Perspectiva de serviços financeiros: segurança, privacidade e compliance

Last reviewed 2026-10-28 UTC

Este documento no Google Cloud Well-Architected Framework: perspectiva de serviços financeiros (FS) oferece uma visão geral dos princípios e recomendações para atender aos requisitos de segurança, privacidade e conformidade das cargas de trabalho de serviços financeiros (FS) no Google Cloud. As recomendações ajudam você a criar uma infraestrutura resiliente e em conformidade, proteger dados sensíveis, manter a confiança do cliente, navegar pelo cenário complexo de requisitos regulatórios e gerenciar ameaças cibernéticas de maneira eficaz. As recomendações neste documento estão alinhadas com o pilar de segurança do Well-Architected Framework.

A segurança na computação em nuvem é uma preocupação crítica para as organizações de SF, que são muito atraentes para os cibercriminosos devido às grandes quantidades de dados confidenciais que gerenciam, incluindo detalhes de clientes e registros financeiros. As consequências de uma violação de segurança são excepcionalmente graves, incluindo perdas financeiras significativas, danos à reputação de longo prazo e multas regulatórias significativas. Portanto, as cargas de trabalho de FS precisam de controles de segurança rigorosos.

Para garantir segurança e conformidade abrangentes, é preciso entender as responsabilidades compartilhadas entre você (organizações de FS) e o Google Cloud. O Google Cloud é responsável por proteger a infraestrutura subjacente, incluindo a segurança física e a segurança de rede. Você é responsável por proteger dados e aplicativos, configurar o controle de acesso e configurar e gerenciar serviços de segurança. Para ajudar você nas suas iniciativas de segurança, o ecossistema de parceiros doGoogle Cloud oferece integração de segurança e serviços gerenciados.

As recomendações de segurança neste documento são mapeadas para os seguintes princípios básicos:

• Implementar a segurança incorporada ao design
• Implementar a confiança zero
• Implementar a segurança shift left
• Implementar a defesa cibernética preventiva
• Use a IA de forma segura e responsável, e use a IA para segurança
• Atender às necessidades regulatórias, de compliance e de privacidade
• Priorizar iniciativas de segurança

Implementar a segurança incorporada ao design

Regulamentações financeiras, como o Padrão de Segurança de Dados do Setor de Cartões de Pagamento (PCI DSS), a Lei Gramm-Leach-Bliley (GLBA) nos Estados Unidos e várias leis nacionais de proteção de dados financeiros, exigem que a segurança seja integrada aos sistemas desde o início. O princípio de segurança incorporada ao design enfatiza a integração da segurança em todo o ciclo de vida de desenvolvimento para ajudar a garantir que as vulnerabilidades sejam minimizadas desde o início.

Para aplicar o princípio de segurança por design às cargas de trabalho de FS no Google Cloud, considere as seguintes recomendações:

• Garanta que apenas as permissões necessárias sejam concedidas aplicando o princípio de privilégio mínimo por meio do controle de acesso granular baseado em papéis (RBAC) no Identity and Access Management (IAM). O uso do RBAC é um requisito fundamental em muitas regulamentações financeiras.
• Aplique perímetros de segurança em torno dos seus serviços e dados confidenciais no Google Cloud usando o VPC Service Controls. Os perímetros de segurança ajudam a segmentar e proteger dados e recursos sensíveis, além de evitar a exfiltração de dados e o acesso não autorizado, conforme exigido pelas regulamentações.
• Defina as configurações de segurança como código usando ferramentas de infraestrutura como código (IaC, na sigla em inglês), como o Terraform. Essa abordagem incorpora controles de segurança desde a fase inicial de implantação, o que ajuda a garantir consistência e auditabilidade.
• Verifique o código do aplicativo integrando o teste estático de segurança de aplicativos (SAST) ao pipeline de CI/CD com o Cloud Build. Estabeleça portões de segurança automatizados para evitar a implantação de códigos que não estejam em conformidade.
• Forneça uma interface unificada para insights de segurança usando o Security Command Center. O uso do Security Command Center permite o monitoramento contínuo e a detecção precoce de configurações incorretas ou ameaças que podem levar a violações regulatórias. Para atender aos requisitos de padrões como ISO 27001 e NIST 800-53, use modelos de gerenciamento de postura.
• Acompanhe a redução nas vulnerabilidades identificadas em implantações de produção e a porcentagem de implantações de IaC que seguem as práticas recomendadas de segurança. É possível detectar e visualizar vulnerabilidades e informações sobre conformidade com padrões de segurança usando o Security Command Center. Para mais informações, consulte Descobertas de vulnerabilidade.

Implementar a confiança zero

As regulamentações financeiras modernas enfatizam cada vez mais a necessidade de controles de acesso rigorosos e verificação contínua. Esses requisitos refletem o princípio de confiança zero, que visa proteger as cargas de trabalho contra ameaças internas e externas e agentes nocivos. O princípio de zero trust defende a verificação contínua de cada usuário e dispositivo, o que elimina a confiança implícita e reduz o movimento lateral.

Para implementar a confiança zero, considere as seguintes recomendações:

• Ative o acesso baseado no contexto com base na identidade do usuário, na segurança do dispositivo, no local e em outros fatores combinando os controles do IAM com o Chrome Enterprise Premium. Essa abordagem garante a verificação contínua antes que o acesso a dados e sistemas financeiros seja concedido.
• Forneça um gerenciamento de identidade e acesso seguro e escalonável configurando o Identity Platform (ou seu provedor de identidade externo, se você usar a federação de identidade de colaboradores). Configure a autenticação multifator (MFA) e outros controles que são cruciais para implementar a confiança zero e ajudar a garantir a conformidade regulatória.
• Implemente a MFA para todas as contas de usuário, especialmente para aquelas com acesso a dados ou sistemas sensíveis.
• Ofereça suporte a auditorias e investigações relacionadas à conformidade regulatória estabelecendo registros e monitoramento abrangentes do acesso do usuário e da atividade da rede.
• Ative a comunicação particular e segura entre serviços no Google Cloud e em ambientes locais sem expor o tráfego à Internet pública usando o Private Service Connect.
• Implemente controles de identidade granulares e autorize o acesso no nível do aplicativo usando o Identity-Aware Proxy (IAP) em vez de depender de mecanismos de segurança baseados em rede, como túneis de VPN. Essa abordagem ajuda a reduzir o movimento lateral no ambiente.

Implementar a segurança shift left

Os reguladores financeiros incentivam medidas de segurança proativas. Identificar e resolver vulnerabilidades no início do ciclo de vida de desenvolvimento ajuda a reduzir o risco de incidentes de segurança e o potencial de penalidades por não conformidade. O princípio da segurança shift-left promove testes e integração de segurança antecipados, o que ajuda a reduzir o custo e a complexidade da correção.

Para implementar a segurança shift-left, considere as seguintes recomendações:

• Garanta verificações de segurança automatizadas no início do processo de desenvolvimento integrando ferramentas de verificação de segurança, como verificação de vulnerabilidades de contêiner e análise de código estático, ao pipeline de CI/CD com o Cloud Build.

• Garanta que apenas artefatos seguros sejam implantados usando o Artifact Registry para fornecer um repositório seguro e centralizado para pacotes de software e imagens de contêiner com verificação de vulnerabilidades integrada. Use repositórios virtuais para mitigar ataques de confusão de dependência, priorizando seus artefatos particulares em relação aos repositórios remotos.

• Verifique automaticamente se há vulnerabilidades comuns em aplicativos da Web integrando o Web Security Scanner, que faz parte do Security Command Center, aos pipelines de desenvolvimento.

• Implemente verificações de segurança para o código-fonte, o processo de build e a procedência do código usando o framework de níveis da cadeia de suprimentos para artefatos de software (SLSA, na sigla em inglês). Aplique a procedência das cargas de trabalho executadas nos ambientes usando soluções como a autorização binária. Verifique se as cargas de trabalho usam apenas bibliotecas de software de código aberto verificadas usando o Assured Open Source Software.

• Acompanhe o número de vulnerabilidades identificadas e corrigidas no ciclo de vida de desenvolvimento, a porcentagem de implantações de código que passam nas verificações de segurança e a redução de incidentes de segurança causados por vulnerabilidades de software. O Google Cloud oferece ferramentas para ajudar nesse acompanhamento para diferentes tipos de cargas de trabalho. Por exemplo, para cargas de trabalho conteinerizadas, use o recurso de verificação de contêineres do Artifact Registry.

Implementa a defesa cibernética preventiva

As instituições financeiras são os principais alvos de ataques cibernéticos sofisticados. As regulamentações geralmente exigem inteligência contra ameaças robusta e mecanismos de defesa proativos. A defesa cibernética preventiva se concentra na detecção e resposta proativas a ameaças usando análises avançadas e automação.

Recomendações:

• Identifique e mitigue possíveis ameaças de forma proativa usando os serviços de inteligência contra ameaças, resposta a incidentes e validação de segurança da Mandiant.
• Proteja aplicativos da Web e APIs contra exploits da Web e ataques DDoS na borda da rede usando o Google Cloud Armor.
• Agregue e priorize as descobertas e recomendações de segurança usando o Security Command Center, que permite que as equipes de segurança lidem de forma proativa com possíveis riscos.
• Valide as defesas preventivas e os planos de resposta a incidentes realizando simulações de segurança e testes de penetração regulares.
• Meça o tempo para detectar e responder a incidentes de segurança, a eficácia dos esforços de mitigação de DDoS e o número de ataques cibernéticos evitados. É possível acessar as métricas e os dados necessários nos painéis do Google Security Operations SOAR.

Use a IA de forma segura e responsável, e use a IA para segurança

A IA e o ML são cada vez mais usados para casos de uso de serviços financeiros, como detecção de fraudes e negociação algorítmica. As regulamentações exigem que essas tecnologias sejam usadas de forma ética, transparente e segura. A IA também pode ajudar a melhorar seus recursos de segurança. Considere as seguintes recomendações para usar a IA:

• Desenvolva e implante modelos de ML em um ambiente seguro e controlado usando a Gemini Enterprise Agent Platform. Recursos como explicabilidade do modelo e métricas de imparcialidade podem ajudar a resolver preocupações com IA responsável.
• Aproveite os recursos de operações e análise de segurança do Google Security Operations, que usa IA e ML para analisar grandes volumes de dados de segurança, detectar anomalias e automatizar a resposta a ameaças. Esses recursos ajudam a melhorar sua postura de segurança geral e auxiliam no monitoramento de conformidade.
• Estabeleça políticas de governança claras para o desenvolvimento e a implantação de IA e ML, incluindo considerações relacionadas à segurança e à ética.
• Alinhar-se aos elementos do Framework de IA Segura (SAIF), que oferece uma abordagem prática para lidar com as preocupações de segurança e risco dos sistemas de IA.
• Acompanhe a precisão e a eficácia dos sistemas de detecção de fraudes com tecnologia de IA, a redução de falsos positivos em alertas de segurança e os ganhos de eficiência com a automação de segurança baseada em IA.

Atender às necessidades regulatórias, de compliance e de privacidade

Os serviços financeiros estão sujeitos a uma ampla gama de regulamentações, incluindo requisitos de residência de dados, trilhas de auditoria específicas e padrões de proteção de dados. Para garantir que os dados sensíveis sejam identificados, protegidos e gerenciados adequadamente, as organizações de SF precisam de políticas robustas de governança de dados e esquemas de classificação de dados. Considere as seguintes recomendações para ajudar você a atender aos requisitos regulamentares:

• Configure limites de dados no Google Cloud para cargas de trabalho sensíveis e regulamentadas usando o Assured Workloads. Isso ajuda você a atender aos requisitos de conformidade governamentais e específicos do setor, como FedRAMP e CJIS.
• Identifique, classifique e proteja dados sensíveis, incluindo informações financeiras, implementando a Proteção de Dados Sensíveis. Isso ajuda você a cumprir regulamentos de privacidade de dados, como o GDPR e a CCPA.
• Acompanhe detalhes de atividades administrativas e acesso a recursos usando os Registros de auditoria do Cloud. Esses registros são essenciais para atender aos requisitos de auditoria estipulados por muitas regulamentações financeiras.
• Ao escolher as regiões doGoogle Cloud para suas cargas de trabalho e dados, considere as regulamentações locais relacionadas à residência de dados. A infraestrutura global do Google Cloud permite que você escolha regiões que podem ajudar a atender aos requisitos de residência de dados.
• Gerencie as chaves usadas para criptografar dados financeiros sensíveis em repouso e em trânsito usando o Cloud Key Management Service. Essa criptografia é um requisito fundamental de muitos regulamentos de segurança e privacidade.
• Implemente os controles necessários para atender aos requisitos regulatórios. Verifique se os controles funcionam conforme o esperado. Peça para um auditor externo validar os controles novamente para provar ao regulador que suas cargas de trabalho estão em conformidade com as regulamentações.

Priorizar iniciativas de segurança

Dada a amplitude dos requisitos de segurança, as instituições financeiras precisam priorizar iniciativas baseadas em avaliações de risco e mandatos regulatórios. Recomendamos a seguinte abordagem em fases:

1. Estabeleça uma base de segurança sólida: concentre-se nas principais áreas de segurança, incluindo gerenciamento de identidade e acesso, segurança de rede e proteção de dados. Esse foco ajuda a criar uma postura de segurança robusta e a garantir uma defesa abrangente contra ameaças em evolução.
2. Abordar regulamentações críticas: priorize a conformidade com regulamentações importantes, como PCI DSS, GDPR e leis nacionais relevantes. Isso ajuda a garantir a proteção de dados, reduz os riscos legais e gera confiança entre os clientes.
3. Implementar segurança avançada: adote gradualmente práticas de segurança avançadas, como zero trust, soluções de segurança orientadas por IA e busca proativa de ameaças.