Nell’ambito dell’iniziativa “Cloud. On Europe’s Terms“, Google Cloud ha lavorato per fornire soluzioni che potessero rispondere alle esigenze delle imprese e delle organizzazioni europee, tra cui la sovranità dei dati.
Alle organizzazioni europee – sia nel settore pubblico che in quello privato – serve un cloud provider che possa soddisfare i loro requisiti di sicurezza, privacy e sovranità digitale, senza compromettere la funzionalità o l’innovazione.
La società californiana sta rispondendo a queste esigenze con funzionalità incorporate nella sua piattaforma di cloud pubblico. Nonché, più recentemente, con gli annunci di soluzioni cloud alimentate da Google Cloud da offrire attraverso partner di fiducia come T-Systems in Germania e Thales in Francia.
Ora Google Cloud ha annunciato l’anteprima di un’altra opzione per i clienti europei con requisiti di sovranità dei dati: una serie di controlli forniti attraverso Assured Workloads, che aiutano ad automatizzare il deployment e l’applicazione di funzionalità su Google Cloud Platform in tre aree.
Queste sono: la residenza dei dati nell’Unione Europea; il controllo crittografico sull’accesso ai dati, comprese le chiavi di crittografia controllate dal cliente; e l’assistenza clienti di Google Cloud fornita da personale europeo da una sede UE (in arrivo prossimamente).
Questi controlli sono impostati su una base per-workload, per garantire che possano essere applicati e fatti rispettare selettivamente dove esistono requisiti di sovranità.
European Union Data Residency consente ai clienti di specificare una delle cinque region di Google Cloud nell’UE (in Belgio, Germania, Polonia, Finlandia o Paesi Bassi) in cui i loro dati saranno archiviati e garantire che vi rimangano.
Per fare questo, la società californiana implementa un vincolo di Google Cloud Platform (GCP) Organization Policy che limita i dati dei clienti ad essere archiviati in una delle region UE specificate.
La policy viene configurata automaticamente alla creazione di un workload, riducendo il rischio di una configurazione errata che potrebbe portare all’archiviazione involontaria dei dati al di fuori delle region UE.
La capacità di imporre la residenza dei dati all’interno dell’UE – ha sottolineato Google Cloud – soddisfa gli attuali requisiti di sovranità di alcuni clienti europei. Tuttavia, non affronta il controllo dell’accesso amministrativo ai dati che non è customer-initiated; ad esempio: l’accesso accidentale o derivante da richieste governative giurisdizionali.
Per affrontare questi casi, i clienti hanno bisogno di funzionalità che li rendano l’arbitro ultimo dell’accesso ai loro dati attraverso il controllo crittografico.
E devono essere considerate anche le operazioni di supporto al cliente. Entrambe le cose sono anch’esse affrontate dalle ultime soluzioni di Google Cloud.
Il controllo crittografico sull’accesso ai dati si ottiene attraverso l’uso di Key Access Justifications (KAJ) insieme a Cloud External Key Manager (EKM).
Key Access Justifications, ora in GA, dà ai clienti la possibilità di negare agli amministratori di Google l’accesso ai loro dati per qualsiasi motivo, anche in situazioni tipicamente esentate dal controllo del cliente, come interruzioni o risposte a richieste di dati di terzi.
Lo fa, fornendo ai clienti un motivo chiaro per cui i dati vengono decriptati, che i clienti possono usare per decidere programmaticamente se permettere la decriptazione e quindi consentire l’accesso ai loro dati.
Utilizzando Key Access Justifications insieme a Cloud External Key Manager, i clienti ottengono innanzitutto visibilità su ogni richiesta di una chiave di crittografia che permette ai dati (ad esempio un bucket di Cloud Storage) di cambiare stato da at-rest a in-use, con una giustificazione per tale richiesta.
Poi, un meccanismo per approvare o negare esplicitamente la decrittazione utilizzando la chiave nel contesto di quella richiesta, e sfruttando una policy automatica che hanno impostato (tramite funzionalità di terze parti).
Inoltre, un impegno da parte di Google Cloud a proteggere l’integrità dei controlli e delle giustificazioni.
Ciò significa che non c’è modo per Google di decifrare i dati del cliente senza l’approvazione del cliente stesso, che può rifiutare per qualsiasi motivo.
Per esempio, un cliente può ritenere che una giustificazione non si adatti alla sua policy, oppure richiede un’ulteriore approvazione da parte dei suoi team di sicurezza, privacy o legali.
I clienti sono pertanto gli ultimi arbitri dell’accesso ai loro dati, per una serie di motivi. Per prima cosa, i dati sono sempre encrypted-at-rest.
Poi, le chiavi di crittografia necessarie per decifrare i dati sono memorizzate e gestite al di fuori dell’infrastruttura tecnica di Google se viene utilizzato Cloud EKM.
La decriptazione dei dati del cliente richiede una chiamata esterna a Google, per la chiave gestita esternamente dal cliente tramite Cloud EKM.
I clienti possono aspettarsi che ogni richiesta sia accompagnata da una giustificazione e possono bloccare programmaticamente le richieste per qualsiasi motivo ritengano necessario (utilizzando una funzionalità all’interno dei gestori di chiavi esterne di terze parti supportati).
I motivi delle richieste di chiavi sono dettagliati in modo che i clienti possano capire cosa sta succedendo ai loro dati (per esempio CUSTOMER_INITIATED_SUPPORT quando il cliente presenta un ticket di supporto e l’accesso ai suoi dati è richiesto per risolvere il problema).
Cloud External Key Manager è integrato con prodotti di key management di terze parti di Equinix, Fortanix, Ionic, Thales e Unbound. Attualmente Fortanix, Ionic e Thales supportano l’uso di Key Access Justifications.
Key Access Justifications è GA per BigQuery, Spanner, PubSub e Google Kubernetes Engine. Preview per Google Compute Engine/Persistent Disk, Google Cloud Storage e Cloud SQL, coprendo la transizione da data-at-rest a data-in-use nei servizi Google Cloud che tipicamente conservano le risorse di dati più sensibili dei clienti.
I requisiti di sovranità dei dati possono estendersi ai servizi di supporto ai clienti. Alcuni clienti richiedono trasparenza e controllo nei casi di supporto o di assistenza tecnica. Per soddisfare questo requisito, Google Cloud sta anche espandendo l’offerta Assured Support esistente all’UE.
I clienti saranno in grado di ottenere supporto da personale UE da una sede UE. Questi controlli si estendono ai site reliability engineer e al personale di supporto.
Assured Support è stato annunciato come in arrivo da Google Cloud e sarà offerto ai clienti come parte di Assured Workloads for EU.
Google Cloud riconosce che ci saranno clienti per i quali la disponibilità di questi controlli potrebbe non essere sufficiente a soddisfare tutti i loro requisiti di sovranità digitale.
Alcuni clienti potrebbero avere ulteriori esigenze di sovranità operativa incentrate sul funzionamento e la verifica indipendenti di questi controlli.
I partner “trusted” – ha messo in evidenza Google Cloud – possono svolgere questo ruolo, stratificando una supervisione aggiuntiva per rafforzare le garanzie di sovranità operativa. I partner possono inoltre continuare ad evolvere e rafforzare le capacità e le garanzie nel tempo, indipendentemente dalla piattaforma.
Per molte organizzazioni, tuttavia, la capacità di soddisfare i requisiti di sovranità dei dati per carichi di lavoro specifici sarà un significativo passo avanti nel loro viaggio verso la sovranità digitale.
