Questo documento descrive le differenze tra il modello di responsabilità condivisa e il destino condiviso in Google Cloud. Vengono discusse le sfide e le sfumature del modello di responsabilità condivisa. Questo documento descrive cos'è il destino condiviso e come collaboriamo con i nostri clienti per affrontare le sfide di sicurezza del cloud.
Comprendere il modello di responsabilità condivisa è importante per determinare il modo migliore per proteggere i dati e i carichi di lavoro su Google Cloud. Il modello di responsabilità condivisa descrive le attività che devi svolgere in termini di sicurezza nel cloud e in che modo queste attività sono diverse per i provider cloud.
Comprendere la responsabilità condivisa, tuttavia, può essere difficile. Il modello richiede una comprensione approfondita di ogni servizio che utilizzi, delle opzioni di configurazione fornite da ciascun servizio e di cosa Google Cloud fa per proteggere il servizio. Ogni servizio ha un profilo di configurazione diverso e può essere difficile determinare la migliore configurazione di sicurezza. Google ritiene che il modello di responsabilità condivisa non sia sufficiente per aiutare i clienti del cloud a ottenere risultati migliori in termini di sicurezza. Invece della responsabilità condivisa, crediamo nel destino condiviso.
Il destino condiviso prevede la creazione e la gestione di una piattaforma cloud affidabile per i tuoi workload. Forniamo indicazioni sulle best practice e codice dell'infrastruttura sicuro e attestato che puoi utilizzare per eseguire il deployment dei tuoi carichi di lavoro in modo sicuro. Pubblichiamo soluzioni che combinano vari servizi per risolvere problemi di sicurezza complessi e offriamo opzioni assicurative innovative per aiutarti a misurare e mitigare i rischi che devi accettare. Google Cloud Con destino condiviso intendiamo un'interazione più stretta con te per proteggere le tue risorse su Google Cloud.
Responsabilità condivisa
Sei l'esperto in materia di requisiti normativi e di sicurezza per la tua attività e di requisiti per la protezione di dati e risorse riservati. Quando esegui i tuoi workload su Google Cloud, devi identificare i controlli di sicurezza che devi configurare in Google Cloud per contribuire a proteggere i tuoi dati riservati e ogni workload. Per decidere quali controlli di sicurezza implementare, devi considerare i seguenti fattori:
- I tuoi obblighi di conformità normativa
- Standard di sicurezza e piano di gestione dei rischi della tua organizzazione
- Requisiti di sicurezza dei tuoi clienti e dei tuoi fornitori
Definito dai workload
Tradizionalmente, le responsabilità sono definite in base al tipo di workload che esegui e ai servizi cloud che ti servono. I servizi cloud includono le seguenti categorie:
| Servizio cloud | Descrizione |
|---|---|
| Infrastructure as a Service (IaaS) | I servizi IaaS includono Compute Engine, Cloud Storage e servizi di rete come Cloud VPN, Cloud Load Balancing e Cloud DNS.
IaaS fornisce servizi di calcolo, archiviazione e rete on demand con prezzi pay-as-you-go. Puoi utilizzare IaaS se prevedi di eseguire la migrazione di un carico di lavoro on-premise esistente al cloud utilizzando il metodo lift-and-shift o se vuoi eseguire l'applicazione su VM specifiche, utilizzando database o configurazioni di rete specifici. Nell'IaaS, la maggior parte delle responsabilità in materia di sicurezza sono tue, mentre le nostre si concentrano sull'infrastruttura sottostante e sulla sicurezza fisica. |
| Platform as a service (PaaS) | I servizi PaaS includono App Engine, Google Kubernetes Engine (GKE) e BigQuery.
PaaS fornisce l'ambiente di runtime in cui puoi sviluppare ed eseguire le tue applicazioni. Puoi utilizzare PaaS se stai creando un'applicazione (ad esempio un sito web) e vuoi concentrarti sullo sviluppo, non sull'infrastruttura sottostante. In PaaS, siamo responsabili di un maggior numero di controlli rispetto a IaaS. In genere, varia in base ai servizi e alle funzionalità che utilizzi. Condividi con noi la responsabilità dei controlli a livello di applicazione e della gestione IAM. Tu rimani responsabile della sicurezza dei tuoi dati e della protezione dei clienti. |
| Software as a Service (SaaS) | Le applicazioni SaaS includono Google Workspace, Google Security Operations e
applicazioni SaaS di terze parti disponibili in Google Cloud Marketplace.
Il SaaS fornisce applicazioni online a cui puoi abbonarti o per cui puoi pagare in qualche modo. Puoi utilizzare le applicazioni SaaS quando la tua azienda non dispone delle competenze interne o del requisito aziendale per creare l'applicazione autonomamente, ma richiede la possibilità di elaborare i carichi di lavoro. Nel SaaS, la maggior parte delle responsabilità in materia di sicurezza è nostra. Rimane responsabile dei controlli di accesso e dei dati che scegli di archiviare nell'applicazione. |
| Function as a Service (FaaS) o serverless | FaaS fornisce la piattaforma per gli sviluppatori per eseguire codice piccolo e a scopo singolo (chiamato funzioni) che viene eseguito in risposta a eventi particolari. Utilizzeresti FaaS quando vuoi che si verifichino determinate cose in base a un determinato evento. Ad esempio, puoi creare una funzione che viene eseguita ogni volta che i dati vengono caricati in Cloud Storage in modo che possano essere classificati. FaaS ha un elenco di responsabilità condivise simile a SaaS. Cloud Run Functions è un'applicazione FaaS. |
Il seguente diagramma mostra i servizi cloud e definisce come le responsabilità sono condivise tra il cloud provider e il cliente.
Come mostra il diagramma, il fornitore di servizi cloud rimane sempre responsabile della rete e dell'infrastruttura sottostanti, mentre i clienti rimangono sempre responsabili delle proprie norme di accesso e dei propri dati.
Definito dal settore e dal quadro normativo
Diversi settori hanno quadri normativi che definiscono i controlli di sicurezza che devono essere implementati. Quando sposti i carichi di lavoro nel cloud, devi comprendere quanto segue:
- Quali controlli di sicurezza sono di tua responsabilità
- Quali controlli di sicurezza sono disponibili nell'ambito dell'offerta cloud
- Quali controlli di sicurezza predefiniti vengono ereditati
I controlli di sicurezza ereditati (come la nostra crittografia predefinita e i controlli dell'infrastruttura) sono controlli che puoi fornire come parte delle prove della tua postura di sicurezza a revisori e enti regolatori. Ad esempio, lo standard PCI DSS (Payment Card Industry Data Security Standard) definisce i regolamenti per i responsabili del trattamento dei pagamenti. Quando trasferisci la tua attività sul cloud, questi regolamenti vengono condivisi tra te e il tuo CSP. Per capire come vengono condivise le responsabilità PCI DSS tra te eGoogle Cloud, consulta Google Cloud: Matrice di responsabilità condivisa PCI DSS.
Un altro esempio è rappresentato dall'Health Insurance Portability and Accountability Act (HIPAA) negli Stati Uniti, che ha stabilito standard per la gestione dei dati sanitari personali elettronici (PHI). Queste responsabilità sono condivise anche tra il CSP e te. Per ulteriori informazioni su come Google Cloud rispetta le nostre responsabilità ai sensi della normativa HIPAA, consulta HIPAA - Conformità.
Anche altri settori (ad esempio, quello finanziario o manifatturiero) hanno normative che definiscono le modalità di raccolta, elaborazione e archiviazione dei dati. Per ulteriori informazioni sulla responsabilità condivisa in merito a questi aspetti e su come Google Cloud rispetta le proprie responsabilità, consulta il Centro risorse per la conformità.
Definito dalla posizione
A seconda dello scenario aziendale, potresti dover considerare le tue responsabilità in base alla sede dei tuoi uffici, ai tuoi clienti e ai tuoi dati. Paesi e regioni diversi hanno creato regolamenti che indicano come puoi trattare e archiviare i dati dei tuoi clienti. Ad esempio, se la tua attività ha clienti residenti nell'Unione Europea, potrebbe dover rispettare i requisiti descritti nel Regolamento generale sulla protezione dei dati (GDPR) e potresti essere obbligato a conservare i dati dei clienti nell'UE. In questo caso, sei responsabile di garantire che i dati che raccogli rimangano nelle regioniGoogle Cloud dell'UE. Per saperne di più su come rispettiamo i nostri obblighi ai sensi del GDPR, consulta GDPR e Google Cloud.
Per informazioni sui requisiti relativi alla tua regione, consulta Offerte relative alla conformità. Se il tuo scenario è particolarmente complicato, ti consigliamo di parlare con il nostro team di vendita o con uno dei nostri partner per valutare le tue responsabilità in materia di sicurezza.
Sfide per la responsabilità condivisa
Sebbene la responsabilità condivisa aiuti a definire i ruoli di sicurezza che tu o il cloud provider avete, fare affidamento su di essa può comunque creare difficoltà. Considera i seguenti scenari:
- La maggior parte delle violazioni della sicurezza nel cloud è il risultato diretto di una configurazione errata (elencata come numero 3 nel report Pandemic 11 della Cloud Security Alliance) e questa tendenza è destinata ad aumentare. I prodotti cloud cambiano costantemente e ne vengono lanciati di nuovi. Stare al passo con i cambiamenti costanti può sembrare opprimente. I clienti hanno bisogno che i provider di servizi cloud forniscano best practice per aiutarli a tenere il passo con i cambiamenti, a partire dalle best practice per impostazione predefinita e con una configurazione di base sicura.
- Sebbene la suddivisione degli elementi per servizi cloud sia utile, molte aziende hanno carichi di lavoro che richiedono più tipi di servizi cloud. In questo caso, devi considerare come interagiscono i vari controlli di sicurezza per questi servizi, incluso se si sovrappongono tra i servizi. Ad esempio, potresti avere un'applicazione on-premise che stai migrando a Compute Engine, utilizzare Google Workspace per l'email aziendale ed eseguire anche BigQuery per analizzare i dati per migliorare i tuoi prodotti.
- La tua attività e i tuoi mercati sono in continua evoluzione, ad esempio quando cambiano le normative, quando entri in nuovi mercati o quando acquisisci altre società. I tuoi nuovi mercati potrebbero avere requisiti diversi e la tua nuova acquisizione potrebbe ospitare i suoi carichi di lavoro su un altro cloud. Per gestire i cambiamenti costanti, devi valutare di continuo il tuo profilo di rischio ed essere in grado di implementare rapidamente nuovi controlli.
- Come e dove gestire le chiavi di crittografia dei dati è una decisione importante che si lega alle tue responsabilità di proteggere i dati. L'opzione che scegli dipende dai tuoi requisiti normativi, dal fatto che tu stia eseguendo un ambiente cloud ibrido o che tu abbia ancora un ambiente on-premise e dalla sensibilità dei dati che stai elaborando e memorizzando.
- La gestione degli incidenti è un'area importante e spesso trascurata in cui le tue responsabilità e quelle del cloud provider non sono facilmente definibili. Molti incidenti richiedono una stretta collaborazione e il supporto del provider di servizi cloud per contribuire a esaminarli e mitigarli. Altri incidenti possono derivare da risorse cloud configurate in modo errato o da credenziali rubate e garantire il rispetto delle best practice per proteggere le risorse e gli account può essere piuttosto difficile.
- Le minacce avanzate persistenti (APT) e le nuove vulnerabilità possono influire sui tuoi carichi di lavoro in modi che potresti non prendere in considerazione quando inizi la trasformazione del cloud. Garantire di rimanere aggiornati sul panorama in evoluzione e su chi è responsabile della mitigazione delle minacce è difficile, soprattutto se la tua attività non dispone di un team di sicurezza numeroso.
Destino condiviso
Abbiamo sviluppato il destino condiviso in Google Cloud per iniziare ad affrontare le sfide che il modello di responsabilità condivisa non affronta. Il destino condiviso si concentra su come tutte le parti possono interagire meglio per migliorare continuamente la sicurezza. Il destino condiviso si basa sul modello di responsabilità condivisa perché considera il rapporto tra il cloud provider e il cliente come una partnership continua per migliorare la sicurezza.
Il destino condiviso ci impone di assumerci la responsabilità di rendere Google Cloud più sicuro. Il destino condiviso include l'aiuto per iniziare a utilizzare una landing zone sicura e per essere chiari, decisi e trasparenti in merito ai controlli, alle impostazioni e alle best practice di sicurezza consigliati. Ciò include l'aiuto per quantificare e gestire meglio i rischi con l'assicurazione informatica, utilizzando il nostro programma di protezione dai rischi. Utilizzando il destino condiviso, vogliamo passare dal framework standard di responsabilità condivisa a un modello migliore che ti aiuti a proteggere la tua attività e a creare fiducia in Google Cloud.
Le sezioni seguenti descrivono vari componenti del destino condiviso.
Aiuto per iniziare
Un componente chiave della responsabilità condivisa sono le risorse che forniamo per aiutarti a iniziare a utilizzare una configurazione sicura in Google Cloud. Iniziare con una configurazione sicura aiuta a ridurre il problema degli errori di configurazione, che è la causa principale della maggior parte delle violazioni della sicurezza.
Le nostre risorse includono:
- Blueprint delle fondamenta aziendali che illustrano i principali problemi di sicurezza e i nostri consigli migliori.
Progetti sicuri che consentono di eseguire il deployment e gestire soluzioni sicure tramite Infrastructure as Code (IaC). I blueprint hanno i nostri consigli per la sicurezza attivati per impostazione predefinita. Molti blueprint vengono creati dai team di sicurezza di Google e gestiti come prodotti. Questo supporto significa che vengono aggiornati regolarmente, sottoposti a un rigoroso processo di test e ricevono attestazioni da gruppi di test di terze parti. I progetti base includono il progetto base per le fondamenta aziendali e il progetto base per il data warehouse protetto.
Google Cloud Well-Architected Framework consigli per integrare la sicurezza nei tuoi progetti.
Guide alla navigazione delle zone di destinazione che ti guidano nelle decisioni più importanti da prendere per creare una base sicura per i tuoi carichi di lavoro, tra cui gerarchia delle risorse, onboarding delle identità, gestione di chiavi e sicurezza e struttura della rete.
Programma di protezione dai rischi
Il destino condiviso include anche il Programma di protezione dai rischi (attualmente in anteprima), che ti aiuta a sfruttare la potenza di Google Cloud come piattaforma per gestire i rischi, anziché considerare i carichi di lavoro cloud come un'altra fonte di rischio da gestire. Il programma di protezione dai rischi è una collaborazione tra Google Cloud e due importanti compagnie di assicurazione informatica, Munich Re e Allianz Global & Corporate Speciality.
Il programma di protezione dai rischi include Cyber Insurance Hub, che fornisce approfondimenti basati sui dati che puoi utilizzare per comprendere meglio la tua posture di sicurezza del cloud. Se stai cercando una copertura assicurativa informatica, puoi condividere questi approfondimenti di Cyber Insurance Hub direttamente con i nostri partner assicurativi per ottenere un preventivo. Per saperne di più, vedi Google Cloud Programma di protezione dai rischi ora in anteprima.
Aiuto con il deployment e la governance
Il destino condiviso ti aiuta anche con la governance continua del tuo ambiente. Ad esempio, concentriamo i nostri sforzi su prodotti come:
- Assured Workloads, che ti aiuta a soddisfare i tuoi obblighi di conformità.
- Security Command Center Premium, che utilizza la threat intelligence, il rilevamento delle minacce, la scansione web e altri metodi avanzati per monitorare e rilevare le minacce. Fornisce inoltre un modo per risolvere molte di queste minacce in modo rapido e automatico.
- Criteri dell'organizzazione e impostazioni delle risorse che consentono di configurare i criteri di tutta la gerarchia di cartelle e progetti.
- Strumenti di Policy Intelligence che forniscono approfondimenti sull'accesso ad account e risorse.
- Confidential Computing, che consente di criptare i dati in uso.
- Controlli di sovranità dei partner, disponibili in alcuni paesi e che contribuiscono a far rispettare i requisiti di residenza dei dati.
Mettere in pratica la responsabilità condivisa e il destino condiviso
Nell'ambito della procedura di pianificazione, valuta le seguenti azioni per comprendere e implementare controlli di sicurezza appropriati:
- Crea un elenco del tipo di carichi di lavoro che ospiterai in Google Cloude se richiedono servizi IaaS, PaaS e SaaS. Puoi utilizzare il diagramma della responsabilità condivisa come elenco di controllo per assicurarti di conoscere i controlli di sicurezza da prendere in considerazione.
- Crea un elenco dei requisiti normativi a cui devi conformarti e accedi alle risorse nel Centro risorse per la conformità che riguardano questi requisiti.
- Esamina l'elenco dei progetti e delle architetture disponibili nel Centro architetture per i controlli di sicurezza necessari per i tuoi carichi di lavoro specifici. I progetti forniscono un elenco di controlli consigliati e il codice IaC necessario per eseguire il deployment di questa architettura.
- Utilizza la documentazione della landing zone e i consigli della guida alle fondamenta aziendali per progettare una gerarchia delle risorse e un'architettura di rete che soddisfino i tuoi requisiti. Puoi utilizzare i blueprint dei carichi di lavoro basati su opinioni, come il data warehouse protetto, per accelerare il processo di sviluppo.
- Dopo aver eseguito il deployment dei workload, verifica di rispettare le tue responsabilità in materia di sicurezza utilizzando servizi come Cyber Insurance Hub, Assured Workloads, gli strumenti Policy Intelligence e Security Command Center Premium.
Per ulteriori informazioni, consulta l'articolo Guida di CISO alla trasformazione del cloud.
Passaggi successivi
- Consulta i principi di sicurezza di base.
- Tieniti aggiornato sulle risorse di responsabilità condivisa.
- Familiarizza con i progetti base disponibili, inclusi il progetto base per le fondamenta della sicurezza e gli esempi di carichi di lavoro come il data warehouse protetto.
- Scopri di più sul destino condiviso.
- Scopri di più sulla nostra infrastruttura sicura sottostante nella panoramica sulla progettazione della sicurezza dell'infrastruttura Google.
- Scopri come implementare le best practice del NIST Cybersecurity Framework in Google Cloud (PDF).