התוכן הזה עודכן לאחרונה באוקטובר 2026, והוא מציג את המצב הקיים במועד כתיבתו. מדיניות האבטחה ומערכות האבטחה של Google עשויות להשתנות בעתיד, מכיוון שאנחנו כל הזמן פועלים לשיפור ההגנה על הלקוחות שלנו.
במאמר הזה נסביר על התהליך המאובטח שמתרחש כשמוחקים את נתוני הלקוחות ב- Google Cloud. כפי שמוגדר בתנאים ובהגבלות שלGoogle Cloud , נתוני הלקוחות הם נתונים שהלקוחות ומשתמשי הקצה מספקים ל-Google באמצעות השירותים שבחשבון שלהם.
במאמר הזה מוסבר איך נתוני הלקוחות מאוחסנים במנוחה ב-Google Cloud, איך פועל צינור עיבוד הנתונים למחיקה ואיך אנחנו מונעים שחזור של נתונים שמאוחסנים בפלטפורמה שלנו. המסמך הזה לא רלוונטי לנתונים שמעובדים באופן זמני בזיכרון (כמו עומסי עבודה של AI גנרטיבי שמוגדרים לאפס שמירת נתונים).
למידע על המחויבות שלנו למחיקת נתונים, קראו את הנספח לעיבוד נתונים ב-Cloud (לקוחות).
אחסון נתונים ושכפול נתונים
ב-Google Cloud יש מסדי נתונים ושירותי ניתוח נתונים כמו Bigtable ו-Spanner. רוב האפליקציות והשירותים של Google Cloud ניגשים לתשתית האחסון של Google באופן עקיף באמצעות שירותי הענן האלה.
רפליקציית נתונים היא קריטית כדי להשיג פתרונות עם זמן אחזור נמוך, זמינות גבוהה, מדרגיות ועמידות. אפשר לאחסן עותקים מיותרים של נתוני לקוחות באופן מקומי, אזורי ואפילו גלובלי, בהתאם להגדרות ולדרישות של הפרויקטים שלכם. פעולות שמתבצעות על נתונים ב- Google Cloud עשויות להיות משוכפלות בו-זמנית בכמה מרכזי נתונים, כדי שנתוני הלקוחות יהיו זמינים מאוד. כשמתרחשים שינויים שמשפיעים על הביצועים בסביבת החומרה, התוכנה או הרשת, נתוני הלקוחות מועברים באופן אוטומטי ממערכת או מתקן אחד לאחר, בכפוף להגדרות האישיות של הלקוחות. העברת מערכות או מתקנים מאפשרת לפרויקטים של הלקוחות להמשיך לפעול בקנה מידה גדול וללא הפרעה.
ברמת האחסון הפיזי, נתוני הלקוחות מאוחסנים במנוחה בשני סוגים של מערכות: מערכות אחסון פעילות ומערכות אחסון לגיבוי. שני סוגי המערכות האלה מעבדים נתונים בצורה שונה. מערכות אחסון פעילות הן שרתי הייצור שלGoogle Cloudשמריצים את שכבות האפליקציה והאחסון של Google. מערכות פעילות הן מערכים גדולים של דיסקים וכוננים שמשמשים לכתיבת נתונים חדשים, וגם לאחסון ולשליפה של נתונים בכמה עותקים משוכפלים. מערכות אחסון פעילות מותאמות לביצוע פעולות קריאה וכתיבה בזמן אמת על נתוני לקוחות במהירות ובקנה מידה גדול.
במערכות האחסון של Google לגיבוי נשמרים עותקים מלאים ומצטברים של המערכות הפעילות של Google למשך פרק זמן מוגדר, כדי לעזור ל-Google לשחזר נתונים ומערכות במקרה של הפסקה קטסטרופלית או אסון. בניגוד למערכות פעילות, מערכות הגיבוי מיועדות לקבל תמונות מצב תקופתיות של מערכות Google, ועותקי הגיבוי מוצאים משימוש אחרי חלון זמן מוגבל, ככל שנוצרים עותקי גיבוי חדשים.
בכל מערכות האחסון, נתוני הלקוחות מוצפנים כשהם מאוחסנים במצב מנוחה. אפשר לקרוא מידע נוסף במאמר ברירת המחדל להצפנה במנוחה.
תהליך מחיקת הנתונים
אחרי שנתוני הלקוחות מאוחסנים ב- Google Cloud, המערכות שלנו מתוכננות לאחסן את הנתונים באופן מאובטח עד שצינור עיבוד הנתונים למחיקת נתונים משלים את השלבים שלו. בקטע הזה מתוארים שלבי המחיקה.
שלב 1: בקשת מחיקה
מחיקת נתוני הלקוחות מתחילה כשאתם שולחים בקשת מחיקה. בדרך כלל, בקשת מחיקה מופנית למשאב ספציפי, לפרויקט ב-Google Cloud או לחשבון Google. יכול להיות שבקשות מחיקה יטופלו בדרכים שונות, בהתאם להיקף הבקשה:
מחיקת משאבים: אפשר למחוק משאבים ספציפיים שמכילים נתוני לקוחות, כמו קטגוריות של Cloud Storage, בכמה דרכים ממסוףGoogle Cloud או באמצעות API. מידע נוסף זמין במאמר מחיקת קטגוריות.
בעומסי עבודה של AI ושל סוכנים, יכול להיות שתצטרכו למחוק משאבי צאצא או פריטי מידע שנוצרו כדי למחוק משאב. לדוגמה, תהליך המחיקה יכול למחוק גם סשנים של הנציג, זיכרונות ב-Memory Bank ואת היסטוריית השיחות במקור.
מחיקת פרויקט: אם אתם הבעלים של פרויקט ב- Google Cloud , אתם יכולים לסגור אותו. מחיקת פרויקט פועלת כבקשה למחיקה בכמות גדולה של כל המשאבים שקשורים למספר הפרויקט המתאים.
מחיקת חשבון Google: כשמוחקים את חשבון Google, נמחקים כל הפרויקטים שלא משויכים לארגון ונמצאים בבעלותכם הבלעדית. אם לפרויקט שלא שייך לארגון יש כמה בעלים, הפרויקט לא יימחק עד שכל הבעלים יוסרו מהפרויקט או ימחקו את חשבונות Google שלהם. התהליך הזה מבטיח שהפרויקטים ימשיכו לפעול כל עוד יש להם בעלים.
מחיקת חשבון Google Workspace או Cloud Identity: ארגונים שקשורים לחשבון Google Workspace או Cloud Identity נמחקים כשמוחקים את החשבון. מידע נוסף זמין במאמר מחיקת חשבון Google של הארגון.
מחיקת חשבונות שירות וזהויות של סוכנים: אתם יכולים למחוק חשבונות שירות ישירות דרך ניהול הזהויות והרשאות הגישה (IAM). עם זאת, זהות של נציג קשורה למחזור החיים של משאב הנציג המארח, והיא נמחקת כשמוחקים את הנציג הבסיסי.
אתם משתמשים בבקשות מחיקה בעיקר כדי לנהל את הנתונים שלכם. עם זאת, Google יכולה להנפיק בקשות מחיקה באופן אוטומטי, למשל כשאתם מסיימים את הקשר עם Google.
שלב 2: מחיקה זמנית
מחיקה זמנית מספקת תקופה קצרה של אחסון זמני פנימי ושחזור, כדי לוודא שיש זמן לשחזר נתונים שסומנו למחיקה בטעות או בשגיאה. מוצרים Google Cloud מסוימים עשויים לאמץ ולהגדיר תקופת שחזור מוגדרת כזו לפני שהנתונים נמחקים ממערכות האחסון הבסיסיות, כל עוד התקופה מתאימה לציר הזמן הכולל של Google למחיקה. לדוגמה, חשבונות שירות שנמחקו נכנסים לתקופת שחזור של 30 יום, שבה הם מושבתים אבל אפשר לשחזר אותם.
כשפרויקטים נמחקים, קודם כלGoogle Cloud מזהה את מספר הפרויקט הייחודי, ואז משדר אות השעיה למוצרי Google Cloud שקשורים למספר הפרויקט הזה. הפרויקט נכנס לתקופת שחזור של עד 30 יום. במהלך התקופה הזו, רוב השירותים מושעים והמשאבים שקשורים למספר הפרויקט נשמרים. לדוגמה, ב-Compute Engine המכונות מושעות וב-Bigtable הגישה לטבלאות הרלוונטיות מושבתת. בשירותים מסוימים, כמו Cloud Storage ו-Pub/Sub, יכול להיות שהמחיקה של המשאבים תתחיל מוקדם יותר.
בסיום תקופת השחזור,Google Cloud משדרת אות טיהור למוצרים הרלוונטיים כדי להשלים את המחיקה הלוגית של המשאבים שנותרו וקשורים למספר הפרויקט. Google ממתינה, ומשדרת מחדש את האות לפי הצורך, כדי לאסוף אות אישור (ACK) מכל מוצר להשלמת מחיקת הפרויקט.
כשחשבון Google נסגר, Google עשויה להחיל תקופת שחזור פנימית של עד 30 ימים, בהתאם לפעילות הקודמת בחשבון. אחרי שתקופת השחזור מסתיימת, Google משדרת אות שמכיל את מזהה המשתמש של חשבון Google שנמחק למוצרי Google, ופרויקטים ומשאבים ב- Google Cloud שקשורים רק למזהה המשתמש הזה מסומנים למחיקה.
שלב 3: מחיקה לוגית ממערכות פעילות
אחרי שהנתונים מסומנים למחיקה ותקופת השחזור מסתיימת, הנתונים נמחקים ברצף ממערכות האחסון הפעילות וממערכות הגיבוי של Google. במערכות פעילות, הנתונים נמחקים בשתי דרכים.
ברוב מוצרי Google Cloud שמאחסנים נתונים, עותקים של הנתונים שנמחקו מסומנים כנפח אחסון זמין, ועם הזמן נכתבים עליהם נתונים חדשים. במערכת אחסון פעילה כמו Bigtable, הנתונים שנמחקו מאוחסנים כרשומות בטבלה מובנית ענקית. דחיסת טבלאות קיימות כדי להחליף נתונים שנמחקו יכולה להיות יקרה, כי היא דורשת כתיבה מחדש של טבלאות של נתונים קיימים (שלא נמחקו). לכן, איסוף אשפה מסוג "סימון וסריקה" ואירועי דחיסה גדולים מתוכננים להתרחש במרווחי זמן קבועים כדי להחזיר שטח אחסון ולהחליף נתונים שנמחקו.
בשירותים כמו Cloud Storage, נתוני הלקוחות נמחקים גם באמצעות מחיקה קריפטוגרפית. זו שיטה מקובלת בתחום שבה הנתונים הופכים לבלתי קריאים על ידי מחיקת מפתחות ההצפנה שנדרשים כדי לפענח את הנתונים האלה. אחד היתרונות של שימוש במחיקה קריפטוגרפית, בין אם היא כוללת מפתחות הצפנה שסופקו על ידי Google או מפתחות הצפנה מטעם הלקוח, הוא שאפשר להשלים את המחיקה הלוגית עוד לפני שכל הבלוקים שנמחקו מהנתונים האלה נכתבים מחדש במערכות האחסון הפעילות ובמערכות הגיבוי של Google Cloud.
שלב 4: פקיעת תוקף במערכות הגיבוי
בדומה למחיקה מהמערכות הפעילות של Google, הנתונים שנמחקו מוסרים ממערכות הגיבוי באמצעות טכניקות של כתיבה על נתונים קיימים וטכניקות קריפטוגרפיות. עם זאת, במערכות גיבוי, נתוני הלקוחות בדרך כלל מאוחסנים בתמונות מצב מצטברות גדולות של מערכות פעילות. המערכות האלה נשמרות לתקופות זמן קבועות כדי להבטיח את המשכיות הפעילות העסקית במקרה של אסון (לדוגמה, הפסקת חשמל שמשפיעה על מרכז נתונים שלם). בהתאם לשיטות סבירות של המשכיות עסקית, קובצי snapshot מלאים וקובצי snapshot מצטברים של מערכות פעילות נוצרים במחזורים יומיים, שבועיים וחודשיים, ומוצאים משימוש אחרי פרק זמן מוגדר מראש כדי לפנות מקום לקובצי ה-snapshot החדשים ביותר.
כשהגיבוי יוצא משימוש, הוא מסומן כשטח פנוי ומוחלף בגיבויים חדשים יומיים, שבועיים או חודשיים.
מחזור גיבוי סביר מטיל עיכוב מוגדר מראש בהפצה של בקשה למחיקת נתונים דרך מערכות הגיבוי. כשנתוני הלקוחות נמחקים ממערכות פעילות, הם לא מועתקים יותר למערכות גיבוי. התוקף של גיבויים שבוצעו לפני המחיקה פג באופן קבוע, בהתאם למחזור הגיבוי שהוגדר מראש.
לבסוף, יכול להיות שהנתונים שנמחקו יימחקו באמצעות מחיקה קריפטוגרפית לפני שתוקף הגיבוי שמכיל את נתוני הלקוחות יפוג. בלי מפתח ההצפנה ששימש להצפנת נתוני הלקוח הספציפיים, לא ניתן לשחזר את נתוני הלקוח, גם במהלך משך החיים שנותר להם במערכות הגיבוי של Google.
לוח הזמנים למחיקה
Google Cloud תוכנן כדי להשיג רמה גבוהה של מהירות, זמינות, עמידות ועקביות. התכנון של מערכות שעברו אופטימיזציה למאפייני הביצועים האלה חייב להיות מאוזן בקפידה עם הצורך למחוק את הנתונים בזמן. Google Cloud מתחייבת למחוק את נתוני הלקוחות תוך תקופה מקסימלית של כשישה חודשים (180 יום). ההתחייבות הזו כוללת את השלבים בתהליך המחיקה של Google שתוארו קודם, כולל:
- שלב 2: אחרי ששולחים את בקשת המחיקה, בדרך כלל הנתונים מסומנים למחיקה באופן מיידי. אנחנו שואפים לבצע את השלב הזה תוך 24 שעות לכל היותר. אחרי שהנתונים מסומנים למחיקה, יכול להיות שתחול תקופת שחזור פנימית של עד 30 יום, בהתאם לשירות או לבקשת המחיקה.
- שלב 3: מחיקה לוגית ממערכות פעילות דורשת זמן להשלמת משימות איסוף הזבל. התהליכים האלה עשויים להתרחש מיד אחרי קבלת בקשת המחיקה, בהתאם לרמת השכפול של הנתונים ולתזמון של מחזורי איסוף האשפה השוטפים. אחרי ששולחים את בקשת המחיקה, בדרך כלל לוקח כחודשיים למחוק את הנתונים מהמערכות הפעילות. חלון הזמן הזה של חודשיים מספיק בדרך כלל כדי להביא בחשבון כל תקופת שחזור, להשלים שני מחזורים גדולים של איסוף אשפה ולוודא שהמחיקה הלוגית הושלמה.
- שלב 4: מחזור הגיבוי של Google מתוכנן כך שהתוקף של נתונים שנמחקו יפוג בגיבויים של מרכז הנתונים תוך שישה חודשים ממועד בקשת המחיקה. יכול להיות שהמחיקה תתבצע מוקדם יותר, בהתאם לרמת השכפול של הנתונים ולתזמון של מחזורי הגיבוי השוטפים של Google.
בתרשים הבא מוצגים השלבים בתהליך המחיקה של Google Cloud, ומתי הנתונים נמחקים מהמערכות הפעילות וממערכות הגיבוי.
חיטוי מדיה
תוכנית מוקפדת לניקוי מדיה משפרת את האבטחה של תהליך המחיקה, בכך שהיא מונעת התקפות פורנזיות או התקפות מעבדה על המדיה הפיזית לאחסון אחרי שהיא הגיעה לסוף מחזור החיים שלה.
Google עוקבת בקפידה באמצעות ברקודים ותגי נכסים אחרי המיקום והסטטוס של כל ציוד האחסון במרכזי הנתונים, מהרגע שהציוד נרכש והותקן ועד להוצאתו משימוש והשמדתו. המעקב מתבצע באמצעות מסד הנתונים של הנכסים של Google. כדי למנוע הוצאה של ציוד מקומת מרכז הנתונים ללא אישור, אנחנו משתמשים בשיטות שונות כמו זיהוי ביומטרי, גלאי מתכות, מצלמות, מחסומים לכלי רכב ומערכות לגילוי חדירות (IDS) מבוססות לייזר. למידע נוסף, קראו את הסקירה הכללית על תכנון האבטחה בתשתית של Google.
יש מגוון סיבות להוצאה משימוש של מדיה פיזית לאחסון. אם רכיב כלשהו נכשל בבדיקת ביצועים בכל שלב במהלך מחזור החיים שלו, אנחנו מסירים אותו מהמלאי ומוציאים אותו משימוש. Google גם משדרגת חומרה מיושנת כדי לשפר את מהירות העיבוד ואת היעילות האנרגטית, או כדי להגדיל את נפח האחסון. בין אם החומרה מושבתת בגלל תקלה, שדרוג או כל סיבה אחרת, מדיות האחסון מושבתות באמצעות אמצעי הגנה הולמים.
בכוננים הקשיחים של Google נעשה שימוש בטכנולוגיות כמו הצפנת דיסק שלם (FDE) ונעילת כונן, כדי להגן על הנתונים באחסון במהלך ההוצאה משימוש. כשמוציאים משימוש כונן קשיח, עובדים מורשים מוודאים שהדיסק נמחק על ידי כתיבת אפסים בכונן וביצוע תהליך אימות רב-שלבי, כדי להבטיח שהכונן לא מכיל נתונים.
אם לא ניתן למחוק את אמצעי האחסון מסיבה כלשהי, הוא מאוחסן באופן מאובטח עד להשמדתו הפיזית. בהתאם לציוד הזמין, אנחנו מוחצים ומעוותים את הכונן או גורסים אותו לחתיכות קטנות. בכל מקרה, הדיסק ממוחזר במתקן מאובטח, כדי לוודא שאף אחד לא יוכל לקרוא נתונים בדיסקים של Google שהוצאו משימוש. כל מרכזי הנתונים פועלים בהתאם למדיניות סילוק קפדנית, ומשתמשים בשיטות המתוארות כדי לעמוד בדרישות של NIST SP 800-88 Rev. 2 Guidelines for Media Sanitization ושל DoD 5220.22-M National Industrial Security Program Operating Manual.