Le pilier "Sécurité, confidentialité et conformité" du Google Cloud Well-Architected Framework fournit des recommandations pour vous aider à concevoir, déployer et exploiter des charges de travail cloud qui répondent à vos exigences en matière de sécurité, de confidentialité et de conformité.
Ce document est conçu pour fournir des informations utiles et répondre aux besoins de divers professionnels et ingénieurs de la sécurité. Le tableau suivant décrit les audiences visées par ce document :
| Audience | Contenu de ce document |
|---|---|
| Responsables de la sécurité des informations (RSSI), responsables d'unités commerciales et responsables informatiques | Cadre général permettant d'établir et de maintenir l'excellence en matière de sécurité dans le cloud, et d'obtenir une vue complète des domaines de sécurité pour prendre des décisions éclairées concernant les investissements dans la sécurité. |
| Architectes et ingénieurs en sécurité | Pratiques de sécurité clés pour les phases de conception et opérationnelles afin de garantir que les solutions sont conçues pour la sécurité, l'efficacité et l'évolutivité. |
| Équipes DevSecOps | Conseils pour intégrer des contrôles de sécurité généraux afin de planifier l'automatisation qui permet de créer une infrastructure sécurisée et fiable. |
| Responsables de la conformité et gestionnaires des risques | Recommandations de sécurité clés à suivre pour adopter une approche structurée de la gestion des risques avec des mesures de protection qui aident à respecter les obligations de conformité. |
Pour vous assurer que vos charges de travail Google Cloud répondent à vos exigences de sécurité, de confidentialité et de conformité, toutes les parties prenantes de votre organisation doivent adopter une approche collaborative. Vous devez également reconnaître que la sécurité du cloud est une responsabilité partagée entre vous et Google. Pour en savoir plus, consultez Responsabilités et destin partagés sur Google Cloud.
Les recommandations de ce pilier sont regroupées en principes de sécurité de base. Chaque recommandation basée sur des principes est associée à un ou plusieurs domaines clés de déploiement de la sécurité du cloud qui peuvent être essentiels pour votre organisation. Chaque recommandation met en évidence des conseils sur l'utilisation et la configuration des produits et fonctionnalitésGoogle Cloud pour vous aider à améliorer le niveau de sécurité de votre organisation.
Principes de base
Les recommandations de ce pilier sont regroupées selon les principes fondamentaux de sécurité suivants. Chaque principe de ce pilier est important. En fonction des exigences de votre organisation et de votre charge de travail, vous pouvez choisir de privilégier certains principes.
- Implémenter la sécurité dès la conception : intégrez les considérations de sécurité du cloud et du réseau dès la phase de conception initiale de vos applications et de votre infrastructure.Google Cloud fournit des plans d'architecture et des recommandations pour vous aider à appliquer ce principe.
- Mettre en œuvre la sécurité "zéro confiance" : utilisez une approche toujours vérifier systématiquement, où l'accès aux ressources est accordé en fonction de la vérification continue de la confiance. Google Cloudprend en charge ce principe grâce à des produits tels que Chrome Enterprise Premium et Identity-Aware Proxy (IAP).
- Mettez en œuvre la sécurité shift-left : implémentez des contrôles de sécurité dès le début du cycle de vie du développement logiciel. Évitez les failles de sécurité avant d'apporter des modifications au système. Détectez et corrigez les bugs de sécurité de manière précoce, rapide et fiable après l'application des modifications du système. Google Cloud respecte ce principe grâce à des produits tels que Cloud Build, l'autorisation binaire et Artifact Registry.
- Mettez en place une cyberdéfense préventive : adoptez une approche proactive de la sécurité en mettant en place des mesures fondamentales robustes, comme le renseignement sur les menaces. Cette approche vous aide à établir une base pour une détection et une réponse aux menaces plus efficaces. L'approche deGoogle Cloudconcernant les contrôles de sécurité multicouches s'inscrit dans cette optique.
- Utiliser l'IA de manière sécurisée et responsable : développez et déployez des systèmes d'IA de manière responsable et sécurisée. Les recommandations pour ce principe sont alignées sur les conseils de la perspective IA et ML du Well-Architected Framework et du framework d'IA sécurisé (SAIF) de Google.
- Utiliser l'IA pour la sécurité : utilisez les fonctionnalités d'IA pour améliorer vos systèmes et processus de sécurité existants grâce à Gemini dans Security et aux fonctionnalités de sécurité globales de la plate-forme. Utilisez l'IA comme outil pour automatiser les tâches de correction et assurer l'hygiène de sécurité afin de rendre les autres systèmes plus sûrs.
- Répondez aux besoins en termes de réglementation, de conformité et de confidentialité : respectez les réglementations, les normes de conformité et les exigences de confidentialité spécifiques au secteur. Google Cloud vous aide à remplir ces obligations grâce à des produits tels qu'Assured Workloads, le service de règles de l'organisation et notre Centre de ressources sur la conformité.
Mentalité de sécurité organisationnelle
Une mentalité axée sur la sécurité est essentielle pour adopter et exploiter le cloud avec succès. Cet état d'esprit doit être profondément ancré dans la culture de votre organisation et se refléter dans ses pratiques, qui sont guidées par les principes de sécurité fondamentaux décrits précédemment.
Une approche de la sécurité axée sur l'organisation met l'accent sur la réflexion autour de la sécurité lors de la conception du système, sur l'adoption du principe de sécurité "zéro confiance" et sur l'intégration de fonctionnalités de sécurité tout au long du processus de développement. Dans cet état d'esprit, vous réfléchissez également de manière proactive aux mesures de cyberdéfense, vous utilisez l'IA de manière sécurisée et pour la sécurité, et vous tenez compte de vos exigences réglementaires, de confidentialité et de conformité. En adoptant ces principes, votre organisation peut cultiver une culture axée sur la sécurité qui traite les menaces de manière proactive, protège les ressources précieuses et contribue à garantir une utilisation responsable de la technologie.
Domaines d'application de la sécurité du cloud
Cette section décrit les domaines sur lesquels vous devez vous concentrer lorsque vous planifiez, implémentez et gérez la sécurité de vos applications, systèmes et données. Les recommandations de chaque principe de ce pilier concernent un ou plusieurs de ces domaines d'intérêt. Dans le reste de ce document, les recommandations spécifient les domaines de sécurité correspondants pour plus de clarté et de contexte.
| Domaine d'intérêt | Activités et composants | Produits, fonctionnalités et solutions Google Cloud associés |
|---|---|---|
| Sécurité de l'infrastructure |
|
|
| Gestion de l'authentification et des accès |
|
|
| Sécurité des données |
|
|
| Sécurité de l'IA et du ML |
|
|
| Opérations de sécurité (SecOps) |
|
|
| Sécurité des applications |
|
|
| Gouvernance, risques et conformité dans le cloud |
|
|
| Journalisation, audit et surveillance |
|
Contributeurs
Auteurs :
- Wade Holmes | Directeur des solutions mondiales
- Hector Diaz | Architecte en sécurité cloud
- Carlos Leonardo Rosario | Spécialiste Google Cloud Security
- John Bacon | Architecte de solutions partenaires
- Sachin Kalra | Responsable mondial des solutions de sécurité
Autres contributeurs :
- Anton Chuvakin | Conseiller en sécurité, Bureau du RSSI
- Daniel Lees | Architecte en sécurité cloud
- Filipe Gracio, PhD | Ingénieur client
- Gary Harmson | Architecte principal
- Gino Pelliccia | Architecte principal
- Jose Andrade | Ingénieur client pour l'infrastructure d'entreprise
- Kumar Dhanagopal Développeur de solutions multiproduits
- Laura Hyatt | Architecte cloud d'entreprise
- Marwan Al Shawi | Partner Customer Engineer
- Nicolas Pintaux | Ingénieur client, spécialiste de la modernisation des applications
- Noah McDonald | Consultant en sécurité cloud
- Osvaldo Costa | Ingénieur client spécialiste en gestion des réseaux
- Radhika Kanakam | Senior Program Manager, Cloud GTM
- Samantha He | Rédactrice technique
- Susan Wu | Responsable produit orienté client