Ce document fournit une architecture de haut niveau pour sécuriser des ensembles de données volumineux contenant des données sensibles, y compris des informations permettant d'identifier personnellement l'utilisateur, dans Google Cloud. L'architecture est conçue pour aider à protéger les données sensibles contre l'exposition accidentelle et l'exfiltration malveillante. Il est destiné aux responsables de la conformité des données et aux ingénieurs en sécurité cloud qui connaissent les concepts de base de la mise en réseau et de l'identité dans le cloud. L'architecture met en avant l'utilisation de périmètres réseau qui remplacent explicitement les paramètres permissifs de Identity and Access Management (IAM) pour empêcher tout accès public non autorisé, même lorsque les ressources sont mal configurées.
La section Déploiement de ce document fournit un exemple de code Terraform pour déployer automatiquement ce périmètre et simuler un blocage de l'accès public.
Architecture
Le diagramme de l'architecture suivant illustre une stratégie de protection des données robuste et multicouche sur Google Cloud. Il montre efficacement comment les données passent d'un état non structuré à un environnement sécurisé et gouverné.
Le schéma précédent montre comment chaque service Google assure la sécurité des données, de l'importation initiale à l'accès aux données :
- Un utilisateur disposant des autorisations IAM appropriées importe des données dans le service de stockage de données BigQuery ou Cloud Storage. Les services de stockage sont configurés pour utiliser des clés de chiffrement gérées par le client (CMEK) et Cloud KMS Autokey.
- Le service chiffre les données à l'aide d'une CMEK récupérée à partir de Cloud KMS Autokey.
- Sensitive Data Protection inspecte, classe et anonymise en continu les données sensibles du dépôt. Pour anonymiser les données sensibles, Sensitive Data Protection les masque à l'aide de modèles et d'options que vous configurez.
- Les services de stockage se trouvent dans un périmètre VPC Service Controls, qui bloque l'accès aux données depuis l'extérieur du périmètre. Pour accorder des autorisations d'accès aux utilisateurs et aux systèmes désignés (principaux IAM), vous utilisez un modèle de niveau d'accès Access Context Manager. Les comptes principaux désignés peuvent ensuite accéder aux données qui se trouvent dans le périmètre.
- VPC Service Controls refuse l'accès à toute personne qui n'est pas spécifiée dans le modèle de niveau d'accès.
Produits utilisés
- VPC Service Controls : fonctionnalité de mise en réseau gérée qui minimise les risques d'exfiltration de données pour vos ressources Google Cloud .
- Sensitive Data Protection : service entièrement géré conçu pour vous aider à découvrir, classer et protéger vos éléments de données précieux, y compris les informations permettant d'identifier personnellement l'utilisateur.
- Cloud Key Management Service (Cloud KMS) : service qui vous permet de créer, d'importer et de gérer des clés cryptographiques, et d'effectuer des opérations cryptographiques dans un seul service cloud centralisé.
- Access Context Manager : service qui vous permet de définir des règles de contrôle d'accès précises et basées sur des attributs pour vos projets et ressources dans Google Cloud.
- BigQuery : entrepôt de données d'entreprise qui vous aide à gérer et analyser vos données grâce à des fonctionnalités intégrées telles que le machine learning, l'analyse géospatiale et l'informatique décisionnelle.
- Cloud Storage : store d'objets économique et sans limite pour tout type de données. Les données sont accessibles depuis et en dehors de Google Cloud, et sont répliquées sur plusieurs emplacements à des fins de redondance.
Cas d'utilisation
Cette architecture fournit un framework de sécurité robuste pour gérer les données sensibles dans Google Cloud. Il se concentre sur la protection des données, le contrôle des accès et la prévention de l'exfiltration. L'architecture permet d'établir un environnement sécurisé pour les données sensibles en combinant un chiffrement fort avec l'anonymisation automatisée des données et des contrôles de périmètre réseau. Cette implémentation permet de s'assurer que les données sont chiffrées avec des clés contrôlées par le client (CMEK), que les informations sensibles sont automatiquement détectées et masquées, et que l'accès est strictement limité et géré de manière contextuelle. Ces mesures permettent de réduire considérablement les risques d'exfiltration de données.
Voici des exemples de cas d'utilisation de l'architecture décrite dans ce document :
- Secteurs réglementés (finance, santé, secteur public) : les secteurs fortement réglementés ont besoin de frameworks de sécurité qui les aident à assurer la conformité et la sécurité des données. Pour assurer la conformité et protéger les données client sensibles, il est essentiel de s'assurer que les données sont sécurisées au repos, que les données sensibles sont détectées et que des contrôles d'accès sont en place. Nous recommandons aux secteurs réglementés de mettre en œuvre cette conception pour assurer la conformité des données.
- Secteurs non réglementés : les secteurs qui ne sont pas soumis à des réglementations sur les données peuvent tirer parti de la mise en œuvre d'un framework de sécurité robuste. Il est important d'empêcher l'exposition des données sensibles, de stocker les données de manière sécurisée et de mettre en place des règles qui contrôlent l'accès aux données. L'architecture décrite dans ce document peut aider un secteur non réglementé à atteindre le même niveau de sécurité qu'un secteur fortement réglementé. Nous recommandons aux secteurs non réglementés de mettre en œuvre cette conception en tant que bonne pratique.
Considérations de conception
- Pour analyser les cas de non-respect des journaux et éviter les verrouillages accidentels des charges de travail de production, implémentez toujours VPC Service Controls en mode dry run en premier.
- Pour vous assurer que les réseaux d'entreprise et les appareils d'administration de confiance peuvent interagir avec les ressources protégées, définissez des règles et des niveaux Access Context Manager précis.
Pour identifier rapidement et à moindre coût l'emplacement où des données sensibles pourraient se trouver, exécutez Sensitive Data Protection avec l'échantillonnage activé sur de grands ensembles de données. Pour en savoir plus, consultez les ressources suivantes :
- Inspecter BigQuery pour détecter les données sensibles à l'aide de l'échantillonnage
- Inspecter Cloud Storage avec échantillonnage
Pour assurer une protection complète de ces ensembles de données, exécutez une analyse complète après avoir inspecté les données avec l'échantillonnage. Pour en savoir plus, consultez Présentation de la découverte de données sensibles.
Pour garantir l'application automatique du chiffrement, avant de créer des ressources, activez Cloud KMS Autokey au niveau du dossier ou du projet.
Déploiement
Pour déployer un exemple d'implémentation de cette architecture, utilisez l'exemple de code de sécurité des données disponible sur GitHub.
Étapes suivantes
- Pour vous familiariser avec Cloud KMS Autokey, consultez l'atelier de programmation Chiffrer facilement des ressources avec Cloud KMS Autokey.
- Découvrez comment utiliser VPC Service Controls avec Access Context Manager.
- Pour découvrir d'autres architectures de référence, schémas et bonnes pratiques, consultez le Centre d'architecture cloud.
Contributeurs
Auteurs :
- Manish Gaur | Architecte de sécurité
- James Meyer | Architecte en sécurité
Autres contributeurs :
- Osvaldo Costa | Ingénieur client spécialiste en gestion des réseaux
- Susan Wu | Responsable produit orienté client
- Mark Schlagenhauf | Rédacteur technique, Mise en réseau
- Biodun Awojobi | Responsable de l'ingénierie client, sécurité et conformité