Die Säule „Sicherheit, Datenschutz und Compliance“ im Google Cloud Well-Architected Framework enthält Empfehlungen, die Ihnen beim Entwerfen, Bereitstellen und Betreiben von Cloud-Arbeitslasten helfen, die Ihre Anforderungen an Sicherheit, Datenschutz und Compliance erfüllen.
Dieses Dokument bietet wertvolle Einblicke und erfüllt die Anforderungen einer Reihe von Sicherheitsexperten und ‑ingenieuren. In der folgenden Tabelle wird die Zielgruppe für dieses Dokument beschrieben:
| Zielgruppe | Inhalt dieses Dokuments |
|---|---|
| Chief Information Security Officers (CISOs), Leiter von Geschäftsbereichen und IT-Manager | Ein allgemeines Framework zum Einrichten und Aufrechterhalten von Sicherheit in der Cloud und zum Sicherstellen eines umfassenden Überblicks über Sicherheitsbereiche, um fundierte Entscheidungen zu Sicherheitsinvestitionen zu treffen. |
| Sicherheitsarchitekten und ‑ingenieure | Wichtige Sicherheitspraktiken für die Design- und Betriebsphasen, um sicherzustellen, dass Lösungen auf Sicherheit, Effizienz und Skalierbarkeit ausgelegt sind. |
| DevSecOps-Teams | Anleitung zum Einbeziehen umfassender Sicherheitskontrollen, um die Automatisierung zu planen, die eine sichere und zuverlässige Infrastruktur ermöglicht. |
| Compliance-Beauftragte und Risikomanager | Wichtige Sicherheitsempfehlungen für einen strukturierten Ansatz für das Risikomanagement mit Schutzmaßnahmen, die zur Erfüllung von Compliance-Verpflichtungen beitragen. |
Damit Ihre Google Cloud Arbeitslasten Ihre Anforderungen an Sicherheit, Datenschutz, und Compliance erfüllen, müssen alle Stakeholder in Ihrer Organisation einen kollaborativen Ansatz verfolgen. Außerdem müssen Sie sich bewusst sein, dass die Cloud-Sicherheit eine gemeinsame Verantwortung zwischen Ihnen und Google ist. Weitere Informationen finden Sie unter Geteilte Verantwortung und gemeinsames Schicksal Google Cloud.
Die Empfehlungen in dieser Säule sind in grundlegende Sicherheitsprinzipien unterteilt. Jede prinzipienbasierte Empfehlung ist einem oder mehreren der Schwerpunktbereiche der Cloud-Sicherheit zugeordnet, die für Ihre Organisation von entscheidender Bedeutung sein können. Jede Empfehlung enthält Anleitungen zur Verwendung und Konfiguration von Google Cloud Produkten und Funktionen, um den Sicherheitsstatus Ihrer Organisation zu verbessern.
Grundprinzipien
Die Empfehlungen in dieser Säule sind in die folgenden grundlegenden Sicherheitsprinzipien unterteilt. Jedes Prinzip in dieser Säule ist wichtig. Je nach den Anforderungen Ihrer Organisation und Arbeitslast können Sie bestimmte Prinzipien priorisieren.
- Security by Design implementieren: Berücksichtigen Sie Cloud-Sicherheit und Netzwerksicherheit ab der ersten Designphase Ihrer Anwendungen und Infrastruktur. Google Cloud bietet Architektur-Blueprints und Empfehlungen, die Ihnen bei der Anwendung dieses Prinzips helfen.
- Zero Trust implementieren: Verwenden Sie den Ansatz niemals vertrauen, immer prüfen. Der Zugriff auf Ressourcen wird basierend auf der kontinuierlichen Überprüfung des Vertrauens gewährt. Google Cloud unterstützt dieses Prinzip durch Produkte wie Chrome Enterprise Premium und Identity-Aware Proxy (IAP).
- Shift-Left-Sicherheit implementieren: Implementieren Sie Sicherheitskontrollen früh im Lebenszyklus der Softwareentwicklung. Vermeiden Sie Sicherheitsmängel, bevor Systemänderungen vorgenommen werden. Erkennen und beheben Sie Sicherheitsfehler frühzeitig, schnell und zuverlässig, nachdem die Systemänderungen übernommen wurden. Google Cloud unterstützt dieses Prinzip durch Produkte wie Cloud Build, Binärautorisierung und Artifact Registry.
- Präventive Cyberabwehr implementieren: Verfolgen Sie einen proaktiven Sicherheitsansatz, indem Sie robuste grundlegende Maßnahmen wie Threat Intelligence implementieren. Dieser Ansatz hilft Ihnen, eine Grundlage für eine effektivere Erkennung und Reaktion auf Bedrohungen zu schaffen. Der Ansatz vonGoogle Cloud's für mehrschichtige Sicherheitskontrollen entspricht diesem Prinzip.
- KI sicher und verantwortungsvoll einsetzen: Entwickeln und stellen Sie KI-Systeme verantwortungsvoll und sicher bereit. Die Empfehlungen für dieses Prinzip stimmen mit den Anleitungen in der KI- und ML-Perspektive des Well-Architected Framework und im Secure AI Framework (SAIF) von Google überein.
- KI für die Sicherheit einsetzen: Nutzen Sie KI-Funktionen, um Ihre bestehenden Sicherheitssysteme und ‑prozesse zu verbessern durch Gemini in Security und allgemeine Plattform-Sicherheitsfunktionen. Verwenden Sie KI als Tool, um die Automatisierung von Korrekturmaßnahmen zu erhöhen und die Sicherheit zu gewährleisten, damit andere Systeme sicherer werden.
- Anforderungen an Vorschriften, Compliance und Datenschutz erfüllen: Halten Sie branchenspezifische Vorschriften, Compliance-Standards und Datenschutzanforderungen ein. Google Cloud hilft Ihnen, diese Verpflichtungen durch Produkte wie Assured Workloads, den Organisationsrichtliniendienst und unser Center für Compliance-Ressourcen zu erfüllen.
Sicherheitsbewusstsein in der Organisation
Ein sicherheitsorientiertes Organisationsbewusstsein ist entscheidend für die erfolgreiche Einführung und den Betrieb der Cloud. Dieses Bewusstsein sollte tief in der Kultur Ihrer Organisation verankert sein und sich in ihren Praktiken widerspiegeln, die von den zuvor beschriebenen grundlegenden Sicherheitsprinzipien geleitet werden.
Ein Organisationsbewusstsein für Sicherheit bedeutet, dass Sie bei der Systementwicklung an die Sicherheit denken, Zero Trust annehmen und Sicherheitsfunktionen in Ihren gesamten Entwicklungsprozess integrieren. Außerdem denken Sie proaktiv über Maßnahmen zur Cyberabwehr nach, verwenden KI sicher und für die Sicherheit und berücksichtigen Ihre Anforderungen an Vorschriften, Datenschutz und Compliance. Wenn Ihre Organisation diese Prinzipien annimmt, kann sie eine sicherheitsorientierte Kultur entwickeln, die Bedrohungen proaktiv angeht, wertvolle Assets schützt und zu einer verantwortungsvollen Nutzung von Technologie beiträgt.
Schwerpunktbereiche der Cloud-Sicherheit
In diesem Abschnitt werden die Bereiche beschrieben, auf die Sie sich konzentrieren sollten, wenn Sie die Sicherheit für Ihre Anwendungen, Systeme und Daten planen, implementieren und verwalten. Die Empfehlungen in jedem Prinzip dieser Säule sind für einen oder mehrere dieser Schwerpunktbereiche relevant. Im Rest dieses Dokuments werden in den Empfehlungen die entsprechenden Schwerpunktbereiche der Sicherheit angegeben, um für mehr Klarheit und Kontext zu sorgen.
| Schwerpunktbereich | Aktivitäten und Komponenten | Zugehörige Google Cloud Produkte, Funktionen und Lösungen |
|---|---|---|
| Sichere Infrastruktur |
|
|
| Identitäts- und Zugriffsverwaltung |
|
|
| Datensicherheit |
|
|
| KI- und ML-Sicherheit |
|
|
| Security Operations (SecOps) |
|
|
| Anwendungssicherheit |
|
|
| Cloud-Governance, ‑Risiko und ‑Compliance |
|
|
| Logging, Auditing und Monitoring |
|
Beitragende
Autor*innen:
- Wade Holmes | Global Solutions Director
- Hector Diaz | Cloud Security Architect
- Carlos Leonardo Rosario | Google Cloud Security Specialist
- John Bacon | Partner Solutions Architect
- Sachin Kalra | Global Security Solution Manager
Weitere Beitragende:
- Anton Chuvakin | Security Advisor, Office of the CISO
- Daniel Lees | Cloud Security Architect
- Filipe Gracio | Customer Engineer, KI/ML-Experte
- Gary Harmson | Principal Architect
- Gino Pelliccia | Principal Architect
- Jose Andrade | Customer Engineer, SRE-Experte
- Kumar Dhanagopal | Cross-Product Solution Developer
- Laura Hyatt | Customer Engineer, FSI
- Marwan Al Shawi | Partner Customer Engineer
- Nicolas Pintaux | Customer Engineer, Spezialist für Anwendungsmodernisierung
- Noah McDonald | Cloud Security Consultant
- Osvaldo Costa | Networking Specialist Customer Engineer
- Radhika Kanakam | Program Lead, Google Cloud Well-Architected Framework
- Samantha He | Technical Writer
- Susan Wu | Outbound Product Manager