Présentation de la résidence des données

Présentation

Cette page explique comment utiliser Cloud SQL pour appliquer les exigences de résidence des données.

La résidence des données fait référence à l'emplacement physique des données et aux réglementations locales qui régissent la manière dont vous stockez, chiffrez et accédez à ces données. À mesure que les protections de données et les règles de confidentialité des pays évoluent, il est de plus en plus important de savoir comment respecter les exigences de résidence des données locales et protéger les données de vos utilisateurs.

Dans un environnement sur site classique, divers composants intègrent et gèrent la résidence des données. Par exemple, une entreprise peut héberger une passerelle de tokenisation en tant qu'agent de sécurité des accès au cloud (Cloud Access Security Broker, CASB) pour sécuriser les données d'application avant leur transmission à l'étranger.

Google Cloud et ses services, y compris Cloud SQL, s'intègrent pour vous aider à gérer la résidence des données en contrôlant l'emplacement de vos données et l'accès à celles-ci, par Google ou par tout le monde.

Résidence des données dans le cloud computing

La liste suivante répertorie certains problèmes de résidence des données que vous devez connaître :

  • Si les administrateurs cloud d'une entreprise ne connaissent pas l'emplacement physique des données, ils ne connaissent pas non plus la réglementation locale. Pour pouvoir rechercher les règles de résidence des données pour chaque emplacement, les utilisateurs doivent savoir où se trouvent les centres de données.
  • Les administrateurs et les fournisseurs cloud de l'entreprise peuvent utiliser des contrats de niveau de service pour établir les emplacements autorisés. Mais que se passe-t-il si vous devez stocker vos données dans une région différente de celle stipulée dans les conditions du contrat de niveau de service ?
  • Les utilisateurs doivent s'assurer que leurs données, ainsi que tous les services et ressources qu'ils utilisent dans leurs projets cloud, respectent les réglementations concernant la résidence des données du pays hôte.
    • Que faites-vous si vous souhaitez décider où stocker vos données et vos clés de chiffrement ?
    • Que se passe-t-il si vous souhaitez déterminer à quel endroit les utilisateurs peuvent accéder à vos données ?

Les services Google Cloud, y compris Cloud SQL, permettent de résoudre certains de ces problèmes en vous autorisant à :

  • Définir l'emplacement de stockage de vos données. Vous pouvez sélectionner la région lorsque vous créez votre instance Cloud SQL, ou modifier la région en modifiant une instance existante.
  • Utiliser la fonctionnalité d'instances dupliquées interrégionales avec accès en lecture pour Cloud SQL afin de vous assurer que vous respectez les normes de résidence des données pour une région désignée.
  • Contrôler les emplacements réseau où les utilisateurs peuvent accéder aux données, et contrôler l'accès des administrateurs cloud à ces données.

Cloud SQL peut vous aider à répondre aux défis de la résidence des données dans trois domaines :

Stocker des données

La résidence des données implique le stockage d'informations personnelles dans une région spécifique où elles sont traitées conformément aux réglementations de cette région.

Pour stocker des données, vous devez répondre aux exigences légales et réglementaires d'un pays, telles que les lois sur la localisation des données. Par exemple, un pays peut imposer le stockage de données gouvernementales dans le pays en question. Une entreprise peut également être contractuellement tenue de stocker les données de certains de ses clients dans un autre pays. Par conséquent, une entreprise doit répondre aux exigences de résidence des données du pays où les données sont stockées.

Avec Google Cloud, vous pouvez configurer l'emplacement de stockage de vos données, y compris sur les sauvegardes. Cela vous permet de choisir les régions dans lesquelles vous stockez vos données. Lorsque vous choisissez de configurer des ressources dans ces régions pour Cloud SQL, Google stocke vos données au repos uniquement dans ces régions, conformément à nos conditions spécifiques au service. Vous pouvez sélectionner la région lorsque vous créez l'instance, ou modifier la région en modifiant une instance existante.

Pour en savoir plus sur les emplacements de sauvegarde, consultez la section Emplacements de sauvegarde personnalisés.

Les contraintes de règle d'administration vous permettent d'appliquer les exigences de résidence des données au niveau de l'organisation, du projet ou du dossier. Ces contraintes vous permettent de définir les emplacements Google Cloud autorisés dans lesquels les utilisateurs peuvent créer des ressources pour les services compatibles. Pour la résidence des données, vous pouvez limiter l'emplacement physique d'une nouvelle ressource à l'aide de la contrainte des emplacements de ressources. Vous pouvez également affiner les règles d'une contrainte afin de spécifier des emplacements multirégionaux tels que asia et europe, ou des régions telles que us-east1 ou europe-west1 comme emplacements autorisés ou refusés.

En cas de panne dans une région Google Cloud, vous pouvez limiter son impact en utilisant la fonctionnalité d'instance dupliquée interrégionale avec accès en lecture pour Cloud SQL. Lors de la création d'une instance dupliquée avec accès en lecture, vous devez choisir la région pour l'instance dupliquée. Assurez-vous de choisir une région conforme aux réglementations concernant la résidence des données. Les normes de résidence des données sont ainsi respectées dans la région sélectionnée.

Lorsque vous créez l'instance dupliquée, vous créez une copie de votre instance de base de données principale qui reflète quasiment en temps réel les modifications apportées à l'instance principale. En cas d'échec, vous pouvez promouvoir l'instance dupliquée avec accès en lecture en instance principale.

VPC Service Controls vous aide à appliquer la résidence des données en vous permettant de limiter l'utilisation des API Cloud SQL pour importer et exporter des données à l'aide de l'API Cloud SQL Admin ou de l'API Cloud Storage. Cette restriction permet de garantir que les données restent dans les emplacements réseau que vous avez sélectionnés. À l'aide de VPC Service Controls, vous pouvez créer un périmètre de service qui définit les limites virtuelles depuis lesquelles un service est accessible, ce qui empêche le déplacement des données en dehors de ces limites. Vous pouvez appliquer cette contrainte même si l'utilisateur dispose d'autorisations conformément à votre stratégie IAM Google Cloud.

Chiffrer des données

Les services Google Cloud, y compris Cloud SQL, chiffrent les données du client au repos et en transit à l'aide de diverses méthodes de chiffrement. Le chiffrement est automatique et ne requiert aucune action de la part du client.

Cloud SQL vous permet également d'ajouter une autre couche de chiffrement aux données à l'aide de clés de chiffrement gérées par le client (CMEK). La fonctionnalité CMEK est destinée aux organisations qui traitent des données sensibles ou réglementées pour lesquelles elles doivent gérer leurs propres clés de chiffrement. La fonctionnalité CMEK vous permet d'utiliser vos propres clés cryptographiques pour les données au repos dans Cloud SQL. Après avoir ajouté CMEK, chaque fois qu'un appel d'API est effectué, Cloud SQL utilise vos clés pour accéder aux données.

Si vous souhaitez stocker votre clé CMEK dans les régions où vous déployez vos services, vous pouvez utiliser Cloud Key Management Service (Cloud KMS). Vous définissez l'emplacement de la clé lors de sa création. Vous pouvez également stocker ces clés dans un module de sécurité matériel (HSM) physique situé dans la région de votre choix à l'aide de Cloud HSM.

Pour choisir l'emplacement de stockage de votre clé CMEK, vous pouvez également utiliser un produit tiers. Pour stocker et gérer des clés dans un produit de gestion de clés tiers déployé hors de l'infrastructure Google, vous pouvez utiliser Cloud External Key Manager (Cloud EKM).

Accéder aux données

Cloud SQL vous permet de contrôler quels utilisateurs peuvent accéder à vos données.

Pour contrôler l'accès de Google au personnel d'assistance et aux ingénieurs, utilisez Access Approval. Avec Access Approval, vous pouvez demander aux employés de Google d'obtenir votre approbation explicite avant d'accéder à vos données ou configurations dans Google Cloud (pour connaître les exclusions, consultez la section Exclusions Access Approval).

Access Approval complète la visibilité fournie par Access Transparency, qui génère des journaux d'audit quasiment en temps réel lorsque les administrateurs Google interagissent avec vos données. Les journaux d'audit indiquent l'emplacement du bureau de l'administrateur et le motif de l'accès. Vous pouvez également appliquer des attributs spécifiques aux administrateurs qui ont accès à vos données ou à vos configurations, y compris leur région géographique et d'autres attributs pertinents en termes de conformité.

Key Access Justifications s'intègre à Cloud KMS et à Cloud EKM. Chaque fois que l'une de vos clés est demandée pour chiffrer ou déchiffrer des données, Key Access Justifications fournit une justification détaillée, ainsi qu'un mécanisme vous permettant d'approuver ou de refuser l'accès aux clés à l'aide d'une règle automatique que vous avez définie.

Grâce à Access Approval, Access Transparency et Key Access Justifications avec Cloud KMS et Cloud EKM, vous pouvez refuser à Google la possibilité de déchiffrer vos données. Par conséquent, vous êtes l'arbitre de l'accès à vos données.

Étapes suivantes