Este conteúdo foi atualizado pela última vez em junho de 2026 e representa o estado do momento em que foi escrito. Os sistemas e as políticas de segurança do Google podem mudar no futuro, à medida que a proteção dos clientes é aprimorada.
A maior prioridade do Google é manter um ambiente seguro para os dados do cliente. Para ajudar a proteger os dados dos clientes, executamos uma operação de segurança da informação líder do setor que combina processos rigorosos, uma equipe especializada em resposta a incidentes e uma infraestrutura de segurança e privacidade de informações em várias camadas. Neste documento, destacamos a abordagem baseada em nossos princípios para gerenciar e responder a incidentes de dados no Google Cloud.
O Adendo sobre processamento de dados do Cloud definem um incidente de dados como "uma violação da segurança do Google que gera destruição, perda, alteração, divulgação não autorizada de ou acesso acidental ou ilegal a Dados do Cliente em sistemas gerenciados ou controlados pelo Google". Tomamos medidas para lidar com ameaças previsíveis a dados e sistemas, mas os dados incidentes não incluem tentativas malsucedidas ou atividades que não comprometem a segurança dos dados do cliente. Por exemplo, tentativas malsucedidas de login, pings, varreduras de porta, ataques de negação de serviço e outros ataques a firewalls ou sistemas em rede não se qualificam como incidentes de dados.
A resposta a incidentes é um aspecto fundamental do nosso programa geral de segurança e privacidade. Temos um processo rigoroso para gerenciar incidentes de dados. Esse processo especifica ações, encaminhamentos, mitigação, resolução e notificação de quaisquer incidentes que afetam a confidencialidade, a integridade ou a disponibilidade dos dados do cliente.
Para saber mais sobre como protegemos o Google Cloud, consulte a Visão geral do design de segurança da infraestrutura e Google Cloud segurança.
Resposta a incidentes de dados
O programa de resposta a incidentes do Google é gerenciado por equipes de especialistas em incidentes, em várias funções especializadas, para garantir que as respostas sejam bem adaptadas aos desafios apresentados pelos incidentes. Dependendo da natureza do incidente, a equipe de resposta profissional pode incluir especialistas das seguintes equipes:
- Equipes especializadas de resposta a incidentes, incluindo uma equipe de resposta a incidentes de machine learning
- Engenharia de produto
- Engenharia de confiabilidade do site
- Segurança na nuvem
- Perícia digital
- Detecção e resposta
- Segurança, privacidade e aconselhamento de produtos
- Operações de resposta de segurança
- Resposta de privacidade e confiança
- Garantia e segurança
- Cloud Customer Care
Os especialistas dessas equipes estão envolvidos de várias maneiras. Por exemplo, os comandantes de incidentes coordenam a resposta a incidentes e, quando necessário, a equipe de perícia digital realiza investigações forenses e rastreia os ataques em andamento. Os engenheiros de produto trabalham para limitar o efeito nos clientes e fornecer soluções para corrigir os produtos afetados. A equipe jurídica trabalha com membros da equipe de segurança e privacidade apropriada para implementar a estratégia do Google na coleta de provas, trabalhar com as autoridades policiais e reguladoras do governo e aconselhar sobre questões e requisitos legais. A equipe de suporte responde às solicitações dos clientes e solicita mais informações e assistência.
Organização da equipe
Quando declaramos um incidente, nomeamos um comandante do incidente que coordena a resposta a incidentes e a resolução. O comandante do incidente seleciona especialistas de equipes diferentes e forma uma equipe de resposta. O comandante do incidente delega a responsabilidade de administrar diferentes aspectos do incidente a esses profissionais e gerencia o incidente desde o momento da declaração até o fechamento. O diagrama a seguir mostra um exemplo de organização de vários papéis e as respectivas responsabilidades durante a resposta a incidentes. Dependendo do tipo de incidente, diferentes funções podem ser atribuídas.
Processo de resposta a incidentes de dados
Cada incidente de dados é único e o objetivo do processo de resposta a incidentes de dados é proteger os dados dos clientes, restaurar o serviço normal o mais rápido possível e atender aos requisitos de conformidade regulamentares e contratuais. A tabela a seguir descreve as principais etapas do programa de resposta a incidentes do Google.
| Etapa do incidente | Meta | Descrição |
|---|---|---|
| Identificação | Detecção | Processos automatizados e manuais detectam possíveis vulnerabilidades e incidentes. |
| Relatórios | Processos automatizados e manuais informam o problema para a equipe de resposta a incidentes. | |
| Coordenação | Triagem | As atividades a seguir ocorrem:
|
| Engajamento da equipe de resposta | As atividades a seguir ocorrem:
|
|
| Resolução | Investigação | As atividades a seguir ocorrem:
|
| Contenção e recuperação | O líder de operações realiza seguintes etapas imediatas para:
|
|
| Comunicação | As atividades a seguir ocorrem:
|
|
| Fechamento | Lições aprendidas | As atividades a seguir ocorrem:
|
| Melhoria contínua | Desenvolvimento de programa | Equipes, treinamentos, processos, recursos e ferramentas necessários são mantidos. |
| Prevenção | As equipes melhoram o programa de resposta a incidentes com base nas lições aprendidas. |
As seções a seguir descrevem cada etapa em mais detalhes.
Identificação
A identificação precoce e precisa dos incidentes é fundamental para o gerenciamento eficaz de incidentes. O foco da fase de identificação é monitorar ocorrências de segurança para detectar e relatar possíveis incidentes de dados.
A equipe de detecção de incidentes emprega ferramentas avançadas de detecção, sinais e mecanismos de alerta que indicam possíveis incidentes antecipadamente. Nossas origens de detecção de incidentes incluem:
Análise automatizada de registros de rede e sistema:a análise automatizada do tráfego de rede e do acesso ao sistema ajuda a identificar atividades suspeitas, abusivas ou não autorizadas e encaminha as descobertas para a equipe de segurança. Os sistemas de detecção de ameaças usam machine learning para correlacionar sinais de segurança separados em toda a Google Cloud infraestrutura. Ao agrupar eventos isolados de baixo volume que compartilham assinaturas operacionais comuns, o sistema expõe campanhas de ataque sofisticadas ou coordenadas que filtros simples baseados em regras podem perder.
Detecção de anomalias comportamentais:os modelos de machine learning analisam padrões de acesso entre usuários, credenciais e solicitações de API para estabelecer comportamentos de linha de base. Desvios significativos que acionam alertas automatizados incluem volumes incomuns de exfiltração de dados, logins geográficos atípicos ou mudanças repentinas nas permissões administrativas.
Testes:a equipe de segurança rastreia ativamente ameaças de segurança usando testes de penetração, medidas de controle de qualidade (QA, na sigla em inglês), detecção de intrusões e análises de segurança de software.
Análises de código interno: a análise do código-fonte descobre vulnerabilidades ocultas, falhas de design e verifica se os principais controles de segurança foram implementados.
Ferramentas e processos específicos do produto:ferramentas automatizadas específicas para a função da equipe são empregadas sempre que possível para aprimorar a capacidade do Google de detectar incidentes no nível do produto.
Monitoramento de acesso privilegiado:pipelines automatizados verificam e avaliam continuamente o acesso de funcionários do Google aos recursos do cliente. Os classificadores de machine learning analisam registros de auditoria para detectar e sinalizar tentativas de acesso inesperadas ou não padrão para conformidade imediata e revisão de segurança.
Alertas de segurança de data centers e serviços no local de trabalho:os alertas de segurança nos data centers verificam incidentes que podem afetar nossa infraestrutura.
Funcionários da Google: um funcionário da Google detecta uma anomalia e a denuncia.
Programa de recompensa para descobertas de vulnerabilidades: pesquisadores de segurança externos às vezes relatam vulnerabilidades técnicas potenciais em extensões de navegador, dispositivos móveis e aplicativos da Web pertencentes à Google, que afetam a confidencialidade ou a integridade dos dados do usuário.
Triagem de alertas inteligentes:para evitar a fadiga de alertas, o Google usa modelos de IA para pré-classificar e remover duplicações de fluxos de alertas de alto volume. Esse sistema agrupa sinais relacionados em incidentes consolidados, classifica-os por gravidade potencial e anexa diagnósticos de ameaças contextuais para a equipe de resposta.
Coordenação
Quando um incidente é relatado, o responsável responde e avalia a natureza do relatório do incidente para determinar se ele representa um possível incidente de dados e inicia nosso processo de resposta a incidentes.
Após a confirmação, o responsável avalia a natureza do incidente e implementa uma abordagem coordenada para a resposta. Nesse cenário, a resposta inclui a conclusão da avaliação da triagem do incidente, ajustando sua gravidade, se for preciso, e ativando a equipe de resposta a incidentes necessária com chefes operacionais e técnicos apropriados que revisem os fatos e identifiquem as principais áreas que requerem investigação. Nomeamos um responsável por produtos e um responsável jurídico para tomar decisões importantes sobre como responder. Em seguida, o participante atribui a responsabilidade pela investigação e os fatos são reunidos. Se necessário, um incidente é declarado e um comandante do incidente é designado.
Muitos aspectos da nossa resposta dependem da avaliação da gravidade, que é baseada nos principais fatos que são coletados e analisados pela equipe de resposta a incidentes. Os principais fatos são:
potencial para prejudicar clientes, terceiros e o Google;
Natureza do incidente (por exemplo, se os dados foram possivelmente destruídos, acessados ou alterados)
Tipos de dados que podem ser afetados
O impacto do incidente na capacidade dos nossos clientes de usar o serviço
O status do incidente (por exemplo, se o incidente foi isolado, está em andamento ou foi contido);
O comandante do incidente e outros responsáveis reavaliam periodicamente esses fatores ao longo do trabalho de resposta, à medida que novas informações evoluem, para garantir que a nossa resposta receba os recursos e a urgência apropriados. É atribuída maior gravidade aos eventos que apresentam impactos mais críticos. Um responsável pelas comunicações é nomeado para desenvolver um plano de comunicação com outros responsáveis.
Os sistemas de IA monitoram canais de colaboração relacionados a incidentes e propõem atualizações para a linha do tempo de incidentes.
Resolução
Nesse estágio, o foco está na investigação da causa raiz, limitando o impacto do incidente, resolvendo possíveis riscos de segurança imediatos, implementando as correções necessárias como parte da remediação e recuperando os sistemas, dados e serviços afetados.
Os dados afetados são restaurados para o estado original sempre que possível. Dependendo do que é razoável e necessário em um incidente específico, podemos adotar várias medidas diferentes para resolver um incidente. Por exemplo, pode haver necessidade de investigação técnica ou forense para reconstruir a causa raiz de um problema ou identificar qualquer efeito nos dados do cliente. Podemos tentar recuperar cópias dos dados das cópias de backup caso os dados sejam alterados ou destruídos de forma inadequada.
Um aspecto importante da remediação é notificar os clientes quando os incidentes afetarem os dados deles. Os principais fatos são avaliados ao longo do incidente para determinar se o incidente afetou os dados. Se for apropriado notificar os clientes, o comandante do incidente inicia o processo de notificação. O responsável pelas comunicações desenvolve um plano de comunicação com informações do produto e dos responsáveis jurídicos, informa as pessoas afetadas e aceita as solicitações dos clientes após a notificação, com a ajuda do atendimento ao cliente.
Fazemos o possível para fornecer notificações rápidas, claras e precisas com os detalhes conhecidos do incidente de dados, as medidas que tomamos para mitigar os possíveis riscos e as ações que recomendamos que os clientes realizem para lidar com o incidente. Fazemos o melhor possível para fornecer uma imagem clara do incidente, para que os clientes possam avaliar e cumprir as próprias obrigações de notificação.
Fechamento
Após a correção e resolução bem-sucedida de um incidente de dados, a equipe de resposta a incidentes avalia as lições aprendidas do incidente. Quando o incidente levanta questões críticas, o comandante do incidente pode iniciar uma análise post mortem. As ferramentas de IA preenchem automaticamente um rascunho post mortem usando linhas do tempo, registros de chat e metadados. Durante esse processo, a equipe de resposta a incidentes analisa as causas do incidente e nossa resposta e identifica as principais áreas de melhoria. Em alguns casos, isso pode exigir discussões com diferentes equipes de produtos, engenharia e operações e o trabalho de aprimoramento de produtos. Se for necessário um trabalho de acompanhamento, a equipe de resposta a incidentes desenvolve um plano de ação para concluir esse trabalho e designa gerentes de projeto para liderar o esforço de longo prazo. O incidente é encerrado após a conclusão dos trabalhos de remediação.
Melhoria contínua
No Google, nos esforçamos para aprender com os incidentes individualmente e implementar medidas preventivas para evitar incidentes futuros.
Os insights úteis da análise de incidentes permitem aprimorar nossas ferramentas, treinamento, processos, programa geral de segurança de dados e privacidade, políticas de segurança e esforços de resposta. Os principais aprendizados também facilitam a priorização dos trabalhos de engenharia e a construção de melhores produtos.
Profissionais de segurança e privacidade melhoram nosso programa revisando nossos planos de segurança para todos os sistemas, redes e serviços e fornecendo serviços de consultoria específicos do projeto para equipes de produtos e engenharia. Profissionais de segurança e privacidade implantam machine learning, análise de dados e outras técnicas inovadoras para monitorar atividades suspeitas nas nossas redes, lidar com ameaças à segurança da informação, realizar avaliações e auditorias de segurança rotineiras e interagir com especialistas de fora para realizar avaliações de segurança regulares. Além disso, o Projeto Zero tem como objetivo evitar ataques direcionados relatando bugs para fornecedores de software e filtrando-os em um banco de dados externo.
Fazemos campanhas de treinamento e reconhecimento regularmente para promover a inovação em segurança e privacidade de dados. A equipe dedicada de resposta a incidentes é treinada em análise forense e no manuseio de provas, incluindo o uso de ferramentas proprietárias e de terceiros. O teste de processos e procedimentos de resposta a incidentes é realizado para as principais áreas, como sistemas que armazenam informações confidenciais de clientes. Esses testes consideram uma variedade de cenários, incluindo ameaças internas e vulnerabilidades de software, e nos preparam para enfrentar incidentes de segurança e privacidade.
Nosso processo de resposta a incidentes é testado regularmente em relação a frameworks regulatórios para fornecer aos nossos clientes e reguladores uma verificação independente dos nossos controles de segurança, privacidade e compliance. Por exemplo, alinhamos nossos processos de resposta a incidentes com o Regulamento de Resiliência Operacional Digital da UE (DORA, na sigla em inglês) para ajudar os clientes financeiros a atender aos requisitos de classificação, relatórios e cronograma de incidentes. Também nos alinhamos com a Diretiva sobre Redes e Sistemas de Informação 2.0 (NIS2, na sigla em inglês) na Europa. Nossos produtos passam por testes de certificação regularmente para os programas ISO-27017, ISO-27018, ISO-27001, PCI-DSS, SOC 2 e FedRAMP. Para ver uma lista de certificações de terceiros do Google Cloud, consulte a Central de recursos de compliance.
Comunicações com o cliente
O Google oferece vários mecanismos para que nossos clientes recebam notificações de incidentes e integrem as notificações aos fluxos de trabalho de resposta a incidentes.
As notificações sobre incidentes de dados são enviadas usando Contatos essenciais. Além disso, o Google Admin Console fornece notificações sobre segurança e gerenciamento de contas, integridade e atualizações de serviços e anúncios de serviços obrigatórios (MDA, na sigla em inglês).
Para especificar quem recebe essas notificações, adicione os endereços de e-mail adequados aos Contatos essenciais e às contas de administrador do Google Workspace. Se você não configurar os Contatos essenciais, Google Cloud enviará e-mails para administradores da organização, proprietários do projeto, ou administradores de faturamento, dependendo do escopo da notificação.
O Google envia e-mails usando um endereço @google.com. O remetente específico varia de acordo com o serviço que enviou o alerta. Os remetentes incluem cloud-security-scanner-noreply@google.com, google-cloud-compliance-noreply@google.com, workspace-noreply@google.com, apps-noreply@google.com ou endereços de resposta específicos do serviço.
As notificações normalmente incluem o seguinte:
- Os serviços e projetos afetados Google Cloud
- Uma descrição do problema ou incidente
- A hora em que o problema foi detectado
- Um identificador exclusivo do incidente
- Links para painéis relevantes ou recursos de suporte
Para ingerir essas notificações nos processos de resposta a incidentes, faça o seguinte:
- Configure um e-mail de grupo de resposta a incidentes para a categoria Segurança ou Todos nos Contatos essenciais.
- Conceda o papel do IAM Leitor de notificações de avisos
(
roles/advisorynotifications.viewer) aos administradores de segurança para que eles possam visualizar esses avisos no Google Cloud console. - Crie alertas no Cloud Monitoring para receber notificações com base nos registros e métricas.
Uso de IA na resposta a incidentes de dados
O Google usa a IA durante as várias etapas do processo de resposta a incidentes de dados para enriquecer o contexto e aconselhar nossas equipes sobre as próximas etapas. Por exemplo, o Google usa a IA da seguinte maneira:
- Durante a fase de identificação, os modelos de machine learning analisam sinais de alerta e correlacionam eventos.
- Durante a fase de investigação, os agentes de IA analisam diagnósticos para identificar possíveis causas raiz e recomendar resoluções. Nessa fase, a IA é estritamente limitada a sugerir resoluções.
- Durante a fase de resolução, os modelos de IA são proibidos de executar comandos diretamente. Em vez disso, os modelos de IA geram payloads de ação estruturados que precisam passar por verificações de validação e receber confirmação humana explícita no loop antes de serem aplicados.
Para ajudar na capacidade de auditoria e compliance, as ações de IA que ocorrem durante o processo de resposta a incidentes são registradas em registros de auditoria imutáveis.
Resumo
Proteger os dados é fundamental para nossos negócios. Investimos continuamente em nosso programa geral de segurança, recursos e experiência. Por esse motivo, temos a confiança de nossos clientes para responder com eficácia em caso de incidente, proteger seus dados e manter a alta confiabilidade que os clientes esperam de um serviço do Google.
Nosso programa de resposta a incidentes de nível internacional oferece estas funções principais:
Um processo baseado nas técnicas líderes do setor para resolver incidentes, e refinado para operar de maneira eficiente na escala do Google.
Pioneirismo em sistemas de monitoramento, análise de dados e serviços de machine learning para detectar e conter incidentes de maneira proativa.
Especialistas dedicados que podem responder a qualquer tipo ou tamanho de incidente de dados.
Um processo maduro para notificar prontamente os clientes afetados, de acordo com os compromissos do Google, descritos em nossos termos de serviço e contratos com clientes.
O que vem em seguida?
Para saber mais sobre gerenciamento de incidentes, leia o capítulo 17 de Como criar sistemas seguros e confiáveis (livro da O'Reilly) (em inglês).
Para saber mais sobre como implementar a segurança para cargas de trabalho do cliente em Google Cloud, consulte o Blueprint de bases empresariais e o Google Cloud Well-Architected Framework.