Visão geral da residência de dados

Neste tópico, apresentamos uma visão geral de como aplicar os requisitos de residência de dados ao usar o Cloud SQL.

Residência de dados refere-se à localização física dos dados e às regulamentações locais que se aplicam aos dados.

Em um ambiente local tradicional, a residência de dados é integrada e processada por vários componentes. Por exemplo, uma empresa pode hospedar um gateway de tokenização como um agente de segurança do acesso à nuvem (CASB, na sigla em inglês) para proteger os dados do aplicativo antes que eles sejam transmitidos para o exterior. No Google Cloud, a residência de dados é processada por vários serviços do Google Cloud, incluindo o Cloud SQL.

É importante que o Google Cloud ofereça suporte à residência de dados, porque a região geográfica está se tornando cada vez mais relevante para a privacidade. Ao garantir o respeito pelas diferenças de privacidade regionais, a residência de dados ajuda a melhorar a privacidade regional dos clientes.

Residência de dados na computação em nuvem

Veja a seguir alguns problemas de residência de dados que você precisa conhecer:

  • Se os usuários de uma empresa não souberem a localização física dos dados, eles não saberão as regulamentações locais. Para pesquisar as políticas de residência de dados de cada local, os usuários precisam saber onde os data centers estão.
  • Os usuários e provedores da empresa podem usar contratos de nível de serviço (SLAs, na sigla em inglês) para estabelecer locais permitidos. No entanto, e se os dados precisarem ser armazenados em uma região diferente dos termos do SLA?
  • Os usuários precisam garantir que os dados e todos os serviços e recursos usados nos projetos na nuvem sigam as regulamentações de residência de dados do país host.
    • O que fazer se você quiser decidir onde armazenar os dados e as chaves de criptografia?
    • O que acontece se você quiser determinar os locais em que os usuários podem acessar os dados?

Os serviços do Google Cloud, incluindo o Cloud SQL, resolvem alguns desses problemas permitindo que você:

  • Defina o local de armazenamento dos dados. É possível selecionar a região ao criar sua instância do Cloud SQL ou editar a região editando uma instância atual.
  • Use o recurso de réplica de leitura entre regiões para o Cloud SQL para garantir que você atenda aos padrões de residência de dados de uma região designada.
  • Controle os locais de rede em que os usuários podem acessar dados, além de controlar o acesso dos administradores da nuvem a esses dados.

Os recursos anteriores do Cloud SQL permitem que você controle o local dos dados e o acesso a eles pelo Google ou por qualquer pessoa.

O Cloud SQL pode ajudar você a lidar com os desafios de residência de dados em três áreas:

Cada área é abordada com mais detalhes nas seções a seguir.

Como armazenar dados

A residência de dados envolve o armazenamento de informações de identificação pessoal (PII, na sigla em inglês) em uma determinada região, onde esses dados são processados de acordo com os regulamentos da região.

Parte do armazenamento de dados atende às demandas legais e regulatórias de um país, como as leis de localidade de dados. Por exemplo, um país pode exigir que todos os dados relacionados ao governo sejam armazenados nele. Ou ainda, uma empresa pode ter a obrigação contratual de armazenar dados de alguns clientes em um país diferente. Portanto, é fundamental atender aos requisitos de residência de dados do país em que os dados estão armazenados.

Com o Google Cloud, é possível configurar onde seus dados são armazenados, inclusive em backups. Isso significa que você pode escolher as regiões onde armazenar dados. Quando você opta por configurar recursos nessas regiões para o Cloud SQL, o Google armazena os dados em repouso somente nessas regiões, de acordo com nossos Termos específicos do serviço. É possível selecionar a região ao criar sua instância ou editá-la editando uma instância atual.

Para mais informações sobre locais de backup, consulte Locais de backup personalizados.

É possível usar restrições da política organizacional para impor requisitos de residência de dados no nível da organização, do projeto ou da pasta. Essas restrições permitem definir os locais do Google Cloud em que os usuários podem criar recursos para os serviços compatíveis. Para residência de dados, é possível limitar a localização física de um novo recurso com a restrição de locais de recursos. Também é possível ajustar as políticas de uma restrição para especificar várias regiões, como asia e europe, ou regiões como us-east1 ou europe-west1, como locais permitidos ou negados.

Se houver uma interrupção em uma região do Google Cloud, evite o impacto usando o recurso réplica de leitura entre regiões para o Cloud SQL. Como parte da criação de uma réplica de leitura, você precisa escolher a região da réplica. Escolha uma região que esteja em conformidade com os regulamentos de residência de dados. Como resultado, o Google Cloud garante que os padrões de residência de dados sejam atendidos na região selecionada.

Ao criar a réplica, você cria uma cópia da instância principal do banco de dados que reflete as alterações na principal quase em tempo real. Se houver uma falha, promova a réplica de leitura a uma instância principal.

Outro recurso que ajuda a aplicar a residência de dados é o VPC Service Controls. O VPC Service Controls permite restringir o uso das APIs Cloud SQL para importar e exportar dados usando a API Cloud SQL Admin ou a API Cloud Storage. Essa restrição garante que os dados permaneçam dentro dos locais de rede selecionados. Com o VPC Service Controls, é possível criar um perímetro de serviço que define os limites virtuais de onde um serviço pode ser acessado, evitando que os dados sejam movidos para além desses limites. É possível aplicar essa restrição mesmo se o usuário estiver autorizado de acordo com a política do Google Cloud IAM.

Como criptografar dados

Os serviços do Google Cloud, incluindo o Cloud SQL, criptografam o conteúdo em repouso e em trânsito do cliente usando vários métodos de criptografia. O processo de criptografia é automático, e nenhuma ação é necessária por parte do cliente.

O Cloud SQL também permite adicionar outra camada de criptografia aos dados usando chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês). As CMEKs são destinadas a organizações com dados confidenciais ou regulamentados que exigem o gerenciamento da própria chave de criptografia. Com o recurso de CMEK, você pode usar as chaves criptográficas pertencentes a você nos dados em repouso no Cloud SQL. Depois de adicionar as CMEK, sempre que uma chamada de API for feita, o Cloud SQL usará suas chaves para acessar dados.

Se você quiser que as CMEK sejam armazenadas nas regiões em que você implanta os serviços, use o Cloud Key Management Service (Cloud KMS). O local da chave é definido ao criá-la. Ou, para armazenar essas chaves em um módulo de segurança de hardware físico (HSM, na sigla em inglês) localizado na região escolhida, use o Cloud HSM.

Outra maneira de escolher onde armazenar as CMEK é usar um produto terceirizado. Para armazenar e gerenciar chaves em um produto de gerenciamento de chaves terceirizado que é implantado fora da infraestrutura do Google, use o Gerenciador de chaves externas do Cloud (Cloud EKM, na sigla em inglês).

Como acessar dados

Com o Cloud SQL, é possível controlar quais usuários podem acessar seus dados.

A autenticação de banco de dados do Cloud SQL Identity and Access Management (IAM) oferece uma interface única para ajudar você a monitorar e gerenciar melhor o acesso de usuários e contas de serviço a bancos de dados. Como resultado, é possível gerenciar os dados nos seus recursos de nuvem de forma centralizada.

Ao configurar a autenticação do banco de dados do Cloud SQL IAM, é possível controlar o acesso do usuário aos seus dados no Cloud SQL definindo quem tem qual tipo de acesso aos dados. Configure a instância de banco de dados e conceda acesso a indivíduos adicionando usuários do IAM como usuários na instância. Esses usuários podem fazer login em bancos de dados do Cloud SQL usando a autenticação de banco de dados do IAM do Cloud SQL.

Para ativar ou desativar serviços para conjuntos de usuários, você pode combinar restrições da política da organização usando as configurações da política do IAM. Esse recurso impede que seus funcionários armazenem dados acidentalmente na região errada do Google Cloud.

Para controlar o acesso da equipe de suporte e engenharia do Google, use a Aprovação de acesso. A aprovação de acesso permite que os funcionários do Google recebam aprovação explícita antes de acessar os dados ou configurações no Google Cloud. Para exclusões, consulte Exclusões da Aprovação de acesso.

A aprovação de acesso complementa a visibilidade fornecida pela Transparência no Acesso, que gera registros de auditoria quase em tempo real quando os administradores do Google interagem com os dados. Os registros de auditoria incluem o local do escritório do administrador e o motivo do acesso. Também é possível aplicar atributos específicos para administradores que têm permissão para acessar dados ou configurações, incluindo a região geográfica em que estão operando e outros atributos relevantes para a conformidade.

Por fim, as Justificativas de acesso às chaves funcionam perfeitamente com o Cloud KMS e o Cloud EKM. Cada vez que uma chave é solicitada para criptografar ou descriptografar dados, a justificativa de acesso a chaves fornece uma justificativa detalhada, além de um mecanismo para você aprovar ou negar o acesso a chaves usando uma política automatizada definida por você.

Ao usar as permissões do IAM, o Aprovação de acesso, a Transparência no Acesso e as Justificativas do acesso às chaves com o Cloud KMS e o Cloud EKM, é possível negar ao Google a capacidade de descriptografar seus dados. Como resultado, você é o árbitro do acesso aos seus dados.

Como reunir tudo

O Google Cloud e os serviços dele, incluindo o Cloud SQL, trabalham juntos para você controlar o local dos dados e o acesso a eles, seja pelo Google ou por qualquer pessoa. Com essas considerações abordadas, você pode criar cargas de trabalho essenciais no Google Cloud com confiança.