Konten ini terakhir diperbarui pada Oktober 2026, dan menampilkan kondisi pada saat penulisan konten ini. Kebijakan dan sistem keamanan Google dapat berubah di masa mendatang, seiring upaya kami untuk terus meningkatkan perlindungan bagi pelanggan.
Dokumen ini menjelaskan fitur dan produk yang membantu Anda mengontrol akses staf Google ke data pelanggan Anda. Seperti yang dijelaskan dalam Google Cloud Persyaratan Layanan, data pelanggan adalah data yang diberikan pelanggan atau pengguna akhir kepada Google melalui layanan yang terkait dengan akun pelanggan.
Ringkasan akses dengan hak istimewa
Biasanya, data pelanggan Anda hanya diakses oleh Anda dan layanan Google Cloud yang Anda aktifkan. Dalam beberapa kasus, personel Google mungkin memerlukan akses ke data Anda untuk membantu menyediakan layanan yang dikontrak (misalnya, Anda memerlukan dukungan atau perlu melakukan pemulihan dari pemadaman layanan). Jenis akses ini dikenal sebagai akses istimewa.
Karyawan dengan hak istimewa tinggi yang diberi atau memperoleh izin yang ditingkatkan untuk sementara menimbulkan risiko orang dalam yang lebih tinggi. Pendekatan kami terhadap akses istimewa berfokus pada pengurangan jumlah vektor serangan yang mungkin terjadi. Misalnya, kami menggunakan kontrol keamanan berikut:
- Skema autentikasi redundan
- Jalur akses data terbatas
- Tindakan logging dan pemberitahuan di seluruh sistem kami
- Izin yang diatur
Pendekatan ini membantu kami mengontrol dan mendeteksi serangan internal, membatasi dampak insiden, dan mengurangi risiko terhadap data Anda.
Strategi pengelolaan akses istimewa di Google Cloud membatasi kemampuan personel Google untuk melihat atau mengubah data pelanggan. Di Google Cloud, batasan pada akses istimewa adalah bagian integral dari cara kerja produk kami.
Untuk mengetahui informasi selengkapnya tentang kapan personel Google dapat mengakses data Anda, lihat Adendum Pemrosesan Data Cloud.
Filosofi akses dengan hak istimewa
Filosofi akses istimewa Google menggunakan prinsip panduan berikut:
Pembatasan akses harus didasarkan pada peran dan persetujuan banyak pihak: Staf Google ditolak akses sistemnya secara default. Saat akses diberikan, akses tersebut bersifat sementara dan tidak lebih dari yang diperlukan untuk menjalankan peran mereka. Akses ke data pelanggan, operasi penting pada sistem produksi, dan modifikasi kode sumber dikontrol oleh sistem verifikasi manual dan otomatis. Staf Google tidak dapat mengakses data pelanggan tanpa persetujuan permintaan dari individu lain. Staf hanya dapat mengakses resource yang diperlukan untuk melakukan pekerjaan mereka dan harus memberikan justifikasi yang valid untuk mengakses data pelanggan. Untuk mengetahui informasi selengkapnya, lihat Cara Google melindungi layanan produksinya.
Workload harus memiliki perlindungan menyeluruh: Dengan enkripsi dalam pengiriman, enkripsi dalam penyimpanan, dan Confidential Computing untuk enkripsi dalam penggunaan, Google Cloud dapat memberikan enkripsi end-to-end untuk workload pelanggan.
Logging dan audit bersifat berkelanjutan: Akses personel Google ke data pelanggan dicatat dalam log dan sistem deteksi ancaman melakukan audit real-time, yang memberi tahu tim keamanan saat entri log cocok dengan indikator ancaman. Tim keamanan internal mengevaluasi pemberitahuan dan log untuk mengidentifikasi dan menyelidiki aktivitas anomali, sehingga membatasi cakupan dan dampak insiden apa pun. Untuk mengetahui informasi selengkapnya tentang respons insiden, lihat Proses respons insiden data.
Akses harus transparan dan menyertakan kontrol pelanggan: Anda dapat menggunakan kunci enkripsi yang dikelola pelanggan (CMEK) untuk mengelola kunci enkripsi Anda sendiri dan mengontrol akses ke kunci tersebut. Selain itu, Transparansi Akses memastikan bahwa semua akses istimewa memiliki justifikasi bisnis yang dicatat dalam log. Persetujuan Akses memungkinkan Anda menyetujui atau menolak permintaan akses oleh personel Google ke set data tertentu.
Akses staf Google ke data pelanggan
Secara default, personel Google tidak memiliki akses ke data pelanggan Google Cloud .
Untuk mendapatkan akses, personel Google harus memenuhi kondisi berikut:
- Menjadi anggota daftar kontrol akses (ACL) yang relevan.
- Baca dan pahami kebijakan akses data Google secara rutin.
- Gunakan perangkat tepercaya.
- Login dengan autentikasi multi-faktor menggunakan Kunci Keamanan Titan, yang meminimalkan risiko kredensial terkena phishing.
- Alat akses yang mengevaluasi justifikasi yang diberikan (misalnya, tiket dukungan atau ID masalah), peran pengguna, dan konteksnya.
- Jika diwajibkan oleh alat, dapatkan persetujuan otorisasi dari personel Google lain yang memenuhi syarat.
- Jika Anda telah mendaftar ke Persetujuan Akses, dapatkan persetujuan Anda.
Peran personel yang berbeda memerlukan tingkat akses yang berbeda. Misalnya, peran dukungan memiliki akses terbatas ke data pelanggan yang terkait langsung dengan tiket dukungan pelanggan. Peran engineering mungkin memerlukan hak istimewa sistem tambahan untuk mengatasi masalah yang lebih kompleks terkait keandalan layanan atau deployment layanan.
Saat Google bekerja sama dengan pihak ketiga (seperti vendor dukungan pelanggan) untuk menyediakan layanan Google, kami menilai pihak ketiga tersebut untuk memastikan bahwa mereka memberikan tingkat keamanan dan privasi yang sesuai. Google Cloud memublikasikan daftar semua subpemroses yang digunakan untuk membantu menyediakan layanan.
Alasan personel Google mengakses data pelanggan
Meskipun Google Cloud dirancang untuk mengotomatiskan, meminimalkan, atau menghilangkan kebutuhan personel Google untuk mengakses data pelanggan, masih ada beberapa kasus di mana personel Google mungkin mengakses data pelanggan. Kasus ini mencakup dukungan yang dimulai pelanggan, pemadaman layanan atau kegagalan alat, permintaan hukum pihak ketiga, dan peninjauan yang dimulai Google.
Dukungan yang dimulai oleh pelanggan
Akses staf Google ke data pelanggan di layanan yang menggunakan Transparansi Akses biasanya merupakan hasil dari peristiwa yang dimulai oleh pelanggan, seperti menghubungi Cloud Customer Care. Saat Anda menghubungi staf layanan pelanggan untuk menyelesaikan masalah, staf layanan pelanggan hanya mendapatkan akses ke data dengan sensitivitas rendah. Misalnya, jika Anda kehilangan akses ke bucket, staf Layanan Pelanggan hanya memiliki akses ke data dengan sensitivitas rendah seperti nama bucket.
Pemadaman layanan atau kegagalan alat
Selama pemadaman layanan atau kegagalan alat, personel Google dapat mengakses data pelanggan untuk melakukan pencadangan atau pemulihan sesuai kebutuhan. Dalam situasi ini, personel Google menggunakan alat yang dapat langsung mengakses data pelanggan untuk memaksimalkan efisiensi dan menyelesaikan masalah secara tepat waktu. Alat ini mencatat akses ini dan justifikasi yang diberikan oleh engineer. Akses juga diaudit dan dicatat dalam log oleh tim respons keamanan Google. Layanan yang didukung Google Cloud menghasilkan log Transparansi Akses yang dapat Anda lihat selama pemadaman layanan. Selama pemadaman layanan, engineer tidak dapat mengabaikan daftar yang diizinkan untuk resource; namun, mereka dapat mengakses data tanpa persetujuan Anda.
Permintaan hukum pihak ketiga
Permintaan hukum pihak ketiga jarang terjadi, dan hanya tim hukum yang dapat membuat justifikasi akses hukum yang valid. Tim hukum meninjau permintaan tersebut untuk memastikan bahwa permintaan tersebut memenuhi persyaratan hukum dan kebijakan Google, memberikan notifikasi kepada Anda jika diizinkan secara hukum, dan mempertimbangkan keberatan untuk mengungkapkan data sejauh yang diizinkan oleh hukum. Untuk informasi selengkapnya, lihat Permintaan Pemerintah untuk Data Pelanggan Cloud (PDF).
Peninjauan yang dimulai Google
Peninjauan yang dimulai Google juga jarang terjadi. Jika terjadi, audit tersebut dilakukan untuk memastikan bahwa data pelanggan aman, terlindungi, dan tidak disusupi. Alasan utama peninjauan ini adalah masalah keamanan, penipuan, penyalahgunaan, atau audit kepatuhan. Misalnya, jika detektor penambangan bitcoin otomatis mendeteksi bahwa VM digunakan untuk penambangan bitcoin, Google akan meninjau masalah tersebut dan mengonfirmasi bahwa malware di perangkat VM menghabiskan kapasitas VM. Google akan menghapus malware tersebut sehingga penggunaan VM kembali normal.
Cara Google mengontrol dan memantau akses ke data pelanggan
Kontrol internal Google mencakup hal berikut:
- Sistem kontrol yang menyeluruh di seluruh infrastruktur untuk mencegah akses yang tidak sah
- Deteksi dan perbaikan akses tidak sah melalui kontrol berkelanjutan
- Pemantauan, pemberitahuan pelanggaran, dan audit rutin oleh tim audit internal dan auditor pihak ketiga independen
Untuk mempelajari lebih lanjut cara Google mengamankan infrastruktur fisik, lihat Ringkasan desain keamanan infrastruktur Google.
Kontrol di seluruh infrastruktur
Google telah membangun infrastrukturnya dengan fokus pada keamanan. Karena infrastruktur global Google cukup homogen, Google dapat menggunakan infrastruktur otomatis untuk menerapkan kontrol dan membatasi akses istimewa. Bagian berikut menjelaskan beberapa kontrol yang membantu menerapkan prinsip akses hak istimewa kami.
Autentikasi kuat untuk semua akses
Google memiliki persyaratan autentikasi yang kuat untuk akses oleh pengguna (seperti karyawan) dan peran (seperti layanan) ke data. Tugas yang berjalan di lingkungan produksi kami menggunakan identitas ini untuk mengakses penyimpanan data atau metode remote procedure call (RPC) layanan lain. Beberapa tugas dapat dijalankan dengan identitas yang sama. Infrastruktur kami membatasi kemampuan untuk men-deploy atau mengubah tugas yang memiliki identitas tertentu bagi mereka yang bertanggung jawab untuk menjalankan layanan⼀umumnya Site Reliability Engineering (SRE) kami. Saat dimulai, tugas akan disediakan dengan kredensial kriptografis. Tugas ini menggunakan kredensial ini untuk membuktikan identitasnya saat membuat permintaan layanan lain (menggunakan application layer transport security (ALTS)).
Akses kontekstual
Untuk mencapai keamanan zero-trust, infrastruktur Google menggunakan konteks untuk mengautentikasi dan mengizinkan pengguna dan perangkat. Keputusan akses tidak hanya didasarkan pada kredensial statis atau apakah keputusan tersebut berasal dari intranet perusahaan. Konteks lengkap terkait permintaan (seperti identitas pengguna, lokasi, konfigurasi dan kepemilikan perangkat, serta kebijakan akses terperinci) dievaluasi untuk menentukan validitas permintaan dan perlindungannya terhadap upaya phishing dan malware pencuri kredensial.
Dengan menggunakan konteks, setiap permintaan autentikasi dan otorisasi harus menggunakan sandi yang kuat dengan token keamanan atau protokol autentikasi 2 langkah lainnya. Pengguna yang diautentikasi dan perangkat tepercaya diberi akses sementara yang terbatas ke resource yang diperlukan. Inventaris mesin dikelola dengan aman dan status setiap perangkat terhubung (misalnya, update OS, patch keamanan, sertifikat perangkat, software yang diinstal, pemindaian virus, dan status enkripsi) dievaluasi untuk potensi risiko keamanan.
Misalnya, Chrome Enterprise Premium membantu memastikan kredensial karyawan tidak dicuri atau disalahgunakan dan perangkat yang terhubung tidak disusupi. Dengan mengalihkan kontrol akses dari perimeter jaringan ke konteks setiap pengguna dan perangkat, Chrome Enterprise Premium juga memungkinkan personel Google bekerja dengan lebih aman dari hampir semua lokasi tanpa memerlukan VPN.
Peninjauan dan otorisasi untuk semua software produksi
Infrastruktur kami di-container-kan menggunakan sistem pengelolaan cluster yang disebut Borg. Otorisasi Biner untuk Borg memastikan bahwa software produksi ditinjau dan disetujui sebelum di-deploy, terutama saat kode kita dapat mengakses data sensitif. Otorisasi Biner untuk Borg membantu memastikan deployment kode dan konfigurasi memenuhi standar tertentu dan memberi tahu pemilik layanan jika persyaratan ini tidak terpenuhi. Dengan mewajibkan kode untuk memenuhi standar tertentu dan praktik pengelolaan perubahan sebelum mengakses data pengguna, Otorisasi Biner untuk Borg mengurangi potensi personel Google (atau akun yang disusupi) bertindak sendiri untuk mengakses data pengguna secara terprogram.
Mengakses file log
Infrastruktur Google mencatat akses data dan perubahan kode ke dalam log. Jenis logging mencakup hal berikut:
- Log pelanggan: Tersedia menggunakan Cloud Audit Logs.
Log akses administratif: Tersedia menggunakan Transparansi Akses.
Log integritas deployment: Log internal tentang pengecualian yang dipantau oleh tim keamanan pusat yang didedikasikan untuk mengaudit akses ke data pelanggan. Pemantauan pengecualian membantu melindungi data sensitif dan meningkatkan keandalan produksi. Pemantauan pengecualian membantu memastikan bahwa kode sumber yang tidak ditinjau atau tidak dikirimkan tidak berjalan di lingkungan dengan hak istimewa, baik secara tidak sengaja maupun sebagai akibat dari serangan yang disengaja.
Deteksi dan respons insiden
Untuk mendeteksi dan merespons dugaan pelanggaran akses, Google menggunakan tim investigasi internal yang ahli serta kontrol manual dan otomatis yang menggabungkan machine learning, pipeline pemrosesan data tingkat lanjut, dan insiden threat intelligence.
Pengembangan sinyal
Inti dari kemampuan deteksi dan respons Google adalah threat intelligence, yang diperkuat oleh analisis berkelanjutan terhadap insiden sebelumnya, traffic jaringan, data internal, log akses sistem, pola perilaku anomali, hasil latihan keamanan ofensif, dan banyak lagi pemberitahuan eksklusif. Data ini dianalisis oleh tim khusus yang menghasilkan database sinyal dinamis, atau indikator ancaman, yang mencakup seluruh Google. Tim engineering menggunakan indikator ancaman untuk mengembangkan sistem deteksi khusus guna memantau sistem internal dari aktivitas berbahaya, memberi tahu staf yang sesuai, dan menerapkan respons otomatis (misalnya, mencabut akses ke resource).
Deteksi ancaman
Ancaman terutama dideteksi dengan memindai log dan mencocokkan entri log dengan indikator ancaman. Sebagai hasil dari autentikasi yang kuat, Google dapat membedakan antara peristiwa manusia, peristiwa layanan, dan peristiwa peniruan identitas layanan dalam log untuk memprioritaskan investigasi terhadap akses manusia yang sebenarnya. Aktivitas yang melibatkan akses data pengguna, kode sumber, dan informasi sensitif akan dicatat dalam log dan memerlukan justifikasi atau pengecualian bisnis. Ancaman dapat mencakup individu yang mencoba mengambil tindakan sepihak pada sistem sensitif atau mencoba mengakses data pengguna tanpa alasan bisnis yang valid. Jenis aktivitas ini memiliki prosedur pemberitahuan yang telah ditentukan.
Investigasi insiden
Saat pelanggaran kebijakan terdeteksi, tim keamanan yang terpisah dari tim engineering dan operasi inti akan memberikan pengawasan independen dan melakukan penyelidikan awal. Tim keamanan menyelesaikan tugas-tugas berikut:
- Tinjau detail insiden dan tentukan apakah akses tersebut disengaja, tidak disengaja, tidak disengaja, disebabkan oleh bug atau kesalahan konfigurasi, atau akibat kontrol yang tidak memadai (misalnya, penyerang eksternal mencuri dan menggunakan kredensial karyawan yang disusupi).
- Jika akses tersebut tidak disengaja atau tidak sengaja (misalnya, personel Google tidak mengetahui, atau secara tidak sengaja melanggar, protokol akses), tim dapat mengambil langkah-langkah segera untuk memperbaiki masalah tersebut (misalnya, dengan memulihkan kekayaan intelektual).
- Jika ada dugaan perilaku berbahaya, tim keamanan akan mengeskalasi insiden dan mengumpulkan informasi tambahan, termasuk log akses data dan sistem, untuk menentukan cakupan dan dampak insiden.
- Bergantung pada hasil penyelidikan tersebut, tim keamanan akan mengirimkan insiden untuk penyelidikan, dokumentasi, dan penyelesaian tambahan, atau, dalam kasus ekstrem, merujuk insiden tersebut ke otoritas atau penegak hukum di luar.
Perbaikan
Tim keamanan menggunakan insiden sebelumnya untuk mengidentifikasi dan mengatasi kerentanan serta meningkatkan kemampuan deteksi. Semua insiden didokumentasikan dan metadata diekstrak untuk mengidentifikasi taktik, teknik, dan prosedur spesifik untuk setiap eksploitasi. Tim menggunakan data tersebut untuk mengembangkan indikator ancaman baru, memperkuat perlindungan yang ada, atau membuat permintaan fitur untuk peningkatan keamanan.
Layanan yang memantau dan mengontrol akses Google ke data
Layanan Google Cloud berikut memberi Anda opsi untuk mencapai visibilitas dan kontrol atas akses Google ke data Anda.
| Google Cloud layanan | Deskripsi |
|---|---|
Persetujuan Akses |
Jika Anda memiliki data yang sangat sensitif atau dibatasi, Persetujuan Akses memungkinkan Anda mewajibkan persetujuan Anda sebelum administrator Google yang berwenang dapat mengakses data Anda untuk mendukung Anda. Permintaan akses yang disetujui dicatat ke dalam log Transparansi Akses yang ditautkan ke permintaan persetujuan. Setelah Anda menyetujui permintaan, akses harus diberi hak istimewa yang sesuai dalam Google sebelum akses diizinkan. Untuk mengetahui daftar layananGoogle Cloud yang mendukung Persetujuan Akses, lihat Layanan yang didukung. |
Transparansi Akses |
Transparansi Akses mencatat akses administratif oleh personel Google yang berwenang saat mereka mendukung organisasi Anda atau mempertahankan ketersediaan layanan. Untuk mengetahui daftar layanan Google Cloud yang mendukung Transparansi Akses, lihat Layanan yang didukung. |
Assured Workloads |
Gunakan Assured Workloads jika perusahaan Anda memerlukan dukungan regional khusus, program peraturan bersertifikasi (misalnya, FedRAMP atau ITAR), atau program seperti Sovereign Controls untuk Uni Eropa. Assured Workloads menyediakan alur kerja pengaktifan bagi pengguna Google Cloud untuk membuat dan memantau masa aktif paket kontrol yang Anda perlukan. |
Cloud KMS |
Gunakan Cloud KMS dengan Cloud EKM untuk mengontrol kunci enkripsi Anda. Cloud KMS dengan Cloud EKM memungkinkan Anda mengenkripsi data dengan kunci enkripsi yang disimpan dan dikelola dalam sistem pengelolaan kunci pihak ketiga yang di-deploy di luar infrastruktur Google. Dengan Cloud EKM, Anda dapat mempertahankan pemisahan antara data dalam penyimpanan dan kunci enkripsi sambil tetap menggunakan keefektifan komputasi dan analisis cloud. |
Confidential Computing |
Gunakan Confidential Computing untuk mengenkripsi data aktif. Google Cloud mencakup layanan berikut yang memungkinkan confidential computing:
Layanan ini memungkinkan Anda mengurangi batas kepercayaan sehingga lebih sedikit resource yang memiliki akses ke data rahasia Anda. Untuk mengetahui informasi selengkapnya, lihat Ringkasan Confidential Computing. |
Justifikasi Akses KunciKey Access Justifications |
Gunakan Key Access Justifications untuk kedaulatan dan penemuan data. Key Access Justifications memberi Anda justifikasi setiap kali kunci yang dihosting secara eksternal digunakan untuk mendekripsi data. Key Access Justifications memerlukan Cloud KMS dengan Cloud HSM atau Cloud KMS dengan Cloud EKM untuk meningkatkan kontrol yang Anda miliki atas data Anda. Anda harus menyetujui akses sebelum personel Google dapat mendekripsi data dalam penyimpanan Anda. |
Langkah berikutnya
- Untuk mengetahui lebih lanjut komitmen kami dalam melindungi privasi data pelanggan, lihat Google Cloud dan prinsip privasi umum.
Untuk mempelajari prinsip inti kontrol yang mencegah akses administratif yang tidak sah, lihat Ringkasan kontrol akses administratif.
Untuk melihat daftar justifikasi bisnis yang dapat digunakan oleh personel Google untuk meminta akses ke data pelanggan, lihat Kode alasan justifikasi.