אחריות משותפת ב-Dataflow

האחריות על האבטחה היא אחריות משותפת. ‫Dataflow מאבטח את התשתית הניתנת להרחבה שבה אתם משתמשים כדי להריץ את צינורות הנתונים של Dataflow, ומספק לכם כלים ואמצעי בקרת אבטחה להגנה על הנתונים, הקוד והמודלים. הרשימה הזו לא מקיפה, אבל היא כוללת את תחומי האחריות של Google ושל הלקוח.

תחומי האחריות של Google

  • הגנה על התשתית: Google אחראית לספק תשתית מאובטחת לשירותים שלה, כולל אבטחה פיזית של מרכזי נתונים, אבטחת רשת ואבטחת אפליקציות.

  • אבטחת הפלטפורמה: Google אחראית לאבטחת הפלטפורמה שלה, כולל ניהול אמצעי בקרה לגישה, ניטור אירועי אבטחה ותגובה לאירועי אבטחה. ‫Google גם מספקת ללקוחות כלים לניהול הגדרות האבטחה וההגדרות שלהם.

  • שמירה על תאימות: Google שומרת על תאימות לחוקים ולתקנות הרלוונטיים בנושא הגנה על נתונים. מידע נוסף על תאימות ב-Google Cloud

  • הקשחה של תמונות והחלת תיקונים: Google מקשיחה את מערכת ההפעלה של תמונות הבסיס שמשמשות את התמונות בבעלות Dataflow, ומחילה עליה תיקונים. ‫Google מפרסמת תיקונים לתמונות האלה באופן מיידי. עדכוני אבטחה דחופים מסופקים לגבי נקודות חולשה ידועות.

    במקרה של יחסי תלות בקוד פתוח כמו Apache Beam,‏ Dataflow מספקת תמונות בסיס ומעדכנת את Apache Beam SDK על בסיס מאמץ מרבי, כדי להקל על השימוש. מכיוון ש-Dataflow מסתמך על קהילת הקוד הפתוח לתיקונים האלה, ל-Google אין שליטה מלאה בתעדוף התיקונים או בתזמון שלהם. תיקונים של חולשות ונקודות חשיפה נפוצות (CVE) נכללים בדרך כלל בגרסאות הקרובות של Apache Beam.

באחריות הלקוח

  • שימוש בסביבה שלכם ועדכון שלה לגרסאות האחרונות של קונטיינרים, תמונות של מכונות וירטואליות וערכות SDK של Dataflow:‏ Dataflow מספק קונטיינרים ותמונות של מכונות וירטואליות שנוצרו מראש כדי לפשט את השימוש בשירותים שלו. ‫Google יוצרת גרסאות חדשות של התמונות האלה כשמזוהות נקודות חולשה.

    תחומי האחריות שלכם כוללים:

    • מעקב אחרי עדכוני אבטחה ועדכון הסביבה שלכם באופן מיידי כשגרסאות חדשות זמינות.
    • הפעלה מחדש של משימות סטרימינג ארוכות טווח כדי להשתמש בתיקונים האחרונים של תמונות מכונות וירטואליות. משימות באצ' משתמשות באופן אוטומטי בגרסה העדכנית ביותר של התמונה בכל פעם שהן מתחילות. כדי להשתמש במכונות הווירטואליות העדכניות ביותר לעבודות סטרימינג, צריך להפעיל אותן מחדש על ידי עדכון העבודה. מידע נוסף זמין במאמר בנושא שדרוג ותיקון של מכונות וירטואליות של Dataflow. כדי לטפל בבעיות אבטחה במהירות, מומלץ להשתמש בתמונות של מאגרי תגים בהתאמה אישית. אם יש לכם דרישות מחמירות להסכם רמת שירות (SLA) בנושא אבטחה, כמו דרישות לתאימות ל-FedRAMP, שימוש במאגרי תגים בהתאמה אישית מאפשר לכם לנהל את הגרסאות של Apache Beam ואת מחזורי התיקונים בעצמכם, במקום להסתמך על לוח הזמנים של מהדורות הקוד הפתוח של Apache Beam.
    • עדכון שוטף של גרסאות Apache Beam SDK כדי לוודא שיש לכם את תיקוני האבטחה והתכונות העדכניים ביותר.
    • סריקה של תמונות מותאמות אישית והחלת תיקונים כדי לצמצם את הסיכון לפרצות אבטחה אם אתם משתמשים בקונטיינר מותאם אישית או בתבנית מותאמת אישית.
    • שימוש בתמונות בסיס ללא הפצה כשזה אפשרי, אם אתם משתמשים בתמונת בסיס של Flex Template, כדי להבטיח אבטחה ולהפחית את הסיכון לנקודות חולשה.

  • ניהול אמצעי בקרת גישה: אתם אחראים לניהול אמצעי בקרת הגישה לנתונים ולשירותים שלכם. זה כולל ניהול של גישת משתמשים, אימות ובקרות הרשאה, ואבטחה של האפליקציות והנתונים שלכם. מידע נוסף על אבטחה והרשאות ב-Dataflow

  • אבטחת אפליקציות: אתם אחראים לאבטחת האפליקציות שלכם שפועלות ב-Dataflow, כולל הטמעה של שיטות קידוד מאובטחות ובדיקה קבועה של נקודות חולשה.

    מידע נוסף על מפתחות הצפנה בניהול הלקוח, על רשתות ו-VPC Service Controls ועל שיטות מומלצות להרשאות

  • מעקב אחרי אירועי אבטחה: אתם אחראים למעקב אחרי אירועי אבטחה באפליקציות שלכם ולדיווח על אירועים כאלה ל-Google לפי הצורך.

המאמרים הבאים