El pilar de seguridad, privacidad y cumplimiento del Google Cloud Well-Architected Framework proporciona recomendaciones para ayudarte a diseñar, implementar y operar cargas de trabajo en la nube que cumplan con tus requisitos de seguridad, privacidad y cumplimiento.
Este documento está diseñado para ofrecer estadísticas valiosas y satisfacer las necesidades de una variedad de profesionales y ingenieros de seguridad. En la siguiente tabla, se describen los públicos objetivo de este documento:
| Público | Qué proporciona este documento |
|---|---|
| Directores de seguridad de la información (CISOs), líderes de unidades de negocios y administradores de TI | Un framework general para establecer y mantener la excelencia en seguridad en la nube y garantizar una vista integral de las áreas de seguridad para tomar decisiones informadas sobre las inversiones en seguridad |
| Arquitectos e ingenieros de seguridad | Prácticas de seguridad clave para las fases de diseño y operación que ayudan a garantizar que las soluciones estén diseñadas para la seguridad, la eficiencia y la escalabilidad |
| Equipos de DevSecOps | Orientación para incorporar controles de seguridad generales para planificar la automatización que permita una infraestructura segura y confiable |
| Responsables de cumplimiento y administradores de riesgos | Recomendaciones de seguridad clave para seguir un enfoque estructurado de la administración de riesgos con resguardos que ayuden a cumplir con las obligaciones de cumplimiento |
Para garantizar que tus Google Cloud cargas de trabajo cumplan con tus requisitos de seguridad, privacidad, y cumplimiento, todas las partes interesadas de tu organización deben adoptar un enfoque colaborativo. Además, debes reconocer que la seguridad en la nube es una responsabilidad compartida entre tú y Google. Para obtener más información, consulta Responsabilidades compartidas y destino compartido en Google Cloud.
Las recomendaciones de este pilar se agrupan en principios de seguridad básicos. Cada recomendación basada en principios se asigna a una o más de las áreas de enfoque de la seguridad en la nube que podrían ser fundamentales para tu organización. Cada recomendación destaca la orientación sobre el uso y la configuración de Google Cloud productos y capacidades para ayudar a mejorar la postura de seguridad de tu organización.
Principios básicos
Las recomendaciones de este pilar se agrupan en los siguientes principios básicos de seguridad. Todos los principios de este pilar son importantes. Según los requisitos de tu organización y carga de trabajo, puedes elegir priorizar ciertos principios.
- Implementa la seguridad por diseño: Integra consideraciones de seguridad en la nube y de seguridad de la red a partir de la fase de diseño inicial de tus aplicaciones y tu infraestructura. Google Cloud proporciona planos de arquitectura y recomendaciones para ayudarte a aplicar este principio.
- Implementa la confianza cero: Usa un enfoque de nunca confiar, siempre verificar, en el que se otorga acceso a los recursos en función de la verificación continua de la confianza. Google Cloud admite este principio a través de productos como Chrome Enterprise Premium y Identity-Aware Proxy (IAP).
- Implementa la seguridad de detección temprana de errores: Implementa controles de seguridad al principio del ciclo de vida del desarrollo de software. Evita los defectos de seguridad antes de que se realicen cambios en el sistema. Detecta y corrige errores de seguridad de forma temprana, rápida y confiable después de que se confirmen los cambios en el sistema. Google Cloud admite este principio a través de productos como Cloud Build, Autorización binaria y Artifact Registry.
- Implementa la ciberdefensa preventiva: Adopta un enfoque proactivo de la seguridad mediante la implementación de medidas fundamentales sólidas como la inteligencia contra amenazas. Este enfoque te ayuda a establecer una base para una detección y respuesta ante amenazas más eficaces. Google Cloud's enfoque en cuanto a los controles de seguridad en capas se alinea con este principio.
- Usa la IA de forma segura y responsable: Desarrolla e implementa sistemas de IA de manera responsable y segura. Las recomendaciones para este principio se alinean con la orientación de la perspectiva de IA y AA del Well-Architected Framework y del Secure AI Framework (SAIF) de Google.
- Usa la IA para la seguridad: Usa las capacidades de IA para mejorar tus sistemas y procesos de seguridad existentes a través de Gemini en Security y las capacidades generales de seguridad de la plataforma. Usa la IA como una herramienta para aumentar la automatización del trabajo correctivo y garantizar la higiene de seguridad para que otros sistemas sean más seguros.
- Satisface las necesidades reglamentarias, de cumplimiento y de privacidad: Cumple con las reglamentaciones específicas de la industria, los estándares de cumplimiento y los requisitos de privacidad. Google Cloud te ayuda a cumplir con estas obligaciones a través de productos como Assured Workloads, el Servicio de políticas de la organización y nuestro centro de recursos de cumplimiento.
Mentalidad de seguridad organizacional
Una mentalidad organizacional centrada en la seguridad es fundamental para la adopción y la operación exitosas de la nube. Esta mentalidad debe estar profundamente arraigada en la cultura de tu organización y reflejarse en sus prácticas, que se guían por los principios de seguridad básicos que se describieron anteriormente.
Una mentalidad de seguridad organizacional enfatiza que debes pensar en la seguridad durante el diseño del sistema, asumir la confianza cero e integrar funciones de seguridad en todo el proceso de desarrollo. Con esta mentalidad, también piensas de forma proactiva en las medidas de defensa cibernética, usas la IA de forma segura y para la seguridad, y consideras tus requisitos reglamentarios, de privacidad y de cumplimiento. Si adopta estos principios, tu organización puede cultivar una cultura de seguridad primero que aborde las amenazas de forma proactiva, proteja los recursos valiosos y ayude a garantizar el uso responsable de la tecnología.
Áreas de enfoque de la seguridad en la nube
En esta sección, se describen las áreas en las que debes enfocarte cuando planificas, implementas y administras la seguridad de tus aplicaciones, sistemas y datos. Las recomendaciones de cada principio de este pilar son relevantes para una o más de estas áreas de enfoque. En el resto de este documento, las recomendaciones especifican las áreas de enfoque de seguridad correspondientes para proporcionar más claridad y contexto.
| Área de enfoque | Actividades y componentes | Productos, capacidades y soluciones relacionados Google Cloud |
|---|---|---|
| Seguridad de la infraestructura |
|
|
| Administración de identidades y accesos |
|
|
| Seguridad de los datos |
|
|
| Seguridad de IA y AA |
|
|
| Operaciones de seguridad (SecOps) |
|
|
| Seguridad para aplicaciones |
|
|
| Administración, riesgo y cumplimiento de la nube |
|
|
| Registro, auditoría y supervisión |
|
Colaboradores
Autores:
- Wade Holmes | Director global de Soluciones
- Hector Diaz | Arquitecto de seguridad en la nube
- Carlos Leonardo Rosario | Especialista en seguridad de Google Cloud
- John Bacon | Arquitecto de soluciones para socios
- Sachin Kalra | Gerente global de soluciones de seguridad
Otros colaboradores:
- Anton Chuvakin | Asesor de seguridad, Oficina del CISO
- Daniel Lees | Arquitecto de seguridad en la nube
- Filipe Gracio, PhD | Ingeniero de Atención al Cliente, especialista en IA/AA
- Gary Harmson | Arquitecto principal
- Gino Pelliccia | Arquitecto principal
- Jose Andrade | Ingeniero de Atención al Cliente, especialista en SRE
- Kumar Dhanagopal | Desarrollador de soluciones entre productos
- Laura Hyatt | Ingeniero de Atención al cliente, FSI
- Marwan Al Shawi | Ingeniero de Atención al Cliente para Socios
- Nicolas Pintaux | Ingeniero de Atención al Cliente, especialista en modernización de aplicaciones
- Noah McDonald | Consultor de seguridad en la nube
- Osvaldo Costa | Ingeniero de Atención al Cliente especializado en herramientas de redes
- Radhika Kanakam | Líder del programa, Well-Architected Framework de Google Cloud
- Samantha He | Escritora técnica
- Susan Wu | Gerente de Productos Salientes