Well-Architected Framework：安全性、隱私權和法規遵循支柱

Last reviewed 2025-02-05 UTC

Google Cloud Well-Architected Framework 的安全性、隱私權和法規遵循支柱提供最佳化建議，協助您設計、部署及運作符合安全性、隱私權和法規遵循要求的雲端工作負載。

這份文件旨在提供寶貴的洞察資料，滿足各種安全專家和工程師的需求。下表說明本文件的目標對象：

目標對象 本文件提供的內容
資訊安全長 (CISO)、業務單位主管和 IT 經理 這是一項一般性架構，可協助您在雲端建立及維持卓越的安全性，並確保安全性領域的全面性，以便針對安全性投資做出明智的決策。
安全架構師和工程師 設計和營運階段的重點安全做法，有助於確保解決方案的設計可確保安全性、效率和可擴充性。
DevSecOps 團隊 指南：納入整體安全控管措施，規劃自動化功能，打造安全可靠的基礎架構。
法規遵循官員和風險管理人員 重要安全性建議，可按照結構化方法管理風險，並提供有助於遵守法規義務的保護措施。

為確保 Google Cloud 工作負載符合安全性、隱私權和法規遵循規定，貴機構的所有利害關係人必須採用協同合作的做法。此外，您必須瞭解雲端安全性是您與 Google 共同的責任。詳情請參閱「 Google Cloud」共享責任和共享命運。

這個支柱中的建議分為核心安全性原則。每項原則導向的最佳化建議都會對應至一或多個雲端安全性重點部署區域，這些區域可能對貴機構至關重要。每項建議都會強調有關使用和設定Google Cloud 產品和功能的指引，協助改善貴機構的安全防護狀態。

核心原則

這個支柱中的建議會依下列安全性核心原則分組。這個支柱中的每項原則都很重要。視貴機構的需求和工作負載而定，您可以選擇將某些原則列為優先。

  • 採用融入安全考量的設計：從應用程式和基礎架構的初始設計階段開始，整合雲端安全性和網路安全性考量。Google Cloud 提供架構藍圖和最佳做法，協助您套用這項原則。
  • 實施零信任：採用「絕不輕信，一律驗證」做法，也就是根據持續驗證信任狀態來授予資源存取權。 Google Cloud透過 Chrome Enterprise Premium 和 Identity-Aware Proxy (IAP) 等產品支援這項原則。
  • 實施提前安全性措施：在軟體開發生命週期初期實施安全性控管機制。在系統變更前，避免發生安全性缺失。在系統變更提交後，及早、快速且可靠地偵測及修正安全性錯誤。 Google Cloud 透過 Cloud Build、二進位授權和 Artifact Registry 等產品支援這項原則。
  • 導入預防性網路防禦措施：採用威脅情報等完善的基礎措施，採取主動式安全防護做法。這項做法有助於建立更有效的威脅偵測和回應基礎。Google Cloud的分層安全控管做法符合這項原則。
  • 以安全且負責任的方式使用 AI：以負責任且安全的方式開發及部署 AI 系統。這項原則的建議事項與「良好架構架構」(Well-Architected) 架構的AI 和機器學習觀點，以及 Google 的安全 AI 架構 (SAIF) 中的指引一致。
  • 運用 AI 進行安全防護：透過 Gemini 安全防護和整體平台安全防護功能，運用 AI 功能改善現有安全系統和程序。使用 AI 工具提高修復工作的自動化程度，並確保安全衛生，讓其他系統更安全。
  • 滿足法規、法規遵循和隱私權需求：遵守特定產業法規、法規遵循標準和隱私權規定。 Google Cloud 透過「確保工作負載」、「組織政策服務」和法規遵循資源中心等產品，協助您履行這些義務。

機構安全性思維

以安全為重點的組織思維，是成功採用及運作雲端服務的關鍵。這種思維應深植於貴機構的文化，並反映在其實務中，而這些實務則以先前所述的核心安全性原則為準則。

組織安全性思維強調，您必須在系統設計期間考量安全性、假設零信任，並在整個開發過程中整合安全性功能。在這種思維下，您也應主動考量網路防禦措施，安全地使用 AI 並確保安全性，並考量法規、隱私和法規遵循要求。透過採用這些原則，貴機構就能培養以安全為先的文化，主動因應威脅、保護寶貴資產，並確保負責任的技術使用方式。

雲端安全性的重點領域

本節說明在規劃、實施及管理應用程式、系統和資料的安全性時，應著重哪些部分。這個支柱的每項原則中提供的建議都與一或多個重點領域相關。在本文件的其餘部分，建議事項會指定對應的安全重點領域，以提供更明確的說明和背景資訊。

焦點區域 活動和元件 相關 Google Cloud 產品、功能和解決方案
基礎架構安全性
  • 安全的網路基礎架構。
  • 加密傳輸中的資料與靜態資料。
  • 控管流量
  • 保護 IaaS 和 PaaS 服務。
  • 防範未經授權的存取行為。
身分與存取權管理
  • 使用驗證、授權和存取權控管機制。
  • 管理雲端身分。
  • 管理身分與存取權管理政策。
資料安全性
  • 安全地儲存資料於 Google Cloud 。
  • 控管資料存取權。
  • 尋找及分類資料。
  • 設計必要的控管機制，例如加密、存取權控管和資料遺失防護機制。
  • 保護靜態、傳輸中和使用中的資料。
AI 和機器學習安全性
  • 在 AI 和機器學習基礎架構和管道中的不同層級套用安全控管機制。
  • 確保模型安全。
資安營運 (SecOps)
  • 採用現代化的 SecOps 平台和一套做法，有效管理事件、偵測威脅和回應程序。
  • 持續監控系統和應用程式的安全事件。
應用程式安全防護
  • 保護應用程式，防範軟體漏洞和攻擊。
雲端管理、風險與法規遵循
  • 制定政策、程序和控管機制，以便有效且安全地管理雲端資源。
記錄、稽核和監控
  • 分析記錄檔，找出潛在威脅。
  • 追蹤及記錄系統活動，以便進行法規遵循和安全性分析。

貢獻者

作者：

  • Wade Holmes | 全球解決方案總監
  • Hector Diaz | 雲端安全架構師
  • Carlos Leonardo Rosario | Google Cloud 安全性專家
  • John Bacon | 合作夥伴解決方案架構師
  • Sachin Kalra | 全球安全性解決方案經理

其他貢獻者：

下一頁
導入融入安全考量的設計