אבטחה ועמידה בדרישות ב-Document AI

ריכזנו כאן שאלות ותשובות שרלוונטיות לתחומים שונים.

אבטחה

כדי להבטיח את אבטחת השירות ב-Document AI, כדאי לעיין בנושאים הבאים.

איך Google מגנה על הנתונים שאני שולח/ת ל-Document AI ומבטיחה את האבטחה שלהם?

אפשר לעיין בדף Google Cloud אבטחה שבו מתוארים אמצעי האבטחה שקיימים ב Google Cloud שירותים.

אילו אמצעי אבטחה יש ב-Document AI כדי להגן מפני מתקפות אופקיות שמתפשטות ממערכת למערכת?

‫Document AI תומך באפשרויות הבאות:

תאימות אבטחה

בקטע הזה מתוארות השאלות שקשורות לתאימות.

מהן אפשרויות התאימות ש-Document AI מציע?

‫Google Cloud עובר באופן קבוע ביקורות עצמאיות של צדדים שלישיים כדי לאמת את אמצעי הבקרה שלנו לאבטחה, לפרטיות ולתאימות. Google Cloud הוא עובר ביקורות קבועות לתקנים כמו ISO 27001,‏ ISO 27017,‏ ISO 27018,‏ SOC 2,‏ SOC 3 ו-PCI DSS.

מידע נוסף על תאימות זמין ב- Google Cloud Compliance resource center.

האם Document AI עומד בדרישות של FedRAMP?

‫Document AI תואם ל-FedRAMP High.

האם Document AI תואם ל-HIPAA?

‫Document AI תואם ל-HIPAA.

שימוש בנתוני אבטחה

בקטע הזה מוסבר על פניות בנוגע לנתונים.

האם Google משתמשת בנתוני לקוחות כדי לשפר מודלים?

לא. Google לא משתמשת בתוכן שלכם (כמו מסמכים ותחזיות) לכל מטרה שהיא, אלא רק כדי לספק לכם את שירות Document AI. מידע נוסף מופיע בסעיף 17 של Google Cloud התנאים וההגבלות.

ב- Google Cloud, אנחנו אף פעם לא משתמשים בנתוני לקוחות כדי לאמן את המודלים של Document AI.

מידע נוסף מופיע בדף שקיפות והגנה על נתונים.

בעתיד, האם Google תשתף את המסמך שאשלח ל-Document AI?

אנחנו לא נפרסם את המסמך ששלחתם ולא נשתף אותו עם אף אחד, אלא אם זה נדרש כדי לספק את שירות Document AI. לדוגמה, לפעמים אנחנו צריכים להשתמש בספק חיצוני כדי לספק חלק מהשירותים שלנו, כמו אחסון או העברה של נתונים. הספקים שלנו מחויבים בחוזה לאבטחה ולסודיות. אנחנו לא משתפים את המסמכים שאתם שולחים עם צדדים אחרים, ולא מפרסמים אותם לשום מטרה אחרת.

למשך כמה זמן ובאיזה מקום Google תשמור בשרתים שלה מסמכים שאני שולח ל-Document AI, את התוצאות שלהם או מידע אחר על בקשות? יש לי גישה אליו?

security.1

כששולחים מסמך ל-Document AI באמצעות בקשת Batch, אנחנו צריכים לאחסן את המסמך (מוצפן באמצעות מפתח זמני, כלומר לאף אדם אין גישה אליו) לפרק זמן קצר כדי לבצע את הניתוח ולהחזיר לכם את התוצאות. בפעולות בכמות גדולה, המסמך המאוחסן נמחק בדרך כלל מיד אחרי העיבוד, עם אורך חיים (TTL) של יום אחד למקרה של כשל. אם האצווה מסתיימת באופן חריג, יכול להיות שהנתונים יישמרו עם TTL של עד יום אחד.

תהליכים סינכרוניים

security-2

בפעולות אונליין (תגובה מיידית), נתוני המסמך (שנשלחים בבקשה) מעובדים בזיכרון, מוצפנים במהלך ההעברה ולא נשמרים בדיסק. ‫Google גם מתעדת באופן זמני מטא-נתונים מסוימים לגבי בקשות API של Document AI (כמו השעה שבה הבקשה התקבלה וגודל הבקשה) כדי לשפר את השירות שלנו ולמנוע שימוש לרעה.

מידע נוסף זמין במאמרים בנושא הצפנה במעבר ואזורים.

האם Google טוענת לבעלות על התוכן שאני שולח בבקשה ל-Document AI

Google לא טוענת לבעלות על תוכן כלשהו (כולל מסמכים וחיזויים) שאתם מעבירים ל-Document AI. מסמכים ומודלים בהתאמה אישית נחשבים לנתוני לקוחות (פרטיים). אנחנו אף פעם לא משתמשים בנתוני לקוחות כדי לשפר את המודלים שלנו. במקרים נדירים שבהם שני הצדדים מסכימים להסדר כזה, ננסח הסכם מפורש לשיתוף נתונים.

מה נחשב לפרטים אישיים מזהים (PII) שצריך לצנזר במסמכים לפני שמשתפים אותם עם Google?

לצורך שיתוף מסמכים, פרטים אישיים מזהים (PII) הם כל מידע שמוגדר כפרטים אישיים מזהים על פי החוקים הרלוונטיים. הלקוחות צריכים לצנזר את המסמכים לפני שהם משתפים אותם עם Google, למשל כשזה נעשה באופן וולונטרי למטרות תמיכה טכנית כדי לשחזר בעיה.

דוגמאות לפרטים אישיים מזהים כוללות, בין היתר:

  • תאריך לידה, לדוגמה: 2/10/1988
  • שמות של אנשים פרטיים, למשל: Kiran Darko
  • כתובת אישית, לדוגמה: Evergreen terrace 123
  • כתובת האימייל של אנשים פרטיים, לדוגמה: rivelro@test-mail.com
  • מספר טלפון של אנשים פרטיים, למשל: 636-555-3226
  • מספר רישיון נהיגה
  • מספר תעודת זהות
  • מספר זיהוי של מעסיק (EIN)
  • פרטי חשבון בנק: מזהי חשבונות, מספרי ניתוב, מזהי SWIFT
  • מספר כרטיס התשלום
  • מגדר, לדוגמה: Female, Male, Nonbinary
  • מוצא אתני, לדוגמה: Berber, Italian, Japanese, Latino, Ukrainian
  • שמות משתמשים, מספר מזהה של צדדים שלישיים
  • מספר דרכון, לדוגמה: AA1001111
  • מצב משפחתי, לדוגמה: Single, Divorced
  • מספר ההקצבות או הפטורים
  • שמות תלויים
  • מזהי רכב (מספר זיהוי הרכב, לוחותית רישוי וכו')
  • כל מספר, מאפיין או קוד ייחודי אחר של אדם שאפשר לזהות בעזרתו צרכן, משפחה או מכשיר לאורך זמן או בשירותים שונים

האם אפשר למכור מחדש את Document AI API?

לא, אסור לך להפיץ את שירות Document AI. אבל אתם עדיין יכולים לשלב את Document AI באפליקציות עם ערך עצמאי.

איך הלקוחות יכולים לשלוט Google Cloud בגישה של התמיכה למסמכים או לנתונים שלהם?

כל מנתחי Document AI תומכים ב-Access Transparency ובאישורי גישה. כברירת מחדל, לצוות התמיכה של Google אין גישה לנתוני לקוחות או לאפליקציות. במצב שבו נדרשת גישה מצוות התמיכה של Google, הלקוחות יכולים להשתמש בתהליך אישור הגישה כדי לאשר גישה לנתונים או לאפליקציות. התהליך הזה מתחיל ביצירת כרטיס בפורטל התמיכה של Google. הלקוח יקבל התראה (בדרך כלל באימייל) ואפשרות לאשר או לדחות את הגישה.

‫Google מציעה גם שירות שנקרא Access Transparency, שמאפשר ללקוחות לראות את כל המשימות שצוות התמיכה של Google מבצע בזמן שיש לו גישה למערכת.

הבא
מפתחות הצפנה בניהול הלקוח (CMEK)