Dieses Prinzip in der Sicherheitssäule des Google Cloud Well-Architected Framework hilft Ihnen, regulatorische, Compliance- und Datenschutzanforderungen für Cloud-Bereitstellungen zu identifizieren und zu erfüllen. Diese Anforderungen beeinflussen viele der Entscheidungen, die Sie hinsichtlich der Sicherheitskontrollen treffen müssen, die für Ihre Arbeitslasten inGoogle Cloudverwendet werden müssen.
Übersicht über die Prinzipien
Die Einhaltung von behördlichen, Compliance- und Datenschutzanforderungen ist für alle Unternehmen eine unvermeidliche Herausforderung. Die regulatorischen Vorgaben an Ihre Cloud hängen von mehreren Faktoren ab, darunter:
- Die Gesetze und Bestimmungen, die für die physischen Standorte Ihrer Organisation gelten
- Die Gesetze und Bestimmungen, die für die physischen Standorte Ihrer Kunden gelten
- Die aufsichtsrechtlichen Anforderungen Ihrer Branche
Mit Datenschutzbestimmungen wird festgelegt, wie Sie die Daten Ihrer Nutzer abrufen, verarbeiten, speichern und verwalten dürfen. Sie sind Eigentümer Ihrer eigenen Daten, einschließlich der Daten, die Sie von Ihren Nutzern erhalten. Daher liegen viele Datenschutzeinstellungen in Ihrer Verantwortung, einschließlich der Einstellungen für Cookies, der Sitzungsverwaltung und der Einholung von Nutzerberechtigungen.
Die Empfehlungen zur Umsetzung dieses Prinzips sind in den folgenden Abschnitten zusammengefasst:
- Empfehlungen zum Umgang mit organisatorischen Risiken
- Empfehlungen zur Einhaltung gesetzlicher und Compliance-Anforderungen
- Empfehlungen zum Verwalten der Datenhoheit
- Empfehlungen zur Erfüllung von Datenschutzanforderungen
Empfehlungen zur Bewältigung von Organisationsrisiken
In diesem Abschnitt finden Sie Empfehlungen, mit denen Sie Risiken für Ihre Organisation erkennen und beheben können.
Risiken für Ihre Organisation erkennen
Diese Empfehlung ist für den folgenden Schwerpunktbereich relevant: Cloud-Governance, Risiko und Compliance.
Bevor Sie Ressourcen in Google Clouderstellen und bereitstellen, führen Sie eine Risikobewertung durch. Bei dieser Bewertung sollten die Sicherheitsfunktionen ermittelt werden, die Sie benötigen, um Ihre internen Sicherheitsanforderungen und externen rechtlichen Anforderungen zu erfüllen.
Die Risikobewertung bietet Ihnen einen Katalog mit organisationsspezifischen Risiken und informiert Sie über die Fähigkeit Ihrer Organisation, Sicherheitsbedrohungen zu erkennen und ihnen entgegenzuwirken. Sie müssen unmittelbar nach der Bereitstellung und immer dann, wenn sich Ihre geschäftlichen Anforderungen, die gesetzlichen Vorschriften oder die Bedrohungen für Ihre Organisation ändern, eine Risikoanalyse durchführen.
Wie im Prinzip Sicherheit durch Design implementieren erwähnt, unterscheiden sich die Sicherheitsrisiken in einer Cloud-Umgebung von den Risiken in einer lokalen Umgebung. Dieser Unterschied ist auf das Modell der gemeinsamen Verantwortung in der Cloud zurückzuführen, das je nach Dienst (IaaS, PaaS oder SaaS) und Nutzung variiert. Verwenden Sie ein cloudspezifisches Framework zur Risikobewertung wie die Cloud Controls Matrix (CCM). Verwenden Sie die Bedrohungsmodellierung, z. B. die OWASP-Anwendungsbedrohungsmodellierung, um Sicherheitslücken zu identifizieren und zu beheben. Wenn Sie fachkundige Unterstützung bei Risikobewertungen benötigen, wenden Sie sich an Ihren Google-Kundenbetreuer oder rufen Sie das Partnerverzeichnis von Google Cloudauf.
Nachdem Sie Ihre Risiken katalogisiert haben, müssen Sie festlegen, wie Sie mit ihnen umgehen möchten, d. h. ob Sie die Risiken akzeptieren, vermeiden, übertragen oder mindern möchten. Informationen zu den Maßnahmen, die Sie implementieren können, finden Sie im nächsten Abschnitt zum Minimieren von Risiken.
Risiken minimieren
Diese Empfehlung ist für den folgenden Schwerpunktbereich relevant: Cloud-Governance, Risiko und Compliance.
Wenn Sie neue öffentliche Cloud-Dienste einführen, können Sie Risiken durch technische Kontrollen, vertragliche Schutzmaßnahmen und Überprüfungen oder Bestätigungen von Drittanbietern minimieren.
Technische Steuerelemente sind Funktionen und Technologien, mit denen Sie Ihre Umgebung schützen. Dazu gehören integrierte Cloud-Sicherheitskontrollen wie Firewalls und Logging. Technische Kontrollen können auch die Verwendung von Drittanbietertools umfassen, um Ihre Sicherheitsstrategie zu stärken oder zu unterstützen. Es gibt zwei Kategorien technischer Steuerelemente:
- Sie können die Sicherheitskontrollen von Google Cloudimplementieren, um die Risiken für Ihre Umgebung zu minimieren. Sie können beispielsweise die Verbindung zwischen Ihren lokalen Netzwerken und Ihren Cloud-Netzwerken mit Cloud VPN und Cloud Interconnect sichern.
- Google umfasst robuste interne Kontrollmechanismen und Prüfungen, um den Zugriff auf Kundendaten durch Insider zu schützen. Unsere Audit-Logs bieten Ihnen nahezu in Echtzeit Logs des Zugriffs von Google-Administratoren auf Google Cloud.
Vertragliche Schutzmaßnahmen beziehen sich auf die rechtlichen Verpflichtungen, die wir in Bezug aufGoogle Cloud -Dienste eingehen. Google Cloud setzt sich für die Erhaltung und Erweiterung des Compliance-Portfolios ein. Im Zusatz zur Cloud-Datenverarbeitung sind unsere Verpflichtungen in Bezug auf die Verarbeitung und Sicherheit Ihrer Daten beschrieben. Der CDPA beschreibt außerdem die Zugriffssteuerungen, die den Zugriff durch Entwickler des Google-Supports auf die Umgebungen von Kunden beschränken, und beschreibt unser strenges Logging und einen Genehmigungsprozess. Wir empfehlen Ihnen, die vertraglichen Kontrollen von Google Cloudmit Ihren Rechts- und Regulierungsexperten zu prüfen und zu bestätigen, dass sie Ihren Anforderungen entsprechen. Wenn Sie weitere Informationen benötigen, wenden Sie sich an Ihren technischen Kundenbetreuer.
Überprüfungen oder Bescheinigungen von Drittanbietern beziehen sich darauf, dass ein Drittanbieter den Cloud-Anbieter prüft, um sicherzustellen, dass er die Compliance-Anforderungen erfüllt. Informationen zu Google Cloud -Attestierungen im Hinblick auf die ISO/IEC 27017-Richtlinien finden Sie beispielsweise unter ISO/IEC 27017 – Compliance. Die aktuellen Zertifizierungen und Bestätigungsschreiben für Google Cloud finden Sie im Center für Compliance-Ressourcen.
Empfehlungen zur Einhaltung gesetzlicher Auflagen und Compliance-Anforderungen
Compliance-Bemühungen lassen sich meist in drei Phasen untergliedern: Bewertung, Schließen von Lücken und kontinuierliches Monitoring. In diesem Abschnitt finden Sie Empfehlungen, die Sie in jeder dieser Phasen anwenden können.
Compliance-Anforderungen ermitteln
Diese Empfehlung ist für den folgenden Schwerpunktbereich relevant: Cloud-Governance, Risiko und Compliance.
Die Compliance-Bewertung beginnt mit einer gründlichen Prüfung aller regulatorischen Verpflichtungen und ihrer Implementierung in Ihrem Unternehmen. Verwenden Sie das Center für Compliance-Ressourcen, um Hilfe bei der Bewertung von Diensten von Google Cloud zu erhalten. Auf dieser Website finden Sie Informationen zu folgenden Themen:
- Dienstunterstützung für verschiedene Vorschriften
- Google Cloud -Zertifizierungen und -Attestierungen
Wenn Sie den Compliance-Lebenszyklus bei Google besser verstehen und erfahren möchten, wie Ihre Anforderungen erfüllt werden können, wenden Sie sich an den Vertrieb, um Unterstützung von einem Compliance-Spezialisten von Google zu erhalten. Sie können sich auch an Ihren Account Manager beiGoogle Cloud wenden, um einen Compliance-Workshop zu beantragen.
Weitere Informationen zu Tools und Ressourcen, mit denen Sie die Sicherheit und Compliance für Arbeitslasten von Google Cloud verwalten können, finden Sie unter Compliance in der Cloud gewährleisten.
Implementierung von Compliance-Anforderungen automatisieren
Diese Empfehlung ist für den folgenden Schwerpunktbereich relevant: Cloud-Governance, Risiko und Compliance.
Prüfen Sie, ob Sie die Implementierung von Compliance-Anforderungen automatisieren können, um die Einhaltung von sich ändernden Vorschriften zu gewährleisten. Sie können sowohl die von Google Cloud bereitgestellten Compliance-Funktionen als auch Blueprints verwenden, die empfohlene Konfigurationen für ein bestimmtes Compliance-Regime verwenden.
Assured Workloads basiert auf den Einstellungen in Google Cloud und hilft Ihnen, Ihre Compliance-Verpflichtungen zu erfüllen. Assured Workloads bietet folgende Möglichkeiten:
- Wählen Sie Ihre Compliance-Richtlinie aus. Anschließend legt das Tool automatisch die grundlegenden Zugriffssteuerungen für das ausgewählte Regime fest.
- Legen Sie den Speicherort für Ihre Daten mithilfe von Organisationsrichtlinien fest, damit Ihre ruhenden Daten und Ihre Ressourcen in dieser Region verbleiben.
- Wählen Sie die Schlüsselverwaltungsoption (z. B. den Schlüsselrotationszeitraum) aus, die Ihren Sicherheits- und Complianceanforderungen am besten entspricht.
- Wählen Sie die Zugriffskriterien für Google-Supportmitarbeiter aus, um bestimmte regulatorische Vorgaben wie FedRAMP Moderate zu erfüllen. Sie können beispielsweise auswählen, ob Google-Supportmitarbeiter die entsprechenden Zuverlässigkeitsüberprüfungen abgeschlossen haben.
- Verwenden Sie Google-owned and Google-managed encryption keys , die FIPS-140-2-konform sind und die FedRAMP Moderate-Compliance unterstützen. Für eine zusätzliche Kontrollebene und Aufgabentrennung können Sie kundenverwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEKs) verwenden. Weitere Informationen zu Schlüsseln finden Sie unter Ruhende und übertragene Daten verschlüsseln.
Zusätzlich zu Assured Workloads können Sie Google Cloud-Blueprints verwenden, die für Ihre Compliance-Anforderungen relevant sind. Sie können diese Blueprints ändern, um Ihre Sicherheitsrichtlinien in Ihre Infrastrukturbereitstellungen einzubinden.
Die Blueprints und Lösungsleitfäden von Google enthalten empfohlene Konfigurationen und Terraform-Module, mit denen Sie eine Umgebung erstellen können, die Ihre Compliance-Anforderungen unterstützt. In der folgenden Tabelle sind Blueprints aufgeführt, die die Sicherheit und die Einhaltung von Compliance-Anforderungen betreffen.
| Anforderung | Blueprints und Lösungsleitfäden |
|---|---|
| FedRAMP | |
| HIPAA |
Compliance überwachen
Diese Empfehlung ist für die folgenden Schwerpunkte relevant:
- Cloud-Governance, -Risiko und -Compliance
- Logging, Überwachung und Prüfung
Bei den meisten Vorschriften müssen Sie bestimmte Aktivitäten, einschließlich des Zugriffs, überwachen. Folgendes können Sie beim Monitoring als Hilfe verwenden:
- Access Transparency: Logs nahezu in Echtzeit abrufen, wenn Google Cloud -Administratoren auf Ihre Inhalte zugreifen.
- Firewallregel-Logging: Zeichnen Sie TCP- und UDP-Verbindungen in einem VPC-Netzwerk für alle von Ihnen erstellten Regeln auf. Diese Logs können nützlich sein, um den Netzwerkzugriff zu prüfen oder frühzeitig auf eine unzulässige Netzwerknutzung hinzuweisen.
- VPC-Flusslogs: Zeichnen den von VM-Instanzen gesendeten oder empfangenen Netzwerkverkehr auf.
- Security Command Center Premium: Überwachung der Compliance mit verschiedenen Standards.
- OSSEC (oder ein anderes Open-Source-Tool): Logging der Aktivität von Personen mit Administratorzugriff auf die Umgebung.
- Key Access Justifications: Gründe für eine Schlüsselzugriffsanfrage aufrufen.
- Security Command Center-Benachrichtigungen: Sie erhalten Benachrichtigungen, wenn Probleme mit der Compliance auftreten. Sie können sich beispielsweise benachrichtigen lassen, wenn Nutzer die Bestätigung in zwei Schritten deaktivieren oder wenn Dienstkonten überprivilegiert sind. Sie können auch die automatische Korrektur für bestimmte Benachrichtigungen einrichten.
Empfehlungen zur Verwaltung Ihrer Datenhoheit
Diese Empfehlung ist für den folgenden Schwerpunktbereich relevant: Cloud-Governance, Risiko und Compliance.
Datenhoheit bietet Ihnen einen Mechanismus, durch den Google nicht auf Ihre Daten zugreifen kann. Sie genehmigen den Zugriff nur für Anbieterverhalten, dem Sie zustimmen. Beispielsweise können Sie Ihre Datenhoheit so verwalten:
- Verschlüsselungsschlüssel außerhalb der Cloud speichern und verwalten.
- Gewähren Sie Zugriff auf diese Schlüssel basierend auf detaillierten Zugriffsbegründungen.
- Aktive Daten mit Confidential Computing schützen
Betriebshoheit verwalten
Diese Empfehlung ist für den folgenden Schwerpunktbereich relevant: Cloud-Governance, Risiko und Compliance.
Die operative Souveränität sorgt dafür, dass Google-Mitarbeiter Ihre Arbeitslasten nicht beeinträchtigen können. Beispielsweise können Sie die operative Souveränität so verwalten:
- Beschränken Sie das Bereitstellen neuer Ressourcen auf bestimmte Anbieterregionen.
- Schränken Sie den Zugriff von Google-Mitarbeitern anhand vordefinierter Attribute wie der Staatsbürgerschaft oder dem geografischen Standort ein.
Softwarehoheit verwalten
Diese Empfehlung ist für den folgenden Schwerpunktbereich relevant: Cloud-Governance, Risiko und Compliance.
Die Softwarehoheit bietet Ihnen die Sicherheit, dass Sie die Verfügbarkeit Ihrer Arbeitslasten steuern und sie überall ausführen können. Außerdem können Sie diese Kontrolle haben, ohne von einem einzelnen Cloud-Anbieter abhängig oder an ihn gebunden zu sein. Die Softwarehoheit umfasst die Fähigkeit, Ereignisse zu überstehen, bei denen Sie schnell ändern müssen, wo Ihre Arbeitslasten bereitgestellt werden und welches Maß an externer Verbindung zulässig ist.
Google Cloudunterstützt beispielsweise Hybrid- und Multi-Cloud-Bereitstellungen, um Sie bei der Verwaltung Ihrer Softwaresouveränität zu unterstützen. Wenn Sie sich aus Gründen der Datensouveränität für lokale Bereitstellungen entscheiden, ist Google Distributed Cloud eine Kombination aus Hardware und Software, die Google Cloud in Ihr Rechenzentrum bringt.
Empfehlungen zur Erfüllung von Datenschutzanforderungen
Google Cloud umfasst die folgenden Einstellungen, die den Datenschutz fördern:
- Standardmäßige Verschlüsselung aller Daten im Ruhezustand, während der Übertragung und bei der Verarbeitung.
- Schutzmaßnahmen vor Insiderzugriffen.
- Unterstützung zahlreicher Datenschutzbestimmungen.
Die folgenden Empfehlungen beziehen sich auf zusätzliche Kontrollen, die Sie implementieren können. Weitere Informationen finden Sie im Datenschutz-Center.
Datenstandort steuern
Diese Empfehlung ist für den folgenden Schwerpunktbereich relevant: Cloud-Governance, Risiko und Compliance.
Mit Datenstandort wird beschrieben, wo Ihre inaktiven Daten gespeichert werden. Die Anforderungen an den Datenstandort hängen von den Zielsetzungen von Systemdesigns, branchenüblichen Vorschriften, nationalen Gesetzen, Steuerbelangen und sogar der Kultur ab.
Die Steuerung des Datenstandorts beginnt mit Folgendem:
- Datentyp und Speicherort kennen.
- Ermitteln Sie, welche Risiken für Ihre Daten bestehen und welche Gesetze und Bestimmungen gelten.
- Sie können festlegen, wo Ihre Daten gespeichert werden oder wohin sie übertragen werden.
Um die Anforderungen an den Datenstandort zu erfüllen,können Sie in Google Cloud steuern, wo Ihre Daten gespeichert werden, wie auf sie zugegriffen wird und wie sie verarbeitet werden. Mit Richtlinien für Ressourcenstandorte können Sie einschränken, wo Ressourcen erstellt werden, und begrenzen, wo Daten zwischen Regionen repliziert werden. Mit dem Standortattribut einer Ressource lässt sich angeben, wo der Dienst bereitgestellt wird und wer ihn verwaltet. Weitere Informationen finden Sie unter Unterstützte Dienste für Ressourcenstandorte.
Vertrauliche Daten klassifizieren
Diese Empfehlung ist für den folgenden Schwerpunkt relevant: Datensicherheit.
Legen Sie fest, welche Daten vertraulich sind, und sorgen Sie dann dafür, dass diese ordnungsgemäß geschützt werden. Vertrauliche Daten können Kreditkartennummern, Adressen, Telefonnummern und andere personenidentifizierbare Informationen sein. Mit Sensitive Data Protection können Sie geeignete Klassifizierungen einrichten. Sie können dann Ihre Daten taggen und tokenisieren, bevor Sie sie in Google Cloudspeichern. Darüber hinaus bietet Knowledge Catalog einen Katalogdienst, der eine Plattform zum Speichern, Verwalten und Aufrufen Ihrer Metadaten bereitstellt. Weitere Informationen und ein Beispiel für die Datenklassifizierung und ‑de-identifizierung finden Sie unter Personenidentifizierbare Informationen mit Sensitive Data Protection de-identifizieren und re-identifizieren.
Zugriff auf sensible Daten sperren
Diese Empfehlung ist für die folgenden Schwerpunkte relevant:
- Datensicherheit
- Identitäts- und Zugriffsverwaltung
Platzieren Sie vertrauliche Daten mit VPC Service Controls in einem eigenen Dienstperimeter. Mit VPC Service Controls verringern Sie das Risiko unerlaubten Kopierens oder unbefugten Übertragens von Daten (Daten-Exfiltration) aus von Google verwalteten Diensten. Mit VPC Service Controls können Sie Sicherheitsperimeter für die Ressourcen Ihrer von Google verwalteten Dienste konfigurieren und die Übertragung von Daten in und aus dem Perimeter steuern. Legen Sie für diese Daten die Zugriffssteuerung der Google Identitäts- und Zugriffsverwaltung (Google Identity and Access Management, IAM) fest. Konfigurieren Sie die Multi-Faktor-Authentifizierung (MFA) für alle Nutzer, die Zugriff auf sensible Daten benötigen.