Responsabilidad compartida en Assured Workloads
En esta página se describe la responsabilidad compartida en Assured Workloads. Para obtener información general sobre la responsabilidad compartida en Google Cloud, consulta Responsabilidades y destino compartidos en Google Cloud.
Responsabilidad compartida de los datos
Usted es quien mejor conoce los requisitos de seguridad y normativos de su empresa, así como los requisitos para proteger sus datos y recursos confidenciales. Cuando ejecutes tus cargas de trabajo en Google Cloud, debes identificar los controles de seguridad que tienes que configurar en Google Cloud para proteger tus datos confidenciales y cada carga de trabajo. Para decidir qué controles de seguridad implementar, debes tener en cuenta los siguientes factores:
- Tus obligaciones de cumplimiento normativo
- Los estándares de seguridad y el plan de gestión de riesgos de tu organización
- Requisitos de seguridad de tus clientes y proveedores
La protección de tus datos es una cuestión primordial a la hora de diseñar todas las operaciones de infraestructura, productos y personal de Google. Google Cloud proporciona una seguridad sólida para muchos tipos de datos, incluidos los Datos de los Clientes y los Datos de los Servicios. Sin embargo, si tus cargas de trabajo deben cumplir requisitos normativos específicos o están sujetas a estándares nacionales que exigen controles de seguridad elevados, tus políticas internas pueden diferir de las opciones de configuración predeterminadas. Si tienes estos requisitos, te recomendamos que adoptes herramientas y técnicas adicionales para mantener el nivel de cumplimiento que necesitas y permitir que tu equipo siga las prácticas recomendadas de gestión de datos y de ciberseguridad en general.
Configurar Google Cloud Assured Workloads para la responsabilidad compartida
Las siguientes áreas son responsabilidad del cliente como usuario de cualquier nube pública:
- Saber qué partes de tus datos tienen diferentes requisitos de cumplimiento y seguridad. La mayoría de los clientes de la nube tienen una infraestructura de TI que requiere seguridad comercial general, y algunos clientes tienen datos específicos, como datos sanitarios, que deben cumplir un requisito de cumplimiento más estricto. Assured Workloads puede ayudarte a cumplir esos requisitos de cumplimiento más estrictos. Coloca los datos sensibles o regulados que tengan requisitos específicos de acceso o residencia en las carpetas o proyectos de Assured Workloads correspondientes y mantenlos ahí.
- Configurar la gestión de identidades y accesos (IAM) para asegurarse de que el personal adecuado pueda acceder al contenido de su organización y modificarlo.
- Crear y organizar tu jerarquía organizativa de forma que no se expongan datos personales.
- Asegúrate de haber leído toda la documentación para comprender y seguir las prácticas recomendadas.
- Compartir información con prudencia durante las sesiones de asistencia técnica y la resolución de problemas, y no colocar ni compartir datos sensibles o regulados fuera de las carpetas de Assured Workloads que cumplan los requisitos.
El ámbito de los datos sensibles o regulados puede variar en función de muchos factores, como las normativas a las que estén sujetos usted o sus clientes. Puede incluir lo siguiente:
- Información de la cuenta
- Información sanitaria
- Identificadores personales de clientes o usuarios
- Datos de titulares de tarjetas
- Números de identificación
Responsabilidades de Google en el modelo de responsabilidad compartida
En la colaboración de responsabilidad compartida entre Google y los clientes, Google se encarga de los elementos y la infraestructura básicos para crear una empresa en la nube exitosa. Algunos de estos elementos dependen de que los clientes cumplan sus responsabilidades para configurarGoogle Cloud y proteger sus datos de forma adecuada. Estos son algunos ejemplos de las responsabilidades de Google:
- Aplicar el cifrado predeterminado y los controles de infraestructura.
- Aplicar las políticas de gestión de identidades y accesos que definas para restringir la administración de cargas de trabajo y el acceso a los datos a las identidades que identifiques.
- Configurar y aplicar los controles de Assured Workloads que haya seleccionado el cliente y que estén asociados al régimen de cumplimiento que haya elegido para los tipos de datos protegidos de los recursos en los que lo haya configurado. Esto incluye restricciones sobre dónde se almacenarán los datos y qué empleados de Google podrán acceder a ellos en el curso de sus actividades empresariales.
- Proporcionar configuraciones y controles a través de Assured Workloads para sectores regulados y datos sensibles a la ubicación.
- Ofreciendo políticas de organización y configuración de recursos que te permiten configurar políticas en toda tu jerarquía de carpetas y proyectos.
- Proporcionamos herramientas de Policy Intelligence que te ofrecen información valiosa sobre el acceso a las cuentas y los recursos.
Configuración específica de Europa y la UE
Cuando usan Assured Workloads para regiones de la UE o Sovereign Controls para la UE, los clientes tienen controles técnicos adicionales además de las garantías del RGPD que pueden usar para ajustar sus controles de residencia y seguridad de los datos como parte de sus esfuerzos de cumplimiento. Google Cloud Algunos de estos controles son los siguientes:
- Una frontera de datos de la UE, tal como se describe en el artículo Residencia de datos.
- Enrutamiento de la asistencia a personas de la UE que se encuentren en ubicaciones de la UE, incluidos los encargados del tratamiento.
- Visibilidad de las solicitudes y los accesos administrativos.
- Aprobaciones de acceso basadas en políticas (solo controles soberanos).
- Opciones personalizadas para el encriptado de datos y la gestión de claves.
Ejemplos de campos habituales que no se recomiendan para datos sensibles o regulados
Recomendamos encarecidamente a todos los clientes regulados y soberanos que actúen con precaución al introducir datos en los servicios de Google Cloud . Es fundamental evitar añadir datos sensibles o regulados en campos de entrada comunes que no estén protegidos por controles técnicos o que no se incluyan en el límite de control técnico de Assured Workloads. Esta práctica es necesaria para cumplir los requisitos normativos y proteger tu información sensible o regulada. Para ayudarte, hemos elaborado una lista de ejemplos de varios servicios en los que se requiere una vigilancia adicional. Google Cloud
No incluyas datos sensibles o regulados en los siguientes campos habituales:
- IDs y nombres de recursos
- Nombres e IDs de proyectos o carpetas
- Cualquier campo de descripción o etiqueta
- Métricas basadas en registros
- Tamaños de máquinas virtuales y configuraciones de servicios similares
- URIs o rutas de archivo
- Marcas de tiempo
- IDs de usuario
- Reglas de cortafuegos
- Configuraciones de análisis de seguridad
- Políticas de gestión de identidades y accesos de clientes