El pilar de seguridad, privacidad y cumplimiento del Well-Architected Framework deGoogle Cloud proporciona recomendaciones para ayudarte a diseñar, implementar y operar cargas de trabajo en la nube que cumplan con tus requisitos de seguridad, privacidad y cumplimiento.
Este documento está diseñado para ofrecer información valiosa y satisfacer las necesidades de una variedad de profesionales y de ingenieros de seguridad. En la siguiente tabla, se describen los públicos previstos para este documento:
| Público | Qué proporciona este documento |
|---|---|
| Directores de seguridad de la información (CISO), líderes de unidades de negocio y administradores de TI | Un marco de trabajo general para establecer y mantener la excelencia en la seguridad en la nube y garantizar una vista integral de las áreas de seguridad para tomar decisiones fundamentadas sobre las inversiones en seguridad. |
| Arquitectos e ingenieros de seguridad | Prácticas de seguridad clave para las fases de diseño y operaciones que ayudan a garantizar que las soluciones se diseñen para la seguridad, la eficiencia y la escalabilidad. |
| Equipos de DevSecOps | Orientación para incorporar controles de seguridad generales para planificar la automatización que habilita una infraestructura segura y confiable. |
| Oficiales de cumplimiento y administradores de riesgos | Recomendaciones de seguridad clave para seguir un enfoque estructurado de la administración de riesgos con protecciones que ayuden a cumplir con las obligaciones de cumplimiento. |
Para garantizar que tus cargas de trabajo de Google Cloud cumplan con tus requisitos de seguridad, privacidad y cumplimiento, todas las partes interesadas de tu organización deben adoptar un enfoque colaborativo. Además, debes reconocer que la seguridad en la nube es una responsabilidad compartida entre tú y Google. Para obtener más información, consulta Responsabilidades compartidas y destino compartido en Google Cloud.
Las recomendaciones de este pilar se agrupan en principios de seguridad fundamentales. Cada recomendación basada en principios se asigna a una o más de las áreas de enfoque de la seguridad en la nube que podrían ser fundamentales para tu organización. Cada recomendación destaca orientación sobre el uso y la configuración de los productos y las funciones deGoogle Cloud para ayudar a mejorar la postura de seguridad de tu organización.
Evalúa las cargas de trabajo con una habilidad para agentes
Para permitir que los agentes de IA evalúen tus cargas de trabajo en la nube en función de los principios y
las recomendaciones de este pilar, usa la
habilidad de
google-cloud-waf-security, que está disponible en el repositorio de habilidades de agentes de Google en GitHub.
Para instalar la habilidad, ejecuta el siguiente comando en el cliente o la terminal de tu agente:
npx skills add google/skills --skill google-cloud-waf-security
Cuando se te solicite, especifica los agentes de IA para los que deseas instalar la habilidad y establece el alcance de la instalación (proyecto o global).
Si ya instalaste la habilidad, puedes actualizarla a la versión más reciente ejecutando el siguiente comando:
npx skills update
Principios básicos
Las recomendaciones de este pilar se agrupan en los siguientes principios básicos de seguridad. Todos los principios de este pilar son importantes. Según los requisitos de tu organización y carga de trabajo, puedes elegir priorizar ciertos principios.
- Implementa la seguridad desde el diseño: Integra las consideraciones de seguridad de la red y de la nube a partir de la fase de diseño inicial de tus aplicaciones y de tu infraestructura. Google Cloud proporciona planos y recomendaciones de arquitectura para ayudarte a aplicar este principio.
- Implementa la confianza cero: Usa un enfoque de nunca confiar, siempre verificar, en el que el acceso a los recursos se otorga en función de la verificación continua de la confianza. Google Cloud admite este principio a través de productos como Chrome Enterprise Premium y Identity-Aware Proxy (IAP).
- Implementa la seguridad de detección temprana de errores: Implementa controles de seguridad al principio del ciclo de vida del desarrollo de software. Evita los defectos de seguridad antes de que se realicen cambios en el sistema. Detecta y corrige errores de seguridad de forma temprana, rápida y confiable después de que se confirman los cambios en el sistema. Google Cloud admite este principio a través de productos como Cloud Build, Autorización binaria y Artifact Registry.
- Implementa la ciberdefensa preventiva: Adopta un enfoque proactivo de la seguridad implementando medidas fundamentales sólidas, como la inteligencia contra amenazas. Este enfoque te ayuda a crear una base para una detección y respuesta ante amenazas más eficaces. El enfoque deGoogle Cloud para los controles de seguridad en capas se alinea con este principio.
- Usa la IA de forma segura y responsable: Desarrolla e implementa sistemas de IA de forma responsable y segura. Las recomendaciones para este principio se alinean con la orientación de la perspectiva de IA y AA del Well-Architected Framework y en el Secure AI Framework (SAIF) de Google.
- Usa la IA para la seguridad: Usa las capacidades de la IA para mejorar tus sistemas y procesos de seguridad existentes a través de Gemini en Security y las capacidades generales de seguridad de la plataforma. Usa la IA como una herramienta para aumentar la automatización del trabajo de corrección y garantizar la higiene de la seguridad para que otros sistemas sean más seguros.
- Satisface las necesidades de reglamentación, cumplimiento y privacidad: Cumple con las reglamentaciones específicas de la industria, los estándares de cumplimiento y los requisitos de privacidad. Google Cloud te ayuda a cumplir con estas obligaciones a través de productos como Assured Workloads, el servicio de políticas de la organización y nuestro centro de recursos de cumplimiento.
Mentalidad de seguridad de la organización
Una mentalidad organizacional centrada en la seguridad es fundamental para la adopción y la operación exitosas de la nube. Esta mentalidad debe estar profundamente arraigada en la cultura de tu organización y reflejarse en sus prácticas, que se guían por los principios de seguridad fundamentales, como se describió anteriormente.
Una mentalidad de seguridad organizacional enfatiza que pienses en la seguridad durante el diseño del sistema, asumas la confianza cero y, además, integres funciones de seguridad en todo el proceso de desarrollo. Con esta mentalidad, también piensas de forma proactiva en las medidas de ciberdefensa, usas la IA de forma segura y para la seguridad, y consideras tus requisitos normativos, de privacidad y de cumplimiento. Si adoptas estos principios, tu organización puede cultivar una cultura que priorice la seguridad y aborde las amenazas de forma proactiva, proteja los activos valiosos y ayude a garantizar el uso responsable de la tecnología.
Áreas de enfoque de la seguridad en la nube
En esta sección, se describen las áreas en las que debes enfocarte cuando planificas, implementas y administras la seguridad de tus aplicaciones, sistemas y datos. Las recomendaciones de cada principio de este pilar son pertinentes para una o más de estas áreas de enfoque. En el resto de este documento, las recomendaciones especifican las áreas de enfoque de seguridad correspondientes para proporcionar más claridad y contexto.
| Área de enfoque | Actividades y componentes | Productos, Google Cloud capacidades y soluciones relacionados |
|---|---|---|
| Seguridad de la infraestructura |
|
|
| Administración de identidades y accesos |
|
|
| Seguridad de los datos |
|
|
| Seguridad de la IA y el AA |
|
|
| Operaciones de seguridad (SecOps) |
|
|
| Seguridad para aplicaciones |
|
|
| Administración, riesgo y cumplimiento de la nube |
|
|
| Registro, auditoría y supervisión |
|
Colaboradores
Autores:
- Wade Holmes | Director de Soluciones Globales
- Hector Diaz | Arquitecto de seguridad en la nube
- Carlos Leonardo Rosario | Especialista en seguridad de Google Cloud
- John Bacon | Arquitecto de soluciones para socios
- Sachin Kalra | Gerente de Soluciones de Seguridad Globales
Otros colaboradores:
- Anton Chuvakin | Asesor de seguridad, Oficina del CISO
- Daniel Lees | Arquitecto de Seguridad en la Nube
- Filipe Gracio, PhD | Ingeniero de Atención al cliente, especialista en IA y AA
- Gary Harmson | Arquitecto principal
- Gino Pelliccia | Arquitecto principal
- Jose Andrade | Ingeniero de atención al cliente, especialista en SRE
- Autor: Kumar Dhanagopal | Desarrollador de soluciones entre productos
- Laura Hyatt | Ingeniero de Atención al cliente, FSI
- Marwan Al Shawi | Ingeniero de Atención al Cliente para Socios
- Nicolas Pintaux | Ingeniero de atención al cliente, especialista en modernización de aplicaciones
- Noah McDonald | Consultor de seguridad de Cloud
- Osvaldo Costa | Ingeniero de Atención al cliente especializado en herramientas de redes
- Radhika Kanakam | Líder de programa, Google Cloud Well-Architected Framework
- Samantha He | Escritora técnica
- Susan Wu | Gerente de Productos Salientes