Processo de resposta a incidentes de dados

Faça o download da versão em pdf

Introdução

A maior prioridade do Google Cloud é manter um ambiente seguro e protegido para os dados do cliente. Para proteger esses dados, o Google realiza a melhor operação de segurança de informações do setor, que combina processos rigorosos com uma das equipes mais qualificadas e uma infraestrutura multicamada de privacidade e segurança de informações. Neste documento, destacamos a abordagem baseada em princípios do Google para gerenciar e responder a incidentes de dados no Google Cloud.

A resposta a incidentes é um aspecto fundamental do programa geral de segurança e privacidade do Google. Temos um processo rigoroso para gerenciar incidentes de dados. Esse processo especifica ações, encaminhamentos, mitigação, resolução e notificação de quaisquer incidentes em potencial que afetem a confidencialidade, a integridade ou a disponibilidade dos dados do cliente.

No Google, um incidente de dados é definido como uma violação de segurança do Google que acarreta destruição acidental ou ilegal, perda, alteração, acesso ou divulgação não autorizados de dados do cliente em sistemas gerenciados ou de outra forma controlados pelo Google. O Google adota medidas para enfrentar ameaças previsíveis a dados ou sistemas, mas os incidentes de dados não incluem atividades ou tentativas malsucedidas que não comprometam a segurança dos dados do cliente, como tentativas malsucedidas de login, pings, varreduras de porta, ataques de negação de serviço e outros ataques a firewalls ou sistemas em rede.

Como o Google ajuda a proteger dados de cliente

A segurança dos dados do cliente é de extrema importância, mas entenda que ela é o resultado da colaboração entre o Google e o cliente. Enquanto o Google protege a infraestrutura e os serviços subjacentes, o cliente protege seus aplicativos, dispositivos e sistemas criados na infraestrutura em nuvem do Google. O Google oferece orientações e diversos recursos de segurança aos clientes para garantir práticas de segurança com a qualidade do Google:

  • Gerenciamento de identidade e acesso

  • Criptografia de dados em repouso e em trânsito por padrão, ou seja, sem qualquer esforço extra dos clientes

  • Autenticação multifator, incluindo chave de fator secundário de hardware resistente a phishing

  • Uma gama de opções de segurança de rede, incluindo rede privada virtual (VPC) e VPC compartilhada, proteção DDoS integrada para soluções de Software as a-Service (SaaS), Platform as a Service (PaaS) e a opção de usá-las também em soluções de Infrastructure as a Service (IaaS)

  • Registro de auditoria detalhado

Para saber mais sobre como o Google protege a nuvem, consulte o documento Visão geral do design de segurança da infraestrutura do Google e a apresentação sobre segurança do NEXT '18 (em inglês) associada ou visite o site de segurança do Google Cloud.

O Google oferece aos clientes visibilidade dos serviços que eles usam no Google Cloud. Os clientes podem usar a Central de segurança do G Suite para impedir, detectar e corrigir problemas com Gmail, Drive, Dispositivos, OAuth e contas de usuário. Da mesma forma, para o GCP, os clientes podem usar o Cloud Security Command Center para ter visibilidade dos respectivos recursos, vulnerabilidades, riscos e políticas em toda a organização.

Os clientes precisam configurar corretamente os recursos de segurança para atender às próprias necessidades, instalar atualizações de software, configurar zonas de segurança de rede e firewalls e garantir que os usuários finais protejam as respectivas credenciais e não exponham dados confidenciais a partes não autorizadas.

Na Figura 1, mostramos um exemplo ilustrativo de como a responsabilidade muda entre o cliente e o Google, com base na extensão dos serviços gerenciados aproveitados pelo cliente. À medida que o cliente passa das soluções locais para as ofertas de computação em nuvem IaaS, PaaS e SaaS, o Google gerencia mais do serviço geral de nuvem e o cliente tem menos responsabilidades de segurança.

Para mais informações sobre configurações de segurança na nuvem, os clientes devem consultar a documentação do produto aplicável.

Gráfico de responsabilidade

Resposta a incidentes de dados

O programa de resposta a incidentes do Google é gerenciado por equipes de especialistas em incidentes, em várias funções especializadas, para garantir que as respostas sejam bem adaptadas aos desafios apresentados pelos incidentes. Dependendo da natureza do incidente, a equipe de profissionais de resposta pode incluir:

  • Gerenciamento de incidentes na nuvem
  • Engenharia de produto
  • Engenharia de confiabilidade do site
  • Segurança e privacidade na nuvem
  • Análise forense digital
  • Investigações globais
  • Detecção de sinais
  • Segurança, privacidade e aconselhamento de produtos
  • Garantia e segurança
  • Tecnologia de combate ao abuso
  • Suporte ao cliente

Os especialistas no assunto dessas equipes estão envolvidos de várias maneiras. Por exemplo, os comandantes de incidentes coordenam a resposta ao incidente e, quando necessário, a equipe de análise forense digital detecta ataques contínuos e realiza investigações forenses. Os engenheiros de produto trabalham para limitar o efeito nos clientes e fornecer soluções para corrigir os produtos afetados. A equipe jurídica trabalha com membros da equipe de segurança e privacidade apropriada para implementar a estratégia do Google na coleta de provas, envolver-se com as autoridades policiais e reguladoras do governo e aconselhar sobre questões e requisitos legais. A equipe de suporte responde às solicitações dos clientes e solicita mais informações e assistência.

Organização da equipe

Quando declaramos um incidente, nomeamos um comandante do incidente que coordena a resposta e a resolução do incidente. O comandante do incidente seleciona especialistas de equipes diferentes e forma uma equipe de resposta. Abaixo, na Figura 2, mostramos uma típica organização de resposta. O comandante do incidente delega a responsabilidade de administrar diferentes aspectos do incidente a esses profissionais e gerencia o incidente desde o momento da declaração até o fechamento. Na figura 2, descrevemos a organização de vários papéis e as respectivas responsabilidades durante a resposta a incidentes.

Organização da equipe de resposta a incidentes de dados

Processo de resposta a incidentes de dados

Cada incidente de dados é único e o objetivo do processo de resposta a incidentes de dados é proteger os dados dos clientes, restaurar o serviço normal o mais rápido possível e atender aos requisitos de conformidade regulamentares e contratuais. O programa de resposta a incidentes do Google tem o seguinte processo:

Fluxo de trabalho de resposta a incidentes

Identificação

A identificação precoce e precisa dos incidentes é fundamental para um gerenciamento de incidentes forte e eficaz. O foco dessa fase é monitorar eventos de segurança para detectar e relatar possíveis incidentes de dados.

A equipe de detecção de incidentes do Google emprega ferramentas avançadas de detecção, sinais e mecanismos de alerta que indicam possíveis incidentes antecipadamente.

As fontes de detecção de incidentes do Google incluem:

  • Análise automatizada de registros de rede e sistema: a análise automatizada do tráfego de rede e do acesso ao sistema ajuda a identificar atividades suspeitas, abusivas ou não autorizadas e as encaminha para a equipe de segurança do Google.

  • Testes: a equipe de segurança do Google rastreia ativamente ameaças de segurança usando testes de penetração, medidas de garantia de qualidade (QA, na sigla em inglês), detecção de invasão e análises de segurança de software.

  • Análises de código interno: a análise do código-fonte descobre vulnerabilidades ocultas, falhas de design e verifica se os principais controles de segurança foram implementados.

  • Ferramentas e processos específicos do produto: ferramentas automatizadas específicas para a função da equipe são empregadas sempre que possível para aprimorar a capacidade do Google de detectar incidentes no nível do produto.

  • Detecção de anomalias de uso: o Google emprega várias camadas de sistemas de machine learning para diferenciar atividades seguras de anormais de usuários em navegadores, dispositivos, logins de aplicativos e outros eventos de uso.

  • Alertas de segurança de data center e/ou serviços no local de trabalho: alertas de segurança em data centers rastreiam incidentes que podem afetar a infraestrutura da empresa.

  • Funcionários do Google: um funcionário do Google detecta uma anomalia e a informa.

  • Programa de recompensa de vulnerabilidade do Google: pesquisadores de segurança externos às vezes relatam vulnerabilidades técnicas potenciais em extensões de navegador, dispositivos móveis e aplicativos da Web pertencentes ao Google, que afetam a confidencialidade ou a integridade dos dados do usuário.

Coordenação

Quando um incidente é relatado, o responsável responde e avalia a natureza do relatório do incidente para determinar se ele representa um possível incidente de dados e inicia o processo de resposta a incidentes do Google.

Uma vez confirmado, o incidente é entregue a um comandante de incidente que avalia a natureza do problema e implementa uma abordagem coordenada para a resposta. Nesse cenário, a resposta inclui a conclusão da avaliação da triagem do incidente, ajustando sua gravidade, se for preciso, e ativando a equipe de resposta a incidentes necessária com chefes operacionais/técnicos apropriados que revisem os fatos e identifiquem as principais áreas que requerem investigação. Nomeamos um responsável por produtos e um responsável jurídico para tomar decisões importantes sobre como responder. O comandante do incidente atribui a responsabilidade pela investigação e os fatos são reunidos.

Muitos aspectos da resposta do Google dependem da avaliação da gravidade, que é baseada em fatos importantes, coletados e analisados pela equipe de resposta a incidentes. Esses fatos podem incluir:

  • potencial para prejudicar clientes, terceiros e o Google;

  • natureza do incidente, por exemplo, se os dados foram potencialmente destruídos, acessados ou se tornaram indisponíveis;

  • tipo de dados que podem ser afetados;

  • efeito do incidente na utilização do serviço por parte dos clientes;

  • status do incidente, por exemplo, se o incidente é isolado, contínuo ou contido.

O comandante do incidente e outros responsáveis reavaliam periodicamente esses fatores ao longo do trabalho de resposta, à medida que novas informações evoluem, para garantir que a resposta do Google receba os recursos e a urgência apropriados. É atribuída maior gravidade aos eventos que apresentam impactos mais críticos. Um responsável pelas comunicações é nomeado para desenvolver um plano de comunicação com outros responsáveis.

Resolução

Nesse estágio, o foco está na investigação da causa raiz, limitando o impacto do incidente, resolvendo possíveis riscos de segurança imediatos, implementando as correções necessárias como parte da remediação e recuperando os sistemas, dados e serviços afetados.

Os dados afetados serão restaurados ao estado original, sempre que possível. Dependendo do que é razoável e necessário em um incidente específico, o Google pode adotar várias medidas diferentes para resolver um incidente. Por exemplo, pode haver necessidade de investigação técnica ou forense para reconstruir a causa raiz de um problema ou identificar qualquer efeito nos dados do cliente. O Google pode tentar recuperar cópias dos dados das cópias de backup do Google se os dados forem alterados ou destruídos indevidamente.

Um aspecto importante da remediação é notificar os clientes quando os incidentes afetarem os dados deles. Os principais fatos são avaliados ao longo do incidente para determinar se o incidente afetou os dados. Se for apropriado notificar os clientes, o comandante do incidente inicia o processo de notificação. O responsável pelas comunicações desenvolve um plano de comunicação com informações do produto e dos responsáveis jurídicos, informa as pessoas afetadas e aceita as solicitações dos clientes após a notificação, com a ajuda da nossa equipe de suporte.

O Google se esforça para fornecer notificações imediatas, claras e precisas contendo os detalhes conhecidos do incidente de dados, medidas adotadas pelo Google para reduzir os possíveis riscos e ações que o Google recomenda que os clientes realizem para resolver o incidente. Fazemos o melhor possível para fornecer uma imagem clara do incidente, para que os clientes possam avaliar e cumprir as próprias obrigações de notificação.

Fechamento

Após a correção e resolução bem-sucedida de um incidente de dados, a equipe de resposta a incidentes avalia as lições aprendidas do incidente. Quando o incidente levanta questões críticas, o comandante do incidente pode iniciar uma análise post mortem. Durante esse processo, a equipe de resposta a incidentes analisa as causas do incidente e a resposta do Google e identifica as principais áreas de melhoria. Em alguns casos, isso pode exigir discussões com diferentes equipes de produtos, engenharia e operações e o trabalho de aprimoramento de produtos. Se for necessário um trabalho de acompanhamento, a equipe de resposta a incidentes desenvolve um plano de ação para concluir esse trabalho e designa gerentes de projeto para liderar o esforço de longo prazo. O incidente é encerrado após a conclusão dos trabalhos de remediação.

Melhoria contínua

No Google, nos esforçamos para aprender com os incidentes individualmente e implementar medidas preventivas para evitar incidentes futuros.

Os insights acionáveis da análise de incidentes nos permitem aprimorar nossas ferramentas, treinamentos e processos, o programa geral de proteção de dados de segurança e privacidade do Google, as políticas de segurança e/ou os trabalhos de resposta. Os principais aprendizados também facilitam a priorização dos trabalhos de engenharia e a construção de melhores produtos.

Os profissionais de segurança e privacidade do Google aprimoram o programa de segurança revisando os planos de segurança da empresa para todas as redes, sistemas e serviços e fornecendo serviços de consultoria específicos para projetos para equipes de produtos e engenharia. Eles implantam machine learning, análise de dados e outras técnicas inovadoras para monitorar atividades suspeitas nas redes do Google, abordar ameaças à segurança de informações, realizar avaliações e auditorias de segurança de rotina e envolver especialistas externos para realizar avaliações de segurança regulares. Além disso, o objetivo da nossa equipe em tempo integral, conhecida como "Projeto Zero", é impedir ataques direcionados, relatando bugs a fornecedores de software e arquivando-os em um banco de dados externo.

O Google realiza treinamentos regulares e campanhas de conscientização para promover a inovação em segurança e privacidade de dados. A equipe dedicada de resposta a incidentes é treinada em análise forense e no manuseio de provas, incluindo o uso de ferramentas proprietárias e de terceiros. O teste de processos e procedimentos de resposta a incidentes é realizado para as principais áreas, como sistemas que armazenam informações confidenciais de clientes. Esses testes consideram uma variedade de cenários, incluindo ameaças internas e vulnerabilidades de software, e nos preparam para enfrentar incidentes de segurança e privacidade.

Os processos do Google são testados regularmente como parte de nossos programas ISO-27017, ISO-27018, ISO-27001, PCI-DSS, SOC 2 e FedRAMP para fornecer aos nossos clientes e regulamentadores uma verificação independente dos nossos controles de segurança, privacidade e conformidade. Uma lista mais abrangente de certificações de terceiros do Google Cloud está disponível aqui.

Resumo

Conforme detalhado acima, o Google opera um programa de resposta a incidentes de classe mundial que oferece estas funções principais:

  • Um processo baseado nas técnicas líderes do setor para resolver incidentes, e refinado para operar de maneira eficiente na escala do Google.

  • Pioneirismo em sistemas de monitoramento, análise de dados e serviços de machine learning para detectar e conter incidentes de maneira proativa.

  • Especialistas dedicados no objeto em questão, que podem ser organizados para responder a qualquer tipo ou tamanho de incidente de dados.

  • Um processo maduro para notificar prontamente os clientes afetados, de acordo com os compromissos do Google, descritos em nossos termos de serviço e contratos com clientes.

A proteção dos dados é fundamental para os negócios do Google. Investimos continuamente em nosso programa geral de segurança, recursos e experiência. Por esse motivo, temos a confiança de nossos clientes para responder com eficácia em caso de incidente, proteger seus dados e manter a alta confiabilidade que os clientes esperam de um serviço do Google.