Well-Architected Framework: Säule „Sicherheit, Datenschutz und Compliance“

Der Bereich „Sicherheit, Datenschutz und Compliance“ im Google Cloud Well-Architected Framework enthält Empfehlungen, die Ihnen helfen, Cloud-Arbeitslasten zu entwerfen, bereitzustellen und zu betreiben, die Ihren Anforderungen an Sicherheit, Datenschutz und Compliance entsprechen.

Dieses Dokument soll wertvolle Einblicke bieten und die Anforderungen verschiedener Sicherheitsexperten und Entwickler erfüllen. In der folgenden Tabelle werden die für dieses Dokument vorgesehenen Zielgruppen beschrieben:

Zielgruppe Inhalt dieses Dokuments
Chief Information Security Officers (CISOs), Leiter von Geschäftsbereichen und IT-Manager Ein allgemeines Framework zum Etablieren und Aufrechterhalten der Sicherheit in der Cloud und zum Gewährleisten eines umfassenden Überblicks über die Sicherheitsbereiche, um fundierte Entscheidungen über Sicherheitsinvestitionen zu treffen.
Sicherheitsarchitekten und -entwickler Wichtige Sicherheitspraktiken in der Design- und Betriebsphase, damit Lösungen auf Sicherheit, Effizienz und Skalierbarkeit ausgelegt sind
DevSecOps-Teams Anleitung zur Integration übergreifender Sicherheitskontrollen, um eine Automatisierung zu planen, die eine sichere und zuverlässige Infrastruktur ermöglicht.
Compliance Officer und Risikomanager Wichtige Sicherheitsempfehlungen zur Einhaltung eines strukturierten Ansatzes für das Risikomanagement mit Absicherungen, die zur Einhaltung von Compliance-Verpflichtungen beitragen.

Damit Ihre Google Cloud Arbeitslasten die Anforderungen an Sicherheit, Datenschutz und Compliance erfüllen, müssen alle Stakeholder in Ihrem Unternehmen einen kooperativen Ansatz verfolgen. Darüber hinaus müssen Sie anerkennen, dass die Cloud-Sicherheit eine gemeinsame Verantwortung zwischen Ihnen und Google ist. Weitere Informationen finden Sie unter Geteilte Verantwortlichkeiten und Fate-Sharing auf Google Cloud.

Die Empfehlungen in dieser Säule sind in zentralen Sicherheitsprinzipien zusammengefasst. Jede prinzipbasierte Empfehlung wird einem oder mehreren der wichtigsten Bereitstellungsschwerpunkte der Cloudsicherheit zugeordnet, die für Ihr Unternehmen von entscheidender Bedeutung sein könnten. Jede Empfehlung enthält Anleitungen zur Verwendung und Konfiguration vonGoogle Cloud -Produkten und -Funktionen, mit denen Sie den Sicherheitsstatus Ihrer Organisation verbessern können.

Grundprinzipien

Die Empfehlungen in diesem Bereich sind in den folgenden Kernprinzipien der Sicherheit gruppiert. Jedes Prinzip in dieser Säule ist wichtig. Je nach Anforderungen Ihrer Organisation und Arbeitslast können Sie bestimmte Prinzipien priorisieren.

  • Sicherheitskonzepte implementieren: Binden Sie Überlegungen zur Cloud- und Netzwerksicherheit bereits ab der ersten Entwurfsphase Ihrer Anwendungen und Infrastruktur ein.Google Cloud bietet Architektur-Blueprints und Empfehlungen, die Ihnen bei der Anwendung dieses Prinzips helfen.
  • Zero-Trust-Prinzip implementieren: Verwenden Sie den Ansatz Niemandem vertrauen, alle überprüfen, bei dem der Zugriff auf Ressourcen basierend auf einer kontinuierlichen Vertrauensüberprüfung gewährt wird. Google Cloudunterstützt dieses Prinzip durch Produkte wie Chrome Enterprise Premium und Identity-Aware Proxy (IAP).
  • Shift-Left-Sicherheit implementieren: Implementieren Sie Sicherheitskontrollen frühzeitig im Softwareentwicklungszyklus. Sicherheitslücken vermeiden, bevor Systemänderungen vorgenommen werden Erkennen und beheben Sie Sicherheitsfehler frühzeitig, schnell und zuverlässig, nachdem die Systemänderungen durchgeführt wurden. Google Cloud unterstützt dieses Prinzip durch Produkte wie Cloud Build, die Binärautorisierung und Artifact Registry.
  • Proaktive Cyberabwehr implementieren: Gehen Sie proaktiv vor und implementieren Sie robuste grundlegende Maßnahmen wie Bedrohungsdaten. Mit diesem Ansatz können Sie eine Grundlage für eine effektivere Bedrohungserkennung und -abwehr schaffen. Der mehrstufige Ansatz vonGoogle Cloudfür Sicherheitskontrollen entspricht diesem Prinzip.
  • KI sicher und verantwortungsvoll nutzen: KI-Systeme verantwortungsvoll und sicher entwickeln und einsetzen. Die Empfehlungen für dieses Prinzip entsprechen den Leitlinien aus der KI- und ML-Perspektive des Well-Architected Framework und des Secure AI Framework (SAIF) von Google.
  • KI für die Sicherheit nutzen: Mit KI-Funktionen können Sie Ihre bestehenden Sicherheitssysteme und ‑prozesse mithilfe von Gemini in Security und den allgemeinen Plattformsicherheitsfunktionen verbessern. Verwenden Sie KI als Tool, um die Automatisierung von Abhilfemaßnahmen zu verbessern und für eine gute Sicherheitshygiene zu sorgen, um andere Systeme sicherer zu machen.
  • Anforderungen an Regulierung, Compliance und Datenschutz erfüllen: Sie müssen branchenspezifische Bestimmungen, Compliance-Standards und Datenschutzanforderungen einhalten. Google Cloud unterstützt Sie dabei mit Produkten wie Assured Workloads, dem Richtliniendienst für Organisationen und unserem Compliance-Ressourcencenter.

Unternehmenssicherheit

Eine sicherheitsorientierte Unternehmenskultur ist entscheidend für die erfolgreiche Einführung und Nutzung der Cloud. Diese Denkweise sollte tief in der Kultur Ihrer Organisation verankert und in ihren Praktiken widergespiegelt sein, die sich an den zuvor beschriebenen Kernsicherheitsprinzipien orientieren.

Eine organisatorische Sicherheitsstrategie betont, dass Sie beim Systemdesign an die Sicherheit denken, von Zero-Trust ausgehen und während des gesamten Entwicklungsprozesses Sicherheitsfunktionen einbinden. In diesem Sinne denken Sie auch proaktiv über Maßnahmen zur Cyberabwehr nach, nutzen KI sicher und für die Sicherheit und berücksichtigen Ihre rechtlichen, datenschutzrechtlichen und Compliance-Anforderungen. Wenn Sie diese Prinzipien befolgen, kann Ihr Unternehmen eine Sicherheitskultur entwickeln, die proaktiv auf Bedrohungen reagiert, wertvolle Assets schützt und für eine verantwortungsvolle Nutzung von Technologie sorgt.

Schwerpunkte der Cloud-Sicherheit

In diesem Abschnitt werden die Bereiche beschrieben, auf die Sie sich konzentrieren sollten, wenn Sie die Sicherheit Ihrer Anwendungen, Systeme und Daten planen, implementieren und verwalten. Die Empfehlungen in jedem Prinzip dieser Säule sind für einen oder mehrere dieser Schwerpunktbereiche relevant. Im Rest dieses Dokuments werden in den Empfehlungen die entsprechenden Sicherheitsschwerpunkte angegeben, um für Klarheit und Kontext zu sorgen.

Fokusbereich Aktivitäten und Komponenten Ähnliche Google Cloud Produkte, Funktionen und Lösungen
Sichere Infrastruktur
  • Sichere Netzwerkinfrastruktur
  • Verschlüsseln Sie ruhende Daten und Daten bei der Übertragung.
  • Trafficfluss steuern
  • IaaS- und PaaS-Dienste schützen
  • Schutz vor unbefugtem Zugriff
Identitäts- und Zugriffsverwaltung
  • Authentifizierungs-, Autorisierungs- und Zugriffssteuerungen verwenden.
  • Cloud-Identitäten verwalten
  • Richtlinien für die Identitäts- und Zugriffsverwaltung verwalten
Datensicherheit
  • Daten nicht Google Cloud sicher speichern
  • Datenzugriff verwalten
  • Daten ermitteln und klassifizieren
  • Erforderliche Kontrollen wie Verschlüsselung, Zugriffssteuerung und Schutz vor Datenverlusten entwerfen
  • Ruhende, übertragene und verwendete Daten schützen
KI- und ML-Sicherheit
  • Sicherheitskontrollen auf verschiedenen Ebenen der KI- und ML-Infrastruktur und -Pipeline anwenden
  • Modellsicherheit gewährleisten.
Security Operations (SecOps)
  • Verwenden Sie eine moderne SecOps-Plattform und -Praktiken für eine effektive Vorfallverwaltung, Bedrohungserkennung und Reaktionsprozesse.
  • Systeme und Anwendungen kontinuierlich auf Sicherheitsereignisse überwachen.
Anwendungssicherheit
  • Anwendungen vor Softwarelücken und Angriffen schützen
Cloud-Governance, -Risiken und -Compliance
  • Richtlinien, Verfahren und Kontrollen festlegen, um Cloud-Ressourcen effektiv und sicher zu verwalten.
Logging, Auditing und Monitoring
  • Logs analysieren, um potenzielle Bedrohungen zu identifizieren
  • Systemaktivitäten für Compliance- und Sicherheitsanalysen erfassen und aufzeichnen

Beitragende

Autoren:

  • Wade Holmes | Global Solutions Director
  • Hector Diaz | Cloud Security Architect
  • Carlos Leonardo Rosario | Google Cloud-Sicherheitsspezialist
  • John Bacon | Partner Solutions Architect
  • Sachin Kalra | Global Security Solution Manager

Weitere Beitragende: