Puedes usar las prácticas recomendadas y los lineamientos de seguridad de Google Cloud para descubrir e implementar funciones de seguridad para tus cargas de trabajo y servicios de asistencia en Google Cloud.
Las prácticas recomendadas de seguridad son una guía complementaria impulsada por Google para las prácticas regulatorias y de seguridad existentes en sectores como el de los servicios financieros. Las prácticas recomendadas y los lineamientos de Google Cloud se enfocan en los controles de seguridad fundamentales de las cargas de trabajo.
Estas prácticas recomendadas de seguridad tienen como objetivo ayudar a los directores de seguridad de la información (CISO), los profesionales de seguridad y los oficiales de riesgo y cumplimiento a adoptar e implementar cargas de trabajo en Google Cloud, a la vez que se enfocan en la seguridad y el cumplimiento. Alineamos nuestras recomendaciones con los requisitos de los frameworks del Instituto Nacional de Normas y Tecnología (NIST) 800-53 y del Cyber Risk Institute (CRI).
Estas prácticas recomendadas también respaldan el modelo de destino compartido, en el que nos esforzamos por colaborar con las industrias para crear una infraestructura de nube más segura y resiliente para varias cargas de trabajo. El modelo de destino compartido incluye la implementación, las operaciones y la transferencia de riesgos. Por lo tanto, estas recomendaciones se enfocan en la implementación y las operaciones de las cargas de trabajo, en especial en relación con el cumplimiento.
Sabemos que implementar el cumplimiento y la seguridad no es una tarea sencilla. Si necesitas más ayuda, comunícate con el equipo de seguridad de Google Cloud.
Estructura para las prácticas recomendadas de seguridad
Las prácticas recomendadas de seguridad se estructuran como controles que puedes revisar e implementar. Cada control está diseñado para abordar un nivel diferente de la pila de IA. Estos niveles son los siguientes:
- Base empresarial segura: Es la capa principal para la autenticación, la administración de accesos, la organización, las herramientas de redes, la administración de claves, Secret Manager, el registro, la supervisión, las alertas, el análisis de seguridad y las operaciones agénticas.
- Infraestructura de IA: Es la capa para contenedores, procesamiento y TPU.
- Investigación y modelos: Capa para el desarrollo de modelos y la protección activa de modelos.
- Administración de datos y contexto: Es la capa para los almacenes de datos, el almacenamiento, las bases de datos y la administración de datos sensibles.
- Plataforma de herramientas y de inferencia: Es la capa para Gemini Enterprise Agent Platform, que incluye jardines de modelos, creadores de modelos y creadores de agentes.
- Agentes y aplicaciones: Es la capa para Gemini Enterprise, Google Workspace, las aplicaciones de IA y otros controles de software.
En el siguiente diagrama, se muestra cómo se apilan estos niveles.
Los controles se estructuran de la siguiente manera:
Roles recomendados de Identity and Access Management (IAM): Recomendaciones para los roles de IAM que se asignarán a los grupos de usuarios de tu organización.
Controles de base empresarial seguros: Estas prácticas recomendadas te permiten crear una base segura para las cargas de trabajo en Google Cloud.
Controles de infraestructura: Estas prácticas recomendadas te permiten aplicar controles de seguridad al procesamiento, los contenedores y los aceleradores.
Controles de administración de datos: Estas prácticas recomendadas te permiten aplicar controles de seguridad a los almacenes de datos y al almacenamiento de datos.
Controles de inferencia y herramientas: Estas prácticas recomendadas te permiten aplicar controles de seguridad a los componentes de Gemini Enterprise Agent Platform.
Controles de agentes y aplicaciones: Estas prácticas recomendadas te permiten aplicar controles de seguridad a las aplicaciones que usan IA generativa.
Cada recomendación es auditable y garantiza que se cumpla con un modelo de referencia de controles de seguridad.
Niveles de implementación de controles
Los niveles de implementación de los controles son Obligatorio, Recomendado u Opcional. Los niveles ayudan a identificar las actividades clave que te recomendamos que realices, las actividades que te recomendamos que consideres y las actividades que podrías considerar en función de tus requisitos y objetivos específicos.
En la siguiente tabla, se describen estos niveles.
| Nivel de implementación | Descripción |
|---|---|
Obligatorio |
Implementa estos lineamientos para tu entorno de Google Cloud . |
Recomendado |
Implementa estos lineamientos según casos de uso específicos. Por ejemplo, una práctica recomendada podría ser supervisar los datos sensibles dentro de las cargas de trabajo de IA generativa si tu entorno incluye ese tipo de datos. |
Opcional |
Considera lineamientos adicionales según tu caso de uso y tu apetito por el riesgo. |