Well-Architected Framework：安全性、隱私權和法規遵循支柱

Google Cloud Well-Architected Framework 的「安全性、隱私權和法規遵循」支柱提供相關建議，協助您設計、部署及運作雲端工作負載，同時滿足安全性、隱私權和法規遵循方面的需求。

這份文件旨在提供實用洞察，滿足各種安全專業人員和工程師的需求。下表說明本文件的目標對象：

目標對象 本文件提供的內容
資訊安全長 (CISO)、業務部門主管和 IT 經理 這個一般架構可協助您在雲端建立並維持卓越的安全性，確保全面掌握安全領域，進而根據資訊做出安全投資決策。
資安架構師和工程師 設計和營運階段的關鍵安全做法，有助於確保解決方案的設計兼顧安全性、效率和可擴充性。
DevSecOps 團隊 提供相關指引，協助您納入整體安全控管機制，規劃自動化作業，打造安全可靠的基礎架構。
法規遵循主管和風險管理人員 遵循重要安全性建議，以系統化方法管理風險，並採取安全措施，協助您履行法規遵循義務。

為確保工作負載符合安全性、隱私權和法規遵循要求，貴機構的所有利害關係人都必須採取協作方式。 Google Cloud 此外，您必須瞭解雲端安全是您與 Google 共同的責任。詳情請參閱「Shared responsibilities and shared fate on Google Cloud」。

這個支柱的建議會依核心安全原則分組。每項原則導向建議都會對應到一或多個雲端安全重點領域，這些領域對貴機構可能至關重要。每項建議都會著重說明如何使用及設定Google Cloud 產品和功能，以提升貴機構的安全防護。

核心原則

這個支柱中的建議會依據下列安全性核心原則分組。這個支柱中的每項原則都很重要。您可以視貴機構和工作負載的需求，優先採用特定原則。

  • 採用融入安全考量的設計： 從應用程式和基礎架構的初步設計階段開始，整合雲端安全性和網路安全考量。 Google Cloud 提供架構藍圖和建議，協助您套用這項原則。
  • 實作零信任機制： 採用「絕不輕信，一律驗證」做法，根據持續驗證的信任度授予資源存取權。 Google Cloud 透過 Chrome Enterprise 進階版和 Identity-Aware Proxy (IAP) 等產品，支援這項原則。
  • 實施「測試左移」安全措施： 在軟體開發生命週期初期實施安全控管措施。 在系統變更前避免安全缺陷。在系統變更提交後，盡早、快速且可靠地偵測及修正安全錯誤。 Google Cloud 透過 Cloud Build、二進位授權和 Artifact Registry 等產品支援這項原則。
  • 預先防範網路威脅： 採取主動式安全防護做法，實行完善的基本措施，例如威脅情報。這種做法有助於奠定基礎，進而更有效地偵測及因應威脅。Google Cloud的多層式安全控管措施符合這項原則。
  • 以安全且負責任的方式使用 AI： 以負責任且安全的方式開發及部署 AI 系統。這項原則的建議與 Well-Architected Framework 的 AI 和機器學習觀點，以及 Google 的安全 AI 架構 (SAIF) 指引一致。
  • 運用 AI 提升安全性： 透過 Gemini in Security 和整體平台安全防護功能，運用 AI 功能改善現有的安全系統和程序。運用 AI 提高補救作業的自動化程度，確保安全衛生，讓其他系統更加安全。
  • 滿足法規、法規遵循和隱私權需求： 遵守產業專屬法規、法規遵循標準和隱私權規定。 Google Cloud 可透過 Assured Workloads、機構政策服務和法規遵循資源中心等產品，協助您履行這些義務。

組織安全思維

以安全為重的組織思維，是成功採用及運作雲端服務的關鍵。這種思維應深植於貴機構的文化中，並反映在實務做法上，而這些做法應以先前所述的核心安全原則為依據。

組織安全思維強調在系統設計期間考量安全性、採用零信任原則，並在整個開發過程中整合安全功能。抱持這種心態時，您也會主動思考網路防禦措施、安全地使用 AI 和將 AI 用於安全防護，並考量法規、隱私權和法規遵循要求。只要秉持這些原則，貴機構就能培養資安優先的文化，主動因應威脅、保護重要資產，並確保負責任地使用技術。

雲端安全重點領域

本節說明規劃、導入及管理應用程式、系統和資料安全時，應著重的領域。這個支柱的每個原則都包含與一或多個重點領域相關的建議。在本文的其餘部分，建議會指定對應的安全重點領域，進一步提供清楚的說明和情境。

對焦區域 活動和元件 相關 Google Cloud 產品、功能和解決方案
基礎架構安全性
  • 確保網路基礎架構安全無虞。
  • 加密傳輸中的資料和靜態資料。
  • 控管流量。
  • 保護 IaaS 和 PaaS 服務。
  • 防止未經授權的存取行為。
身分與存取權管理
  • 使用驗證、授權和存取權控管。
  • 管理雲端身分。
  • 管理身分與存取權管理政策。
資料安全性
  • 安全地儲存資料。 Google Cloud
  • 控管資料存取權。
  • 探索及分類資料。
  • 設計必要的控制項，例如加密、存取權控管和資料遺失防護。
  • 保護靜態、傳輸中和使用中的資料。
AI 和機器學習安全性
  • 在 AI 和機器學習基礎架構和管道的不同層級套用安全控管措施。
  • 確保模型安全。
資安營運 (SecOps)
  • 採用現代化 SecOps 平台和做法，有效管理事件、偵測威脅及制定應變程序。
  • 持續監控系統和應用程式，找出安全事件。
應用程式安全防護
  • 保護應用程式，防範軟體漏洞和攻擊。
雲端管理、風險與法規遵循
  • 制定政策、程序和控管措施，有效且安全地管理雲端資源。
記錄、稽核和監控
  • 分析記錄檔，找出潛在威脅。
  • 追蹤及記錄系統活動，以利法規遵循和安全分析。

貢獻者

作者：

其他貢獻者：

下一頁
採用融入安全考量的設計