Seguridad y encriptación

En esta página, se describe cómo Transfer Appliance protege y encripta tus datos.

Seguridad de los datos de la infraestructura de Google

Cuando devuelves un dispositivo, lo recibimos en uno de nuestros centros de datos de Google. Cuando pides un dispositivo para exportar datos, lo preparamos en uno de nuestros centros de datos de Google. Proteger los datos de los clientes es nuestra principal prioridad y responsabilidad. Para obtener más información sobre la seguridad de nuestra infraestructura, consulta la Descripción general del diseño de seguridad de la infraestructura de Google. Para obtener más información sobre nuestras prácticas de seguridad de los centros de datos, consulta Datos y seguridad.

Cómo proteger el dispositivo en tránsito

Cuando recibas el dispositivo, ejecuta la solicitud de certificación de Transfer Appliance. Esta aplicación valida la identidad y el estado del dispositivo para garantizar que esté en el mismo estado en que se te envió. La aplicación genera una contraseña de certificación que compartes con nosotros. Si la contraseña de certificación coincide con lo que esperamos, proporcionamos las credenciales de acceso del dispositivo.

Cuando termines de usar el dispositivo y lo hayamos recibido, lo volveremos a validar para asegurarnos de que no se haya manipulado durante el envío. Después de verificar el dispositivo, subiremos tus datos a Cloud Storage.

Si la validación del dispositivo indica que se manipuló en algún momento, invalidaremos toda la sesión de transferencia y trabajaremos contigo para enviarte un dispositivo de reemplazo.

Encriptación de datos

Tus datos se encriptan durante la carga, durante el tránsito a nuestros centros de datos, después de subirlos a Cloud Storage y durante la descarga en el dispositivo cuando usas la función de exportación de datos. A continuación, se incluyen detalles sobre cómo encriptamos tus datos:

  • Durante el tránsito a Cloud Storage: Tus datos se encriptan en Transfer Appliance con dm-encrypt y encriptación a nivel de la partición con el algoritmo de encriptación AES-256.

  • Durante la carga a Cloud Storage: Tus datos se encriptan con conexiones TLS seguras. Transferimos los datos encriptados de tu dispositivo a Cloud Storage. En el caso de los clientes que usan los Controles del servicio de VPC, este proceso se realiza dentro de tu perímetro de los Controles del servicio de VPC.

  • En Cloud Storage: Tus datos se encriptan en Cloud Storage de forma predeterminada. Para obtener más detalles, consulta Opciones de encriptación de datos.

  • Durante la descarga en Transfer Appliance: Tus datos se encriptan en la nube antes de descargarse en el dispositivo cuando se usa la función de exportación de datos.

Encriptación de datos en tránsito hacia tu dispositivo

No aplicamos encriptación entre tus dispositivos de almacenamiento o red y tu dispositivo. Proteger la red y el acceso físico al dispositivo es tu responsabilidad. No accedemos al dispositivo ni lo supervisamos mientras está conectado a tu red.

Cómo encriptar datos en tu dispositivo

Usamos dos claves para encriptar los datos en tu dispositivo:

Clave de encriptación de claves

Tienes las siguientes dos opciones para la clave de encriptación de claves (KEK):

  • Puedes crear una clave administrada por el cliente, en la que tú mismo generas y administras la clave.

  • Puedes seleccionar una clave administrada por Google, en la que generamos y administramos la clave.

    Las claves administradas por Google son únicas por sesión y no se comparten con otros servicios de Google Cloud. Cuando se completa o cancela una sesión, o si se pierde un dispositivo, destruimos la clave para garantizar la seguridad de tus datos.

    A continuación, se muestra la configuración que se usa para crear claves administradas por Google:

    • Región: Global
    • Nivel de protección: Software
    • Propósito: Desencriptación asimétrica
    • Algoritmo: RSA de 4,096 bits - Relleno OAEP - Resumen SHA256

Si se destruye el KEK antes de que se complete la sesión, se perderán todos los datos del dispositivo.

La KEK se genera como una clave asimétrica de Cloud Key Management Service (Cloud KMS) en Google Cloud, y descargamos la clave pública de la KEK en el dispositivo antes de enviarte el dispositivo.

Clave de encriptación de datos (DEK)

La DEK se genera en el dispositivo. La DEK se mantiene en la memoria y se almacena en el módulo de plataforma de confianza del dispositivo para que la clave persista en todos los reinicios. La DEK nunca se almacena en un disco local sin encriptar.

El dispositivo aplica la DEK generada a tus datos antes de escribirlos en el disco. Cuando finalizas los datos en el dispositivo, se aplica la clave pública de la KEK a la DEK y, luego, se quita la DEK del dispositivo.

Los datos nunca se almacenan sin encriptar en el dispositivo.

Encripta datos para exportarlos desde Cloud Storage

Cuando pides un dispositivo para la exportación de datos, este se prepara en un centro de datos de Google seguro y, primero, se encriptan tus datos. Luego, los datos encriptados se transfieren de forma segura al dispositivo, que se protege aún más con la encriptación a nivel del disco. Tus datos permanecen encriptados en el dispositivo mientras se encuentran en el centro de datos y durante el tránsito, y solo se puede acceder a ellos una vez que activas el dispositivo.

Restringe el acceso a los datos de tu dispositivo

Para restringir el acceso a los datos almacenados en los recursos compartidos de NFS del dispositivo, puedes aplicar un filtro de IP que permita que hosts específicos de tu red accedan al dispositivo. Comunícate con el administrador de red para obtener ayuda.

Para obtener más información sobre los puertos de red IP que usa Transfer Appliance, consulta Configura los puertos de red IP.

Sube datos a Cloud Storage

Cuando recibimos tu dispositivo en uno de nuestros centros de datos seguros, subimos tus datos encriptados al perímetro de los Controles del servicio de VPC antes de aplicar el KEK para desencriptar la DEK y tus datos. La DEK nunca se conserva en ningún momento durante el ciclo de vida de la transferencia. Luego, movemos tus datos de forma segura a Cloud Storage en nuestra red de centros de datos privados con conexiones TLS seguras. Tus datos se encriptan en Cloud Storage de forma predeterminada y solo tú puedes acceder a ellos.

Limpieza de medios de los dispositivos

Después de subir tus datos o recibir el dispositivo para exportar datos, limpiamos el contenido multimedia del dispositivo que devolviste aplicando los estándares NIST 800-88 para la eliminación de información. Específicamente, usamos el borrado criptográfico para limpiar todos los datos encriptados que se almacenaron anteriormente en las unidades del dispositivo. Si una unidad sufre una falla durante el uso que la inhabilita y no se puede borrar, destruimos físicamente el medio físico afectado. Para obtener más información sobre nuestros procesos de limpieza de contenido multimedia, consulta Cómo garantizar una limpieza de contenido multimedia segura.

Puedes solicitar un certificado de limpieza para demostrar que limpiamos de forma segura el medio del dispositivo en un plazo de 4 semanas después de que tus datos estén disponibles en Cloud Storage o después de que devuelvas el dispositivo después de la exportación de datos.

Rehabilitación de Transfer Appliance

Una vez que destruyamos los datos del dispositivo que devolviste, nos prepararemos para enviarlo al siguiente cliente. A continuación, se muestra un resumen de cómo reacondicionamos cada dispositivo después de la limpieza de los medios:

  1. Particionamos las unidades del dispositivo. La limpieza de contenido multimedia también destruye nuestros particiones de datos, por lo que comenzamos de cero cada vez.

  2. Luego, cambiamos el formato de las unidades para prepararlas para almacenar datos y el software del dispositivo.

  3. A continuación, instalamos el software del dispositivo y aplicamos las actualizaciones necesarias.

  4. Por último, empaquetamos el dispositivo y nos preparamos para enviarlo al siguiente cliente.