Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Attiva rilevamento di dati sensibili

Il rilevamento dei dati sensibili di Sensitive Data Protection ti consente di individuare, classificare e valutare le risorse sensibili nel tuo ambiente. Il servizio di rilevamento genera profili di dati e valuta il rischio per la sicurezza in base alla sensibilità dei dati.

Prima di iniziare

Per utilizzare il rilevamento di dati sensibili con Security Command Center, completa queste attività.

Attiva Security Command Center

Attiva Security Command Center. A seconda di come attivi Security Command Center, potresti incorrere in costi aggiuntivi per Sensitive Data Protection. Per i dettagli, vedi Prezzi di Discovery per i clienti di Security Command Center.

Assicurati che Security Command Center sia configurato per accettare i risultati di Sensitive Data Protection

Per impostazione predefinita, Security Command Center è configurato per accettare i risultati di Sensitive Data Protection. Se la tua organizzazione ha disattivato Sensitive Data Protection come servizio integrato, devi riattivarlo per ricevere i risultati del rilevamento dei dati sensibili. Per maggiori informazioni, consulta Aggiungere un servizio integrato Google Cloud .

Configurare le autorizzazioni

Per ottenere le autorizzazioni necessarie per configurare il rilevamento di dati sensibili, chiedi all'amministratore di concederti i seguenti ruoli IAM nell'organizzazione:

Finalità	Ruolo predefinito	Autorizzazioni pertinenti
Crea una configurazione di scansione di rilevamento e visualizza i profili di dati	DLP Administrator (`roles/dlp.admin`)	dlp.columnDataProfiles.list dlp.fileStoreProfiles.list dlp.inspectTemplates.create dlp.jobs.create dlp.jobs.list dlp.jobTriggers.create dlp.jobTriggers.list dlp.projectDataProfiles.list dlp.tableDataProfiles.list
Crea un progetto da utilizzare come service agent container¹	Autore progetto (`roles/resourcemanager.projectCreator`)	resourcemanager.organizations.get resourcemanager.projects.create
Concedere l'accesso alla scoperta²	Uno dei seguenti: Amministratore organizzazione (`roles/resourcemanager.organizationAdmin`) Amministratore sicurezza (`roles/iam.securityAdmin`)	resourcemanager.organizations.getIamPolicy resourcemanager.organizations.setIamPolicy

¹ Se non disponi del ruolo Project Creator (roles/resourcemanager.projectCreator), puoi comunque creare una configurazione di scansione, ma il container dell'agente di servizio che utilizzi deve essere un progetto esistente.

² Se non disponi del ruolo Organization Administrator (roles/resourcemanager.organizationAdmin) o Amministratore sicurezza (roles/iam.securityAdmin), puoi comunque creare una configurazione di scansione. Dopo aver creato la configurazione di scansione, una persona della tua organizzazione che dispone di uno di questi ruoli deve concedere l'accesso al rilevamento all'agente di servizio.

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

Vantaggi

Questa funzionalità offre i seguenti vantaggi:

Puoi utilizzare i risultati di Sensitive Data Protection per identificare e correggere vulnerabilità e errori di configurazione nelle tue risorse che possono esporre dati sensibili al pubblico o a malintenzionati.
Puoi utilizzare i risultati di Sensitive Data Protection per aggiungere contesto al processo di triage e dare la priorità alle minacce che prendono di mira le risorse contenenti dati sensibili.
Puoi configurare la funzionalità di simulazione del percorso di attacco per dare automaticamente la priorità alle risorse in base alla sensibilità dei dati che contengono. Per saperne di più, consulta Impostare automaticamente i valori di priorità delle risorse in base alla sensibilità dei dati.

Rilevamento di dati sensibili in Security Command Center Enterprise

Security Command Center Enterprise include un abbonamento a livello di organizzazione al servizio di rilevamento di Sensitive Data Protection. Con questo abbonamento, non vengono addebitati costi di Sensitive Data Protection quando esegui il rilevamento dei dati sensibili a livello di organizzazione o cartella. Per saperne di più, consulta la sezione Capacità di rilevamento in Enterprise e Premium di questo documento.

Quando attivi il livello Security Command Center Enterprise, si verifica quanto segue:

L'API Cloud Data Loss Prevention viene attivata automaticamente nel progetto di gestione utilizzato per attivare Security Command Center Enterprise. Questo progetto di gestione funge da container del service agent per il rilevamento di dati sensibili.

Nota :negli audit log, l'attore di questa azione è l'entità della tua organizzazione che ha attivato Security Command Center Enterprise.
Il rilevamento dei dati sensibili è attivato automaticamente per tutti i tipi di risorse supportati a livello di organizzazione. Sensitive Data Protection esegue scansioni del rilevamento in tutti i progetti dell'organizzazione, a meno che tu non modifichi la configurazione di scansione del rilevamento per escludere determinati progetti.

Questo processo di attivazione automatica è un'operazione una tantum che si applica solo ai tipi di risorse supportati al momento dell'attivazione del livello Enterprise. Se in un secondo momento Sensitive Data Protection aggiunge il supporto per la scoperta di nuovi tipi di risorse, devi abilitare manualmente questi tipi di scoperta. Per istruzioni, vedi Attivare il rilevamento con le impostazioni predefinite in un'organizzazione in questo documento.

Rilevamento di dati sensibili in Security Command Center Premium

Se hai un'attivazione a livello di organizzazione di Security Command Center Premium, il tuo abbonamento Premium include un abbonamento a livello di organizzazione al servizio di rilevamento Sensitive Data Protection. Con questo abbonamento, non ti vengono addebitati costi di Sensitive Data Protection quando esegui il rilevamento dei dati sensibili a livello di organizzazione o cartella. Per saperne di più, consulta la sezione Capacità di rilevamento in Enterprise e Premium di questo documento.

Importante:quando configuri il rilevamento dei dati sensibili, assicurati che l'ambito della configurazione (noto anche come parent) sia la tua organizzazione e non un progetto. Il tuo abbonamento a livello di organizzazione include la scoperta solo nell'ambito dell'organizzazione. Se utilizzi un ambito a livello di progetto, vengono addebitati costi di rilevamento separati.

Per utilizzare l'abbonamento a livello di organizzazione per eseguire il rilevamento su un singolo progetto, consulta Profilo: seleziona progetti o asset di dati in un'organizzazione o una cartella nella documentazione di Sensitive Data Protection.

Per eseguire il rilevamento dei dati sensibili a livello di organizzazione, consulta Attivare il rilevamento con le impostazioni predefinite in un'organizzazione in questo documento.
Se hai un'attivazione di Security Command Center Premium a livello di progetto, puoi attivare il rilevamento di dati sensibili a livello di progetto e ottenere i risultati in Security Command Center. Tuttavia, questa funzionalità ha un prezzo separato. Per attivare il rilevamento a livello di progetto, consulta Creare una configurazione di scansione nella documentazione di Sensitive Data Protection.

Per determinare il tipo di attivazione della tua istanza di Security Command Center, consulta Visualizzare il tipo di attivazione corrente.

Rilevamento di dati sensibili in Security Command Center Standard

Se hai Security Command Center Standard, puoi abilitare il rilevamento di dati sensibili e ottenere i risultati in Security Command Center. Tuttavia, questa funzionalità ha un prezzo separato.

Come funziona

Il servizio di rilevamento Sensitive Data Protection ti aiuta a proteggere i dati in tutta l'organizzazione identificando la posizione dei dati sensibili e ad alto rischio.

In Sensitive Data Protection, il servizio di rilevamento genera profili di dati, che forniscono metriche e approfondimenti sui tuoi dati a vari livelli di dettaglio.
In Security Command Center, il servizio di rilevamento genera risultati.

Risultati generati

Sensitive Data Protection genera risultati di osservazione in Security Command Center che mostrano i livelli di sensibilità e rischio dei dati calcolati per i tuoi dati. Puoi utilizzare questi risultati per informare la tua risposta quando riscontri minacce e vulnerabilità relative alle tue risorse di dati. Per un elenco dei tipi di risultati generati, vedi Risultati dell'osservazione dal servizio di rilevamento.

Questi risultati possono informare la designazione automatica di risorse di alto valore in base alla sensibilità dei dati e all'arricchimento dei risultati relativi alle minacce. Per saperne di più, consulta Utilizzare gli approfondimenti sul rilevamento per identificare le risorse di alto valore e Utilizzare gli approfondimenti sul rilevamento per arricchire i risultati delle minacce in questo documento.
Sensitive Data Protection genera risultati di vulnerabilità e configurazione errata in Security Command Center quando rileva dati ad alta o media sensibilità non protetti. Per un elenco dei tipi di risultati generati, consulta quanto segue:
- Risultati delle vulnerabilità del servizio di rilevamento Sensitive Data Protection
- Risultati di configurazione errata del servizio di rilevamento di Sensitive Data Protection

Per un elenco completo dei risultati di Sensitive Data Protection, consulta Sensitive Data Protection.

Trovare la latenza di generazione

A seconda delle dimensioni della tua organizzazione, i risultati di Sensitive Data Protection possono iniziare a essere visualizzati in Security Command Center pochi minuti dopo l'abilitazione del rilevamento di dati sensibili. Per le organizzazioni più grandi o con configurazioni specifiche che influiscono sulla generazione dei risultati, possono essere necessarie fino a 12 ore prima che i risultati iniziali vengano visualizzati in Security Command Center.

Successivamente, Sensitive Data Protection genera risultati in Security Command Center pochi minuti dopo che il servizio di rilevamento ha analizzato le tue risorse.

Attivare la scoperta con le impostazioni predefinite in un'organizzazione

Per attivare il rilevamento, crea una configurazione di rilevamento per ogni origine dati che vuoi analizzare. Puoi modificare le configurazioni dopo averle create. Per personalizzare le impostazioni durante la creazione di una configurazione, consulta Creare una configurazione di analisi.

Per attivare il rilevamento con le impostazioni predefinite a livello di organizzazione, segui questi passaggi:

Nella console Google Cloud , vai alla pagina Sensitive Data Protection Abilita rilevamento.

Vai ad Attiva rilevamento
Verifica di visualizzare l'organizzazione su cui hai attivato Security Command Center.
Nel riquadro Abilita rilevamento, nel campo Container del service agent, imposta il progetto da utilizzare come container del service agent. All'interno di questo progetto, il sistema crea un service agent e gli concede automaticamente i ruoli di rilevamento richiesti.
- Per creare automaticamente un progetto da utilizzare come container dell'agente di servizio:
  1. Fai clic su Crea.
  2. Specifica il nome, l'account di fatturazione e l'organizzazione padre del nuovo progetto. Se vuoi, modifica l'ID progetto.
  3. Fai clic su Crea.
  Potrebbero essere necessari alcuni minuti prima che i ruoli vengano concessi al service agent del nuovo progetto.
- Per selezionare un progetto che hai utilizzato in precedenza per le operazioni di rilevamento, fai clic sul campo Contenitore dell'agente di servizio e seleziona il progetto.
Per esaminare le impostazioni predefinite, fai clic sull'icona di espansione .
Nella sezione Attiva la scoperta, fai clic su Attiva per ogni tipo di scoperta che vuoi attivare. L'abilitazione di un tipo di rilevamento comporta quanto segue:
- BigQuery: crea una configurazione di rilevamento per la profilazione delle tabelle BigQuery nell'organizzazione. Sensitive Data Protection inizia a profilare i tuoi dati BigQuery e invia i profili a Security Command Center.
- Cloud SQL: crea una configurazione di rilevamento per la profilazione delle tabelle Cloud SQL nell'organizzazione. Sensitive Data Protection inizia a creare connessioni predefinite per ciascuna delle tue istanze Cloud SQL. Questa procedura può richiedere alcune ore. Quando le connessioni predefinite sono pronte, devi concedere a Sensitive Data Protection l'accesso alle tue istanze Cloud SQL aggiornando ogni connessione con le credenziali utente del database corrette.
- Vulnerabilità di secret/credenziali: crea una configurazione di rilevamento per rilevare e segnalare i secret non criptati nelle variabili di ambiente di Cloud Run. Sensitive Data Protection inizia a scansionare le variabili di ambiente.
- Cloud Storage: crea una configurazione di rilevamento per la profilazione dei bucket Cloud Storage nell'organizzazione. Sensitive Data Protection inizia a profilare i tuoi dati di Cloud Storage e invia i profili a Security Command Center.
- Set di dati Vertex AI: crea una configurazione di rilevamento per la profilazione dei set di dati della piattaforma Gemini Enterprise Agent in tutta l'organizzazione. Sensitive Data Protection inizia a profilare i tuoi set di dati Agent Platform e invia i profili a Security Command Center.
- Amazon S3: crea una configurazione di rilevamento per profilare tutti i dati Amazon S3 a cui ha accesso il connettore AWS.
  
  Nota :questa funzionalità richiede Security Command Center Enterprise. Devi prima creare un connettore AWS che disponga delle autorizzazioni AWS necessarie per il servizio di rilevamento Sensitive Data Protection.
- Azure Blob Storage: crea una configurazione di rilevamento per profilare tutti i dati di Azure Blob Storage a cui ha accesso il connettore Azure.
  
  Nota :questa funzionalità richiede Security Command Center Enterprise. Devi prima creare un connettore Azure che disponga delle autorizzazioni Azure necessarie per la rilevamento di Sensitive Data Protection.
Per visualizzare le configurazioni del rilevamento appena create, fai clic su Vai alla configurazione del rilevamento.

Se hai abilitato il rilevamento Cloud SQL, la configurazione del rilevamento viene creata in modalità in pausa con errori che indicano l'assenza di credenziali. Consulta Gestire le connessioni da utilizzare con la scoperta per concedere i ruoli IAM richiesti al tuo service agent e per fornire le credenziali utente del database per ogni istanza Cloud SQL.
Chiudi il riquadro.

Per visualizzare i risultati generati da Sensitive Data Protection, consulta Esaminare i risultati di Sensitive Data Protection nella consoleGoogle Cloud .

Personalizza le configurazioni di scansione

Ogni tipo di rilevamento che attivi ha una configurazione di scansione del rilevamento che puoi personalizzare. Puoi ad esempio eseguire le seguenti operazioni:

Regola la frequenza di scansione.
Specifica i filtri per gli asset di dati di cui non vuoi eseguire nuovamente la profilazione.
Modifica il modello di ispezione, che definisce i tipi di informazioni che Sensitive Data Protection analizza.
Pubblica i profili dei dati generati in altri Google Cloud servizi.
Modifica il container del service agent.

Utilizzare gli approfondimenti sulla scoperta per identificare le risorse di alto valore

Security Command Center può designare automaticamente una risorsa che contiene dati con sensibilità alta o media come risorsa di alto valore. Per le risorse di alto valore, Security Command Center fornisce punteggi di esposizione agli attacchi e visualizzazioni dei percorsi di attacco, che puoi utilizzare per dare la priorità alla sicurezza delle risorse che contengono dati sensibili. Per ulteriori informazioni, vedi Impostare automaticamente i valori di priorità delle risorse in base alla sensibilità dei dati.

Utilizzare gli approfondimenti sulla scoperta per arricchire i risultati relativi alle minacce

Event Threat Detection è integrato con Sensitive Data Protection per arricchire i risultati delle risorse sensibili. Se configuri le analisi di rilevamento di Sensitive Data Protection in modo da inviare i risultati a Security Command Center, Event Threat Detection può utilizzare i metadati di sensibilità delle tue risorse BigQuery e Cloud Storage per modificare i risultati:

Modifiche alla categoria: se una risorsa viene identificata da Sensitive Data Protection come risorsa con sensibilità alta o moderata, la categoria del risultato viene aggiornata a una categoria specifica che indica che la risorsa è sensibile. Ad esempio, se una chiave del account di servizio compromessa viene utilizzata per accedere a un bucket sensibile, la categoria del risultato cambia da Initial Access: Leaked Service Account Key Used a Initial Access: Leaked Service Account Key Affecting Sensitive Data.
Aumento della gravità: se la gravità predefinita del risultato è inferiore a Alta (ovvero Bassa o Media), la gravità viene aumentata di un livello (ad esempio, da Media ad Alta).

Per un elenco delle regole che supportano l'arricchimento dei dati sensibili, consulta Regole predefinite di Event Threat Detection.

Capacità di rilevamento in Enterprise e Premium

Se le tue esigenze di rilevamento dei dati sensibili superano la capacità allocata per i clienti di Security Command Center Enterprise o Premium (a livello di organizzazione), Sensitive Data Protection potrebbe aumentare temporaneamente la tua capacità. Tuttavia, questo aumento non è garantito e dipende dalla disponibilità di risorse di calcolo. Se hai bisogno di una maggiore capacità di scoperta, contatta il tuo rappresentante dell'account o un esperto delle vendite diGoogle Cloud . Per saperne di più, consulta Monitorare l'utilizzo nella documentazione di Sensitive Data Protection.

Rilevamento di dati sensibili all'interno dei perimetri di servizio

Se utilizzi i perimetri di servizio di Controlli di servizio VPC e vuoi rilevare dati sensibili all'interno di questi perimetri, consulta Consentire il rilevamento di dati sensibili all'interno dei perimetri di servizio. Se non esegui questa attività, potresti ricevere avvisi.