Google Cloud Well-Architected Framework 安全性支柱中的這項原則，可協助您找出並滿足雲端部署作業的法規、法規遵循和隱私權規定。您必須根據這些需求，決定要針對Google Cloud中的工作負載啟用哪些安全控管機制。
原則總覽
滿足法規遵循和隱私權需求，是所有企業都必須面對的挑戰。雲端法規要求取決於多項因素，包括：
- 貴機構實體位置適用的法律和法規
- 客戶實際所在地適用的法律和法規
- 貴產業的法規要求
您可以根據隱私權法規，確認要如何取得、處理、儲存及管理使用者的資料。您擁有自己的資料，包括從使用者收到的資料。因此，您必須負責許多隱私權控制項，包括 Cookie、工作階段管理和取得使用者授權。
實作這項原則的建議分為以下幾節：
組織風險應對建議
本節提供建議，協助您找出並因應組織面臨的風險。
找出貴組織面臨的風險
這項建議與下列重點領域相關：雲端管理、風險與法規遵循。
在 Google Cloud建立及部署資源前，請先完成風險評估。這項評估應判斷您需要哪些安全防護功能，才能滿足內部安全需求和外部法規要求。
風險評估會提供組織專屬的風險目錄，並告知組織偵測及因應安全威脅的能力。部署完成後，您必須立即執行風險分析，並在業務需求、法規要求或組織面臨的威脅發生變化時，再次執行風險分析。
如「實施安全設計」原則所述，雲端環境中的安全風險與地端部署風險不同。這項差異源自雲端的共同責任模式，會因服務 (IaaS、PaaS 或 SaaS) 和使用方式而異。使用雲端專屬的風險評估架構，例如雲端控制矩陣 (CCM)。建立威脅模型 (例如 OWASP 應用程式威脅模型)，找出並解決安全漏洞。如需風險評估方面的專家協助，請與 Google 帳戶代表聯絡，或參閱 Google Cloud合作夥伴目錄。
將風險分類後，您必須決定處理方式，也就是要接受、避免、轉移或降低風險。如要瞭解可實施的緩解控制措施，請參閱下一節，瞭解如何降低風險。
降低風險
這項建議與下列重點領域相關：雲端管理、風險與法規遵循。
採用新的公有雲服務時，您可以透過技術控管、合約保護和第三方驗證或認證來降低風險。
技術控管措施是指用來保護環境的功能和技術。包括防火牆和記錄等內建雲端安全控管機制。技術控管措施也可能包括使用第三方工具，強化或支援安全性策略。技術控管機制分為兩類：
- 您可以實施 Google Cloud的安全控管機制，降低環境中的風險。舉例來說，您可以使用 Cloud VPN 和 Cloud Interconnect，保護地端部署網路與雲端網路之間的連線。
- Google 設有完善的內部控管和稽核機制，可防止內部人員存取客戶資料。我們的稽核記錄會提供近乎即時的記錄，記錄 Google 管理員在 Google Cloud上的存取活動。
合約保護措施是指我們對Google Cloud 服務做出的法律承諾。Google 致力於維護及擴充法規遵循組合。《Cloud 資料處理附加條款》(CDPA) 說明我們對資料處理和安全性的承諾。CDPA 也概述了存取控管機制，限制 Google 支援工程師存取客戶環境，並說明我們嚴格的記錄和核准程序。建議您與法律和監管專家一同檢視 Google Cloud的合約管理措施，確認這些措施符合您的需求。如需更多資訊，請與帳戶代表聯絡。
第三方驗證或認證是指由第三方供應商稽核雲端服務供應商，確保其符合法規遵循需求。舉例來說，如要瞭解 ISO/IEC 27017 指南相關的 Google Cloud 認證，請參閱「ISO/IEC 27017 - 法規遵循」。如要查看目前的 Google Cloud 認證和證書，請前往法規遵循資源中心。
履行法規遵循義務的建議
一般的法規遵循流程分為三個階段：評估、修復缺口及持續監控。本節提供您在每個階段可以採用的建議做法。
評估法規遵循需求
這項建議與下列重點領域相關：雲端管理、風險與法規遵循。
法規遵循評估作業會先全面檢視您所有的監管義務，以及您的企業如何履行這些義務。您可以使用法規遵循資源中心來評估 Google Cloud 服務。這個網站提供下列資訊：
- 符合各項法規的服務支援
- Google Cloud 認證和證明
如要進一步瞭解 Google 的法規遵循生命週期，以及如何滿足您的需求，請聯絡銷售人員，向 Google 法規遵循專家尋求協助。或者，您也可以與Google Cloud 客戶經理聯絡，要求舉辦法規遵循研討會。
如要進一步瞭解可用於管理 Google Cloud 工作負載安全性和法規遵循的工具和資源，請參閱「確保雲端法規遵循」。
自動實施法規遵循要求
這項建議與下列重點領域相關：雲端管理、風險與法規遵循。
為協助您遵守不斷變化的法規，請判斷是否能自動實施法規遵循要求。您可以使用 Google Cloud 提供的法規遵循功能，以及針對特定法規遵循制度採用建議設定的藍圖。
Assured Workloads 則以 Google Cloud 中的控管機制為基礎，協助您履行法規遵循義務。Assured Workloads 可讓您執行下列操作：
- 選取法規遵循制度。接著，這項工具會自動為所選法規設定基準人員存取控管。
- 使用組織政策設定資料位置，確保靜態資料和資源僅保留在該區域。
- 選取最符合安全性和法規遵循要求的金鑰管理選項 (例如金鑰輪替週期)。
- 選取 Google 支援人員的存取權條件，以符合特定法規要求，例如 FedRAMP 中等風險。例如，您可以選取 Google 支援人員是否已完成適當的背景調查。
- 使用符合 FIPS-140-2 規範且支援 FedRAMP 中等影響法規遵循的 Google-owned and Google-managed encryption keys 。如要進一步控管及分散權責，可以使用客戶自行管理的加密金鑰 (CMEK)。如要進一步瞭解金鑰，請參閱「為靜態和傳輸中的資料加密」。
除了 Assured Workloads 之外，您也可以使用與法規遵循制度相關的 Google Cloud藍圖。您可以修改這些藍圖，將安全性政策納入基礎架構部署作業。
為協助您建構符合法規遵循要求的環境，Google 的藍圖和解決方案指南包含建議設定，並提供 Terraform 模組。下表列出可解決安全性問題並符合法規遵循要求的藍圖。
| 條件 | 藍圖和解決方案指南 |
|---|---|
| FedRAMP | |
| 健康保險流通與責任法案 |
監控法規遵循狀態
這項建議與下列重點領域相關：
- 雲端管理、風險與法規遵循
- 記錄、監控和稽核
大部分法規會要求您監控特定活動，包括與存取權相關的活動。您可以使用下列工具協助監控：
- 資料存取透明化控管機制：在 Google Cloud 管理員存取您的內容時，查看近乎即時的記錄。
- 防火牆規則記錄：針對您建立的任何規則，記錄虛擬私有雲網路中的 TCP 和 UDP 連線。這類記錄可用於稽核網路存取活動，或及早得知有人未經核准即使用網路。
- 虛擬私有雲流量記錄：記錄 VM 執行個體傳送或接收的網路流量。
- Security Command Center Premium：監控是否符合各項標準。
- OSSEC (或其他開放原始碼工具)：記錄具備環境管理員存取權的使用者活動。
- 金鑰存取依據：查看金鑰存取要求的原因。
- Security Command Center 通知：在發生違規問題時收到快訊。例如，在使用者停用兩步驟驗證或服務帳戶權限過高時收到快訊。您也可以為特定通知設定自動修復功能。
管理資料主權的建議
這項建議與下列重點領域相關：雲端管理、風險與法規遵循。
資料主權提供機制，可防止 Google 存取您的資料。請只核准您認為必要的供應商行為。舉例來說，您可以透過下列方式管理資料主權：
管理營運主權
這項建議與下列重點領域相關：雲端管理、風險與法規遵循。
營運主權的作用是確保 Google 人員無法影響您的工作負載。舉例來說，您可以透過下列方式管理營運主權：
- 限制將新資源部署至特定供應商所在的區域。
- 限制 Google 支援人員的存取權：根據預先定義的屬性 (例如公民身分或地理位置) 限制存取權。
管理軟體主權
這項建議與下列重點領域相關：雲端管理、風險與法規遵循。
軟體主權可確保您能控管工作負載的可用性，並隨時隨地執行工作負載。此外，您不必依賴或受限於單一雲端服務供應商，即可享有這項控管功能。軟體主權包括因應特定事件的能力，例如快速變更工作負載的部署地點，以及允許的對外連線層級。
舉例來說，為協助您管理軟體主權， Google Cloud支援混合雲和多雲端部署。如果基於資料主權考量而選擇地端部署，Google Distributed Cloud 結合軟硬體，可將 Google Cloud 導入資料中心。
符合隱私權規定的建議
Google Cloud 提供下列控制項，可強化隱私權：
- 預設加密所有靜態、傳輸中和處理中的資料。
- 防範內部人員存取。
- 支援多項隱私權法規。
下列建議說明您可以實作的其他控制項。詳情請參閱隱私權資源中心。
控管資料落地
這項建議與下列重點領域相關：雲端管理、風險與法規遵循。
資料落地是指靜態資料的儲存位置。資料落地需求會因系統設計目標、業界監管問題、國家法律、稅務影響，甚至文化而異。
如要控管資料落地，請先完成下列步驟：
- 瞭解資料類型和位置。
- 判斷資料面臨哪些風險，以及適用哪些法律和法規。
- 控管資料的儲存位置或去向。
為協助您遵守資料落地規定， Google Cloud 可讓您控管資料的儲存位置、存取方式和處理方式。您可以使用資源位置政策，限制資源的建立位置，以及在區域之間資料的複製位置。您可以使用資源的位置屬性，找出服務的部署位置和維護人員。詳情請參閱「資源位置支援的服務」。
將機密資料分類
這項建議與下列重點領域相關：資料安全性。
您必須確定哪些是機密資料，並確保機密資料受到妥善保護。機密資料可能包括信用卡號、地址、電話號碼和其他個人識別資訊 (PII)。您可以使用 Sensitive Data Protection 設定適當的分類。在將資料儲存至 Google Cloud前，您可以加上標記並進行權杖化處理。此外，Knowledge Catalog 還提供目錄服務，可儲存、管理及存取中繼資料。如需更多資訊和資料分類與去識別化的範例，請參閱「使用 Sensitive Data Protection 對 PII 進行去識別化和重新識別」。
嚴密保護機密資料
這項建議與下列重點領域相關：
- 資料安全性
- 身分與存取權管理
使用 VPC Service Controls 將機密資料置入其專屬的 service perimeter。VPC Service Controls 可提升您的能力，降低 Google 代管服務中資料遭未經授權複製或轉移 (資料竊取) 的風險。您可以使用 VPC Service Controls，為 Google 代管服務的資源設定安全範圍，控管資料在範圍內的移動。為該資料設定 Google Identity and Access Management (IAM) 存取控管措施。為所有需要存取機密資料的使用者設定多重驗證 (MFA)。