Seguridad y encriptación

En esta página, se describe cómo Transfer Appliance protege y encripta tus datos.

Seguridad de los datos de la infraestructura de Google

Cuando devuelve un dispositivo, lo recibimos en uno de nuestros centros de datos de Google. Cuando pides un dispositivo para la exportación de datos, lo preparamos en uno de nuestros centros de datos de Google. Proteger los datos del cliente es nuestra máxima prioridad y responsabilidad. Para obtener más información sobre la seguridad de nuestra infraestructura, consulta la Descripción general del diseño de seguridad de la infraestructura de Google. Si deseas obtener más información sobre las prácticas de seguridad de nuestros centros de datos, consulta Datos y seguridad.

Protección del dispositivo durante el envío

Cuando recibes tu dispositivo, ejecuta la aplicación de certificación de Transfer Appliance. Esta aplicación valida la identidad del dispositivo y su estado para garantizar que esté en el mismo estado que cuando te lo enviamos. La aplicación genera una contraseña de certificación que debes compartir con nosotros. Si la contraseña de certificación coincide con lo esperado, proporcionamos las credenciales de acceso del dispositivo.

Cuando terminas de usar el dispositivo y lo recibimos de ti, lo validamos de nuevo para asegurarnos de que no se manipuló durante el envío. Después de verificar el dispositivo, subimos tus datos a Cloud Storage.

Si la validación del dispositivo indica que se manipuló el dispositivo en algún momento, invalidaremos toda la sesión de transferencia y trabajaremos contigo para enviarte un dispositivo de reemplazo.

Encriptación de los datos

Los datos se encriptan durante la carga, durante el tránsito a nuestros centros de datos, después de que se suben a Cloud Storage y durante la descarga en el dispositivo cuando se usa la función de exportación de datos. A continuación, se muestran detalles sobre cómo encriptamos tus datos:

  • Durante el tránsito a Cloud Storage: Tus datos se encriptan en Transfer Appliance con dm-encrypt y con encriptación a nivel de partición con el algoritmo de encriptación AES-256.

  • Durante la carga a Cloud Storage: Tus datos se encriptan mediante conexiones TLS seguras. Transferimos los datos encriptados de tu dispositivo a Cloud Storage. En el caso de los clientes que usan los Controles del servicio de VPC, este proceso se produce dentro del perímetro de los Controles del servicio de VPC.

  • En Cloud Storage: Los datos se encriptan en Cloud Storage de forma predeterminada. Para obtener más detalles, consulta Opciones de encriptación de datos.

  • Durante la descarga a Transfer Appliance: Los datos se encriptan en la nube antes de descargarse en el dispositivo cuando se usa la función de exportación de datos.

Encripta los datos en tránsito a tu dispositivo

No aplicamos la encriptación entre tus dispositivos de red o almacenamiento y tu dispositivo. Es tu responsabilidad proteger la red y el acceso físico al dispositivo. No accedemos al dispositivo ni supervisamos su uso mientras está conectado a tu red.

Encripta datos en tu dispositivo

Usamos dos claves para encriptar datos en tu dispositivo:

Clave de encriptación de claves

Tienes las siguientes dos opciones para la clave de encriptación de claves (KEK):

  • Puedes crear una clave administrada por el cliente en la que generes y administres la clave tú mismo.

  • Puedes seleccionar una clave administrada por Google, en la que generaremos y administraremos la clave.

    Las claves administradas por Google son únicas por sesión y no se comparten con otros servicios de Google Cloud. Cuando se completa o cancela una sesión, o si se pierde un dispositivo, destruyemos la clave para garantizar la seguridad de tus datos.

    La siguiente es la configuración que se usa para crear claves administradas por Google:

    • Región: Global
    • Nivel de protección: Software
    • Propósito: Desencriptación asimétrica
    • Algoritmo: RSA de 4,096 bits - Padding OAEP - Resumen SHA256

Destruir la KEK antes de que se complete la sesión genera una pérdida completa de datos en el dispositivo.

La KEK se genera como una clave asimétrica de Cloud Key Management Service (Cloud KMS) en Google Cloud, y descargamos la clave pública de la KEK en el dispositivo antes de enviártela.

Clave de encriptación de datos (DEK)

La DEK se genera en el dispositivo. La DEK se guarda en la memoria y se almacena en el módulo de plataforma de confianza del dispositivo para conservar la clave en los reinicios. La DEK nunca se almacena en un disco local sin encriptar.

El dispositivo aplica la DEK generada a tus datos antes de escribirlos en el disco. Cuando finalizas los datos en el dispositivo, la clave pública KEK se aplica a la DEK y, luego, se quita del dispositivo.

Los datos nunca se almacenan sin encriptar en el dispositivo.

Encripta datos para exportar datos desde Cloud Storage

Cuando pides un dispositivo para la exportación de datos, este se prepara en un centro de datos seguro de Google y tus datos se encriptan primero. Luego, los datos encriptados se mueven de forma segura al dispositivo, que también cuenta con encriptación a nivel de disco. Tus datos permanecen encriptados en el dispositivo mientras se encuentran en el centro de datos y durante el tránsito, y solo se puede acceder a ellos una vez que lo activas.

Restringe el acceso a los datos de tu dispositivo

Para restringir el acceso a los datos almacenados en los recursos compartidos de NFS de tu dispositivo, puedes aplicar un filtro de IP que permita que hosts específicos de tu red accedan al dispositivo. Comunícate con el administrador de red para obtener asistencia.

Para obtener más información sobre los puertos de red IP que usa Transfer Appliance, consulta Configura puertos de red IP.

Sube los datos a Cloud Storage

Cuando recibimos el dispositivo en uno de nuestros centros de datos seguros, subimos los datos encriptados al perímetro de los Controles del servicio de VPC antes de aplicar la KEK para desencriptar la DEK y tus datos. La DEK nunca se conserva en ningún momento del ciclo de vida de la transferencia. Luego, trasladamos tus datos de forma segura a Cloud Storage en nuestra red de centro de datos privado mediante conexiones TLS seguras. Los datos están encriptados en Cloud Storage de forma predeterminada y solo tú puedes acceder a ellos.

Limpieza de medios de electrodomésticos

Después de subir los datos o recibir el dispositivo para exportarlos, limpiamos el medio de la unidad en el dispositivo que devolviste mediante la aplicación de los estándares NIST 800-88 para borrar definitivamente la información. Específicamente, usamos el borrado criptográfico para limpiar todos los datos encriptados previamente almacenados en las unidades del dispositivo. Si una unidad sufre una falla durante el uso que la hace inoperable y no se puede borrar, destruimos físicamente los medios físicos afectados. Para obtener más información sobre nuestros procesos de limpieza de medios, consulta Cómo garantizar la limpieza de medios segura.

Puedes solicitar un certificado de limpieza para comprobar que limpiamos los medios del dispositivo de forma segura en un plazo de 4 semanas después de que tus datos estén disponibles en Cloud Storage o después de que hayas devuelto el dispositivo después de la exportación de datos.

Reacondicionamiento de Transfer Appliance

Una vez que hayamos destruido tus datos en el dispositivo que devolviste, nos preparamos para enviar el dispositivo al próximo cliente. El siguiente es un resumen de cómo reacondicionamos cada dispositivo después de la limpieza de medios:

  1. Dividimos las unidades en el dispositivo. La limpieza de medios también destruye nuestras particiones de datos, por lo que comenzamos de cero cada vez.

  2. Luego, volvemos a formatear las unidades y las preparamos para almacenar datos y el software del dispositivo.

  3. Luego, instalamos el software del dispositivo y aplicamos las actualizaciones necesarias.

  4. Finalmente, empaquetamos y preparamos el dispositivo para enviar el dispositivo al próximo cliente.