העיקרון הזה, שנכלל בעמודת האבטחה של Google Cloud Well-Architected Framework, עוזר לכם לזהות את הדרישות הרגולטוריות, דרישות התאימות ודרישות הפרטיות של פריסות בענן ולעמוד בהן. הדרישות האלה משפיעות על הרבה מההחלטות שאתם צריכים לקבל לגבי אמצעי האבטחה שבהם צריך להשתמש בעומסי העבודה שלכם ב-Google Cloud.
סקירה כללית של העקרונות
עמידה בדרישות הרגולציה, התאימות והפרטיות היא אתגר שכל העסקים חייבים להתמודד איתו. הדרישות הרגולטוריות ב-Cloud תלויות בכמה גורמים, כולל:
- החוקים והתקנות שחלים על המיקומים הפיזיים של הארגון
- החוקים והתקנות שחלים על המיקומים הפיזיים של הלקוחות
- דרישות רגולטוריות בענף שלכם
תקנות הפרטיות מגדירות איך אפשר לקבל, לעבד, לאחסן ולנהל את הנתונים של המשתמשים. הנתונים שלכם שייכים לכם, כולל הנתונים שאתם מקבלים מהמשתמשים. לכן, הרבה אמצעי בקרה לשמירה על הפרטיות הם באחריותכם, כולל אמצעי בקרה לקובצי Cookie, לניהול סשנים ולקבלת הרשאת משתמש.
ההמלצות ליישום העיקרון הזה מקובצות בקטעים הבאים:
- המלצות לטיפול בסיכונים ארגוניים
- המלצות לטיפול בהתחייבויות רגולטוריות ובהתחייבויות בנושא תאימות
- המלצות לניהול ריבונות הנתונים
- המלצות לטיפול בדרישות בנושא פרטיות
המלצות לטיפול בסיכונים ארגוניים
בקטע הזה מפורטות המלצות שיעזרו לכם לזהות סיכונים לארגון ולטפל בהם.
זיהוי סיכונים לארגון
ההמלצה הזו רלוונטית לתחום ההתמקדות הבא: ניהול, סיכונים ותאימות בענן.
לפני שיוצרים ומפעילים משאבים ב- Google Cloud, צריך להשלים הערכת סיכונים. במסגרת ההערכה הזו, צריך לקבוע אילו תכונות אבטחה נדרשות כדי לעמוד בדרישות האבטחה הפנימיות ובדרישות הרגולטוריות החיצוניות.
הערכת הסיכונים מספקת קטלוג של סיכונים ספציפיים לארגון, ומעדכנת אתכם לגבי היכולת של הארגון לזהות איומי אבטחה ולנטרל אותם. עליכם לבצע ניתוח סיכונים מיד אחרי הפריסה, וגם בכל פעם שיש שינויים בצרכים העסקיים, בדרישות הרגולטוריות או באיומים על הארגון.
כמו שצוין בעיקרון הטמעת אבטחה משלב התכנון, הסיכונים לאבטחה בסביבת ענן שונים מהסיכונים בסביבה מקומית. ההבדל הזה נובע ממודל האחריות המשותפת בענן, שמשתנה בהתאם לשירות (IaaS, PaaS או SaaS) ולשימוש שלכם. מומלץ להשתמש במסגרת להערכת סיכונים שספציפית לענן, כמו מטריצת בקרת הענן (CCM). כדאי להשתמש במודלים של איומים, כמו OWASP application threat modeling, כדי לזהות נקודות חולשה ולטפל בהן. כדי לקבל עזרה ממומחים בהערכות סיכונים, אפשר לפנות לאיש הקשר האחראי לחשבון Google או לעיין ב Google Cloudמדריך השותפים.
אחרי שממפים את הסיכונים, צריך להחליט איך להתמודד איתם – כלומר, אם רוצים לקבל את הסיכונים, להימנע מהם, להעביר אותם או לצמצם אותם. בקטע הבא מפורטים אמצעי בקרה להפחתת הסיכונים שאפשר להטמיע.
צמצום הסיכונים
ההמלצה הזו רלוונטית לתחום ההתמקדות הבא: ניהול, סיכונים ותאימות בענן.
כשמאמצים שירותי ענן ציבורי חדשים, אפשר לצמצם את הסיכונים באמצעות אמצעי בקרה טכניים, הגנות חוזיות ואימותים או אישורים של צד שלישי.
אמצעי בקרה טכניים הם תכונות וטכנולוגיות שבהן אתם משתמשים כדי להגן על הסביבה שלכם. הם כוללים אמצעי בקרה מובנים לאבטחת הענן, כמו חומות אש ורישום ביומן. אמצעי בקרה טכניים יכולים לכלול גם שימוש בכלים של צד שלישי כדי לחזק או לתמוך באסטרטגיית האבטחה שלכם. יש שתי קטגוריות של אמצעי בקרה טכניים:
- אתם יכולים להטמיע את אמצעי בקרת האבטחה של Google Cloudכדי לצמצם את הסיכונים שרלוונטיים לסביבה שלכם. לדוגמה, אפשר לאבטח את החיבור בין הרשתות המקומיות לרשתות הענן באמצעות Cloud VPN ו-Cloud Interconnect.
- ל-Google יש אמצעי בקרה פנימיים חזקים וביקורת כדי להגן על נתוני הלקוחות מפני גישה של גורמים פנימיים. יומני הביקורת שלנו מספקים לכם יומנים כמעט בזמן אמת של גישת אדמין ב-Google ב- Google Cloud.
הגנות חוזיות הן התחייבויות משפטיות שלנו לגבי Google Cloud שירותים. Google מחויבת לשמור על תיק התאימות שלנו ולהרחיב אותו. בנספח לעיבוד נתונים ב-Cloud (CDPA) מפורטת המחויבות שלנו לעיבוד הנתונים שלכם ולאבטחה שלהם. בנוסף, חוק ה-CDPA מפרט את אמצעי בקרת הגישה שמגבילים את הגישה של מהנדסי התמיכה של Google לסביבות של לקוחות, ומתאר את תהליך הרישום והאישור הקפדני שלנו. מומלץ לבדוק את אמצעי הבקרה החוזיים של Google Cloudבעזרת מומחים משפטיים ורגולטוריים, ולוודא שהם עומדים בדרישות שלכם. אם אתם צריכים מידע נוסף, פנו לאיש הקשר הטכני שאחראי על החשבון שלכם.
אימותים או הצהרות של צד שלישי מתייחסים למצב שבו ספק צד שלישי מבצע ביקורת על ספק הענן כדי לוודא שהוא עומד בדרישות התאימות. לדוגמה, כדי לקבל מידע על Google Cloud אישורים בהתאם להנחיות של ISO/IEC 27017, אפשר לעיין במאמר ISO/IEC 27017 – תאימות. כדי לראות את Google Cloud האישורים ומכתבי האישור העדכניים, אפשר להיכנס אל מרכז המשאבים בנושא תאימות.
המלצות לטיפול בחובות רגולטוריות ובחובות שקשורות לעמידה בדרישות
תהליך אופייני של עמידה בדרישות כולל שלושה שלבים: הערכה, תיקון פערים ומעקב מתמשך. בקטע הזה מופיעות המלצות שאפשר להשתמש בהן בכל אחד מהשלבים האלה.
הערכת צורכי התאימות
ההמלצה הזו רלוונטית לתחום ההתמקדות הבא: ניהול, סיכונים ותאימות בענן.
הערכת התאימות מתחילה בבדיקה יסודית של כל החובות הרגולטוריות שלכם ושל האופן שבו העסק שלכם מיישם אותן. כדי לעזור לכם להעריך את השירותים Google Cloud , תוכלו להיעזר במרכז המשאבים בנושא תאימות. באתר הזה מופיע מידע על הנושאים הבאים:
- תמיכה בשירותים עבור תקנות שונות
- Google Cloud אישורים והצהרות
כדי להבין טוב יותר את מחזור החיים של התאימות ב-Google ואיך אפשר לעמוד בדרישות שלכם, אתם יכולים לפנות למחלקת המכירות ולבקש עזרה ממומחה לתאימות ב-Google. אפשר גם לפנות אלGoogle Cloud מנהל החשבון שלכם כדי לבקש סדנה בנושא תאימות.
מידע נוסף על כלים ומשאבים שאפשר להשתמש בהם כדי לנהל את האבטחה והתאימות של עומסי עבודה ב- Google Cloud זמין במאמר הבטחת תאימות בענן.
אוטומציה של הטמעה של דרישות תאימות
ההמלצה הזו רלוונטית לתחום ההתמקדות הבא: ניהול, סיכונים ותאימות בענן.
כדי לעזור לכם לעמוד בדרישות הרגולטוריות המשתנות, כדאי לבדוק אם אתם יכולים להגדיר אוטומציה של אופן ההטמעה של דרישות התאימות. אתם יכולים להשתמש ביכולות שמתמקדות בתאימות, ש Google Cloud מספקת, ובתוכניות שמשתמשות בהגדרות מומלצות למשטר תאימות מסוים.
Assured Workloads מבוסס על אמצעי הבקרה ב- Google Cloud כדי לעזור לכם לעמוד בחובות התאימות שלכם. התכונה Assured Workloads מאפשרת לכם:
- בוחרים את משטר התאימות. לאחר מכן, הכלי מגדיר באופן אוטומטי את אמצעי הבקרה הבסיסיים לגישת כוח אדם למשטר שנבחר.
- הגדרת המיקום של הנתונים באמצעות מדיניות ארגונית, כך שהנתונים באחסון והמשאבים יישארו רק באזור הזה.
- בוחרים את האפשרות לניהול מפתחות (למשל, תקופת רוטציית המפתחות) שהכי מתאימה לדרישות האבטחה והתאימות שלכם.
- בוחרים את קריטריוני הגישה שצוות התמיכה של Google צריך לעמוד בהם כדי לעמוד בדרישות רגולטוריות מסוימות, כמו FedRAMP Moderate. לדוגמה, אתם יכולים לבחור אם אנשי התמיכה של Google השלימו את בדיקות הרקע המתאימות.
- להשתמש ב Google-owned and Google-managed encryption keys שעומדים בדרישות FIPS-140-2 ותומכים בתאימות ל-FedRAMP Moderate. כדי להוסיף עוד שכבת שליטה ולבצע הפרדת תפקידים, אפשר להשתמש במפתחות הצפנה בניהול הלקוח (CMEK). מידע נוסף על מפתחות זמין במאמר הצפנת נתונים במנוחה ובמעבר.
בנוסף ל-Assured Workloads, אתם יכולים להשתמש Google Cloud בתוכניות אב שרלוונטיות למשטר התאימות שלכם. אתם יכולים לשנות את התוכניות האלה כדי לשלב את מדיניות האבטחה שלכם בפריסות של התשתית.
כדי לעזור לכם לבנות סביבה שתומכת בדרישות התאימות שלכם, התוכניות והמדריכים של Google כוללים הגדרות מומלצות ומספקים מודולים של Terraform. בטבלה הבאה מפורטות תוכניות שמטפלות באבטחה ובהתאמה לדרישות התאימות.
| דרישה | תוכניות ניהול ומדריכי פתרונות |
|---|---|
| FedRAMP | |
| HIPAA |
מעקב אחרי התאימות
ההמלצה הזו רלוונטית לתחומי ההתמקדות הבאים:
- משילות, סיכונים ותאימות בענן
- רישום ביומן, מעקב וביקורת
ברוב התקנות נדרש מעקב אחרי פעילויות מסוימות, כולל פעילויות שקשורות לגישה. כדי לעזור לכם במעקב, אתם יכולים להשתמש ב:
- Access Transparency: צפייה ביומנים שמתעדכנים כמעט בזמן אמת כש Google Cloud אדמינים ניגשים לתוכן שלכם.
- רישום ביומן של כללי חומת אש: תיעוד של חיבורי TCP ו-UDP בתוך רשת VPC לכל הכללים שיוצרים. היומנים האלה יכולים להיות שימושיים לביקורת על גישה לרשת או למתן אזהרה מוקדמת על כך שהרשת נמצאת בשימוש באופן לא מאושר.
- VPC Flow Logs: רישום של זרימות תעבורת נתונים ברשת שנשלחות או מתקבלות על ידי מכונות וירטואליות.
- Security Command Center Premium: מעקב אחרי עמידה בתקנים שונים.
- OSSEC (או כלי אחר בקוד פתוח): רישום הפעילות של אנשים שיש להם גישת אדמין לסביבה שלכם.
- הצדקות גישה למפתחות: הצגת הסיבות לבקשת גישה למפתח.
- התראות מ-Security Command Center: קבלת התראות כשמתרחשות בעיות שקשורות לאי-תאימות. לדוגמה, לקבל התראות כשמשתמשים משביתים את האימות הדו-שלבי או כשחשבונות שירות מקבלים יותר מדי הרשאות. אפשר גם להגדיר תיקון אוטומטי להתראות ספציפיות.
המלצות לניהול ריבונות הנתונים
ההמלצה הזו רלוונטית לתחום ההתמקדות הבא: ניהול, סיכונים ותאימות בענן.
ריבונות נתונים מספקת לכם מנגנון למניעת גישה של Google לנתונים שלכם. אתם מאשרים גישה רק להתנהגויות של ספקי שירותים שאתם מסכימים שהן נחוצות. לדוגמה, אתם יכולים לנהל את ריבונות הנתונים שלכם בדרכים הבאות:
- אחסון וניהול של מפתחות הצפנה מחוץ לענן.
- הענקת גישה למפתחות האלה על סמך הצדקות גישה מפורטות.
- הגנה על נתונים בשימוש באמצעות Confidential Computing.
ניהול הריבונות התפעולית
ההמלצה הזו רלוונטית לתחום ההתמקדות הבא: ניהול, סיכונים ותאימות בענן.
ריבונות תפעולית מספקת לכם הבטחות שאנשי Google לא יכולים לסכן את עומסי העבודה שלכם. לדוגמה, אפשר לנהל את הריבונות התפעולית בדרכים הבאות:
- הגבלת הפריסה של משאבים חדשים לאזורים ספציפיים של ספק.
- הגבלת הגישה של צוות Google על סמך מאפיינים מוגדרים מראש, כמו אזרחות או מיקום גיאוגרפי.
ניהול ריבונות תוכנה
ההמלצה הזו רלוונטית לתחום ההתמקדות הבא: ניהול, סיכונים ותאימות בענן.
ריבונות תוכנה מספקת לכם הבטחות שאתם יכולים לשלוט בזמינות של עומסי העבודה ולהריץ אותם בכל מקום שתרצו. בנוסף, אתם יכולים לשלוט בנתונים בלי להיות תלויים בספק ענן יחיד או להיות מוגבלים על ידו. ריבונות תוכנה כוללת את היכולת לשרוד אירועים שמחייבים אתכם לשנות במהירות את המקום שבו עומסי העבודה שלכם נפרסים ואת רמת החיבור החיצוני שמותרת.
לדוגמה, כדי לעזור לכם לנהל את הריבונות של התוכנה, Google Cloud תומך בפריסות היברידיות ופריסות בענן מרובה. אם אתם בוחרים פריסות מקומיות מסיבות שקשורות לריבונות על הנתונים, Google Distributed Cloud הוא שילוב של חומרה ותוכנה שמביא את Google Cloud לתוך מרכז הנתונים שלכם.
המלצות לטיפול בדרישות בנושא פרטיות
Google Cloud כולל את אמצעי הבקרה הבאים לקידום הפרטיות:
- הצפנה כברירת מחדל של כל הנתונים כשהם במנוחה, כשהם בהעברה וכשהם מעובדים.
- אמצעי הגנה מפני גישה של משתמשים פנימיים.
- תמיכה בתקנות רבות בנושא פרטיות.
בהמשך מפורטות המלצות לגבי אמצעי בקרה נוספים שאפשר להטמיע. מידע נוסף זמין במרכז המשאבים בנושא פרטיות.
שליטה במיקום אחסון הנתונים
ההמלצה הזו רלוונטית לתחום ההתמקדות הבא: ניהול, סיכונים ותאימות בענן.
המונח 'מיקום הנתונים' מתאר את המקום שבו הנתונים מאוחסנים במצב לא פעיל. הדרישות בנוגע למיקום אחסון הנתונים משתנות בהתאם למטרות של עיצוב המערכת, לבעיות רגולטוריות בתעשייה, לחוקים לאומיים, להשלכות מס ואפילו לתרבות.
השליטה במיקום האחסון של הנתונים מתחילה בפעולות הבאות:
- חשוב להבין את סוג הנתונים ואת המיקום שלהם.
- קובעים אילו סיכונים קיימים לגבי הנתונים שלכם ואילו חוקים ותקנות חלים עליהם.
- שליטה במיקום האחסון של הנתונים או לאן הם מועברים.
כדי לעזור לכם לעמוד בדרישות בנושא מיקום אחסון הנתונים, Google Cloud מאפשרת לכם לשלוט במיקום שבו הנתונים נשמרים, באופן הגישה אליהם ובאופן העיבוד שלהם. אתם יכולים להשתמש בכללי מדיניות לגבי מיקום משאבים כדי להגביל את המיקום שבו נוצרים משאבים ואת המיקום שבו הנתונים משוכפלים בין אזורים. אפשר להשתמש במאפיין המיקום של משאב כדי לזהות איפה השירות נפרס ומי אחראי לתחזוקה שלו. מידע נוסף זמין במאמר בנושא שירותים שנתמכים במיקומי משאבים.
סיווג של מידע סודי
ההמלצה הזו רלוונטית לתחום ההתמקדות הבא: אבטחת נתונים.
אתם צריכים להגדיר אילו נתונים הם סודיים, ואז לוודא שהנתונים הסודיים מוגנים בצורה נכונה. נתונים סודיים יכולים לכלול מספרי כרטיסי אשראי, כתובות, מספרי טלפון ופרטים אישיים מזהים (PII) אחרים. באמצעות Sensitive Data Protection, אפשר להגדיר סיווגים מתאימים. לאחר מכן תוכלו לתייג את הנתונים ולהמיר אותם לטוקנים לפני שתאחסנו אותם ב- Google Cloud. בנוסף, Knowledge Catalog מציע שירות קטלוג שמאפשר לאחסן את המטא-נתונים, לנהל אותם ולגשת אליהם. מידע נוסף ודוגמה לסיווג נתונים ולהסרת פרטים מזהים מופיעים במאמר הסרת פרטים מזהים וזיהוי מחדש של פרטים אישיים מזהים (PII) באמצעות Sensitive Data Protection.
נעילת הגישה למידע אישי רגיש
ההמלצה הזו רלוונטית לתחומי ההתמקדות הבאים:
- אבטחת מידע
- ניהול זהויות והרשאות גישה
כדי להציב מידע רגיש באזור אבטחה משלו, אפשר להשתמש ב-VPC Service Controls. VPC Service Controls משפר את היכולת שלכם לצמצם את הסיכון להעתקה או להעברה לא מורשות של נתונים (זליגת נתונים) משירותים שמנוהלים על ידי Google. בעזרת VPC Service Controls, אתם יכולים להגדיר גבולות גזרה לאבטחה מסביב למשאבים של השירותים שמנוהלים על ידי Google, כדי לשלוט בתנועת הנתונים בתוך הגבולות. מגדירים אמצעי בקרה לגישה לנתונים האלה באמצעות ניהול הזהויות והרשאות הגישה (IAM) של Google. הגדרת אימות רב-שלבי (MFA) לכל המשתמשים שנדרשת להם גישה למידע אישי ורגיש.