Ambienti sicuri per i dati in Google Cloud

Last reviewed 2026-04-16 UTC

Questo documento fornisce un'architettura di alto livello per proteggere set di dati di grandi dimensioni che contengono dati sensibili, incluse le informazioni che consentono l'identificazione personale (PII), in Google Cloud. L'architettura è progettata per proteggere i dati sensibili dall'esposizione accidentale e dall'esfiltrazione dannosa. È destinata ai responsabili della conformità dei dati e ai Cloud Security Engineer che hanno familiarità con i concetti di base di networking e identità cloud. L'architettura evidenzia l'utilizzo di perimetri di rete che sostituiscono esplicitamente le impostazioni di Identity and Access Management (IAM) permissive per impedire l'accesso pubblico non autorizzato, anche quando le risorse sono configurate in modo errato.

La sezione relativa al deployment di questo documento fornisce un esempio di codice Terraform per eseguire autonomamente il deployment di questo perimetro e simulare un blocco dell'accesso pubblico.

Architettura

Il seguente diagramma dell'architettura illustra una strategia di protezione dei dati solida e multilivello su Google Cloud. Mostra in modo efficace come i dati passano da uno stato non strutturato a un ambiente protetto e regolamentato.

Cloud KMS Autokey e Sensitive Data Protection contribuiscono a proteggere i dati in BigQuery e Cloud Storage.

Il diagramma precedente mostra come ogni servizio Google fornisce sicurezza per i dati dal caricamento iniziale dei dati all'accesso ai dati:

  1. Un utente con le autorizzazioni IAM appropriate carica i dati nel servizio di archiviazione dei dati BigQuery o Cloud Storage. I servizi di archiviazione sono configurati per utilizzare le chiavi di crittografia gestite dal cliente (CMEK) e Cloud KMS Autokey.
  2. Il servizio cripta i dati utilizzando una CMEK recuperata da Cloud KMS Autokey.
  3. Sensitive Data Protection ispeziona, classifica e anonimizza continuamente i dati sensibili nel repository. Per anonimizzare i dati sensibili, Sensitive Data Protection maschera i dati utilizzando i modelli e le opzioni che configuri.
  4. I servizi di archiviazione si trovano all'interno di un perimetro dei Controlli di servizio VPC, che blocca l'accesso ai dati dall'esterno del perimetro. Per concedere l'autorizzazione di accesso a utenti e sistemi designati (entità IAM), utilizza un modello di livello di accesso di Gestore contesto accesso. Le entità designate possono quindi accedere ai dati all'interno del perimetro.
  5. I Controlli di servizio VPC negano l'accesso a chiunque non sia specificato nel modello di livello di accesso.

Prodotti utilizzati

  • Controlli di servizio VPC: una funzionalità di networking gestita che riduce al minimo i rischi di esfiltrazione di dati per le tue Google Cloud risorse.
  • Sensitive Data Protection: un servizio completamente gestito progettato per aiutarti a scoprire, classificare e proteggere i tuoi preziosi asset di dati, incluse le informazioni che consentono l'identificazione personale (PII).
  • Cloud Key Management Service (Cloud KMS): un servizio che ti consente di creare, importare, e gestire le chiavi di crittografia ed eseguire operazioni crittografiche in un unico servizio cloud centralizzato.
  • Gestore contesto accesso: un servizio che ti consente di definire policy di controllo dell'accesso granulari e basate sugli attributi per i tuoi progetti e le tue risorse in Google Cloud.
  • BigQuery: un data warehouse aziendale che ti aiuta a gestire e analizzare i tuoi dati con funzionalità integrate come l'analisi geospaziale di machine learning e la business intelligence.
  • Cloud Storage: uno spazio di archiviazione di oggetti a basso costo e senza limiti per diversi tipi di dati. È possibile accedere ai dati dall'interno e dall'esterno Google Cloud, e vengono replicati tra le località per la ridondanza.

Casi d'uso

Questa architettura fornisce un framework di sicurezza solido per la gestione dei dati sensibili data in Google Cloud. Si concentra sulla protezione dei dati, sul controllo dell'accesso e sulla prevenzione dell'esfiltrazione. L'architettura contribuisce a creare un ambiente sicuro per i dati sensibili combinando una crittografia efficace con l'anonimizzazione automatica dei dati e i controlli del perimetro di rete. Questa implementazione consente di garantire che i dati siano criptati con chiavi controllate dal cliente (CMEK), che le informazioni sensibili vengano rilevate e mascherate automaticamente e che l'accesso sia strettamente limitato e gestito in base al contesto. Queste misure contribuiscono a ridurre in modo significativo i rischi di esfiltrazione di dati.

Di seguito sono riportati alcuni esempi di casi d'uso per l'architettura descritta in questo documento:

  • Settori regolamentati (finanza, sanità, settore pubblico): i settori fortemente regolamentati richiedono framework di sicurezza che aiutino a raggiungere la conformità e la sicurezza dei dati. Per raggiungere la conformità e proteggere i dati sensibili dei clienti, è fondamentale assicurarsi che i dati siano protetti a riposo, che i dati sensibili vengano rilevati e che siano in vigore controlli dell'accesso. Consigliamo ai settori regolamentati di implementare questa progettazione per raggiungere la conformità dei dati.
  • Settori non regolamentati: i settori non soggetti a normative sui dati possono trarre vantaggio dall'implementazione di un framework di sicurezza solido. È importante impedire la compromissione dei dati sensibili, archiviare i dati in modo sicuro e disporre di policy che controllano l'accesso ai dati. L'architettura descritta in questo documento può aiutare un settore non regolamentato a raggiungere lo stesso livello di sicurezza di un settore fortemente regolamentato. Consigliamo ai settori non regolamentati di implementare questa progettazione come best practice.

Note sul layout

Deployment

Per eseguire il deployment di un'implementazione di esempio di questa architettura, utilizza l' esempio di codice di sicurezza dei dati disponibile su GitHub.

Passaggi successivi

Collaboratori

Autori:

Altri collaboratori: