Le pilier "Sécurité, confidentialité et conformité" du Google Cloud Well-Architected Framework fournit des recommandations pour vous aider à concevoir, déployer et exploiter des charges de travail cloud qui répondent à vos exigences en matière de sécurité, de confidentialité et de conformité.

Ce document est conçu pour fournir des informations utiles et répondre aux besoins de divers professionnels et ingénieurs de la sécurité. Le tableau suivant décrit les audiences visées par ce document :

Audience	Contenu de ce document
Responsables de la sécurité des informations (RSSI), responsables d'unités commerciales et responsables informatiques	Cadre général permettant d'établir et de maintenir l'excellence en matière de sécurité dans le cloud, et d'obtenir une vue complète des domaines de sécurité pour prendre des décisions éclairées concernant les investissements dans la sécurité.
Architectes et ingénieurs en sécurité	Pratiques de sécurité clés pour les phases de conception et opérationnelles afin de garantir que les solutions sont conçues pour la sécurité, l'efficacité et l'évolutivité.
Équipes DevSecOps	Conseils pour intégrer des contrôles de sécurité généraux afin de planifier l'automatisation qui permet de créer une infrastructure sécurisée et fiable.
Responsables de la conformité et gestionnaires des risques	Recommandations de sécurité clés à suivre pour adopter une approche structurée de la gestion des risques avec des mesures de protection qui aident à respecter les obligations de conformité.

Pour vous assurer que vos charges de travail Google Cloud répondent à vos exigences de sécurité, de confidentialité et de conformité, toutes les parties prenantes de votre organisation doivent adopter une approche collaborative. Vous devez également reconnaître que la sécurité du cloud est une responsabilité partagée entre vous et Google. Pour en savoir plus, consultez Responsabilités et destin partagés sur Google Cloud.

Les recommandations de ce pilier sont regroupées en principes de sécurité de base. Chaque recommandation basée sur des principes est associée à un ou plusieurs domaines clés de déploiement de la sécurité du cloud qui peuvent être essentiels pour votre organisation. Chaque recommandation met en évidence des conseils sur l'utilisation et la configuration des produits et fonctionnalitésGoogle Cloud pour vous aider à améliorer le niveau de sécurité de votre organisation.

Principes de base

Les recommandations de ce pilier sont regroupées selon les principes fondamentaux de sécurité suivants. Chaque principe de ce pilier est important. En fonction des exigences de votre organisation et de votre charge de travail, vous pouvez choisir de privilégier certains principes.

• Implémenter la sécurité dès la conception : intégrez les considérations de sécurité du cloud et du réseau dès la phase de conception initiale de vos applications et de votre infrastructure.Google Cloud fournit des plans d'architecture et des recommandations pour vous aider à appliquer ce principe.
• Mettre en œuvre la sécurité "zéro confiance" : utilisez une approche toujours vérifier systématiquement, où l'accès aux ressources est accordé en fonction de la vérification continue de la confiance. Google Cloudprend en charge ce principe grâce à des produits tels que Chrome Enterprise Premium et Identity-Aware Proxy (IAP).
• Mettez en œuvre la sécurité shift-left : implémentez des contrôles de sécurité dès le début du cycle de vie du développement logiciel. Évitez les failles de sécurité avant d'apporter des modifications au système. Détectez et corrigez les bugs de sécurité de manière précoce, rapide et fiable après l'application des modifications du système. Google Cloud respecte ce principe grâce à des produits tels que Cloud Build, l'autorisation binaire et Artifact Registry.
• Mettez en place une cyberdéfense préventive : adoptez une approche proactive de la sécurité en mettant en place des mesures fondamentales robustes, comme le renseignement sur les menaces. Cette approche vous aide à établir une base pour une détection et une réponse aux menaces plus efficaces. L'approche deGoogle Cloudconcernant les contrôles de sécurité multicouches s'inscrit dans cette optique.
• Utiliser l'IA de manière sécurisée et responsable : développez et déployez des systèmes d'IA de manière responsable et sécurisée. Les recommandations pour ce principe sont alignées sur les conseils de la perspective IA et ML du Well-Architected Framework et du framework d'IA sécurisé (SAIF) de Google.
• Utiliser l'IA pour la sécurité : utilisez les fonctionnalités d'IA pour améliorer vos systèmes et processus de sécurité existants grâce à Gemini dans Security et aux fonctionnalités de sécurité globales de la plate-forme. Utilisez l'IA comme outil pour automatiser les tâches de correction et assurer l'hygiène de sécurité afin de rendre les autres systèmes plus sûrs.
• Répondez aux besoins en termes de réglementation, de conformité et de confidentialité : respectez les réglementations, les normes de conformité et les exigences de confidentialité spécifiques au secteur. Google Cloud vous aide à remplir ces obligations grâce à des produits tels qu'Assured Workloads, le service de règles de l'organisation et notre Centre de ressources sur la conformité.

Mentalité de sécurité organisationnelle

Une mentalité axée sur la sécurité est essentielle pour adopter et exploiter le cloud avec succès. Cet état d'esprit doit être profondément ancré dans la culture de votre organisation et se refléter dans ses pratiques, qui sont guidées par les principes de sécurité fondamentaux décrits précédemment.

Une approche de la sécurité axée sur l'organisation met l'accent sur la réflexion autour de la sécurité lors de la conception du système, sur l'adoption du principe de sécurité "zéro confiance" et sur l'intégration de fonctionnalités de sécurité tout au long du processus de développement. Dans cet état d'esprit, vous réfléchissez également de manière proactive aux mesures de cyberdéfense, vous utilisez l'IA de manière sécurisée et pour la sécurité, et vous tenez compte de vos exigences réglementaires, de confidentialité et de conformité. En adoptant ces principes, votre organisation peut cultiver une culture axée sur la sécurité qui traite les menaces de manière proactive, protège les ressources précieuses et contribue à garantir une utilisation responsable de la technologie.

Domaines d'application de la sécurité du cloud

Cette section décrit les domaines sur lesquels vous devez vous concentrer lorsque vous planifiez, implémentez et gérez la sécurité de vos applications, systèmes et données. Les recommandations de chaque principe de ce pilier concernent un ou plusieurs de ces domaines d'intérêt. Dans le reste de ce document, les recommandations spécifient les domaines de sécurité correspondants pour plus de clarté et de contexte.

Domaine d'intérêt	Activités et composants	Produits, fonctionnalités et solutions Google Cloud associés
Sécurité de l'infrastructure	Infrastructure réseau sécurisée Chiffrez les données en transit et au repos. Contrôlez le flux de trafic. Sécurisez les services IaaS et PaaS. Protégez-vous contre les accès non autorisés.	Stratégies de pare-feu VPC Service Controls Google Cloud Armor Pare-feu Cloud nouvelle génération Proxy Web sécurisé
Gestion de l'authentification et des accès	Utilisez l'authentification, l'autorisation et les contrôles d'accès. Gérez les identités cloud. Gérez les stratégies de gestion de l'authentification et des accès.	Cloud Identity Service Identity and Access Management (IAM) de Google Fédération des identités des employés Fédération d'identité de charge de travail
Sécurité des données	Stockez les données de manière sécurisée dans Google Cloud . Contrôlez l'accès aux données. Détectez et classez les données. Concevez les contrôles nécessaires, tels que le chiffrement, le contrôle des accès et la protection contre la perte de données. Protégez les données au repos, en transit et en cours d'utilisation.	Service IAM de Google Sensitive Data Protection VPC Service Controls Cloud KMS Informatique confidentielle
Sécurité de l'IA et du ML	Appliquez des contrôles de sécurité à différents niveaux de l'infrastructure et du pipeline d'IA et de ML. Garantir la sécurité du modèle.	SAIF de Google Model Armor
Opérations de sécurité (SecOps)	Adoptez une plate-forme et un ensemble de pratiques SecOps modernes pour des processus efficaces de gestion des incidents, de détection des menaces et de réponse. Surveillez en permanence les systèmes et les applications pour détecter les événements de sécurité.	Google Security Operations
Sécurité des applications	Sécurisez les applications contre les failles logicielles et les attaques.	Artifact Registry Artifact Analysis Autorisation binaire Assured Open Source Software Google Cloud Armor Web Security Scanner
Gouvernance, risques et conformité dans le cloud	Établissez des règles, des procédures et des contrôles pour gérer les ressources cloud de manière efficace et sécurisée.	Service de règles d'organisation Inventaire des éléments cloud Security Command Center Enterprise Resource Manager
Journalisation, audit et surveillance	Analysez les journaux pour identifier les menaces potentielles. Suivez et enregistrez les activités système pour l'analyse de la conformité et de la sécurité.	Cloud Logging Cloud Monitoring Cloud Audit Logging Journaux de flux VPC

Contributeurs

Auteurs :

• Wade Holmes | Directeur des solutions mondiales
• Hector Diaz | Architecte en sécurité cloud
• Carlos Leonardo Rosario | Spécialiste Google Cloud Security
• John Bacon | Architecte de solutions partenaires
• Sachin Kalra | Responsable mondial des solutions de sécurité

Autres contributeurs :

• Anton Chuvakin | Conseiller en sécurité, Bureau du RSSI
• Daniel Lees | Architecte en sécurité cloud
• Filipe Gracio, PhD | Ingénieur client
• Gary Harmson | Architecte principal
• Gino Pelliccia | Architecte principal
• Jose Andrade | Ingénieur client pour l'infrastructure d'entreprise
• Kumar Dhanagopal Développeur de solutions multiproduits
• Laura Hyatt | Architecte cloud d'entreprise
• Marwan Al Shawi | Partner Customer Engineer
• Nicolas Pintaux | Ingénieur client, spécialiste de la modernisation des applications
• Noah McDonald | Consultant en sécurité cloud
• Osvaldo Costa | Ingénieur client spécialiste en gestion des réseaux
• Radhika Kanakam | Senior Program Manager, Cloud GTM
• Samantha He | Rédactrice technique
• Susan Wu | Responsable produit orienté client

Implémenter la sécurité dès la conception

Ce principe du pilier de sécurité du Google Cloud Well-Architected Framework fournit des recommandations pour intégrer des fonctionnalités, des contrôles et des pratiques de sécurité robustes dans la conception de vos applications, services et plates-formes cloud. De l'idéation aux opérations, la sécurité est plus efficace lorsqu'elle est intégrée à chaque étape de votre processus de conception.

Présentation des principes

Comme expliqué dans Présentation de l'engagement de Google en faveur de la sécurité par conception, les termes sécurité par défaut et sécurité par conception sont souvent utilisés de manière interchangeable, mais ils représentent des approches distinctes pour la création de systèmes sécurisés. Les deux approches visent à minimiser les failles et à renforcer la sécurité, mais elles diffèrent en termes de portée et d'implémentation :

• Sécurité par défaut : l'objectif est de s'assurer que les paramètres par défaut d'un système sont définis sur un mode sécurisé, ce qui réduit la nécessité pour les utilisateurs ou les administrateurs de prendre des mesures pour sécuriser le système. Cette approche vise à fournir un niveau de sécurité de base à tous les utilisateurs.
• Sécurité dès la conception : met l'accent sur l'intégration proactive des considérations de sécurité tout au long du cycle de vie du développement d'un système. Cette approche consiste à anticiper les menaces et les failles potentielles en amont, et à faire des choix de conception qui atténuent les risques. Cette approche implique l'utilisation de pratiques de codage sécurisé, la réalisation d'examens de sécurité et l'intégration de la sécurité tout au long du processus de conception. L'approche "secure-by-design" est une philosophie globale qui guide le processus de développement et permet de s'assurer que la sécurité n'est pas une préoccupation secondaire, mais fait partie intégrante de la conception d'un système.

Recommandations

Pour implémenter le principe de sécurité dès la conception pour vos charges de travail cloud, tenez compte des recommandations des sections suivantes :

• Choisir des composants système qui contribuent à sécuriser vos charges de travail
• Créer une approche multicouche de la sécurité
• Utiliser des infrastructures et des services renforcés et certifiés
• Chiffrer les données au repos et en transit

Choisir des composants système qui contribuent à sécuriser vos charges de travail

Cette recommandation s'applique à tous les domaines d'action.

Pour une sécurité efficace, il est essentiel de choisir des composants système robustes, y compris des composants matériels et logiciels, qui constituent votre plate-forme, votre solution ou votre service. Pour réduire la surface d'attaque de sécurité et limiter les dommages potentiels, vous devez également examiner attentivement les modèles de déploiement de ces composants et leurs configurations.

Dans le code de votre application, nous vous recommandons d'utiliser des bibliothèques, des abstractions et des frameworks d'application simples, sûrs et fiables afin d'éliminer des classes de failles. Pour rechercher les failles dans les bibliothèques logicielles, vous pouvez utiliser des outils tiers. Vous pouvez également utiliser Assured Open Source Software, qui permet de réduire les risques pour votre chaîne d'approvisionnement logicielle en utilisant des packages logiciels Open Source (OSS) que Google utilise et sécurise.

Votre infrastructure doit utiliser des options de mise en réseau, de stockage et de calcul qui permettent un fonctionnement sûr et qui correspondent à vos exigences de sécurité et à vos niveaux d'acceptation des risques. La sécurité de l'infrastructure est importante pour les charges de travail internes et celles exposées à Internet.

Pour en savoir plus sur les autres solutions Google compatibles avec cette recommandation, consultez Implémenter la sécurité "shift-left".

Créer une approche multicouche de la sécurité

Cette recommandation concerne les domaines d'intérêt suivants :

• Sécurité de l'IA et du ML
• Sécurité de l'infrastructure
• Gestion de l'authentification et des accès
• Sécurité des données

Nous vous recommandons d'implémenter la sécurité à chaque couche de votre pile d'application et d'infrastructure en appliquant une approche de défense en profondeur.

Utilisez les fonctionnalités de sécurité de chaque composant de votre plate-forme. Pour limiter l'accès et identifier les limites de l'impact potentiel (c'est-à-dire le rayon d'impact) en cas d'incident de sécurité, procédez comme suit :

• Simplifiez la conception de votre système pour plus de flexibilité, si possible.
• Documentez les exigences de sécurité de chaque composant.
• Intégrez un mécanisme sécurisé et robuste pour répondre aux exigences de résilience et de reprise après sinistre.

Lorsque vous concevez les couches de sécurité, effectuez une évaluation des risques pour déterminer les fonctionnalités de sécurité dont vous avez besoin pour répondre aux exigences de sécurité internes et aux exigences réglementaires externes. Nous vous recommandons d'utiliser un framework d'évaluation des risques standard dans l'industrie, qui s'applique aux environnements cloud et qui est pertinent pour vos exigences réglementaires. Par exemple, la Cloud Security Alliance (CSA) fournit la matrice des contrôles cloud (CCM). L'évaluation des risques vous fournit un catalogue des risques et des contrôles de sécurité correspondants pour les atténuer.

Lorsque vous effectuez l'évaluation des risques, n'oubliez pas que vous avez conclu un accord de responsabilité partagée avec votre fournisseur cloud. Par conséquent, les risques dans un environnement cloud diffèrent de ceux dans un environnement sur site. Par exemple, dans un environnement sur site, vous devez limiter les failles de votre pile matérielle. En revanche, dans un environnement cloud, ces risques sont supportés par le fournisseur cloud. N'oubliez pas non plus que les limites des responsabilités partagées diffèrent entre les services IaaS, PaaS et SaaS pour chaque fournisseur de services cloud.

Une fois que vous avez identifié les risques potentiels, vous devez concevoir et créer un plan d'atténuation qui utilise des contrôles techniques, administratifs et opérationnels, ainsi que des protections contractuelles et des attestations tierces. En outre, une méthode de modélisation des menaces, telle que la méthode de modélisation des menaces d'application OWASP, vous aide à identifier les lacunes potentielles et suggère des actions pour y remédier.

Utiliser des infrastructures et des services renforcés et certifiés

Cette recommandation s'applique à tous les domaines d'action.

Un programme de sécurité mature permet d'atténuer les nouvelles failles décrites dans les bulletins de sécurité. Le programme de sécurité doit également fournir des solutions pour corriger les failles de sécurité dans les déploiements existants et sécuriser vos images de VM et de conteneurs. Vous pouvez utiliser des guides de renforcement spécifiques à l'OS et à l'application de vos images, ainsi que des benchmarks tels que celui fourni par le Center for Internet Security (CIS).

Si vous utilisez des images personnalisées pour vos VM Compute Engine, vous devez appliquer vous-même les correctifs. Vous pouvez également utiliser les images d'OS sélectionnées fournies par Google, qui bénéficient de correctifs réguliers. Pour exécuter des conteneurs sur des VM Compute Engine, utilisez les images Container-Optimized OS organisées par Google. Google corrige et met régulièrement à jour ces images.

Si vous utilisez GKE, nous vous recommandons d'activer la mise à niveau automatique des nœuds pour que Google puisse mettre à jour les nœuds de votre cluster en appliquant les derniers correctifs. Google gère les plans de contrôle GKE, qui sont automatiquement mis à jour et corrigés. Pour réduire davantage la surface d'attaque de vos conteneurs, vous pouvez utiliser des images sans distribution. Les images Distroless sont idéales pour les applications sensibles à la sécurité, les microservices et les situations où il est primordial de minimiser la taille de l'image et la surface d'attaque.

Pour les charges de travail sensibles, utilisez Shielded VM, qui empêche le chargement de code malveillant pendant le cycle de démarrage de la VM. Les instances de VM protégées offrent une sécurité au démarrage, surveillent l'intégrité et utilisent le module vTPM (Virtual Trusted Platform Module).

Pour sécuriser l'accès SSH, OS Login permet à vos employés de se connecter à vos VM en utilisant des autorisations Identity and Access Management (IAM) en tant que source de vérité plutôt que des clés SSH. Vous n'avez donc pas besoin de gérer les clés SSH dans votre organisation. OS Login permet de lier l'accès administrateur au cycle de vie de l'employé. Ainsi, lorsque les employés changent de rôle ou quittent votre organisation, leur accès est révoqué avec leur compte. OS Login est également compatible avec l'authentification à deux facteurs de Google, qui ajoute une couche de sécurité supplémentaire contre les attaques par piratage de compte.

Dans GKE, les instances d'application s'exécutent dans des conteneurs Docker. Pour activer un profil de risque défini et empêcher les employés de modifier les conteneurs, assurez-vous que vos conteneurs sont sans état et immuables. Le principe d'immuabilité signifie que vos employés ne peuvent pas modifier le conteneur ni y accéder de manière interactive. Si le conteneur doit être modifié, vous devez créer une nouvelle image et la déployer. N'activez l'accès SSH aux conteneurs sous-jacents que dans des scénarios de débogage spécifiques.

Pour sécuriser globalement les configurations dans votre environnement, vous pouvez utiliser des règles d'administration afin de définir des contraintes ou des garde-fous sur les ressources qui affectent le comportement de vos composants cloud. Par exemple, vous pouvez définir les règles d'administration suivantes et les appliquer globalement à une organisation Google Cloud ou de manière sélective au niveau d'un dossier ou d'un projet :

• Désactivez l'attribution d'adresses IP externes aux VM.
• Limitez la création de ressources à des emplacements géographiques spécifiques.
• Désactivez la création de comptes de service ou de leurs clés.

Chiffrer les données au repos et en transit

Cette recommandation concerne les domaines d'intérêt suivants :

• Sécurité de l'infrastructure
• Sécurité des données

Le chiffrement des données est un contrôle fondamental pour protéger les informations sensibles. Il constitue un élément clé de la gouvernance des données. Une stratégie de protection des données efficace inclut le contrôle des accès, la segmentation des données et la résidence géographique, l'audit, et l'implémentation du chiffrement basée sur une évaluation minutieuse des exigences.

Par défaut, Google Cloud chiffre les données client stockées au repos, sans aucune action requise de votre part. En plus du chiffrement par défaut,Google Cloud propose des options de chiffrement encapsulé et de gestion des clés de chiffrement. Vous devez identifier les solutions les plus adaptées à vos exigences en termes de génération, de stockage et de rotation des clés, que ce soit pour des charges de travail de stockage, de calcul ou de big data. Par exemple, vous pouvez créer des clés de chiffrement gérées par le client (CMEK) dans Cloud Key Management Service (Cloud KMS). Les CMEK peuvent être logicielles ou protégées par un HSM pour répondre à vos exigences réglementaires ou de conformité, comme la nécessité de faire régulièrement tourner les clés de chiffrement. Cloud KMS Autokey vous permet d'automatiser le provisionnement et l'attribution des CMEK. De plus, vous pouvez apporter vos propres clés provenant d'un système de gestion de clés tiers en utilisant Cloud External Key Manager (Cloud EKM).

Nous vous recommandons vivement de chiffrer les données en transit. Google chiffre et authentifie les données en transit sur une ou plusieurs couches réseau lorsque des données sont transférées en dehors des limites physiques qui ne sont pas contrôlées par ou pour le compte de Google. Tout le trafic de VM à VM au sein d'un réseau VPC et entre des réseaux VPC appairés est chiffré. Vous pouvez utiliser MACsec pour chiffrer le trafic sur les connexions Cloud Interconnect. IPsec fournit un chiffrement du trafic sur les connexions Cloud VPN. Vous pouvez protéger le trafic d'application à application dans le cloud en utilisant des fonctionnalités de sécurité telles que les configurations TLS et mTLS dans Apigee et Cloud Service Mesh pour les applications conteneurisées.

Par défaut, Google Cloud chiffre les données au repos et en transit sur le réseau. Toutefois, les données ne sont pas chiffrées par défaut lorsqu'elles sont utilisées en mémoire. Si votre organisation gère des données confidentielles, vous devez limiter les menaces qui compromettent la confidentialité et l'intégrité de l'application ou des données stockées dans la mémoire système. Pour atténuer ces menaces, vous pouvez utiliser le informatique confidentielle, qui fournit un environnement d'exécution approuvé pour vos charges de travail de calcul. Pour en savoir plus, consultez la présentation de Confidential VM.

Mettre en place le modèle zéro confiance

Ce principe du pilier de sécurité du Google Cloud Framework Well-Architected vous aide à garantir une sécurité complète pour vos charges de travail cloud. Le principe de "zéro confiance" met l'accent sur les pratiques suivantes :

• Éliminer la confiance implicite
• Appliquer le principe du moindre privilège au contrôle des accès
• Appliquer la validation explicite de toutes les demandes d'accès
• Adopter un état d'esprit "assume-breach" pour permettre la vérification continue et la surveillance de la posture de sécurité

Présentation des principes

Le modèle zéro confiance déplace l'accent de la sécurité périmétrique vers une approche où aucun utilisateur ni appareil n'est considéré comme intrinsèquement fiable. Chaque demande d'accès doit être vérifiée, quelle que soit son origine. Cette approche consiste à authentifier et autoriser chaque utilisateur et appareil, à valider leur contexte (emplacement et posture de l'appareil), et à accorder un accès moindre privilège uniquement aux ressources nécessaires.

L'implémentation du modèle zéro confiance aide votre organisation à améliorer sa stratégie de sécurité en minimisant l'impact des potentielles violations et en protégeant les données et applications sensibles contre les accès non autorisés. Le modèle Zero Trust vous aide à garantir la confidentialité, l'intégrité et la disponibilité des données et des ressources dans le cloud.

Recommandations

Pour implémenter le modèle Zero Trust pour vos charges de travail cloud, tenez compte des recommandations des sections suivantes :

• Sécuriser votre réseau
• Validez explicitement chaque tentative d'accès.
• Surveiller et gérer votre réseau

Sécuriser votre réseau

Cette recommandation concerne le domaine d'intérêt suivant : sécurité de l'infrastructure.

La transition d'une sécurité périmétrique conventionnelle vers un modèle zéro confiance nécessite plusieurs étapes. Il est possible que votre organisation ait déjà intégré certaines commandes zéro confiance à sa stratégie de sécurité. Toutefois, un modèle zéro confiance n'est pas un produit ni une solution unique. Il s'agit plutôt d'une intégration holistique de plusieurs couches de sécurité et bonnes pratiques. Cette section décrit les recommandations et les techniques permettant d'implémenter le modèle Zéro Trust pour la sécurité du réseau.

• Contrôle des accès : appliquez des contrôles des accès basés sur l'identité et le contexte des utilisateurs à l'aide de solutions telles que Chrome Enterprise Premium et Identity-Aware Proxy (IAP). Vous déplacez ainsi la sécurité du périmètre réseau vers les utilisateurs et appareils individuels. Cette approche permet un contrôle d'accès précis et réduit la surface d'attaque.
• Sécurité du réseau : sécurisez les connexions réseau entre vos environnements sur site, Google Cloudet multicloud.
  • Utilisez les méthodes de connectivité privée de Cloud Interconnect et des VPN IPsec.
  • Pour sécuriser l'accès aux services et aux API Google Cloud , utilisez Private Service Connect.
  • Pour sécuriser l'accès sortant des charges de travail déployées sur GKE Enterprise, utilisez les passerelles de sortie Cloud Service Mesh.
• Conception du réseau : évitez les risques de sécurité potentiels en supprimant les réseaux par défaut dans les projets existants et en désactivant la création de réseaux par défaut dans les nouveaux projets.
  • Pour éviter les conflits, planifiez soigneusement votre réseau et l'allocation d'adresses IP.
  • Pour appliquer un contrôle des accès efficace, limitez le nombre de réseaux de cloud privé virtuel (VPC) par projet.
• Segmentation : isolez les charges de travail tout en conservant une gestion centralisée du réseau.
  • Pour segmenter votre réseau, utilisez le VPC partagé.
  • Définissez des stratégies et des règles de pare-feu au niveau de l'organisation, du dossier et du réseau VPC.
  • Pour éviter l'exfiltration de données, établissez des périmètres sécurisés autour des données et services sensibles à l'aide de VPC Service Controls.
• Sécurité du périmètre : protégez-vous contre les attaques DDoS et les menaces liées aux applications Web.
  • Pour vous protéger contre les menaces, utilisez Google Cloud Armor.
  • Configurez des stratégies de sécurité pour autoriser, refuser ou rediriger le trafic à la périphérieGoogle Cloud .
• Automatisation : automatisez le provisionnement de l'infrastructure en adoptant les principes de l'infrastructure en tant que code (IaC) et en utilisant des outils tels que Terraform, Jenkins et Cloud Build. L'IaC permet d'assurer des configurations de sécurité cohérentes, de simplifier les déploiements et d'effectuer des rollbacks rapides en cas de problème.
• Base sécurisée : établissez un environnement d'application sécurisé à l'aide du plan de base d'entreprise. Ce plan fournit des conseils prescriptifs et des scripts d'automatisation pour vous aider à mettre en œuvre les bonnes pratiques de sécurité et à configurer vos ressourcesGoogle Cloud de manière sécurisée.

Vérifier explicitement chaque tentative d'accès

Cette recommandation concerne les domaines d'intérêt suivants :

• Gestion de l'authentification et des accès
• Opérations de sécurité (SecOps)
• Journalisation, audit et surveillance

Mettez en œuvre des mécanismes d'authentification et d'autorisation stricts pour tout utilisateur, appareil ou service qui tente d'accéder à vos ressources cloud. Ne vous fiez pas au périmètre géographique ou réseau comme contrôle de sécurité. N'accordez pas automatiquement votre confiance à un utilisateur, un appareil ou un service, même s'ils se trouvent déjà dans le réseau. Au lieu de cela, chaque tentative d'accès aux ressources doit être rigoureusement authentifiée et autorisée. Vous devez mettre en œuvre des mesures d'authentification forte de l'identité, comme l'authentification multifacteur (MFA). Vous devez également vous assurer que les décisions d'accès sont basées sur des règles précises qui tiennent compte de divers facteurs contextuels tels que le rôle de l'utilisateur, la posture de l'appareil et l'emplacement.

Pour mettre en œuvre cette recommandation, utilisez les méthodes, outils et technologies suivants :

• Gestion unifiée des identités : assurez une gestion cohérente des identités dans toute votre organisation en utilisant un seul fournisseur d'identité (IdP).
  • Google Cloud est compatible avec la fédération avec la plupart des IdP, y compris Active Directory sur site. La fédération vous permet d'étendre votre infrastructure de gestion des identités existante à Google Cloud et d'activer l'authentification unique (SSO) pour les utilisateurs.
  • Si vous ne disposez d'aucun fournisseur d'identité, envisagez d'utiliser Cloud Identity Premium ou Google Workspace.
• Autorisations limitées des comptes de service : utilisez les comptes de service avec précaution et respectez le principe du moindre privilège.
  • N'accordez à chaque compte de service que les autorisations nécessaires pour effectuer les tâches qui lui sont attribuées.
  • Utilisez la fédération d'identité de charge de travail pour les applications qui s'exécutent sur Google Kubernetes Engine (GKE) ou en dehors deGoogle Cloud afin d'accéder aux ressources de manière sécurisée.
• Processus robustes : mettez à jour vos processus d'identité pour les aligner sur les bonnes pratiques de sécurité du cloud.
  • Pour vous assurer de respecter les exigences réglementaires, implémentez la gouvernance des identités afin de suivre les accès, les risques et les cas de non-respect des règles.
  • Examinez et mettez à jour vos processus existants pour accorder et auditer les rôles et autorisations de contrôle des accès.
• Authentification forte : implémentez l'authentification unique pour l'authentification des utilisateurs et l'authentification MFA pour les comptes privilégiés.
  • Google Cloud est compatible avec différentes méthodes MFA, y compris les clés de sécurité Titan, pour une sécurité renforcée.
  • Pour l'authentification des charges de travail, utilisez OAuth 2.0 ou des jetons Web JSON (JWT) signés.
• Moindre privilège : minimisez le risque d'accès non autorisé et de violations de données en appliquant les principes du moindre privilège et de la séparation des tâches.
  • Évitez de surprovisionner l'accès des utilisateurs.
  • Envisagez d'implémenter un accès privilégié avec le juste-à-temps pour les opérations sensibles.
• Journalisation : activez la journalisation des activités d'administration et d'accès aux données.
  • Pour l'analyse et la détection des menaces, analysez les journaux à l'aide de Security Command Center Enterprise ou de Google Security Operations.
  • Configurez des règles de conservation des journaux appropriées pour équilibrer les besoins de sécurité et les coûts de stockage.

Surveiller et gérer votre réseau

Cette recommandation concerne les domaines d'intérêt suivants :

• Journalisation, audit et surveillance
• Sécurité des applications
• Opérations de sécurité (SecOps)
• Sécurité de l'infrastructure

Lorsque vous planifiez et mettez en œuvre des mesures de sécurité, partez du principe qu'un pirate informatique se trouve déjà dans votre environnement. Cette approche proactive implique l'utilisation de plusieurs outils et techniques pour vous donner de la visibilité sur votre réseau :

• Journalisation et surveillance centralisées : collectez et analysez les journaux de sécurité de toutes vos ressources cloud grâce à la journalisation et à la surveillance centralisées.

  • Établissez des références pour le comportement normal du réseau, détectez les anomalies et identifiez les menaces potentielles.
  • Analysez en continu les flux de trafic réseau pour identifier les schémas suspects et les attaques potentielles.

• Obtenez des insights sur les performances et la sécurité du réseau : utilisez des outils tels que Network Analyzer. Surveillez le trafic pour détecter les protocoles inhabituels, les connexions inattendues ou les pics soudains de transfert de données, qui peuvent indiquer une activité malveillante.

• Analyse et correction des failles : analysez régulièrement votre réseau et vos applications pour détecter les failles.

  • Utilisez Web Security Scanner, qui peut identifier automatiquement les failles dans vos instances Compute Engine, vos conteneurs et vos clusters GKE.
  • Hiérarchisez les mesures correctives en fonction de la gravité des failles et de leur impact potentiel sur vos systèmes.

• Détection des intrusions : surveillez le trafic réseau pour détecter les activités malveillantes, et bloquez automatiquement les événements suspects ou recevez des alertes à leur sujet à l'aide de Cloud IDS et du service de prévention des intrusions Cloud NGFW.

• Analyse de la sécurité : envisagez d'implémenter Google SecOps pour corréler les événements de sécurité provenant de diverses sources, fournir une analyse en temps réel des alertes de sécurité et faciliter la réponse aux incidents.

• Configurations cohérentes : assurez-vous d'avoir des configurations de sécurité cohérentes sur l'ensemble de votre réseau en utilisant des outils de gestion de la configuration.

Mettre en œuvre la sécurité en amont

Ce principe du pilier de sécurité du Google Cloud framework Well-Architected vous aide à identifier les contrôles pratiques que vous pouvez implémenter tôt dans le cycle de vie du développement logiciel pour améliorer votre posture de sécurité. Il fournit des recommandations qui vous aident à mettre en œuvre des garde-fous de sécurité préventifs et des contrôles de sécurité post-déploiement.

Présentation des principes

La sécurité en amont consiste à adopter des pratiques de sécurité dès le début du cycle de vie du développement logiciel. Ce principe vise les objectifs suivants :

• Évitez les failles de sécurité avant d'apporter des modifications au système. Mettez en œuvre des garde-fous de sécurité préventifs et adoptez des pratiques telles que l'infrastructure as code (IaC), la stratégie as code et les contrôles de sécurité dans le pipeline CI/CD. Vous pouvez également utiliser d'autres fonctionnalités spécifiques à la plate-forme, telles que le service de règles d'administration et les clusters GKE renforcés dans Google Cloud.
• Détectez et corrigez les bugs de sécurité de manière précoce, rapide et fiable après l'application de toute modification du système. Adoptez des pratiques telles que les revues de code, l'analyse des failles après le déploiement et les tests de sécurité.

Les principes Implémenter la sécurité dès la conception et Shift-left security sont liés, mais leur portée diffère. Le principe de sécurité par conception vous aide à éviter les défauts de conception fondamentaux qui nécessiteraient de repenser l'ensemble du système. Par exemple, un exercice de modélisation des menaces révèle que la conception actuelle n'inclut pas de règle d'autorisation et que tous les utilisateurs auraient le même niveau d'accès sans elle. La sécurité "shift-left" vous aide à éviter les défauts d'implémentation (bugs et erreurs de configuration) avant l'application des modifications. Elle permet également d'effectuer des corrections rapides et fiables après le déploiement.

Recommandations

Pour implémenter le principe de sécurité "shift-left" pour vos charges de travail cloud, tenez compte des recommandations des sections suivantes :

• Adopter des contrôles de sécurité préventifs
• Automatiser le provisionnement et la gestion des ressources cloud
• Automatiser les versions sécurisées des applications
• Garantissez que les déploiements d'applications suivent les processus approuvés.
• Rechercher les failles connues avant le déploiement de l'application
• Détectez les failles connues dans votre code d'application.

Adopter des contrôles de sécurité préventifs

Cette recommandation concerne les domaines d'intérêt suivants :

• Gestion de l'authentification et des accès
• Gouvernance, risques et conformité dans le cloud

Les contrôles de sécurité préventifs sont essentiels pour maintenir un niveau de sécurité élevé dans le cloud. Ces contrôles vous aident à limiter les risques de manière proactive. Vous pouvez éviter les erreurs de configuration et les accès non autorisés aux ressources, permettre aux développeurs de travailler efficacement et contribuer à assurer la conformité avec les normes du secteur et les règles internes.

Les contrôles de sécurité préventifs sont plus efficaces lorsqu'ils sont implémentés à l'aide de l'infrastructure as code (IaC). Avec l'IaC, les contrôles de sécurité préventifs peuvent inclure des vérifications plus personnalisées du code d'infrastructure avant le déploiement des modifications. Associés à l'automatisation, les contrôles de sécurité préventifs peuvent s'exécuter dans le cadre des vérifications automatiques de votre pipeline CI/CD.

Les produits et fonctionnalités Google Cloud suivants peuvent vous aider à implémenter des contrôles préventifs dans votre environnement :

• Contraintes du service de règles d'administration : configurez des contraintes prédéfinies et personnalisées avec un contrôle centralisé.
• VPC Service Controls : créez des périmètres autour de vos services Google Cloud .
• Identity and Access Management (IAM), Privileged Access Manager et les stratégies de limites d'accès des principaux limitent l'accès aux ressources.
• Policy Controller et Open Policy Agent (OPA) : appliquez des contraintes IaC dans votre pipeline CI/CD et évitez les erreurs de configuration cloud.

IAM vous permet d'autoriser qui peut agir sur des ressources spécifiques en fonction des autorisations. Pour en savoir plus, consultez Contrôler l'accès aux ressources d'organisation avec IAM.

Le service de règles d'administration vous permet de définir des restrictions sur les ressources pour spécifier leur configuration. Par exemple, vous pouvez utiliser une règle d'administration pour effectuer les opérations suivantes :

• Limiter le partage des ressources en fonction du domaine
• Limiter l'utilisation des comptes de service.
• Limiter l'emplacement physique des ressources nouvellement créées.

En plus d'utiliser des règles d'administration, vous pouvez restreindre l'accès aux ressources à l'aide des méthodes suivantes :

• Tags avec IAM : attribuez un tag à un ensemble de ressources, puis définissez la définition d'accès pour le tag lui-même, plutôt que de définir les autorisations d'accès sur chaque ressource.
• Conditions IAM : définissez un contrôle des accès conditionnel et basé sur des attributs pour les ressources.
• Défense en profondeur : utilisez VPC Service Controls pour restreindre davantage l'accès aux ressources.

Pour en savoir plus sur la gestion des ressources, consultez Choisir une hiérarchie de ressources pour votre zone de destination Google Cloud .

Automatiser le provisionnement et la gestion des ressources cloud

Cette recommandation concerne les domaines d'intérêt suivants :

• Sécurité des applications
• Gouvernance, risques et conformité dans le cloud

L'automatisation du provisionnement et de la gestion des ressources et charges de travail cloud est plus efficace lorsque vous adoptez également l'IaC déclarative, par opposition au scripting impératif. L'IaC n'est pas un outil ni une pratique de sécurité en soi, mais elle vous aide à améliorer la sécurité de votre plate-forme. L'adoption de l'IaC vous permet de créer une infrastructure reproductible et fournit à votre équipe d'opérations un état correct connu. L'IaC améliore également l'efficacité des rollbacks, des modifications d'audit et du dépannage.

Combinée aux pipelines CI/CD et à l'automatisation, l'IaC vous permet également d'adopter des pratiques telles que la stratégie en tant que code avec des outils comme OPA. Vous pouvez auditer les modifications apportées à l'infrastructure au fil du temps et exécuter des vérifications automatiques sur le code d'infrastructure avant le déploiement des modifications.

Pour automatiser le déploiement de l'infrastructure, vous pouvez utiliser des outils tels que Config Controller, Terraform, Jenkins et Cloud Build. Pour vous aider à créer un environnement d'application sécurisé à l'aide de l'IaC et de l'automatisation,Google Cloud fournit le plan de base d'entreprise. Ce plan est une conception avisée de Google qui suit toutes nos pratiques et configurations recommandées. Le plan fournit des instructions détaillées pour configurer et déployer votre topologie Google Cloud à l'aide de Terraform et Cloud Build.

Vous pouvez modifier les scripts du plan de base d'entreprise pour configurer un environnement qui suit les recommandations de Google et répond à vos propres exigences de sécurité. Vous pouvez vous appuyer sur ce plan en utilisant des plans supplémentaires ou en concevant votre propre automatisation. LeGoogle Cloud Architecture Center fournit d'autres plans pouvant être implémentés en plus du plan de base de l'entreprise. Voici quelques exemples de ces plans :

• Déployer une plate-forme de développeur d'entreprise sur Google Cloud
• Déployer une architecture sécurisée sans serveur à l'aide de Cloud Run
• Créez et déployez des modèles d'IA générative et de machine learning dans une entreprise
• Importer des données depuis Google Cloud dans un entrepôt de données BigQuery sécurisé

Automatiser les versions sécurisées des applications

Cette recommandation concerne le domaine d'intérêt suivant : sécurité des applications.

Sans outils automatisés, il peut s'avérer difficile de déployer, de mettre à jour et d'appliquer des correctifs aux environnements applicatifs complexes pour satisfaire les exigences de sécurité. Nous vous recommandons de créer des pipelines CI/CD automatisés pour votre cycle de développement logiciel (SDLC). Les pipelines CI/CD automatisés vous aident à supprimer les erreurs manuelles, à fournir des boucles de rétroaction standardisées pour le développement et à permettre des itérations efficaces des produits. La livraison continue est l'une des bonnes pratiques recommandées par le framework DORA.

L'automatisation des versions d'applications à l'aide de pipelines CI/CD vous aide à mieux détecter et corriger les bugs de sécurité de manière précoce, rapide et fiable. Par exemple, vous pouvez rechercher automatiquement les failles de sécurité lors de la création des artefacts, réduire le champ d'application des vérifications de sécurité et revenir à une version connue et sécurisée. Vous pouvez également définir des règles pour différents environnements (développement, test, production, etc.) afin que seuls les artefacts validés soient déployés.

Pour vous aider à automatiser les versions d'applications et à intégrer des contrôles de sécurité dans votre pipeline CI/CD, Google Cloud fournit plusieurs outils, dont Cloud Build, Cloud Deploy, Web Security Scanner et Autorisation binaire.

Pour établir un processus qui vérifie plusieurs exigences de sécurité dans votre SDLC, utilisez le framework SLSA (Supply-chain Levels for Software Artifacts), qui a été défini par Google. SLSA exige des contrôles de sécurité pour le code source, le processus de compilation et la provenance du code. Bon nombre de ces exigences peuvent être incluses dans un pipeline CI/CD automatisé. Pour comprendre comment Google applique ces pratiques en interne, consultez l'approche deGoogle Cloudface au changement.

Garantissez que les déploiements d'applications suivent les processus approuvés.

Cette recommandation concerne le domaine d'intérêt suivant : sécurité des applications.

Si un pirate informatique compromet votre pipeline CI/CD, l'ensemble de votre pile d'applications peut être affecté. Pour sécuriser le pipeline, vous devez appliquer un processus d'approbation bien défini avant de déployer le code en production.

Si vous utilisez Google Kubernetes Engine (GKE), GKE Enterprise ou Cloud Run, vous pouvez établir un processus d'approbation à l'aide de l'autorisation binaire. L'autorisation binaire associe des signatures configurables aux images de conteneurs. Ces signatures (également appelées attestations) aident à valider l'image. Au moment du déploiement, l'autorisation binaire utilise ces attestations pour déterminer si un processus a été effectué. Par exemple, vous pouvez utiliser l'autorisation binaire pour effectuer les opérations suivantes :

• Vérifier qu'un système de compilation ou un pipeline d'intégration continue (CI) spécifique a bien créé une image de conteneur.
• Vérifier qu'une image de conteneur est conforme aux règles de signature des failles.
• Vérifier qu'une image de conteneur transmet les critères de promotion à l'environnement de déploiement suivant, par exemple de l'environnement de développement vers l'environnement de contrôle qualité

En utilisant l'autorisation binaire, vous pouvez vous assurer que seul le code de confiance s'exécute sur vos plates-formes cibles.

Rechercher les failles connues avant le déploiement de l'application

Cette recommandation concerne le domaine d'intérêt suivant : sécurité des applications.

Nous vous recommandons d'utiliser des outils automatisés pour analyser en continu les failles des artefacts d'application avant leur déploiement en production.

Pour les applications conteneurisées, utilisez Artifact Analysis pour exécuter automatiquement des analyses de failles pour les images de conteneurs. Artifact Analysis analyse les nouvelles images au fur et à mesure de leur importation dans Artifact Registry. Cette analyse extrait des informations sur les packages système du conteneur. Une fois l'analyse initiale terminée, Artifact Analysis surveille en permanence les métadonnées des images analysées dans Artifact Registry afin de détecter de nouvelles failles. Lorsque Artifact Analysis reçoit de nouvelles informations ou des informations actualisées sur les failles provenant de sources de failles, il effectue les opérations suivantes :

• Mise à jour des métadonnées des images analysées afin de les actualiser.
• Création d'occurrences de failles pour les nouvelles notes.
• Suppression des occurrences de failles qui ne sont plus valides.

Détectez les failles connues dans votre code d'application.

Cette recommandation concerne le domaine d'intérêt suivant : sécurité des applications.

Utilisez des outils automatisés pour surveiller en permanence le code de votre application afin de détecter les failles connues, comme le OWASP Top 10. Pour en savoir plus sur les produits et les fonctionnalités Google Cloud compatibles avec le top 10 des techniques d'atténuation OWASP, consultez Top 10 des options d'atténuation de l'OWASP sur Google Cloud.

Utilisez Web Security Scanner pour identifier les failles de sécurité dans vos applications Web App Engine, Compute Engine et GKE. Le scanner explore votre application, suit tous les liens associés à vos URL de démarrage et tente de tester un maximum d'entrées utilisateur et de gestionnaires d'événements. Il recherche et détecte automatiquement les failles courantes, y compris les scripts intersites, les injections de code, les contenus mixtes et les bibliothèques obsolètes ou non sécurisées. Web Security Scanner vous permet d'identifier rapidement ces types de failles sans vous distraire avec de faux positifs.

De plus, si vous utilisez GKE Enterprise pour gérer des parcs de clusters Kubernetes, le tableau de bord de la stratégie de sécurité affiche des recommandations avisées et exploitables pour vous aider à améliorer la stratégie de sécurité de votre parc.

Mettre en place une cyberdéfense préventive

Ce principe du pilier de sécurité du Google Cloud Well-Architected Framework fournit des recommandations pour créer des programmes de cyberdéfense robustes dans le cadre de votre stratégie de sécurité globale.

Ce principe met l'accent sur l'utilisation du renseignement sur les menaces pour guider de manière proactive vos efforts dans les fonctions de cyberdéfense de base, telles que définies dans The Defender's Advantage : guide d'activation de la cyberdéfense.

Présentation des principes

Lorsque vous défendez votre système contre les cyberattaques, vous disposez d'un avantage important et sous-utilisé par rapport aux pirates informatiques. Comme l'indique le fondateur de Mandiant : "personne d'autre ne connaît mieux que vous votre entreprise, vos systèmes, votre topologie et votre infrastructure. C'est un avantage incroyable." Pour vous aider à tirer parti de cet avantage inhérent, ce document fournit des recommandations sur les pratiques de cyberdéfense proactives et stratégiques qui sont mappées au framework "The Defender's Advantage".

Recommandations

Pour implémenter une cyberdéfense préventive pour vos charges de travail cloud, tenez compte des recommandations des sections suivantes :

• Intégrer les fonctions de cyberdéfense
• Utiliser la fonction Intelligence dans tous les aspects de la cyberdéfense
• Comprendre et exploiter l'avantage du défenseur
• Valider et améliorer vos défenses en continu
• Gérer et coordonner les efforts de cyberdéfense

Intégrer les fonctions de cyberdéfense

Cette recommandation s'applique à tous les domaines d'action.

Le framework The Defender's Advantage identifie six fonctions essentielles de la cyberdéfense : renseignement, détection, réponse, validation, chasse et contrôle de mission. Chaque fonction se concentre sur une partie unique de la mission de cyberdéfense, mais ces fonctions doivent être bien coordonnées et travailler ensemble pour fournir une défense efficace. Concentrez-vous sur la création d'un système robuste et intégré où chaque fonction soutient les autres. Si vous avez besoin d'une approche progressive pour l'adoption, suivez l'ordre suggéré ci-dessous. En fonction de votre niveau de maturité cloud actuel, de la topologie des ressources et du paysage des menaces spécifique, vous pouvez choisir de privilégier certaines fonctions.

1. Intelligence : la fonction Intelligence guide toutes les autres fonctions. Il est essentiel de comprendre le paysage des menaces (y compris les pirates informatiques les plus probables, leurs tactiques, techniques et procédures, ainsi que l'impact potentiel) pour hiérarchiser les actions dans l'ensemble du programme. La fonction Intelligence est responsable de l'identification des parties prenantes, de la définition des exigences en matière de renseignements, de la collecte, de l'analyse et de la diffusion des données, de l'automatisation et de la création d'un profil de cybermenace.
2. Détection et réponse : ces fonctions constituent le cœur de la défense active, qui consiste à identifier et à traiter les activités malveillantes. Ces fonctions sont nécessaires pour agir sur les informations recueillies par la fonction d'intelligence. La fonction de détection nécessite une approche méthodique qui aligne les détections sur les TTP des pirates informatiques et garantit une journalisation robuste. La fonction Répondre doit se concentrer sur le tri initial, la collecte de données et la résolution des incidents.
3. Valider : la fonction de validation est un processus continu qui garantit que votre écosystème de contrôle de la sécurité est à jour et fonctionne comme prévu. Cette fonction permet à votre organisation de comprendre la surface d'attaque, de savoir où se trouvent les failles et de mesurer l'efficacité des contrôles. La validation de la sécurité est également un élément important du cycle de vie de l'ingénierie de la détection. Elle doit être utilisée pour identifier les lacunes de détection et créer de nouvelles détections.
4. Chasse : la fonction de chasse consiste à rechercher de manière proactive les menaces actives dans un environnement. Cette fonction doit être implémentée lorsque votre organisation a atteint un niveau de maturité de référence dans les fonctions de détection et de réponse. La fonction "Hunt" étend les capacités de détection et permet d'identifier les lacunes et les faiblesses des contrôles. La fonction de recherche doit être basée sur des menaces spécifiques. Cette fonctionnalité avancée s'appuie sur des capacités robustes en matière d'intelligence, de détection et de réponse.
5. Mission Control : cette fonction sert de hub central pour toutes les autres fonctions. Cette fonction est responsable de la stratégie, de la communication et des actions décisives dans votre programme de cyberdéfense. Elle permet de s'assurer que toutes les fonctions fonctionnent ensemble et qu'elles sont alignées sur les objectifs commerciaux de votre organisation. Vous devez vous concentrer sur la compréhension de l'objectif de la fonction Mission Control avant de l'utiliser pour connecter les autres fonctions.

Utiliser la fonction Intelligence dans tous les aspects de la cyberdéfense

Cette recommandation s'applique à tous les domaines d'action.

Cette recommandation met en évidence la fonction de renseignement comme élément essentiel d'un programme de cyberdéfense efficace. Les renseignements sur les menaces fournissent des informations sur les acteurs malveillants, leurs TTP et les indicateurs de compromission. Ces connaissances doivent éclairer et prioriser les actions dans toutes les fonctions de cyberdéfense. Une approche axée sur l'intelligence vous aide à aligner vos défenses pour faire face aux menaces les plus susceptibles d'affecter votre organisation. Cette approche permet également d'allouer et de hiérarchiser efficacement les ressources.

Les produits et fonctionnalités suivants Google Cloud vous aident à tirer parti des renseignements sur les menaces pour orienter vos opérations de sécurité. Utilisez ces fonctionnalités pour identifier et hiérarchiser les menaces, les failles et les risques potentiels, puis planifier et mettre en œuvre les actions appropriées.

• Google Security Operations (Google SecOps) vous aide à stocker et à analyser les données de sécurité de manière centralisée. Utilisez Google SecOps pour mapper les journaux dans un modèle commun, les enrichir et les associer à des chronologies afin d'obtenir une vue complète des attaques. Vous pouvez également créer des règles de détection, configurer la mise en correspondance d'IoC et effectuer des activités de recherche des menaces. La plate-forme fournit également des détections sélectionnées, qui sont des règles prédéfinies et gérées pour vous aider à identifier les menaces. Google SecOps peut également s'intégrer à l'expertise de terrain de Mandiant. Google SecOps intègre de manière unique une IA de pointe, ainsi que les renseignements sur les menaces de Mandiant et Google VirusTotal. Cette intégration est essentielle pour évaluer les menaces et comprendre qui cible votre organisation, ainsi que l'impact potentiel.

• Security Command Center Enterprise, optimisé par l'IA de Google, permet aux professionnels de la sécurité d'évaluer, d'examiner et de résoudre efficacement les problèmes de sécurité dans plusieurs environnements cloud. Les professionnels de la sécurité qui peuvent bénéficier de Security Command Center incluent les analystes du centre opérationnel de sécurité (SOC), les analystes des failles et de la posture, ainsi que les responsables de la conformité. Security Command Center Enterprise enrichit les données de sécurité, évalue les risques et hiérarchise les failles. Cette solution fournit aux équipes les informations dont elles ont besoin pour résoudre les vulnérabilités à haut risque et corriger les menaces actives.

• Chrome Enterprise Premium offre une protection contre les menaces et les données, ce qui permet de protéger les utilisateurs contre les risques d'exfiltration et d'empêcher les logiciels malveillants d'accéder aux appareils gérés de l'entreprise. Chrome Enterprise Premium offre également une visibilité sur les activités non sécurisées ou potentiellement non sécurisées qui peuvent se produire dans le navigateur.

• La surveillance du réseau, à l'aide d'outils tels que Network Intelligence Center, permet de visualiser les performances du réseau. La surveillance du réseau peut également vous aider à détecter des schémas de trafic inhabituels ou des quantités de données transférées qui pourraient indiquer une tentative d'attaque ou d'exfiltration de données.

Comprendre et exploiter l'avantage du défenseur

Cette recommandation s'applique à tous les domaines d'action.

Comme mentionné précédemment, vous avez un avantage sur les pirates informatiques lorsque vous comprenez parfaitement votre entreprise, vos systèmes, votre topologie et votre infrastructure. Pour tirer parti de cet avantage en termes de connaissances, utilisez ces données sur vos environnements lors de la planification de la cyberdéfense.

Google Cloud fournit les fonctionnalités suivantes pour vous aider à obtenir de manière proactive de la visibilité afin d'identifier les menaces, de comprendre les risques et de répondre rapidement pour atténuer les dommages potentiels :

• Chrome Enterprise Premium vous aide à renforcer la sécurité des appareils de votre entreprise en protégeant les utilisateurs contre les risques d'exfiltration. Elle étend les services Sensitive Data Protection au navigateur et empêche les logiciels malveillants. Il propose également des fonctionnalités telles que la protection contre les logiciels malveillants et l'hameçonnage pour vous aider à éviter d'être exposé à des contenus dangereux. De plus, il vous permet de contrôler l'installation d'extensions pour éviter les extensions dangereuses ou non vérifiées. Ces fonctionnalités vous aident à établir une base sécurisée pour vos opérations.

• Security Command Center Enterprise fournit un moteur de gestion des risques continu qui offre une analyse et une gestion des risques complètes et continues. La fonctionnalité de moteur de risque enrichit les données de sécurité, évalue les risques et hiérarchise les failles pour vous aider à résoudre rapidement les problèmes. Security Command Center permet à votre organisation d'identifier de manière proactive les points faibles et de mettre en œuvre des mesures d'atténuation.

• Google SecOps centralise les données de sécurité et fournit des journaux enrichis avec des chronologies. Les équipes de sécurité peuvent ainsi identifier de manière proactive les compromissions actives et adapter leurs défenses en fonction du comportement des pirates informatiques.

• La surveillance du réseau permet d'identifier les activités réseau irrégulières qui peuvent indiquer une attaque. Elle fournit également des indicateurs précoces que vous pouvez utiliser pour prendre des mesures. Pour protéger de manière proactive vos données contre le vol, surveillez en permanence l'exfiltration de données et utilisez les outils fournis.

Valider et améliorer vos défenses en continu

Cette recommandation s'applique à tous les domaines d'action.

Cette recommandation souligne l'importance des tests ciblés et de la validation continue des contrôles pour comprendre les points forts et les points faibles sur l'ensemble de la surface d'attaque. Cela inclut la validation de l'efficacité des contrôles, des opérations et du personnel à l'aide de méthodes telles que les suivantes :

• Tests d'intrusion
• Exercices red team/blue team et purple team
• Simulations

Vous devez également rechercher activement les menaces et utiliser les résultats pour améliorer la détection et la visibilité. Utilisez les outils suivants pour tester et valider en permanence vos défenses contre les menaces réelles :

• Security Command Center Enterprise fournit un moteur d'analyse des risques en continu pour évaluer les failles et prioriser les mesures correctives. Il permet ainsi d'évaluer en permanence votre stratégie globale de sécurité. En vous aidant à prioriser les problèmes, Security Command Center Enterprise vous permet de vous assurer que les ressources sont utilisées efficacement.

• Google SecOps propose des fonctionnalités de chasse aux menaces et des détections sélectionnées qui vous permettent d'identifier de manière proactive les faiblesses de vos contrôles. Cette fonctionnalité permet de tester et d'améliorer en continu votre capacité à détecter les menaces.

• Chrome Enterprise Premium fournit des fonctionnalités de protection contre les menaces et des données qui peuvent vous aider à faire face aux menaces nouvelles et en constante évolution, et à mettre à jour en permanence vos défenses contre les risques d'exfiltration et les logiciels malveillants.

• Cloud Next Generation Firewall (Cloud NGFW) fournit une surveillance du réseau et de l'exfiltration de données. Ces fonctionnalités peuvent vous aider à valider l'efficacité de votre posture de sécurité actuelle et à identifier les faiblesses potentielles. La surveillance de l'exfiltration de données vous aide à valider l'efficacité des mécanismes de protection des données de votre organisation et à effectuer des ajustements proactifs si nécessaire. Lorsque vous intégrez les résultats sur les menaces de Cloud NGFW à Security Command Center et Google SecOps, vous pouvez optimiser la détection des menaces réseau, la réponse aux menaces et les playbooks d'automatisation. Pour en savoir plus sur cette intégration, consultez Unifying Your Cloud Defenses: Security Command Center & Cloud NGFW Enterprise (Unifiez vos défenses cloud : Security Command Center et Cloud NGFW Enterprise).

Gérer et coordonner les efforts de cyberdéfense

Cette recommandation s'applique à tous les domaines d'action.

Comme décrit précédemment dans Intégrer les fonctions de cyberdéfense, la fonction Mission Control interconnecte les autres fonctions du programme de cyberdéfense. Cette fonction permet la coordination et la gestion unifiée du programme. Cela vous aide également à coordonner vos efforts avec d'autres équipes qui ne travaillent pas sur la cybersécurité. La fonction de contrôle de mission favorise l'autonomie et la responsabilité, facilite l'agilité et l'expertise, et renforce la responsabilité et la transparence.

Les produits et fonctionnalités suivants peuvent vous aider à implémenter la fonctionnalité Mission Control :

• Security Command Center Enterprise sert de hub central pour coordonner et gérer vos opérations de cyberdéfense. Il rassemble les outils, les équipes et les données, ainsi que les fonctionnalités de réponse Google SecOps intégrées. Security Command Center offre une visibilité claire sur l'état de sécurité de votre organisation et permet d'identifier les erreurs de configuration de sécurité dans différentes ressources.
• Google SecOps fournit une plate-forme permettant aux équipes de répondre aux menaces en mappant les journaux et en créant des chronologies. Vous pouvez également définir des règles de détection et rechercher des menaces.
• Google Workspace et Chrome Enterprise Premium vous aident à gérer et à contrôler l'accès des utilisateurs finaux aux ressources sensibles. Vous pouvez définir des contrôles d'accès précis en fonction de l'identité de l'utilisateur et du contexte d'une demande.
• La surveillance du réseau fournit des insights sur les performances des ressources réseau. Vous pouvez importer des insights de surveillance du réseau dans Security Command Center et Google SecOps pour une surveillance et une corrélation centralisées par rapport à d'autres points de données basés sur la chronologie. Cette intégration vous aide à détecter les éventuels changements d'utilisation du réseau causés par des activités malveillantes et à y répondre.
• La surveillance de l'exfiltration de données permet d'identifier les éventuels incidents de perte de données. Cette fonctionnalité vous permet de mobiliser efficacement une équipe de réponse aux incidents, d'évaluer les dommages et de limiter l'exfiltration de données. Vous pouvez également améliorer les règles et les contrôles actuels pour assurer la protection des données.

Récapitulatif du produit

Le tableau suivant liste les produits et fonctionnalités décrits dans ce document, et les associe aux recommandations et aux fonctionnalités de sécurité correspondantes.

Google Cloud produit	Recommandations applicables
Google SecOps	Utilisez la fonction Intelligence dans tous les aspects de la cyberdéfense : permet la chasse aux menaces et la mise en correspondance des IoC, et s'intègre à Mandiant pour une évaluation complète des menaces. Comprendre et exploiter l'avantage du défenseur : fournit des détections sélectionnées et centralise les données de sécurité pour identifier de manière proactive les compromissions. Validez et améliorez vos défenses en continu : Permet de tester et d'améliorer en continu les capacités de détection des menaces. Gérez et coordonnez les efforts de cyberdéfense grâce à Mission Control : fournit une plate-forme pour la réponse aux menaces, l'analyse des journaux et la création de chronologies.
Security Command Center Enterprise	Utilisez la fonction Intelligence dans tous les aspects de la cyberdéfense : utilise l'IA pour évaluer les risques, hiérarchiser les failles et fournir des insights pratiques pour la correction. Comprendre et exploiter l'avantage du défenseur : offre une analyse complète des risques, une hiérarchisation des failles et une identification proactive des points faibles. Validez et améliorez vos défenses en continu : évaluez en permanence votre stratégie de sécurité et hiérarchisez vos ressources. Gérer et coordonner les efforts de cyberdéfense grâce à Mission Control : sert de plate-forme centrale pour gérer et coordonner les opérations de cyberdéfense.
Chrome Enterprise Premium	Utilisez la fonctionnalité Intelligence dans tous les aspects de la cyberdéfense : protégez les utilisateurs contre les risques d'exfiltration, empêchez les logiciels malveillants et offrez une visibilité sur les activités dangereuses du navigateur. Comprendre et exploiter l'avantage de votre solution Defender : améliore la sécurité des appareils de l'entreprise grâce à la protection des données, à la prévention contre les logiciels malveillants et au contrôle des extensions. Validez et améliorez vos défenses en continu : répondez aux menaces nouvelles et en constante évolution grâce à des mises à jour continues des défenses contre les risques d'exfiltration et les logiciels malveillants. Gérez et coordonnez les efforts de cyberdéfense grâce à Mission Control : gérez et contrôlez l'accès des utilisateurs finaux aux ressources sensibles, y compris les contrôles d'accès précis.
Google Workspace	Gérez et coordonnez les efforts de cyberdéfense grâce à Mission Control : gérez et contrôlez l'accès des utilisateurs finaux aux ressources sensibles, y compris les contrôles d'accès précis.
Network Intelligence Center	Utilisez la fonction Intelligence dans tous les aspects de la cyberdéfense : Elle offre une visibilité sur les performances du réseau et détecte les schémas de trafic ou les transferts de données inhabituels.
Cloud NGFW	Validez et améliorez vos défenses en continu : optimisez la détection des menaces et la réponse aux menaces basées sur le réseau grâce à l'intégration à Security Command Center et Google SecOps.

Utiliser l'IA de manière sécurisée et responsable

Ce principe du pilier de sécurité du Google Cloud Well-Architected Framework fournit des recommandations pour vous aider à sécuriser vos systèmes d'IA. Ces recommandations sont conformes au framework d'IA sécurisé (SAIF) de Google, qui fournit une approche pratique pour répondre aux préoccupations liées à la sécurité et aux risques des systèmes d'IA. Le SAIF est un framework conceptuel qui vise à fournir des normes à l'échelle du secteur pour créer et déployer l'IA de manière responsable.

Présentation des principes

Pour vous assurer que vos systèmes d'IA répondent à vos exigences en matière de sécurité, de confidentialité et de conformité, vous devez adopter une stratégie globale qui commence par la conception initiale et s'étend au déploiement et aux opérations. Vous pouvez mettre en œuvre cette stratégie globale en appliquant les six éléments fondamentaux du SAIF.

Google utilise l'IA pour améliorer les mesures de sécurité, par exemple en identifiant les menaces, en automatisant les tâches de sécurité et en améliorant les capacités de détection, tout en gardant les humains impliqués dans les décisions critiques.

Google met l'accent sur une approche collaborative pour faire progresser la sécurité de l'IA. Cette approche consiste à collaborer avec les clients, les secteurs et les gouvernements pour améliorer les consignes du SAIF et proposer des ressources pratiques et exploitables.

Les recommandations pour mettre en œuvre ce principe sont regroupées dans les sections suivantes :

• Recommandations pour utiliser l'IA de manière sécurisée
• Recommandations pour la gouvernance de l'IA

Recommandations pour utiliser l'IA de manière sécurisée

Pour utiliser l'IA de manière sécurisée, vous avez besoin de contrôles de sécurité fondamentaux et de contrôles de sécurité spécifiques à l'IA. Cette section présente des recommandations pour vous assurer que vos déploiements d'IA et de ML répondent aux exigences de votre organisation en termes de sécurité, de confidentialité et de conformité. Pour obtenir une présentation des principes et des recommandations d'architecture spécifiques aux charges de travail d'IA et de ML dans Google Cloud, consultez la perspective de l'IA et du ML dans le framework Well-Architected.

Définissez des objectifs et des exigences clairs pour l'utilisation de l'IA.

Cette recommandation concerne les domaines d'intérêt suivants :

• Gouvernance, risques et conformité dans le cloud
• Sécurité de l'IA et du ML

Cette recommandation s'aligne sur l'élément SAIF concernant la contextualisation des risques liés aux systèmes d'IA dans les processus métier environnants. Lorsque vous concevez et faites évoluer des systèmes d'IA, il est important de comprendre vos objectifs commerciaux spécifiques, vos risques et vos exigences de conformité.

Sécuriser les données et éviter leur perte ou leur mauvaise gestion

Cette recommandation concerne les domaines d'intérêt suivants :

• Sécurité de l'infrastructure
• Gestion de l'authentification et des accès
• Sécurité des données
• Sécurité des applications
• Sécurité de l'IA et du ML

Cette recommandation s'aligne sur les éléments suivants de la SAIF :

• Développer des bases solides pour la sécurité de l'écosystème d'IA Cet élément inclut la collecte, le stockage et la protection des données, ainsi que le contrôle des accès et la protection contre l'empoisonnement des données.
• Contextualisez les risques liés aux systèmes d'IA. Mettez l'accent sur la sécurité des données pour atteindre vos objectifs commerciaux et assurer la conformité.

Sécuriser les pipelines d'IA et les protéger contre les accès non autorisés

Cette recommandation concerne les domaines d'intérêt suivants :

• Sécurité de l'infrastructure
• Gestion de l'authentification et des accès
• Sécurité des données
• Sécurité des applications
• Sécurité de l'IA et du ML

Cette recommandation s'aligne sur les éléments suivants de la SAIF :

• Développer des bases solides pour la sécurité de l'écosystème d'IA Pour établir un système d'IA sécurisé, protégez votre code et vos artefacts de modèle.
• Adapter les contrôles pour des boucles de rétroaction plus rapides. Il est important de suivre vos assets et vos exécutions de pipeline pour la mitigation et la gestion des incidents.

Déployer des applications sur des systèmes sécurisés à l'aide d'outils et d'artefacts sécurisés

Cette recommandation concerne les domaines d'intérêt suivants :

• Sécurité de l'infrastructure
• Gestion de l'authentification et des accès
• Sécurité des données
• Sécurité des applications
• Sécurité de l'IA et du ML

L'utilisation de systèmes sécurisés, d'outils et d'artefacts validés dans les applications basées sur l'IA s'aligne sur l'élément du SAIF concernant le développement de bases solides pour la sécurité de l'écosystème et de la chaîne d'approvisionnement de l'IA. Pour résoudre ce problème, procédez comme suit :

• Implémenter un environnement sécurisé pour l'entraînement et le déploiement du ML
• Utiliser des images de conteneurs validées
• Appliquer les consignes Supply-chain Levels for Software Artifacts (SLSA)

Protéger et surveiller les entrées

Cette recommandation concerne les domaines d'intérêt suivants :

• Journalisation, audit et surveillance
• Opérations de sécurité
• Sécurité de l'IA et du ML

Cette recommandation correspond à l'élément SAIF qui consiste à étendre la détection et la capacité de réponse afin d'intégrer l'IA aux stratégies de protection contre les menaces pesant sur les organisations. Pour éviter les problèmes, il est essentiel de gérer les requêtes pour les systèmes d'IA générative, de surveiller les entrées et de contrôler l'accès des utilisateurs.

Recommandations pour la gouvernance de l'IA

Toutes les recommandations de cette section concernent le domaine d'intérêt suivant : gouvernance, risques et conformité du cloud.

Google Cloud propose un ensemble robuste d'outils et de services que vous pouvez utiliser pour créer des systèmes d'IA responsables et éthiques. Nous proposons également un ensemble de règles, de procédures et de considérations éthiques qui peuvent guider le développement, le déploiement et l'utilisation des systèmes d'IA.

Comme le reflètent nos recommandations, l'approche de Google en matière de gouvernance de l'IA est guidée par les principes suivants :

• Équité
• Transparence
• Responsabilité
• Confidentialité
• Sécurité

Utiliser les indicateurs d'équité

Vertex AI peut détecter les biais lors de la collecte des données ou du processus d'évaluation post-entraînement. Vertex AI fournit des métriques d'évaluation de modèle, telles que le biais des données et le biais du modèle, pour vous aider à évaluer les biais de votre modèle.

Ces métriques sont liées à l'équité dans différentes catégories telles que l'origine ethnique, le genre et la classe. Toutefois, l'interprétation des écarts statistiques n'est pas simple, car les différences entre les catégories ne sont pas forcément le résultat d'un biais ou le signe d'un préjudice.

Utilisez Vertex Explainable AI

Pour comprendre comment les modèles d'IA prennent des décisions, utilisez Vertex Explainable AI. Cette fonctionnalité vous aide à identifier les biais potentiels qui peuvent être cachés dans la logique du modèle.

Cette fonctionnalité d'explication est intégrée à BigQuery ML et Vertex AI, qui fournissent des explications basées sur les caractéristiques. Vous pouvez effectuer l'explicabilité dans BigQuery ML ou enregistrer votre modèle dans Vertex AI et effectuer l'explicabilité dans Vertex AI.

Suivre la traçabilité des données

Suivez l'origine et la transformation des données utilisées dans vos systèmes d'IA. Ce suivi vous aide à comprendre le parcours des données et à identifier les sources potentielles de biais ou d'erreurs.

La traçabilité des données est une fonctionnalité Dataplex Universal Catalog qui vous permet de suivre la manière dont les données transitent par vos systèmes : leur origine, la cible de transmission, et les transformations qui leur sont appliquées.

Établir la responsabilité

Définissez clairement les responsabilités concernant le développement, le déploiement et les résultats de vos systèmes d'IA.

Utilisez Cloud Logging pour consigner les événements clés et les décisions prises par vos systèmes d'IA. Les journaux fournissent un journal d'audit pour vous aider à comprendre les performances du système et à identifier les points à améliorer.

Utilisez Error Reporting pour analyser systématiquement les erreurs commises par les systèmes d'IA. Cette analyse peut révéler des schémas qui indiquent des biais sous-jacents ou des domaines dans lesquels le modèle doit être affiné.

Implémenter la confidentialité différentielle

Lors de l'entraînement du modèle, ajoutez du bruit aux données afin de rendre difficile l'identification de points de données individuels, tout en permettant au modèle d'apprendre efficacement. Avec SQL dans BigQuery, vous pouvez transformer les résultats d'une requête avec des agrégations différentiellement privées.

Utiliser l'IA pour la sécurité

Ce principe du pilier de sécurité du Google Cloud Well-Architected Framework fournit des recommandations pour utiliser l'IA afin d'améliorer la sécurité de vos charges de travail cloud.

En raison du nombre croissant et de la sophistication des cyberattaques, il est important de tirer parti du potentiel de l'IA pour améliorer la sécurité. L'IA peut aider à réduire le nombre de menaces, à diminuer les efforts manuels requis par les professionnels de la sécurité et à compenser la pénurie d'experts dans le domaine de la cybersécurité.

Présentation des principes

Utilisez les fonctionnalités d'IA pour améliorer vos systèmes et processus de sécurité existants. Vous pouvez utiliser Gemini dans Security ainsi que les fonctionnalités d'IA intrinsèques intégrées aux services Google Cloud .

Ces fonctionnalités d'IA peuvent transformer la sécurité en fournissant une assistance à chaque étape du cycle de vie de la sécurité. Par exemple, vous pouvez utiliser l'IA pour effectuer les opérations suivantes :

• Analysez et expliquez le code potentiellement malveillant sans avoir à faire de la rétro-ingénierie.
• Réduisez le travail répétitif pour les professionnels de la cybersécurité.
• Utilisez le langage naturel pour générer des requêtes et interagir avec les données d'événements de sécurité.
• Afficher des informations contextuelles
• proposer des recommandations pour des réponses rapides ;
• Aider à résoudre les événements.
• résumer les alertes à priorité élevée en cas d'erreur de configuration et de faille, en soulignant l'impact potentiel et en recommandant des mesures d'atténuation.

Niveaux d'autonomie de sécurité

L'IA et l'automatisation peuvent vous aider à améliorer la sécurité face aux menaces de cybersécurité en constante évolution. En utilisant l'IA pour la sécurité, vous pouvez atteindre des niveaux d'autonomie plus élevés pour détecter et prévenir les menaces, et améliorer votre posture de sécurité globale. Google définit quatre niveaux d'autonomie lorsque vous utilisez l'IA pour la sécurité. Ils décrivent le rôle croissant de l'IA dans l'assistance et, à terme, dans la direction des tâches de sécurité :

1. Manuelle : les humains exécutent toutes les tâches de sécurité (prévention, détection, priorisation et réponse) tout au long du cycle de vie de la sécurité.
2. Assistée : les outils d'IA, comme Gemini, améliorent la productivité humaine en résumant des informations, en générant des insights et en faisant des recommandations.
3. Semi-autonome : l'IA assume la responsabilité principale de nombreuses tâches de sécurité et ne délègue aux humains que lorsque cela est nécessaire.
4. Autonome : l'IA agit comme un assistant de confiance qui gère le cycle de vie de la sécurité en fonction des objectifs et des préférences de votre organisation, avec une intervention humaine minimale.

Recommandations

Les sections suivantes décrivent les recommandations pour l'utilisation de l'IA pour la sécurité. Les sections indiquent également comment les recommandations s'alignent sur les éléments fondamentaux du framework d'IA sécurisé (SAIF) de Google et comment elles s'appliquent aux niveaux d'autonomie de sécurité.

• Améliorer la détection des menaces et la réponse grâce à l'IA
• Simplifier la sécurité, que vous soyez expert ou non
• Automatiser les tâches de sécurité chronophages grâce à l'IA
• Intégrer l'IA dans les processus de gestion des risques et de gouvernance
• Mettre en œuvre des pratiques de développement sécurisées pour les systèmes d'IA

Améliorer la détection et la gestion des menaces grâce à l'IA

Cette recommandation concerne les domaines d'intérêt suivants :

• Opérations de sécurité (SecOps)
• Journalisation, audit et surveillance

L'IA peut analyser de grands volumes de données de sécurité, fournir des informations sur le comportement des acteurs malveillants et automatiser l'analyse du code potentiellement malveillant. Cette recommandation est conforme aux éléments suivants du SAIF :

• Étendez la détection et la réponse pour intégrer l'IA à l'univers des menaces de votre organisation.
• Automatisez vos défenses pour faire face aux menaces nouvelles et existantes.

Selon votre implémentation, cette recommandation peut s'appliquer aux niveaux d'autonomie suivants :

• Assistée : l'IA aide à l'analyse et à la détection des menaces.
• Semi-autonomie : l'IA assume une plus grande part de responsabilité dans la tâche de sécurité.

Google Threat Intelligence, qui utilise l'IA pour analyser le comportement des auteurs de menaces et le code malveillant, peut vous aider à appliquer cette recommandation.

Simplifier la sécurité, que vous soyez expert ou non

Cette recommandation concerne les domaines d'intérêt suivants :

• Opérations de sécurité (SecOps)
• Gouvernance, risques et conformité dans le cloud

Les outils optimisés par l'IA peuvent résumer les alertes et recommander des mesures d'atténuation. Ces fonctionnalités peuvent rendre la sécurité plus accessible à un plus grand nombre de personnes. Cette recommandation est conforme aux éléments suivants du SAIF :

• Automatisez vos défenses pour faire face aux menaces nouvelles et existantes.
• Harmonisez les contrôles au niveau de la plate-forme pour assurer une sécurité cohérente dans toute l'organisation.

Selon votre implémentation, cette recommandation peut s'appliquer aux niveaux d'autonomie suivants :

• Assisté : l'IA vous aide à améliorer l'accessibilité des informations sur la sécurité.
• Semi-autonomie : l'IA contribue à rendre les pratiques de sécurité plus efficaces pour tous les utilisateurs.

Gemini dans Security Command Center peut fournir des résumés des alertes en cas d'erreur de configuration et de faille.

Automatiser les tâches de sécurité chronophages grâce à l'IA

Cette recommandation concerne les domaines d'intérêt suivants :

• Sécurité de l'infrastructure
• Opérations de sécurité (SecOps)
• Sécurité des applications

L'IA peut automatiser des tâches telles que l'analyse des logiciels malveillants, la génération de règles de sécurité et l'identification des erreurs de configuration. Ces fonctionnalités peuvent aider à réduire la charge de travail des équipes de sécurité et à accélérer les temps de réponse. Cette recommandation est conforme à l'élément SAIF sur l'automatisation des défenses pour s'adapter aux menaces nouvelles et existantes.

Selon votre implémentation, cette recommandation peut s'appliquer aux niveaux d'autonomie suivants :

• Assistée : l'IA vous aide à automatiser des tâches.
• Semi-autonome : l'IA assume la responsabilité principale des tâches de sécurité et ne demande une intervention humaine que lorsque cela est nécessaire.

Gemini dans Google SecOps peut vous aider à automatiser les tâches à forte charge en assistant les analystes, en récupérant le contexte pertinent et en recommandant les prochaines étapes.

Intégrer l'IA aux processus de gestion des risques et de gouvernance

Cette recommandation concerne le domaine d'intérêt suivant : gouvernance, risques et conformité du cloud.

Vous pouvez utiliser l'IA pour créer un inventaire de modèles et des profils de risque. Vous pouvez également utiliser l'IA pour appliquer des règles concernant la confidentialité des données, les risques cybernétiques et les risques tiers. Cette recommandation est conforme à l'élément SAIF qui consiste à contextualiser les risques liés aux systèmes d'IA dans les processus métier environnants.

Selon votre implémentation, cette recommandation peut être pertinente pour le niveau d'autonomie semi-autonome. À ce niveau, l'IA peut orchestrer des agents de sécurité qui exécutent des processus pour atteindre vos objectifs de sécurité personnalisés.

Mettre en œuvre des pratiques de développement sécurisées pour les systèmes d'IA

Cette recommandation concerne les domaines d'intérêt suivants :

• Sécurité des applications
• Sécurité de l'IA et du ML

Vous pouvez utiliser l'IA pour coder de manière sécurisée, nettoyer les données d'entraînement et valider les outils et les artefacts. Cette recommandation est conforme à l'élément du SAIF concernant le développement de bases solides pour la sécurité de l'écosystème d'IA.

Cette recommandation peut s'appliquer à tous les niveaux d'autonomie en matière de sécurité, car un système d'IA sécurisé doit être en place avant que l'IA puisse être utilisée efficacement pour la sécurité. Cette recommandation est particulièrement pertinente pour le niveau assisté, où les pratiques de sécurité sont renforcées par l'IA.

Pour mettre en œuvre cette recommandation, suivez les consignes Supply-chain Levels for Software Artifacts (SLSA) pour les artefacts d'IA et utilisez des images de conteneurs validées.

Répondez aux exigences réglementaires, de conformité et de confidentialité

Ce principe du pilier Sécurité du Google Cloud Well-Architected Framework vous aide à identifier et à respecter les exigences réglementaires, de conformité et de confidentialité pour les déploiements cloud. Ces exigences influencent de nombreuses décisions que vous devez prendre concernant les contrôles de sécurité à utiliser pour vos charges de travail dansGoogle Cloud.

Présentation des principes

Répondre aux besoins réglementaires, de conformité et de confidentialité est un défi inévitable pour toutes les entreprises. Les obligations réglementaires sur le cloud dépendent de plusieurs facteurs, parmi lesquels :

• Les lois et réglementations qui s'appliquent aux emplacements physiques de votre organisation
• Les lois et réglementations qui s'appliquent à l'emplacement physique de vos clients
• Les exigences réglementaires de votre secteur d'activité

Les réglementations en matière de confidentialité définissent la manière dont vous pouvez obtenir, traiter, stocker et gérer les données de vos utilisateurs. Vous êtes propriétaire de vos données, y compris de celles que vous recevez de vos utilisateurs. Par conséquent, de nombreux paramètres de confidentialité relèvent de votre responsabilité, y compris les contrôles sur les cookies, la gestion des sessions et l'obtention de l'autorisation de l'utilisateur.

Les recommandations pour mettre en œuvre ce principe sont regroupées dans les sections suivantes :

• Recommandations pour faire face aux risques organisationnels
• Recommandations pour répondre aux obligations réglementaires et de conformité
• Recommandations pour gérer la souveraineté de vos données
• Recommandations pour répondre aux exigences de confidentialité

Recommandations pour gérer les risques organisationnels

Cette section fournit des recommandations pour vous aider à identifier et à gérer les risques pour votre organisation.

Identifier les risques pour votre organisation

Cette recommandation concerne le domaine d'intérêt suivant : gouvernance, risques et conformité du cloud.

Avant de créer et de déployer des ressources sur Google Cloud, effectuez une évaluation des risques. Cette évaluation doit déterminer les fonctionnalités de sécurité dont vous avez besoin pour répondre à vos exigences de sécurité internes et à vos exigences réglementaires externes.

L'évaluation des risques vous fournit un catalogue des risques spécifiques à votre organisation et vous informe sur sa capacité à détecter et contrer les menaces de sécurité. Vous devez effectuer une analyse des risques immédiatement après le déploiement, et chaque fois que vos besoins commerciaux, les exigences réglementaires ou les menaces qui pèsent sur votre organisation changent.

Comme indiqué dans le principe Implémenter la sécurité dès la conception, vos risques de sécurité dans un environnement cloud diffèrent de ceux sur site. Cette différence est due au modèle de responsabilité partagée dans le cloud, qui varie selon le service (IaaS, PaaS ou SaaS) et votre utilisation. Utilisez un framework d'évaluation des risques spécifique au cloud, comme la Cloud Controls Matrix (CCM). Utilisez la modélisation des menaces, comme la modélisation des menaces d'application OWASP, pour identifier et corriger les failles. Pour obtenir l'aide d'un expert concernant les évaluations des risques, contactez votre responsable de compte Google ou consultez le Google Cloudrépertoire des partenaires.

Après avoir catalogué vos risques, vous devez déterminer comment les corriger, c'est-à-dire si vous souhaitez les accepter, les éviter, les transférer ou les limiter. Pour connaître les contrôles de limites que vous pouvez mettre en œuvre, consultez la section suivante sur la réduction des risques.

Limiter vos risques

Cette recommandation concerne le domaine d'intérêt suivant : gouvernance, risques et conformité du cloud.

Lorsque vous adoptez de nouveaux services de cloud public, vous pouvez limiter les risques à l'aide de contrôles techniques, de protections contractuelles et d'attestations ou de vérifications tierces.

Les contrôles techniques désignent les fonctionnalités et technologies qui vous permettent de protéger votre environnement. Celles-ci incluent des contrôles de sécurité cloud intégrés, tels que les pare-feu et la journalisation. Les contrôles techniques peuvent également inclure l'utilisation d'outils tiers pour renforcer ou soutenir votre stratégie de sécurité. Il existe deux catégories de contrôles techniques :

• Vous pouvez implémenter les contrôles de sécurité de Google Cloudpour vous aider à atténuer les risques qui s'appliquent à votre environnement. Par exemple, vous pouvez sécuriser la connexion entre vos réseaux sur site et vos réseaux cloud à l'aide de Cloud VPN et Cloud Interconnect.
• Google a mis en place des contrôles internes et des audits rigoureux pour se protéger contre les accès d'initiés aux données client. Nos journaux d'audit vous fournissent des journaux quasiment en temps réel sur l'accès administrateur Google sur Google Cloud.

Les protections contractuelles désignent les engagements juridiques que nous avons pris concernant les servicesGoogle Cloud . Google s'engage à maintenir et à développer notre portefeuille de solutions de conformité. L'Avenant relatif au traitement des données dans le cloud (ATDC) décrit nos engagements concernant le traitement et la sécurité de vos données. Le CDPA décrit également les contrôles d'accès qui limitent l'accès des ingénieurs de l'assistance Google aux environnements des clients. Il décrit notre processus rigoureux de journalisation et d'approbation. Nous vous recommandons de consulter les contrôles contractuels de Google Cloudavec vos experts juridiques et réglementaires, et de vérifier qu'ils répondent à vos exigences. Pour en savoir plus, contactez votre responsable de compte technique.

Les vérifications ou attestations tierces désignent les audits réalisés par des fournisseurs tiers pour s'assurer que les fournisseurs cloud répondent aux exigences de conformité. Par exemple, pour en savoir plus sur les attestations concernant les consignes ISO/IEC 27017, consultez ISO/IEC 27017 – Conformité. Google Cloud Pour consulter les certifications et les lettres d'attestation actuelles, accédez au Centre de ressources pour la conformité. Google Cloud

Recommandations pour répondre aux obligations réglementaires et de conformité

Un processus de conformité typique comporte trois étapes : évaluation, correction des lacunes et surveillance continue. Cette section fournit des recommandations que vous pouvez appliquer à chacune de ces étapes.

Évaluer vos besoins en conformité

Cette recommandation concerne le domaine d'intérêt suivant : gouvernance, risques et conformité du cloud.

L'évaluation de la conformité commence par un examen approfondi de toutes vos obligations réglementaires et de la façon dont votre entreprise les met en œuvre. Pour vous aider à évaluer les services Google Cloud , utilisez le Centre de ressources pour la conformité. Ce site fournit des informations sur les points suivants :

• Compatibilité du service avec les différentes réglementations
• Google Cloud certifications et attestations

Pour mieux comprendre le cycle de vie de la conformité chez Google et découvrir comment respecter vos obligations réglementaires, vous pouvez contacter le service commercial pour demander l'aide d'un spécialiste de la conformité Google. Vous pouvez également contacter votre responsable de compteGoogle Cloud pour demander un atelier sur la conformité.

Pour en savoir plus sur les outils et les ressources que vous pouvez utiliser pour gérer la sécurité et la conformité des charges de travail Google Cloud , consultez Assurer la conformité dans le cloud.

Automatiser l'implémentation des exigences de conformité

Cette recommandation concerne le domaine d'intérêt suivant : gouvernance, risques et conformité du cloud.

Pour vous aider à respecter les réglementations changeantes, déterminez si vous pouvez automatiser la façon dont vous mettez en œuvre les exigences de conformité. Vous pouvez utiliser à la fois les fonctionnalités axées sur la conformité fournies par Google Cloud et les plans qui utilisent des configurations recommandées pour un régime de conformité particulier.

Assured Workloads s'appuie sur les contrôles internes de Google Cloud pour vous aider à respecter vos obligations réglementaires. Assured Workloads vous permet d'effectuer les opérations suivantes :

• Choisir votre régime de conformité. L'outil définit ensuite automatiquement les contrôles d'accès pour le personnel de référence pour le régime sélectionné.
• Définissez l'emplacement de vos données à l'aide de règles d'administration afin que vos données au repos et vos ressources ne résident que dans la région de votre choix.
• Sélectionnez l'option de gestion des clés (par exemple, la période de rotation des clés) qui correspond le mieux à vos exigences de sécurité et de conformité.
• Sélectionnez les critères d'accès du personnel d'assistance Google pour répondre à certaines exigences réglementaires telles que le niveau d'impact modéré du FedRAMP. Par exemple, vous pouvez sélectionner si le personnel d'assistance Google a fait l'objet d'une vérification d'antécédents appropriée.
• Utilisez des Google-owned and Google-managed encryption keys conformes à la norme FIPS-140-2 et compatibles avec le niveau d'impact modéré du programme FedRAMP. Pour ajouter une couche de contrôle et séparer les tâches, vous pouvez utiliser des clés de chiffrement gérées par le client (CMEK). Pour en savoir plus sur les clés, consultez Chiffrer les données au repos et en transit.

En plus d'Assured Workloads, vous pouvez utiliser des plans Google Cloudpertinents pour votre régime de conformité. Vous pouvez modifier ces plans pour intégrer vos règles de sécurité dans vos déploiements d'infrastructure.

Pour vous aider à créer un environnement qui répond à vos exigences de conformité, les plans et les guides de solution de Google incluent des configurations recommandées et fournissent des modules Terraform. Le tableau suivant répertorie les plans qui répondent aux problématiques de sécurité et de respect des obligations réglementaires.

Exigence	Plans et guides de solutions
FedRAMP	Google Cloud Guide d'implémentation de FedRAMP Configurer une charge de travail à trois niveaux conforme au programme FedRAMP sur Google Cloud
HIPAA	Protéger les données de santé sur Google Cloud Configurer une charge de travail en conformité avec la loi HIPAA à l'aide du kit de protection des données

Surveiller la conformité

Cette recommandation concerne les domaines d'intérêt suivants :

• Gouvernance, risques et conformité dans le cloud
• Journalisation, surveillance et audit

La plupart des réglementations vous obligent à surveiller des activités particulières, ce qui inclut parfois les activités liées aux accès. Pour vous aider dans la surveillance, vous pouvez utiliser :

• Access Transparency : affichez des journaux en temps quasi réel lorsque les administrateurs Google Cloud accèdent à votre contenu.
• La journalisation des règles de pare-feu : enregistre les connexions TCP et UDP au sein d'un réseau VPC pour toutes les règles que vous créez. Ces journaux peuvent être utiles pour auditer l'accès au réseau ou pour identifier le plus tôt possible les cas d'utilisation non approuvée du réseau.
• Journaux de flux VPC : enregistrent les flux de trafic réseau envoyés ou reçus par les instances de VM.
• Security Command Center Premium : surveillez la conformité avec différentes normes.
• OSSEC (ou un autre outil Open Source) : consignez l'activité des personnes disposant d'un accès administrateur à votre environnement.
• Key Access Justifications : affichez les raisons d'une demande d'accès à une clé.
• Notifications Security Command Center : recevez des alertes en cas de problèmes de non-conformité. Par exemple, recevez des alertes lorsque des utilisateurs désactivent la validation en deux étapes ou lorsque des comptes de service disposent de trop de privilèges. Vous pouvez également configurer la résolution automatique pour des notifications spécifiques.

Recommandations pour gérer la souveraineté de vos données

Cette recommandation concerne le domaine d'intérêt suivant : gouvernance, risques et conformité du cloud.

La souveraineté des données fournit un mécanisme qui empêche Google d'accéder à vos données. Vous n'approuvez l'accès que pour les actions fournisseur que vous jugez nécessaires. Par exemple, vous pouvez gérer la souveraineté de vos données de différentes manières :

• Stocker et gérer les clés de chiffrement en dehors du cloud.
• Accorder l'accès à ces clés sur la base de justifications d'accès détaillées.
• Protégez les données utilisées à l'aide de l'informatique confidentielle.

Gérer votre souveraineté opérationnelle

Cette recommandation concerne le domaine d'intérêt suivant : gouvernance, risques et conformité du cloud.

La souveraineté opérationnelle vous garantit que le personnel de Google ne peut pas compromettre vos charges de travail. Par exemple, vous pouvez gérer la souveraineté opérationnelle de plusieurs manières :

• Limitez le déploiement des nouvelles ressources à des régions de fournisseur spécifiques.
• Limitez l'accès du personnel de Google en fonction d'attributs prédéfinis tels que la citoyenneté ou l'emplacement géographique.

Gérer la souveraineté logicielle

Cette recommandation concerne le domaine d'intérêt suivant : gouvernance, risques et conformité du cloud.

La souveraineté logicielle vous garantit que vous pouvez contrôler la disponibilité de vos charges de travail et les exécuter où vous le souhaitez. Vous pouvez également bénéficier de ce contrôle sans dépendre d'un seul fournisseur cloud. La souveraineté logicielle inclut la capacité à survivre aux événements qui nécessitent de modifier rapidement l'emplacement de déploiement de vos charges de travail et le niveau de connexion externe autorisé.

Par exemple, pour vous aider à gérer la souveraineté de vos logiciels, Google Cloudest compatible avec les déploiements hybrides et multicloud. De plus, GKE Enterprise vous permet de gérer et de déployer vos applications simultanément dans des environnements cloud et sur site. Si vous choisissez des déploiements sur site pour des raisons de souveraineté des données, Google Distributed Cloud est une combinaison de matériel et de logiciels qui intègre Google Cloud à votre centre de données.

Recommandations pour répondre aux exigences de confidentialité

Google Cloud inclut les contrôles suivants pour faciliter la confidentialité :

• Chiffrement par défaut de toutes les données au repos, en transit et pendant leur traitement.
• Protection contre les accès par des initiés.
• Compatibilité avec de nombreuses réglementations en matière de confidentialité.

Les recommandations suivantes concernent les contrôles supplémentaires que vous pouvez implémenter. Pour en savoir plus, consultez le Centre de ressources pour la confidentialité.

Contrôler la résidence des données

Cette recommandation concerne le domaine d'intérêt suivant : gouvernance, risques et conformité du cloud.

La résidence des données décrit l'emplacement de stockage de vos données au repos. Les exigences de résidence des données varient en fonction des objectifs de conception des systèmes, de la réglementation applicable au secteur, de la législation nationale, des implications fiscales et même de la culture.

Le contrôle de la résidence des données commence par ce qui suit :

• Comprendre le type de données et leur emplacement
• Déterminez les risques qui existent pour vos données, et les lois et réglementations qui s'appliquent.
• Contrôlez l'emplacement de vos données ou leur destination.

Pour vous aider à respecter les exigences de résidence des données, Google Cloud vous permet de contrôler l'emplacement de stockage de vos données, leur mode d'accès et leur traitement. Vous pouvez utiliser des règles d'emplacement des ressources pour limiter l'emplacement de création des ressources et l'emplacement des données dupliquées entre les régions. Vous pouvez utiliser la propriété "location" d'une ressource pour identifier où le service est déployé et qui le gère. Pour en savoir plus, consultez la section Services compatibles avec les emplacements de ressources.

Classer vos données confidentielles

Cette recommandation concerne le domaine d'intérêt suivant : sécurité des données.

Vous devez définir les données confidentielles, puis vous assurer qu'elles sont correctement protégées. Les données confidentielles peuvent inclure des numéros de carte de crédit, des adresses, des numéros de téléphone et d'autres informations permettant d'identifier personnellement l'utilisateur. À l'aide de la protection des données sensibles, vous pouvez configurer les classifications appropriées. Vous pouvez ensuite ajouter des tags à vos données et les tokeniser avant de les stocker dans Google Cloud. De plus, Dataplex Universal Catalog propose un service de catalogue qui fournit une plate-forme permettant de stocker, de gérer et d'accéder à vos métadonnées. Pour en savoir plus et obtenir un exemple de classification et d'anonymisation des données, consultez Anonymiser et désanonymiser les informations permettant d'identifier personnellement l'utilisateur à l'aide de la protection des données sensibles.

Verrouillage de l'accès aux données sensibles

Cette recommandation concerne les domaines d'intérêt suivants :

• Sécurité des données
• Gestion de l'authentification et des accès

Placez les données sensibles dans leur propre périmètre de service à l'aide de VPC Service Controls. VPC Service Controls vous aide à limiter les risques de copie ou de transfert non autorisé de données (exfiltration de données) à partir de services gérés par Google. Cette solution vous permet de configurer des périmètres de sécurité autour des ressources de vos services gérés par Google et de contrôler le déplacement des données au-delà des limites des périmètres. Définissez des contrôles d'accès Google Identity and Access Management (IAM) pour ces données. Configurez l'authentification multifacteur (MFA) pour tous les utilisateurs ayant besoin d'accéder à des données sensibles.

Responsabilités partagées et partage de sort sur Google Cloud

Ce document décrit les différences entre le modèle de responsabilité partagée et le partage de sort dans Google Cloud. Il aborde les défis et les nuances du modèle de responsabilité partagée. Ce document explique le principe du partage de sort et notre méthode de collaboration avec nos clients pour relever les défis liés à la sécurité dans le cloud.

Il est important de comprendre le modèle de responsabilité partagée pour déterminer comment protéger au mieux vos données et vos charges de travail sur Google Cloud. Le modèle de responsabilité partagée décrit les tâches liées à la sécurité que vous devez effectuer dans le cloud et explique ce qui les différencie des autres tâches pour les fournisseurs de cloud.

Cependant, il peut être difficile de comprendre la responsabilité partagée. Le modèle nécessite une compréhension approfondie de chaque service utilisé, des options de configuration fournies par chaque service et des mesures mises en place par Google Cloudpour sécuriser ce service. Chaque service possède un profil de configuration différent, et il peut être difficile de déterminer la meilleure configuration de sécurité. Google pense que le modèle de responsabilité partagée ne suffit pas pour aider les clients cloud à obtenir de meilleures performances de sécurité. Nous préférons le partage de sort à la responsabilité partagée.

Le partage de sort nous permet de créer et d'exploiter une plate-forme cloud fiable pour vos charges de travail. Nous offrons des bonnes pratiques ainsi qu'un code d'infrastructure sécurisé et certifié qui vous permet de déployer vos charges de travail de manière sécurisée. Nous publions des solutions qui associent divers services Google Cloud afin de résoudre des problèmes de sécurité complexes. Nous proposons également des options d'assurance innovantes pour vous aider à évaluer et à limiter les risques que vous devez accepter. Le partage de sort nous oblige à interagir de manière plus étroite avec vous lorsque vous sécurisez vos ressources surGoogle Cloud.

Responsabilité partagée

Personne ne connaît mieux que vous les exigences de sécurité et les obligations réglementaires pour votre entreprise, ainsi que les exigences liées à la protection de vos données et ressources confidentielles. Lorsque vous exécutez vos charges de travail sur Google Cloud, vous devez identifier les contrôles de sécurité que vous devez configurer dans Google Cloud pour protéger vos données confidentielles et toutes vos charges de travail. Pour déterminer les contrôles de sécurité à mettre en œuvre, vous devez prendre en compte les facteurs suivants :

• Vos obligations liées à la conformité réglementaire
• Les normes de sécurité et le plan de gestion des risques de votre organisation
• Les exigences de sécurité de vos clients et de vos fournisseurs

Défini par les charges de travail

Traditionnellement, les responsabilités sont définies en fonction du type de charge de travail que vous exécutez et des services cloud dont vous avez besoin. Les services cloud incluent les catégories suivantes :

Service cloud	Description
Infrastructure as a Service (IaaS)	Les services IaaS incluent Compute Engine, Cloud Storage et des services de mise en réseau tels que Cloud VPN, Cloud Load Balancing et Cloud DNS. L'IaaS fournit des services de calcul, de stockage et de réseau à la demande grâce au paiement à l'usage. Vous pouvez utiliser l'IaaS si vous prévoyez de migrer une charge de travail sur site existante vers le cloud à l'aide de la migration Lift and Shift, ou si vous souhaitez exécuter votre application sur des VM spécifiques, à l'aide de bases de données ou de configurations réseau spécifiques. Dans le domaine IaaS, vous êtes responsable des questions de sécurité, et nous sommes en charge de l'infrastructure sous-jacente et la sécurité physique.
Platform as a Service (PaaS)	Les services PaaS incluent App Engine, Google Kubernetes Engine (GKE) et BigQuery. PaaS fournit l'environnement d'exécution dans lequel vous pouvez développer et exécuter vos applications. Vous pouvez utiliser PaaS si vous créez une application (comme un site Web) et que vous souhaitez vous concentrer sur le développement plutôt que sur l'infrastructure sous-jacente. Dans le domaine PaaS, nous sommes responsables d'un plus grand nombre de contrôles qu'avec la solution IaaS. Cela varie généralement en fonction des services et des fonctionnalités que vous utilisez. Vous partagez avec nous la responsabilité des contrôles au niveau de l'application et de la gestion IAM. Vous demeurez responsable de la sécurité de vos données et de la protection de vos clients.
Software as a Service (SaaS)	Les applications SaaS incluent Google Workspace, Google Security Operations et les applications SaaS tierces disponibles dans Google Cloud Marketplace. SaaS fournit des applications en ligne auxquelles vous pouvez vous abonner ou que vous pouvez payer d'une manière ou d'une autre. Vous pouvez utiliser des applications SaaS lorsque votre entreprise ne dispose pas de l'expertise interne ou des exigences métier pour créer l'application elle-même, mais cela nécessite d'avoir la capacité de traiter des charges de travail. Dans le domaine SaaS, nous assumons la plupart des responsabilités liées à la sécurité. Vous restez responsable de vos contrôles d'accès et des données que vous choisissez de stocker dans l'application.
Functions as a Service (FaaS) ou sans serveur	FaaS fournit aux développeurs une plate-forme permettant d'exécuter un petit code à usage unique (appelé fonctions) qui s'exécute en réponse à des événements particuliers. Vous pouvez utiliser FaaS lorsque vous souhaitez que des opérations spécifiques se produisent en fonction d'un événement particulier. Par exemple, vous pouvez créer une fonction qui s'exécute chaque fois que des données sont importées dans Cloud Storage à des fins de classement. La liste des responsabilités partagées du domaine FaaS est semblable à celle du domaine SaaS. Cloud Run Functions est une application FaaS.

Le schéma suivant illustre les services cloud et définit la manière dont les responsabilités sont partagées entre le fournisseur cloud et le client.

Comme le montre le schéma, le fournisseur cloud reste responsable du réseau et de l'infrastructure sous-jacents, et les clients restent responsables de leurs règles d'accès et de leurs données.

Défini par le secteur et le cadre réglementaire

Différents secteurs possèdent des cadres réglementaires qui définissent les contrôles de sécurité à mettre en place. Lorsque vous déplacez vos charges de travail vers le cloud, vous devez connaître les points suivants :

• Les contrôles de sécurité qui relèvent de votre responsabilité
• Les contrôles de sécurité disponibles dans l'offre cloud
• Les contrôles de sécurité par défaut qui sont hérités

Les contrôles de sécurité hérités (tels que notre chiffrement par défaut et nos contrôles d'infrastructure) sont des contrôles que vous pouvez fournir en tant que preuves de votre stratégie de sécurité aux auditeurs et aux autorités de régulation. Par exemple, la norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS, Payment Card Industry Data Security Standard) définit les réglementations pour les sociétés de traitement des paiements. Lorsque vous migrez votre entreprise vers le cloud, ces réglementations sont partagées entre vous et votre FSC. Pour comprendre comment les responsabilités PCI DSS sont partagées entre vous etGoogle Cloud, consultez Google Cloud : tableau de responsabilité partagée PCI DSS.

Autre exemple : aux États-Unis, la loi HIPAA (Health Insurance Portability and Accountability Act) a établi des normes concernant le traitement des données de santé électroniques à caractère personnel. Ces responsabilités sont également partagées entre le FSC et vous-même. Pour en savoir plus sur la manière dont Google Cloud respecte nos responsabilités en vertu de la loi HIPAA, consultez HIPAA – Conformité.

D'autres secteurs (par exemple, la finance ou l'industrie) appliquent également des réglementations qui définissent la façon dont les données peuvent être collectées, traitées et stockées. Pour en savoir plus sur la responsabilité partagée dans ces cas-là et sur la manière dontGoogle Cloud respecte nos responsabilités, consultez la page Centre de ressources pour la conformité.

Défini par l'emplacement

Selon votre scénario d'entreprise, vous devrez peut-être prendre en compte vos responsabilités en fonction de l'emplacement de vos bureaux, de vos clients et de vos données. Plusieurs pays et régions ont créé des réglementations indiquant comment traiter et stocker les données de vos clients. Par exemple, si votre entreprise dispose de clients qui résident dans l'Union européenne, elle peut être amenée à respecter les exigences décrites dans le Règlement général sur la protection des données (RGPD) et vous pourriez être tenu de conserver vos données client dans l'UE. Dans ce cas, vous devez vous assurer que les données que vous collectez restent dans les régionsGoogle Cloud de l'UE. Pour en savoir plus sur le respect de nos obligations liées au RGPD, consultez RGPD et Google Cloud.

Pour en savoir plus sur les exigences liées à votre région, consultez la section Offres de conformité. Si votre scénario est particulièrement complexe, nous vous recommandons de contacter notre équipe commerciale ou l'un de nos partenaires pour vous aider à évaluer vos responsabilités liées à la sécurité.

Défis liés à la responsabilité partagée

Bien que la responsabilité partagée permet de définir les rôles de sécurité dont vous ou le fournisseur cloud disposez, l'exploitation de la responsabilité partagée peut toujours constituer un défi. Étudions les cas de figure suivants :

• La plupart des brèches de sécurité dans le cloud sont le résultat direct d'une mauvaise configuration (définie en tant que numéro 3 dans le rapport 11 sur la pandémie de Cloud Security Alliance), et cette tendance devrait augmenter. Les produits cloud sont en constante évolution, et de nouveaux produits sont constamment lancés. S'adapter aux changements constants peut sembler fastidieux. Les clients ont besoin de fournisseurs cloud pour leur fournir des bonnes pratiques recommandées afin de se tenir au courant des changements, en commençant par les bonnes pratiques par défaut et en établissant une configuration sécurisée de référence.
• Même si la division des éléments entre les services cloud est utile, de nombreuses entreprises ont des charges de travail qui nécessitent plusieurs types de services cloud. Dans ce cas, vous devez examiner les interactions entre les différents contrôles de sécurité de ces services, y compris leur éventuel chevauchement entre les services. Par exemple, vous pouvez avoir une application sur site que vous migrez vers Compute Engine, utiliser Google Workspace pour la messagerie professionnelle, et exécuter BigQuery pour analyser les données afin d'améliorer vos produits.
• Votre entreprise et vos marchés évoluent en permanence, à mesure que la réglementation évolue, que vous pénétrez de nouveaux marchés ou que vous acquérez d'autres entreprises. Vos nouveaux marchés peuvent avoir des exigences différentes, et vos nouvelles acquisitions peuvent héberger les charges de travail sur un autre cloud. Pour gérer les changements constants, vous devez réévaluer en permanence votre profil de risque et être capable de mettre en œuvre rapidement de nouveaux contrôles.
• La façon dont vous gérez les clés de chiffrement de vos données est une décision importante à prendre en compte pour protéger vos données. L'option que vous choisissez dépend de vos exigences réglementaires, que vous exécutiez un environnement cloud hybride ou que vous disposiez toujours d'un environnement sur site, et de la sensibilité des données que vous traitez et stockez.
• La gestion des incidents est un domaine important et souvent négligé, dans lequel vos responsabilités et celles du fournisseur cloud ne sont pas facilement définies. De nombreux incidents nécessitent une collaboration étroite et une assistance de la part du fournisseur cloud si vous souhaitez les examiner et les limiter. D'autres incidents peuvent être dus à une mauvaise configuration des ressources cloud ou au vol d'identifiants, et les bonnes pratiques liées à la sécurisation de vos ressources et de vos comptes peuvent être difficiles à suivre
• Les menaces persistantes avancées et les nouvelles failles peuvent avoir une incidence inattendue sur vos charges de travail lorsque vous démarrez votre transformation cloud. Il est difficile de rester informé de l'évolution du paysage et de savoir qui est responsable de l'atténuation des menaces, en particulier si votre entreprise ne dispose pas d'une large équipe de sécurité.

Partage du sort

Nous avons développé le partage de sort dans Google Cloud pour commencer à relever les défis que le modèle de responsabilité partagée ne résout pas. Le partage de sort consiste à permettre à toutes les parties d'interagir plus efficacement afin d'améliorer continuellement la sécurité. Le partage de sort s'appuie sur le modèle de responsabilité partagée, car il considère la relation entre le fournisseur cloud et le client comme un partenariat continu pour améliorer la sécurité.

Le partage de sort consiste à assumer nos responsabilités concernant la sécurité de Google Cloud. Le partage de sort vous permet de commencer à utiliser une zone de destination sécurisée, et d'être clair, ferme et transparent sur les contrôles de sécurité, ainsi que sur les paramètres et les bonnes pratiques associées. Il vous aide à quantifier et à gérer les risques avec la cyberassurance, grâce à Risk Protection Program. Avec le partage de sort, nous souhaitons faire passer le framework de responsabilité partagée standard au niveau supérieur afin de vous aider à mieux sécuriser votre entreprise et à développer la confiance dans Google Cloud.

Les sections suivantes décrivent divers composants du partage de sort.

Aide à la mise en route

Les ressources que nous fournissons pour vous aider à démarrer dans une configuration sécurisée au sein de Google Cloudconstituent un élément clé du partage de sort. Commencer par une configuration sécurisée permet de réduire le problème des erreurs de configuration, qui est la cause principale de la plupart des brèches de sécurité.

Nos ressources peuvent inclure les éléments suivants :

• Le plan de base d'entreprise, qui englobe les principaux problèmes de sécurité et nos recommandations les plus importantes.

• Les plans sécurisés, qui vous permettent de déployer et de gérer des solutions sécurisées à l'aide de l'Infrastructure as Code (IaC). Les recommandations de sécurité des plans sont activées par défaut. De nombreux plans sont créés par les équipes de sécurité de Google et gérés en tant que produits. Cela signifie qu'ils sont régulièrement mis à jour, qu'ils sont soumis à un processus de test rigoureux et qu'ils reçoivent des attestations de la part de groupes de tests tiers. Les plans incluent le plan de base d'entreprise et le plan d'entrepôt de données sécurisé.

• Google Cloud Bonnes pratiques du framework Well-Architected traitant des principales recommandations pour intégrer la sécurité à vos conceptions. Le framework Well-Architected comprend une section sur la sécurité et une zone communautaire qui vous permettent de communiquer avec des experts et des pairs.

• Les guides de navigation des zones de destination vous guident dans les principales décisions que vous devez prendre pour créer une base sécurisée pour vos charges de travail, y compris la hiérarchie des ressources, l'intégration des identités, la gestion de la sécurité et des clés, ainsi que la structure du réseau.

Risk Protection Program

Le partage de sort inclut également le Risk Protection Program (actuellement en version bêta), qui vous aide à utiliser la puissance de Google Cloud en tant que plate-forme de gestion des risques, plutôt que de considérer les charges de travail cloud comme d'autres sources de risques à gérer. Risk Protection Program est le fruit de la collaboration entre Google Cloud et deux grandes entreprises de cyberassurance, Munich Re et Allianz Global & Corporate Speciality.

Le programme de protection contre les risques inclut le Cyber Insurance Hub, qui fournit des insights basés sur les données que vous pouvez utiliser pour mieux comprendre votre stratégie de sécurité dans le cloud. Si vous cherchez à souscrire une cyberassurance, vous pouvez partager les insights générés par Cyber Insurance Hub directement avec nos partenaires assureurs afin d'obtenir un devis. Pour en savoir plus, consultez Google Cloud Risk Protection Program désormais disponible en version bêta.

Aide concernant le déploiement et la gouvernance

Le partage de sort contribue également à la gouvernance continue de votre environnement. Par exemple, nous nous concentrons sur les produits suivants :

• Assured Workloads, qui vous aide à respecter vos obligations réglementaires.
• Security Command Center Premium, qui utilise les renseignements sur les menaces, la détection des menaces, l'analyse Web et d'autres méthodes avancées dans le but de surveiller et de détecter les menaces. Cette solution permet également de résoudre rapidement et automatiquement de nombreuses menaces.
• Les règles d'administration et les paramètres de ressources vous permettent de configurer des stratégies à travers l'ensemble de votre hiérarchie de dossiers et de projets.
• Les outils Policy Intelligence, qui fournissent des insights sur l'accès aux comptes et aux ressources.
• L'informatique confidentielle, qui permet de chiffrer les données utilisées.
• Les contrôles souverains par les partenaires, disponibles dans certains pays et qui permettent d'appliquer les exigences de résidence des données.

Appliquer la responsabilité partagée et le partage de sort

Lors de votre processus de planification, envisagez les actions suivantes pour vous aider à comprendre et à mettre en œuvre des contrôles de sécurité appropriés :

• Créez une liste des types de charges de travail que vous hébergez dansGoogle Cloudet indiquez si elles nécessitent les services IaaS, PaaS et SaaS. Vous pouvez utiliser le schéma de responsabilité partagée comme checklist pour vous assurer de connaître les contrôles de sécurité à prendre en compte.
• Créez une liste d'exigences réglementaires à respecter et accédez aux ressources du Centre de ressources pour la conformité associées à ces exigences.
• Consultez la liste des plans et architectures disponibles dans le Centre d'architecture pour connaître les contrôles de sécurité requis pour vos charges de travail particulières. Les plans fournissent une liste de commandes recommandées et le code IaC nécessaire au déploiement de cette architecture.
• Utilisez la documentation sur les zones de destination et les recommandations du guide sur les principes de base de l'entreprise pour concevoir une hiérarchie de ressources et une architecture réseau conformes à vos exigences. Vous pouvez utiliser les plans de charge de travail avisés, comme l'entrepôt de données sécurisé, pour accélérer votre processus de développement.
• Après avoir déployé vos charges de travail, vérifiez que vous répondez à vos responsabilités de sécurité à l'aide de services tels que le Hub d'assurance cybernétique, Assured Workloads, les outils Policy Intelligence et Security Command Center Premium.

Pour en savoir plus, consultez le guide du RSSI sur la transformation cloud.

Étapes suivantes

• Consultez les principes de base de la sécurité.
• Tenez-vous informé des ressources de partage de sort.
• Familiarisez-vous avec les plans disponibles, y compris avec le plan de base de sécurité et les exemples de charges de travail, comme l'entrepôt de données sécurisé.
• En savoir plus sur le partage de sort
• Pour en savoir plus sur notre infrastructure sécurisée sous-jacente, consultez la présentation de la sécurité sur l'infrastructure de Google.
• Découvrez comment mettre en œuvre les bonnes pratiques du Cybersecurity Framework du NIST dans Google Cloud (PDF).