Centro risorse per la gestione del rischio di terze parti

Google Cloud può coinvolgere terze parti (subcontraenti) per svolgere attività specifiche in relazione ai servizi Google Cloud. Questi subappaltatori sono monitorati e gestiti tramite il programma di gestione dei rischi di terze parti (TPRM) di Google Cloud, progettato per garantire che gli impegni con qualsiasi subcontraente soddisfino gli elevati standard di sicurezza, conformità ed efficienza operativa di Google Cloud.

Il programma TPRM di Google Cloud adotta un approccio basato sul rischio per identificare, valutare, gestire e monitorare le terze parti in modo proporzionale al livello di rischio che queste comportano. Le terze parti che forniscono servizi importanti sono trattate con una governance e una supervisione più elevate. In particolare, il programma TPRM distingue tra i subcontraenti che trattano i dati dei clienti (sub-responsabili) e quelli che non lo fanno. Il contenuto che segue descrive le attività di gestione del rischio di terze parti di Google Cloud in ogni fase del ciclo di vita di un subcontraente.

Il programma TPRM di Google Cloud è governato e gestito dall'organizzazione Cloud Chief Information Security Officer (CISO) ed è supportato dal programma aziendale di Google per la gestione dei rischi esterni, dalle organizzazioni di approvvigionamento, gestione fornitori, dai team di rischio e conformità, e dal team legale per garantire una gestione appropriata del rischio delle terze parti in tutta l'organizzazione. 

Prima di coinvolgere una terza parte, il programma TPRM di Google Cloud richiede di completare una valutazione per la sua classificazione e determinare il livello di rischio rappresentato dai suoi servizi. Il livello di rischio viene utilizzato per definire i requisiti per la due diligence, la stipula dei contratti e l'onboarding, nonché per il monitoraggio continuo. In questa fase viene valutato il rischio di concentrazione complessivo per determinare l'impatto dell'onboarding di un nuovo subcontraente in Google Cloud.

I team di Google Cloud che eseguono l'onboarding dei subcontraenti seguono procedure definite per stipulare contratti appropriati con i subcontraenti prima dell'inizio dei servizi. Questi contratti affrontano i rigorosi requisiti di sicurezza, privacy e conformità di Google Cloud, nonché i nostri obblighi nei confronti dei clienti in merito ai subcontraenti. 

Gli SLA, i KPI o altre metriche sul rendimento sono definiti contrattualmente e vengono sviluppate strategie di rendimento per i subcontraenti per garantire che il monitoraggio del rendimento venga effettuato su base continuativa.

Una volta completato l'onboarding, i subcontraenti vengono monitorati continuamente dai team Google Cloud pertinenti in varie dimensioni relative a prestazioni e gestione dei rischi. Il rendimento viene gestito formalmente almeno trimestralmente attraverso indicatori chiave di prestazione (KPI) definiti e riunioni di analisi economica trimestrale (QBR). 

Mentre le analisi del rischio (simili ai test di due diligence) vengono condotte su base annuale, i subcontraenti sono monitorati continuamente per rilevare potenziali cambiamenti nella postura del rischio che potrebbero richiedere un'ulteriore valutazione. 

In caso di modifiche al tipo di servizio o alla località di un subcontraente esistente, Google Cloud informerà i clienti entro i tempi concordati contrattualmente. 

Tutti gli incidenti identificati da Google Cloud durante il monitoraggio vengono tracciati, gestiti e risolti attraverso un programma centrale di gestione degli incidenti che riunisce un team cross-funzionale di esperti in un formato di team dedicato per garantire l'indagine, la correzione e la comunicazione proattiva in modo tempestivo. Ulteriori informazioni sono disponibili sul processo di risposta agli incidenti relativi ai dati di Google Cloud.

Google Cloud comprende l'importanza della continuità del servizio per il successo dei clienti e dispone di controlli interni completi per proteggerla.

Google Cloud effettua regolarmente test del programma di continuità operativa dei nostri subcontraenti per identificare potenziali rischi e sviluppare strategie per mitigarne l'impatto. Il rendimento dei subcontraenti, rispetto ai contratti, viene monitorato regolarmente per mantenere la qualità del servizio entro i limiti degli indicatori chiave di prestazione (KPI) definiti.

I dati del cliente sono tuoi, non di Google. Trattiamo i dati dei clienti solo in base alle tue istruzioni e non determiniamo gli scopi o i mezzi essenziali di questo trattamento. Siamo quindi un responsabile del trattamento dei dati dei clienti, non un titolare o un contitolare del trattamento.

Google si avvale di sub-responsabili per svolgere attività limitate in relazione ai servizi Google Cloud, come i servizi di assistenza tecnica. Come da Addendum per il trattamento dei dati Cloud, Google si impegna nei confronti dei clienti a stipulare accordi scritti con i sub-responsabili che contengano determinate protezioni. Google si assicurerà tramite questo accordo che:

Google conduce un controllo delle Norme di tutela della privacy e della sicurezza adottate dal sub-responsabile per assicurare che questo fornisca un livello di sicurezza e privacy consono all'accesso ai dati e alla portata dei servizi per cui viene incaricato. 

Dopo che Google ha valutato i rischi presentati dal sub-responsabile, quest'ultimo dovrà sottoscrivere dei termini contrattuali consoni in merito alla sicurezza, alla riservatezza e alla privacy. In particolare, Google si assicurerà tramite il contratto che il sub-responsabile acceda ai dati dei clienti solo nella misura necessaria per svolgere la sua attività limitata e che ogni accesso avvenga in conformità ai termini di protezione dei dati di Google Cloud. 

Per maggiori informazioni sulle offerte di Google Cloud in materia di privacy, consulta il Centro risorse per la privacy.