نمای کلی امنیت و انطباق برای «پلاتفرم Google Maps»

این محتوا آخرین‌بار در مارس ۲۰۲۶ به‌روزرسانی شده است و نشان‌دهنده وضعیت موجود در زمان نگارش آن است. سیستم‌ها و خط‌مشی‌های امنیتی Google ممکن است در آینده تغییر کند، زیرا ما به‌طور مداوم محافظت از مشتریانمان را بهبود می‌بخشیم.

مقدمه

پلاتفرم Google Maps میاناهای برنامه‌سازی کاربردی و کیت‌های توسعه نرم‌افزار را برای مشتریان و شرکا فراهم می‌کند تا بااستفاده از فناوری جغرافیایی Google، برنامه‌های وب و تلفن همراه توسعه دهند. Google Maps Platform بیش‌از ۵۰ میانای برنامه‌سازی کاربردی و کیت توسعه نرم‌افزار برای مشتریان در صنایع مختلف ارائه می‌دهد. به‌عنوان مشتری در صنعت، اغلب باید هنگام ساختن راه‌حل‌هایتان، الزامات امنیتی، استفاده از داده، و نظارتی را برآورده کنید. این شامل اطمینان از اینکه فناوری شخص ثالث شما همان الزامات را برآورده می‌کند نیز می‌شود.

این سند خلاصه‌ای سطح بالا از کنترل‌های افراد، فرایند، و فناوری ارائه‌شده توسط «پلاتفرم Google Maps» را ارائه می‌دهد و مزایای استفاده از این پلاتفرم را شرح می‌دهد. ابتدا، مهم است که دو ستون فناوری اصلی زیربنای Google Maps Platform را درک کنید:

  • فناوری‌ها، مراکز داده، و زیرساخت‌های ارائه‌شده توسط Google. Google Maps Platform کاملاً بر زیرساخت‌ها و مراکز داده ارائه‌شده توسط Google عمل می‌کند. از این مبنا، ممیزی‌های داخلی و شخص ثالث را برای کنترل‌های امنیتی که از Google به ارث می‌برد اعمال می‌کند تا تأیید کند که «پلاتفرم Google Maps» کنترل‌های امنیتی، عملیاتی، و فنی شرح‌داده‌شده در این مقاله را به‌درستی پیاده‌سازی می‌کند.
  • فناوری پلاتفرم Google Maps. علاوه‌بر کنترل‌های موروثی، Google Maps Platform کنترل‌های امنیتی، حریم خصوصی، داده، و عملیاتی بیشتری برای مجموعه‌های محصول Google ارائه می‌دهد.

این سند خلاصه‌ای از فرایندها و کنترل‌های امنیتی «پلاتفرم Google Maps» است که به‌صورت زیر گروه‌بندی شده‌اند:

  • تمرکز بر امنیت و حریم خصوصی در همه سطوح سازمان Google
  • زیرساخت فنی و امنیت سخت‌افزار
  • امنیت عملیاتی
  • کنترل‌های امنیتی اصلی
  • امنیت سمت کارخواه، هم وب و هم تلفن همراه
  • گواهینامه‌ها و ممیزی‌های فعلی در «پلاتفرم Google Maps»
  • چارچوب‌های قانونی پشتیبانی‌شده، در سطح جهانی

مشتریان بالقوه می‌توانند برای کسب اطلاعات بیشتر با نماینده فروش Google خود تماس بگیرند.

فرهنگ متمرکز بر امنیت و حریم خصوصی Google

امنیت، ساختار سازمانی، فرهنگ، اولویت‌های آموزشی، و فرایندهای استخدام را در سراسر Google هدایت می‌کند. این هدف به طراحی مراکز داده Google و فناوری‌ای که ارائه می‌دهند شکل می‌دهد. امنیت پایه و اساس عملیات روزانه Google است، ازجمله برنامه‌ریزی برای بلایای طبیعی و مدیریت تهدید. Google در نحوه مدیریت داده‌ها، کنترل‌های حساب، ممیزی‌های رعایت مقررات، و گواهینامه‌های صنعتی، امنیت را در اولویت قرار می‌دهد. Google سرویس‌هایش را به‌گونه‌ای طراحی می‌کند که امنیت بهتری نسبت‌به بسیاری از جایگزین‌های محلی ارائه دهد که به چندین فروشنده و چندین پلاتفرم متکی هستند و امنیت در آن‌ها اغلب فرایندی غیرمتصل است. وقتی از محصولات Google Maps Platform برای کسب‌وکارتان استفاده می‌کنید، از برنامه‌ها و کنترل‌های امنیتی یکپارچه Google بهره‌مند می‌شوید. «پلاتفرم Google Maps» امنیت را در اولویت عملیات خود قرار می‌دهد—عملیاتی که به بیش‌از یک میلیارد کاربر در سراسر جهان خدمات ارائه می‌دهد.

Google و Google Maps Platform باهم چندین لایه امنیتی در سراسر شرکت و سازمان ارائه می‌دهند:

  • تیم امنیتی اختصاصی Google
  • تیم امنیت محصول «پلاتفرم Google Maps»
  • مشارکت فعال با انجمن جهانی پژوهش‌های امنیتی
  • تیم حریم خصوصی «پلاتفرم Google Maps»
  • آموزش امنیت و حریم خصوصی کارمندان Google
  • متخصصان ممیزی داخلی و رعایت مقررات

تیم‌های امنیتی اختصاصی در Google

‫Google تیم‌های امنیتی اختصاصی در سراسر شرکت و در بخش‌های محصول ارائه می‌دهد.

تیم‌های امنیتی Google از چندین حوزه محصول در Google، ازجمله Google Maps Platform، پشتیبانی می‌کنند. تیم امنیتی شامل برخی‌از برجسته‌ترین کارشناسان جهان در زمینه امنیت اطلاعات، امنیت برنامه، رمزنگاری، و امنیت شبکه است. فعالیت‌های آن‌ها شامل موارد زیر است:

  • فرایندهای امنیتی را توسعه می‌دهد، بازبینی می‌کند، و اجرا می‌کند. این شامل بازبینی طرح‌های امنیتی برای شبکه‌های Google و ارائه مشاوره مختص پروژه به تیم‌های مهندسی و محصول در سراسر Google می‌شود. برای مثال، متخصصان رمزنگاری راه‌اندازی محصولاتی را که رمزنگاری را به‌عنوان بخشی از پیشنهاد اجرا می‌کنند بازبینی می‌کنند.
  • تهدیدهای امنیتی را به‌طور فعال مدیریت می‌کند. این تیم بااستفاده از ابزارهای تجاری و سفارشی، تهدیدهای مداوم و فعالیت‌های مشکوک را در شبکه‌های Google پایش می‌کند.
  • ممیزی‌ها و ارزیابی‌های معمول را انجام می‌دهد که می‌تواند شامل مشارکت کارشناسان خارجی برای انجام ارزیابی‌های امنیتی باشد.
  • مقالات امنیتی را برای انجمن گسترده‌تر منتشر می‌کند. Google یک وبلاگ امنیتی و یک مجموعه YouTube دارد که چندین تیم امنیتی خاص و دستاوردهای آن‌ها را برجسته می‌کند.

تیم امنیتی «پلاتفرم Google Maps» با تیم امنیتی Google همکاری می‌کند و برای نظارت بر اجرای امنیت، با توسعه محصول و SRE همکاری نزدیک‌تری دارد. به‌طور خاص، این تیم موارد زیر را مدیریت می‌کند:

  • آزمایش تاب‌آوری دربرابر بلایا (DiRT) در Google Maps Platform که تداوم کسب‌وکار و انتقال به حالت آماده‌به‌کار محصولات Google Maps Platform را آزمایش می‌کند، در زیرساخت بسیار دردسترس Google اجرا می‌شود.
  • تست نفوذ طرف سوم. محصولات Google Maps Platform حداقل به‌صورت سالانه تحت تست نفوذ قرار می‌گیرند تا وضعیت امنیتی Google بهبود یابد و اطمینان امنیتی مستقل برای شما فراهم شود.

مشارکت با انجمن تحقیقات امنیتی

Google از دیرباز رابطه نزدیکی با انجمن تحقیقات امنیتی داشته است و Google برای کمک آن‌ها در شناسایی آسیب‌پذیری‌های احتمالی در «پلاتفرم Google Maps» و دیگر محصولات Google ارزش زیادی قائل است. تیم‌های امنیتی ما در فعالیت‌های پژوهشی و اطلاع‌رسانی شرکت می‌کنند تا به انجمن آنلاین کمک کنند. برای مثال، ما Project Zero را اجرا می‌کنیم که تیمی از پژوهشگران امنیتی است که به تحقیق درباره آسیب‌پذیری‌های روز صفر اختصاص دارد. برخی نمونه‌های این پژوهش عبارت‌اند از کشف سوءاستفاده Spectre، سوءاستفاده Meltdown، سوءاستفاده POODLE SSL 3.0، و ضعف‌های مجموعه رمز.

مهندسان و پژوهشگران امنیتی Google به‌طور فعال در انجمن امنیتی دانشگاهی و انجمن پژوهشی حریم خصوصی مشارکت و انتشار می‌کنند. انتشارات مرتبط با امنیت را می‌توانید در سایت Google Research پیدا کنید. تیم‌های امنیتی Google شرح مفصلی از روش‌ها و تجربه‌هایشان را در کتاب ساختن سیستم‌های ایمن و قابل‌اطمینان منتشر کرده‌اند.

برنامه پاداش شناسایی آسیب‌پذیری‌ها ما برای هر آسیب‌پذیری تأییدشده، پاداش‌هایی به ارزش ده‌ها هزار دلار ارائه می‌دهد. این برنامه پژوهشگران را تشویق می‌کند تا مشکلات طراحی و پیاده‌سازی را که ممکن است داده‌های مشتری را درمعرض خطر قرار دهد گزارش کنند. در سال ۲۰۲۴، Google بیش‌از ۱۲ میلیون دلار جایزه نقدی به پژوهشگران اعطا کرد و از زمان آغاز «برنامه پاداش شناسایی آسیب‌پذیری‌ها» در سال ۲۰۱۰، بیش‌از ۶۵ میلیون دلار به این برنامه اختصاص داده است. برای کمک به بهبود امنیت کد منبع‌باز، «برنامه آسیب‌پذیری» طرح‌های متنوعی نیز برای پژوهشگران ارائه می‌دهد. برای کسب اطلاعات بیشتر درباره این برنامه، ازجمله پاداش‌هایی که Google داده است، به آمار کلیدی شکارچیان اِشکال مراجعه کنید.

رمزنگاران تراز اول ما در پروژه‌های رمزنگاری پیشرو در صنعت مشارکت می‌کنند. برای مثال، چارچوب هوش مصنوعی امن (SAIF) را برای کمک به ایمن‌سازی سیستم‌های هوش مصنوعی طراحی کردیم. علاوه‌براین، برای محافظت از اتصال‌های TLS دربرابر حملات رایانه‌های کوانتومی، الگوریتم ترکیبی منحنی بیضوی و پساکوانتومی (CECPQ2) را توسعه دادیم. رمزنگاران ما Tink را توسعه دادند که یک کتابخانه متن‌باز از میاناهای برنامه‌سازی کاربردی رمزنگاری است. ما همچنین از Tink در محصولات و سرویس‌های داخلی خود استفاده می‌کنیم.

برای اطلاعات بیشتر درباره نحوه گزارش کردن مشکلات امنیتی، به نحوه رسیدگی Google به آسیب‌پذیری‌های امنیتی مراجعه کنید.

تیم حریم خصوصی اختصاصی «پلاتفرم Google Maps»

تیم اختصاصی حریم خصوصی به‌طور جداگانه از سازمان‌های توسعه محصول و امنیت فعالیت می‌کند. این تیم از ابتکارات داخلی حریم خصوصی برای بهبود همه بخش‌های حریم خصوصی پشتیبانی می‌کند: فرایندهای حیاتی، ابزارهای داخلی، زیرساخت، و توسعه محصول. تیم حریم خصوصی موارد زیر را انجام می‌دهد:

  • اطمینان حاصل می‌کند که هر راه‌اندازی محصول GMP که بر حریم خصوصی تأثیر می‌گذارد، استانداردهای قوی حریم خصوصی و «طراحی با رعایت حریم خصوصی» را ازطریق ارزیابی اسناد طراحی و بازبینی راه‌اندازی ادغام می‌کند
  • در هر مرحله‌ای از توسعه با تیم‌های محصول GMP مشورت می‌کند تا درباره خط‌مشی رازداری و زیرساخت Google، طراحی حریم خصوصی، فناوری‌ها و کنترل‌های بهبود حریم خصوصی، و ارزیابی و کاهش ریسک حریم خصوصی مشاوره دهد.
  • پس‌از راه‌اندازی محصول، تیم حریم خصوصی بر فرایندهایی که جمع‌آوری و استفاده مناسب از داده‌ها را تأیید می‌کنند نظارت می‌کند.
  • درباره روال‌های مطلوب حریم خصوصی تحقیق می‌کند، در گروه‌های کاری استانداردهای بین‌المللی حریم خصوصی مشارکت می‌کند، و در اجلاس‌ها و کنفرانس‌های دانشگاهی حریم خصوصی شرکت می‌کند. .

آموزش امنیت و حریم خصوصی کارمندان Google

همه کارمندان Google به‌عنوان بخشی از فرایند آشنایی با محیط کار، آموزش‌های امنیتی و حریم خصوصی را می‌گذرانند و درطول دوره کاری خود در Google، آموزش‌های امنیتی و حریم خصوصی مداوم دریافت می‌کنند. درطول دوره آشنایی، کارمندان جدید با منشور اخلاقی ما موافقت می‌کنند که بر تعهد Google به حفظ ایمنی و امنیت اطلاعات مشتری تأکید می‌کند.

بسته به نقش شغلی، ممکن است کارمندان ملزم به گذراندن آموزش‌های تکمیلی درباره جنبه‌های خاصی از امنیت باشند. برای مثال، تیم امنیت اطلاعات به مهندسان جدید درباره روال‌های کدنویسی ایمن، طراحی محصول، و ابزارهای خودکار آزمایش آسیب‌پذیری آموزش می‌دهد. مهندسان در جلسات توجیهی امنیتی منظم شرکت می‌کنند و خبرنامه‌های امنیتی دریافت می‌کنند که تهدیدات جدید، الگوهای حمله، تکنیک‌های کاهش خطر، و موارد دیگر را پوشش می‌دهد.

امنیت و حریم خصوصی حوزه‌ای است که همواره درحال تغییر است و ما می‌دانیم که مشارکت اختصاصی کارمندان ابزاری کلیدی برای افزایش آگاهی است. ما به‌طور منظم کنفرانس‌های داخلی برگزار می‌کنیم که برای همه کارمندان آزاد است تا آگاهی را افزایش دهیم و نوآوری را در امنیت و حریم خصوصی داده‌ها هدایت کنیم. ما رویدادهایی را در دفاتر جهانی برگزار می‌کنیم تا آگاهی درباره امنیت و حریم خصوصی در توسعه نرم‌افزار، مدیریت داده‌ها، و اجرای خط‌مشی را افزایش دهیم.

متخصصان ممیزی داخلی و رعایت مقررات

Google Maps Platform تیم ممیزی داخلی اختصاصی دارد که مطابقت محصولات Google با قوانین و مقررات امنیتی در سراسر جهان را بررسی می‌کند. با ایجاد استانداردهای جدید حسابرسی و به‌روزرسانی استانداردهای موجود، تیم حسابرسی داخلی تعیین می‌کند که چه کنترل‌ها، فرایندها، و سیستم‌هایی برای کمک به برآورده کردن این استانداردها لازم است. این تیم از ممیزی‌ها و ارزیابی‌های مستقل توسط اشخاص ثالث پشتیبانی می‌کند. برای اطلاعات بیشتر، به بخش گواهینامه‌ها و ممیزی‌های امنیتی در ادامه این سند مراجعه کنید.

پلاتفرمی که امنیت در هسته آن ساخته شده است

Google سرورها، سیستم‌عامل‌های اختصاصی، و مراکز داده توزیع‌شده جغرافیایی خود را بااستفاده از اصل دفاع در عمق طراحی می‌کند. «پلاتفرم Google Maps» روی زیرساخت فنی‌ای اجرا می‌شود که برای عملکرد ایمن طراحی و ساخته شده است. ما زیرساخت فناوری اطلاعاتی ایجاد کرده‌ایم که نسبت‌به راهکارهای سنتی‌تر محلی یا میزبانی‌شده، ایمن‌تر است و مدیریت آن آسان‌تر است.

مراکز داده پیشرفته

تمرکز Google بر امنیت و محافظت از داده‌ها یکی از معیارهای اصلی طراحی Google است. امنیت فیزیکی در مراکز داده Google یک مدل امنیتی لایه‌ای است. امنیت فیزیکی شامل اقدامات حفاظتی مانند کارت‌های دسترسی الکترونیکی با طراحی سفارشی، هشدارها، موانع دسترسی خودرو، حصارکشی محیطی، فلزیاب‌ها، و زیست‌سنجشی است. علاوه‌براین، Google برای شناسایی و ردیابی مزاحمان از اقدامات امنیتی مانند تشخیص نفوذ با پرتو لیزر و نظارت شبانه‌روزی با دوربین‌های داخلی و خارجی با وضوح بالا استفاده می‌کند. گزارش‌های دسترسی، سوابق فعالیت، و فیلم‌های دوربین درصورت وقوع حادثه دردسترس هستند. نگهبانان امنیتی باتجربه که تحت بررسی‌های پیشینه و آموزش‌های سخت‌گیرانه قرار گرفته‌اند، به‌طور منظم در مراکز داده Google گشت می‌زنند. هرچه به طبقه مرکز داده نزدیک‌تر می‌شوید، اقدامات امنیتی نیز افزایش می‌یابد. دسترسی به طبقه مرکز داده فقط ازطریق راهروی امنیتی امکان‌پذیر است که کنترل دسترسی چندعاملی را بااستفاده از نشان‌های امنیتی و زیست‌سنجشی اجرا می‌کند. فقط کارمندان تأییدشده با نقش‌های خاص می‌توانند وارد شوند. کمتر از یک درصد از کارمندان Google تا به حال به یکی از مراکز داده Google قدم گذاشته‌اند.

Google مراکز داده را در سراسر جهان اداره می‌کند و برای به‌حداکثر رساندن سرعت و قابلیت اطمینان سرویس‌های خود تلاش می‌کند. زیرساخت آن معمولاً برای ارائه ترافیک از مرکز داده‌ای که نزدیک‌ترین فاصله را به مبدأ ترافیک دارد راه‌اندازی شده است. بنابراین، مکان دقیق داده‌های Google Maps Platform ممکن است بسته به جایی که چنین ترافیکی از آن منشأ می‌گیرد متفاوت باشد، و این داده‌ها ممکن است توسط سرورهای واقع در منطقه اقتصادی اروپا و بریتانیا مدیریت شوند یا به کشورهای ثالث منتقل شوند. پیشنهادهای مشتریان Google که در آن‌ها محصولات «پلاتفرم Google Maps» پیاده‌سازی شده است معمولاً در سراسر جهان دردسترس است و اغلب مخاطبان جهانی را جذب می‌کند. زیرساخت فنی که از این محصولات پشتیبانی می‌کند به‌طور جهانی مستقر شده است تا تأخیر را کاهش دهد و افزونگی سیستم‌ها را تضمین کند. «پلاتفرم Google Maps» از زیرمجموعه‌ای از «شبکه مرکز داده جهانی Google» استفاده می‌کند که در زیر برای مرجع فهرست شده است:

نقشه جهان که مکان‌های مرکز داده را با نقطه‌های آبی نشان می‌دهد

آمریکای شمالی و جنوبی

اروپا

آسیا

تأمین انرژی مراکز داده Google

برای اینکه همه‌چیز به‌صورت شبانه‌روزی کار کند و سرویس‌ها بدون وقفه ارائه شوند، مراکز داده Google سیستم‌های برق اضافی و کنترل‌های محیطی دارند. هر مؤلفه حیاتی دارای یک منبع تغذیه اصلی و یک منبع تغذیه جایگزین است که هرکدام توان برابری دارند. ژنراتورهای پشتیبان می‌توانند برق اضطراری کافی برای راه‌اندازی هر مرکز داده با ظرفیت کامل را فراهم کنند. سیستم‌های سرمایشی دمای عملیاتی ثابتی را برای سرورها و سخت‌افزارهای دیگر حفظ می‌کنند که این امر خطر قطعی سرویس را کاهش می‌دهد و درعین‌حال تأثیرات زیست‌محیطی را به حداقل می‌رساند. تجهیزات تشخیص و مهار آتش به جلوگیری از آسیب سخت‌افزاری کمک می‌کند. آشکارسازهای حرارت، آشکارسازهای آتش، و آشکارسازهای دود، هشدارهای شنیداری و دیداری را در کنسول‌های عملیات امنیتی و میزهای پایش از راه دور فعال می‌کنند.

Google اولین شرکت بزرگ خدمات اینترنتی است که گواهینامه خارجی برای استانداردهای بالای زیست‌محیطی، ایمنی محل کار، و مدیریت انرژی در سراسر مراکز داده Google دریافت کرده است. برای مثال، برای نشان دادن تعهد Google به شیوه‌های مدیریت انرژی، Google گواهینامه‌های داوطلبانه ISO 50001 را برای مراکز داده خود در اروپا دریافت کرد.

سخت‌افزار و نرم‌افزار سرور سفارشی

مراکز داده Google دارای سرورها و تجهیزات شبکه هدف‌ساخته هستند که برخی‌از آن‌ها را Google طراحی می‌کند. درحالی‌که سرورهای Google برای به‌حداکثر رساندن عملکرد، خنک‌سازی، و بهره‌وری انرژی سفارشی‌سازی شده‌اند، برای کمک به محافظت دربرابر حملات نفوذ فیزیکی نیز طراحی شده‌اند. برخلاف اکثر سخت‌افزارهای موجود در بازار، سرورهای Google شامل اجزای غیرضروری مانند کارت‌های گرافیک، مجموعه تراشه‌ها، یا رابط‌های جانبی نیستند، که همه آن‌ها می‌توانند آسیب‌پذیری ایجاد کنند. Google فروشندگان قطعات را بررسی می‌کند و قطعات را با دقت انتخاب می‌کند، و با فروشندگان همکاری می‌کند تا ویژگی‌های امنیتی ارائه‌شده توسط قطعات را بازرسی و اعتبارسنجی کند. Google تراشه‌های سفارشی، مانند Titan، طراحی می‌کند که به ما کمک می‌کند دستگاه‌های قانونی Google را به‌طور ایمن در سطح سخت‌افزار شناسایی و اصالت‌سنجی کنیم، ازجمله کدی که این دستگاه‌ها برای راه‌اندازی استفاده می‌کنند.

منابع سرور به‌صورت پویا اختصاص داده می‌شود. این امر به ما انعطاف‌پذیری لازم برای رشد را می‌دهد و به ما اجازه می‌دهد با افزودن یا تخصیص مجدد منابع، به‌سرعت و به‌طور مؤثر با تقاضای مشتریان سازگار شویم. این محیط همگن توسط نرم‌افزار اختصاصی نگهداری می‌شود که به‌طور مداوم سیستم‌ها را برای تغییرات سطح دودویی نظارت می‌کند. سازوکارهای خودکار و خوداصلاح Google به‌گونه‌ای طراحی شده‌اند که به ما امکان می‌دهند رویدادهای بی‌ثبات‌کننده را نظارت و اصلاح کنیم، اعلان‌های مربوط به حوادث را دریافت کنیم، و از به‌خطر افتادن احتمالی شبکه جلوگیری کنیم.

استقرار سرویس امن

سرویس‌های Google باینری‌های برنامه‌ای هستند که توسعه‌دهندگان Google می‌نویسند و در زیرساخت Google اجرا می‌کنند. برای مدیریت مقیاس موردنیاز حجم کاری، هزاران دستگاه ممکن است درحال اجرای باینری‌های یک سرویس باشند. یک سرویس هماهنگ‌سازی خوشه، به‌نام Borg، سرویس‌هایی را که مستقیماً روی زیرساخت اجرا می‌شوند کنترل می‌کند.

این زیرساخت هیچ‌گونه اعتمادی بین سرویس‌هایی که روی زیرساخت اجرا می‌شوند فرض نمی‌کند. به این مدل اعتماد، مدل امنیتی اعتماد صفر گفته می‌شود. مدل امنیتی اعتماد صفر به این معنی است که هیچ دستگاه یا کاربری به‌طور پیش‌فرض قابل‌اعتماد نیست، چه داخل شبکه باشد و چه خارج از آن.

ازآنجایی‌که زیرساخت به‌صورت چندمستأجری طراحی شده است، داده‌های مشتریان Google (مصرف‌کنندگان، کسب‌وکارها، و حتی داده‌های خود Google) در زیرساخت مشترک توزیع می‌شود. این زیرساخت از ده‌ها هزار دستگاه همگن تشکیل شده است. زیرساخت داده‌های مشتری را در یک دستگاه یا مجموعه‌ای از دستگاه‌ها تفکیک نمی‌کند

ردیابی و امحای سخت‌افزار

Google بااستفاده از رمزینه‌ها و برچسب‌های دارایی، مکان و وضعیت همه تجهیزات را در مراکز داده خود به‌دقت ردیابی می‌کند. Google از فلزیاب و نظارت تصویری استفاده می‌کند تا مطمئن شود هیچ تجهیزاتی بدون مجوز از مرکز داده خارج نمی‌شود. اگر قطعه‌ای در هر نقطه‌ای از چرخه عمر خود نتواند آزمون عملکرد را با موفقیت پشت سر بگذارد، از موجودی حذف و بازنشسته می‌شود.

دستگاه‌های ذخیره‌سازی Google، ازجمله دیسک‌های سخت، درایوهای حالت جامد، و ماژول‌های حافظه خطی دوگانه (DIMM) غیرفرار، از فناوری‌هایی مانند رمزگذاری کامل دیسک (FDE) و قفل کردن درایو برای محافظت از داده‌های غیرفعال استفاده می‌کنند. وقتی دستگاه ذخیره‌سازی از رده خارج می‌شود، افراد مجاز با نوشتن صفر در درایو تأیید می‌کنند که دیسک پاک شده است. آن‌ها همچنین فرایند درستی‌سنجی چندمرحله‌ای را انجام می‌دهند تا مطمئن شوند درایو حاوی هیچ داده‌ای نیست. اگر درایوی به هر دلیلی پاک نشود، به‌طور فیزیکی نابود می‌شود. تخریب فیزیکی بااستفاده از دستگاه خردکن انجام می‌شود که درایو را به قطعات کوچک تقسیم می‌کند و سپس این قطعات در تأسیساتی امن بازیافت می‌شوند. هر مرکز داده از خط‌مشی دفع سخت‌گیرانه‌ای پیروی می‌کند و هرگونه مغایرت بلافاصله رسیدگی می‌شود.

مزایای امنیتی شبکه جهانی Google

در سایر راه‌حل‌های ابری و محلی جغرافیایی-فضایی، داده‌ها بین دستگاه‌ها در سراسر اینترنت عمومی در مسیرهایی که به نام پرش شناخته می‌شوند، حرکت می‌کنند. تعداد جهش‌ها به مسیر بهینه بین ISP مشتری و مرکز داده بستگی دارد. هر پرش اضافی فرصت جدیدی برای حمله به داده‌ها یا رهگیری آن‌ها ایجاد می‌کند. چون شبکه جهانی Google به اکثر رساننده‌های خدمات اینترنتی در جهان متصل است، شبکه Google تعداد جهش‌ها در اینترنت عمومی را محدود می‌کند و بنابراین به محدود کردن دسترسی به آن داده‌ها توسط عوامل مخرب کمک می‌کند.

شبکه Google از چندین لایه دفاعی (دفاع در عمق) برای کمک به محافظت از شبکه دربرابر حملات خارجی استفاده می‌کند. فقط سرویس‌ها و پروتکل‌های مجاز که الزامات امنیتی Google را برآورده می‌کنند اجازه عبور از آن را دارند؛ هر چیز دیگری به‌طور خودکار حذف می‌شود. برای اعمال جداسازی شبکه، Google از دیوار آتش و فهرست‌های کنترل دسترسی استفاده می‌کند. همه ترافیک ازطریق سرورهای Google Front End (GFE) هدایت می‌شود تا به شناسایی و توقف درخواست‌های مخرب و حملات منع سرویس توزیع‌شده (DDoS) کمک کند. گزارش‌ها به‌طور مرتب بررسی می‌شوند تا هرگونه سوءاستفاده از خطاهای برنامه‌نویسی آشکار شود. دسترسی به دستگاه‌های شبکه‌ای فقط به کارمندان مجاز محدود شده است.

زیرساخت جهانی Google به ما امکان می‌دهد Project Shield را اجرا کنیم که محافظت نامحدود و رایگانی را برای وب‌سایت‌هایی فراهم می‌کند که دربرابر حمله‌های منع سرویس توزیع‌شده (DDoS) آسیب‌پذیر هستند. از این حمله‌ها برای سانسور اطلاعات استفاده می‌شود. ‫Project Shield برای وب‌سایت‌های خبری، وب‌سایت‌های حقوق بشر، و وب‌سایت‌های پایش انتخابات دردسترس است.

راه‌حل‌های با تأخیر کم و دردسترس بالا

شبکه داده IP ‏Google از فیبر نوری خودش، فیبر نوری دردسترس عموم، و کابل‌های زیردریایی تشکیل شده است. این شبکه به ما امکان می‌دهد سرویس‌هایی با تأخیر کم و دردسترس بودن بالا در سراسر جهان ارائه دهیم.

Google مؤلفه‌های پلاتفرم خود را به‌گونه‌ای طراحی می‌کند که بسیار افزونه باشند. این افزونگی در طراحی سرور Google، نحوه ذخیره داده‌ها توسط Google، اتصال شبکه و اینترنت، و خود سرویس‌های نرم‌افزاری اعمال می‌شود. این «افزونگی همه‌چیز» شامل رسیدگی به استثنائات است و راه‌حلی ایجاد می‌کند که به یک سرور، مرکز داده، یا اتصال شبکه وابسته نیست.

مراکز داده Google ازنظر جغرافیایی توزیع شده‌اند تا تأثیرات اختلالات منطقه‌ای بر محصولات جهانی را به‌حداقل برسانند، مانند زمانی که بلایای طبیعی یا قطعی‌های محلی رخ می‌دهد. اگر سخت‌افزار، نرم‌افزار، یا شبکه‌ای ازکار بیفتد، سرویس‌های پلاتفرم و صفحات کنترل به‌طور خودکار و سریع از یک مرکز به مرکز دیگر منتقل می‌شوند تا سرویس‌های پلاتفرم بتوانند بدون وقفه ادامه یابند.

زیرساخت بسیار تکراری Google همچنین به شما کمک می‌کند از کسب‌وکارتان دربرابر ازدست رفتن داده‌ها محافظت کنید. سیستم‌های Google به‌گونه‌ای طراحی شده‌اند که زمان ازکارافتادگی یا پنجره‌های تعمیر و نگهداری را برای مواقعی که نیاز به سرویس یا ارتقای پلاتفرم خود داریم، به حداقل برسانند.

امنیت عملیاتی

امنیت بخش جدایی‌ناپذیر عملیات Google است، نه چیزی که بعداً به آن فکر شود. این بخش برنامه‌های مدیریت آسیب‌پذیری Google، برنامه پیشگیری از بدافزار، پایش امنیتی، و برنامه‌های مدیریت حادثه را شرح می‌دهد.

مدیریت آسیب‌پذیری

فرایند مدیریت آسیب‌پذیری داخلی Google به‌طور فعال تهدیدهای امنیتی را در همه پشته‌های فناوری اسکن می‌کند. این فرایند از ترکیبی از ابزارهای تجاری، متن‌باز، و ابزارهای داخلی هدف‌ساخته استفاده می‌کند و شامل موارد زیر است:

  • فرایندهای تضمین کیفیت
  • بازبینی‌های امنیتی نرم‌افزار
  • تلاش‌های نفوذ خودکار و دستی فشرده، ازجمله تمرینات گسترده تیم قرمز
  • تست نفوذ خارجی تکرارشونده برای محصولات «پلاتفرم Google Maps»
  • بازرسی‌های خارجی تکرارشونده

سازمان مدیریت آسیب‌پذیری و شرکای آن مسئول ردیابی و پیگیری آسیب‌پذیری‌ها هستند. ازآنجایی‌که امنیت تنها پس‌از رسیدگی کامل به مشکلات بهبود می‌یابد، خطوط لوله خودکارسازی به‌طور مداوم وضعیت استقرار وصله را برای کاهش آسیب‌پذیری‌ها و پرچم‌گذاری استقرار نادرست یا ناقص ارزیابی می‌کنند.

برای کمک به بهبود قابلیت‌های تشخیص، سازمان مدیریت آسیب‌پذیری بر نشانگرهای باکیفیتی تمرکز می‌کند که نویز را از سیگنال‌هایی که تهدیدهای واقعی را نشان می‌دهند جدا می‌کند. این سازمان همچنین تعامل با صنعت و انجمن متن‌باز را تقویت می‌کند. برای مثال، آن‌ها برنامه پاداش وصله‌های امنیتی را برای اسکنر امنیتی شبکه Tsunami اجرا می‌کنند که به توسعه‌دهندگانی که آشکارسازهای متن‌باز برای آسیب‌پذیری‌ها ایجاد می‌کنند پاداش می‌دهد.

پیشگیری از بدافزار

Google از محافظت‌های بدافزار برای محصولات اصلی ما (مانند Gmail،‏ Google Drive،‏ Google Chrome،‏ YouTube،‏ Google Ads، و «جستجوی Google») که از تکنیک‌های مختلف تشخیص بدافزار استفاده می‌کنند، نگهداری می‌کند. برای کشف پیش‌گیرانه فایل‌های بدافزار، از خزش وب، انفجار فایل، تشخیص ایستا سفارشی، تشخیص پویا، و تشخیص یادگیری ماشین استفاده می‌کنیم. همچنین از چندین موتور ضدویروس استفاده می‌کنیم.

برای کمک به محافظت از کارمندانمان، از قابلیت‌های امنیتی پیشرفته داخلی Chrome Enterprise Premium و ویژگی «مرور ایمن پیشرفته» در Google Chrome استفاده می‌کنیم. این قابلیت‌ها امکان شناسایی پیش‌گیرانه سایت‌های بدافزار و رمزگیری را هنگام مرور وب توسط کارمندان ما فراهم می‌کند. همچنین سخت‌گیرانه‌ترین تنظیمات امنیتی موجود در Google Workspace، مثل «جعبه امن امنیتی Gmail»، را فعال می‌کنیم تا پیوست‌های مشکوک را به‌طور پیش‌گیرانه اسکن کنیم. گزارش‌های این قابلیت‌ها، همان‌طور که در بخش زیر شرح داده شده است، به سیستم‌های پایش امنیتی ما وارد می‌شوند.

پایش امنیتی

برنامه پایش امنیتی Google بر اطلاعاتی متمرکز است که از ترافیک شبکه داخلی، از اقدامات کارمندان در سیستم‌ها، و از دانش خارجی درباره آسیب‌پذیری‌ها جمع‌آوری می‌شود. یکی از اصول اصلی Google این است که همه داده‌های دورسنجی امنیتی را در یک مکان جمع‌آوری و ذخیره کند تا تحلیل امنیتی یکپارچه انجام شود.

در بسیاری از نقاط در سراسر شبکه جهانی Google، ترافیک داخلی ازنظر رفتار مشکوک، مانند وجود ترافیکی که ممکن است نشان‌دهنده اتصالات بات‌نت باشد، بررسی می‌شود. Google از ترکیبی از ابزارهای متن‌باز و تجاری برای ضبط و تجزیه ترافیک استفاده می‌کند تا بتواند این تحلیل را انجام دهد. یک سیستم همبستگی اختصاصی که بر پایه فناوری Google ساخته شده است نیز از این تحلیل پشتیبانی می‌کند. Google با بررسی گزارش‌های سیستم، تجزیه‌وتحلیل شبکه را تکمیل می‌کند تا رفتارهای غیرعادی، مانند تلاش برای دسترسی به داده‌های مشتری، را شناسایی کند.

گروه تحلیل تهدید در Google عاملان تهدید و تکامل تاکتیک‌ها و تکنیک‌های آن‌ها را رصد می‌کند. مهندسان امنیتی Google گزارش‌های امنیتی ورودی را بررسی می‌کنند و فهرست‌های پستی عمومی، پست‌های وبلاگ، و ویکی‌ها را پایش می‌کنند. تجزیه‌وتحلیل خودکار شبکه و تجزیه‌وتحلیل خودکار گزارش‌های سیستم به تعیین زمان وجود تهدید ناشناخته کمک می‌کند. اگر فرایندهای خودکار مشکلی را شناسایی کنند، آن مشکل به کارکنان امنیتی Google ارجاع داده می‌شود.

تشخیص ورود غیرمجاز

‫Google از خطوط لوله پردازش داده پیچیده برای ادغام سیگنال‌های مبتنی بر میزبان در دستگاه‌های جداگانه، سیگنال‌های مبتنی بر شبکه از نقاط نظارت مختلف در زیرساخت، و سیگنال‌های سرویس‌های زیرساخت استفاده می‌کند. قوانین و هوش ماشینی که بر روی این خطوط لوله ساخته شده‌اند، به مهندسان امنیت عملیاتی درباره حوادث احتمالی هشدار می‌دهند. تیم‌های بررسی و پاسخ به حوادث Google به‌صورت شبانه‌روزی و در تمام روزهای سال این حوادث احتمالی را اولویت‌بندی، بررسی، و به آن‌ها پاسخ می‌دهند. ‫Google علاوه‌بر تست نفوذ خارجی، تمرینات Red Team را نیز انجام می‌دهد تا اثربخشی سازوکارهای تشخیص و پاسخ Google را بسنجد و بهبود بخشد.

مدیریت رخداد

Google فرایند مدیریت حادثه دقیقی برای رویدادهای امنیتی دارد که ممکن است بر محرمانگی، یکپارچگی، یا دردسترس بودن سیستم‌ها یا داده‌ها تأثیر بگذارد. برنامه مدیریت حوادث امنیتی Google براساس راهنمای NIST درباره رسیدگی به حوادث (NIST SP 800–61) ساختار یافته است. Google برای اعضای کلیدی کارکنان درزمینه جرم‌شناسی و مدیریت شواهد در آماده‌سازی برای یک رویداد، ازجمله استفاده از ابزارهای شخص ثالث و اختصاصی، آموزش ارائه می‌دهد.

Google طرح‌های پاسخ به حادثه را برای حوزه‌های کلیدی آزمایش می‌کند. این آزمایش‌ها سناریوهای مختلفی را درنظر می‌گیرند، ازجمله تهدیدهای داخلی و آسیب‌پذیری‌های نرم‌افزاری. برای کمک به اطمینان از حل سریع حوادث امنیتی، تیم امنیتی Google به‌صورت شبانه‌روزی دردسترس همه کارمندان است.

برای اطلاعات بیشتر درباره فرایند پاسخ به حادثه داده، به مدیریت حادثه Google Maps Platform مراجعه کنید.

روال‌های توسعه نرم‌افزار

‫Google از محافظت‌های کنترل منبع و بازبینی‌های دوطرفه برای محدود کردن پیش‌گیرانه معرفی آسیب‌پذیری‌ها استفاده می‌کند. Google همچنین کتابخانه‌هایی ارائه می‌دهد که از ایجاد کلاس‌های خاصی از اشکالات امنیتی توسط توسعه‌دهندگان جلوگیری می‌کند. برای مثال، Google کتابخانه‌ها و چارچوب‌هایی دارد که برای حذف آسیب‌پذیری‌های XSS در کیت‌های توسعه نرم‌افزار طراحی شده‌اند. ‫Google همچنین ابزارهای خودکاری برای شناسایی اشکالات امنیتی دارد، مانند فازرها، ابزارهای تحلیل ایستا، و اسکنرهای امنیتی وب.

محافظت از کد منبع

کد منبع Google در مخازنی با یکپارچگی و حاکمیت منبع داخلی ذخیره می‌شود که امکان ممیزی نسخه‌های فعلی و گذشته سرویس را فراهم می‌کند. زیرساخت مستلزم این است که باینری‌های سرویس از کد منبع خاصی ساخته شود که بازبینی، بررسی، و آزمایش شده است. مجوز دودویی برای Borg‏ (BAB) یک بررسی اجرایی داخلی است که هنگام استقرار سرویس انجام می‌شود. BAB کارهای زیر را انجام می‌دهد:

  • اطمینان حاصل می‌کند که نرم‌افزار و پیکربندی تولیدی مستقرشده در Google، به‌ویژه زمانی که آن کد می‌تواند به داده‌های کاربر دسترسی داشته باشد، بازبینی و تأیید شده است
  • اطمینان حاصل می‌کند که استقرار کد و پیکربندی حداقل استانداردهای خاصی را برآورده می‌کند
  • توانایی فرد خودی یا رقیب را برای ایجاد تغییرات مخرب در کد منبع محدود می‌کند و همچنین یک مسیر قانونی از سرویس به منبع آن ارائه می‌دهد.

کاهش خطر داخلی

Google فعالیت‌های کارمندانی را که دسترسی سرپرستی به زیرساخت به آن‌ها اعطا شده است محدود و به‌طور فعال نظارت می‌کند. Google به‌طور مداوم تلاش می‌کند تا بااستفاده از خودکارسازی که می‌تواند همان تکالیف را به‌صورت ایمن و کنترل‌شده انجام دهد، نیاز به دسترسی ممتاز برای تکالیف خاص را ازبین ببرد. برای مثال، Google برای برخی‌از کنش‌ها به تأیید دوطرفه نیاز دارد و Google از میاناهای برنامه‌سازی کاربردی محدودی استفاده می‌کند که امکان اشکال‌زدایی را بدون افشای اطلاعات حساس فراهم می‌کنند.

دسترسی کارمندان Google به اطلاعات کاربر نهایی ازطریق قلاب‌های زیرساخت سطح پایین ثبت می‌شود. تیم امنیتی Google الگوهای دسترسی را پایش می‌کند و رویدادهای غیرعادی را بررسی می‌کند.

آزمایش بازیابی فاجعه - DiRT

Google Maps Platform رویدادهای سالانه، چندروزه، و سراسری «آزمایش بازیابی فاجعه» (DiRT) را اجرا می‌کند تا مطمئن شود که سرویس‌های Google Maps Platform و عملیات کسب‌وکار داخلی درطول فاجعه همچنان اجرا می‌شوند. DiRT برای یافتن آسیب‌پذیری‌ها در سیستم‌های حیاتی ازطریق ایجاد عمدی خرابی‌ها و رفع آن آسیب‌پذیری‌ها قبل‌از وقوع خرابی‌ها به‌صورت کنترل‌نشده توسعه یافته است. DiRT استحکام فنی Google را با ازکار انداختن سیستم‌های فعال آزمایش می‌کند و انعطاف‌پذیری عملیاتی Google را با جلوگیری صریح از مشارکت پرسنل حیاتی، کارشناسان حوزه، و رهبران آزمایش می‌کند. همه سرویس‌های دردسترس عموم باید به‌طور مداوم تحت آزمایش DiRT فعال قرار بگیرند و انعطاف‌پذیری و دردسترس بودن آن‌ها اعتبارسنجی شود.

برای آماده شدن برای تمرین DiRT،‏ Google از مجموعه قوانین ثابتی درخصوص اولویت‌بندی، پروتکل‌های ارتباطی، انتظارات تأثیر، و الزامات طراحی آزمایش، ازجمله طرح‌های بازگشت به وضعیت قبلی که ازقبل بازبینی و تأیید شده‌اند، استفاده می‌کند. تمرین‌ها و سناریوهای DiRT نه‌تنها خرابی‌های فنی را در خود سرویس ایجاد می‌کنند، بلکه می‌توانند شامل خرابی‌های طراحی‌شده در فرایند، دردسترس بودن پرسنل کلیدی، سیستم‌های پشتیبانی، ارتباطات، و دسترسی فیزیکی نیز باشند. DiRT تأیید می‌کند که فرایندهای موجود در عمل واقعاً کار می‌کنند. همچنین تضمین می‌کند که تیم‌ها ازقبل آموزش دیده‌اند و تجربه‌ای دارند که می‌توانند درطول قطعی‌ها، اختلالات، و بلایای واقعی ساخته دست بشر یا طبیعی از آن استفاده کنند.

کنترل‌های امنیتی اصلی

این بخش کنترل‌های امنیتی اصلی را که Google Maps Platform برای محافظت از پلاتفرم خود اجرا می‌کند شرح می‌دهد.

رمزگذاری

رمزگذاری لایه‌ای دفاعی برای محافظت از داده‌ها اضافه می‌کند. رمزگذاری تضمین می‌کند که اگر مهاجمی به داده‌ها دسترسی پیدا کند، نتواند بدون دسترسی به کلیدهای رمزگذاری، داده‌ها را بخواند. حتی اگر مهاجمی به داده‌ها دسترسی پیدا کند (برای مثال، با دسترسی به اتصال سیمی بین مراکز داده یا با سرقت دستگاه ذخیره‌سازی)، نمی‌تواند آن‌ها را بفهمد یا رمزگشایی کند.

رمزگذاری سازوکار مهمی در نحوه کمک Google به محافظت از حریم خصوصی داده‌ها ارائه می‌دهد. این کار به سیستم‌ها اجازه می‌دهد داده‌ها را دستکاری کنند (مثلاً برای پشتیبان‌گیری) و به مهندسان اجازه می‌دهد بدون دسترسی به محتوا برای آن سیستم‌ها یا کارمندان، از زیرساخت Google پشتیبانی کنند.

رمزگذاری در حالت سکون

رمزگذاری «در حالت سکون» در این بخش به‌معنای رمزگذاری‌ای است که برای محافظت از داده‌های ذخیره‌شده در دیسک (ازجمله درایوهای حالت جامد) یا رسانه پشتیبان استفاده می‌شود. داده‌ها در سطح فضای ذخیره‌سازی، معمولاً بااستفاده از AES256 (استاندارد رمزگذاری پیشرفته)، رمزگذاری می‌شوند. داده‌ها اغلب در چندین سطح در پشته ذخیره‌سازی تولید Google در مراکز داده، ازجمله در سطح سخت‌افزار، بدون نیاز به هیچ اقدامی ازسوی مشتریان Google رمزگذاری می‌شوند.

استفاده از چندین لایه رمزگذاری، حفاظت از داده‌های زائد را اضافه می‌کند و به Google اجازه می‌دهد رویکرد بهینه را براساس الزامات برنامه انتخاب کند. Google از کتابخانه‌های رمزنگاری رایج که واحد تأییدشده Google FIPS 140-2 را دربرمی‌گیرد استفاده می‌کند تا رمزگذاری را به‌طور یکسان در محصولات پیاده‌سازی کند. استفاده مداوم از کتابخانه‌های رایج به این معنی است که فقط تیم کوچکی از رمزنگاران باید این کد را که به‌شدت کنترل و بازبینی می‌شود پیاده‌سازی و نگهداری کنند.

محافظت از داده‌ها درحین انتقال

داده‌ها هنگام انتقال در اینترنت ممکن است دربرابر دسترسی غیرمجاز آسیب‌پذیر باشند. «پلاتفرم Google Maps» از رمزگذاری قوی در انتقال بین دستگاه‌ها و شبکه‌های مشتری و سرورهای Google Front End (GFE) متعلق به Google پشتیبانی می‌کند. Google توصیه می‌کند که مشتریان/توسعه‌دهندگان هنگام ایجاد برنامه‌ها، از قوی‌ترین مجموعه رمز پشتیبانی‌شده Google‏ (TLS 1.3) به‌عنوان روال مطلوب استفاده کنند. برخی‌از مشتریان موارد استفاده‌ای دارند که به‌دلایل سازگاری به مجموعه رمزهای قدیمی‌تر نیاز دارد، بنابراین Google Maps Platform از این استانداردهای ضعیف‌تر پشتیبانی می‌کند، اما توصیه نمی‌کند که درصورت امکان از آن‌ها استفاده شود. Google Cloud همچنین گزینه‌های رمزگذاری انتقال اضافی را به شما ارائه می‌دهد، ازجمله Cloud VPN برای ایجاد شبکه‌های خصوصی مجازی بااستفاده از IPsec برای محصولات Google Maps Platform.

محافظت از داده‌ها درحین انتقال بین مراکز داده Google

«امنیت انتقال لایه برنامه» (ALTS) تضمین می‌کند که یکپارچگی ترافیک Google محافظت می‌شود و درصورت نیاز رمزگذاری می‌شود. پس‌از تکمیل پروتکل دست‌دهی بین کارخواه و سرور و مذاکره کارخواه و سرور درباره اسرار رمزنگاری‌شده مشترک لازم برای رمزگذاری و اصالت‌سنجی ترافیک شبکه، ALTS با اجبار به یکپارچگی و بااستفاده از اسرار مشترک مذاکره‌شده، ترافیک RPC (فراخوانی رویه از راه دور) را ایمن می‌کند. Google از چندین پروتکل برای تضمین یکپارچگی پشتیبانی می‌کند، مانند AES-GMAC (استاندارد رمزگذاری پیشرفته)، با کلیدهای ۱۲۸ بیتی. هرگاه ترافیک از مرز فیزیکی تحت کنترل Google یا به‌نمایندگی از Google خارج شود، مثلاً درحال انتقال ازطریق WAN (شبکه گسترده) بین مراکز داده، همه پروتکل‌ها به‌طور خودکار ارتقا می‌یابند تا رمزگذاری و یکپارچگی تضمین شود.

دردسترس بودن سرویس «پلاتفرم Google Maps»

برخی‌از سرویس‌های «پلاتفرم Google Maps» ممکن است در همه مناطق جغرافیایی دردسترس نباشند. برخی‌از اختلالات سرویس موقتی هستند (به‌دلیل رویدادی غیرمنتظره، مانند قطعی شبکه)، اما سایر محدودیت‌های سرویس به‌دلیل محدودیت‌های اعمال‌شده ازسوی دولت دائمی هستند. گزارش شفاف‌سازی و داشبورد وضعیت جامع Google اختلالات اخیر و درحال وقوع در ترافیک سرویس‌های «پلاتفرم Google Maps» را نشان می‌دهد. Google این داده‌ها را برای کمک به شما در تجزیه‌وتحلیل و درک اطلاعات زمان فعال بودن دستگاه Google ارائه می‌دهد.

امنیت سمت کارخواه

امنیت مسئولیتی مشترک بین «رساننده خدمات ابری» و مشتری/شریکی است که محصولات «پلاتفرم Google Maps» را پیاده‌سازی می‌کند. این بخش مسئولیت‌های مشتری/ شریک را که باید هنگام طراحی راه‌حل «پلاتفرم Google Maps» درنظر گرفته شود شرح می‌دهد.

میاناهای برنامه‌سازی کاربردی جاوا اسکریپت

سایت‌های امن

‫Maps JavaScript API مجموعه‌ای از توصیه‌ها را منتشر می‌کند که به مشتری امکان می‌دهد «خط‌مشی امنیتی محتوای» (CSP) سایت خود را به‌دقت تنظیم کند تا از آسیب‌پذیری‌هایی مانند اسکریپت‌نویسی بین‌سایتی، کلیک‌ربایی، و حملات تزریق داده جلوگیری کند. میانای برنامه‌سازی کاربردی جاوا اسکریپت از دو شکل CSP پشتیبانی می‌کند: CSP سخت‌گیرانه بااستفاده از nonce و CSP فهرست مجاز.

جاوا اسکریپت امن

جاوا اسکریپت به‌طور مرتب برای الگوهای ضدامنیتی شناخته‌شده اسکن می‌شود و مشکلات به‌سرعت برطرف می‌شوند. JavaScript API به‌صورت هفتگی یا درصورت بروز مشکل، به‌صورت درخواستی منتشر می‌شود.

امنیت برنامه تلفن همراه (MAS)

«امنیت برنامه تلفن همراه» (MAS) تلاشی باز، چابک، و با مشارکت انبوه است که با مشارکت ده‌ها نویسنده و بازبین از سراسر جهان ایجاد شده است. پروژه پرچم‌دار «امنیت برنامه تلفن همراه» (MAS) در OWASP یک استاندارد امنیتی برای برنامه‌های تلفن همراه (OWASP MASVS) و یک راهنمای جامع آزمایش (OWASP MASTG) ارائه می‌دهد که فرایندها، تکنیک‌ها، و ابزارهای مورداستفاده در آزمایش امنیتی برنامه تلفن همراه را پوشش می‌دهد، و همچنین مجموعه‌ای جامع از موارد آزمایشی را ارائه می‌دهد که به آزمایش‌کنندگان امکان می‌دهد نتایج سازگار و کاملی ارائه دهند.

  • استاندارد درستی‌سنجی امنیت برنامه تلفن همراه OWASP (MASVS) مبنایی برای آزمایش‌های امنیتی کامل و منسجم برای iOS و Android ارائه می‌دهد.
  • راهنمای آزمایش امنیت برنامه تلفن همراه OWASP (MASTG) یک راهنمای جامع است که فرایندها، تکنیک‌ها، و ابزارهای مورداستفاده درطول تجزیه‌وتحلیل امنیت برنامه تلفن همراه را پوشش می‌دهد، و همچنین مجموعه‌ای جامع از چارچوب‌های تست برای درستی‌سنجی الزامات فهرست‌شده در MASVS است.
  • بازبینه امنیت برنامه کاربردی تلفن همراه OWASP حاوی پیوندهایی به چارچوب‌های تست MASTG برای هر کنترل MASVS است.
    • ارزیابی‌های امنیتی / تست‌های نفوذ: مطمئن شوید که حداقل سطح حمله استاندارد را پوشش می‌دهید و شروع به کاوش کنید.
    • رعایت استاندارد: شامل نسخه‌های MASVS و MASTG و شناسه‌های ثبت.
    • مهارت‌های امنیتی تلفن همراه را یاد بگیرید و تمرین کنید.
    • پاداش‌های اشکال: گام‌به‌گام سطح حمله تلفن همراه را پوشش دهید.

توصیه می‌شود از OWASP MAS برای بهبود قابلیت‌های امنیتی، آزمایشی، و اصالت‌سنجی برنامه iOS و Android خود استفاده کنید.

Android

هنگام توسعه برنامه‌های Android، منبع دیگری که باید درنظر بگیرید بهترین روش‌های برنامه انجمن Android است. رهنمودهای امنیتی حاوی راهنمایی‌هایی درباره روال‌های مطلوب برای اجرای ارتباطات امن، تعریف اجازه‌های صحیح، ذخیره‌سازی ایمن داده‌ها، وابستگی‌های سرویس، و موارد دیگر است.

iOS

هنگام توسعه برنامه‌های iOS، مقدمه راهنمای کدنویسی ایمن Apple را درنظر بگیرید که حاوی روال‌های مطلوب برای پلاتفرم iOS است.

جمع‌آوری، استفاده، و نگهداری داده‌ها

Google Maps Platform به شفاف‌سازی درباره جمع‌آوری داده‌ها، استفاده از داده‌ها، و حفظ داده‌ها متعهد است. جمع‌آوری، استفاده، و نگهداری داده‌های «پلاتفرم Google Maps» تابع شرایط خدمات پلاتفرم Google Maps است که شامل خط‌مشی رازداری Google می‌شود.

جمع‌آوری داده‌ها

داده‌ها ازطریق استفاده از «محصولات پلاتفرم Google Maps» جمع‌آوری می‌شود. به‌عنوان مشتری، شما کنترل می‌کنید که چه اطلاعاتی را ازطریق میاناهای برنامه‌سازی کاربردی و کیت‌های توسعه نرم‌افزار به Google Maps Platform منتقل کنید. همه درخواست‌های «پلاتفرم Google Maps» ثبت می‌شوند، که شامل کدهای وضعیت پاسخ از محصول است.

داده‌های ثبت‌شده در «پلاتفرم Google Maps»

«پلاتفرم Google Maps» داده‌ها را در سراسر مجموعه محصولات ثبت می‌کند. گزارش‌ها حاوی چندین ورودی هستند که معمولاً شامل موارد زیر است:

  • شناسه حساب که می‌تواند کلید میانای برنامه‌سازی کاربردی، شناسه کارخواه، یا شماره پروژه ابری باشد. این اطلاعات برای عملیات، پشتیبانی، و صدور صورت‌حساب لازم است.
  • نشانی IP سرور، سرویس، یا دستگاه درخواست‌کننده. برای میاناهای برنامه‌سازی کاربردی، توجه داشته باشید که نشانی IP ارسال‌شده به Google Maps Platform به نحوه پیاده‌سازی فراخوانی میانای برنامه‌سازی کاربردی در برنامه/راه‌حل شما بستگی دارد. برای کیت‌های توسعه نرم‌افزار، نشانی IP دستگاه فراخواننده ثبت می‌شود.
  • نشانی وب درخواست که حاوی میانای برنامه‌سازی کاربردی و پارامترهایی است که به میانای برنامه‌سازی کاربردی ارسال می‌شود. برای مثال، Geocoding API به دو پارامتر (نشانی و کلید API) نیاز دارد. زمین‌کدیابی همچنین دارای تعدادی پارامتر اختیاری است. نشانی وب درخواست حاوی همه پارامترهای ارسال‌شده به سرویس خواهد بود.
  • تاریخ و زمان درخواست.
  • برنامه‌های وب دارای سرایندهای درخواست ثبت‌شده هستند که معمولاً شامل داده‌هایی مانند نوع مرورگر وب و سیستم‌عامل است.
  • برنامه‌های تلفن همراهی که از کیت توسعه نرم‌افزار استفاده می‌کنند (Android و iOS) نسخه، کتابخانه، و نام برنامه را ثبت می‌کنند.

دسترسی به گزارش «پلاتفرم Google Maps»

دسترسی به گزارش‌ها بسیار محدود است و فقط به اعضای خاصی از تیم که نیاز تجاری مشروع دارند اجازه داده می‌شود. هر درخواست دسترسی به فایل‌های گزارش برای اهداف حسابرسی مستند می‌شود که ازطریق حسابرسی‌های شخص ثالث ISO 27001 و SOC 2 ‏Google تأیید می‌شود.

مصرف داده

داده‌های جمع‌آوری‌شده توسط «پلاتفرم Google Maps» برای اهداف زیر استفاده می‌شود:

  • بهبود محصولات و سرویس‌های Google
  • ارائه پشتیبانی فنی به مشتری
  • پایش و هشدار عملیاتی
  • حفظ امنیت پلاتفرم
  • برنامه‌ریزی ظرفیت پلاتفرم

لطفاً توجه داشته باشید که Google اطلاعات شخصی شما را به اشخاص ثالث نمی‌فروشد، همان‌طور که در خط‌مشی رازداری Google مستند شده است.

حفظ و ناشناس‌سازی داده‌ها

داده‌های کاربر جمع‌آوری‌شده در گزارش‌های Google Maps Platform ممکن است برای مدت‌های مختلفی براساس نیازهای کسب‌وکار و تابع خط‌مشی‌های ذخیره‌سازی و نگهداری حفظ شوند. داده‌های کاربر فقط زمانی نگهداری می‌شود که نیاز تجاری مشروعی وجود داشته باشد، و وقتی دیگر برای اهدافی که داده‌ها برای آن‌ها جمع‌آوری شده است لازم نباشد، حذف می‌شود. روش‌های قابل‌قبول حذف به‌طور دقیق تعریف شده‌اند و شامل همه لایه‌ها ازطریق جمع‌آوری زباله می‌شوند. فرایندهای حذف برای اطمینان از رعایت مقررات نظارت و تأیید می‌شوند.

آمار کاربرد ناشناس‌سازی‌شده و انبوهشی که از گزارش‌ها به‌دست می‌آید ممکن است برای مدت طولانی‌تری نگهداری شود. تیم حریم خصوصی همه فرایندهای ناشناس‌سازی داده‌ها را بازبینی می‌کند تا مطمئن شود که از استاندارد فنی کافی برخوردار است و برای برآورده کردن نیازهای حریم خصوصی، محصول، و نظارتی مناسب است.

پشتیبانی از الزامات رعایت مقررات

«پلاتفرم Google Maps» به‌طور مرتب تحت درستی‌سنجی مستقل ایمنی، مطابقت، و کنترل‌های کیفیت قرار می‌گیرد و گواهینامه‌ها، گواهی‌ها، و گزارش‌های ارزیابی را برای نشان دادن مطابقت دریافت می‌کند. استانداردهای بین‌المللی کلیدی که ما براساس آن‌ها حسابرسی می‌شویم عبارتند از:

علاوه‌براین، گزارش‌های SOC 2 و SOC 3 ما برای مشتریانمان دردسترس است. ما همچنین در چارچوب‌های خاص بخش و کشور، مانند NIST 800-53 و TISAX (آلمان) شرکت می‌کنیم.

برای مشاهده فهرست کامل پیشنهادهای مطابقت ما، به مرکز اعتماد امنیتی و مطابقت ما مراجعه کنید.

خلاصه

امنیت معیار اصلی طراحی برای همه زیرساخت‌ها، محصولات، و عملیات Google است. مقیاس عملیات Google و همکاری آن با انجمن تحقیقات امنیتی ما را قادر می‌سازد تا آسیب‌پذیری‌ها را به‌سرعت برطرف کنیم و اغلب به‌طور کامل از آن‌ها جلوگیری کنیم. Google سرویس‌های خودش را، مثل «جستجو»، YouTube، و Gmail، روی همان زیرساختی اجرا می‌کند که دراختیار مشتریانش قرار می‌دهد، و این مشتریان مستقیماً از کنترل‌ها و رویه‌های امنیتی Google بهره‌مند می‌شوند.

‫Google معتقد است که می‌تواند سطحی از محافظت را ارائه دهد که تعداد کمی از ارائه‌دهندگان ابر عمومی یا تیم‌های فناوری اطلاعات سازمانی خصوصی می‌توانند با آن رقابت کنند. چون محافظت از داده‌ها هسته اصلی کسب‌وکار Google است، می‌توانیم سرمایه‌گذاری‌های گسترده‌ای در زمینه امنیت، منابع، و تخصص در مقیاسی انجام دهیم که دیگران نمی‌توانند. سرمایه‌گذاری Google به شما امکان می‌دهد بر کسب‌وکار و نوآوری‌تان تمرکز کنید. ما به سرمایه‌گذاری در پلاتفرم خود ادامه خواهیم داد تا بتوانید به‌طور ایمن و شفاف از سرویس‌های Google بهره‌مند شوید.

مرحله بعدی چیست