Finanzdienstleistungen: Sicherheit, Datenschutz und Compliance

Last reviewed 2026-10-28 UTC

Dieses Dokument im Google Cloud Well-Architected Framework: Finanzdienstleistungen (FS) bietet einen Überblick über die Prinzipien und Empfehlungen, um die Sicherheits-, Datenschutz- und Compliance-Anforderungen von Finanzdienstleistungs-Arbeitslasten in Google Cloudzu erfüllen. Die Empfehlungen helfen Ihnen, eine robuste und konforme Infrastruktur aufzubauen, sensible Daten zu schützen, das Vertrauen der Kunden zu wahren, die komplexen regulatorischen Anforderungen zu erfüllen und Cyberbedrohungen effektiv zu bewältigen. Die Empfehlungen in diesem Dokument entsprechen der Säule „Sicherheit“ des Well-Architected Framework.

Sicherheit im Cloud-Computing ist ein wichtiges Thema für Finanzdienstleister, die aufgrund der großen Mengen an sensiblen Daten, die sie verwalten, einschließlich Kundendaten und Finanzunterlagen, für Cyberkriminelle sehr attraktiv sind. Die Folgen einer Sicherheitsverletzung sind außergewöhnlich schwerwiegend, einschließlich erheblicher finanzieller Verluste, langfristiger Reputationsschäden und erheblicher behördlicher Bußgelder. Daher sind für FS-Arbeitslasten strenge Sicherheitskontrollen erforderlich.

Um eine umfassende Sicherheit und Compliance zu gewährleisten, müssen Sie die gemeinsame Verantwortung zwischen Ihnen (Finanzdienstleistungsunternehmen) und Google Cloudverstehen. Google Cloud ist für die Sicherung der zugrunde liegenden Infrastruktur verantwortlich, einschließlich der physischen Sicherheit und der Netzwerksicherheit. Sie sind für den Schutz von Daten und Anwendungen, die Konfiguration der Zugriffssteuerung sowie die Konfiguration und Verwaltung von Sicherheitsdiensten verantwortlich. Das Google Cloud -Partnernetzwerk bietet Sicherheitsintegration und verwaltete Dienste, um Sie bei Ihren Sicherheitsbemühungen zu unterstützen.

Die Sicherheitsempfehlungen in diesem Dokument sind den folgenden Grundprinzipien zugeordnet:

Von Grund auf sicher

Finanzvorschriften wie der Payment Card Industry Data Security Standard (PCI DSS), der Gramm-Leach-Bliley Act (GLBA) in den USA und verschiedene nationale Datenschutzgesetze für Finanzdaten schreiben vor, dass Sicherheit von Anfang an in Systeme integriert sein muss. Das Prinzip der Sicherheit „von Grund auf“ betont die Integration von Sicherheit während des gesamten Entwicklungslebenszyklus, um Sicherheitslücken von Anfang an zu minimieren.

Wenn Sie das Security-by-Design-Prinzip für Ihre FS-Arbeitslasten inGoogle Cloudanwenden möchten, beachten Sie die folgenden Empfehlungen:

  • Achten Sie darauf, dass nur die erforderlichen Berechtigungen gewährt werden. Wenden Sie dazu das Prinzip der geringsten Berechtigung über die detaillierte rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC) in Identity and Access Management (IAM) an. Die Verwendung von RBAC ist eine wichtige Anforderung in vielen Finanzvorschriften.
  • Mit VPC Service Controls können Sie Sicherheitsperimeter für Ihre sensiblen Dienste und Daten in Google Cloud erzwingen. Die Sicherheitsperimeter helfen, sensible Daten und Ressourcen zu segmentieren und zu schützen, und tragen dazu bei, Daten-Exfiltration und unbefugten Zugriff zu verhindern, wie es die Vorschriften verlangen.
  • Sicherheitskonfigurationen als Code mit IaC-Tools (Infrastruktur als Code) wie Terraform definieren. Bei diesem Ansatz werden Sicherheitskontrollen von der ersten Bereitstellungsphase an eingebunden, was zur Konsistenz und Prüfbarkeit beiträgt.
  • Scannen Sie Ihren Anwendungscode, indem Sie Static Application Security Testing (SAST) mit Cloud Build in die CI/CD-Pipeline einbinden. Richten Sie automatisierte Sicherheits-Gates ein, um die Bereitstellung von nicht konformem Code zu verhindern.
  • Stellen Sie mit Security Command Center eine zentrale Oberfläche bereit, über die Sie den Sicherheitsstatus prüfen können. Die Verwendung des Security Command Center ermöglicht ein kontinuierliches Monitoring und eine frühzeitige Erkennung von Fehlkonfigurationen oder Bedrohungen, die zu Verstößen gegen gesetzliche Bestimmungen führen könnten. Um die Anforderungen von Standards wie ISO 27001 und NIST 800-53 zu erfüllen, können Sie Vorlagen für das Statusmanagement verwenden.
  • Verfolgen Sie die Reduzierung von Sicherheitslücken, die in Produktionsbereitstellungen identifiziert werden, und den Prozentsatz der IaC-Bereitstellungen, die den Best Practices für die Sicherheit entsprechen. Mit dem Security Command Center können Sie Sicherheitslücken und Informationen zur Einhaltung von Sicherheitsstandards erkennen und ansehen. Weitere Informationen finden Sie unter Ergebnisse zu Sicherheitslücken.

Zero-Trust implementieren

Moderne Finanzvorschriften betonen zunehmend die Notwendigkeit strenger Zugriffssteuerung und kontinuierlicher Überprüfung. Diese Anforderungen spiegeln das Zero-Trust-Prinzip wider, das darauf abzielt, Arbeitslasten sowohl vor internen als auch vor externen Bedrohungen und böswilligen Akteuren zu schützen. Das Zero-Trust-Prinzip sieht eine kontinuierliche Überprüfung aller Nutzer und Geräte vor. Dadurch wird implizites Vertrauen eliminiert und Lateral Movement eingeschränkt.

Beachten Sie die folgenden Empfehlungen, um Zero Trust zu implementieren:

  • Aktivieren Sie den kontextsensitiven Zugriff basierend auf Nutzeridentität, Gerätesicherheit, Standort und anderen Faktoren, indem Sie IAM-Steuerelemente mit Chrome Enterprise Premium kombinieren. Dieser Ansatz sorgt für eine kontinuierliche Überprüfung, bevor Zugriff auf Finanzdaten und -systeme gewährt wird.
  • Konfigurieren Sie Identity Platform (oder Ihren externen Identitätsanbieter, wenn Sie die Workforce Identity-Föderation verwenden), um ein sicheres und skalierbares Identitäts- und Zugriffsmanagement bereitzustellen. Richten Sie die Multi-Faktor-Authentifizierung (MFA) und andere Kontrollen ein, die für die Implementierung von Zero Trust und die Einhaltung regulatorischer Anforderungen entscheidend sind.
  • Implementieren Sie die Multi-Faktor-Authentifizierung (MFA) für alle Nutzerkonten, insbesondere für Konten mit Zugriff auf sensible Daten oder Systeme.
  • Unterstützen Sie Audits und Prüfungen im Zusammenhang mit der Einhaltung regulatorischer Anforderungen, indem Sie ein umfassendes Logging und Monitoring von Nutzerzugriffen und Netzwerkaktivitäten einrichten.
  • Mit Private Service Connect können Sie eine private und sichere Kommunikation zwischen Diensten inGoogle Cloud und lokalen Umgebungen ermöglichen, ohne den Traffic dem öffentlichen Internet auszusetzen.
  • Implementieren Sie detaillierte Identitätskontrollen und autorisieren Sie den Zugriff auf Anwendungsebene mit Identity-Aware Proxy (IAP), anstatt sich auf netzwerkbasierte Sicherheitsmechanismen wie VPN-Tunnel zu verlassen. Dieser Ansatz trägt dazu bei, das Lateral Movement innerhalb der Umgebung zu reduzieren.

Shift-Left-Sicherheitsansatz implementieren

Finanzaufsichtsbehörden empfehlen proaktive Sicherheitsmaßnahmen. Wenn Sie Sicherheitslücken frühzeitig im Entwicklungszyklus erkennen und beheben, können Sie das Risiko von Sicherheitsvorfällen und die Wahrscheinlichkeit von Strafen wegen Nichteinhaltung verringern. Das Prinzip der Shift-Left-Sicherheit fördert frühe Sicherheitstests und -integration, was dazu beiträgt, die Kosten und die Komplexität der Behebung zu reduzieren.

Beachten Sie die folgenden Empfehlungen, um Shift-Left-Sicherheit zu implementieren:

  • Sorgen Sie für automatisierte Sicherheitsprüfungen früh im Entwicklungsprozess, indem Sie Sicherheitsscan-Tools wie Container-Sicherheitslückenscans und statische Codeanalyse mit Cloud Build in die CI/CD-Pipeline einbinden.

  • Sorgen Sie dafür, dass nur sichere Artefakte bereitgestellt werden, indem Sie Artifact Registry verwenden, um ein sicheres und zentrales Repository für Softwarepakete und Container-Images mit integriertem Scannen auf Sicherheitslücken bereitzustellen. Verwenden Sie virtuelle Repositories, um Angriffe durch Abhängigkeitsverwirrung zu minimieren, indem Sie Ihre privaten Artefakte gegenüber Remote-Repositories priorisieren.

  • Scannen Sie Webanwendungen automatisch auf gängige Sicherheitslücken, indem Sie Web Security Scanner, einen Teil des Security Command Center, in Ihre Entwicklungspipelines einbinden.

  • Implementieren Sie Sicherheitsprüfungen für den Quellcode, den Build-Prozess und die Codeherkunft mithilfe des Frameworks Supply-chain Levels for Software Artifacts (SLSA). Erzwingen Sie die Herkunft der Arbeitslasten, die in Ihren Umgebungen ausgeführt werden, indem Sie Lösungen wie die Binärautorisierung verwenden. Mit Assured Open Source Software können Sie dafür sorgen, dass Ihre Arbeitslasten nur verifizierte Open-Source-Softwarebibliotheken verwenden.

  • Verfolgen Sie die Anzahl der Sicherheitslücken, die in Ihrem Entwicklungslebenszyklus identifiziert und behoben werden, den Prozentsatz der Codebereitstellungen, die Sicherheitsscans bestehen, und die Reduzierung von Sicherheitsvorfällen, die durch Software-Sicherheitslücken verursacht werden. Google Cloud bietet Tools, die Sie bei diesem Tracking für verschiedene Arten von Arbeitslasten unterstützen. Verwenden Sie für containerisierte Arbeitslasten beispielsweise die Funktion zum Scannen von Containern von Artifact Registry.

Präventive Cyber Defense implementieren

Finanzinstitute sind ein beliebtes Ziel für ausgeklügelte Cyberangriffe. Vorschriften erfordern oft robuste Threat Intelligence und proaktive Abwehrmechanismen. Die präventive Cyber Defense konzentriert sich auf die proaktive Bedrohungserkennung und -reaktion mithilfe von fortschrittlichen Analysen und Automatisierung.

Beachten Sie die folgenden Empfehlungen:

  • Mit den Diensten von Mandiant für Threat Intelligence, Incident Response und Sicherheitsvalidierung können Sie potenzielle Bedrohungen proaktiv erkennen und abwehren.
  • Schützen Sie Webanwendungen und APIs mit Google Cloud Armor am Netzwerkrand vor Web-Exploits und DDoS-Angriffen.
  • Mit dem Security Command Center können Sie Sicherheitsergebnisse und ‑empfehlungen zusammenfassen und priorisieren. So können Sicherheitsteams potenzielle Risiken proaktiv angehen.
  • Validieren Sie präventive Abwehrmaßnahmen und Incident Response-Pläne, indem Sie regelmäßig Sicherheitssimulationen und Penetrationstests durchführen.
  • Messen Sie die Zeit, die für die Erkennung von und Reaktion auf Sicherheitsvorfälle benötigt wird, die Wirksamkeit von DDoS-Abwehrmaßnahmen und die Anzahl der verhinderten Cyberangriffe. Die erforderlichen Messwerte und Daten finden Sie in den Google Security Operations SOAR-Dashboards.

KI sicher und verantwortungsbewusst einsetzen und KI für die Sicherheit nutzen

KI und ML werden zunehmend für Finanzdienstleistungen wie Betrugserkennung und algorithmischen Handel eingesetzt. Vorschriften erfordern, dass diese Technologien ethisch, transparent und sicher eingesetzt werden. KI kann auch dazu beitragen, Ihre Sicherheitsfunktionen zu verbessern. Beachten Sie die folgenden Empfehlungen für die Verwendung von KI:

  • Mit der Gemini Enterprise Agent Platform können Sie ML-Modelle in einer sicheren und verwalteten Umgebung entwickeln und bereitstellen. Funktionen wie die Erklärbarkeit von Modellen und Fairness-Messwerte können dazu beitragen, Bedenken hinsichtlich verantwortungsbewusster KI auszuräumen.
  • Nutzen Sie die Sicherheitsanalyse- und Betriebsfunktionen von Google Security Operations, das KI und ML verwendet, um große Mengen an Sicherheitsdaten zu analysieren, Anomalien zu erkennen und die Reaktion auf Bedrohungen zu automatisieren. Diese Funktionen tragen dazu bei, Ihren allgemeinen Sicherheitsstatus zu verbessern und die Compliance-Überwachung zu unterstützen.
  • Legen Sie klare Governance-Richtlinien für die Entwicklung und Bereitstellung von KI und ML fest, einschließlich Sicherheits- und ethischer Überlegungen.
  • Richten Sie sich nach den Elementen des Secure AI Framework (SAIF), das einen praktischen Ansatz zur Bewältigung der Sicherheits- und Risikoprobleme von KI-Systemen bietet.
  • Verfolgen Sie die Genauigkeit und Effektivität von KI-gestützten Systemen zur Betrugserkennung, die Reduzierung von Fehlalarmen bei Sicherheitswarnungen und die Effizienzsteigerungen durch KI-gestützte Sicherheitsautomatisierung.

Behörden-, Compliance- und Datenschutzanforderungen erfüllen

Finanzdienstleistungen unterliegen einer Vielzahl von Vorschriften, darunter Anforderungen an den Datenstandort, spezifische Audit-Trails und Datenschutzstandards. Damit sensible Daten ordnungsgemäß identifiziert, geschützt und verwaltet werden, benötigen Finanzdienstleister robuste Data-Governance-Richtlinien und Datenklassifizierungsschemas. Beachten Sie die folgenden Empfehlungen, um die gesetzlichen Anforderungen zu erfüllen:

  • Richten Sie mit Assured Workloads Datengrenzen in Google Cloud für sensible und regulierte Arbeitslasten ein. So können Sie staatliche und branchenspezifische Compliance-Anforderungen wie FedRAMP und CJIS erfüllen.
  • Durch die Implementierung von Sensitive Data Protection können Sie sensible Daten, einschließlich Finanzinformationen, identifizieren, klassifizieren und schützen. So können Sie Datenschutzbestimmungen wie die DSGVO und den CCPA einhalten.
  • Mit Cloud-Audit-Logs können Sie Details zu administrativen Aktivitäten und zum Zugriff auf Ressourcen verfolgen. Diese Logs sind entscheidend, um die Prüfanforderungen zu erfüllen, die in vielen Finanzvorschriften festgelegt sind.
  • Wenn Sie Google Cloud -Regionen für Ihre Arbeitslasten und Daten auswählen, sollten Sie die lokalen Vorschriften zum Datenstandort berücksichtigen. Mit der globalen Infrastruktur von Google Cloud können Sie Regionen auswählen, die Ihnen helfen, Ihre Anforderungen an den Datenstandort zu erfüllen.
  • Verwalten Sie die Schlüssel, die zum Verschlüsseln sensibler Finanzdaten im Ruhezustand und bei der Übertragung verwendet werden, mit dem Cloud Key Management Service. Eine solche Verschlüsselung ist eine grundlegende Anforderung vieler Sicherheits- und Datenschutzbestimmungen.
  • Implementieren Sie die Kontrollen, die zur Erfüllung Ihrer regulatorischen Anforderungen erforderlich sind. Prüfen Sie, ob die Einstellungen wie erwartet funktionieren. Lassen Sie die Kontrollen noch einmal von einem externen Prüfer validieren, um der Aufsichtsbehörde nachzuweisen, dass Ihre Arbeitslasten den Vorschriften entsprechen.

Sicherheitsinitiativen priorisieren

Angesichts der Vielzahl von Sicherheitsanforderungen müssen Finanzinstitute Initiativen priorisieren, die auf Risikobewertungen und gesetzlichen Vorgaben basieren. Wir empfehlen die folgende schrittweise Vorgehensweise:

  1. Solide Sicherheitsgrundlage schaffen: Konzentrieren Sie sich auf die Kernbereiche der Sicherheit, einschließlich Identitäts- und Zugriffsverwaltung, Netzwerksicherheit und Datenschutz. Dieser Fokus trägt dazu bei, einen robusten Sicherheitsstatus aufzubauen und eine umfassende Abwehr gegen sich entwickelnde Bedrohungen zu gewährleisten.
  2. Wichtige Vorschriften einhalten: Priorisieren Sie die Einhaltung wichtiger Vorschriften wie PCI DSS, DSGVO und relevanter nationaler Gesetze. So können Sie den Datenschutz gewährleisten, rechtliche Risiken minimieren und Vertrauen bei Kunden aufbauen.
  3. Erweiterte Sicherheit implementieren: Führen Sie nach und nach erweiterte Sicherheitspraktiken wie Zero Trust, KI-gestützte Sicherheitslösungen und proaktive Bedrohungssuche ein.
Zurück
Operative Exzellenz
Weiter
Zuverlässigkeit