Perspektif layanan keuangan: Keamanan, privasi, dan kepatuhan

Last reviewed 2026-10-28 UTC

Dokumen dalam Google Cloud Well-Architected Framework: Perspektif jasa keuangan (FS) ini memberikan ringkasan prinsip dan rekomendasi untuk memenuhi persyaratan keamanan, privasi, dan kepatuhan workload jasa keuangan (FS) di Google Cloud. Rekomendasi ini membantu Anda membangun infrastruktur yang tangguh dan sesuai, melindungi data sensitif, menjaga kepercayaan pelanggan, menavigasi lanskap persyaratan peraturan yang kompleks, dan mengelola ancaman cyber secara efektif. Rekomendasi dalam dokumen ini selaras dengan pilar keamanan Well-Architected Framework.

Keamanan dalam cloud computing adalah masalah penting bagi organisasi FS, yang sangat menarik bagi penjahat cyber karena banyaknya data sensitif yang mereka kelola, termasuk detail pelanggan dan catatan keuangan. Konsekuensi dari pelanggaran keamanan sangatlah parah, termasuk kerugian finansial yang signifikan, kerusakan reputasi jangka panjang, dan denda peraturan yang signifikan. Oleh karena itu, workload FS memerlukan kontrol keamanan yang ketat.

Untuk membantu memastikan keamanan dan kepatuhan yang komprehensif, Anda perlu memahami tanggung jawab bersama antara Anda (organisasi FS) dan Google Cloud. Google Cloud bertanggung jawab untuk mengamankan infrastruktur yang mendasarinya, termasuk keamanan fisik dan keamanan jaringan. Anda bertanggung jawab untuk mengamankan data dan aplikasi, mengonfigurasi kontrol akses, serta mengonfigurasi dan mengelola layanan keamanan. Untuk mendukung upaya keamanan Anda, ekosistem partnerGoogle Cloud menawarkan integrasi keamanan dan layanan terkelola.

Rekomendasi keamanan dalam dokumen ini dipetakan ke prinsip inti berikut:

• Menerapkan keamanan melalui desain
• Menerapkan zero-trust
• Menerapkan keamanan shift-left
• Menerapkan pertahanan cyber preemtif
• Menggunakan AI secara aman dan bertanggung jawab, serta menggunakan AI untuk keamanan
• Memenuhi kebutuhan peraturan, kepatuhan, dan privasi
• Memprioritaskan inisiatif keamanan

Menerapkan pengamanan dari desain

Peraturan keuangan seperti Standar Keamanan Data Industri Kartu Pembayaran (PCI DSS), Gramm-Leach-Bliley Act (GLBA) di Amerika Serikat, dan berbagai undang-undang perlindungan data keuangan nasional mengharuskan keamanan diintegrasikan ke dalam sistem sejak awal. Prinsip keamanan berdasarkan desain menekankan integrasi keamanan di seluruh siklus proses pengembangan untuk membantu memastikan bahwa kerentanan diminimalkan sejak awal.

Untuk menerapkan prinsip keamanan berdasarkan desain untuk workload FS Anda di Google Cloud, pertimbangkan rekomendasi berikut:

• Pastikan hanya izin yang diperlukan yang diberikan dengan menerapkan prinsip hak istimewa terendah melalui kontrol akses berbasis peran (RBAC) terperinci di Identity and Access Management (IAM). Penggunaan RBAC adalah persyaratan utama dalam banyak peraturan keuangan.
• Terapkan perimeter keamanan di sekitar layanan dan data sensitif Anda dalam Google Cloud dengan menggunakan Kontrol Layanan VPC. Perimeter keamanan membantu menyegmentasikan dan melindungi data dan resource sensitif, serta membantu mencegah pemindahan data yang tidak sah dan akses yang tidak sah, sebagaimana diwajibkan oleh peraturan.
• Tentukan konfigurasi keamanan sebagai kode menggunakan alat infrastructure as code (IaC) seperti Terraform. Pendekatan ini menyematkan kontrol keamanan dari fase deployment awal, yang membantu memastikan konsistensi dan kemampuan audit.
• Pindai kode aplikasi Anda dengan mengintegrasikan Pengujian Keamanan Aplikasi Statis (SAST) ke dalam pipeline CI/CD dengan Cloud Build. Buat gerbang keamanan otomatis untuk mencegah deployment kode yang tidak mematuhi kebijakan.
• Menyediakan antarmuka terpadu untuk insight keamanan menggunakan Security Command Center. Penggunaan Security Command Center memungkinkan pemantauan berkelanjutan dan deteksi dini kesalahan konfigurasi atau ancaman yang dapat menyebabkan pelanggaran peraturan. Untuk memenuhi persyaratan standar seperti ISO 27001 dan NIST 800-53, Anda dapat menggunakan template pengelolaan postur.
• Lacak pengurangan kerentanan yang diidentifikasi dalam deployment produksi dan persentase deployment IaC yang mematuhi praktik terbaik keamanan. Anda dapat mendeteksi dan melihat kerentanan serta informasi tentang kepatuhan terhadap standar keamanan menggunakan Security Command Center. Untuk mengetahui informasi selengkapnya, lihat Temuan kerentanan.

Menerapkan zero-trust

Peraturan keuangan modern makin menekankan perlunya kontrol akses yang ketat dan verifikasi berkelanjutan. Persyaratan ini mencerminkan prinsip zero trust, yang bertujuan untuk melindungi workload dari ancaman internal dan eksternal serta pelaku kejahatan. Prinsip zero-trust mendukung verifikasi berkelanjutan terhadap setiap pengguna dan perangkat, yang menghilangkan kepercayaan implisit dan memitigasi pergerakan lateral.

Untuk menerapkan zero trust, pertimbangkan rekomendasi berikut:

• Aktifkan akses kontekstual berdasarkan identitas pengguna, keamanan perangkat, lokasi, dan faktor lainnya dengan menggabungkan kontrol IAM dengan Chrome Enterprise Premium. Pendekatan ini memastikan verifikasi berkelanjutan sebelum akses ke data dan sistem keuangan diberikan.
• Sediakan pengelolaan akses dan identitas yang aman dan skalabel dengan mengonfigurasi Identity Platform (atau penyedia identitas eksternal Anda jika Anda menggunakan Workforce Identity Federation). Siapkan autentikasi multi-faktor (MFA) dan kontrol lain yang penting untuk menerapkan zero trust dan membantu memastikan kepatuhan terhadap peraturan.
• Terapkan MFA untuk semua akun pengguna, terutama untuk akun yang memiliki akses ke data atau sistem sensitif.
• Mendukung audit dan investigasi terkait kepatuhan terhadap peraturan dengan menetapkan logging dan pemantauan yang komprehensif terhadap akses pengguna dan aktivitas jaringan.
• Aktifkan komunikasi pribadi dan aman antara layanan dalam lingkunganGoogle Cloud dan lokal tanpa mengekspos traffic ke internet publik menggunakan Private Service Connect.
• Terapkan kontrol identitas terperinci dan otorisasi akses di tingkat aplikasi menggunakan Identity-Aware Proxy (IAP), bukan mengandalkan mekanisme keamanan berbasis jaringan seperti tunnel VPN. Pendekatan ini membantu mengurangi pergerakan lateral dalam lingkungan.

Menerapkan keamanan shift-left

Regulator keuangan mendorong tindakan keamanan proaktif. Mengidentifikasi dan mengatasi kerentanan di awal siklus proses pengembangan membantu mengurangi risiko insiden keamanan dan potensi sanksi ketidakpatuhan. Prinsip keamanan shift-left mendorong pengujian dan integrasi keamanan awal, yang membantu mengurangi biaya dan kompleksitas perbaikan.

Untuk menerapkan keamanan shift-left, pertimbangkan rekomendasi berikut:

• Pastikan pemeriksaan keamanan otomatis dilakukan di awal proses pengembangan dengan mengintegrasikan alat pemindaian keamanan, seperti pemindaian kerentanan container dan analisis kode statis, ke dalam pipeline CI/CD dengan Cloud Build.

• Pastikan hanya artefak yang aman yang di-deploy dengan menggunakan Artifact Registry untuk menyediakan repositori pusat yang aman untuk paket software dan image container dengan pemindaian kerentanan terintegrasi. Gunakan repositori virtual untuk memitigasi serangan kebingungan dependensi dengan memprioritaskan artefak pribadi Anda daripada repositori jarak jauh.

• Pindai aplikasi web secara otomatis untuk menemukan kerentanan umum dengan mengintegrasikan Web Security Scanner, yang merupakan bagian dari Security Command Center, ke dalam pipeline pengembangan Anda.

• Terapkan pemeriksaan keamanan untuk kode sumber, proses build, dan provenance kode menggunakan framework Supply-chain Levels for Software Artifacts (SLSA). Terapkan provenance workload yang berjalan di lingkungan Anda menggunakan solusi seperti Otorisasi Biner. Pastikan workload Anda hanya menggunakan library software open source yang terverifikasi dengan menggunakan Assured Open Source Software.

• Lacak jumlah kerentanan yang diidentifikasi dan diperbaiki dalam siklus proses pengembangan Anda, persentase deployment kode yang lulus pemindaian keamanan, dan pengurangan insiden keamanan yang disebabkan oleh kerentanan software. Google Cloud menyediakan alat untuk membantu pelacakan ini untuk berbagai jenis workload. Misalnya, untuk workload dalam container, gunakan fitur pemindaian container Artifact Registry.

Menerapkan pertahanan cyber preemptive

Lembaga keuangan adalah target utama serangan cyber yang canggih. Peraturan sering kali memerlukan threat intelligence yang kuat dan mekanisme pertahanan proaktif. Pertahanan cyber preemptive berfokus pada deteksi dan respons ancaman proaktif dengan menggunakan analisis dan otomatisasi tingkat lanjut.

Pertimbangkan rekomendasi berikut:

• Identifikasi dan mitigasi potensi ancaman secara proaktif, dengan menggunakan layanan threat intelligence, respons insiden, dan validasi keamanan dari Mandiant.
• Lindungi aplikasi web dan API dari eksploitasi web dan serangan DDoS di edge jaringan menggunakan Google Cloud Armor.
• Gabungkan dan prioritaskan temuan serta rekomendasi keamanan menggunakan Security Command Center, yang memungkinkan tim keamanan mengatasi potensi risiko secara proaktif.
• Validasi pertahanan preemptive dan rencana respons insiden dengan melakukan simulasi keamanan dan uji penetrasi secara rutin.
• Ukur waktu untuk mendeteksi dan merespons insiden keamanan, efektivitas upaya mitigasi DDoS, dan jumlah serangan cyber yang dicegah. Anda bisa mendapatkan metrik dan data yang diperlukan dari dasbor SOAR Google Security Operations.

Menggunakan AI secara aman dan bertanggung jawab, serta menggunakan AI untuk keamanan

AI dan ML makin banyak digunakan untuk kasus penggunaan jasa keuangan seperti deteksi penipuan dan perdagangan algoritmik. Peraturan mengharuskan teknologi ini digunakan secara etis, transparan, dan aman. AI juga dapat membantu meningkatkan kemampuan keamanan Anda. Pertimbangkan rekomendasi berikut untuk menggunakan AI:

• Kembangkan dan deploy model ML di lingkungan yang aman dan diatur dengan menggunakan Gemini Enterprise Agent Platform. Fitur seperti penjelasan model dan metrik keadilan dapat membantu mengatasi masalah responsible AI.
• Manfaatkan kemampuan Operasi dan analisis keamanan Google Security Operations, yang menggunakan AI dan ML untuk menganalisis volume data keamanan yang besar, mendeteksi anomali, dan mengotomatiskan respons ancaman. Kemampuan ini membantu meningkatkan postur keamanan Anda secara keseluruhan dan membantu pemantauan kepatuhan.
• Tetapkan kebijakan tata kelola yang jelas untuk pengembangan dan deployment AI dan ML, termasuk pertimbangan terkait keamanan dan etika.
• Selaraskan dengan elemen Secure AI Framework (SAIF), yang memberikan pendekatan praktis untuk mengatasi masalah keamanan dan risiko sistem AI.
• Lacak akurasi dan efektivitas sistem deteksi penipuan yang didukung AI, pengurangan positif palsu dalam notifikasi keamanan, dan peningkatan efisiensi dari otomatisasi keamanan berbasis AI.

Memenuhi kebutuhan peraturan, kepatuhan, dan privasi

Layanan keuangan tunduk pada berbagai peraturan, termasuk persyaratan residensi data, log audit tertentu, dan standar perlindungan data. Untuk memastikan bahwa data sensitif diidentifikasi, dilindungi, dan dikelola dengan benar, organisasi FS memerlukan kebijakan tata kelola data dan skema klasifikasi data yang kuat. Pertimbangkan rekomendasi berikut untuk membantu Anda memenuhi persyaratan peraturan:

• Siapkan batas data di Google Cloud untuk workload yang sensitif dan diatur dengan menggunakan Assured Workloads. Hal ini membantu Anda memenuhi persyaratan kepatuhan khusus industri dan pemerintah seperti FedRAMP dan CJIS.
• Identifikasi, klasifikasikan, dan lindungi data sensitif, termasuk informasi keuangan, dengan menerapkan Sensitive Data Protection. Tindakan ini membantu Anda memenuhi peraturan privasi data seperti GDPR dan CCPA.
• Lacak detail aktivitas administratif dan akses ke resource menggunakan Cloud Audit Logs. Log ini sangat penting untuk memenuhi persyaratan audit yang ditetapkan oleh banyak peraturan keuangan.
• Saat Anda memilih regionGoogle Cloud untuk workload dan data Anda, pertimbangkan peraturan lokal yang terkait dengan residensi data. Infrastruktur global Google Cloud memungkinkan Anda memilih region yang dapat membantu Anda memenuhi persyaratan residensi data.
• Kelola kunci yang digunakan untuk mengenkripsi data keuangan sensitif dalam penyimpanan dan dalam pengiriman menggunakan Cloud Key Management Service. Enkripsi tersebut merupakan persyaratan mendasar dari banyak peraturan keamanan dan privasi.
• Terapkan kontrol yang diperlukan untuk memenuhi persyaratan peraturan Anda. Memvalidasi bahwa kontrol berfungsi seperti yang diharapkan. Minta kontrol divalidasi lagi oleh auditor eksternal untuk membuktikan kepada regulator bahwa workload Anda mematuhi peraturan.

Memprioritaskan inisiatif keamanan

Mengingat luasnya persyaratan keamanan, lembaga keuangan harus memprioritaskan inisiatif yang didasarkan pada penilaian risiko dan mandat peraturan. Sebaiknya lakukan pendekatan bertahap berikut:

1. Membangun fondasi keamanan yang kuat: Fokus pada area inti keamanan, termasuk pengelolaan akses dan identitas, keamanan jaringan, dan perlindungan data. Fokus ini membantu membangun postur keamanan yang kuat dan membantu memastikan pertahanan yang komprehensif terhadap ancaman yang terus berkembang.
2. Atasi peraturan penting: Prioritaskan kepatuhan terhadap peraturan utama seperti PCI DSS, GDPR, dan hukum nasional yang relevan. Tindakan ini membantu memastikan perlindungan data, memitigasi risiko hukum, dan membangun kepercayaan dengan pelanggan.
3. Menerapkan keamanan tingkat lanjut: Terapkan praktik keamanan tingkat lanjut secara bertahap seperti zero trust, solusi keamanan berbasis AI, dan perburuan ancaman proaktif.