O pilar de segurança, privacidade e compliance do Google Cloud Well-Architected Framework fornece recomendações para ajudar você a projetar, implantar e operar cargas de trabalho na nuvem que atendam aos seus requisitos de segurança, privacidade e compliance.
Este documento foi criado para oferecer insights valiosos e atender às necessidades de vários profissionais e engenheiros de segurança. A tabela a seguir descreve os públicos-alvo deste documento:
| Público-alvo | O que este documento oferece |
|---|---|
| Diretores de segurança da informação (CISOs), líderes de unidades de negócios e gerentes de TI | Uma estrutura geral para estabelecer e manter a excelência em segurança na nuvem e garantir uma visão abrangente das áreas de segurança para tomar decisões embasadas sobre investimentos em segurança. |
| Arquitetos e engenheiros de segurança | Principais práticas de segurança para as fases de design e operacional, que ajudam a garantir que as soluções sejam projetadas para segurança, eficiência e escalonabilidade. |
| Equipes de DevSecOps | Orientações para incorporar controles de segurança abrangentes e planejar a automação que permite uma infraestrutura segura e confiável. |
| Diretores de compliance e gerentes de risco | Principais recomendações de segurança para seguir uma abordagem estruturada de gerenciamento de riscos com proteções que ajudam a cumprir as obrigações de conformidade. |
Para garantir que suas cargas de trabalho do Google Cloud atendam aos requisitos de segurança, privacidade e compliance, todas as partes interessadas da organização precisam adotar uma abordagem colaborativa. Além disso, você precisa reconhecer que a segurança na nuvem é uma responsabilidade compartilhada entre você e o Google. Para mais informações, consulte Responsabilidades e destino compartilhados no Google Cloud.
As recomendações neste pilar são agrupadas em princípios de segurança principais. Cada recomendação baseada em princípios é mapeada para uma ou mais das principais áreas de foco da segurança na nuvem (link em inglês) que podem ser essenciais para sua organização. Cada recomendação destaca orientações sobre o uso e a configuração de produtos e recursos doGoogle Cloud para ajudar a melhorar a postura de segurança da sua organização.
Princípios básicos
As recomendações neste pilar são agrupadas nos seguintes princípios básicos de segurança. Todos os princípios desse pilar são importantes. Dependendo dos requisitos da sua organização e da carga de trabalho, você pode priorizar alguns princípios.
- Implementar a segurança no desenvolvimento: integre considerações de segurança de rede e da nuvem desde a fase inicial de design dos seus aplicativos e infraestrutura. OGoogle Cloud fornece blueprints e recomendações de arquitetura para ajudar você a aplicar esse princípio.
- Implemente a confiança zero: use uma abordagem de nunca confie, sempre verifique, em que o acesso aos recursos é concedido com base na verificação contínua da confiança.O Google Cloud oferece suporte a esse princípio com produtos como o Chrome Enterprise Premium e o Identity-Aware Proxy (IAP).
- Implemente a segurança de deslocamento para a esquerda: implemente controles de segurança no início do ciclo de vida de desenvolvimento de software. Evite falhas de segurança antes de fazer mudanças no sistema. Detecte e corrija bugs de segurança com antecedência, rapidez e confiabilidade depois que as mudanças no sistema forem confirmadas.O Google Cloud oferece suporte a esse princípio com produtos como Cloud Build, autorização binária e Artifact Registry.
- Implemente uma defesa cibernética preventiva: adote uma abordagem proativa de segurança implementando medidas fundamentais robustas, como inteligência contra ameaças. Essa abordagem ajuda a criar uma base para uma detecção e resposta a ameaças mais eficazes. A abordagem daGoogle Cloudpara controles de segurança em camadas (em inglês) está alinhada a esse princípio.
- Use a IA com segurança e responsabilidade: Desenvolva e implante sistemas de IA de maneira responsável e segura. As recomendações para esse princípio estão alinhadas com as orientações da perspectiva de IA e ML do Well-Architected Framework e do framework de IA segura (SAIF) do Google.
- Use a IA para segurança: use os recursos de IA para melhorar seus sistemas e processos de segurança atuais com o Gemini em Segurança e os recursos gerais de segurança da plataforma. Use a IA como uma ferramenta para aumentar a automação do trabalho de correção e garantir a higiene de segurança para tornar outros sistemas mais seguros.
- Atenda às necessidades regulatórias, de compliance e de privacidade: obedeça às regulamentações, aos padrões de compliance e aos requisitos de privacidade específicos do setor.O Google Cloud ajuda você a cumprir essas obrigações com produtos como o Assured Workloads, o serviço de política da organização e a Central de recursos de compliance.
Mentalidade de segurança organizacional
Uma mentalidade organizacional focada em segurança é essencial para o sucesso da adoção e operação da nuvem. Essa mentalidade precisa estar profundamente enraizada na cultura da sua organização e refletida nas práticas dela, que são orientadas por princípios básicos de segurança, conforme descrito anteriormente.
Uma mentalidade de segurança organizacional enfatiza que você pensa na segurança durante o design do sistema, assume confiança zero e integra recursos de segurança em todo o processo de desenvolvimento. Nessa mentalidade, você também pensa de forma proativa sobre medidas de defesa cibernética, usa a IA de maneira segura e para segurança e considera seus requisitos regulatórios, de privacidade e de compliance. Ao adotar esses princípios, sua organização pode cultivar uma cultura de segurança em primeiro lugar que aborda proativamente as ameaças, protege ativos valiosos e ajuda a garantir o uso responsável da tecnologia.
Áreas de foco da segurança na nuvem
Esta seção descreve as áreas em que você precisa se concentrar ao planejar, implementar e gerenciar a segurança dos seus aplicativos, sistemas e dados. As recomendações em cada princípio desse pilar são relevantes para uma ou mais dessas áreas de foco. No restante deste documento, as recomendações especificam as áreas de foco de segurança correspondentes para fornecer mais clareza e contexto.
| Área de foco | Atividades e componentes | Produtos, recursos e soluções Google Cloud relacionados |
|---|---|---|
| Segurança da infraestrutura |
|
|
| Gerenciamento de identidade e acesso |
|
|
| Segurança de dados |
|
|
| Segurança de IA e ML |
|
|
| Operações de segurança (SecOps) |
|
|
| Segurança para aplicativos |
|
|
| Governança, risco e compliance na nuvem |
|
|
| Geração de registros, auditoria e monitoramento |
|
Colaboradores
Autores:
- Wade Holmes | Diretor global de soluções
- Hector Diaz | Arquiteto de segurança do Cloud
- Carlos Leonardo Rosario | Especialista em segurança do Google Cloud
- John Bacon | Arquiteto de soluções para parceiros
- Sachin Kalra | Gerente global de soluções de segurança
Outros colaboradores:
- Anton Chuvakin | Consultor de segurança, Escritório do CISO
- Daniel Lees | Arquiteto de segurança do Cloud
- Filipe Gracio, PhD | Engenheiro de clientes
- Gary Harmson | Arquiteto principal
- Gino Pelliccia | Arquiteto principal
- Jose Andrade | Engenheiro de clientes de infraestrutura empresarial
- Kumar Dhanagopal | Desenvolvedor de soluções para vários produtos
- Laura Hyatt | Arquiteta de nuvem empresarial
- Marwan Al Shawi | Engenheiro de clientes do parceiro
- Nicolas Pintaux | Engenheiro de clientes, especialista em modernização de aplicativos
- Noah McDonald | Consultor de segurança na nuvem
- Osvaldo Costa | Engenheiro de clientes especialista em rede
- Radhika Kanakam | Gerente sênior de programas, GTM da nuvem
- Samantha He | Redatora técnica
- Susan Wu | Gerente de produtos de saída