本文上次更新於 2026 年 10 月，內容反映截至撰文時的情況。Google 會持續加強客戶資料保護措施，因此相關的安全政策和系統可能在日後發生變化。
本文說明可協助您控管 Google 員工對客戶資料存取權的功能和產品。根據《Google Cloud 服務條款》的定義，「客戶資料」是指客戶或使用者透過帳戶服務提供給 Google 的資料。
特殊存取權總覽
一般來說，只有您和您啟用的 Google Cloud服務可以存取客戶資料。在某些情況下，Google 人員可能需要存取您的資料，才能提供合約服務 (例如您需要支援或從服務中斷中復原)。這類存取權稱為「特殊權限存取權」。
暫時獲得或取得較高權限的高權限員工，會帶來較高的內部風險。我們對特殊權限存取的做法，著重於減少可能的攻擊向量數量。舉例來說，我們採用下列安全控管措施：
- 備援驗證機制
- 資料存取途徑有限
- 記錄系統中的動作並發出警示
- 受管制權限
這種做法有助於我們控管及偵測內部攻擊、限制事件影響，並降低資料風險。
Google Cloud 中的特殊權限存取管理策略，限制了 Google 人員查看或修改客戶資料的能力。在Google Cloud中，特殊權限存取限制是產品設計運作方式不可或缺的一環。
如要進一步瞭解 Google 人員可能存取您資料的情況，請參閱《Cloud 資料處理附加條款》。
特殊存取權理念
Google 的特殊存取權理念採用下列指導原則：
存取限制必須依據角色和多方核准： Google 人員預設無法存取系統。授予的存取權為暫時性，且僅限於執行角色所需的權限。客戶資料存取權、正式環境系統的重要作業，以及原始碼修改作業，都由手動和自動驗證系統控管。如果沒有其他人員核准要求，Google 員工就無法存取客戶資料。人員只能存取工作所需的資源，且必須提供有效理由，才能存取客戶資料。詳情請參閱「Google 如何保護自家正式版服務」。
工作負載必須具備端對端保護： Google Cloud 提供傳輸中資料加密、靜態資料加密和機密運算 (使用中資料加密)，可為客戶工作負載提供端對端加密。
持續記錄和稽核：Google 員工存取客戶資料時會留下記錄，威脅偵測系統也會即時稽核，並在記錄項目與威脅指標相符時，向資安團隊發出警示。內部資安團隊會評估警示和記錄，找出並調查異常活動，限制任何事件的範圍和影響。如要進一步瞭解事件應變，請參閱「資料事件應變程序」。
存取權必須公開透明，並包含客戶控管機制：您可以使用客戶自行管理的加密金鑰 (CMEK) 管理自己的加密金鑰，並控管金鑰的存取權。此外，資料存取透明化控管機制可確保所有特殊權限存取行為都有記錄在案的業務理由。存取權核准可讓您核准或拒絕 Google 人員對特定資料集的存取要求。
Google 人員存取客戶資料
根據預設，Google 人員無法存取 Google Cloud 客戶資料。
Google 員工必須符合下列條件，才能取得存取權：
- 是相關存取控管清單 (ACL) 的成員。
- 定期詳閱並確認 Google 的資料存取政策。
- 使用信任的裝置。
- 使用 Titan 安全金鑰透過多重驗證登入，盡可能降低憑證遭網路釣魚竊取的風險。
- 存取工具，評估提供的理由 (例如支援單或問題 ID)、使用者角色和情境。
- 如果工具要求，請取得其他合格 Google 人員的授權核准。
- 如果您已註冊 Access Approval，請取得核准。
不同的人員角色需要不同的存取層級。舉例來說，支援角色對客戶資料的存取權有限，僅限於與客戶支援單直接相關的資料。工程角色可能需要額外的系統權限，才能解決與服務可靠性或部署服務相關的複雜問題。
Google 與第三方 (例如客戶服務供應商) 合作提供 Google 服務時，會評估第三方，確保他們提供適當的安全性與隱私權。 Google Cloud 發布所有複委託者清單，這些複委託者用於協助提供服務。
Google 人員存取客戶資料的原因
雖然 Google Cloud 的設計旨在自動化、盡量減少或消除 Google 員工存取客戶資料的需求，但在某些情況下，Google 員工仍可能存取客戶資料。這些情況包括客戶發起的支援、服務中斷或工具故障、第三方法律案件申請，以及 Google 發起的審查。
客戶發起的支援要求
Google 人員存取使用資料存取透明化控管機制的服務中的客戶資料，通常是由客戶發起的事件所致，例如與 Cloud Customer Care 聯絡。當您聯絡客戶服務人員解決問題時，客戶服務人員只會取得低機密性資料的存取權。舉例來說，如果您無法存取 bucket，客戶服務人員只能存取 bucket 名稱等低機密性資料。
服務中斷或工具故障
在服務中斷或工具故障期間，Google 人員可以存取客戶資料，視需要執行備份或復原作業。在這種情況下，Google 人員會使用可直接存取客戶資料的工具，盡可能提高效率並及時解決問題。這些工具會記錄存取權和工程師提供的理由。Google 安全應變團隊也會稽核及記錄存取權。支援的 Google Cloud服務會產生資料存取透明化控管機制記錄，您可以在服務中斷期間查看這些記錄。服務中斷期間，工程師無法略過資源許可清單，但可以在未經您核准的情況下存取資料。
第三方法律案件申請
第三方法律案件申請相當罕見，且只有法律團隊能產生有效的法律存取理由。法務團隊會審查要求，確保要求符合法律規定和 Google 政策，並在法律允許的情況下通知您，以及在法律允許的範圍內考慮拒絕揭露資料。詳情請參閱「政府提出的 Cloud 客戶資料要求 (PDF)」。
Google 發起的審查要求
Google 發起的審查也相當少見。發生這類事件時，他們會確保客戶資料安全無虞，未遭入侵。審查的主要原因包括安全性疑慮、詐欺、濫用或法規遵循稽核。舉例來說，如果自動比特幣挖礦偵測工具偵測到 VM 用於比特幣挖礦，Google 會審查問題，並確認 VM 裝置上的惡意軟體正在耗盡 VM 的容量。Google 會移除惡意軟體，讓 VM 恢復正常運作。
Google 如何控管及監控客戶資料存取權
Google 的內部控管措施包括：
- 在整個基礎架構中廣泛實施控管系統，防止未經授權的存取行為
- 透過持續控管機制偵測及修復未經授權的存取行為
- 由內部稽核團隊和獨立第三方稽核人員進行監控、違規警示和定期稽核
如要進一步瞭解 Google 如何保護實體基礎架構，請參閱「Google 基礎架構安全防護設計總覽」。
基礎架構層級控制項
Google 基礎架構以安全為核心建構而成。由於 Google 的全球基礎架構相當一致，因此 Google 可以使用自動化基礎架構來實施控管措施，並限制特殊權限存取。以下各節將說明一些有助於實施權限存取原則的控制項。
所有存取權皆須經過高強度驗證
Google 對使用者 (例如員工) 和角色 (例如服務) 存取資料有嚴格的驗證要求。在正式環境中執行的工作會使用這些身分，存取其他服務的資料儲存庫或遠端程序呼叫 (RPC) 方法。多項工作可能會以相同身分執行。我們的基礎架構會限制部署或修改特定身分工作的能力，只有負責執行服務的人員 (通常是網站可靠性工程師 (SRE)) 才能執行這些操作。工作啟動時，系統會為其佈建密碼編譯憑證。工作會使用這些憑證，在向其他服務提出要求時證明其身分 (使用應用程式層傳輸安全性 (ALTS))。
情境感知存取權
為達到零信任安全性，Google 的基礎架構會使用情境資訊驗證及授權使用者和裝置。存取權的授予過程不會單純取決於靜態憑證或是否源自於公司內部網路，系統會評估該項要求的完整情境 (例如使用者身分、位置、裝置所有權和設定，以及精細的存取政策) 以確定其有效性，並且防範網路釣魚和竊取憑證的惡意軟體。
使用情境時，每項驗證和授權要求都必須使用高強度密碼，並搭配安全性權杖或其他雙重驗證通訊協定。通過驗證的使用者和信任的裝置，可暫時取得必要資源的有限存取權。系統會安全地維護機器庫存，並評估每個連線裝置的狀態 (例如 OS 更新、安全性修補程式、裝置憑證、安裝的軟體、病毒掃描和加密狀態)，找出潛在的安全風險。
舉例來說，Chrome Enterprise 進階版可確保員工憑證不會遭竊或濫用，且連結裝置不會遭到入侵。Chrome Enterprise 進階版 將存取權控管設定從網路邊界移轉至個別使用者和裝置的情境，讓 Google 員工幾乎可以在任何地點安全辦公，不必使用 VPN。
審查及授權所有正式版軟體
我們的基礎架構是使用名為 Borg 的叢集管理系統進行容器化。Borg 適用的二進位授權可確保正式版軟體在部署前經過審查和核准，特別是程式碼可存取機密資料時。Borg 的二進位授權可確保程式碼和設定部署符合特定標準，並在不符合這些要求時通知服務擁有者。Borg 專用二進位授權規定程式碼必須符合特定標準和變更管理做法，才能存取使用者資料，因此可降低 Google 人員 (或遭盜用的帳戶) 獨自透過程式輔助方式存取使用者資料的可能性。
存取記錄檔
Google 基礎架構會記錄資料存取和程式碼變更。記錄類型包括：
- 客戶記錄：可透過 Cloud 稽核記錄取得。
管理員權限存取記錄：可透過資料存取透明化控管機制取得。
部署作業完整性記錄：由中央資安團隊監控的例外狀況內部記錄，專門用於稽核客戶資料存取權。例外狀況監控功能有助於保護機密資料，並提高正式環境的可靠性。例外狀況監控功能可確保未經審查或未提交的原始碼不會在具特殊權限的環境中執行，無論是意外或蓄意攻擊。
事件偵測及應變
為偵測及應對疑似違反存取規定的行為，Google 運用內部專家調查團隊，以及結合機器學習、進階資料處理管道和威脅情報事件的手動和自動控制項。
信號開發
Google 偵測和應變能力的核心是威脅情報，這項情報會持續分析過去的事件、網路流量、內部資料、系統存取記錄、異常行為模式、攻擊性安全演練結果，以及許多其他專屬警示，藉此強化防護。這些資料會由專門團隊分析，產生涵蓋整個 Google 的動態信號資料庫，或稱為威脅指標。工程團隊會使用威脅指標開發專門的偵測系統，監控內部系統是否有惡意活動、通知相關人員，並實施自動化應變措施 (例如撤銷資源存取權)。
威脅偵測
偵測威脅的主要方式是掃描記錄，並將記錄項目與威脅指標進行比對。透過強式驗證，Google 可以在記錄中區分人類事件、服務事件和服務模擬事件，優先調查實際的人類存取。涉及存取使用者資料、原始碼和機密資訊的活動都會記錄下來，且必須提供業務理由或例外狀況。威脅包括個人試圖對機密系統採取單方面行動，或在沒有正當業務理由的情況下，試圖存取使用者資料。這類活動有明確的警示程序。
事件調查
偵測到違反政策的情況時，與核心工程和營運團隊分開的資安團隊會提供獨立監督，並進行初步調查。資安團隊會完成下列工作：
- 查看事件詳細資料，判斷存取行為是蓄意、無意、意外、由錯誤或設定錯誤造成，還是控管不當所致 (例如外部攻擊者竊取並使用遭入侵員工的憑證)。
- 如果存取行為是無意或意外發生 (例如 Google 人員不瞭解或誤違反存取通訊協定)，團隊可以立即採取步驟來解決問題 (例如復原智慧財產)。
- 如果懷疑有惡意行為，資安團隊會提報事件，並收集其他資訊 (包括資料和系統存取記錄)，判斷事件的範圍和影響。
- 根據調查結果，資安團隊會提交事件，以便進一步調查、記錄和解決，或在極端情況下，將事件提交給外部主管機關或執法機關。
修復
資安團隊會根據過往事件找出並解決安全漏洞，以及提升偵測能力。所有事件都會記錄下來，並擷取中繼資料，找出每個漏洞的特定戰術、技術和程序。團隊會使用這些資料開發新的威脅指標、強化現有防護措施，或提出功能要求來提升安全性。
監控及控管 Google 資料存取權的服務
下列 Google Cloud 服務提供多種選項，可讓您掌握及控管 Google 對資料的存取權。
| Google Cloud 服務 | 說明 |
|---|---|
存取權核准 |
如果您有高度機密或受限制的資料，可以透過「存取權核准」要求授權的 Google 管理員必須先取得您的核准，才能存取資料並提供支援。核准的存取要求會記錄在與核准要求連結的資料存取透明化控管機制記錄中。核准要求後，Google 必須先正確授予存取權，才能允許存取。如要查看支援 Access Approval 的Google Cloud 服務清單，請參閱「支援的服務」。 |
資料存取透明化控管機制 |
當 Google 授權人員為貴組織提供支援，或維護服務可用性時，資料存取透明化控管機制會記錄管理員權限。如要查看支援資料存取透明化控管機制的 Google Cloud 服務清單，請參閱「支援的服務」。 |
Assured Workloads |
如果企業需要專屬的區域支援、認證法規計畫 (例如 FedRAMP 或 ITAR)，或歐盟主權控管等計畫，請使用 Assured Workloads。Assured Workloads 提供 Google Cloud 使用者啟用工作流程，可建立及監控所需控制套件的生命週期。 |
Cloud KMS |
搭配使用 Cloud KMS 和 Cloud EKM，控管加密金鑰。Cloud KMS 搭配 Cloud EKM，可讓您使用儲存在第三方金鑰管理系統中的加密金鑰來加密資料，該系統部署在 Google 基礎架構之外。Cloud EKM 可讓您妥善分隔靜態資料與加密金鑰，同時運用雲端運算技術進行資料運算及數據分析。 |
機密運算 |
使用機密運算為使用中的資料加密。 Google Cloud 包含下列可啟用機密運算的服務：
|
金鑰存取依據 |
使用金鑰存取依據，確保資料主權和探索。 每次使用外部託管金鑰解密資料時，金鑰存取依據都會提供原因說明。金鑰存取依據需要搭配 Cloud KMS 與 Cloud HSM，或 Cloud KMS 與 Cloud EKM，才能進一步控管資料。您必須核准存取權，Google 人員才能解密您的靜態資料。 |
後續步驟
- 如要進一步瞭解我們對保護客戶資料隱私權的承諾，請參閱「Google Cloud 和一般隱私權原則」。
如要瞭解防止未經授權管理員存取的核心原則，請參閱「管理員存取控管機制總覽」。
如要查看 Google 人員可要求存取客戶資料的正當業務理由清單，請參閱「正當理由代碼」。