Questo principio del pilastro della sicurezza del Google Cloud Well-Architected Framework ti aiuta a identificare e soddisfare i requisiti normativi, di conformità e di privacy per i deployment cloud. Questi requisiti influenzano molte delle decisioni da prendere in merito ai controlli di sicurezza da utilizzare per i workload inGoogle Cloud.
Panoramica del principio
Soddisfare le esigenze normative, di conformità e di privacy è una sfida inevitabile per tutte le aziende. I requisiti normativi del cloud dipendono da diversi fattori, tra cui:
- Le leggi e normative applicabili alle sedi fisiche della tua organizzazione
- Le leggi e normative vigenti nelle località fisiche dei tuoi clienti
- Requisiti normativi del tuo settore
Le normative sulla privacy definiscono le modalità di ottenimento, elaborazione, archiviazione e gestione dei dati degli utenti. I dati sono di tua proprietà, inclusi quelli che ricevi dai tuoi utenti. Pertanto, molti controlli per la privacy sono di tua responsabilità, inclusi i controlli per i cookie, la gestione delle sessioni e l'ottenimento dell'autorizzazione dell'utente.
I consigli per implementare questo principio sono raggruppati nelle seguenti sezioni:
- Suggerimenti per affrontare i rischi organizzativi
- Suggerimenti per soddisfare gli obblighi normativi e di conformità
- Suggerimenti per gestire la sovranità dei dati
- Suggerimenti per soddisfare i requisiti di privacy
Consigli per affrontare i rischi organizzativi
Questa sezione fornisce suggerimenti per aiutarti a identificare e affrontare i rischi per la tua organizzazione.
Identifica i rischi per la tua organizzazione
Questo suggerimento è pertinente alla seguente area di interesse: governance, rischio e conformità del cloud.
Prima di creare ed eseguire il deployment delle risorse su Google Cloud, completa un'analisi del rischio. Questa valutazione dovrebbe determinare le funzionalità di sicurezza necessarie per soddisfare i requisiti di sicurezza interni e i requisiti normativi esterni.
L'analisi del rischio ti fornisce un catalogo dei rischi specifici dell'organizzazione e ti informa sulla capacità della tua organizzazione di rilevare e contrastare le minacce alla sicurezza. Devi eseguire un'analisi dei rischi immediatamente dopo il deployment e ogni volta che cambiano le tue esigenze aziendali, i requisiti normativi o le minacce alla tua organizzazione.
Come indicato nel principio Implementa la sicurezza by design, i rischi per la sicurezza in un ambiente cloud sono diversi da quelli on-premise. Questa differenza è dovuta al modello di responsabilità condivisa nel cloud, che varia in base al servizio (IaaS, PaaS o SaaS) e al tuo utilizzo. Utilizza un framework di analisi del rischio specifico per il cloud, come Cloud Controls Matrix (CCM). Utilizza la modellazione delle minacce, come la modellazione delle minacce alle applicazioni OWASP, per identificare e risolvere le vulnerabilità. Per ricevere assistenza da esperti per le analisi del rischio, contatta il tuo rappresentante Google per l'account o consulta la directory dei partner di Google Cloud.
Dopo aver catalogato i rischi, devi stabilire come affrontarli, ovvero se accettarli, evitarli, trasferirli o mitigarli. Per i controlli di mitigazione che puoi implementare, consulta la sezione successiva sulla mitigazione dei rischi.
Mitiga i rischi
Questo suggerimento è pertinente alla seguente area di interesse: governance, rischio e conformità del cloud.
Quando adotti nuovi servizi cloud pubblico, puoi mitigare i rischi utilizzando controlli tecnici, protezioni contrattuali e verifiche o attestazioni di terze parti.
I controlli tecnici sono funzionalità e tecnologie che utilizzi per proteggere il tuo ambiente. Questi includono controlli di sicurezza cloud integrati come firewall e logging. I controlli tecnici possono anche includere l'utilizzo di strumenti di terze parti per rafforzare o supportare la tua strategia di sicurezza. Esistono due categorie di controlli tecnici:
- Puoi implementare i controlli di sicurezza di Google Cloudper aiutarti a mitigare i rischi che si applicano al tuo ambiente. Ad esempio, puoi proteggere la connessione tra le tue reti on-premise e le tue reti cloud utilizzando Cloud VPN e Cloud Interconnect.
- Google dispone di controlli interni e audit efficaci per proteggere i dati dei clienti da accessi interni. I nostri audit log ti forniscono log quasi in tempo reale dell'accesso degli amministratori di Google su Google Cloud.
Le protezioni contrattuali si riferiscono agli impegni legali assunti da noi in merito ai serviziGoogle Cloud . Google si impegna a mantenere e ampliare il proprio portafoglio di conformità. L'Addendum per il trattamento dei dati Cloud (ATDC) descrive i nostri impegni in merito al trattamento e alla sicurezza dei tuoi dati. L'ATDC delinea anche i controlli di accesso che limitano l'accesso dei tecnici dell'assistenza Google agli ambienti dei clienti e descrive il nostro rigoroso processo di registrazione e approvazione. Ti consigliamo di esaminare i controlli contrattuali di Google Cloudcon i tuoi esperti legali e normativi e di verificare che soddisfino i tuoi requisiti. Se hai bisogno di ulteriori informazioni, contatta il tuo rappresentante dell'account tecnico.
Verifiche o attestazioni di terze parti si riferiscono all'incarico affidato a un fornitore terzo di verificare il fornitore di servizi cloud per garantire che quest'ultimo soddisfi i requisiti di conformità. Ad esempio, per informazioni sulle Google Cloud attestazioni relative alle linee guida ISO/IEC 27017, consulta ISO/IEC 27017 - Conformità. Per visualizzare le certificazioni e le lettere di attestazione Google Cloud attuali, consulta il Centro risorse per la conformità.
Suggerimenti per soddisfare gli obblighi normativi e di conformità
Un tipico percorso di conformità passa attraverso tre fasi: la valutazione, la correzione delle lacune e il monitoraggio continuo. Questa sezione fornisce suggerimenti che puoi utilizzare durante ciascuna di queste fasi.
Valuta le tue esigenze di conformità
Questo suggerimento è pertinente alla seguente area di interesse: governance, rischio e conformità del cloud.
La valutazione della conformità inizia con un esame approfondito di tutti gli obblighi normativi e di come l'azienda li sta implementando. Per aiutarti nella valutazione dei servizi Google Cloud , utilizza il Centro risorse per la conformità. Questo sito fornisce informazioni su:
- Supporto del servizio per varie normative
- Certificazioni e attestatiGoogle Cloud
Per comprendere meglio il ciclo di vita della conformità in Google e come soddisfare i requisiti, puoi contattare il team di vendita per richiedere l'aiuto di uno specialista della conformità Google. In alternativa, puoi contattare il tuo account managerGoogle Cloud per richiedere un workshop sulla conformità.
Per saperne di più sugli strumenti e sulle risorse che puoi utilizzare per gestire la sicurezza e la conformità dei workload Google Cloud , consulta Garantire la conformità nel cloud.
Automatizza l'implementazione dei requisiti di conformità
Questo suggerimento è pertinente alla seguente area di interesse: governance, rischio e conformità del cloud.
Per aiutarti a rispettare le normative in continua evoluzione, determina se puoi automatizzare l'implementazione dei requisiti di conformità. Puoi utilizzare sia le funzionalità incentrate sulla conformità fornite da Google Cloud sia i blueprint che utilizzano le configurazioni consigliate per un determinato regime di conformità.
Assured Workloads si basa sui controlli di Google Cloud per aiutarti a soddisfare i tuoi obblighi di conformità. Assured Workloads ti consente di:
- Seleziona il regime di conformità. In seguito, lo strumento imposta automaticamente i controlli di accesso del personale di base per il regime selezionato.
- Imposta la località dei tuoi dati utilizzando le policy dell'organizzazione in modo che i dati at-rest e le risorse rimangano solo in quella regione.
- Seleziona l'opzione di gestione delle chiavi (ad esempio il periodo di rotazione della chiave) che meglio soddisfa i tuoi requisiti di sicurezza e conformità.
- Seleziona i criteri di accesso per il personale dell'Assistenza Google per soddisfare determinati requisiti normativi, come FedRAMP Moderate. Ad esempio, puoi selezionare se il personale dell'Assistenza Google ha completato i controlli dei precedenti appropriati.
- Utilizza Google-owned and Google-managed encryption keys conformi allo standard FIPS-140-2 e alla conformità FedRAMP Moderate. Per un ulteriore livello di controllo e per la separazione dei compiti, puoi utilizzare le chiavi di crittografia gestite dal cliente (CMEK). Per saperne di più sulle chiavi, consulta Cripta i dati at-rest e in transito.
Oltre ad Assured Workloads, puoi utilizzare i blueprint Google Cloud pertinenti al tuo regime di conformità. Puoi modificare questi progetti base per incorporare le tue policy di sicurezza nei deployment dell'infrastruttura.
Per aiutarti a creare un ambiente che supporti i tuoi requisiti di conformità, i progetti e le guide alle soluzioni di Google includono configurazioni consigliate e forniscono moduli Terraform. La tabella seguente elenca i progetti base che riguardano la sicurezza e l'allineamento ai requisiti di conformità.
| Requisito | Progetti di base e guide alle soluzioni |
|---|---|
| FedRAMP | |
| HIPAA |
Monitora la conformità
Questo suggerimento è pertinente alle seguenti aree di interesse:
- Governance, rischio e conformità del cloud
- Logging, monitoraggio e auditing
La maggior parte delle normative richiede il monitoraggio di particolari attività, tra cui quelle relative all'accesso. Per facilitare il monitoraggio, puoi utilizzare quanto segue:
- Access Transparency: visualizza i log quasi in tempo reale quando gli amministratori di Google Cloud accedono ai tuoi contenuti.
- Logging delle regole firewall: registra le connessioni TCP e UDP all'interno di una rete VPC per tutte le regole che crei. Questi log possono essere utili per controllare l'accesso alla rete o per avvisare preventivamente che la rete viene utilizzata in un modo non approvato.
- Log di flusso VPC: registra i flussi di traffico di rete inviati o ricevuti dalle istanze VM.
- Security Command Center Premium: monitora la conformità a vari standard.
- OSSEC (o un altro strumento open source): registra l'attività delle persone che dispongono dell'accesso amministrativo al tuo ambiente.
- Key Access Justifications: visualizza i motivi di una richiesta di accesso alle chiavi.
- Notifiche di Security Command Center: ricevi avvisi quando si verificano problemi di non conformità. Ad esempio, ricevi avvisi quando gli utenti disattivano la verifica in due passaggi o quando i service account hanno privilegi eccessivi. Puoi anche configurare la correzione automatica per notifiche specifiche.
Suggerimenti per gestire la sovranità dei dati
Questo suggerimento è pertinente alla seguente area di interesse: governance, rischio e conformità del cloud.
La sovranità dei dati ti fornisce un meccanismo per impedire a Google di accedere ai tuoi dati. Approvi l'accesso solo per i comportamenti del provider che ritieni necessari. Ad esempio, puoi gestire la sovranità dei dati nei seguenti modi:
- Archivia e gestisci le chiavi di crittografia al di fuori del cloud.
- Concedi l'accesso a queste chiavi in base a giustificazioni di accesso dettagliate.
- Proteggi i dati in uso utilizzando Confidential Computing.
Gestisci la tua sovranità operativa
Questo suggerimento è pertinente alla seguente area di interesse: governance, rischio e conformità del cloud.
La sovranità operativa garantisce che il personale di Google non possa compromettere i workload. Ad esempio, puoi gestire la sovranità operativa nei seguenti modi:
- Limitare il deployment delle nuove risorse a regioni specifiche del provider.
- Limitare l'accesso del personale Google in base ad attributi predefiniti come cittadinanza o posizione geografica.
Gestisci la sovranità software
Questo suggerimento è pertinente alla seguente area di interesse: governance, rischio e conformità del cloud.
La sovranità del software ti fornisce la certezza che puoi controllare la disponibilità dei tuoi workload ed eseguirli ovunque. Inoltre, puoi avere questo controllo senza dipendere da un unico cloud provider o esserne vincolato. La sovranità del software include la capacità di sopravvivere a eventi che richiedono di cambiare rapidamente il luogo in cui sono distribuiti i workload e il livello di connessione esterna consentito.
Ad esempio, per aiutarti a gestire la sovranità del software, Google Cloud supporta deployment ibridi e multi-cloud. Se scegli i deployment on-premise per motivi di sovranità dei dati, Google Distributed Cloud è una combinazione di hardware e software che porta Google Cloud nel tuo data center.
Consigli per soddisfare i requisiti di privacy
Google Cloud include i seguenti controlli che promuovono la privacy:
- Crittografia predefinita di tutti i dati at-rest, in transito e durante l'elaborazione.
- Misure di sicurezza contro l'accesso di personale interno.
- Supporto di numerose normative sulla privacy.
I seguenti suggerimenti riguardano controlli aggiuntivi che puoi implementare. Per saperne di più, consulta il Centro risorse per la privacy.
Controlla la residenza dei dati
Questo suggerimento è pertinente alla seguente area di interesse: governance, rischio e conformità del cloud.
Per residenza dei dati si intende il luogo in cui vengono archiviati i dati at-rest. I requisiti di residenza dei dati variano in base agli obiettivi di progettazione del sistema, ai problemi normativi del settore, alle leggi nazionali, alle implicazioni fiscali e persino alla cultura.
Il controllo della residenza dei dati inizia con quanto segue:
- Comprendi il tipo di dati e la loro posizione.
- Determina quali rischi esistono per i tuoi dati e quali leggi e normative si applicano.
- Controllare dove vengono archiviati o dove vengono inviati i tuoi dati.
Per aiutarti a rispettare i requisiti di residenza dei dati, Google Cloud ti consente di controllare dove vengono archiviati i tuoi dati, come vengono consultati e come vengono elaborati. Puoi utilizzare le policy sulla località delle risorse per limitare i luoghi di creazione delle risorse e quelli di replica dei dati tra le regioni. Puoi utilizzare la proprietà location di una risorsa per identificare dove viene eseguito il deployment del servizio e chi lo gestisce. Per saperne di più, consulta Servizi supportati per le località delle risorse.
Classifica i tuoi dati riservati
Questo suggerimento è pertinente alla seguente area di interesse: sicurezza dei dati.
È necessario definire quali dati sono riservati e poi garantire che i dati riservati siano adeguatamente protetti. I dati riservati possono includere numeri carta di credito, indirizzi, numeri di telefono e altre informazioni che consentono l'identificazione personale (PII). Utilizzando Sensitive Data Protection, puoi impostare classificazioni appropriate. In seguito è possibile etichettare e tokenizzare i dati prima di archiviarli in Google Cloud. Inoltre, Knowledge Catalog offre un servizio di catalogo che fornisce una piattaforma per archiviare, gestire e accedere ai tuoi metadati. Per ulteriori informazioni e un esempio di classificazione e anonimizzazione dei dati, consulta Anonimizzazione e reidentificazione delle PII utilizzando Sensitive Data Protection.
Blocca l'accesso ai dati sensibili
Questo suggerimento è pertinente alle seguenti aree di interesse:
- Sicurezza dei dati
- Gestione di identità e accessi
Posiziona i dati sensibili nel proprio perimetro di servizio utilizzando i Controlli di servizio VPC. I Controlli di servizio VPC migliorano la tua capacità di mitigare il rischio di copia o trasferimento non autorizzati di dati (esfiltrazione di dati) dai servizi gestiti da Google. Con i Controlli di servizio VPC, configuri i perimetri di sicurezza intorno alle risorse dei servizi gestiti da Google per controllare lo spostamento dei dati all'interno del perimetro. Imposta i controlli dell'accesso di Google Identity and Access Management (IAM) per questi dati. Configura l'autenticazione a più fattori (MFA) per tutti gli utenti che devono accedere a dati sensibili.