Gesetzliche, Compliance- und Datenschutzanforderungen erfüllen

Dieses Prinzip in der Sicherheitsspalte des Google Cloud Well-Architected Framework hilft Ihnen, die gesetzlichen, Compliance- und Datenschutzanforderungen für Cloud-Bereitstellungen zu ermitteln und zu erfüllen. Diese Anforderungen beeinflussen viele der Entscheidungen, die Sie hinsichtlich der Sicherheitskontrollen treffen müssen, die für Ihre Arbeitslasten inGoogle Cloudverwendet werden müssen.

Übersicht über die Grundsätze

Die Einhaltung von behördlichen, Compliance- und Datenschutzanforderungen ist eine unvermeidliche Herausforderung für alle Unternehmen. Die aufsichtsrechtlichen Anforderungen an die Cloud hängen von mehreren Faktoren ab, darunter:

• Die Gesetze und Bestimmungen, die für die physischen Standorte Ihrer Organisation gelten
• Die Gesetze und Bestimmungen, die für die physischen Standorte Ihrer Kunden gelten
• Die aufsichtsrechtlichen Anforderungen Ihrer Branche

Datenschutzbestimmungen definieren, wie Sie die Daten Ihrer Nutzer abrufen, verarbeiten, speichern und verwalten dürfen. Sie sind Eigentümer Ihrer Daten, einschließlich der Daten, die Sie von Ihren Nutzern erhalten. Daher liegen viele Datenschutzeinstellungen in Ihrer Verantwortung, einschließlich der Einstellungen für Cookies, Sitzungsverwaltung und Erhalt von Nutzerberechtigungen.

Die Empfehlungen zur Umsetzung dieses Grundsatzes sind in den folgenden Abschnitten zusammengefasst:

• Empfehlungen zur Bewältigung von Organisationsrisiken
• Empfehlungen zur Einhaltung gesetzlicher Auflagen und Compliance-Anforderungen
• Empfehlungen zum Verwalten Ihrer Datenhoheit
• Empfehlungen zur Einhaltung von Datenschutzanforderungen

Empfehlungen zur Bewältigung von Organisationsrisiken

In diesem Abschnitt finden Sie Empfehlungen, mit denen Sie Risiken für Ihre Organisation erkennen und angehen können.

Risiken für Ihre Organisation erkennen

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Cloud Governance, Risiko und Compliance.

Bevor Sie Ressourcen auf Google Clouderstellen und bereitstellen, führen Sie eine Risikobewertung durch. Bei dieser Bewertung sollten Sie ermitteln, welche Sicherheitsfunktionen Sie benötigen, um Ihre internen Sicherheitsanforderungen und externen gesetzlichen Anforderungen zu erfüllen.

Die Risikobewertung liefert eine Auflistung aller organisationsspezifischen Risiken und Informationen dazu, in welchem Maße Ihr Unternehmen in der Lage ist, Sicherheitsbedrohungen zu erkennen und ihnen entgegenzuwirken. Sie müssen eine Risikoanalyse unmittelbar nach der Bereitstellung und immer dann durchführen, wenn sich Ihre geschäftlichen Anforderungen, die gesetzlichen Vorschriften oder die Bedrohungen für Ihre Organisation ändern.

Wie im Grundsatz Sicherheit durch Design implementieren erwähnt, unterscheiden sich Ihre Sicherheitsrisiken in einer Cloudumgebung von lokalen Risiken. Dieser Unterschied ist auf das Modell der geteilten Verantwortung in der Cloud zurückzuführen, das je nach Dienst (IaaS, PaaS oder SaaS) und Nutzung variiert. Verwenden Sie ein cloudspezifisches Framework zur Risikobewertung wie die Cloud Controls Matrix (CCM). Verwenden Sie Bedrohungsmodelle wie OWASP Application Threat Modeling, um Sicherheitslücken zu identifizieren und zu beheben. Wenn Sie fachkundige Unterstützung bei Risikobewertungen benötigen, wenden Sie sich an Ihren Google-Kundenbetreuer oder sehen Sie im Partnerverzeichnis von Google Cloudnach.

Nachdem Sie die Risiken katalogisiert haben, müssen Sie festlegen, wie Sie auf diese reagieren möchten, d. h. ob Sie sie akzeptieren, vermeiden, übertragen oder minimieren möchten. Informationen zu Sicherheitskontrollen, die Sie implementieren können, finden Sie im nächsten Abschnitt zur Risikominderung.

Risiken minimieren

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Cloud Governance, Risiko und Compliance.

Wenn Sie neue öffentliche Cloud-Dienste einführen, können Sie Risiken mithilfe von technischen Kontrollen, vertraglichen Schutzmaßnahmen sowie Prüfungen oder Attestierungen von Drittanbietern minimieren.

Technische Steuerelemente sind Funktionen und Technologien, mit denen Sie Ihre Umgebung schützen. Dazu gehören integrierte Cloud-Sicherheitskontrollen wie Firewalls und Logging. Technische Kontrollen können auch die Verwendung von Drittanbietertools umfassen, um Ihre Sicherheitsstrategie zu stärken oder zu unterstützen. Es gibt zwei Kategorien technischer Steuerelemente:

• Sie können die Sicherheitskontrollen von Google Cloudimplementieren, um die Risiken zu minimieren, die für Ihre Umgebung gelten. Sie können beispielsweise die Verbindung zwischen Ihren lokalen Netzwerken und Ihren Cloud-Netzwerken mit Cloud VPN und Cloud Interconnect schützen.
• Google umfasst robuste interne Kontrollmechanismen und Prüfungen, um den Zugriff auf Kundendaten durch Insider zu schützen. Unsere Audit-Logs bieten Ihnen nahezu in Echtzeit Logs über den Google-Administratorzugriff auf Google Cloud.

Vertragliche Schutzmaßnahmen beziehen sich auf die rechtlichen Verpflichtungen, die wir in Bezug aufGoogle Cloud -Dienste eingehen. Google Cloud setzt sich für die Erhaltung und Erweiterung des Compliance-Portfolios ein. Im Zusatz zur Verarbeitung von Cloud-Daten sind unsere Verpflichtungen in Bezug auf die Verarbeitung und Sicherheit Ihrer Daten beschrieben. Das CDPA beschreibt außerdem die Zugriffssteuerungen, die den Zugriff durch Entwickler des Google-Supports auf die Umgebungen von Kunden beschränken, und beschreibt unser strenges Logging und einen Genehmigungsprozess. Wir empfehlen Ihnen, die vertraglichen Kontrollen von Google Cloudmit Ihren Rechts- und Regulierungsexperten zu prüfen und zu bestätigen, dass sie Ihren Anforderungen entsprechen. Wenn Sie weitere Informationen benötigen, wenden Sie sich an Ihren technischen Kundenbetreuer.

Überprüfungen oder Bescheinigungen von Drittanbietern beziehen sich darauf, dass ein Drittanbieter den Cloud-Anbieter prüft, um sicherzustellen, dass der Anbieter die Compliance-Anforderungen erfüllt. Informationen zu Google Cloud Bestätigungen in Bezug auf die ISO/IEC 27017-Richtlinien finden Sie unter ISO/IEC 27017 – Compliance. Die aktuellen Google Cloud -Zertifizierungen und ‑Bescheinigungen finden Sie im Center für Compliance-Ressourcen.

Empfehlungen zur Einhaltung gesetzlicher Auflagen und Compliance-Anforderungen

Ein typisches Compliance-Verfahren besteht aus drei Phasen: Bewertung, Lückenbeseitigung und kontinuierliches Monitoring. In diesem Abschnitt finden Sie Empfehlungen, die Sie in jeder dieser Phasen anwenden können.

Compliance-Anforderungen ermitteln

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Cloud Governance, Risiko und Compliance.

Die Compliance-Bewertung beginnt mit einer gründlichen Prüfung aller regulatorischen Verpflichtungen und ihrer Implementierung in Ihrem Unternehmen. Verwenden Sie das Center für Compliance-Ressourcen, um Hilfe bei der Bewertung von Google Cloud -Diensten zu erhalten. Auf dieser Website finden Sie Informationen zu folgenden Themen:

• Dienstunterstützung für verschiedene Vorschriften
• Google Cloud Zertifizierungen und Attestierungen

Wenn Sie mehr über den Compliance-Lebenszyklus bei Google und darüber erfahren möchten, wie Ihre Anforderungen erfüllt werden können, wenden Sie sich an das Vertriebsteam, um Hilfe von einem Compliance-Experten von Google zu erhalten. Alternativ können Sie sich an IhrenGoogle Cloud -Account Manager wenden, um einen Compliance-Workshop anzufordern.

Weitere Informationen zu Tools und Ressourcen, mit denen Sie Sicherheit und Compliance für Google Cloud Arbeitslasten verwalten können, finden Sie unter Compliance in der Cloud gewährleisten.

Implementierung von Complianceanforderungen automatisieren

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Cloud Governance, Risiko und Compliance.

Prüfen Sie, ob es Möglichkeiten gibt, die Umsetzung von Compliance-Anforderungen zu automatisieren, um die Einhaltung von sich ändernden Vorschriften zu gewährleisten. Sie können sowohl die Compliance-orientierten Funktionen von Google Cloud als auch Blueprints mit empfohlenen Konfigurationen für ein bestimmtes Compliance-Regime verwenden.

Assured Workloads basiert auf den Einstellungen in Google Cloud und hilft Ihnen, Ihre Compliance-Verpflichtungen zu erfüllen. Assured Workloads bietet folgende Möglichkeiten:

• Wählen Sie Ihre Compliance-Richtlinie aus. Das Tool legt dann die grundlegenden Zugriffsrechte für Mitarbeiter für das ausgewählte Regime automatisch fest.
• Legen Sie den Speicherort für Ihre Daten mithilfe von Organisationsrichtlinien fest, damit Ihre ruhenden Daten und Ihre Ressourcen in dieser Region verbleiben.
• Wählen Sie die Option zur Schlüsselverwaltung (z. B. den Schlüsselrotationszeitraum) aus, die Ihren Sicherheits- und Compliance-Anforderungen am besten entspricht.
• Wählen Sie die Zugriffskriterien für Google-Supportmitarbeiter aus, um bestimmte aufsichtsrechtliche Anforderungen wie FedRAMP Moderate zu erfüllen. Sie können beispielsweise auswählen, ob Google-Supportmitarbeiter die entsprechenden Zuverlässigkeitsüberprüfungen absolviert haben.
• Verwenden Sie Google-owned and Google-managed encryption keys , die FIPS 140-2-konform sind und die FedRAMP Moderate-Compliance unterstützen. Für eine zusätzliche Kontrollebene und Aufgabentrennung können Sie vom Kunden verwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEKs) verwenden. Weitere Informationen zu Schlüsseln finden Sie unter Ruhende und übertragene Daten verschlüsseln.

Zusätzlich zu Assured Workloads können Sie Google CloudBlueprints verwenden, die für Ihr Compliance-System relevant sind. Sie können diese Blueprints ändern, um Ihre Sicherheitsrichtlinien in Ihre Infrastrukturbereitstellungen zu integrieren.

Die Blueprints und Lösungsleitfäden von Google enthalten empfohlene Konfigurationen und Terraform-Module, die Ihnen helfen, eine Umgebung zu erstellen, die Ihre Compliance-Anforderungen erfüllt. In der folgenden Tabelle sind Blueprints aufgeführt, die die Sicherheit und die Einhaltung von Compliance-Anforderungen betreffen.

Anforderung	Blueprints und Lösungsleitfäden
FedRAMP	Google Cloud FedRAMP-Implementierungsleitfaden Dreistufige FedRAMP-konforme Arbeitslast in Google Cloud einrichten
HIPAA	Schutz von Gesundheitsdaten auf Google Cloud HIPAA-konforme Arbeitslast mit Data Protection Toolkit einrichten

Compliance überwachen

Diese Empfehlung ist für die folgenden Schwerpunktbereiche relevant:

• Cloud-Governance, ‑Risiko und ‑Compliance
• Logging, Überwachung und Prüfung

Bei den meisten Vorschriften müssen Sie bestimmte Aktivitäten, einschließlich des Zugriffs, überwachen. Folgendes können Sie beim Monitoring als Hilfe verwenden:

• Access Transparency: Sie können Logs nahezu in Echtzeit abrufen, wenn Google Cloud -Administratoren auf Ihre Inhalte zugreifen.
• Logging von Firewallregeln: Aufzeichnen von TCP- und UDP-Verbindungen in einem VPC-Netzwerk für alle Regeln, die Sie erstellen. Diese Logs können nützlich sein, um den Netzwerkzugriff zu prüfen oder frühzeitig auf eine unzulässige Netzwerknutzung hinzuweisen.
• VPC-Flusslogs: Erfassen Netzwerk-Traffic, der von VM-Instanzen gesendet oder empfangen wird.
• Security Command Center Premium: Compliance mit verschiedenen Standards überwachen.
• OSSEC (oder ein anderes Open-Source-Tool): Loggen Sie die Aktivitäten von Personen mit Administratorzugriff auf Ihre Umgebung.
• Key Access Justifications: Hier können Sie die Gründe für eine Schlüsselzugriffsanfrage aufrufen.
• Security Command Center-Benachrichtigungen: Sie erhalten Benachrichtigungen, wenn Probleme mit der Compliance auftreten. Sie können beispielsweise Benachrichtigungen erhalten, wenn Nutzer die Bestätigung in zwei Schritten deaktivieren oder wenn Dienstkonten überprivilegiert sind. Sie können auch die automatische Korrektur für bestimmte Benachrichtigungen einrichten.

Empfehlungen zur Verwaltung Ihrer Datenhoheit

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Cloud Governance, Risiko und Compliance.

Datenhoheit bietet Ihnen einen Mechanismus, durch den Google nicht auf Ihre Daten zugreifen kann. Sie genehmigen den Zugriff nur für Anbieterverhalten, dem Sie zustimmen. Beispielsweise können Sie Ihre Datenhoheit so verwalten:

• Verschlüsselungsschlüssel außerhalb der Cloud speichern und verwalten
• Zugriff auf diese Schlüssel basierend auf detaillierten Zugriffsbegründungen gewähren
• Aktive Daten mit Confidential Computing schützen

Betriebshoheit verwalten

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Cloud Governance, Risiko und Compliance.

Die Betriebshoheit sorgt dafür, dass Google-Mitarbeiter Ihre Arbeitslasten nicht beeinträchtigen können. Beispielsweise können Sie die Betriebshoheit auf folgende Weise verwalten:

• Bereitstellung neuer Ressourcen auf bestimmte Anbieterregionen beschränken
• Zugriff von Google-Mitarbeitern anhand vordefinierter Attribute wie der Staatsbürgerschaft oder dem geografischen Standort beschränken

Softwarehoheit verwalten

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Cloud Governance, Risiko und Compliance.

Die Softwarehoheit bietet Ihnen die Sicherheit, dass Sie die Verfügbarkeit Ihrer Arbeitslasten steuern und sie überall ausführen können. Außerdem können Sie diese Kontrolle ausüben, ohne von einem einzelnen Cloud-Anbieter abhängig zu sein oder an ihn gebunden zu sein. Die Softwarehoheit umfasst die Fähigkeit, Ereignisse zu überstehen, bei denen Sie schnell ändern müssen, wo Ihre Arbeitslasten bereitgestellt werden und welches Maß an externer Verbindung zulässig ist.

Um Ihnen beispielsweise bei der Verwaltung Ihrer Softwarehoheit zu helfen, unterstützt Google CloudHybrid- und Multi-Cloud-Bereitstellungen. Außerdem können Sie mit GKE Enterprise Ihre Anwendungen sowohl in Cloud- als auch in lokalen Umgebungen verwalten und bereitstellen. Wenn Sie aus Gründen der Datenhoheit lokale Bereitstellungen für Daten auswählen, ist Google Distributed Cloud eine Kombination aus Hardware und Software, die Google Cloud in Ihr Rechenzentrum bringt.

Empfehlungen zur Einhaltung von Datenschutzanforderungen

Google Cloud umfasst die folgenden Kontrollen, die den Datenschutz fördern:

• Standardverschlüsselung aller Daten, wenn sie inaktiv sind, übertragen werden und während sie verarbeitet werden.
• Schutzmaßnahmen vor Insiderzugriffen.
• Unterstützung zahlreicher Datenschutzbestimmungen.

Die folgenden Empfehlungen beziehen sich auf zusätzliche Kontrollfunktionen, die Sie implementieren können. Weitere Informationen finden Sie im Datenschutz-Center.

Datenstandort steuern

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Cloud Governance, Risiko und Compliance.

Mit Datenstandort wird beschrieben, wo Ihre inaktiven Daten gespeichert werden. Die Anforderungen an den Datenstandort hängen von den Zielsetzungen von Systemdesigns, branchenüblichen Vorschriften, nationalen Gesetzen, Steuerbelangen und sogar der Kultur ab.

Die Steuerung des Datenstandorts beginnt mit Folgendem:

• Datentyp und Speicherort verstehen
• Bestimmen Sie, welche Risiken für Ihre Daten bestehen und welche Gesetze und Vorschriften gelten.
• Kontrolle darüber, wo Ihre Daten gespeichert werden oder wohin sie übertragen werden

Damit Sie die Anforderungen an den Datenstandort erfüllen können,können Sie in Google Cloud steuern, wo Ihre Daten gespeichert werden, wie auf sie zugegriffen wird und wie sie verarbeitet werden. Mit Richtlinien für Ressourcenstandorte können Sie einschränken, wo Ressourcen erstellt werden, und begrenzen, wo Daten zwischen Regionen repliziert werden. Mit dem Standortattribut einer Ressource lässt sich angeben, wo der Dienst bereitgestellt wird und wer ihn verwaltet. Weitere Informationen finden Sie unter Unterstützte Dienste für Ressourcenstandorte.

Vertrauliche Daten klassifizieren

Diese Empfehlung bezieht sich auf den folgenden Fokusbereich: Datensicherheit.

Sie müssen festlegen, welche Daten vertraulich sind, und dann dafür sorgen, dass die vertraulichen Daten ordnungsgemäß geschützt werden. Vertrauliche Daten können Kreditkartennummern, Adressen, Telefonnummern und andere personenidentifizierbare Informationen sein. Mit dem Schutz sensibler Daten können Sie geeignete Klassifizierungen einrichten. Sie können dann Ihre Daten taggen und tokenisieren, bevor Sie sie in Google Cloudspeichern. Außerdem bietet Dataplex Universal Catalog einen Katalog-Dienst, der eine Plattform zum Speichern, Verwalten und Abrufen Ihrer Metadaten bietet. Weitere Informationen und ein Beispiel für die Datenklassifizierung und ‑de-identifizierung finden Sie unter Personenidentifizierbare Informationen mit Schutz sensibler Daten de-identifizieren und re-identifizieren.

Zugriff auf sensible Daten sperren

Diese Empfehlung ist für die folgenden Schwerpunktbereiche relevant:

• Datensicherheit
• Identitäts- und Zugriffsverwaltung

Sensible Daten mithilfe von VPC Service Controls in einem eigenen Dienstperimeter platzieren Mit VPC Service Controls verringern Sie das Risiko unerlaubten Kopierens oder unbefugten Übertragens von Daten (Daten-Exfiltration) aus von Google verwalteten Diensten. Sie können Sicherheitsperimeter für die Ressourcen Ihrer von Google verwalteten Dienste konfigurieren und die Übertragung von Daten in und aus dem Perimeter steuern. Legen Sie für diese Daten die Zugriffssteuerung der Google Identitäts- und Zugriffsverwaltung (Google Identity and Access Management, IAM) fest. Konfigurieren Sie die Multi-Faktor-Authentifizierung (MFA) für alle Nutzer, die Zugriff auf vertrauliche Daten benötigen.