Framework de arquitetura bem estruturada: pilar de segurança, privacidade e conformidade

Last reviewed 2025-02-14 UTC

O pilar de segurança, privacidade e compliance do Google Cloud Well-Architected Framework fornece recomendações para ajudar você a projetar, implantar e operar cargas de trabalho na nuvem que atendam aos seus requisitos de segurança, privacidade e compliance.

Este documento foi criado para oferecer insights valiosos e atender às necessidades de vários profissionais e engenheiros de segurança. A tabela a seguir descreve os públicos-alvo deste documento:

Público-alvo O que este documento oferece
Diretores de segurança da informação (CISOs), líderes de unidades de negócios e gerentes de TI Uma estrutura geral para estabelecer e manter a excelência em segurança na nuvem e garantir uma visão abrangente das áreas de segurança para tomar decisões embasadas sobre investimentos em segurança.
Arquitetos e engenheiros de segurança Principais práticas de segurança para as fases de design e operacional, que ajudam a garantir que as soluções sejam projetadas para segurança, eficiência e escalonabilidade.
Equipes de DevSecOps Orientações para incorporar controles de segurança abrangentes e planejar a automação que permite uma infraestrutura segura e confiável.
Diretores de compliance e gerentes de risco Principais recomendações de segurança para seguir uma abordagem estruturada de gerenciamento de riscos com proteções que ajudam a cumprir as obrigações de conformidade.

Para garantir que suas cargas de trabalho do Google Cloud atendam aos requisitos de segurança, privacidade e compliance, todas as partes interessadas da organização precisam adotar uma abordagem colaborativa. Além disso, você precisa reconhecer que a segurança na nuvem é uma responsabilidade compartilhada entre você e o Google. Para mais informações, consulte Responsabilidades e destino compartilhados no Google Cloud.

As recomendações neste pilar são agrupadas em princípios de segurança principais. Cada recomendação baseada em princípios é mapeada para uma ou mais das principais áreas de foco da segurança na nuvem (link em inglês) que podem ser essenciais para sua organização. Cada recomendação destaca orientações sobre o uso e a configuração de produtos e recursos doGoogle Cloud para ajudar a melhorar a postura de segurança da sua organização.

Princípios básicos

As recomendações neste pilar são agrupadas nos seguintes princípios básicos de segurança. Todos os princípios desse pilar são importantes. Dependendo dos requisitos da sua organização e da carga de trabalho, você pode priorizar alguns princípios.

  • Implementar a segurança no desenvolvimento: integre considerações de segurança de rede e da nuvem desde a fase inicial de design dos seus aplicativos e infraestrutura. OGoogle Cloud fornece blueprints e recomendações de arquitetura para ajudar você a aplicar esse princípio.
  • Implemente a confiança zero: use uma abordagem de nunca confie, sempre verifique, em que o acesso aos recursos é concedido com base na verificação contínua da confiança.O Google Cloud oferece suporte a esse princípio com produtos como o Chrome Enterprise Premium e o Identity-Aware Proxy (IAP).
  • Implemente a segurança de deslocamento para a esquerda: implemente controles de segurança no início do ciclo de vida de desenvolvimento de software. Evite falhas de segurança antes de fazer mudanças no sistema. Detecte e corrija bugs de segurança com antecedência, rapidez e confiabilidade depois que as mudanças no sistema forem confirmadas.O Google Cloud oferece suporte a esse princípio com produtos como Cloud Build, autorização binária e Artifact Registry.
  • Implemente uma defesa cibernética preventiva: adote uma abordagem proativa de segurança implementando medidas fundamentais robustas, como inteligência contra ameaças. Essa abordagem ajuda a criar uma base para uma detecção e resposta a ameaças mais eficazes. A abordagem daGoogle Cloudpara controles de segurança em camadas (em inglês) está alinhada a esse princípio.
  • Use a IA com segurança e responsabilidade: Desenvolva e implante sistemas de IA de maneira responsável e segura. As recomendações para esse princípio estão alinhadas com as orientações da perspectiva de IA e ML do Well-Architected Framework e do framework de IA segura (SAIF) do Google.
  • Use a IA para segurança: use os recursos de IA para melhorar seus sistemas e processos de segurança atuais com o Gemini em Segurança e os recursos gerais de segurança da plataforma. Use a IA como uma ferramenta para aumentar a automação do trabalho de correção e garantir a higiene de segurança para tornar outros sistemas mais seguros.
  • Atenda às necessidades regulatórias, de compliance e de privacidade: obedeça às regulamentações, aos padrões de compliance e aos requisitos de privacidade específicos do setor.O Google Cloud ajuda você a cumprir essas obrigações com produtos como o Assured Workloads, o serviço de política da organização e a Central de recursos de compliance.

Mentalidade de segurança organizacional

Uma mentalidade organizacional focada em segurança é essencial para o sucesso da adoção e operação da nuvem. Essa mentalidade precisa estar profundamente enraizada na cultura da sua organização e refletida nas práticas dela, que são orientadas por princípios básicos de segurança, conforme descrito anteriormente.

Uma mentalidade de segurança organizacional enfatiza que você pensa na segurança durante o design do sistema, assume confiança zero e integra recursos de segurança em todo o processo de desenvolvimento. Nessa mentalidade, você também pensa de forma proativa sobre medidas de defesa cibernética, usa a IA de maneira segura e para segurança e considera seus requisitos regulatórios, de privacidade e de compliance. Ao adotar esses princípios, sua organização pode cultivar uma cultura de segurança em primeiro lugar que aborda proativamente as ameaças, protege ativos valiosos e ajuda a garantir o uso responsável da tecnologia.

Áreas de foco da segurança na nuvem

Esta seção descreve as áreas em que você precisa se concentrar ao planejar, implementar e gerenciar a segurança dos seus aplicativos, sistemas e dados. As recomendações em cada princípio desse pilar são relevantes para uma ou mais dessas áreas de foco. No restante deste documento, as recomendações especificam as áreas de foco de segurança correspondentes para fornecer mais clareza e contexto.

Área de foco Atividades e componentes Produtos, recursos e soluções Google Cloud relacionados
Segurança da infraestrutura
  • Infraestrutura de rede segura.
  • Criptografar dados em trânsito e em repouso.
  • Controlar o fluxo de tráfego.
  • Proteja os serviços de IaaS e PaaS.
  • Proteja-se contra acessos não autorizados.
Gerenciamento de identidade e acesso
  • Use controles de autenticação, autorização e acesso.
  • Gerenciar identidades na nuvem.
  • Gerenciar políticas de gerenciamento de identidade e acesso.
Segurança de dados
  • Armazene dados em Google Cloud com segurança.
  • Controle o acesso aos dados.
  • Descubra e classifique os dados.
  • Projete os controles necessários, como criptografia, controles de acesso e prevenção contra perda de dados.
  • Proteja dados em repouso, em trânsito e em uso.
Segurança de IA e ML
  • Aplique controles de segurança em diferentes camadas da infraestrutura e do pipeline de IA e ML.
  • Garantir a segurança do modelo.
Operações de segurança (SecOps)
  • Adote uma plataforma e um conjunto de práticas modernas de SecOps para processos eficazes de gerenciamento de incidentes, detecção e resposta a ameaças.
  • Monitore sistemas e aplicativos continuamente para detectar eventos de segurança.
Segurança para aplicativos
  • Proteja aplicativos contra vulnerabilidades e ataques de software.
Governança, risco e compliance na nuvem
  • Estabelecer políticas, procedimentos e controles para gerenciar os recursos da nuvem de forma eficaz e segura.
Geração de registros, auditoria e monitoramento
  • Analise registros para identificar possíveis ameaças.
  • Rastrear e registrar atividades do sistema para compliance e análise de segurança.

Colaboradores

Autores:

  • Wade Holmes | Diretor global de soluções
  • Hector Diaz | Arquiteto de segurança do Cloud
  • Carlos Leonardo Rosario | Especialista em segurança do Google Cloud
  • John Bacon | Arquiteto de soluções para parceiros
  • Sachin Kalra | Gerente global de soluções de segurança

Outros colaboradores:

Implementar a segurança incorporada ao design

Esse princípio no pilar de segurança do Google Cloud Well-Architected Framework fornece recomendações para incorporar recursos, controles e práticas de segurança robustos ao design de aplicativos, serviços e plataformas de nuvem. Da ideação às operações, a segurança é mais eficaz quando está incorporada como uma parte integral de cada etapa do processo de design.

Visão geral do princípio

Conforme explicado em Visão geral do compromisso do Google com a segurança por design, segurança por padrão e segurança por design são usados de forma intercambiável, mas representam abordagens distintas para a criação de sistemas seguros. As duas abordagens visam minimizar vulnerabilidades e aumentar a segurança, mas diferem em escopo e implementação:

  • Segurança por padrão: foca em garantir que as configurações padrão de um sistema estejam definidas em um modo seguro, minimizando a necessidade de usuários ou administradores tomarem medidas para proteger o sistema. Essa abordagem visa oferecer um nível básico de segurança para todos os usuários.
  • Segurança incorporada ao design: enfatiza a incorporação proativa de considerações de segurança em todo o ciclo de vida de desenvolvimento de um sistema. Essa abordagem antecipa possíveis ameaças e vulnerabilidades e faz escolhas de design que reduzem os riscos. Essa abordagem envolve o uso de práticas de programação seguras, a realização de análises de segurança e a incorporação da segurança em todo o processo de design. A abordagem de segurança desde a concepção é uma filosofia abrangente que orienta o processo de desenvolvimento e ajuda a garantir que a segurança não seja uma reflexão tardia, mas sim uma parte integrante do design de um sistema.

Recomendações

Para implementar o princípio de segurança por design nas suas cargas de trabalho na nuvem, considere as recomendações nas seções a seguir:

Escolha componentes do sistema que ajudam a proteger suas cargas de trabalho

Essa recomendação é relevante para todas as áreas de foco.

Uma decisão fundamental para a segurança eficaz é a seleção de componentes robustos do sistema, incluindo hardware e software, que constituem sua plataforma, solução ou serviço. Para reduzir a superfície de ataque de segurança e limitar possíveis danos, considere cuidadosamente os padrões de implantação desses componentes e as configurações deles.

No código do aplicativo, recomendamos que você use bibliotecas, abstrações e frameworks de aplicativos simples, seguros e confiáveis para eliminar classes de vulnerabilidades. Para verificar vulnerabilidades em bibliotecas de software, use ferramentas de terceiros. Você também pode usar o Assured Open Source Software, que ajuda a reduzir os riscos para sua cadeia de suprimentos de software usando pacotes de software de código aberto (OSS) que o Google usa e protege.

Sua infraestrutura precisa usar opções de rede, armazenamento e computação que ofereçam suporte a uma operação segura e estejam alinhadas aos seus requisitos de segurança e níveis de aceitação de risco. A segurança da infraestrutura é importante para cargas de trabalho internas e voltadas à Internet.

Para informações sobre outras soluções do Google que oferecem suporte a essa recomendação, consulte Implementar a segurança shift-left.

Criar uma abordagem de segurança em camadas

Esta recomendação é relevante para as seguintes áreas de foco:

  • Segurança de IA e ML
  • Segurança da infraestrutura
  • Gerenciamento de identidade e acesso
  • Segurança de dados

Recomendamos que você implemente a segurança em cada camada do aplicativo e da pilha de infraestrutura aplicando uma abordagem de defesa em profundidade.

Use os recursos de segurança em cada componente da sua plataforma. Para limitar o acesso e identificar os limites do possível impacto (ou seja, o raio de explosão) em caso de incidente de segurança, faça o seguinte:

  • Simplifique o design do sistema para acomodar a flexibilidade sempre que possível.
  • Documente os requisitos de segurança de cada componente.
  • Incorpore um mecanismo seguro para atender aos requisitos de resiliência e recuperação.

Ao projetar as camadas de segurança, faça uma avaliação de risco para determinar os recursos de segurança necessários para atender aos requisitos de segurança internos e regulatórios externos. Recomendamos que você use um framework de avaliação de risco padrão do setor que se aplique a ambientes de nuvem e seja relevante para seus requisitos regulamentares. Por exemplo, a Cloud Security Alliance (CSA) fornece a matriz de controles do Cloud (CCM, na sigla em inglês). Ela fornece um catálogo de riscos e controles de segurança correspondentes para reduzir esses riscos.

Ao realizar a avaliação de risco, lembre-se de que você tem um acordo de responsabilidade compartilhada com seu provedor de nuvem. Portanto, os riscos em um ambiente de nuvem são diferentes dos riscos em um ambiente local. Por exemplo, em um ambiente local, é preciso reduzir as vulnerabilidades para a pilha de hardware. Por outro lado, em um ambiente de nuvem, o provedor de nuvem assume esses riscos. Além disso, lembre-se de que os limites das responsabilidades compartilhadas variam entre os serviços de IaaS, PaaS e SaaS para cada provedor de nuvem.

Depois de identificar os riscos potenciais, crie um plano de mitigação que use controles técnicos, administrativos e operacionais, além de proteções contratuais e atestados de terceiros. Além disso, um método de estimativa de ameaças, como o método de estimativa de ameaças do aplicativo OWASP, ajuda a identificar possíveis lacunas e sugere ações para resolvê-las.

Usar infraestrutura e serviços reforçados e atestados

Essa recomendação é relevante para todas as áreas de foco.

Um programa de segurança avançado mitiga novas vulnerabilidades, conforme descrito nos boletins de segurança. O programa de segurança também precisa oferecer correção para resolver vulnerabilidades em implantações atuais e proteger as imagens de VM e contêiner. É possível usar guias de proteção específicos para o SO e o aplicativo das suas imagens, além de comparativos de mercado como o fornecido pelo Center of Internet Security (CIS).

Se você usa imagens personalizadas para suas VMs do Compute Engine, precisa corrigir as imagens por conta própria. Se preferir, use as imagens de SO selecionadas fornecidas pelo Google, que são corrigidas regularmente. Para executar contêineres em VMs do Compute Engine, use imagens do Container-Optimized OS selecionadas pelo Google. O Google corrige e atualiza essas imagens regularmente.

Se você usa o GKE, recomendamos ativar os upgrades automáticos de nós para que o Google atualize os nós do cluster com os patches mais recentes. O Google gerencia planos de controle do GKE, que são atualizados e corrigidos automaticamente. Para reduzir ainda mais a superfície de ataque dos contêineres, use imagens distroless. As imagens distroless são ideais para aplicativos, microsserviços e situações sensíveis à segurança em que minimizar o tamanho da imagem e a superfície de ataque é fundamental.

Para cargas de trabalho sensíveis, use a VM protegida, que impede o carregamento de código malicioso durante o ciclo de inicialização da VM. As instâncias de VM protegida fornecem segurança de inicialização, monitoram a integridade e usam o Módulo de plataforma confiável virtual (vTPM).

Para ajudar a proteger o acesso SSH, o Login do SO permite que os funcionários se conectem às VMs usando as permissões do gerenciamento de identidade e acesso (IAM) como a fonte confiável, em vez de confiar em chaves SSH. Portanto, não é necessário gerenciar chaves SSH em toda a organização. O login do SO vincula o acesso de um administrador ao ciclo de vida do funcionário. Assim, quando os funcionários mudam de função ou saem da organização, o acesso deles é revogado com a conta. O login do SO também é compatível com a autenticação de dois fatores do Google, que adiciona uma camada extra de segurança contra ataques de invasão de conta.

No GKE, as instâncias de aplicativos são executadas em contêineres do Docker. Para ativar um perfil de risco definido e impedir que os funcionários façam alterações nos contêineres, verifique se eles são sem estado e imutáveis. O princípio de imutabilidade significa que os funcionários não modificam o contêiner nem o acessam de forma interativa. Se o contêiner precisar ser mudado, crie uma nova imagem e implante-a novamente. Ative o acesso SSH aos contêineres subjacentes somente em cenários de depuração específicos.

Para ajudar a proteger globalmente as configurações em todo o ambiente, use políticas da organização para definir restrições ou proteções em recursos que afetam o comportamento dos seus recursos de nuvem. Por exemplo, é possível definir as seguintes políticas da organização e aplicá-las globalmente em uma organização Google Cloud ou seletivamente no nível de uma pasta ou projeto:

  • Desative a alocação de endereços IP externo para VMs.
  • Restringir a criação de recursos a locais geográficos específicos.
  • Desativar a criação de contas de serviço ou chaves delas.

Criptografar dados em repouso e em trânsito

Esta recomendação é relevante para as seguintes áreas de foco:

  • Segurança da infraestrutura
  • Segurança de dados

A criptografia de dados é um controle fundamental para proteger informações sensíveis e uma parte essencial da governança de dados. Uma estratégia eficaz de proteção de dados inclui controle de acesso, segmentação de dados e residência geográfica, auditoria, e implementação de criptografia com base em uma avaliação cuidadosa dos requisitos.

Por padrão,o Google Cloud criptografa dados de clientes armazenados em repouso, sem que você precise fazer nada. Além da criptografia padrão, oGoogle Cloud oferece opções para criptografia de envelopes e gerenciamento de chaves de criptografia. Identifique as soluções que melhor se adaptam às suas necessidades de geração, armazenamento e rotação de chave, seja para chaves de armazenamento, computação ou cargas de trabalho de Big Data. Por exemplo, as chaves de criptografia gerenciadas pelo cliente (CMEKs) podem ser criadas no Cloud Key Management Service (Cloud KMS). As CMEKs podem ser baseadas em software ou protegidas por HSM para atender aos requisitos regulatórios ou de compliance, como a necessidade de girar chaves de criptografia regularmente. Com o Cloud KMS Autokey, é possível automatizar o provisionamento e a atribuição de CMEKs. Além disso, é possível trazer suas próprias chaves de um sistema de gerenciamento de chaves terceirizado usando o Cloud External Key Manager (Cloud EKM).

Recomendamos que os dados sejam criptografados em trânsito. O Google criptografa e autentica dados em trânsito em uma ou mais camadas de rede quando eles são transferidos para fora dos limites físicos que não são controlados pelo Google ou em nome dele. Todo o tráfego de VM para VM em uma rede VPC e entre redes VPC com peering é criptografado. É possível usar o MACsec para criptografar o tráfego nas conexões do Cloud Interconnect. O IPsec oferece criptografia para o tráfego em conexões do Cloud VPN. É possível proteger o tráfego de aplicativo para aplicativo na nuvem usando recursos de segurança como configurações de TLS e mTLS na Apigee e Cloud Service Mesh para aplicativos contêinerizados.

Por padrão,o Google Cloud criptografa dados em repouso e em trânsito na rede. No entanto, os dados não são criptografados por padrão enquanto estão em uso na memória. Se sua organização lida com dados confidenciais, é necessário reduzir as ameaças que comprometem a confidencialidade e a integridade do aplicativo ou dos dados na memória do sistema. Para mitigar essas ameaças, use a Computação confidencial, que oferece um ambiente de execução confiável para suas cargas de trabalho de computação. Para mais informações, consulte Visão geral de VMs confidenciais.

Implementar a confiança zero

Esse princípio no pilar de segurança do Google Cloud Well-Architected Framework ajuda a garantir a segurança abrangente em todas as suas cargas de trabalho na nuvem. O princípio da confiança zero enfatiza as seguintes práticas:

  • Eliminar a confiança implícita
  • Aplicar o princípio de privilégio mínimo ao controle de acesso
  • Impor a validação explícita de todas as solicitações de acesso
  • Adotar uma mentalidade de presunção de violação para ativar a verificação contínua e o monitoramento da postura de segurança

Visão geral do princípio

O modelo de confiança zero muda o foco da segurança do perímetro para uma abordagem em que nenhum usuário ou dispositivo é considerado inerentemente confiável. Em vez disso, cada solicitação de acesso precisa ser verificada, independente da origem. Essa abordagem envolve autenticar e autorizar cada usuário e dispositivo, validar o contexto (localização e postura do dispositivo) e conceder acesso com o privilégio mínimo apenas aos recursos necessários.

A implementação do modelo de confiança zero ajuda sua organização a melhorar a postura de segurança, minimizando o impacto de possíveis violações e protegendo dados e aplicativos sensíveis contra acesso não autorizado. O modelo de confiança zero ajuda a garantir a confidencialidade, a integridade e a disponibilidade de dados e recursos na nuvem.

Recomendações

Para implementar o modelo de confiança zero nas suas cargas de trabalho na nuvem, considere as recomendações nas seções a seguir:

Proteger a rede

Esta recomendação é relevante para a seguinte área de foco: segurança da infraestrutura.

A transição da segurança convencional baseada em perímetro para um modelo de confiança zero requer várias etapas. Sua organização já pode ter integrado determinados controles de zero trust à postura de segurança. No entanto, um modelo de confiança zero não é um produto ou uma solução única. Em vez disso, é uma integração holística de várias camadas de segurança e práticas recomendadas. Esta seção descreve recomendações e técnicas para implementar o zero trust na segurança de rede.

  • Controle de acesso: aplique controles de acesso com base na identidade e no contexto do usuário usando soluções como o Chrome Enterprise Premium e o Identity-Aware Proxy (IAP). Ao fazer isso, você transfere a segurança do perímetro da rede para usuários e dispositivos individuais. Essa abordagem permite o controle de acesso granular e reduz a superfície de ataque.
  • Segurança de rede: proteja as conexões de rede entre seus ambientes locais, Google Cloude multicloud.
  • Design de rede: evite possíveis riscos de segurança excluindo as redes padrão em projetos atuais e desativando a criação de redes padrão em novos projetos.
    • Para evitar conflitos, planeje cuidadosamente sua rede e a alocação de endereços IP.
    • Para aplicar um controle de acesso eficaz, limite o número de redes de nuvem privada virtual (VPC) por projeto.
  • Segmentação: isole cargas de trabalho, mas mantenha o gerenciamento centralizado da rede.
  • Segurança de perímetro: proteção contra ataques DDoS e ameaças a aplicativos da Web.
    • Para se proteger contra ameaças, use o Google Cloud Armor.
    • Configure políticas de segurança para permitir, negar ou redirecionar o tráfego na bordaGoogle Cloud .
  • Automação: automatize o provisionamento de infraestrutura adotando princípios de infraestrutura como código (IaC) e usando ferramentas como Terraform, Jenkins e Cloud Build. A IaC ajuda a garantir configurações de segurança consistentes, implantações simplificadas e rollbacks rápidos em caso de problemas.
  • Base segura: estabeleça um ambiente de aplicativo seguro usando o Blueprint de bases empresariais. Este blueprint fornece orientação prescritiva e scripts de automação para ajudar você a implementar práticas recomendadas de segurança e configurar seus recursos doGoogle Cloud de maneira segura.

Verificar explicitamente todas as tentativas de acesso

Esta recomendação é relevante para as seguintes áreas de foco:

  • Gerenciamento de identidade e acesso
  • Operações de segurança (SecOps)
  • Geração de registros, auditoria e monitoramento

Implemente mecanismos de autenticação e autorização fortes para qualquer usuário, dispositivo ou serviço que tente acessar seus recursos de nuvem. Não dependa do local ou do perímetro da rede como um controle de segurança. Não confie automaticamente em nenhum usuário, dispositivo ou serviço, mesmo que já estejam dentro da rede. Em vez disso, todas as tentativas de acesso a recursos precisam ser rigorosamente autenticadas e autorizadas. Implemente medidas de verificação de identidade avançadas, como a autenticação multifator (MFA). Também é necessário garantir que as decisões de acesso sejam baseadas em políticas detalhadas que considerem vários fatores contextuais, como função do usuário, posição do dispositivo e localização.

Para implementar essa recomendação, use os seguintes métodos, ferramentas e tecnologias:

  • Gerenciamento unificado de identidades: garanta um gerenciamento consistente de identidades em toda a organização usando um único provedor de identidade (IdP).
    • Google Cloud é compatível com a federação com a maioria dos IdPs, incluindo o Active Directory local. Com a federação, é possível estender sua infraestrutura de gerenciamento de identidade atual para Google Cloud e ativar o Logon único (SSO) para os usuários.
    • Se você não tiver um IdP, considere usar o Cloud Identity Premium ou o Google Workspace.
  • Permissões limitadas da conta de serviço: use contas de serviço com cuidado e siga o princípio de privilégio mínimo.
    • Conceda apenas as permissões necessárias para que cada conta de serviço realize as tarefas designadas.
    • Use a Federação de identidade da carga de trabalho para aplicativos executados no Google Kubernetes Engine (GKE) ou fora Google Cloud para acessar recursos com segurança.
  • Processos robustos: atualize seus processos de identidade para se alinhar às práticas recomendadas de segurança na nuvem.
    • Para garantir a conformidade com os requisitos regulamentares, implemente a governança de identidade para rastrear acesso, riscos e violações de políticas.
    • Revise e atualize seus processos atuais para conceder e auditar papéis e permissões de controle de acesso.
  • Autenticação forte: implemente o SSO para autenticação de usuários e a MFA para contas privilegiadas.
    • OGoogle Cloud é compatível com vários métodos de MFA, incluindo as chaves de segurança Titan, para aumentar a segurança.
    • Para autenticação de carga de trabalho, use o OAuth 2.0 ou JSON Web Tokens (JWTs) assinados.
  • Privilégio mínimo: minimize o risco de acesso não autorizado e violações de dados aplicando os princípios de privilégio mínimo e separação de funções.
    • Evite o provisionamento excessivo de acesso do usuário.
    • Considere implementar o acesso privilegiado just-in-time para operações sensíveis.
  • Logging: ative o registro de auditoria para atividades de administrador e de acesso a dados.

Monitore e mantenha sua rede

Esta recomendação é relevante para as seguintes áreas de foco:

  • Geração de registros, auditoria e monitoramento
  • Segurança para aplicativos
  • Operações de segurança (SecOps)
  • Segurança da infraestrutura

Ao planejar e implementar medidas de segurança, suponha que um invasor já esteja no seu ambiente. Essa abordagem proativa envolve o uso das seguintes ferramentas e técnicas para dar visibilidade à sua rede:

  • Registro e monitoramento centralizados: colete e analise registros de segurança de todos os seus recursos de nuvem usando o registro e monitoramento centralizados.

    • Estabeleça valores de referência para o comportamento normal da rede, detecte anomalias e identifique possíveis ameaças.
    • Analise continuamente os fluxos de tráfego de rede para identificar padrões suspeitos e possíveis ataques.

  • Insights sobre desempenho e segurança da rede: use ferramentas como o Network Analyzer. Monitore o tráfego em busca de protocolos incomuns, conexões inesperadas ou picos repentinos na transferência de dados, que podem indicar atividade maliciosa.

  • Verificação e correção de vulnerabilidades: verifique regularmente sua rede e seus aplicativos em busca de vulnerabilidades.

    • Use o Web Security Scanner, que pode identificar automaticamente vulnerabilidades nas instâncias, contêineres e clusters do GKE do Compute Engine.
    • Priorize a correção com base na gravidade das vulnerabilidades e no impacto potencial delas nos seus sistemas.

  • Detecção de intrusões: monitore o tráfego de rede em busca de atividades maliciosas e bloqueie ou receba alertas automaticamente sobre eventos suspeitos usando o Cloud IDS e o serviço de prevenção contra invasões do Cloud NGFW.

  • Análise de segurança: considere implementar o Google SecOps para correlacionar eventos de segurança de várias fontes, fornecer análise em tempo real de alertas de segurança e facilitar a resposta a incidentes.

  • Configurações consistentes: use ferramentas de gerenciamento de configuração para garantir que você tenha configurações de segurança consistentes em toda a rede.

Implementar a segurança de "shift-left"

Esse princípio no pilar de segurança do Google Cloud framework bem arquitetado ajuda a identificar controles práticos que podem ser implementados no início do ciclo de vida de desenvolvimento de software para melhorar a postura de segurança. Ele oferece recomendações que ajudam a implementar proteções de segurança preventivas e controles de segurança pós-implantação.

Visão geral do princípio

A segurança shift-left significa adotar práticas de segurança no início do ciclo de vida de desenvolvimento de software. Esse princípio tem as seguintes metas:

  • Evite falhas de segurança antes de fazer mudanças no sistema. Implemente proteções de segurança preventivas e adote práticas como infraestrutura como código (IaC), política como código e verificações de segurança no pipeline de CI/CD. Você também pode usar outros recursos específicos da plataforma, como o serviço de política da organização e os clusters do GKE reforçados no Google Cloud.
  • Detecte e corrija bugs de segurança de forma rápida, confiável e antecipada após o commit de qualquer mudança no sistema. Adote práticas como revisões de código, verificação de vulnerabilidades após a implantação e testes de segurança.

Os princípios de implementação de segurança incorporada ao design e de deslocamento à esquerda estão relacionados, mas têm escopos diferentes. O princípio de segurança incorporada ao design ajuda a evitar falhas fundamentais que exigiriam a reformulação de todo o sistema. Por exemplo, um exercício de modelagem de ameaças revela que o design atual não inclui uma política de autorização, e todos os usuários teriam o mesmo nível de acesso sem ela. A segurança de shift-left ajuda a evitar defeitos de implementação (bugs e problemas de configuração) antes que as mudanças sejam aplicadas e permite correções rápidas e confiáveis após a implantação.

Recomendações

Para implementar o princípio de segurança shift-left nas suas cargas de trabalho na nuvem, considere as recomendações nas seções a seguir:

Adotar controles de segurança preventiva

Esta recomendação é relevante para as seguintes áreas de foco:

  • Gerenciamento de identidade e acesso
  • Governança, risco e compliance na nuvem

Os controles de segurança preventiva são cruciais para manter uma postura de segurança forte na nuvem. Esses controles ajudam você a reduzir os riscos de maneira proativa. Você pode evitar configurações incorretas e acesso não autorizado a recursos, permitir que os desenvolvedores trabalhem com eficiência e ajudar a garantir a conformidade com os padrões do setor e as políticas internas.

Os controles de segurança preventiva são mais eficazes quando implementados usando infraestrutura como código (IaC). Com a IaC, os controles de segurança preventiva podem incluir verificações mais personalizadas no código da infraestrutura antes da implantação das mudanças. Quando combinados com a automação, os controles de segurança preventiva podem ser executados como parte das verificações automáticas do pipeline de CI/CD.

Os produtos e recursos do Google Cloud a seguir podem ajudar você a implementar controles preventivos no seu ambiente:

Com o IAM, você autoriza quem pode agir em recursos específicos com base em permissões. Para mais informações, consulte Controle de acesso a recursos da organização com o IAM.

Com o serviço de políticas da organização, é possível definir restrições nos recursos para especificar como eles podem ser configurados. Por exemplo, é possível usar uma política da organização para fazer o seguinte:

Além de usar as políticas da organização, é possível restringir o acesso a recursos usando os seguintes métodos:

  • Tags com o IAM: atribua uma tag a um conjunto de recursos e defina a definição de acesso para a tag em vez de definir as permissões de acesso em cada recurso.
  • Condições do IAM: definem o controle de acesso condicional baseado em atributos para recursos.
  • Defesa em profundidade: use o VPC Service Controls para restringir ainda mais o acesso aos recursos.

Para mais informações sobre o gerenciamento de recursos, consulte Decidir uma hierarquia de recursos para sua Google Cloud zona de destino.

Automatizar o provisionamento e o gerenciamento de recursos da nuvem

Esta recomendação é relevante para as seguintes áreas de foco:

  • Segurança para aplicativos
  • Governança, risco e compliance na nuvem

Automatizar o provisionamento e o gerenciamento de recursos e cargas de trabalho na nuvem é mais eficaz quando você também adota a IaC declarativa, em vez de scripts imperativos. A IaC não é uma ferramenta ou prática de segurança por si só, mas ajuda a melhorar a segurança da sua plataforma. Ao adotar a IaC, você cria uma infraestrutura repetível e oferece à sua equipe de operações um estado válido conhecido. A IaC também melhora a eficiência de rollbacks, mudanças de auditoria e solução de problemas.

Quando combinada com pipelines de CI/CD e automação, a IaC também permite adotar práticas como política como código com ferramentas como o OPA. É possível auditar as mudanças na infraestrutura ao longo do tempo e executar verificações automáticas no código de infraestrutura antes da implantação das mudanças.

Para automatizar a implantação da infraestrutura, use ferramentas como o Config Controller, o Terraform, o Jenkins e o Cloud Build. Para ajudar você a criar um ambiente de aplicativo seguro usando IaC e automação, oGoogle Cloud fornece o blueprint de bases empresariais. Esse blueprint é um design opinativo do Google que segue todas as nossas práticas e configurações recomendadas. O blueprint fornece instruções detalhadas para configurar e implantar sua topologia Google Cloud usando o Terraform e o Cloud Build.

É possível modificar os scripts do blueprint de bases empresariais para configurar um ambiente que siga as recomendações do Google e atenda aos seus próprios requisitos de segurança. Você pode criar nesse blueprint com outros modelos ou projetar sua própria automação. A Google Cloud Central de arquitetura oferece outros blueprints que podem ser implementados com base no blueprint de bases empresariais. Confira alguns exemplos de projetos:

Automatizar lançamentos seguros de aplicativos

Essa recomendação é relevante para a seguinte área de foco: Segurança para aplicativos.

Sem ferramentas automatizadas, pode ser difícil implantar, atualizar e corrigir ambientes de aplicativos complexos para atender a requisitos de segurança consistentes. Recomendamos que você crie pipelines de CI/CD automatizados para seu ciclo de vida de desenvolvimento de software (SDLC, na sigla em inglês). Os pipelines de CI/CD automatizados ajudam a remover erros manuais, fornecem loops de feedback de desenvolvimento padronizados e permitem iterações eficientes de produtos. A entrega contínua é uma das práticas recomendadas pelo framework da DORA.

A automação de lançamentos de aplicativos usando pipelines de CI/CD ajuda a melhorar sua capacidade de detectar e corrigir bugs de segurança com antecedência, rapidez e confiabilidade. Por exemplo, é possível verificar vulnerabilidades de segurança automaticamente quando os artefatos são criados, reduzir o escopo das revisões de segurança e reverter para uma versão conhecida e segura. Também é possível definir políticas para diferentes ambientes (como desenvolvimento, teste ou produção) para que apenas artefatos verificados sejam implantados.

Para ajudar você a automatizar os lançamentos de aplicativos e incorporar verificações de segurança no pipeline de CI/CD,o Google Cloud oferece várias ferramentas, incluindoCloud Build,Cloud Deploy,Web Security Scanner eautorização binária.

Para estabelecer um processo que verifique vários requisitos de segurança no seu SDLC, use o framework Níveis da cadeia de suprimentos para artefatos de software (SLSA), definido pelo Google. O SLSA exige verificações de segurança para código-fonte, processo de build e procedência do código. Muitos desses requisitos podem ser incluídos em um pipeline de CI/CD automatizado. Para entender como o Google aplica essas práticas internamente, consulte Abordagem daGoogle Cloudem relação à mudança.

Verifique se as implantações do aplicativo seguem os processos aprovados

Essa recomendação é relevante para a seguinte área de foco: Segurança para aplicativos.

Se um invasor comprometer seu pipeline de CI/CD, toda a pilha de aplicativos poderá ser afetada. Para proteger o pipeline, aplique um processo de aprovação estabelecido antes de implantar o código na produção.

Se você usa o Google Kubernetes Engine (GKE), o GKE Enterprise ou o Cloud Run, é possível estabelecer um processo de aprovação usando a autorização binária. A autorização binária anexa assinaturas configuráveis a imagens de contêiner. Essas assinaturas (também chamadas de atestados) ajudam a validar a imagem. No momento da implantação, a autorização binária usa esses atestados para determinar se um processo foi concluído. Por exemplo, use a autorização binária para:

  • Verificar se um sistema de compilação específico ou um pipeline de CI criou uma imagem de contêiner.
  • Confira se uma imagem de contêiner está em conformidade com uma política de assinatura de vulnerabilidades.
  • Verifique se uma imagem de contêiner transmite os critérios de promoção para o próximo ambiente de implantação, por exemplo, do desenvolvimento para o controle de qualidade.

Ao usar a autorização binária, é possível garantir que apenas códigos confiáveis sejam executados nas plataformas de destino.

Verificar vulnerabilidades conhecidas antes da implantação do aplicativo

Essa recomendação é relevante para a seguinte área de foco: Segurança para aplicativos.

Recomendamos o uso de ferramentas automatizadas que possam realizar continuamente verificações de vulnerabilidade em artefatos de aplicativos antes que eles sejam implantados na produção.

Para aplicativos em contêineres, use o Artifact Analysis para executar automaticamente verificações de vulnerabilidade em imagens de contêiner. O Artifact Analysis verifica novas imagens quando elas são enviadas para o Artifact Registry. A verificação extrai informações sobre os pacotes do sistema no contêiner. Após a verificação inicial, o Artifact Analysis monitora continuamente os metadados de imagens verificadas no Artifact Registry em busca de novas vulnerabilidades. Quando o Artifact Analysis recebe informações de vulnerabilidade novas e atualizadas de origens de vulnerabilidade, ele faz o seguinte:

  • Atualiza os metadados das imagens digitalizadas para mantê-las atualizadas.
  • Cria novas ocorrências de vulnerabilidade para novas notas.
  • Exclui ocorrências de vulnerabilidade que não são mais válidas.

Monitore o código do aplicativo para buscar vulnerabilidades conhecidas

Essa recomendação é relevante para a seguinte área de foco: Segurança para aplicativos.

Use ferramentas automatizadas para monitorar constantemente o código do aplicativo e detectar vulnerabilidades conhecidas, como o OWASP Top 10. Para mais informações sobre os produtos e recursos do Google Cloud que oferecem suporte às técnicas de mitigação do OWASP Top 10, consulte Opções de mitigação do OWASP Top 10 no Google Cloud.

Use o Web Security Scanner para ajudar a identificar vulnerabilidades de segurança nos aplicativos da Web do App Engine, Compute Engine e GKE. Ele rastreia seu aplicativo, segue todos os links no escopo dos URLs iniciais e tenta acessar o máximo possível de entradas de usuário e manipuladores de eventos. Ele verifica e detecta automaticamente vulnerabilidades comuns, incluindo scripting entre sites, injeção de código, conteúdo misto e bibliotecas desatualizadas ou não seguras. O Web Security Scanner oferece identificação antecipada desses tipos de vulnerabilidades sem distrair você com falsos positivos.

Além disso, se você usa o GKE Enterprise para gerenciar frotas de clusters do Kubernetes, o painel de postura de segurança mostra recomendações opinativas e úteis para ajudar a melhorar a postura de segurança da sua frota.

Implementar defesa cibernética preventiva

Esse princípio no pilar de segurança do Google Cloud Well-Architected Framework fornece recomendações para criar programas robustos de defesa cibernética como parte da sua estratégia geral de segurança.

Esse princípio enfatiza o uso da inteligência contra ameaças para orientar de forma proativa seus esforços nas principais funções de defesa cibernética, conforme definido em The Defender's Advantage: A guide to activating cyber defense.

Visão geral do princípio

Ao defender seu sistema contra ataques cibernéticos, você tem uma vantagem significativa e subutilizada contra invasores. Como o fundador da Mandiant afirma: "Você sabe mais sobre sua empresa, seus sistemas, sua topologia e sua infraestrutura do que qualquer invasor. Essa é uma vantagem incrível." Para ajudar você a usar essa vantagem inerente, este documento fornece recomendações sobre práticas proativas e estratégicas de defesa cibernética mapeadas para o framework Defender's Advantage.

Recomendações

Para implementar a defesa cibernética preventiva nas suas cargas de trabalho na nuvem, considere as recomendações nas seções a seguir:

Integrar as funções da defesa cibernética

Essa recomendação é relevante para todas as áreas de foco.

O framework do Defender's Advantage identifica seis funções essenciais de defesa cibernética: inteligência, detecção, resposta, validação, busca e controle de missão. Cada função se concentra em uma parte exclusiva da missão de defesa cibernética, mas elas precisam ser bem coordenadas e trabalhar juntas para oferecer uma defesa eficaz. Foque na criação de um sistema robusto e integrado em que cada função apoie as outras. Se você precisar de uma abordagem gradual para a adoção, considere a ordem sugerida a seguir. Dependendo da maturidade da nuvem, da topologia de recursos e do cenário de ameaças específico, talvez seja necessário priorizar determinadas funções.

  1. Inteligência: orienta todas as outras funções. Entender o cenário de ameaças, incluindo os invasores mais prováveis, as táticas, técnicas e procedimentos (TTPs) deles e o possível impacto, é fundamental para priorizar ações em todo o programa. A função de inteligência é responsável pela identificação das partes interessadas, definição dos requisitos de inteligência, coleta, análise e disseminação de dados, automação e criação de um perfil de ameaça cibernética.
  2. Detectar e responder: essas funções formam o núcleo da defesa ativa, que envolve identificar e lidar com atividades maliciosas. Essas funções são necessárias para agir com base na inteligência coletada pela função de inteligência. A função de detecção exige uma abordagem metódica que alinha as detecções aos TTPs do invasor e garante um registro robusto. A função "Responder" precisa se concentrar na triagem inicial, na coleta de dados e na correção de incidentes.
  3. Validar: a função de validação é um processo contínuo que garante que o ecossistema de controle de segurança esteja atualizado e funcionando conforme projetado. Essa função garante que sua organização entenda a superfície de ataque, saiba onde existem vulnerabilidades e meça a eficácia dos controles. A validação de segurança também é um componente importante do ciclo de vida da engenharia de detecção e precisa ser usada para identificar lacunas e criar novas detecções.
  4. Caça: a função de caça envolve a pesquisa proativa de ameaças ativas em um ambiente. Essa função precisa ser implementada quando sua organização tiver um nível básico de maturidade nas funções de detecção e resposta. A função "Hunt" amplia os recursos de detecção e ajuda a identificar lacunas e pontos fracos nos controles. A função de busca precisa ser baseada em ameaças específicas. Essa função avançada se beneficia de uma base de recursos robustos de inteligência, detecção e resposta.
  5. Central de controle: a função Central de controle atua como o hub central que conecta todas as outras funções. Essa função é responsável pela estratégia, comunicação e ação decisiva em todo o programa de defesa cibernética. Ela garante que todas as funções estejam trabalhando juntas e alinhadas com as metas de negócios da sua organização. É importante entender claramente o propósito da função Mission Control antes de usá-la para conectar as outras funções.

Use a função "Inteligência" em todos os aspectos da defesa cibernética

Essa recomendação é relevante para todas as áreas de foco.

Essa recomendação destaca a função de inteligência como parte essencial de um programa de defesa cibernética robusto. A inteligência contra ameaças fornece conhecimento sobre agentes de ameaças, TTPs e indicadores de comprometimento (IOCs). Esse conhecimento deve informar e priorizar ações em todas as funções de defesa cibernética. Uma abordagem baseada em inteligência ajuda a alinhar as defesas para enfrentar as ameaças que têm mais chances de afetar sua organização. Essa abordagem também ajuda na alocação e priorização eficientes de recursos.

Os produtos e recursos do Google Cloud a seguir ajudam você a aproveitar a inteligência contra ameaças para orientar suas operações de segurança. Use esses recursos para identificar e priorizar possíveis ameaças, vulnerabilidades e riscos e, em seguida, planejar e implementar as ações adequadas.

  • O Google Security Operations (Google SecOps) ajuda você a armazenar e analisar dados de segurança de maneira centralizada. Use o Google SecOps para mapear registros em um modelo comum, enriquecer os registros e vinculá-los a linhas do tempo para ter uma visão abrangente dos ataques. Também é possível criar regras de detecção, configurar a correspondência de IoC e realizar atividades de caça a ameaças. A plataforma também oferece detecções selecionadas, que são regras predefinidas e gerenciadas para ajudar a identificar ameaças. O Google SecOps também pode ser integrado à inteligência de linha de frente da Mandiant. O Google SecOps integra de maneira exclusiva a IA líder do setor, além da inteligência contra ameaças da Mandiant e do Google VirusTotal. Essa integração é essencial para a avaliação de ameaças e para entender quem está visando sua organização e o possível impacto.

  • O Security Command Center Enterprise, que é desenvolvido com a IA do Google, permite que os profissionais de segurança avaliem, investiguem e respondam com eficiência a problemas de segurança em vários ambientes de nuvem. Os profissionais de segurança que podem se beneficiar do Security Command Center incluem analistas da central de operações de segurança (SOC), analistas de vulnerabilidade e postura e gerentes de compliance. O Security Command Center Enterprise enriquece os dados de segurança, avalia os riscos e prioriza as vulnerabilidades. Essa solução fornece às equipes as informações necessárias para resolver vulnerabilidades de alto risco e remediar ameaças ativas.

  • O Chrome Enterprise Premium oferece proteção de dados e contra ameaças, o que ajuda a proteger os usuários contra riscos de exfiltração e impede que malware entre em dispositivos gerenciados pela empresa. O Chrome Enterprise Premium também oferece visibilidade da atividade insegura ou potencialmente insegura que pode ocorrer no navegador.

  • O monitoramento de rede, com ferramentas como o Network Intelligence Center, oferece visibilidade do desempenho da rede. O monitoramento de rede também pode ajudar a detectar padrões de tráfego incomuns ou quantidades de transferência de dados que podem indicar um ataque ou uma tentativa de exfiltração de dados.

Entenda e aproveite a vantagem que suas defesas oferecem

Essa recomendação é relevante para todas as áreas de foco.

Como mencionado anteriormente, você tem uma vantagem sobre os invasores quando entende bem seus negócios, sistemas, topologia e infraestrutura. Para aproveitar essa vantagem de conhecimento, use esses dados sobre seus ambientes durante o planejamento de defesa cibernética.

Google Cloud oferece os seguintes recursos para ajudar você a ganhar visibilidade de forma proativa e identificar ameaças, entender riscos e responder em tempo hábil para reduzir possíveis danos:

  • O Chrome Enterprise Premium ajuda a melhorar a segurança dos dispositivos corporativos ao proteger os usuários contra riscos de exfiltração. Ele estende os serviços de proteção de dados sensíveis para o navegador e evita malware. Ele também oferece recursos como proteção contra malware e phishing para evitar a exposição a conteúdo não seguro. Além disso, ele permite controlar a instalação de extensões para evitar extensões inseguras ou não verificadas. Esses recursos ajudam você a estabelecer uma base segura para suas operações.

  • O Security Command Center Enterprise oferece um mecanismo de risco contínuo que oferece análise e gerenciamento de riscos abrangentes e contínuos. O recurso de mecanismo de risco enriquece os dados de segurança, avalia o risco e prioriza as vulnerabilidades para ajudar a corrigir problemas rapidamente. Com o Security Command Center, sua organização pode identificar proativamente pontos fracos e implementar mitigações.

  • O Google SecOps centraliza os dados de segurança e fornece registros enriquecidos com linhas do tempo. Isso permite que os defensores identifiquem proativamente comprometimentos ativos e adaptem as defesas com base no comportamento dos invasores.

  • O monitoramento de rede ajuda a identificar atividades irregulares que podem indicar um ataque e fornece indicadores iniciais que podem ser usados para tomar medidas. Para proteger seus dados contra roubo de maneira proativa, monitore continuamente a exfiltração de dados e use as ferramentas fornecidas.

Valide e melhore suas defesas continuamente

Essa recomendação é relevante para todas as áreas de foco.

Essa recomendação enfatiza a importância de testes direcionados e da validação contínua de controles para entender os pontos fortes e fracos em toda a superfície de ataque. Isso inclui validar a eficácia dos controles, das operações e da equipe usando métodos como os seguintes:

Você também precisa procurar ativamente por ameaças e usar os resultados para melhorar a detecção e a visibilidade. Use as seguintes ferramentas para testar e validar continuamente suas defesas contra ameaças reais:

  • O Security Command Center Enterprise oferece um mecanismo de risco contínuo para avaliar vulnerabilidades e priorizar a correção, o que permite a avaliação contínua da sua postura geral de segurança. Ao priorizar problemas, o Security Command Center Enterprise ajuda a garantir que os recursos sejam usados de maneira eficaz.

  • O Google SecOps oferece caça a ameaças e detecções selecionadas que permitem identificar proativamente pontos fracos nos seus controles. Isso permite testes e melhorias contínuas na sua capacidade de detectar ameaças.

  • O Chrome Enterprise Premium oferece recursos de proteção de dados e contra ameaças que ajudam você a lidar com ameaças novas e em evolução e a atualizar continuamente suas defesas contra riscos de exfiltração e malware.

  • O Cloud Next Generation Firewall (Cloud NGFW) oferece monitoramento de rede e de exfiltração de dados. Esses recursos podem ajudar você a validar a eficácia da sua postura de segurança atual e identificar possíveis pontos fracos. O monitoramento de exfiltração de dados ajuda a validar a força dos mecanismos de proteção de dados da sua organização e fazer ajustes proativos quando necessário. Ao integrar as descobertas de ameaças do Cloud NGFW ao Security Command Center e ao Google SecOps, é possível otimizar a detecção e a resposta a ameaças com base na rede e automatizar manuais de procedimentos. Para mais informações sobre essa integração, consulte Unifying Your Cloud Defenses: Security Command Center & Cloud NGFW Enterprise (em inglês).

Gerenciar e coordenar esforços de defesa cibernética

Essa recomendação é relevante para todas as áreas de foco.

Como descrito anteriormente em Integrar as funções da defesa cibernética, a função de controle da missão interconecta as outras funções do programa de defesa cibernética. Essa função permite a coordenação e o gerenciamento unificado em todo o programa. Ele também ajuda você a coordenar com outras equipes que não trabalham com segurança cibernética. A função Mission Control promove o empoderamento e a responsabilidade, facilita a agilidade e a experiência e impulsiona a responsabilidade e a transparência.

Os produtos e recursos a seguir podem ajudar você a implementar a função do Mission Control:

  • O Security Command Center Enterprise funciona como um hub central para coordenar e gerenciar suas operações de defesa cibernética. Ele reúne ferramentas, equipes e dados, além dos recursos integrados de resposta do Google SecOps. O Security Command Center oferece visibilidade clara do estado de segurança da sua organização e permite identificar configurações incorretas de segurança em diferentes recursos.
  • O Google SecOps oferece uma plataforma para que as equipes respondam a ameaças mapeando registros e criando linhas do tempo. Também é possível definir regras de detecção e pesquisar ameaças.
  • O Google Workspace e o Chrome Enterprise Premium ajudam você a gerenciar e controlar o acesso dos usuários finais a recursos sensíveis. É possível definir controles de acesso granulares com base na identidade do usuário e no contexto de uma solicitação.
  • O monitoramento de rede fornece insights sobre o desempenho dos recursos de rede. É possível importar insights de monitoramento de rede para o Security Command Center e o Google SecOps para monitoramento e correlação centralizados com outros pontos de dados baseados em linha do tempo. Essa integração ajuda você a detectar e responder a possíveis mudanças no uso da rede causadas por atividades maliciosas.
  • O monitoramento de exfiltração de dados ajuda a identificar possíveis incidentes de perda de dados. Com esse recurso, é possível mobilizar uma equipe de resposta a incidentes, avaliar danos e limitar a exfiltração de dados. Você também pode melhorar as políticas e os controles atuais para garantir a proteção de dados.

Resumo do produto

A tabela a seguir lista os produtos e recursos descritos neste documento e os mapeia para as recomendações e recursos de segurança associados.

Google Cloud produto Recomendações aplicáveis
Google SecOps Use a função de inteligência em todos os aspectos da defesa cibernética: permite a busca de ameaças e a correspondência de IoC e se integra à Mandiant para uma avaliação abrangente de ameaças.

Entenda e aproveite a vantagem do defensor: fornece detecções selecionadas e centraliza dados de segurança para identificação proativa de comprometimento.

Valide e melhore suas defesas continuamente: Permite testes e melhorias contínuos dos recursos de detecção de ameaças.

Gerencie e coordene os esforços de defesa cibernética com o Mission Control: oferece uma plataforma para resposta a ameaças, análise de registros e criação de linha do tempo.

Security Command Center Enterprise Use a função de inteligência em todos os aspectos da defesa cibernética: usa a IA para avaliar riscos, priorizar vulnerabilidades e fornecer insights úteis para correção.

Entenda e aproveite a vantagem que suas defesas oferecem: oferece análise de risco abrangente, priorização de vulnerabilidades e identificação proativa de pontos fracos.

Valide e melhore suas defesas continuamente: oferece avaliação contínua da postura de segurança e priorização de recursos.

Gerenciar e coordenar esforços de defesa cibernética com o Mission Control: atua como um hub central para gerenciar e coordenar operações de defesa cibernética.

Chrome Enterprise Premium Use a função de inteligência em todos os aspectos da defesa cibernética: protege os usuários contra riscos de exfiltração, evita malware e oferece visibilidade da atividade insegura do navegador.

Entenda e aproveite a vantagem do defensor: melhora a segurança dos dispositivos corporativos com proteção de dados, prevenção contra malware e controle de extensões.

Valide e melhore suas defesas continuamente: aborda ameaças novas e em evolução com atualizações contínuas das defesas contra riscos de exfiltração e malware.

Gerenciar e coordenar os esforços de defesa cibernética com o controle de missão: gerencie e controle o acesso do usuário final a recursos sensíveis, incluindo controles de acesso granulares.

Google Workspace Gerenciar e coordenar os esforços de defesa cibernética com o controle de missão: gerencie e controle o acesso do usuário final a recursos sensíveis, incluindo controles de acesso granulares.
Network Intelligence Center Use a função de inteligência em todos os aspectos da defesa cibernética: oferece visibilidade do desempenho da rede e detecta padrões de tráfego ou transferências de dados incomuns.
Cloud NGFW Valide e melhore suas defesas continuamente: otimiza a detecção e a resposta a ameaças com base na rede por meio da integração com o Security Command Center e o Google SecOps.

Usar a IA de forma segura e responsável

Esse princípio no pilar de segurança do Google Cloud Well-Architected Framework fornece recomendações para ajudar você a proteger seus sistemas de IA. Essas recomendações estão alinhadas ao framework de IA segura (SAIF) do Google, que oferece uma abordagem prática para lidar com as preocupações de segurança e risco dos sistemas de IA. O SAIF é um framework conceitual que visa fornecer padrões em todo o setor para criar e implantar IA com responsabilidade.

Visão geral do princípio

Para garantir que seus sistemas de IA atendam aos requisitos de segurança, privacidade e compliance, adote uma estratégia holística que comece com o design inicial e se estenda à implantação e às operações. É possível implementar essa estratégia holística aplicando os seis elementos principais do SAIF.

O Google usa a IA para aprimorar as medidas de segurança, como identificar ameaças, automatizar tarefas de segurança e melhorar as capacidades de detecção, mantendo os humanos envolvidos nas decisões críticas.

O Google enfatiza uma abordagem colaborativa para avançar na segurança da IA. Essa abordagem envolve parcerias com clientes, setores e governos para aprimorar as diretrizes do SAIF e oferecer recursos práticos e úteis.

As recomendações para implementar esse princípio estão agrupadas nas seções a seguir:

Recomendações para usar a IA de forma segura

Para usar a IA de forma segura, você precisa de controles de segurança básicos e específicos para IA. Esta seção oferece uma visão geral das recomendações para garantir que suas implantações de IA e ML atendam aos requisitos de segurança, privacidade e compliance da sua organização. Para uma visão geral dos princípios e recomendações de arquitetura específicos para cargas de trabalho de IA e ML no Google Cloud, consulte a perspectiva de IA e ML no framework bem arquitetado.

Definir metas e requisitos claros para o uso de IA

Esta recomendação é relevante para as seguintes áreas de foco:

  • Governança, risco e compliance na nuvem
  • Segurança de IA e ML

Essa recomendação se alinha ao elemento do SAIF sobre a contextualização dos riscos dos sistemas de IA nos processos comerciais relacionados. Ao projetar e desenvolver sistemas de IA, é importante entender suas metas de negócios, riscos e requisitos de compliance específicos.

Manter os dados seguros e evitar perdas ou uso indevido

Esta recomendação é relevante para as seguintes áreas de foco:

  • Segurança da infraestrutura
  • Gerenciamento de identidade e acesso
  • Segurança de dados
  • Segurança para aplicativos
  • Segurança de IA e ML

Essa recomendação está alinhada aos seguintes elementos do SAIF:

  • Adotar fundamentos sólidos de segurança no ecossistema de IA. Esse elemento inclui coleta, armazenamento, controle de acesso e proteção contra envenenamento de dados.
  • Contextualizar os riscos dos sistemas de IA. Enfatize a segurança de dados para apoiar objetivos de negócios e conformidade.

Mantenha os pipelines de IA seguros e robustos contra adulteração

Esta recomendação é relevante para as seguintes áreas de foco:

  • Segurança da infraestrutura
  • Gerenciamento de identidade e acesso
  • Segurança de dados
  • Segurança para aplicativos
  • Segurança de IA e ML

Essa recomendação está alinhada aos seguintes elementos do SAIF:

  • Adotar fundamentos sólidos de segurança no ecossistema de IA. Como um elemento fundamental para estabelecer um sistema de IA seguro, proteja seus artefatos de código e modelo.
  • Adaptar controles para ciclos de feedback mais rápidos. Como é importante para a mitigação e a resposta a incidentes, acompanhe seus recursos e execuções de pipeline.

Implante apps em sistemas seguros usando ferramentas e artefatos seguros

Esta recomendação é relevante para as seguintes áreas de foco:

  • Segurança da infraestrutura
  • Gerenciamento de identidade e acesso
  • Segurança de dados
  • Segurança para aplicativos
  • Segurança de IA e ML

Usar sistemas seguros e ferramentas e artefatos validados em aplicativos baseados em IA está alinhado ao elemento do SAIF sobre a expansão de bases de segurança sólidas para o ecossistema e a cadeia de suprimentos de IA. Para resolver essa recomendação, siga estas etapas:

Proteger e monitorar entradas

Esta recomendação é relevante para as seguintes áreas de foco:

  • Geração de registros, auditoria e monitoramento
  • Operações de segurança
  • Segurança de IA e ML

Essa recomendação está alinhada ao elemento SAIF sobre estender a detecção e a resposta para trazer a IA para o universo de ameaças de uma organização. Para evitar problemas, é fundamental gerenciar comandos para sistemas de IA generativa, monitorar entradas e controlar o acesso do usuário.

Recomendações para governança de IA

Todas as recomendações nesta seção são relevantes para a seguinte área de foco: governança, risco e compliance na nuvem.

Google Cloud oferece um conjunto robusto de ferramentas e serviços que podem ser usados para criar sistemas de IA responsáveis e éticos. Também oferecemos um framework de políticas, procedimentos e considerações éticas que podem orientar o desenvolvimento, a implantação e o uso de sistemas de IA.

Conforme refletido nas nossas recomendações, a abordagem do Google para governança de IA é orientada pelos seguintes princípios:

  • Imparcialidade
  • Transparência
  • Responsabilidade
  • Privacidade
  • Segurança

Usar indicadores de imparcialidade

A Vertex AI pode detectar vieses durante a coleta de dados ou o processo de avaliação pós-treinamento. A Vertex AI fornece métricas de avaliação de modelo, como viés de dados e viés de modelo, para ajudar você a avaliar o modelo quanto ao viés.

Essas métricas estão relacionadas à imparcialidade em diferentes categorias, como raça, gênero e classe. No entanto, interpretar desvios estatísticos não é um exercício simples, porque as diferenças entre categorias podem não ser resultado de viés ou um sinal de dano.

Usar o Vertex Explainable AI

Para entender como os modelos de IA tomam decisões, use a Vertex Explainable AI. Esse recurso ajuda a identificar possíveis vieses que podem estar ocultos na lógica do modelo.

Esse recurso de explicabilidade é integrado ao BigQuery ML e à Vertex AI, que oferecem explicações baseadas em atributos. É possível fazer a explicabilidade no BigQuery ML ou registrar seu modelo na Vertex AI e fazer a explicabilidade na Vertex AI.

Rastrear linhagem de dados

Rastreie a origem e a transformação dos dados usados nos seus sistemas de IA. Esse rastreamento ajuda você a entender a jornada dos dados e identificar possíveis fontes de viés ou erro.

A linhagem de dados é um recurso do Dataplex Universal Catalog que permite acompanhar como os dados se movimentam nos sistemas: origem, destino e quais transformações são aplicadas a eles.

Estabelecer responsabilidade

Estabeleça responsabilidades claras para o desenvolvimento, a implantação e os resultados dos seus sistemas de IA.

Use o Cloud Logging para registrar eventos e decisões importantes tomadas pelos seus sistemas de IA. Os registros fornecem uma trilha de auditoria para ajudar você a entender o desempenho do sistema e identificar áreas de melhoria.

Use o Error Reporting para analisar sistematicamente os erros cometidos pelos sistemas de IA. Essa análise pode revelar padrões que apontam para vieses implícitos ou áreas em que o modelo precisa de mais refinamento.

Implementar a privacidade diferencial

Durante o treinamento de modelo, adicione ruído aos dados para dificultar a identificação de pontos de dados individuais, mas ainda permitir que o modelo aprenda com eficiência. Com o SQL no BigQuery, é possível transformar os resultados de uma consulta com agregações diferencialmente particulares.

Usar a IA para segurança

Esse princípio no pilar de segurança do Google Cloud Well-Architected Framework fornece recomendações para usar a IA e melhorar a segurança das suas cargas de trabalho na nuvem.

Devido ao aumento no número e na sofisticação dos ataques cibernéticos, é importante aproveitar o potencial da IA para melhorar a segurança. A IA pode ajudar a reduzir o número de ameaças, diminuir o esforço manual exigido pelos profissionais de segurança e compensar a escassez de especialistas no domínio da segurança cibernética.

Visão geral do princípio

Use recursos de IA para melhorar seus sistemas e processos de segurança atuais. Você pode usar o Gemini em segurança e os recursos de IA intrínsecos integrados aos serviços do Google Cloud .

Esses recursos de IA podem transformar a segurança ao oferecer assistência em todas as etapas do ciclo de vida da segurança. Por exemplo, é possível usar a IA para fazer o seguinte:

  • Analisar e explicar códigos potencialmente maliciosos sem engenharia reversa.
  • Reduzir o trabalho repetitivo para profissionais de segurança cibernética.
  • Use linguagem natural para gerar consultas e interagir com dados de eventos de segurança.
  • Mostrar informações contextuais.
  • Oferecer recomendações para respostas rápidas.
  • Ajudar na correção de eventos.
  • Resumir alertas de alta prioridade para configurações incorretas e vulnerabilidades, destacar possíveis impactos e recomendar mitigações.

Níveis de autonomia de segurança

A IA e a automação podem ajudar você a alcançar melhores resultados de segurança ao lidar com ameaças de segurança cibernética em constante evolução. Ao usar a IA para segurança, você pode alcançar níveis mais altos de autonomia para detectar e evitar ameaças e melhorar sua postura geral de segurança. O Google define quatro níveis de autonomia ao usar a IA para segurança. Eles descrevem o papel crescente da IA em ajudar e, eventualmente, liderar tarefas de segurança:

  1. Manual: os humanos executam todas as tarefas de segurança (prevenção, detecção, priorização e resposta) em todo o ciclo de vida da segurança.
  2. Assistida: ferramentas de IA, como o Gemini, aumentam a produtividade humana resumindo informações, gerando insights e fazendo recomendações.
  3. Semiautônoma: a IA assume a responsabilidade principal por muitas tarefas de segurança e delega aos humanos somente quando necessário.
  4. Autônoma: a IA atua como um assistente confiável que impulsiona o ciclo de vida da segurança com base nas metas e preferências da sua organização, com intervenção humana mínima.

Recomendações

As seções a seguir descrevem as recomendações para usar a IA na segurança. As seções também indicam como as recomendações se alinham aos elementos principais do framework de IA segura (SAIF) do Google e como elas são relevantes para os níveis de autonomia de segurança.

Melhorar a detecção e resposta a ameaças com a IA

Esta recomendação é relevante para as seguintes áreas de foco:

  • Operações de segurança (SecOps)
  • Geração de registros, auditoria e monitoramento

A IA pode analisar grandes volumes de dados de segurança, oferecer insights sobre o comportamento de agentes de ameaças e automatizar a análise de códigos potencialmente maliciosos. Essa recomendação está alinhada aos seguintes elementos do SAIF:

  • Estender a detecção e a resposta para que também considerem as ameaças com base em IA.
  • Automatizar defesas para responder a ameaças novas e antigas.

Dependendo da sua implementação, essa recomendação pode ser relevante para os seguintes níveis de autonomia:

  • Assistida: a IA ajuda na análise e detecção de ameaças.
  • Semiautônoma: a IA assume mais responsabilidade pela tarefa de segurança.

A Inteligência contra ameaças do Google, que usa IA para analisar o comportamento de perpetradores de ameaças e códigos maliciosos, pode ajudar você a implementar essa recomendação.

Simplificar a segurança para especialistas e não especialistas

Esta recomendação é relevante para as seguintes áreas de foco:

  • Operações de segurança (SecOps)
  • Governança, risco e compliance na nuvem

As ferramentas com tecnologia de IA podem resumir alertas e recomendar mitigações, e essas funcionalidades podem tornar a segurança mais acessível a uma gama mais ampla de funcionários. Essa recomendação está alinhada aos seguintes elementos do SAIF:

  • Automatizar defesas para responder a ameaças novas e antigas.
  • Ajustar os controles no nível da plataforma para garantir uma segurança consistente em toda a organização.

Dependendo da sua implementação, essa recomendação pode ser relevante para os seguintes níveis de autonomia:

  • Assistida: a IA ajuda você a melhorar a acessibilidade das informações de segurança.
  • Semiautônoma: a IA ajuda a tornar as práticas de segurança mais eficazes para todos os usuários.

O Gemini no Security Command Center pode fornecer resumos de alertas para configurações incorretas e vulnerabilidades.

Automatize tarefas de segurança demoradas com IA

Esta recomendação é relevante para as seguintes áreas de foco:

  • Segurança da infraestrutura
  • Operações de segurança (SecOps)
  • Segurança para aplicativos

A IA pode automatizar tarefas como analisar malware, gerar regras de segurança e identificar configurações incorretas. Esses recursos podem ajudar a reduzir a carga de trabalho das equipes de segurança e acelerar os tempos de resposta. Essa recomendação está alinhada ao elemento SAIF sobre a automatização de defesas para acompanhar ameaças novas e antigas.

Dependendo da sua implementação, essa recomendação pode ser relevante para os seguintes níveis de autonomia:

  • Assistida: a IA ajuda você a automatizar tarefas.
  • Semiautônoma: a IA assume a responsabilidade principal pelas tarefas de segurança e só pede assistência humana quando necessário.

O Gemini no Google SecOps pode ajudar a automatizar tarefas complexas, auxiliando os analistas, recuperando o contexto relevante e fazendo recomendações para as próximas etapas.

Incorporar a IA aos processos de gerenciamento de risco e governança

Esta recomendação é relevante para a seguinte área de foco: governança, risco e compliance na nuvem.

Você pode usar a IA para criar um inventário de modelos e perfis de risco. Você também pode usar a IA para implementar políticas de privacidade de dados, risco cibernético e risco de terceiros. Essa recomendação está alinhada ao elemento do SAIF sobre a contextualização dos riscos dos sistemas de IA nos processos comerciais relacionados.

Dependendo da sua implementação, essa recomendação pode ser relevante para o nível de autonomia semiautônomo. Nesse nível, a IA pode orquestrar agentes de segurança que executam processos para alcançar suas metas de segurança personalizadas.

Implementar práticas de desenvolvimento seguras para sistemas de IA

Esta recomendação é relevante para as seguintes áreas de foco:

  • Segurança para aplicativos
  • Segurança de IA e ML

Você pode usar a IA para programação segura, limpeza de dados de treinamento e validação de ferramentas e artefatos. Essa recomendação está alinhada ao elemento do SAIF sobre a expansão de bases de segurança sólidas para o ecossistema de IA.

Essa recomendação é relevante para todos os níveis de autonomia de segurança, porque um sistema de IA seguro precisa estar em vigor antes que a IA possa ser usada de maneira eficaz para segurança. A recomendação é mais relevante para o nível assistido, em que as práticas de segurança são aprimoradas pela IA.

Para implementar essa recomendação, siga as diretrizes dos Níveis de cadeia de suprimentos para artefatos de software (SLSA) para artefatos de IA e use imagens de contêiner validadas.

Atender às necessidades regulatórias, de compliance e de privacidade

Esse princípio no pilar de segurança do Google Cloud Well-Architected Framework ajuda você a identificar e atender aos requisitos regulatórios, de conformidade e de privacidade para implantações na nuvem. Esses requisitos influenciam muitas das decisões que você precisa tomar sobre os controles de segurança que devem ser usados para suas cargas de trabalho noGoogle Cloud.

Visão geral do princípio

Atender às necessidades regulatórias, de compliance e de privacidade é um desafio inevitável para todas as empresas. Os requisitos regulamentares para a nuvem dependem de vários fatores, incluindo:

  • As leis e regulamentos que se aplicam ao local físico da sua organização
  • As leis e regulamentos que se aplicam ao local físico dos seus clientes
  • Requisitos regulamentares do setor

Os regulamentos de privacidade definem como você pode receber, processar, armazenar e gerenciar os dados dos usuários. Você é o proprietário dos seus dados, incluindo os que recebe dos seus usuários. Portanto, muitos controles de privacidade são de sua responsabilidade, incluindo controles para cookies, gerenciamento de sessões e permissão de usuários.

As recomendações para implementar esse princípio estão agrupadas nas seguintes seções:

Recomendações para lidar com riscos organizacionais

Esta seção oferece recomendações para ajudar você a identificar e resolver riscos para sua organização.

Identificar riscos para sua organização

Esta recomendação é relevante para a seguinte área de foco: governança, risco e compliance na nuvem.

Antes de criar e implantar recursos no Google Cloud, faça uma avaliação de risco. Essa avaliação precisa determinar os recursos de segurança necessários para atender aos requisitos de segurança internos e regulatórios externos.

Sua avaliação de riscos fornece um catálogo de riscos específicos da organização e informa sobre a capacidade dela de detectar e combater ameaças de segurança. Faça uma análise de risco imediatamente após a implantação e sempre que houver mudanças nas necessidades da sua empresa, nos requisitos regulamentares ou nas ameaças à sua organização.

Como mencionado no princípio Implementar segurança por design, os riscos de segurança em um ambiente de nuvem são diferentes dos riscos locais. Essa diferença se deve ao modelo de responsabilidade compartilhada na nuvem, que varia de acordo com o serviço (IaaS, PaaS ou SaaS) e seu uso. Use um framework de avaliação de risco específico da nuvem, como a matriz de controles do Cloud (CCM). Use a estimativa de ameaças, como a estimativa de ameaças do aplicativo OWASP, para identificar e corrigir vulnerabilidades. Para receber ajuda especializada com avaliações de risco, entre em contato com seu representante da conta do Google ou consulte o diretório de parceiros da Google Cloud.

Depois de catalogar seus riscos, você precisa determinar como resolvê-los, ou seja, se quer aceitá-los, evitá-los, transferi-los ou mitigá-los. Para ver controles de mitigação que você pode implementar, consulte a próxima seção sobre como reduzir seus riscos.

Reduza seus riscos

Esta recomendação é relevante para a seguinte área de foco: governança, risco e compliance na nuvem.

Ao adotar novos serviços de nuvem pública, é possível reduzir os riscos usando controles técnicos, proteções contratuais e verificações ou atestados de terceiros.

Os controles técnicos são recursos e tecnologias usados para proteger seu ambiente. Eles incluem controles de segurança na nuvem integrados, como firewalls e geração de registros. Os controles técnicos também podem incluir o uso de ferramentas de terceiros para reforçar ou apoiar sua estratégia de segurança. Há duas categorias de controles técnicos:

  • Você pode implementar os controles de segurança do Google Cloudpara ajudar a reduzir os riscos que se aplicam ao seu ambiente. Por exemplo, é possível proteger a conexão entre suas redes locais e de nuvem usando o Cloud VPN e o Cloud Interconnect.
  • O Google conta com recursos robustos de controle e auditoria internos para proteger os dados dos clientes contra acesso interno. Nossos registros de auditoria fornecem registros quase em tempo real do acesso do administrador do Google no Google Cloud.

As proteções contratuais se referem aos compromissos jurídicos assumidos por nós com relação aos serviços doGoogle Cloud . O Google tem o compromisso de manter e expandir nosso portfólio de compliance. O Aditivo sobre tratamento de dados do Cloud (CDPA) descreve nossos compromissos em relação ao tratamento e à segurança dos seus dados. O CDPA também descreve os controles de acesso que limitam o acesso dos engenheiros de suporte do Google aos ambientes dos clientes e descreve nosso rigoroso processo de registro e aprovação. Recomendamos que você revise os controles contratuais do Google Cloudcom seus especialistas jurídicos e regulamentares e verifique se eles atendem aos seus requisitos. Se você precisar de mais informações, entre em contato com seu representante técnico da conta.

Verificações ou atestados de terceiros se referem a uma auditoria de terceiros no provedor de nuvem para garantir que ele atenda aos requisitos de conformidade. Por exemplo, para saber mais sobre as declarações de Google Cloud em relação às diretrizes da ISO/IEC 27017, consulte ISO/IEC 27017: conformidade. Para conferir as certificações e os atestados Google Cloud atuais, acesse a Central de recursos de compliance.

Recomendações para atender às obrigações regulatórias e de compliance

Uma jornada típica de compliance tem três estágios: avaliação, remediação de lacunas e monitoramento contínuo. Esta seção oferece recomendações que podem ser usadas em cada uma dessas etapas.

Avaliar suas necessidades de conformidade

Esta recomendação é relevante para a seguinte área de foco: governança, risco e compliance na nuvem.

A avaliação de conformidade começa com uma análise completa de todas as suas obrigações regulamentares e como sua empresa as está implementando. Para ajudar na sua avaliação dos serviços do Google Cloud , use a Central de recursos de compliance. Este site fornece informações sobre o seguinte:

  • Suporte de serviço para vários regulamentos
  • Google Cloud certificações e atestados

Para entender melhor o ciclo de vida da conformidade no Google e como seus requisitos podem ser atendidos, entre em contato com a equipe de vendas e peça ajuda a um especialista em conformidade do Google. Ou entre em contato com seu gerente de contas doGoogle Cloud para solicitar um workshop de compliance.

Para mais informações sobre ferramentas e recursos que podem ser usados para gerenciar a segurança e a conformidade das cargas de trabalho do Google Cloud , consulte Garantir a conformidade na nuvem.

Automatizar a implementação de requisitos de compliance

Esta recomendação é relevante para a seguinte área de foco: governança, risco e compliance na nuvem.

Para ajudar você a manter a conformidade com as regulamentações em constante mudança, determine se é possível automatizar a implementação dos requisitos de compliance. É possível usar os dois recursos focados em conformidade que o Google Cloud oferece e os blueprints que usam configurações recomendadas para um regime de compliance específico.

O Assured Workloads é criado com base nos controles do Google Cloud para ajudar você a cumprir as obrigações de compliance. Você pode fazer o seguinte com o Assured Workloads:

  • Selecione seu regime de conformidade. Em seguida, a ferramenta define automaticamente os controles de acesso da equipe de referência para o regime selecionado.
  • Defina o local dos dados usando políticas da organização para que os dados em repouso e os recursos permaneçam apenas nessa região.
  • Selecione a opção de gerenciamento de chaves (como o período de rotação de chaves) que melhor atende às necessidades de segurança e conformidade.
  • Selecione os critérios de acesso da equipe de suporte do Google para atender a determinados requisitos regulamentares, como o FedRAMP de nível médio. Por exemplo, é possível selecionar se a equipe de suporte do Google passou por investigações de histórico para contratação apropriadas.
  • Use Google-owned and Google-managed encryption keys que estejam em conformidade com o FIPS-140-2 e sejam compatíveis com a conformidade do FedRAMP de nível médio. Para ter uma camada adicional de controle e separação de tarefas, use as chaves de criptografia gerenciadas pelo cliente (CMEK). Para mais informações sobre chaves, consulte Criptografar dados em repouso e em trânsito.

Além do Assured Workloads, você pode usar Google Cloud modelos relevantes para seu regime de compliance. É possível modificar esses blueprints para incorporar suas políticas de segurança às implantações de infraestrutura.

Para ajudar você a criar um ambiente que atenda aos requisitos de compliance, os blueprints e guias de soluções do Google incluem configurações recomendadas e fornecem módulos do Terraform. A tabela a seguir lista blueprints que abordam a segurança e o alinhamento com os requisitos de conformidade.

Requisito Modelos e guias de solução
FedRAMP
HIPAA

Monitorar a conformidade

Esta recomendação é relevante para as seguintes áreas de foco:

  • Governança, risco e compliance na nuvem
  • Registro, monitoramento e auditoria

A maioria das regulamentações exige que você monitore determinadas atividades, incluindo as relacionadas ao acesso. Para ajudar no monitoramento, você pode usar o seguinte:

  • Transparência no acesso: veja registros quase em tempo real quando os administradores do Google Cloud acessam seu conteúdo.
  • Geração de registros de regras de firewall: grave conexões TCP e UDP dentro de uma rede VPC para qualquer regra que você criar. Esses registros podem ser úteis para auditar o acesso à rede ou para fornecer aviso antecipado de que a rede está sendo usada de maneira não aprovada.
  • Registros de fluxo de VPC: registram os fluxos de tráfego de rede enviados ou recebidos por instâncias de VM.
  • Security Command Center Premium: Monitore a conformidade com vários padrões.
  • OSSEC (ou outra ferramenta de código aberto): registre a atividade de indivíduos que têm acesso de administrador ao ambiente.
  • Justificativas de acesso à chave: confira os motivos de uma solicitação de acesso à chave.
  • Notificações do Security Command Center: receba alertas quando ocorrerem problemas de não conformidade. Por exemplo, receba alertas quando os usuários desativarem a verificação em duas etapas ou quando contas de serviço tiverem privilégios em excesso. Também é possível configurar a correção automática para notificações específicas.

Recomendações para gerenciar a soberania de dados

Esta recomendação é relevante para a seguinte área de foco: governança, risco e compliance na nuvem.

A soberania de dados oferece um mecanismo para impedir que o Google acesse seus dados. Você aprova o acesso somente para comportamentos do provedor que você acredita serem necessários. Por exemplo, você pode gerenciar a soberania de dados das seguintes maneiras:

Gerenciar a soberania operacional

Esta recomendação é relevante para a seguinte área de foco: governança, risco e compliance na nuvem.

A soberania operacional oferece garantias de que a equipe do Google não pode comprometer suas cargas de trabalho. Por exemplo, você pode gerenciar a soberania operacional das seguintes maneiras:

Gerenciar a soberania de software

Esta recomendação é relevante para a seguinte área de foco: governança, risco e compliance na nuvem.

A soberania de software oferece garantias de que você pode controlar a disponibilidade de suas cargas de trabalho e executá-las onde quiser. Além disso, é possível ter esse controle sem depender ou ficar preso a um único provedor de nuvem. A soberania de software inclui a capacidade de sobreviver a eventos que exigem alteração rápida no local de implantação das cargas de trabalho e em que nível de conexão externa é permitido.

Por exemplo, para ajudar você a gerenciar a soberania do software,o Google Cloud oferece suporte a implantações híbridas e de várias nuvens. Além disso, com o GKE Enterprise, é possível gerenciar e implantar seus aplicativos em ambientes em nuvem e locais. Se você escolher implantações locais por motivos de soberania de dados, o Google Distributed Cloud será uma combinação de hardware e software que levará o Google Cloud para seu data center.

Recomendações para atender aos requisitos de privacidade

OGoogle Cloud inclui os seguintes controles que promovem a privacidade:

  • Criptografia padrão de todos os dados quando estão em repouso, em trânsito e durante o processamento.
  • Protege contra acesso de pessoas com informações privilegiadas.
  • Compatibilidade com diversas regulamentações de privacidade.

As recomendações a seguir abordam outros controles que você pode implementar. Para mais informações, consulte a Central de recursos de privacidade.

Controlar a residência de dados

Esta recomendação é relevante para a seguinte área de foco: governança, risco e compliance na nuvem.

Essa seção descreve onde seus dados são armazenados em repouso. Os requisitos de residência de dados variam de acordo com os objetivos de design do sistema, questões regulatórias do setor, legislação nacional, implicações fiscais e até mesmo a cultura.

O controle da residência de dados começa com:

  • Entender o tipo dos dados e a localização deles.
  • Determinar quais riscos existem para seus dados e quais leis e regulamentações se aplicam.
  • Controlar onde seus dados são armazenados ou para onde vão.

Para ajudar você a obedecer aos requisitos de residência de dados, o Google Cloud permite controlar onde seus dados são armazenados, como são acessados e como são tratados. É possível usar políticas de local de recursos para restringir onde os recursos são criados e limitar onde os dados são replicados entre regiões. É possível usar a propriedade de local de um recurso para identificar onde o serviço é implantado e quem o mantém. Para mais informações, consulte Serviços com suporte com locais de recursos.

Classificar seus dados confidenciais

Essa recomendação é relevante para a seguinte área de foco: segurança de dados.

Defina quais dados são confidenciais e, em seguida, garanta que eles sejam protegidos adequadamente. Os dados confidenciais podem incluir números de cartões de crédito, endereços, números de telefone e outras informações de identificação pessoal (PII). Com a Proteção de dados confidenciais, é possível configurar classificações apropriadas. Em seguida, você pode marcar e tokenizar seus dados antes de armazená-los no Google Cloud. Além disso, o Dataplex Universal Catalog oferece um serviço de catálogo que fornece uma plataforma para armazenar, gerenciar e acessar seus metadados. Para mais informações e um exemplo de classificação e desidentificação de dados, consulte Desidentificação e reidentificação de PII usando a proteção de dados sensíveis.

Bloquear o acesso a dados confidenciais

Esta recomendação é relevante para as seguintes áreas de foco:

  • Segurança de dados
  • Gerenciamento de identidade e acesso

Coloque dados sensíveis no próprio perímetro de serviço usando o VPC Service Controls. O VPC Service Controls melhora sua capacidade de reduzir o risco de cópia ou transferência não autorizada de dados (exfiltração de dados) de serviços gerenciados pelo Google. Com VPC Service Controls, é possível configurar os perímetros de segurança em torno dos recursos dos serviços gerenciados pelo Google para controlar a movimentação de dados por todo o perímetro. Defina os controles de acesso do Google Identity and Access Management (IAM) para esses dados. Configure a autenticação multifator (MFA) para todos os usuários que precisam acessar dados sensíveis.

Responsabilidades compartilhadas e destino compartilhado no Google Cloud

Este documento descreve as diferenças entre o modelo de responsabilidade compartilhada e o destino compartilhado no Google Cloud. além de discutir os desafios e as nuances do modelo de responsabilidade compartilhada. Este documento também descreve o que é o destino compartilhado e como funciona a parceria com clientes para enfrentar os desafios de segurança na nuvem.

É importante entender o modelo de responsabilidade compartilhada para definir a melhor forma de proteger dados e cargas de trabalho no Google Cloud. O modelo de responsabilidade compartilhada descreve as tarefas de segurança na nuvem e como essas tarefas são diferentes para os provedores de nuvem.

No entanto, entender a responsabilidade compartilhada pode ser um desafio. O modelo requer conhecimento profundo de cada serviço que você usa, das opções de configuração que cada serviço oferece e do que Google Cloud faz para proteger o serviço. Cada serviço tem um perfil de configuração diferente, e pode ser difícil identificar a melhor configuração de segurança. O Google acredita que o modelo de responsabilidade compartilhada não ajuda os clientes de nuvem a atingir melhores resultados de segurança. Em vez da responsabilidade compartilhada, acreditamos no destino compartilhado.

O destino compartilhado inclui a criação e operação de uma plataforma de nuvem confiável para cargas de trabalho. Temos práticas recomendadas e um código de infraestrutura atestado e seguro que pode ser usado para implantar as cargas de trabalho com segurança. Lançamos soluções que combinam vários serviços do Google Cloud para resolver problemas complexos de segurança, e oferecemos opções inovadoras de seguro para ajudar você a avaliar e mitigar os riscos que precisa aceitar. O destino compartilhado envolve uma interação mais próxima com você para proteger seus recursos no Google Cloud.

Responsabilidade compartilhada

Você é especialista em requisitos regulamentares e de segurança da sua empresa, e os requisitos para proteger seus dados e recursos confidenciais. Ao executar cargas de trabalho no Google Cloud, você precisa identificar os controles de segurança que precisam ser configurados no Google Cloud para ajudar a proteger seus dados confidenciais e cada carga de trabalho. Para decidir quais controles de segurança serão implementados, considere os seguintes fatores:

  • Obrigações regulatórias de conformidade
  • Padrões de segurança e plano de gerenciamento de riscos da organização
  • Requisitos de segurança de clientes e fornecedores

Definido por cargas de trabalho

Tradicionalmente, as responsabilidades são definidas com base no tipo de carga de trabalho executada e nos serviços de nuvem de que você precisa. Os serviços do Cloud incluem as seguintes categorias:

Serviço em nuvem Descrição
Infraestrutura como serviço (IaaS) Os serviços de IaaS incluem Google Compute Engine, Cloud Storage e serviços de rede, como Cloud VPN, Cloud Load Balancing e Cloud DNS.

A IaaS oferece serviços de computação, armazenamento e rede sob demanda com pagamento por utilização. É possível usar a IaaS para migrar uma carga de trabalho local para a nuvem usando lift-and-shift ou executar o aplicativo em VMs específicas, com determinados bancos de dados ou configurações de rede.

Na IaaS, a maior parte das responsabilidades de segurança é sua, e nossas responsabilidades se concentram na infraestrutura básica e na segurança física.

Plataforma como serviço (PaaS) Os serviços de PaaS incluem App Engine, Google Kubernetes Engine (GKE) e BigQuery.

O PaaS oferece o ambiente de execução em que você desenvolve e executa aplicativos. É possível usar o PaaS para criar um aplicativo (como um site) e se concentrar no desenvolvimento, e não na infraestrutura subjacente.

Na PaaS, somos responsáveis por mais controles do que na IaaS. Normalmente, isso varia de acordo com os serviços e recursos que você usa. Vocês compartilha a responsabilidade conosco pelos controles no nível do aplicativo e pelo gerenciamento do IAM. Você é responsável pela segurança dos dados e pela proteção do cliente.
Software como serviço (SaaS) Os aplicativos de SaaS incluem o Google Workspace, as Operações de segurança do Google e aplicativos SaaS de terceiros disponíveis no Google Cloud Marketplace.

O SaaS oferece aplicativos on-line que você pode assinar ou pagar de alguma maneira. É possível usar aplicativos SaaS quando a empresa não tem a experiência interna ou o requisito de negócios para criar o aplicativo, mas exige a capacidade de processar cargas de trabalho.

Em SaaS, a maior parte das responsabilidades de segurança é nossa. Você é responsável pelos seus controles de acesso e pelos dados que quer armazenar no aplicativo.

Função como serviço (FaaS) ou sem servidor

O FaaS oferece a plataforma para que desenvolvedores executem código pequeno de finalidade única (chamado de funções) em resposta a eventos específicos. Use o FaaS quando quiser que algo específico ocorra com base em um determinado evento. Por exemplo, é possível criar uma função que será executada sempre que os dados forem enviados para o Cloud Storage para classificação.

O FaaS tem uma lista de responsabilidades compartilhadas semelhante à de SaaS. As funções do Cloud Run são um aplicativo FaaS.

O diagrama a seguir mostra os serviços em nuvem e define como as responsabilidades são compartilhadas entre o provedor de nuvem e o cliente.

Responsabilidades de segurança compartilhadas

Como mostra o diagrama, o provedor de nuvem sempre permanece responsável pela rede e pela infraestrutura subjacentes, e os clientes sempre são responsáveis pelas políticas de acesso e pelos dados.

Definida pelo setor e pela estrutura regulamentar

Vários setores têm frameworks regulamentares que definem os controles de segurança que precisam ser implementados. Ao mover cargas de trabalho para a nuvem, você precisa entender o seguinte:

  • Quais controles de segurança são de sua responsabilidade
  • Quais controles de segurança estão disponíveis como parte da oferta na nuvem
  • Quais controles de segurança padrão são herdados

Controles de segurança herdados, como nossa criptografia padrão e controles de infraestrutura, são controles que você pode fornecer como parte das evidências da sua posição de segurança a auditores e reguladores. Por exemplo, o Padrão de Segurança de Dados do Setor de Cartões de Pagamento (PCI DSS, na sigla em inglês) define regulamentações para processadores de pagamentos. Quando você migra a empresa para a nuvem, essas regulamentações são compartilhadas entre você e seu CSP. Para entender como as responsabilidades do PCI DSS são compartilhadas entre você e oGoogle Cloud, consulte Google Cloud: matriz de responsabilidade compartilhada do PCI DSS.

Outro exemplo: nos Estados Unidos, a Lei de Portabilidade e Responsabilidade de Seguros de Saúde (HIPAA, na sigla em inglês) definiu padrões para o tratamento de informações sobre saúde pessoal (PHI, na sigla em inglês) no meio eletrônico. Essas responsabilidades também são compartilhadas entre o CSP e você. Para saber mais sobre como o Google Cloud cumpre as responsabilidades definidas pela HIPAA, consulte HIPAA: conformidade.

Outros setores, como finanças ou manufatura, também têm regulamentações que definem como os dados podem ser coletados, processados e armazenados. Para mais informações sobre a responsabilidade compartilhada relacionada a esses setores e como o Google Cloud cumpre nossas responsabilidades, consulte a Central de recursos de compliance.

Definida por local

Dependendo do cenário da empresa, talvez você precise considerar suas responsabilidades com base na localização de escritórios, clientes e dados. Diferentes países e regiões criaram regulamentações que informam como processar e armazenar dados de clientes. Por exemplo, caso sua empresa tenha clientes residentes na União Europeia, talvez seja necessário respeitar os requisitos descritos no Regulamento geral de proteção de dados (GDPR) e você tenha a obrigação de manter os dados dos clientes na UE. Nessa circunstância, você é responsável por garantir que os dados coletados permaneçam nas regiões doGoogle Cloud na UE. Para mais informações sobre como cumprimos as obrigações relacionadas ao GDPR, consulte GDPR e Google Cloud.

Para informações sobre os requisitos relacionados à sua região, consulte Ofertas de compliance. Se a situação for particularmente complicada, fale com a equipe de vendas ou com um dos nossos parceiros para ajudar você a avaliar as responsabilidades de segurança.

Desafios da responsabilidade compartilhada

Embora a responsabilidade compartilhada ajude a definir os papéis de segurança que você ou o provedor de nuvem têm, contar com a responsabilidade compartilhada ainda pode criar desafios. Considere os cenários a seguir:

  • A maioria das violações de segurança na nuvem é resultado direto da configuração incorreta (listada como número 3 no relatório Pandemic 11 do Cloud Security Alliance), e essa tendência tende a aumentar. Os produtos de nuvem mudam sempre, e novos produtos são lançados constantemente. Acompanhar a mudança constante pode ser difícil. Os clientes precisam de provedores de nuvem para oferecer práticas recomendadas firmes que ajudam a acompanhar a mudança, começando com as práticas recomendadas por padrão e uma configuração segura de referência.
  • Ainda que a divisão de itens por serviços em nuvem seja útil, muitas empresas têm cargas de trabalho que exigem vários tipos de serviços em nuvem. Nessas circunstâncias, é preciso considerar como vários controles de segurança desses serviços interagem, inclusive se eles se sobrepõem entre os serviços. Por exemplo, é possível migrar um aplicativo local para o Compute Engine, usar o Google Workspace para e-mails corporativos e também executar o BigQuery para analisar dados e melhorar seus produtos.
  • Sua empresa e seus mercados mudam constantemente; conforme as regulamentações mudam, à medida que você entra em novos mercados ou conforme adquire outras empresas. Os novos mercados podem ter requisitos diferentes, e a nova aquisição pode hospedar as cargas de trabalho em outra nuvem. Para gerenciar mudanças constantes, é necessário sempre reavaliar seu perfil de risco e implementar novos controles rapidamente.
  • Como e onde gerenciar chaves de criptografia de dados é uma decisão importante que está vinculada às suas responsabilidades de proteger dados. A opção escolhida depende dos requisitos regulamentares, se você está executando um ambiente de nuvem híbrida ou ainda tem um ambiente local, bem como da confidencialidade dos dados que está processando e armazenando.
  • O gerenciamento de incidentes é uma área importante e geralmente ignorada, em que suas responsabilidades e as do provedor de nuvem não são facilmente definidas. Muitos incidentes exigem colaboração e suporte do provedor de nuvem na investigação e mitigação. Outros incidentes podem resultar de recursos de nuvem mal configurados ou de credenciais roubadas, e garantir que você siga as práticas recomendadas para proteger recursos e contas pode ser uma tarefa desafiadora.
  • Ameaças permanentes avançadas (APTs, na sigla em inglês) e novas vulnerabilidades podem afetar as cargas de trabalho de maneiras que talvez você não considere ao iniciar a transformação na nuvem. É difícil garantir que você se mantenha a atualização nesse cenário em constante mudança e saiba quem é responsável pela mitigação de ameaças, especialmente se a empresa não tiver uma grande equipe de segurança.

Destino compartilhado

Desenvolvemos um destino compartilhado no Google Cloud para começar a enfrentar os desafios que o modelo de responsabilidade compartilhada não soluciona. O destino compartilhado se concentra em como todas as partes podem interagir melhor para melhorar a segurança continuamente. O destino compartilhado se baseia no modelo de responsabilidade compartilhada porque vê a relação entre o provedor de nuvem e o cliente como uma parceria contínua para melhorar a segurança.

Com o destino compartilhado, assumimos a responsabilidade de tornar Google Cloud mais seguro. O destino compartilhado ajuda você a começar a usar uma zona de destino segura e ser simples, firme e transparente em relação a recomendações de controles de segurança, configurações e as práticas recomendadas associadas. Isso inclui ajudar você a quantificar e gerenciar melhor seus riscos com seguro cibernético por meio do Programa de proteção a riscos. Ao usar o destino compartilhado, queremos evoluir do framework de responsabilidade compartilhada padrão para um modelo melhor que ajuda a proteger sua empresa e criar confiança no Google Cloud.

As seções a seguir descrevem vários componentes do destino compartilhado.

Ajuda para começar

Um componente essencial do destino compartilhado são os recursos que oferecemos para ajudar você a começar, em uma configuração segura do Google Cloud. Começar com uma configuração segura ajuda a reduzir o problema de configurações incorretas, que é a causa raiz da maioria das violações de segurança.

Nossos recursos incluem:

  • Blueprint de bases empresariais, que discute as principais preocupações com a segurança e nossas principais recomendações.

  • Modelos seguros que permitem implantar e manter soluções seguras usando a infraestrutura como código (IaC, na sigla em inglês). Os modelos têm as recomendações de segurança ativadas por padrão. Muitos modelos são criados por equipes de segurança do Google e gerenciados como produtos. Esse suporte significa que eles são atualizados regularmente, passam por um processo de teste rigoroso e recebem atestados de grupos de teste terceirizados. Os blueprints incluem o Blueprint de bases empresariais e o Blueprint de data warehouse seguro.

  • Google Cloud Práticas recomendadas do Well-Architected Framework que abordam as principais recomendações para criar designs com segurança integrada. O Well-Architected Framework inclui uma seção de segurança e uma zona de comunidade que você pode usar para se conectar com especialistas e colegas.

  • Guias de navegação na zona de destino que orientam sobre as principais decisões que você precisa tomar para criar uma base segura para suas cargas de trabalho, incluindo hierarquia de recursos, integração de identidade, segurança, gerenciamento de chaves e estrutura de rede.

Programa de Proteção Contra Riscos

O destino compartilhado também inclui o Programa de proteção a riscos (atualmente em pré-lançamento), que ajuda você a usar o poder do Google Cloud como uma plataforma para gerenciar riscos, em vez de apenas ver cargas de trabalho de nuvem como outra fonte de risco que precisa ser gerenciada. O Programa de proteção a riscos é uma colaboração entre Google Cloud e duas empresas líderes em seguros cibernéticos, Munique Re e Allianz Global & Corporate Speciality.

O Programa de proteção a riscos inclui o Cyber Insurance Hub, que mostra insights baseados em dados que podem ser usados para entender melhor sua postura de segurança na nuvem. Se você estiver procurando cobertura de seguro cibernético, compartilhe os insights do Cyber Insurance Hub diretamente com nossos parceiros de seguro para receber uma cotação. Para mais informações, consulte Google Cloud Programa de proteção contra riscos agora em Pré-lançamento.

Ajuda com implantação e governança

O destino compartilhado também ajuda na governança contínua do seu ambiente. Por exemplo, concentramos esforços em produtos como estes:

Colocar a responsabilidade compartilhada e o destino compartilhado em prática

Como parte do processo de planejamento, considere as seguintes ações para entender melhor e implementar os controles de segurança apropriados:

  • Crie uma lista dos tipos de cargas de trabalho que você hospedará no Google Cloude se elas exigem serviços IaaS, PaaS e SaaS. Use o diagrama de responsabilidade compartilhada como uma checklist para garantir que você conhece os controles de segurança que precisa considerar.
  • Crie uma lista de requisitos regulamentares que precisam ser cumpridos e acesse recursos na Central de recursos de compliance relacionada a esses requisitos.
  • Veja a lista de arquiteturas e modelos disponíveis no Architecture Center para os controles de segurança necessários para cargas de trabalho específicas. Os modelos contam com uma lista de controles recomendados e o código de IaC necessário para implantar essa arquitetura.
  • Use a documentação da zona de destino e as recomendações no guia de princípios básicos empresariais para projetar uma hierarquia de recursos e uma arquitetura de rede que atendam aos seus requisitos. Use os modelos de carga de trabalho consistentes, como o armazenamento de dados seguro, para acelerar o processo de desenvolvimento.
  • Depois de implantar as cargas de trabalho, verifique se você está cumprindo as responsabilidades de segurança usando serviços como o Cyber Insurance Hub, o Assured Workloads, as ferramentas de inteligência de política e o Security Command Center Premium.

Para mais informações, consulte o Guia da ISO para a transformação na nuvem.

A seguir