אחריות משותפת ב-Dataflow

האבטחה היא אחריות משותפת. ‫Dataflow מאבטח את התשתית הניתנת להרחבה שבה אתם משתמשים כדי להריץ את צינורות הנתונים של Dataflow, ומספק לכם כלים ואמצעי בקרת אבטחה להגנה על הנתונים, הקוד והמודלים. הרשימה הזו לא מקיפה, אבל היא כוללת את האחריות של Google ושל הלקוח.

האחריות של Google

  • הגנה על התשתית: Google אחראית לספק תשתית מאובטחת לשירותים שלה, כולל אבטחה פיזית של מרכזי נתונים, אבטחת רשת ואבטחת אפליקציות.

  • אבטחת הפלטפורמה: Google אחראית לאבטחת הפלטפורמה שלה, כולל ניהול אמצעי בקרה לגישה, ניטור אירועי אבטחה ותגובה לאירועי אבטחה. ‫Google גם מספקת ללקוחות כלים לניהול ההגדרות וההגדרות של האבטחה שלהם.

  • שמירה על תאימות: Google שומרת על תאימות לחוקים ולתקנות הרלוונטיים בנושא הגנה על נתונים. מידע נוסף על תאימות ב-Google Cloud

  • הקשחה ותיקון של תמונות: Google מקשיחה ומתקנת את מערכת ההפעלה של תמונות בסיסיות שמשמשות את התמונות בבעלות Dataflow. ‫Google מפרסמת תיקונים לתמונות האלה באופן מיידי. עדכוני אבטחה דחופים מסופקים לגבי נקודות חולשה ידועות.

    במקרה של תלויות בקוד פתוח כמו Apache Beam,‏ Dataflow מספקת תמונות בסיס ומעדכנת את Apache Beam SDK על בסיס מיטב המאמצים, כדי להקל על השימוש. מכיוון ש-Dataflow מסתמך על קהילת הקוד הפתוח לתיקונים האלה, ל-Google אין שליטה מלאה בתעדוף התיקונים או בתזמון שלהם. תיקונים של נקודות חולשה נפוצות (CVE) נכללים בדרך כלל בגרסאות הקרובות של Apache Beam.

באחריות הלקוח

  • שימוש בסביבה ועדכון שלה לגרסאות האחרונות של קובצי ה-container של Dataflow ותמונות ה-VM: ‫Dataflow מספק קובצי container ותמונות VM מוכנים מראש כדי לפשט את השימוש בשירותים שלו. ‫Google תיצור גרסאות חדשות של התמונות האלה כשתזוהה פגיעות. באחריותכם לעקוב אחרי עדכוני אבטחה ולעדכן את הסביבה שלכם באופן מיידי כשגרסאות חדשות זמינות.

    באחריותכם לוודא שהגדרתם את השירותים בצורה נכונה כך שישתמשו בגרסה העדכנית, או לשדרג ידנית לגרסה העדכנית. כדי להשתמש ב-VMs העדכניים ביותר, צריך להפעיל מחדש משימות שפועלות לאורך זמן על ידי עדכון המשימה. מידע נוסף זמין במאמר שדרוג ותיקון של מכונות וירטואליות ב-Dataflow. כדי לטפל בבעיות אבטחה במהירות, מומלץ להשתמש בתמונות של מאגרי תגים בהתאמה אישית. אם יש לכם דרישות מחמירות לגבי הסכם רמת שירות (SLA) בנושא אבטחה, כמו אלה שנדרשות לצורך תאימות ל-FedRAMP, שימוש במאגרי תגים בהתאמה אישית מאפשר לכם לנהל את הגרסאות של Apache Beam ואת מחזורי התיקונים בעצמכם, במקום להסתמך על לוח הזמנים של מהדורות הקוד הפתוח של Apache Beam.

    אם אתם משתמשים במאגר תגים בהתאמה אישית או בתבנית בהתאמה אישית, אתם אחראים לסרוק את התמונות בהתאמה אישית ולתקן אותן כדי לצמצם את נקודות החולשה.

    אם אתם משתמשים בקובץ אימג' בסיסי של Flex Template, מומלץ להשתמש בקובצי אימג' בסיסיים של Distroless כדי להבטיח אבטחה ולצמצם את הסיכון לפרצות אבטחה.

  • ניהול אמצעי בקרת גישה: אתם אחראים לניהול אמצעי בקרת הגישה לנתונים ולשירותים שלכם. הפעולות האלה כוללות ניהול של גישת משתמשים, אימות ובקרות הרשאה, ואבטחה של האפליקציות והנתונים שלכם. מידע נוסף על אבטחה והרשאות ב-Dataflow

  • אבטחת אפליקציות: אתם אחראים לאבטחת האפליקציות שלכם שפועלות ב-Dataflow, כולל הטמעה של שיטות קידוד מאובטחות ובדיקה קבועה של נקודות חולשה.

    מידע נוסף על מפתחות הצפנה בניהול הלקוח, על רשתות ו-VPC Service Controls ועל שיטות מומלצות להרשאות

  • מעקב אחרי אירועי אבטחה: אתם אחראים למעקב אחרי אירועי אבטחה באפליקציות שלכם, ולדיווח על אירועים כאלה ל-Google לפי הצורך.

המאמרים הבאים