在 Google Cloud 上實現共同責任和命運共同體

本文說明 Google Cloud的共同責任模式與命運共同體模式之間的差異。並探討共同責任模式的挑戰和細微差異。本文說明「命運共同體」的概念，以及我們如何與客戶合作，解決雲端安全難題。

瞭解共用責任模式，有助於判斷如何以最佳方式保護 Google Cloud上的資料和工作負載。共責式模型說明您在雲端安全方面的工作，以及這些工作在雲端服務供應商之間有何不同。

但瞭解共同責任可能並不容易。這個模型需要深入瞭解您使用的每項服務、各項服務提供的設定選項，以及 Google Cloud為確保服務安全所採取的措施。每項服務都有不同的設定檔，因此很難判斷最佳安全設定。Google 認為，共同責任模式無法協助雲端客戶提升安全性成效。我們相信命運共同體，而非共同責任。

命運共同體模式包括我們為您的工作負載建構及運作值得信賴的雲端平台。我們提供最佳做法指南，以及經過認證的安全基礎架構程式碼，協助您安全地部署工作負載。我們發布的解決方案結合了各種 Google Cloud 服務，可解決複雜的安全問題，並提供創新的保險選項，協助您評估及降低必須承擔的風險。我們會透過命運共同體模式，更深入協助您保護Google Cloud中的資源，

共同責任

您是專家，瞭解貴商家在安全和法規方面的需求，以及保護機密資料和資源的需求。在 Google Cloud上執行工作負載時，您必須找出需要在 Google Cloud 中設定的安全控制項，以保護機密資料和各項工作負載。如要決定導入哪些安全控管措施，請考量下列因素：

  • 您的法規遵循義務
  • 貴機構的安全標準和風險管理計畫
  • 客戶和供應商的安全需求

由工作負載定義

傳統上，責任是根據您執行的工作負載類型和所需的雲端服務來定義。雲端服務包括下列類別：

雲端服務 說明
基礎架構式服務 (IaaS) IaaS 服務包括 Compute Engine、Cloud Storage，以及 Cloud VPN、Cloud Load Balancing 和 Cloud DNS 等網路服務。

IaaS 提供隨選運算、儲存空間和網路服務，並採用即付即用定價模式。如果您打算使用升轉和轉移方式，將現有的地端部署工作負載遷移至雲端，或是想在特定 VM 上執行應用程式，並使用特定資料庫或網路設定，就可以使用 IaaS。

在 IaaS 中，大部分的安全責任都由您承擔，而我們的責任則著重於基礎架構和實體安全。
平台即服務 (PaaS) PaaS 服務包括 App Engine、Google Kubernetes Engine (GKE) 和 BigQuery。

PaaS 提供執行階段環境，您可以在其中開發及執行應用程式。如果您要建構應用程式 (例如網站)，並想專注於開發作業，而非基礎架構，就可以使用 PaaS。

在 PaaS 中，我們負責的控制項比 IaaS 多。這通常會因您使用的服務和功能而異。您與我們共同負責應用程式層級控管和 IAM 管理。您仍須負責資料安全和保護用戶端。
軟體式服務 (SaaS) 軟體即服務 (SaaS) 應用程式包括 Google Workspace、Google Security Operations，以及 Google Cloud Marketplace 中提供的第三方 SaaS 應用程式。

SaaS 提供線上應用程式，您可以訂閱或以某種方式付費使用。如果企業沒有內部專業知識或業務需求來自行建構應用程式，但需要處理工作負載，就可以使用 SaaS 應用程式。

在 SaaS 中，我們承擔大部分的安全責任。您仍須負責存取權控管，以及選擇儲存在應用程式中的資料。
函式即服務 (FaaS) 或無伺服器

FaaS 提供平台，讓開發人員執行單一用途的小型程式碼 (稱為「函式」)，以因應特定事件。當您希望根據特定事件發生特定情況時，就可以使用 FaaS。舉例來說，您可以建立函式，在資料上傳至 Cloud Storage 時執行分類作業。

FaaS 的共同責任清單與 SaaS 類似。Cloud Run functions 是 FaaS 應用程式。

下圖顯示雲端服務，並定義雲端服務供應商與客戶如何分擔責任。

共擔安全責任

如圖所示，雲端供應商一律負責底層網路和基礎架構，而客戶一律負責存取政策和資料。

由產業和法規架構定義

各行各業都有監管架構，定義必須採取的安全控管措施。將工作負載遷移至雲端時，請務必瞭解下列事項：

  • 您應負責哪些安全管控機制
  • 雲端服務提供哪些安全控管機制
  • 哪些預設安全管控機制可繼承使用

繼承的安全控管機制 (例如預設加密和基礎架構控管機制) 可做為證據，向稽核人員和監管機構證明您的安全態勢。舉例來說，付款卡產業資料安全標準 (PCI DSS) 針對付款處理服務供應商制定了相關法規。將業務遷移至雲端時，您和 CSP 必須共同遵守這些法規。如要瞭解您和Google Cloud如何共同承擔 PCI DSS 責任，請參閱 Google Cloud：PCI DSS 共同責任表。

以美國為例，《健康保險流通與責任法案》(HIPAA) 針對處理電子個人健康資訊 (PHI) 制定了標準。這些責任也由雲端服務供應商和您共同承擔。如要進一步瞭解 Google Cloud 如何履行《健康保險流通與責任法案》規定的責任，請參閱「HIPAA - Compliance」(《健康保險流通與責任法案》法規遵循)。

其他產業 (例如金融或製造業) 也有相關法規，規定資料的收集、處理和儲存方式。如要進一步瞭解與這些項目相關的共同責任，以及Google Cloud 如何履行責任，請參閱法規遵循資源中心。

依據位置定義

視業務情境而定，您可能需要根據商家辦公室、客戶和資料的位置，考量自己的責任。不同國家/地區和區域制定了相關法規，說明如何處理及儲存顧客資料。舉例來說，如果貴商家有居住在歐盟的顧客，可能需要遵守《一般資料保護規則》(GDPR) 中所述的規定，且可能必須將顧客資料保留在歐盟境內。在這種情況下，您有責任確保收集的資料保留在Google Cloud 歐盟區域。如要進一步瞭解我們如何履行 GDPR 義務，請參閱「GDPR 和 Google Cloud」。

如要瞭解您所在地區的相關規定，請參閱「法規遵循服務」。如果您的情況特別複雜，建議與我們的銷售團隊或合作夥伴聯絡，協助您評估安全責任。

共同責任的挑戰

雖然共同責任模式有助於定義您或雲端服務供應商的安全角色，但依賴共同責任模式仍可能造成挑戰。請參考下列情境：

  • 大多數雲端安全漏洞都是設定錯誤所致 (在 Cloud Security Alliance 的 Pandemic 11 報告中列為第 3 號問題)，而且預計會越來越常見。雲端產品不斷推陳出新，跟上不斷變化的腳步可能令人感到不知所措。客戶需要雲端服務供應商提供最佳做法，協助他們跟上變化，從預設最佳做法開始，並擁有基準安全設定。
  • 雖然依雲端服務劃分項目很有幫助，但許多企業的工作負載需要多種雲端服務類型。在這種情況下，您必須考量這些服務的各種安全控管機制如何互動，包括服務之間和跨服務的控管機制是否重疊。舉例來說，您可能將地端應用程式遷移至 Compute Engine、使用 Google Workspace 處理公司電子郵件，並執行 BigQuery 分析資料，以改善產品。
  • 您的業務和市場不斷變化，例如法規異動、進入新市場或收購其他公司。新市場可能會有不同需求，而新收購的企業可能在其他雲端服務上託管工作負載。如要因應不斷變化的情況，您必須持續重新評估風險狀況，並迅速導入新的控管措施。
  • 如何及在哪裡管理資料加密金鑰是重要的決定，這與您保護資料的責任息息相關。您選擇的選項取決於法規要求、您是否執行混合雲環境或仍有內部部署環境，以及您處理和儲存的資料敏感度。
  • 事件管理是重要但經常遭到忽略的領域，您的責任和雲端服務供應商的責任並不容易界定。許多事件都需要雲端服務供應商密切合作和支援，才能協助調查及減輕影響。其他事件可能源自於設定不當的雲端資源或遭竊的憑證，因此確保您符合資源和帳戶的最佳安全做法，可能相當具有挑戰性。
  • 進階持續性威脅 (APT) 和新安全漏洞可能會影響工作負載，而您在開始雲端轉型時可能未考慮到這些因素。確保您隨時掌握不斷變化的環境，以及負責減輕威脅的人員，這並不容易，特別是如果您的企業沒有龐大的安全團隊。

命運共同體模式

我們開發了命運共同體模式， Google Cloud 開始解決共同責任模式無法解決的挑戰。「命運共同體」著重於如何讓所有各方加強互動，持續提升安全性。命運共同體模式以共同責任模式為基礎，因為它將雲端服務供應商與客戶之間的關係視為持續合作夥伴關係，以提升安全性。

命運共同體模式代表我們有責任確保安全。 Google Cloud 命運共同體模式包括協助您開始使用安全的登陸區，並清楚、具體且透明地說明建議的安全性控制項、設定和相關最佳做法。這項計畫包括協助您透過網路保險更準確地量化及管理風險，並使用我們的風險防護計畫。我們希望透過命運共同體模式，從標準的共同責任架構演進為更完善的模式，協助您保護業務並建立 Google Cloud信任感。

以下各節說明共用命運的各種元件。

入門說明

共用命運的關鍵要素是我們提供的資源，可協助您在 Google Cloud中以安全設定開始使用。從安全設定開始，有助於減少設定錯誤問題，而這也是大多數安全漏洞的根本原因。

我們提供的資源包括：

  • 企業基礎藍圖，討論重大資安問題和最佳建議。

  • 提供安全藍圖，讓您使用基礎架構即程式碼 (IaC) 部署及維護資安解決方案。藍圖預設會啟用我們的安全性建議。許多藍圖是由 Google 安全團隊建立及管理，這表示這些裝置會定期更新、通過嚴格的測試程序，並取得第三方測試團體的認證。藍圖包括企業基礎藍圖和安全資料倉儲藍圖。

  • Google Cloud Well-Architected Framework 建議，將安全性納入設計。

  • 登陸區導覽指南，逐步說明您需要做出的重要決策，為工作負載奠定安全的基礎，包括資源階層、身分驗證、安全性與金鑰管理，以及網路結構。

風險防範計畫

命運共同體也包括風險防護計畫 (目前為預先發布版)，可協助您運用 Google Cloud 平台的力量管理風險，而非將雲端工作負載視為需要管理的另一個風險來源。風險防護計畫是 Google Cloud 與兩家頂尖網路保險公司 (Munich Re 和 Allianz Global & Corporate Speciality) 合作的成果。

風險防護計畫包含 Cyber Insurance Hub，可提供資料導向的洞察資訊，協助您進一步瞭解雲端安全防護機制。如要取得網路保險保障，您可以直接將 Cyber Insurance Hub 的這些洞察資訊提供給保險合作夥伴，以取得報價。詳情請參閱「Google Cloud 風險防護計畫現已推出搶先體驗版」。

部署作業和整個環境的說明

命運更同體模式也能幫助您持續管理環境。舉例來說，我們著重於下列產品：

落實共同責任與命運共同體模式

在規劃過程中，請考慮採取下列行動，協助您瞭解及導入適當的安全控制措施：

  • 列出您要在Google Cloud中代管的工作負載類型，以及這些工作負載是否需要 IaaS、PaaS 和 SaaS 服務。您可以將共責式安全模型圖做為檢查清單，確保您瞭解需要考量的安全控管措施。
  • 列出您必須遵守的法規，並在法規遵循資源中心中存取與這些法規相關的資源。
  • 在架構中心查看可用的藍圖和架構清單，瞭解特定工作負載所需的安全性控制項。藍圖會列出建議的控制項，以及部署該架構所需的 IaC 程式碼。
  • 請參閱登陸區說明文件和企業基礎指南中的建議，設計符合需求的資源階層和網路架構。您可以運用有主見的工作負載藍圖 (例如安全資料倉儲)，加快開發程序。
  • 部署工作負載後，請使用 Cyber Insurance Hub、Assured Workloads、政策智慧工具和 Security Command Center Premium 等服務，確認您已履行安全責任。

詳情請參閱資安長適用的雲端轉型指南。

後續步驟