Descripción general de la residencia de datos

Descripción general

Esta página explica cómo usar Cloud SQL para hacer cumplir los requisitos de residencia de datos.

La residencia de datos se refiere a la ubicación física de los datos y a las normativas locales que rigen su almacenamiento, cifrado y acceso. A medida que evolucionan las normativas de protección de datos y privacidad de los países, es cada vez más importante comprender cómo cumplir con los requisitos locales de residencia de datos y proteger los datos de sus usuarios.

En un entorno local tradicional, varios componentes integran y gestionan la residencia de datos. Por ejemplo, una empresa puede alojar una puerta de enlace de tokenización como agente de seguridad de acceso a la nube (CASB) para proteger los datos de las aplicaciones antes de su transmisión internacional.

Google Cloud y sus servicios, incluido Cloud SQL, se integran para ayudarlo a gestionar la residencia de los datos al controlar la ubicación de sus datos y el acceso a ellos, por parte de Google o de cualquier persona.

Residencia de datos en la computación en la nube

A continuación se enumeran algunos problemas de residencia de datos que debe conocer:

  • Si los administradores de la nube de una empresa desconocen la ubicación física de los datos, desconocen las normativas locales. Para poder investigar las políticas de residencia de datos de cada ubicación, los administradores necesitan saber dónde se ubican los centros de datos.
  • Los administradores y proveedores de la nube de la empresa pueden usar acuerdos de nivel de servicio (SLA) para establecer las ubicaciones permitidas. Sin embargo, ¿qué ocurre si necesita almacenar sus datos en una región que difiere de los términos del SLA?
  • Los usuarios deben asegurarse de que sus datos y todos los servicios y recursos que utilizan en sus proyectos en la nube cumplan con las regulaciones de residencia de datos del país anfitrión.
    • ¿Qué haces si quieres decidir dónde almacenar tus datos y claves de cifrado?
    • ¿Qué sucede si desea determinar las ubicaciones donde los usuarios pueden acceder a sus datos?

Google Cloud Los servicios, incluido Cloud SQL, abordan algunos de estos problemas al permitirle hacer lo siguiente:

  • Establezca la ubicación de almacenamiento de sus datos. Puede seleccionar la región al crear su instancia de Cloud SQL o editarla editando una instancia existente.
  • Utilice la función de réplica de lectura entre regiones para Cloud SQL para ayudarlo a cumplir con los estándares de residencia de datos para una región designada.
  • Controlar las ubicaciones de la red donde los usuarios pueden acceder a los datos, así como controlar el acceso de los administradores de la nube a estos datos.

Hay tres áreas en las que Cloud SQL puede ayudarle a afrontar los desafíos de la residencia de datos:

Almacenar datos

La residencia de datos implica almacenar información de identificación personal (PII) dentro de una región particular, donde dichos datos se procesan de acuerdo con las regulaciones de esa región.

Para almacenar datos, debe cumplir con las exigencias legales y regulatorias de un país, como las leyes de ubicación de datos. Por ejemplo, un país podría exigir que todos los datos gubernamentales se almacenen en él. O bien, una empresa podría estar obligada contractualmente a almacenar los datos de algunos de sus clientes en otro país. Por lo tanto, una empresa debe cumplir con los requisitos de residencia de datos del país donde se almacenan.

Con Google CloudPuedes configurar dónde se almacenan tus datos, incluidas las copias de seguridad. Esto incluye la posibilidad de elegir las regiones donde almacenarlos. Al configurar recursos en estas regiones para Cloud SQL, Google almacena tus datos en reposo solo en estas regiones, de acuerdo con nuestras Condiciones Específicas del Servicio . Puedes seleccionar la región al crear tu instancia o editarla editando una instancia existente .

Para obtener más información sobre las ubicaciones de las copias de seguridad, consulte Ubicaciones de copias de seguridad personalizadas .

Puede usar restricciones de políticas organizativas para aplicar requisitos de residencia de datos a nivel de organización, proyecto o carpeta. Estas restricciones le permiten definir... Google Cloud Ubicaciones donde los usuarios pueden crear recursos para los servicios compatibles. Para la residencia de datos, puede limitar la ubicación física de un nuevo recurso con la restricción "Ubicaciones de recursos" . También puede ajustar las políticas de una restricción para especificar multirregiones como asia y europe , o regiones como us-east1 o europe-west1 , como ubicaciones permitidas o denegadas.

Si hay una interrupción en un Google Cloud Si su región es diferente, puede evitar el impacto utilizando la función de réplica de lectura entre regiones para Cloud SQL. Al crear una réplica de lectura , debe elegir la región. Asegúrese de elegir una región que cumpla con las regulaciones de residencia de datos. De esta manera, se cumplen los estándares de residencia de datos en la región seleccionada.

Al crear la réplica, se crea una copia de la instancia principal de la base de datos que refleja los cambios en ella casi en tiempo real. Si se produce un fallo, se puede promover la réplica de lectura a una instancia principal .

Los controles de servicio de VPC le ayudan a garantizar la residencia de datos al restringir el uso de las API de Cloud SQL para importar y exportar datos mediante la API de administración de Cloud SQL o la API de Cloud Storage. Esta restricción ayuda a garantizar que los datos permanezcan dentro de las ubicaciones de red seleccionadas. Con los controles de servicio de VPC, crea un perímetro de servicio que define los límites virtuales desde los que se puede acceder a un servicio, lo que impide que los datos se muevan fuera de esos límites. Puede aplicar esta restricción incluso si el usuario está autorizado según sus...Google Cloud Política de IAM .

Cifrar datos

Google Cloud Los servicios, incluido Cloud SQL, cifran el contenido del cliente en reposo y en tránsito mediante diversos métodos de cifrado. El cifrado es automático y no requiere ninguna acción del cliente.

Cloud SQL también permite añadir otra capa de cifrado a los datos mediante claves de cifrado gestionadas por el cliente (CMEK) . Las CMEK están diseñadas para organizaciones que gestionan datos confidenciales o regulados y que requieren la gestión de sus propias claves de cifrado. La función CMEK permite usar sus propias claves criptográficas para los datos en reposo en Cloud SQL. Tras añadir CMEK, cada vez que se realiza una llamada a la API, Cloud SQL utiliza sus claves para acceder a los datos.

Si desea almacenar su CMEK en las regiones donde implementa sus servicios, puede usar Cloud Key Management Service (Cloud KMS) . La ubicación de la clave se establece al crearla. O bien, para almacenarlas dentro de un módulo de seguridad de hardware (HSM) físico ubicado en la región que elija, use Cloud HSM .

Otra forma de elegir dónde almacenar tus CMEK es usar un producto de terceros. Para almacenar y administrar claves en un producto de gestión de claves de terceros implementado fuera de la infraestructura de Google, puedes usar Cloud External Key Manager (Cloud EKM) .

Acceder a datos

Con Cloud SQL, puedes controlar qué usuarios pueden acceder a tus datos.

La autenticación de bases de datos de Cloud SQL Identity and Access Management (IAM) proporciona una interfaz única que le ayuda a supervisar y gestionar mejor el acceso a la base de datos para usuarios y cuentas de servicio. Como resultado, puede gestionar los datos de sus recursos en la nube de forma centralizada.

Al configurar la autenticación de la base de datos IAM de Cloud SQL, puede controlar el acceso de los usuarios a sus datos en Cloud SQL definiendo quién tiene acceso a cada uno. Configure su instancia de base de datos y, a continuación, otorgue acceso a las personas agregando usuarios de IAM como usuarios en la instancia. Estos usuarios pueden iniciar sesión en las bases de datos de Cloud SQL mediante la autenticación de la base de datos IAM de Cloud SQL.

Para habilitar o deshabilitar servicios para conjuntos de usuarios, puede combinar las restricciones de las políticas de la organización mediante configuraciones de políticas de IAM. Esta función evita que sus empleados almacenen datos accidentalmente en un lugar incorrecto. Google Cloud región.

Para controlar el acceso de Google al personal de soporte e ingeniería, utilice la Aprobación de acceso . Esta función le permite exigir a los empleados de Google que obtengan su aprobación explícita antes de acceder a sus datos o configuraciones en Google Cloud (para exclusiones, consulte Exclusiones de aprobación de acceso ).

La Aprobación de Acceso complementa la visibilidad que ofrece Transparencia de Acceso , que genera registros de auditoría casi en tiempo real cuando los administradores de Google interactúan con tus datos. Estos registros incluyen la ubicación de la oficina del administrador y el motivo del acceso. También puedes aplicar atributos específicos a los administradores que tienen acceso a tus datos o configuraciones, como su región geográfica y otros atributos relevantes para el cumplimiento normativo.

Las Justificaciones de Acceso a Claves se integran con Cloud KMS y Cloud EKM. Cada vez que se solicita una de sus claves para cifrar o descifrar datos, las Justificaciones de Acceso a Claves proporcionan una justificación detallada, junto con un mecanismo para que usted apruebe o deniegue el acceso a la clave mediante una política automatizada que usted configure.

Al usar los permisos de IAM, la Aprobación de Acceso, la Transparencia de Acceso y las Justificaciones de Acceso a Claves con Cloud KMS y Cloud EKM, puedes impedir que Google descifre tus datos. Como resultado, eres el árbitro del acceso a tus datos.

¿Qué sigue?