En este documento, se proporciona una arquitectura de alto nivel para proteger conjuntos de datos masivos que contienen datos sensibles, incluida la información de identificación personal (PII), en Google Cloud. La arquitectura está diseñada para ayudar a proteger los datos sensibles contra la exposición accidental y el robo malicioso. Está destinado a los oficiales de cumplimiento de datos y a los ingenieros de seguridad en la nube que están familiarizados con los conceptos básicos de las herramientas de redes y la identidad en la nube. La arquitectura destaca el uso de perímetros de red que anulan de forma explícita la configuración permisiva de Identity and Access Management (IAM) para evitar el acceso público no autorizado, incluso cuando los recursos están mal configurados.
En la sección Implementación de este documento, se proporciona una muestra de código de Terraform para implementar este perímetro de forma automática y simular un bloqueo de acceso público.
Arquitectura
En el siguiente diagrama de arquitectura, se ilustra una estrategia sólida de protección de datos en varias capas en Google Cloud. Muestra de forma eficaz cómo los datos pasan de un estado no estructurado a un entorno seguro y administrado.
En el diagrama anterior, se muestra cómo cada servicio de Google proporciona seguridad para los datos desde la carga inicial hasta el acceso a los datos:
- Un usuario con los permisos de IAM adecuados sube datos al servicio de almacén de datos de BigQuery o Cloud Storage. Los servicios de almacenamiento están configurados para usar claves de encriptación administradas por el cliente (CMEK) y Autokey de Cloud KMS.
- El servicio encripta los datos con una CMEK que se recupera de Autokey de Cloud KMS.
- Sensitive Data Protection inspecciona, clasifica y desidentifica continuamente los datos sensibles en el repositorio. Para desidentificar datos sensibles, Sensitive Data Protection enmascara los datos con plantillas y opciones que configuras.
- Los servicios de almacenamiento están dentro de un perímetro de Controles del servicio de VPC, que bloquea el acceso a los datos desde fuera del perímetro. Para otorgar permiso de acceso a usuarios y sistemas designados (principales de IAM), usas una plantilla de nivel de acceso de Access Context Manager. Luego, las principales designadas pueden acceder a los datos que se encuentran dentro del perímetro.
- Los Controles del servicio de VPC deniegan el acceso a cualquier persona que no esté especificada en la plantilla de nivel de acceso.
Productos usados
- Controles del servicio de VPC: Es una funcionalidad de herramientas de redes administradas que minimiza los riesgos de robo de datos para tus recursos de Google Cloud .
- Sensitive Data Protection: Es un servicio completamente administrado que está diseñado para ayudarte a descubrir, clasificar y proteger tus recursos de datos valiosos, incluida la información de identificación personal (PII).
- Cloud Key Management Service (Cloud KMS): Es un servicio que te permite crear, importar y administrar claves criptográficas, y realizar operaciones criptográficas en un único servicio en la nube centralizado.
- Access Context Manager: Es un servicio que te permite definir políticas de control de acceso detalladas y basadas en atributos para tus proyectos y recursos en Google Cloud.
- BigQuery: Es un almacén de datos empresarial que te ayuda a administrar y analizar tus datos con funciones integradas, como el análisis geoespacial, el aprendizaje automático y la inteligencia empresarial.
- Cloud Storage: Es un almacén de objetos de bajo costo y sin límites para varios tipos de datos. Se puede acceder a los datos desde y hacia Google Cloud, y estos se replican en las ubicaciones para aumentar la redundancia.
Casos de uso
Esta arquitectura proporciona un framework de seguridad sólido para controlar datos sensibles en Google Cloud. Se enfoca en la protección de datos, el control de acceso y la prevención del robo de datos. La arquitectura ayuda a establecer un entorno seguro para los datos sensibles, ya que combina una encriptación sólida con la desidentificación automatizada de datos y los controles perimetrales de red. Esta implementación ayuda a garantizar que los datos se encripten con claves controladas por el cliente (CMEK), que la información sensible se detecte y enmascare automáticamente, y que el acceso esté estrictamente limitado y se administre de forma contextual. Estas medidas ayudan a reducir de forma significativa los riesgos de robo de datos.
A continuación, se muestran ejemplos de casos de uso para la arquitectura que se describe en este documento:
- Industrias reguladas (finanzas, atención médica, sector público): Las industrias que están muy reguladas requieren frameworks de seguridad que ayuden a lograr el cumplimiento y la seguridad de los datos. Para lograr el cumplimiento y proteger los datos sensibles de los clientes, es fundamental garantizar que los datos estén protegidos en reposo, que se descubran los datos sensibles y que se implementen controles de acceso. Recomendamos que las industrias reguladas implementen este diseño para ayudar a lograr el cumplimiento de los datos.
- Industrias no reguladas: Las industrias que no están sujetas a reglamentaciones de datos pueden beneficiarse de la implementación de un framework de seguridad sólido. Es importante evitar que se expongan los datos sensibles, almacenarlos de forma segura y contar con políticas que controlen el acceso a ellos. La arquitectura de este documento puede ayudar a una industria no regulada a alcanzar el mismo nivel de seguridad que una industria muy regulada. Recomendamos que las industrias no reguladas implementen este diseño como una práctica recomendada.
Consideraciones del diseño
- Para analizar los incumplimientos de registros y evitar bloqueos accidentales de las cargas de trabajo de producción, siempre implementa los Controles del servicio de VPC en modo de ejecución de prueba primero.
- Para garantizar que las redes corporativas y los dispositivos administrativos de confianza puedan interactuar con los recursos protegidos, define políticas y niveles de Access Context Manager precisos.
Para identificar de forma rápida y rentable dónde podrían residir los datos sensibles, ejecuta Sensitive Data Protection con el muestreo habilitado en conjuntos de datos grandes. Para obtener más información, consulta los siguientes recursos:
- Inspecciona BigQuery en busca de datos sensibles con muestreo
- Inspecciona Cloud Storage con muestreo
Para garantizar una protección integral de esos conjuntos de datos, ejecuta un análisis completo después de inspeccionar los datos con muestreo. Para obtener más información, consulta Descripción general del descubrimiento de datos sensibles.
Para garantizar la aplicación de la encriptación automatizada, antes de crear recursos, habilita Autokey de Cloud KMS a nivel de carpeta o proyecto.
Implementación
Para implementar una implementación de muestra de esta arquitectura, usa la muestra de código de seguridad de los datos que está disponible en GitHub.
¿Qué sigue?
- Para obtener experiencia con Autokey de Cloud KMS, consulta el codelab Encripta recursos fácilmente con Autokey de Cloud KMS.
- Obtén información para usar los Controles del servicio de VPC con Access Context Manager.
- Para obtener más información sobre las arquitecturas de referencia, los diagramas y las prácticas recomendadas, explora Cloud Architecture Center.
Colaboradores
Autores:
- Manish Gaur | Arquitecto de seguridad
- James Meyer | Arquitecto de seguridad
Otros colaboradores:
- Osvaldo Costa | Ingeniero de Atención al cliente especializado en herramientas de redes
- Susan Wu | Gerente de Productos Salientes
- Mark Schlagenhauf | Escritor técnico, Herramientas de redes
- Biodun Awojobi | Jefe de Ingeniería de Atención al Cliente, Seguridad y Cumplimiento