Google Cloud Well-Architected Framework：金融服务 (FS) 视角中的本文档简要介绍了 Google Cloud中金融服务 (FS) 工作负载的安全、隐私和合规性要求的原则和建议。这些建议可帮助您构建弹性且合规的基础设施、保护敏感数据、维护客户信任、应对复杂的监管要求，并有效管理网络威胁。本文档中的建议与 Well-Architected Framework 的安全核心一致。
云计算中的安全性是金融服务组织关注的一个关键问题，因为这些组织管理着大量敏感数据（包括客户详细信息和财务记录），因此对网络犯罪分子极具吸引力。安全漏洞的后果极其严重，包括重大财务损失、长期声誉损害和巨额监管罚款。因此，金融服务工作负载需要严格的安全控制措施。
为帮助确保全面的安全性和合规性，您需要了解您（金融服务组织）与 Google Cloud之间的责任共担。 Google Cloud 负责保护底层基础架构的安全，包括物理安全和网络安全。您负责保护数据和应用、配置访问权限控制以及配置和管理安全服务。为了支持您的安全工作，Google Cloud 合作伙伴生态系统提供了安全集成和托管式服务。
本文档中的安全建议与以下核心原则相对应：
践行“设计即安全”理念
支付卡行业数据安全标准 (PCI DSS)、美国的《格雷姆-里奇-比利雷法案》(GLBA) 以及各种国家级金融数据保护法等金融法规都要求从一开始就将安全性集成到系统中。“从设计上保证安全”原则强调在整个开发生命周期中集成安全性，以帮助确保从一开始就最大限度地减少漏洞。
如需在Google Cloud中为金融服务工作负载应用安全设计原则，请考虑以下建议：
- 通过在 Identity and Access Management (IAM) 中应用基于角色的精细访问权限控制 (RBAC)，确保仅授予必要的权限。使用 RBAC 是许多金融法规的关键要求。
- 使用 VPC Service Controls 在 Google Cloud 中为敏感服务和数据强制执行安全边界。安全边界有助于根据法规要求对敏感数据和资源进行细分和保护，并有助于防止数据渗漏和未经授权的访问。
- 使用 Terraform 等基础设施即代码 (IaC) 工具将安全配置定义为代码。这种方法从初始部署阶段就嵌入了安全控制措施，有助于确保一致性和可审核性。
- 通过使用 Cloud Build 将静态应用安全保障测试 (SAST) 集成到 CI/CD 流水线中，扫描应用代码。建立自动化安全关卡，防止部署不合规的代码。
- 使用 Security Command Center 为安全性数据分析提供统一界面。使用 Security Command Center 可以持续监控并及早发现可能导致违反法规的错误配置或威胁。如需满足 ISO 27001 和 NIST 800-53 等标准的要求，您可以使用安全状况管理模板。
- 跟踪生产部署中发现的漏洞减少情况，以及遵循安全最佳实践的 IaC 部署百分比。您可以使用 Security Command Center 检测和查看漏洞以及有关安全标准合规性的信息。如需了解详情，请参阅漏洞发现结果。
落地零信任架构
现代金融法规越来越强调需要严格的访问权限控制和持续验证。这些要求反映了零信任原则，旨在保护工作负载免受内部和外部威胁以及不良行为者的侵害。零信任原则主张对每个用户和设备进行持续验证，从而消除隐式信任并缓解横向移动。
如需实现零信任，请考虑以下建议：
- 通过将 IAM 控制与 Chrome 企业进阶版相结合，根据用户身份、设备安全、位置和其他因素启用情境感知访问权限。这种方法可确保在授予对财务数据和系统的访问权限之前进行持续验证。
- 通过配置 Identity Platform（如果您使用员工身份联合，则配置外部身份提供方），提供安全且可伸缩的身份和访问权限管理。设置多重身份验证 (MFA) 和其他控制措施，这些措施对于实现零信任和帮助确保监管合规至关重要。
- 为所有用户账号（尤其是可以访问敏感数据或系统的账号）实施 MFA。
- 通过建立对用户访问和网络活动的全面日志记录和监控，支持与监管合规相关的审核和调查。
- 使用 Private Service Connect，在Google Cloud 内的服务与本地环境之间实现私密且安全的通信，而无需将流量暴露到公共互联网。
- 使用 Identity-Aware Proxy (IAP) 而不是依赖 VPN 隧道等基于网络的安全机制，在应用级层实现精细的身份控制并授权访问。这种方法有助于减少环境中的横向移动。
实现提前确保安全性
金融监管机构鼓励采取主动安全措施。在开发生命周期的早期识别和解决漏洞有助于降低发生安全事件的风险以及因不合规而受到处罚的可能性。左移安全原则可促进早期安全测试和集成，这有助于降低修复成本和复杂性。
如需实现提前确保安全性，请考虑以下建议：
通过使用 Cloud Build 将安全扫描工具（例如容器漏洞扫描和静态代码分析）集成到 CI/CD 流水线中，确保在开发流程的早期阶段进行自动化安全检查。
使用 Artifact Registry 为软件包和容器映像提供安全的中央存储库，并集成漏洞扫描功能，确保仅部署安全的制品。使用虚拟制品库，通过将私有制品优先于远程仓库来缓解依赖项混淆攻击。
通过将 Web Security Scanner（Security Command Center 的一部分）集成到开发流水线中，自动扫描 Web 应用是否存在常见漏洞。
使用软件制品的供应链等级 (SLSA) 框架对源代码、构建流程和代码来源实施安全检查。使用 Binary Authorization 等解决方案，强制执行在您的环境中运行的工作负载的出处。使用Assured Open Source Software，确保您的工作负载仅使用经过验证的开源软件库。
跟踪在开发生命周期中识别和修复的漏洞数量、通过安全扫描的代码部署百分比，以及软件漏洞导致的安全事件减少情况。 Google Cloud 提供了相关工具，可帮助针对不同类型的工作负载进行跟踪。例如，对于容器化工作负载，请使用 Artifact Registry 的容器扫描功能。
构建预防性网络防御体系
金融机构是复杂网络攻击的主要目标。 法规通常要求具备强大的威胁情报和主动防御机制。预防性网络防御侧重于通过高级分析和自动化技术主动检测和响应威胁。
请考虑以下建议：
- 使用 Mandiant 的威胁情报、突发事件响应和安全验证服务，主动识别和缓解潜在威胁。
- 使用 Google Cloud Armor 在网络边缘保护 Web 应用和 API 免受 Web 漏洞利用和 DDoS 攻击。
- 使用 Security Command Center 汇总安全发现结果和建议并确定其优先级，使安全团队能够主动应对潜在风险。
- 通过定期进行安全模拟和渗透测试，验证先发制人的防御措施和突发事件响应计划。
- 衡量检测和响应安全事件所需的时间、DDoS 攻击缓解措施的有效性以及已阻止的网络攻击数量。您可以从 Google Security Operations SOAR 信息中心获取所需的指标和数据。
安全且负责任地使用 AI，并利用 AI 强化安全防护
AI 和机器学习越来越多地用于金融服务应用场景，例如欺诈检测和算法交易。法规要求以合乎道德、透明且安全的方式使用这些技术。AI 还可以帮助您增强安全能力。请考虑以下 AI 使用建议：
- 使用 Gemini Enterprise Agent Platform 在安全且受治理的环境中开发和部署机器学习模型。模型可解释性和公平性指标等功能有助于解决 Responsible AI 问题。
- 利用 Google Security Operations 的安全分析与运营功能，该功能使用 AI 和机器学习来分析大量安全数据、检测异常并自动执行威胁响应。这些功能有助于提升您的整体安全状况，并协助进行合规性监控。
- 为 AI 和机器学习开发和部署建立明确的治理政策，包括安全和道德相关考虑因素。
- 与安全 AI 框架 (SAIF) 的元素保持一致，该框架提供了一种实用的方法来解决 AI 系统的安全和风险问题。
- 跟踪 AI 赋能的欺诈检测系统的准确性和有效性、安全提醒中假正例的减少情况，以及 AI 驱动的安全自动化带来的效率提升。
满足监管、合规性和隐私权需求
金融服务受制于众多法规，包括数据驻留要求、特定审核跟踪记录和数据保护标准。为确保敏感数据得到妥善识别、保护和管理，金融服务组织需要制定健全的数据治理政策和数据分类方案。请考虑以下建议，以帮助您满足监管要求：
- 使用 Assured Workloads 在 Google Cloud 中为敏感和受监管的工作负载设置数据边界。这样做有助于您满足政府和行业特定的合规性要求，例如 FedRAMP 和 CJIS。
- 通过实施 Sensitive Data Protection，识别、分类和保护敏感数据（包括财务信息）。这样做有助于您遵守 GDPR 和 CCPA 等数据隐私权法规。
- 使用 Cloud Audit Logs 跟踪管理活动和资源访问的详细信息。这些日志对于满足许多金融法规规定的审核要求至关重要。
- 为工作负载和数据选择 Google Cloud 区域时，请考虑与数据驻留相关的当地法规。 Google Cloud 全球基础架构可让您选择有助于满足数据驻留要求的区域。
- 使用 Cloud Key Management Service 管理用于加密静态和传输中的敏感财务数据的密钥。此类加密是许多安全和隐私权法规的基本要求。
- 实施必要的控制措施，以满足您的监管要求。验证这些控制措施是否按预期运行。让外部审计员再次验证控制措施，向监管机构证明您的工作负载符合法规。
优先考虑安全举措
鉴于安全要求的广泛性，金融机构必须根据风险评估和监管要求，优先考虑相关举措。我们建议采用以下分阶段方法：
- 建立强大的安全基础：专注于安全的核心领域，包括身份和访问权限管理、网络安全和数据保护。这种关注有助于构建强大的安全状况，并有助于确保全面防御不断演变的威胁。
- 遵守关键法规：优先遵守 PCI DSS、GDPR 和相关国家/地区法律等关键法规。这样做有助于确保数据保护、降低法律风险并建立客户信任。
- 实施高级安全措施：逐步采用高级安全实践，例如零信任、AI 驱动的安全解决方案和主动威胁搜寻。