Vous pouvez utiliser les consignes et bonnes pratiques de sécurité Google Cloud pour découvrir et mettre en œuvre des fonctionnalités de sécurité pour vos charges de travail et les services compatibles surGoogle Cloud.
Les bonnes pratiques de sécurité sont un guide complémentaire fourni par Google qui s'ajoute aux pratiques réglementaires et de sécurité existantes dans des secteurs tels que les services financiers. Les bonnes pratiques et consignes Google Cloud se concentrent sur les contrôles de sécurité fondamentaux des charges de travail.
Ces bonnes pratiques de sécurité sont destinées à aider les responsables de la sécurité des systèmes d'information (RSSI), les professionnels de la sécurité et les responsables de la gestion des risques et de la conformité à adopter et à déployer des charges de travail dans Google Cloud, tout en se concentrant sur la sécurité, la sûreté et la conformité. Nous alignons nos recommandations sur les exigences des frameworks 800-53 du NIST (National Institute of Standards and Technology) et du CRI (Cyber Risk Institute).
Ces bonnes pratiques s'appuient également sur le modèle de destin partagé, dans lequel nous nous efforçons de collaborer avec les secteurs d'activité pour créer une infrastructure cloud plus sécurisée et résiliente pour différentes charges de travail. Le modèle dit de "destin partagé" inclut le déploiement, les opérations et le transfert des risques. Par conséquent, ces recommandations se concentrent sur le déploiement et les opérations des charges de travail, en particulier en ce qui concerne la conformité.
Nous sommes conscients que la mise en œuvre de la conformité et de la sécurité n'est pas une tâche simple. Pour obtenir une aide supplémentaire, contactez la sécurité Google Cloud.
Structure pour les bonnes pratiques de sécurité
Les bonnes pratiques de sécurité sont structurées sous forme de contrôles que vous pouvez examiner et mettre en œuvre. Chaque contrôle est conçu pour répondre à un niveau différent de la pile d'IA. Ces niveaux sont les suivants :
- Fondation d'entreprise sécurisée : couche principale pour l'authentification, la gestion des accès, l'organisation, la gestion de réseaux, la gestion des clés, Secret Manager, la journalisation, la surveillance, les alertes, l'analyse de sécurité et les opérations agentiques.
- Infrastructure d'IA : couche pour les conteneurs, le calcul et les TPU.
- Recherche et modèles : couche pour le développement de modèles et la protection active des modèles.
- Gestion des données et contexte : couche pour les entrepôts de données, le stockage, les bases de données et la gestion des données sensibles.
- Outils et plate-forme d'inférence : couche pour Gemini Enterprise Agent Platform, y compris les Model Gardens, les compilateurs de modèles et les compilateurs d'agents.
- Agents et applications : couche pour Gemini Enterprise, Google Workspace, les applications d'IA et d'autres commandes logicielles.
Le schéma suivant montre comment ces niveaux s'empilent les uns sur les autres.
Les contrôles sont structurés comme suit :
Rôles IAM (Identity and Access Management) recommandés : recommandations de rôles IAM à attribuer aux groupes d'utilisateurs de votre organisation.
Contrôles de base d'entreprise sécurisés : ces bonnes pratiques vous permettent de créer une base sécurisée pour les charges de travail dansGoogle Cloud.
Contrôles d'infrastructure : ces bonnes pratiques vous permettent d'appliquer des contrôles de sécurité au calcul, aux conteneurs et aux accélérateurs.
Contrôles de gestion des données : ces bonnes pratiques vous permettent d'appliquer des contrôles de sécurité aux entrepôts de données et aux datastores.
Outils et contrôles d'inférence : ces bonnes pratiques vous permettent d'appliquer des contrôles de sécurité aux composants de Gemini Enterprise Agent Platform.
Contrôles des agents et des applications : ces bonnes pratiques vous permettent d'appliquer des contrôles de sécurité aux applications qui utilisent l'IA générative.
Chaque recommandation est auditable et garantit le respect d'un ensemble de contrôles de sécurité de base.
Niveaux d'implémentation des contrôles
Les niveaux d'implémentation des contrôles sont Obligatoire, Recommandé ou Facultatif. Les niveaux permettent d'identifier les activités clés que nous vous recommandons vivement d'effectuer, les activités que nous vous conseillons vivement d'envisager et les activités que vous pourriez envisager en fonction de vos exigences et de vos objectifs spécifiques.
Le tableau suivant décrit ces niveaux.
| Niveau d'implémentation | Description |
|---|---|
Obligatoire |
Mettez en œuvre ces consignes pour votre environnement Google Cloud . |
Recommandé |
Mettez en œuvre ces consignes en fonction de cas d'utilisation spécifiques. Par exemple, une bonne pratique recommandée peut consister à surveiller les données sensibles dans les charges de travail d'IA générative si votre environnement inclut ce type de données. |
Facultatif |
Envisagez d'autres consignes en fonction de votre cas d'utilisation et de votre appétence pour le risque. |