بررسی اجمالی امنیت و انطباق برای پلتفرم Google Maps

این محتوا آخرین بار در فوریه 2025 به روز شده است و نشان دهنده وضعیت موجود در زمان نگارش آن است. سیاست‌ها و سیستم‌های امنیتی Google ممکن است در آینده تغییر کنند، زیرا ما به طور مداوم حفاظت از مشتریان خود را بهبود می‌بخشیم.

مقدمه

پلتفرم نقشه‌های Google API و SDK را برای مشتریان و شرکا فراهم می‌کند تا برنامه‌های وب و موبایل را با استفاده از فناوری مکانی Google توسعه دهند. Google Maps Platform بیش از 50+ API و SDK را برای مشتریان در صنایع مختلف ارائه می دهد. به عنوان یک مشتری در صنعت، اغلب باید هنگام ساخت راه حل های خود، امنیت، استفاده از داده ها و الزامات قانونی را رعایت کنید. این شامل اطمینان از اینکه فناوری شخص ثالث شما همان الزامات را برآورده می کند، می شود.

این سند خلاصه‌ای از افراد، فرآیندها و کنترل‌های فناوری ارائه شده توسط پلتفرم نقشه‌های گوگل را به همراه مزایای استفاده از پلتفرم ارائه می‌کند. اول، درک دو رکن اصلی فناوری در زیر پلتفرم نقشه های گوگل بسیار مهم است:

  • فناوری‌ها، مراکز داده و زیرساخت‌های ارائه‌شده توسط Google . پلتفرم نقشه های گوگل به طور کامل بر روی مراکز داده و زیرساخت های ارائه شده توسط گوگل کار می کند. بر این اساس، ممیزی های داخلی و شخص ثالث را برای کنترل های امنیتی که از Google به ارث برده است اعمال می کند تا تأیید کند که پلتفرم نقشه های Google به درستی کنترل های امنیتی، عملیاتی و فنی شرح داده شده در این مقاله را اجرا می کند.
  • فناوری پلتفرم نقشه های گوگل علاوه بر کنترل‌های موروثی، پلتفرم نقشه‌های Google امنیت، حریم خصوصی، داده‌ها و کنترل‌های عملیاتی بیشتری را برای مجموعه‌های محصولات Google فراهم می‌کند.

این سند فرآیندها و کنترل‌های امنیتی پلتفرم Google Maps را به صورت زیر گروه‌بندی می‌کند:

  • روی امنیت و حریم خصوصی در تمام سطوح سازمان Google تمرکز کنید
  • زیرساخت های فنی و امنیت سخت افزاری
  • امنیت عملیاتی
  • کنترل های امنیتی کلیدی
  • امنیت سمت مشتری، هم وب و هم موبایل
  • گواهینامه ها و ممیزی های فعلی در پلتفرم نقشه های گوگل
  • چارچوب های قانونی پشتیبانی شده، در سطح جهانی

مشتریان بالقوه می توانند برای کسب اطلاعات بیشتر با نماینده فروش Google خود تماس بگیرند.

فرهنگ متمرکز بر امنیت و حریم خصوصی Google

امنیت ساختار سازمانی، فرهنگ، اولویت‌های آموزشی و فرآیندهای استخدام را در سراسر Google هدایت می‌کند. طراحی مراکز داده گوگل و فناوری ارائه شده توسط آنها را شکل می دهد. امنیت زیربنای عملیات روزمره Google از جمله برنامه ریزی بلایا و مدیریت تهدید است. Google در نحوه مدیریت داده‌ها، کنترل‌های حساب، ممیزی انطباق و گواهی‌های صنعتی، امنیت را در اولویت قرار می‌دهد. Google خدمات خود را طوری طراحی می‌کند که امنیت بهتری نسبت به بسیاری از جایگزین‌های داخلی که به چندین فروشنده و پلتفرم‌های متعددی که امنیت اغلب فرآیندی غیرمرتبط است، متکی هستند، ارائه می‌کند. وقتی از محصولات پلتفرم Google Maps برای کسب و کار خود استفاده می کنید، از برنامه ها و کنترل های امنیتی یکپارچه Google بهره مند می شوید. پلتفرم نقشه های گوگل امنیت را در اولویت عملیات خود قرار می دهد - عملیاتی که به بیش از یک میلیارد کاربر در سراسر جهان خدمات ارائه می دهد.

Google و Google Maps Platform با هم چندین لایه امنیتی را در سراسر شرکت و سازمان فراهم می‌کنند:

  • تیم امنیتی اختصاصی گوگل
  • تیم امنیتی محصول پلتفرم نقشه های گوگل
  • مشارکت فعال با جامعه تحقیقاتی امنیت جهانی
  • تیم حریم خصوصی پلتفرم نقشه های گوگل
  • آموزش امنیت و حریم خصوصی کارکنان Google
  • متخصصان ممیزی داخلی و انطباق

تیم های امنیتی اختصاصی در گوگل

Google تیم‌های امنیتی اختصاصی را در سراسر شرکت و در حوزه‌های محصول ارائه می‌کند.

تیم‌های امنیتی سراسر Google از چندین حوزه محصول در Google پشتیبانی می‌کنند، از جمله Google Maps Platform. تیم امنیتی شامل برخی از برجسته ترین متخصصان جهان در امنیت اطلاعات، امنیت برنامه ها، رمزنگاری و امنیت شبکه است. فعالیت های آنها شامل موارد زیر است:

  • فرآیندهای امنیتی را توسعه، بررسی و پیاده سازی می کند . این شامل بررسی طرح‌های امنیتی برای شبکه‌های Google و ارائه مشاوره پروژه‌های خاص به محصولات و تیم‌های مهندسی در سراسر Google است. برای مثال، متخصصان رمزنگاری، عرضه‌های محصولی را بررسی می‌کنند که رمزنگاری را به عنوان بخشی از پیشنهاد پیاده‌سازی می‌کنند.
  • به طور فعال تهدیدهای امنیتی را مدیریت می کند . این تیم با استفاده از ابزارهای تجاری و سفارشی، تهدیدات جاری و فعالیت مشکوک در شبکه‌های Google را رصد می‌کند.
  • ممیزی‌ها و ارزیابی‌های معمولی را انجام می‌دهد که می‌تواند شامل درگیر کردن کارشناسان خارجی برای انجام ارزیابی‌های امنیتی باشد.
  • مقالات امنیتی را برای جامعه گسترده تر منتشر می کند . Google یک وبلاگ امنیتی و یک سری YouTube دارد که چندین تیم امنیتی خاص و دستاوردهای آنها را برجسته می کند.

تیم امنیتی پلتفرم Google Maps با تیم امنیتی سراسر Google همکاری می‌کند و با توسعه محصول و SRE همکاری نزدیک‌تری دارد تا بر اجرای امنیت نظارت کند. به طور مشخص، این تیم موارد زیر را مدیریت می کند:

  • تست مقاومت در برابر بلایا (DiRT) پلتفرم Google Maps که تداوم کسب و کار و شکست محصولات پلتفرم Google Maps را آزمایش می‌کند، بر روی زیرساخت بسیار در دسترس Google اجرا می‌شود.
  • تست نفوذ شخص ثالث محصولات پلتفرم نقشه‌های Google حداقل به صورت سالانه تست نفوذ می‌شوند تا وضعیت امنیتی Google را بهبود بخشند و تضمین امنیتی مستقلی را برای شما فراهم کنند.

همکاری با جامعه تحقیقات امنیتی

گوگل مدت‌هاست که از یک رابطه نزدیک با جامعه تحقیقاتی امنیتی برخوردار است و گوگل برای شناسایی آسیب‌پذیری‌های احتمالی در پلتفرم نقشه‌های گوگل و سایر محصولات گوگل بسیار ارزش قائل است. تیم‌های امنیتی ما در فعالیت‌های تحقیقاتی و اطلاع‌رسانی به نفع جامعه آنلاین شرکت می‌کنند. به عنوان مثال، ما Project Zero را اجرا می کنیم که تیمی از محققان امنیتی است که به تحقیق در مورد آسیب پذیری های روز صفر اختصاص یافته است. برخی از نمونه‌های این تحقیق عبارتند از: کشف اکسپلویت Spectre ، بهره‌برداری Meltdown ، بهره‌برداری POODLE SSL 3.0 و نقاط ضعف مجموعه رمز .

مهندسان و محققان امنیتی Google به طور فعال در جامعه امنیت دانشگاهی و جامعه تحقیقاتی حریم خصوصی شرکت می کنند و منتشر می کنند. انتشارات مرتبط با امنیت را می‌توانید در سایت Google Research پیدا کنید. تیم‌های امنیتی Google گزارشی عمیق از شیوه‌ها و تجربیات خود در کتاب سیستم‌های امن و قابل اعتماد ساختمان منتشر کرده‌اند.

برنامه پاداش آسیب‌پذیری ما برای هر آسیب‌پذیری تأیید شده، پاداش‌های ده‌ها هزار دلاری ارائه می‌دهد. این برنامه محققان را تشویق می‌کند تا مسائل طراحی و پیاده‌سازی را گزارش کنند که ممکن است داده‌های مشتری را در معرض خطر قرار دهد. در سال 2023، گوگل بیش از 10 میلیون دلار جایزه به محققان اهدا کرد. برای کمک به بهبود امنیت کد منبع باز، برنامه آسیب پذیری ابتکارات مختلفی را نیز در اختیار محققان قرار می دهد.

رمزنگاران کلاس جهانی ما در پروژه های رمزنگاری پیشرو در صنعت شرکت می کنند. به عنوان مثال، ما چارچوب AI امن (SAIF) را برای کمک به ایمن سازی سیستم های هوش مصنوعی طراحی کردیم. علاوه بر این، برای محافظت از اتصالات TLS در برابر حملات کامپیوتری کوانتومی، ما الگوریتم ترکیبی منحنی بیضی و پس کوانتومی (CECPQ2) را توسعه دادیم. رمزنگاران ما Tink را توسعه دادند که یک کتابخانه منبع باز از APIهای رمزنگاری است. ما همچنین از Tink در محصولات و خدمات داخلی خود استفاده می کنیم.

برای اطلاعات بیشتر درباره نحوه گزارش مشکلات امنیتی، به نحوه برخورد Google با آسیب‌پذیری‌های امنیتی مراجعه کنید.

تیم اختصاصی حریم خصوصی پلتفرم نقشه های گوگل

تیم اختصاصی حریم خصوصی به طور جداگانه از سازمان های توسعه محصول و امنیت عمل می کند. این برنامه از ابتکارات حریم خصوصی داخلی برای بهبود همه بخش‌های حریم خصوصی پشتیبانی می‌کند: فرآیندهای حیاتی، ابزارهای داخلی، زیرساخت‌ها و توسعه محصول. تیم حریم خصوصی موارد زیر را انجام می دهد:

  • تضمین می‌کند که هر راه‌اندازی محصول GMP بر حریم خصوصی، استانداردهای قوی حفظ حریم خصوصی و Privacy by Design را از طریق ارزیابی مستندات طراحی و بررسی راه‌اندازی در بر می‌گیرد.
  • در هر مرحله از توسعه با تیم‌های محصول GMP مشورت می‌کند تا در مورد خط‌مشی رازداری و زیرساخت Google، طراحی حریم خصوصی، فناوری‌ها و کنترل‌های افزایش حریم خصوصی، و ارزیابی و کاهش خطرات حریم خصوصی مشاوره دهد.
  • پس از راه اندازی محصول، تیم حفظ حریم خصوصی بر فرآیندهایی نظارت می کند که جمع آوری و استفاده مناسب از داده ها را تأیید می کند.
  • تحقیقاتی را در مورد بهترین شیوه های حفظ حریم خصوصی انجام می دهد، به گروه های کاری استانداردهای بین المللی حریم خصوصی کمک می کند و در اجلاس ها و کنفرانس های علمی حفظ حریم خصوصی شرکت می کند. .

آموزش امنیت و حریم خصوصی کارکنان Google

همه کارمندان Google تحت آموزش امنیت و حفظ حریم خصوصی به‌عنوان بخشی از فرآیند جهت‌یابی قرار می‌گیرند، و در طول حرفه خود در Google، آموزش‌های مداوم امنیت و حریم خصوصی را دریافت می‌کنند. در طول مسیریابی، کارمندان جدید با کد رفتار ما موافقت می‌کنند، که بر تعهد Google برای ایمن و ایمن نگه داشتن اطلاعات مشتری تاکید می‌کند.

بسته به نقش شغلی خود، ممکن است از کارمندان خواسته شود که در مورد جنبه های خاصی از امنیت آموزش های بیشتری ببینند. برای مثال، تیم امنیت اطلاعات مهندسین جدید را در مورد شیوه‌های کدگذاری امن، طراحی محصول و ابزارهای خودکار تست آسیب‌پذیری آموزش می‌دهد. مهندسان در جلسات توجیهی امنیتی منظم شرکت می‌کنند و خبرنامه‌های امنیتی را دریافت می‌کنند که تهدیدات جدید، الگوهای حمله، تکنیک‌های کاهش و غیره را پوشش می‌دهد.

امنیت و حریم خصوصی یک حوزه دائماً در حال تغییر است و ما می دانیم که مشارکت اختصاصی کارکنان یک ابزار کلیدی برای افزایش آگاهی است. ما میزبان کنفرانس های داخلی منظمی هستیم که برای افزایش آگاهی و ایجاد نوآوری در امنیت و حفظ حریم خصوصی داده ها برای همه کارکنان باز است. ما میزبان رویدادهایی در سراسر دفاتر جهانی هستیم تا آگاهی از امنیت و حریم خصوصی در توسعه نرم‌افزار، مدیریت داده‌ها و اجرای خط‌مشی را افزایش دهیم.

متخصصان ممیزی داخلی و انطباق

Google Maps Platform دارای یک تیم حسابرسی داخلی اختصاصی است که مطابقت محصولات Google با قوانین و مقررات امنیتی در سراسر جهان را بررسی می کند. با ایجاد استانداردهای حسابرسی جدید و به روز رسانی استانداردهای موجود، تیم حسابرسی داخلی تعیین می کند که چه کنترل ها، فرآیندها و سیستم هایی برای کمک به تحقق این استانداردها مورد نیاز است. این تیم از ممیزی ها و ارزیابی های مستقل توسط اشخاص ثالث پشتیبانی می کند. برای اطلاعات بیشتر، بخش گواهینامه‌ها و ممیزی‌های امنیتی را در ادامه این سند ببینید.

پلتفرم با امنیت در هسته خود ساخته شده است

گوگل سرورها، سیستم عامل های اختصاصی و مراکز داده توزیع شده جغرافیایی خود را با استفاده از اصل دفاع عمیق طراحی می کند. پلتفرم نقشه های گوگل بر روی یک زیرساخت فنی طراحی و ساخته شده است تا ایمن کار کند. ما یک زیرساخت فناوری اطلاعات ایجاد کرده‌ایم که نسبت به راه‌حل‌های سنتی‌تر داخلی یا میزبانی، ایمن‌تر و مدیریت آن آسان‌تر است.

مراکز داده پیشرفته

تمرکز گوگل بر امنیت و حفاظت از داده ها یکی از معیارهای اصلی طراحی گوگل است. امنیت فیزیکی در مراکز داده گوگل یک مدل امنیتی لایه لایه است. امنیت فیزیکی شامل پادمانی‌هایی مانند کارت‌های دسترسی الکترونیکی سفارشی، هشدارها، موانع دسترسی خودرو، حصارهای محیطی، فلزیاب‌ها و بیومتریک می‌شود. علاوه بر این، برای شناسایی و ردیابی متجاوزان، Google از اقدامات امنیتی مانند تشخیص نفوذ پرتو لیزر و نظارت 24/7 توسط دوربین‌های داخلی و خارجی با وضوح بالا استفاده می‌کند. گزارش های دسترسی، سوابق فعالیت و فیلم دوربین در صورت وقوع حادثه در دسترس هستند. نگهبانان امنیتی باتجربه، که تحت بررسی‌ها و آموزش‌های دقیق سوابق قرار گرفته‌اند، به طور معمول در مراکز داده Google گشت‌زنی می‌کنند. با نزدیک شدن به طبقه مرکز داده، اقدامات امنیتی نیز افزایش می یابد. دسترسی به طبقه مرکز داده تنها از طریق یک راهرو امنیتی امکان پذیر است که کنترل دسترسی چند عاملی را با استفاده از نشان های امنیتی و بیومتریک اجرا می کند. فقط کارمندان تایید شده با نقش های خاص می توانند وارد شوند. کمتر از یک درصد از کارمندان گوگل تا به حال پا به یکی از مراکز داده گوگل خواهند گذاشت.

Google مراکز داده را در سطح جهانی و برای به حداکثر رساندن سرعت و قابلیت اطمینان خدمات خود اداره می کند. زیرساخت آن به طور کلی برای سرویس دهی به ترافیک از مرکز داده ای تنظیم شده است که نزدیک ترین محل به مبدا ترافیک است. بنابراین، مکان دقیق داده‌های پلتفرم نقشه‌های Google ممکن است بسته به محل منشأ چنین ترافیکی متفاوت باشد، و این داده‌ها ممکن است توسط سرورهایی که در منطقه اقتصادی اروپا و بریتانیا قرار دارند مدیریت شوند یا به کشورهای ثالث منتقل شوند. پیشنهادات مشتریان Google که در آن محصولات پلتفرم Google Maps پیاده‌سازی می‌شوند، عموماً در سطح جهانی در دسترس هستند و اغلب مخاطبان جهانی را جذب می‌کنند. زیرساخت فنی که از این محصولات پشتیبانی می‌کند در سطح جهانی برای کاهش تأخیر و اطمینان از افزونگی سیستم‌ها به کار گرفته شده است. پلتفرم نقشه های گوگل از زیرمجموعه ای از شبکه مرکز داده جهانی گوگل که در زیر فهرست شده است برای مرجع استفاده می کند:

نقشه جهانی که مکان های مرکز داده را به رنگ آبی نشان می دهد نقطه ها

آمریکای شمالی و جنوبی

اروپا

آسیا

تقویت مراکز داده گوگل

مراکز داده Google برای اینکه کارها 24 ساعته و 7 ساعت هفته در حال اجرا باشند و خدمات بی وقفه ارائه کنند، سیستم‌های برق اضافی و کنترل‌های محیطی دارند. هر جزء حیاتی دارای یک منبع برق اولیه و متناوب است که هر کدام دارای قدرت برابر هستند. ژنراتورهای پشتیبان می توانند انرژی الکتریکی اضطراری کافی را برای راه اندازی هر مرکز داده با ظرفیت کامل فراهم کنند. سیستم‌های خنک‌کننده دمای عملیاتی ثابتی را برای سرورها و سایر سخت‌افزارها حفظ می‌کنند، که خطر قطع سرویس را کاهش می‌دهد و در عین حال اثرات محیطی را به حداقل می‌رساند . تجهیزات تشخیص و اطفاء حریق به جلوگیری از آسیب سخت افزاری کمک می کند. آشکارسازهای حرارت، آشکارسازهای آتش، و آشکارسازهای دود آلارم‌های قابل مشاهده و شنیداری را در کنسول‌های عملیات امنیتی و میزهای نظارت از راه دور ایجاد می‌کنند.

Google اولین شرکت بزرگ خدمات اینترنتی است که گواهینامه خارجی استانداردهای بالای محیطی، ایمنی محل کار و مدیریت انرژی خود را در سراسر مراکز داده Google دریافت کرده است. به عنوان مثال، برای نشان دادن تعهد گوگل به شیوه های مدیریت انرژی، گوگل گواهینامه های داوطلبانه ISO 50001 را برای مراکز داده خود در اروپا دریافت کرد.

سخت افزار و نرم افزار سرور سفارشی

مراکز داده گوگل دارای سرورها و تجهیزات شبکه ای هستند که برخی از آنها را گوگل طراحی می کند. در حالی که سرورهای Google برای به حداکثر رساندن عملکرد، خنک‌سازی و بهره‌وری انرژی سفارشی‌سازی شده‌اند، آنها همچنین برای محافظت در برابر حملات نفوذ فیزیکی طراحی شده‌اند. برخلاف اکثر سخت‌افزارهای تجاری موجود، سرورهای Google شامل اجزای غیرضروری مانند کارت‌های ویدئویی، چیپ‌ست‌ها یا کانکتورهای جانبی نیستند که همگی می‌توانند آسیب‌پذیری‌هایی را ایجاد کنند. Google فروشندگان قطعات را بررسی می‌کند و قطعات را با دقت انتخاب می‌کند و با فروشندگان کار می‌کند تا ویژگی‌های امنیتی ارائه‌شده توسط اجزا را بررسی و تأیید کند. Google تراشه‌های سفارشی مانند Titan را طراحی می‌کند که به ما کمک می‌کند دستگاه‌های Google قانونی را در سطح سخت‌افزار شناسایی و احراز هویت کنیم، از جمله کدی که این دستگاه‌ها برای راه‌اندازی استفاده می‌کنند.

منابع سرور به صورت پویا تخصیص داده می شوند. این به ما انعطاف‌پذیری برای رشد می‌دهد و به ما امکان می‌دهد با افزودن یا تخصیص مجدد منابع، سریع و کارآمد با تقاضای مشتری سازگار شویم. این محیط همگن توسط نرم افزار اختصاصی نگهداری می شود که به طور مداوم سیستم ها را برای تغییرات در سطح باینری نظارت می کند. مکانیزم‌های خودکار و خوددرمانی Google به‌گونه‌ای طراحی شده‌اند که ما را قادر می‌سازند رویدادهای بی‌ثبات‌کننده را نظارت و اصلاح کنیم، اعلان‌های مربوط به حوادث را دریافت کنیم، و خطرات احتمالی در شبکه را کاهش دهیم.

استقرار خدمات امن

سرویس های گوگل باینری های اپلیکیشنی هستند که توسعه دهندگان گوگل روی زیرساخت گوگل می نویسند و اجرا می کنند. برای رسیدگی به مقیاس مورد نیاز حجم کاری، هزاران ماشین ممکن است باینری های یک سرویس را اجرا کنند. یک سرویس ارکستراسیون خوشه ای به نام Borg ، سرویس هایی را که مستقیماً روی زیرساخت اجرا می شوند کنترل می کند.

زیرساخت هیچ گونه اعتمادی بین خدماتی که در زیرساخت اجرا می شوند، قائل نیست. این مدل اعتماد به عنوان یک مدل امنیتی صفر اعتماد نامیده می شود. یک مدل امنیتی با اعتماد صفر به این معنی است که هیچ دستگاه یا کاربر به طور پیش فرض قابل اعتماد نیست، چه در داخل یا خارج از شبکه باشد.

از آنجایی که این زیرساخت به گونه‌ای طراحی شده است که چند مستاجر باشد، داده‌های مشتریان Google (مصرف‌کنندگان، کسب‌وکارها و حتی داده‌های خود Google) در زیرساخت‌های مشترک توزیع می‌شوند. این زیرساخت از ده ها هزار ماشین همگن تشکیل شده است. زیرساخت داده های مشتری را روی یک ماشین یا مجموعه ای از ماشین ها جدا نمی کند

ردیابی و دفع سخت افزار

گوگل با استفاده از بارکدها و برچسب‌های دارایی، مکان و وضعیت تمام تجهیزات را در مراکز داده خود به دقت ردیابی می‌کند. Google برای اطمینان از اینکه هیچ تجهیزاتی بدون مجوز از کف مرکز داده خارج نمی‌شود، فلزیاب‌ها و نظارت تصویری را به کار می‌گیرد. اگر یک جزء نتواند تست عملکرد را در هر نقطه از چرخه عمر خود قبول کند، از موجودی حذف شده و بازنشسته می شود.

دستگاه‌های ذخیره‌سازی Google، از جمله درایوهای سخت، درایوهای حالت جامد، و ماژول‌های حافظه داخلی دوگانه غیرفرار (DIMM)، از فناوری‌هایی مانند رمزگذاری کامل دیسک (FDE) و قفل کردن درایو برای محافظت از داده‌ها در حالت استراحت استفاده می‌کنند. وقتی یک دستگاه ذخیره‌سازی بازنشسته می‌شود، افراد مجاز با نوشتن صفر در درایو تأیید می‌کنند که دیسک پاک شده است. آنها همچنین یک فرآیند تأیید چند مرحله ای را انجام می دهند تا مطمئن شوند که درایو حاوی داده ای نیست. اگر درایو به هر دلیلی پاک نشود، از نظر فیزیکی از بین می رود. تخریب فیزیکی با استفاده از یک خردکن انجام می شود که درایو را به قطعات کوچک می شکند و سپس در یک مرکز امن بازیافت می شوند. هر مرکز داده از یک سیاست دفع دقیق تبعیت می کند و هر گونه انحراف فوراً رسیدگی می شود.

مزایای امنیتی شبکه جهانی گوگل

در دیگر راه‌حل‌های فضایی ابری و داخلی، داده‌ها بین دستگاه‌ها در سراسر اینترنت عمومی در مسیرهایی به نام hops حرکت می‌کنند. تعداد پرش ها به مسیر بهینه بین ISP مشتری و مرکز داده بستگی دارد. هر پرش اضافی فرصت جدیدی را برای حمله یا رهگیری داده ها ارائه می کند. از آنجایی که شبکه جهانی گوگل به اکثر ISP های دنیا مرتبط است، شبکه گوگل پرش ها را در سراسر اینترنت عمومی محدود می کند و بنابراین به محدود کردن دسترسی بازیگران بد به آن داده ها کمک می کند.

شبکه Google از چندین لایه دفاعی - دفاع عمیق - برای کمک به محافظت از شبکه در برابر حملات خارجی استفاده می کند. فقط سرویس‌ها و پروتکل‌های مجاز که الزامات امنیتی Google را برآورده می‌کنند مجاز به عبور از آن هستند. هر چیز دیگری به طور خودکار حذف می شود. برای اعمال جداسازی شبکه، گوگل از فایروال ها و لیست های کنترل دسترسی استفاده می کند. تمام ترافیک از طریق سرورهای Google Front End (GFE) جهت کمک به شناسایی و توقف درخواست های مخرب و حملات انکار سرویس توزیع شده (DDoS) هدایت می شود. لاگ ها به طور معمول مورد بررسی قرار می گیرند تا هرگونه سوء استفاده از خطاهای برنامه نویسی را آشکار کنند. دسترسی به دستگاه های شبکه فقط به کارمندان مجاز محدود شده است.

زیرساخت جهانی Google به ما امکان می دهد Project Shield را اجرا کنیم، که محافظت رایگان و نامحدودی را برای وب سایت هایی که در برابر حملات DDoS آسیب پذیر هستند و برای سانسور اطلاعات استفاده می شوند، ارائه می دهد. Project Shield برای وب سایت های خبری، وب سایت های حقوق بشر و وب سایت های نظارت بر انتخابات در دسترس است.

تأخیر کم و راه حل های بسیار در دسترس

شبکه داده IP Google از فیبر خود، فیبر در دسترس عموم و کابل های زیر دریا تشکیل شده است. این شبکه به ما امکان می دهد خدمات بسیار در دسترس و با تاخیر کم را در سراسر جهان ارائه دهیم.

گوگل اجزای پلتفرم خود را طوری طراحی می کند که بسیار زائد باشند. این افزونگی در مورد طراحی سرور Google، نحوه ذخیره داده‌ها توسط Google، اتصال شبکه و اینترنت و خود سرویس‌های نرم‌افزاری اعمال می‌شود. این "زائد بودن همه چیز" شامل رسیدگی به استثناها می شود و راه حلی ایجاد می کند که به یک سرور، مرکز داده یا اتصال شبکه وابسته نیست.

مراکز داده Google از نظر جغرافیایی توزیع شده اند تا اثرات اختلالات منطقه ای را بر محصولات جهانی به حداقل برسانند، مانند زمانی که بلایای طبیعی یا قطعی های محلی رخ می دهد. اگر سخت‌افزار، نرم‌افزار یا شبکه از کار بیفتد، سرویس‌های پلت‌فرم و هواپیماهای کنترلی به‌طور خودکار و سریع از یک مرکز به مرکز دیگر منتقل می‌شوند تا خدمات پلت‌فرم بدون وقفه ادامه یابد.

زیرساخت بسیار اضافی Google همچنین به شما کمک می کند تا از کسب و کار خود در برابر از دست دادن داده محافظت کنید. سیستم‌های Google به گونه‌ای طراحی شده‌اند که زمان‌هایی که نیاز به سرویس‌دهی یا ارتقای پلتفرم خود داریم، زمان خرابی یا پنجره‌های تعمیر و نگهداری را به حداقل برسانند.

امنیت عملیاتی

امنیت در عملیات Google یکپارچه است، نه یک فکر بعدی. این بخش برنامه‌های مدیریت آسیب‌پذیری Google، برنامه پیشگیری از بدافزار، نظارت بر امنیت و برنامه‌های مدیریت حوادث را توضیح می‌دهد.

مدیریت آسیب پذیری

فرآیند مدیریت آسیب‌پذیری داخلی Google به طور فعال تهدیدهای امنیتی را در تمام پشته‌های فناوری اسکن می‌کند. این فرآیند از ترکیبی از ابزارهای تجاری، منبع باز و داخلی استفاده می کند و شامل موارد زیر است:

  • فرآیندهای تضمین کیفیت
  • بررسی های امنیتی نرم افزار
  • تلاش‌های نفوذ خودکار و دستی فشرده، از جمله تمرین‌های گسترده تیم قرمز
  • آزمایش نفوذ خارجی مکرر برای محصولات Google Maps Platform
  • ممیزی های خارجی مکرر

سازمان مدیریت آسیب پذیری و شرکای آن مسئولیت ردیابی و پیگیری آسیب پذیری ها را بر عهده دارند. از آنجایی که امنیت تنها پس از رفع کامل مشکلات بهبود می‌یابد، خطوط لوله اتوماسیون به طور مداوم وضعیت استقرار وصله را برای کاهش آسیب‌پذیری‌ها و علامت‌گذاری استقرار نادرست یا جزئی ارزیابی می‌کنند.

برای کمک به بهبود قابلیت‌های شناسایی، سازمان مدیریت آسیب‌پذیری بر شاخص‌های باکیفیت تمرکز می‌کند که نویز را از سیگنال‌هایی که تهدیدهای واقعی را نشان می‌دهند جدا می‌کند. این سازمان همچنین تعامل با صنعت و جامعه منبع باز را تقویت می کند. به عنوان مثال، آنها یک برنامه پاداش وصله برای اسکنر امنیتی شبکه سونامی اجرا می کنند که به توسعه دهندگانی که آشکارسازهای منبع باز برای آسیب پذیری ها ایجاد می کنند، پاداش می دهد.

پیشگیری از بدافزار

Google برای محصولات اصلی ما (مانند Gmail، Google Drive، Google Chrome، YouTube، Google Ads و جستجوی Google) که از انواع تکنیک‌های شناسایی بدافزار استفاده می‌کنند، محافظت‌های بدافزاری را حفظ می‌کند. برای کشف پیشگیرانه فایل‌های بدافزار، از خزیدن وب، انفجار فایل، تشخیص استاتیک سفارشی، تشخیص پویا، و تشخیص یادگیری ماشینی استفاده می‌کنیم. ما همچنین از چندین موتور آنتی ویروس استفاده می کنیم.

برای کمک به محافظت از کارمندان خود، از قابلیت‌های امنیتی پیشرفته داخلی Chrome Enterprise Premium و ویژگی مرور ایمن پیشرفته در Google Chrome استفاده می‌کنیم. این قابلیت ها شناسایی پیشگیرانه سایت های فیشینگ و بدافزار را در حین مرور وب توسط کارمندان ما امکان پذیر می کند. ما همچنین سخت‌ترین تنظیمات امنیتی موجود در Google Workspace را فعال می‌کنیم، مانند Gmail Security Sandbox، تا پیوست‌های مشکوک را به‌طور فعال اسکن کنند. گزارش‌های حاصل از این قابلیت‌ها، همانطور که در بخش زیر توضیح داده شد، به سیستم‌های نظارت امنیتی ما وارد می‌شوند.

نظارت بر امنیت

برنامه نظارت بر امنیت Google بر اطلاعاتی متمرکز است که از ترافیک شبکه داخلی، از اقدامات کارمندان در سیستم‌ها، و از دانش خارجی درباره آسیب‌پذیری‌ها جمع‌آوری شده است. یک اصل اصلی گوگل این است که تمام داده های تله متری امنیتی را در یک مکان برای تجزیه و تحلیل امنیتی یکپارچه جمع آوری و ذخیره کند.

در بسیاری از نقاط در سراسر شبکه جهانی Google، ترافیک داخلی برای رفتارهای مشکوک بررسی می شود، مانند وجود ترافیکی که ممکن است نشان دهنده اتصالات بات نت باشد. گوگل از ترکیبی از ابزارهای منبع باز و تجاری برای ضبط و تجزیه ترافیک استفاده می کند تا گوگل بتواند این تحلیل را انجام دهد. یک سیستم همبستگی اختصاصی که بر پایه فناوری گوگل ساخته شده است نیز از این تحلیل پشتیبانی می کند. گوگل تجزیه و تحلیل شبکه را با بررسی گزارش های سیستم برای شناسایی رفتار غیرعادی، مانند تلاش برای دسترسی به داده های مشتری، تکمیل می کند.

گروه تجزیه و تحلیل تهدید در گوگل عوامل تهدید و تکامل تاکتیک ها و تکنیک های آنها را زیر نظر دارد. مهندسان امنیت Google گزارش‌های امنیتی ورودی را بررسی می‌کنند و فهرست‌های پستی عمومی، پست‌های وبلاگ و ویکی‌ها را نظارت می‌کنند. تجزیه و تحلیل خودکار شبکه و تجزیه و تحلیل خودکار گزارش‌های سیستم به تعیین زمان ممکن تهدید ناشناخته کمک می‌کند. اگر فرآیندهای خودکار مشکلی را شناسایی کنند، به کارکنان امنیتی Google ارسال می‌شود.

تشخیص نفوذ

Google از خطوط لوله پردازش داده پیچیده برای ادغام سیگنال‌های مبتنی بر میزبان در دستگاه‌های جداگانه، سیگنال‌های مبتنی بر شبکه از نقاط نظارتی مختلف در زیرساخت و سیگنال‌های خدمات زیرساخت استفاده می‌کند. قوانین و اطلاعات ماشینی ساخته شده در بالای این خطوط لوله به مهندسان امنیت عملیاتی هشدارهایی را در مورد حوادث احتمالی می دهد. تیم‌های تحقیق و واکنش Google در ۲۴ ساعت شبانه‌روز و ۳۶۵ روز سال، این حوادث احتمالی را تریاژ، بررسی و پاسخ‌گویی می‌کنند. Google علاوه بر تست نفوذ خارجی، تمرین‌های تیم قرمز را برای اندازه‌گیری و بهبود اثربخشی مکانیسم‌های تشخیص و پاسخ Google انجام می‌دهد.

مدیریت حوادث

Google برای رویدادهای امنیتی که ممکن است محرمانه بودن، یکپارچگی یا در دسترس بودن سیستم‌ها یا داده‌ها را تحت تأثیر قرار دهد، یک فرآیند مدیریت حادثه دقیق دارد. برنامه مدیریت حوادث امنیتی Google بر اساس دستورالعمل NIST در مورد رسیدگی به حوادث ( NIST SP 800-61 ) ساختار یافته است. Google برای کارکنان کلیدی در زمینه پزشکی قانونی و مدیریت شواهد در آماده‌سازی یک رویداد، از جمله استفاده از ابزارهای شخص ثالث و اختصاصی، آموزش می‌دهد.

گوگل طرح های واکنش به حادثه را برای مناطق کلیدی آزمایش می کند. این تست ها سناریوهای مختلفی از جمله تهدیدات داخلی و آسیب پذیری های نرم افزاری را در نظر می گیرند. برای اطمینان از حل سریع حوادث امنیتی، تیم امنیتی Google 24 ساعته در دسترس همه کارمندان است.

برای اطلاعات بیشتر در مورد فرآیند پاسخ به رویداد داده‌ای ما، به مدیریت رویداد پلتفرم Google Maps مراجعه کنید.

شیوه های توسعه نرم افزار

Google از محافظت‌های کنترل منبع و بررسی‌های دو طرفه برای محدود کردن فعالانه معرفی آسیب‌پذیری‌ها استفاده می‌کند. گوگل همچنین کتابخانه هایی را فراهم می کند که مانع از معرفی کلاس های خاصی از اشکالات امنیتی توسط توسعه دهندگان می شود. به عنوان مثال، گوگل دارای کتابخانه ها و چارچوب هایی است که برای از بین بردن آسیب پذیری های XSS در SDK ها طراحی شده اند. گوگل همچنین دارای ابزارهای خودکار برای تشخیص اشکالات امنیتی مانند fuzzer ها، ابزارهای تحلیل استاتیک و اسکنرهای امنیتی وب است.

حفاظت از کد منبع

کد منبع Google در مخازن با یکپارچگی و حاکمیت منبع داخلی ذخیره می شود که امکان ممیزی نسخه های فعلی و گذشته سرویس را فراهم می کند. زیرساخت مستلزم آن است که باینری های یک سرویس پس از بررسی، بررسی و آزمایش از کد منبع خاصی ساخته شوند. مجوز دودویی برای Borg (BAB) یک بررسی اجرایی داخلی است که هنگام استقرار یک سرویس رخ می دهد. BAB کارهای زیر را انجام می دهد:

  • اطمینان حاصل می کند که نرم افزار تولید و پیکربندی مستقر در Google بازبینی و مجاز است، به ویژه زمانی که آن کد می تواند به داده های کاربر دسترسی داشته باشد.
  • اطمینان حاصل می کند که استقرار کد و پیکربندی با حداقل استانداردهای معینی مطابقت دارد
  • توانایی یک خودی یا حریف را برای ایجاد تغییرات مخرب در کد منبع محدود می کند و همچنین یک دنباله پزشکی قانونی از یک سرویس به منبع آن ارائه می دهد.

کاهش ریسک داخلی

Google فعالیت های کارمندانی را که دسترسی اداری به زیرساخت به آنها داده شده است محدود و فعالانه نظارت می کند. Google به طور مستمر در تلاش است تا با استفاده از اتوماسیونی که می تواند همان وظایف را به روشی ایمن و کنترل شده انجام دهد، نیاز به دسترسی ممتاز برای کارهای خاص را از بین ببرد. به عنوان مثال، Google برای برخی از اقدامات به تأییدیه های دو طرفه نیاز دارد و Google از API های محدودی استفاده می کند که امکان اشکال زدایی را بدون افشای اطلاعات حساس فراهم می کند.

دسترسی کارکنان Google به اطلاعات کاربر نهایی از طریق قلاب‌های زیرساختی سطح پایین ثبت می‌شود. تیم امنیتی گوگل بر الگوهای دسترسی نظارت می کند و رویدادهای غیرعادی را بررسی می کند.

تست بازیابی فاجعه - DiRT

Google Maps Platform رویدادهای آزمایشی بازیابی فاجعه (DiRT) سالانه، در سراسر شرکت را اجرا می‌کند تا اطمینان حاصل کند که خدمات پلتفرم نقشه‌های Google و عملیات داخلی کسب‌وکار در طول یک فاجعه به کار خود ادامه می‌دهند. DiRT برای یافتن آسیب‌پذیری‌ها در سیستم‌های حیاتی با ایجاد عمد خرابی‌ها، و رفع آن آسیب‌پذیری‌ها قبل از وقوع خرابی‌ها به‌صورت کنترل‌نشده، توسعه داده شد. DiRT استحکام فنی Google را با شکستن سیستم‌های زنده آزمایش می‌کند و انعطاف‌پذیری عملیاتی Google را با جلوگیری صریح از مشارکت پرسنل مهم، کارشناسان منطقه و رهبران آزمایش می‌کند. همه سرویس‌های عموماً در دسترس باید دارای آزمایش مداوم و فعال DiRT و تأیید انعطاف‌پذیری و در دسترس بودن آنها باشند.

برای آماده شدن برای تمرین DiRT، Google از مجموعه قوانین ثابتی در مورد اولویت بندی استفاده می کند.

پروتکل های ارتباطی، انتظارات تاثیر، و الزامات طراحی تست، از جمله طرح های برگشتی از پیش بازبینی شده و تایید شده. تمرینات و سناریوهای DiRT نه تنها باعث ایجاد نقص فنی در خود سرویس می شود، بلکه می تواند شامل خرابی های طراحی شده در فرآیند، در دسترس بودن پرسنل کلیدی، سیستم های پشتیبانی، ارتباطات و دسترسی فیزیکی باشد. DiRT تأیید می کند که فرآیندهای موجود در عمل در عمل کار می کنند. همچنین تضمین می‌کند که تیم‌ها از قبل آموزش دیده‌اند و تجربه‌ای دارند که می‌توانند در طول قطعی‌ها، اختلالات، و بلایای مصنوعی یا طبیعی از آن استفاده کنند.

کنترل های امنیتی کلیدی

این بخش کنترل‌های امنیتی اصلی را که Google Maps Platform برای محافظت از پلتفرم خود پیاده‌سازی می‌کند، شرح می‌دهد.

رمزگذاری

رمزگذاری یک لایه دفاعی برای محافظت از داده ها اضافه می کند. رمزگذاری تضمین می‌کند که اگر مهاجم به داده‌ها دسترسی پیدا کند، مهاجم نمی‌تواند داده‌ها را بدون دسترسی به کلیدهای رمزگذاری بخواند. حتی اگر مهاجم به داده‌ها دسترسی پیدا کند (مثلاً با دسترسی به اتصال سیمی بین مراکز داده یا با سرقت یک دستگاه ذخیره‌سازی)، نمی‌تواند آن را درک یا رمزگشایی کند.

رمزگذاری مکانیسم مهمی در نحوه کمک Google به محافظت از حریم خصوصی داده ها فراهم می کند. این به سیستم‌ها اجازه می‌دهد تا داده‌ها را دستکاری کنند - به عنوان مثال، برای پشتیبان‌گیری - و مهندسین برای پشتیبانی از زیرساخت Google، بدون دسترسی به محتوا برای آن سیستم‌ها یا کارمندان.

رمزگذاری در حالت استراحت

رمزگذاری "در حالت استراحت" در این بخش به معنای رمزگذاری مورد استفاده برای محافظت از داده هایی است که روی دیسک (از جمله درایوهای حالت جامد) یا رسانه های پشتیبان ذخیره می شوند. داده ها در سطح ذخیره سازی رمزگذاری می شوند، معمولاً با استفاده از AES256 (استاندارد رمزگذاری پیشرفته). داده ها اغلب در سطوح مختلف در پشته ذخیره سازی تولید Google در مراکز داده، از جمله در سطح سخت افزار، بدون نیاز به هیچ اقدامی از سوی مشتریان Google، رمزگذاری می شوند. استفاده از چندین لایه رمزگذاری

حفاظت اضافی از داده ها را اضافه می کند و به Google اجازه می دهد تا رویکرد بهینه را بر اساس الزامات برنامه انتخاب کند. Google از کتابخانه‌های رمزنگاری متداول استفاده می‌کند که ماژول تأیید شده FIPS 140-2 Google را برای پیاده‌سازی رمزگذاری به‌طور مداوم در بین محصولات در خود جای داده است. استفاده مداوم از کتابخانه های رایج به این معنی است که فقط یک تیم کوچک از رمزنگاران نیاز به پیاده سازی و نگهداری این کد کاملاً کنترل شده و بازبینی شده دارند.

حفاظت از داده ها در حال انتقال

داده ها می توانند در برابر دسترسی های غیرمجاز در حین حرکت در اینترنت آسیب پذیر باشند. Google Maps Platform از رمزگذاری قوی در حین انتقال بین دستگاه‌ها و شبکه‌های مشتری و سرورهای Google Front End (GFE) پشتیبانی می‌کند. Google توصیه می‌کند که مشتریان/توسعه‌دهندگان از قوی‌ترین مجموعه رمزنگاری پشتیبانی‌شده Google (TLS 1.3) هنگام ایجاد برنامه‌ها به عنوان بهترین روش استفاده کنند. برخی از مشتریان موارد استفاده دارند که به دلایل سازگاری به مجموعه‌های رمز قدیمی‌تری نیاز دارند، بنابراین Google Maps Platform از این استانداردهای ضعیف‌تر پشتیبانی می‌کند، اما استفاده از آنها را در صورت امکان توصیه نمی‌کند. Google Cloud همچنین گزینه‌های رمزگذاری حمل و نقل اضافی، از جمله Cloud VPN برای ایجاد شبکه‌های خصوصی مجازی با استفاده از IPsec برای محصولات پلتفرم Google Maps را به شما ارائه می‌دهد.

محافظت از داده ها در ترانزیت بین مراکز داده Google

امنیت حمل و نقل لایه برنامه (ALTS) تضمین می کند که از یکپارچگی ترافیک گوگل در صورت لزوم محافظت و رمزگذاری می شود. پس از یک پروتکل دستی بین مشتری و سرور کامل است و مشتری و سرور در مورد اسرار رمزنگاری مشترک لازم برای رمزگذاری و تأیید ترافیک شبکه مذاکره می کنند ، ALTS با استفاده از اسرار مشترک مذاکره شده ، RPC (تماس از راه دور) را ترافیک می کند. Google از چندین پروتکل برای تضمین های یکپارچگی ، مانند AES-GMAC (استاندارد رمزگذاری پیشرفته) ، با کلیدهای 128 بیتی پشتیبانی می کند. هر وقت ترافیک یک مرز فیزیکی را که توسط یا به نمایندگی از Google کنترل می شود ، به عنوان مثال در ترانزیت از طریق WAN (شبکه گسترده) بین مراکز داده ، ترک می کند ، تمام پروتکل ها به طور خودکار به روز می شوند تا ضمانت های رمزگذاری و یکپارچگی را ارائه دهند.

Google Maps Service Service Service Service

برخی از خدمات پلتفرم Google Maps ممکن است در همه جغرافیاها در دسترس نباشند. برخی از اختلالات خدمات موقتی است (به دلیل یک رویداد غیرقابل پیش بینی مانند قطع شبکه) ، اما سایر محدودیت های خدمات به دلیل محدودیت های تحمیل شده دولت دائمی است. گزارش جامع شفافیت و داشبورد وضعیت Google ، اختلالات اخیر و مداوم ترافیک به خدمات پلت فرم Google Maps را نشان می دهد. Google این داده ها را برای کمک به شما در تجزیه و تحلیل و درک اطلاعات به روزرسانی Google ارائه می دهد.

امنیت سمت مشتری

امنیت یک مسئولیت مشترک بین ارائه دهنده خدمات ابری و مشتری/شریک اجرای محصولات Google Maps Platform است. در این بخش مسئولیت های مشتری/شریک زندگی که باید هنگام معماری راه حل پلت فرم Google Maps در نظر گرفته شود ، در نظر گرفته می شود.

API های جاوا اسکریپت

سایت های امن

MAPS JavaScript API مجموعه ای از توصیه ها را منتشر می کند که به مشتری امکان می دهد خط مشی امنیت محتوای سایت خود (CSP) را تنظیم کند تا از آسیب پذیری هایی مانند اسکریپت های متقابل سایت ، کلیک و حملات تزریق داده جلوگیری کند. API JavaScript از دو شکل CSP پشتیبانی می کند: CSP دقیق با استفاده از NONCES و ALLIST CSP.

جاوا اسکریپت ایمن

جاوا اسکریپت به طور مرتب برای ضد الگوی امنیتی شناخته شده اسکن می شود و مشکلات به سرعت از بین می روند. در صورت بروز هرگونه مشکلی ، API JavaScript در صورت بروز هرگونه مشکلی در هفته یا تقاضا منتشر می شود.

امنیت برنامه تلفن همراه (MAS)

Security Application Mobile (MAS) یک تلاش باز ، چابک و منبع جمعیت است که از کمک ده ها نویسنده و داوران از سراسر جهان ساخته شده است. پروژه پرچمدار Application Security Application Mobile (MAS) یک استاندارد امنیتی برای برنامه های تلفن همراه (OWASP MASV) و یک راهنمای آزمایش جامع (OWASP MASTG) ارائه می دهد که فرآیندها ، تکنیک ها و ابزارهای مورد استفاده در طول یک آزمون امنیت برنامه تلفن همراه را پوشش می دهد ، و همچنین مجموعه ای جامع از موارد آزمایشی که آزمایش کنندگان را قادر می سازد نتایج سازگار و کامل ارائه دهند.

  • استاندارد تأیید امنیت برنامه Mobile OWASP (MASVS) پایه ای برای آزمایش های امنیتی کامل و مداوم برای iOS و Android ارائه می دهد.
  • راهنمای تست امنیت برنامه کاربردی موبایل OWASP (MASTG) یک کتابچه راهنمای جامع است که فرآیندها ، تکنیک ها و ابزارهای مورد استفاده در زمان تجزیه و تحلیل امنیت کاربردی موبایل را پوشش می دهد ، و همچنین مجموعه ای جامع از موارد آزمایشی برای تأیید الزامات ذکر شده در MASV.
  • چک لیست امنیتی برنامه های کاربردی موبایل OWASP شامل پیوندهایی به موارد تست MASTG برای هر کنترل MASVS است.
    • ارزیابی های امنیتی / pentests: اطمینان حاصل کنید که حداقل سطح حمله استاندارد را پوشش می دهید و شروع به کاوش می کنید.
    • انطباق استاندارد: شامل نسخه های MASV و MASTG و شناسه های متعهد است.
    • مهارت های امنیتی موبایل خود را بیاموزید و تمرین کنید.
    • BUNNTIES BUNGE: مرحله به مرحله با پوشش سطح حمله موبایل بروید.

در نظر بگیرید که OWASP MAS را برای ارتقاء قابلیت های امنیت ، آزمایش و احراز هویت برنامه های کاربردی iOS و Android خود در نظر بگیرید.

اندروید

هنگام تهیه برنامه های Android ، منبع دیگری که باید در نظر بگیرید بهترین روش های برنامه Android Community است. دستورالعمل های امنیتی حاوی راهنمایی های بهترین عملکرد در مورد اجرای ارتباطات ایمن ، تعریف مجوزهای صحیح ، ذخیره داده های ایمن ، وابستگی به خدمات و موارد دیگر است.

iOS

هنگام تهیه برنامه های iOS ، مقدمه اپل را در راهنمای کدگذاری امن ، که شامل بهترین شیوه ها برای پلت فرم iOS است ، در نظر بگیرید.

جمع آوری داده ها ، استفاده و نگهداری

پلت فرم Google Maps متعهد به شفافیت در مورد جمع آوری داده ها ، استفاده از داده ها و حفظ داده ها است. جمع آوری داده ها ، استفاده و حفظ پلت فرم Google Maps منوط به شرایط خدمات پلت فرم Google Maps است که شامل خط مشی رازداری Google است.

جمع آوری داده ها

داده ها از طریق استفاده از محصولات پلت فرم Google Maps جمع آوری می شوند. شما به عنوان مشتری ، شما کنترل می کنید که اطلاعاتی را که به سیستم عامل Google Maps از طریق API و SDK منتقل می کنید ، کنترل می کنید. کلیه درخواست های پلتفرم Google Maps وارد شده است که شامل کدهای وضعیت پاسخ از محصول است.

Google Maps Platform داده های وارد شده

Google Maps Platform داده ها را در مجموعه محصول ثبت می کند. سیاههها حاوی چندین ورودی هستند که به طور معمول عبارتند از:

  • شناسه حساب که می تواند یک کلید API ، شناسه مشتری یا شماره پروژه ابری باشد. این برای عملیات ، پشتیبانی و صورتحساب لازم است.
  • آدرس IP سرور ، سرویس یا دستگاه درخواست کننده. برای API ها ، توجه داشته باشید که آدرس IP ارسال شده به پلت فرم Google Maps به نحوه اجرای API دعوت در برنامه/راه حل شما بستگی دارد. برای SDK ها ، آدرس IP دستگاه فراخوانی وارد شده است.
  • URL را درخواست کنید ، که شامل API و پارامترهای منتقل شده به API است. به عنوان مثال ، API GeoCoding به دو پارامتر (آدرس و کلید API) نیاز دارد. GeoCoding همچنین دارای تعدادی پارامترهای اختیاری است. URL درخواست شامل تمام پارامترهای منتقل شده به سرویس است.
  • تاریخ و زمان درخواست.
  • برنامه های وب دارای هدرهای درخواست شده هستند که به طور معمول شامل داده هایی مانند نوع مرورگر وب و سیستم عامل هستند.
  • برنامه های تلفن همراه با استفاده از SDK (Android و iOS) نسخه ، کتابخانه و نام برنامه را وارد می کنند.

Google Maps Platform Access دسترسی به سیستم

دسترسی به سیاههها بسیار محدود و فقط به اعضای تیم خاص که نیاز به تجارت مشروع دارند ، مجاز است . هر درخواست دسترسی به پرونده های log برای اهداف حسابرسی ثبت شده است ، که از طریق حسابرسی های شخص ثالث ISO 27001 و SOC 2 Google تأیید می شود.

استفاده از داده ها

داده های جمع آوری شده توسط پلت فرم Google Maps برای اهداف زیر استفاده می شود:

  • بهبود محصولات و خدمات Google
  • ارائه پشتیبانی فنی مشتری
  • نظارت و هشدار عملیاتی
  • حفظ امنیت سکو
  • برنامه ریزی ظرفیت پلت فرم

لطفاً توجه داشته باشید که Google اطلاعات شخصی شما را به اشخاص ثالث نمی فروشد ، همانطور که در خط مشی رازداری Google مستند شده است.

حفظ داده ها و ناشناس سازی

داده های کاربر جمع آوری شده در سیاهههای مربوط به پلتفرم Google Maps ممکن است براساس نیازهای تجاری ، منوط به سیاست های ذخیره سازی و نگهداری ، برای مدت زمان های مختلف حفظ شود. داده های کاربر فقط در صورت نیاز به مشاغل مشروع حفظ می شوند و وقتی دیگر برای اهداف جمع آوری داده ها لازم نیست حذف می شود. وسایل قابل قبول برای حذف کاملاً تعریف شده و کلیه لایه ها را از طریق جمع آوری زباله شامل می شود. برای اطمینان از انطباق ، فرآیندهای حذف کنترل و تأیید می شوند.

آمار استفاده ناشناس ، کل حاصل از سیاههها ممکن است طولانی تر حفظ شود. تمام ناشناس سازی داده ها توسط تیم حفظ حریم خصوصی بررسی می شود تا اطمینان حاصل شود که از یک استاندارد فنی کافی برخوردار است و برای تأمین نیازهای حریم خصوصی ، محصول و نظارتی مناسب است.

پشتیبانی از الزامات انطباق

Google Maps Platform به طور مرتب تحت تأیید مستقل از کنترل های امنیتی ، انطباق و کیفیت خود قرار می گیرد و برای نشان دادن انطباق ، گواهینامه ها ، تأییدات و گزارش های حسابرسی را دریافت می کند. استانداردهای کلیدی بین المللی که در برابر آنها حسابرسی می کنیم موارد زیر است:

علاوه بر این ، گزارش های SOC 2 و SOC 3 ما در دسترس مشتریان است. ما همچنین در چارچوب های خاص بخش و کشور مانند NIST 800-53 ، NIST 800-171 (دولت ایالات متحده) و TISAX (آلمان) شرکت می کنیم.

برای لیست کاملی از پیشنهادات مربوط به انطباق ما ، به مرکز اعتماد امنیتی و انطباق ما مراجعه کنید.

خلاصه

امنیت یک معیارهای اصلی طراحی برای کلیه زیرساخت ها ، محصولات و عملیات Google است. مقیاس عملیات Google و همکاری آن با انجمن تحقیقات امنیتی ما را قادر می سازد تا به سرعت آسیب پذیری ها را برطرف کنیم و اغلب برای جلوگیری از آنها به طور کامل. Google خدمات خود را مانند Search ، YouTube و Gmail را در همان زیرساخت هایی که در اختیار مشتریان خود قرار می دهد ، اجرا می کند ، که مستقیماً از کنترل ها و شیوه های امنیتی Google بهره مند می شوند.

گوگل معتقد است که می تواند سطح حفاظتی را ارائه دهد که تعداد کمی از ارائه دهندگان ابر عمومی یا تیم های IT شرکت های خصوصی می توانند با هم مطابقت داشته باشند. از آنجا که محافظت از داده ها برای تجارت Google اصلی است ، ما می توانیم سرمایه گذاری های گسترده ای را در زمینه امنیت ، منابع و تخصص در مقیاس انجام دهیم که دیگران نتوانند. سرمایه گذاری Google شما را آزاد می کند تا روی تجارت و نوآوری خود تمرکز کنید. ما همچنان به سرمایه گذاری در پلتفرم خود ادامه خواهیم داد تا به شما اجازه دهیم از خدمات Google به روشی امن و شفاف بهره مند شوید.

بعد چه است