Puedes usar Google Cloud las prácticas recomendadas y los lineamientos de seguridad para descubrir e implementar funciones de seguridad para tus cargas de trabajo y servicios de asistencia enGoogle Cloud.
Las prácticas recomendadas de seguridad son una guía complementaria impulsada por Google para las prácticas regulatorias y de seguridad existentes en industrias como el sector de servicios financieros. Las prácticas recomendadas y los lineamientos de Google Cloud se enfocan en los controles de seguridad fundamentales de las cargas de trabajo.
Estas prácticas recomendadas de seguridad tienen como objetivo ayudar a los directores de seguridad de la información (CISO), los profesionales de seguridad y los oficiales de cumplimiento y riesgo a adoptar y, luego, implementar cargas de trabajo en Google Cloud, con un enfoque en la seguridad y el cumplimiento. Alineamos nuestras recomendaciones con los requisitos de los frameworks 800-53 del Instituto Nacional de Normas y Tecnología (NIST) y del Cyber Risk Institute (CRI).
Estas prácticas recomendadas también admiten el modelo de destino compartido, en el que nos esforzamos por colaborar con las industrias para crear una infraestructura de nube más segura y resiliente para diversas cargas de trabajo. El modelo de destino compartido incluye la implementación, las operaciones y la transferencia de riesgos. Por lo tanto, estas recomendaciones se enfocan en la implementación y las operaciones de las cargas de trabajo, en particular en relación con el cumplimiento.
Entendemos que implementar el cumplimiento y la seguridad no es una tarea sencilla. Si necesitas más ayuda, comunícate con el equipo de seguridad de Google Cloud.
Estructura para las prácticas recomendadas de seguridad
Las prácticas recomendadas de seguridad se estructuran como controles que puedes revisar e implementar. Cada control está diseñado para abordar un nivel diferente de la pila de IA. Estos niveles son los siguientes:
- Base empresarial segura: Es la capa principal para la autenticación, la administración de accesos, la organización, las herramientas de redes, la administración de claves, Secret Manager, el registro, la supervisión, las alertas, el análisis de seguridad y las operaciones de agentes.
- Infraestructura de IA: Es la capa para contenedores, procesamiento y TPU.
- Investigación y modelos: Capa para el desarrollo de modelos y la protección activa de modelos.
- Capa de administración y contexto de datos: para almacenes de datos, almacenamiento, bases de datos y administración de datos sensibles.
- Herramientas y plataforma de inferencia: Es la capa de Gemini Enterprise Agent Platform que incluye Model Garden, Model Builder y Agent Builder.
- Agentes y aplicaciones: Es la capa para Gemini Enterprise, Google Workspace, las aplicaciones de IA y otros controles de software.
En el siguiente diagrama, se muestra cómo se apilan estos niveles.
Los controles se estructuran de la siguiente manera:
Roles de Identity and Access Management (IAM) recomendados: Son recomendaciones de roles de IAM para asignar a los grupos de usuarios de tu organización.
Controles de base empresarial seguros: Estas prácticas recomendadas te permiten crear una base segura para las cargas de trabajo enGoogle Cloud.
Controles de infraestructura: Estas prácticas recomendadas te permiten aplicar controles de seguridad al procesamiento, los contenedores y los aceleradores.
Controles de administración de datos: Estas prácticas recomendadas te permiten aplicar controles de seguridad a los almacenes de datos y al almacenamiento de datos.
Herramientas y controles de inferencia: Estas prácticas recomendadas te permiten aplicar controles de seguridad a los componentes de Gemini Enterprise Agent Platform.
Controles de agentes y aplicaciones: Estas prácticas recomendadas te permiten aplicar controles de seguridad a las aplicaciones que usan IA generativa.
Cada recomendación se puede auditar y garantiza que se cumpla con un modelo de referencia de controles de seguridad.
Niveles de implementación de controles
Los niveles de implementación de controles son Obligatorio, Recomendado o Opcional. Los niveles ayudan a identificar las actividades clave que te recomendamos que realices, las actividades que te recomendamos que consideres y las actividades que podrías considerar según tus requisitos y objetivos específicos.
En la siguiente tabla, se describen estos niveles.
| Nivel de implementación | Descripción |
|---|---|
Obligatorio |
Implementa estos lineamientos para tu entorno de Google Cloud . |
Recomendado |
Implementa estos lineamientos según casos de uso específicos. Por ejemplo, una práctica recomendada podría ser supervisar los datos sensibles dentro de las cargas de trabajo de IA generativa si tu entorno incluye ese tipo de datos. |
Opcional |
Considera lineamientos adicionales según tu caso de uso y tu apetito de riesgo. |