G Suite přehled zabezpečení nejen pro GDPR

Free účet je fajn, ale je pro vás opravdu výhodou?

Víte, proč zájemcům nedoporučuji free verzi kancelářských aplikací Google? Přesně pro tyto následující důvody.

• Není možné propojení s vlastní doménou, což může být problémem pro poštovní službu. Myslíte, že e-mailová adresa <cokoli>@gmail.com pomůže vašemu podnikání, profesionalitě a důvěryhodnosti?

• Data nahraná na free účty nejsou „úplně” vaše, viz. odstavec z podmínek Google free služby. Opravdu chcete Google svěřit až taková práva na používání?

When you upload, submit, store, send or receive content to or through our Services, you give Google (and those we work with) a worldwide license to use, host, store, reproduce, modify, create derivative works (such as those resulting from translations, adaptations or other changes we make so that your content works better with our Services), communicate, publish, publicly perform, publicly display and distribute such content.

• Pokud nemáte free účet dobře nastaven, vždy vám hrozí ztráta přístupu k datům a službám při ztrátě nebo zneužití vašeho hesla. Upřímně, několikrát jsem to u postižených, dovolte mi to říci expresivně, „zoufalců” zažil. Na druhé straně jsem dokázal vytáhnout doslova klienty ze šlamastiky díky placené G Suite verzi (klíčem a radou pro majitele placených G Suite služeb je střežení vlastnictví k propojené doméně).
• U free služby nepočítejte s podporou, případně jen s omezenou. Ta často disponuje nižší kvalitou služeb viz. SLA, s nižší velikostí úložiště, atd.

Jak je na tom placená služba Google aplikací G Suite?

S placenou verzí G Suite jste na tom mnohem lépe. Data jsou prostě jen vaše. Podívejme se nejdříve na jednu zmínku ze stránky podpory k placeným Google službám G Suite.

Ernst & Young, an independent auditor, has verified that our privacy practices and contractual commitments for G Suite and G Suite for Education comply with ISO/IEC 27018:2014. For example:

• We do not use your data for advertising
• The data that you entrust with us remains yours
• We provide you with tools to delete and export your data
• We are transparent about where your data is stored

Dle specifikace v G Suite Agreement přímo nalezneme následující informaci:

Intellectual Property Rights.

Except as expressly set forth herein, this Agreement does not grant either party any rights, implied or otherwise, to the other’s content or any of the other’s intellectual property. As between the parties, Customer owns all Intellectual Property Rights in Customer Data, and Google owns all Intellectual Property Rights in the Services.

Jednoduše řečeno, vy jako zákazník vlastníte veškeré duševní vlastnictví k datům a Google je nemůže poskytnout další potenciální straně nebo subjektu. Google pak vlastní všechna práva duševního vlastnictví ke svým službám.

Google G Suite jako služba splňuje následující certifikace:

• SOC1™ (SSAE-16/ISAE-3402) – G Suite , Google Compute Engine, Google Cloud Storage, Google App Engine
• SOC2™ – G Suite, Google Compute Engine, Google Cloud Storage, Google App Engine
• SOC3™ – G Suite, Google Compute Engine, Google Cloud Storage, Google App Engine
• ISO27001 – for G Suite and Google Cloud Platform
• ISO27017 – for G Suite and Google Cloud Platform
• ISO 27018 – for G Suite and Google Cloud Platform
• HIPAA – G Suite, Google Compute Engine, Google Cloud Storage, Google Big Query, Google Cloud SQL
• FISMA – Google App Engine, G Suite
• FEDRAMP – Google App Engine, G Suite

Dobré zprávy pokračují, kamínek do mozaiky vaší bezpečnosti

Google ve službě G Suite šifruje ukládaná data (v datovém centru Google) stejně jako veškerá přenášená data (tj. spojení od vás do datového centra Google).

Princip šifrování při ukládání dat v prostředí G Suite

Google při ukládání obsahu data rozřeže na jednotlivé dílčí části nazývané „chunks” a ty opatří jedinečným ID. Data, respektive jejich dílčí části „chunks” šifruje při ukládání. Šifrovací klíč je rozdílný („chunks encryption key”) a je navíc spřažen s ACL (oprávnění k přístupu) pro každou část naporcovaných „chunks”.

Každá rozřezaná část souboru je šifrovaná jiným klíčem, používá se 128 bitová šifra AES.

ACL pak zajišťuje, že dekrypci (dešifrování) mohou vykonat pouze povolené služby, uživatelé, případně pověření autorizovaní Google pracovníci.

Aby toho nebylo málo, každý „chunks encryption key” se ještě šifruje pomocí dalšího tzv. hlavního klíče – Google používá termín „balícího klíče”. Ten je spravován Google službou s názvem KMS (key management service). Ta se stará jak o enkrypci (šifrování) tak i dekrypci (dešifrování).

Pro dešifrování dat potřebujete jak „hlavní klíč”, tak právě i všechny „chunks encryption key”. Navíc musíte splňovat ACL (tj. laicky řečeno být na seznamu oprávněných přístupů).

To však není zdaleka vše. Google pravidelně oba dva klíče, jak hlavní, tak i „chunks encryption key”, pravidelně obměňuje. U hlavního klíče se udává doba obnovy 90 dní.

Co se konkrétně šifruje?

• Gmail zprávy a přílohy
• Google disk veškeré ukládané soubory s možnou výjimkou videa obsahu
• Google dokumenty vše vyjma vloženého obsahu např. Youtube
• Google tabulky vše vyjma vloženého obsahu např. Youtube
• Google prezentace vše vyjma vloženého obsahu např. Youtube
• Kalendář události a popis událostí
• Kontakty a veškerý jejich obsah

Distribuce dat, co vám Google úložiště pomáhá řešit?

Ukládání dat na úložiště Google Drive vám přináší mnoho výhod, jako je přístup z jakéhokoli místa, mobilitu, bezpečí, ale také vysokou dostupnost dat. Služba G Suite je navržená tak, aby ustála výpadek datového centra. Ve své podstatě to znamená, že krom rozřezání dat a šifrování jednotlivých „chunks”, dochází k jejich duplikaci mezi datová centra služby G Suite. Pro zajímavost se podívejte na provozovaná datová centra společnosti Google. Jaká z nich využívá služba G Suite však není zveřejněno.

Šifrování dat na cestě od Google k vám a naopak

Google používá pro šifrování mezi uživatelem (respektive browserem) a Google G Suite službami 2048 bitovou RSA šifru, P-256 ECDSA SSL certifikát vydaný důvěryhodnou autoritou (v současné době Google Internet Authority G2). Konkrétní způsob šifrování je závislý na uživatelském prostředí.

Google servery podporují Diffie-Hellman protokol s využitím eliptických křivek pro výměnu šifrovacích klíčů, které jsou následně podepsány RSA a ECDSA (“ECDHE_RSA” a “ECDHE_ECDSA”).

Pro zvýšení zabezpečení se klíče obměňují nejméně jednou denně.

Google servery generují pomocí Diffie-Hellman algoritmu veřejný klíč pro každou session (česky se používá také termín sezení), podepisují tento klíč a zároveň opět pomocí Diffie-Hellman protokolu generují soukromé klíče pro obě strany komunikace (server, browser).

To je důležitý fakt, neboť každá session mezi prohlížečem a Google serverem je šifrována rozdílnými veřejnými klíči.

Šifrovací protokoly a šifry podporované společností Google

• Protokoly TLS 1.2, TLS 1.1, TLS 1.0, SSL 3.0 (nedoporučuje se), QUIC
• Šifry ECDHE_RSA s AES, ECDHE_RSA s 3DES, ECDHE_ECDSA, RSA s AES, RSA s 3DES, RSA s RC4
• Podepisování klíčů RSA 2048, ECDSA P-256
• Hash funkce SHA384, SHA256, SHA1, MD5

Sbírejte další kamínky do mozaiky jménem bezpečnost

Google na speciální stránce s názvem Transparency report zveřejňuje informace, jak přijímá a řeší žádosti o přístup k informacím, datům (vládní struktury, legislativní orgány a soudy). Můžeme se podívat, kolik žádostí Google přijal a jak na žádosti reagoval.

Je patrné, že s rozšířením G Suite řešení v České republice roste i počet žádostí o přístup k informacím. V roce 2012 bylo přijato 44 žádostí, v roce 2016 to bylo již 337 žádostí. Ne všem žádostem bylo vyhověno, např. se dočteme, že v roce 2016 bylo uspokojeno cca 60% žádostí. Z reportu není patrné, o jaké informace šlo (přístup k datům, přístup k základním informací atd.) a proč k nim došlo (trestná činnost, právní řízení, porušení autorských práv atd.).

Doporučuji vám také přečíst pravidla, jak tyto případy Google řeší.

Google o Transparency reportu říká:

“Zveřejňujeme informace o počtu a typu žádostí, které obdržíme od vlád, soudů a zainteresovaných stran v občansko-právních sporech. Tyto informace zveřejňujeme, abychom osvětlili dopad vládních opatření na uživatele a na volný tok informací na internetu.”

Podobný report poskytuje například společnost Microsoft. Microsoft uvádí i typ žádostí o přístup k datům. To je poměrně zajímavé, protože porovnáním a analýzou uvedených reportů můžeme dojít k zajímavým informacím. Ale o tom možná v jiném článku.

Data v bezpečí, nezbytnost zálohy i pro data v Cloudu

Data ve službě G Suite jsou zabezpečená nejen proti výpadku jednotlivých technologií, ale i na výpadek datového centra. Vybudování podobné IT architektury by vás stálo nemálo finančních prostředků.

Jak je řešena problematika například náhodného vymazání, přepsání dat uživatelem, chybou aplikace nebo škodlivého kódu? Google disk umožňuje verzování dokumentů. Pokud jako vlastník vymažete data, obnovu můžete provést z koše, který se automaticky „nevysypává” (na rozdíl od služby Gmail, kde jsou z koše vymazány e-maily starší 30 dnů). To je skvělé z pohledu ochrany dat. Osobně jsem však přesvědčen o nutnosti dalšího systému zálohování.

Na svém blogu a v článku s názvem Jak jednoduše na Google formuláře se mimo jiné uživatelů ptám na nutnost zálohování dat ukládaných v Cloudu. Pouze 33% uživatelů si myslí, že je nutné data zálohovat.

Data ukládaná na Google Cloud můžete zálohovat např:

• Google Takeout, naznačeno např. v článku Jak na zálohu poznámek v Google Keep?
• Pomocí nástrojů třetích stran, osobně používám Spanning Backup, jak se dočtete v článku Záloha Google G Suite pomocí Spanning Backup
• Pomocí vlastního řešení

[cs_space size=“30px“]

Spamové, antivirové řešení? Co vše Google řeší za vás?

Spamový filtr v Gmailu

Jedná se o řešení, kdy uživatel nemusí nic instalovat ani nastavovat. Řešení je poskytované v rámci placené služby G Suite a je dle mého názoru velice účinné.

Google pro svůj spam filtr používá prvky umělé inteligence. Uvádí, že pouhé 0,1% spamu dorazí do uživatelovy poštovní schránky. Na druhé straně méně než 0.05% zpráv, které uživatel nepovažuje za spam, je zachyceno jako spam.

To jsou opravdu skvělé výsledky.

Antivirové řešení v G Suite

Google G Suite má integrované antivirové řešení. Jako nejčastější vektor šíření nákazy Google vyhodnocuje e-mailové zprávy. Z tohoto důvodu má Google Gmail striktnější zabezpečení.

Pravidla antivirové ochrany v Google Gmail

• Odmítnutí zprávy a upozornění odesílatele pokud je v e-mailu detekována virová nákaza
• Zpráva se z Gmailu neodešle, pokud obsahuje virus
• Příloha se nestáhne, pokud obsahuje virové nebezpečí

Google používá heuristickou analýzu a strojové učení k zabránění šíření virové nákazy. Gmail nedovoluje odeslání, stažení přílohy v nepovolenému formátu, stejně tak pokud jsou uvedené typy komprimované nebo zaheslované.

Nepovolené formáty:

.ADE, .ADP, .BAT, .CHM, .CMD, .COM, .CPL, .EXE, .HTA, .INS, .ISP, .JAR, .JS(NEW), .JSE, .LIB, .LNK, .MDE, .MSC, .MSI, .MSP, .MST, .NSH .PIF, .SCR, .SCT, .SHB, .SYS, .VB, .VBE, .VBS, .VXD, .WSC, .WSF, .WSH

Pravidla antivirové ochrany pro Google disk

Pro data ukládaná na úložiště Google disk neplatí omezení ukládání dat v nepovoleném formátu. Data jsou skenována na přítomnost viru před tím, než dojde ke stažení nebo sdílení. Skenovány jsou však soubory menší než 30MB. U větších souborů jste upozorněni, že data nebudou skenována.

Google tvrdí, že pokud používáte data v Cloudu, rozumějte přes webové rozhraní, nebezpečí vám přímo nehrozí. Z tohoto titulu nedoporučuje používat synchronizačního klienta Google disk. Stejně tak platí, že veškeré API přístupy neprochází antivirovou kontrolou.

Uživatelé s Chromebook systémy jsou „zatím” dostatečně chráněni. Pro ostatní uživatele (speciálně Windows uživatele) a to i v případě nepoužívání synchronizačního klienta Google disk striktně doporučuje používání odpovídající antivirové ochrany.

Víte, jak můžete zabránit úniku dat? DLP

DLP je systém na ochranu před ztrátou citlivých dat. Google DLP zavedl nejprve pro službu Gmail v balíčku G Suite Business.

V současné době Google systém DLP rozšířil i na diskové úložiště Google Drive. Bohužel následně DLP odebral z balíčku předplatného G Suite Business a vložil ho do nového tarifu s názvem G Suite Enterprise (pro zajímavost, cena v tomto tarifu začíná na 23 Euro za uživatele a měsíc).

Pro nastavení DLP definujete pravidla, jaké údaje jsou pro vás citlivé např. čísla kreditních karet. Tato pravidla pak aplikujete na vybrané uživatele.

Nová regulatorní opatření, GDPR

Pro uživatele placeného tarifu G Suite platí, že se Google zavázal dodržovat GDPR opatření. Pro názornost uvádím citaci z dokumentu
Google Cloud: Our Commitment to the General Data Protection Regulation (GDPR).

Our users can count on the fact that Google is committed to GDPR compliance across G Suite and Google Cloud Platform (GCP) services when the GDPR takes effect on May 25, 2018.

Google garantuje, že bude v souladu s GDPR nařízením. To pro vás, jako koncové uživatele bude další přidaná hodnota služby G Suite. A to bez ohledu na to, jak se vás bude problematika GDPR dotýkat. Myslím si, že právě „velcí“ dodavatelé služeb budou těžit z výhody možná až příliš regulovaného prostředí. Může se stát (zřejmě již stává), že náklady na přijatá technické řešení realizovaná „vlastní cestou“ budou vyšší. Ekonomicky se tak stanou nevýhodná, oproti řešení, které výrobci dodají „na klíč“ a které bude splňovat přijatá regulatorní opatření.

Platí, že pokud zpracováváte osobní data, směrnice GDPR se vás týkat bude. Doporučuji proto, problematiku GDPR konzultovat se specialistou na tuto oblast.

Každému zájemci o problematiku GDPR jednoznačně doporučuji vynikající zdroj informací na stránce GDPR.CZ s možností konzultace a dalších služeb v této oblasti.

Seznam dokumentů, zdrojů

• General Data Protection Regulation GDPR a Cloud služby G suite
• Transparency report
• Datová centra společnosti Google
• G Suite Agreement
• Scan your email traffic using data loss prevention
• Google for Work Security and Compliance Whitepaper