El pilar Seguridad, privacidad y cumplimiento del Google Cloud framework Well-Architected proporciona recomendaciones para ayudarte a diseñar, desplegar y operar cargas de trabajo en la nube que cumplan tus requisitos de seguridad, privacidad y cumplimiento.
Este documento se ha diseñado para ofrecer información valiosa y satisfacer las necesidades de una amplia gama de profesionales e ingenieros de seguridad. En la siguiente tabla se describen las audiencias a las que va dirigido este documento:
| Audiencia | Qué ofrece este documento |
|---|---|
| Directores de seguridad de la información (CISOs), responsables de unidades de negocio y directores de TI | Un marco general para establecer y mantener la excelencia en seguridad en la nube, así como para obtener una visión completa de las áreas de seguridad y tomar decisiones fundamentadas sobre las inversiones en seguridad. |
| Arquitectos e ingenieros de seguridad | Prácticas de seguridad clave para las fases de diseño y operativas que ayudan a asegurar que las soluciones se diseñan para ofrecer seguridad, eficiencia y escalabilidad. |
| Equipos de DevSecOps | Orientación para incorporar controles de seguridad generales con el fin de planificar la automatización que permita una infraestructura segura y fiable. |
| Responsables de cumplimiento y gestores de riesgos | Recomendaciones de seguridad clave para seguir un enfoque estructurado de la gestión de riesgos con medidas de protección que ayuden a cumplir las obligaciones. |
Para asegurarte de que tus cargas de trabajo de Google Cloud cumplan los requisitos de seguridad, privacidad y cumplimiento, todos los participantes de tu organización deben adoptar un enfoque colaborativo. Además, debes tener en cuenta que la seguridad en la nube es una responsabilidad compartida entre tú y Google. Para obtener más información, consulta el artículo Responsabilidades y destino compartidos en Google Cloud.
Las recomendaciones de este pilar se agrupan en principios de seguridad básicos. Cada recomendación basada en principios se asigna a una o varias de las áreas de enfoque de la seguridad en la nube que pueden ser críticas para tu organización. Cada recomendación destaca directrices sobre el uso y la configuración de productos y funciones deGoogle Cloud para ayudar a mejorar la estrategia de seguridad de tu organización.
Principios básicos
Las recomendaciones de este pilar se agrupan en los siguientes principios básicos de seguridad. Todos los principios de este pilar son importantes. En función de los requisitos de tu organización y de tu carga de trabajo, puedes priorizar determinados principios.
- Implementa la seguridad desde el diseño: integra las consideraciones de seguridad en la nube y de seguridad de la red desde la fase de diseño inicial de tus aplicaciones e infraestructura. Google Cloud proporciona planos de arquitectura y recomendaciones para ayudarte a aplicar este principio.
- Implementa la confianza cero: adopta un enfoque de no fiarse de nada y verificarlo todo siempre, en el que el acceso a los recursos se concede en función de la verificación continua de la confianza. Google Cloud apoya este principio a través de productos como Chrome Enterprise Premium e Identity-Aware Proxy (IAP).
- Implementa la seguridad "shift left": implementa controles de seguridad al principio del ciclo de vida del desarrollo de software. Evita los defectos de seguridad antes de que se hagan cambios en el sistema. Detecta y corrige errores de seguridad de forma rápida, fiable y temprana después de que se hayan confirmado los cambios en el sistema. Google Cloud apoya este principio a través de productos como Cloud Build, la autorización binaria y Artifact Registry.
- Implementa una ciberdefensa preventiva: adopta un enfoque proactivo de la seguridad implementando medidas fundamentales sólidas, como la inteligencia de amenazas. Este enfoque te ayuda a sentar las bases para detectar y responder a las amenazas de forma más eficaz. El enfoque deGoogle Cloudsobre los controles de seguridad por capas se ajusta a este principio.
- Usa la IA de forma segura y responsable: desarrolla e implementa sistemas de IA de forma responsable y segura. Las recomendaciones de este principio se ajustan a las directrices de la perspectiva de IA y aprendizaje automático del framework Well-Architected y del Marco para la IA Segura (SAIF) de Google.
- Usar la IA para mejorar la seguridad: Utiliza las funciones de IA para mejorar tus sistemas y procesos de seguridad actuales con Gemini en Security y las funciones de seguridad de la plataforma en general. Usa la IA como herramienta para aumentar la automatización de las tareas de corrección y garantizar la higiene de la seguridad para que otros sistemas sean más seguros.
- Cumple los requisitos normativos, de cumplimiento y de privacidad: cumple los reglamentos, los estándares y los requisitos de privacidad específicos del sector. Google Cloud te ayuda a cumplir estas obligaciones con productos como Assured Workloads, Organization Policy Service y nuestro centro de recursos de cumplimiento.
Mentalidad de seguridad de la organización
Una mentalidad organizativa centrada en la seguridad es fundamental para adoptar y operar en la nube con éxito. Esta mentalidad debe estar profundamente arraigada en la cultura de tu organización y reflejarse en sus prácticas, que se rigen por los principios de seguridad básicos que se han descrito anteriormente.
Una mentalidad de seguridad organizativa implica pensar en la seguridad durante el diseño del sistema, asumir la confianza cero e integrar funciones de seguridad en todo el proceso de desarrollo. Con esta mentalidad, también piensas de forma proactiva en las medidas de ciberdefensa, usas la IA de forma segura y para mejorar la seguridad, y tienes en cuenta tus requisitos de cumplimiento, privacidad y normativas. Si tu organización adopta estos principios, podrá fomentar una cultura de seguridad que aborde las amenazas de forma proactiva, proteja los recursos valiosos y contribuya a garantizar un uso responsable de la tecnología.
Áreas de enfoque de la seguridad en la nube
En esta sección se describen las áreas en las que debes centrarte al planificar, implementar y gestionar la seguridad de tus aplicaciones, sistemas y datos. Las recomendaciones de cada principio de este pilar están relacionadas con una o varias de estas áreas de enfoque. En el resto de este documento, las recomendaciones especifican las áreas de enfoque de seguridad correspondientes para ofrecer más claridad y contexto.
| Área de enfoque | Actividades y componentes | Productos, funciones y soluciones Google Cloud relacionados |
|---|---|---|
| Seguridad de la infraestructura |
|
|
| Gestión de identidades y accesos |
|
|
| Seguridad de los datos |
|
|
| Seguridad de la IA y el aprendizaje automático |
|
|
| Operaciones de seguridad (SecOps) |
|
|
| Seguridad para aplicaciones |
|
|
| Gobernanza, riesgos y cumplimiento en la nube |
|
|
| Registro, auditoría y monitorización |
|
Colaboradores
Autores:
- Wade Holmes | Director de Soluciones Globales
- Héctor Díaz | Arquitecto de Seguridad en la Nube
- Carlos Leonardo Rosario | Especialista en seguridad de Google Cloud
- John Bacon | Arquitecto de soluciones de partners
- Sachin Kalra | Gestor de soluciones de seguridad global
Otros colaboradores:
- Anton Chuvakin | Asesor de seguridad, Oficina del director de Seguridad de la Información
- Daniel Lees | Arquitecto de seguridad en la nube
- Filipe Gracio, doctor | Ingeniero de clientes y especialista en IA y aprendizaje automático
- Gary Harmson | Arquitecto principal
- Gino Pelliccia | Arquitecto principal
- Jose Andrade | Ingeniero de clientes, especialista en SRE
- Kumar Dhanagopal | Desarrollador de soluciones entre productos
- Laura Hyatt | Ingeniera de clientes, FSI
- Marwan Al Shawi | Ingeniero de clientes de partners
- Nicolas Pintaux | Ingeniero de clientes, especialista en modernización de aplicaciones
- Noah McDonald | Asesor de seguridad en la nube
- Osvaldo Costa | Ingeniero de clientes especializado en redes
- Radhika Kanakam | Responsable del programa Google Cloud Well-Architected Framework
- Samantha He | Redactora técnica
- Susan Wu | Responsable de producto