Google Cloud Well-Architected Framework 的安全支柱中，這項原則可協助您找出並滿足雲端部署的法規、法規遵循和隱私權要求。您必須根據這些需求，決定要針對Google Cloud中的工作負載使用哪些安全控管機制。
原則總覽
所有商家都必須面對法規、法規遵循和隱私權需求帶來的挑戰。雲端法規要求取決於多項因素，包括：
- 貴機構實體據點適用的法律和法規
- 客戶實體位置適用的法律和法規
- 您所在產業的法規要求
隱私權法規規定您如何取得、處理、儲存及管理使用者的資料。您擁有自己的資料，包括從使用者收到的資料。因此，您必須負責許多隱私權控制項，包括 Cookie、工作階段管理和取得使用者權限的控制項。
實作這項原則的建議做法會歸類在下列各節中：
解決機構風險的建議
本節提供建議，協助您找出並解決貴機構的風險。
找出貴機構面臨的風險
這項建議與下列重點領域相關： 雲端管理、風險與法規遵循。
在 Google Cloud上建立及部署資源前，請先完成風險評估。這項評估應判斷您需要哪些安全性功能，才能滿足內部安全需求和外部監管需求。
風險評估會提供貴機構專屬的風險目錄，並說明貴機構偵測及防範安全威脅的能力。部署後，以及業務需求、法規要求或貴機構面臨的威脅有任何變更時，您都必須立即執行風險分析。
如「實作設計安全」原則所述，雲端環境中的安全風險與地端風險不同。這是因為雲端中的共同責任模式會因服務 (IaaS、PaaS 或 SaaS) 和您的用量而異。使用雲端專屬的風險評估架構，例如 Cloud Controls Matrix (CCM)。使用威脅模型 (例如 OWASP 應用程式威脅模型) 找出並解決安全漏洞。如需風險評估方面的專家協助，請與 Google 帳戶代表聯絡，或參考 Google Cloud合作夥伴目錄。
列出風險後，您必須決定如何處理這些風險，也就是要接受、避免、轉移或降低風險。如要瞭解可採取的風險緩解措施，請參閱下一節。
降低風險
這項建議與下列重點領域相關： 雲端管理、風險與法規遵循。
採用新的公有雲服務時，您可以運用技術控管、合約保障，以及第三方驗證或認證，降低風險。
技術控管措施是指您用來保護環境的功能和技術。包括防火牆和記錄等內建雲端安全控管機制。技術控管措施也包括使用第三方工具，加強或支援您的安全策略。技術控管措施分為兩類：
- 您可以實作 Google Cloud的安全性控制項，協助您降低環境適用的風險。舉例來說，您可以使用 Cloud VPN 和 Cloud Interconnect，確保內部部署網路與雲端網路之間的連線安全無虞。
- Google 擁有健全的內部控管和稽核機制，能防止公司內部人員存取客戶資料。我們的稽核記錄會提供Google 管理員存取 Google Cloud的近乎即時記錄。
合約保障是指我們對Google Cloud 服務做出的法律承諾。Google 致力於維護及擴大我們的法規遵循組合。《Cloud 資料處理修訂條款》(CDPA)說明我們對資料處理和安全性的承諾。CDPA 也列出存取控管措施，限制 Google 支援工程師存取客戶環境，並說明我們嚴格的記錄和核准程序。建議您與法律和監管專家一同檢視合約管理措施，並確認這些措施符合您的需求。 Google Cloud如需更多資訊，請與技術帳戶代表聯絡。
第三方驗證或認證是指讓第三方供應商稽核雲端服務供應商，確保其符合法規遵循需求。舉例來說，如要瞭解有關 ISO/IEC 27017 規範的認證，請參閱「ISO/IEC 27017 - 法規遵循」。 Google Cloud 如要查看目前的 Google Cloud 認證和證書，請前往法規遵循資源中心。
建議：處理法規遵循義務
一般的法規遵循流程分為三個階段：評估、修復缺口及持續監控。本節提供各階段的建議。
評估法規遵循需求
這項建議與下列重點領域相關： 雲端管理、風險與法規遵循。
法規遵循評估的第一步，是全面檢視您所有的監管義務，以及您的企業如何履行這些義務。您可以使用法規遵循資源中心，評估 Google Cloud 服務。這個網站提供下列資訊：
- 支援各項法規
- Google Cloud 認證和證明
如要進一步瞭解 Google 的法規遵循生命週期，以及如何滿足您的需求，請與銷售團隊聯絡，要求 Google 法規遵循專家提供協助。或者，您也可以聯絡Google Cloud 帳戶管理員，要求舉辦法規遵循研討會。
如要進一步瞭解可用於管理 Google Cloud 工作負載安全性和法規遵循的工具和資源，請參閱「確保雲端環境符合法規」。
自動導入法規遵循規定
這項建議與下列重點領域相關： 雲端管理、風險與法規遵循。
為協助您遵守不斷變化的法規，請判斷是否能自動化實作法規遵循要求。您可以同時使用 Google Cloud 提供的法規遵循功能，以及針對特定法規遵循制度使用建議設定的藍圖。
Assured Workloads 以 Google Cloud 中的控管機制為基礎，協助您履行法規遵循義務。Assured Workloads 可讓您執行下列操作：
- 選取法規遵循制度。然後，這項工具會自動為所選制度設定基本人員存取控制措施。
- 使用機構政策設定資料位置，確保靜態資料和資源只會保留在該區域。
- 選取最符合安全性和法規遵循需求的金鑰管理選項 (例如金鑰輪替週期)。
- 選取 Google 支援人員的存取條件，以符合特定法規要求，例如 FedRAMP 中等風險。舉例來說，您可以選取 Google 支援人員是否已完成適當的背景調查。
- 使用符合 FIPS-140-2 規範且支援 FedRAMP 中等風險法規遵循的 Google-owned and Google-managed encryption keys 。如要加強控管並區分職責，可以使用客戶自行管理的加密金鑰 (CMEK)。如要進一步瞭解金鑰，請參閱「加密靜態和傳輸中的資料」。
除了 Assured Workloads，您也可以使用與法規遵循制度相關的藍圖。 Google Cloud您可以修改這些藍圖，將安全性政策納入基礎架構部署作業。
為協助您建構符合法規遵循需求的環境，Google 的藍圖和解決方案指南提供建議設定，以及 Terraform 模組。下表列出可解決安全性問題，並符合法規遵循需求的藍圖。
| 需求 | 藍圖和解決方案指南 |
|---|---|
| FedRAMP | |
| 健康保險流通與責任法案 |
監控法規遵循狀態
這項建議與下列重點領域相關：
- 雲端管理、風險與法規遵循
- 記錄、監控和稽核
大部分法規會要求您監控特定活動，包括存取權相關活動。為協助您監控，可以使用下列工具：
- 資料存取透明化控管機制： 當 Google Cloud 管理員存取您的內容時，查看近乎即時的記錄檔。
- 防火牆規則記錄：記錄您建立的任何規則，在虛擬私有雲網路內的 TCP 和 UDP 連線。這些記錄對於稽核網路存取或提供網路未按照核准方式使用的早期警告非常有用。
- 虛擬私有雲流量記錄檔： 記錄 VM 執行個體收發的網路流量流程。
- Security Command Center Premium： 監控各種標準的法規遵循情形。
- OSSEC (或其他開放原始碼工具)：記錄具有環境管理員存取權的使用者活動。
- 金鑰存取依據： 查看金鑰存取要求的原因。
- Security Command Center 通知： 在發生違規問題時收到快訊。 舉例來說，當使用者停用兩步驟驗證或服務帳戶權限過高時，您會收到快訊。您也可以為特定通知設定自動修正功能。
管理資料主權的建議
這項建議與下列重點領域相關： 雲端管理、風險與法規遵循。
資料主權機制可防止 Google 存取您的資料。您只核准您認為必要的供應商行為。舉例來說，您可以透過下列方式管理資料主權：
管理作業主權
這項建議與下列重點領域相關： 雲端管理、風險與法規遵循。
營運主權的作用是確保 Google 人員無法影響您的工作負載。舉例來說，您可以透過下列方式管理作業主權：
- 限制將新資源部署至特定供應商所在的區域。
- 根據預先定義的屬性 (例如公民身分或地理位置)，限制 Google 支援人員的存取權。
管理軟體主權
這項建議與下列重點領域相關： 雲端管理、風險與法規遵循。
軟體主權可確保您能控管工作負載的可用性，並隨時隨地執行工作負載。此外，您也可以擁有這項控制權，而不必依賴或受限於單一雲端供應商。軟體主權包括因應事件的能力，讓您能快速變更工作負載的部署地點，以及允許的對外連線層級。
舉例來說，為協助您管理軟體主權， Google Cloud支援混合式雲端和多雲端部署作業。此外，您還能透過 GKE Enterprise，在雲端和地端部署環境中管理及部署應用程式。如果基於資料主權考量而選擇本地部署，Google Distributed Cloud 結合了軟硬體，可將 Google Cloud 帶進您的資料中心。
解決隱私權規定的建議
Google Cloud 包含下列有助於保護隱私權的控制項：
- 預設加密所有靜態、傳輸中和處理中的資料。
- 防範內部人員存取。
- 支援多項隱私權法規。
下列建議說明您可以實作的其他控制項。詳情請參閱隱私權資源中心。
控管資料落地權
這項建議與下列重點領域相關： 雲端管理、風險與法規遵循。
資料落地描述靜態儲存資料的儲存位置。資料落地需求會因系統設計目標、業界監管問題、國家法律、稅務影響，甚至是文化而異。
如要控管資料落地，請先完成下列步驟：
- 瞭解資料類型和位置。
- 判斷資料面臨的風險，以及適用的法律和法規。
- 控管資料的儲存位置或去向。
為協助您遵守資料落地規定， Google Cloud 可讓您控管資料儲存位置、存取方式和處理方式。您可以使用資源位置政策，限制資源的建立位置，以及在區域之間資料的複製位置。您可以使用資源的位置屬性，找出服務的部署位置和維護人員。詳情請參閱「資源位置支援的服務」。
將機密資料分類
這項建議與下列重點領域相關： 資料安全性。
您必須確定哪些是機密資料，並確保機密資料受到妥善保護。機密資料可能包括信用卡號、地址、電話號碼和其他個人識別資訊 (PII)。您可以使用「Sensitive Data Protection」設定適當分類。在將資料儲存至 Google Cloud前，您可以加上標記並進行權杖化處理。此外，Dataplex Universal Catalog 也提供目錄服務，可做為儲存、管理及存取中繼資料的平台。如要進一步瞭解資料分類和去識別化，請參閱使用 Sensitive Data Protection 將 PII 去識別化和重新識別一文。
嚴密保護機密資料
這項建議與下列重點領域相關：
- 資料安全性
- 身分與存取權管理
使用 VPC Service Controls 將機密資料置入專屬服務範圍。VPC Service Controls 可讓您更進一步降低他人從 Google 代管服務未經授權複製或轉移資料 (資料竊取) 的風險。透過 VPC Service Controls，您可以為 Google 代管服務的資源設定安全範圍，並控管跨範圍的資料移動。為該資料設定 Google Identity and Access Management (IAM) 存取權控管措施。為所有需要存取機密資料的使用者設定多重驗證 (MFA)。