Ce principe du pilier "Sécurité" du Google Cloud Well-Architected Framework vous aide à identifier et à respecter les exigences réglementaires, de conformité et de confidentialité pour les déploiements cloud. Ces exigences influencent de nombreuses décisions que vous devez prendre concernant les contrôles de sécurité à utiliser pour vos charges de travail dans Google Cloud.
Présentation des principes
Répondre aux besoins réglementaires, de conformité et de confidentialité est un défi inévitable pour toutes les entreprises. Les exigences réglementaires du cloud dépendent de plusieurs facteurs, parmi lesquels :
- Les lois et réglementations qui s'appliquent aux emplacements physiques de votre organisation
- Les lois et réglementations qui s'appliquent à l'emplacement physique de vos clients
- Les exigences réglementaires de votre secteur d'activité
Les réglementations en matière de confidentialité définissent la manière dont vous pouvez obtenir, traiter, stocker et gérer les données de vos utilisateurs. Vous êtes propriétaire de vos propres données, y compris celles que vous recevez de vos utilisateurs. Par conséquent, de nombreux contrôles de confidentialité relèvent de votre responsabilité, y compris les contrôles sur les cookies, la gestion des sessions et l'obtention de l'autorisation de l'utilisateur.
Les recommandations pour mettre en œuvre ce principe sont regroupées dans les sections suivantes :
- Recommandations pour gérer les risques organisationnels
- Recommandations pour respecter les obligations réglementaires et de conformité
- Recommandations pour gérer la souveraineté de vos données
- Recommandations pour répondre aux exigences de confidentialité
Recommandations pour gérer les risques organisationnels
Cette section fournit des recommandations pour vous aider à identifier et à gérer les risques pour votre organisation.
Identifier les risques pour votre organisation
Cette recommandation concerne le domaine d'intérêt suivant : gouvernance, risques et conformité dans le cloud.
Avant de créer et de déployer des ressources sur Google Cloud, effectuez une évaluation des risques. Cette évaluation doit déterminer les fonctionnalités de sécurité dont vous avez besoin pour répondre à vos exigences de sécurité internes et à vos exigences réglementaires externes.
L'évaluation des risques vous fournit un catalogue des risques spécifiques à votre organisation et vous informe de la capacité de votre organisation à détecter et à contrer les menaces de sécurité. Vous devez effectuer une analyse des risques immédiatement après le déploiement et chaque fois que vos besoins commerciaux, vos exigences réglementaires ou les menaces qui pèsent sur votre organisation changent.
Comme indiqué dans le principe Mettre en œuvre la sécurité dès la conception, vos risques de sécurité dans un environnement cloud diffèrent des risques sur site. Cette différence est due au modèle de responsabilité partagée dans le cloud, qui varie en fonction du service (IaaS, PaaS ou SaaS) et de votre utilisation. Utilisez un framework d'évaluation des risques spécifique au cloud, comme la Cloud Controls Matrix (CCM). Utilisez la modélisation des menaces, comme la modélisation des menaces d'application de l'OWASP, pour identifier et corriger les failles. Pour obtenir une aide spécialisée concernant les évaluations des risques, contactez votre responsable de compte Google ou consultez Google Cloud's l'annuaire des partenaires.
Après avoir catalogué vos risques, vous devez déterminer comment les corriger, c'est-à-dire si vous souhaitez les accepter, les éviter, les transférer ou les limiter. Pour connaître les contrôles d'atténuation que vous pouvez mettre en œuvre, consultez la section suivante sur la limitation des risques.
Limiter vos risques
Cette recommandation concerne le domaine d'intérêt suivant : gouvernance, risques et conformité dans le cloud.
Lorsque vous adoptez de nouveaux services cloud public, vous pouvez limiter les risques à l'aide de contrôles techniques, de protections contractuelles et d'attestations ou de vérifications tierces.
Les contrôles techniques sont des fonctionnalités et des technologies que vous utilisez pour protéger votre environnement. Celles-ci incluent des contrôles de sécurité cloud intégrés, tels que les pare-feu et la journalisation. Les contrôles techniques peuvent également inclure l'utilisation d'outils tiers pour renforcer ou soutenir votre stratégie de sécurité. Il existe deux catégories de contrôles techniques :
- Vous pouvez mettre en œuvre les contrôles de sécurité de Google Cloudpour vous aider à limiter les risques qui s'appliquent à votre environnement. Par exemple, vous pouvez sécuriser la connexion entre vos réseaux sur site et vos réseaux cloud à l'aide de Cloud VPN et Cloud Interconnect.
- Google a mis en place des contrôles internes et des audits rigoureux pour se protéger contre les accès d'initiés aux données client. Nos journaux d'audit vous fournissent des journaux en temps quasi réel sur l'accès administrateur à Google sur Google Cloud.
Les protections contractuelles désignent les engagements juridiques que nous avons pris concernant Google Cloud les services. Google Cloud s'engage à maintenir et à développer notre portefeuille de solutions de conformité. Le Cloud Data Processing Addendum (CDPA) décrit nos engagements concernant le traitement et la sécurité de vos données. L'ATDC décrit également les contrôles d'accès qui limitent l'accès des ingénieurs de l'assistance Google aux environnements des clients, ainsi que notre processus rigoureux de journalisation et d'approbation. Nous vous recommandons de consulter Google Cloud's les contrôles contractuels de avec vos experts juridiques et réglementaires, et de vérifier qu' ils répondent à vos exigences. Pour en savoir plus, contactez votre responsable de compte technique.
Les vérifications ou attestations tierces consistent à demander à un fournisseur tiers d'effectuer un audit du fournisseur de services cloud pour s'assurer qu'il répond aux exigences de conformité. Par exemple, pour en savoir plus sur les Google Cloud attestations de concernant les consignes ISO/IEC 27017, consultez ISO/IEC 27017 – Conformité. Pour consulter les certifications et les lettres d'attestation actuelles Google Cloud , consultez le Centre de ressources pour la conformité .
Recommandations pour respecter les obligations réglementaires et de conformité
Un processus de conformité typique comporte trois étapes : évaluation, correction des lacunes et surveillance continue. Cette section fournit des recommandations que vous pouvez utiliser à chacune de ces étapes.
Évaluer vos besoins en conformité
Cette recommandation concerne le domaine d'intérêt suivant : gouvernance, risques et conformité dans le cloud.
L'évaluation de la conformité commence par un examen approfondi de toutes vos obligations réglementaires et de la façon dont votre entreprise les met en œuvre. Pour vous aider à évaluer les services Google Cloud , utilisez le Centre de ressources pour la conformité. Ce site fournit des informations sur les éléments suivants :
- Compatibilité du service avec les différentes réglementations
- Google Cloud Certifications et attestations
Pour mieux comprendre le cycle de vie de la conformité chez Google et découvrir comment respecter vos obligations réglementaires, vous pouvez contacter le service commercial pour demander l'aide d'un spécialiste de la conformité Google. Vous pouvez également contacter votre Google Cloud responsable de compte pour demander un atelier sur la conformité.
Pour en savoir plus sur les outils et les ressources que vous pouvez utiliser pour gérer la sécurité et la conformité des Google Cloud charges de travail, consultez Assurer la conformité dans le cloud.
Automatiser la mise en œuvre des exigences de conformité
Cette recommandation concerne le domaine d'intérêt suivant : gouvernance, risques et conformité dans le cloud.
Pour vous aider à respecter les réglementations changeantes, déterminez si vous pouvez automatiser la mise en œuvre des exigences de conformité. Vous pouvez utiliser à la fois les fonctionnalités axées sur la conformité fournies par Google Cloud et les plans qui utilisent des configurations recommandées pour un régime de conformité particulier.
Assured Workloads s'appuie sur les contrôles de Google Cloud pour vous aider à respecter vos obligations réglementaires. Assured Workloads vous permet d'effectuer les opérations suivantes :
- Choisir votre régime de conformité. L'outil définit ensuite automatiquement les contrôles d'accès pour le personnel de référence pour le régime sélectionné.
- Définir l'emplacement de vos données à l'aide de règles d'administration afin que vos données au repos et vos ressources ne résident que dans la région de votre choix.
- Choisir l'option de gestion des clés (par exemple, la période de rotation des clés) qui correspond le mieux à vos exigences de sécurité et de conformité.
- Sélectionner les critères d'accès du personnel d'assistance Google pour répondre à certaines exigences réglementaires telles que le niveau d'impact modéré du FedRAMP. Par exemple, vous pouvez indiquer si le personnel d'assistance Google a fait l'objet d'une vérification d'antécédents appropriée.
- Utiliser des clés Google-owned and Google-managed encryption keys conformes à la norme FIPS-140-2 et compatibles avec le niveau d'impact modéré du programme FedRAMP. Pour ajouter une couche de contrôle et de séparation des tâches, vous pouvez utiliser des clés de chiffrement gérées par le client (CMEK). Pour en savoir plus sur les clés, consultez Chiffrer les données au repos et en transit.
En plus d'Assured Workloads, vous pouvez utiliser Google Cloud des plans pertinents pour votre régime de conformité. Vous pouvez modifier ces plans pour intégrer vos règles de sécurité dans vos déploiements d'infrastructure.
Pour vous aider à créer un environnement qui répond à vos exigences de conformité, les plans et les guides de solution de Google incluent des configurations recommandées et fournissent des modules Terraform. Le tableau suivant répertorie les plans qui répondent aux problématiques de sécurité et de respect des obligations réglementaires.
| Exigence | Plans et guides de solution |
|---|---|
| FedRAMP | |
| HIPAA |
Surveiller la conformité
Cette recommandation concerne les domaines d'intérêt suivants :
- Gouvernance, risques et conformité dans le cloud
- Journalisation, surveillance et audit
La plupart des réglementations vous obligent à surveiller des activités particulières, ce qui inclut parfois les activités liées à l'accès. Pour vous aider à effectuer cette surveillance, vous pouvez utiliser les éléments suivants :
- Access Transparency : affichez des journaux en temps quasi réel lorsque les Google Cloud administrateurs accèdent à votre contenu.
- Journalisation des règles de pare-feu: enregistrez les connexions TCP et UDP au sein d'un réseau VPC pour toutes les règles que vous créez. Ces journaux peuvent vous être utiles pour auditer l'accès au réseau ou pour identifier le plus tôt possible les cas d'utilisation non approuvée du réseau.
- Journaux de flux VPC: enregistrez les flux de trafic réseau envoyés ou reçus par les instances de VM.
- Security Command Center Premium : surveillez la conformité avec différentes normes.
- OSSEC (ou un autre outil Open Source) : consignez l'activité des personnes disposant d'un accès administrateur à votre environnement.
- Justifications d'accès aux clés : affichez les raisons d'une demande d'accès à une clé.
- Notifications Security Command Center : recevez des alertes en cas de problèmes de non-conformité. Par exemple, recevez des alertes lorsque des utilisateurs désactivent la validation en deux étapes ou lorsque des comptes de service disposent de privilèges excessifs. Vous pouvez également configurer la résolution automatique pour des notifications spécifiques.
Recommandations pour gérer la souveraineté de vos données
Cette recommandation concerne le domaine d'intérêt suivant : gouvernance, risques et conformité dans le cloud.
La souveraineté des données fournit un mécanisme qui empêche Google d'accéder à vos données. Vous n'approuvez l'accès que pour les actions fournisseur que vous jugez nécessaires. Par exemple, vous pouvez gérer la souveraineté de vos données de différentes manières :
- Stocker et gérer les clés de chiffrement en dehors du cloud.
- Accorder l'accès à ces clés sur la base de justifications d'accès détaillées .
- Protéger les données utilisées à l'aide de l'informatique confidentielle.
Gérer votre souveraineté opérationnelle
Cette recommandation concerne le domaine d'intérêt suivant : gouvernance, risques et conformité dans le cloud.
La souveraineté opérationnelle vous garantit que le personnel de Google ne peut pas compromettre vos charges de travail. Par exemple, vous pouvez gérer la souveraineté opérationnelle de plusieurs manières :
- Limiter le déploiement des nouvelles ressources à des régions de fournisseur spécifiques.
- Limiter l'accès du personnel de Google en fonction d'attributs prédéfinis tels que la citoyenneté ou l'emplacement géographique.
Gérer la souveraineté logicielle
Cette recommandation concerne le domaine d'intérêt suivant : gouvernance, risques et conformité dans le cloud.
La souveraineté logicielle vous garantit que vous pouvez contrôler la disponibilité de vos charges de travail et les exécuter où vous le souhaitez. Vous pouvez également exercer ce contrôle sans dépendre d'un seul fournisseur cloud. La souveraineté logicielle inclut la capacité à survivre aux événements qui nécessitent de modifier rapidement l'emplacement de déploiement de vos charges de travail et le niveau de connexion externe autorisé.
Par exemple, pour vous aider à gérer votre souveraineté logicielle, Google Cloud est compatible avec les déploiements hybrides et multicloud. Si vous choisissez des déploiements sur site pour des raisons de souveraineté des données, Google Distributed Cloud est une combinaison de matériel et de logiciels qui apporte Google Cloud dans votre centre de données.
Recommandations pour répondre aux exigences de confidentialité
Google Cloud inclut les contrôles suivants qui favorisent la confidentialité :
- Chiffrement par défaut de toutes les données au repos, en transit et pendant leur traitement.
- Protection contre les accès par des initiés.
- Compatibilité avec de nombreuses réglementations en matière de confidentialité.
Les recommandations suivantes concernent des contrôles supplémentaires que vous pouvez mettre en œuvre. Pour en savoir plus, consultez le Centre de ressources pour la confidentialité.
Contrôler la résidence des données
Cette recommandation concerne le domaine d'intérêt suivant : gouvernance, risques et conformité dans le cloud.
La résidence des données décrit l'emplacement de stockage de vos données au repos. Les exigences de résidence des données varient en fonction des objectifs de conception des systèmes, de la réglementation applicable au secteur, de la législation nationale, des implications fiscales et même de la culture.
Le contrôle de la résidence des données commence par ce qui suit :
- Comprendre le type de données et leur emplacement
- Déterminer les risques qui existent pour vos données, et les lois et réglementations qui s'appliquent
- Contrôler l'emplacement de stockage de vos données ou leur destination
Pour vous aider à respecter les exigences de résidence des données, Google Cloud vous permet de contrôler l'emplacement de stockage de vos données, leur mode d'accès et leur traitement. Vous pouvez utiliser des règles d'emplacement des ressources pour limiter l'emplacement de création des ressources et l'emplacement des données dupliquées entre les régions. Vous pouvez utiliser la propriété "location" d'une ressource pour identifier où le service est déployé et qui le gère. Pour en savoir plus, consultez la section Services compatibles avec les emplacements de ressources.
Classer vos données confidentielles
Cette recommandation concerne le domaine d'intérêt suivant : sécurité des données.
Vous devez définir les données confidentielles, puis vous assurer qu'elles sont correctement protégées. Les données confidentielles peuvent inclure des numéros de carte de crédit, des adresses, des numéros de téléphone et d'autres informations permettant d'identifier personnellement l'utilisateur (PII). À l'aide de la protection des données sensibles, vous pouvez configurer les classifications appropriées. Vous pouvez ensuite ajouter des tags à vos données et les tokeniser avant de les stocker dans Google Cloud. En outre, Knowledge Catalog propose un service de catalogue qui fournit une plate-forme pour stocker, gérer et accéder à vos métadonnées. Pour en savoir plus et obtenir un exemple de classification et d'anonymisation des données, consultez Anonymiser et désanonymiser les informations permettant d'identifier l'utilisateur à l'aide de Sensitive Data Protection.
Verrouillage de l'accès aux données sensibles
Cette recommandation concerne les domaines d'intérêt suivants :
- Sécurité des données
- Gestion de l'authentification et des accès
Placez les données sensibles dans leur propre périmètre de service à l'aide de VPC Service Controls. VPC Service Controls vous aide à limiter les risques de copie ou de transfert non autorisé de données (exfiltration de données) à partir de services gérés par Google. Avec VPC Service Controls, vous configurez des périmètres de sécurité autour des ressources de vos services gérés par Google afin de contrôler le déplacement des données au-delà des limites des périmètres. Définissez Google Identity and Access Management (IAM) contrôles d'accès pour ces données. Configurez l'authentification multifacteur (MFA) pour tous les utilisateurs ayant besoin d'accéder à des données sensibles.