הצהרה על אחריות משותפת לאבטחה

כדי להריץ עומסי עבודה שחיוניים לעסק ב-Cloud Deploy, נדרשים כמה גורמים שנושאים באחריות שונה. מודל האחריות המשותפת שמתואר במסמך הזה מבהיר ש-Google Cloud אחראית לאבטחה של שירות Cloud Deploy עצמו ושל התשתית הבסיסית שלו, בעוד שהלקוח אחראי לאבטחה של אופן השימוש ב-Cloud Deploy, כולל צינורות האספקה הספציפיים, ההגדרות, הנתונים והאפליקציות שפורסים באמצעות Cloud Deploy.

בדף הזה מפורטים תחומי האחריות של Google Cloud ושל הלקוח, אבל הרשימה לא מלאה.

האחריות של Google Cloud

  • הגנה על התשתית הבסיסית, כולל חומרה, קושחה, ליבה, מערכת הפעלה, אחסון ורשת.

    הדוגמאות הבאות ממחישות את המצב הזה:

    • הגנה על האבטחה הפיזית של מרכזי נתונים, הצפנה כברירת מחדל של נתונים במנוחה ובזמן העברה ורכיבי רשת מאובטחים.
    • הגנה על הרשת באמצעות VPC Service Controls.
    • פועלים לפי שיטות מומלצות לפיתוח תוכנה מאובטח.
    • ניהול ואבטחה של מישור הבקרה של שירות Cloud Deploy (API,‏ backend, מתזמנים וכו'), כולל תיקון פרצות אבטחה וחיזוק האבטחה.
    • יצירת סביבות הפעלה מבודדות וזמניות להרצת פעולות של Cloud Deploy.

  • שילובים של Google Cloud עם ניהול זהויות והרשאות גישה (IAM),‏ Cloud Audit Logs ועוד.

  • הגבלת גישת אדמין ב-Google Cloud למשאבי לקוחות למטרות תמיכה חוזיות, באמצעות Access Transparency וAccess Approval, ותיעוד כל הגישה הזו.

  • מוודאים שהגרסאות של הכלים המוטמעים תואמות לתמונה של Cloud Deploy.

תחומי האחריות של הלקוח

  • הגנה על קוד המקור של האפליקציה, על קובצי ההגדרות ועל כל תמונות הקונטיינרים שפורסים.

    זה כולל הערכה של התאמת התמונה לסטנדרטים של האבטחה שלכם, שימוש בגרסאות התמונה העדכניות ביותר שנתמכות ויישום שיטות מומלצות לרכיבי קוד פתוח ולהגדרת build כוללת.

  • לוודא שאסימוני שילוב של צד שלישי מוגנים בצורה מתאימה.

  • הגדרת IAM לכל המשתמשים, הקבוצות וחשבונות השירות שפועלים עם Cloud Deploy, בהתאם לעקרון של הרשאות מינימליות.

    מומלץ להשתמש בחשבונות שירות ייעודיים שמוגדרים על ידי המשתמש כדי להפעיל צינורות עיבוד נתונים לפריסה ופעולות אחרות, במקום להשתמש בחשבונות שירות שמוגדרים כברירת מחדל.

  • הפעלת סריקה של נקודות חולשה בארטיפקטים של בנייה (לדוגמה, באמצעות Artifact Analysis) ופעולה בעקבות הסריקה, יצירת נתוני מקור של בנייה והטמעה של מדיניות פריסה (לדוגמה, באמצעות Binary Authorization) כדי לוודא שרק תמונות מאומתות ומורשות נפרסות.

  • כשמחליפים גרסאות של כלים, צריך לוודא שהגרסאות של הכלים המוטמעים תואמות לקובץ האימג' של Cloud Deploy.

  • מסירת פרטים על הסביבה ל-Google כשמתבקשים לעשות זאת לצורך פתרון בעיות.

המאמרים הבאים