Bezpieczeństwo w chmurze jako wartość biznesowa Google

Cloud computing jest podstawą transformacji cyfrowej wielu przedsiębiorstw, które doceniają możliwość przesunięcia odpowiedzialności za wybrane obszary na dostawcę np. kwestie skalowania i utrzymania środowiska. Łatwość dostępu do zasobów wymaga jednak konieczności uważnego zarządzania bezpieczeństwem. Doświadczenie i specjalistyczne podejście do procesu projektowania usług w oparciu o zasady bezpieczeństwa, umacniają pozycję Google wśród liderów rozwiązań chmurowych.  Podejście to widoczne jest szczególnie w tworzeniu własnych usług komercyjnych (Gmail etc), jak również w budowaniu rozwiązań enterprise w oparciu o GCP i GSuite, wykorzystując infrastrukturę na skalę globalną. W ten sposób zapewnia dobrze zabezpieczoną strukturę dla swoich działań operacyjnych, centrów danych, danych klientów, struktury organizacyjnej, procesów rekrutacji czy wsparcia użytkowników. 

Kultura bezpieczeństwa według Google

Google dba o każdy aspekt bezpieczeństwa. Dlatego wdrożyło wzorce, które przekładają się na kulturę pracy. Wpływ tej filozofii jest widoczny m.in. w procesie rekrutacji i zatrudniania, podczas których kandydat jest weryfikowany nie tylko pod kątem kompetencji, ale również jeśli lokalne prawo pracy lub przepisy ustawowe pozwalają, Google może zweryfikować niekaralność przyszłego pracownika. Kolejnym aspektem są obowiązkowe szkolenia z zakresu bezpieczeństwa, dla wszystkich pracowników, które odbywają się cyklicznie. Co ważne – wiedza inżynierów i zespołów zajmujących się zabezpieczeniami jest aktualizowana o nowe zagrożenia, wzorce ataków, techniki ich łagodzenia itd. 

Skoro mowa o zespołach – Google powołał specjalizowane, odrębne działy ds. bezpieczeństwa, prywatności oraz audytu wewnętrznego i zgodności. 

Zespół ds. bezpieczeństwa bierze udział w monitorowaniu podejrzanych działań w sieci, przeprowadzaniu rutynowych ocen bezpieczeństwa oraz angażuje zewnętrznych ekspertów do regularnych ocen bezpieczeństwa. Warto wspomnieć Project Zero (zespół badaczy powołanych przez Google), którego celem jest zapobieganie ukierunkowanym atakom, poprzez zgłaszanie błędów dostawcom oprogramowania i umieszczanie ich w zewnętrznej bazie danych.

Zespół ds. prywatności dba o wprowadzane na rynek przez Google usługi. Skupia się na dokumentacji projektowej i recenzji kodu, aby upewnić się, że przestrzegane są wymagania dotyczące prywatności. Dlatego też wszystkie usługi są zgodne z najsurowszymi wymogami prawnymi.

Zespół ds. audytu wewnętrznego i zgodności dokonuje przeglądu zgodności usług Google z przepisami i regulacjami na całym świecie. Gdy tworzone są nowe standardy audytowania, zespół określa, jakie kontrole, procesy i systemy są potrzebne do ich spełnienia. 

Ponadto Google aktywnie uczestniczy w życiu społeczności zajmującej się badaniami bezpieczeństwa. Specjalnie w tym celu powstał Google Vulnerability Reward (VRP), który zachęca badaczy do zgłaszania problemów, związanych z projektowaniem i wdrażaniem zabezpieczeń. 

Bezpieczeństwo operacyjne

Tworzenie odpornych na ataki i bezpiecznych rozwiązań jest integralną częścią działań w Google. W zakres działań operacyjnych wchodzą takie czynności jak:

• zarządzenie podatnością na zagrożenia 
• działania zapobiegające  atakom złośliwego oprogramowania
• monitorowanie bezpieczeństwa
• zarządzanie incydentami

Uzbrojeni w technologię

Google Cloud działa na specjalnie zaprojektowanej i zbudowanej platformie technologicznej, tak by zapewnić najwyższy poziom bezpieczeństwa. W tym celu zostały wykorzystane dedykowane serwery, dedykowany system operacyjny i geograficznie rozproszone centra danych (podzielone na regiony i strefy). Google kierując się zasadą „defense in depth”, stworzyło odporną i wysoce dostępną infrastrukturę IT, którą można zarządzać bezpieczniej i łatwiej, niż technologiami tradycyjnymi.

Wróćmy jednak do centrów danych znajdujących się w Regionach i Strefach. Usługi GCP są dostępne w ponad 200+ krajach na świecie, w 24 Regionach, 73 Strefach i 144 lokalizacjach brzegowych.

Źródło: https://cloud.google.com/about/locations#regions

W regionach zlokalizowane są najnowocześniejsze centra danych. Ich bezpieczeństwo oparte jest na warstwowym modelu bezpieczeństwa, w skład którego wchodzą m.in. niestandardowe elektroniczne karty dostępu, alarmy, bariery dostępu dla pojazdu, ogrodzenia obwodowe, wykrywacze metali czy zabezpieczenia biometryczne. Ponadto centra danych, by móc działać 24/7 posiadają zapasowe i alternatywne źródła zasilania (w tym generatory). Google podczas projektowania i budowania własnych obiektów działa również w zgodzie z zasadami zrównoważonego rozwoju i dbałością o środowisko. Zapewniając bezpieczną infrastrukturę, centra GCP posiadają certyfikację ISO 50001, która związana jest z efektywnym zarządzaniem energią. Wartym uwagi jest fakt, że Google samo projektuje i produkuje sprzęt, w tym energooszczędne serwery i urządzenia sieciowe, niezawierające komponentów zwiększających ryzyko powstania luk w zabezpieczeniach. Dodatkowo przeprowadzany jest audyt sprzętowy, podczas którego stary sprzęt jest wymieniany na nową wersję, a stare elementy są niszczone i poddawane wewnętrznemu recyklingowi wg. ustalonej procedury. Co więcej Google stworzyło sieć własnych światłowodów, światłowodów publicznych i kabli podmorskich, które pozwalają na świadczenie usług o wysokiej dostępności i niskim opóźnieniu na całym świecie. Co potwierdza dostępność usługi Gmail na poziomie ~99,984%. 

Transparentność, zgodność i dostęp do danych

W trosce o bezpieczeństwo został stworzony Raport Przejrzystości, który ma na celu weryfikację transparentności działań podejmowanych przez organy państwowe i przedsiębiorstwa oraz ich wpływ na bezpieczeństwo i ochronę danych oraz dostęp do informacji przez użytkowników. Oprócz wspomnianego raportu istnieje szereg certyfikatów, atestów i raportów dotyczących zgodności. Specjalny zbiór dostępnych rozwiązań, pozwala na łatwe dostosowanie się do przepisów ustawowych, wykonawczych i ram prawnych. Dzięki przejrzystości narzędzia, w prosty sposób można sprawdzić przepisy prawne oraz wymogi jakie musi spełnić zaprojektowana aplikacja, względem bezpieczeństwa w danym regionie. Dane zarówno użytkowników jak i klientów są izolowane, pomimo faktu przechowywania ich na jednym serwerze. Dodatkowo dostęp do danych ma wybrana grupa pracowników, którą obowiązuje szereg procedur oraz specjalne zasady dostępu, oparte o pełnione obowiązki oraz dostosowane do roli i funkcji zawodowej. 

Podsumowując, ochrona danych jest najważniejszym aspektem podczas projektowania infrastruktury w oparciu o GCP. Dzięki współpracy ze społecznością oraz rozwijaniem produktów w oparciu o najlepsze praktyki związane z bezpieczeństwem, Google może zaoferować poziom zabezpieczeń, który jest  satysfakcjonujący. Dzięki odpowiednio opracowanym procedurom i umowom – pewnym jest, że dane przechowywane w chmurze Google są bezpieczne, zachowana jest kontrola nad nimi oraz ich zarządzaniem i sposobem ich przetwarzania.

Jeśli planujesz przenieść się do Google Cloud Platform, skorzystać z najnowocześniejszych rozwiązań i podnieść poziom bezpieczeństwa Twojej infrastruktury – napisz maila na kontakt@lcloud.pl, a my przygotujemy ofertę skrojoną na miarę Twoich potrzeb!