2017年1月10日，谷歌公司更新發布了《谷歌安全白皮書》，這本白皮書適用于cloud.google.com中描述的Google Cloud Platform產品。E安全就在此奉上白皮書全文內容的中文翻譯，如以下翻譯內容有錯漏，請與我們聯系獲取獎勵。
內容簡介傳統企業已經開始越來越多地將公有云視為節約成本或者增加自有數據中心容量的理想解決方案。然而，企業目前在選擇公有云時主要關注安全性問題，并已經意識到各云服務供應商能夠投入更多人力與流程以交付更為安全的基礎設施體系。
作為云計算的先驅性廠商之一，谷歌公司充分理解云模型中存在的安全隱患。我們的云服務旨在為企業客戶提供較傳統內部解決方案更為出色的安全性水平。我們將安全性作為優先重要事務加以考量，而且由于谷歌利用同樣的基礎設施運行自有業務，因此作為客戶您將能夠直接從這些保護措施中獲益。正因為如此，我們高度關注安全議題，同時在核心設計標準內充分考慮數據保護需求。安全性貫穿我們的整個組織結構、培訓重點與招聘流程。安全性甚至直接塑造出我們的數據中心及其中使用的具體技術。安全性是我們日常運營與災難規劃工作的核心所在，包括指導我們如何應對潛在威脅。安全是我們處理客戶數據時制定優先級判斷的根本，亦是我們實施賬戶控制、合規性審計以及為客戶提供認證時的基石所在。
本篇白皮書概述了谷歌針對谷歌云平臺(Google Cloud Platform)——我們的公有云產品及服務套件——所制定的安全性與合規性保障方案。這套平臺已經為世界范圍內的各類組織機構所采用，從擁有成千上萬用戶的大型企業與零售商到快速增長中的初創企業，云平臺為其提供計算、存儲、網絡及大數據等多種資源。本篇白皮書著重探討谷歌公司如何立足組織與技術層面實現安全性控制，從而為客戶數據提供保護。關于合規性及滿足法規要求方面的細節信息，您可點擊此處參見另一篇文件。
谷歌擁有強大的安全文化谷歌公司為全體員工建立起充滿活力及包容性的安全文化。這種文化的影響已經以顯而易見的方式滲透至招聘流程、員工入職、現任員工培訓以及企業整體活動當中。
員工背景調查在正式加入我們的團隊之前，谷歌公司會首先驗證應聘人員的個人教育背景與以往工作經歷，同時執行內部與外部參考調查。如果當地勞動法或者法律法規允許，谷歌公司亦可對應聘人員進行刑事、信用、移民及安全背景調查。這些背景調查的具體程度取決于應聘人員的預期職位。
向全體員工的安全培訓全體谷歌公司員工都必須接受安全培訓，將此作為輔導過程的重要組成部分，并在整個谷歌公司就職期間接受持續的安全培訓。在入職期間，新員工需要認同我們的行為準則，即強調我們作出的、為客戶信息提供安全可靠保障的承諾。根據具體職能方向，員工可能需要接受與安全領域特定方向相關的額外培訓。(微信公眾號E安全)例如，信息安全團隊會向新任工程師傳授安全編碼實踐、產品設計以及自動化漏洞測試工具等專業知識。工程師們還需要參加與安全相關的各類主題性技術演示，同時了解新型威脅、攻擊模式、應對技術等通信安全趨勢。
內部安全與隱私事件谷歌公司會定期舉辦向全體員工開放的內部會議，旨在提高員工的安全性與數據隱私權意識，同時推動創新性活動。安全與隱私是一類不斷變化的領域，谷歌公司意識到專業員工的參與是提升安全認知的重要手段。以“隱私周(Privacy Week)”活動為例，谷歌公司在此期間會在全球各辦事處舉辦活動，立足于軟件開發、數據處理、策略執行乃至隱私原則遵守等層面強化工作人員的安全意識。谷歌公司還會定期舉辦“技術講座”，其經常涉及與安全及隱私相關的主題。
我們的專項安全團隊谷歌公司擁有超過500名全職安全與隱私專業人員，他們亦是我們軟件工程與運營部門的重要組成部分。我們的團隊包括一批全球范圍內的知名信息、應用與網絡安全專家。這支隊伍的任務在于維護谷歌公司的防御系統、開發安全審查流程、建立安全基礎設施并實施谷歌提出的安全策略。谷歌公司的專項安全團隊會主動利用商用及定制化工具、滲透測試、質量保證(簡稱QA)措施及軟件安全審查等方式掃描各類安全威脅因素。
在谷歌公司內部，信息安全團隊的成員們會面向全部網絡、系統與服務進行安全規劃審查。他們為谷歌公司的產品與工程技術團隊提供針對具體項目的咨詢服務。他們立足于谷歌網絡進行異常活動監控、解決信息安全威脅、執行例行安全評估與審計，同時鼓勵外部專家參與到常規安全評估當中。我們于2014年7月專門成立了一支全職團隊，名為“Project Zero”，其負責向軟件供應商上報Bug并將相關信息記錄在外部數據庫內，從而避免發生針對性攻擊活動。
這支安全團隊還參與各類研究與外展活動，并借此為選擇或者沒有選擇谷歌解決方案的廣泛互聯網用戶群體提供保護性幫助。此項研究工作的相關實例包括發現POODLE SSL 3.0惡意利用活動以及cipher套件漏洞等。該安全團隊還發布各類安全研究報告，并向社會直接開放。這支團隊亦會組織并參加各類開源項目及學術性會議。
我們的專項隱私團隊谷歌隱私團隊獨立于產品開發與安全組織之外單獨運作，但其同樣會通過多種方式參與到谷歌產品的發布當中——包括審查設計文件并執行代碼審查，從而確保各項隱私保護要求得到遵循。他們幫助確保谷歌發布的產品能夠確切反映明確的隱私保護標準：為用戶及管理員提供擁有實際意義的隱私配置選項，并借此傳輸用戶數據集，同時繼續對存儲在我們平臺上的各類信息加以良好管理。在產品發布后，這支隱私團隊會監控各項用于審計數據流量以驗證數據使用妥善性的自動化流程。另外，該隱私團隊還會為我們的各項新興技術的開發工作提供隱私層面的最佳實踐指導與支持。
內部審計與合規性專家谷歌公司擁有一支專項內部審計團隊，專門負責立足于安全法律及全球范圍內的監管要求進行合規性審查。在新的審計標準出臺之后，這支內部審計團隊會考量需要通過哪些控制、流程與系統以滿足標準的具體要求。這支團隊亦樂于邀請并支持由第三方發起的獨立審計與評估工作。
與安全研究社區開展協作谷歌公司長期以來一直與安全研究社區保持著緊密合作關系，而我們亦在其幫助下發現了大量存在于云平臺及其它谷歌產品內的安全漏洞。我們的安全漏洞獎勵計劃鼓勵研究人員上報那些有可能導致客戶數據遭遇風險的設計與實施性問題，并為這類成果提供數萬美元獎勵。以Chrome瀏覽器為例，我們一直向用戶提供各類與惡意軟件及釣魚活動相關的警告，并為發現其中安全Bug的研究者派發獎金。
由于我們與研究社區的密切合作，我們得以成功發現超過700項Chrome瀏覽器安全Bug，且先后發出超過125萬美元獎金——而谷歌的各類安全漏洞獎勵計劃的總體獎金支出已經突破200萬美元。在這里，我們誠摯感謝各位參與者及其為我們的產品與服務作出的卓越貢獻。
運營安全安全保障是我們運營工作中的常規組成部分，而非單純作為事后考量或者偶然性舉措。
安全漏洞管理谷歌公司利用一整套安全漏洞管理流程，利用多種商用及定制化內部工具、高密度自動與手動滲透、質量保證流程、軟件安全審查與外部審計以主動掃描安全威脅。安全漏洞管理團隊負責追蹤并監督漏洞處理進展。一旦某項漏洞確定需要進行處理，則其會被記錄在案并根據嚴重程度分配優先等級，同時被分配至一名擁有者進行處理。安全漏洞管理團隊會追蹤該問題并持續跟進，直到確認問題本身已經得到修復。谷歌公司還與安全研究社區的成員保持合作關系，不斷就谷歌服務與各類開源工具中報告的安全問題進行交流。與安全問題相關的更多細節信息可參閱谷歌應用安全文檔。
惡意軟件預防惡意攻擊一旦成功實施，很可能造成賬戶丟失、數據竊取以及非法網絡訪問行為等嚴重后果。谷歌公司對于這些可能侵擾自身網絡及客戶的威脅高度重視，并采取多種方法以預防、檢測并清理惡意軟件。谷歌公司通過Chrome、Mozilla火狐及蘋果Safari瀏覽器中的警告提示每天幫助數百萬用戶免受安全威脅，即幫助其及時阻止那些可能導致計算機遭受入侵的軟件下載行為或可能導致用戶數據遭到竊取的惡意網站。惡意軟件站點或電子郵件附件會通過向用戶設備安裝惡意軟件的方式竊取隱私信息、執行身份竊取或者攻擊其它計算機。當人們訪問這些站點時，惡意軟件會在不知不覺中被悄然下載至本地。谷歌公司的惡意軟件應對策略利用手動與自動掃描工具對谷歌的網站搜索目錄進行清理，旨在清除那些可能屬于惡意軟件或釣魚活動載體的網站。全球約有十億人定期使用谷歌安全瀏覽(Safe Browsing)功能查看互聯網內容。(微信公眾號E安全)谷歌公司的安全瀏覽技術每天會檢查數十億條URL并搜索其中的非安全網站。每一天，我們都會發現成千上萬新的不安全站點，其中相當一部分屬于已經遭到入侵的合法網站。在對非安全站點進行檢測時，我們會在谷歌搜索結果及網絡瀏覽器中顯示警告提示。除了安全瀏覽解決方案之外，谷歌公司還提供一項免費在線服務VirusTotal，其負責分析那些包含已經被反病毒引擎及網站掃描工具所發現的病毒、蠕蟲、木馬及其它類型惡意內容的文件及URL。VirusTotal的使命在于協助改進反病毒與安全行業的工作成果，同時通過免費工具與服務的持續發展讓互聯網的整體安全性得到切實提升。
谷歌公司在Gmail、Drive以及各類服務器與工作站內使用多種反病毒引擎，旨在幫助用戶發現可能尚未被收錄至反病毒簽名庫中的惡意軟件。
監控機制谷歌公司的安全監控計劃主要面向收集自內部網絡流量、員工系統操作活動以及外部安全漏洞知識的具體信息。在我們全球網絡的多個節點之上，內部流量會接受檢查以查找可疑行為，例如那些可能與僵尸網絡連接相關的流量。這一分析機制利用開源與商用兩大類流量捕捉與解析工具共同實現。谷歌擁有一套專項相關系統，其憑借一系列谷歌技術方案以支持上述分析流程。除此之外，谷歌還會對系統日志進行檢查以發現異常行為(例如嘗試對客戶數據進行訪問)，并將此作為一種補充性保護手段。谷歌公司的安全工程師們會在公共數據存儲庫上引入搜索警報，用以發現可能對谷歌基礎設施造成影響的安全事件。他們會主動審查入境安全報告并監控公共郵件列表、博客與維基百科。自動化網絡分析機制與谷歌安全員分析有助于確定可能存在的未知威脅，而系統日志自動化分析則作為網絡分析的有力補充。
事件管理我們擁有一套嚴格的安全事件管理流程，面向各類可能影響系統或數據保密性、完整性和可用性的安全事件。一旦發生相關事件，安全團隊會根據其嚴重程度對事件進行記錄與優先級排序。直接影響客戶的事件會被視為最高優先級狀況。整套流程指定了應對工作的通知、逐級處理、緩解與文檔記錄規程。谷歌公司的安全事件管理計劃基于NIST的事件處理指南(NIST SP 800-61)進行結構設計。關鍵性員工接受培訓以為此類安全事件中可能出現的情況做好預測及處理準備，具體包括利用第三方及各類專用型工具。谷歌公司立足多個關鍵性區域對事件響應規劃進行測試，其中包括用于存儲客戶敏感信息的系統。這些測試工作考慮到多種實際場景，包括內部人員威脅及軟件安全漏洞。為了確保對安全事件的靈活處理，谷歌安全團隊24/7全天候待命并可隨時回應任何員工的援助請求。如果安全事件涉及客戶數據，谷歌或其合作伙伴將及時通知客戶并通過支持團隊執行調查工作。
安全核心技術方案谷歌云平臺運行在一套在構思、設計與構建當中充分考慮安全性需求的技術平臺之上。谷歌公司在硬件、軟件、網絡及系統管理技術層面極具創新性。我們以定制化方式設計自身使用的服務器、專有操作系統以及地理分布式數據中心。立足于“縱深防御”原則，我們已經建立起一整套在安全與管理易行性方面遠超傳統技術方案的IT基礎設施。
業界領先的數據中心谷歌公司一直將數據安全與保護作為我們核心設計標準的組成部分。谷歌數據中心的物理安全性采用一套分層式安全模式實現，其中包括采用定制化設計電子門禁卡、警報器、車輛準入障礙、周邊圍欄、金屬探測器、生物識別技術以及數據中心內激光束入侵檢測機制在內的各類安保措施。我們的數據中心利用高分辨率內部與外部攝像頭進行24/7全天候監控，其能夠及時檢測并追蹤入侵者行蹤。訪問日志、活動記錄與攝像頭則能夠在發生安全事件時進行全程記錄。谷歌數據中心還配備有一大批經歷了嚴格背景調查與培訓的保安人員，他們將對基礎設施進行定期巡邏。越是靠近數據中心樓層，安全措施數量及級別也將相應提升。訪問內部數據中心的惟一通路是一條安全走廊，其中設有使用安全徽章與生物識別技術的多因素訪問控制系統，這意味著只有得到授權的特定工作人員才能進入。在谷歌公司內，只有不到百分之一的員工有權進入我們的數據中心。
數據中心供電機制
為了保證各項服務的24/7全天候持續不間斷運行，谷歌數據中心采用冗余供電系統及環境控制方案。每一項關鍵性組件都配有主、備兩套供電系統，且二者能夠提供同等電量供應。(E安全微信公眾號)我們的備用柴油發電機能夠提供充足的應急電力，足以確保數據中心在停電時仍可滿負荷運行。冷卻系統能夠確保服務器與其它硬件始終處于理想的恒定工作溫度，從而降低服務中斷風險。火災探測與消防設備有助于防止硬件損壞。熱感、火感與煙感探測器在被觸發后，會將受影響區域通過安全操作控制臺報告至管理人員處，并在遠程監控臺上以聲光方式進行報警。
對周邊環境的影響
谷歌通過對設施的精心設計及構建降低了數據中心運行對周邊環境的影響。我們安裝有智能化溫度控制系統，利用“自然冷卻”技術憑借外部空氣或者可重復利用的水資源進行冷卻，同時重新設計電力分配方式以盡可能降低不必要的能量損失。為了量化改進效果，我們利用綜合性效率指標測量并計算每套文物性能。我們是第一家在數據中心內引入主水平環境、工作場所安全性及能源管理標準外部認證的大型互聯網服務企業。具體來講，我們得到 ISO 14001、OHSAS 18001以及ISO 50001認證。簡言之，這些標準建立起一項非常簡單的概念：表達我們要做什么，接下來切實做到——之后重復這一改進過程。
定制化服務器硬件與軟件與大多數現有商用硬件不同，谷歌公司的服務器并不包含顯卡、芯片組或者外設連接器等可能引入安全漏洞的非必要組件。我們的生產服務器運行一套定制化操作系統，其基于一套經過精簡與強化的Linux版本。谷歌服務器及其操作系統的惟一作用正是提供對應的谷歌服務。各服務器資源采取動態分配方式，這使得其能夠快速且靈活地適應具體負載需求，或根據客戶需求進行資源重新分配。這套均勻的運行環境由專有軟件負責維持，其會持續監控系統中的根本性變更狀況。如果發現某些變更與標準谷歌鏡像有所沖突，該系統將自動將其恢復至官方狀態。這些自動化自我修復機制的引入，是為了讓谷歌能夠持續監控及修復不穩定事件、收取事件通知并緩解可能出現的潛在網絡惡意活動。
硬件追蹤與處理谷歌公司精心追蹤數據中心內全部設備的位置與狀態，且整個監控流程利用條形碼與資產標簽涵蓋設備由采購到安裝、由清退到銷毀的完整周期。我們在基礎設施當中使用金屬探測器與視頻監控裝置，用以確保不存在任何未經授權的設備運出狀況。如果某一組件在其正常生命周期內未能通過某一項性能測試，則其將被從庫存中移除并清退。谷歌公司的磁盤驅動器采用FDE(即全盤加密)與驅動器鎖定等技術，旨在對閑置數據加以保護。當一塊磁盤驅動器被清退時，授權工作人員會驗證該磁盤是否已經通過全盤寫入“0”的方式實現清空，并執行多步驗證以確保其中不再包含任何數據。如果驅動器內容由于任何原因而無法擦除，谷歌則會對其進行安全存儲，直到可對驅動器本身進行物理性破壞。磁盤的物理銷毀工作分多步進行，首先對驅動器進行壓碎，而后利用粉碎設備將其破壞成小塊，最終在安全設施內進行回收。每座數據中心都堅持執行嚴格的處理政策，并將立即解決實施過程中的任何問題。
建立一套擁有獨特安全成效的全球性網絡谷歌公司的IP數據網絡由我們的光纖、公共光纖以及海底電纜共同組成。這使得我們能夠立足全球提供高可用性及低延遲服務。
在其它云服務及內部解決方案當中，客戶數據必須在各臺設備之間經由互聯網進行多次往來傳輸，即所謂“跳轉”。跳轉的具體次數取決于客戶ISP與解決方案數據中心間的實際距離。每次額外的跳轉都有可能造成數據遭受攻擊或者截獲。由于與世界上大多數ISP直接連通，谷歌公司的全球網絡能夠限制數據在公共互聯網上的跳轉次數，從而提升數據安全保障效果。
縱深防御代表著谷歌公司的網絡針對外部攻擊活動建立起多層防御體系。只有得到授權的服務以及滿足我們安全要求的協議才可獲準進行遍歷; 除此之外的任何其它活動都將被自動拒絕。(E安全微信公眾號)我們利用行業標準防火墻與訪問控制列表(簡稱ACL)實現網絡隔離。所有流量皆通過定制化GFE(即谷歌前端)路由器以接受檢測，且其中的惡意請求及分布式拒絕服務(簡稱DDoS)流量會被直接阻斷。另外，GFE服務器僅允許同一組內部受控服務器進行通信; 這套“默認拒絕”配置能夠防止GFE服務器訪問不必要的資源。工作人員會對日志進行常規檢查以發現任何開發層面的編程錯誤。另外，對網絡設備的訪問也僅限于授權人員進行。
保護傳輸中的數據數據在通過互聯網或者內部網絡進行傳輸時，最易受到未授權訪問活動的侵擾。有鑒于此，對傳輸中的數據進行安全保護就成了谷歌公司的頭等大事。客戶設備與谷歌之間的往來數據利用HTTPS/TLS(傳輸層安全)進行加密。事實上，谷歌方面是第一家默認采用HTTPS/TLS的主流云服務供應商。在面向非谷歌用戶發送或者接收電子郵件時，鏈路中的全部連接(包括設備、瀏覽器以及郵件服務供應商)都必須緊密合作以實現這一加密機制。我們會在自己的安全郵件站點上報告行業內采用TLS的具體情況，并堅信這是一項極有意義的工作。谷歌公司已經將我們的全部SA證書升級為2048位密鑰，這讓我們面向谷歌云平臺及其它全部谷歌服務的加密體系變得更加完善。完全前向保密(簡稱PFS。E安全百科：要求一個密鑰只能訪問由它所保護的數據;用來產生密鑰的元素一次一換，不能再產生其他的密鑰;一個密鑰被破解，并不影響其他密鑰的安全性。)能夠最大程度降低單一密鑰泄露或者密碼破解造成的負面影響。其利用一條僅持續數天的短期密鑰保護網絡數據，且此密鑰始終駐留在內存當中——而非像傳統密鑰那樣存在數年且被保存在永久性存儲介質中。谷歌公司是第一家默認使用完全前向保密機制的主流網絡廠商。谷歌亦在云平臺數據經由私有網絡于各數據中心間往來傳輸時使用加密機制。
低延遲與高可用性解決方案谷歌公司在設計平臺時，充分考慮到各組件的高度冗余化需求。這種冗余性貫穿我們的整體服務器設計、數據存儲方式、網絡與互聯網連接乃至軟件服務本身。這種“一切冗余”的思路包括設計并創建一套不依賴于單一服務器、數據中心或者網絡連接的解決方案，從而處理一切可能出現的潛在錯誤。谷歌公司的數據中心采取地理分布式規劃，從而盡可能降低區域性(可能由自然災害及本地中斷造成)中斷對全球服務的影響。一旦硬件、軟件或者網絡發生故障，谷歌云平臺各服務及控制面板將立即自動完成設施間的切換，從而確保各項服務不經中斷即可繼續運行并使用。谷歌公司的高度冗余化基礎設施還能夠幫助客戶保護自身免遭數據丟失困擾。谷歌云平臺的各類資源可跨區域及服務區進行創建及部署。這意味著客戶將能夠建立起屬于自己的彈性及主可用性系統。
我們的高度冗余設計使得谷歌能夠在過去幾年當中實現高達99.984%的Gmail正常運行時間，且未經歷任何計劃內停機。簡單來講，當谷歌需要對平臺添加服務或者進行升級時，用戶不會遭遇任何意外停機時間或者維護窗口。
服務可用性一部分谷歌服務可能在某些司法管轄區內無法正常交付。這種缺失多數屬于由網絡問題造成的暫時中斷，但也有部分是由于政府授權問題而永久存在。谷歌公司通過透明度報告說明近期曾及仍處于中斷狀態的谷歌產品。我們提供這部分數據以幫助公眾分析并了解在線信息的實際可用性。
獨立第三方認證谷歌云平臺提供多項第三方認證，具體請點擊此處了解。
數據使用情況我們的理念谷歌云平臺客戶對其數據擁有所有權，這部分數據非歸谷歌所有。客戶僅是將其數據存儲在我們的系統之上，而我們不會出于廣告宣傳的需要對其進行掃描或者將其出售給第三方。我們為客戶提供詳盡的數據處理流程說明，用以證明我們踐行了所做出的客戶數據保護承諾。其中指出，谷歌公司不會出于任何發行合同義務以外的目的對客戶數據進行處理。另外，如果客戶刪除其數據，我們承諾亦將在180天內將其從我們的系統內刪除。最后，我們提供相關工具，用以幫助客戶輕松獲取其存儲在云端的數據。如果他們選擇停止繼續使用我們的服務，谷歌公司不會要求任何罰款或者征收其它強制性費用。
數據訪問與限制管理性訪問為了保證數據隱私性與安全性，谷歌公司會以邏輯方式對每位客戶在云平臺上的數據與其他客戶及用戶加以隔離，即使各部分數據仍存儲在同一物理服務器之上。只有一小部分谷歌員工能夠訪問客戶數據。對于谷歌員工，對數據的訪問權限及級別由其實際工作職能與角色決定，且遵循最低權限與必要知悉原則以匹配其訪問權限與責任劃分。谷歌公司員工僅具備部分默認受限權限以訪問企業資源，例如電子郵件及谷歌的內部員工門戶。對于發起其它訪問活動的請求需要遵循一套正式流程，要求對應工作人員根據谷歌安全政策的指定內容提交申請并獲得數據或系統所有者、經理或者其他高層人員的批準。批準工作由工作流工具負責管理，確保保留全部變更記錄以進行審計。這些工具同時控制授權設置修改及批準流程，從而保證批準政策始終得到嚴格遵守。工作人員的授權設置用于控制其對全部資源的訪問活動，其中包括對谷歌云平臺中各項產品內數據與系統的訪問。支持服務皆提供給授權客戶管理員，并需要通過多種方式對其身份進行驗證。谷歌員工的訪問活動受到監控并由我們的專項安全、隱私與內部審計團隊進行審計。
客戶管理員在客戶所在組織機構之內，谷歌云平臺的管理性角色與權限可由項目擁有者進行配置與控制。這意味著各團隊成員皆可管理特定服務或者執行特定管理功能，而無需訪問到全部設置與數據。
執法性數據請求作為數據擁有者，客戶對執法性數據請求承擔主要責任; 然而與其它技術及通信企業一樣，谷歌公司可能會直接收到來自世界各地的政府及法院行政命令，要求審查某一用戶如何使用谷歌服務。我們將采取措施保護客戶隱私免受過度執法要求的影響，但同時也將遵循必要的法律義務。我們高度重視并尊重您在谷歌云平臺上所存儲數據的隱私性與安全性保障，亦需要符合相關法律要求。當收到此類請求時，我們的團隊會對要求內容進行審查，旨在確保其符合法律規定及谷歌自身政策。一般來說，要符合我們的政策要求，授權機構的授權人員需要以書面形式簽署材料并根據適當法律條款向我們提交申請。如果我們確信某項數據訪問要求太過寬泛，我們將設法縮小其適用范圍并在必要時予以駁回。例如，谷歌公司是2006年惟一一家拒絕美國政府要求提交近兩個月內用戶搜索查詢記錄的搜索服務商。我們對這一要求提出質疑，且法院最終駁回了政府的要求。在某些情況下，我們收到的請求中包含與谷歌賬戶相關的全部信息，我們會要求對應機構將其限制至特定產品或服務。我們認為，公眾應該了解政府能夠在何種程度上通過谷歌獲取其用戶信息。正因為如此，我們成為第一家定期發布政府數據請求報告的企業。與數據請求相關的細節信息及谷歌響應舉措可通過我們的透明度報告中獲取。另外根據谷歌公司的政策，除非法律及法院命令明確禁止，否則我們會向客戶發出政府已經下達執法性數據獲取要求的通知。
第三方供應商谷歌公司直接執行幾乎全部數據處理活動，并借此提供我們的服務。不過，谷歌公司偶爾可能會聘請部分第三方供應商提供與云平臺相關的服務，包括客戶與技術支持。在引入第三方供應商之前，谷歌公司會對其所能提供的安全性與隱私性水平進行評估，旨在確保各第三方供應商能夠提供與其所訪問數據及服務范圍相匹配的安全性與隱私性保障承諾。一旦谷歌發現第三方供應商存在潛在風險，則對方必須在合同條款中承諾提供適當的安全性、保密性與隱私性保障方案。
監管合規我們的客戶有著彼此不同的合規性要求。我們的客戶遍及不同行業，包括金融、制藥與制造業等等。
大家可以點擊此處查看我們提供的最新合規性信息。
總結對客戶數據的保護貫穿谷歌一切基礎設施、產品與個人日常運營活動的設計流程。我們與安全研究社區建立起大規模運營與協作關系，這使得谷歌公司能夠快速解決各類安全漏洞甚至徹底阻止其發生。
我們相信，谷歌公司所提供的保護水平是大多數公有云供應商或者私營企業IT團隊所無法達到的。考慮到保護數據正是谷歌業務的核心所在，因此我們能夠在安全、資源與專業知識層面進行大規模投資，而其它廠商則幾乎無法實現這一點。我們的投資將幫助大家將主要精力集中在業務與創新層面。數據保護工作絕不僅僅體現在安全方面。谷歌公司提供強大的契約性承諾，確保您保有自己的數據并了解且控制其處理方式，包括確保您保存在云平臺服務之上的數據不會被用于廣告或者任何合同內容之外的目的。
基于以上原因，全球超過500萬組織機構，包括全球財富五百強企業中的64%，都信賴谷歌并愿意將其最寶貴的資產——信息——交由谷歌打理。谷歌公司將繼續投資自身云平臺，旨在以安全及透明的方式幫助每一位客戶從我們的服務中受益。
京公網安備 11010502049343號