Google Workspace 安全對策具體說明及常見問題
專欄發布日期：2022.11.16
引領業界的 Google Workspace 安全對策
從個人事業至大型企業，全世界500萬間企業導入的雲端型協作軟體 Google Workspace。全日本空輸株式會社（ANA）、株式會社帝國飯店、富士軟片股份有限公司（FUJIFILM）等許多海外不同產業的知名企業都正使用著 Google Workspace 的多元功能。這些企業選擇導入 Google Workspace 雲端協作軟體的原因之一，正是因為它被大力讚揚的安全對策。
Google 引以為傲的安全對策
Google Workspace 的營運公司 Google 定期由第三方機構監察，以確保公司的安全。下面為您具體介紹 Google 的安全對策。
➤對策① Google 內部的安全文化
「安全」是 Google 最看重的事情，故全體員工以「安全第一」為宗旨思考是 Google 的企業文化。Google 聘用業界最頂尖的專家們，負責應用程式、網路相關領域的安全及隱私作業。
為維持全面的防護體制，軟體開發的整個過程也編入安全機能。即便 Google Workspace 真發生問題，Google Workspace 的事件管理團隊也會迅速應對、分析及修復問題，讓使用者受到的影響降到最低。
➤對策② 嚴密的數據中心
Google 的數據中心以「安全及數據保護」為設計中心，具有強大嚴密的機制。下方影片具體說明數據中心的安全對策。
➤對策③ 具修復力的基礎建設
Google 在建構應用程式及網路時，十分重視兩點：可靠性、運作時間。數據分布於 Google 每一個伺服器及數據中心，無論是伺服器或數據中心發生故障，仍可繼續使用。世界各地皆有 Google 的數據中心，因此可以365天24小時不間斷運作。
Google 採取層層堆疊的方式保護基礎設施的安全，從硬體設備開始、導入服務、使用者ID、儲存空間、網際網路通訊到運作上的安全性等等相互合作。如欲瞭解更多，請參見基礎設施安全設計白皮書
➤對策④ 數據加密
Google 使用 Transport Layer Security（TLS）讓電子郵件可以安全連線，並且在業界也處於領先地位。Gmail 預設啟用 TLS 傳輸，藉此確保與 TLS 連線的伺服器，在傳送及接收電子郵件的過程加密，防止第三方竊聽或篡改。
➤對策⑤ 受安全小組監控
Google 聘用世界屈指可數的安全及隱私專家們，由他們組成專責資訊、應用程式及網路安全的安全小組。由該小組負責防衛系統的維護、安全審查過程的開發、安全基礎建設的建構、企業安全政策的執行。
另外，Google 同時使用商用工具或客製工具、入侵測試、品質保證（QA）對策、軟體安全審查，積極找出任何可能危害安全的項目。
Google Workspace 安全對策的核心
Google 的安全對策同樣反映在 Google Workspace 上，下面為您介紹Google Workspace 的核心安全對策。
➤① 嚴格認證（兩步驟驗證、安全金鑰）
透過兩步驟驗證及安全金鑰強化帳戶安全性，能降低組織存取控制的錯誤設定和入侵者不當利用帳戶的風險。適合企業使用的進階保護功能，讓每位使用者皆可應用這組強大的帳戶安全政策，其中包含取得安全金鑰、封鎖可疑裝置、敏銳掃描郵件可能帶來的威脅等等。
➤② 監控可疑登入
在 Google Workspace 的快訊中心中，提供組織管理員網域內的活動快訊與實用的安全分析資訊。如偵測到網路詐騙、惡意軟體、可疑帳戶或裝置上的可疑活動，會出現警示通知。管理員可在快訊中心查看通知並採取措施，例如教育用戶或更改設定，以保護組織不會受到安全威脅。
➤③ Gmail、Chat、Google 雲端硬碟內檔案加密
加密在 Google Workspace 安全戰略裡是十分重要的要素，是保護 Gmail、Google Chat、Google Meet 視訊會議、檔案等數據的功臣。
加密儲存在磁碟或備份工具中的「靜態」數據，即便入侵者或物理上擁有存取權的人拿到儲存硬體，沒有密碼也無法讀取裡面的數據。此外，線上或數據中心間傳輸電子郵件時，也全程加密客戶資料。既使入侵者中途截取您的電子郵件，對方也只能取得被加密過的資料。
➤④ 99.9%過濾垃圾信件
Gmail 透過 Google 機器學習能保護您不受到垃圾信件、網路詐騙、惡意軟體的危害。並結合其他保護措施阻擋99.9%以上的垃圾信件。
➤⑤ 下載 Gmail 附件前掃描病毒
夾帶惡意軟體的附件檔案，會在使用者的電腦上下載惡意軟體，藉此取得您的個人情報及身份資訊，並攻擊其他的電腦。Gmail 附件的病毒掃描功能是 Google 其中一項重要的保護措施，可以封鎖有害的內容。據統計 Gmail 毎週能掃描3000億件以上的附件。
關於 Google Workspace 安全對策的常見問題
為您整理有關 Google Workspace 安全性常見的問題及解答。
➤問題① 有數據消失的危險性嗎？
在 Google Workspace 内製作的資料，由 Google 多重備份並分散保管於世界各地的數據中心。雖然並非完全無資料遺失的可能性，但因天災或區域性停電造成的損害造成資料遺失的可能性是微乎其微。另外，小偷成功入侵 Google 嚴密的數據中心竊取數據的風險也極低。
➤問題② 有數據外洩的風險嗎？
造成數據外洩的原因有很多。Google Workspace 透過帳戶兩步驟驗證、警示可疑登入、Gmail 的保護措施等多項安全對策，將資料外洩的風險降至最低。
Enterprise 以上的版本具備更強大的「DLP」安全機能。使用 DLP 除可監控企業內部的數據流通，亦能啟動警告或封鎖設定來阻止使用者傳送機密數據。
➤問題③ 數據保存在哪裡呢？
世界各地皆有 Google Workspace 的數據中心，亞洲區的數據中心位在台灣及新加坡。
只要選擇 Google Workspace 的資料地區，就能將數據存放在美國、歐洲等各處的保管中心，或是將數據分散在世界各地保管。Google Workspace 提供兩種資料地區政策的管理選項：基本資料地區和企業級資料地區，依照您使用的選項，套用的資料地區政策不同。
Enterprise Plus 含有企業級資料地區功能 ；Frontline、Business Standard、Business Plus、Enterprise Standard、Enterprise Essentials 則含有基本資料地區功能。
➤問題④ Google 會濫用我的數據嗎？
不願導入雲端化的企業，通常是擔心內部數據遭到 Google 濫用。關於這點，Google 僅允許負責處理個人情報的內部員工、承包商、外包商及代理人查看，並且與所有人簽訂嚴格的保密合約。
另外，數據的所有權屬於使用者，故 Google 是無法將其販賣給第三者。Google Workspace 內既不會有廣告，也無法以廣告為目的收集或利用 Google Workspace 的數據。
➤質問⑤ 服務維護期間會無法使用嗎？
Google Workspace 內的數據以備份狀態，分散保管於 Google 的各伺服器及各個數據中心。如伺服器或數據中心發生故障，世界各地皆有 Google 的數據中心365天24小時不間斷運作，故在維護服務期間依舊可正常使用。
➤質問⑥ 若遇電腦或USB遺失，可以防止資料外洩嗎？
如您充分利用 Google Workspace，將數據、資料儲存在電腦或USB等硬體上的需求會大幅減少。保存於雲端上，就能減低因帶著USB移動而遺失數據的風險。既使電腦遺失，Google Workspace 可由管理員將使用者登出，並將企業內部數據從該裝置上刪除。
受第三方機構的定期安全檢測
Google 為提供雲端服務，持續接受第三方機構的審查，以維持安全、隱私、合規的管理。下面為您介紹部分獨立之第三方機構的審查內容。
➤ISO/IEC 27001（資訊科技-安全技術-資訊安全管理系統-要求）
ISO/IEC 27001 是資訊安全管理的國際標準，協助企業機構建立起資訊安全管理系統的保密性、完整性、可用性三方的平衡。Google 已取得有關運作 Google Workspace 必需的系統、科技、流程、數據中心 ISO/IEC 27001 認證。
➤ISO/IEC 27017（雲端服務資訊安全管理）
ISO/IEC 27017 是與雲端服務相關資訊安全管理措施的指南標準，是遵照 ISO/IEC 27002 專門針對雲端服務定義資訊安全管理方法的國際標準。Google 對國際標準的遵守，受到被 ISO 國際標準化組織認證的 Dutch Accreditation Council（國際認可論壇成員）和 Ernst & Young Certify Point 認可。
➤ISO/IEC 27018（雲端服務個人資料保護管理）
ISO/IEC 27018 是專注於雲端服務業者，在公共雲端上管理保護個人信息的國際標準。 在 ISO/IEC 27018 的指南中提及：「不可以廣告行銷為目的使用顧客的數據」、「在 Google Workspace 提供的各項服務內產生的數據，皆屬顧客所有。」、「須提供顧客刪除和匯出數據的工具」、「保護顧客資訊，免受第三方請求公開」、「需確保顧客能知道自己的數據被保管在哪裡」。
➤SOC 2/SOC 3
SOC 是 Service Organization Controls 的縮寫，專門檢測或分析對伺服器的攻擊，提供建議對策的專業組織。美國會計師協會（AICPA）採用以 Trust 服務（安全性、可用性、處理的整合性、機密性相關）為原則及標準的 SOC 2 和 SOC 3 審查框架。而 Google 已取得 SOC 2 和 SOC 3 的報告書，其中 SOC 3 的報告書可以下載。
➤FedRAMP（聯邦風險與授權管理計畫）
FedRAMP 英文全名為 Federal Risk and Authorization Management Program，是美國聯邦政府設立的聯邦風險與授權管理計畫，此項計畫適用於整個政府機構，提供一套標準化做法供相關人員對雲端產品和服務進行安全性評估、授權和持續監控。Google Workspace 的產品及服務皆符合 FedRAMP 的要求，授權可使用受美國聯邦政府管理的中等風險影響等級數據。另外，遵從英國政府的安全原則，同樣可使用包含機密情報的公共資訊。
➤PCI DSS（支付卡產業資料安全標準）
PCI SSC（Payment Card Industry Security Standards Council）是為服務商或加盟店，能安全處理會員數據而制定的安全準則，由五個國際信用卡品牌聯合成立的 PCI SSC 運營。
對於 Google Workspace 的使用者，可透過設定數據遺失防護（DLP）政策，來防止經由 Google Workspace 發送包含付款卡片資訊的電子郵件。另外，您也可設定 Google 保管箱自動執行雲端硬碟稽核功能，確保不會儲存持卡人的任何數據。
Google Workspace 安全性相關的疑問，請聯繫田中系統
以上就是 Google Workspace 及營運公司 Google 的安全對策介紹，Google 製作的白皮書內也有詳細的說明。如對 Google Workspace 安全性尚有不清楚的地方，歡迎與田中系統聯繫，專員將為您進一步說明。
參考網站
- https://static.googleusercontent.com/media/workspace.google.co.jp/ja/jp/files/google-apps-security-and-compliance-whitepaper.pdf
- https://workspace.google.co.jp/intl/ja/security/?secure-by-design_activeEl=data-centers
- https://workspace.google.co.jp/intl/ja/customers/
- https://support.google.com/a/answer/9378686?hl=ja&ref_topic=9376233
- https://support.google.com/a/answer/7630496?hl=ja
- https://www.google.com/about/datacenters/locations/?_ga=2.243335501.990048692.1622852086-2066775523.1610663154
- https://support.google.com/a/answer/2520500?hl=ja&ref_topic=2683828
- https://support.google.com/a/answer/9223653?visit_id=638016668546074148-123459478&rd=1
- https://policies.google.com/privacy?hl=ja#infosecurity
