本文提供高階架構，說明如何保護 Google Cloud中含有機密資料 (包括個人識別資訊 (PII)) 的大量資料集。這個架構的設計宗旨是協助保護敏感資料，防範意外曝光和惡意竊取。本文適用於熟悉雲端網路和身分基礎概念的資料法規遵循長和雲端安全工程師。這項架構著重於使用網路邊界，明確覆寫寬鬆的身分與存取權管理 (IAM) 設定，防止未經授權的公用存取行為，即使資源設定錯誤也一樣。
本文的「部署」一節提供 Terraform 程式碼範例，可供您自行部署這個安全防護範圍，並模擬公開存取封鎖。
架構
下圖說明 Google Cloud上完善的多層式資料保護策略。有效展示資料如何從非結構化狀態移至受治理的安全環境。
上圖顯示各項 Google 服務如何從初始資料上傳到資料存取，為資料提供安全保障：
- 具備適當 IAM 權限的使用者，可將資料上傳至 BigQuery 或 Cloud Storage 資料儲存服務。儲存服務已設為使用客戶自行管理的加密金鑰 (CMEK) 和 Cloud KMS Autokey。
- 這項服務會使用從 Cloud KMS Autokey 擷取的 CMEK 加密資料。
- Sensitive Data Protection 會持續檢查、分類及去識別化存放區中的機密資料。如要對私密/機密資料去識別化，Sensitive Data Protection 會使用您設定的範本和選項遮蓋資料。
- 儲存空間服務位於 VPC Service Controls perimeter 內，因此會封鎖 perimeter 外部的資料存取要求。如要授予指定使用者和系統 (IAM 主體) 存取權，請使用 Access Context Manager 存取層級範本。指定主體隨後即可存取周邊範圍內的資料。
- 如果使用者未在存取層級範本中指定，VPC Service Controls 會拒絕其存取權。
使用的產品
- VPC Service Controls：代管網路功能，可將 Google Cloud 資源的資料竊取風險降到最低。
- Sensitive Data Protection：這項全代管服務可協助您探索、分類及保護寶貴的資料資產，包括個人識別資訊 (PII)。
- Cloud Key Management Service (Cloud KMS)：這項服務可讓您透過單一集中式雲端服務，建立、匯入及管理加密編譯金鑰，並執行加密編譯作業。
- Access Context Manager：這項服務可讓您依據屬性，為 Google Cloud中的專案和資源定義精細的存取控管政策。
- BigQuery：企業資料倉儲，內建機器學習、地理空間分析和商業智慧等功能，有助於管理及分析資料。
- Cloud Storage：適用於多種資料類型的物件儲存庫，成本低廉且沒有限制。 資料在 Google Cloud 內外都能存取 Google Cloud，且會複製到多個位置，以便提供備援機制。
用途
這個架構提供完善的安全架構，可在 Google Cloud中處理私密/機密資料。著重於資料保護、存取控管和防止資料外洩。這項架構結合了嚴密的加密機制、自動資料去識別化功能和網路周邊控管機制，有助於為敏感資料建立安全環境。這項實作程序有助於確保資料是以客戶控管的金鑰 (CMEK) 加密、系統會自動偵測並遮蓋敏感資訊，以及嚴格限制存取權並根據情境管理存取權。這些措施有助於大幅降低資料竊取風險。
以下是本文所述架構的應用實例：
- 受監管產業 (金融、醫療保健、公部門)：受嚴格監管的產業需要安全架構，以協助達成法規遵循和資料安全性目標。為確保符合法規並保護敏感的客戶資料，請務必確保資料在閒置時受到保護、敏感資料已遭探索，以及已設有存取權控管機制。建議受監管產業導入這項設計，以利達成資料法規遵循要求。
- 不受監管的產業：不受資料法規約束的產業，可透過導入完善的安全架構獲益。因此請務必防止機密資料外洩、安全地儲存資料，並制定政策來控管資料存取權。這份文件中的架構可協助不受監管的產業，達到與受嚴格監管產業相同的安全等級。建議未受監管的產業採用這項設計，做為最佳做法。
設計須知
- 如要分析記錄違規情形，並防止生產環境工作負載遭到意外鎖定，請務必先以模擬測試模式實作 VPC Service Controls。
- 為確保受信任的公司網路和管理裝置可以與受保護的資源互動，請定義精確的 Access Context Manager 政策和層級。
如要快速且經濟實惠地找出私密/機密資料「可能」所在位置，請對大型資料集啟用取樣功能，然後執行 Sensitive Data Protection。詳情請參閱下列資源：
為確保這些資料集受到全面保護，請在檢查取樣資料後執行全面掃描。詳情請參閱「機密資料探索總覽」。
為確保自動強制執行加密，請先在資料夾或專案層級啟用 Cloud KMS Autokey，再建立資源。
部署作業
如要部署這個架構的實作範例，請使用 GitHub 提供的資料安全程式碼範例。
後續步驟
- 如要體驗 Cloud KMS Autokey，請參閱「使用 Cloud KMS Autokey 輕鬆加密資源」程式碼研究室。
- 瞭解如何搭配使用 VPC Service Controls 與 Access Context Manager。
- 如要查看更多參考架構、圖表和最佳做法，請瀏覽 Cloud Architecture Center。
貢獻者
作者：
- Manish Gaur | 資安架構師
- James Meyer | 安全架構師
其他貢獻者：
- Osvaldo Costa | 網路專家客戶工程師
- Susan Wu | 對外產品經理
- Mark Schlagenhauf | 網路技術文件撰稿者
- Biodun Awojobi | 安全與法規遵循客戶工程主管