El pilar de seguridad, privacidad y cumplimiento del Google Cloud Well-Architected Framework proporciona recomendaciones para ayudarte a diseñar, implementar y operar cargas de trabajo en la nube que cumplan con tus requisitos de seguridad, privacidad y cumplimiento.
Este documento está diseñado para ofrecer estadísticas valiosas y satisfacer las necesidades de una amplia variedad de profesionales e ingenieros de seguridad. En la siguiente tabla, se describen los públicos previstos para este documento:
| Público | Qué proporciona este documento |
|---|---|
| Directores de seguridad de la información (CISO), líderes de unidades de negocios y administradores de TI | Un marco de trabajo general para establecer y mantener la excelencia en la seguridad en la nube, y garantizar una visión integral de las áreas de seguridad para tomar decisiones fundamentadas sobre las inversiones en seguridad. |
| Arquitectos e ingenieros de seguridad | Prácticas de seguridad clave para las fases de diseño y operación que ayudan a garantizar que las soluciones se diseñen para la seguridad, la eficiencia y la escalabilidad. |
| Equipos de DevSecOps | Orientación para incorporar controles de seguridad generales para planificar la automatización que habilita una infraestructura segura y confiable |
| Funcionarios de cumplimiento y administradores de riesgos | Recomendaciones de seguridad clave para seguir un enfoque estructurado de la administración de riesgos con medidas de protección que ayudan a cumplir con las obligaciones de cumplimiento. |
Para garantizar que tus cargas de trabajo de Google Cloud cumplan con tus requisitos de seguridad, privacidad y cumplimiento, todas las partes interesadas de tu organización deben adoptar un enfoque colaborativo. Además, debes reconocer que la seguridad en la nube es una responsabilidad compartida entre tú y Google. Para obtener más información, consulta Responsabilidades y destino compartidos en Google Cloud.
Las recomendaciones de este pilar se agrupan en principios de seguridad fundamentales. Cada recomendación basada en principios se asigna a una o más de las áreas de enfoque de la seguridad en la nube clave para la implementación que podrían ser fundamentales para tu organización. Cada recomendación destaca la orientación sobre el uso y la configuración de los productos y las capacidades deGoogle Cloud para ayudar a mejorar la posición de seguridad de tu organización.
Principios básicos
Las recomendaciones de este pilar se agrupan en los siguientes principios básicos de seguridad. Todos los principios de este pilar son importantes. Según los requisitos de tu organización y carga de trabajo, es posible que decidas priorizar ciertos principios.
- Implementa la seguridad según el diseño: Integra consideraciones de seguridad en la nube y seguridad de la red desde la fase de diseño inicial de tus aplicaciones y tu infraestructura.Google Cloud proporciona planos de arquitectura y recomendaciones para ayudarte a aplicar este principio.
- Implementa la confianza cero: Usa un enfoque de nunca confiar, siempre verificar, en el que el acceso a los recursos se otorga en función de la verificación continua de la confianza. Google Cloudadmite este principio a través de productos como Chrome Enterprise Premium y Identity-Aware Proxy (IAP).
- Implementa la seguridad de detección temprana de errores: Implementa controles de seguridad en las primeras etapas del ciclo de vida del desarrollo de software. Evitar defectos de seguridad antes de que se realicen cambios en el sistema Detectar y corregir errores de seguridad de forma temprana, rápida y confiable después de que se confirman los cambios del sistema. Google Cloud apoya este principio a través de productos como Cloud Build, la Autorización Binaria y Artifact Registry.
- Implementa defensa cibernética preventiva: Adopta un enfoque proactivo de la seguridad implementando medidas fundamentales sólidas, como la inteligencia sobre amenazas. Este enfoque te ayuda a sentar las bases para una detección y respuesta ante amenazas más eficaces. El enfoque deGoogle Cloudsobre los controles de seguridad en capas se alinea con este principio.
- Usa la IA de forma segura y responsable: Desarrolla e implementa sistemas de IA de forma responsable y segura. Las recomendaciones para este principio se alinean con la orientación de la perspectiva de IA y AA del marco Well-Architected y del Secure AI Framework (SAIF) de Google.
- Usa la IA para la seguridad: Usa las capacidades de la IA para mejorar tus sistemas y procesos de seguridad existentes a través de Gemini en Security y las capacidades generales de seguridad de la plataforma. Usa la IA como herramienta para aumentar la automatización del trabajo de corrección y garantizar la higiene de la seguridad para que otros sistemas sean más seguros.
- Satisface las necesidades de cumplimiento, privacidad y normativas: Cumple con las reglamentaciones específicas de la industria, los estándares de cumplimiento y los requisitos de privacidad. Google Cloud te ayuda a cumplir con estas obligaciones a través de productos como Assured Workloads, Organization Policy Service y nuestro Centro de recursos de cumplimiento.
Mentalidad de seguridad organizacional
Una mentalidad organizacional centrada en la seguridad es fundamental para el éxito de la adopción y las operaciones en la nube. Esta mentalidad debe estar profundamente arraigada en la cultura de tu organización y reflejarse en sus prácticas, que se guían por los principios básicos de seguridad que se describieron anteriormente.
Una mentalidad de seguridad organizacional enfatiza que debes pensar en la seguridad durante el diseño del sistema, suponer que no hay confianza y, luego, integrar funciones de seguridad en todo el proceso de desarrollo. Con esta mentalidad, también piensas de forma proactiva en las medidas de defensa cibernética, usas la IA de forma segura y para la seguridad, y tienes en cuenta tus requisitos reglamentarios, de privacidad y de cumplimiento. Si tu organización adopta estos principios, puede fomentar una cultura de seguridad primero que aborde las amenazas de forma proactiva, proteja los activos valiosos y ayude a garantizar el uso responsable de la tecnología.
Áreas de enfoque de la seguridad en la nube
En esta sección, se describen las áreas en las que debes enfocarte cuando planifiques, implementes y administres la seguridad de tus aplicaciones, sistemas y datos. Las recomendaciones de cada principio de este pilar son pertinentes para una o más de estas áreas de enfoque. En el resto de este documento, las recomendaciones especifican las áreas de enfoque de seguridad correspondientes para brindar mayor claridad y contexto.
| Área de enfoque | Actividades y componentes | Productos, capacidades y soluciones Google Cloud relacionados |
|---|---|---|
| Seguridad de la infraestructura |
|
|
| Administración de identidades y accesos |
|
|
| Seguridad de los datos |
|
|
| Seguridad de la IA y el AA |
|
|
| Operaciones de seguridad (SecOps) |
|
|
| Seguridad para aplicaciones |
|
|
| Administración, riesgo y cumplimiento de la nube |
|
|
| Registro, auditoría y supervisión |
|
Colaboradores
Autores:
- Wade Holmes | Director de Soluciones Globales
- Héctor Díaz | Arquitecto de seguridad en la nube
- Carlos Leonardo Rosario | Especialista en seguridad de Google Cloud
- John Bacon | Arquitecto de soluciones para socios
- Sachin Kalra | Gerente global de soluciones de seguridad
Otros colaboradores:
- Anton Chuvakin | Asesor de seguridad, Oficina del CISO
- Daniel Lees | Arquitecto de Seguridad en la Nube
- Filipe Gracio, PhD | Ingeniero de Atención al cliente
- Gary Harmson | Arquitecto principal
- Gino Pelliccia | Arquitecto principal
- José Andrade | Ingeniero de Atención al cliente de Infraestructura Empresarial
- Autor: Kumar Dhanagopal | Desarrollador de soluciones entre productos
- Laura Hyatt | Arquitecta de Cloud empresarial
- Marwan Al Shawi | Ingeniero de Atención al Cliente para Socios
- Nicolas Pintaux | Ingeniero de Atención al Cliente y especialista en modernización de aplicaciones
- Noah McDonald | Consultor de seguridad en la nube
- Osvaldo Costa | Ingeniero de Atención al cliente especializado en herramientas de redes
- Radhika Kanakam | Senior Program Manager, Cloud GTM
- Samantha He | Escritora técnica
- Susan Wu | Gerente de Productos Salientes