Seguridad y encriptación

En esta página, se describe cómo Transfer Appliance protege y encripta tus datos.

Seguridad de los datos de la infraestructura de Google

Cuando devuelves un dispositivo, lo recibimos en uno de nuestros centros de datos de Google. Cuando pides una instancia de Transfer Appliance para exportar datos, la preparamos en uno de nuestros centros de datos de Google. Proteger los datos de los clientes es nuestra principal prioridad y responsabilidad. Para obtener más información sobre la seguridad de nuestra infraestructura, consulta la Descripción general del diseño de seguridad de la infraestructura de Google y, para obtener más información sobre nuestras prácticas de seguridad de los centros de datos, consulta Datos y seguridad.

Cómo asegurar el dispositivo durante el transporte

Cuando recibas el dispositivo, ejecuta la aplicación de certificación de Transfer Appliance. Esta aplicación valida la identidad del electrodoméstico y su estado para garantizar que se encuentre en el mismo estado en que se encontraba cuando te lo enviamos. La aplicación genera un código de atestación que debes compartir con nosotros. Si la contraseña de atestación coincide con lo que esperamos, proporcionamos las credenciales de acceso del dispositivo.

Cuando termines de usar el electrodoméstico y lo hayamos recibido, lo volveremos a validar para asegurarnos de que no se haya manipulado durante el envío. Después de verificar el dispositivo, subimos tus datos a Cloud Storage.

Si la validación del electrodoméstico indica que se manipuló en algún momento, invalidaremos toda la sesión de transferencia y trabajaremos contigo para enviarte un electrodoméstico de reemplazo.

Encriptación de datos

Tus datos se encriptan durante la carga, durante el tránsito a nuestros centros de datos, después de que se suben a Cloud Storage y durante la descarga al dispositivo cuando se usa la función de exportación de datos. A continuación, se detallan los métodos que usamos para encriptar tus datos:

  • Durante el tránsito a Cloud Storage: Tus datos se encriptan en Transfer Appliance con dm-encrypt y encriptación a nivel de la partición, con el algoritmo de encriptación AES-256.

  • Durante la carga a Cloud Storage: Tus datos se encriptan con conexiones TLS seguras. Transferimos los datos encriptados de tu dispositivo a Cloud Storage. En el caso de los clientes que usan los Controles del servicio de VPC, este proceso se produce dentro de su perímetro de Controles del servicio de VPC.

  • En Cloud Storage: Tus datos se encriptan de forma predeterminada en Cloud Storage. Para obtener más detalles, consulta Opciones de encriptación de datos.

  • Durante la descarga en Transfer Appliance: Tus datos se encriptan en la nube antes de descargarse en el dispositivo cuando se usa la función de exportación de datos.

Encripta los datos en tránsito hacia tu dispositivo

No aplicamos encriptación entre tus dispositivos de almacenamiento o de red y tu dispositivo. Es tu responsabilidad proteger la red y el acceso físico al dispositivo. No accedemos al electrodoméstico ni lo supervisamos mientras está conectado a tu red.

Cómo encriptar datos en tu dispositivo

Usamos dos claves para encriptar los datos en tu dispositivo:

Clave de encriptación de claves

Tienes las siguientes dos opciones para la clave de encriptación de claves (KEK):

  • Puedes crear una clave administrada por el cliente, en la que tú mismo generas y administras la clave.

  • Puedes seleccionar un Google-owned and managed key, en el que generamos y administramos la clave.

    Google-owned and managed keys son únicos por sesión y no se comparten con otros servicios de Google Cloud . Cuando se completa o cancela una sesión, o si se pierde un electrodoméstico, destruimos la llave para garantizar la seguridad de tus datos.

    A continuación, se indican los parámetros de configuración que se usan para crearGoogle-owned and managed keys:

    • Región: Global
    • Nivel de protección: Software
    • Propósito: Desencriptación asimétrica
    • Algoritmo: RSA de 4,096 bits - Relleno OAEP - Resumen SHA256

Si se destruye la KEK antes de que se complete la sesión, se perderán todos los datos del dispositivo.

La KEK se genera como una clave asimétrica de Cloud Key Management Service (Cloud KMS) enGoogle Cloud, y descargamos la clave pública de la KEK en el dispositivo antes de enviártelo.

Clave de encriptación de datos (DEK)

La DEK se genera en el dispositivo. La DEK se conserva en la memoria y se almacena en el Módulo de plataforma confiable del dispositivo para que la clave persista después de los reinicios. La DEK nunca se almacena en un disco local sin encriptación.

El dispositivo aplica la DEK generada a tus datos antes de escribirlos en el disco. Cuando finalizas los datos en el dispositivo, se aplica la clave pública de la KEK a la DEK y, luego, se quita la DEK del dispositivo.

Los datos nunca se almacenan sin encriptar en el dispositivo.

Encripta datos para la exportación de datos desde Cloud Storage

Cuando pides un dispositivo para la exportación de datos, este se prepara en un centro de datos seguro de Google y tus datos se encriptan primero. Luego, los datos encriptados se transfieren de forma segura al dispositivo, que se protege aún más con la encriptación a nivel del disco. Tus datos permanecen encriptados en el dispositivo mientras se encuentran en el centro de datos y durante el tránsito, y solo se puede acceder a ellos una vez que activas el dispositivo.

Restringe el acceso a los datos en tu electrodoméstico

Para restringir el acceso a los datos almacenados en los recursos compartidos de NFS de tu dispositivo, puedes aplicar un filtro de IP que permita que hosts específicos de tu red accedan al dispositivo. Comunícate con el administrador de red para obtener asistencia.

Para obtener más información sobre los puertos de red IP que usa Transfer Appliance, consulta Configura puertos de red IP.

Sube datos a Cloud Storage

Cuando recibimos tu dispositivo en uno de nuestros centros de datos seguros, subimos tus datos encriptados a tu perímetro de Controles del servicio de VPC antes de aplicar la KEK para desencriptar la DEK y tus datos. La DEK nunca se conserva en ningún momento durante el ciclo de vida de la transferencia. Luego, movemos tus datos de forma segura a Cloud Storage en nuestra red privada de centros de datos a través de conexiones TLS seguras. Tus datos se encriptan en Cloud Storage de forma predeterminada y solo tú puedes acceder a ellos.

Limpieza de medios de dispositivos

Después de subir tus datos o recibir el dispositivo para la exportación de datos, limpiamos los medios de la unidad del dispositivo que devolviste aplicando los estándares NIST 800-88 para la eliminación de información. Específicamente, usamos el borrado criptográfico para sanear todos los datos encriptados que se almacenaron anteriormente en las unidades del dispositivo. Si una unidad falla durante el uso, lo que la vuelve inoperable y no se puede borrar, destruimos físicamente el medio físico afectado. Para obtener más información sobre nuestros procesos de limpieza de medios, consulta Cómo garantizar la limpieza segura de medios.

Puedes solicitar un certificado de borrado como prueba de que limpiamos de forma segura los medios de la unidad en un plazo de 4 semanas después de que tus datos estén disponibles en Cloud Storage o después de que devuelvas la unidad tras la exportación de datos.

Renovación de Transfer Appliance

Una vez que destruimos tus datos en el dispositivo que devolviste, preparamos el dispositivo para enviárselo al siguiente cliente. A continuación, se incluye un resumen de cómo reacondicionamos cada electrodoméstico después de la limpieza de medios:

  1. Particionamos las unidades del dispositivo. La limpieza de medios también destruye nuestras particiones de datos, por lo que comenzamos de cero cada vez.

  2. Luego, reformateamos las unidades para prepararlas para almacenar datos y el software del dispositivo.

  3. A continuación, instalamos el software del dispositivo y aplicamos las actualizaciones necesarias.

  4. Por último, empaquetamos el electrodoméstico y lo preparamos para enviárselo al siguiente cliente.