Présentation de la gestion de la stratégie de sécurité des données (DSPM)

La gestion de la stratégie de sécurité des données (DSPM) offre une vue de la sécurité axée sur les données Google Cloud . Elle vous permet d'identifier et de réduire en permanence les risques liés aux données en vous aidant à comprendre quelles données sensibles vous possédez, où elles sont stockées dans Google Cloud, et si leur utilisation est conforme à vos exigences de sécurité et de conformité

Les fonctionnalités de la gestion de la stratégie de sécurité des données dépendent de votre niveau de service Security Command Center. Pour en savoir plus sur les fonctionnalités de la gestion de la stratégie de sécurité des données disponibles dans le niveau Standard, consultez la présentation de la gestion de la stratégie de sécurité des données dans le niveau Standard.

Dans les niveaux Premium et Enterprise, la gestion de la stratégie de sécurité des données permet à votre équipe d'effectuer les tâches de sécurité des données suivantes :

  • Découverte et classification des données : découvrez et classez automatiquement les données sensibles ressources dans votre Google Cloud environnement, y compris BigQuery et Cloud Storage.

  • Gouvernance des données : évaluez votre stratégie de sécurité des données actuelle par rapport aux bonnes pratiques et aux frameworks de conformité de Google pour identifier et corriger les problèmes de sécurité potentiels.

  • Application des contrôles : mappez vos exigences de sécurité avec des contrôles cloud spécifiques de gouvernance des données, tels que la gouvernance des accès aux données et la gouvernance des flux de données.

  • Surveillance de la conformité : surveillez les charges de travail par rapport aux frameworks de sécurité des données appliqués pour prouver l'alignement, corriger les violations et générer des preuves à des fins d'audit.

Composants principaux de la gestion de la stratégie de sécurité des données

Les sections suivantes décrivent les composants de la gestion de la stratégie de sécurité des données.

Surveiller votre stratégie de sécurité des données avec le tableau de bord de la gestion de la stratégie de sécurité des données

Le tableau de bord de sécurité des données de la Google Cloud console vous permet de voir comment les données de votre organisation sont alignées sur vos exigences de sécurité et de conformité. Il comprend un explorateur de carte des données pour visualiser les emplacements des données et filtrer par attributs tels que la sensibilité et le projet. Le tableau de bord fournit des résultats de sécurité pour les violations de règles, des détails sur le déploiement et la couverture du framework de sécurité, et plus encore.

Pour en savoir plus sur l'utilisation du tableau de bord, consultez Surveiller votre stratégie de sécurité des données.

Frameworks de sécurité des données et conformité de la gestion de la stratégie de sécurité des données

Vous utilisez des frameworks pour définir vos exigences de sécurité et de conformité des données, et appliquer ces exigences à votre Google Cloud environnement. La gestion de la stratégie de sécurité des données inclut le framework "Principes de base de la sécurité et de la confidentialité des données", qui définit les contrôles de référence recommandés pour la sécurité et la conformité des données. Lorsque vous activez la gestion de la stratégie de sécurité des données, ce framework est automatiquement appliqué à l'organisation Google Cloud en mode détection. Vous pouvez utiliser les résultats générés pour renforcer votre stratégie de données.

Si nécessaire, vous pouvez créer des copies du framework pour créer des frameworks de sécurité des données personnalisés. Vous pouvez ajouter les contrôles cloud avancés de sécurité des données à vos frameworks personnalisés et appliquer les frameworks personnalisés à l'organisation, aux dossiers, aux projets et aux applications App Hub dans les dossiers configurés pour la gestion des applications. Par exemple, vous pouvez créer des frameworks personnalisés qui appliquent des contrôles juridictionnels à des dossiers spécifiques pour vous assurer que les données de ces dossiers restent dans une région géographique particulière.

Framework "Principes de base de la sécurité et de la confidentialité des données" (contrôles de référence)

Les contrôles cloud suivants font partie du framework "Principes de base de la sécurité et de la confidentialité des données".

Contrôle cloud Description

Exiger une clé CMEK pour les tables BigQuery contenant des données sensibles

Détecter quand une clé CMEK n'est pas utilisée pour les tables BigQuery contenant des données sensibles.

Exiger une clé CMEK pour les ensembles de données BigQuery contenant des données sensibles

Détecter quand une clé CMEK n'est pas utilisée pour les ensembles de données BigQuery contenant des données sensibles.

Bloquer l'accès public aux ensembles de données BigQuery contenant des données sensibles

Détecter les données sensibles dans les ensembles de données BigQuery accessibles au public.

Bloquer l'accès public aux instances Cloud SQL contenant des données sensibles

Détecter les données sensibles dans les bases de données SQL accessibles au public.

Exiger une clé CMEK pour les instances Cloud SQL contenant des données sensibles

Détecter quand une clé CMEK n'est pas utilisée pour les bases de données SQL contenant des données sensibles.

Contrôles cloud avancés de gouvernance et de sécurité des données

La gestion de la stratégie de sécurité des données inclut une sécurité avancée des données pour vous aider à répondre à des exigences supplémentaires en matière de sécurité des données. Ces contrôles cloud avancés de sécurité des données sont regroupés comme suit :

  • Surveiller les autorisations des utilisateurs : détecte si des comptes principaux autres que ceux que vous spécifiez accèdent à des données sensibles. Le nom du contrôle est Limiter l'accès aux données sensibles aux utilisateurs autorisés.
  • Prévenir l'exfiltration de données : détecte si des clients situés en dehors des zones géographiques (pays) spécifiées accèdent à des données sensibles. Le nom du contrôle est Limiter le flux de données sensibles entre les juridictions géographiques.
  • Appliquer le chiffrement CMEK : détecte si des données sensibles sont créées sans chiffrement à l'aide de clés de chiffrement gérées par le client (CMEK). Plusieurs contrôles permettent d'appliquer le chiffrement CMEK pour différents Google Cloud services.
  • Gérer la suppression des données : détecte les violations des règles de période de conservation maximale pour les données sensibles. Le nom du contrôle est Gérer la période de conservation maximale des données sensibles.
  • Gérer la conservation des données (preview) applique une période de conservation minimale (en secondes) pour les objets Cloud Storage afin de s'assurer qu'ils sont conservés pendant une période minimale de temps. Le nom du contrôle est Gérer la période de conservation minimale des objets Cloud Storage. Vous devez vous inscrire pour utiliser ce contrôle.
  • Gérer le chiffrement des données (preview) exige le chiffrement des objets dans les buckets Cloud Storage. Le nom du contrôle est Exiger le chiffrement géré par le client pour les objets Cloud Storage. Vous devez vous inscrire pour utiliser ce contrôle.
  • Gérer l'accès public aux données : (preview) limite l'accès public aux objets dans les buckets Cloud Storage pour éviter tout risque d'exposition des données. Le nom du contrôle est Limiter l'accès public aux objets Cloud Storage. Vous devez vous inscrire pour utiliser ce contrôle.

Ces contrôles ne sont compatibles qu'avec le mode détection. Pour en savoir plus sur le déploiement de ces contrôles, consultez Utiliser la gestion de la stratégie de sécurité des données.

Surveiller les autorisations des utilisateurs

Le contrôle "Limiter l'accès aux données sensibles aux utilisateurs autorisés" limite l'accès aux données sensibles à des ensembles de comptes principaux spécifiés. Lorsqu'une tentative d'accès non conforme (accès par des comptes principaux autres que ceux autorisés) aux ressources de données est détectée, un résultat est créé. Les types de comptes principaux acceptés sont les comptes utilisateur ou les groupes. Pour savoir quel format utiliser, consultez le tableau des formats de comptes principaux acceptés.

Les comptes utilisateur incluent les éléments suivants :

  • Comptes Google grand public auxquels les utilisateurs s'inscrivent sur google.com, tels que les comptes Gmail.com
  • Comptes Google gérés pour les entreprises
  • Comptes Google Workspace for Education

Les comptes utilisateur n'incluent pas les comptes de robot, les comptes de service, les comptes de marque avec délégation uniquement, les comptes de ressources ni les comptes d'appareil.

Les types d'éléments suivants sont acceptés :

  • Ensembles de données et tables BigQuery
  • Buckets Cloud Storage
  • Modèles, ensembles de données, feature stores et metadata stores de Gemini Enterprise Agent Platform

La gestion de la stratégie de sécurité des données évalue la conformité à ce contrôle chaque fois qu'un compte utilisateur lit un type de ressource accepté.

Ce contrôle cloud nécessite que vous activiez les journaux d'audit pour l'accès aux données pour Cloud Storage et Agent Platform.

En voici certaines :

  • Seules les opérations de lecture sont acceptées.
  • L'accès par les comptes de service, y compris l'emprunt d'identité d'un compte de service, est exempté de ce contrôle. Pour atténuer ce risque, assurez-vous que seuls les comptes de service de confiance ont accès aux ressources sensibles Cloud Storage, BigQuery et Agent Platform. De plus, n'accordez pas le rôle de créateur de jetons du compte de service (roles/iam.serviceAccountTokenCreator) aux utilisateurs qui ne devraient pas y avoir accès.
  • Ce contrôle n'empêche pas les utilisateurs d'accéder aux copies créées via des opérations de compte de service telles que celles effectuées par le service de transfert de stockage et le service de transfert de données BigQuery. Les utilisateurs peuvent accéder à des copies de données pour lesquelles ce contrôle n'est pas activé.
  • Les ensembles de données associés ne sont pas acceptés. Les ensembles de données associés créent un ensemble de données BigQuery en lecture seule qui sert de lien symbolique vers un ensemble de données source. Les ensembles de données associés ne génèrent pas de journaux d'audit pour l'accès aux données et peuvent permettre à un utilisateur non autorisé de lire des données sans qu'elles soient signalées. Par exemple, un utilisateur peut contourner le contrôle d'accès en associant un ensemble de données à un ensemble de données en dehors de votre limite de conformité, puis interroger le nouvel ensemble de données sans générer de journaux par rapport à l'ensemble de données source. Pour atténuer ce risque, n'accordez pas les rôles d'administrateur BigQuery (roles/bigquery.admin), de propriétaire de données BigQuery (roles/bigquery.dataOwner) ni d'administrateur BigQuery Studio (roles/bigquery.studioAdmin) aux utilisateurs qui ne devraient pas avoir accès aux ressources BigQuery sensibles.
  • Les requêtes de table génériques sont acceptées au niveau de l'ensemble de données, mais pas au niveau de l'ensemble de tables. Cette fonctionnalité vous permet d'interroger plusieurs tables BigQuery en même temps à l'aide d'expressions génériques. La gestion de la stratégie de sécurité des données traite les requêtes génériques comme si vous accédiez à l'ensemble de données BigQuery parent, et non à des tables individuelles de l'ensemble de données.
  • L'accès public aux objets Cloud Storage n'est pas accepté. L'accès public accorde l'accès à tous les utilisateurs sans aucune vérification des règles.
  • L'accès aux objets Cloud Storage ou leur téléchargement à l'aide de sessions de navigateur authentifiées ne sont pas acceptés.
  • Lorsqu'elles sont déployées dans une application App Hub, les tables et les ensembles de données BigQuery ne sont pas acceptés.

Prévenir l'exfiltration de données

Le contrôle "Limiter le flux de données sensibles entre les juridictions géographiques" vous permet de spécifier les pays autorisés à partir desquels les données sont accessibles. Le contrôle cloud fonctionne comme suit :

  • Si une requête de lecture provient d'Internet, le pays est déterminé en fonction de l'adresse IP de la requête de lecture. Si un proxy est utilisé pour envoyer la requête de lecture, des alertes sont envoyées en fonction de l'emplacement du proxy.

  • Si la requête de lecture provient d'une VM Compute Engine, le pays est déterminé par la zone cloud d'où provient la requête.

Les types d'éléments suivants sont acceptés :

  • Ensembles de données et tables BigQuery
  • Buckets Cloud Storage
  • Modèles, ensembles de données, feature stores et metadata stores d'Agent Platform

En voici certaines :

  • Seules les opérations de lecture sont acceptées.
  • Pour Agent Platform, seules les requêtes provenant d'Internet sont acceptées.
  • L'accès public aux objets Cloud Storage n'est pas accepté.
  • L'accès aux objets Cloud Storage ou leur téléchargement à l'aide de sessions de navigateur authentifiées ne sont pas acceptés.
  • Lorsqu'elles sont déployées dans une application App Hub dans un dossier configuré pour la gestion des applications, les tables et les ensembles de données BigQuery ne sont pas acceptés.
  • Lorsqu'un compte principal accède à une ressource plusieurs fois à partir d'un emplacement non conforme dans un délai de 24 heures, les violations ne sont acceptées que pour le premier accès.

Appliquer le chiffrement CMEK

Ces contrôles nécessitent que vous chiffriez des ressources spécifiques à l'aide de clés CMEK. Exemples :

Lorsque vous déployez ces contrôles dans une application App Hub, les tables BigQuery ne sont pas acceptées.

Gérer les règles de conservation maximale des données

Le contrôle "Gérer la période de conservation maximale des données sensibles Data" régit la période de conservation des données sensibles. Vous pouvez sélectionner des ressources (par exemple, des tables BigQuery) et appliquer un contrôle cloud de suppression des données qui détecte si l'une des ressources dépasse les limites de conservation d'âge maximal.

Les types d'éléments suivants sont acceptés :

  • Ensembles de données et tables BigQuery
  • Modèles, ensembles de données, feature stores et metadata stores d'Agent Platform
  • Objets Cloud Storage (preview). Vous devez vous inscrire pour utiliser ce contrôle.

Lorsque vous déployez ce contrôle dans une application App Hub, les tables et les ensembles de données BigQuery ne sont pas acceptés.

Gérer la conservation des données

Le contrôle Gérer la période de conservation minimale des objets Cloud Storage applique une période de conservation minimale pour les objets Cloud Storage. Ce contrôle empêche la suppression ou la modification des objets Cloud Storage avant la fin de la période de conservation minimale (spécifiée en secondes).

Ce contrôle détecte les objets Cloud Storage qui ne respectent pas la règle de conservation minimale configurée. Les résultats sont générés dans Security Command Center au niveau du bucket. Vous pouvez interroger les résultats au niveau de l'objet dans les ensembles de données Storage Intelligence (dans object_security_findings_view). Les résultats au niveau de l'objet ont findingType : SCC_DSPM_DATA_RETENTION et findingReason : MINIMUM_RETENTION_VIOLATION.

Types d'éléments acceptés : objets Cloud Storage

Vous devez vous inscrire pour utiliser ce contrôle.

Gérer le chiffrement des données

Le contrôle Exiger le chiffrement géré par le client pour les objets Cloud Storage vous aide à appliquer le chiffrement pour les objets dans les buckets Cloud Storage à l'aide de clés CMEK. Le contrôle détecte les objets Cloud Storage qui ne sont pas chiffrés avec une clé CMEK, en violation de votre règle de chiffrement.

Les résultats sont générés dans Security Command Center au niveau du bucket. Vous pouvez interroger les résultats au niveau de l'objet dans les ensembles de données Storage Intelligence (dans object_security_findings_view). Les résultats au niveau de l'objet ont findingType : SCC_DSPM_ENCRYPTION_NO_CMEK et findingReason : ENCRYPTION_CMEK_VIOLATION.

Types d'éléments acceptés : objets Cloud Storage

Vous devez vous inscrire pour utiliser ce contrôle.

Gérer l'accès public aux données

Le contrôle Limiter l'accès public aux objets Cloud Storage vous aide à limiter l'accès public aux objets dans les buckets Cloud Storage pour éviter tout risque d'exposition des données. Ce contrôle détecte les objets Cloud Storage qui sont accessibles au public, en violation de votre règle d'accès public.

Les résultats sont générés dans Security Command Center au niveau du bucket. Vous pouvez interroger les résultats détaillés au niveau de l'objet dans les ensembles de données Storage Intelligence (dans object_security_findings_view). Les résultats au niveau de l'objet ont findingType : SCC_DSPM_PUBLIC_ACCESS_GOVERNANCE et findingReason : PUBLIC_ACCESS_VIOLATION.

Le champ sccDspmFinding.securityInsights du résultat au niveau de l'objet fournit plus de détails sur l'état d'accessibilité publique, y compris l'accès en lecture et en écriture.

Types d'éléments acceptés : objets Cloud Storage

Vous devez vous inscrire pour utiliser ce contrôle.

Utiliser la gestion de la stratégie de sécurité des données avec Sensitive Data Protection

La gestion de la stratégie de sécurité des données fonctionne avec Sensitive Data Protection. Sensitive Data Protection détecte les données sensibles dans votre organisation, et la gestion de la stratégie de sécurité des données vous permet de déployer des contrôles cloud de sécurité des données sur les données sensibles pour répondre à vos exigences de sécurité et de conformité.

Le tableau suivant décrit comment vous pouvez utiliser Sensitive Data Protection pour la détection des données et la gestion de la stratégie de sécurité des données pour l'application des règles et la gestion de la stratégie de sécurité.

Service

Sensitive Data Protection

DSPM
Champ des données

Détecte et classe les données sensibles (telles que les informations permettant d'identifier l'utilisateur ou les secrets) dans le stockage sur Google Cloud.

Évalue la stratégie de sécurité autour des données sensibles classées.
Actions principales

Analyse, profile et anonymise les données sensibles.

Applique, surveille et valide les règles.
Focus des résultats

Indique où se trouvent les données sensibles (par exemple, BigQuery ou Cloud Storage).

Indique pourquoi les données sont exposées (par exemple, accès public, clé CMEK manquante ou autorisations excessives).
Intégration

Fournit à la gestion de la stratégie de sécurité des données des métadonnées de sensibilité et de classification.

Utilise les données de Sensitive Data Protection pour appliquer et surveiller les contrôles de sécurité et les évaluations des risques.

Étape suivante