Die Säule „Sicherheit, Datenschutz und Compliance“ im Google Cloud Well-Architected Framework enthält Empfehlungen, die Sie bei der Entwicklung, Bereitstellung und dem Betrieb von Cloud-Arbeitslasten unterstützen, die Ihren Anforderungen an Sicherheit, Datenschutz und Compliance entsprechen.
Dieses Dokument soll wertvolle Informationen für eine Vielzahl von Sicherheitsexperten und ‑ingenieuren bieten. In der folgenden Tabelle werden die Zielgruppen für dieses Dokument beschrieben:
| Zielgruppe | Inhalt dieses Dokuments |
|---|---|
| Chief Information Security Officers (CISOs), Leiter von Geschäftsbereichen und IT-Manager | Ein allgemeiner Rahmen, um in der Cloud für Sicherheit zu sorgen und diese aufrechtzuerhalten. Außerdem soll er eine umfassende Sicht auf Sicherheitsbereiche ermöglichen, damit fundierte Entscheidungen über Sicherheitsinvestitionen getroffen werden können. |
| Sicherheitsarchitekten und ‑entwickler | Wichtige Sicherheitsverfahren für die Design- und Betriebsphasen, um sicherzustellen, dass Lösungen auf Sicherheit, Effizienz und Skalierbarkeit ausgelegt sind. |
| DevSecOps-Teams | Anleitung zum Einbinden übergreifender Sicherheitskontrollen, um die Automatisierung zu planen, die eine sichere und zuverlässige Infrastruktur ermöglicht. |
| Compliance-Beauftragte und Risikomanager | Wichtige Sicherheitsempfehlungen für einen strukturierten Ansatz für das Risikomanagement mit Sicherheitsmaßnahmen, die zur Einhaltung von Compliance-Verpflichtungen beitragen. |
Damit Ihre Google Cloud Arbeitslasten Ihre Sicherheits-, Datenschutz- und Compliance-Anforderungen erfüllen, müssen alle Beteiligten in Ihrer Organisation einen kollaborativen Ansatz verfolgen. Außerdem müssen Sie sich bewusst sein, dass die Cloud-Sicherheit eine gemeinsame Verantwortung zwischen Ihnen und Google ist. Weitere Informationen finden Sie unter Gemeinsame Verantwortung und gemeinsames Schicksal auf Google Cloud.
Die Empfehlungen in diesem Bereich sind in grundlegende Sicherheitsprinzipien unterteilt. Jede prinzipienbasierte Empfehlung wird einer oder mehreren Schwerpunktbereichen der Cloudsicherheit zugeordnet, die für Ihre Organisation von entscheidender Bedeutung sein könnten. Jede Empfehlung enthält Anleitungen zur Verwendung und Konfiguration vonGoogle Cloud -Produkten und -Funktionen, um die Sicherheitslage Ihrer Organisation zu verbessern.
Grundprinzipien
Die Empfehlungen in diesem Bereich sind in die folgenden grundlegenden Sicherheitsprinzipien unterteilt. Jedes Prinzip in dieser Säule ist wichtig. Je nach den Anforderungen Ihrer Organisation und Arbeitslast können Sie bestimmte Grundsätze priorisieren.
- Sicherheit von Anfang an implementieren: Berücksichtigen Sie Cloud- und Netzwerksicherheitsaspekte von der ersten Designphase Ihrer Anwendungen und Infrastruktur an.Google Cloud bietet Architektur-Blueprints und Empfehlungen, die Ihnen helfen, dieses Prinzip anzuwenden.
- Zero-Trust-Modell implementieren: Verwenden Sie den Ansatz Niemandem vertrauen, alle überprüfen, bei dem der Zugriff auf Ressourcen auf der Grundlage einer kontinuierlichen Überprüfung der Vertrauenswürdigkeit gewährt wird. Google Cloudunterstützt dieses Prinzip durch Produkte wie Chrome Enterprise Premium und Identity-Aware Proxy (IAP).
- Shift-Left-Sicherheit implementieren: Implementieren Sie Sicherheitskontrollen frühzeitig im Softwareentwicklungszyklus. Sicherheitsmängel vermeiden, bevor Systemänderungen vorgenommen werden Sicherheitsfehler frühzeitig, schnell und zuverlässig erkennen und beheben, nachdem die Systemänderungen übernommen wurden. Google Cloud unterstützt dieses Prinzip durch Produkte wie Cloud Build, Binärautorisierung und Artifact Registry.
- Präventive Cyberabwehr implementieren: Gehen Sie proaktiv vor und implementieren Sie robuste grundlegende Maßnahmen wie Bedrohungsdaten. Dieser Ansatz hilft Ihnen, die Grundlage für eine effektivere Bedrohungserkennung und ‑abwehr zu schaffen. Der Ansatz vonGoogle Cloudfür mehrschichtige Sicherheitskontrollen entspricht diesem Grundsatz.
- KI sicher und verantwortungsbewusst nutzen: KI-Systeme verantwortungsbewusst und sicher entwickeln und bereitstellen. Die Empfehlungen für diesen Grundsatz stimmen mit den Anleitungen in der KI- und ML-Perspektive des Well-Architected Framework und im Secure AI Framework (SAIF) von Google überein.
- KI für Sicherheit nutzen: Verwenden Sie KI-Funktionen, um Ihre bestehenden Sicherheitssysteme und ‑prozesse mit Gemini in Security und allgemeinen Plattformsicherheitsfunktionen zu verbessern. Nutzen Sie KI als Tool, um die Automatisierung von Abhilfemaßnahmen zu erhöhen und für Sicherheit zu sorgen, damit andere Systeme sicherer werden.
- Regulierungs-, Compliance- und Datenschutzanforderungen erfüllen: Halten Sie branchenspezifische Vorschriften, Compliance-Standards und Datenschutzanforderungen ein. Google Cloud hilft Ihnen, diese Verpflichtungen mit Produkten wie Assured Workloads, dem Organization Policy Service und unserem Compliance-Ressourcencenter zu erfüllen.
Sicherheitsbewusstsein in der Organisation
Eine sicherheitsorientierte Denkweise im Unternehmen ist entscheidend für die erfolgreiche Einführung und den Betrieb der Cloud. Diese Denkweise sollte tief in der Kultur Ihrer Organisation verwurzelt sein und sich in ihren Praktiken widerspiegeln, die auf den zuvor beschriebenen grundlegenden Sicherheitsprinzipien basieren.
Bei einer organisationsweiten Sicherheitsmentalität wird die Sicherheit bei der Systementwicklung berücksichtigt, von Zero Trust ausgegangen und Sicherheitsfunktionen werden in den gesamten Entwicklungsprozess integriert. In diesem Sinne denken Sie auch proaktiv über Maßnahmen zur Cyberabwehr nach, setzen KI sicher und für die Sicherheit ein und berücksichtigen Ihre regulatorischen, Datenschutz- und Compliance-Anforderungen. Wenn Sie diese Grundsätze berücksichtigen, kann Ihr Unternehmen eine sicherheitsorientierte Kultur schaffen, die Bedrohungen proaktiv angeht, wertvolle Assets schützt und eine verantwortungsvolle Nutzung von Technologie fördert.
Schwerpunkte der Cloud-Sicherheit
In diesem Abschnitt werden die Bereiche beschrieben, auf die Sie sich konzentrieren sollten, wenn Sie die Sicherheit für Ihre Anwendungen, Systeme und Daten planen, implementieren und verwalten. Die Empfehlungen in jedem Grundsatz dieser Säule beziehen sich auf einen oder mehrere dieser Schwerpunktbereiche. Im restlichen Teil dieses Dokuments wird in den Empfehlungen auf die entsprechenden Sicherheitsbereiche verwiesen, um für mehr Klarheit und Kontext zu sorgen.
| Fokusbereich | Aktivitäten und Komponenten | Ähnliche Google Cloud Produkte, Funktionen und Lösungen |
|---|---|---|
| Sichere Infrastruktur |
|
|
| Identitäts- und Zugriffsverwaltung |
|
|
| Datensicherheit |
|
|
| Sicherheit von KI und ML |
|
|
| Security Operations (SecOps) |
|
|
| Anwendungssicherheit |
|
|
| Cloud-Governance, ‑Risiko und ‑Compliance |
|
|
| Logging, Prüfung und Monitoring |
|
Beitragende
Autoren:
- Wade Holmes | Global Solutions Director
- Hector Diaz | Cloud Security Architect
- Carlos Leonardo Rosario | Google Cloud Security Specialist
- John Bacon | Partner Solutions Architect
- Sachin Kalra | Global Security Solution Manager
Weitere Beitragende:
- Anton Chuvakin | Security Advisor, CISO-Team
- Daniel Lees | Cloudsicherheitsarchitekt
- Filipe Gracio, PhD | Customer Engineer, AI/ML Specialist
- Gary Harmson | Principal Architect
- Gino Pelliccia | Principal Architect
- Jose Andrade | Customer Engineer, SRE Specialist
- Kumar Dhanagopal | Cross-Product Solution Developer
- Laura Hyatt | Customer Engineer, FSI
- Marwan Al Shawi | Partner Customer Engineer
- Nicolas Pintaux | Customer Engineer, Application Modernization Specialist
- Noah McDonald | Cloud Security Consultant
- Osvaldo Costa | Networking Specialist Customer Engineer
- Radhika Kanakam | Program Lead, Google Cloud Well-Architected Framework
- Samantha He | Technical Writer
- Susan Wu | Outbound Product Manager