Jak Google dba o bezpieczeństwo i prywatność Twojej organizacji

Pytania o usługi Google, a w szczególności o Google Cloud, najczęściej dotyczą prywatności i bezpieczeństwa. Traktujemy oba te zagadnienia bardzo poważnie i oferujemy narzędzia, które pozwalają Ci sprawować kontrolę nad sposobem przetwarzania przez nas danych Twojej organizacji. Nasza działalność opiera się na zaufaniu klientów, którzy wierzą w skuteczność zabezpieczeń stosowanych przez nas do ochrony powierzonych nam danych, w nasze zaangażowanie w poszanowanie prywatności informacji oraz w udostępniane przez nas narzędzia do kontroli informacji.

Więcej informacji o podejściu Google do niezawodności, prywatności i bezpieczeństwa znajdziesz w artykule o tym, jak Google obsługuje Twoje dane. W szczególności zwróć uwagę na te odpowiedzi na najczęstsze pytania związane z Google Cloud:

• Prywatność
• Zabezpieczenia
• Zgodność z przepisami

Jeśli zauważysz w Google jakieś nadużycie, zgłoś ten incydent naszemu zespołowi.

Najczęstsze pytania

Otwórz wszystko | Zamknij wszystko

Co oznacza dla mnie jako administratora certyfikat SOC 2/3 przyznany Google Cloud?

Niezależny audytor zewnętrzny wydał usłudze Google Cloud certyfikat SOC 2/3 bez żadnych zastrzeżeń. Google z dumą zapewnia administratorom Google Cloud poczucie bezpieczeństwa wynikające z wiedzy, że ich dane są chronione zgodnie z wymogami certyfikatu SOC 2/3, który jest standardem w branży audytorskiej. Dowiedz się więcej na temat raportu publicznego SOC 3 (materiały w języku angielskim). Kopię raportu SOC 2 możesz pobrać za pomocą menedżera raportów zgodności z przepisami Cloud (strona w języku angielskim).

Niezależny audytor zewnętrzny ustalił, że w Google Cloud są stosowane następujące rozwiązania kontrolne i protokoły:

• Bezpieczeństwo logiczne – rozwiązania kontrolne dają uzasadnioną pewność, że dostęp logiczny do systemów produkcyjnych i danych w Google Cloud ma tylko ograniczona liczba upoważnionych osób.
• Prywatność – rozwiązania kontrolne dają uzasadnioną pewność, że firma Google wdrożyła zasady i procedury chroniące prywatność danych klientów związanych z Google Cloud.
• Fizyczne bezpieczeństwo centrów danych – rozwiązania kontrolne dają uzasadnioną pewność, że centra danych, w których znajdują się dane Google Cloud, oraz biura firmowe są chronione.
• Postępowanie w przypadku incydentów i dostępność – rozwiązania kontrolne dają uzasadnioną pewność, że systemy Google Cloud zostały wdrożone z zastosowaniem redundancji, a incydenty są prawidłowo zgłaszane, rejestrowane i rozwiązywane.
• Postępowanie w przypadku zmian – rozwiązania kontrolne dają uzasadnioną pewność, że przed przejściem do etapu produkcji rozwój i zmiany usług Google Cloud są poprzedzane testami oraz niezależną oceną kodu.
• Organizacja i administracja – rozwiązania kontrolne dają uzasadnioną pewność, że stosowany system zarządzania zapewnia infrastrukturę i mechanizmy odpowiednie do śledzenia i przekazywania w obrębie firmy inicjatyw mających wpływ na Google Cloud.

Jak Google Cloud spełnia wymogi Ogólnego rozporządzenia o ochronie danych (RODO) obowiązującego w Unii Europejskiej?

Ogólne rozporządzenie o ochronie danych (RODO) zastępuje dyrektywę UE w sprawie ochrony danych z 1995 roku. Rozporządzenie RODO zwiększa uprawnienia osób fizycznych w odniesieniu do dotyczących ich danych osobowych oraz ma na celu ujednolicenie prawa dotyczącego ochrony danych w całej Europie, niezależnie od tego, gdzie te dane są przetwarzane.

Google przykłada dużą wagę do zgodności Google Cloud z RODO. Dokładamy również wszelkich starań, by pomagać naszym klientom w uzyskaniu zgodności z RODO, dostarczając niezawodnych mechanizmów ochrony prywatności i bezpieczeństwa, które od wielu lat włączamy do naszych usług i uwzględniamy w umowach.

Administratorzy danych mają między innymi obowiązek korzystania z usług tylko tych podmiotów przetwarzających dane, które gwarantują wdrożenie środków technicznych i organizacyjnych na poziomie wystarczającym do spełnienia wymogów rozporządzenia RODO.

Zasady przetwarzania danych pozwalają na jednoznaczne określenie naszych zobowiązań w zakresie ochrony prywatności klientów. Warunki te kształtowały się przez wiele lat na podstawie opinii naszych klientów oraz organów nadzorczych i zostały zaktualizowane zgodnie ze zmianami wprowadzonymi w rozporządzeniu RODO.

Więcej informacji zawiera strona poświęcona RODO.

Czy możecie zapewnić zobowiązanie umowne o zachowaniu zgodności z RODO?

RODO będzie mieć zastosowanie bezpośrednio do podmiotów przetwarzających dane (np. dostawców usług w chmurze takich jak Google) bez względu na zobowiązania umowne związane z tym procesem. Przykładamy ogromną wagę do przestrzegania zapisów RODO i chcemy pomóc w tym naszym klientom. Zapoznaj się ze zaktualizowanym pod kątem RODO Aneksem o przetwarzaniu danych, który pomoże Ci ocenić, w jakim stopniu spełniasz wymogi konieczne do korzystania z usług Google Cloud, i przygotować się do wprowadzanych zmian.

Jak mogę zaakceptować Aneks o przetwarzaniu danych?

Aneks o przetwarzaniu danych możesz zaakceptować w ramach procesu online opisanego tutaj.

Gdzie Google przechowuje moje dane?

Infrastruktura Google jest strategicznie rozproszona i zlokalizowana w wielu centrach danych na całym świecie. Uściślając – niektóre miejsca przechowywania danych Google znajdują się poza Europejskim Obszarem Gospodarczym (EOG). Ponadto niektóre centra zespołu pomocy Google Cloud, który przez całą dobę, 7 dni w tygodniu, zapewnia sprawną i skuteczną realizację usług na całym świecie, są położone poza Europejskim Obszarem Gospodarczym. Ze względu na wymienione wyżej powody nie możemy precyzyjnie wskazać, w którym centrum danych przechowywane są Twoje dane.

Czy moja organizacja może korzystać z własnego systemu uwierzytelniania, aby umożliwiać użytkownikom dostęp do usługi Google Cloud?

Ułatwiamy użytkownikom korzystanie z zabezpieczeń konta Google, zapewniając funkcję logowania jednokrotnego, która umożliwia dostęp do wielu aplikacji SaaS (Software as a Service – oprogramowanie jako usługa) oraz własnych aplikacji na komputerach i urządzeniach mobilnych. Obsługa dostawcy tożsamości OpenID Connect (OIDC) pozwala korzystać z różnych aplikacji SaaS dostępnych w Google Workspace Marketplace, a także zapewnia zgodność z SAML 2.0 (Security Assertion Markup Language) dla wielu popularnych dostawców usług SaaS. Ułatwiamy też administratorom dodawanie nowych niestandardowych rozwiązań do integracji z aplikacjami SAML. Organizacje mogą przeprowadzić integrację samodzielnie lub we współpracy z jednym z partnerów Google.

Jak generowane są hasła do kont użytkowników Google Cloud?

Do generowania haseł dla nowych kont użytkowników Google używa mieszanych wzorców składających się ze znaków, małych i dużych liter oraz cyfr. Długość takiego hasła jest większa od wymaganego minimum (8 znaków) lub od minimalnej dozwolonej długości hasła ustawionej w domenie.

Administrator/użytkownik usunął niektóre e-maile. Jak mogę je odzyskać?

Gdy administrator lub użytkownik usunie jakiekolwiek dane z Google Cloud, zostaną one skasowane zgodnie z Umową klienta i naszą Polityką prywatności.

Po usunięciu konta użytkownika przez administratora nie ma możliwości odzyskania danych. Więcej informacji o sprawdzonych metodach usuwania kont użytkowników znajdziesz w Centrum pomocy.

Jeśli chcesz odzyskać e-maile, możesz skorzystać z oferowanych przez Google dodatkowych usług archiwizacji (Google Vault), które pozwolą na uzupełnienie funkcjonalności Google Workspace w wersji Business oraz Enterprise. Jeżeli szukasz rozwiązań w zakresie odzyskiwania, których nie oferuje Google Vault, odwiedź Google Workspace Marketplace, gdzie nasi partnerzy mogą mieć ofertę odpowiednią do Twoich potrzeb.

Jak Google pomaga zapobiegać wyłudzaniu informacji?

Spamerzy mogą czasem fałszować adres nadawcy w e-mailach, tak by spam wydawał się pochodzić z domeny wiarygodnej organizacji. Ta praktyka, określana jako phishing lub wyłudzanie informacji, jest często próbą zebrania poufnych danych. Aby pomóc w zapobieganiu phishingowi, Google uczestniczy w programie DMARC (Domain-based Message Authentication, Reporting & Conformance), który pozwala właścicielom domen informować dostawców poczty e-mail, jak powinni postępować z nieuwierzytelnionymi wiadomościami wysłanymi z ich domen. Aby wdrożyć DMARC, klienci korzystający z Google Cloud mogą utworzyć rekord DMARC w ustawieniach administratora i zaimplementować rekord SPF oraz klucze DKIM we wszystkich wychodzących strumieniach poczty.

W jaki sposób Google reaguje w przypadku wykrycia w mojej domenie użytkowników, którzy wysyłają spam?

Zgodnie z Zasadami dopuszczalnego użytkowania:

• w przypadku zidentyfikowania użytkownika Google Workspace wysyłającego spam Google zastrzega sobie prawo do natychmiastowego zawieszenia jego konta;
• jeśli rozsyłanie spamu dotyczy całej domeny, zawieszone może zostać całe konto, a administratorzy mogą utracić dostęp do wszystkich usług Google Cloud.

Którzy użytkownicy domeny mają dostęp do konta administratora Google Cloud?

Konto administratora Google Cloud może zostać utworzone wyłącznie przez właściciela domeny i osoby nią zarządzające. Po zarejestrowaniu się administrator Google Cloud musi potwierdzić, że ma kontrolę nad domeną, wprowadzając zmiany w rekordach DNS (Domain Name System). Bez tej weryfikacji Google nie zezwoli na otwarcie konta administratora. Do momentu potwierdzenia własności domeny nie można aktywnie zarządzać żadnymi usługami Google.

Po potwierdzeniu własności przez administratora można przypisać uprawnienia administracyjne innym użytkownikom na koncie – decyduje o tym administrator.

Należący do domeny użytkownicy bez uprawnień administracyjnych mogą też skontaktować się z zespołem pomocy, aby poprosić o dostęp administracyjny. Proces weryfikacji domeny daje pewność, że osoba zgłaszająca prośbę ma prawo do zarządzania domeną.

Wreszcie każda osoba, która ma dostęp do zarejestrowanego dodatkowego adresu e-mail, może zainicjować resetowanie hasła i uzyskać dostęp do podstawowego konta administratora.

Którzy użytkownicy mają dostęp do kont innych użytkowników?

Według zapisów w Umowie klienta Twojej domeny administratorzy Google Cloud w domenie mają dostęp do wszystkich kont użytkowników i powiązanych z nimi danych zgodnie z naszą Polityką prywatności.

Jako administrator domeny masz pełną kontrolę nad wszystkimi nazwami użytkowników i hasłami w domenie. Możesz uzyskiwać dostęp do kont użytkowników zgodnie z Umową klienta. Wymagamy jednak przygotowania polityki regulującej takie działania i udostępnienia jej użytkownikom.

Będziemy wysyłać powiadomienia na temat wszelkich nadużyć związanych ze spamem na dodatkowy adres e-mail.