropriato per attuare la strategia di Google riguardo la raccolta delle prove, interagisce con le forze dell'ordine e le autorità governative e fornisce consulenza su questioni e requisiti legali. Il personale di assistenza risponde alle domande dei clienti e alle richieste di ulteriori informazioni e assistenza.

Organizzazione del team

Quando dichiariamo un incidente, designiamo un incident commander che coordini risposta e risoluzione dell'incidente. L'incident commander seleziona specialisti dai diversi team e forma un team di risposta. Una tipica organizzazione di risposta appare nella Figura 2 di seguito. L'incident commander delega a questi professionisti la responsabilità della gestione dei diversi aspetti dell'incidente e lo gestisce dal momento della dichiarazione fino alla chiusura. La Figura 2 illustra l'organizzazione di vari ruoli e le relative responsabilità durante la risposta agli incidenti.

Organizzazione del team di risposta agli incidenti relativi ai dati

Processo di risposta agli incidenti relativi ai dati

Ogni incidente relativo ai dati è unico; l'obiettivo del processo di risposta è proteggere i dati dei clienti, ripristinare il normale servizio il più rapidamente possibile e soddisfare i requisiti di conformità sia normativi che contrattuali. Il programma di risposta agli incidenti di Google prevede la seguente procedura:

Flusso di lavoro di risposta agli incidenti

Identificazione

L'identificazione tempestiva e accurata degli incidenti è la chiave per una gestione degli incidenti solida ed efficace. L'obiettivo di questa fase è monitorare gli eventi di sicurezza per rilevare e riferire su potenziali incidenti relativi ai dati.

Il team di rilevamento degli incidenti di Google utilizza strumenti di rilevamento, segnali e meccanismi di allarme avanzati che forniscono un'indicazione tempestiva riguardo a potenziali incidenti.

Le fonti di rilevamento degli incidenti di Google includono:

  • Analisi automatizzata dei log di rete e di sistema: l'analisi automatizzata del traffico di rete e dell'accesso al sistema consente di identificare attività sospette, illecite o non autorizzate e inoltra il problema al team per la sicurezza di Google.

  • Test: il team per la sicurezza di Google esegue la scansione attiva alla ricerca di minacce alla sicurezza utilizzando test di penetrazione, misure di controllo qualità (QA), rilevamento delle intrusioni e analisi della sicurezza del software.

  • Analisi del codice interno: l'analisi del codice sorgente rileva vulnerabilità nascoste, difetti di progettazione e verifica se sono stati implementati i controlli di sicurezza chiave.

  • Strumenti e processi specifici di prodotto: vengono impiegati, laddove possibile, strumenti automatizzati specifici per la funzione del team, così da migliorare la capacità di Google di rilevare incidenti a livello di prodotto.

  • Rilevamento di anomalie di utilizzo: Google utilizza sistemi di machine learning su più livelli per distinguere tra attività utente sicura e anomala su browser, dispositivi, accessi alle applicazioni e altri eventi d'uso.

  • Avvisi di sicurezza dei servizi di data center e/o luoghi di lavoro: gli avvisi di sicurezza nei data center eseguono la scansione per rilevare eventuali incidenti che potrebbero influire sull'infrastruttura dell'azienda.

  • Dipendenti di Google: un dipendente di Google rileva un'anomalia e la segnala.

  • Programma di ricompense per la segnalazione di vulnerabilità di Google: vengono talvolta segnalate da ricercatori esterni specializzati in materia di sicurezza potenziali vulnerabilità tecniche nelle estensioni del browser di proprietà Google e nelle applicazioni web e per dispositivi mobili che incidono sulla riservatezza o sull'integrità dei dati degli utenti.

Coordinamento

Quando viene segnalato un incidente, chi risponde alla chiamata esamina e valuta la natura del rapporto sull'incidente per determinare se rappresenta un potenziale incidente relativo ai dati e avvia il processo di risposta agli incidenti di Google.

Una volta confermato, l'incidente viene passato a un incident commander che valuta la natura dell'incidente e implementa un approccio coordinato alla risposta. In questa fase, la risposta include il completamento della valutazione e classificazione dell'incidente, la modifica della gravità, se necessario, e l'attivazione del team di risposta all'incidente appropriato, con opportuni lead operativi/tecnici che riesaminano i fatti e identificano le aree chiave che richiedono un'indagine. Designiamo un lead di prodotto e un lead legale per poter prendere decisioni chiave relative alla risposta. L'incident commander assegna la responsabilità delle indagini e vengono raccolti i fatti.

Molti aspetti della risposta di Google dipendono dalla valutazione della gravità, che si basa su fatti chiave che vengono raccolti e analizzati dal team di risposta agli incidenti. Tra questi figurano:

  • Potenziale danno a clienti, terze parti e Google

  • Natura dell'incidente (ad es. se i dati sono stati potenzialmente distrutti, consultati o non sono disponibili)

  • Tipo dei dati che potrebbero essere interessati

  • Impatto dell'incidente sull'utilizzo del servizio da parte dei clienti

  • Stato dell'incidente (ad es. se l'incidente è isolato, in corso o se è stato contenuto)

L'incident commander e altri lead rivalutano periodicamente questi fattori durante l'attività di risposta con l'evolversi di nuove informazioni per garantire che alla risposta di Google vengano assegnate le risorse e l'urgenza appropriate. Agli eventi che presentano l'impatto più critico viene assegnata la massima gravità. Viene nominato un responsabile delle comunicazioni per sviluppare un piano di comunicazione con gli altri responsabili.

Risoluzione

In questa fase, l'attenzione è focalizzata sull'indagine della causa principale, sulla limitazione dell'impatto dell'incidente, sulla risoluzione dei rischi immediati per la sicurezza (se presenti), sull'implementazione delle correzioni necessarie come parte della riparazione e sul ripristino di sistemi, dati e servizi interessati.

I dati interessati verranno ripristinati allo stato originale ove possibile. A seconda di ciò che è ragionevole e necessario in un particolare incidente, Google può adottare una serie di passaggi per la sua risoluzione. Ad esempio, potrebbe essere necessaria un'indagine tecnica o forense per ricostruire la causa principale di un problema o identificare un eventuale impatto sui dati dei clienti. Google può inoltre tentare di recuperare copie dei dati dalle copie di backup di Google se i dati vengono modificati o distrutti in maniera impropria.

Un aspetto chiave della riparazione è la notifica ai clienti quando gli incidenti hanno un impatto sui loro dati. Alcuni fatti chiave vengono valutati nel corso dell'incidente per determinare se questo ha influenzato i dati dei clienti. Se la notifica ai clienti è appropriata, l'incident commander avvia il processo di notifica. Il responsabile delle comunicazioni sviluppa un piano di comunicazione con input dai lead legali e di prodotto, informa le persone interessate e supporta le richieste dei clienti dopo la notifica con l'aiuto del nostro team di assistenza.

Google si impegna a fornire notifiche rapide, chiare e accurate contenenti i dettagli noti dell'incidente relativo ai dati, le misure adottate da Google per mitigare i potenziali rischi e le azioni che Google consiglia ai clienti di intraprendere per affrontare l'incidente. Facciamo del nostro meglio per fornire un quadro chiaro dell'incidente in modo che i clienti possano valutare e adempiere ai propri obblighi di notifica.

Chiusura

In seguito alla corretta risoluzione di un incidente relativo ai dati, il team di risposta agli incidenti valuta le lezioni apprese dall'incidente. Quando l'incidente solleva problemi critici, l'incident commander può avviare un'analisi post mortem. Durante questo processo, il team di risposta agli incidenti esamina le cause e la risposta di Google e identifica le aree principali per il miglioramento. In alcuni casi, ciò può richiedere la discussione con diversi team di prodotto, team tecnici e team operativi oltre a lavori di miglioramento del prodotto. Se è necessario un follow-up, il team di risposta agli incidenti sviluppa un piano d'azione per completare tale lavoro e affida ai project manager l'incarico di seguire il processo a lungo termine. L'incidente è chiuso dopo la conclusione dei lavori di risanamento.

Miglioramento continuo

In Google, facciamo tutto il possibile per imparare da ogni incidente e attuare misure preventive per evitare incidenti futuri.

Le informazioni fruibili dall'analisi degli incidenti ci consentono di migliorare i nostri strumenti, così come i corsi di formazione e i processi, il programma generale di protezione dei dati sulla sicurezza e la privacy di Google, le politiche di sicurezza e/o le attività di risposta. Gli apprendimenti chiave facilitano anche la definizione delle priorità dell'impegno in termini tecnici e la creazione di prodotti migliori.

I professionisti della sicurezza e della privacy di Google migliorano il programma di sicurezza rivedendo i piani di sicurezza dell'azienda per tutte le reti, i sistemi e i servizi e forniscono servizi di consulenza specifici del progetto a team di prodotto e di ingegneria. Implementano l'apprendimento automatico, l'analisi dei dati e altre nuove tecniche per monitorare attività sospette sulle reti di Google, affrontare le minacce alla sicurezza delle informazioni, eseguire valutazioni e audit di sicurezza di routine e coinvolgere esperti esterni per condurre regolari valutazioni della sicurezza. Inoltre, il nostro team a tempo pieno, chiamato Project Zero, mira a prevenire attacchi mirati segnalando i bug ai fornitori di software e archiviandoli in un database esterno.

Google organizza regolarmente corsi di formazione e sensibilizzazione per promuovere l'innovazione in materia di sicurezza e riservatezza dei dati. Il personale dedicato alla risposta agli incidenti è formato in analisi forense e nella gestione di prove, compreso l'uso di strumenti proprietari e di terze parti. Il test dei processi e delle procedure di risposta agli incidenti viene eseguito per aree chiave, come i sistemi che memorizzano le informazioni sensibili del cliente. Questi test prendono in considerazione una serie di scenari, tra cui minacce interne e vulnerabilità dei software.

I nostri clienti e le autorità di regolamentazione fanno parte dei programmi ISO-27017, ISO-27018, ISO-27001, PCI-DSS, SOC 2 e FedRAMP che forniscono ai clienti e agli enti regolatori verifiche indipendenti relative ai nostri controlli di sicurezza, privacy e conformità. Un elenco più completo delle certificazioni di terze parti di Google Cloud è disponibile qui.

Riepilogo

Come spiegato in precedenza, Google gestisce un programma di risposta agli incidenti di altissimo livello che offre queste funzioni chiave:

  • Un processo basato su tecniche leader del settore per la risoluzione di incidenti e perfezionato per operare in modo efficiente in base alle richieste di Google

  • Sistemi di monitoraggio pionieristici, analisi dei dati e servizi di apprendimento automatico per rilevare e contenere in modo proattivo gli incidenti

  • Esperti dedicati che possono essere implementati per rispondere a qualsiasi tipo o dimensione di incidente relativo ai dati

  • Un processo maturo per avvisare tempestivamente i clienti interessati, in linea con gli impegni di Google nei nostri termini di servizio e accordi con i clienti

La protezione dei dati è fondamentale per l'attività di Google. Investiamo continuamente nel nostro programma di sicurezza globale, in risorse e competenze. Questo consente ai nostri clienti di fare affidamento su di noi per proteggere i loro dati e ottenere una risposta efficace in caso di incidente, mantenendo quindi elevata la fiducia degli utenti nel servizio Google.