Seguridad y encriptación

En esta página, se describe cómo Transfer Appliance protege y encripta tus datos.

Seguridad de los datos de la infraestructura de Google

Cuando devuelves un dispositivo, lo recibimos en uno de nuestros centros de datos de Google. Proteger los datos de los clientes es nuestra principal prioridad y responsabilidad. Para obtener más información sobre la seguridad de nuestra infraestructura, consulta la Descripción general del diseño de seguridad de la infraestructura de Google. Para obtener más información sobre las prácticas de seguridad de nuestro centro de datos, consulta Datos. y seguridad.

Cómo proteger el dispositivo en tránsito

Cuando recibas tu dispositivo, ejecuta la aplicación de certificación de Transfer Appliance. Esta aplicación valida la identidad del dispositivo y su estado, para garantizar que el dispositivo esté en el mismo estado que tenía cuando te lo enviamos. La aplicación genera una contraseña de certificación que compartes con nosotros. Si la contraseña de certificación coincide con lo que esperamos, proporcionamos las credenciales de acceso para el dispositivo.

Cuando terminas de usar el dispositivo y recibimos tu dispositivo, volvemos a validar el dispositivo para asegurarnos de que no se haya manipulado durante el envío. Después de que verifiquemos el dispositivo, subiremos tus datos a Cloud Storage.

Si la validación del dispositivo indica que el dispositivo se manipuló en algún momento, invalidamos toda la sesión de transferencia y trabajamos contigo para enviarte un dispositivo de reemplazo.

Encriptación de datos

Los datos se encriptan durante la carga, durante el tránsito a nuestros centros de datos y después de que se suben a Cloud Storage. A continuación, se presentan detalles sobre cómo encriptamos los datos:

  • Durante el tránsito a Cloud Storage: tus datos se encriptan en Transfer Appliance con dm-encrypt y encriptación a nivel de partición, con el algoritmo de encriptación AES-256.

  • Durante la carga en Cloud Storage: Tus datos se encriptan mediante conexiones TLS seguras. Transfieremos los datos encriptados del dispositivo a Cloud Storage. Para los clientes que usan los Controles del servicio de VPC, este proceso se produce dentro del perímetro de los Controles del servicio de VPC.

  • En Cloud Storage Tus datos están encriptados en Cloud Storage de forma predeterminada. Para obtener más detalles, consulta Opciones de encriptación de datos.

Encripta datos en tránsito a tu dispositivo

No aplicamos encriptación entre tu dispositivo de almacenamiento o de red y tu dispositivo. Proteger la red y el acceso físico al dispositivo es tu responsabilidad. No accedemos al dispositivo ni lo supervisamos mientras está conectado a la red.

Encripta datos en tu dispositivo

Usamos dos claves para encriptar datos en tu dispositivo:

Clave de encriptación de claves (KEK)

Tienes las siguientes dos opciones para la KEK:

  • Puedes crear una clave administrada por el cliente, en la que generas y administras la clave tú mismo.

  • Puedes seleccionar una clave administrada por Google, en la que generamos y administramos la clave.

    Las claves administradas por Google son únicas por sesión y no se comparten con otros servicios de Google Cloud. Cuando se completa o cancela una sesión, o si se pierde un dispositivo, destruimos la clave para garantizar tu seguridad de datos.

    La siguiente es la configuración que se usa para crear claves administradas por Google:

    • Región: /kms/docs/locations#global
    • Nivel de protección: Software
    • Propósito: Desencriptación asimétrica
    • Algoritmo:RSA de 4096 bits - Relleno OAEP - Resumen de SHA256

Destruir la KEK antes de que se complete la sesión da como resultado una pérdida de datos completa en el dispositivo.

La KEK se genera como una clave asimétrica de Cloud Key Management Service (Cloud KMS) en Google Cloud. Luego, descargamos la clave pública de KEK en el dispositivo antes de que la enviemos.

Clave de encriptación de datos (DEK)

La DEK se genera en el dispositivo. La DEK se guarda en la memoria y se almacena en el módulo de plataforma segura del dispositivo para conservar la clave en todos los reinicios. La DEK nunca se almacena en un disco local sin encriptar.

El dispositivo aplica la DEK generada a tus datos antes de escribir los datos en el disco. Cuando finalizas los datos en el dispositivo, la clave pública de KEK se aplica a la DEK y, luego, la DEK se quita del dispositivo.

Los datos nunca se almacenan sin encriptar en el dispositivo.

Restringe el acceso a los datos en tu dispositivo

Para restringir el acceso a los datos almacenados en los recursos compartidos de NFS de tu dispositivo, puedes aplicar un filtro IP que permita que hosts específicos de tu red accedan al dispositivo. Comunícate con tu administrador de red para obtener asistencia.

Para obtener más información sobre los puertos de red de IP que usa Transfer Appliance, consulta Configura puertos de red de IP.

Sube datos a Cloud Storage

Cuando recibimos tu dispositivo en uno de nuestros centros de datos protegidos, sube los datos encriptados al perímetro de los Controles del servicio de VPC antes de aplicar la KEK para desencriptar la DEK y los datos. La DEK nunca persiste en ningún momento durante el ciclo de vida de la transferencia. Luego, trasladamos de forma segura tus datos a Cloud Storage en nuestra red de centros de datos privados mediante conexiones TLS seguras. Los datos se encriptan en Cloud Storage de forma predeterminada y solo tú puedes acceder a ellos.

Limpieza de medios de electrodomésticos

Después de subir los datos, limpiamos los medios de la unidad en el dispositivo que devolviste aplicando los estándares NIST 800-88 para borrar información de forma definitiva. Específicamente, usamos el borrado criptográfico para limpiar todos los datos encriptados almacenados previamente en las unidades del dispositivo. Si una unidad sufre una falla durante el uso que la hace inoperable y no se puede borrar, destruyemos físicamente el medio físico afectado. Para obtener más información sobre nuestros procesos de desinfección de medios, consulta Garantiza la limpieza segura de medios.

Puedes solicitar un certificado de limpieza para comprobar que limpiamos de forma segura el contenido multimedia del dispositivo dentro de las 4 semanas posteriores a la disponibilidad de tus datos en Cloud Storage.

Reacondicionamiento de Transfer Appliance

Una vez que destruimos tus datos en el dispositivo que devolviste, nos preparamos para enviarlo al próximo cliente. El siguiente es un resumen de cómo reacondicionamos cada dispositivo después de la limpieza de medios:

  1. Particionamos las unidades en el dispositivo. La limpieza de medios también destruye nuestras particiones de datos, por lo que comenzamos desde cero cada vez.

  2. Luego, cambiamos el formato de las unidades y las preparamos para almacenar datos y el software del dispositivo.

  3. Luego, instalamos el software del dispositivo y aplicamos las actualizaciones necesarias.

  4. Por último, empaquetamos y preparamos el envío del dispositivo al próximo cliente.