Esta página descreve a responsabilidade compartilhada nos Controles de Soberania Oferecidos por Parceiros. Para informações gerais sobre responsabilidade compartilhada no Google Cloud, consulte Responsabilidades compartilhadas e destino compartilhado no Google Cloud.
Responsabilidade compartilhada pelos dados
Você é especialista em requisitos regulamentares e de segurança da sua empresa, e os requisitos para proteger seus dados e recursos confidenciais. Ao executar suas cargas de trabalho no Google Cloud, você precisa identificar os controles de segurança que precisam ser configurados no Google Cloud para proteger seus dados confidenciais e cada carga de trabalho. Para decidir quais controles de segurança implementar, considere os seguintes fatores:
- Obrigações regulatórias de conformidade
- Padrões de segurança e plano de gerenciamento de riscos da organização
- Requisitos de segurança de clientes e fornecedores
A proteção dos seus dados é uma consideração de design principal para todas as operações de infraestrutura, produtos e pessoal do Google.O Google Cloud oferece segurança robusta para vários tipos de dados, incluindo Dados do cliente e Dados do serviço. No entanto, se as cargas de trabalho precisarem atender a requisitos regulamentares específicos ou estiverem sujeitas a padrões nacionais que exigem controles de segurança elevados, suas políticas internas poderão ser diferentes das opções de configuração padrão. Se você tiver esses requisitos, recomendamos adotar outras ferramentas e técnicas para manter o nível de compliance necessário e permitir que sua equipe siga as práticas recomendadas de gerenciamento de dados e gerenciamento geral de segurança cibernética.
Configurar Google Cloud e controles de soberania dos parceiros para responsabilidade compartilhada
As seguintes áreas são responsabilidades do cliente como usuário de qualquer nuvem pública:
- Entender quais partes dos seus dados têm requisitos diferentes de compliance e segurança. A maioria dos clientes da nuvem tem alguma infraestrutura de TI que exige segurança comercial geral, e alguns clientes têm dados específicos, como dados de saúde, que precisam atender a um requisito de compliance mais alto. Os Controles de Soberania dos Parceiros podem ajudar a atender a esses requisitos de compliance mais altos. Coloque e mantenha todos os dados sensíveis ou regulamentados com requisitos específicos de acesso ou residência nas pastas ou projetos adequados dos Controles soberanos por parceiros.
- Configurar Identity and Access Management (IAM) para garantir que o conteúdo da sua organização seja acessado e modificado pelo pessoal adequado.
- Criar e organizar sua hierarquia organizacional para não expor dados pessoais.
- Leia toda a documentação para entender e seguir as práticas recomendadas.
- Compartilhar informações com prudência durante sessões de suporte técnico e solução de problemas e não colocar nem compartilhar dados sensíveis ou regulamentados fora das pastas de controles soberanos compatíveis dos parceiros.
O escopo dos dados sensíveis ou regulamentados pode variar dependendo de muitos fatores, incluindo regulamentações a que você ou seus clientes estão sujeitos, e pode incluir:
- Informações da conta
- Informações sobre saúde
- Identificadores pessoais de clientes ou usuários
- dados do titular do cartão;
- Números de ID
Responsabilidades do Google no modelo de responsabilidade compartilhada
Na parceria de responsabilidade compartilhada entre o Google e os clientes, o Google assume a responsabilidade pelos elementos fundamentais e pela infraestrutura de criação de um negócio de nuvem bem-sucedido. Alguns deles dependem de os clientes assumirem as responsabilidades de configurar oGoogle Cloud para proteger adequadamente os dados. Exemplos de responsabilidades do Google:
- Aplicar criptografia padrão e controles de infraestrutura.
- Aplicar as políticas do IAM definidas para restringir a administração da carga de trabalho e o acesso a dados às identidades identificadas.
- Configurar e aplicar os controles soberanos selecionados pelo cliente pelos controles de parceiros associados ao regime de compliance selecionado para os tipos de dados protegidos nos recursos em que você configurou. Isso inclui restrições sobre onde os dados serão armazenados e quais funcionários do Google podem ter acesso a eles no curso das atividades comerciais adequadas.
- Fornecer configurações e controles por meio dos Controles de soberania dos parceiros para setores regulamentados e dados sensíveis à localização.
- Fornecendo políticas da organização e configurações de recursos que permitem configurar políticas em toda a hierarquia de pastas e projetos.
- Oferecemos ferramentas de inteligência de política que fornecem insights sobre o acesso a contas e recursos.
Configuração específica para a Europa e a UE
Ao usar os controles soberanos por parceiros, os clientes têm controles técnicos adicionais além das garantias do GDPR feitas em Google Cloud que podem ser usados para ajustar a residência de dados e os controles de segurança como parte dos esforços de compliance. Alguns desses controles incluem:
- Um perímetro de dados da UE, conforme descrito em Residência de dados.
- Encaminhamento de suporte para residentes da UE em locais da UE, incluindo subcontratados.
- Visibilidade das solicitações e acessos administrativos.
- Aprovações de acesso orientadas por políticas (somente controles soberanos).
- Opções personalizadas para criptografia de dados e gerenciamento de chaves.
Exemplos de campos comuns que não são recomendados para dados sensíveis ou regulamentados
Recomendamos que todos os clientes regulamentados e soberanos tenham cuidado ao inserir dados nos serviços do Google Cloud . É fundamental evitar adicionar dados sensíveis ou regulamentados em campos de entrada comuns que podem não ser protegidos por controles técnicos ou não estão incluídos no limite de controle técnico de controles soberanos por parceiros. Essa prática é necessária para manter a conformidade com os requisitos regulamentares e proteger suas informações sensíveis ou regulamentadas. Para ajudar, compilamos uma lista de exemplos em vários serviços do Google Cloud em que é necessária mais vigilância.
Evite colocar dados sensíveis ou regulamentados nos seguintes campos comuns:
- Nomes e IDs de recursos
- Nomes e IDs de projetos ou pastas
- Qualquer campo ou marcador de descrição
- Métricas com base em registros
- Tamanhos de VM e configurações de serviço semelhantes
- URIs ou caminhos de arquivos
- Carimbos de data/hora
- User IDs
- Regras de firewall
- Configurações de verificação de segurança
- Políticas do IAM do cliente
A seguir
- Saiba mais sobre responsabilidades e destino compartilhados no Google Cloud.