Vista geral da residência dos dados

Vista geral

Esta página explica como usar o Cloud SQL para aplicar os requisitos de residência de dados.

A residência dos dados refere-se à localização física dos dados e aos regulamentos locais que regem a forma como armazena, encripta e acede a esses dados. À medida que as proteções de dados e os regulamentos de privacidade dos países evoluem, é cada vez mais importante que compreenda como cumprir os requisitos de residência de dados locais e proteger os dados dos seus utilizadores.

Num ambiente local tradicional, vários componentes integram-se e processam a residência de dados. Por exemplo, uma empresa pode alojar um gateway de tokenização como um agente de segurança de acesso à nuvem (CASB) para proteger os dados das aplicações antes de serem transmitidos para o estrangeiro.

Trusted Cloud by S3NS e os respetivos serviços, incluindo o Cloud SQL, integram-se para ajudar a gerir a residência de dados controlando a localização dos seus dados e o acesso a esses dados, quer seja pela Google ou por qualquer outra pessoa.

Residência dos dados na computação na nuvem

Seguem-se alguns problemas de residência de dados que deve conhecer:

  • Se os administradores da nuvem de uma empresa não souberem a localização física dos dados, não conhecem os regulamentos locais. Para poderem pesquisar as políticas de residência de dados de cada localização, os administradores têm de saber onde se encontram os centros de dados.
  • Os administradores e os fornecedores na nuvem da empresa podem usar contratos de nível de serviço (CNLs) para estabelecer localizações permitidas. No entanto, e se tiver de armazenar os seus dados numa região diferente dos termos do SLA?
  • Os utilizadores têm de garantir que os respetivos dados e todos os serviços e recursos que usam nos respetivos projetos na nuvem cumprem os regulamentos de residência de dados do país anfitrião.
    • O que faz se quiser decidir onde armazenar os seus dados e chaves de encriptação?
    • O que acontece se quiser determinar as localizações onde os utilizadores podem aceder aos seus dados?

Trusted Cloud by S3NS , incluindo o Cloud SQL, resolvem alguns destes problemas permitindo-lhe fazer o seguinte:

  • Defina a localização de armazenamento dos seus dados. Pode selecionar a região quando criar a instância do Cloud SQL ou pode editar a região editando uma instância existente.
  • Use a funcionalidade de réplica de leitura entre regiões para o Cloud SQL para ajudar a cumprir as normas de residência dos dados para uma região designada.
  • Controlar as localizações de rede onde os utilizadores podem aceder aos dados, bem como o acesso dos administradores da nuvem a estes dados.

Existem três áreas em que o Cloud SQL pode ajudar a enfrentar os desafios da residência dos dados:

Armazene dados

A residência de dados envolve o armazenamento de informações de identificação pessoal (IIP) numa região específica, onde esses dados são processados de acordo com os regulamentos dessa região.

Para armazenar dados, tem de cumprir as exigências legais e regulamentares de um país, como as leis de localização de dados. Por exemplo, um país pode exigir que todos os dados relacionados com o governo sejam armazenados nesse país. Em alternativa, uma empresa pode ter uma obrigação contratual de armazenar dados de alguns dos seus clientes num país diferente. Por conseguinte, uma empresa tem de cumprir os requisitos de residência dos dados do país onde os dados estão armazenados.

Com o Trusted Cloud by S3NS, pode configurar a localização onde os seus dados são armazenados, incluindo nas cópias de segurança. Isto inclui permitir-lhe escolher as regiões onde armazena os seus dados. Quando opta por configurar recursos nestas regiões para o Cloud SQL, a Google armazena os seus dados em repouso apenas nestas regiões, de acordo com os nossos Termos Específicos dos Serviços. Pode selecionar a região quando criar a instância ou editar uma instância existente.

Para mais informações sobre localizações de cópias de segurança, consulte o artigo Localizações de cópias de segurança personalizadas.

Pode usar restrições de políticas organizacionais para aplicar requisitos de residência de dados ao nível da organização, do projeto ou da pasta. Estas restrições permitem-lhe definir as Trusted Cloud by S3NS localizações onde os utilizadores podem criar recursos para serviços suportados. Para a residência dos dados, pode limitar a localização física de um novo recurso com a restrição de localizações de recursos. Também pode ajustar as políticas de uma restrição para especificar várias regiões, como asia e europe, ou regiões, como us-east1 ou europe-west1, como localizações permitidas ou recusadas.

Se houver uma indisponibilidade numa Trusted Cloud by S3NS região, pode evitar o impacto usando a funcionalidade réplica de leitura entre regiões para o Cloud SQL. Como parte da criação de uma réplica de leitura, tem de escolher a região para a réplica. Certifique-se de que escolhe uma região em conformidade com os regulamentos de residência dos dados. Como resultado, os padrões de residência de dados são cumpridos na região selecionada.

Quando cria a réplica, cria uma cópia da instância da base de dados principal que reflete as alterações à principal em tempo quase real. Se ocorrer uma falha, pode promover a réplica de leitura a uma instância principal.

Os VPC Service Controls ajudam a aplicar a residência de dados, permitindo-lhe restringir a utilização das APIs Cloud SQL para importar e exportar dados através da API Cloud SQL Admin ou da API Cloud Storage. Esta restrição ajuda a garantir que os dados permanecem nas localizações de rede que selecionou. Com os VPC Service Controls, cria um perímetro de serviço que define os limites virtuais a partir dos quais um serviço pode ser acedido, impedindo que os dados sejam movidos para fora desses limites. Pode aplicar esta restrição mesmo que o utilizador esteja autorizado de acordo com a sua Trusted Cloud by S3NS política de IAM.

Encripte dados

Trusted Cloud by S3NS , incluindo o Cloud SQL, encriptam o conteúdo do cliente em repouso e em trânsito através de vários métodos de encriptação. A encriptação é automática e não é necessária qualquer ação do cliente.

O Cloud SQL também permite adicionar outra camada de encriptação aos dados através de chaves de encriptação geridas pelo cliente (CMEK). As CMEK destinam-se a organizações que têm dados confidenciais ou regulamentados que exigem que geram as suas próprias chaves de encriptação. A funcionalidade CMEK permite-lhe usar as suas próprias chaves criptográficas para dados em repouso no Cloud SQL. Depois de adicionar a CMEK, sempre que é feita uma chamada à API, o Cloud SQL usa as suas chaves para aceder aos dados.

Se quiser armazenar a sua CMEK nas regiões onde implementa os seus serviços, pode usar o Cloud Key Management Service (Cloud KMS). Define a localização da chave quando a cria. Em alternativa, para armazenar essas chaves num módulo de segurança de hardware (HSM) físico localizado na região que escolher, use o Cloud HSM.

Outra forma de escolher onde quer armazenar a CMEK é usar um produto de terceiros. Para armazenar e gerir chaves num produto de gestão de chaves de terceiros implementado fora da infraestrutura da Google, pode usar o Cloud External Key Manager (Cloud EKM).

Aceda aos dados

Com o Cloud SQL, pode controlar que utilizadores podem aceder aos seus dados.

A autenticação de base de dados da gestão de identidade e de acesso (IAM) do Cloud SQL oferece uma única interface para ajudar a monitorizar e gerir melhor o acesso à base de dados para utilizadores e contas de serviço. Como resultado, pode gerir os dados nos seus recursos da nuvem de forma centralizada.

Ao configurar a autenticação de base de dados do IAM do Cloud SQL, pode controlar o acesso dos utilizadores aos seus dados no Cloud SQL definindo quem tem que acesso aos seus dados. Configura a instância da base de dados e, em seguida, concede acesso a indivíduos adicionando utilizadores do IAM como utilizadores na instância. Estes utilizadores podem iniciar sessão em bases de dados do Cloud SQL através da autenticação de bases de dados do IAM do Cloud SQL.

Para ativar ou desativar serviços para conjuntos de utilizadores, pode combinar restrições de políticas organizacionais através de configurações de políticas do IAM. Esta funcionalidade impede que os seus funcionários armazenem acidentalmente dados na região Trusted Cloud by S3NS errada.

Para controlar o acesso da equipa de apoio técnico e engenharia da Google, use a aprovação de acesso. A aprovação de acesso permite-lhe exigir que os funcionários da Google recebam a sua aprovação explícita antes de acederem aos seus dados ou configurações no Trusted Cloud by S3NS (para exclusões, consulte as exclusões da aprovação de acesso).

A Aprovação de acesso complementa a visibilidade fornecida pela Transparência de acesso, que gera registos de auditoria quase em tempo real quando os administradores da Google interagem com os seus dados. Os registos de auditoria incluem a localização do escritório do administrador e o motivo do acesso. Também pode aplicar atributos específicos aos administradores que têm acesso aos seus dados ou configurações, incluindo a respetiva região geográfica e outros atributos relevantes para a conformidade.

As justificações de acesso a chaves integram-se com o Cloud KMS e o Cloud EKM. Sempre que uma das suas chaves é pedida para encriptar ou desencriptar dados, as Justificações de acesso às chaves fornecem uma justificação detalhada, juntamente com um mecanismo para aprovar ou recusar o acesso às chaves através de uma política automatizada que define.

Ao usar autorizações de IAM, aprovação de acesso, transparência de acesso e justificações de acesso às chaves com o Cloud KMS e o Cloud EKM, pode negar à Google a capacidade de desencriptar os seus dados. Como tal, é o árbitro do acesso aos seus dados.

O que se segue?