Présentation de la résidence des données

Cet article explique comment appliquer des exigences de résidence des données pour des données à l'aide de Cloud SQL.

La résidence des données fait référence à l'emplacement physique des données et aux réglementations locales qui s'appliquent à ces données.

Dans un environnement sur site classique, la résidence des données est intégrée et gérée par divers composants. Par exemple, une entreprise peut héberger une passerelle de tokenisation en tant qu'agent de sécurité des accès cloud (Cloud Access Security Broker, CASB) pour sécuriser les données d'application avant leur transmission à l'étranger. Dans Google Cloud, la résidence des données est gérée par divers services Google Cloud, y compris Cloud SQL.

Il est important que Google Cloud gère la résidence des données, car la géographie est de plus en plus pertinente pour la confidentialité. En garantissant le respect des différences régionales en termes de confidentialité, la résidence des données permet d'améliorer la confidentialité régionale pour vos clients.

Résidence des données dans le cloud computing

La liste suivante répertorie certains problèmes de résidence des données que vous devez connaître :

  • Si les utilisateurs d'une entreprise ne connaissent pas l'emplacement physique de leurs données, ils ne connaissent pas la réglementation locale. Pour pouvoir rechercher les règles de résidence des données pour chaque emplacement, les utilisateurs doivent savoir où se trouvent les centres de données.
  • Les utilisateurs et les fournisseurs de l'entreprise peuvent conclure des contrats de niveau de service pour définir les emplacements autorisés. Cependant, que se passe-t-il si vos données doivent être stockées dans une région différente des conditions du contrat de niveau de service ?
  • Les utilisateurs doivent s'assurer que leurs données, ainsi que tous les services et ressources qu'ils utilisent dans leurs projets cloud, respectent les réglementations concernant la résidence des données du pays hôte.
    • Que faites-vous si vous souhaitez décider où stocker vos données et vos clés de chiffrement ?
    • Que se passe-t-il si vous souhaitez déterminer à quel endroit les utilisateurs peuvent accéder à vos données ?

Les services Google Cloud, y compris Cloud SQL, permettent de résoudre certains de ces problèmes en procédant comme suit :

  • Définissez l'emplacement de stockage de vos données. Vous pouvez sélectionner la région lorsque vous créez votre instance Cloud SQL, ou modifier la région en modifiant une instance existante.
  • Utilisez la fonctionnalité d'instances dupliquées interrégionales avec accès en lecture pour Cloud SQL afin de vous assurer que vous respectez les normes de résidence des données pour une région désignée.
  • Contrôlez les emplacements réseau où les utilisateurs peuvent accéder aux données, et contrôlez l'accès des administrateurs cloud à ces données.

Les fonctionnalités précédentes de Cloud SQL vous permettent de contrôler l'emplacement de vos données et d'y accéder, par Google ou par n'importe quel utilisateur.

Cloud SQL peut vous aider à répondre aux défis de la résidence des données dans trois domaines :

Chaque domaine est traité plus en détail dans les sections suivantes.

Stocker des données

La résidence des données implique le stockage d'informations personnelles dans une région spécifique où elles sont traitées conformément aux réglementations de cette région.

Le stockage des données répond en partie aux exigences légales et réglementaires d'un pays, telles que la législation sur la localisation des données. Par exemple, un pays peut imposer le stockage de données gouvernementales dans le pays en question. Une entreprise peut également être contractuellement tenu de stocker les données de certains de ses clients dans un autre pays. Par conséquent, il est impératif de répondre aux exigences de résidence des données du pays où elles sont stockées.

Avec Google Cloud, vous pouvez configurer l'emplacement de stockage de vos données, y compris sur les sauvegardes. Vous pouvez ainsi choisir les régions dans lesquelles vous stockez vos données. Lorsque vous choisissez de configurer des ressources dans ces régions pour Cloud SQL, Google stocke vos données au repos uniquement dans ces régions, conformément à nos conditions spécifiques du service. Vous pouvez sélectionner la région lorsque vous créez l'instance, ou modifier la région en modifiant une instance existante.

Pour en savoir plus sur les emplacements de sauvegarde, consultez la section Emplacements de sauvegarde personnalisés.

Les contraintes de règle d'administration vous permettent d'appliquer les exigences de résidence des données au niveau de l'organisation, du projet ou du dossier. Ces contraintes vous permettent de définir les emplacements Google Cloud autorisés dans lesquels les utilisateurs peuvent créer des ressources pour les services compatibles. Pour la résidence des données, vous pouvez limiter l'emplacement physique d'une nouvelle ressource à l'aide de la contrainte des emplacements de ressources. Vous pouvez également affiner les règles d'une contrainte afin de spécifier des emplacements multirégionaux tels que asia et europe, ou des régions telles que us-east1 ou europe-west1 comme emplacements autorisés ou refusés.

VPC Service Controls est une autre fonctionnalité qui vous aide à appliquer la résidence des données. VPC Service Controls vous permet de restreindre l'utilisation des API Cloud SQL pour importer et exporter des données à l'aide de l'API Cloud SQL Admin ou de l'API Cloud Storage. Cette restriction garantit que les données restent dans les emplacements du réseau que vous avez sélectionnés. À l'aide de VPC Service Controls, vous pouvez créer un périmètre de service qui définit les limites virtuelles à partir desquelles un service est accessible, ce qui empêche le déplacement des données en dehors de ces limites. Vous pouvez appliquer cette contrainte même si l'utilisateur est autorisé conformément à votre stratégie IAM Google Cloud.

Chiffrer des données

Les services Google Cloud, y compris Cloud SQL, chiffrent le contenu du client au repos et en transit à l'aide de diverses méthodes. Le chiffrement est automatique et ne requiert aucune action de la part du client.

Cloud SQL vous permet également d'ajouter une autre couche de chiffrement aux données à l'aide de clés de chiffrement gérées par le client (CMEK). La fonctionnalité CMEK est destinée aux organisations qui traitent des données sensibles ou réglementées pour lesquelles elles doivent gérer leurs propres clés de chiffrement. La fonctionnalité CMEK vous permet d'utiliser vos propres clés cryptographiques pour les données au repos dans Cloud SQL. Après avoir ajouté CMEK, chaque fois qu'un appel d'API est effectué, Cloud SQL utilise vos clés pour accéder aux données.

Si vous souhaitez que votre clé CMEK soit stockée dans les régions où vous déployez vos services, vous pouvez utiliser Cloud Key Management Service (Cloud KMS). Vous définissez l'emplacement de la clé lors de sa création. Vous pouvez également stocker ces clés dans un module de sécurité matériel (HSM) physique situé dans la région de votre choix à l'aide de Cloud HSM.

Pour choisir l'emplacement de stockage de votre clé CMEK, vous pouvez également utiliser un produit tiers. Pour stocker et gérer des clés dans un produit de gestion de clés tiers externe à l'infrastructure Google, vous pouvez utiliser Cloud External Key Manager (Cloud EKM).

Accéder aux données

Cloud SQL vous permet de contrôler quels utilisateurs peuvent accéder à vos données.

Pour contrôler l'accès du personnel d'assistance et du personnel d'ingénierie Google, utilisez Access Approval Avec Access Approval, vous pouvez demander aux employés de Google d'obtenir votre approbation explicite avant d'accéder à vos données ou configurations dans Google Cloud (pour connaître les exclusions, consultez la section Exclusions Access Approval).

Access Approval complète la visibilité fournie par Access Transparency, qui génère des journaux d'audit quasiment en temps réel lorsque les administrateurs Google interagissent avec vos données. Les journaux d'audit indiquent l'emplacement du bureau de l'administrateur et le motif de l'accès. Vous pouvez également appliquer des attributs spécifiques aux administrateurs autorisés à accéder à vos données ou configurations, y compris la région géographique à partir de laquelle ils opèrent et d'autres attributs pertinents en termes de conformité.

Enfin, les justifications d'accès aux clés Key Access Justifications fonctionnent de manière transparente avec Cloud KMS et Cloud EKM. Chaque fois que l'une de vos clés est demandée pour chiffrer ou déchiffrer des données, Key Access Justifications fournit une justification détaillée, ainsi qu'un mécanisme vous permettant d'approuver ou de refuser l'accès aux clés à l'aide d'une règle automatique que vous avez définie.

Avec Access Approval, Access Transparency et Key Access Justifications avec Cloud KMS et Cloud EKM, vous pouvez refuser à Google la possibilité de déchiffrer vos données. Par conséquent, vous êtes l'arbitre de l'accès à vos données.

Synthèse

Google Cloud et ses services, y compris Cloud SQL, fonctionnent conjointement pour vous permettre de contrôler l'emplacement de vos données et l'accès à celles-ci, par Google ou par tout le monde. Une fois ces points traités, vous pouvez créer en toute confiance des charges de travail critiques sur Google Cloud.