Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Prospettiva dei servizi finanziari: sicurezza, privacy e conformità

Last reviewed 2026-10-28 UTC

Questo documento del Google Cloud Well-Architected Framework: prospettiva dei servizi finanziari (FS) di fornisce una panoramica dei principi e dei suggerimenti per soddisfare i requisiti di sicurezza, privacy e conformità dei workload dei servizi finanziari (FS) in Google Cloud. I suggerimenti ti aiutano a creare un'infrastruttura resiliente e conforme, a salvaguardare i dati sensibili, a mantenere la fiducia dei clienti, a orientarti nel complesso panorama dei requisiti normativi e a gestire efficacemente le cyber minacce. I suggerimenti contenuti in questo documento sono in linea con il pilastro della sicurezza del Well-Architected Framework.

La sicurezza nel cloud computing è una questione critica per le organizzazioni di servizi finanziari, che sono molto attraenti per i cybercriminali a causa delle enormi quantità di dati sensibili che gestiscono, tra cui i dettagli dei clienti e i documenti finanziari. Le conseguenze di una violazione della sicurezza sono eccezionalmente gravi e includono perdite finanziarie significative, danni alla reputazione a lungo termine e sanzioni normative significative. Pertanto, i workload dei servizi finanziari richiedono controlli di sicurezza rigorosi.

Per garantire una sicurezza e una conformità complete, devi comprendere le responsabilità condivise tra te (organizzazioni FS) e Google Cloud. Google Cloud è responsabile della protezione dell'infrastruttura sottostante, inclusa la sicurezza fisica e la sicurezza di rete. Sei responsabile della protezione dei dati e delle applicazioni, della configurazione controllo dell'accesso e della configurazione e gestione dei servizi di sicurezza. Per supportarti nelle tue iniziative di sicurezza, l'ecosistema di partnerGoogle Cloud offre servizi gestiti e di integrazione della sicurezza.

I suggerimenti per la sicurezza in questo documento sono mappati ai seguenti principi fondamentali:

Implementa la sicurezza "by design"

Le normative finanziarie come il Payment Card Industry Data Security Standard (PCI DSS), il Gramm-Leach-Bliley Act (GLBA) negli Stati Uniti e varie leggi nazionali sulla protezione dei dati finanziari richiedono che la sicurezza sia integrata nei sistemi fin dall'inizio. Il principio della sicurezza by design enfatizza l'integrazione della sicurezza durante tutto il ciclo di vita dello sviluppo per contribuire a garantire che le vulnerabilità siano ridotte al minimo fin dall'inizio.

Per applicare il principio di sicurezza sin dalla progettazione ai tuoi workload FS inGoogle Cloud, tieni conto dei seguenti suggerimenti:

Assicurati che vengano concesse solo le autorizzazioni necessarie applicando il principio del privilegio minimo tramite controllo dell'accesso basato su ruoli (RBAC) granulare in Identity and Access Management (IAM). L'utilizzo di RBAC è un requisito fondamentale in molti regolamenti finanziari.
Applica perimetri di sicurezza intorno ai tuoi servizi e dati sensibili all'interno di Google Cloud utilizzando i Controlli di servizio VPC. I perimetri di sicurezza aiutano a segmentare e proteggere i dati e le risorse sensibili e a prevenire l'esfiltrazione di dati e l'accesso non autorizzato, come richiesto dalle normative.
Definisci le configurazioni di sicurezza come codice utilizzando strumenti di infrastructure as code (IaC) come Terraform. Questo approccio incorpora i controlli di sicurezza fin dalla fase di deployment iniziale, il che contribuisce a garantire coerenza e verificabilità.
Scansiona il codice dell'applicazione integrando i test statici di sicurezza delle applicazioni (SAST) nella pipeline CI/CD con Cloud Build. Stabilisci controlli di sicurezza automatizzati per impedire il deployment di codice non conforme.
Fornire un'interfaccia unificata per gli insight sulla sicurezza utilizzando Security Command Center. L'utilizzo di Security Command Center consente il monitoraggio continuo e il rilevamento tempestivo di configurazioni errate o minacce che potrebbero portare a violazioni delle normative. Per soddisfare i requisiti di standard come ISO 27001 e NIST 800-53, puoi utilizzare i modelli di gestione della postura.
Monitora la riduzione delle vulnerabilità identificate nei deployment di produzione e la percentuale di deployment IaC che rispettano le best practice di sicurezza. Puoi rilevare e visualizzare le vulnerabilità e le informazioni sulla conformità agli standard di sicurezza utilizzando Security Command Center. Per ulteriori informazioni, consulta Risultati delle vulnerabilità.

Implementa il modello Zero Trust

Le moderne normative finanziarie sottolineano sempre più la necessità di controlli degli accessi rigorosi e di una verifica continua. Questi requisiti riflettono il principio di Zero Trust, che mira a proteggere i workload da minacce e malintenzionati interni ed esterni. Il principio Zero Trust prevede la verifica continua di ogni utente e dispositivo, eliminando la fiducia implicita e mitigando i movimenti laterali.

Per implementare Zero Trust, tieni presente i seguenti consigli:

Abilita l'accesso sensibile al contesto in base all'identità dell'utente, alla sicurezza del dispositivo, alla posizione e ad altri fattori combinando i controlli IAM con Chrome Enterprise Premium. Questo approccio garantisce una verifica continua prima che venga concesso l'accesso ai dati e ai sistemi finanziari.
Fornisci una gestione di identità e accessi sicura e scalabile configurando Identity Platform (o il tuo provider di identità esterno se utilizzi la federazione delle identità per la forza lavoro). Configura l'autenticazione a più fattori (MFA) e altri controlli fondamentali per implementare Zero Trust e contribuire a garantire la conformità normativa.
Implementa l'MFA per tutti gli account utente, in particolare per quelli con accesso a dati o sistemi sensibili.
Supporta i controlli e le indagini relativi alla conformità legale stabilendo un sistema completo di logging e monitoraggio dell'accesso degli utenti e dell'attività di rete.
Abilita la comunicazione privata e sicura tra i servizi all'interno diGoogle Cloud e gli ambienti on-premise senza esporre il traffico alla rete internet pubblica utilizzandoPrivate Service Connect.
Implementa controlli granulari delle identità e autorizza l'accesso a livello di applicazione utilizzando Identity-Aware Proxy (IAP) anziché fare affidamento su meccanismi di sicurezza basati sulla rete come i tunnel VPN. Questo approccio contribuisce a ridurre il movimento laterale all'interno dell'ambiente.

Implementa la sicurezza shift-left

Le autorità di regolamentazione finanziaria incoraggiano l'adozione di misure di sicurezza proattive. Identificare e risolvere le vulnerabilità nelle prime fasi del ciclo di vita dello sviluppo aiuta a ridurre il rischio di incidenti di sicurezza e la possibilità di sanzioni per non conformità. Il principio della sicurezza shift-left promuove test e integrazione della sicurezza in una fase iniziale, il che contribuisce a ridurre i costi e la complessità della correzione.

Per implementare la sicurezza shift-left, tieni presente i seguenti suggerimenti:

Garantisci controlli di sicurezza automatici nelle prime fasi del processo di sviluppo integrando strumenti di analisi della sicurezza, come l'analisi delle vulnerabilità dei container e l'analisi statica del codice, nella pipeline CI/CD con Cloud Build.
Assicurati che venga eseguito il deployment solo di artefatti sicuri utilizzando Artifact Registry per fornire un repository sicuro e centralizzato per pacchetti software e immagini container con analisi delle vulnerabilità integrata. Utilizza i repository virtuali per mitigare gli attacchi di dependency confusion dando la priorità agli artefatti privati rispetto ai repository remoti.
Scansiona automaticamente le applicazioni web per rilevare vulnerabilità comuni integrando Web Security Scanner, che fa parte di Security Command Center, nelle tue pipeline di sviluppo.
Implementa controlli di sicurezza per il codice sorgente, processo di compilazione e la provenienza del codice utilizzando il framework Supply-chain Levels for Software Artifacts (SLSA). Applica la provenienza dei workload eseguiti nei tuoi ambienti utilizzando soluzioni come Autorizzazione binaria. Assicurati che i tuoi workload utilizzino solo librerie software open source verificate utilizzando Assured Open Source Software.
Monitora il numero di vulnerabilità identificate e corrette nel ciclo di vita di sviluppo, la percentuale di deployment del codice che superano le scansioni di sicurezza e la riduzione degli incidenti di sicurezza causati da vulnerabilità del software. Google Cloud fornisce strumenti per facilitare questo monitoraggio per diversi tipi di workload. Ad esempio, per i workload containerizzati, utilizza la funzionalità di scansione dei container di Artifact Registry.

Implementa una cyberdifesa preventiva

Gli istituti finanziari sono i principali bersagli di attacchi informatici sofisticati. Le normative spesso richiedono una threat intelligence solida e meccanismi di difesa proattivi. La cyberdifesa preventiva si concentra sul rilevamento e sulla risposta proattivi alle minacce utilizzando analisi avanzate e automazione.

Prendi in considerazione i seguenti consigli:

Identifica e mitiga in modo proattivo le potenziali minacce utilizzando i servizi di threat intelligence, risposta agli incidenti e convalida della sicurezza di Mandiant.
Proteggi le applicazioni web e le API da exploit web e attacchi DDoS sul perimetro della rete utilizzando Google Cloud Armor.
Aggrega e assegna la priorità ai risultati e ai suggerimenti sulla sicurezza utilizzando Security Command Center, che consente ai team di sicurezza di affrontare in modo proattivo i potenziali rischi.
Convalida le difese preventive e i piani di risposta agli incidenti conducendo simulazioni di sicurezza e test di penetrazione regolari.
Misura il tempo necessario per rilevare e rispondere agli incidenti di sicurezza, l'efficacia delle attività di mitigazione degli attacchi DDoS e il numero di cyberattacchi prevenuti. Puoi ottenere le metriche e i dati richiesti dalle dashboard SOAR di Google Security Operations.

Usa l'AI in modo sicuro e responsabile e utilizza l'AI per la sicurezza

L'AI e il ML vengono sempre più utilizzati per casi d'uso di servizi finanziari come il rilevamento delle frodi e il trading algoritmico. Le normative richiedono che queste tecnologie vengano utilizzate in modo etico, trasparente e sicuro. L'AI può anche aiutarti a migliorare le tue funzionalità di sicurezza. Prendi in considerazione i seguenti consigli per l'utilizzo dell'AI:

Sviluppa ed esegui il deployment di modelli di ML in un ambiente sicuro e controllato utilizzando Gemini Enterprise Agent Platform. Funzionalità come la spiegabilità del modello e le metriche di equità possono aiutare ad affrontare i problemi relativi all'AI responsabile.
Sfrutta le funzionalità di analisi e operazioni di sicurezza di Google Security Operations, che utilizza l'AI e il ML per analizzare grandi volumi di dati sulla sicurezza, rilevare anomalie e automatizzare la risposta alle minacce. Queste funzionalità contribuiscono a migliorare la tua security posture complessiva e aiutano nel monitoraggio della conformità.
Stabilisci policy di governance chiare per lo sviluppo e il deployment di AI e ML, incluse considerazioni relative alla sicurezza e all'etica.
Allineati agli elementi del Secure AI Framework (SAIF), che fornisce un approccio pratico per affrontare i problemi di sicurezza e rischio dei sistemi di AI.
Monitora l'accuratezza e l'efficacia dei sistemi di rilevamento delle frodi basati sull'AI, la riduzione dei falsi positivi negli avvisi di sicurezza e i guadagni di efficienza derivanti dall'automazione della sicurezza basata sull'AI.

Soddisfa le esigenze normative, di conformità e di privacy

I servizi finanziari sono soggetti a una vasta gamma di normative, tra cui requisiti di residenza dei dati, tracce di audit specifiche e standard di protezione dei dati. Per garantire che i dati sensibili siano identificati, protetti e gestiti correttamente, le organizzazioni di servizi finanziari hanno bisogno di solide policy di governance dei dati e schemi di classificazione dei dati. Prendi in considerazione i seguenti consigli per soddisfare i requisiti normativi:

Configura i confini dei dati in Google Cloud per i workload sensibili e regolamentati utilizzando Assured Workloads. In questo modo, puoi soddisfare i requisiti di conformità governativi e specifici del settore, come FedRAMP e CJIS.
Identifica, classifica e proteggi i dati sensibili, incluse le informazioni finanziarie, implementando Sensitive Data Protection. In questo modo, puoi rispettare le normative sulla privacy dei dati come il GDPR e il CCPA.
Monitora i dettagli delle attività amministrative e l'accesso alle risorse utilizzando Cloud Audit Logs. Questi log sono fondamentali per soddisfare i requisiti di audit previsti da molte normative finanziarie.
Quando scegli le regioniGoogle Cloud per i tuoi workload e i tuoi dati, tieni conto delle normative locali relative alla residenza dei dati. L'infrastruttura globale di Google Cloud ti consente di scegliere le regioni che possono aiutarti a soddisfare i requisiti di residenza dei dati.
Gestisci le chiavi utilizzate per criptare i dati finanziari sensibili at-rest e in transito utilizzando Cloud Key Management Service. Questa crittografia è un requisito fondamentale di molte normative sulla sicurezza e sulla privacy.
Implementa i controlli necessari per soddisfare i requisiti normativi. Verifica che i controlli funzionino come previsto. Fai convalidare nuovamente i controlli da un revisore esterno per dimostrare all'autorità di regolamentazione che i tuoi workload sono conformi alle normative.

Dai priorità alle iniziative di sicurezza

Data l'ampiezza dei requisiti di sicurezza, gli istituti finanziari devono dare priorità alle iniziative basate sull'analisi del rischio e sui mandati normativi. Ti consigliamo di procedere in più fasi:

Stabilisci una solida base di sicurezza: concentrati sulle aree principali della sicurezza, tra cui la gestione di identità e accessi, la sicurezza di rete e la protezione dei dati. Questa attenzione contribuisce a creare una security posture solida e a garantire una difesa completa contro le minacce in continua evoluzione.
Rispetta le normative fondamentali: dai la priorità alla conformità alle normative chiave come PCI DSS, GDPR e alle leggi nazionali pertinenti. In questo modo, contribuisci a garantire la protezione dei dati, riduci i rischi legali e crei fiducia con i clienti.
Implementa una sicurezza avanzata: adotta gradualmente pratiche di sicurezza avanzate come Zero Trust, soluzioni di sicurezza basate sull'AI e ricerca proattiva delle minacce.

Prospettiva dei servizi finanziari: sicurezza, privacy e conformità Mantieni tutto organizzato con le raccolte Salva e classifica i contenuti in base alle tue preferenze.