Die Säule „Sicherheit, Datenschutz und Compliance“ im Google Cloud Well-Architected Framework enthält Empfehlungen, die Ihnen helfen, Cloud-Arbeitslasten zu entwerfen, bereitzustellen und auszuführen, die Ihren Anforderungen an Sicherheit, Datenschutz und Compliance entsprechen.

Dieses Dokument soll wertvolle Informationen für eine Reihe von Sicherheitsexperten und ‑entwicklern bieten. In der folgenden Tabelle werden die Zielgruppen für dieses Dokument beschrieben:

Zielgruppe	Inhalt dieses Dokuments
Chief Information Security Officers (CISOs), Leiter von Geschäftsbereichen und IT-Manager	Ein allgemeiner Rahmen, um in der Cloud für Sicherheit zu sorgen und diese aufrechtzuerhalten. Außerdem soll er einen umfassenden Überblick über Sicherheitsbereiche bieten, damit fundierte Entscheidungen über Sicherheitsinvestitionen getroffen werden können.
Sicherheitsarchitekten und ‑entwickler	Wichtige Sicherheitsverfahren für die Design- und Betriebsphasen, die dazu beitragen, dass Lösungen auf Sicherheit, Effizienz und Skalierbarkeit ausgelegt sind.
DevSecOps-Teams	Anleitung zum Einbinden übergreifender Sicherheitskontrollen, um die Automatisierung zu planen, die eine sichere und zuverlässige Infrastruktur ermöglicht.
Compliance-Beauftragte und Risikomanager	Wichtige Sicherheitsempfehlungen für einen strukturierten Ansatz für das Risikomanagement mit Sicherheitsmaßnahmen, die zur Einhaltung von Compliance-Verpflichtungen beitragen.

Damit Ihre Google Cloud Arbeitslasten Ihre Sicherheits-, Datenschutz- und Compliance-Anforderungen erfüllen, müssen alle Beteiligten in Ihrer Organisation einen kollaborativen Ansatz verfolgen. Außerdem müssen Sie sich bewusst sein, dass die Cloud-Sicherheit eine gemeinsame Verantwortung zwischen Ihnen und Google ist. Weitere Informationen finden Sie unter Gemeinsame Verantwortung und gemeinsames Schicksal auf Google Cloud.

Die Empfehlungen in diesem Bereich sind in grundlegende Sicherheitsprinzipien unterteilt. Jede prinzipienbasierte Empfehlung wird einer oder mehreren der wichtigsten Bereiche für die Bereitstellung von Cloud-Sicherheit zugeordnet, die für Ihre Organisation von entscheidender Bedeutung sein können. Jede Empfehlung enthält Anleitungen zur Verwendung und Konfiguration vonGoogle Cloud -Produkten und ‑Funktionen, um die Sicherheitslage Ihrer Organisation zu verbessern.

Grundprinzipien

Die Empfehlungen in diesem Bereich sind in die folgenden grundlegenden Sicherheitsprinzipien unterteilt. Jedes Prinzip in dieser Säule ist wichtig. Je nach den Anforderungen Ihrer Organisation und Arbeitslast können Sie bestimmte Grundsätze priorisieren.

• Sicherheit von Anfang an implementieren: Berücksichtigen Sie Cloud- und Netzwerksicherheitsaspekte von der ersten Designphase Ihrer Anwendungen und Infrastruktur an.Google Cloud bietet Architektur-Blueprints und Empfehlungen, die Ihnen helfen, dieses Prinzip anzuwenden.
• Zero-Trust-Modell implementieren: Verwenden Sie den Ansatz Niemandem vertrauen, alle überprüfen, bei dem der Zugriff auf Ressourcen auf der Grundlage einer kontinuierlichen Überprüfung der Vertrauenswürdigkeit gewährt wird. Google Cloudunterstützt dieses Prinzip durch Produkte wie Chrome Enterprise Premium und Identity-Aware Proxy (IAP).
• Shift-Left-Sicherheit implementieren: Implementieren Sie Sicherheitskontrollen frühzeitig im Softwareentwicklungszyklus. Sicherheitsmängel vermeiden, bevor Systemänderungen vorgenommen werden Sicherheitslücken frühzeitig, schnell und zuverlässig erkennen und beheben, nachdem die Systemänderungen übernommen wurden. Google Cloud unterstützt dieses Prinzip durch Produkte wie Cloud Build, Binärautorisierung und Artifact Registry.
• Präventive Cyberabwehr implementieren: Gehen Sie proaktiv vor und implementieren Sie robuste grundlegende Maßnahmen wie Bedrohungsdaten. Dieser Ansatz hilft Ihnen, die Grundlage für eine effektivere Bedrohungserkennung und ‑abwehr zu schaffen. Der Ansatz vonGoogle Cloudfür mehrschichtige Sicherheitskontrollen entspricht diesem Grundsatz.
• KI sicher und verantwortungsbewusst einsetzen: Entwickeln und implementieren Sie KI-Systeme auf verantwortungsbewusste und sichere Weise. Die Empfehlungen für diesen Grundsatz stimmen mit den Anleitungen in der KI- und ML-Perspektive des Well-Architected Framework und im Secure AI Framework (SAIF) von Google überein.
• KI für Sicherheit nutzen: Verwenden Sie KI-Funktionen, um Ihre bestehenden Sicherheitssysteme und ‑prozesse mit Gemini in Security und allgemeinen Plattformsicherheitsfunktionen zu verbessern. Nutzen Sie KI als Tool, um die Automatisierung von Abhilfemaßnahmen zu erhöhen und für Sicherheit zu sorgen, damit andere Systeme sicherer werden.
• Anforderungen in Bezug auf Vorschriften, Compliance und Datenschutz erfüllen: Branchenspezifische Vorschriften, Compliance-Standards und Datenschutzanforderungen einhalten. Google Cloud hilft Ihnen, diese Verpflichtungen mit Produkten wie Assured Workloads, Organization Policy Service und unserem Compliance-Ressourcencenter zu erfüllen.

Sicherheitsbewusstsein der Organisation

Eine sicherheitsorientierte Denkweise im Unternehmen ist entscheidend für die erfolgreiche Einführung und den Betrieb der Cloud. Diese Denkweise sollte tief in der Kultur Ihrer Organisation verwurzelt sein und sich in ihren Praktiken widerspiegeln, die auf den zuvor beschriebenen grundlegenden Sicherheitsprinzipien basieren.

Eine organisationsweite Sicherheitsmentalität bedeutet, dass Sie bei der Systementwicklung an Sicherheit denken, von Zero Trust ausgehen und Sicherheitsfunktionen in Ihren gesamten Entwicklungsprozess integrieren. In diesem Sinne denken Sie auch proaktiv über Maßnahmen zur Cyberabwehr nach, setzen KI sicher und für die Sicherheit ein und berücksichtigen Ihre regulatorischen, Datenschutz- und Compliance-Anforderungen. Wenn Sie diese Grundsätze befolgen, kann Ihr Unternehmen eine sicherheitsorientierte Kultur schaffen, die Bedrohungen proaktiv angeht, wertvolle Assets schützt und zu einer verantwortungsvollen Nutzung von Technologie beiträgt.

Schwerpunktbereiche der Cloud-Sicherheit

In diesem Abschnitt wird beschrieben, worauf Sie sich konzentrieren sollten, wenn Sie die Sicherheit für Ihre Anwendungen, Systeme und Daten planen, implementieren und verwalten. Die Empfehlungen in jedem Grundsatz dieser Säule sind für einen oder mehrere dieser Schwerpunktbereiche relevant. Im restlichen Teil dieses Dokuments wird in den Empfehlungen auf die entsprechenden Sicherheitsbereiche verwiesen, um für mehr Klarheit und Kontext zu sorgen.

Fokusbereich	Aktivitäten und Komponenten	Ähnliche Google Cloud Produkte, Funktionen und Lösungen
Sichere Infrastruktur	Netzwerkinfrastruktur sichern Verschlüsseln Sie Daten bei der Übertragung und ruhende Daten. Verkehrsfluss steuern. IaaS- und PaaS-Dienste schützen Schutz vor unbefugtem Zugriff	Firewallrichtlinien VPC Service Controls Google Cloud Armor Firewall der nächsten Generation Sicherer Web-Proxy
Identitäts- und Zugriffsverwaltung	Authentifizierung, Autorisierung und Zugriffssteuerung verwenden Cloud-Identitäten verwalten Richtlinien für die Identitäts- und Zugriffsverwaltung verwalten	Cloud Identity IAM-Dienst (Identity and Access Management) von Google Mitarbeiteridentitätsföderation Workload Identity-Föderation
Datensicherheit	Daten sicher in Google Cloud speichern. Datenzugriff verwalten Daten ermitteln und klassifizieren Entwerfen Sie die erforderlichen Kontrollen, z. B. Verschlüsselung, Zugriffssteuerung und Schutz vor Datenverlust. Schützen Sie ruhende Daten, Daten bei der Übertragung und Daten in Verwendung.	IAM-Dienst von Google Sensitive Data Protection VPC Service Controls Cloud KMS Confidential Computing
Sicherheit von KI und ML	Wenden Sie Sicherheitskontrollen auf verschiedenen Ebenen der KI- und ML-Infrastruktur und ‑Pipeline an. Sicherheit des Modells gewährleisten.	SAIF von Google Model Armor
Security Operations (SecOps)	Setzen Sie auf eine moderne SecOps-Plattform und eine Reihe von Best Practices für effektive Prozesse zur Vorfallverwaltung, Bedrohungserkennung und Reaktion. Systeme und Anwendungen kontinuierlich auf Sicherheitsereignisse überwachen.	Google Security Operations
Anwendungssicherheit	Anwendungen vor Softwarelücken und Angriffen schützen	Artifact Registry Artefaktanalyse Binärautorisierung Assured Open Source Software Google Cloud Armor Web Security Scanner
Cloud-Governance, ‑Risiko und ‑Compliance	Legen Sie Richtlinien, Verfahren und Kontrollen fest, um Cloud-Ressourcen effektiv und sicher zu verwalten.	Organisationsrichtliniendienst Cloud Asset Inventory Security Command Center Enterprise Resource Manager
Logging, Auditing und Monitoring	Logs analysieren, um potenzielle Bedrohungen zu identifizieren. Systemaktivitäten für Compliance- und Sicherheitsanalysen verfolgen und aufzeichnen.	Cloud Logging Cloud Monitoring Cloud-Audit-Logs VPC-Flusslogs

Beitragende

Autoren:

• Wade Holmes | Global Solutions Director
• Hector Diaz | Cloud Security Architect
• Carlos Leonardo Rosario | Google Cloud Security Specialist
• John Bacon | Partner Solutions Architect
• Sachin Kalra | Global Security Solution Manager

Weitere Beitragende:

• Anton Chuvakin | Security Advisor, CISO-Team
• Daniel Lees | Cloudsicherheitsarchitekt
• Filipe Gracio, PhD | Customer Engineer
• Gary Harmson | Principal Architect
• Gino Pelliccia | Principal Architect
• Jose Andrade | Enterprise Infrastructure Customer Engineer
• Kumar Dhanagopal | Cross-Product Solution Developer
• Laura Hyatt | Enterprise Cloud Architect
• Marwan Al Shawi | Partner Customer Engineer
• Nicolas Pintaux | Customer Engineer, Application Modernization Specialist
• Noah McDonald | Cloud Security Consultant
• Osvaldo Costa | Networking Specialist Customer Engineer
• Radhika Kanakam | Senior Program Manager, Cloud GTM
• Samantha He | Technical Writer
• Susan Wu | Outbound Product Manager

Sicherheit von Anfang an implementieren

Dieses Prinzip im Sicherheitsbereich des Google Cloud Well-Architected Framework enthält Empfehlungen, wie Sie robuste Sicherheitsfunktionen, Kontrollen und Praktiken in das Design Ihrer Cloud-Anwendungen, ‑Dienste und ‑Plattformen einbauen können. Von der Ideenfindung bis zum Betrieb ist Sicherheit effektiver, wenn sie als integraler Bestandteil jeder Phase Ihres Designprozesses eingebettet ist.

Übersicht über die Grundsätze

Wie in An Overview of Google's Commitment to Secure by Design beschrieben, werden secure by default (standardmäßig sicher) und secure by design (sicher durch Design) oft synonym verwendet, sie stellen jedoch unterschiedliche Ansätze zum Erstellen sicherer Systeme dar. Beide Ansätze zielen darauf ab, Sicherheitslücken zu minimieren und die Sicherheit zu erhöhen, unterscheiden sich jedoch in Umfang und Implementierung:

• Standardmäßig sicher: Hier geht es darum, dass die Standardeinstellungen eines Systems auf einen sicheren Modus festgelegt sind, sodass Nutzer oder Administratoren nur minimal eingreifen müssen, um das System zu schützen. Dieser Ansatz soll allen Nutzern ein grundlegendes Sicherheitsniveau bieten.
• Secure by Design: Hier wird die proaktive Einbeziehung von Sicherheitsaspekten während des gesamten Entwicklungszyklus eines Systems betont. Bei diesem Ansatz geht es darum, potenzielle Bedrohungen und Sicherheitslücken frühzeitig zu erkennen und Designentscheidungen zu treffen, die Risiken mindern. Dazu gehören sichere Programmierverfahren, Sicherheitsüberprüfungen und die Einbeziehung von Sicherheitsaspekten in den gesamten Designprozess. Der Secure-by-Design-Ansatz ist eine übergreifende Philosophie, die den Entwicklungsprozess leitet und dazu beiträgt, dass Sicherheit nicht erst im Nachhinein berücksichtigt wird, sondern ein integraler Bestandteil des Systemdesigns ist.

Empfehlungen

Wenn Sie das Prinzip „Secure by Design“ für Ihre Cloud-Arbeitslasten implementieren möchten, sollten Sie die Empfehlungen in den folgenden Abschnitten berücksichtigen:

• Systemkomponenten auswählen, die zum Schutz Ihrer Arbeitslasten beitragen
• Einen mehrstufigen Sicherheitsansatz entwickeln
• Gehärtete und bestätigte Infrastruktur und Dienste verwenden
• Ruhende Daten und Daten bei der Übertragung verschlüsseln

Systemkomponenten auswählen, die zum Schutz Ihrer Arbeitslasten beitragen

Diese Empfehlung ist für alle Schwerpunktbereiche relevant.

Eine grundlegende Entscheidung für eine effektive Sicherheit ist die Auswahl robuster Systemkomponenten, einschließlich Hardware- und Softwarekomponenten, die Ihre Plattform, Lösung oder Ihren Dienst bilden. Um die Sicherheitsangriffsfläche zu verringern und potenzielle Schäden zu begrenzen, müssen Sie auch die Bereitstellungsmuster dieser Komponenten und ihre Konfigurationen sorgfältig prüfen.

Wir empfehlen, in Ihrem Anwendungscode einfache, sichere und zuverlässige Bibliotheken, Abstraktionen und Anwendungsframeworks zu verwenden, um bestimmte Arten von Sicherheitslücken zu vermeiden. Sie können Drittanbietertools verwenden, um Softwarebibliotheken auf Sicherheitslücken zu scannen. Sie können auch Assured Open Source Software verwenden, um das Risiko für Ihre Softwarelieferkette zu verringern. Dazu werden Open-Source-Softwarepakete (OSS) verwendet, die Google nutzt und schützt.

Ihre Infrastruktur muss Netzwerk-, Speicher- und Computing-Optionen verwenden, die einen sicheren Betrieb unterstützen und Ihren Sicherheitsanforderungen und Risikobereitschaft entsprechen. Infrastruktursicherheit ist sowohl für internetorientierte als auch für interne Arbeitslasten wichtig.

Informationen zu anderen Google-Lösungen, die diese Empfehlung unterstützen, finden Sie unter Shift-Left-Sicherheit implementieren.

Einen mehrstufigen Sicherheitsansatz entwickeln

Diese Empfehlung ist für die folgenden Schwerpunktbereiche relevant:

• Sicherheit von KI und ML
• Sichere Infrastruktur
• Identitäts- und Zugriffsverwaltung
• Datensicherheit

Wir empfehlen, die Sicherheit auf jeder Ebene Ihres Anwendungs- und Infrastruktur-Stacks zu implementieren, indem Sie ein Konzept mit gestaffelten Sicherheitsebenen anwenden.

Nutzen Sie die Sicherheitsfunktionen in jeder Komponente Ihrer Plattform. So schränken Sie den Zugriff ein und ermitteln die Grenzen der potenziellen Auswirkungen (d. h. den Blast Radius) im Falle eines Sicherheitsvorfalls:

• Vereinfachen Sie das Design Ihres Systems, damit es möglichst flexibel ist.
• Dokumentieren Sie die Sicherheitsanforderungen jeder Komponente.
• Integrieren Sie einen robusten, sicheren Mechanismus, um die Anforderungen an Ausfallsicherheit und Wiederherstellung zu erfüllen.

Führen Sie beim Entwerfen der Sicherheitsebenen eine Risikobewertung durch, um die Sicherheitsfunktionen zu ermitteln, die Sie benötigen, um interne Sicherheitsanforderungen und externe gesetzliche Anforderungen zu erfüllen. Wir empfehlen die Verwendung eines branchenüblichen Frameworks zur Risikobewertung für Cloud-Umgebungen, das die jeweils geltenden gesetzlichen Vorschriften berücksichtigt. Beispielsweise bietet die Cloud Security Alliance (CSA) die Cloud Controls Matrix (CCM). Die Risikobewertung liefert eine Auflistung aller relevanten Risiken und der entsprechenden Sicherheitskontrollen, mit denen sie minimiert werden können.

Denken Sie bei der Risikobewertung daran, dass Sie eine Vereinbarung zur geteilten Verantwortung mit Ihrem Cloudanbieter haben. Daher unterscheiden sich die Risiken in einer Cloudumgebung von den Risiken in einer lokalen Umgebung. In einer lokalen Umgebung müssen Sie beispielsweise Sicherheitslücken in Ihrem Hardware-Stack minimieren. In einer Cloudumgebung trägt der Cloudanbieter diese Risiken. Denken Sie auch daran, dass sich die Grenzen der geteilten Verantwortung zwischen IaaS-, PaaS- und SaaS-Diensten für jeden Cloud-Anbieter unterscheiden.

Nachdem Sie potenzielle Risiken identifiziert haben, müssen Sie einen Plan zur Risikominderung entwerfen und erstellen, der technische, administrative und betriebliche Kontrollen sowie vertragliche Schutzmaßnahmen und Attestierungen von Drittanbietern umfasst. Darüber hinaus hilft Ihnen eine Methode zur Bedrohungsmodellierung, z. B. die OWASP-Methode zur Bedrohungsmodellierung von Anwendungen, potenzielle Sicherheitslücken zu identifizieren und Maßnahmen zur Behebung der Lücken vorzuschlagen.

Gehärtete und geprüfte Infrastruktur und Dienste verwenden

Diese Empfehlung ist für alle Schwerpunktbereiche relevant.

Ein ausgereiftes Sicherheitsprogramm behebt neue Sicherheitslücken, wie in Sicherheitsbulletins beschrieben. Das Sicherheitsprogramm sollte auch Abhilfemaßnahmen zur Behebung von Sicherheitslücken in bestehenden Bereitstellungen und zur Sicherung Ihrer VM- und Container-Images umfassen. Sie können Härtungsleitfäden verwenden, die speziell für das Betriebssystem und die Anwendung Ihrer Images entwickelt wurden, sowie Benchmarks wie die vom Center for Internet Security (CIS) bereitgestellte.

Wenn Sie benutzerdefinierte Images für Ihre Compute Engine-VMs verwenden, müssen Sie die Images selbst patchen. Alternativ können Sie auch die von Google bereitgestellten ausgewählten Betriebssystem-Images verwenden, die regelmäßig gepatcht werden. Wenn Sie Container auf Compute Engine-VMs ausführen möchten, verwenden Sie von Google kuratierte Container-Optimized OS-Images. Google patcht und aktualisiert diese Images regelmäßig.

Wenn Sie GKE verwenden, empfehlen wir, automatische Knotenupgrades zu aktivieren, damit Google Ihre Clusterknoten mit den neuesten Patches aktualisiert. Google verwaltet GKE-Steuerungsebenen, die automatisch aktualisiert und gepatcht werden. Um die Angriffsfläche Ihrer Container weiter zu verringern, können Sie distroless-Images verwenden. Distroless-Images sind ideal für sicherheitssensible Anwendungen, Mikrodienste und Situationen, in denen die Minimierung der Imagegröße und der Angriffsfläche von größter Bedeutung ist.

Verwenden Sie für sensible Arbeitslasten Shielded VM, um zu verhindern, dass während des VM-Bootvorgangs schädlicher Code geladen wird. Shielded VM-Instanzen bieten Bootsicherheit, überwachen die Integrität und verwenden das Virtual Trusted Platform Module (vTPM).

Um den SSH-Zugriff zu schützen, können Ihre Mitarbeiter mit OS Login Verbindungen zu Ihren VMs herstellen. Dazu verwenden Sie IAM-Berechtigungen (Identity and Access Management) statt SSH-Schlüsseln als „Source of Truth“. Entsprechend müssen Sie SSH-Schlüssel nicht in Ihrer gesamten Organisation verwalten. OS Login verknüpft den Zugriff eines Administrators mit dessen Mitarbeiter-Lebenszyklus. Wenn ein Mitarbeiter zu einer anderen Rolle wechselt oder Ihre Organisation verlässt, wird dessen Zugriff mit dessen Konto ungültig. OS Login unterstützt auch die 2‑Faktor-Authentifizierung von Google, die eine zusätzliche Sicherheitsebene bei Kontoübernahmeangriffen bietet.

In GKE werden Anwendungsinstanzen in Docker-Containern ausgeführt. Achten Sie darauf, dass Ihre Container zustandslos und unveränderlich sind, um ein definiertes Risikoprofil zu aktivieren und zu verhindern, dass Mitarbeiter Änderungen an Containern vornehmen. Das Prinzip der Unveränderlichkeit bedeutet, dass Ihre Mitarbeiter den Container nicht ändern oder interaktiv aufrufen. Wenn der Container geändert werden muss, erstellen Sie ein neues Image und stellen es neu bereit. Aktivieren Sie den SSH-Zugriff auf die zugrunde liegenden Container nur in bestimmten Debugging-Szenarien.

Um Konfigurationen in Ihrer Umgebung global zu schützen, können Sie Organisationsrichtlinien verwenden, um Einschränkungen oder Schutzmaßnahmen für Ressourcen festzulegen, die sich auf das Verhalten Ihrer Cloud-Assets auswirken. Sie können beispielsweise die folgenden Organisationsrichtlinien definieren und sie entweder global für eine Google Cloud Organisation oder selektiv auf Ordner- oder Projektebene anwenden:

• Deaktivieren Sie die Zuweisung externer IP-Adressen an VMs.
• Erstellung von Ressourcen auf bestimmte geografische Standorte beschränken
• Deaktivieren Sie das Erstellen von Dienstkonten oder deren Schlüsseln.

Ruhende Daten und Daten bei der Übertragung verschlüsseln

Diese Empfehlung ist für die folgenden Schwerpunktbereiche relevant:

• Sichere Infrastruktur
• Datensicherheit

Die Datenverschlüsselung ist eine grundlegende Kontrollmaßnahme zum Schutz sensibler Informationen und ein wichtiger Bestandteil der Data Governance. Eine effektive Datenschutzstrategie umfasst Zugriffssteuerung, Datensegmentierung und geografischen Standort, Auditing, und die Implementierung von Verschlüsselung, die auf einer sorgfältigen Bewertung der Anforderungen basiert.

Standardmäßig Google Cloud werden inaktive Kundendaten verschlüsselt, ohne dass Sie etwas unternehmen müssen. Zusätzlich zur Standardverschlüsselung bietetGoogle Cloud Optionen für die Umschlagverschlüsselung und die Verwaltung von Verschlüsselungsschlüsseln. Sie müssen die Lösungen ermitteln, die Ihren Anforderungen für die Generierung, Speicherung und Rotation von Schlüsseln am besten entsprechen, unabhängig davon, ob Sie die Schlüssel für Ihre Speicher-, Computing- oder für Big-Data-Arbeitslasten auswählen. Vom Kunden verwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEKs) können beispielsweise im Cloud Key Management Service (Cloud KMS) erstellt werden. Die CMEKs können entweder softwarebasiert oder HSM-geschützt sein, um Ihre behördlichen oder Compliance-Anforderungen zu erfüllen, z. B. die Notwendigkeit, Verschlüsselungsschlüssel regelmäßig zu rotieren. Mit Cloud KMS Autokey können Sie die Bereitstellung und Zuweisung von CMEKs automatisieren. Außerdem können Sie Ihre eigenen Schlüssel aus einem Drittanbieter-Schlüsselverwaltungssystem mit Cloud External Key Manager (Cloud EKM) verwenden.

Wir empfehlen dringend, Daten während der Übertragung zu verschlüsseln. Google verschlüsselt und authentifiziert Daten bei der Übertragung auf einer oder mehreren Netzwerkebenen, wenn Daten außerhalb der physischen Grenzen übertragen werden, die nicht von Google oder im Auftrag von Google kontrolliert werden. Der gesamte VM-zu-VM-Traffic in einem VPC-Netzwerk und zwischen Peering-VPC-Netzwerken wird verschlüsselt. Sie können MACsec für die Verschlüsselung von Traffic über Cloud Interconnect-Verbindungen verwenden. IPsec bietet Verschlüsselung für Traffic über Cloud VPN-Verbindungen. Sie können den Traffic zwischen Anwendungen in der Cloud mit Sicherheitsfunktionen wie TLS- und mTLS-Konfigurationen in Apigee und Cloud Service Mesh für containerisierte Anwendungen schützen.

Google Cloud verschlüsselt standardmäßig inaktive Daten und Daten bei der Übertragung im gesamten Netzwerk. Standardmäßig werden Daten jedoch nicht verschlüsselt, während sie im Speicher verwendet werden. Falls Ihre Organisation vertrauliche Daten verarbeitet, müssen Sie gegen Bedrohungen vorgehen, die die Vertraulichkeit und Integrität der Anwendung oder der Daten im Systemspeicher beeinträchtigen. Um diese Bedrohungen zu minimieren, können Sie Confidential Computing verwenden, das eine vertrauenswürdige Ausführungsumgebung für Ihre Rechenarbeitslasten bietet. Weitere Informationen finden Sie unter Confidential VM – Übersicht.

Zero Trust implementieren

Dieses Prinzip im Sicherheitsbereich des Google Cloud Well-Architected Framework hilft Ihnen, umfassende Sicherheit für Ihre Cloud-Arbeitslasten zu gewährleisten. Das Zero-Trust-Prinzip basiert auf den folgenden Praktiken:

• Implizites Vertrauen beseitigen
• Prinzip der geringsten Berechtigung auf die Zugriffssteuerung anwenden
• Erzwingen der expliziten Validierung aller Zugriffsanfragen
• Assume-Breach-Ansatz für kontinuierliche Überprüfung und Überwachung des Sicherheitsstatus

Übersicht über die Grundsätze

Beim Zero-Trust-Modell wird der Sicherheitsfokus von der perimeterbasierten Sicherheit auf einen Ansatz verlagert, bei dem kein Nutzer und kein Gerät als von Natur aus vertrauenswürdig gilt. Stattdessen muss jede Zugriffsanfrage unabhängig von ihrem Ursprung überprüft werden. Bei diesem Ansatz werden alle Nutzer und Geräte authentifiziert und autorisiert, ihr Kontext (Standort und Gerätestatus) wird validiert und der Zugriff mit den geringsten Berechtigungen wird nur auf die erforderlichen Ressourcen gewährt.

Durch die Implementierung des Zero-Trust-Modells kann Ihr Unternehmen seinen Sicherheitsstatus verbessern, indem es die Auswirkungen potenzieller Sicherheitsverletzungen minimiert und sensible Daten und Anwendungen vor unbefugtem Zugriff schützt. Mit dem Zero-Trust-Modell können Sie die Vertraulichkeit, Integrität und Verfügbarkeit von Daten und Ressourcen in der Cloud sicherstellen.

Empfehlungen

Wenn Sie das Zero-Trust-Modell für Ihre Cloud-Arbeitslasten implementieren möchten, sollten Sie die Empfehlungen in den folgenden Abschnitten berücksichtigen:

• Netzwerk sichern
• Jeden Zugriffsversuch explizit bestätigen
• Netzwerk überwachen und verwalten

Netzwerk sichern

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Infrastruktursicherheit.

Die Umstellung von der herkömmlichen perimeterbasierten Sicherheit auf ein Zero-Trust-Modell erfordert mehrere Schritte. Ihre Organisation hat möglicherweise bereits bestimmte Zero-Trust-Kontrollen in ihre Sicherheitsstrategie integriert. Ein Zero-Trust-Modell ist jedoch kein einzelnes Produkt oder eine einzelne Lösung. Stattdessen handelt es sich um eine ganzheitliche Integration mehrerer Sicherheitsebenen und Best Practices. In diesem Abschnitt werden Empfehlungen und Techniken zur Implementierung von Zero Trust für die Netzwerksicherheit beschrieben.

• Zugriffssteuerung: Erzwingen Sie die Zugriffssteuerung basierend auf Nutzeridentität und Kontext mit Lösungen wie Chrome Enterprise Premium und Identity-Aware Proxy (IAP). Dadurch wird die Sicherheit vom Netzwerkperimeter auf einzelne Nutzer und Geräte verlagert. Dieser Ansatz ermöglicht eine detaillierte Zugriffssteuerung und verringert die Angriffsfläche.
• Netzwerksicherheit: Sichern Sie Netzwerkverbindungen zwischen Ihren lokalen, Google Cloud- und Multi-Cloud-Umgebungen.
  • Verwenden Sie die Methoden für private Verbindungen von Cloud Interconnect und IPsec-VPNs.
  • Um den Zugriff auf Google Cloud Dienste und APIs zu schützen, verwenden Sie Private Service Connect.
  • Um den ausgehenden Zugriff von Arbeitslasten zu schützen, die in GKE Enterprise bereitgestellt werden, verwenden Sie Egress-Gateways von Cloud Service Mesh.
• Netzwerkdesign: Sie können potenzielle Sicherheitsrisiken verhindern, indem Sie Standardnetzwerke in vorhandenen Projekten löschen und die Erstellung von Standardnetzwerken in neuen Projekten deaktivieren.
  • Planen Sie Ihr Netzwerk und die Zuweisung von IP-Adressen sorgfältig, um Konflikte zu vermeiden.
  • Um eine effektive Zugriffssteuerung zu erzwingen, sollten Sie die Anzahl der VPC-Netzwerke (Virtual Private Cloud) pro Projekt begrenzen.
• Segmentierung: Arbeitslasten isolieren, aber die zentrale Netzwerkverwaltung beibehalten.
  • Verwenden Sie freigegebene VPCs, um Ihr Netzwerk zu segmentieren.
  • Definieren Sie Firewallrichtlinien und ‑regeln auf Organisations-, Ordner- und VPC-Netzwerkebene.
  • Um Daten-Exfiltration zu verhindern, können Sie mit VPC Service Controls sichere Perimeter für sensible Daten und Dienste einrichten.
• Perimetersicherheit: Schutz vor DDoS-Angriffen und Bedrohungen für Webanwendungen.
  • Verwenden Sie Google Cloud Armor, um sich vor Bedrohungen zu schützen.
  • Konfigurieren Sie Sicherheitsrichtlinien, um Traffic amGoogle Cloud -Edge zuzulassen, abzulehnen oder weiterzuleiten.
• Automatisierung: Automatisieren Sie die Bereitstellung der Infrastruktur, indem Sie die Prinzipien von Infrastructure as Code (IaC) anwenden und Tools wie Terraform, Jenkins und Cloud Build verwenden. Iac trägt zu einheitlichen Sicherheitskonfigurationen, vereinfachten Bereitstellungen und schnellen Rollbacks bei Problemen bei.
• Sichere Grundlage: Richten Sie eine sichere Anwendungsumgebung mit dem Blueprint zu Unternehmensgrundlagen ein. Dieser Blueprint enthält präskriptive Anleitungen und Automatisierungsskripts, mit denen Sie Best Practices für die Sicherheit implementieren und IhreGoogle Cloud -Ressourcen sicher konfigurieren können.

Jeden Zugriffsversuch explizit bestätigen

Diese Empfehlung ist für die folgenden Schwerpunktbereiche relevant:

• Identitäts- und Zugriffsverwaltung
• Security Operations (SecOps)
• Logging, Auditing und Monitoring

Implementieren Sie strenge Authentifizierungs- und Autorisierungsmechanismen für jeden Nutzer, jedes Gerät und jeden Dienst, der versucht, auf Ihre Cloud-Ressourcen zuzugreifen. Verlassen Sie sich nicht auf den Standort oder den Netzwerkperimeter als Sicherheitskontrolle. Vertrauen Sie keinem Nutzer, Gerät oder Dienst automatisch, auch wenn er sich bereits im Netzwerk befindet. Stattdessen muss jeder Versuch, auf Ressourcen zuzugreifen, streng authentifiziert und autorisiert werden. Sie müssen starke Maßnahmen zur Identitätsbestätigung implementieren, z. B. die Multi-Faktor-Authentifizierung (MFA). Außerdem müssen Sie dafür sorgen, dass Zugriffsentscheidungen auf detaillierten Richtlinien basieren, die verschiedene Kontextfaktoren wie Nutzerrolle, Gerätestatus und Standort berücksichtigen.

Verwenden Sie die folgenden Methoden, Tools und Technologien, um diese Empfehlung zu implementieren:

• Einheitliche Identitätsverwaltung: Sorgen Sie für eine einheitliche Identitätsverwaltung in Ihrer gesamten Organisation, indem Sie einen einzigen Identitätsanbieter (IdP) verwenden.
  • Google Cloud unterstützt die Föderation mit den meisten IdPs, einschließlich des lokalen Active Directory. Mit der Föderation können Sie Ihre vorhandene Identitätsverwaltungsstruktur auf Google Cloud erweitern und die Einmalanmeldung (SSO) für Nutzer aktivieren.
  • Wenn Sie noch keinen IdP haben, sollten Sie die Cloud Identity Premiumversion oder Google Workspace verwenden.
• Eingeschränkte Dienstkontoberechtigungen: Verwenden Sie Dienstkonten mit Bedacht und halten Sie sich an den Grundsatz der geringsten Berechtigung.
  • Erteilen Sie jedem Dienstkonto nur die Berechtigungen, die für die Ausführung der zugewiesenen Aufgaben erforderlich sind.
  • Verwenden Sie die Workload Identity-Föderation für Anwendungen, die in Google Kubernetes Engine (GKE) oder außerhalb vonGoogle Cloud ausgeführt werden, um sicher auf Ressourcen zuzugreifen.
• Robuste Prozesse: Aktualisieren Sie Ihre Identitätsprozesse, um sie an die Best Practices für die Cloud-Sicherheit anzupassen.
  • Um die Einhaltung gesetzlicher Vorschriften zu gewährleisten, sollten Sie Identity Governance implementieren, um den Zugriff, die Risiken und Richtlinienverstöße zu verfolgen.
  • Überprüfen und aktualisieren Sie Ihre bestehenden Prozesse zum Gewähren und Prüfen von Rollen und Berechtigungen für die Zugriffssteuerung.
• Starke Authentifizierung: Implementieren Sie SSO für die Nutzerauthentifizierung und MFA für privilegierte Konten.
  • Google Cloud unterstützt verschiedene MFA-Methoden, darunter Titan-Sicherheitsschlüssel, für mehr Sicherheit.
  • Verwenden Sie für die Arbeitslastauthentifizierung OAuth 2.0 oder signierte JSON Web Tokens (JWTs).
• Geringste Berechtigung: Minimieren Sie das Risiko unbefugter Zugriffe und Datenpannen, indem Sie die Grundsätze der geringsten Berechtigung und der Aufgabentrennung durchsetzen.
  • Vermeiden Sie es, Nutzern zu viel Zugriff zu gewähren.
  • Erwägen Sie die Implementierung von privilegiertem Just-in-Time-Zugriff für sensible Vorgänge.
• Logging: Aktivieren Sie das Audit-Logging für Administrator- und Datenzugriffsaktivitäten.
  • Scannen Sie die Logs mit Security Command Center Enterprise oder Google Security Operations, um sie zu analysieren und Bedrohungen zu erkennen.
  • Konfigurieren Sie geeignete Richtlinien zur Logaufbewahrung, um Sicherheitsanforderungen und Speicherkosten in Einklang zu bringen.

Netzwerk überwachen und warten

Diese Empfehlung ist für die folgenden Schwerpunktbereiche relevant:

• Logging, Auditing und Monitoring
• Anwendungssicherheit
• Security Operations (SecOps)
• Sichere Infrastruktur

Gehen Sie bei der Planung und Implementierung von Sicherheitsmaßnahmen davon aus, dass sich ein Angreifer bereits in Ihrer Umgebung befindet. Bei diesem proaktiven Ansatz werden die folgenden Tools und Techniken verwendet, um Einblicke in Ihr Netzwerk zu erhalten:

• Zentralisiertes Logging und Monitoring: Erfassen und analysieren Sie Sicherheitslogs aus allen Ihren Cloud-Ressourcen über zentralisiertes Logging und Monitoring.

  • Referenzwerte für normales Netzwerkverhalten festlegen, Anomalien erkennen und potenzielle Bedrohungen identifizieren.
  • Netzwerkverkehrsflüsse kontinuierlich analysieren, um verdächtige Muster und potenzielle Angriffe zu erkennen.

• Statistiken zur Netzwerkleistung und ‑sicherheit: Verwenden Sie Tools wie Network Analyzer. Überwachen Sie den Traffic auf ungewöhnliche Protokolle, unerwartete Verbindungen oder plötzliche Spitzen bei der Datenübertragung, die auf schädliche Aktivitäten hinweisen könnten.

• Sicherheitslücken-Scans und ‑Bereinigung: Scannen Sie Ihr Netzwerk und Ihre Anwendungen regelmäßig auf Sicherheitslücken.

  • Verwenden Sie den Web Security Scanner, der automatisch Sicherheitslücken in Ihren Compute Engine-Instanzen, Containern und GKE-Clustern identifizieren kann.
  • Priorisieren Sie die Behebung anhand des Schweregrads von Sicherheitslücken und ihrer potenziellen Auswirkungen auf Ihre Systeme.

• Einbruchserkennung: Überwachen Sie den Netzwerkverkehr auf schädliche Aktivitäten und blockieren Sie verdächtige Ereignisse automatisch oder lassen Sie sich benachrichtigen, indem Sie Cloud IDS und den Cloud NGFW-Dienst zur Einbruchsprävention verwenden.

• Sicherheitsanalyse: Erwägen Sie die Implementierung von Google SecOps, um Sicherheitsereignisse aus verschiedenen Quellen zu korrelieren, Sicherheitswarnungen in Echtzeit zu analysieren und die Reaktion auf Vorfälle zu erleichtern.

• Einheitliche Konfigurationen: Verwenden Sie Tools zur Konfigurationsverwaltung, um einheitliche Sicherheitskonfigurationen in Ihrem Netzwerk zu gewährleisten.

Shift-Left-Sicherheit implementieren

Dieses Prinzip im Sicherheitsbereich des Google Cloud Well-Architected Framework hilft Ihnen, praktische Kontrollen zu identifizieren, die Sie frühzeitig im Lebenszyklus der Softwareentwicklung implementieren können, um Ihren Sicherheitsstatus zu verbessern. Es bietet Empfehlungen, mit denen Sie präventive Sicherheitsmaßnahmen und Sicherheitskontrollen nach der Bereitstellung implementieren können.

Übersicht über die Grundsätze

Shift-Left-Sicherheit bedeutet, dass Sicherheitsmaßnahmen frühzeitig im Softwareentwicklungszyklus eingeführt werden. Mit diesem Grundsatz werden folgende Ziele verfolgt:

• Sicherheitsmängel vermeiden, bevor Systemänderungen vorgenommen werden Implementieren Sie präventive Sicherheitsleitplanken und führen Sie Praktiken wie Infrastruktur als Code (IaC), Richtlinie als Code und Sicherheitsprüfungen in der CI/CD-Pipeline ein. Sie können auch andere plattformspezifische Funktionen wie den Organisationsrichtliniendienst und abgehärtete GKE-Cluster in Google Cloudverwenden.
• Sicherheitsfehler nach jeder Systemänderung frühzeitig, schnell und zuverlässig erkennen und beheben. Führen Sie Verfahren wie Code Reviews, Scans auf Sicherheitslücken nach der Bereitstellung und Sicherheitstests ein.

Die Prinzipien Implement security by design und „Shift-Left Security“ sind verwandt, unterscheiden sich aber im Umfang. Das Prinzip „Security by Design“ hilft Ihnen, grundlegende Designfehler zu vermeiden, die eine Neugestaltung des gesamten Systems erfordern würden. Bei einer Bedrohungsmodellierung wird beispielsweise festgestellt, dass das aktuelle Design keine Autorisierungsrichtlinie enthält und alle Nutzer ohne diese Richtlinie denselben Zugriff haben. Mit Shift-Left-Sicherheit können Sie Implementierungsfehler (Bugs und Fehlkonfigurationen) vermeiden, bevor Änderungen angewendet werden. Außerdem ermöglicht sie schnelle, zuverlässige Korrekturen nach der Bereitstellung.

Empfehlungen

Wenn Sie das Shift-Left-Sicherheitsprinzip für Ihre Cloud-Arbeitslasten implementieren möchten, sollten Sie die Empfehlungen in den folgenden Abschnitten berücksichtigen:

• Präventive Sicherheitskontrollen einführen
• Bereitstellung und Verwaltung von Cloud-Ressourcen automatisieren
• Sichere Anwendungsreleases automatisieren
• Sorgen Sie dafür, dass beim Bereitstellen von Anwendungen genehmigte Prozesse eingehalten werden.
• Vor der Bereitstellung der Anwendung nach bekannten Sicherheitslücken scannen
• Anwendungscode auf bekannte Sicherheitslücken überwachen

Präventive Sicherheitskontrollen einführen

Diese Empfehlung ist für die folgenden Schwerpunktbereiche relevant:

• Identitäts- und Zugriffsverwaltung
• Cloud-Governance, ‑Risiko und ‑Compliance

Präventive Sicherheitskontrollen sind entscheidend, um eine starke Sicherheitslage in der Cloud aufrechtzuerhalten. Mit diesen Funktionen können Sie Risiken proaktiv minimieren. Sie können Fehlkonfigurationen und unbefugten Zugriff auf Ressourcen verhindern, Entwicklern ermöglichen, effizient zu arbeiten, und die Einhaltung von Branchenstandards und internen Richtlinien sicherstellen.

Präventive Sicherheitskontrollen sind effektiver, wenn sie mit Infrastruktur als Code (Infrastructure as Code, IaC) implementiert werden. Mit IaC können präventive Sicherheitskontrollen benutzerdefinierte Prüfungen des Infrastrukturcodes umfassen, bevor Änderungen bereitgestellt werden. In Kombination mit der Automatisierung können präventive Sicherheitskontrollen als Teil der automatischen Prüfungen Ihrer CI/CD-Pipeline ausgeführt werden.

Die folgenden Produkte und Funktionen können Ihnen dabei helfen, präventive Kontrollen in Ihrer Umgebung zu implementieren: Google Cloud

• Einschränkungen für den Organisationsrichtliniendienst: Konfigurieren Sie vordefinierte und benutzerdefinierte Einschränkungen mit zentraler Steuerung.
• VPC Service Controls: Erstellen Sie Perimeter für Ihre Google Cloud -Dienste.
• Identity and Access Management (IAM), Privileged Access Manager und Richtlinien für die Zugriffsgrenze von Identitäten: beschränken den Zugriff auf Ressourcen.
• Policy Controller und Open Policy Agent (OPA): Erzwingen Sie IaC-Einschränkungen in Ihrer CI/CD-Pipeline und vermeiden Sie Fehlkonfigurationen in der Cloud.

Mit IAM können Sie Nutzer autorisieren, auf der Grundlage ihrer Berechtigungen auf bestimmte Ressourcen zuzugreifen. Weitere Informationen finden Sie unter Zugriffssteuerung für Organisationsressourcen mit IAM.

Mit dem Organisationsrichtliniendienst können Sie Einschränkungen für Ressourcen festlegen, um anzugeben, wie diese konfiguriert werden können. Mit einer Organisationsrichtlinie können Sie beispielsweise Folgendes tun:

• Beschränken der Ressourcenfreigabe auf Grundlage der Domain.
• Nutzung von Dienstkonten einschränken.
• Beschränken des physischen Standorts neu erstellter Ressourcen.

Zusätzlich zur Verwendung von Organisationsrichtlinien können Sie den Zugriff auf Ressourcen mit den folgenden Methoden einschränken:

• Tags mit IAM: Weisen Sie einer Gruppe von Ressourcen ein Tag zu und legen Sie dann die Zugriffsdefinition für das Tag selbst fest, anstatt die Zugriffsberechtigungen für jede Ressource zu definieren.
• IAM Conditions: Definieren Sie eine bedingte, attributbasierte Zugriffssteuerung für Ressourcen.
• Gestaffelte Sicherheitsebenen: Verwenden Sie VPC Service Controls, um den Zugriff auf Ressourcen weiter einzuschränken.

Weitere Informationen zur Ressourcenverwaltung finden Sie unter Ressourcenhierarchie für Ihre Google Cloud -Landing-Zone auswählen.

Bereitstellung und Verwaltung von Cloud-Ressourcen automatisieren

Diese Empfehlung ist für die folgenden Schwerpunktbereiche relevant:

• Anwendungssicherheit
• Cloud-Governance, ‑Risiko und ‑Compliance

Die Automatisierung der Bereitstellung und Verwaltung von Cloud-Ressourcen und ‑Arbeitslasten ist effektiver, wenn Sie auch deklaratives IaC anstelle von imperativem Scripting verwenden. IaC ist kein eigenständiges Sicherheitstool oder eine eigenständige Sicherheitspraxis, sondern trägt dazu bei, die Sicherheit Ihrer Plattform zu verbessern. Durch die Einführung von IaC können Sie wiederholbare Infrastruktur erstellen und Ihrem Betriebsteam einen als funktionierend bekannten Zustand zur Verfügung stellen. Außerdem verbessert IaC die Effizienz von Rollbacks, Audit-Änderungen und der Fehlerbehebung.

In Kombination mit CI/CD-Pipelines und Automatisierung ermöglicht IaC auch die Einführung von Praktiken wie Richtlinie als Code mit Tools wie OPA. Sie können Infrastrukturänderungen im Zeitverlauf prüfen und automatische Prüfungen des Infrastrukturcodes ausführen, bevor Änderungen bereitgestellt werden.

Zur Automatisierung der Infrastrukturbereitstellung können Sie Tools wie Config Controller, Terraform, Jenkins und Cloud Build verwenden. Damit Sie eine sichere Anwendungsumgebung mit IaC und Automatisierung erstellen können, bietetGoogle Cloud den Blueprint zu Unternehmensgrundlagen. Dieser Blueprint ist ein von Google entwickeltes Design, das alle unsere empfohlenen Verfahren und Konfigurationen berücksichtigt. Der Blueprint enthält eine Schritt-für-Schritt-Anleitung zum Konfigurieren und Bereitstellen Ihrer Google Cloud -Topologie mit Terraform und Cloud Build.

Sie können die Scripts des Enterprise Foundations-Blueprints ändern, um eine Umgebung zu konfigurieren, die den Empfehlungen von Google entspricht und Ihre eigenen Sicherheitsanforderungen erfüllt. Sie können auf diesen Blueprint mit zusätzlichen Blueprints aufbauen oder Ihre eigene Automatisierung entwerfen. DasGoogle Cloud Architecture Center bietet weitere Blueprints, die zusätzlich zum Blueprint für Unternehmensgrundlagen implementiert werden können. Hier einige Beispiele für diese Blaupausen:

• Entwicklerplattform für Unternehmen auf Google Cloudbereitstellen
• Mit Cloud Run eine sichere serverlose Architektur bereitstellen
• Modelle für generative KI und maschinelles Lernen in einem Unternehmen erstellen und bereitstellen
• Daten aus Google Cloud in ein gesichertes BigQuery-Data Warehouse importieren

Sichere Anwendungsreleases automatisieren

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Anwendungssicherheit.

Ohne automatisierte Tools kann es schwierig sein, komplexe Anwendungsumgebungen bereitzustellen, zu aktualisieren und zu patchen, um konsistente Sicherheitsanforderungen zu erfüllen. Wir empfehlen, automatisierte CI/CD-Pipelines für Ihren Softwareentwicklungszyklus (SDLC) zu erstellen. Automatisierte CI/CD-Pipelines helfen Ihnen, manuelle Fehler zu vermeiden, standardisierte Entwicklungs-Feedbackschleifen zu erstellen und effiziente Produktiterationen zu ermöglichen. Die kontinuierliche Bereitstellung ist eine der Best Practices, die im DORA-Framework empfohlen werden.

Durch die Automatisierung von Anwendungsreleases mithilfe von CI/CD-Pipelines können Sie Sicherheitsfehler frühzeitig, schnell und zuverlässig erkennen und beheben. Sie können beispielsweise automatisch nach Sicherheitslücken suchen, wenn Artefakte erstellt werden, den Umfang von Sicherheitsüberprüfungen einschränken und zu einer bekannten und sicheren Version zurückkehren. Sie können auch Richtlinien für verschiedene Umgebungen (z. B. Entwicklungs-, Test- oder Produktionsumgebungen) definieren, damit nur verifizierte Artefakte bereitgestellt werden.

Um Ihnen zu helfen, Anwendungsreleases zu automatisieren und Sicherheitsprüfungen in Ihre CI/CD-Pipeline einzubetten, bietet Google Cloud mehrere Tools, darunter Cloud Build, Cloud Deploy, Web Security Scanner und Binärautorisierung.

Um einen Prozess zu etablieren, der mehrere Sicherheitsanforderungen in Ihrem SDLC überprüft, verwenden Sie das von Google definierte Framework Supply-chain Levels for Software Artifacts (SLSA). SLSA erfordert Sicherheitsprüfungen für Quellcode, Build-Prozess und Code-Herkunftsbeleg. Viele dieser Anforderungen können in eine automatisierte CI/CD-Pipeline aufgenommen werden. Informationen dazu, wie Google diese Praktiken intern anwendet, finden Sie unter Herangehensweise vonGoogle Cloudan Veränderungen.

Sorgen Sie dafür, dass beim Bereitstellen von Anwendungen genehmigte Prozesse eingehalten werden.

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Anwendungssicherheit.

Wenn ein Angreifer Ihre CI/CD-Pipeline manipuliert, kann sich dies auf Ihren gesamten Anwendungsstack auswirken. Zum Sichern der Pipeline sollten Sie einen festgelegten Genehmigungsprozess erzwingen, bevor Sie den Code in der Produktion bereitstellen.

Wenn Sie Google Kubernetes Engine (GKE), GKE Enterprise oder Cloud Run verwenden, können Sie einen Genehmigungsprozess mithilfe der Binärautorisierung einrichten. Die Binärautorisierung hängt konfigurierbare Signaturen an Container-Images an. Diese Signaturen (auch Attestierungen genannt) helfen, das Image zu validieren. Bei der Bereitstellung verwendet die Binärautorisierung diese Attestierungen, um zu ermitteln, ob ein Prozess abgeschlossen wurde. Sie können die Binärautorisierung beispielsweise für Folgendes verwenden:

• Prüfen, ob ein bestimmtes Build-System oder eine bestimmte CI-Pipeline ein Container-Image erstellt hat.
• Prüfen Sie, ob ein Container-Image mit einer Signaturrichtlinie für Sicherheitslücken kompatibel ist.
• Prüfen Sie, ob ein Container-Image die Kriterien für das Hochstufen in die nächste Bereitstellungsumgebung erfüllt, z. B. von Entwicklung zu QA.

Mit der Binärautorisierung können Sie erzwingen, dass nur vertrauenswürdiger Code auf Ihren Zielplattformen ausgeführt wird.

Vor der Bereitstellung von Anwendungen nach bekannten Sicherheitslücken scannen

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Anwendungssicherheit.

Es wird empfohlen, automatisierte Tools zu nutzen, die kontinuierlich auf Sicherheitslücken für Anwendungsartefakte scannen können, bevor sie für die Produktion bereitgestellt werden.

Verwenden Sie für containerisierte Anwendungen die Artefaktanalyse, um automatisch Sicherheitslückenscans für Container-Images auszuführen. Die Artefaktanalyse scannt neue Images, sobald sie in Artifact Registry hochgeladen werden. Bei diesem Scan werden Informationen zu den Systempaketen im Container extrahiert. Nach dem ersten Scan überwacht Artefaktanalyse kontinuierlich die Metadaten gescannter Images in Artifact Registry auf neue Sicherheitslücken. Wenn die Artefaktanalyse neue und aktualisierte Informationen zu Sicherheitslücken aus Sicherheitslückenquellen erhält, führt sie folgende Schritte aus:

• Aktualisiert die Metadaten der gescannten Bilder, um sie auf dem neuesten Stand zu halten.
• Erstellt neue Vorkommen von Sicherheitslücken für neue Hinweise.
• Löscht Vorkommen von Sicherheitslücken, die nicht mehr gültig sind.

Überwachen Sie den Anwendungscode hinsichtlich bekannter Sicherheitslücken.

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Anwendungssicherheit.

Verwenden Sie automatisierte Tools, um Ihren Anwendungscode ständig auf bekannte Sicherheitslücken wie die OWASP Top 10 zu überwachen. Weitere Informationen zu Google Cloud Produkten und ‑Funktionen, die OWASP-Top-10-Abhilfemaßnahmen unterstützen, finden Sie unter OWASP Top 10 – Optionen zur Risikominimierung in Google Cloud.

Mit dem Web Security Scanner können Sie Sicherheitslücken in Ihren App Engine-, Compute Engine- und GKE-Webanwendungen identifizieren. Der Scanner durchsucht Ihre Anwendung, folgt dabei allen Links im Bereich der Start-URLs und versucht, so viele Nutzereingaben und Event-Handler wie möglich anzuwenden. Es kann automatisch nach allgemeinen Sicherheitslücken suchen und diese erkennen, einschließlich Cross-Site-Scripting, Code Injection, gemischter Inhalt und veralteter oder unsicherer Bibliotheken. Der Web Security Scanner ermöglicht Ihnen eine frühzeitige Identifizierung solcher Sicherheitslücken, ohne Sie durch falsch positive Ergebnisse abzulenken.

Wenn Sie GKE Enterprise zum Verwalten von Flotten von Kubernetes-Clustern verwenden, enthält das Sicherheitsstatus-Dashboard außerdem fundierte, umsetzbare Empfehlungen zur Verbesserung des Sicherheitsstatus Ihrer Flotte.

Präventive Cyberabwehr implementieren

Dieses Prinzip in der Sicherheitssäule des Google Cloud Well-Architected Framework enthält Empfehlungen zum Erstellen robuster Programme zur Cyberabwehr als Teil Ihrer allgemeinen Sicherheitsstrategie.

Dieses Prinzip betont die Verwendung von Threat Intelligence, um Ihre Bemühungen in den wichtigsten Funktionen der Cyberabwehr proaktiv zu steuern, wie in Intelligente Cyberabwehr: Ein Leitfaden definiert.

Übersicht über die Grundsätze

Wenn Sie Ihr System vor Cyberangriffen schützen, haben Sie einen erheblichen, ungenutzten Vorteil gegenüber Angreifern. Wie der Gründer von Mandiant sagt: „Sie sollten mehr über Ihr Unternehmen, Ihre Systeme, Ihre Topologie und Ihre Infrastruktur wissen als jeder Angreifer. Das ist ein unglaublicher Vorteil.“ Damit Sie diesen inhärenten Vorteil nutzen können, enthält dieses Dokument Empfehlungen zu proaktiven und strategischen Cyberabwehrmaßnahmen, die dem Defender's Advantage-Framework zugeordnet sind.

Empfehlungen

Wenn Sie präventive Cyberabwehr für Ihre Cloud-Arbeitslasten implementieren möchten, sollten Sie die Empfehlungen in den folgenden Abschnitten berücksichtigen:

• Komponenten der Cyberabwehr integrieren
• Bedrohungsdaten in allen Aspekten der Cyberabwehr nutzen
• Vorteil des Verteidigers verstehen und nutzen
• Sicherheitsmaßnahmen kontinuierlich validieren und verbessern
• Cyberabwehrmaßnahmen verwalten und koordinieren

Komponenten der Cyberabwehr integrieren

Diese Empfehlung ist für alle Schwerpunktbereiche relevant.

Das Defender's Advantage-Framework umfasst sechs kritische Funktionen der Cyberabwehr: Bedrohungsdaten, Bedrohungserkennung, Reaktion, Validierung, Aufspüren und Mission Control. Jede Funktion konzentriert sich auf einen bestimmten Teil der Cyberabwehr, aber diese Funktionen müssen gut koordiniert sein und zusammenarbeiten, um eine effektive Abwehr zu ermöglichen. Konzentrieren Sie sich auf den Aufbau eines robusten und integrierten Systems, in dem jede Funktion die anderen unterstützt. Wenn Sie einen stufenweisen Ansatz für die Einführung benötigen, sollten Sie die folgende Reihenfolge in Betracht ziehen. Abhängig von Ihrer aktuellen Cloud-Reife, der Ressourcentopologie und der spezifischen Bedrohungslandschaft sollten Sie bestimmte Funktionen priorisieren.

1. Intelligence: Die Intelligence-Funktion steuert alle anderen Funktionen. Die Bedrohungslandschaft zu verstehen, einschließlich der wahrscheinlichsten Angreifer, ihrer Taktiken, Techniken und Verfahren (Tactics, Techniques and Procedures, TTPs) und der potenziellen Auswirkungen, ist entscheidend, um Maßnahmen im gesamten Programm zu priorisieren. Die Intelligence-Funktion ist für die Identifizierung von Stakeholdern, die Definition von Intelligence-Anforderungen, die Datenerhebung, die Analyse und Verbreitung, die Automatisierung und die Erstellung eines Cyberbedrohungsprofils verantwortlich.
2. Erkennen und Reagieren: Diese Funktionen bilden den Kern der aktiven Abwehr, bei der böswillige Aktivitäten identifiziert und behoben werden. Diese Funktionen sind erforderlich, um auf die Informationen zu reagieren, die von der Intelligence-Funktion erfasst werden. Die Funktion „Detect“ erfordert einen methodischen Ansatz, bei dem Erkennungen an die TTPs von Angreifern angepasst werden und eine robuste Protokollierung gewährleistet wird. Die Funktion „Reagieren“ muss sich auf die erste Triage, die Datenerhebung und die Behebung von Vorfällen konzentrieren.
3. Validieren: Die Validierungsfunktion ist ein kontinuierlicher Prozess, der dafür sorgt, dass Ihr Sicherheitskontrollsystem auf dem neuesten Stand ist und wie vorgesehen funktioniert. Diese Funktion sorgt dafür, dass Ihr Unternehmen die Angriffsfläche kennt, weiß, wo Sicherheitslücken vorhanden sind, und die Effektivität von Kontrollen messen kann. Die Sicherheitsvalidierung ist auch ein wichtiger Bestandteil des Lebenszyklus für die Entwicklung von Erkennungsfunktionen und muss verwendet werden, um Lücken bei der Erkennung zu identifizieren und neue Erkennungsfunktionen zu erstellen.
4. Bedrohungssuche: Bei der Bedrohungssuche wird proaktiv nach aktiven Bedrohungen in einer Umgebung gesucht. Diese Funktion muss implementiert werden, wenn Ihre Organisation ein grundlegendes Reifegradniveau bei den Funktionen „Erkennen“ und „Reagieren“ erreicht hat. Die Funktion „Hunt“ erweitert die Erkennungsfunktionen und hilft, Lücken und Schwachstellen in den Kontrollen zu identifizieren. Die Hunt-Funktion muss auf bestimmten Bedrohungen basieren. Diese erweiterte Funktion profitiert von einer Grundlage aus robusten Funktionen für Informationen, Erkennung und Reaktion.
5. Mission Control: Die Mission Control-Funktion dient als zentraler Hub, der alle anderen Funktionen miteinander verbindet. Diese Funktion ist für Strategie, Kommunikation und entschlossenes Handeln in Ihrem Programm zur Cyberabwehr verantwortlich. So wird sichergestellt, dass alle Funktionen zusammenarbeiten und auf die Geschäftsziele Ihrer Organisation ausgerichtet sind. Sie müssen sich mit dem Zweck der Mission Control-Funktion vertraut machen, bevor Sie sie zum Verknüpfen der anderen Funktionen verwenden.

Intelligence-Funktion in allen Aspekten der Cyberabwehr nutzen

Diese Empfehlung ist für alle Schwerpunktbereiche relevant.

Diese Empfehlung unterstreicht die Bedeutung der Intelligence-Funktion als Kernbestandteil eines starken Cyberabwehrprogramms. Bedrohungsdaten liefern Informationen zu Bedrohungsakteuren, ihren TTPs und Kompromittierungsindikatoren (IOCs). Dieses Wissen sollte Aktionen in allen Cyberabwehrfunktionen beeinflussen und priorisieren. Mit einem informationsbasierten Ansatz können Sie Ihre Schutzmaßnahmen an die Bedrohungen anpassen, die Ihr Unternehmen am wahrscheinlichsten betreffen. Dieser Ansatz trägt auch zur effizienten Zuweisung und Priorisierung von Ressourcen bei.

Die folgenden Google Cloud Produkte und Funktionen helfen Ihnen, Bedrohungsinformationen für Ihre Sicherheitsabläufe zu nutzen. Mit diesen Funktionen können Sie potenzielle Bedrohungen, Sicherheitslücken und Risiken identifizieren und priorisieren sowie geeignete Maßnahmen planen und umsetzen.

• Mit Google Security Operations (Google SecOps) können Sie Sicherheitsdaten zentral speichern und analysieren. Mit Google SecOps können Sie Logs einem gemeinsamen Modell zuordnen, die Logs anreichern und die Logs mit Zeitachsen verknüpfen, um einen umfassenden Überblick über Angriffe zu erhalten. Sie können auch Erkennungsregeln erstellen, den Abgleich von IoC einrichten und Aktivitäten zur Bedrohungssuche ausführen. Die Plattform bietet auch ausgewählte Erkennungen, die vordefinierte und verwaltete Regeln sind, mit denen Sie Bedrohungen identifizieren können. Google SecOps kann auch in Mandiant Frontline Intelligence integriert werden. Google SecOps bietet eine einzigartige Integration von branchenführender KI sowie Threat Intelligence von Mandiant und Google VirusTotal. Diese Integration ist entscheidend für die Bewertung von Bedrohungen und dafür, zu verstehen, wer auf Ihre Organisation abzielt und welche potenziellen Auswirkungen dies haben kann.

• Security Command Center Enterprise, das auf Google AI basiert, ermöglicht es Sicherheitsexperten, Sicherheitsprobleme in mehreren Cloud-Umgebungen effizient zu bewerten, zu untersuchen und darauf zu reagieren. Zu den Sicherheitsexperten, die von Security Command Center profitieren können, gehören Analysten im Security Operations Center (SOC), Analysten für Sicherheitslücken und Sicherheitsstatus sowie Compliance-Manager. Security Command Center Enterprise reichert Sicherheitsdaten an, bewertet Risiken und priorisiert Sicherheitslücken. Diese Lösung bietet Teams die Informationen, die sie benötigen, um Sicherheitslücken mit hohem Risiko zu beheben und aktive Bedrohungen zu beseitigen.

• Chrome Enterprise Premium bietet Bedrohungs- und Datenschutz, um Nutzer vor Daten-Exfiltrationsrisiken zu schützen und zu verhindern, dass Malware auf vom Unternehmen verwaltete Geräte gelangt. Chrome Enterprise Premium bietet auch Einblick in unsichere oder potenziell unsichere Aktivitäten, die im Browser stattfinden können.

• Die Netzwerküberwachung mit Tools wie dem Network Intelligence Center bietet Einblick in die Netzwerkleistung. Die Netzwerküberwachung kann Ihnen auch dabei helfen, ungewöhnliche Traffic-Muster oder Datenübertragungsmengen zu erkennen, die auf einen Angriff oder einen Versuch zur Datenexfiltration hindeuten könnten.

Vorteil des Verteidigers verstehen und nutzen

Diese Empfehlung ist für alle Schwerpunktbereiche relevant.

Wie bereits erwähnt, haben Sie einen Vorteil gegenüber Angreifern, wenn Sie Ihr Unternehmen, Ihre Systeme, Ihre Topologie und Ihre Infrastruktur genau kennen. Um diesen Wissensvorsprung zu nutzen, sollten Sie diese Daten zu Ihren Umgebungen bei der Planung der Cyberabwehr berücksichtigen.

Google Cloud bietet die folgenden Funktionen, mit denen Sie proaktiv Einblick erhalten, um Bedrohungen zu erkennen, Risiken zu verstehen und rechtzeitig zu reagieren, um potenzielle Schäden zu minimieren:

• Mit Chrome Enterprise Premium können Sie die Sicherheit von Unternehmensgeräten verbessern, indem Sie Nutzer vor Daten-Exfiltrationsrisiken schützen. Sie erweitert die Sensitive Data Protection-Dienste auf den Browser und verhindert Malware. Außerdem bietet es Funktionen wie den Schutz vor Malware und Phishing, um zu verhindern, dass Sie unsicheren Inhalten ausgesetzt werden. Außerdem haben Sie die Möglichkeit, die Installation von Erweiterungen zu steuern, um unsichere oder nicht geprüfte Erweiterungen zu verhindern. Diese Funktionen helfen Ihnen, eine sichere Grundlage für Ihre Abläufe zu schaffen.

• Security Command Center Enterprise bietet eine kontinuierliche Risiko-Engine, die eine umfassende und fortlaufende Risikoanalyse und ‑verwaltung ermöglicht. Die Risikoberechnung reichert Sicherheitsdaten an, bewertet Risiken und priorisiert Sicherheitslücken, damit Probleme schnell behoben werden können. Mit Security Command Center kann Ihre Organisation proaktiv Schwachstellen erkennen und Gegenmaßnahmen ergreifen.

• Google SecOps zentralisiert Sicherheitsdaten und stellt angereicherte Logs mit Zeitachsen bereit. So können Sicherheitsteams aktive Kompromittierungen proaktiv erkennen und die Sicherheitsmaßnahmen an das Verhalten der Angreifer anpassen.

• Durch die Netzwerküberwachung lassen sich ungewöhnliche Netzwerkaktivitäten erkennen, die auf einen Angriff hindeuten könnten. Außerdem erhalten Sie Frühindikatoren, anhand derer Sie Maßnahmen ergreifen können. Um Ihre Daten proaktiv vor Diebstahl zu schützen, sollten Sie kontinuierlich nach Daten-Exfiltration suchen und die bereitgestellten Tools verwenden.

Abwehrmaßnahmen kontinuierlich validieren und verbessern

Diese Empfehlung ist für alle Schwerpunktbereiche relevant.

Diese Empfehlung unterstreicht die Bedeutung von gezielten Tests und der kontinuierlichen Validierung von Kontrollen, um Stärken und Schwächen der gesamten Angriffsfläche zu ermitteln. Dazu gehört die Validierung der Wirksamkeit von Kontrollen, Abläufen und Mitarbeitern durch Methoden wie die folgenden:

• Penetrationstests
• Red-Blue-Team- und Purple-Team-Übungen
• Theoretische Übungen

Sie müssen auch aktiv nach Bedrohungen suchen und die Ergebnisse verwenden, um die Erkennung und Sichtbarkeit zu verbessern. Verwenden Sie die folgenden Tools, um Ihre Abwehrmaßnahmen gegen reale Bedrohungen kontinuierlich zu testen und zu validieren:

• Security Command Center Enterprise bietet eine kontinuierliche Risiko-Engine, mit der Schwachstellen bewertet und die Risikobeseitigung priorisiert werden kann. So lässt sich Ihre allgemeine Sicherheitslage fortlaufend bewerten. Durch die Priorisierung von Problemen trägt Security Command Center Enterprise dazu bei, dass Ressourcen effektiv eingesetzt werden.

• Google SecOps bietet die Suche nach Bedrohungen und kuratierte Erkennungen, mit denen Sie proaktiv Schwachstellen in Ihren Kontrollen identifizieren können. Diese Funktion ermöglicht kontinuierliche Tests und Verbesserungen Ihrer Fähigkeit, Bedrohungen zu erkennen.

• Chrome Enterprise Premium bietet Funktionen für den Schutz vor Bedrohungen und den Datenschutz, mit denen Sie auf neue und sich entwickelnde Bedrohungen reagieren und Ihre Abwehrmaßnahmen gegen Exfiltrationsrisiken und Malware kontinuierlich aktualisieren können.

• Cloud Next Generation Firewall (Cloud NGFW) bietet Netzwerk- und Datenexfiltrations-Monitoring. Mit diesen Funktionen können Sie die Effektivität Ihres aktuellen Sicherheitsstatus überprüfen und potenzielle Schwachstellen identifizieren. Mit der Überwachung der Datenexfiltration können Sie die Stärke der Datenschutzmechanismen Ihrer Organisation validieren und bei Bedarf proaktive Anpassungen vornehmen. Wenn Sie Bedrohungsergebnisse aus Cloud NGFW in Security Command Center und Google SecOps einbinden, können Sie die netzwerkbasierte Bedrohungserkennung optimieren, die Reaktion auf Bedrohungen optimieren und Playbooks automatisieren. Weitere Informationen zu dieser Integration finden Sie unter Cloud-Sicherheitsmaßnahmen vereinheitlichen: Security Command Center und Cloud NGFW Enterprise.

Cyberabwehrmaßnahmen verwalten und koordinieren

Diese Empfehlung ist für alle Schwerpunktbereiche relevant.

Wie bereits im Abschnitt Funktionen der Cyberabwehr integrieren beschrieben, verbindet die Funktion „Mission Control“ die anderen Funktionen des Cyberabwehrprogramms. Diese Funktion ermöglicht die Koordination und einheitliche Verwaltung des Programms. Außerdem können Sie so die Zusammenarbeit mit anderen Teams koordinieren, die nicht im Bereich Cybersicherheit tätig sind. Die Mission Control-Funktion fördert Eigenverantwortung und Verantwortlichkeit, Agilität und Fachwissen sowie Verantwortung und Transparenz.

Die folgenden Produkte und Funktionen können Ihnen bei der Implementierung der Mission Control-Funktion helfen:

• Security Command Center Enterprise dient als zentraler Hub für die Koordination und Verwaltung Ihrer Cyberabwehr. Sie vereint Tools, Teams und Daten sowie die integrierten Abwehrfunktionen von Google SecOps. Security Command Center bietet einen klaren Überblick über den Sicherheitsstatus Ihrer Organisation und ermöglicht die Identifizierung von Sicherheitsfehlkonfigurationen in verschiedenen Ressourcen.
• Google SecOps bietet eine Plattform, auf der Teams auf Bedrohungen reagieren können, indem sie Protokolle zuordnen und Zeitachsen erstellen. Sie können auch Erkennungsregeln definieren und nach Bedrohungen suchen.
• Mit Google Workspace und Chrome Enterprise Premium können Sie den Endnutzerzugriff auf sensible Ressourcen verwalten und steuern. Sie können detaillierte Zugriffskontrollen auf Grundlage der Nutzeridentität und des Kontexts einer Anfrage definieren.
• Das Netzwerk-Monitoring bietet Einblicke in die Leistung von Netzwerkressourcen. Sie können Erkenntnisse zur Netzwerküberwachung in Security Command Center und Google SecOps importieren, um sie zentral zu überwachen und mit anderen zeitachsenbasierten Datenpunkten zu korrelieren. Diese Integration hilft Ihnen, potenzielle Änderungen der Netzwerknutzung zu erkennen und darauf zu reagieren, die durch schädliche Aktivitäten verursacht werden.
• Die Überwachung der Datenexfiltration hilft, mögliche Vorfälle mit Datenverlust zu erkennen. Mit dieser Funktion können Sie schnell ein Team zur Reaktion auf Vorfälle mobilisieren, Schäden bewerten und weitere Daten-Exfiltrationen begrenzen. Sie können auch die aktuellen Richtlinien und Kontrollen verbessern, um den Datenschutz zu gewährleisten.

Produktübersicht

In der folgenden Tabelle sind die Produkte und Funktionen aufgeführt, die in diesem Dokument beschrieben werden, und sie werden den zugehörigen Empfehlungen und Sicherheitsfunktionen zugeordnet.

Google Cloud product	Anwendbare Empfehlungen
Google SecOps	Intelligence-Funktion in allen Aspekten der Cyberabwehr nutzen: Ermöglicht das Aufspüren von Bedrohungen und den IoC-Abgleich und lässt sich für eine umfassende Bedrohungsanalyse in Mandiant integrieren. Vorteil des Verteidigers nutzen: Bietet kuratierte Erkennungen und zentralisiert Sicherheitsdaten für die proaktive Identifizierung von Kompromittierungen. Sicherheitsmaßnahmen kontinuierlich validieren und verbessern: Ermöglicht kontinuierliche Tests und Verbesserungen der Funktionen zur Erkennung von Bedrohungen. Cyberabwehr über Mission Control verwalten und koordinieren: Bietet eine Plattform für die Reaktion auf Bedrohungen, die Protokollanalyse und die Erstellung von Zeitachsen.
Security Command Center Enterprise	Intelligence-Funktion in allen Aspekten der Cyberabwehr nutzen: Mithilfe von KI werden Risiken bewertet, Schwachstellen priorisiert und umsetzbare Informationen zur Behebung bereitgestellt. Vorteil des Verteidigers verstehen und nutzen: Umfassende Risikoanalyse, Priorisierung von Sicherheitslücken und proaktive Identifizierung von Schwachstellen. Sicherheitsmaßnahmen kontinuierlich validieren und verbessern: Ermöglicht die fortlaufende Bewertung der Sicherheitslage und die Priorisierung von Ressourcen. Cyberabwehrmaßnahmen über Mission Control verwalten und koordinieren: Mission Control dient als zentraler Hub für die Verwaltung und Koordination von Cyberabwehrmaßnahmen.
Chrome Enterprise Premium	Intelligence-Funktion in allen Aspekten der Cyberabwehr nutzen: Schützt Nutzer vor Daten-Exfiltrationsrisiken, verhindert Malware und bietet Einblick in unsichere Browseraktivitäten. Vorteile der Verteidigung nutzen: Die Sicherheit von Unternehmensgeräten wird durch Datenschutz, Malware-Schutz und Kontrolle über Erweiterungen verbessert. Schutzmaßnahmen kontinuierlich validieren und verbessern: Neue und sich entwickelnde Bedrohungen werden durch kontinuierliche Updates der Schutzmaßnahmen gegen Exfiltrationsrisiken und Malware abgewehrt. Cyberabwehrmaßnahmen über Mission Control verwalten und koordinieren: Endnutzerzugriff auf vertrauliche Ressourcen verwalten und steuern, einschließlich detaillierter Zugriffssteuerung.
Google Workspace	Cyberabwehrmaßnahmen über Mission Control verwalten und koordinieren: Endnutzerzugriff auf vertrauliche Ressourcen verwalten und steuern, einschließlich detaillierter Zugriffssteuerung.
Network Intelligence Center	Intelligence-Funktion in allen Aspekten der Cyberabwehr nutzen: Sie bietet Einblick in die Netzwerkleistung und erkennt ungewöhnliche Traffic-Muster oder Datenübertragungen.
Cloud NGFW	Schutzmaßnahmen kontinuierlich validieren und verbessern: Optimiert die netzwerkbasierte Bedrohungserkennung und ‑abwehr durch die Integration mit Security Command Center und Google SecOps.

KI sicher und verantwortungsbewusst verwenden

Dieses Prinzip im Sicherheitsbereich des Google Cloud Well-Architected Framework enthält Empfehlungen, die Ihnen helfen, Ihre KI-Systeme zu schützen. Diese Empfehlungen entsprechen dem Secure AI Framework (SAIF) von Google, das einen praktischen Ansatz für die Sicherheits- und Risikobedenken von KI‑Systemen bietet. Das SAIF ist ein konzeptionelles Framework, das branchenweite Standards für die verantwortungsvolle Entwicklung und Bereitstellung von KI schaffen soll.

Übersicht über die Grundsätze

Damit Ihre KI-Systeme Ihre Anforderungen an Sicherheit, Datenschutz und Compliance erfüllen, müssen Sie eine ganzheitliche Strategie verfolgen, die mit dem ursprünglichen Design beginnt und sich auf die Bereitstellung und den Betrieb erstreckt. Sie können diese ganzheitliche Strategie umsetzen, indem Sie die sechs zentralen Elemente des SAIF anwenden.

Google nutzt KI, um Sicherheitsmaßnahmen zu verbessern, z. B. durch die Identifizierung von Bedrohungen, die Automatisierung von Sicherheitsaufgaben und die Verbesserung der Erkennungsfunktionen. Bei wichtigen Entscheidungen werden jedoch weiterhin Menschen einbezogen.

Google setzt auf einen kollaborativen Ansatz, um die KI-Sicherheit zu verbessern. Dazu arbeiten wir mit Kunden, Branchen und Regierungen zusammen, um die SAIF-Richtlinien zu verbessern und praktische, umsetzbare Ressourcen anzubieten.

Die Empfehlungen zur Umsetzung dieses Grundsatzes sind in den folgenden Abschnitten gruppiert:

• Empfehlungen für die sichere Nutzung von KI
• Empfehlungen für die KI-Governance

Empfehlungen für die sichere Nutzung von KI

Um KI sicher zu verwenden, benötigen Sie sowohl grundlegende als auch KI-spezifische Sicherheitskontrollen. In diesem Abschnitt finden Sie eine Übersicht über Empfehlungen, mit denen Sie sicherstellen können, dass Ihre KI- und ML-Bereitstellungen die Sicherheits-, Datenschutz- und Compliance-Anforderungen Ihrer Organisation erfüllen. Eine Übersicht über Architekturprinzipien und Empfehlungen, die speziell für KI- und ML-Arbeitslasten in Google Cloudgelten, finden Sie im Well-Architected Framework unter KI- und ML-Perspektive.

Klare Ziele und Anforderungen für die KI-Nutzung definieren

Diese Empfehlung ist für die folgenden Schwerpunktbereiche relevant:

• Cloud-Governance, ‑Risiko und ‑Compliance
• Sicherheit von KI und ML

Diese Empfehlung entspricht dem SAIF-Element zur Kontextualisierung von KI-Systemrisiken in den umgebenden Geschäftsprozessen. Wenn Sie KI-Systeme entwickeln und weiterentwickeln, ist es wichtig, dass Sie Ihre spezifischen Geschäftsziele, Risiken und Compliance-Anforderungen kennen.

Daten schützen und Verlust oder Missbrauch verhindern

Diese Empfehlung ist für die folgenden Schwerpunktbereiche relevant:

• Sichere Infrastruktur
• Identitäts- und Zugriffsverwaltung
• Datensicherheit
• Anwendungssicherheit
• Sicherheit von KI und ML

Diese Empfehlung entspricht den folgenden SAIF-Elementen:

• Bewährte Sicherheitsgrundlagen auf das KI-Ökosystem ausweiten. Dazu gehören die Datenerhebung, die Speicherung, die Zugriffssteuerung und der Schutz vor Data Poisoning.
• Sicherheitsrisiken für KI-Systeme in den richtigen Kontext setzen. Datensicherheit betonen, um Geschäftsziele und Compliance zu unterstützen.

KI-Pipelines schützen und vor Manipulationen absichern

Diese Empfehlung ist für die folgenden Schwerpunktbereiche relevant:

• Sichere Infrastruktur
• Identitäts- und Zugriffsverwaltung
• Datensicherheit
• Anwendungssicherheit
• Sicherheit von KI und ML

Diese Empfehlung entspricht den folgenden SAIF-Elementen:

• Bewährte Sicherheitsgrundlagen auf das KI-Ökosystem ausweiten. Sichern Sie Ihren Code und Ihre Modellartefakte, um ein sicheres KI-System zu schaffen.
• Schutzmaßnahmen anpassen, um effizientere Feedback-Schleifen zu schaffen. Da dies für die Eindämmung und Reaktion auf Vorfälle wichtig ist, sollten Sie Ihre Assets und Pipeline-Ausführungen im Blick behalten.

Apps auf sicheren Systemen mit sicheren Tools und Artefakten bereitstellen

Diese Empfehlung ist für die folgenden Schwerpunktbereiche relevant:

• Sichere Infrastruktur
• Identitäts- und Zugriffsverwaltung
• Datensicherheit
• Anwendungssicherheit
• Sicherheit von KI und ML

Die Verwendung sicherer Systeme und validierter Tools und Artefakte in KI-basierten Anwendungen entspricht dem SAIF-Element, das sich auf die Ausweitung starker Sicherheitsgrundlagen auf das KI-Ökosystem und die Lieferkette bezieht. Diese Empfehlung kann durch die folgenden Schritte umgesetzt werden:

• Sichere Umgebung für ML-Training und ‑Bereitstellung implementieren
• Validierte Container-Images verwenden
• Supply Chain Levels for Software Artifacts (SLSA)-Richtlinien anwenden

Eingaben schützen und überwachen

Diese Empfehlung ist für die folgenden Schwerpunktbereiche relevant:

• Logging, Auditing und Monitoring
• Sicherheitsabläufe
• Sicherheit von KI und ML

Diese Empfehlung entspricht dem SAIF-Element zur Ausweitung der Bedrohungserkennung und ‑abwehr, damit sich Unternehmen mithilfe von KI vor Bedrohungen schützen können. Um Probleme zu vermeiden, ist es wichtig, Prompts für generative KI-Systeme zu verwalten, Eingaben zu überwachen und den Nutzerzugriff zu steuern.

Empfehlungen für die KI-Governance

Alle Empfehlungen in diesem Abschnitt beziehen sich auf den folgenden Fokusbereich: Cloud Governance, Risiko und Compliance.

Google Cloud bietet eine Vielzahl von Tools und Diensten, mit denen Sie verantwortungsbewusste und ethische KI-Systeme entwickeln können. Wir bieten auch ein Framework aus Richtlinien, Verfahren und ethischen Erwägungen, das die Entwicklung, Bereitstellung und Nutzung von KI-Systemen leiten kann.

Wie in unseren Empfehlungen dargelegt, basiert der Ansatz von Google für die KI-Governance auf den folgenden Grundsätzen:

• Fairness
• Transparenz
• Rechenschaftspflicht
• Datenschutz
• Sicherheit

Fairnessindikatoren verwenden

Mit Vertex AI lassen sich Verzerrungen während der Datenerfassung oder der Bewertung nach dem Training erkennen. Vertex AI bietet Messwerte für die Modellbewertung wie Datenverzerrung und Modellverzerrung, mit denen Sie Ihr Modell auf Verzerrungen bewerten können.

Diese Messwerte beziehen sich auf die Fairness in verschiedenen Kategorien wie Rasse, Geschlecht und Klasse. Die Interpretation statistischer Abweichungen ist jedoch nicht einfach, da Unterschiede zwischen Kategorien möglicherweise nicht auf Bias oder Schäden zurückzuführen sind.

Vertex Explainable AI verwenden

Mit Vertex Explainable AI können Sie nachvollziehen, wie die KI-Modelle Entscheidungen treffen. Mit dieser Funktion können Sie potenzielle Verzerrungen erkennen, die in der Logik des Modells verborgen sein könnten.

Diese Funktion zur Erklärbarkeit ist in BigQuery ML und Vertex AI integriert und bietet featurebasierte Erklärungen. Sie können die Erklärbarkeit entweder in BigQuery ML oder in Vertex AI durchführen, nachdem Sie Ihr Modell in Vertex AI registriert haben.

Datenherkunft verfolgen

Nachverfolgen des Ursprungs und der Transformation von Daten, die in Ihren KI-Systemen verwendet werden So können Sie nachvollziehen, wie die Daten erfasst werden, und potenzielle Quellen für Bias oder Fehler identifizieren.

Die Datenherkunft ist eine Dataplex Universal Catalog-Funktion, mit der Sie verfolgen können, wie sich Daten durch Ihre Systeme bewegen – woher sie kommen, wohin sie übergeben werden und welche Transformationen auf sie angewendet werden.

Verantwortlichkeit festlegen

Legen Sie klare Verantwortlichkeiten für die Entwicklung, Bereitstellung und Ergebnisse Ihrer KI-Systeme fest.

Verwenden Sie Cloud Logging, um wichtige Ereignisse und Entscheidungen Ihrer KI-Systeme zu protokollieren. Die Protokolle bieten einen Prüfpfad, mit dem Sie die Leistung des Systems nachvollziehen und verbesserungswürdige Bereiche ermitteln können.

Verwenden Sie Error Reporting, um Fehler, die von den KI-Systemen gemacht wurden, systematisch zu analysieren. Diese Analyse kann Muster aufdecken, die auf zugrunde liegende Verzerrungen oder Bereiche hinweisen, in denen das Modell weiter verfeinert werden muss.

Differential Privacy implementieren

Während des Modelltrainings fügen wir den Daten Rauschen hinzu, um die Identifizierung einzelner Datenpunkte zu erschweren, aber dem Modell dennoch ein effektives Lernen zu ermöglichen. Mit SQL in BigQuery können Sie die Ergebnisse einer Abfrage mit differenziell privaten Aggregationen transformieren.

KI für Sicherheit nutzen

Dieses Prinzip im Sicherheitsbereich des Google Cloud Well-Architected Framework enthält Empfehlungen zur Verwendung von KI, um die Sicherheit Ihrer Cloud-Arbeitslasten zu verbessern.

Angesichts der zunehmenden Anzahl und Raffinesse von Cyberangriffen ist es wichtig, das Potenzial von KI zur Verbesserung der Sicherheit zu nutzen. KI kann dazu beitragen, die Anzahl der Bedrohungen zu verringern, den manuellen Aufwand für Sicherheitsexperten zu reduzieren und den Mangel an Experten im Bereich der Cybersicherheit auszugleichen.

Übersicht über die Grundsätze

Nutzen Sie KI-Funktionen, um Ihre bestehenden Sicherheitssysteme und ‑prozesse zu verbessern. Sie können Gemini in Security sowie die integrierten KI-Funktionen verwenden, die in Google Cloud Dienste integriert sind.

Diese KI-Funktionen können die Sicherheit transformieren, indem sie in jeder Phase des Sicherheitslebenszyklus Unterstützung bieten. Sie können KI beispielsweise für Folgendes verwenden:

• Potenziell schädlichen Code analysieren und erklären, ohne Reverse Engineering durchzuführen.
• Routineaufgaben für Cybersicherheitsexperten reduzieren.
• Abfragen in natürlicher Sprache generieren und mit Sicherheitsereignisdaten interagieren
• Kontextinformationen anzeigen
• Empfehlungen für schnelle Antworten geben.
• Unterstützung bei der Behebung von Ereignissen
• Fassen Sie besonders wichtige Benachrichtigungen zu Fehlkonfigurationen und Sicherheitslücken zusammen, heben Sie potenzielle Auswirkungen hervor und empfehlen Sie Maßnahmen zur Risikominderung.

Sicherheitsautonomie

KI und Automatisierung können Ihnen helfen, bessere Sicherheitsergebnisse zu erzielen, wenn Sie mit sich ständig weiterentwickelnden Cyber-Sicherheitsbedrohungen zu tun haben. Durch den Einsatz von KI für die Sicherheit können Sie ein höheres Maß an Autonomie erreichen, um Bedrohungen zu erkennen und zu verhindern und Ihren allgemeinen Sicherheitsstatus zu verbessern. Google definiert vier Autonomiestufen für den Einsatz von KI für die Sicherheit. Sie beschreiben die zunehmende Rolle von KI bei der Unterstützung und schließlich der Durchführung von Sicherheitsaufgaben:

1. Manuell: Menschen führen alle Sicherheitsaufgaben (Verhindern, Erkennen, Priorisieren und Reagieren) über den gesamten Sicherheitslebenszyklus hinweg aus.
2. Unterstützt: KI-Tools wie Gemini steigern die menschliche Produktivität, indem sie Informationen zusammenfassen, Erkenntnisse generieren und Empfehlungen aussprechen.
3. Teilautonom: KI übernimmt die primäre Verantwortung für viele Sicherheitsaufgaben und delegiert nur bei Bedarf an Menschen.
4. Autonom: KI fungiert als vertrauenswürdiger Assistent, der den Sicherheitslebenszyklus basierend auf den Zielen und Einstellungen Ihrer Organisation mit minimalem menschlichen Eingriff steuert.

Empfehlungen

In den folgenden Abschnitten werden die Empfehlungen für die Verwendung von KI für die Sicherheit beschrieben. In den Abschnitten wird auch angegeben, wie die Empfehlungen mit den Kernelementen des Secure AI Framework (SAIF) von Google übereinstimmen und wie sie für die Sicherheitsautonomiestufen relevant sind.

• Bedrohungserkennung und ‑abwehr mit KI verbessern
• Sicherheit für Experten und Nicht-Experten vereinfachen
• Zeitaufwendige Sicherheitsaufgaben mit KI automatisieren
• KI in Risikomanagement- und Governance-Prozesse einbinden
• Sichere Entwicklungspraktiken für KI-Systeme implementieren

Bedrohungserkennung und ‑abwehr mit KI verbessern

Diese Empfehlung ist für die folgenden Schwerpunktbereiche relevant:

• Security Operations (SecOps)
• Logging, Auditing und Monitoring

KI kann große Mengen an Sicherheitsdaten analysieren, Einblicke in das Verhalten von Bedrohungsakteuren bieten und die Analyse von potenziell schädlichem Code automatisieren. Diese Empfehlung entspricht den folgenden SAIF-Elementen:

• Bedrohungserkennung und ‑abwehr auf KI ausweiten
• Schutzmaßnahmen gegen bestehende und sich ständig weiterentwickelnde Bedrohungen automatisieren

Je nach Implementierung kann diese Empfehlung für die folgenden Autonomiestufen relevant sein:

• Unterstützt: KI hilft bei der Bedrohungsanalyse und ‑erkennung.
• Halbautonom: KI übernimmt mehr Verantwortung für die Sicherheitsaufgabe.

Google Threat Intelligence, das KI zur Analyse des Verhaltens von Bedrohungsakteuren und von schädlichem Code verwendet, kann Ihnen bei der Umsetzung dieser Empfehlung helfen.

Sicherheit für Experten und Nicht-Experten vereinfachen

Diese Empfehlung ist für die folgenden Schwerpunktbereiche relevant:

• Security Operations (SecOps)
• Cloud-Governance, ‑Risiko und ‑Compliance

KI-gestützte Tools können Warnungen zusammenfassen und Gegenmaßnahmen empfehlen. So kann Sicherheit für eine größere Bandbreite von Mitarbeitern zugänglicher gemacht werden. Diese Empfehlung entspricht den folgenden SAIF-Elementen:

• Schutzmaßnahmen gegen bestehende und sich ständig weiterentwickelnde Bedrohungen automatisieren
• Einstellungen auf Plattformebene optimieren, um die Sicherheit im gesamten Unternehmen zu verbessern.

Je nach Implementierung kann diese Empfehlung für die folgenden Autonomiestufen relevant sein:

• Unterstützt: KI hilft Ihnen, die Barrierefreiheit von Sicherheitsinformationen zu verbessern.
• Halbautonom: KI trägt dazu bei, dass Sicherheitsmaßnahmen für alle Nutzer effektiver werden.

Gemini in Security Command Center kann Zusammenfassungen von Benachrichtigungen zu Fehlkonfigurationen und Sicherheitslücken erstellen.

Zeitaufwendige Sicherheitsaufgaben mit KI automatisieren

Diese Empfehlung ist für die folgenden Schwerpunktbereiche relevant:

• Sichere Infrastruktur
• Security Operations (SecOps)
• Anwendungssicherheit

KI kann Aufgaben wie die Analyse von Malware, das Generieren von Sicherheitsregeln und das Erkennen von Fehlkonfigurationen automatisieren. Diese Funktionen können die Arbeitsbelastung von Sicherheitsteams verringern und die Reaktionszeiten beschleunigen. Diese Empfehlung entspricht dem SAIF-Element zur Automatisierung von Schutzmaßnahmen, um mit bestehenden und neuen Bedrohungen Schritt zu halten.

Je nach Implementierung kann diese Empfehlung für die folgenden Autonomiestufen relevant sein:

• Unterstützt: KI hilft Ihnen, Aufgaben zu automatisieren.
• Teilautonom: KI übernimmt die primäre Verantwortung für Sicherheitsaufgaben und fordert nur bei Bedarf menschliche Unterstützung an.

Gemini in Google SecOps kann Analysten unterstützen, relevanten Kontext abrufen und Empfehlungen für die nächsten Schritte geben, um Aufgaben mit hohem Aufwand zu automatisieren.

KI in Risikomanagement- und Governance-Prozesse einbinden

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Cloud Governance, Risiko und Compliance.

Sie können KI verwenden, um ein Modellinventar und Risikoprofile zu erstellen. Sie können KI auch verwenden, um Richtlinien für Datenschutz, Cyberrisiko und Drittanbieterrisiko zu implementieren. Diese Empfehlung entspricht dem SAIF-Element zur Kontextualisierung von KI-Systemrisiken in den zugehörigen Geschäftsprozessen.

Je nach Implementierung kann diese Empfehlung für das halbautonome Autonomielevel relevant sein. Auf dieser Ebene kann KI Sicherheitsagenten orchestrieren, die Prozesse ausführen, um Ihre benutzerdefinierten Sicherheitsziele zu erreichen.

Sichere Entwicklungspraktiken für KI‑Systeme implementieren

Diese Empfehlung ist für die folgenden Schwerpunktbereiche relevant:

• Anwendungssicherheit
• Sicherheit von KI und ML

Sie können KI für sicheres Programmieren, Bereinigen von Trainingsdaten und Validieren von Tools und Artefakten verwenden. Diese Empfehlung entspricht dem SAIF-Element zur Ausweitung starker Sicherheitsgrundlagen auf das KI-Ökosystem.

Diese Empfehlung kann für alle Stufen der Sicherheitsautonomie relevant sein, da ein sicheres KI-System vorhanden sein muss, bevor KI effektiv für die Sicherheit eingesetzt werden kann. Die Empfehlung ist am relevantesten für die unterstützte Stufe, in der Sicherheitsmaßnahmen durch KI ergänzt werden.

Um diese Empfehlung umzusetzen, folgen Sie den Supply-chain Levels for Software Artifacts (SLSA)-Richtlinien für KI-Artefakte und verwenden Sie validierte Container-Images.

Behörden-, Compliance- und Datenschutzanforderungen erfüllen

Dieses Prinzip in der Sicherheitsspalte des Google Cloud Well-Architected Framework hilft Ihnen, die gesetzlichen, Compliance- und Datenschutzanforderungen für Cloud-Bereitstellungen zu ermitteln und zu erfüllen. Diese Anforderungen beeinflussen viele der Entscheidungen, die Sie hinsichtlich der Sicherheitskontrollen treffen müssen, die für Ihre Arbeitslasten inGoogle Cloudverwendet werden müssen.

Übersicht über die Grundsätze

Die Einhaltung von behördlichen, Compliance- und Datenschutzanforderungen ist eine unvermeidliche Herausforderung für alle Unternehmen. Die aufsichtsrechtlichen Anforderungen an die Cloud hängen von mehreren Faktoren ab, darunter:

• Die Gesetze und Bestimmungen, die für die physischen Standorte Ihrer Organisation gelten
• Die Gesetze und Bestimmungen, die für die physischen Standorte Ihrer Kunden gelten
• Die aufsichtsrechtlichen Anforderungen Ihrer Branche

Datenschutzbestimmungen definieren, wie Sie die Daten Ihrer Nutzer abrufen, verarbeiten, speichern und verwalten dürfen. Sie sind Eigentümer Ihrer Daten, einschließlich der Daten, die Sie von Ihren Nutzern erhalten. Daher liegen viele Datenschutzeinstellungen in Ihrer Verantwortung, einschließlich der Einstellungen für Cookies, Sitzungsverwaltung und Erhalt von Nutzerberechtigungen.

Die Empfehlungen zur Umsetzung dieses Grundsatzes sind in den folgenden Abschnitten zusammengefasst:

• Empfehlungen zur Bewältigung von Organisationsrisiken
• Empfehlungen zur Einhaltung gesetzlicher Auflagen und Compliance-Anforderungen
• Empfehlungen zum Verwalten Ihrer Datenhoheit
• Empfehlungen zur Einhaltung von Datenschutzanforderungen

Empfehlungen zur Bewältigung von Organisationsrisiken

In diesem Abschnitt finden Sie Empfehlungen, mit denen Sie Risiken für Ihre Organisation erkennen und angehen können.

Risiken für Ihre Organisation erkennen

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Cloud Governance, Risiko und Compliance.

Bevor Sie Ressourcen auf Google Clouderstellen und bereitstellen, führen Sie eine Risikobewertung durch. Bei dieser Bewertung sollten Sie ermitteln, welche Sicherheitsfunktionen Sie benötigen, um Ihre internen Sicherheitsanforderungen und externen gesetzlichen Anforderungen zu erfüllen.

Die Risikobewertung liefert eine Auflistung aller organisationsspezifischen Risiken und Informationen dazu, in welchem Maße Ihr Unternehmen in der Lage ist, Sicherheitsbedrohungen zu erkennen und ihnen entgegenzuwirken. Sie müssen eine Risikoanalyse unmittelbar nach der Bereitstellung und immer dann durchführen, wenn sich Ihre geschäftlichen Anforderungen, die gesetzlichen Vorschriften oder die Bedrohungen für Ihre Organisation ändern.

Wie im Grundsatz Sicherheit durch Design implementieren erwähnt, unterscheiden sich Ihre Sicherheitsrisiken in einer Cloudumgebung von lokalen Risiken. Dieser Unterschied ist auf das Modell der geteilten Verantwortung in der Cloud zurückzuführen, das je nach Dienst (IaaS, PaaS oder SaaS) und Nutzung variiert. Verwenden Sie ein cloudspezifisches Framework zur Risikobewertung wie die Cloud Controls Matrix (CCM). Verwenden Sie Bedrohungsmodelle wie OWASP Application Threat Modeling, um Sicherheitslücken zu identifizieren und zu beheben. Wenn Sie fachkundige Unterstützung bei Risikobewertungen benötigen, wenden Sie sich an Ihren Google-Kundenbetreuer oder sehen Sie im Partnerverzeichnis von Google Cloudnach.

Nachdem Sie die Risiken katalogisiert haben, müssen Sie festlegen, wie Sie auf diese reagieren möchten, d. h. ob Sie sie akzeptieren, vermeiden, übertragen oder minimieren möchten. Informationen zu Sicherheitskontrollen, die Sie implementieren können, finden Sie im nächsten Abschnitt zur Risikominderung.

Risiken minimieren

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Cloud Governance, Risiko und Compliance.

Wenn Sie neue öffentliche Cloud-Dienste einführen, können Sie Risiken mithilfe von technischen Kontrollen, vertraglichen Schutzmaßnahmen sowie Prüfungen oder Attestierungen von Drittanbietern minimieren.

Technische Steuerelemente sind Funktionen und Technologien, mit denen Sie Ihre Umgebung schützen. Dazu gehören integrierte Cloud-Sicherheitskontrollen wie Firewalls und Logging. Technische Kontrollen können auch die Verwendung von Drittanbietertools umfassen, um Ihre Sicherheitsstrategie zu stärken oder zu unterstützen. Es gibt zwei Kategorien technischer Steuerelemente:

• Sie können die Sicherheitskontrollen von Google Cloudimplementieren, um die Risiken zu minimieren, die für Ihre Umgebung gelten. Sie können beispielsweise die Verbindung zwischen Ihren lokalen Netzwerken und Ihren Cloud-Netzwerken mit Cloud VPN und Cloud Interconnect schützen.
• Google umfasst robuste interne Kontrollmechanismen und Prüfungen, um den Zugriff auf Kundendaten durch Insider zu schützen. Unsere Audit-Logs bieten Ihnen nahezu in Echtzeit Logs über den Google-Administratorzugriff auf Google Cloud.

Vertragliche Schutzmaßnahmen beziehen sich auf die rechtlichen Verpflichtungen, die wir in Bezug aufGoogle Cloud -Dienste eingehen. Google Cloud setzt sich für die Erhaltung und Erweiterung des Compliance-Portfolios ein. Im Zusatz zur Verarbeitung von Cloud-Daten sind unsere Verpflichtungen in Bezug auf die Verarbeitung und Sicherheit Ihrer Daten beschrieben. Das CDPA beschreibt außerdem die Zugriffssteuerungen, die den Zugriff durch Entwickler des Google-Supports auf die Umgebungen von Kunden beschränken, und beschreibt unser strenges Logging und einen Genehmigungsprozess. Wir empfehlen Ihnen, die vertraglichen Kontrollen von Google Cloudmit Ihren Rechts- und Regulierungsexperten zu prüfen und zu bestätigen, dass sie Ihren Anforderungen entsprechen. Wenn Sie weitere Informationen benötigen, wenden Sie sich an Ihren technischen Kundenbetreuer.

Überprüfungen oder Bescheinigungen von Drittanbietern beziehen sich darauf, dass ein Drittanbieter den Cloud-Anbieter prüft, um sicherzustellen, dass der Anbieter die Compliance-Anforderungen erfüllt. Informationen zu Google Cloud Bestätigungen in Bezug auf die ISO/IEC 27017-Richtlinien finden Sie unter ISO/IEC 27017 – Compliance. Die aktuellen Google Cloud -Zertifizierungen und ‑Bescheinigungen finden Sie im Center für Compliance-Ressourcen.

Empfehlungen zur Einhaltung gesetzlicher Auflagen und Compliance-Anforderungen

Ein typisches Compliance-Verfahren besteht aus drei Phasen: Bewertung, Lückenbeseitigung und kontinuierliches Monitoring. In diesem Abschnitt finden Sie Empfehlungen, die Sie in jeder dieser Phasen anwenden können.

Compliance-Anforderungen ermitteln

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Cloud Governance, Risiko und Compliance.

Die Compliance-Bewertung beginnt mit einer gründlichen Prüfung aller regulatorischen Verpflichtungen und ihrer Implementierung in Ihrem Unternehmen. Verwenden Sie das Center für Compliance-Ressourcen, um Hilfe bei der Bewertung von Google Cloud -Diensten zu erhalten. Auf dieser Website finden Sie Informationen zu folgenden Themen:

• Dienstunterstützung für verschiedene Vorschriften
• Google Cloud Zertifizierungen und Attestierungen

Wenn Sie mehr über den Compliance-Lebenszyklus bei Google und darüber erfahren möchten, wie Ihre Anforderungen erfüllt werden können, wenden Sie sich an das Vertriebsteam, um Hilfe von einem Compliance-Experten von Google zu erhalten. Alternativ können Sie sich an IhrenGoogle Cloud -Account Manager wenden, um einen Compliance-Workshop anzufordern.

Weitere Informationen zu Tools und Ressourcen, mit denen Sie Sicherheit und Compliance für Google Cloud Arbeitslasten verwalten können, finden Sie unter Compliance in der Cloud gewährleisten.

Implementierung von Complianceanforderungen automatisieren

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Cloud Governance, Risiko und Compliance.

Prüfen Sie, ob es Möglichkeiten gibt, die Umsetzung von Compliance-Anforderungen zu automatisieren, um die Einhaltung von sich ändernden Vorschriften zu gewährleisten. Sie können sowohl die Compliance-orientierten Funktionen von Google Cloud als auch Blueprints mit empfohlenen Konfigurationen für ein bestimmtes Compliance-Regime verwenden.

Assured Workloads basiert auf den Einstellungen in Google Cloud und hilft Ihnen, Ihre Compliance-Verpflichtungen zu erfüllen. Assured Workloads bietet folgende Möglichkeiten:

• Wählen Sie Ihre Compliance-Richtlinie aus. Das Tool legt dann die grundlegenden Zugriffsrechte für Mitarbeiter für das ausgewählte Regime automatisch fest.
• Legen Sie den Speicherort für Ihre Daten mithilfe von Organisationsrichtlinien fest, damit Ihre ruhenden Daten und Ihre Ressourcen in dieser Region verbleiben.
• Wählen Sie die Option zur Schlüsselverwaltung (z. B. den Schlüsselrotationszeitraum) aus, die Ihren Sicherheits- und Compliance-Anforderungen am besten entspricht.
• Wählen Sie die Zugriffskriterien für Google-Supportmitarbeiter aus, um bestimmte aufsichtsrechtliche Anforderungen wie FedRAMP Moderate zu erfüllen. Sie können beispielsweise auswählen, ob Google-Supportmitarbeiter die entsprechenden Zuverlässigkeitsüberprüfungen absolviert haben.
• Verwenden Sie Google-owned and Google-managed encryption keys , die FIPS 140-2-konform sind und die FedRAMP Moderate-Compliance unterstützen. Für eine zusätzliche Kontrollebene und Aufgabentrennung können Sie vom Kunden verwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEKs) verwenden. Weitere Informationen zu Schlüsseln finden Sie unter Ruhende und übertragene Daten verschlüsseln.

Zusätzlich zu Assured Workloads können Sie Google CloudBlueprints verwenden, die für Ihr Compliance-System relevant sind. Sie können diese Blueprints ändern, um Ihre Sicherheitsrichtlinien in Ihre Infrastrukturbereitstellungen zu integrieren.

Die Blueprints und Lösungsleitfäden von Google enthalten empfohlene Konfigurationen und Terraform-Module, die Ihnen helfen, eine Umgebung zu erstellen, die Ihre Compliance-Anforderungen erfüllt. In der folgenden Tabelle sind Blueprints aufgeführt, die die Sicherheit und die Einhaltung von Compliance-Anforderungen betreffen.

Anforderung	Blueprints und Lösungsleitfäden
FedRAMP	Google Cloud FedRAMP-Implementierungsleitfaden Dreistufige FedRAMP-konforme Arbeitslast in Google Cloud einrichten
HIPAA	Schutz von Gesundheitsdaten auf Google Cloud HIPAA-konforme Arbeitslast mit Data Protection Toolkit einrichten

Compliance überwachen

Diese Empfehlung ist für die folgenden Schwerpunktbereiche relevant:

• Cloud-Governance, ‑Risiko und ‑Compliance
• Logging, Überwachung und Prüfung

Bei den meisten Vorschriften müssen Sie bestimmte Aktivitäten, einschließlich des Zugriffs, überwachen. Folgendes können Sie beim Monitoring als Hilfe verwenden:

• Access Transparency: Sie können Logs nahezu in Echtzeit abrufen, wenn Google Cloud -Administratoren auf Ihre Inhalte zugreifen.
• Logging von Firewallregeln: Aufzeichnen von TCP- und UDP-Verbindungen in einem VPC-Netzwerk für alle Regeln, die Sie erstellen. Diese Logs können nützlich sein, um den Netzwerkzugriff zu prüfen oder frühzeitig auf eine unzulässige Netzwerknutzung hinzuweisen.
• VPC-Flusslogs: Erfassen Netzwerk-Traffic, der von VM-Instanzen gesendet oder empfangen wird.
• Security Command Center Premium: Compliance mit verschiedenen Standards überwachen.
• OSSEC (oder ein anderes Open-Source-Tool): Loggen Sie die Aktivitäten von Personen mit Administratorzugriff auf Ihre Umgebung.
• Key Access Justifications: Hier können Sie die Gründe für eine Schlüsselzugriffsanfrage aufrufen.
• Security Command Center-Benachrichtigungen: Sie erhalten Benachrichtigungen, wenn Probleme mit der Compliance auftreten. Sie können beispielsweise Benachrichtigungen erhalten, wenn Nutzer die Bestätigung in zwei Schritten deaktivieren oder wenn Dienstkonten überprivilegiert sind. Sie können auch die automatische Korrektur für bestimmte Benachrichtigungen einrichten.

Empfehlungen zur Verwaltung Ihrer Datenhoheit

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Cloud Governance, Risiko und Compliance.

Datenhoheit bietet Ihnen einen Mechanismus, durch den Google nicht auf Ihre Daten zugreifen kann. Sie genehmigen den Zugriff nur für Anbieterverhalten, dem Sie zustimmen. Beispielsweise können Sie Ihre Datenhoheit so verwalten:

• Verschlüsselungsschlüssel außerhalb der Cloud speichern und verwalten
• Zugriff auf diese Schlüssel basierend auf detaillierten Zugriffsbegründungen gewähren
• Aktive Daten mit Confidential Computing schützen

Betriebshoheit verwalten

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Cloud Governance, Risiko und Compliance.

Die Betriebshoheit sorgt dafür, dass Google-Mitarbeiter Ihre Arbeitslasten nicht beeinträchtigen können. Beispielsweise können Sie die Betriebshoheit auf folgende Weise verwalten:

• Bereitstellung neuer Ressourcen auf bestimmte Anbieterregionen beschränken
• Zugriff von Google-Mitarbeitern anhand vordefinierter Attribute wie der Staatsbürgerschaft oder dem geografischen Standort beschränken

Softwarehoheit verwalten

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Cloud Governance, Risiko und Compliance.

Die Softwarehoheit bietet Ihnen die Sicherheit, dass Sie die Verfügbarkeit Ihrer Arbeitslasten steuern und sie überall ausführen können. Außerdem können Sie diese Kontrolle ausüben, ohne von einem einzelnen Cloud-Anbieter abhängig zu sein oder an ihn gebunden zu sein. Die Softwarehoheit umfasst die Fähigkeit, Ereignisse zu überstehen, bei denen Sie schnell ändern müssen, wo Ihre Arbeitslasten bereitgestellt werden und welches Maß an externer Verbindung zulässig ist.

Um Ihnen beispielsweise bei der Verwaltung Ihrer Softwarehoheit zu helfen, unterstützt Google CloudHybrid- und Multi-Cloud-Bereitstellungen. Außerdem können Sie mit GKE Enterprise Ihre Anwendungen sowohl in Cloud- als auch in lokalen Umgebungen verwalten und bereitstellen. Wenn Sie aus Gründen der Datenhoheit lokale Bereitstellungen für Daten auswählen, ist Google Distributed Cloud eine Kombination aus Hardware und Software, die Google Cloud in Ihr Rechenzentrum bringt.

Empfehlungen zur Einhaltung von Datenschutzanforderungen

Google Cloud umfasst die folgenden Kontrollen, die den Datenschutz fördern:

• Standardverschlüsselung aller Daten, wenn sie inaktiv sind, übertragen werden und während sie verarbeitet werden.
• Schutzmaßnahmen vor Insiderzugriffen.
• Unterstützung zahlreicher Datenschutzbestimmungen.

Die folgenden Empfehlungen beziehen sich auf zusätzliche Kontrollfunktionen, die Sie implementieren können. Weitere Informationen finden Sie im Datenschutz-Center.

Datenstandort steuern

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Cloud Governance, Risiko und Compliance.

Mit Datenstandort wird beschrieben, wo Ihre inaktiven Daten gespeichert werden. Die Anforderungen an den Datenstandort hängen von den Zielsetzungen von Systemdesigns, branchenüblichen Vorschriften, nationalen Gesetzen, Steuerbelangen und sogar der Kultur ab.

Die Steuerung des Datenstandorts beginnt mit Folgendem:

• Datentyp und Speicherort verstehen
• Bestimmen Sie, welche Risiken für Ihre Daten bestehen und welche Gesetze und Vorschriften gelten.
• Kontrolle darüber, wo Ihre Daten gespeichert werden oder wohin sie übertragen werden

Damit Sie die Anforderungen an den Datenstandort erfüllen können,können Sie in Google Cloud steuern, wo Ihre Daten gespeichert werden, wie auf sie zugegriffen wird und wie sie verarbeitet werden. Mit Richtlinien für Ressourcenstandorte können Sie einschränken, wo Ressourcen erstellt werden, und begrenzen, wo Daten zwischen Regionen repliziert werden. Mit dem Standortattribut einer Ressource lässt sich angeben, wo der Dienst bereitgestellt wird und wer ihn verwaltet. Weitere Informationen finden Sie unter Unterstützte Dienste für Ressourcenstandorte.

Vertrauliche Daten klassifizieren

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Datensicherheit.

Sie müssen festlegen, welche Daten vertraulich sind, und dann dafür sorgen, dass die vertraulichen Daten ordnungsgemäß geschützt werden. Vertrauliche Daten können Kreditkartennummern, Adressen, Telefonnummern und andere personenidentifizierbare Informationen sein. Mit dem Schutz sensibler Daten können Sie geeignete Klassifizierungen einrichten. Sie können dann Ihre Daten taggen und tokenisieren, bevor Sie sie in Google Cloudspeichern. Außerdem bietet Dataplex Universal Catalog einen Katalog-Dienst, der eine Plattform zum Speichern, Verwalten und Abrufen Ihrer Metadaten bietet. Weitere Informationen und ein Beispiel für die Datenklassifizierung und ‑de-identifizierung finden Sie unter Personenidentifizierbare Informationen mit Schutz sensibler Daten de-identifizieren und re-identifizieren.

Zugriff auf sensible Daten sperren

Diese Empfehlung ist für die folgenden Schwerpunktbereiche relevant:

• Datensicherheit
• Identitäts- und Zugriffsverwaltung

Sensible Daten mithilfe von VPC Service Controls in einem eigenen Dienstperimeter platzieren Mit VPC Service Controls verringern Sie das Risiko unerlaubten Kopierens oder unbefugten Übertragens von Daten (Daten-Exfiltration) aus von Google verwalteten Diensten. Sie können Sicherheitsperimeter für die Ressourcen Ihrer von Google verwalteten Dienste konfigurieren und die Übertragung von Daten in und aus dem Perimeter steuern. Legen Sie für diese Daten die Zugriffssteuerung der Google Identitäts- und Zugriffsverwaltung (Google Identity and Access Management, IAM) fest. Konfigurieren Sie die Multi-Faktor-Authentifizierung (MFA) für alle Nutzer, die Zugriff auf vertrauliche Daten benötigen.

Geteilte Verantwortung und Fate-Sharing in Google Cloud

In diesem Dokument werden die Unterschiede zwischen dem Modell der geteilten Verantwortung und dem Fate-Sharing in Google Cloudbeschrieben. Darin werden die Herausforderungen und Nuancen des Modells der geteilten Verantwortung erläutert. In diesem Dokument wird beschrieben, was Fate-Sharing ist und wie wir gemeinsam mit unseren Kunden an der Herausforderung der Cloud-Sicherheit arbeiten.

Das Modell der geteilten Verantwortung ist wichtig, um zu bestimmen, wie Sie Ihre Daten und Arbeitslasten in Google Cloudam besten schützen. Das Modell der geteilten Verantwortung beschreibt die Aufgaben, die Sie in puncto Sicherheit in der Cloud haben, und wie sich diese Aufgaben für Cloudanbieter unterscheiden.

Es ist jedoch nicht immer einfach, die geteilte Verantwortung zu verstehen. Das Modell erfordert ein umfassendes Verständnis jedes von Ihnen verwendeten Dienstes, die Konfigurationsoptionen, die jeder Dienst bereitstellt, und die Maßnahmen, die Google Cloudzum Schutz des Dienstes unternimmt. Jeder Dienst hat ein anderes Konfigurationsprofil und es kann schwierig sein, die beste Sicherheitskonfiguration zu ermitteln. Google ist der Meinung, dass das Modell der geteilten Verantwortung nicht hilft, Cloud-Kunden dabei zu unterstützen, bessere Sicherheitsergebnisse zu erzielen. Anstelle von geteilter Verantwortung setzen wir auf Fate-Sharing.

Fate-Sharing umfasst das Erstellen und Betreiben einer vertrauenswürdigen Cloud-Plattform für Ihre Arbeitslasten. Wir bieten Best Practice-Anleitungen und sicheren, bestätigten Infrastrukturcode, mit dem Sie Ihre Arbeitslasten sicher bereitstellen können. Wir veröffentlichen Lösungen, die verschiedene Google Cloud -Dienste kombinieren, um komplexe Sicherheitsprobleme zu beheben. Darüber hinaus bieten wir innovative Versicherungsoptionen, mit denen Sie die zu akzeptierenden Risiken messen und minimieren können. Fate-Sharing erfordert eine engere Interaktion mit Ihnen, wenn Sie Ihre Ressourcen inGoogle Cloudschützen.

Geteilte Verantwortung

Sie sind der Experte für die Sicherheits- und behördlichen Anforderungen an Ihr Unternehmen und für die Anforderungen zum Schutz vertraulicher Daten und Ressourcen. Wenn Sie Ihre Arbeitslasten in Google Cloudausführen, müssen Sie die Sicherheitskontrollen ermitteln, die Sie in Google Cloud konfigurieren müssen, um Ihre vertraulichen Daten und jede Arbeitslast zu schützen. Um zu entscheiden, welche Sicherheitskontrollen implementiert werden sollen, müssen Sie die folgenden Faktoren berücksichtigen:

• Die für Sie geltenden gesetzlichen Vorschriften
• Sicherheitsstandards und Risikomanagementplan Ihrer Organisation
• Sicherheitsanforderungen Ihrer Kunden und Anbieter

Durch Arbeitslasten definiert

Üblicherweise werden Verantwortlichkeiten basierend auf der Art der ausgeführten Arbeitslast und den erforderlichen Cloud-Diensten definiert. Cloud-Dienste umfassen die folgenden Kategorien:

Clouddienst	Beschreibung
Infrastructure as a Service (IaaS)	Zu den IaaS-Diensten gehören Compute Engine, Cloud Storage sowie Netzwerkdienste wie Cloud VPN, Cloud-Load-Balancing undCloud DNS. IaaS bietet Computing-, Speicher- und Netzwerkdienste on demand mit „Pay as you go“-Preise. Sie können IaaS verwenden, wenn Sie eine vorhandene lokale Arbeitslast mithilfe von Lift-and-Shift zur Cloud migrieren möchten oder wenn Sie Ihre Anwendung auf bestimmten VMs mit bestimmten Datenbanken oder Netzwerkkonfigurationen ausführen möchten. Bei IaaS liegt der Großteil der Sicherheitsaufgaben bei Ihnen und unsere Verantwortlichkeiten konzentrieren sich auf die zugrunde liegende Infrastruktur und physische Sicherheit.
Platform as a service (PaaS)	Zu den PaaS-Diensten gehören App Engine, Google Kubernetes Engine (GKE) und BigQuery. PaaS bietet die Laufzeitumgebung, in der Sie Anwendungen entwickeln und ausführen können. Sie können PaaS verwenden, wenn Sie eine Anwendung erstellen (z. B. eine Website) und sich auf die Entwicklung statt auf die zugrunde liegende Infrastruktur konzentrieren möchten. Bei PaaS sind wir für mehr Kontrolle als bei IaaS verantwortlich. Das hängt in der Regel von den von Ihnen verwendeten Diensten und Funktionen ab. Sie übernehmen die Verantwortung für Kontrollen auf Anwendungsebene und für die IAM-Verwaltung. Sie sind für die Datensicherheit und den Clientschutz verantwortlich.
Software as a Service (SaaS)	SaaS-Anwendungen umfassen Google Workspace, Google Security Operations und SaaS-Anwendungen von Drittanbietern im Google Cloud Marketplace. SaaS stellt Onlineanwendungen bereit, die Sie abonnieren oder bezahlen können. Sie können SaaS-Anwendungen verwenden, wenn Ihr Unternehmen nicht die internen Fachkenntnisse oder die Geschäftsanforderungen zum Erstellen der Anwendung hat, aber die Möglichkeit erfordert, Arbeitslasten zu verarbeiten. Bei SaaS sind wir für den Großteil der Sicherheitsaufgaben zuständig. Sie sind weiterhin für Ihre Zugriffssteuerung und die Daten verantwortlich, die Sie in der Anwendung speichern.
FaaS (Function as a Service) oder serverlos	FaaS bietet Entwicklern eine Plattform für die Ausführung kleiner Codefunktionen (Funktionen), die als Reaktion auf bestimmte Ereignisse ausgeführt werden. Sie verwenden FaaS, wenn Sie bestimmte Funktionen basierend auf einem bestimmten Ereignis ausführen möchten. Sie können beispielsweise eine Funktion erstellen, die bei jedem Hochladen von Daten in Cloud Storage ausgeführt wird, damit die Daten klassifiziert werden können. FaaS hat eine ähnliche Liste geteilter Verantwortung wie SaaS. Cloud Run Functions ist eine FaaS-Anwendung.

Das folgende Diagramm zeigt die Clouddienste und definiert, wie die Zuständigkeiten zwischen dem Cloudanbieter und dem Kunden geteilt werden.

Wie das Diagramm zeigt, bleibt der Cloud-Anbieter immer für das zugrunde liegende Netzwerk und die zugrunde liegende Infrastruktur verantwortlich und die Kunden sind immer für ihre Zugriffsrichtlinien und Daten verantwortlich.

Nach Branchen- und behördlichen Rahmenbedingungen definiert

Verschiedene Branchen haben rechtliche Rahmenbedingungen, die die Sicherheitskontrollen definieren, die vorhanden sein müssen. Wenn Sie Ihre Arbeitslasten in die Cloud verschieben, müssen Sie Folgendes verstehen:

• Welche Sicherheitskontrollen liegen in Ihrer Verantwortung
• Welche Sicherheitskontrollen sind im Rahmen des Cloud-Angebots verfügbar
• Welche Standard-Sicherheitskontrollen werden übernommen

Übernommene Sicherheitskontrollen (z. B. unsere Standardverschlüsselung und Infrastrukturkontrollen) sind Steuerelemente, die Sie als Teil der Beweisführung zu Ihrem Sicherheitsstatus bei Prüfern und Aufsichtsbehörden bereitstellen können. Zum Beispiel definiert der Datensicherheitsstandard der Zahlungskartenindustrie (Payment Card Industry Data Security Standard, PCI DSS) Vorschriften für Zahlungsabwickler. Wenn Sie Ihr Unternehmen in die Cloud verschieben, werden diese Vorschriften zwischen Ihnen und Ihrem CSP aufgeteilt. Informationen dazu, wie die Verantwortlichkeiten aus dem PCI DSS zwischen Ihnen undGoogle Cloudgeteilt werden, finden Sie unter Google Cloud: Matrix der geteilten Verantwortung (PCI DSS).

Ein weiteres Beispiel in den USA ist der Health Insurance Portability and Accountability Act (HIPAA), der Standards zur Verarbeitung elektronischer Gesundheitsdaten (Personal Health Information, PHI) festlegt. Diese Verantwortlichkeiten werden auch zwischen dem CSP und Ihnen aufgeteilt. Weitere Informationen dazu, wie Google Cloud unsere Verpflichtungen gemäß HIPAA erfüllt, finden Sie unter HIPAA-Compliance.

Andere Branchen (z. B. Finanzen oder Fertigung) haben auch Vorschriften, die festlegen, wie Daten erfasst, verarbeitet und gespeichert werden können. Weitere Informationen zu diesen Aufgaben und dazu, wieGoogle Cloud unsere Verpflichtungen erfüllt, finden Sie im Center für Compliance-Ressourcen.

Nach Standort definiert

Abhängig von Ihrem Geschäftsszenario müssen Sie möglicherweise Ihre Verantwortlichkeiten anhand des Standorts Ihrer Geschäftsstellen, Ihrer Kunden und Ihrer Daten berücksichtigen. In verschiedenen Ländern und Regionen gibt es Bestimmungen, mit denen festgelegt wird, wie Sie die Daten Ihrer Kunden verarbeiten und speichern können. Wenn Ihr Unternehmen beispielsweise Kunden hat, die in der Europäischen Union wohnen, muss Ihr Unternehmen möglicherweise die Anforderungen der Datenschutz-Grundverordnung (DSGVO) erfüllen und Sie sind möglicherweise verpflichtet, Ihre Kundendaten in der EU selbst aufzubewahren. In diesem Fall sind Sie dafür verantwortlich, dass die erfassten Daten in den Google Cloud -Regionen in der EU verbleiben. Weitere Informationen dazu, wie wir unsere Verpflichtungen nach der DSGVO erfüllen, finden Sie unter DSGVO und Google Cloud.

Informationen zu den Anforderungen in Ihrer Region finden Sie unter Compliance-Angebote. Wenn Ihr Szenario besonders kompliziert ist, empfehlen wir Ihnen, sich an unser Vertriebsteam oder einen unserer Partner zu wenden, um die Evaluierung Ihrer Sicherheitsaufgaben vorzunehmen.

Herausforderungen für die gemeinsame Verantwortung

Obwohl die gemeinsame Verantwortung die Definition der Sicherheitsrollen ermöglicht, die Sie oder der Cloudanbieter haben, kann die gemeinsame Verantwortung weiterhin Herausforderungen schaffen. Sehen Sie sich die folgenden Szenarien an:

• Die meisten Verstöße gegen die Cloud-Sicherheit sind das direkte Ergebnis einer Fehlkonfiguration (siehe Nummer 3 im Pandemic 11-Bericht der Cloud Security Alliance) und dieser Trend wird voraussichtlich zunehmen. Cloud-Produkte ändern sich ständig und neue werden kontinuierlich eingeführt. Mit den ständigen Veränderungen Schritt zu halten, kann überwältigend erscheinen. Kunden benötigen Cloud-Anbieter, um ihnen bewährte Best Practices zur Verfügung zu stellen und mit den Änderungen Schritt zu halten. Dabei beginnen sie standardmäßig mit Best Practices und haben eine grundlegende Basiskonfiguration.
• Obwohl die Aufteilung von Elementen nach Cloud-Diensten hilfreich ist, haben viele Unternehmen Arbeitslasten, für die mehrere Cloud-Diensttypen erforderlich sind. In diesem Fall müssen Sie berücksichtigen, wie verschiedene Sicherheitskontrollen für diese Dienste interagieren, einschließlich der Frage, ob sie sich zwischen Diensten überschneiden. Sie könnten beispielsweise eine lokale Anwendung haben, die Sie zu Compute Engine migrieren, Google Workspace für geschäftliche E-Mail-Adressen verwenden und BigQuery zur Analyse von Daten ausführen, um Ihre Produkte zu verbessern.
• Ihr Unternehmen und Ihre Märkte verändern sich ständig, durch Änderungen der Vorschriften, wenn Sie an neuen Märkten teilnehmen oder beim Erwerb anderer Unternehmen. In Ihren neuen Märkten gelten möglicherweise andere Anforderungen und Ihre neue Akquisition kann ihre Arbeitslasten in einer anderen Cloud hosten. Um die konstanten Änderungen zu verwalten, müssen Sie Ihr Risikoprofil ständig neu bewerten und in der Lage sein, neue Kontrollen schnell zu implementieren.
• Wie und wo Sie Ihre Datenverschlüsselungsschlüssel verwalten, ist eine wichtige Entscheidung, die mit Ihren Verantwortlichkeiten zum Schutz Ihrer Daten zusammenhängt. Welche Option Sie auswählen, hängt von Ihren rechtlichen Anforderungen ab, unabhängig davon, ob Sie eine Hybrid-Cloud-Umgebung ausführen oder noch eine lokale Umgebung haben, ebenso wie von der Vertraulichkeit der verarbeiteten und gespeicherten Daten.
• Das Vorfallmanagement ist ein wichtiger und häufig übersehener Bereich, in dem Ihre Verantwortlichkeiten und die Verantwortlichkeiten des Cloudanbieters nicht einfach definiert sind. Viele Vorfälle erfordern eine enge Zusammenarbeit und Unterstützung vom Cloudanbieter, um sie zu untersuchen und zu beheben. Andere Vorfälle können durch falsch konfigurierte Cloud-Ressourcen oder gestohlene Anmeldedaten verursacht werden. Es kann recht schwierig sein, die Best Practices für den Schutz Ihrer Ressourcen und Konten zu erfüllen.
• Erweiterte persistente Bedrohungen (APT) und neue Sicherheitslücken können sich in einer Weise auf Ihre Arbeitslasten auswirken, ohne die beim Start der Cloud-Transformation vielleicht noch nicht absehbar war. Es ist schwierig, in der sich ändernden Umgebung immer auf dem Laufenden zu bleiben und zu wissen, wer für die Mitigation von Bedrohungen verantwortlich ist, insbesondere wenn Ihr Unternehmen kein großes Sicherheitsteam hat.

Geteiltes Schicksal

Wir haben für Google Cloud das Fate-Sharing entwickelt, um die Herausforderungen zu meistern, denen das Modell der geteilten Verantwortung nicht gerecht wird. Fate-Sharing konzentriert sich darauf, wie alle Parteien besser interagieren können, um die Sicherheit kontinuierlich zu verbessern. Fate-Sharing basiert auf dem Modell der geteilten Verantwortung, da es die Beziehung zwischen Cloud-Anbieter und Kunden als laufende Partnerschaft zur Verbesserung der Sicherheit betrachtet.

Beim Fate-Sharing geht es darum, dass wir die Verantwortung dafür übernehmen, Google Cloudsicherer zu machen. Fate-Sharing umfasst den Einstieg in eine gesicherte Landing Zone und eine klare und transparente Darstellung der empfohlenen Sicherheitskontrollen, -einstellungen und der zugehörigen Best Practices. Es hilft Ihnen mithilfe des Risikoschutzprogramms, Ihr Risiko bei der Cyberversicherung zu quantifizieren und zu verwalten. Unser Ziel ist es, das Standard-Framework für geteilte Verantwortung zu einem verbesserten Modell zu entwickeln, mit dem Sie Ihr Unternehmen schützen und Vertrauen in Google Cloudaufbauen können.

In den folgenden Abschnitten werden verschiedene Komponenten des Fate-Sharings beschrieben.

Hilfe beim Einstieg

Eine wichtige Komponente des Fate-Sharings sind die Ressourcen, die wir Ihnen zur Verfügung stellen, um Ihnen den Einstieg in eine sichere Konfiguration in Google Cloudzu erleichtern. Wenn Sie mit einer sicheren Konfiguration beginnen, verringert sich das Problem von Fehlkonfigurationen, die die Ursache der meisten Sicherheitsverstöße sind.

Zu unseren Ressourcen gehören:

• Blueprint für Unternehmensgrundlagen, in dem die wichtigsten Sicherheitsbedenken und unsere besten Empfehlungen behandelt werden.

• Sichere Blueprints, mit denen Sie sichere Lösungen mit Infrastruktur als Code (IaC) bereitstellen und verwalten können. Für Blueprints sind unsere Sicherheitsempfehlungen standardmäßig aktiviert. Viele Blueprints werden von Google-Sicherheitsteams erstellt und als Produkte verwaltet. Dieser Support bedeutet, dass sie regelmäßig aktualisiert werden, einen strengen Testprozess durchlaufen und Attestierungen von Testgruppen von Drittanbietern erhalten. Blueprints umfassen Folgendes: Unternehmensgrundlagen – Blueprint und Gesichertes Data Warehouse – Blueprint.

• Google Cloud Best Practices für das Well-Architected Framework, um die wichtigsten Empfehlungen für die Einbindung von Sicherheit in Ihre Designs zu erfüllen. Das Well-Architected Framework umfasst einen Sicherheitsabschnitt und eine Community-Zone, über die Sie mit Experten und Peers kommunizieren können.

• Leitfäden zur Navigation der Landing Zone führen Sie durch die wichtigsten Entscheidungen, die Sie treffen müssen, um eine sichere Grundlage für Ihre Arbeitslasten zu schaffen, einschließlich Ressourcenhierarchie, Onboarding von Identitäten, Sicherheit und Schlüsselverwaltung und Netzwerkstruktur.

Risk Protection Program

Fate-Sharing umfasst auch das Risikoschutzprogramm (derzeit in der Vorschau), das Ihnen hilft, die Leistungsfähigkeit von Google Cloud als Plattform zu nutzen, um Risiken zu verwalten, anstatt Cloud-Arbeitslasten lediglich als weitere Risikoquelle zu sehen, die Sie verwalten müssen. Das Risikoschutzprogramm ist eine Zusammenarbeit von Google Cloud und zwei führenden Unternehmen im Bereich Cyberversicherungen, Munich Re und Allianz Global & Corporate Speciality.

Das Risikoschutzprogramm enthält den Cyber Insurance Hub, der datengesteuerte Einblicke bietet, mit denen Sie Ihren Cloud-Sicherheitsstatus besser verstehen können. Wenn Sie nach einer Cyberversicherungsleistung suchen, können Sie diese Informationen aus Cyber Insurance Hub direkt mit unseren Versicherungspartnern teilen, um ein Angebot zu erhalten. Weitere Informationen finden Sie unter Google Cloud Risikoschutzprogramm jetzt in der Vorschau.

Hilfe bei der Bereitstellung und Governance

Fate-Sharing hilft auch bei der fortlaufenden Governance Ihrer Umgebung. Beispielsweise konzentrieren wir uns auf Produkte wie die folgenden:

• Assured Workloads: So können Sie Ihre Compliance-Anforderungen erfüllen.
• Security Command Center Premium, das Bedrohungsinformationen, Bedrohungserkennung, Webscan und andere erweiterte Methoden zum Monitoring und Erkennen von Bedrohungen verwendet. Bietet auch die Möglichkeit, viele dieser Bedrohungen schnell und automatisch zu beheben.
• Mit Organisationsrichtlinien und Ressourceneinstellungen können Sie Richtlinien in Ihrer Hierarchie von Ordnern und Projekten konfigurieren.
• Policy Intelligence-Tools mit Informationen zum Zugriff auf Konten und Ressourcen.
• Confidential Computing, mit dem Sie aktive Daten verschlüsseln können.
• Steuerung der Datenhoheit durch Partner, die in bestimmten Ländern verfügbar ist und bei der Durchsetzung der Anforderungen an den Datenstandort hilft.

Gemeinsame Verantwortung und gemeinsames Fate in der Praxis

Berücksichtigen Sie im Rahmen des Planungsprozesses die folgenden Maßnahmen, um die geeigneten Sicherheitskontrollen zu verstehen und zu implementieren:

• Erstellen Sie eine Liste der Arbeitslasten, die Sie inGoogle Cloudhosten möchten, und ob diese IaaS-, PaaS- und SaaS-Dienste erfordern. Sie können das Diagramm der geteilten Verantwortung als Checkliste verwenden, um herauszufinden, welche Sicherheitskontrollen Sie berücksichtigen müssen.
• Erstellen Sie eine Liste der gesetzlichen Anforderungen, die Sie erfüllen müssen, und greifen Sie im Center für Compliance-Ressourcen auf Ressourcen zu, die sich auf diese Anforderungen beziehen.
• Überprüfen Sie die Liste der verfügbaren Blueprints und Architekturen im Architekturcenter für die Sicherheitskontrollen, die Sie für Ihre jeweiligen Arbeitslasten benötigen. Die Blueprints enthalten eine Liste empfohlener Steuerelemente und den IaC-Code, den Sie zum Bereitstellen dieser Architektur benötigen.
• Verwenden Sie die Dokumentation zu Landing-Zones und die Empfehlungen im Leitfaden zu Unternehmensgrundlagen, um eine Ressourcenhierarchie und eine Netzwerkarchitektur zu entwerfen, die Ihren Anforderungen entsprechen. Sie können die angegebenen Blueprints für Arbeitslasten, wie das gesicherte Data Warehouse, verwenden, um Ihren Entwicklungsprozess zu beschleunigen.
• Prüfen Sie nach der Bereitstellung Ihrer Arbeitslasten, ob Sie Ihre Sicherheitsaufgaben erfüllen, mit Diensten wie dem Cyber Insurance Hub, Assured Workloads, Policy Intelligence-Tools und Security Command Center Premium.

Weitere Informationen finden Sie im CISO-Leitfaden zur Cloud-Transformation.

Nächste Schritte

• Grundlegende Sicherheitsprinzipien
• Bleiben Sie mit Fate-Sharing-Ressourcen auf dem neuesten Stand.
• Machen Sie sich mit den verfügbaren Blueprints vertraut, einschließlich der Blueprints für Sicherheitsgrundlagen und Beispielen für Arbeitslasten wie dem gesicherten Data Warehouse.
• Weitere Informationen zum Fate-Sharing
• Informationen zu unserer zugrunde liegenden sicheren Infrastruktur finden Sie in der Übersicht über das Sicherheitsdesign der Infrastruktur von Google.
• NIST Cybersecurity Framework Best Practices in Google Cloud (PDF) implementieren.