Il pilastro Sicurezza, privacy e conformità del Google Cloud Well-Architected Framework fornisce consigli per aiutarti a progettare, eseguire il deployment e gestire carichi di lavoro cloud che soddisfano i tuoi requisiti di sicurezza, privacy e conformità.
Questo documento è progettato per offrire approfondimenti preziosi e soddisfare le esigenze di una vasta gamma di professionisti e ingegneri della sicurezza. La tabella seguente descrive i segmenti di pubblico a cui è destinato questo documento:
| Pubblico | Cosa fornisce questo documento |
|---|---|
| Responsabili della sicurezza informatica (CISO), leader delle unità aziendali e responsabili IT | Un framework generale per stabilire e mantenere l'eccellenza della sicurezza nel cloud e per garantire una visione completa delle aree di sicurezza per prendere decisioni informate sugli investimenti in sicurezza. |
| Architetti e ingegneri della sicurezza | Pratiche di sicurezza chiave per le fasi di progettazione e operative per contribuire a garantire che le soluzioni siano progettate per sicurezza, efficienza e scalabilità. |
| Team DevSecOps | Indicazioni per incorporare controlli di sicurezza generali per pianificare l'automazione che consente un'infrastruttura sicura e affidabile. |
| Responsabili della conformità e gestori del rischio | Consigli chiave per la sicurezza per seguire un approccio strutturato alla gestione dei rischi con misure di protezione che aiutano a soddisfare gli obblighi di conformità. |
Per garantire che i tuoi workload Google Cloud soddisfino i requisiti di sicurezza, privacy e conformità, tutti gli stakeholder della tua organizzazione devono adottare un approccio collaborativo. Inoltre, devi riconoscere che la sicurezza del cloud è una responsabilità condivisa tra te e Google. Per saperne di più, vedi Responsabilità condivise e destino condiviso su Google Cloud.
I consigli di questo pilastro sono raggruppati in principi di sicurezza fondamentali. Ogni suggerimento basato sui principi è mappato a una o più delle aree di interesse chiave per l'implementazione della sicurezza del cloud che potrebbero essere fondamentali per la tua organizzazione. Ogni consiglio evidenzia le indicazioni sull'utilizzo e la configurazione di prodotti e funzionalità diGoogle Cloud per contribuire a migliorare la postura di sicurezza della tua organizzazione.
Principi fondamentali
I consigli di questo pilastro sono raggruppati nei seguenti principi fondamentali della sicurezza. Ogni principio di questo pilastro è importante. A seconda dei requisiti della tua organizzazione e del tuo workload, potresti scegliere di dare la priorità a determinati principi.
- Implementa la sicurezza by design: integra le considerazioni sulla sicurezza del cloud e della rete a partire dalla fase di progettazione iniziale delle applicazioni e dell'infrastruttura. Google Cloud fornisce progetti e consigli sull'architettura per aiutarti ad applicare questo principio.
- Implementa Zero Trust: utilizza un approccio non fidarsi mai, verificare sempre, in cui l'accesso alle risorse viene concesso in base alla verifica continua dell'attendibilità. Google Cloud supporta questo principio tramite prodotti come Chrome Enterprise Premium e Identity-Aware Proxy (IAP).
- Implementa la sicurezza shift-left: Implementa i controlli di sicurezza nelle prime fasi del ciclo di vita di sviluppo del software. Evita difetti di sicurezza prima di apportare modifiche al sistema. Rileva e correggi i bug di sicurezza in modo rapido, affidabile e tempestivo dopo il commit delle modifiche al sistema. Google Cloud Supporta questo principio tramite prodotti come Cloud Build, Autorizzazione binaria e Artifact Registry.
- Implementa una difesa informatica preventiva: adotta un approccio proattivo alla sicurezza implementando misure fondamentali solide come la threat intelligence. Questo approccio ti aiuta a creare una base per il rilevamento e la risposta alle minacce più efficaci. L'approccio diGoogle Cloudai controlli di sicurezza a più livelli è in linea con questo principio.
- Utilizzare l'AI in modo sicuro e responsabile: Sviluppare e implementare sistemi di AI in modo responsabile e sicuro. I consigli per questo principio sono in linea con le indicazioni della prospettiva AI e ML del Well-Architected Framework e del Secure AI Framework (SAIF) di Google.
- Utilizzare l'AI per la sicurezza: Utilizza le funzionalità di AI per migliorare i sistemi e i processi di sicurezza esistenti tramite Gemini in Security e le funzionalità di sicurezza della piattaforma complessive. Utilizza l'AI come strumento per aumentare l'automazione del lavoro correttivo e garantire l'igiene della sicurezza per rendere più sicuri gli altri sistemi.
- Soddisfare le esigenze normative, di conformità e di privacy: rispetta le normative, gli standard di conformità e i requisiti di privacy specifici del settore. Google Cloud ti aiuta a soddisfare questi obblighi tramite prodotti come Assured Workloads, Organization Policy Service e il nostro Centro risorse per la conformità.
Mentalità di sicurezza organizzativa
Una mentalità organizzativa incentrata sulla sicurezza è fondamentale per l'adozione e il funzionamento del cloud. Questo approccio deve essere profondamente radicato nella cultura della tua organizzazione e riflettersi nelle sue pratiche, che sono guidate dai principi di sicurezza fondamentali descritti in precedenza.
Una mentalità di sicurezza organizzativa sottolinea che devi pensare alla sicurezza durante la progettazione del sistema, presupporre Zero Trust e integrare le funzionalità di sicurezza durante il processo di sviluppo. In questa mentalità, pensi anche in modo proattivo alle misure di difesa informatica, utilizzi l'AI in modo sicuro e per la sicurezza e prendi in considerazione i requisiti normativi, di privacy e di conformità. Se la tua organizzazione adotta questi principi, può coltivare una cultura incentrata sulla sicurezza che affronta in modo proattivo le minacce, protegge gli asset di valore e contribuisce a garantire un utilizzo responsabile della tecnologia.
Aree di interesse della sicurezza del cloud
Questa sezione descrive le aree su cui concentrarti quando pianifichi, implementi e gestisci la sicurezza per le tue applicazioni, i tuoi sistemi e i tuoi dati. I consigli di ogni principio di questo pilastro sono pertinenti a una o più di queste aree di interesse. Nel resto del documento, i consigli specificano le aree di interesse per la sicurezza corrispondenti per fornire maggiore chiarezza e contesto.
| Area di messa a fuoco | Attività e componenti | Prodotti, funzionalità e soluzioni Google Cloud correlati |
|---|---|---|
| Sicurezza dell'infrastruttura |
|
|
| Gestione di identità e accessi |
|
|
| Sicurezza dei dati |
|
|
| Sicurezza di AI e ML |
|
|
| Operazioni di sicurezza (SecOps) |
|
|
| Sicurezza delle applicazioni |
|
|
| Governance, rischio e conformità del cloud |
|
|
| Logging, controllo e monitoraggio |
|
Collaboratori
Autori:
- Wade Holmes | Global Solutions Director
- Hector Diaz | Cloud Security Architect
- Carlos Leonardo Rosario | Specialista della sicurezza di Google Cloud
- John Bacon | Partner Solutions Architect
- Sachin Kalra | Global Security Solution Manager
Altri collaboratori:
- Anton Chuvakin | Consulente per la sicurezza, ufficio del CISO
- Daniel Lees | Cloud Security Architect
- Filipe Gracio, PhD | Customer Engineer
- Gary Harmson | Principal Architect
- Gino Pelliccia | Principal Architect
- Jose Andrade | Customer Engineer per l'infrastruttura aziendale
- Kumar Dhanagopal | Sviluppatore di soluzioni cross-product
- Laura Hyatt | Enterprise Cloud Architect
- Marwan Al Shawi | Partner Customer Engineer
- Nicolas Pintaux | Customer Engineer, specialista in modernizzazione delle applicazioni
- Noah McDonald | Cloud Security Consultant
- Osvaldo Costa | Networking Specialist Customer Engineer
- Radhika Kanakam | Senior Program Manager, Cloud GTM
- Samantha He | Technical Writer
- Susan Wu | Outbound Product Manager