Il pilastro Sicurezza, privacy e conformità del Google Cloud Well-Architected Framework fornisce consigli per aiutarti a progettare, eseguire il deployment e gestire carichi di lavoro cloud che soddisfano i tuoi requisiti di sicurezza, privacy e conformità.

Questo documento è progettato per offrire approfondimenti preziosi e soddisfare le esigenze di una vasta gamma di professionisti e ingegneri della sicurezza. La tabella seguente descrive i segmenti di pubblico a cui è destinato questo documento:

Pubblico	Cosa fornisce questo documento
Responsabili della sicurezza informatica (CISO), leader delle unità aziendali e responsabili IT	Un framework generale per stabilire e mantenere l'eccellenza della sicurezza nel cloud e per garantire una visione completa delle aree di sicurezza per prendere decisioni informate sugli investimenti in sicurezza.
Architetti e ingegneri della sicurezza	Pratiche di sicurezza chiave per le fasi di progettazione e operative per contribuire a garantire che le soluzioni siano progettate per sicurezza, efficienza e scalabilità.
Team DevSecOps	Indicazioni per incorporare controlli di sicurezza generali per pianificare l'automazione che consente un'infrastruttura sicura e affidabile.
Responsabili della conformità e gestori del rischio	Consigli chiave per la sicurezza per seguire un approccio strutturato alla gestione dei rischi con misure di protezione che aiutano a soddisfare gli obblighi di conformità.

Per garantire che i tuoi workload Google Cloud soddisfino i requisiti di sicurezza, privacy e conformità, tutti gli stakeholder della tua organizzazione devono adottare un approccio collaborativo. Inoltre, devi riconoscere che la sicurezza del cloud è una responsabilità condivisa tra te e Google. Per saperne di più, vedi Responsabilità condivise e destino condiviso su Google Cloud.

I consigli di questo pilastro sono raggruppati in principi di sicurezza fondamentali. Ogni suggerimento basato sui principi è mappato a una o più delle aree di interesse chiave per l'implementazione della sicurezza del cloud che potrebbero essere fondamentali per la tua organizzazione. Ogni consiglio evidenzia le indicazioni sull'utilizzo e la configurazione di prodotti e funzionalità diGoogle Cloud per contribuire a migliorare la postura di sicurezza della tua organizzazione.

Principi fondamentali

I consigli di questo pilastro sono raggruppati nei seguenti principi fondamentali della sicurezza. Ogni principio di questo pilastro è importante. A seconda dei requisiti della tua organizzazione e del tuo workload, potresti scegliere di dare la priorità a determinati principi.

• Implementa la sicurezza by design: integra le considerazioni sulla sicurezza del cloud e della rete a partire dalla fase di progettazione iniziale delle applicazioni e dell'infrastruttura. Google Cloud fornisce progetti e consigli sull'architettura per aiutarti ad applicare questo principio.
• Implementa Zero Trust: utilizza un approccio non fidarsi mai, verificare sempre, in cui l'accesso alle risorse viene concesso in base alla verifica continua dell'attendibilità. Google Cloud supporta questo principio tramite prodotti come Chrome Enterprise Premium e Identity-Aware Proxy (IAP).
• Implementa la sicurezza shift-left: Implementa i controlli di sicurezza nelle prime fasi del ciclo di vita di sviluppo del software. Evita difetti di sicurezza prima di apportare modifiche al sistema. Rileva e correggi i bug di sicurezza in modo rapido, affidabile e tempestivo dopo il commit delle modifiche al sistema. Google Cloud Supporta questo principio tramite prodotti come Cloud Build, Autorizzazione binaria e Artifact Registry.
• Implementa una difesa informatica preventiva: adotta un approccio proattivo alla sicurezza implementando misure fondamentali solide come la threat intelligence. Questo approccio ti aiuta a creare una base per il rilevamento e la risposta alle minacce più efficaci. L'approccio diGoogle Cloudai controlli di sicurezza a più livelli è in linea con questo principio.
• Utilizzare l'AI in modo sicuro e responsabile: Sviluppare e implementare sistemi di AI in modo responsabile e sicuro. I consigli per questo principio sono in linea con le indicazioni della prospettiva AI e ML del Well-Architected Framework e del Secure AI Framework (SAIF) di Google.
• Utilizzare l'AI per la sicurezza: Utilizza le funzionalità di AI per migliorare i sistemi e i processi di sicurezza esistenti tramite Gemini in Security e le funzionalità di sicurezza della piattaforma complessive. Utilizza l'AI come strumento per aumentare l'automazione del lavoro correttivo e garantire l'igiene della sicurezza per rendere più sicuri gli altri sistemi.
• Soddisfare le esigenze normative, di conformità e di privacy: rispetta le normative, gli standard di conformità e i requisiti di privacy specifici del settore. Google Cloud ti aiuta a soddisfare questi obblighi tramite prodotti come Assured Workloads, Organization Policy Service e il nostro Centro risorse per la conformità.

Mentalità di sicurezza organizzativa

Una mentalità organizzativa incentrata sulla sicurezza è fondamentale per l'adozione e il funzionamento del cloud. Questo approccio deve essere profondamente radicato nella cultura della tua organizzazione e riflettersi nelle sue pratiche, che sono guidate dai principi di sicurezza fondamentali descritti in precedenza.

Una mentalità di sicurezza organizzativa sottolinea che devi pensare alla sicurezza durante la progettazione del sistema, presupporre Zero Trust e integrare le funzionalità di sicurezza durante il processo di sviluppo. In questa mentalità, pensi anche in modo proattivo alle misure di difesa informatica, utilizzi l'AI in modo sicuro e per la sicurezza e prendi in considerazione i requisiti normativi, di privacy e di conformità. Se la tua organizzazione adotta questi principi, può coltivare una cultura incentrata sulla sicurezza che affronta in modo proattivo le minacce, protegge gli asset di valore e contribuisce a garantire un utilizzo responsabile della tecnologia.

Aree di interesse della sicurezza del cloud

Questa sezione descrive le aree su cui concentrarti quando pianifichi, implementi e gestisci la sicurezza per le tue applicazioni, i tuoi sistemi e i tuoi dati. I consigli di ogni principio di questo pilastro sono pertinenti a una o più di queste aree di interesse. Nel resto del documento, i consigli specificano le aree di interesse per la sicurezza corrispondenti per fornire maggiore chiarezza e contesto.

Area di messa a fuoco	Attività e componenti	Prodotti, funzionalità e soluzioni Google Cloud correlati
Sicurezza dell'infrastruttura	Infrastruttura di rete sicura. Crittografare i dati in transito e at-rest. Controllare il flusso del traffico. Servizi IaaS e PaaS sicuri. Proteggere dagli accessi non autorizzati.	Norme firewall Controlli di servizio VPC Google Cloud Armor Cloud Next Generation Firewall Secure Web Proxy
Gestione di identità e accessi	Utilizza l'autenticazione, l'autorizzazione e i controlli dell'accesso. Gestisci le identità cloud. Gestisci i criteri di gestione di identità e accessi.	Cloud Identity Servizio Identity and Access Management (IAM) di Google Federazione delle identità della forza lavoro Federazione delle identità per i workload
Sicurezza dei dati	Memorizza i dati in modo sicuro in Google Cloud . Controllare l'accesso ai dati. Individua e classifica i dati. Progetta i controlli necessari, come crittografia, controlli dell'accesso e prevenzione della perdita di dati. Proteggere i dati at-rest, in transito e in uso.	Servizio IAM di Google Sensitive Data Protection Controlli di servizio VPC Cloud KMS Confidential Computing
Sicurezza di AI e ML	Applica controlli di sicurezza a diversi livelli dell'infrastruttura e della pipeline AI e ML. Garantire la sicurezza del modello.	SAIF di Google Model Armor
Operazioni di sicurezza (SecOps)	Adotta una piattaforma e un insieme di pratiche SecOps moderni per processi efficaci di gestione degli incidenti, rilevamento delle minacce e risposta. Monitora continuamente sistemi e applicazioni per rilevare eventi di sicurezza.	Google Security Operations
Sicurezza delle applicazioni	Proteggi le applicazioni da vulnerabilità e attacchi software.	Artifact Registry Artifact Analysis Autorizzazione binaria Assured Open Source Software Google Cloud Armor Web Security Scanner
Governance, rischio e conformità del cloud	Stabilisci policy, procedure e controlli per gestire le risorse cloud in modo efficace e sicuro.	Servizio Criteri dell'organizzazione Cloud Asset Inventory Security Command Center Enterprise Resource Manager
Logging, controllo e monitoraggio	Analizza i log per identificare potenziali minacce. Monitora e registra le attività del sistema per l'analisi di conformità e sicurezza.	Cloud Logging Cloud Monitoring Audit log di Cloud Log di flusso VPC

Collaboratori

Autori:

• Wade Holmes | Global Solutions Director
• Hector Diaz | Cloud Security Architect
• Carlos Leonardo Rosario | Specialista della sicurezza di Google Cloud
• John Bacon | Partner Solutions Architect
• Sachin Kalra | Global Security Solution Manager

Altri collaboratori:

• Anton Chuvakin | Consulente per la sicurezza, ufficio del CISO
• Daniel Lees | Cloud Security Architect
• Filipe Gracio, PhD | Customer Engineer
• Gary Harmson | Principal Architect
• Gino Pelliccia | Principal Architect
• Jose Andrade | Customer Engineer per l'infrastruttura aziendale
• Kumar Dhanagopal | Sviluppatore di soluzioni cross-product
• Laura Hyatt | Enterprise Cloud Architect
• Marwan Al Shawi | Partner Customer Engineer
• Nicolas Pintaux | Customer Engineer, specialista in modernizzazione delle applicazioni
• Noah McDonald | Cloud Security Consultant
• Osvaldo Costa | Networking Specialist Customer Engineer
• Radhika Kanakam | Senior Program Manager, Cloud GTM
• Samantha He | Technical Writer
• Susan Wu | Outbound Product Manager

Implementare la sicurezza by design

Questo principio del pilastro della sicurezza del Google Cloud Well-Architected Framework fornisce consigli per incorporare funzionalità, controlli e pratiche di sicurezza efficaci nella progettazione di applicazioni, servizi e piattaforme cloud. Dall'ideazione alle operazioni, la sicurezza è più efficace se è integrata come parte integrante di ogni fase del processo di progettazione.

Panoramica del principio

Come spiegato in Panoramica dell'impegno di Google per la sicurezza by design, sicurezza per impostazione predefinita e sicurezza by design sono spesso usati in modo intercambiabile, ma rappresentano approcci distinti alla creazione di sistemi sicuri. Entrambi gli approcci mirano a ridurre al minimo le vulnerabilità e migliorare la sicurezza, ma differiscono per ambito e implementazione:

• Sicuro per impostazione predefinita: si concentra sul garantire che le impostazioni predefinite di un sistema siano impostate su una modalità sicura, riducendo al minimo la necessità che utenti o amministratori intraprendano azioni per proteggere il sistema. Questo approccio mira a fornire un livello di sicurezza di base per tutti gli utenti.
• Secure by design: sottolinea l'incorporamento proattivo di considerazioni sulla sicurezza durante il ciclo di vita dello sviluppo di un sistema. Questo approccio consiste nell'anticipare tempestivamente potenziali minacce e vulnerabilità e nel fare scelte di progettazione che mitighino i rischi. Questo approccio prevede l'utilizzo di pratiche di codifica sicure, l'esecuzione di revisioni della sicurezza e l'integrazione della sicurezza durante il processo di progettazione. L'approccio secure-by-design è una filosofia generale che guida il processo di sviluppo e contribuisce a garantire che la sicurezza non sia un ripensamento, ma una parte integrante della progettazione di un sistema.

Consigli

Per implementare il principio di sicurezza by design per i tuoi workload cloud, prendi in considerazione i consigli nelle sezioni seguenti:

• Scegliere i componenti di sistema che contribuiscono a proteggere i tuoi carichi di lavoro
• Creare un approccio alla sicurezza a più livelli
• Utilizzare servizi e infrastrutture protetti e certificati
• Crittografare i dati at-rest e in transito

Scegli i componenti di sistema che contribuiscono a proteggere i tuoi workload

Questo consiglio è pertinente a tutte le aree di interesse.

Una decisione fondamentale per una sicurezza efficace è la selezione di componenti di sistema robusti, inclusi componenti hardware e software, che costituiscono la tua piattaforma, la tua soluzione o il tuo servizio. Per ridurre la superficie di attacco alla sicurezza e limitare i potenziali danni, devi anche valutare attentamente i pattern di deployment di questi componenti e le loro configurazioni.

Nel codice dell'applicazione, ti consigliamo di utilizzare librerie, astrazioni e framework dell'applicazione semplici, sicuri e affidabili per eliminare classi di vulnerabilità. Per cercare vulnerabilità nelle librerie software, puoi utilizzare strumenti di terze parti. Puoi anche utilizzare Assured Open Source Software, che contribuisce a ridurre i rischi per la catena di fornitura software utilizzando pacchetti software open source (OSS) che Google utilizza e protegge.

La tua infrastruttura deve utilizzare opzioni di networking, archiviazione e calcolo che supportino il funzionamento sicuro e siano in linea con i tuoi requisiti di sicurezza e i livelli di accettazione del rischio. La sicurezza dell'infrastruttura è importante sia per i carichi di lavoro interni sia per quelli rivolti a internet.

Per informazioni su altre soluzioni Google che supportano questo consiglio, consulta Implementare la sicurezza shift-left.

Crea un approccio alla sicurezza a più livelli

Questo consiglio è pertinente alle seguenti aree di interesse:

• Sicurezza di AI e ML
• Sicurezza dell'infrastruttura
• Gestione di identità e accessi
• Sicurezza dei dati

Ti consigliamo di implementare la sicurezza in ogni livello dello stack di applicazioni e infrastrutture applicando un approccio di difesa in profondità.

Utilizza le funzionalità di sicurezza in ogni componente della tua piattaforma. Per limitare l'accesso e identificare i limiti del potenziale impatto (ovvero il raggio d'azione) in caso di incidente di sicurezza, procedi nel seguente modo:

• Semplifica la progettazione del sistema per garantire flessibilità, ove possibile.
• Documenta i requisiti di sicurezza di ogni componente.
• Incorpora un meccanismo sicuro e solido per soddisfare i requisiti di resilienza e ripristino.

Quando progetti i livelli di sicurezza, esegui una valutazione dei rischi per determinare le funzionalità di sicurezza necessarie per soddisfare i requisiti di sicurezza interni e i requisiti normativi esterni. Ti consigliamo di utilizzare un framework di valutazione del rischio standard del settore che si applichi agli ambienti cloud e che sia pertinente ai tuoi requisiti normativi. Ad esempio, la Cloud Security Alliance (CSA) fornisce la Cloud Controls Matrix (CCM). La valutazione dei rischi fornisce un catalogo dei rischi e dei controlli di sicurezza corrispondenti per mitigarli.

Quando esegui la valutazione del rischio, ricorda che hai un accordo di responsabilità condivisa con il tuo provider di servizi cloud. Pertanto, i rischi in un ambiente cloud sono diversi da quelli in un ambiente on-premise. Ad esempio, in un ambiente on-premise, devi mitigare le vulnerabilità dello stack hardware. Al contrario, in un ambiente cloud, questi rischi sono a carico del cloud provider. Inoltre, ricorda che i limiti delle responsabilità condivise variano tra i servizi IaaS, PaaS e SaaS per ogni cloud provider.

Dopo aver identificato i potenziali rischi, devi progettare e creare un piano di mitigazione che utilizzi controlli tecnici, amministrativi e operativi, nonché protezioni contrattuali e attestazioni di terze parti. Inoltre, un metodo di modellazione delle minacce, come il metodo di modellazione delle minacce delle applicazioni OWASP, ti aiuta a identificare potenziali lacune e suggerisce azioni per colmarle.

Utilizzare infrastrutture e servizi protetti e attestati

Questo consiglio è pertinente a tutte le aree di interesse.

Un programma di sicurezza maturo mitiga le nuove vulnerabilità come descritto nei bollettini sulla sicurezza. Il programma di sicurezza deve anche fornire la correzione per risolvere le vulnerabilità nelle implementazioni esistenti e proteggere le immagini VM e container. Puoi utilizzare guide di hardening specifiche per il sistema operativo e l'applicazione delle tue immagini, nonché benchmark come quello fornito dal Center of Internet Security (CIS).

Se utilizzi immagini personalizzate per le tue VM Compute Engine, devi applicare le patch alle immagini autonomamente. In alternativa, puoi utilizzare le immagini del sistema operativo curate fornite da Google, che vengono patchate regolarmente. Per eseguire container sulle VM Compute Engine, utilizza le immagini Container-Optimized OS curate da Google. Google applica regolarmente patch e aggiornamenti a queste immagini.

Se utilizzi GKE, ti consigliamo di attivare l'upgrade automatico dei nodi in modo che Google aggiorni i nodi del cluster con le patch più recenti. Google gestisce i control plane GKE, che vengono aggiornati e applicate le patch automaticamente. Per ridurre ulteriormente la superficie di attacco dei container, puoi utilizzare immagini distroless. Le immagini Distroless sono ideali per applicazioni, microservizi e situazioni sensibili alla sicurezza in cui è fondamentale ridurre al minimo le dimensioni dell'immagine e la superficie di attacco.

Per i workload sensibili, utilizza Shielded VM, che impedisce il caricamento di codice dannoso durante il ciclo di avvio della VM. Le istanze Shielded VM forniscono sicurezza all'avvio, monitorano l'integrità e utilizzano il Virtual Trusted Platform Module (vTPM).

Per proteggere l'accesso SSH, OS Login consente ai tuoi dipendenti di connettersi alle tue VM utilizzando le autorizzazioni Identity and Access Management (IAM) come fonte attendibile anziché affidarsi alle chiavi SSH. Pertanto, non devi gestire le chiavi SSH in tutta l'organizzazione. OS Login collega l'accesso di un amministratore al ciclo di vita dei dipendenti, quindi quando i dipendenti cambiano ruolo o lasciano l'organizzazione, il loro accesso viene revocato insieme al loro account. L'accesso OS supporta anche l'autenticazione a due fattori di Google, che aggiunge un ulteriore livello di sicurezza contro gli attacchi di compromissione dell'account.

In GKE, le istanze dell'applicazione vengono eseguite all'interno di container Docker. Per attivare un profilo di rischio definito e impedire ai dipendenti di apportare modifiche ai container, assicurati che i container siano stateless e immutabili. Il principio di immutabilità implica che i tuoi dipendenti non modifichino il container né vi accedano in modo interattivo. Se il container deve essere modificato, devi creare una nuova immagine ed eseguire nuovamente il deployment. Abilita l'accesso SSH ai container sottostanti solo in scenari di debug specifici.

Per proteggere le configurazioni a livello globale nel tuo ambiente, puoi utilizzare i criteri dell'organizzazione per impostare vincoli o misure di protezione sulle risorse che influiscono sul comportamento delle tue risorse cloud. Ad esempio, puoi definire i seguenti criteri dell'organizzazione e applicarli a livello globale in un'organizzazione Google Cloud oppure in modo selettivo a livello di cartella o progetto:

• Disattiva l'allocazione di indirizzi IP esterni alle VM.
• Limita la creazione di risorse a specifiche località geografiche.
• Disattiva la creazione di service account o delle relative chiavi.

Crittografare i dati at-rest e in transito

Questo consiglio è pertinente alle seguenti aree di interesse:

• Sicurezza dell'infrastruttura
• Sicurezza dei dati

La crittografia dei dati è un controllo fondamentale per proteggere le informazioni sensibili ed è una parte fondamentale della governance dei dati. Una strategia efficace di protezione dei dati include controllo dell'accesso, segmentazione dei dati e residenza geografica, audit, e implementazione della crittografia basata su un'attenta valutazione dei requisiti.

Per impostazione predefinita, Google Cloud cripta i dati archiviati non attivi dei clienti, senza che sia richiesta alcuna azione da parte tua. Oltre alla crittografia predefinita, Google Cloud offre opzioni per la crittografia envelope e la gestione delle chiavi di crittografia. Devi identificare le soluzioni più adatte alle tue esigenze in termini di generazione, archiviazione e rotazione delle chiavi, che si tratti di scegliere le chiavi per l'archiviazione, per il calcolo o per i carichi di lavoro di big data. Ad esempio, le chiavi di crittografia gestite dal cliente (CMEK) possono essere create in Cloud Key Management Service (Cloud KMS). Le CMEK possono essere basate su software o protette da HSM per soddisfare i requisiti normativi o di conformità, ad esempio la necessità di ruotare regolarmente le chiavi di crittografia. Cloud KMS Autokey consente di automatizzare il provisioning e l'assegnazione delle chiavi CMEK. Inoltre, puoi portare le tue chiavi provenienti da un sistema di gestione delle chiavi di terze parti utilizzando Cloud External Key Manager (Cloud EKM).

Consigliamo vivamente di criptare i dati in transito. Google crittografa e autentica i dati in transito su uno o più livelli di rete quando i dati si spostano all'esterno dei confini fisici non controllati da Google o per conto di Google. Tutto il traffico da VM a VM all'interno di una rete VPC e tra reti VPC in peering viene criptato. Puoi utilizzare MACsec per criptare il traffico sulle connessioni Cloud Interconnect. IPsec fornisce la crittografia per il traffico sulle connessioni Cloud VPN. Puoi proteggere il traffico da applicazione ad applicazione nel cloud utilizzando funzionalità di sicurezza come le configurazioni TLS e mTLS in Apigee e Cloud Service Mesh per le applicazioni containerizzate.

Per impostazione predefinita, Google Cloud cripta i dati inattivi e in transito sulla rete. Tuttavia, i dati non vengono criptati per impostazione predefinita mentre sono in uso in memoria. Se la tua organizzazione gestisce dati riservati, devi mitigare qualsiasi minaccia che comprometta la riservatezza e l'integrità dell'applicazione o dei dati nella memoria di sistema. Per ridurre queste minacce, puoi utilizzare Confidential Computing, che fornisce un ambiente di esecuzione attendibile per i tuoi carichi di lavoro di calcolo. Per maggiori informazioni, consulta la panoramica di Confidential VM.

Implementa Zero Trust

Questo principio del pilastro della sicurezza del Google Cloud framework Well-Architected ti aiuta a garantire una sicurezza completa nei tuoi carichi di lavoro cloud. Il principio Zero Trust enfatizza le seguenti pratiche:

• Eliminazione dell'attendibilità implicita
• Applicare il principio del privilegio minimo al controllo dell'accesso
• Applicazione della convalida esplicita di tutte le richieste di accesso
• Adottare una mentalità assume-breach per consentire la verifica continua e il monitoraggio della strategia di sicurezza

Panoramica del principio

Il modello Zero Trust sposta l'attenzione della sicurezza dalla sicurezza basata sul perimetro a un approccio in cui nessun utente o dispositivo è considerato intrinsecamente affidabile. Invece, ogni richiesta di accesso deve essere verificata, indipendentemente dalla sua origine. Questo approccio prevede l'autenticazione e l'autorizzazione di ogni utente e dispositivo, la convalida del contesto (posizione e postura del dispositivo) e la concessione dell'accesso coprivilegio minimomi solo alle risorse necessarie.

L'implementazione del modello Zero Trust aiuta la tua organizzazione a migliorare la propria security posture riducendo al minimo l'impatto di potenziali violazioni e proteggendo dati e applicazioni sensibili da accessi non autorizzati. Il modello zero-trust ti aiuta a garantire la riservatezza, l'integrità e la disponibilità di dati e risorse nel cloud.

Consigli

Per implementare il modello zero-trust per i tuoi workload cloud, prendi in considerazione i suggerimenti nelle sezioni seguenti:

• Proteggere la rete
• Verifica esplicitamente ogni tentativo di accesso
• Monitorare e gestire la rete

Protezione della rete

Questo consiglio è pertinente alla seguente area di interesse: Sicurezza dell'infrastruttura.

La transizione dalla sicurezza perimetrale convenzionale a un modello Zero Trust richiede più passaggi. La tua organizzazione potrebbe aver già integrato determinati controlli Zero Trust nella sua strategia di sicurezza. Tuttavia, un modello Zero Trust non è un prodotto o una soluzione singola. Si tratta invece di un'integrazione olistica di più livelli di sicurezza e best practice. Questa sezione descrive consigli e tecniche per implementare Zero Trust per la sicurezza di rete.

• Controllo dell'accesso: applica controlli dell'accesso basati sull'identità dell'utente e sul contesto utilizzando soluzioni come Chrome Enterprise Premium e Identity-Aware Proxy (IAP). In questo modo, la sicurezza passa dal perimetro della rete ai singoli utenti e dispositivi. Questo approccio consente controllo dell'accesso granulare e riduce la superficie di attacco.
• Sicurezza di rete: proteggi le connessioni di rete tra i tuoi ambienti on-premise, Google Cloude multi-cloud.
  • Utilizza i metodi di connettività privata di Cloud Interconnect e VPN IPsec.
  • Per proteggere l'accesso a servizi e API, utilizza Private Service Connect. Google Cloud
  • Per proteggere l'accesso in uscita dai workload di cui è stato eseguito il deployment su GKE Enterprise, utilizza i gateway in uscita di Cloud Service Mesh.
• Progettazione della rete: previeni potenziali rischi per la sicurezza eliminando le reti predefinite nei progetti esistenti e disattivando la creazione di reti predefinite nei nuovi progetti.
  • Per evitare conflitti, pianifica attentamente l'allocazione della rete e degli indirizzi IP.
  • Per applicare controllo dell'accesso efficace, limita il numero di reti Virtual Private Cloud (VPC) per progetto.
• Segmentazione: isola i workload, ma mantieni la gestione centralizzata della rete.
  • Per segmentare la rete, utilizza VPC condiviso.
  • Definisci criteri e regole firewall a livello di organizzazione, cartella e rete VPC.
  • Per impedire l'esfiltrazione di dati, stabilisci perimetri sicuri attorno a dati e servizi sensibili utilizzando i Controlli di servizio VPC.
• Sicurezza perimetrale: protezione da attacchi DDoS e minacce alle applicazioni web.
  • Per proteggerti dalle minacce, utilizza Google Cloud Armor.
  • Configura le policy di sicurezza per consentire, negare o reindirizzare il traffico all'edgeGoogle Cloud .
• Automazione: automatizza il provisioning dell'infrastruttura adottando i principi di Infrastructure as Code (IaC) e utilizzando strumenti come Terraform, Jenkins e Cloud Build. L'IaC contribuisce a garantire configurazioni di sicurezza coerenti, deployment semplificati e rollback rapidi in caso di problemi.
• Base sicura: crea un ambiente applicativo sicuro utilizzando il progetto di fondazione di un'azienda. Questo progetto fornisce indicazioni prescrittive e script di automazione per aiutarti a implementare le best practice per la sicurezza e configurare le tue risorseGoogle Cloud in modo sicuro.

Verifica esplicitamente ogni tentativo di accesso

Questo consiglio è pertinente alle seguenti aree di interesse:

• Gestione di identità e accessi
• Operazioni di sicurezza (SecOps)
• Logging, controllo e monitoraggio

Implementa meccanismi di autenticazione e autorizzazione efficaci per qualsiasi utente, dispositivo o servizio che tenti di accedere alle tue risorse cloud. Non fare affidamento sul perimetro di rete o sulla posizione come controllo di sicurezza. Non considerare attendibile automaticamente nessun utente, dispositivo o servizio, anche se si trova già all'interno della rete. Al contrario, ogni tentativo di accesso alle risorse deve essere rigorosamente autenticato e autorizzato. Devi implementare misure di verifica dell'identità efficaci, come l'autenticazione a più fattori (MFA). Devi anche assicurarti che le decisioni sull'accesso si basino su criteri granulari che tengano conto di vari fattori contestuali come il ruolo dell'utente, la postura del dispositivo e la posizione.

Per implementare questo consiglio, utilizza i seguenti metodi, strumenti e tecnologie:

• Gestione unificata delle identità: garantisci una gestione coerente delle identità in tutta l'organizzazione utilizzando un unico provider di identità (IdP).
  • Google Cloud supporta la federazione con la maggior parte degli IdP, tra cui Active Directory on-premise. La federazione ti consente di estendere l'infrastruttura di gestione delle identità esistente a Google Cloud e di attivare il Single Sign-On (SSO) per gli utenti.
  • Se non hai un IdP esistente, valuta la possibilità di utilizzare Cloud Identity Premium o Google Workspace.
• Autorizzazioni account di servizio account: utilizza i service account con attenzione e rispetta il principio del privilegio minimo.
  • Concedi solo le autorizzazioni necessarie per consentire a ogni account di servizio di svolgere le attività designate.
  • Utilizza la federazione delle identità per i carichi di lavoro per le applicazioni eseguite su Google Kubernetes Engine (GKE) o all'esterno diGoogle Cloud per accedere alle risorse in modo sicuro.
• Procedure solide: aggiorna le procedure di identità in modo che siano in linea con le best practice per la sicurezza del cloud.
  • Per garantire la conformità ai requisiti normativi, implementa la governance delle identità per monitorare l'accesso, i rischi e le violazioni delle norme.
  • Rivedi e aggiorna i processi esistenti per la concessione e il controllo di ruoli e autorizzazioni di controllo dell'accesso.
• Autenticazione forte: implementa SSO per l'autenticazione utente e MFA per gli account privilegiati.
  • Google Cloud supporta vari metodi MFA, tra cui i token di sicurezza Titan, per una maggiore sicurezza.
  • Per l'autenticazione dei carichi di lavoro, utilizza OAuth 2.0 o JWT (JSON Web Token) firmati.
• Privilegio minimo: riduci al minimo il rischio di accesso non autorizzato e violazioni dei dati applicando i principi del privilegio minimo e della separazione dei compiti.
  • Evita il provisioning eccessivo dell'accesso utente.
  • Valuta la possibilità di implementare l'accesso privilegiato just-in-time per le operazioni sensibili.
• Logging: abilita l'audit logging per le attività di amministratore e di accesso ai dati.
  • Per l'analisi e il rilevamento delle minacce, scansiona i log utilizzando Security Command Center Enterprise o Google Security Operations.
  • Configura criteri di conservazione dei log appropriati per bilanciare le esigenze di sicurezza con i costi di archiviazione.

Monitorare e gestire la rete

Questo consiglio è pertinente alle seguenti aree di interesse:

• Logging, controllo e monitoraggio
• Sicurezza delle applicazioni
• Operazioni di sicurezza (SecOps)
• Sicurezza dell'infrastruttura

Quando pianifichi e implementi misure di sicurezza, presupponi che un autore di un attacco si trovi già all'interno del tuo ambiente. Questo approccio proattivo prevede l'utilizzo dei seguenti strumenti e tecniche multipli per fornire visibilità sulla tua rete:

• Logging e monitoraggio centralizzati: raccogli e analizza i log di sicurezza di tutte le tue risorse cloud tramite logging e monitoraggio centralizzati.

  • Stabilisci baseline per il comportamento normale della rete, rileva anomalie e identifica potenziali minacce.
  • Analizza continuamente i flussi di traffico di rete per identificare pattern sospetti e potenziali attacchi.

• Approfondimenti su prestazioni e sicurezza della rete: utilizza strumenti come Network Analyzer. Monitora il traffico per rilevare protocolli insoliti, connessioni impreviste o picchi improvvisi nel trasferimento di dati, che potrebbero indicare attività dannose.

• Scansione e correzione delle vulnerabilità: esegui regolarmente la scansione della rete e delle applicazioni per rilevare le vulnerabilità.

  • Utilizza Web Security Scanner, che può identificare automaticamente le vulnerabilità nelle istanze, nei container e nei cluster GKE di Compute Engine.
  • Dai la priorità alla correzione in base alla gravità delle vulnerabilità e al loro potenziale impatto sui tuoi sistemi.

• Rilevamento delle intrusioni: monitora il traffico di rete per rilevare attività dannose e blocca automaticamente o ricevi avvisi per eventi sospetti utilizzando Cloud IDS e il servizio di prevenzione delle intrusioni Cloud NGFW.

• Analisi della sicurezza: valuta l'implementazione di Google SecOps per correlare gli eventi di sicurezza provenienti da varie origini, fornire analisi in tempo reale degli avvisi di sicurezza e facilitare la risposta agli incidenti.

• Configurazioni coerenti: assicurati di avere configurazioni di sicurezza coerenti nella rete utilizzando strumenti di gestione della configurazione.

Implementare la sicurezza shift left

Questo principio del pilastro della sicurezza del Google Cloud framework Well-Architected ti aiuta a identificare controlli pratici che puoi implementare nelle prime fasi del ciclo di vita dello sviluppo del software per migliorare la tua postura di sicurezza. Fornisce consigli che ti aiutano a implementare barriere di sicurezza preventive e controlli di sicurezza post-deployment.

Panoramica del principio

Shift-left security significa adottare pratiche di sicurezza nelle prime fasi del ciclo di vita di sviluppo del software. Questo principio ha i seguenti obiettivi:

• Evita difetti di sicurezza prima di apportare modifiche al sistema. Implementa misure protettive per la sicurezza preventive e adotta pratiche come Infrastructure as Code (IaC), Policy as Code e controlli di sicurezza nella pipeline CI/CD. Puoi anche utilizzare altre funzionalità specifiche della piattaforma, come Organization Policy Service e cluster GKE rafforzati in Google Cloud.
• Rileva e correggi i bug di sicurezza in modo rapido, affidabile e tempestivo dopo l'applicazione di qualsiasi modifica al sistema. Adotta pratiche come le revisioni del codice, analisi delle vulnerabilità post-deployment e i test di sicurezza.

I principi Implementa la sicurezza by design e Shift-Left Security sono correlati, ma differiscono per ambito. Il principio della sicurezza by design ti aiuta a evitare difetti di progettazione fondamentali che richiederebbero la riprogettazione dell'intero sistema. Ad esempio, un esercizio di modellazione delle minacce rivela che la progettazione attuale non include un criterio di autorizzazione e che tutti gli utenti avrebbero lo stesso livello di accesso senza di esso. La sicurezza shift-left ti aiuta a evitare difetti di implementazione (bug ed errori di configurazione) prima che vengano applicate le modifiche e consente correzioni rapide e affidabili dopo la distribuzione.

Consigli

Per implementare il principio di sicurezza shift-left per i tuoi workload cloud, prendi in considerazione i suggerimenti nelle sezioni seguenti:

• Adottare controlli di sicurezza preventivi
• Automatizzare il provisioning e la gestione delle risorse cloud
• Automatizzare le release sicure delle applicazioni
• Assicurarsi che i deployment delle applicazioni seguano i processi approvati.
• Esegui la scansione per verificare la presenza di vulnerabilità note prima del deployment dell'applicazione
• Monitorare il codice dell'applicazione per verificare la presenza di vulnerabilità note

Adottare controlli di sicurezza preventivi

Questo consiglio è pertinente alle seguenti aree di interesse:

• Gestione di identità e accessi
• Governance, rischio e conformità del cloud

I controlli di sicurezza preventivi sono fondamentali per mantenere una solida postura di sicurezza nel cloud. Questi controlli ti aiutano a ridurre i rischi in modo proattivo. Puoi prevenire configurazioni errate e accessi non autorizzati alle risorse, consentire agli sviluppatori di lavorare in modo efficiente e contribuire a garantire la conformità agli standard di settore e alle norme interne.

I controlli di sicurezza preventivi sono più efficaci se implementati utilizzando Infrastructure as Code (IaC). Con IaC, i controlli di sicurezza preventivi possono includere controlli più personalizzati sul codice dell'infrastruttura prima del deployment delle modifiche. Se combinati con l'automazione, i controlli di sicurezza preventivi possono essere eseguiti come parte dei controlli automatici della pipeline CI/CD.

I seguenti prodotti e funzionalità possono aiutarti a implementare controlli preventivi nel tuo ambiente: Google Cloud

• Vincoli del servizio Policy dell'organizzazione: configura vincoli predefiniti e personalizzati con controllo centralizzato.
• Controlli di servizio VPC: crea perimetri intorno ai tuoi servizi Google Cloud .
• Identity and Access Management (IAM), Privileged Access Manager, e policy di Principal Access Boundary: limitano l'accesso alle risorse.
• Policy Controller e Open Policy Agent (OPA): applica i vincoli IaC nella pipeline CI/CD ed evita errori di configurazione del cloud.

IAM ti consente di autorizzare chi può agire su risorse specifiche in base alle autorizzazioni. Per saperne di più, consulta la pagina Controllo dell'accesso per le risorse dell'organizzazione con IAM.

Il servizio Criteri dell'organizzazione consente di impostare restrizioni sulle risorse per specificare come possono essere configurate. Ad esempio, puoi utilizzare un criterio dell'organizzazione per quanto segue:

• Limitare la condivisione delle risorse in base al dominio.
• Limita l'utilizzo dei service account.
• Limitare la posizione fisica delle risorse appena create.

Oltre a utilizzare i criteri dell'organizzazione, puoi limitare l'accesso alle risorse utilizzando i seguenti metodi:

• Tag con IAM: assegna un tag a un insieme di risorse e poi imposta la definizione di accesso per il tag stesso, anziché definire le autorizzazioni di accesso per ogni risorsa.
• Condizioni IAM: definiscono controllo dell'accesso condizionale basato su attributi per le risorse.
• Difesa in profondità: utilizza Controlli di servizio VPC per limitare ulteriormente l'accesso alle risorse.

Per ulteriori informazioni sulla gestione delle risorse, vedi Decidere una gerarchia delle risorse per la tua Google Cloud landing zone.

Automatizza il provisioning e la gestione delle risorse cloud

Questo consiglio è pertinente alle seguenti aree di interesse:

• Sicurezza delle applicazioni
• Governance, rischio e conformità del cloud

L'automazione del provisioning e della gestione delle risorse e dei carichi di lavoro cloud è più efficace quando adotti anche IaC dichiarativa, anziché scripting imperativo. IaC non è uno strumento o una pratica di sicurezza in sé, ma ti aiuta a migliorare la sicurezza della tua piattaforma. L'adozione di IaC consente di creare un'infrastruttura ripetibile e fornisce al team operativo uno stato noto e valido. Inoltre, IaC migliora l'efficienza dei rollback, delle modifiche di controllo e della risoluzione dei problemi.

Se combinata con pipeline CI/CD e automazione, IaC ti offre anche la possibilità di adottare pratiche come policy as code con strumenti come OPA. Puoi controllare le modifiche all'infrastruttura nel tempo ed eseguire controlli automatici sul codice dell'infrastruttura prima che vengano implementate le modifiche.

Per automatizzare il deployment dell'infrastruttura, puoi utilizzare strumenti come Config Controller, Terraform, Jenkins e Cloud Build. Per aiutarti a creare un ambiente applicativo sicuro utilizzando IaC e l'automazione, Google Cloud fornisce il progetto base per le fondamenta aziendali. Questo progetto è la progettazione soggettiva di Google che segue tutte le nostre pratiche e configurazioni consigliate. Il blueprint fornisce istruzioni passo passo per configurare e implementare la topologia Google Cloud utilizzando Terraform e Cloud Build.

Puoi modificare gli script del progetto base per le fondamenta dell'impresa per configurare un ambiente che segua i consigli di Google e soddisfi i tuoi requisiti di sicurezza. Puoi sviluppare ulteriormente il progetto con altri progetti o progettare la tua automazione. Il Google Cloud Architecture Center fornisce altri progetti che possono essere implementati sopra il progetto di fondazione dell'azienda. Di seguito sono riportati alcuni esempi di questi progetti:

• Esegui il deployment di una piattaforma aziendale per sviluppatori su Google Cloud
• Esegui il deployment di un'architettura serverless sicura utilizzando Cloud Run
• Crea ed esegui il deployment di modelli di AI generativa e machine learning in un'azienda
• Importare dati da Google Cloud in un data warehouse BigQuery protetto

Automatizzare le release sicure delle applicazioni

Questo consiglio è pertinente alla seguente area di interesse: Sicurezza delle applicazioni.

Senza strumenti automatizzati, può essere difficile implementare, aggiornare e applicare patch ad ambienti applicativi complessi per soddisfare requisiti di sicurezza coerenti. Ti consigliamo di creare pipeline CI/CD automatizzate per il ciclo di vita dello sviluppo del software (SDLC). Le pipeline CI/CD automatizzate ti aiutano a eliminare gli errori manuali, forniscono cicli di feedback di sviluppo standardizzati e consentono iterazioni efficienti del prodotto. La continuous delivery è una delle best practice consigliate dal framework DORA.

L'automazione dei rilasci delle applicazioni tramite le pipeline CI/CD consente di migliorare la tua capacità di rilevare e correggere i bug di sicurezza in modo rapido, affidabile e tempestivo. Ad esempio, puoi eseguire automaticamente la scansione delle vulnerabilità di sicurezza quando vengono creati gli artefatti, restringere l'ambito delle revisioni di sicurezza ed eseguire il rollback a una versione nota e sicura. Puoi anche definire criteri per ambienti diversi (ad esempio ambienti di sviluppo, test o produzione) in modo che vengano implementati solo gli artefatti verificati.

Per aiutarti ad automatizzare le release delle applicazioni e a incorporare i controlli di sicurezza nella pipeline CI/CD, Google Cloud fornisce più strumenti, tra cui Cloud Build, Cloud Deploy, Web Security Scanner e Autorizzazione binaria.

Per stabilire un processo che verifichi più requisiti di sicurezza nel tuo SDLC, utilizza il framework Supply-chain Levels for Software Artifacts (SLSA), definito da Google. SLSA richiede controlli di sicurezza per il codice sorgente, il processo di compilazione e la provenienza del codice. Molti di questi requisiti possono essere inclusi in una pipeline CI/CD automatizzata. Per capire in che modo Google applica internamente queste pratiche, consulta l'approccio diGoogle Cloudal cambiamento.

Assicurarsi che i deployment delle applicazioni seguano i processi approvati.

Questo consiglio è pertinente alla seguente area di interesse: Sicurezza delle applicazioni.

Se un malintenzionato compromette la pipeline CI/CD, l'intero stack di applicazioni può essere interessato. Per proteggere la pipeline, devi applicare un processo di approvazione stabilito prima di eseguire il deployment del codice in produzione.

Se utilizzi Google Kubernetes Engine (GKE), GKE Enterprise o Cloud Run, puoi stabilire una procedura di approvazione utilizzando l'autorizzazione binaria. Autorizzazione binaria associa firme configurabili alle immagini container. Queste firme (chiamate anche attestazioni) contribuiscono a convalidare l'immagine. Al momento del deployment, Autorizzazione binaria utilizza queste attestazioni per determinare se un processo è stato completato. Ad esempio, puoi utilizzare Autorizzazione binaria per eseguire le seguenti operazioni:

• Verifica che un sistema di compilazione o una pipeline CI specifici abbiano creato un'immagine container.
• Verifica che un'immagine container sia conforme a una policy di firma delle vulnerabilità.
• Verifica che un'immagine container soddisfi i criteri per la promozione all'ambiente di deployment successivo, ad esempio dallo sviluppo al QA.

Utilizzando l'autorizzazione binaria, puoi imporre l'esecuzione solo di codice attendibile sulle piattaforme di destinazione.

Eseguire la scansione per rilevare vulnerabilità note prima del deployment dell'applicazione

Questo consiglio è pertinente alla seguente area di interesse: Sicurezza delle applicazioni.

Ti consigliamo di utilizzare strumenti automatizzati in grado di eseguire continuamente scansioni delle vulnerabilità sugli artefatti dell'applicazione prima del deployment in produzione.

Per le applicazioni containerizzate, utilizza Artifact Analysis per eseguire automaticamente le scansioni delle vulnerabilità per le immagini container. Artifact Analysis esegue la scansione delle nuove immagini quando vengono caricate in Artifact Registry. La scansione estrae informazioni sui pacchetti di sistema nel contenitore. Dopo la scansione iniziale, Artifact Analysis monitora continuamente i metadati delle immagini analizzate in Artifact Registry per rilevare nuove vulnerabilità. Quando Artifact Analysis riceve informazioni nuove e aggiornate sulle vulnerabilità dalle origini delle vulnerabilità, esegue le seguenti operazioni:

• Aggiorna i metadati delle immagini scansionate per mantenerli aggiornati.
• Crea nuove occorrenze di vulnerabilità per le nuove note.
• Elimina le occorrenze di vulnerabilità non più valide.

Monitorare il codice dell'applicazione per verificare la presenza di vulnerabilità note.

Questo consiglio è pertinente alla seguente area di interesse: Sicurezza delle applicazioni.

Utilizza strumenti automatizzati per monitorare costantemente il codice dell'applicazione alla ricerca di vulnerabilità note, come quelle dell'OWASP Top 10. Per saperne di più sui Google Cloud prodotti e sulle funzionalità che supportano le tecniche di mitigazione OWASP Top 10, consulta Opzioni di mitigazione OWASP Top 10 su Google Cloud.

Utilizza Web Security Scanner per identificare le vulnerabilità di sicurezza nelle tue applicazioni web App Engine, Compute Engine e GKE. Lo scanner esegue la scansione dell'applicazione, segue tutti i link nell'ambito degli URL di partenza e tenta di attivare il maggior numero possibile di input utente e gestori di eventi. Può eseguire automaticamente la scansione e rilevare vulnerabilità comuni, tra cui cross-site scripting, code injection, contenuti misti e librerie obsolete o non sicure. Web Security Scanner fornisce l'identificazione precoce di questi tipi di vulnerabilità senza distrarti con falsi positivi.

Inoltre, se utilizzi GKE Enterprise per gestire parchi risorse di cluster Kubernetes, la dashboard sulla postura di sicurezza mostra suggerimenti attendibili e strategici per migliorare la postura di sicurezza del tuo parco risorse.

Implementare una difesa informatica preventiva

Questo principio del pilastro della sicurezza del Google Cloud framework Well-Architected fornisce consigli per creare solidi programmi di difesa informatica nell'ambito della tua strategia di sicurezza complessiva.

Questo principio sottolinea l'uso dell'intelligence sulle minacce per guidare in modo proattivo i tuoi sforzi nelle funzioni principali di difesa informatica, come definito in The Defender's Advantage: una guida per attivare la difesa informatica.

Panoramica del principio

Quando difendi il tuo sistema dagli attacchi informatici, hai un vantaggio significativo e sottoutilizzato rispetto agli aggressori. Come afferma il fondatore di Mandiant, "Hai più informazioni sulla tua attività, sui tuoi sistemi, sulla tua topologia e sulla tua infrastruttura di qualsiasi malintenzionato. È un vantaggio incredibile." Per aiutarti a sfruttare questo vantaggio intrinseco, questo documento fornisce consigli su pratiche di difesa informatica proattive e strategiche mappate al framework Defender's Advantage.

Consigli

Per implementare una difesa informatica preventiva per i tuoi workload cloud, prendi in considerazione i suggerimenti nelle sezioni seguenti:

• Integrare le funzioni della difesa informatica
• Utilizza la funzione Intelligence in tutti gli aspetti della difesa informatica
• Comprendere e sfruttare il Defender's Advantage
• Convalidare e migliorare continuamente le difese
• Gestire e coordinare le attività di difesa informatica

Integrare le funzioni della difesa informatica

Questo consiglio è pertinente a tutte le aree di interesse.

Il framework di The Defender's Advantage identifica sei funzioni critiche della difesa informatica: intelligence, rilevamento, risposta, convalida, ricerca delle minacce e mission control. Ogni funzione si concentra su una parte unica della missione di cyberdifesa, ma queste funzioni devono essere ben coordinate e lavorare insieme per fornire una difesa efficace. Concentrati sulla creazione di un sistema solido e integrato in cui ogni funzione supporti le altre. Se hai bisogno di un approccio graduale per l'adozione, considera l'ordine suggerito di seguito. A seconda del tuo attuale livello di maturità del cloud, della topologia delle risorse e del panorama delle minacce specifico, potresti voler dare la priorità a determinate funzioni.

1. Intelligence: la funzione Intelligence guida tutte le altre funzioni. Comprendere il panorama delle minacce, inclusi gli autori degli attacchi più probabili, le loro tattiche, tecniche e procedure (TTP) e il potenziale impatto, è fondamentale per dare la priorità alle azioni nell'intero programma. La funzione Intelligence è responsabile dell'identificazione degli stakeholder, della definizione dei requisiti di intelligence, della raccolta, dell'analisi e della diffusione dei dati, dell'automazione e della creazione di un profilo di minaccia informatica.
2. Rilevamento e risposta: queste funzioni costituiscono il nucleo della difesa attiva, che prevede l'identificazione e la gestione delle attività dannose. Queste funzioni sono necessarie per agire in base alle informazioni raccolte dalla funzione di intelligence. La funzione Rileva richiede un approccio metodico che allinei i rilevamenti alle TTP degli autori degli attacchi e garantisca una registrazione robusta. La funzione Rispondi deve concentrarsi sul triage iniziale, sulla raccolta dei dati e sulla correzione degli incidenti.
3. Convalida: la funzione di convalida è un processo continuo che garantisce che l'ecosistema di controllo della sicurezza sia aggiornato e funzioni come previsto. Questa funzione garantisce che la tua organizzazione comprenda la superficie di attacco, sappia dove esistono vulnerabilità e misuri l'efficacia dei controlli. La convalida della sicurezza è anche un componente importante del ciclo di vita della progettazione del rilevamento e deve essere utilizzata per identificare le lacune nel rilevamento e creare nuovi rilevamenti.
4. Caccia: la funzione di caccia prevede la ricerca proattiva di minacce attive all'interno di un ambiente. Questa funzione deve essere implementata quando la tua organizzazione ha un livello di maturità di base nelle funzioni di rilevamento e risposta. La funzione Caccia espande le funzionalità di rilevamento e aiuta a identificare lacune e punti deboli nei controlli. La funzione Caccia deve basarsi su minacce specifiche. Questa funzionalità avanzata si basa su solide capacità di intelligence, rilevamento e risposta.
5. Mission Control: la funzione Mission Control funge da hub centrale che collega tutte le altre funzioni. Questa funzione è responsabile della strategia, della comunicazione e dell'azione decisiva nell'ambito del tuo programma di cyberdifesa. Garantisce che tutte le funzioni funzionino insieme e che siano in linea con gli obiettivi commerciali della tua organizzazione. Prima di utilizzarla per connettere le altre funzioni, devi concentrarti sulla creazione di una comprensione chiara dello scopo della funzione Mission Control.

Utilizza la funzione Intelligence in tutti gli aspetti della difesa informatica

Questo consiglio è pertinente a tutte le aree di interesse.

Questo consiglio evidenzia la funzione di intelligence come parte fondamentale di un solido programma di cyberdifesa. La threat intelligence fornisce informazioni sugli autori delle minacce, sulle loro TTP e sugli indicatori di compromissione (IOC). Queste conoscenze devono informare e dare priorità alle azioni in tutte le funzioni di difesa informatica. Un approccio basato sull'intelligence ti aiuta ad allineare le difese per contrastare le minacce che hanno maggiori probabilità di colpire la tua organizzazione. Questo approccio aiuta anche l'allocazione e la definizione delle priorità delle risorse.

I seguenti Google Cloud prodotti e funzionalità ti aiutano a sfruttare la threat intelligence per guidare le tue operazioni di sicurezza. Utilizza queste funzionalità per identificare e dare la priorità a potenziali minacce, vulnerabilità e rischi, quindi pianificare e implementare le azioni appropriate.

• Google Security Operations (Google SecOps) ti aiuta ad archiviare e analizzare i dati di sicurezza in modo centralizzato. Utilizza Google SecOps per mappare i log in un modello comune, arricchire i log e collegarli alle cronologie per una visione completa degli attacchi. Puoi anche creare regole di rilevamento, configurare la corrispondenza degli indicatori di compromissione ed eseguire attività di threat hunting. La piattaforma fornisce anche rilevamenti selezionati, ovvero regole predefinite e gestite per identificare le minacce. Google SecOps può anche integrarsi con l'intelligence di prima linea di Mandiant. Google SecOps integra in modo esclusivo l'AI leader del settore, insieme all'intelligence sulle minacce di Mandiant e Google VirusTotal. Questa integrazione è fondamentale per la valutazione delle minacce e per capire chi prende di mira la tua organizzazione e il potenziale impatto.

• Security Command Center Enterprise, basato su Google AI, consente ai professionisti della sicurezza di valutare, analizzare e rispondere in modo efficiente ai problemi di sicurezza in più ambienti cloud. I professionisti della sicurezza che possono trarre vantaggio da Security Command Center includono analisti del centro operativo di sicurezza (SOC), analisti di vulnerabilità e postura e responsabili della conformità. Security Command Center Enterprise arricchisce i dati di sicurezza, valuta il rischio e assegna priorità alle vulnerabilità. Questa soluzione fornisce ai team le informazioni necessarie per risolvere le vulnerabilità ad alto rischio e correggere le minacce attive.

• Chrome Enterprise Premium offre protezione dei dati e dalle minacce, che aiuta a proteggere gli utenti dai rischi di esfiltrazione e impedisce l'accesso di malware ai dispositivi gestiti dall'azienda. Chrome Enterprise Premium offre anche visibilità sull'attività non sicura o potenzialmente non sicura che può verificarsi all'interno del browser.

• Il monitoraggio della rete, tramite strumenti come Network Intelligence Center, fornisce visibilità sulle prestazioni della rete. Il monitoraggio della rete può anche aiutarti a rilevare pattern di traffico insoliti o quantità di trasferimento di dati che potrebbero indicare un attacco o un tentativesfiltrazione di datiti.

Comprendere e sfruttare il vantaggio di chi si difende

Questo consiglio è pertinente a tutte le aree di interesse.

Come accennato in precedenza, hai un vantaggio rispetto agli autori degli attacchi quando hai una conoscenza approfondita della tua attività, dei tuoi sistemi, della tua topologia e della tua infrastruttura. Per sfruttare questo vantaggio di conoscenza, utilizza questi dati sui tuoi ambienti durante la pianificazione della difesa informatica.

Google Cloud offre le seguenti funzionalità per aiutarti a ottenere in modo proattivo visibilità per identificare le minacce, comprendere i rischi e rispondere in modo tempestivo per mitigare potenziali danni:

• Chrome Enterprise Premium ti aiuta a migliorare la sicurezza dei dispositivi aziendali proteggendo gli utenti dai rischi di esfiltrazione. Estende i servizi Sensitive Data Protection al browser e previene i malware. Offre anche funzionalità come la protezione da malware e phishing per contribuire a prevenire l'esposizione a contenuti non sicuri. Inoltre, ti consente di controllare l'installazione delle estensioni per evitare quelle non sicure o non verificate. Queste funzionalità ti aiutano a creare una base sicura per le tue operazioni.

• Security Command Center Enterprise fornisce un motore dei rischi continuo che offre una gestione e un'analisi dei rischi complete e continue. La funzionalità del motore di rischio arricchisce i dati di sicurezza, valuta il rischio e assegna la priorità alle vulnerabilità per risolvere rapidamente i problemi. Security Command Center consente alla tua organizzazione di identificare in modo proattivo i punti deboli e implementare misure di mitigazione.

• Google SecOps centralizza i dati di sicurezza e fornisce log arricchiti con cronologie. Ciò consente ai difensori di identificare in modo proattivo i compromessi attivi e adattare le difese in base al comportamento degli autori degli attacchi.

• Il monitoraggio della rete aiuta a identificare attività di rete irregolari che potrebbero indicare un attacco e fornisce indicatori precoci che puoi utilizzare per intervenire. Per proteggere in modo proattivo i tuoi dati dal furto, monitora costantemente l&#39esfiltrazione di datii e utilizza gli strumenti forniti.

Convalida e migliora continuamente le tue difese

Questo consiglio è pertinente a tutte le aree di interesse.

Questo consiglio sottolinea l'importanza di test mirati e della convalida continua dei controlli per comprendere i punti di forza e di debolezza dell'intera superficie di attacco. Ciò include la convalida dell'efficacia di controlli, operazioni e personale tramite metodi come:

• Test di penetrazione
• Esercizi di red team e blue team e purple team
• Simulazioni di emergenza

Devi anche cercare attivamente le minacce e utilizzare i risultati per migliorare il rilevamento e la visibilità. Utilizza i seguenti strumenti per testare e convalidare continuamente le tue difese contro le minacce reali:

• Security Command Center Enterprise fornisce un motore di rischio continuo per valutare le vulnerabilità e dare la priorità alla correzione, il che consente una valutazione continua del tuo approccio generale alla sicurezza. Assegnando la priorità ai problemi, Security Command Center Enterprise ti aiuta a garantire che le risorse vengano utilizzate in modo efficace.

• Google SecOps offre funzionalità di threat hunting e rilevamenti curati che ti consentono di identificare in modo proattivo i punti deboli dei tuoi controlli. Questa funzionalità consente di testare e migliorare continuamente la tua capacità di rilevare le minacce.

• Chrome Enterprise Premium offre funzionalità di protezione dei dati e dalle minacce che possono aiutarti ad affrontare minacce nuove ed emergenti e ad aggiornare continuamente le tue difese contro i rischi di esfiltrazione e i malware.

• Cloud Next Generation Firewall (Cloud NGFW) fornisce il monitoraggio della rete e dell'esfiltrazione dei dati. Queste funzionalità possono aiutarti a convalidare l'efficacia della tua attuale postura di sicurezza e a identificare potenziali punti deboli. Il monitoraggio dell'esfiltrazione dei dati ti aiuta a convalidare l'efficacia dei meccanismi di protezione dei dati della tua organizzazione e ad apportare modifiche proattive, se necessario. Quando integri i risultati delle minacce di Cloud NGFW con Security Command Center e Google SecOps, puoi ottimizzare il rilevamento delle minacce basato sulla rete, la risposta alle minacce e automatizzare i playbook. Per saperne di più su questa integrazione, consulta Unificazione delle difese cloud: Security Command Center e Cloud NGFW Enterprise.

Gestire e coordinare le attività di difesa informatica

Questo consiglio è pertinente a tutte le aree di interesse.

Come descritto in precedenza in Integrare le funzioni di difesa informatica, la funzione Mission Control interconnette le altre funzioni del programma di difesa informatica. Questa funzione consente il coordinamento e la gestione unificata del programma. Ti aiuta anche a coordinarti con altri team che non si occupano di sicurezza informatica. La funzione Mission Control promuove l'empowerment e la responsabilità, facilita l'agilità e la competenza e favorisce la responsabilità e la trasparenza.

I seguenti prodotti e funzionalità possono aiutarti a implementare la funzione Mission Control:

• Security Command Center Enterprise funge da hub centrale per coordinare e gestire le operazioni di cyberdifesa. Riunisce strumenti, team e dati, oltre alle funzionalità di risposta integrate di Google SecOps. Security Command Center offre una visibilità chiara sullo stato di sicurezza della tua organizzazione e consente l'identificazione di errori di configurazione della sicurezza in diverse risorse.
• Google SecOps fornisce una piattaforma per consentire ai team di rispondere alle minacce mappando i log e creando cronologie. Puoi anche definire regole di rilevamento e cercare minacce.
• Google Workspace e Chrome Enterprise Premium ti aiutano a gestire e controllare l'accesso degli utenti finali alle risorse sensibili. Puoi definire controlli di accesso granulari in base all'identità dell'utente e al contesto di una richiesta.
• Il monitoraggio della rete fornisce informazioni sul rendimento delle risorse di rete. Puoi importare gli approfondimenti sul monitoraggio della rete in Security Command Center e Google SecOps per il monitoraggio e la correlazione centralizzati con altri punti dati basati sulla cronologia. Questa integrazione ti aiuta a rilevare e rispondere a potenziali modifiche dell'utilizzo della rete causate da attività illecite.
• Il monitoraggio dell'esfiltrazione di dati consente di identificare possibili incidenti di perdita di dati. Con questa funzionalità, puoi mobilitare in modo efficiente un team di risposta agli incidenti, valutare i danni e limitare l'ulteriore esfiltrazione di dati. Puoi anche migliorare le norme e i controlli attuali per garantire la protezione dei dati.

Riepilogo prodotto

La seguente tabella elenca i prodotti e le funzionalità descritti in questo documento e li associa ai consigli e alle funzionalità di sicurezza correlati.

Google Cloud prodotto	Consigli applicabili
Google SecOps	Utilizza la funzione Intelligence in tutti gli aspetti della difesa informatica: Consente la ricerca delle minacce e la corrispondenza degli indicatori di compromissione e si integra con Mandiant per una valutazione completa delle minacce. Comprendi e sfrutta il vantaggio del tuo difensore: fornisce rilevamenti curati e centralizza i dati di sicurezza per l'identificazione proattiva delle compromissioni. Convalida e migliora continuamente le tue difese: Consente di testare e migliorare continuamente le funzionalità di rilevamento delle minacce. Gestire e coordinare gli sforzi di difesa informatica tramite Mission Control: fornisce una piattaforma per la risposta alle minacce, l'analisi dei log e la creazione di cronologie.
Security Command Center Enterprise	Utilizza la funzione Intelligence in tutti gli aspetti della difesa informatica: Utilizza l'AI per valutare il rischio, dare la priorità alle vulnerabilità e fornire approfondimenti utili per la correzione. Comprendi e sfrutta il tuo vantaggio di difensore: offre analisi completa dei rischi, definizione delle priorità delle vulnerabilità e identificazione proattiva dei punti deboli. Convalida e migliora continuamente le tue difese: fornisce una valutazione continua del livello di sicurezza e la definizione delle priorità delle risorse. Gestisci e coordina gli sforzi di difesa informatica tramite Mission Control: funge da hub centrale per la gestione e il coordinamento delle operazioni di difesa informatica.
Chrome Enterprise Premium	Utilizza la funzione Intelligence in tutti gli aspetti della difesa informatica: Protegge gli utenti dai rischi di esfiltrazione, previene i malware e fornisce visibilità sull'attività del browser non sicura. Comprendere e sfruttare il vantaggio del difensore: migliora la sicurezza dei dispositivi aziendali tramite la protezione dei dati, la prevenzione dei malware e il controllo delle estensioni. Convalida e migliora continuamente le tue difese: Affronta le minacce nuove e in evoluzione tramite aggiornamenti continui delle difese contro i rischi di esfiltrazione e malware. Gestisci e coordina gli sforzi di difesa informatica tramite Mission Control: gestisci e controlla l'accesso degli utenti finali a risorse sensibili, inclusi controlli dell'accesso granulari.
Google Workspace	Gestisci e coordina gli sforzi di difesa informatica tramite Mission Control: gestisci e controlla l'accesso degli utenti finali a risorse sensibili, inclusi controlli dell'accesso granulari.
Network Intelligence Center	Utilizza la funzione Intelligence in tutti gli aspetti della difesa informatica: Fornisce visibilità sulle prestazioni della rete e rileva pattern di traffico o trasferimenti di dati insoliti.
Cloud NGFW	Convalida e migliora continuamente le tue difese: Ottimizza il rilevamento e la risposta alle minacce basati sulla rete tramite l'integrazione con Security Command Center e Google SecOps.

Utilizzare l'AI in modo sicuro e responsabile

Questo principio del pilastro della sicurezza del Google Cloud framework Well-Architected fornisce consigli per proteggere i tuoi sistemi di AI. Questi consigli sono in linea con il Secure AI Framework (SAIF) di Google, che fornisce un approccio pratico per affrontare i problemi di sicurezza e rischio dei sistemi di AI. SAIF è un framework concettuale che mira a fornire standard a livello di settore per sviluppare e implementare l'AI in modo responsabile.

Panoramica del principio

Per contribuire a garantire che i tuoi sistemi di AI soddisfino i requisiti di sicurezza, privacy e conformità, devi adottare una strategia olistica che inizi con la progettazione iniziale e si estenda all'implementazione e alle operazioni. Puoi implementare questa strategia olistica applicando i sei elementi chiave del SAIF.

Google utilizza l'AI per migliorare le misure di sicurezza, ad esempio identificando le minacce, automatizzando le attività di sicurezza e migliorando le funzionalità di rilevamento, mantenendo il controllo umano per le decisioni critiche.

Google promuove un approccio collaborativo per migliorare la sicurezza dell'AI. Questo approccio prevede la collaborazione con clienti, settori e governi per migliorare le linee guida del SAIF e offrire risorse pratiche e attuabili.

I consigli per implementare questo principio sono raggruppati nelle seguenti sezioni:

• Consigli per utilizzare l'AI in modo sicuro
• Recommendations for AI governance

Consigli per utilizzare l'AI in modo sicuro

Per utilizzare l'AI in modo sicuro, sono necessari sia controlli di sicurezza di base sia controlli di sicurezza specifici per l'AI. Questa sezione fornisce una panoramica dei consigli per garantire che le implementazioni di AI e ML soddisfino i requisiti di sicurezza, privacy e conformità della tua organizzazione. Per una panoramica dei principi e dei consigli architetturali specifici per i workload di AI e ML in Google Cloud, consulta la prospettiva AI e ML nel framework Well-Architected.

Definisci obiettivi e requisiti chiari per l'utilizzo dell'AI

Questo consiglio è pertinente alle seguenti aree di interesse:

• Governance, rischio e conformità del cloud
• Sicurezza di AI e ML

Questo consiglio è in linea con l'elemento SAIF relativo alla contestualizzazione dei rischi dei sistemi di AI nei processi aziendali correlati. Quando progetti e sviluppi sistemi di AI, è importante comprendere gli obiettivi aziendali, i rischi e i requisiti di conformità specifici.

Mantenere i dati al sicuro e prevenire perdite o gestione errata

Questo consiglio è pertinente alle seguenti aree di interesse:

• Sicurezza dell'infrastruttura
• Gestione di identità e accessi
• Sicurezza dei dati
• Sicurezza delle applicazioni
• Sicurezza di AI e ML

Questo suggerimento è in linea con i seguenti elementi SAIF:

• Applica le solide basi per la sicurezza anche all'ecosistema AI. Questo elemento include la raccolta, l'archiviazione,controllo dell'accessol'accesso e la protezione contro l'alterazione dei dati.
• Contestualizza i rischi dei sistemi di AI. Enfatizza la sicurezza dei dati per supportare gli obiettivi aziendali e la conformità.

Mantenere le pipeline di AI sicure e robuste contro la manomissione

Questo consiglio è pertinente alle seguenti aree di interesse:

• Sicurezza dell'infrastruttura
• Gestione di identità e accessi
• Sicurezza dei dati
• Sicurezza delle applicazioni
• Sicurezza di AI e ML

Questo suggerimento è in linea con i seguenti elementi SAIF:

• Applica le solide basi per la sicurezza anche all'ecosistema AI. In quanto elemento chiave per la creazione di un sistema di AI sicuro, proteggi il codice e gli artefatti del modello.
• Adatta i controlli per cicli di feedback più rapidi. Poiché è importante per la mitigazione e la risposta agli incidenti, monitora le risorse e le esecuzioni delle pipeline.

Esegui il deployment di app su sistemi sicuri utilizzando strumenti e artefatti sicuri

Questo consiglio è pertinente alle seguenti aree di interesse:

• Sicurezza dell'infrastruttura
• Gestione di identità e accessi
• Sicurezza dei dati
• Sicurezza delle applicazioni
• Sicurezza di AI e ML

L'utilizzo di sistemi sicuri e di strumenti e artefatti convalidati nelle applicazioni basate sull'AI è in linea con l'elemento SAIF relativo all'espansione di solide basi di sicurezza all'ecosistema e alla supply chain dell'AI. Questo consiglio può essere applicato seguendo i seguenti passaggi:

• Implementare un ambiente sicuro per l'addestramento e il deployment di ML
• Utilizzare immagini container convalidate
• Applica le linee guida Supply-chain Levels for Software Artifacts (SLSA).

Proteggere e monitorare gli input

Questo consiglio è pertinente alle seguenti aree di interesse:

• Logging, controllo e monitoraggio
• Operazioni di sicurezza
• Sicurezza di AI e ML

Questo suggerimento è in linea con l'elemento SAIF relativo all'estensione del rilevamento e della risposta per includere l'AI nell'universo delle minacce per un'organizzazione. Per evitare problemi, è fondamentale gestire i prompt per i sistemi di AI generativa, monitorare gli input e controllare l'accesso degli utenti.

Suggerimenti per la governance dell'AI

Tutti i consigli in questa sezione sono pertinenti per la seguente area di interesse: governance, rischio e conformità del cloud.

Google Cloud offre un solido insieme di strumenti e servizi che puoi utilizzare per creare sistemi di AI responsabili ed etici. Offriamo inoltre un framework di norme, procedure e considerazioni etiche che possono guidare lo sviluppo, l'implementazione e l'utilizzo di sistemi di AI.

Come indicato nei nostri consigli, l'approccio di Google alla governance dell'AI è guidato dai seguenti principi:

• Equità
• Trasparenza
• Responsabilità
• Privacy
• Sicurezza

Utilizzare gli indicatori di equità

Vertex AI può rilevare i bias durante la raccolta dei dati o il processo di valutazione post-addestramento. Vertex AI fornisce metriche di valutazione dei modelli come bias dei dati e bias del modello per aiutarti a valutare il bias del modello.

Queste metriche sono correlate all'equità in diverse categorie come razza, genere e classe. Tuttavia, interpretare le deviazioni statistiche non è un'operazione semplice, perché le differenze tra le categorie potrebbero non essere il risultato di un bias o un segnale di danno.

Utilizzo di Vertex Explainable AI

Per capire come prendono decisioni i modelli di AI, utilizza Vertex Explainable AI. Questa funzionalità ti aiuta a identificare potenziali bias che potrebbero essere nascosti nella logica del modello.

Questa funzionalità di interpretabilità è integrata con BigQuery ML e Vertex AI, che forniscono spiegazioni basate sulle caratteristiche. Puoi eseguire l'interpretabilità in BigQuery ML o registrare il modello in Vertex AI ed eseguire l'interpretabilità in Vertex AI.

Monitorare la derivazione dei dati

Tieni traccia dell'origine e della trasformazione dei dati utilizzati nei tuoi sistemi di AI. Questo monitoraggio ti aiuta a comprendere il percorso dei dati e a identificare potenziali fonti di distorsione o errore.

La derivazione dei dati è una funzionalità di Dataplex Universal Catalog che consente di monitorare il modo in cui i dati vengono trasferiti nei sistemi: da dove provengono, dove vengono inviati e a quali trasformazioni sono sottoposti.

Stabilire la responsabilità

Stabilisci una responsabilità chiara per lo sviluppo, l'implementazione e i risultati dei tuoi sistemi di AI.

Utilizza Cloud Logging per registrare gli eventi chiave e le decisioni prese dai tuoi sistemi di AI. I log forniscono un audit trail per aiutarti a comprendere il rendimento del sistema e identificare le aree di miglioramento.

Utilizza Error Reporting per analizzare sistematicamente gli errori commessi dai sistemi di AI. Questa analisi può rivelare pattern che indicano bias sottostanti o aree in cui il modello necessita di un ulteriore perfezionamento.

Implementare la privacy differenziale

Durante l'addestramento del modello, aggiungi rumore ai dati per rendere difficile l'identificazione dei singoli punti dati, ma consentire comunque al modello di apprendere in modo efficace. Con SQL in BigQuery, puoi trasformare i risultati di una query con aggregazioni differenzialmente private.

Usare l'AI per la sicurezza

Questo principio del pilastro della sicurezza del Google Cloud Well-Architected Framework fornisce consigli per utilizzare l'AI per migliorare la sicurezza dei tuoi carichi di lavoro cloud.

A causa del numero e della sofisticazione sempre maggiori degli attacchi informatici, è importante sfruttare il potenziale dell'AI per contribuire a migliorare la sicurezza. L'AI può contribuire a ridurre il numero di minacce, lo sforzo manuale richiesto ai professionisti della sicurezza e a compensare la scarsità di esperti nel campo della sicurezza informatica.

Panoramica del principio

Utilizza le funzionalità di AI per migliorare i sistemi e le procedure di sicurezza esistenti. Puoi utilizzare Gemini in Security e le funzionalità di AI intrinseche integrate nei servizi Google Cloud .

Queste funzionalità di AI possono trasformare la sicurezza fornendo assistenza in ogni fase del ciclo di vita della sicurezza. Ad esempio, puoi utilizzare l'AI per:

• Analizza e spiega il codice potenzialmente dannoso senza eseguire il reverse engineering.
• Ridurre il lavoro ripetitivo per i professionisti della cybersicurezza.
• Utilizza il linguaggio naturale per generare query e interagire con i dati degli eventi di sicurezza.
• Mostrare informazioni contestuali.
• Offrire consigli per risposte rapide.
• Aiutare a risolvere i problemi relativi agli eventi.
• Riassumere gli avvisi ad alta priorità relativi a configurazioni errate e vulnerabilità, evidenziare i potenziali impatti e consigliare misure correttive.

Livelli di autonomia di sicurezza

L'AI e l'automazione possono aiutarti a ottenere risultati migliori in termini di sicurezza quando affronti minacce informatiche in continua evoluzione. Utilizzando l'AI per la sicurezza, puoi raggiungere livelli di autonomia maggiori per rilevare e prevenire le minacce e migliorare la tua postura di sicurezza complessiva. Google definisce quattro livelli di autonomia quando utilizzi l'AI per la sicurezza e descrive il ruolo crescente dell'AI nell'assistere e infine guidare le attività di sicurezza:

1. Manuale: gli esseri umani eseguono tutte le attività di sicurezza (prevenzione, rilevamento, assegnazione delle priorità e risposta) durante l'intero ciclo di vita della sicurezza.
2. Assistita: gli strumenti di AI, come Gemini, aumentano la produttività umana riepilogando le informazioni, generando insight e fornendo consigli.
3. Semi-autonoma: l'AI si assume la responsabilità principale di molte attività di sicurezza e delega agli esseri umani solo quando necessario.
4. Autonoma: l'AI funge da assistente affidabile che guida il ciclo di vita della sicurezza in base agli obiettivi e alle preferenze della tua organizzazione, con un intervento umano minimo.

Consigli

Le sezioni seguenti descrivono i consigli per l'utilizzo dell'AI per la sicurezza. Le sezioni indicano anche in che modo i consigli sono in linea con gli elementi fondamentali del Secure AI Framework (SAIF) di Google e in che modo sono pertinenti ai livelli di autonomia della sicurezza.

• Migliorare il rilevamento e la risposta alle minacce con l'AI
• Semplifica la sicurezza sia per gli esperti che per i non esperti
• Automatizzare le attività di sicurezza dispendiose in termini di tempo con l'AI
• Incorporare l'AI nei processi di gestione del rischio e governance
• Implementare pratiche di sviluppo sicure per i sistemi di AI

Migliorare il rilevamento e la risposta alle minacce con l'AI

Questo consiglio è pertinente alle seguenti aree di interesse:

• Operazioni di sicurezza (SecOps)
• Logging, controllo e monitoraggio

L'AI può analizzare grandi volumi di dati sulla sicurezza, offrire approfondimenti sul comportamento degli autori delle minacce e automatizzare l'analisi di codice potenzialmente dannoso. Questo consiglio è in linea con i seguenti elementi del SAIF:

• Estendi il rilevamento e la risposta per includere l'AI nell'universo delle minacce della tua organizzazione.
• Automatizza le difese per tenere il passo con le minacce esistenti e quelle nuove.

A seconda dell'implementazione, questo consiglio può essere pertinente ai seguenti livelli di autonomia:

• Assistita: l'AI aiuta con l'analisi e il rilevamento delle minacce.
• Semi-autonoma: l'AI si assume una maggiore responsabilità per l'attività di sicurezza.

Google Threat Intelligence, che utilizza l'AI per analizzare il comportamento degli autori delle minacce e il codice dannoso, può aiutarti a implementare questo consiglio.

Semplifica la sicurezza sia per gli esperti che per i non esperti

Questo consiglio è pertinente alle seguenti aree di interesse:

• Operazioni di sicurezza (SecOps)
• Governance, rischio e conformità del cloud

Gli strumenti basati sull'AI possono riepilogare gli avvisi e consigliare misure di mitigazione. Queste funzionalità possono rendere la sicurezza più accessibile a una gamma più ampia di personale. Questo consiglio è in linea con i seguenti elementi del SAIF:

• Automatizza le difese per tenere il passo con le minacce esistenti e quelle nuove.
• Armonizza i controlli a livello di piattaforma per garantire una sicurezza coerente in tutta l'organizzazione.

A seconda dell'implementazione, questo consiglio può essere pertinente ai seguenti livelli di autonomia:

• Assistita: l'AI ti aiuta a migliorare l'accessibilità delle informazioni sulla sicurezza.
• Semi-autonoma: l'AI contribuisce a rendere più efficaci le pratiche di sicurezza per tutti gli utenti.

Gemini in Security Command Center può fornire riepiloghi degli avvisi relativi a configurazioni errate e vulnerabilità.

Automatizzare le attività di sicurezza dispendiose in termini di tempo con l'AI

Questo consiglio è pertinente alle seguenti aree di interesse:

• Sicurezza dell'infrastruttura
• Operazioni di sicurezza (SecOps)
• Sicurezza delle applicazioni

L'AI può automatizzare attività come l'analisi del malware, la generazione di regole di sicurezza e l'identificazione di configurazioni errate. Queste funzionalità possono contribuire a ridurre il carico di lavoro dei team di sicurezza e ad accelerare i tempi di risposta. Questo consiglio è in linea con l'elemento SAIF relativo all'automazione delle difese per tenere il passo con minacce nuove ed esistenti.

A seconda dell'implementazione, questo consiglio può essere pertinente ai seguenti livelli di autonomia:

• Assistita: l'AI ti aiuta ad automatizzare le attività.
• Semi-autonoma: l'AI si assume la responsabilità principale delle attività di sicurezza e richiede l'assistenza umana solo quando necessario.

Gemini in Google SecOps può contribuire ad automatizzare le attività ad alto costo aiutando gli analisti, recuperando il contesto pertinente e fornendo consigli per i passaggi successivi.

Integrare l'AI nei processi di gestione del rischio e governance

Questo consiglio è pertinente alla seguente area di interesse: governance, rischio e conformità del cloud.

Puoi utilizzare l'AI per creare un inventario dei modelli e profili di rischio. Puoi anche utilizzare l'AI per implementare norme per la privacy dei dati, il rischio informatico e il rischio di terze parti. Questo consiglio è in linea con l'elemento SAIF relativo alla contestualizzazione dei rischi dei sistemi di AI nei processi aziendali correlati.

A seconda dell'implementazione, questo consiglio può essere pertinente al livello di autonomia semiautonoma. A questo livello, l'AI può orchestrare agenti di sicurezza che eseguono processi per raggiungere i tuoi obiettivi di sicurezza personalizzati.

Implementare pratiche di sviluppo sicure per i sistemi di AI

Questo consiglio è pertinente alle seguenti aree di interesse:

• Sicurezza delle applicazioni
• Sicurezza di AI e ML

Puoi utilizzare l'AI per la codifica sicura, la pulizia dei dati di addestramento e la convalida di strumenti e artefatti. Questo consiglio è in linea con l'elemento SAIF relativo all'adozione di solide basi di sicurezza anche nell'ecosistema AI.

Questo consiglio può essere pertinente a tutti i livelli di autonomia della sicurezza, perché un sistema di AI sicuro deve essere implementato prima che l'AI possa essere utilizzata in modo efficace per la sicurezza. Il consiglio è più pertinente per il livello assistito, in cui le pratiche di sicurezza sono integrate dall'AI.

Per implementare questo consiglio, segui le linee guida di Supply-chain Levels for Software Artifacts (SLSA) per gli artefatti AI e utilizza immagini container convalidate.

Soddisfa le esigenze normative, di conformità e di privacy

Questo principio del pilastro della sicurezza del Google Cloud framework Well-Architected ti aiuta a identificare e soddisfare i requisiti normativi, di conformità e di privacy per i deployment cloud. Questi requisiti influenzano molte delle decisioni che devi prendere in merito ai controlli di sicurezza da utilizzare per i tuoi carichi di lavoro inGoogle Cloud.

Panoramica del principio

Soddisfare le esigenze normative, di conformità e di privacy è una sfida inevitabile per tutte le attività. I requisiti normativi del cloud dipendono da diversi fattori, tra cui:

• Le leggi e i regolamenti che si applicano alle sedi fisiche della tua organizzazione
• Le leggi e i regolamenti che si applicano alle sedi fisiche dei tuoi clienti
• Requisiti normativi del tuo settore

I regolamenti sulla privacy definiscono le modalità di ottenimento, elaborazione, archiviazione e gestione dei dati degli utenti. I dati sono di tua proprietà, inclusi quelli che ricevi dai tuoi utenti. Pertanto, molti controlli per la privacy sono di tua responsabilità, inclusi quelli per i cookie, la gestione delle sessioni e l'ottenimento dell'autorizzazione dell'utente.

I consigli per implementare questo principio sono raggruppati nelle seguenti sezioni:

• Suggerimenti per affrontare i rischi organizzativi
• Suggerimenti per soddisfare gli obblighi normativi e di conformità
• Consigli per gestire la sovranità dei dati
• Suggerimenti per soddisfare i requisiti di privacy

Consigli per affrontare i rischi organizzativi

Questa sezione fornisce consigli per aiutarti a identificare e affrontare i rischi per la tua organizzazione.

Identificare i rischi per la tua organizzazione

Questo consiglio è pertinente alla seguente area di interesse: governance, rischio e conformità del cloud.

Prima di creare e implementare risorse su Google Cloud, completa una valutazione del rischio. Questa valutazione deve determinare le funzionalità di sicurezza necessarie per soddisfare i requisiti di sicurezza interni e i requisiti normativi esterni.

La valutazione del rischio fornisce un catalogo di rischi specifici per l'organizzazione e ti informa sulla capacità della tua organizzazione di rilevare e contrastare le minacce alla sicurezza. Devi eseguire un'analisi dei rischi immediatamente dopo l'implementazione e ogni volta che si verificano cambiamenti nelle esigenze aziendali, nei requisiti normativi o nelle minacce alla tua organizzazione.

Come indicato nel principio Implementare la sicurezza by design, i rischi per la sicurezza in un ambiente cloud differiscono da quelli on-premise. Questa differenza è dovuta al modello di responsabilità condivisa nel cloud, che varia in base al servizio (IaaS, PaaS o SaaS) e al tuo utilizzo. Utilizza un framework di valutazione del rischio specifico per il cloud, come Cloud Controls Matrix (CCM). Utilizza la modellazione delle minacce, ad esempio la modellazione delle minacce delle applicazioni OWASP, per identificare e risolvere le vulnerabilità. Per assistenza esperta con le valutazioni del rischio, contatta il tuo rappresentante dell'account Google o consulta la Google Clouddirectory dei partner.

Dopo aver catalogato i rischi, devi stabilire come affrontarli, ovvero se accettarli, evitarli, trasferirli o mitigarli. Per i controlli di mitigazione che puoi implementare, consulta la sezione successiva sulla mitigazione dei rischi.

Ridurre i rischi

Questo consiglio è pertinente alla seguente area di interesse: governance, rischio e conformità del cloud.

Quando adotti nuovi servizi cloud pubblico, puoi mitigare i rischi utilizzando controlli tecnici, protezioni contrattuali e verifiche o attestazioni di terze parti.

I controlli tecnici sono funzionalità e tecnologie che utilizzi per proteggere il tuo ambiente. Questi includono controlli di sicurezza cloud integrati come firewall e logging. I controlli tecnici possono includere anche l'utilizzo di strumenti di terze parti per rafforzare o supportare la tua strategia di sicurezza. Esistono due categorie di controlli tecnici:

• Puoi implementare i controlli di sicurezza di Google Cloudper aiutarti a mitigare i rischi che si applicano al tuo ambiente. Ad esempio, puoi proteggere la connessione tra le tue reti on-premise e le tue reti cloud utilizzando Cloud VPN e Cloud Interconnect.
• Google dispone di solidi controlli e audit interni per proteggere i dati dei clienti dall'accesso di personale interno. I nostri audit log forniscono log quasi in tempo reale dell'accesso degli amministratori Google su Google Cloud.

Le protezioni contrattuali si riferiscono agli impegni legali assunti da noi in merito ai Google Cloud servizi. Google si impegna a mantenere ed espandere il proprio portfolio di conformità. L'Addendum per il trattamento dei dati Cloud (ATDC) descrive il nostro impegno in merito al trattamento e alla sicurezza dei tuoi dati. Il CDPA descrive anche i controlli di accesso che limitano l'accesso degli ingegneri dell'assistenza Google agli ambienti dei clienti e il nostro rigoroso processo di registrazione e approvazione. Ti consigliamo di esaminare i controlli contrattuali di Google Cloudcon i tuoi esperti legali e normativi e verificare che soddisfino i tuoi requisiti. Se hai bisogno di ulteriori informazioni, contatta il tuo rappresentante tecnico dell'account.

Le verifiche o attestazioni di terze parti si riferiscono al controllo del provider cloud da parte di un fornitore di terze parti per garantire che il provider soddisfi i requisiti di conformità. Ad esempio, per saperne di più sulle Google Cloud attestazioni relative alle linee guida ISO/IEC 27017, consulta la sezione ISO/IEC 27017 - Conformità. Per visualizzare le certificazioni e le lettere di attestazione attuali, consulta il Centro risorse per la conformità. Google Cloud

Consigli per soddisfare gli obblighi normativi e di conformità

Un tipico percorso di conformità prevede tre fasi: la valutazione, la correzione delle lacune e il monitoraggio continuo. Questa sezione fornisce consigli che puoi utilizzare durante ciascuna di queste fasi.

Valuta le tue esigenze di conformità

Questo consiglio è pertinente alla seguente area di interesse: governance, rischio e conformità del cloud.

La valutazione della conformità inizia con un esame approfondito di tutti gli obblighi normativi e di come la tua attività li sta implementando. Per aiutarti nella valutazione dei servizi Google Cloud , utilizza il Centro risorse per la conformità. Questo sito fornisce informazioni su:

• Supporto del servizio per varie normative
• Certificazioni e attestatiGoogle Cloud

Per comprendere meglio il ciclo di vita della conformità in Google e come soddisfare i tuoi requisiti, puoi contattare il team di vendita per richiedere l'aiuto di uno specialista della conformità Google. In alternativa, puoi contattare il tuo Google Cloud account manager per richiedere un workshop sulla conformità.

Per ulteriori informazioni sugli strumenti e sulle risorse che puoi utilizzare per gestire la sicurezza e la conformità per i workload Google Cloud , consulta Garantire la conformità nel cloud.

Automatizzare l'implementazione dei requisiti di conformità

Questo consiglio è pertinente alla seguente area di interesse: governance, rischio e conformità del cloud.

Per aiutarti a rispettare le normative in continua evoluzione, determina se puoi automatizzare l'implementazione dei requisiti di conformità. Puoi utilizzare sia le funzionalità incentrate sulla conformità fornite da Google Cloud sia i blueprint che utilizzano configurazioni consigliate per un particolare regime di conformità.

Assured Workloads si basa sui controlli all'interno di Google Cloud per aiutarti a soddisfare i tuoi obblighi di conformità. Assured Workloads ti consente di:

• Seleziona il regime di conformità. Lo strumento imposta automaticamente i controlli di accesso del personale di base per il regime selezionato.
• Imposta la posizione dei dati utilizzando i criteri dell'organizzazione in modo che i dati at-rest e le risorse rimangano solo in quella regione.
• Seleziona l'opzione di gestione delle chiavi (ad esempio il periodo di rotazione della chiave) che soddisfa al meglio i tuoi requisiti di sicurezza e conformità.
• Seleziona i criteri di accesso per il personale dell'Assistenza Google per soddisfare determinati requisiti normativi, come FedRAMP Moderate. Ad esempio, puoi selezionare se il personale dell'Assistenza Google ha completato i controlli dei precedenti appropriati.
• Utilizza Google-owned and Google-managed encryption keys conformi allo standard FIPS-140-2 e che supportano la conformità FedRAMP Moderate. Per un ulteriore livello di controllo e per la separazione dei compiti, puoi utilizzare le chiavi di crittografia gestite dal cliente (CMEK). Per ulteriori informazioni sulle chiavi, vedi Criptare i dati at-rest e in transito.

Oltre ad Assured Workloads, puoi utilizzare Google Cloud blueprint pertinenti al tuo regime di conformità. Puoi modificare questi progetti base per incorporare i tuoi criteri di sicurezza nei deployment dell'infrastruttura.

Per aiutarti a creare un ambiente che supporti i tuoi requisiti di conformità, i progetti e le guide alle soluzioni di Google includono configurazioni consigliate e forniscono moduli Terraform. La tabella seguente elenca i progetti che riguardano la sicurezza e l'allineamento ai requisiti di conformità.

Requisito	Progetti e guide alle soluzioni
FedRAMP	Google Cloud Guida all'implementazione di FedRAMP Configurazione di un carico di lavoro a tre livelli allineato a FedRAMP su Google Cloud
HIPAA	Protezione dei dati sanitari su Google Cloud Configurazione di un carico di lavoro conforme a HIPAA tramite Data Protection Toolkit

Monitorare la conformità

Questo consiglio è pertinente alle seguenti aree di interesse:

• Governance, rischio e conformità del cloud
• Logging, monitoraggio e controllo

La maggior parte delle normative richiede il monitoraggio di particolari attività, tra cui quelle relative all'accesso. Per facilitare il monitoraggio, puoi utilizzare quanto segue:

• Access Transparency: visualizza log quasi in tempo reale quando gli amministratori accedono ai tuoi contenuti. Google Cloud
• Logging delle regole firewall: Registra le connessioni TCP e UDP all'interno di una rete VPC per tutte le regole che crei. Questi log possono essere utili per controllare l'accesso alla rete o per avvisare preventivamente che la rete viene utilizzata in un modo non approvato.
• Log di flusso VPC: Registra i flussi di traffico di rete inviati o ricevuti dalle istanze VM.
• Security Command Center Premium: Monitora la conformità a vari standard.
• OSSEC (o un altro strumento open source): registra l'attività delle persone che hanno accesso amministrativo al tuo ambiente.
• Key Access Justifications: Visualizza i motivi di una richiesta di accesso alle chiavi.
• Notifiche di Security Command Center: Ricevi avvisi quando si verificano problemi di non conformità. Ad esempio, ricevi avvisi quando gli utenti disattivano la verifica in due passaggi o quando gli account di servizio dispongono di privilegi eccessivi. Puoi anche configurare la correzione automatica per notifiche specifiche.

Suggerimenti per gestire la sovranità dei dati

Questo consiglio è pertinente alla seguente area di interesse: governance, rischio e conformità del cloud.

La sovranità dei dati ti fornisce un meccanismo per impedire a Google di accedere ai tuoi dati. Approvi l'accesso solo per i comportamenti del fornitore che ritieni necessari. Ad esempio, puoi gestire la sovranità dei dati nei seguenti modi:

• Archivia e gestisci le chiavi di crittografia al di fuori del cloud.
• Concedi l'accesso a queste chiavi in base a giustificazioni di accesso dettagliate.
• Proteggi i dati in uso utilizzando Confidential Computing.

Gestire la sovranità operativa

Questo consiglio è pertinente alla seguente area di interesse: governance, rischio e conformità del cloud.

La sovranità operativa garantisce che il personale di Google non possa compromettere i carichi di lavoro. Ad esempio, puoi gestire la sovranità operativa nei seguenti modi:

• Limitare il deployment delle nuove risorse a regioni specifiche del provider.
• Limitare l'accesso del personale Google in base ad attributi predefiniti come cittadinanza o posizione geografica.

Gestisci la sovranità software

Questo consiglio è pertinente alla seguente area di interesse: governance, rischio e conformità del cloud.

La sovranità del software ti garantisce la possibilità di controllare la disponibilità dei tuoi carichi di lavoro ed eseguirli ovunque. Inoltre, puoi avere questo controllo senza dipendere da un unico cloud provider o esserne vincolato. La sovranità del software include la capacità di sopravvivere a eventi che richiedono di cambiare rapidamente il luogo in cui sono distribuiti i carichi di lavoro e il livello di connessione esterna consentito.

Ad esempio, per aiutarti a gestire la sovranità del software, Google Cloud supporta i deployment ibridi e multi-cloud. Inoltre, GKE Enterprise ti consente di gestire ed eseguire il deployment delle applicazioni in ambienti cloud e on-premise. Se scegli implementazioni on-premise per motivi di sovranità dei dati, Google Distributed Cloud è una combinazione di hardware e software che porta Google Cloud nel tuo data center.

Consigli per soddisfare i requisiti di privacy

Google Cloud include i seguenti controlli che promuovono la privacy:

• Crittografia predefinita di tutti i dati quando sono inattivi, quando sono in transito e durante l'elaborazione.
• Protezioni contro l'accesso interno.
• Supporto di numerose normative sulla privacy.

I seguenti consigli riguardano controlli aggiuntivi che puoi implementare. Per ulteriori informazioni, visita il Centro risorse per la privacy.

Controllare la residenza dei dati

Questo consiglio è pertinente alla seguente area di interesse: governance, rischio e conformità del cloud.

Per residenza dei dati si intende il luogo in cui sono archiviati i dati at-rest. I requisiti di residenza dei dati variano in base agli obiettivi di progettazione del sistema, ai problemi normativi del settore, alle leggi nazionali, alle implicazioni fiscali e persino alla cultura.

Il controllo della residenza dei dati inizia con quanto segue:

• Comprendi il tipo di dati e la relativa posizione.
• Determina quali rischi esistono per i tuoi dati e quali leggi e normative si applicano.
• Controlla dove vengono archiviati i tuoi dati o dove vengono inviati.

Per aiutarti a rispettare i requisiti di residenza dei dati, Google Cloud ti consente di controllare dove vengono archiviati i dati, come vi si accede e come vengono trattati. Puoi utilizzare i criteri sulla località delle risorse per limitare i luoghi di creazione delle risorse e quelli di replica dei dati tra le regioni. Puoi utilizzare la proprietà location di una risorsa per identificare dove viene eseguito il deployment del servizio e chi lo gestisce. Per saperne di più, consulta Servizi supportati dalle località delle risorse.

Classificare i dati riservati

Questo consiglio è pertinente alla seguente area di interesse: Sicurezza dei dati.

Devi definire quali dati sono riservati e poi assicurarti che i dati riservati siano adeguatamente protetti. I dati riservati possono includere numeri di carta di credito, indirizzi, numeri di telefono e altre informazioni che consentono l'identificazione personale (PII). Utilizzando Sensitive Data Protection, puoi configurare classificazioni appropriate. In seguito è possibile etichettare e tokenizzare i dati prima di archiviarli in Google Cloud. Inoltre, Dataplex Universal Catalog offre un servizio di catalogo che fornisce una piattaforma per archiviare, gestire e accedere ai metadati. Per ulteriori informazioni e un esempio di classificazione e anonimizzazione dei dati, consulta Anonimizzazione e reidentificazione delle PII utilizzando Sensitive Data Protection.

Bloccare l'accesso ai dati sensibili

Questo consiglio è pertinente alle seguenti aree di interesse:

• Sicurezza dei dati
• Gestione di identità e accessi

Posiziona i dati sensibili nel proprio perimetro di servizio utilizzando i Controlli di servizio VPC. I Controlli di servizio VPC migliorano la tua capacità di ridurre il rischio di copia o trasferimento non autorizzati di dati (esfiltrazione di dati) dai servizi gestiti da Google. Con i Controlli di servizio VPC, configuri perimetri di sicurezza attorno alle risorse dei servizi gestiti da Google per controllare il movimento dei dati all'interno del perimetro. Imposta i controlli dell'accesso di Google Identity and Access Management (IAM) per questi dati. Configura l'autenticazione a più fattori (MFA) per tutti gli utenti che devono accedere a dati sensibili.

Responsabilità condivise e destino condiviso su Google Cloud

Questo documento descrive le differenze tra il modello di responsabilità condivisa e il destino condiviso in Google Cloud. Vengono discusse le sfide e le sfumature del modello di responsabilità condivisa. Questo documento descrive cos'è il destino condiviso e come collaboriamo con i nostri clienti per affrontare le sfide di sicurezza del cloud.

Comprendere il modello di responsabilità condivisa è importante per determinare il modo migliore per proteggere i dati e i carichi di lavoro su Google Cloud. Il modello di responsabilità condivisa descrive le attività che devi svolgere in termini di sicurezza nel cloud e in che modo queste attività sono diverse per i provider cloud.

Comprendere la responsabilità condivisa, tuttavia, può essere difficile. Il modello richiede una comprensione approfondita di ogni servizio che utilizzi, delle opzioni di configurazione fornite da ciascun servizio e di cosa Google Cloud fa per proteggere il servizio. Ogni servizio ha un profilo di configurazione diverso e può essere difficile determinare la migliore configurazione di sicurezza. Google ritiene che il modello di responsabilità condivisa non sia sufficiente per aiutare i clienti del cloud a ottenere risultati migliori in termini di sicurezza. Invece della responsabilità condivisa, crediamo nel destino condiviso.

Il destino condiviso prevede la creazione e la gestione di una piattaforma cloud affidabile per i tuoi workload. Forniamo indicazioni sulle best practice e codice dell'infrastruttura sicuro e attestato che puoi utilizzare per eseguire il deployment dei tuoi carichi di lavoro in modo sicuro. Pubblichiamo soluzioni che combinano vari servizi per risolvere problemi di sicurezza complessi e offriamo opzioni assicurative innovative per aiutarti a misurare e mitigare i rischi che devi accettare. Google Cloud Con destino condiviso intendiamo un'interazione più stretta con te per proteggere le tue risorse su Google Cloud.

Responsabilità condivisa

Sei l'esperto in materia di requisiti normativi e di sicurezza per la tua attività e di requisiti per la protezione di dati e risorse riservati. Quando esegui i carichi di lavoro su Google Cloud, devi identificare i controlli di sicurezza che devi configurare in Google Cloud per proteggere i tuoi dati riservati e ogni carico di lavoro. Per decidere quali controlli di sicurezza implementare, devi considerare i seguenti fattori:

• I tuoi obblighi di conformità normativa
• Standard di sicurezza e piano di gestione dei rischi della tua organizzazione
• Requisiti di sicurezza dei tuoi clienti e dei tuoi fornitori

Definito dai workload

Tradizionalmente, le responsabilità sono definite in base al tipo di workload che esegui e ai servizi cloud che ti servono. I servizi cloud includono le seguenti categorie:

Servizio cloud	Descrizione
Infrastructure as a Service (IaaS)	I servizi IaaS includono Compute Engine, Cloud Storage e servizi di rete come Cloud VPN, Cloud Load Balancing e Cloud DNS. IaaS fornisce servizi di calcolo, archiviazione e rete on demand con prezzi pay-as-you-go. Puoi utilizzare IaaS se prevedi di eseguire la migrazione di un carico di lavoro on-premise esistente al cloud utilizzando la tecnica lift-and-shift o se vuoi eseguire l'applicazione su VM specifiche, utilizzando database o configurazioni di rete specifici. Nell'IaaS, la maggior parte delle responsabilità in materia di sicurezza sono tue, mentre le nostre si concentrano sull'infrastruttura sottostante e sulla sicurezza fisica.
Platform as a service (PaaS)	I servizi PaaS includono App Engine, Google Kubernetes Engine (GKE) e BigQuery. PaaS fornisce l'ambiente di runtime in cui puoi sviluppare ed eseguire le tue applicazioni. Puoi utilizzare PaaS se stai creando un'applicazione (ad esempio un sito web) e vuoi concentrarti sullo sviluppo, non sull'infrastruttura sottostante. In PaaS, siamo responsabili di un maggior numero di controlli rispetto a IaaS. In genere, varia in base ai servizi e alle funzionalità che utilizzi. Condividi con noi la responsabilità dei controlli a livello di applicazione e della gestione IAM. Tu rimani responsabile della sicurezza dei tuoi dati e della protezione dei clienti.
Software as a Service (SaaS)	Le applicazioni SaaS includono Google Workspace, Google Security Operations e applicazioni SaaS di terze parti disponibili in Google Cloud Marketplace. Il SaaS fornisce applicazioni online a cui puoi abbonarti o per cui puoi pagare in qualche modo. Puoi utilizzare le applicazioni SaaS quando la tua azienda non dispone delle competenze interne o del requisito aziendale per creare l'applicazione autonomamente, ma richiede la possibilità di elaborare i carichi di lavoro. Nel SaaS, la maggior parte delle responsabilità in materia di sicurezza è nostra. Rimane responsabile dei controlli di accesso e dei dati che scegli di archiviare nell'applicazione.
Function as a Service (FaaS) o serverless	FaaS fornisce agli sviluppatori la piattaforma per eseguire codice piccolo e monoscopo (chiamato funzioni) che viene eseguito in risposta a eventi particolari. Utilizzeresti FaaS quando vuoi che si verifichino determinate cose in base a un determinato evento. Ad esempio, puoi creare una funzione che viene eseguita ogni volta che i dati vengono caricati in Cloud Storage in modo che possano essere classificati. FaaS ha un elenco di responsabilità condivise simile a SaaS. Cloud Run Functions è un'applicazione FaaS.

Il seguente diagramma mostra i servizi cloud e definisce come le responsabilità sono condivise tra il cloud provider e il cliente.

Come mostra il diagramma, il fornitore di servizi cloud rimane sempre responsabile della rete e dell'infrastruttura sottostanti, mentre i clienti rimangono sempre responsabili delle proprie norme di accesso e dei propri dati.

Definito dal settore e dal quadro normativo

Diversi settori hanno quadri normativi che definiscono i controlli di sicurezza che devono essere implementati. Quando sposti i carichi di lavoro nel cloud, devi comprendere quanto segue:

• Quali controlli di sicurezza sono di tua responsabilità
• Quali controlli di sicurezza sono disponibili nell'ambito dell'offerta cloud
• Quali controlli di sicurezza predefiniti vengono ereditati

I controlli di sicurezza ereditati (come la nostra crittografia predefinita e i controlli dell'infrastruttura) sono controlli che puoi fornire come parte delle prove della tua postura di sicurezza a revisori e enti regolatori. Ad esempio, lo standard PCI DSS (Payment Card Industry Data Security Standard) definisce i regolamenti per i responsabili del trattamento dei pagamenti. Quando trasferisci la tua attività sul cloud, questi regolamenti vengono condivisi tra te e il tuo CSP. Per capire come vengono condivise le responsabilità PCI DSS tra te eGoogle Cloud, consulta Google Cloud: matrice di responsabilità condivisa PCI DSS.

Un altro esempio è rappresentato dall'Health Insurance Portability and Accountability Act (HIPAA) negli Stati Uniti, che ha stabilito standard per la gestione dei dati sanitari personali elettronici (PHI). Queste responsabilità sono condivise anche tra il CSP e te. Per ulteriori informazioni su come Google Cloud rispetta le nostre responsabilità ai sensi della normativa HIPAA, consulta HIPAA - Conformità.

Anche altri settori (ad esempio, quello finanziario o manifatturiero) hanno normative che definiscono le modalità di raccolta, elaborazione e archiviazione dei dati. Per ulteriori informazioni sulla responsabilità condivisa in merito a questi aspetti e su come Google Cloud rispetta le proprie responsabilità, consulta il Centro risorse per la conformità.

Definito dalla posizione

A seconda dello scenario aziendale, potresti dover considerare le tue responsabilità in base alla sede dei tuoi uffici, ai tuoi clienti e ai tuoi dati. Paesi e regioni diversi hanno creato regolamenti che indicano come elaborare e archiviare i dati dei clienti. Ad esempio, se la tua attività ha clienti residenti nell'Unione Europea, potrebbe dover rispettare i requisiti descritti nel Regolamento generale sulla protezione dei dati (GDPR) e potresti essere obbligato a conservare i dati dei clienti nell'UE. In questo caso, sei responsabile di garantire che i dati che raccogli rimangano nelle regioniGoogle Cloud dell'UE. Per saperne di più su come rispettiamo i nostri obblighi ai sensi del GDPR, consulta GDPR e Google Cloud.

Per informazioni sui requisiti relativi alla tua regione, consulta Offerte di conformità. Se il tuo scenario è particolarmente complicato, ti consigliamo di parlare con il nostro team di vendita o con uno dei nostri partner per valutare le tue responsabilità in materia di sicurezza.

Sfide per la responsabilità condivisa

Sebbene la responsabilità condivisa contribuisca a definire i ruoli di sicurezza che tu o il cloud provider avete, fare affidamento su di essa può comunque creare difficoltà. Considera i seguenti scenari:

• La maggior parte delle violazioni della sicurezza del cloud è il risultato diretto di una configurazione errata (elencata come numero 3 nel report Pandemic 11 della Cloud Security Alliance) e questa tendenza è destinata ad aumentare. I prodotti cloud cambiano costantemente e ne vengono lanciati di nuovi. Stare al passo con i cambiamenti costanti può sembrare opprimente. I clienti hanno bisogno che i provider di servizi cloud forniscano best practice unificate per stare al passo con i cambiamenti, a partire dalle best practice per impostazione predefinita e con una configurazione di base sicura.
• Sebbene la suddivisione degli elementi per servizi cloud sia utile, molte aziende hanno carichi di lavoro che richiedono più tipi di servizi cloud. In questo caso, devi considerare come interagiscono i vari controlli di sicurezza per questi servizi, incluso se si sovrappongono tra i servizi. Ad esempio, potresti avere un'applicazione on-premise che stai eseguendo la migrazione a Compute Engine, utilizzare Google Workspace per l'email aziendale ed eseguire anche BigQuery per analizzare i dati per migliorare i tuoi prodotti.
• La tua attività e i tuoi mercati sono in continua evoluzione, così come i regolamenti, quando entri in nuovi mercati o acquisisci altre società. I tuoi nuovi mercati potrebbero avere requisiti diversi e la tua nuova acquisizione potrebbe ospitare i suoi carichi di lavoro su un altro cloud. Per gestire i cambiamenti costanti, devi rivalutare continuamente il tuo profilo di rischio ed essere in grado di implementare rapidamente nuovi controlli.
• Come e dove gestire le chiavi di crittografia dei dati è una decisione importante che si lega alle tue responsabilità di proteggere i dati. L'opzione che scegli dipende dai tuoi requisiti normativi, dal fatto che tu stia eseguendo un ambiente cloud ibrido o che tu abbia ancora un ambiente on-premise e dalla sensibilità dei dati che stai elaborando e memorizzando.
• La gestione degli incidenti è un'area importante e spesso trascurata in cui le tue responsabilità e quelle del cloud provider non sono facilmente definibili. Molti incidenti richiedono una stretta collaborazione e il supporto del provider di servizi cloud per contribuire a esaminarli e mitigarli. Altri incidenti possono derivare da risorse cloud mal configurate o da credenziali rubate e garantire il rispetto delle best practice per proteggere le risorse e gli account può essere piuttosto difficile.
• Le minacce avanzate persistenti (APT) e le nuove vulnerabilità possono influire sui tuoi carichi di lavoro in modi che potresti non considerare quando inizi la trasformazione del cloud. Garantire di rimanere aggiornati sul panorama in evoluzione e su chi è responsabile della mitigazione delle minacce è difficile, soprattutto se la tua attività non dispone di un team di sicurezza di grandi dimensioni.

Destino condiviso

Abbiamo sviluppato il modello di destino condiviso in Google Cloud per iniziare ad affrontare le sfide che il modello di responsabilità condivisa non affronta. Il destino condiviso si concentra su come tutte le parti possono interagire meglio per migliorare continuamente la sicurezza. Il modello di destino condiviso si basa sul modello di responsabilità condivisa perché considera il rapporto tra il cloud provider e il cliente come una partnership continua per migliorare la sicurezza.

Il destino condiviso ci impone di assumerci la responsabilità di rendere Google Cloud più sicuro. Il destino condiviso include l'aiuto per iniziare a utilizzare una landing zone sicura e per essere chiari, decisi e trasparenti in merito ai controlli, alle impostazioni e alle best practice di sicurezza consigliati. Ciò include l'aiuto per quantificare e gestire meglio i rischi con l'assicurazione informatica, utilizzando il nostro programma di protezione dai rischi. Con il destino condiviso, vogliamo passare dal framework standard di responsabilità condivisa a un modello migliore che ti aiuti a proteggere la tua attività e a creare fiducia in Google Cloud.

Le sezioni seguenti descrivono vari componenti del destino condiviso.

Aiuto per iniziare

Un componente chiave della responsabilità condivisa sono le risorse che forniamo per aiutarti a iniziare a utilizzare una configurazione sicura in Google Cloud. Iniziare con una configurazione sicura aiuta a ridurre il problema degli errori di configurazione, che è la causa principale della maggior parte delle violazioni della sicurezza.

Le nostre risorse includono:

• Blueprint delle fondamenta aziendali che illustrano i principali problemi di sicurezza e i nostri consigli migliori.

• Progetti sicuri che consentono di eseguire il deployment e gestire soluzioni sicure tramite Infrastructure as Code (IaC). I blueprint hanno i nostri consigli per la sicurezza attivati per impostazione predefinita. Molti blueprint vengono creati dai team di sicurezza di Google e gestiti come prodotti. Questo supporto significa che vengono aggiornati regolarmente, sottoposti a un rigoroso processo di test e ricevono attestazioni da gruppi di test di terze parti. I progetti base includono il progetto base per le fondamenta aziendali e il progetto base per il data warehouse protetto.

• Google Cloud Best practice del framework Well-Architected che forniscono i principali suggerimenti per integrare la sicurezza nei tuoi progetti. Il framework Well-Architected include una sezione sulla sicurezza e una zona della community che puoi utilizzare per entrare in contatto con esperti e colleghi.

• Guide alla navigazione delle zone di destinazione che ti guidano nelle decisioni più importanti da prendere per creare una base sicura per i tuoi carichi di lavoro, tra cui gerarchia delle risorse, onboarding delle identità, gestione di chiavi e sicurezza e struttura della rete.

Programma di protezione dai rischi

Il destino condiviso include anche il Programma di protezione dai rischi (attualmente in anteprima), che ti aiuta a sfruttare la potenza di Google Cloud come piattaforma per gestire i rischi, anziché considerare i carichi di lavoro cloud come un'altra fonte di rischio da gestire. Il programma di protezione dai rischi è una collaborazione tra Google Cloud e due importanti compagnie di assicurazione informatica, Munich Re e Allianz Global & Corporate Speciality.

Il programma di protezione dai rischi include Cyber Insurance Hub, che fornisce approfondimenti basati sui dati che puoi utilizzare per comprendere meglio la tua posture di sicurezza del cloud. Se stai cercando una copertura assicurativa informatica, puoi condividere questi approfondimenti di Cyber Insurance Hub direttamente con i nostri partner assicurativi per ottenere un preventivo. Per saperne di più, vedi Google Cloud Programma di protezione dai rischi ora in anteprima.

Aiuto con il deployment e la governance

Il destino condiviso ti aiuta anche con la governance continua del tuo ambiente. Ad esempio, concentriamo i nostri sforzi su prodotti come:

• Assured Workloads, che ti aiuta a soddisfare i tuoi obblighi di conformità.
• Security Command Center Premium, che utilizza la threat intelligence, il rilevamento delle minacce, la scansione web e altri metodi avanzati per monitorare e rilevare le minacce. Fornisce inoltre un modo per risolvere molte di queste minacce in modo rapido e automatico.
• Criteri dell'organizzazione e impostazioni delle risorse che consentono di configurare i criteri di tutta la gerarchia di cartelle e progetti.
• Strumenti di Policy Intelligence che forniscono approfondimenti sull'accesso ad account e risorse.
• Confidential Computing, che ti consente di criptare i dati in uso.
• Controlli di sovranità dei partner, disponibili in alcuni paesi e che aiutano a rispettare i requisiti di residenza dei dati.

Mettere in pratica la responsabilità condivisa e il destino condiviso

Nell'ambito della procedura di pianificazione, valuta le seguenti azioni per comprendere e implementare controlli di sicurezza appropriati:

• Crea un elenco del tipo di carichi di lavoro che ospiterai in Google Cloude se richiedono servizi IaaS, PaaS e SaaS. Puoi utilizzare il diagramma della responsabilità condivisa come elenco di controllo per assicurarti di conoscere i controlli di sicurezza da prendere in considerazione.
• Crea un elenco dei requisiti normativi a cui devi conformarti e accedi alle risorse nel Centro risorse per la conformità che riguardano questi requisiti.
• Esamina l'elenco dei progetti e delle architetture disponibili nel Centro architetture per i controlli di sicurezza necessari per i tuoi carichi di lavoro specifici. I progetti forniscono un elenco di controlli consigliati e il codice IaC necessario per eseguire il deployment di questa architettura.
• Utilizza la documentazione della landing zone e i consigli della guida alle basi aziendali per progettare una gerarchia delle risorse e un'architettura di rete che soddisfino i tuoi requisiti. Puoi utilizzare i blueprint dei carichi di lavoro basati su opinioni, come il data warehouse protetto, per accelerare il processo di sviluppo.
• Dopo aver eseguito il deployment dei carichi di lavoro, verifica di rispettare le tue responsabilità in materia di sicurezza utilizzando servizi come Cyber Insurance Hub, Assured Workloads, gli strumenti Policy Intelligence e Security Command Center Premium.

Per ulteriori informazioni, consulta l'articolo Guida di CISO alla trasformazione del cloud.

Passaggi successivi

• Esamina i principi di sicurezza di base.
• Tieniti aggiornato sulle risorse di responsabilità condivisa.
• Familiarizza con i progetti disponibili, inclusi il progetto base per la sicurezza e gli esempi di carichi di lavoro come il data warehouse protetto.
• Scopri di più sul destino condiviso.
• Scopri di più sulla nostra infrastruttura sicura sottostante nella panoramica sulla progettazione della sicurezza dell'infrastruttura Google.
• Scopri come implementare le best practice del NIST Cybersecurity Framework in Google Cloud (PDF).