Seguridad, privacidad, riesgo y cumplimiento de la API de Conversational Analytics

En este documento, se proporciona una descripción general de los distintos controles que admiten la seguridad de la API de Conversational Analytics en Google Cloud y se incluyen vínculos para obtener más información sobre cómo configurar los controles. Los controles de seguridad, como las opciones, las políticas y la administración de acceso de seguridad de la red, pueden ayudarte a abordar los riesgos comerciales y cumplir con los requisitos regulatorios y de privacidad que se aplican a tu empresa.

La seguridad, la privacidad, el riesgo y el cumplimiento de la API de Conversational Analytics usan un modelo de responsabilidad compartida. Por ejemplo, dado que la API de Conversational Analytics es un servicio completamente administrado, Google protege y administra la infraestructura en la que se ejecutan la API de Conversational Analytics y otros servicios de Google Cloud , y te proporciona las capacidades que te ayudan a administrar el acceso a tus servicios y recursos. Para obtener más información sobre cómo protegemos la infraestructura, consulta la descripción general del diseño de seguridad de la infraestructura de Google.

Como parte de la familia de productos de Gemini para Google Cloud , la API de Conversational Analytics cumple con los compromisos de Google en cuanto a la privacidad y el uso de los datos. Para obtener más información, consulta cómo Gemini para Google Cloud usa tus datos y certificaciones y seguridad de Gemini para Google Cloud.

La API de Conversational Analytics incluye controles de seguridad para ayudar a mitigar riesgos como la inyección de instrucciones. Dado que la seguridad de los modelos de lenguaje grandes (LLM) es un campo en rápida evolución, estos mecanismos de defensa se actualizan continuamente para ayudar a proteger las interacciones de los agentes de datos.

Servicios aprovisionados

Cuando comienzas a usar la API de Conversational Analytics, habilitas las siguientes APIs:

Para obtener más información, consulta Habilita la API de Conversational Analytics.

Autenticación para la administración de Google Cloud

Los administradores y desarrolladores que crean y administran las instancias de la API de Conversational Analytics deben autenticarse en Google Cloud para verificar su identidad y sus privilegios de acceso. Debes configurar cada usuario con una cuenta de usuario administrada por Cloud Identity, Google Workspace o un proveedor de identidad con el que te hayas federado con Cloud Identity o Google Workspace. Para obtener más información, consulta la Descripción general de la administración de identidades de Google.

Después de crear las cuentas de usuario, implementa las prácticas recomendadas de seguridad, como el inicio de sesión único y la verificación en 2 pasos.

Para usar la API de Conversational Analytics, debes autenticarte en Google Cloud. Según tus fuentes de datos, es posible que también debas proporcionar credenciales independientes para autorizar al agente a acceder a los datos subyacentes. Para obtener más información, consulta Cómo autenticarse y conectarse a una fuente de datos.

Identity and Access Management

Para administrar los roles de Identity and Access Management (IAM) a gran escala para tus administradores y desarrolladores, considera crear grupos funcionales separados para tus diferentes roles de usuario y aplicaciones. Otorga a tus grupos los roles o permisos de IAM necesarios para administrar la API de Conversational Analytics. Cuando asignes roles a tus grupos, sigue el principio de privilegio mínimo y otras prácticas recomendadas de seguridad de IAM. Para obtener más información, consulta las prácticas recomendadas para usar Grupos de Google.

Para obtener más información sobre la configuración de IAM, consulta la descripción general de IAM.

IAM controla el acceso a los recursos de la API de Conversational Analytics, como los agentes y las conversaciones. El acceso a los datos subyacentes que consulta un agente se controla mediante permisos en la propia fuente de datos. Para obtener más información, consulta Control de acceso a la API de Conversational Analytics con IAM.

Cuentas de servicio de la API de Conversational Analytics

Cuando habilitas la API de Conversational Analytics, Google crea cuentas de servicio para ti. Una cuenta de servicio es un tipo especial de Cuenta de Google no interactiva que, por lo general, es usada por una aplicación o carga de trabajo de procesamiento, como una instancia de Compute Engine, en lugar de una persona. Las aplicaciones usan cuentas de servicio para acceder a las APIs de Google.

Agentes de servicio

Para permitir que la API de Conversational Analytics acceda a tus recursos en tu nombre, Google Cloud crea una cuenta de servicio especial conocida como agente de servicio.

Cuando habilitas la API de Conversational Analytics, se crean los siguientes agentes de servicio de la API de Conversational Analytics:

  • service-PROJECT_NUMBER@gcp-sa-geminidataanalytics.iam.gserviceaccount.com
  • service-PROJECT_NUMBER@gcp-sa-cloudaicompanion.iam.gserviceaccount.com

Políticas de la API de Conversational Analytics

Las políticas de la organización predefinidas que se aplican a la API de Conversational Analytics incluyen las siguientes:

  • Restringe el uso de servicios del recurso (constraints/gcp.restrictServiceUsage)
  • Restricción de ubicación de recursos (constraints/gcp.resourceLocations)
  • Restringe proyectos de claves criptográficas CMEK (constraints/gcp.restrictCmekCryptoKeyProjects)
  • Restringe los servicios que no son de CMEK (constraints/gcp.restrictNonCmekServices)

Para obtener más información, consulta las restricciones de las políticas de la organización.

Seguridad de red

De forma predeterminada, Google aplica protecciones predeterminadas a los datos en tránsito para todos los servicios de Google Cloud , incluidas las instancias de la API de Conversational Analytics que se ejecutan en Google Cloud. Para obtener más información sobre las protecciones de red predeterminadas, consulta Encriptación en tránsito.

Si tu organización lo requiere, puedes configurar controles de seguridad adicionales para proteger aún más el tráfico en la red Google Cloud y el tráfico entre la red Google Cloud y tu red corporativa. Ten en cuenta lo siguiente:

  • La API de Conversational Analytics admite los Controles del servicio de VPC. Los Controles del servicio de VPC te permiten controlar el movimiento de datos en los servicios de Google y configurar la seguridad perimetral basada en el contexto. Para obtener más información sobre cómo configurar los Controles del servicio de VPC, consulta Configura la seguridad del perímetro con los Controles del servicio de VPC.
  • En Google Cloud, considera usar la VPC compartida como tu topología de red. La VPC compartida proporciona una administración centralizada de la configuración de red, a la vez que mantiene la separación de los entornos.

Para obtener más información sobre las prácticas recomendadas de seguridad de red, consulta Implementa la confianza cero y Decide el diseño de red para tu zona de destino de Google Cloud .

Protección y privacidad de los datos

La API de Conversational Analytics encripta los datos que se almacenan en Google Cloudcon la encriptación predeterminada.  Los datos de ejemplo incluyen lo siguiente:

  • Configuración del agente de datos (instrucciones del sistema y consultas de ejemplo)
  • Contexto del agente de datos (contexto de etapa de pruebas y publicado)
  • Historial de mensajes y estados de las conversaciones

Solo se puede acceder a estos datos a través de las instancias de la API de Conversational Analytics.

Puedes habilitar las claves de encriptación administradas por el cliente (CMEK) para encriptar tus datos en reposo. Con la CMEK, las claves se almacenan en Cloud Key Management Service (Cloud KMS) como claves protegidas por software o por hardware con Cloud HSM, pero tú las administras. Para aprovisionar claves de encriptación automáticamente, puedes habilitar Autokey de Cloud KMS. Cuando habilitas Autokey, un desarrollador puede solicitar una clave de Cloud KMS, y el agente de servicio aprovisiona una clave que coincide con la intención del desarrollador. Con Autokey de Cloud KMS, las claves están disponibles a pedido, son coherentes y siguen las prácticas estándar de la industria.

Dónde se procesan los datos

La API de Conversational Analytics admite la residencia de datos para los datos almacenados en Google Cloud. La residencia de datos te permite elegir las regiones en las que deseas que se almacenen tus datos con la restricción de la política de ubicación del recurso. Puedes usar Cloud Asset Inventory para verificar la ubicación de los recursos de la API de Conversational Analytics.

Privacidad de los datos

Para ayudar a proteger la privacidad de tus datos, la API de Conversational Analytics cumple con los Principios de Privacidad Comunes.

La API de Conversational Analytics actúa como encargado del tratamiento de datos para los Datos del Cliente. Google también actúa como responsable del tratamiento de datos para la información, como la facturación y la administración de cuentas, y la detección de abusos. Para obtener más información, consulta el Google Cloud Aviso de Privacidad.

Registros de auditoría

La API de Conversational Analytics escribe los siguientes tipos de registros de auditoría:

  • Registros de auditoría de actividad del administrador: Incluyen operaciones de ADMIN WRITE que escriben metadatos o información de configuración.

  • Registros de auditoría de acceso a los datos: Incluyen operaciones de ADMIN READ que leen metadatos o información de configuración. También incluye las operaciones DATA READ y DATA WRITE que leen o escriben datos proporcionados por el usuario.

Para obtener más información, consulta Registros de auditoría.

Supervisión y respuesta ante incidentes

Puedes usar una variedad de herramientas para supervisar el rendimiento y la seguridad de la API de Conversational Analytics. Ten en cuenta lo siguiente:

  • Explorador de registros para ver y analizar registros de eventos, y crear métricas personalizadas y alertas
  • Usa el panel de Cloud Monitoring para supervisar el rendimiento de la API de Conversational Analytics.
  • Implementa controles y marcos de trabajo de la nube en Security Command Center para detectar vulnerabilidades y amenazas en la API de Conversational Analytics (como escalamientos de privilegios). Puedes configurar alertas y guías para los analistas de tu centro de operaciones de seguridad (SOC) para que puedan responder a los hallazgos.

¿Qué sigue?