数据保护与合规性

Google Cloud 的安全模型、全球规模的基础架构以及独一无二的创新能力,可帮助您确保自己的企业安全且合规。基于对透明度和隐私权的承诺,我们详细介绍了 Google Cloud 的安全性、风险及合规性做法。

静态加密

对存储在磁盘上的数据或存储在存储设备和存储系统层的备份进行加密:Google Cloud 是首家默认采用此做法的大型云服务提供商。

部署完整性

帮助确保部署到 Google Cloud 生产环境的代码和配置得到正确的审核和授权。

特权访问权限

Google Cloud 管理人员可以访问存储在 Google Cloud 中的客户数据以进行查看或修改。

合规性

定期审核 Google Cloud 服务,以确保符合法规、机构标准和准则的要求。

详细信息

最后修改日期:2020 年 5 月 21 日

静态加密

静态加密是指对磁盘上存储的数据或备份进行加密。Google Cloud 是首家默认提供静态加密的大型云服务提供商,我们使用的多层方法包括对存储设备级和存储系统级的数据进行加密。

重要意义

静态加密可以防止数据存储在公有云中时泄露给未经授权的个人和系统。许多云服务提供商都提供了存储设备级加密,可以在物理设备受损的情况下保护您的数据,但 Google Cloud 还提供了存储系统级加密。这种加密方式使 Google Cloud 可以执行操作任务,例如备份数据,而无需让 Google Cloud 工程师或支持团队访问具体内容。

Google Cloud 的实现方法

Google 采用了多层加密措施来保护 Google Cloud 产品中的静态客户数据。

数据会拆分为区块进行存储,每个区块使用唯一的数据加密密钥 (DEK) 进行加密。这些 DEK 会与数据一起存储,并使用密钥加密密钥 (KEK) 进行加密(又称“封装”)。KEK 是在 Google 的集中式密钥管理服务 (KMS) 内存储和使用的专有密钥。Google 的密钥管理服务是一项具有冗余性的全球分布式服务。存储在 Google Cloud 中的数据在存储层采用 AES256 或 AES128 进行加密。

Google 使用通用加密库 Tink,在几乎所有 Google Cloud 产品中以一致的方式实现加密。这是一个广泛使用的通用加密库,因此只需一个小型密码学专家团队就能妥善实施和维护其受到严格控制和审查的代码。

如需了解详情,请参阅 Google Cloud Platform 中的静态数据加密白皮书。

产品套件

Cloud Storage

事实

我们的加密做法每年至少由外部审核人员进行一次审核。查看我们的 SOC 2 审核报告,以详细了解 Google Cloud 静态加密。

特权访问权限

对组织内的特权访问权限进行适当的管理有助于防止敏感数据意外泄露,同时可将未经授权的用户访问此数据的风险降到最低。

重要意义

将数据存储在公有云中时,您不仅应为您的人员执行适当的访问权限管理,而且还应了解云服务提供商如何确保其员工仅出于合法商业目的访问您的数据,这一点非常重要。云服务提供商应仅在客户的指示下访问此数据,以确保服务正常运行或履行法律义务。

Google Cloud 的实现方法

除加密外,Google Cloud 还结合了针对个人和服务帐号的强大身份机制、ACL 系统以及类似于 Binary Authorization 的内部控制措施,以确保对客户数据访问的正当性。为访问存储在 Access Transparency 集成服务中的数据,Google Cloud 还采用了其他技术控制措施,以确保为每次访问创建业务理由日志。此类访问会定期接受监控和审核。

观看此视频演示,详细了解如何最大限度地降低来自内部人员的风险。

产品套件
事实

在某些情况下,根据客户发起的事件(例如联系客户服务团队或报告对公开 G Suite 文档的滥用行为),Google 人员将主动访问客户数据。对于启用了 Access Transparency 的服务,我们会告知您 Google Cloud 人员何时访问您的客户数据。

部署完整性

部署完整性是指 Google Cloud 确保已正确审查和授权部署到其生产环境中、与客户数据交互的代码和配置的能力。适用于 Borg 的 Binary Authorization (BinAuthz) 是一项内部部署时强制执行检查,它可对 Google Cloud 上部署的正式版软件和配置进行适当审核和授权,尤其是在代码能够访问用户数据时。

重要意义

BinAuthz 可确保代码和配置部署满足特定的最低标准,还可用于非强制性审核模式,以便在不满足某些要求时发出警告。采用 BinAuthz 有助于 Google Cloud 降低内部风险、防止潜在的攻击,以及支持 Google Cloud 生产系统的统一性。特权访问权限管理着重于确保个人对数据的所有访问均已获得授权,而部署完整性可确保以编程方式对数据的访问已获得授权。此验证方式可确保以编程方式对客户数据进行的每次访问以及对生产环境的更改都会产生审核跟踪。

Google Cloud 的实现方法

我们的基础架构专为使用集群管理系统 Borg 的高可扩缩系统而设计。我们在多个集群中运行来自许多不同应用的数十万作业,每个集群包含多达数万台机器。因此,我们的生产环境完全同质化,支持更轻松地控制和审核访问用户数据的接触点。BinAuthz 提供了部署时强制执行服务以帮助阻止未经授权的作业启动,并且提供了审核跟踪功能以跟踪启用了 BinAuthz 的作业中使用的代码和配置。

阅读《适用于 Borg 的 Binary Authorization》白皮书
产品套件
事实

每项预览版或公开发布版 Google Cloud 服务都需要为具有客户数据访问权限的作业启用适用于 Borg 的 Binary Authorization。

符合的法规和标准

迁移到云端意味着,您可以保护敏感的工作负载,同时根据复杂的监管要求、机构标准和准则实现和维护合规性;不同地区和行业有不同的要求。这些要求可以由监管机构强制执行,也可以由可靠的标准组织制定。Google Cloud 为全球许多行业的客户提供支持,并且了解支持合规性需求的重要性,以帮助客户确保其能够顺利开展业务。Google Cloud 会定期接受安全性、隐私权和合规控制措施方面的独立验证,根据全球不同的标准获得认证、合规证明或审核报告。针对可能不要求提供或不会应用正式认证或证明的机构标准和法律,我们还创建了资源文档和映射。

查看所有符合的法规和标准
重要意义

我们了解您要求我们的产品接受安全性、隐私权和合规控制措施方面的独立验证,我们根据全球不同标准获得的认证、合规证明或审核报告有助于赢得您的信任。这意味着,我们在数据中心、基础架构以及运营流程中采用的控制措施均已通过独立审核机构的检验。这些认证包括在国际上获得最广泛认可的独立安全性标准,包括 ISO/IEC 27001 安全控制措施认证、ISO/IEC 27017 云安全性认证、ISO/IEC 27018 云隐私权认证,以及 AICPA SOC 1、2 和 3 认证。这些认证有助于我们满足如 CSA STAR 和 PCI-DSS 等行业标准以及许多其他地区性标准的要求。我们将继续在全球范围内扩充符合的法规和标准列表,以帮助客户履行合规义务。

Google Cloud 的实现方法

我们的服务会定期接受安全性、隐私权和合规控制措施方面的独立验证,根据全球不同的标准获得认证、合规证明或审核报告。我们每年都会评估即将推出正式版 (GA) 的服务,以将其纳入我们的主要审核周期。

如需详细了解我们如何满足特定法规和标准的要求,请访问合规报告管理器页面,查看一些主要合规标准的第三方审核报告。

产品套件
事实

需要正式证明或认证的合规标准全部由独立的第三方进行验证。

查看我们的第三方审核报告