En esta página, se describe la responsabilidad compartida en los Controles soberanos operados por socios. Para obtener información general sobre la responsabilidad compartida en Google Cloud, consulta Responsabilidades compartidas y destino compartido en Google Cloud.
Responsabilidad compartida por los datos
Eres el experto en conocer los requisitos normativos y de seguridad de tu empresa, y conocer los requisitos de protección de tus datos y recursos confidenciales. Cuando ejecutas tus cargas de trabajo en Google Cloud, debes identificar los controles de seguridad que necesitas configurar en Google Cloud para proteger tus datos confidenciales y cada carga de trabajo. Para decidir qué controles de seguridad implementar, debes tener en cuenta los siguientes factores:
- Tus obligaciones de cumplimiento de la reglamentación
- Los estándares de seguridad y el plan de administración de riesgos de tu organización
- Los requisitos de seguridad de tus clientes y proveedores
La protección de tus datos es una de las principales consideraciones de diseño para toda la infraestructura, los productos y las operaciones del personal de Google. Google Cloud proporciona una seguridad sólida para muchos tipos de datos, incluidos los Datos del Cliente y los Datos del Servicio. Sin embargo, si tus cargas de trabajo deben cumplir con requisitos reglamentarios específicos o están sujetas a estándares nacionales que requieren controles de seguridad elevados, es posible que tus políticas internas difieran de las opciones de configuración predeterminadas. Si tienes esos requisitos, te recomendamos que adoptes herramientas y técnicas adicionales para mantener el nivel de cumplimiento requerido y permitir que tu equipo siga las prácticas recomendadas de administración de datos y de administración general de la ciberseguridad.
Configura Google Cloud y Sovereign Controls by Partners para la responsabilidad compartida
Las siguientes áreas son responsabilidades del cliente como usuario de cualquier nube pública:
- Comprender qué partes de tus datos tienen diferentes requisitos de cumplimiento y seguridad La mayoría de los clientes de la nube tienen cierta infraestructura de TI que requiere seguridad comercial general, y algunos clientes tienen datos específicos, como datos de salud, que deben cumplir con un requisito de cumplimiento más alto. Los Controles Soberanos Operados por Socios pueden ayudar a cumplir con esos requisitos de cumplimiento más estrictos. Coloca todos los datos sensibles o regulados que tengan requisitos específicos de acceso o residencia dentro de las carpetas o los proyectos adecuados de Controles Soberanos por Socios y mantenlos allí.
- Configurar Identity and Access Management (IAM) para garantizar que el personal adecuado acceda al contenido de tu organización y pueda modificarlo
- Crear y organizar tu jerarquía organizacional de manera que no exponga datos personales
- Asegurarte de haber leído toda la documentación para comprender y seguir las prácticas recomendadas
- Compartir información con prudencia durante las sesiones de asistencia técnica y la solución de problemas, y no colocar ni compartir datos sensibles o regulados fuera de las carpetas de Controles Soberanos que cumplen con los requisitos de los Socios.
El alcance de los datos sensibles o regulados puede variar según muchos factores, incluidas las reglamentaciones a las que usted o sus clientes están sujetos, y puede incluir lo siguiente:
- Información de la cuenta
- Información sobre el estado
- Identificadores personales de clientes o usuarios
- Datos de titulares de tarjetas
- Números de ID
Responsabilidades de Google en el modelo de responsabilidad compartida
En la asociación de responsabilidad compartida entre Google y los clientes, Google asume la responsabilidad de los elementos fundamentales y la infraestructura para crear un negocio en la nube exitoso, algunos de los cuales dependen de que los clientes cumplan con sus responsabilidades para configurarGoogle Cloud y proteger adecuadamente sus datos. Estos son algunos ejemplos de las responsabilidades de Google:
- Aplicar la encriptación predeterminada y los controles de infraestructura
- Aplicar las políticas de IAM que configures para restringir la administración de cargas de trabajo y el acceso a los datos a las identidades que identifiques
- Configurar y aplicar los controles soberanos seleccionados por el cliente mediante los controles de socios asociados con el régimen de cumplimiento seleccionado para los tipos de datos protegidos en los recursos para los que lo configuraste Esto incluye restricciones sobre dónde se almacenarán los datos y qué empleados de Google pueden tener acceso a ellos en el transcurso de sus actividades comerciales correspondientes.
- Proporcionar configuraciones y controles a través de Sovereign Controls by Partners para industrias reguladas y datos sensibles a la ubicación
- Proporciona políticas de la organización y configuración de recursos que te permiten establecer políticas en toda tu jerarquía de carpetas y proyectos.
- Proporcionamos herramientas de Policy Intelligence que te brindan estadísticas sobre el acceso a cuentas y recursos.
Configuración específica para Europa y la UE
Cuando usan los Controles Soberanos de los socios, los clientes tienen controles técnicos adicionales además de las garantías del RGPD que se realizan en Google Cloud que pueden usar para ajustar sus controles de seguridad y residencia de datos como parte de sus esfuerzos de cumplimiento. Algunos de estos controles son los siguientes:
- Un límite de datos de la UE, como se describe con más detalle en Residencia de datos.
- Se enruta la asistencia a personas físicas o jurídicas de la UE que se encuentran en ubicaciones de la UE, incluidos los subprocesadores.
- Visibilidad de las solicitudes y los accesos administrativos
- Aprobaciones de acceso basadas en políticas (solo para Controles soberanos)
- Opciones personalizadas para la encriptación de datos y la administración de claves
Ejemplos de campos comunes que no se recomiendan para datos sensibles o regulados
Recomendamos a todos los clientes soberanos y regulados que tengan precaución al ingresar datos en los servicios de Google Cloud . Es fundamental evitar agregar datos sensibles o regulados en los campos de entrada comunes que no estén protegidos por controles técnicos o que no se incluyan en el límite de control técnico de los Controles Soberanos por Socios. Esta práctica es necesaria para mantener el cumplimiento de los requisitos reglamentarios y proteger tu información sensible o regulada. Para ayudarte, compilamos una lista de ejemplos de varios servicios de Google Cloud en los que se requiere vigilancia adicional.
Evita colocar tus datos sensibles o regulados en los siguientes campos comunes:
- Nombres e IDs de recursos
- Nombres e IDs de proyectos o carpetas
- Cualquier campo o etiqueta de descripción
- Métricas basadas en registros
- Tamaños de VM y parámetros de configuración de servicio similares
- URI o rutas de acceso a archivos
- Marcas de tiempo
- IDs de usuario
- Reglas de firewall
- Parámetros de configuración del análisis de seguridad
- Políticas de IAM del cliente
¿Qué sigue?
- Obtén más información sobre las responsabilidades y el destino compartidos en Google Cloud.