Sicurezza e affidabilità di Google Workspace
La protezione dei tuoi dati è la nostra priorità assoluta.
La protezione dei tuoi dati è la nostra priorità assoluta.
Google è un'azienda nata e operante nella cloud: non c'è da stupirsi se capiamo perfettamente le implicazioni relative alla sicurezza legate alla migrazione delle attività aziendali sulla cloud. Google e i suoi servizi aziendali condividono la stessa infrastruttura, perciò la tua organizzazione potrà usufruire delle stesse protezioni che abbiamo creato e utilizziamo ogni giorno. La solida struttura globale, gli esperti di sicurezza dedicati e la spinta all'innovazione fanno sì che Google sia sempre all'avanguardia e offra un ambiente con formidabili caratteristiche di sicurezza, affidabilità e conformità.
Google ha solide conoscenze e competenze leader del settore nella creazione di infrastrutture e applicazioni cloud sicure su larga scala. Molti altri fornitori affermano lo stesso; tuttavia, noi crediamo che la sicurezza e la privacy debbano essere toccate con mano e comprese dai nostri clienti, non riservate agli addetti ai lavori.
In Google, tutti i dipendenti sono tenuti a mettere la sicurezza al primo posto. Per noi lavorano a tempo pieno vari professionisti della sicurezza e della privacy, tra cui alcuni dei maggiori esperti mondiali nel campo della protezione delle informazioni, delle applicazioni e delle reti. Per garantire la protezione continua di Google, la sicurezza è parte integrante dell'intero processo di sviluppo software. È in questo contesto che può collocarsi l'azione di professionisti della sicurezza, che analizzano le architetture proposte ed eseguono revisioni del codice per far emergere eventuali vulnerabilità e migliorare la comprensione dei diversi modelli di attacco a cui possono essere esposti i nuovi prodotti o funzionalità. Se sorgono problemi, il nostro team addetto alla gestione degli incidenti di Google Workspace si impegna a far sì che vengano affrontati con risposte, analisi e soluzioni tempestive, in modo da ridurre al minimo l'interruzione delle attività dei nostri clienti.
Le attività di ricerca e sensibilizzazione di Google proteggono l'intera comunità degli utenti di Internet, non solo chi sceglie le nostre soluzioni. Il nostro team dedicato, chiamato "Project Zero", si occupa a tempo pieno di individuare vulnerabilità ad alto impatto nei prodotti più diffusi di Google e di altri fornitori. Ci impegniamo a fare il nostro lavoro in modo trasparente e a segnalare direttamente i bug ai fornitori di software, evitando il coinvolgimento di terzi.
Da sempre, la sicurezza è una delle massime priorità di Google. Ecco alcuni dei modi in cui abbiamo ridefinito gli standard di sicurezza:
Google è il primo provider cloud globale ad avere adottato la proprietà Perfect Forward Secrecy, che cripta i contenuti durante i trasferimenti tra i nostri server e quelli di altre aziende. Con Perfect Forward Secrecy le chiavi private per le connessioni sono temporanee, il che impedisce la decriptazione retroattiva delle sessioni HTTPS da parte di un antagonista o perfino dall'operatore del server. Molte aziende globali del settore hanno adottato a loro volta questa proprietà o hanno annunciato che lo faranno in futuro.
Ogni singolo messaggio email inviato o ricevuto (il 100% delle email) viene criptato durante il trasferimento tra i data center di Google. In questo modo i tuoi messaggi sono protetti non solo nei trasferimenti tra i tuoi dispositivi e i server di Google, ma anche durante i trasferimenti all'interno di Google. Inoltre, con l'introduzione dell'indicatore TLS, siamo stati i primi a informare gli utenti quando le loro email venivano inviate in maniera non sicura da un provider all'altro.
Per proteggere i dati dai progressi della crittoanalisi, nel 2013 Google ha raddoppiato la lunghezza delle chiavi di crittografia RSA fino a 2048 bit, iniziando inoltre a sostituirle ogni poche settimane e migliorando così la prassi per tutto il settore.
Google Workspace offre agli amministratori controlli a livello aziendale sulla configurazione del sistema e sulle impostazioni delle applicazioni, il tutto in una dashboard che consente di ottimizzare i processi di autenticazione, la protezione delle risorse e il controllo operativo. Puoi utilizzare le funzionalità di Cloud Identity integrate per gestire gli utenti e applicare l'autenticazione a più fattori e i token di sicurezza per rafforzare la protezione. Puoi scegliere la versione di Google Workspace che meglio soddisfa le esigenze della tua azienda in materia di sicurezza.
La verifica in due passaggi riduce considerevolmente il rischio di accessi non autorizzati, poiché richiede agli utenti di fornire un'ulteriore prova della loro identità quando accedono. Un ulteriore livello di protezione per gli account degli utenti è assicurato dall'applicazione del token di sicurezza, che richiede l'utilizzo di una chiave fisica. La chiave, che trasmette una firma criptata, funziona solo con i siti autorizzati e rappresenta un'efficace tutela contro il phishing. Gli amministratori di Google Workspace possono implementare, monitorare e gestire facilmente i token di sicurezza su larga scala direttamente dalla Console di amministrazione, senza dover installare alcun software aggiuntivo.
Le nostre solide funzionalità di machine learning consentono di rilevare possibili accessi sospetti. Se viene rilevato un accesso sospetto, inviamo una notifica agli amministratori, che possono prendere immediatamente le misure necessarie per la protezione degli account.
Grazie al supporto per il Single Sign-On (SSO), Google Workspace offre un accesso unificato ad altre applicazioni cloud aziendali. Il servizio per la gestione di identità e accessi (IAM) mette a disposizione degli amministratori un'area centralizzata in cui gestire le credenziali di tutti gli utenti e gli accessi alle applicazioni cloud.
Google Workspace permette agli amministratori di impostare regole personalizzate che impongono la firma e la crittografia dei messaggi email mediante le Estensioni Secure/Multipurpose Internet Mail (S/MIME). È possibile configurare queste regole in modo da applicare le estensioni S/MIME ai messaggi email in cui vengono rilevati contenuti specifici.
Basato sul modello di sicurezza "zero trust" e sull'implementazione di BeyondCorp di Google, l'accesso sensibile al contesto consente di offrire agli utenti l'accesso protetto senza alcun impatto sulla loro produttività. Permette inoltre di applicare controlli granulari e utilizza un'unica piattaforma sia per le applicazioni cloud e on-premise sia per le risorse infrastrutturali. Con l'accesso sensibile al contesto puoi applicare controlli granulari degli accessi per le applicazioni Google Workspace, in base all'identità dell'utente e al contesto della richiesta.
Il Programma di protezione avanzata di Google è la nostra protezione più efficace per gli utenti a rischio di attacchi online mirati. Con il Programma di protezione avanzata per le imprese applicheremo agli account degli utenti registrati un insieme di robusti criteri di sicurezza, tra cui il blocco dell'accesso alle app non attendibili, i token di sicurezza e la scansione avanzata contro le minacce email.
Gli amministratori di Google Workspace possono configurare un criterio di prevenzione della perdita di dati (DLP) per proteggere le informazioni sensibili in Gmail e Drive. Per semplificare la configurazione, forniamo una libreria di rilevatori di contenuti predefiniti. Ad esempio, una volta attivato il criterio DLP, Gmail può controllare automaticamente tutte le email in uscita per rilevare la presenza di dati sensibili e adottare le misure più appropriate per evitare perdite di dati: mettere l'email in quarantena per ulteriori analisi, chiedere agli utenti di modificare i dati o bloccare l'invio dell'email e inviare una notifica al mittente. Grazie a regole di facile configurazione e al riconoscimento ottico dei caratteri (OCR) per i contenuti inseriti nelle immagini, la funzionalità DLP di Drive facilita il compito degli amministratori, permettendo loro di controllare i file contenenti dati sensibili e impostare regole che avvisano gli utenti e impediscono di condividere esternamente informazioni riservate. Leggi ulteriori informazioni nel nostro libro bianco sulla prevenzione della perdita di dati.
Grazie al machine learning, Gmail offre un livello di precisione del 99,9% nel rilevamento dello spam e blocca messaggi insidiosi di spam e phishing, ovvero quelli che potrebbero essere scambiati per legittimi. In media, meno dello 0,1% delle email nella Posta in arrivo di Gmail è spam ed è ancora meno probabile che le email legittime vengano erroneamente filtrate nella cartella Spam (la probabilità è inferiore allo 0,05%).
Per prevenire i malware, Google esegue automaticamente la scansione antivirus di tutti gli allegati su più motori prima che vengano scaricati dagli utenti. Gmail esegue la ricerca di virus perfino negli allegati in attesa di invio. In questo modo protegge tutti coloro che utilizzano Gmail e impedisce la diffusione dei virus. Gli allegati nei seguenti formati vengono bloccati automaticamente, anche se inclusi come parte di un file compresso: .ADE, .ADP, .BAT, .CHM, .CMD, .COM, .CPL, .EXE, .HTA, .INS, .ISP, .JAR, .JS, .JSE, .LIB, .LNK, .MDE, .MSC, .MSI, .MSP, .MST, .NSH, .PIF, .SCR, .SCT, .SHB, .SYS, .VB, .VBE, .VBS, .VXD, .WSC, .WSF e .WSH.
Google Workspace ricorre largamente al machine learning per proteggere gli utenti dagli attacchi di phishing. I nostri modelli di apprendimento eseguono analisi di similarità tra siti di phishing già classificati e nuovi URL non riconosciuti. Man mano che individuiamo nuovi pattern, ci adattiamo molto più rapidamente di quanto sia possibile fare utilizzando un sistema manuale. Inoltre, Google Workspace consente agli amministratori di imporre l'uso dei token di sicurezza, rendendo così impossibile l'utilizzo di credenziali compromesse a seguito di attacchi di phishing.
Per impedire violazioni del brand a seguito di attacchi di phishing, Google Workspace aderisce allo standard DMARC, che offre ai proprietari di domini la possibilità di decidere in che modo Gmail e altri provider email coinvolti devono gestire le email non autenticate provenienti dal tuo dominio. La definizione di un criterio consente di proteggere gli utenti e la reputazione dell'organizzazione.
La gestione degli endpoint di Google Workspace, completamente integrata, esegue costantemente il monitoraggio del sistema e avvisa in caso di attività sospetta dei dispositivi. Gli amministratori possono applicare criteri per gli endpoint, criptare i dati sui dispositivi, bloccare i dispositivi in caso di furto o smarrimento e cancellarne da remoto i dati.
Il Centro sicurezza di Google Workspace offre una panoramica completa del livello di sicurezza del tuo deployment di Google Workspace. Nel Centro sicurezza sono raccolti dati e analisi sulla sicurezza, consigli basati sulle best practice e una correzione integrata che ti permettono di proteggere i dati, i dispositivi della tua organizzazione e gli utenti.
Nell'ambito dei controlli di autenticazione, gli amministratori acquistano visibilità e controllo sulle applicazioni di terze parti sfruttando il protocollo OAuth per l'autenticazione e l'accesso ai dati aziendali. L'accesso OAuth può essere disattivato a livello granulare ed è possibile autorizzare applicazioni di terze parti accuratamente selezionate.
In Drive, offriamo la gestione dei diritti sulle informazioni (IRM) per consentire agli amministratori di tenere sotto controllo i dati sensibili. Gli amministratori e gli utenti possono disattivare le funzioni di download, stampa e copia dei file dal menu di condivisione avanzata, nonché impostare date di scadenza per l'accesso ai file.
Il Centro avvisi per Google Workspace offre agli amministratori un nuovo modo di visualizzare notifiche, avvisi e azioni essenziali in Google Workspace. Le informazioni su questi potenziali avvisi possono essere utili agli amministratori per valutare l'esposizione della loro organizzazione a problemi di sicurezza. Le soluzioni di correzione integrate nel Centro sicurezza rappresentano un modo efficace per risolvere questi problemi.
Molte organizzazioni sfruttano la potenza dei nostri data center distribuiti per ottimizzare al massimo i principali vantaggi, come la latenza minima e l'ottima geo-ridondanza. Tuttavia, per le organizzazioni con requisiti di controllo particolarmente severi, le aree geografiche dati di Google Workspace consentono di scegliere dove archiviare come inattivi determinati dati coperti dal servizio: negli Stati Uniti, in Europa o distribuiti globalmente.
Google Workspace è stato progettato appositamente per soddisfare severi standard in materia di privacy e sicurezza, basandosi sulle best practice del settore. Oltre ai forti impegni contrattuali assunti in relazione alla proprietà e all'utilizzo dei dati, nonché in materia di sicurezza, trasparenza e affidabilità, Google offre gli strumenti necessari per rispondere ai requisiti di conformità e reporting delle aziende.
I nostri clienti e le autorità di regolamentazione si aspettano che conduciamo verifiche indipendenti relative ai nostri controlli di sicurezza, privacy e conformità. Per rispondere a queste aspettative, ci sottoponiamo a diversi controlli periodici indipendenti condotti da terze parti.
ISO/IEC 27001 è uno degli standard di sicurezza indipendenti più ampiamente riconosciuti e accettati. Google ha ottenuto la certificazione ISO/IEC 27001 per i sistemi, le tecnologie, i processi e i data center che utilizzano Google Workspace. Visualizza il nostro certificato ISO/IEC 27001.
ISO/IEC 27017 è uno standard internazionale che definisce le prassi per i controlli della sicurezza delle informazioni, basato su ISO/IEC 27002 e specifico per i servizi cloud. La nostra conformità a questo standard internazionale è stata certificata da Ernst & Young CertifyPoint, un organismo di certificazione ISO riconosciuto dal Dutch Accreditation Council (membro dell'International Accreditation Forum o IAF). Visualizza il nostro certificato ISO/IEC 27017.
La conformità di Google Workspace a ISO/IEC 27018:2014 conferma il nostro impegno al rispetto degli standard internazionali in materia di privacy e protezione dei dati. Le disposizioni delle linee guida ISO/IEC 27018 includono: il divieto di utilizzare i tuoi dati a scopi pubblicitari, la garanzia che i tuoi dati presenti nei servizi di Google Workspace rimangano di tua proprietà, l'offerta di strumenti che ti consentano di eliminare e di esportare i tuoi dati, la protezione delle tue informazioni da richieste di accesso di terze parti e la trasparenza relativamente alla località in cui i tuoi dati sono archiviati. Visualizza il nostro certificato ISO/IEC 27018.
Il framework relativo agli audit SOC 2 (Service Organization Controls) e SOC 3 dell'American Institute of Certified Public Accountants (AICPA) si basa sui propri principi fondamentali e criteri relativi a sicurezza, disponibilità, integrità di elaborazione e riservatezza dei dati. Google ha ottenuto i report SOC 2 e SOC 3. Scarica il nostro report SOC 3.
I prodotti Google Workspace sono conformi ai requisiti FedRAMP (Federal Risk and Authorization Management Program). FedRAMP è lo standard di sicurezza cloud del governo statunitense. L'utilizzo di Google Workspace da parte delle agenzie federali è consentito per i dati classificati come aventi un livello di impatto moderato ("Moderate"), tra cui le informazioni di identificazione personale ("PII") e le informazioni non classificate controllate ("Controlled Unclassified Information"). Inoltre, Google Workspace è stato valutato come appropriato per l'uso in base agli UK Security Principles (principi relativi alla sicurezza del governo britannico) per le informazioni riservate classificate come ufficiali ("OFFICIAL", incluse le informazioni "OFFICIAL SENSITIVE"). Per maggiori dettagli sulla conformità di prodotti e servizi, visita la pagina FedRAMP sui servizi Google.
I clienti di Google Workspace soggetti alla conformità allo standard PCI DSS (Payment Card Industry Data Security Standard) possono configurare un criterio per la prevenzione della perdita di dati (DLP) che impedisce l'invio da Google Workspace di email contenenti dati di carte di pagamento. Per quanto riguarda Drive, è possibile configurare Vault in modo che esegua controlli per accertare che non vengano memorizzati dati dei titolari di carte di pagamento.
Il FISC (Center for Financial Industry Information Systems) è una fondazione legalmente costituita con finalità di interesse pubblico incaricata di condurre ricerche su tecnologia, utilizzazione, controllo e difesa dalle minacce in relazione ai sistemi informatici finanziari del Giappone. Uno dei documenti principali creati dall'organizzazione sono le linee guida "FISC Security Guidelines on Computer Systems for Banking and Related Financial Institutions", in cui vengono descritti controlli relativi a strutture, operazioni e infrastruttura tecnica. Google ha sviluppato una guida che consente ai clienti di comprendere in che modo l'ambiente di controllo di Google è allineato alle linee guida FISC. La maggior parte dei controlli descritti nella guida rientra nei nostri programmi di conformità sottoposti ad audit di terze parti, tra cui le certificazioni ISO/IEC 27001, ISO/IEC 27017 e ISO/IEC 27018. Visualizza la nostra risposta ai controlli FISC. Per ulteriori informazioni, contatta l'ufficio vendite.
Il regime di accreditamento ENS (Esquema Nacional de Seguridad) della Spagna è stato sviluppato da ENAC (Entidad Nacional de Acreditación) in stretta collaborazione con il Ministero delle Finanze e dalle Pubblica Amministrazione e il CCN (Centro Criptológico Nacional). Istituito nel quadro del Real Decreto 3/2010 (modificato dal Decreto 951/2015), l'ENS ha il compito di stabilire principi e requisiti volti ad assicurare un'adeguata protezione delle informazioni per le entità pubbliche della Spagna. Google Cloud (GCP e Google Workspace) è stato dichiarato conforme ai requisiti con un grado di adeguatezza elevato.
Google Workspace supporta la conformità dei propri clienti alla normativa HIPAA (Health Insurance Portability and Accountability Act) degli Stati Uniti, che regola la salvaguardia, l'utilizzo e la divulgazione di dati sanitari protetti (PHI, Protected Health Information). I clienti soggetti alla normativa HIPAA che desiderano utilizzare Google Workspace per elaborare o archiviare dati sanitari protetti (PHI) possono sottoscrivere un contratto di società in affari con Google. Leggi informazioni più approfondite sulla conformità HIPAA per Google Workspace.
Google Workspace rispetta le raccomandazioni in materia di protezione dei dati del gruppo di lavoro articolo 29 e mantiene la conformità alle Clausole contrattuali tipo dell'UE attraverso l'Addendum per il trattamento dei dati Cloud, la Divulgazione dei propri sub-responsabili e le Clausole contrattuali tipo dell'UE. Inoltre, Google agisce nel rispetto del Privacy Shield (scudo per la privacy) e consente la Portabilità dei dati, in virtù della quale gli amministratori possono esportare dati in formati standard senza costi aggiuntivi.
In Google Workspace promuoviamo le iniziative che danno la priorità alla sicurezza e alla privacy dei dati degli utenti, allo scopo di migliorarle. Abbiamo aggiornato il nostro Addendum per il trattamento dei dati Cloud per far sì che i clienti di Google Workspace possano utilizzare in tranquillità i nostri servizi dopo l'entrata in vigore del GDPR. Abbiamo inoltre implementato criteri, processi e controlli rigorosi mediante il nostro Addendum per il trattamento dei dati Cloud e le Clausole contrattuali tipo. Con questi accordi ci impegniamo a rispettare le obbligazioni a cui siamo soggetti in base al GDPR riguardo al trattamento che attuiamo per conto dei nostri clienti e abbiamo lavorato a stretto contatto con le Autorità europee competenti per la protezione dei dati personali per rispondere alle loro aspettative. Scopri di più.
Milioni di studenti utilizzano G Suite for Education. I servizi di Google Workspace sono conformi alle norme FERPA (Family Educational Rights and Privacy Act). Il nostro impegno per l'osservanza della conformità a tali norme è espresso nei nostri contratti.
La protezione dei bambini online è molto importante per noi. Richiediamo contrattualmente alle scuole che utilizzano G Suite for Education di ottenere il consenso dei genitori come richiesto dalla normativa COPPA degli Stati Uniti (Children’s Online Privacy Protection Act, 1998) e i nostri servizi possono essere utilizzati nel rispetto del COPPA.
Google fornisce funzionalità di prodotto e prevede impegni contrattuali al fine di facilitare la conformità dei clienti alla normativa sudafricana POPI (Protection of Personal Information). I clienti soggetti a questa normativa possono sottoscrivere un Addendum per il trattamento dei dati Cloud per stabilire in che modo i loro dati vengono memorizzati, trattati e protetti.
Vault ti consente di conservare, cercare ed esportare i dati della tua organizzazione da applicazioni selezionate di Google Workspace. Vault è interamente basato sul Web, quindi non è necessario installare o gestire altro software.
Vault ti permette di esportare dati di applicazioni selezionate di Google Workspace in formati standard a fini di ulteriore revisione ed elaborazione, il tutto in modo conforme agli standard di legge e nel rispetto delle linee guida della catena di custodia.
Gli strumenti di monitoraggio di Google Workspace consentono agli amministratori di analizzare i messaggi email per rilevare la presenza di pattern alfanumerici e contenuti discutibili. Gli amministratori possono creare regole sia per rifiutare le email corrispondenti prima che raggiungano i destinatari previsti sia per consegnarle dopo avervi apportato modifiche.
Semplici report interattivi consentono di valutare l'esposizione della tua organizzazione a problemi di sicurezza a livello di dominio e di singoli utenti. Una raccolta di interfacce di programmazione delle applicazioni (API) amplia le funzionalità disponibili e consente di creare strumenti di sicurezza personalizzati per il tuo ambiente. Puoi migliorare il tuo livello di sicurezza grazie alla visibilità sul modo in cui gli utenti condividono i dati, sulle applicazioni di terze parti installate e sull'effettiva implementazione di misure di sicurezza adeguate, come la verifica in due passaggi.
Google Workspace consente agli amministratori di monitorare le azioni degli utenti e di configurare avvisi interni personalizzati. Il monitoraggio copre la Console di amministrazione, Gmail, Drive, Calendar, Gruppi, i dispositivi mobili e le autorizzazioni per le applicazioni di terze parti. Ad esempio, è possibile inviare una notifica agli amministratori se viene scaricato un file contrassegnato o se un file contenente la parola "Riservato" viene condiviso all'esterno dell'organizzazione.
Grazie a BigQuery, il data warehouse aziendale di Google per l'analisi di dati su larga scala, puoi analizzare i log di Gmail mediante sofisticate query personalizzate ad alte prestazioni e sfruttare strumenti di terze parti per analisi più approfondite.
La trasparenza fa parte del DNA di Google. Ci impegniamo al massimo per guadagnare e mantenere la fiducia dei nostri clienti attraverso la trasparenza. I dati appartengono al cliente, non a Google. Google non vende i dati dei propri clienti a terze parti, non mostra pubblicità in Google Workspace e non raccoglie né utilizza mai i dati dei servizi di Google Workspace a scopi pubblicitari.
Google non raccoglie né analizza o utilizza i dati dei servizi di Google Workspace a fini pubblicitari e non mostra annunci in Google Workspace. Utilizziamo i tuoi dati per fornire i servizi di Google Workspace e per il supporto del sistema, ad esempio per filtrare spam, rilevare virus, eseguire il controllo ortografico, pianificare la capacità, instradare il traffico e consentire la ricerca di email e file nell'ambito di un singolo account.
I dati che le aziende, le scuole e le agenzie governative inseriscono nei servizi di Google Workspace non appartengono a Google. Che si tratti di proprietà intellettuale aziendale, informazioni personali o compiti a casa, Google non è proprietaria dei dati e non li vende a terze parti.
La trasparenza degli accessi sostiene il nostro impegno per mantenere la fiducia dei nostri clienti fornendoti log granulari delle azioni intraprese dal personale Google in cui è indicato il motivo di ogni accesso, inclusi eventuali riferimenti a richieste di assistenza specifiche, se pertinenti.
Google Workspace offre un accordo sul livello del servizio del 99,9%. Inoltre, Google Workspace non prevede tempi di inattività programmati o periodi di manutenzione. A differenza della maggior parte dei provider, prevediamo una disponibilità ininterrotta per le nostre applicazioni, anche durante gli upgrade dei servizi o gli interventi di manutenzione dei sistemi.
Ci impegniamo a fornirti informazioni sui nostri sistemi e i nostri processi, dalle panoramiche sul rendimento in tempo reale ai risultati di un controllo sulla gestione dei dati o l'ubicazione dei nostri data center. I dati appartengono a te e noi vogliamo essere certi che siano sotto il tuo controllo. Puoi eliminarli o esportarli in qualsiasi momento. Pubblichiamo regolarmente Rapporti sulla trasparenza che illustrano in dettaglio il modo in cui i governi e altre parti possono influire sulla tua sicurezza e la tua privacy online. Riteniamo giusto che tutti ne siano consapevoli e nel corso del tempo abbiamo dimostrato il nostro impegno nel tenere informati gli utenti e nel difendere i loro diritti.