Gestione dei rischi FFIEC per l'outsourcing dei servizi tecnologici

• Esistenza e cronologia aziendale;

• Qualifiche, background e reputazione dei dirigenti dell'azienda, inclusi i controlli dei precedenti penali, ove appropriato;

Dirigenti dell'azienda

Le informazioni sul team dirigenziale di Google Cloud sono disponibili alla nostra pagina Risorse multimediali .

Controllo dei precedenti

Google esegue dei controlli dei precedenti dei propri dipendenti, laddove legalmente consentito per offrire un ambiente sicuro ai propri clienti e impiegati.

• Altre società che utilizzano servizi del fornitore simili, che possano essere contattati come referenza;

• Stato finanziario, incluse le verifiche dei bilanci d'esercizio sottoposte a controllo;

• Strategia e reputazione;

Le informazioni sulle strategie di Google Cloud sono disponibili alla pagina Investor Relations di Alphabet.

Reputazione

Google Cloud ha ricevuto il titolo di Leader in diversi rapporti di analisti del settore di terze parti. Puoi leggerli nella nostra pagina Rapporti degli analisti.

• Funzionalità, stato ed efficacia della fornitura del servizio;

• Tecnologia e architettura dei sistemi;

Le informazioni sulla tecnologia e l'architettura dei sistemi di Google Cloud sono disponibili nella nostra pagina Scegliere Google Cloud.

• Ambiente di controllo interno, cronologia della sicurezza e copertura di audit;

Google riconosce che le istituzioni devono esaminare i nostri controlli interni nell'ambito della valutazione dei rischi. Per aiutare, Google si sottopone a diversi controlli indipendenti di terze parti almeno una volta all'anno per fornire una verifica indipendente delle nostre operazioni e dei controlli interni. Google si impegna a rispettare i seguenti standard internazionali fondamentali durante il periodo di validità del contratto:

• ISO/IEC 27001:2013 (Sistemi di gestione della sicurezza delle informazioni)
• ISO/IEC 27017:2015 (Sicurezza nel cloud)
• ISO/IEC 27018:2014 (Privacy nel cloud)
• PCI DSS
• SOC 1
• SOC 2
• SOC 3

• Conformità legale e normativa, inclusi reclami, contenziosi o azioni normative;

• Fare affidamento e relazionarsi con successo a fornitori di servizi di terze parti;

• Copertura assicurativa; e

• Capacità di soddisfare i requisiti per il ripristino di emergenza e la continuità aziendale.

Dopo aver selezionato un fornitore di servizi, l'amministrazione deve negoziare un contratto che soddisfi i suoi requisiti. La RFP e la risposta del fornitore di servizi possono essere utilizzate come input per questo processo. Il contratto è il documento legalmente vincolante che definisce tutti gli aspetti del rapporto di fornitura. In tutte le relazioni di fornitura dovrebbe essere presente un contratto scritto. Questo include i casi in cui il fornitore di servizi è affiliato all'istituzione. Durante la stipulazione di un contratto con un affiliato, l'istituzione deve garantire che i costi e la qualità dei servizi forniti siano paragonabili a quelli di un fornitore non affiliato. Il contratto è la singola forma di controllo più importante del processo di outsourcing. Data l'importanza del contratto, l'amministrazione dovrebbe:

• Verificare l'accuratezza della descrizione della relazione di outsourcing nel contratto;

• Assicurarsi che il contratto sia scritto in modo chiaro e contenga dettagli sufficienti per definire nel dettaglio i diritti e le responsabilità di ciascuna parte; e

• Richiedere l'assistenza di un consulente legale nelle prime fasi del processo per preparare e rivedere il contratto proposto.

• Descrizioni delle attività richieste, tempistiche per la loro implementazione e assegnazione delle responsabilità. Le disposizioni di implementazione devono tenere in considerazione altri sistemi esistenti o sistemi correlati tra loro che devono essere sviluppati da altri fornitori di servizi (ad esempio, un sistema di Internet banking integrato con le applicazioni principali esistenti o la personalizzazione dei sistemi);

Attività

I servizi GCP sono descritti nella pagina di Riepilogo dei servizi.

Integrazione

Esistono diversi modi per integrare i nostri servizi con i tuoi sistemi.

• Cloud Console ti consente di trovare e verificare l'integrità di tutte le tue risorse Google Cloud in un unico punto, incluse macchine virtuali, impostazioni di rete e archiviazione dei dati.

• Le API Cloud ti consentono di accedere ai prodotti Google Cloud dal tuo codice e automatizzare i flussi di lavoro utilizzando il tuo linguaggio di programmazione preferito.

• Obblighi e servizi a carico del fornitore, inclusi assistenza e manutenzione software, formazione di dipendenti o assistenza clienti;

Google fornirà i Servizi descritti nella nostra pagina Riepilogo dei servizi in conformità all' accordo sul livello del servizio di Google Cloud Platform.

I servizi di assistenza sono descritti nella pagina Linee guida per i servizi di assistenza tecnica.

Google mette a disposizione la documentazione per spiegare in che modo le istituzioni e i loro dipendenti possono utilizzare i nostri servizi. Se un'istituzione vuole una formazione più strutturata, Google offre anche una serie di corsi e certificazioni.

Servizi

Assistenza tecnica

• Obblighi dell'istituzione finanziaria;

• Consulta il tuo contratto dei servizi finanziari di Google Cloud.

• I diritti delle parti contrattuali nel modificare i servizi esistenti forniti ai sensi del contratto; e

Google aggiorna continuamente i servizi per consentire ai clienti di sfruttare al meglio la tecnologia più aggiornata. Data la natura one-to-many del nostro servizio, gli aggiornamenti vengono applicati a tutti i clienti contemporaneamente.

Google non eseguirà aggiornamenti che riducono sostanzialmente la funzionalità, le prestazioni, la disponibilità o la sicurezza dei Servizi.

Se Google dovesse interrompere un servizio senza sostituirlo, l'utente riceverà un preavviso di almeno 12 mesi. Durante questo periodo, Google continuerà a fornire assistenza e aggiornamenti relativi alla sicurezza e ai prodotti.

• Linee guida per l'aggiunta di servizi nuovi o diversi e per la rinegoziazione del contratto.

Nuovi servizi

Google introduce costantemente nuovi servizi per offrire ai clienti le caratteristiche e funzionalità più recenti. Una volta disponibili, i nuovi servizi vengono aggiunti alla pagina di Riepilogo dei servizi e ciascun cliente può scegliere se utilizzarli o meno in base al contratto esistente.

Rinegoziazione del contratto

Man mano che i servizi e la tecnologia cambiano, Google potrebbe aggiornare alcuni termini agli URL applicabili a tutti i clienti. Gli eventuali aggiornamenti devono soddisfare criteri rigorosi. Ad esempio, non devono comportare un deterioramento significativo della sicurezza generale dei servizi o avere un impatto sostanzialmente negativo sui tuoi diritti esistenti. Oltre a questi aggiornamenti limitati, qualsiasi modifica del contratto deve essere apportata per iscritto e firmata da entrambe le parti.

Aggiornamenti ai Servizi e Termini di servizio

Modifiche ai Termini di servizio; Emendamenti

La sicurezza e la privacy delle informazioni durante l'uso di un servizio cloud consistono in due elementi fondamentali:

L'infrastruttura di Google

Google gestisce la sicurezza della nostra infrastruttura. Questa è la sicurezza di hardware, software, reti e strutture che supportano i Servizi.

Data la natura one-to-many del nostro servizio, Google offre la stessa sicurezza solida a tutti i clienti.

Google fornisce ai clienti informazioni dettagliate sulle pratiche di sicurezza in modo che possano comprenderle e tenerle in considerazione nell'ambito della propria analisi dei rischi.

Ulteriori informazioni sono disponibili su:

• La nostra pagina relativa alla sicurezza dell'infrastruttura.
• Il nostro white paper sulla sicurezza
• Il nostro white paper sulla sicurezza cloud-native
• La nostra pagina Panoramica sulla progettazione della sicurezza dell'infrastruttura
• La nostra pagina delle Risorse per la sicurezza

I tuoi dati e le tue applicazioni nel cloud

Sei tu a definire la sicurezza dei tuoi dati e delle tue applicazioni nel cloud. Questo si riferisce alle misure di sicurezza che scegli di implementare e utilizzare quando usi i Servizi.

(a) Sicurezza per impostazione predefinita

Vogliamo offrirti la più ampia scelta possibile quando si tratta dei tuoi dati, ma la loro sicurezza è di primaria importanza per Google, che adotta le seguenti misure proattive per aiutarti:

• Crittografia dei dati inattivi. Google cripta i dati archiviati non attivi dei clienti per impostazione predefinita, senza la necessità di ulteriori azioni. Ulteriori informazioni sono disponibili all'indirizzo: https://cloud.google.com/security/encryption/default-encryption.
• Crittografia dei dati in transito. Google crittografa e autentica tutti i dati in transito su uno o più livelli di rete quando i dati si spostano all'esterno dei confini fisici non controllati da Google o per conto di Google. Ulteriori informazioni sono disponibili all'indirizzo: https://cloud.google.com/security/encryption-in-transit.

(b) Prodotti per la sicurezza

Oltre agli altri strumenti e alle pratiche a tua disposizione esterni a Google, puoi scegliere di utilizzare gli strumenti forniti da Google per migliorare e monitorare la sicurezza dei tuoi dati. Le informazioni sui prodotti di Google per la sicurezza sono disponibili nella nostra pagina Prodotti per la sicurezza Cloud.

(c) Risorse per la sicurezza.

Google pubblica inoltre linee guida su:

• Best practice per la sicurezza
• Casi d'uso relativi alla sicurezza

Utilizzo delle tue informazioni

Google si impegna ad accedere o utilizzare i tuoi dati solo per fornire i Servizi da te richiesti e non li utilizzerà per altri prodotti, servizi o pubblicità di Google.

Privacy e informazioni personali non pubbliche

Google rispetterà le leggi e i regolamenti vigenti sulla privacy per la fornitura dei Servizi.

Violazioni della sicurezza

Google ti comunicherà tempestivamente e senza ritardi ingiustificati eventuali incidenti relativi ai dati. Ulteriori informazioni sul processo di risposta agli incidenti relativi ai dati di Google sono disponibili nel nostro white paper sulla risposta agli incidenti relativi ai dati.

Sicurezza dei dati; misure di sicurezza (Termini per il trattamento e la sicurezza dei dati)

Protezione dei dati del cliente

Trattamento dei dati, ruoli e conformità normativa ( Termini per il trattamento e la sicurezza dei dati)

Incidenti relativi ai dati (Termini per il trattamento e la sicurezza dei dati)

• Controlli interni del fornitore di servizi;

Google si sottopone a diversi controlli indipendenti di terze parti almeno una volta all'anno per fornire una verifica indipendente dell'efficacia dei propri controlli interni. Per garantire la visibilità dell'efficacia dei nostri controlli interni per tutto il corso della nostra relazione, Google si impegna a mantenere certificazioni/rapporti per i seguenti standard internazionali fondamentali durante il periodo di validità del contratto:

• ISO/IEC 27001:2013 (Sistemi di gestione della sicurezza delle informazioni)
• ISO/IEC 27017:2015 (Sicurezza nel cloud)
• ISO/IEC 27018:2014 (Privacy nel cloud)
• PCI DSS
• SOC 1
• SOC 2
• SOC 3

• Conformità con i requisiti normativi vigenti;

• Registrazione dei requisiti di manutenzione per il fornitore di servizi;

• Accesso ai record da parte dell'istituzione:

• Requisiti di notifica e diritti di approvazione per qualsiasi modifica sostanziale a servizi, sistemi, controlli, personale importante del progetto e località di servizio;

Servizi

Consulta la riga 25 relativa alle modifiche ai servizi.

Personale

I clienti possono gestire i servizi in modo indipendente senza l'intervento del personale di Google. Benché il personale di Google gestisca e mantenga l'hardware, il software, le reti e le strutture che supportano i Servizi, data la natura one-to-many degli stessi, non c'è personale Google preposto alla fornitura dei servizi a un singolo individuo.

Località

Per fornirti un servizio veloce, affidabile, solido e resiliente, Google potrebbe archiviare ed elaborare i tuoi dati ovunque Google o i suoi sub-responsabili abbiano una sede.

• Scopri di più sulla località delle strutture di Google e su dove i singoli servizi GCP possono essere sottoposti a deployment.
• Scopri di più sulla località delle strutture dei sub-responsabili di Google.

Google offre gli stessi impegni contrattuali e le stesse misure tecniche e organizzative per i tuoi dati, indipendentemente dal paese o dall'area geografica in cui si trovano. In particolare:

• Le stesse misure di sicurezza solide si applicano a tutte le strutture di Google, indipendentemente dal paese o dall'area geografica.
• Google assume lo stesso impegno relativamente a tutti i suoi sub-responsabili, indipendentemente dal paese o dall'area geografica.

Google offre diverse opzioni di località per l'archiviazione dei tuoi dati, inclusa la possibilità di archiviazione negli Stati Uniti. Una volta che avrai scelto dove archiviare i tuoi dati, Google non li archivierà al di fuori delle aree geografiche selezionate.

Puoi anche scegliere di utilizzare gli strumenti forniti da Google per far applicare i requisiti relativi alla località dei dati. Per ulteriori informazioni, consulta il nostro white paper Residenza dei dati, trasparenza operativa e privacy su Google Cloud.

Trasferimenti di dati (Termini per il trattamento e la sicurezza dei dati)

Sicurezza dei dati, sub-responsabili (Termini per il trattamento e la sicurezza dei dati)

Località dei dati (Termini di servizio specifici)

• Impostare e monitorare parametri per funzioni finanziarie, incluse l'elaborazione dei pagamenti o le estensioni di credito per conto dell'istituzione, e

• Copertura assicurativa gestita dal fornitore di servizi.

Rapporti di controllo

Per ulteriori informazioni sui rapporti di controllo forniti da Google, consulta la riga 10. Google si impegna a mantenere questi rapporti per tutta la durata del contratto stipulato con l'utente. I rapporti vengono generati almeno una volta all'anno dopo il controllo di una terza parte indipendente.

Puoi esaminare le certificazioni e i rapporti di controllo attuali di Google in qualsiasi momento.

• Le certificazioni ISO di Google sono disponibili qui.
• I rapporti SOC e lacertificazione di conformità (AOC) PCI di Google sono disponibili tramite il rappresentante del tuo account Google Cloud.

Le istituzioni possono fornire questi materiali ai propri enti di regolamentazione.

Ispezione

Google riconosce che le istituzioni devono essere in grado di controllare i nostri servizi in modo efficace. Google concede diritti di controllo alle istituzioni e ai loro revisori indipendenti, inclusa l'ispezione delle strutture di elaborazione e delle pratiche operative di Google. L'istituzione è l'ente più adatto a stabilire la frequenza di controllo più consona alla loro organizzazione. Il nostro contratto non prevede un numero fisso di controlli per le istituzioni.

Certificazioni e rapporti di controllo:

Abilitazione della conformità del cliente

Rapporti sul rendimento

Puoi monitorare regolarmente le prestazioni dei Servizi di Google (inclusi gli SLA) utilizzando la funzionalità dei Servizi.

Ad esempio:

• La dashboard dello stato fornisce informazioni sullo stato dei Servizi.
• Le operazioni di Google Cloud sono una soluzione ospitata di monitoraggio, logging e diagnostica che permette di ottenere insight sulle tue applicazioni eseguite su GCP.
• Access Transparency è una funzionalità che consente di esaminare i log delle azioni relative ai tuoi dati intraprese dal personale Google. Le voci di log includono: la risorsa interessata, l'ora dell'azione, il motivo dell'azione (ad esempio il numero del caso associato alla richiesta di assistenza); e informazioni relative a chi sta lavorando sui dati (ad esempio la posizione del personale Google)

Rapporti finanziari

Google offre strumenti di fatturazione che i clienti possono utilizzare per ottenere rapporti sul loro utilizzo dei Servizi e sui costi associati. Ulteriori informazioni sono disponibili nella pagina della documentazione di Fatturazione Cloud e nella pagina Esportare i dati di fatturazione Cloud in BigQuery.

Rapporti di controllo e sicurezza

Consulta la riga 10.

Rapporti di verifica della ripresa dell'attività

Consulta la riga 40.

Sviluppi significativi

Google metterà a disposizione informazioni sugli sviluppi che incidono in modo significativo sulla capacità di Google di fornire i Servizi in conformità agli SLA disponibili. Ulteriori informazioni sono disponibili nella sezione Incidenti e nella dashboard di Google Cloud.

Monitoraggio costante delle prestazioni

Sviluppi significativi

Google implementerà un piano di ripristino di emergenza e di contingenza dell'azienda per i propri servizi, li esaminerà e testerà almeno una volta all'anno e garantirà che rimangano aggiornati rispetto agli standard di settore. Le istituzioni possono esaminare il nostro piano e i risultati dei test.

Informazioni su come i clienti possono utilizzare i nostri Servizi nei propri piani di ripristino di emergenza e di contingenza dell'azienda sono inoltre disponibili nella nostra Guida alla pianificazione del ripristino di emergenza.

Google riconosce che le istituzioni devono tenere in considerazione i rischi associati al cessione in subcontratto. Vogliamo offrire a te e a tutti i nostri clienti il servizio più affidabile, solido e resiliente possibile. In alcuni casi, lavorare con altre organizzazioni affidabili potrebbe comportare evidenti vantaggi, ad esempio l'assistenza 24 ore su 24, 7 giorni su 7.

Responsabilità

Google richiede ai propri subappaltatori di soddisfare i nostri stessi standard elevati. In particolare, Google richiede ai subappaltatori di rispettare il contratto stipulato con te. Google rimarrà responsabile dell'adempimento di tutti gli obblighi ceduti in subcontratto.

Informazioni e modifiche

Per consentire alle istituzioni di mantenere la supervisione di tutti i subappaltatori e offrire opzioni relative all'utilizzo dei servizi, Google si impegna a:

• fornire informazioni sui propri subappaltatori (inclusa la loro funzione e la loro posizione);
• informare in anticipo riguardo a cambiamenti relativi ai subappaltatori; e
• dare agli istituti la possibilità di recedere dal contratto in caso di dubbi su un nuovo subcontraente.

Consulta il tuo contratto dei servizi finanziari di Google Cloud.

Controllo

Google si impegna a supportare le istituzioni con controlli o esami dei nostri servizi. Dal momento che questo tipo di assistenza non è incluso nelle nostre normali tariffe di servizio elencate apertamente, Google potrebbe addebitare una commissione aggiuntiva in relazione a un controllo o un esame. Google fornirà ulteriori dettagli su eventuali commissioni prima dell'attività, non appena l'ambito della stessa venga reso noto.

Dati

Manterrai tutti i diritti di proprietà intellettuale dei tuoi dati, i dati che derivano dai tuoi utilizzando i nostri servizi, e le tue applicazioni. Consulta la riga 28 per informazioni sull'impegno di Google in merito all'utilizzo e alla protezione dei tuoi dati.

Marchi, loghi, ecc

Google non utilizzerà gli elementi distintivi del tuo brand senza la tua previa approvazione.

Proprietà intellettuale

Marketing e pubblicità

Risoluzione

Le istituzioni possono decidere di rescindere il contratto con noi per comodità con preavviso, incluso il caso in cui Google aumenti le tariffe o qualora sia necessario per rispettare la legge.

Inoltre, le istituzioni possono rescindere il contratto con noi con preavviso in caso di violazione significativa di Google dopo un periodo di cura, per un cambio del controllo o per insolvenza di Google.

Transfer

Google riconosce che le istituzioni hanno bisogno di un tempo sufficiente per uscire dai nostri servizi, (incluso il trasferimento dei servizi a un altro fornitore). Per aiutare le istituzioni a raggiungere questo obiettivo, su richiesta, Google continuerà a fornire i servizi per 12 mesi oltre il termine della scadenza o della risoluzione del contratto.

Google ti consente di accedere ai tuoi dati e di esportarli per tutta la durata del contratto e durante il periodo di transizione successivo alla risoluzione. Potrai esportare i dati dai Servizi in una serie di formati standard del settore. Ad esempio:

• Google Kubernetes Engine è un ambiente gestito, pronto per la produzione che garantisce portabilità tra diversi cloud e ambienti on-premise.
• Migrate to Containers ti consente di spostare e convertire i carichi di lavoro direttamente nei container di Google Kubernetes Engine.
• Puoi esportare/importare un'intera immagine VM sotto forma di archivio .tar. Per ulteriori informazioni su immagini e opzioni di archiviazione, consulta la nostra paginaDocumentazione di Compute Engine.

Durata e risoluzione

Durata della transizione

Esportazione dei dati (Termini per il trattamento e la sicurezza dei dati)

Compito

Consulta il tuo contratto dei servizi finanziari di Google Cloud.

Cessione mediante subcontratto

Consulta la riga 41 relativa al subcontratto.

Google LLC è il fornitore di servizi per istituzioni con sede negli Stati Uniti. Google LLC è organizzata ai sensi delle leggi dello Stato del Delaware, Stati Uniti.

Consulta il tuo contratto dei servizi finanziari di Google Cloud per avere ulteriori informazioni in merito alla legislazione vigente e alla giurisdizione applicabile al nostro contratto.

Conformità

Google rispetterà tutte le leggi, i regolamenti e le normative vincolanti vigenti per la fornitura dei Servizi.

Accesso da parte degli enti di regolamentazione

Google concede l'accesso e i diritti di informazione agli enti di regolamentazione delle istituzioni e ai loro delegati.

Dichiarazioni e garanzie

Informazioni, controllo e accesso degli enti di controllo