本文件屬於Google Cloud Well-Architected Framework：金融服務 (FS) 觀點，概述了相關原則和建議，協助您因應 Google Cloud中金融服務 (FS) 工作負載的安全性、隱私權和法規遵循需求。這些建議可協助您建構彈性且符合法規的基礎架構、保護機密資料、維持客戶信任、因應複雜的法規要求，以及有效管理網路威脅。本文中的建議符合 Well-Architected Framework 的安全性支柱。
雲端運算安全性是金融服務機構的重要考量，因為他們管理大量機密資料 (包括客戶詳細資料和財務記錄)，因此很容易成為網路犯罪者的目標。安全漏洞的後果極為嚴重，包括重大財務損失、長期信譽受損和巨額監管罰款。因此，金融服務工作負載需要嚴格的安全控管機制。
為確保全面安全性和法規遵循，您需要瞭解您 (金融服務機構) 與 Google Cloud之間的共同責任。 Google Cloud 負責保護基礎架構，包括實體安全性和網路安全。您必須負責保護資料和應用程式、設定存取控管，以及設定和管理安全性服務。為協助您維護安全性，Google Cloud 合作夥伴生態系統提供安全性整合和代管服務。
本文件中的安全性建議對應至下列核心原則：
採用融入安全考量的設計
金融法規 (例如付款卡產業資料安全標準 (PCI DSS)、美國的《格蘭姆-里奇-布利里法案》(GLBA)，以及各國金融資料保護法) 規定，系統必須從一開始就整合安全性。安全設計原則強調在整個開發生命週期中整合安全性，確保從一開始就盡可能減少安全漏洞。
如要在Google Cloud中為 FS 工作負載套用安全設計原則，請參考下列建議：
- 在 Identity and Access Management (IAM) 中，透過精細的角色式存取控管 (RBAC) 套用最小權限原則，確保只授予必要權限。許多金融法規都要求使用 RBAC。
- 使用 VPC Service Controls，在 Google Cloud 中為機密服務和資料強制執行安全 perimeter。安全 perimeter 有助於區隔及保護機密資料和資源，並依據法規要求，防止資料竊取和未經授權的存取行為。
- 使用 Terraform 等基礎架構即程式碼 (IaC) 工具，將安全性設定定義為程式碼。這種做法從初始部署階段就嵌入安全控管機制，有助於確保一致性和可稽核性。
- 使用 Cloud Build 將靜態應用程式安全防護測試 (SAST) 整合至 CI/CD 管道，掃描應用程式程式碼。建立自動化安全閘道，防止部署不符合規定的程式碼。
- 使用 Security Command Center，提供統一的安全性洞察介面。Security Command Center 可持續監控並及早偵測可能導致違反法規的設定錯誤或威脅。如要符合 ISO 27001 和 NIST 800-53 等標準的要求，您可以使用防護機制管理範本。
- 追蹤正式環境部署作業中發現的安全漏洞減少情況，以及符合安全性最佳做法的 IaC 部署作業百分比。您可以使用 Security Command Center，偵測及查看安全漏洞和安全標準法規遵循相關資訊。詳情請參閱「安全漏洞發現項目」。
實踐零信任做法
現代金融法規越來越強調嚴格存取控管和持續驗證的必要性。這些要求反映了零信任原則，旨在保護工作負載免受內外部威脅和惡意人士的侵害。零信任原則主張持續驗證每位使用者和裝置，消除隱含信任，並減少橫向移動。
如要實施零信任機制，請參考下列建議：
- 結合 IAM 控制項與 Chrome Enterprise 進階版，根據使用者身分、裝置安全性、位置和其他因素，啟用情境感知存取權。這種做法可確保在授予財務資料和系統存取權前，持續進行驗證。
- 設定 Identity Platform (如果您使用員工身分聯盟，則為外部身分識別資訊提供者)，提供安全且可擴充的身分與存取權管理。設定多重驗證 (MFA) 和其他控制項，這對實作零信任機制和確保法規遵循至關重要。
- 為所有使用者帳戶實施 MFA，尤其是可存取機密資料或系統的帳戶。
- 建立全面的使用者存取權和網路活動記錄與監控機制，支援法規遵循相關的稽核和調查。
- 使用 Private Service Connect，在Google Cloud 和地端部署環境中的服務之間，建立私密安全的通訊，不將流量公開至網際網路。
- 使用 Identity-Aware Proxy (IAP) 實作精細的身分控管機制，並在應用程式層級授權存取權，而非依賴 VPN 通道等網路型安全機制。這種做法有助於減少環境中的橫向移動。
導入提前測試安全性
金融監管機構鼓勵採取主動式安全措施。在開發生命週期初期找出並解決安全漏洞，有助於降低資安事件風險，以及因不符合法規而受罰的可能性。左移安全性原則提倡早期安全性測試和整合，有助於降低修復成本和複雜度。
如要實施左移安全性，請參考下列建議：
使用 Cloud Build 將安全掃描工具 (例如容器安全漏洞掃描和靜態程式碼分析) 整合至 CI/CD 管道，確保在開發流程早期自動執行安全檢查。
使用 Artifact Registry，為軟體套件和容器映像檔提供安全的中央存放區，並整合安全漏洞掃描功能，確保只部署安全的構件。使用虛擬存放區，優先處理私人構件，而非遠端存放區，藉此防範依附元件混淆攻擊。
將 Security Command Center 的 Web Security Scanner 整合至開發管道，自動掃描網頁應用程式，找出常見的安全漏洞。
使用軟體構件供應鏈級別 (SLSA) 架構，對原始碼、建構程序和程式碼來源進行安全性檢查。使用二進位授權等解決方案，強制執行環境中執行的工作負載來源。使用 Assured Open Source Software，確保工作負載只使用經過驗證的開放原始碼軟體程式庫。
追蹤開發生命週期中發現及修復的安全漏洞數量、通過安全掃描的程式碼部署作業百分比，以及軟體安全漏洞導致的安全事件減少數量。 Google Cloud 提供工具，協助您追蹤不同類型的工作負載。舉例來說，如果是容器化工作負載，請使用 Artifact Registry 的容器掃描功能。
實作預先防範網路防禦
金融機構是複雜網路攻擊的主要目標。法規通常要求組織具備強大的威脅情報和主動防禦機制。先發制人的網路防禦著重於運用進階數據分析和自動化技術，主動偵測及應對威脅。
請參考下列建議：
- 使用 Mandiant 的威脅情報、事件應變和安全驗證服務，主動找出並緩解潛在威脅。
- 使用 Google Cloud Armor，在網路邊緣保護網頁應用程式和 API，防範網路攻擊和 DDoS 攻擊。
- 使用 Security Command Center 彙整安全性發現項目和建議，並排定優先順序，讓資安團隊主動因應潛在風險。
- 定期進行安全模擬和滲透測試，驗證預防性防禦和事件應變計畫。
- 評估偵測及因應資安事件所需的時間、DDoS 緩解措施的成效，以及防範的網路攻擊數量。您可以從 Google Security Operations SOAR 資訊主頁取得所需指標和資料。
以安全且負責任的方式使用 AI，並運用 AI 強化安全防護
AI 和機器學習技術越來越常用於金融服務，例如詐欺偵測和演算法交易。法規要求這些技術必須以符合倫理、透明且安全的方式使用。AI 也能強化安全防護能力。使用 AI 時，請參考下列建議：
- 使用 Gemini Enterprise Agent Platform，在安全且受控管的環境中開發及部署機器學習模型。模型可解釋性和公平性指標等功能，有助於解決負責任 AI 的疑慮。
- 運用 Google Security Operations 的安全性分析與相關作業功能，透過 AI 和機器學習技術分析大量安全性資料、偵測異常狀況，並自動應對威脅。這些功能有助於強化整體資安態勢，並協助監控法規遵循情形。
- 針對 AI 和機器學習的開發與部署作業，制定明確的管理政策，包括安全性和倫理相關考量。
- 遵循安全 AI 架構 (SAIF) 的要素，以實際做法解決 AI 系統的安全性和風險問題。
- 追蹤 AI 輔助詐欺偵測系統的準確率和成效、安全性警示的偽陽性降幅，以及 AI 輔助安全性自動化作業帶來的效率提升。
滿足法規遵循和隱私權需求
金融服務必須遵守多項法規，包括資料落地要求、特定稽核追蹤記錄和資料保護標準。為確保機密資料能妥善識別、保護及管理，金融服務機構需要完善的資料治理政策和資料分類架構。請參考下列建議，協助您符合法規要求：
- 使用 Assured Workloads，在 Google Cloud 中為機密和受監管的工作負載設定資料邊界。這有助於您符合政府和特定產業的法規遵循要求，例如 FedRAMP 和 CJIS。
- 導入 Sensitive Data Protection，識別、分類及保護財務資訊等機密資料。這樣做有助於遵守 GDPR 和 CCPA 等資料隱私權法規。
- 使用 Cloud 稽核記錄，追蹤管理活動和資源存取權的詳細資料。這些記錄對於滿足許多金融法規規定的稽核要求至關重要。
- 為工作負載和資料選擇Google Cloud 區域時，請考量與資料落地相關的當地法規。 Google Cloud 全球基礎架構可讓您選擇符合資料落地要求的區域。
- 使用 Cloud Key Management Service，管理用於加密靜態和傳輸中機密財務資料的金鑰。這類加密是許多安全性和隱私權法規的基本要求。
- 實作必要控管措施，滿足法規要求。確認控管機制運作正常。請外部稽核人員再次驗證控管措施，向監管機構證明工作負載符合法規。
優先執行安全性計畫
考量到安全需求範圍廣泛，金融機構必須根據風險評估和法規要求，優先處理相關計畫。建議您採取下列分階段做法：
- 建立穩固的安全基礎：著重於安全性的核心領域，包括身分與存取權管理、網路安全和資料保護。這有助於建立強大的資安態勢，並確保能全面防禦不斷演變的威脅。
- 遵守重要法規：優先遵守 PCI DSS、GDPR 和相關國家/地區法律等重要法規。這麼做有助於確保資料保護、降低法律風險，並建立客戶信任。
- 實施進階安全措施：逐步採用進階安全措施，例如零信任、AI 導向安全解決方案，以及主動威脅搜尋。