Google עוזרת לארגונים לאבטח את סביבת הענן שלהם, להגן על הנתונים שלהם ולעמוד בתקנות בתחום. למידע כללי על אבטחה בכל Google Cloud, קראו את הסקירה הכללית על אבטחה ב-Google Cloud .
הגדרות אבטחה למשתמשי קצה
כדי לשמור על האבטחה, חשוב לנהל את ההגדרות של ניהול הזהויות והרשאות הגישה (IAM) ב-Gemini Enterprise. המשאבים שמפורטים בקטע הזה יעזרו לכם להבין את ההרשאות ואת אמצעי בקרת הגישה ב-Gemini Enterprise:
אלה מסגרות האימות שנתמכות:
אבטחת מידע ב-Gemini Enterprise
חשוב להגן על הנתונים שלכם מפני איומים, פרצות וגניבת זהות. ב-Gemini Enterprise יש את אמצעי האבטחה הבאים:
- Gemini Enterprise משולב עם VPC Service Controls.
הצפנת נתונים כברירת מחדל באמצעות מפתחות הצפנה בניהול הלקוח (CMEK).
ב-Gemini Enterprise יש גם תמיכה במנהל מפתחות חיצוני (EKM) או במודול אבטחה לחומרה (HSM). מידע על המגבלות שחלות על CMEK ו-EKM זמין במאמר המגבלות של Cloud Key Management Service ב-Gemini Enterprise.
פרטיות נתונים ואימון מודלים
אנחנו לא משתמשים בהנחיות, בתשובות שנוצרות או בנתונים של הארגון שמקושרים ל-Gemini Enterprise (בין אם הם נשלחו או שהגישה אליהם היא באמצעות חיפוש מאוחד) כדי לאמן את המודלים הבסיסיים של Google. הנתונים שלכם נשארים מבודדים בפרויקט ב- Google Cloud ולא משותפים עם לקוחות אחרים.
בניגוד לאפליקציית האינטרנט של Gemini לצרכנים (gemini.google.com), אפליקציית Gemini Enterprise פועלת בכפוף לתנאים של Google Cloudלהגנה על נתונים ברמה שמתאימה לארגונים. מידע נוסף זמין במאמר משילות מידע (data governance) ב-Gemini for Google Cloud.
תאימות של Gemini Enterprise
תאימות נתונים כוללת עמידה בדרישות משפטיות ורגולטוריות לטיפול במידע אישי ורגיש. הוא מסדיר את איסוף הנתונים, האחסון, השימוש והאבטחה כדי להבטיח פרטיות והגנה.
המשאבים שמפורטים בקטע הזה מספקים מידע שיעזור לכם לשמור על שקיפות הנתונים ועל תאימות:
- הפעלת Access Transparency
- רישום ביומן ביקורת
- מיקומים של Gemini Enterprise
- אישורי תאימות ואמצעי בקרה לאבטחה
- Gemini Enterprise מוחק נתונים שהמשתמשים ביקשו למחוק תוך 60 יום. מידע נוסף זמין במאמר מחיקת נתונים ב- Google Cloud.
אדמינים של איחוד שירותי אימות הזהות של כוח העבודה ושל מאגרים
אם אתם משתמשים באיחוד שירותי אימות הזהות של כוח העבודה כדי לאמת את המשתמשים, אתם צריכים להקצות לחלק מהאדמינים את התפקידים "אדמין של מאגר זהויות של כוח עבודה ב-IAM" (roles/iam.workforcePoolAdmin) ו"עריכה של מאגר זהויות של כוח עבודה ב-IAM" (roles/iam.workforcePoolEditor). התפקידים האלה יכולים לשנות את מיפוי המאפיינים של מאגר הזהויות של כוח העבודה.
שינויים שגויים, בין אם הם מכוונים או מקריים, עלולים לאפשר התחזות למשתמשים, מה שעלול להוביל לגישה לא מורשית למסמכים ולפעולות לא מורשות.
לכן, אנחנו ממליצים:
הקצו את התפקידים האלה במאגר כוח העבודה רק לאדמינים מהימנים שבאמת זקוקים להם.
אתם יכולים להשתמש ב-Privileged Access Manager כדי להגדיר הרשאות לתפקידים האלה ולבצע ביקורת על השימוש בהם.
כדי לזהות במהירות שינויים במיפוי המאפיינים או ניסיונות גישה לא מורשים ולקבל התראות לגביהם, כדאי לשלב את יומני הביקורת של איחוד שירותי אימות הזהות של כוח העבודה בפתרון הניטור לצורכי אבטחה (לדוגמה, SIEM).
ממשקי ה-API Google Cloud הנדרשים
כדי להתחיל להשתמש ב-Gemini Enterprise, צריך להפעיל את ממשקי ה-API הבאים:
- Gemini Enterprise Agent Platform API
- Discovery Engine API
- Cloud Storage API
- API של ניהול זהויות והרשאות גישה (IAM)
מידע נוסף על תחילת העבודה עם Gemini Enterprise מופיע בקטע לפני שמתחילים.
כדי להשבית את Gemini Enterprise (Discovery Engine) API, קראו את המאמר השבתת Gemini Enterprise.
מחברים של צד שלישי ונקודות קצה ציבוריות
מחברים של צד שלישי יוצרים אינטראקציה עם נקודות קצה ציבוריות מחוץ לרשת של Google. לדוגמה, נקודות קצה של API של צד שלישי לאיסוף נתונים או webhook URL לסנכרון בזמן אמת. מכיוון ש-VPC Service Controls נועד לנהל את שירותי Google Cloud , הוא לא חוסם או מאבטח באופן מובנה את התנועה לנקודות הקצה החיצוניות האלה, שהן לא של Google.
כדי לצמצם את הסיכון, Gemini Enterprise מוודא שתעבורת הנתונים היוצאת מאובטחת באמצעות כללים מפורטים של חומת אש של VPC, שמגבילים את החיבורים היוצאים רק לשמות הדומיינים שמוגדרים במלואם (FQDN) של השירות החיצוני שאתם מספקים.
דרישות לתקשורת ברשת
בקטע הזה מפורטות הדרישות לתקשורת ברשת כדי להתחבר ל-Gemini Enterprise ולהשתמש בו.
תנועה נכנסת (מהמשתמש לשירות)
כל התקשורת מהדפדפן של המשתמש לנקודות הקצה של Gemini Enterprise שגלויות למשתמשים (כמו console.cloud.google.com, vertexaisearch.cloud.google.com ו-notebooklm.cloud.google.com), לנקודות הקצה לאימות (כמו auth.cloud.google) ולנקודות הקצה הפרוגרמטיות (כמו *.googleapis.com ו-*.clients6.google.com) מתבצעת דרך HTTPS ביציאת TCP 443. חומות האש של הארגון צריכות לאפשר חיבורים יוצאים מהרשת של המשתמשים לנקודות הקצה האלה ביציאה הזו. לרשימה המלאה של הדומיינים, קראו את המאמר הגדרת גישה פרטית לממשק המשתמש.
- פרוטוקול: HTTPS
- יציאה: TCP/443
- כיוון: הרשת של המשתמש (יוצא) אל Google Cloud (נכנס)
אמצעי בקרת רשת בצד השירות
Gemini Enterprise היא תוכנה כשירות (SaaS) שמנוהלת על ידי Google. לכן אין לכם גישה ישירה לתשתית הרשת הבסיסית. אי אפשר להטמיע אמצעי בקרה מותאמים אישית לרשת, כמו כללי חומת אש או הגדרות של VPC Service Controls, ישירות בשירות. Google מנהלת את האבטחה בהתאם לשיטות האבטחה המחמירות שלGoogle Cloud.
תנועה יוצאת (מהשירות לנקודות קצה אחרות)
בתהליכי עבודה מסוימים של AI אקטיבי, כמו שימוש בתוספים או ביסוס נתונים ארגוניים, Gemini Enterprise (או סוכנים שמתארחים ב-Agent Runtime בפלטפורמת הסוכנים של Gemini Enterprise) יכול ליזום חיבורים לרשתות יוצאות.
- מקור: כל התנועה היוצאת מגיעה מטווחים של כתובות IP פנימיות של Google. תעבורת הנתונים הזו לא מגיעה מתשתית הרשת שבשליטתכם ולא עוברת דרכה.
- מטרה: התנועה הזו משמשת לחיבור לממשקי API ולמקורות נתונים מורשים (לדוגמה, ממשקי API של Google Workspace וממשקי API ציבוריים לתוספים) כדי למלא את בקשות המשתמשים.
- אבטחה: החיבורים האלה מתבצעים באופן מאובטח דרך ערוצים מוצפנים (HTTPS/TLS), והם כפופים למדיניות האבטחה הפנימית של Google ולמדיניות הרשת בסביבת הייצור.