Responsabilidad compartida de Dataflow

La seguridad es una responsabilidad compartida. Dataflow protege la infraestructura escalable que usas para ejecutar tus canalizaciones de Dataflow y te proporciona herramientas y controles de seguridad para proteger tus datos, código y modelos. Si bien no es una lista exhaustiva, en este documento se enumeran las responsabilidades de Google y del cliente.

Las responsabilidades de Google

  • Proteger la infraestructura: Google es responsable de proporcionar una infraestructura segura para sus servicios, incluida la seguridad física de los centros de datos, la seguridad de la red y la seguridad para la aplicaciones.

  • Proteger la plataforma: Google es responsable de proteger su plataforma, lo que incluye administrar los controles de acceso, supervisar los incidentes de seguridad y responder a los eventos de seguridad. Google también proporciona a los clientes herramientas para administrar su propia configuración de seguridad.

  • Mantener el cumplimiento: Google mantiene el cumplimiento de las leyes y reglamentaciones pertinentes de protección de datos. Obtén más información sobre el cumplimiento de Google Cloud.

  • Protección y aplicación de parches a las imágenes: Google protege y aplica parches al sistema operativo de las imágenes base que usan las imágenes propiedad de Dataflow. Google pone inmediatamente a disposición cualquier parche para estas imágenes. Se proporcionan boletines de seguridad para las vulnerabilidades conocidas.

    En el caso de las dependencias de código abierto, como Apache Beam, Dataflow proporciona imágenes base y actualiza el SDK de Apache Beam según su mejor capacidad como una comodidad. Como Dataflow depende de la comunidad de código abierto para estas correcciones, Google no tiene control total sobre la priorización ni los tiempos de las correcciones. Las correcciones para las vulnerabilidades y exposiciones comunes (CVE) suelen incluirse en los próximos lanzamientos de Apache Beam.

Las responsabilidades del cliente

  • Usa y actualiza tu entorno a las versiones más recientes de los contenedores, las imágenes de VM y los SDK de Dataflow: Dataflow proporciona contenedores y imágenes de VM prediseñados para simplificar el uso de sus servicios. Google crea versiones nuevas de estas imágenes cuando se identifican vulnerabilidades.

    Tus responsabilidades incluyen lo siguiente:

    • Supervisa los boletines de seguridad y actualiza tu entorno de inmediato cuando haya nuevas versiones disponibles.
    • Reinicia los trabajos de transmisión de larga duración para aplicar los parches más recientes de la imagen de VM. Los trabajos por lotes usan automáticamente la versión de imagen más reciente cada vez que se inician. Para usar las VMs más recientes en los trabajos de transmisión, actualiza el trabajo y reinícialo. Para obtener más información, consulta Actualiza y aplica parches a las VMs de Dataflow. Para administrar los problemas de seguridad de forma responsable, te recomendamos que uses imágenes de contenedor personalizado. Si tienes requisitos estrictos de Acuerdo de Nivel de Servicio (ANS) de seguridad, como los de cumplimiento de FedRAMP, el uso de contenedores personalizados te permite administrar tus propias versiones de Apache Beam y ciclos de parches, en lugar de depender del programa de lanzamiento de código abierto de Apache Beam.
    • Actualiza periódicamente las versiones del SDK de Apache Beam para asegurarte de tener las correcciones de seguridad y las funciones más recientes.
    • Analiza y aplica parches a las imágenes personalizadas para mitigar las vulnerabilidades si usas un contenedor personalizado o una plantilla personalizada.
    • Usa imágenes base sin distribución cuando sea posible si usas una imagen base de plantilla de Flex para garantizar la seguridad y reducir los riesgos de vulnerabilidad.

  • Administra los controles de acceso: Eres responsable de administrar los controles de acceso a tus propios datos y servicios. Esto incluye la administración de los controles de acceso, autenticación y autorización de los usuarios, y la protección de tus propias aplicaciones y datos. Obtén más información sobre la seguridad y los permisos de Dataflow.

  • Aplicaciones seguras: Eres responsable de proteger tus propias aplicaciones que se ejecutan en Dataflow, lo que incluye implementar prácticas de codificación segura y realizar pruebas periódicas para detectar vulnerabilidades.

    Obtén más información sobre las claves de encriptación administradas por el cliente, las redes y los Controles del servicio de VPC, y las prácticas recomendadas para los permisos.

  • Supervisa los incidentes de seguridad: Eres responsable de supervisar tus propias aplicaciones en busca de incidentes de seguridad y de informar a Google sobre cualquier incidente según sea necesario.

¿Qué sigue?