在 Google Cloud 上實現共同責任和命運共同體

Last reviewed 2023-08-21 UTC

本文將說明 Google Cloud中共同責任模式和命運共同體模式的差異。並討論共同責任模式的挑戰和細微差異。本文件說明「命運共同體」的概念，以及我們如何與客戶合作解決雲端安全性難題。

在決定如何最佳保護 Google Cloud上的資料和工作負載時，瞭解共用責任模式非常重要。共同責任模式會說明您在雲端安全性方面需要負責的工作，以及這些工作在不同雲端服務供應商之間的差異。

不過，要瞭解共同責任可能不容易。模型需要深入瞭解您使用的每項服務、各項服務提供的設定選項，以及 Google Cloud如何保護服務。每項服務都有不同的設定檔，因此很難判斷最佳的安全設定。Google 認為，共同責任模式無法協助雲端客戶獲得更優異的安全性成果。我們相信「命運共同體」，而非共同責任。

命運共同體模式包括我們為您的工作負載建構及營運值得信賴的雲端平台。我們提供最佳做法指南和安全的認證基礎架構程式碼，讓您以安全的方式部署工作負載。我們推出的解決方案結合了各種 Google Cloud 服務，可解決複雜的安全問題，並提供創新的保險選項，協助您評估及降低必須接受的風險。命運共同體模式是指我們會更密切地與您互動，協助您保護Google Cloud上的資源。

共同責任

您是瞭解貴商家安全性和法規規定的專家，也知道保護機密資料和資源的相關規定。在 Google Cloud上執行工作負載時，您必須找出需要在 Google Cloud 中設定的安全性控管機制，以便保護機密資料和各個工作負載。如要決定要實施哪些安全控管措施，您必須考量下列因素：

  • 您的法規遵循義務
  • 貴機構的安全標準和風險管理計畫
  • 客戶和供應商的安全性規定

由工作負載定義

傳統上，責任會根據您執行的工作負載類型和所需的雲端服務而定義。雲端服務包括下列類別：

雲端服務 說明
基礎架構式服務 (IaaS) IaaS 服務包括 Compute Engine、Cloud Storage 和網路服務，例如 Cloud VPN、Cloud Load Balancing 和 Cloud DNS。

IaaS 提供隨選運算、儲存和網路服務，並採用「即付即用」定價模式。如果您打算使用升級與轉移功能，將現有的地端部署工作負載遷移至雲端，或是想要在特定 VM 上執行應用程式，並使用特定資料庫或網路設定，則可以使用 IaaS。

在 IaaS 中，安全性方面的大部分責任都由您負責，而我們則專注於基礎架構和實體安全性。
平台即服務 (PaaS) PaaS 服務包括 App Engine、Google Kubernetes Engine (GKE) 和 BigQuery。

PaaS 提供執行階段環境，可用於開發及執行應用程式。如果您要建構應用程式 (例如網站)，且想專注於開發而非基礎架構，可以使用 PaaS。

在 PaaS 中，我們負責的控制項比 IaaS 更多。這通常會因您使用的服務和功能而異。您與我們共同負責應用程式層級控管和 IAM 管理。您仍須負責資料安全性和用戶端保護。
軟體式服務 (SaaS) 軟體即服務 (SaaS) 應用程式包括 Google Workspace、Google 安全作業，以及 Google Cloud Marketplace 中提供的第三方 SaaS 應用程式。

SaaS 提供線上應用程式，您可以訂閱或以某種方式付費。如果貴企業沒有自行建構應用程式的內部專業知識或業務需求，但需要處理工作負載，您可以使用 SaaS 應用程式。

在 SaaS 中，我們負責大部分的安全性責任。您仍須負責管理存取權控管機制，以及選擇儲存在應用程式中的資料。
函式即服務 (FaaS) 或無伺服器

FaaS 提供平台，讓開發人員執行單一用途的小型程式碼 (稱為「函式」)，以回應特定事件。當您希望系統根據特定事件發生特定事件時，就會使用 FaaS。舉例來說，您可以建立函式，在資料上傳至 Cloud Storage 時執行，以便將資料分類。

FaaS 與 SaaS 有類似的共同責任清單。Cloud Run 函式是函式即服務 (FaaS) 應用程式。

下圖顯示雲端服務，並定義雲端服務供應商與客戶之間的責任劃分方式。

共責式安全性

如圖所示，雲端服務供應商一律負責基礎網路和基礎架構，而客戶一律負責存取權政策和資料。

由產業和法規架構定義

各個產業都有法規架構，定義必須實施的安全控制措施。將工作負載遷移至雲端時，請務必瞭解下列事項：

  • 您負責哪些安全控制項
  • 雲端服務提供哪些安全控制項
  • 繼承哪些預設安全性控制項

繼承的安全控管機制 (例如預設加密和基礎架構控管機制) 是您向稽核人員和監管機構提供的安全性態勢證據之一。舉例來說，付款卡產業資料安全標準 (PCI DSS) 會定義付款處理工具的相關法規。當您將業務遷移至雲端時，這些法規會在您和 CSP 之間共用。如要瞭解您和Google Cloud之間的 PCI DSS 責任分擔方式，請參閱 Google Cloud：PCI DSS 共同責任表。

舉另一個例子，美國《健康保險流通與責任法案》(HIPAA) 已針對處理電子個人健康資訊 (PHI) 設立標準。這些責任也由 CSP 與您共同承擔。如要進一步瞭解我們如何 Google Cloud 遵守《健康保險流通與責任法案》規定，請參閱「HIPAA - 法規遵循」一文。

其他產業 (例如金融或製造業) 也有法規，明確規定資料的收集、處理和儲存方式。如要進一步瞭解與這些相關的共同責任，以及Google Cloud 如何履行我們的責任，請參閱法規遵循資源中心。

由所在位置決定

視業務情境而定，您可能需要根據商務辦公室、客戶和資料的位置，考量自身的責任。不同國家/地區和區域都制定了法規，說明您如何處理及儲存客戶資料。舉例來說，如果貴公司有位於歐盟的客戶，就必須遵守《一般資料保護規則》(GDPR) 規定，並可能有義務將客戶資料保留在歐盟境內。在這種情況下，您有責任確保所收集的資料會留在Google Cloud 歐盟區域。如要進一步瞭解我們如何遵守 GDPR 義務，請參閱 GDPR 和 Google Cloud。

如要瞭解您所在地區的相關規定，請參閱法規遵循產品。如果您的情況特別複雜，建議您與銷售團隊或合作夥伴聯絡，協助您評估自身的安全責任。

共同責任模式的挑戰

雖然共享責任有助於定義您或雲端服務供應商的安全性角色，但依賴共享責任仍可能會帶來挑戰。請考慮下列情境：

  • 大多數的雲端安全漏洞都是設定錯誤的直接結果 (在 Cloud Security Alliance 的「Pandemic 11 Report」中列為第 3 名)，且這種趨勢預計會持續增加。雲端產品不斷變動，而且新產品也不斷推出。要跟上不斷變化的趨勢，可能會讓人不知所措。客戶需要雲端服務供應商提供有見解的最佳做法，協助他們掌握變化，並以預設最佳做法和安全設定做為起點。
  • 雖然依雲端服務劃分項目很有幫助，但許多企業的工作負載都需要多種雲端服務類型。在這種情況下，您必須考量這些服務的各種安全控制項如何互動，包括這些控制項是否會在服務之間和跨服務重疊。舉例來說，您可能有要遷移至 Compute Engine 的內部應用程式，並使用 Google Workspace 處理公司電子郵件，同時執行 BigQuery 來分析資料，以改善產品。
  • 您的業務和市場會隨著法規變更、進入新市場或收購其他公司而不斷變動。新市場可能有不同的需求，而新收購的業務可能會在其他雲端服務上託管工作負載。為了因應不斷變化的情況，您必須持續重新評估風險狀況，並能迅速導入新的控管機制。
  • 如何管理資料加密金鑰以及管理地點，是與您保護資料相關的重要決策。您選擇的選項取決於法規要求、您是否使用混合雲端環境或仍有內部部署環境，以及您所處理及儲存的資料敏感度。
  • 事件管理是一項重要且經常被忽略的領域，因為很難界定您的責任和雲端服務供應商的責任。許多事件都需要雲端服務供應商的密切合作和支援，才能協助調查及減輕事件影響。其他事件可能源自設定不當的雲端資源或遭竊的憑證，而要確保您遵循保護資源和帳戶的最佳做法，可能相當困難。
  • 進階持續性攻擊 (APT) 和新安全漏洞可能會影響您的工作負載，而您在開始雲端轉型時可能不會考慮到這些因素。確保您能隨時掌握變化中的環境，以及誰負責減輕威脅，這項工作相當困難，尤其是如果您的公司沒有龐大的安全團隊。

命運共同體模式

我們在 Google Cloud 中開發命運共同體模式，以便開始解決共同責任模式無法解決的挑戰。共享命運的目標，是讓所有相關方能更有效地互動，持續提升安全性。命運共同體模式建立在共同責任模式之上，因為這項模式將雲端服務供應商與客戶之間的關係視為改善安全性的持續合作關係。

命運共同體是指我們負起責任，讓 Google Cloud更加安全。命運共同體模式包括協助您開始使用安全的登陸區，並針對建議的安全控制項、設定和相關最佳做法，提供明確、具體且透明的資訊。這包括透過風險防護計畫，協助您透過網路保險來評估及管理風險。我們希望透過命運共同體模式，從標準的共同責任架構進化為更完善的模式，協助您保護業務並建立對 Google Cloud的信任。

以下各節將說明共用命運的各種元件。

入門說明

共用命運的關鍵元素是我們提供的資源，可協助您在 Google Cloud中以安全的設定開始使用。從安全的設定開始，有助於減少設定錯誤的問題，這也是大多數資安入侵事件的根本原因。

我們的資源包括：

  • 企業基礎架構藍圖：討論重大資安問題和最佳建議。

  • 提供安全藍圖，讓您使用基礎架構即程式碼 (IaC) 部署及維護安全解決方案。藍圖預設會啟用安全性建議。許多藍圖都是由 Google 安全團隊建立，並以產品形式管理。這表示這些應用程式會定期更新、經過嚴格的測試程序，並獲得第三方測試群組的認證。藍圖包括企業基礎藍圖和安全資料倉儲藍圖。

  • Google Cloud 採取良好架構架構最佳做法，根據重要建議將安全性納入設計。良好架構架構包含安全性專區和社群區，可讓您與專家和同儕建立聯繫。

  • 提供登陸區導覽指南，逐步引導您做出必要的重大決策，為工作負載奠定安全的基礎，包括資源階層、身分驗證、安全性與金鑰管理，以及網路結構。

風險防範計畫

命運共同體模式也包含風險防護計畫 (目前為預先發布版)，可讓您運用 Google Cloud 的力量管理風險，而非將雲端工作負載視為另一個需要管理的風險來源。風險防護計畫是 Google 與兩家頂尖網路保險公司 Munich Re 和 Allianz Global & Corporate Speciality 合作推出的計畫。 Google Cloud

風險防護計畫包含網路保險中心，可提供資料導向的洞察資訊，協助您進一步瞭解雲端安全防護機制。如果您想購買網路保險，可以直接將 Cyber Insurance Hub 提供的洞察資料提供給我們的保險合作夥伴，取得報價。詳情請參閱「Google Cloud 風險防護計畫現已進入預覽階段」。

部署和管理說明

命運更同體模式也能幫助您持續管理環境。舉例來說，我們會著重於下列產品：

實踐共同責任和命運共同體模式

在規劃過程中，請考慮採取下列行動，協助您瞭解並實施適當的安全控管措施：

  • 列出您要在Google Cloud中代管的工作負載類型，以及這些工作負載是否需要 IaaS、PaaS 和 SaaS 服務。您可以使用共責圖表做為檢查清單，確保您瞭解需要考量的安全控管項目。
  • 建立您必須遵循的法規規定清單，並在法規遵循資源中心中存取與這些規定相關的資源。
  • 請參閱 架構中心中可用的藍圖和架構清單，瞭解特定工作負載所需的安全性控管機制。藍圖會提供建議的控制項清單，以及您用來部署該架構所需的 IaC 程式碼。
  • 請參閱登錄區說明文件和企業基礎架構指南中的建議，設計符合需求的資源階層和網路架構。您可以使用有特定工作負載藍圖 (例如安全資料倉儲)，加快開發流程。
  • 部署工作負載後，請使用網路保險中心、Assurance Workloads、Policy Intelligence 工具和 Security Command Center 進階方案等服務，確認您已履行安全性責任。

詳情請參閱 資安長的雲端轉型指南。

後續步驟