本页面介绍了合作伙伴主权控制功能中的共担责任。如需了解有关 Google Cloud中责任共担的一般信息，请参阅 Google Cloud中的共担责任和共同命运体。
数据责任共担
您非常了解企业的安全和监管要求，也非常了解保护机密数据和资源的要求。在 Google Cloud上运行工作负载时，必须确定您需要在 Google Cloud 中配置的安全控制措施，以帮助保护机密数据和每个工作负载。如需确定要实现的安全控制措施，您必须考虑以下因素：
- 法规遵从义务
- 组织的安全标准和风险管理计划
- 客户和供应商的安全要求
保护您的数据，是 Google 所有基础架构、产品和员工操作的主要设计考量因素。 Google Cloud 可为多种类型的数据（包括客户数据和服务数据）提供强大的安全性。不过，如果您的工作负载必须满足特定的监管要求，或者受需要加强安全控制的国家标准约束，那么您的内部政策可能与默认配置选项有所不同。如果您有此类要求，建议您采用其他工具和技术，以帮助您保持所需的合规性水平，并使您的团队能够遵循数据管理和整体网络安全管理的最佳实践。
配置 Google Cloud 和 Sovereign Controls by Partners 以实现责任共担
作为任何公有云的用户，客户在以下方面负有责任：
- 了解数据的哪些部分具有不同的合规性和安全性要求。 大多数云客户都有一些需要一般商业安全性的 IT 基础设施，而有些客户则有必须满足更高合规性要求的数据，例如健康数据。合作伙伴提供的主权控制功能可帮助您满足这些更高的合规性要求。将任何具有特定访问权限或驻留要求的敏感数据或受监管数据放置在相应的“Sovereign Controls by Partners”文件夹或项目中，并将其保留在该位置。
- 配置 Identity and Access Management (IAM)，确保组织的内容只能由相应人员访问和修改。
- 创建和整理组织层次结构，使其不会泄露个人数据。
- 确保您已阅读所有文档，了解并遵循最佳实践。
- 在技术支持会话和问题排查期间谨慎分享信息，并且不将敏感数据或受监管数据放置或分享到合作伙伴的合规 Sovereign Controls 文件夹之外。
敏感数据或受管制数据的范围可能因多种因素而异，包括您或您的客户所受的法规，并且可能包括：
- 账号信息
- 健康信息
- 客户或用户的个人标识符
- 持卡人数据
- 身份证件号码
“责任共担”模式下 Google 的责任
在 Google 与客户的责任共担合作伙伴关系中，Google 负责构建成功的云业务的基础要素和基础设施，其中一些要素和基础设施依赖于客户履行其配置Google Cloud 的责任，以充分保护其数据。Google 的责任示例包括：
- 应用默认加密和基础设施控制措施。
- 强制执行您设置的 IAM 政策，以限制工作负载管理和数据访问权限，仅允许您指定的身份执行这些操作。
- 配置并强制执行与您选择的合规性制度相关联的任何客户选择的合作伙伴主权控制措施，以保护您已配置这些控制措施的资源中的数据类型。这包括限制数据存储位置，以及限制哪些 Google 员工可以在适当的业务活动过程中访问您的数据。
- 通过 Sovereign Controls by Partners 为受监管行业和位置敏感数据提供配置和控制。
- 提供组织政策和资源设置，可让您在整个文件夹和项目的层次结构中配置政策。
- 提供 Policy Intelligence 工具，可让您深入了解账号和资源的访问权限。
特定于欧洲和欧盟的配置
使用合作伙伴提供的主权控制措施时，客户除了 Google Cloud 上做出的 GDPR 保证之外，还可以使用其他技术控制措施来调整其数据留存位置和安全控制措施，以实现合规性。这些控制措施包括：
- 欧盟数据边界，如数据驻留中所述。
- 将支持请求路由给位于欧盟境内的欧盟人（包括子处理方）。
- 了解管理访问权限请求和访问行为。
- 基于政策的访问权限审批（仅限主权控制）。
- 数据加密和密钥管理的自定义选项。
不建议用于敏感数据或受监管数据的常见字段示例
我们强烈建议所有受监管客户和主权客户在将数据输入 Google Cloud 服务时务必谨慎。请务必避免将敏感数据或受监管数据添加到可能不受技术控制措施保护或未纳入合作伙伴主权控制技术控制边界的常见输入字段中。此做法对于遵守监管要求和保护敏感信息或受监管信息至关重要。为方便起见，我们整理了一份列表，其中列出了各种 Google Cloud 服务中需要格外警惕的示例。
避免将敏感数据或受监管数据放置在以下常见字段中：
- 资源名称和 ID
- 项目或文件夹名称和 ID
- 任何说明字段或标签
- 基于日志的指标
- 虚拟机大小和类似的服务配置
- URI 或文件路径
- 时间戳
- 用户 ID
- 防火墙规则
- 安全扫描配置
- 客户 IAM 政策
后续步骤
- 详细了解 Google Cloud上的责任共担和命运共同体。