Central de recursos de gerenciamento de risco de terceiros

O Google Cloud pode contratar terceiros (subcontratados) para realizar atividades específicas relacionadas aos serviços do Google Cloud. Esses subcontratados são monitorados e gerenciados pelo programa de gerenciamento de riscos de terceiros (TPRM, na sigla em inglês) do Google Cloud, que foi criado para garantir que os contratos com qualquer subcontratado mantenham os altos padrões de segurança, compliance e eficiência operacional do Google Cloud.

O programa TPRM do Google Cloud adota uma abordagem baseada em riscos para identificar, avaliar, gerenciar e monitorar terceiros de acordo com o nível de risco que eles representam. Terceiros que fornecem serviços importantes são tratados com governança e supervisão reforçadas. Em particular, o programa TPRM distingue entre subcontratados que processam dados do cliente (subprocessadores) e aqueles que não processam. O conteúdo abaixo descreve as atividades de gerenciamento de riscos de terceiros do Google Cloud em cada fase do ciclo de vida de um subcontratado.

O programa de TPRM do Google Cloud é governado e gerenciado pela organização do Chief Information Security Officer (CISO) do Cloud e tem o suporte do programa corporativo de gerenciamento de riscos de terceiros do Google, de aquisição, de organizações de gerenciamento de fornecedores, de risco e compliance e de equipes jurídicas para garantir o gerenciamento adequado de riscos de terceiros em toda a organização. 

Antes de contratar um terceiro, o programa de gerenciamento de riscos de terceiros (TPRM, na sigla em inglês) do Google Cloud exige que uma avaliação seja concluída para classificar o terceiro e determinar o nível de risco representado pelo serviço. O nível de risco é usado para definir requisitos de auditoria, contratação e integração, além de monitoramento contínuo. Nessa etapa, o risco de concentração geral é avaliado para determinar o impacto da integração de um novo subcontratado ao Google Cloud.

As equipes do Google Cloud que fazem a integração de subcontratados seguem processos definidos para executar os contratos apropriados com os subcontratados antes do início dos serviços. Esses contratos abordam os requisitos robustos de segurança, privacidade e conformidade do Google Cloud, bem como nossas obrigações para com os clientes sobre subcontratados. 

SLAs, KPIs ou outras métricas de desempenho são definidos contratualmente e estratégias de desempenho são desenvolvidas para subcontratados para garantir que o monitoramento de desempenho seja realizado de forma contínua.

Depois que os subcontratados são integrados, eles são monitorados continuamente pelas equipes relevantes do Google Cloud em várias dimensões relacionadas ao desempenho e gerenciamento de riscos. O desempenho é gerenciado formalmente a cada trimestre (no mínimo) por meio de indicadores principais de desempenho (KPIs) definidos e reuniões de revisão trimestral de negócios (QBR). 

As avaliações de risco (semelhantes às avaliações de auditoria de situação financeira) são realizadas anualmente, mas os subcontratados são monitorados de modo contínuo para detectar possíveis mudanças na postura de risco que possam justificar uma avaliação mais aprofundada. 

Se houver uma mudança no tipo de serviço ou no local de um subcontratado, o Google Cloud informará os clientes dentro dos prazos acordados no contrato. 

Os incidentes identificados pelo Google Cloud durante o monitoramento são rastreados, gerenciados e resolvidos por um programa central de gerenciamento de incidentes que reúne uma equipe multifuncional de especialistas em um formato dedicado para garantir a investigação, correção e comunicação proativa em tempo hábil. Saiba mais sobre o processo de resposta a incidentes de dados do Google Cloud.

O Google Cloud entende a importância da continuidade do serviço para o sucesso dos clientes e tem controles internos abrangentes para protegê-la.

O Google Cloud faz avaliações regulares do programa de continuidade de negócios dos nossos subcontratados para identificar possíveis riscos e desenvolver estratégias para mitigar o impacto deles. O desempenho do Subcontratado, em relação aos contratos, é monitorado regularmente para manter a qualidade do serviço dentro dos indicadores principais de desempenho (KPIs) definidos.

Os dados do cliente são seus, e não do Google. Processamos os dados do cliente apenas de acordo com suas instruções e não determinamos os propósitos ou os meios essenciais desse processamento. Portanto, somos um processador de dados do cliente, e não um controlador ou um controlador conjunto.

O Google usa Subprocessadores para realizar atividades limitadas relacionadas aos serviços do Google Cloud, como serviços de suporte técnico. De acordo com nosso Aditivo sobre tratamento de dados do Cloud, o Google se compromete com os clientes a incluir certas proteções nos contratos escritos com os subprocessadores. O Google vai garantir, por meio desse contrato, que:

O Google realiza uma auditoria das práticas de segurança e privacidade do Aubprocessador para garantir que ele ofereça um nível de segurança e privacidade adequado ao acesso aos dados e ao escopo dos serviços que ele precisa prestar. 

Depois que o Google avalia os riscos apresentados pelo Subprocessador, este precisa assinar termos de contratos de segurança, confidencialidade e privacidade adequados. Em particular, o Google vai garantir, por meio do contrato, que o Subprocessador acesse os dados do cliente apenas na medida necessária para realizar a atividade limitada e que todo acesso esteja de acordo com os termos de proteção de dados do Google Cloud. 

Para mais informações sobre as ofertas de privacidade do Google Cloud, consulte a Central de recursos de privacidade.