Panoramica della localizzazione dei dati

Panoramica

Questa pagina spiega come utilizzare Cloud SQL per applicare i requisiti di residenza dei dati.

Per risorsa dei dati si intende la posizione fisica dei dati e le normative locali che regolano le modalità di archiviazione, crittografia e accesso a tali dati. Con l'evolversi della protezione dei dati e delle normative sulla privacy dei paesi, è sempre più importante comprendere come rispettare i requisiti locali di residenza dei dati e proteggere i dati degli utenti.

In un ambiente on-premise tradizionale, vari componenti integrano e gestiscono la residenza dei dati. Ad esempio, un'azienda può ospitare un gateway di tokenizzazione come CASB (Cloud Access Security Broker) per proteggere i dati dell'applicazione prima che vengano trasmessi all'estero.

Google Cloud e i suoi servizi, tra cui Cloud SQL, si integrano per aiutarti a gestire la residenza dei dati controllando la posizione dei tuoi dati e l'accesso a questi dati, da parte di Google o di chiunque.

Residenza dei dati nel cloud computing

Di seguito sono elencati alcuni problemi di residenza dei dati che dovresti conoscere:

  • Se gli amministratori del cloud di un'azienda non conoscono la posizione fisica dei dati, non conoscono le normative locali. Per poter eseguire ricerche sui criteri di residenza dei dati per ciascuna località, gli amministratori devono sapere dove si trovano i data center.
  • Gli amministratori e i provider cloud dell'azienda possono utilizzare gli accordi sul livello del servizio (SLA) per stabilire le località consentite. Tuttavia, cosa succede se devi archiviare i dati in una regione diversa dai termini dello SLA?
  • Gli utenti devono garantire che i propri dati e tutti i servizi e le risorse che utilizzano nei loro progetti cloud rispettino le normative sulla residenza dei dati del paese host.
    • Cosa devi fare per decidere dove archiviare i tuoi dati e le chiavi di crittografia?
    • Cosa succede se vuoi determinare le località da cui gli utenti possono accedere ai tuoi dati?

I servizi Google Cloud, incluso Cloud SQL, risolvono alcuni di questi problemi permettendoti di:

  • Imposta la posizione di archiviazione dei dati. Puoi selezionare la regione quando crei l'istanza Cloud SQL oppure modificare la regione modificando un'istanza esistente.
  • Utilizza la funzionalità di replica di lettura tra regioni per Cloud SQL per soddisfare gli standard di residenza dei dati per una regione designata.
  • Controlla le posizioni di rete in cui gli utenti possono accedere ai dati, nonché controlla l'accesso a questi dati da parte degli amministratori cloud.

Cloud SQL può aiutarti ad affrontare le sfide relative alla residenza dei dati in tre aree:

Archiviare dati

La residenza dei dati comporta l'archiviazione delle informazioni che consentono l'identificazione personale (PII) all'interno di una determinata regione, dove i dati vengono trattati in conformità con le normative di tale regione.

Per archiviare i dati, devi soddisfare i requisiti legali e normativi di un paese, come le leggi sulla località dei dati. Ad esempio, un paese potrebbe autorizzare l'archiviazione di tutti i dati governativi. Oppure, un'azienda potrebbe essere contrattualmente obbligata ad archiviare i dati di alcuni dei suoi clienti in un paese diverso. Pertanto, un'azienda deve soddisfare i requisiti di residenza dei dati del paese in cui sono archiviati i dati.

Con Google Cloud puoi configurare la posizione in cui sono archiviati i dati, anche nei backup. Ciò include la possibilità di scegliere le regioni in cui archiviare i dati. Quando scegli di configurare risorse in queste regioni per Cloud SQL, Google archivia i dati at-rest solo in queste regioni, in base ai nostri Termini specifici dei servizi. Puoi selezionare la regione quando crei l'istanza oppure modificare la regione modificando un'istanza esistente.

Per ulteriori informazioni sulle posizioni di backup, consulta Posizioni di backup personalizzate.

Puoi utilizzare i vincoli dei criteri dell'organizzazione per applicare i requisiti di residenza dei dati a livello di organizzazione, progetto o cartella. Questi vincoli consentono di definire le località Google Cloud in cui gli utenti possono creare risorse per i servizi supportati. Per la residenza dei dati, puoi limitare la località fisica di una nuova risorsa con il vincolo delle località delle risorse. Puoi anche ottimizzare i criteri per un vincolo per specificare più regioni come asia e europe oppure regioni come us-east1 o europe-west1 come località consentite o negate.

Se si verifica un'interruzione in una regione Google Cloud, puoi evitare l'impatto utilizzando la funzionalità di replica di lettura tra regioni per Cloud SQL. Nell'ambito della creazione di una replica di lettura, devi scegliere la regione per la replica. Assicurati di scegliere una regione conforme alle normative sulla residenza dei dati. Di conseguenza, gli standard di residenza dei dati vengono soddisfatti nella regione selezionata.

Quando crei la replica, crei una copia dell'istanza del database principale che riflette le modifiche all'istanza principale quasi in tempo reale. Se si verifica un errore, puoi promuovere la replica di lettura su un'istanza principale.

I Controlli di servizio VPC consentono di applicare la residenza dei dati consentendo di limitare l'utilizzo delle API Cloud SQL per importare ed esportare i dati utilizzando l'API Cloud SQL Admin o l'API Cloud Storage. Questa limitazione contribuisce a garantire che i dati rimangano all'interno delle località di rete selezionate. Con i Controlli di servizio VPC, crei un perimetro di servizio che definisca i confini virtuali da cui è possibile accedere a un servizio, per impedire che i dati vengano spostati al di fuori di questi confini. Puoi applicare questo vincolo anche se l'utente è autorizzato in base al tuo criterio Google Cloud IAM.

Cripta i dati

I servizi Google Cloud, tra cui Cloud SQL, criptano i contenuti at-rest e in transito dei clienti utilizzando vari metodi di crittografia. La crittografia è automatica e non è richiesta alcuna azione da parte del cliente.

Cloud SQL ti consente anche di aggiungere un ulteriore livello di crittografia ai dati utilizzando chiavi di crittografia gestite dal cliente (CMEK). Le CMEK sono destinate alle organizzazioni con dati sensibili o regolamentati che richiedono di gestire le proprie chiavi di crittografia. La funzionalità CMEK ti consente di utilizzare le tue chiavi crittografiche per i dati at-rest in Cloud SQL. Dopo aver aggiunto una CMEK, ogni volta che viene effettuata una chiamata API, Cloud SQL utilizza le tue chiavi per accedere ai dati.

Se vuoi archiviare la tua CMEK nelle regioni in cui esegui il deployment dei servizi, puoi utilizzare Cloud Key Management Service (Cloud KMS). Puoi impostare la posizione della chiave quando la crei. In alternativa, per archiviare le chiavi in un modulo di sicurezza hardware (HSM) fisico situato nella regione scelta, utilizza Cloud HSM.

Un altro modo per scegliere dove archiviare la CMEK è utilizzare un prodotto di terze parti. Per archiviare e gestire le chiavi in un prodotto di gestione delle chiavi di terze parti di cui è stato eseguito il deployment al di fuori dell'infrastruttura di Google, puoi utilizzare Cloud External Key Manager (Cloud EKM).

Accedi ai dati

Con Cloud SQL, puoi controllare quali utenti possono accedere ai tuoi dati.

L'autenticazione del database IAM (Identity and Access Management) di Cloud SQL fornisce un'unica interfaccia che consente di monitorare e gestire meglio l'accesso al database per utenti e account di servizio. Di conseguenza, puoi gestire centralmente i dati nelle tue risorse cloud.

Configurando l'autenticazione IAM del database Cloud SQL, puoi controllare l'accesso degli utenti ai tuoi dati in Cloud SQL definendo chi ha accesso ai tuoi dati. Per configurare l'istanza di database, concedi l'accesso agli utenti aggiungendo gli utenti IAM come utenti dell'istanza. Questi utenti possono accedere ai database Cloud SQL utilizzando l'autenticazione IAM del database Cloud SQL.

Per enable o disattivare i servizi per gruppi di utenti, puoi combinare i vincoli dei criteri dell'organizzazione utilizzando le configurazioni dei criteri IAM. Questa funzionalità impedisce ai tuoi dipendenti di archiviare accidentalmente dati nella regione Google Cloud sbagliata.

Per controllare l'accesso di Google al personale tecnico e di assistenza, utilizza Access Approval. Access Approval ti consente di richiedere ai dipendenti Google di ottenere la tua approvazione esplicita prima che accedano ai tuoi dati o alle tue configurazioni su Google Cloud (per le esclusioni, consulta Esclusioni di Access Approval).

Access Approval integra la visibilità fornita da Access Transparency, che genera log di controllo quasi in tempo reale quando gli amministratori Google interagiscono con i tuoi dati. Gli audit log includono la posizione dell'ufficio dell'amministratore e il motivo dell'accesso. Puoi anche applicare attributi specifici per gli amministratori che hanno accesso ai tuoi dati o alle tue configurazioni, tra cui la loro regione geografica e altri attributi pertinenti per la conformità.

Key Access Justifications si integrano con Cloud KMS e Cloud EKM. Ogni volta che viene richiesta una delle tue chiavi per criptare o decriptare i dati, Key Access Justifications fornisce una giustificazione dettagliata, insieme a un meccanismo per approvare o negare l'accesso alle chiavi utilizzando un criterio automatizzato che hai impostato.

Utilizzando le autorizzazioni IAM, Access Approval, Access Transparency e Key Access Justifications con Cloud KMS e Cloud EKM, puoi negare a Google la possibilità di decriptare i tuoi dati. Di conseguenza, sei tu ad arbitrare l'accesso ai tuoi dati.

Passaggi successivi