CDL
Deep Dive
Cloud Armor, Security Command Center, Cloud KMS, Secret Manager, Google Security Operations, Chrome Enterprise Premium y VPC Service Controls.
Cloud Armor
WAF (Web Application Firewall) y protección DDoS para aplicaciones detrás de Cloud Load Balancing. Bloquea ataques a capa 3/4 (DDoS volumétrico) y capa 7 (SQLi, XSS, OWASP Top 10).
Security Command Center (SCC)
Plataforma central de gestión de seguridad y riesgo para toda la organización GCP. Detecta misconfiguraciones, vulnerabilidades y amenazas activas.
Cloud KMS (Key Management Service)
Gestiona claves criptográficas en un HSM (Hardware Security Module) administrado por Google. Crea, rota, y destruye claves para encriptar datos en GCP y en tus aplicaciones.
Secret Manager
Almacena secretos (API keys, contraseñas, certificados) de forma segura. Elimina el hardcoding de credenciales en código o variables de entorno.
SIEM (Security Information and Event Management) cloud-native de Google, anteriormente llamado Chronicle. Ingesta y analiza petabytes de logs de seguridad a gran escala. Detecta amenazas con inteligencia de Google Threat Intelligence.
Caso de uso principal
Empresas que necesitan correlacionar logs de múltiples fuentes para detectar amenazas sofisticadas.
Implementación de Zero Trust de Google (anteriormente BeyondCorp Enterprise). El acceso a apps se basa en identidad + estado del dispositivo + contexto, no en si estás dentro de la VPN corporativa. Nació de cómo trabaja Google internamente.
Caso de uso principal
Fuerza laboral remota o híbrida que necesita acceso seguro a apps corporativas sin VPN.
Crea un perímetro de seguridad alrededor de servicios de GCP para prevenir exfiltración de datos. Restringe qué proyectos o identidades pueden acceder a APIs de GCP (BigQuery, Cloud Storage) desde fuera del perímetro.
Caso de uso principal
Datos sensibles en BigQuery o Cloud Storage donde necesitas garantizar que no se copian fuera del entorno corporativo.
Gestión de identidad y dispositivos (IDaaS). Usuarios y grupos para acceder a GCP y Google Workspace sin requerir cuentas Gmail. Se integra con directorios LDAP/Active Directory.
Caso de uso principal
Empresas que quieren gestionar identidades corporativas en GCP sin Google Workspace completo.
| Necesidad | Servicio |
|---|---|
| Proteger app web de ataques DDoS y SQLi | Cloud Armor |
| Ver todas las vulnerabilidades y misconfiguraciones de mi org | Security Command Center |
| Gestionar claves de encriptación (CMEK) | Cloud KMS |
| Almacenar API keys y contraseñas de forma segura | Secret Manager |
| Analizar logs de seguridad para detectar intrusiones | Google Security Operations |
| Acceso sin VPN basado en identidad y estado del dispositivo | Chrome Enterprise Premium |
| Evitar que datos de BigQuery sean copiados a proyectos externos | VPC Service Controls |
| Gestionar usuarios corporativos para acceder a GCP | Cloud Identity |
Compliance y certificaciones
Google Cloud tiene más de 150 certificaciones de cumplimiento regulatorio. Esto facilita que los clientes cumplan sus propias obligaciones regulatorias.
Soberanía de datos y residencia
La soberanía de datos se refiere al derecho de un país o empresa de controlar dónde residen sus datos y quién puede acceder a ellos, según las leyes locales.
Principios de confianza de Google Cloud
Transparencia
Google publica Transparency Reports sobre solicitudes gubernamentales y Cloud Audit Logs para que los clientes vean quién accede a sus datos.
Auditorías independientes
Terceros certificados auditan regularmente la infraestructura y controles de seguridad de Google Cloud.
Tus datos son tuyos
Los datos de los clientes no se usan para entrenar modelos de Google ni para publicidad. Puedes borrarlos cuando quieras.
Acceso restringido de Google
Los empleados de Google no acceden a los datos de los clientes por defecto. Access Transparency registra cada acceso excepcional.
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
Una empresa de servicios financieros almacena datos sensibles de clientes en BigQuery. Su principal preocupación es que un administrador con acceso pueda copiar esos datos a un proyecto personal de GCP. ¿Qué servicio debe implementar para prevenir esto?