Este contenido se actualizó por última vez en mayo del 2024 y representa la situación en el momento en que se redactó. Las políticas y los sistemas de seguridad de Google pueden cambiar en el futuro, ya que mejoramos constantemente la protección que proporcionamos a nuestros clientes.
La máxima prioridad de Google es mantener un entorno seguro para los datos de los clientes. Para ayudar a proteger los datos de los clientes, llevamos a cabo una operación de seguridad de la información líder en el sector que combina procesos estrictos, un equipo de respuesta ante incidentes experto y una infraestructura de seguridad de la información y privacidad de varias capas. En este documento se explica nuestro enfoque basado en principios para gestionar los incidentes de datos y responder a ellos en Google Cloud.
La Adenda sobre Tratamiento de Datos de Cloud define un incidente de datos como "una brecha de seguridad de Google que lleva a una situación accidental o ilegítima de destrucción, pérdida, alteración, acceso sin autorización o divulgación no autorizada de Datos del Cliente alojados en los sistemas que Google gestiona o controla de forma alguna". Aunque tomamos medidas para hacer frente a las amenazas previsibles a los datos y los sistemas, los incidentes de datos no incluyen intentos fallidos ni actividades que no pongan en peligro la seguridad de los datos de los clientes. Por ejemplo, los intentos fallidos de inicio de sesión, los pings, las exploraciones de puertos, los ataques de denegación de servicio y otros ataques de red a los cortafuegos o sistemas en red no se consideran incidentes de datos.
La respuesta a incidentes es un aspecto clave de nuestro programa general de seguridad y privacidad. Contamos con un proceso riguroso para gestionar los incidentes de datos. Este proceso especifica las acciones, las derivaciones, la mitigación, la resolución y la notificación de cualquier incidente que afecte a la confidencialidad, la integridad o la disponibilidad de los datos de los clientes.
Para obtener más información sobre cómo protegemos Google Cloud, consulta la descripción general del diseño de seguridad de la infraestructura y la seguridadGoogle Cloud .
Respuesta a incidentes de datos
La gestión de nuestro programa de respuesta a incidentes recae sobre equipos de expertos en distintas funciones especializadas. De esta manera, se garantiza que todas las respuestas estarán a la altura de los desafíos específicos que presente cada incidente. Según la naturaleza del incidente, puede encargarse de dar respuesta un equipo profesional de expertos en las siguientes disciplinas:
- Gestión de incidentes y derivaciones
- Ingeniería de productos
- Site Reliability Engineering
- Seguridad y privacidad en la nube
- Análisis forense digital
- Investigación mundial
- Detección y respuesta
- Asesoría de seguridad, privacidad y productos
- Confianza y seguridad
- Tecnología frente a usos inadecuados
- Cloud Customer Care
Los expertos de estos equipos participan en el proceso de distintas formas. Por ejemplo, los responsables a cargo del incidente se encargan de coordinar el proceso de respuesta. Si es necesario, el equipo de análisis forense digital se ocupará de llevar a cabo investigaciones forenses y de monitorizar los ataques que estén produciéndose. Los ingenieros de productos trabajan para limitar el impacto sobre las operaciones de los clientes y ofrecen soluciones para resolver los problemas de los productos afectados. Los asesores jurídicos trabajan con miembros del equipo pertinente de seguridad y privacidad para recoger pruebas según la estrategia de Google, colaborar con los servicios policiales y órganos reguladores de las administraciones públicas y ofrecer asesoría sobre asuntos y requisitos legales. El equipo de Atención al Cliente responde a las consultas y solicitudes de los clientes para ofrecerles más información y asistencia.
Organización del equipo
Cuando declaramos un incidente, designamos a un responsable encargado de coordinar su respuesta y resolución. El responsable a cargo del incidente elige a especialistas de los distintos equipos y forma un equipo de respuesta. El responsable a cargo del incidente delega en estos expertos la tarea de gestionar los distintos aspectos de lo ocurrido y se ocupa del incidente desde que se declara hasta que se cierra. En el siguiente diagrama se muestra un ejemplo de organización de varios roles y sus responsabilidades durante la respuesta a un incidente. En función del tipo de incidencia, se pueden asignar diferentes roles.
Data incident response process
Cada incidente de datos es único, y el objetivo del proceso de respuesta a estos incidentes es proteger los datos de los clientes, restaurar el funcionamiento normal del servicio lo antes posible y cumplir tanto los requisitos de las normativas como los contractuales. En la siguiente tabla se describen los pasos principales del programa de respuesta a incidentes de Google.
| Paso del incidente | Objetivo | Descripción |
|---|---|---|
| Identificación | Detección | Los procesos automatizados y manuales detectan posibles vulnerabilidades e incidentes. |
| Informes | Los procesos automatizados y manuales informan del problema al equipo de respuesta ante incidentes. | |
| Coordinación | Triaje | Se producen las siguientes actividades:
|
| Interacción del equipo de respuesta | Se producen las siguientes actividades:
|
|
| Resolución | Investigación | Se producen las siguientes actividades:
|
| Contención y recuperación | El responsable de operaciones toma medidas inmediatas para completar lo siguiente:
|
|
| Comunicación | Se producen las siguientes actividades:
|
|
| Cierre | Conclusiones extraídas | Se producen las siguientes actividades:
|
| Mejora continua | Desarrollo de programas | Se mantienen los equipos, la formación, los procesos, los recursos y las herramientas necesarios. |
| Prevención | Los equipos mejoran el programa de respuesta ante incidentes en función de las lecciones aprendidas. |
En las siguientes secciones se describe cada paso con más detalle.
Identificación
Identificar los incidentes rápido y con precisión es clave para gestionarlos de forma eficaz. Esta fase se centra en monitorizar la actividad relacionada con la seguridad para detectar cualquier posible incidente e informar al respecto.
El equipo de detección de incidentes utiliza herramientas, señales y mecanismos de alerta avanzados que permiten obtener indicios tempranos de posibles incidentes. Algunas de las fuentes de detección de incidentes que utilizamos son las siguientes:
Análisis automatizado de la red y de los registros del sistema: el análisis automatizado del tráfico de la red y de los accesos al sistema permite identificar actividades sospechosas, abusivas o no autorizadas, que se derivan al personal de seguridad.
Pruebas: el equipo de Seguridad busca de forma activa amenazas de seguridad mediante pruebas de penetración, procesos de control de calidad, detección de intrusiones y revisiones de la seguridad del software.
Revisiones internas del código: al revisar el código fuente, salen a la luz vulnerabilidades ocultas y fallos de diseño, y se comprueba que se hayan implementado los controles de seguridad clave.
Herramientas y procesos específicos de los productos: siempre que es posible, los equipos utilizan herramientas automáticas específicas para su función, con lo que se mejora nuestra capacidad para detectar incidentes a nivel de producto.
Detección de anomalías en el uso: utilizamos capas de sistemas de aprendizaje automático para distinguir entre la actividad de usuario segura y la anómala en navegadores, dispositivos, inicios de sesión de aplicaciones y otros eventos de uso.
Alertas de seguridad de centros de datos y servicios de los lugares de trabajo: las alertas de seguridad de los centros de datos buscan incidentes que puedan afectar a nuestra infraestructura.
Empleados de Google: los empleados detectan anomalías e informan al respecto.
Programa de recompensas por vulnerabilidades de Google: en ocasiones, investigadores de seguridad externos informan de posibles vulnerabilidades técnicas en las extensiones de navegador y en las aplicaciones web o para móviles de Google que puedan afectar a la confidencialidad o integridad de los datos de los usuarios.
Coordinación
Cuando se denuncia un incidente, la persona que responde se encarga de revisar y evaluar la naturaleza de la denuncia para determinar si se trata de un posible incidente de datos y se debe poner en marcha el proceso de respuesta a incidentes.
Una vez que se confirma, la persona encargada de la respuesta evalúa la naturaleza del incidente y desarrolla una estrategia coordinada para hacerle frente. En esta fase, la respuesta consiste en completar la valoración del incidente, ajustar su gravedad si es necesario y poner en marcha al equipo de Respuesta a Incidentes pertinente con los jefes operativos y técnicos que correspondan, quienes revisan los hechos e identifican aspectos clave que se deben investigar. Designamos a un responsable de producto y a otro en cuestiones legales para que tomen las decisiones básicas sobre cómo proceder con la respuesta. A continuación, el responsable asigna las tareas de la investigación y se reconstruyen los hechos. Si es necesario, se declara un incidente y se asigna a un responsable.
Muchos aspectos de nuestra respuesta dependen de la evaluación de la gravedad, que se basa en hechos clave que el equipo de respuesta a incidentes recopila y analiza. Entre estos datos clave se incluyen los siguientes:
La capacidad de ocasionar daños a clientes, a terceros o a Google.
Naturaleza del incidente (por ejemplo, si hay posibilidad de que se destruyan los datos, se acceda a ellos o se modifiquen)
El tipo de datos que pueden haberse visto afectados.
El impacto del incidente en la capacidad de nuestros clientes para usar el servicio.
Estado del incidente (por ejemplo, si se ha aislado, si continúa siendo una amenaza o si se ha contenido)
A medida que recaban más información a lo largo del proceso de respuesta, el responsable a cargo del incidente y otros jefes vuelven a evaluar periódicamente estos factores para asegurarse de que asignamos los recursos y la urgencia pertinentes al incidente. Por ejemplo, a los eventos que tienen un impacto crítico se les debe asignar el mayor grado de gravedad. Se designa a un jefe de comunicaciones para que desarrolle un plan de comunicación con otros responsables.
Resolución
En la fase de resolución, el objetivo es investigar la causa principal, limitar el impacto del incidente, resolver los riesgos de seguridad inmediatos (si los hay), implementar las correcciones necesarias como parte de la solución y recuperar los sistemas, los datos y los servicios afectados.
Los datos afectados se restaurarán a su estado original en la medida de lo posible. En función de lo que sea razonable y necesario en cada ocasión, podemos tomar distintas medidas para resolver un incidente. Por ejemplo, es posible que se necesite una investigación técnica o forense para reconstruir la causa del problema o para determinar su impacto en los datos de los clientes. Si los datos se han destruido o alterado de forma incorrecta, podríamos tratar de recuperar las copias de estos a partir de nuestras copias de seguridad.
Un aspecto clave de la solución es notificar a los clientes si los incidentes afectan a sus datos. Durante todo el incidente, se evalúan los factores más importantes para determinar si efectivamente el incidente ha afectado a los datos de los clientes. Si procede notificar a los clientes, el responsable a cargo del incidente es quien se encarga de iniciar el proceso de notificación. El jefe de comunicaciones desarrolla un plan de comunicación con la ayuda del jefe de producto y del jefe de Asuntos Jurídicos, informa a los afectados y atiende las solicitudes del cliente tras la notificación con la ayuda del equipo de Asistencia.
Nos esforzamos por enviar notificaciones rápidas, claras y precisas que incluyan los detalles conocidos del incidente de datos, las medidas que hemos tomado para mitigar los posibles riesgos y las acciones que recomendamos a los clientes para resolver el incidente. Ponemos todo nuestro empeño en ofrecer una descripción clara del incidente para que los clientes puedan valorar y cumplir sus propias obligaciones de notificación.
Cierre
Una vez que un incidente de datos se ha solucionado correctamente, el equipo de respuesta a incidentes lo evalúa para extraer información que pueda ser útil en el futuro. Si un incidente ocasiona problemas críticos, el responsable a cargo del incidente puede realizar un análisis posterior. A lo largo de este proceso, el equipo de respuesta revisa las causas del incidente y nuestra respuesta para buscar aspectos clave que mejorar. En algunos casos, puede que sea necesario ponerse en contacto con distintos equipos de productos, ingeniería y operaciones, así como aplicar mejoras en los productos. Si hay que llevar a cabo este tipo de trabajo de seguimiento, el equipo de respuesta a incidentes desarrolla un plan de acción y asigna a gestores de proyectos para encargarse de esta labor a largo plazo. Cuando la solución se da por concluida, se cierra el incidente.
Mejora continua
En Google, intentamos aprender de cada incidente e implementar medidas preventivas para evitar que se vuelvan a producir.
Las métricas útiles que extraemos al analizar los incidentes nos permiten mejorar nuestras herramientas, formaciones y procesos, así como la seguridad general, el programa de protección de la privacidad de los datos, las políticas de seguridad y los procesos de respuesta. Este aprendizaje también nos ayuda a priorizar las iniciativas de ingeniería y a crear mejores productos.
Los profesionales de seguridad y privacidad mejoran nuestro programa revisando nuestros planes de seguridad para todas las redes, sistemas y servicios, y proporcionando servicios de asesoría específicos de cada proyecto a los equipos de productos e ingeniería. Los profesionales de la seguridad y la privacidad utilizan el aprendizaje automático, el análisis de datos y otras tecnologías punteras para monitorizar la actividad sospechosa en nuestras redes, abordar las amenazas de seguridad de la información, realizar evaluaciones y auditorías de seguridad periódicas y colaborar con expertos externos que evalúan la seguridad de forma regular. Además, Project Zero tiene como objetivo evitar ataques dirigidos informando a los proveedores de software de los errores que encuentran y archivándolos en una base de datos externa.
Impartimos formaciones con regularidad y ponemos en marcha campañas de concienciación para fomentar la innovación en cuestiones de seguridad y privacidad de los datos. El personal específico de respuesta a incidentes tiene formación en el ámbito forense y en la gestión de indicios, y está familiarizado con el uso de herramientas propias y de terceros. En las áreas más importantes, por ejemplo, los sistemas que almacenan información sensible de los clientes, se llevan a cabo pruebas de los procesos y procedimientos de respuesta a incidentes. Estas pruebas tienen en cuenta distintas situaciones, como las vulnerabilidades de software o las amenazas internas, y nos ayudan a prepararnos mejor frente a los incidentes de seguridad y privacidad.
Nuestros procesos se someten regularmente a pruebas como parte de nuestros programas ISO-27017, ISO-27018, ISO-27001, PCI-DSS, SOC 2 y FedRAMP, con el objetivo de ofrecer a los clientes y organismos reguladores una verificación independiente de nuestros controles de seguridad, privacidad y cumplimiento. Para ver una lista de certificaciones de terceros de Google Cloud, consulta el Centro de recursos para el cumplimiento.
Resumen
La protección de los datos es una de las máximas de nuestra empresa. Por ello, invertimos continuamente en recursos, expertos y en nuestro programa general de seguridad. De esta forma, podemos ofrecer un servicio fiable a nuestros clientes, proteger sus datos, responder de forma eficaz cuando se produzcan incidentes y cumplir sus altas expectativas en cuanto a la fiabilidad de nuestros servicios.
Nuestro programa de respuesta a incidentes de primer nivel ofrece las siguientes funciones clave:
Es un proceso desarrollado con técnicas líderes en el sector para resolver incidentes y ajustado para funcionar de forma eficiente a escala de Google.
Sistemas de monitorización, analíticas de datos y servicios de aprendizaje automático punteros que detectan y limitan los incidentes de forma proactiva.
Expertos en la materia que se dedican a responder a incidentes de datos de cualquier tipo o tamaño.
Un proceso bien desarrollado para notificar al instante a los clientes afectados. Esto va en línea con los compromisos que establece Google en los términos del servicio y en los contratos con los clientes.
Siguientes pasos
Para obtener más información sobre la gestión de incidentes, consulta el capítulo 17 del libro Building secure and reliable systems (O'Reilly).
Para obtener más información sobre cómo implementar la seguridad en las cargas de trabajo de los clientes enGoogle Cloud, consulta el blueprint de las bases de la empresa y el Google Cloud framework Well-Architected.