Visão geral da residência de dados

Visão geral

Esta página explica como usar o Cloud SQL para impor requisitos de residência de dados.

Residência de dados refere-se à localização física dos dados e às regulamentações locais que regem como você os armazena, criptografa e acessa. À medida que as regulamentações de proteção de dados e privacidade dos países evoluem, é cada vez mais importante que você entenda como cumprir os requisitos locais de residência de dados e proteger os dados dos seus usuários.

Em um ambiente local tradicional, vários componentes integram e gerenciam a residência de dados. Por exemplo, uma empresa pode hospedar um gateway de tokenização como um Cloud Access Security Broker (CASB) para proteger os dados do aplicativo antes que eles sejam transmitidos para o exterior.

Google Cloud e seus serviços, incluindo o Cloud SQL, integram-se para ajudar você a lidar com a residência de dados, controlando a localização dos seus dados e o acesso a esses dados, pelo Google ou por qualquer pessoa.

Residência de dados em computação em nuvem

A seguir estão listados alguns problemas de residência de dados que você deve conhecer:

  • Se os administradores de nuvem de uma empresa não sabem a localização física dos dados, eles não conhecem as regulamentações locais. Para poder pesquisar as políticas de residência de dados de cada local, os administradores precisam saber onde estão os data centers.
  • Os administradores e provedores de nuvem da empresa podem usar acordos de nível de serviço (SLAs) para estabelecer os locais permitidos. No entanto, e se você precisar armazenar seus dados em uma região diferente dos termos do SLA?
  • Os usuários devem garantir que seus dados e todos os serviços e recursos que eles usam em seus projetos de nuvem sigam os regulamentos de residência de dados do país anfitrião.
    • O que você faz se quiser decidir onde armazenar seus dados e chaves de criptografia?
    • O que acontece se você quiser determinar os locais onde os usuários podem acessar seus dados?

Google Cloud serviços, incluindo o Cloud SQL, resolvem alguns desses problemas permitindo que você faça o seguinte:

  • Defina o local de armazenamento dos seus dados. Você pode selecionar a região ao criar sua instância do Cloud SQL ou editar a região editando uma instância existente.
  • Use o recurso de réplica de leitura entre regiões do Cloud SQL para ajudar você a atender aos padrões de residência de dados para uma região designada.
  • Controle os locais de rede onde os usuários podem acessar os dados, bem como controle o acesso dos administradores de nuvem a esses dados.

Há três áreas em que o Cloud SQL pode ajudar você a enfrentar os desafios da residência de dados:

Armazenar dados

A residência de dados envolve o armazenamento de informações de identificação pessoal (PII) em uma região específica, onde esses dados são processados ​​de acordo com os regulamentos dessa região.

Para armazenar dados, você deve atender às exigências legais e regulatórias de um país, como as leis de localidade de dados. Por exemplo, um país pode exigir que quaisquer dados governamentais sejam armazenados naquele país. Ou uma empresa pode ser contratualmente obrigada a armazenar dados de alguns de seus clientes em outro país. Portanto, uma empresa precisa atender aos requisitos de residência de dados do país onde os dados são armazenados.

Com Google Cloud, você pode configurar onde seus dados serão armazenados, inclusive em backups. Isso inclui permitir que você escolha as regiões onde armazenar seus dados. Ao configurar recursos nessas regiões para o Cloud SQL, o Google armazena seus dados em repouso somente nessas regiões, de acordo com nossos Termos Específicos de Serviço . Você pode selecionar a região ao criar sua instância ou editá-la editando uma instância existente .

Para obter mais informações sobre locais de backup, consulte Locais de backup personalizados .

Você pode usar restrições de política organizacional para impor requisitos de residência de dados no nível da organização, do projeto ou da pasta. Essas restrições permitem definir Google Cloud Locais onde os usuários podem criar recursos para serviços suportados. Para residência de dados, você pode limitar a localização física de um novo recurso com a restrição de locais de recursos . Você também pode ajustar as políticas para uma restrição para especificar multirregiões, como asia e europe , ou regiões como us-east1 ou europe-west1 , como locais permitidos ou negados.

Se houver uma interrupção em um Google Cloud região, você pode evitar impactos usando o recurso de réplica de leitura entre regiões para o Cloud SQL. Como parte da criação de uma réplica de leitura , você deve escolher a região para a réplica. Certifique-se de escolher uma região que esteja em conformidade com os regulamentos de residência de dados. Como resultado, os padrões de residência de dados são atendidos na região selecionada.

Ao criar a réplica, você cria uma cópia da sua instância primária do banco de dados que reflete as alterações na instância primária quase em tempo real. Se houver uma falha, você poderá promover a réplica de leitura para uma instância primária .

Os VPC Service Controls ajudam a impor a residência de dados, permitindo restringir o uso das APIs do Cloud SQL para importar e exportar dados usando a API de Administração do Cloud SQL ou a API do Cloud Storage. Essa restrição ajuda a garantir que os dados permaneçam dentro dos locais de rede selecionados. Usando os VPC Service Controls, você cria um perímetro de serviço que define os limites virtuais a partir dos quais um serviço pode ser acessado, impedindo que os dados sejam movidos para fora desses limites. Você pode impor essa restrição mesmo que o usuário esteja autorizado de acordo com suasGoogle Cloud Política de IAM .

Criptografar dados

Google Cloud Serviços, incluindo o Cloud SQL, criptografam o conteúdo do cliente em repouso e em trânsito usando vários métodos de criptografia. A criptografia é automática e não requer nenhuma ação do cliente.

O Cloud SQL também permite adicionar outra camada de criptografia aos dados usando chaves de criptografia gerenciadas pelo cliente (CMEK) . As CMEKs são destinadas a organizações que possuem dados confidenciais ou regulamentados que exigem o gerenciamento de suas próprias chaves de criptografia. O recurso CMEK permite que você use suas próprias chaves criptográficas para dados em repouso no Cloud SQL. Após adicionar as CMEKs, sempre que uma chamada de API for feita, o Cloud SQL usará suas chaves para acessar os dados.

Se quiser armazenar seu CMEK nas regiões onde você implanta seus serviços, você pode usar o Cloud Key Management Service (Cloud KMS) . Você define o local da chave ao criá-la. Ou, para armazenar essas chaves dentro de um módulo de segurança de hardware físico (HSM) localizado na região escolhida, use o Cloud HSM .

Outra maneira de escolher onde armazenar suas CMEKs é usar um produto de terceiros. Para armazenar e gerenciar chaves em um produto de gerenciamento de chaves de terceiros implantado fora da infraestrutura do Google, você pode usar o Cloud External Key Manager (Cloud EKM) .

Dados de acesso

Com o Cloud SQL, você pode controlar quais usuários podem acessar seus dados.

A autenticação de banco de dados do Gerenciamento de Identidade e Acesso (IAM) do Cloud SQL oferece uma interface única para ajudar você a monitorar e gerenciar melhor o acesso ao banco de dados para usuários e contas de serviço. Assim, você pode gerenciar os dados em seus recursos de nuvem de forma centralizada.

Ao configurar a autenticação do banco de dados IAM do Cloud SQL, você pode controlar o acesso dos usuários aos seus dados no Cloud SQL, definindo quem tem qual acesso aos seus dados. Você configura sua instância de banco de dados e, em seguida, concede acesso a indivíduos adicionando usuários do IAM como usuários na instância. Esses usuários podem efetuar login nos bancos de dados do Cloud SQL usando a autenticação do banco de dados IAM do Cloud SQL.

Para habilitar ou desabilitar serviços para conjuntos de usuários, você pode combinar restrições de política organizacional usando configurações de política do IAM. Esse recurso evita que seus funcionários armazenem dados acidentalmente no local errado. Google Cloud região.

Para controlar o acesso do Google ao pessoal de suporte e engenharia, use a Aprovação de Acesso . A Aprovação de Acesso permite que você exija que os funcionários do Google obtenham sua aprovação explícita antes de acessarem seus dados ou configurações em Google Cloud (para exclusões, consulte Exclusões de aprovação de acesso ).

A Aprovação de Acesso complementa a visibilidade fornecida pela Transparência de Acesso , que gera registros de auditoria quase em tempo real quando os administradores do Google interagem com seus dados. Os registros de auditoria incluem a localização do escritório do administrador e o motivo do acesso. Você também pode aplicar atributos específicos para administradores que têm acesso aos seus dados ou configurações, incluindo a região geográfica e outros atributos relevantes para a conformidade.

As Justificativas de Acesso à Chave integram-se ao Cloud KMS e ao Cloud EKM. Sempre que uma das suas chaves for solicitada para criptografar ou descriptografar dados, as Justificativas de Acesso à Chave fornecem uma justificativa detalhada, juntamente com um mecanismo para você aprovar ou negar o acesso à chave usando uma política automatizada definida por você.

Usando permissões do IAM, Aprovação de Acesso, Transparência de Acesso e Justificativas de Acesso de Chave com o Cloud KMS e o Cloud EKM, você pode impedir que o Google descriptografe seus dados. Como resultado, você é o árbitro do acesso aos seus dados.

O que vem a seguir