資料安全防護機制管理 (DSPM) 提供以資料為中心的 Google Cloud 安全性檢視畫面。 DSPM 可協助您瞭解擁有哪些機密資料、這些資料在Google Cloud中的儲存位置，以及資料使用方式是否符合安全性與法規遵循規定，進而持續識別及降低資料風險。
DSPM 功能取決於Security Command Center 服務層級。如要進一步瞭解 Standard 方案提供哪些 DSPM 功能，請參閱「Standard 方案總覽中的資料安全防護機制管理」。
在 Premium 和 Enterprise 方案中，DSPM 可協助團隊完成下列資料安全性工作：
資料探索和分類：自動探索及分類整個 Google Cloud 環境中的機密資料資源，包括 BigQuery 和 Cloud Storage。
資料治理：根據 Google 的最佳做法和法規遵循架構，評估目前的資安態勢，找出並修正潛在的資料安全性問題。
控管機制強制執行：將安全需求對應至特定的資料管理雲端控管機制，例如資料存取管理和資料流量管理。
法規遵循監控：根據套用的資料安全性架構監控工作負載，證明符合規定、修正違規事項，並產生稽核證據。
DSPM 的核心元件
以下各節說明 DSPM 的元件。
透過 DSPM 資訊主頁監控資料安全性資安態勢
您可以在 Google Cloud 控制台的資料安全性資訊主頁中，查看貴機構的資料是否符合資料安全性及法規遵循規定。資料地圖探索工具可將資料位置視覺化，並依機密程度和專案等屬性篩選資料。資訊主頁會顯示違反政策的安全性發現項目、安全性框架部署和涵蓋範圍的詳細資料等。
如要進一步瞭解如何使用資訊主頁，請參閱「監控資料安全防護機制」。
DSPM 資料安全性架構和法規遵循
您可以使用架構定義資料安全性與法規遵循需求，並將這些需求套用至您的 Google Cloud 環境。DSPM 包含資料安全性與隱私權基本架構，其中定義了資料安全性與法規遵循的建議基準控制項。啟用 DSPM 後，系統會自動將這個架構套用至偵測模式下的Google Cloud 機構。您可以根據產生的調查結果，強化資料防護機制。
如有需要，您可以複製架構，建立自訂資料安全架構。您可以將進階資料安全性雲端控制項新增至自訂架構，並將自訂架構套用至為應用程式管理設定的資料夾中的組織、資料夾、專案和 App Hub 應用程式。舉例來說，您可以建立自訂架構，對特定資料夾套用管轄區控管措施，確保這些資料夾中的資料留在特定地理區域。
資料安全性與隱私權基本架構 (基準控制項)
下列雲端控制項屬於「資料安全性與隱私權基本原則」架構。這些控制項提供的偵測功能，與法規遵循管理員和 Sensitive Data Protection 的特定發現項目相當。
下表列出雲端控制項、說明，以及合併使用時可提供類似偵測功能的Compliance Manager和Sensitive Data Protection偵測器。如要瞭解如何在調查期間比對這些發現項目，請參閱比對 Compliance Manager 和 Sensitive Data Protection 的發現項目。
| CloudControl | 說明 |
|---|---|
針對含有機密資料的 BigQuery 資料表啟用 CMEK ( |
偵測包含敏感資料的 BigQuery 資料表是否未使用 CMEK。 這項控制項提供的偵測功能，與下列偵測服務和偵測器合併提供的功能相當：
|
|
針對含有機密資料的 BigQuery 資料集強制使用 CMEK ( |
偵測包含敏感資料的 BigQuery 資料集是否未使用 CMEK。 這項控制項提供的偵測功能，與下列偵測服務和偵測器合併提供的功能相當：
|
|
Block Public Access to BigQuery Datasets with Sensitive Data ( |
偵測可公開存取的 BigQuery 資料集中的私密資料。 這項控制項提供的偵測功能，與下列偵測服務和偵測器合併提供的功能相當：
|
|
禁止公開存取含有機密資料的 Cloud SQL 執行個體 ( |
偵測可公開存取的 SQL 資料庫中的私密資料。 這項控制項提供的偵測功能，與下列偵測服務和偵測器合併提供的功能相當：
|
|
針對含有機密資料的 Cloud SQL 執行個體，要求使用 CMEK ( |
偵測包含敏感資料的 Cloud SQL 資料庫是否未使用 CMEK。 這項控制項提供的偵測功能，與下列偵測服務和偵測器合併提供的功能相當：
|
關聯 Compliance Manager 和 Sensitive Data Protection 的發現項目
調查期間，您可以將在相同資源上發現的特定法規遵循管理員和 Sensitive Data Protection ACTIVE 發現項目相互關聯，找出與 DSPM 雲端控制項發現項目類似的情況。
請使用下列其中一種方法進行調查：
透過 Pub/Sub 取得即時快訊：設定持續匯出至 Pub/Sub 的作業，並篩選
ACTIVE發現項目。如果相同資源同時有相關的 Compliance Manager 和 Sensitive Data Protection 發現項目，且兩者都處於ACTIVE狀態，您可以使用 Cloud Run functions 或 Cloud Run 等下游服務，觸發自動警報或工作流程。使用 BigQuery 安排分析作業：使用持續串流匯出或大量一次性匯出至 BigQuery。您可以在 BigQuery 中執行排定的 SQL 查詢，自行聯結
findings資料表 (以resource_name為依據)，並篩選出 Compliance Manager 和 Sensitive Data Protection 發現結果都存在且處於ACTIVE狀態的項目。
進階資料管理與安全雲端控制項
DSPM 包含進階資料安全性功能，可協助您滿足額外的資料安全性需求。這些進階資料安全性雲端控制項可分為下列幾類：
- 監控使用者授權：偵測指定主體以外的主體是否存取敏感資料。控制項名稱為「Restrict Access to Sensitive Data to Permitted Users」(僅允許特定使用者存取機密資料)。
- 防範資料竊取：偵測指定地理位置 (國家/地區) 以外的用戶端是否存取機密資料。控管名稱為「Restrict Flow of Sensitive Data Across Geographic Jurisdictions」(限制敏感資料在地理管轄區間流動)。
- 強制執行 CMEK 加密：偵測是否在未經客戶自行管理的加密金鑰 (CMEK) 加密的情況下建立機密資料。多項控制項可協助對不同 Google Cloud服務強制執行 CMEK。
- 管理資料刪除：偵測機密資料是否違反保留期限上限政策。控制項名稱為「控管敏感資料的最長保留期限」。
- 管理資料保留期限： (預覽版) 強制規定 Cloud Storage 物件的最短保留期限 (以秒為單位)，確保物件保留一段時間。控制項名稱為「Govern the minimum retention period for Cloud Storage objects」(控管 Cloud Storage 物件的最短保留期限)。您必須註冊才能使用這項控制項。
- 管理資料加密： (預覽版) 規定 Cloud Storage bucket 中的物件必須加密。控制項名稱為「Require Customer-Managed Encryption for Cloud Storage Objects」(要求 Cloud Storage 物件採用客戶自行管理的加密)。您必須註冊才能使用這項控制項。
- 管理資料的公開存取權： (預覽版) 限制 Cloud Storage bucket 中物件的公開存取權，避免資料暴露風險。控制項名稱為「Restrict Public Access to Cloud Storage Objects」(限制 Cloud Storage 物件的公開存取權)。您必須註冊才能使用這項控制項。
這些控制選項僅支援偵測模式。如要進一步瞭解如何部署這些控制項，請參閱「使用 DSPM」。
監控使用者授權
「Restrict Access to Sensitive Data to Permitted Users」(僅允許特定使用者存取私密資料) 控制項會限制特定主體集存取私密資料。如果有人嘗試以不符規定的方式存取資料資源 (也就是由允許的主體以外的主體存取)，系統就會建立調查結果。支援的主體類型為使用者帳戶或群組。如要瞭解應使用的格式，請參閱支援的主體格式表格。
使用者帳戶包括：
- 使用者在 google.com 註冊的 Google 個人帳戶，例如 Gmail.com 帳戶
- 企業專用的受管理 Google 帳戶
- Google Workspace for Education 帳戶
使用者帳戶不包括機器人帳戶、服務帳戶、僅供委派的品牌帳戶、資源帳戶和裝置帳戶。
支援的素材資源類型包括：
- BigQuery 資料集和資料表
- Cloud Storage 值區
- Gemini Enterprise Agent Platform 模型、資料集、特徵儲存庫和中繼資料儲存庫
每當使用者帳戶讀取支援的資源類型時，DSPM 就會評估是否符合這項控管措施。
這項雲端控管機制需要為 Cloud Storage 和 Agent Platform 啟用資料存取稽核記錄。
限制包括：
- 僅支援讀取作業。
- 服務帳戶 (包括服務帳戶模擬) 的存取權不受這項控管措施影響。為防範這類情況，請確保只有受信任的服務帳戶可以存取機密 Cloud Storage、BigQuery 和 Agent Platform 資源。此外，請勿將服務帳戶權杖建立者 (
roles/iam.serviceAccountTokenCreator) 角色授予不應具備存取權的使用者。 - 這項控管措施無法禁止使用者存取透過服務帳戶作業建立的副本，例如 Storage Transfer Service 和 BigQuery 資料移轉服務建立的副本。使用者可以存取未啟用這項控制項的資料副本。
- 不支援連結的資料集。連結的資料集會建立唯讀 BigQuery 資料集，做為來源資料集的符號連結。連結的資料集不會產生資料存取稽核記錄，未經授權的使用者可能因此讀取資料，且不會遭到標記。舉例來說，使用者可以將資料集連結至法規遵循範圍外的資料集，藉此略過存取控制，然後查詢新資料集，而不必針對來源資料集產生記錄。為減輕影響，請勿將 BigQuery 管理員 (
roles/bigquery.admin)、BigQuery 資料擁有者 (roles/bigquery.dataOwner) 或 BigQuery Studio 管理員 (roles/bigquery.studioAdmin) 角色授予不應存取機密 BigQuery 資源的使用者。 - 系統支援資料集層級的Wildcard 資料表查詢，但不支援資料表集層級。這項功能可讓您使用萬用字元運算式，同時查詢多個 BigQuery 資料表。DSPM 處理萬用字元查詢時，會將其視為存取父項 BigQuery 資料集，而非資料集內的個別資料表。
- 不支援公開存取 Cloud Storage 物件。公開存取權：授予所有使用者存取權，不進行任何政策檢查。
- 系統不支援使用經過驗證的瀏覽器工作階段存取或下載 Cloud Storage 物件。
- 部署至 App Hub 應用程式時，系統不支援 BigQuery 資料表和資料集。
防範資料竊取
您可以透過「Restrict Flow of Sensitive Data Across Geographic Jurisdictions」(限制機密資料跨地理管轄區流動) 控管機制，指定允許存取資料的國家/地區。雲端控制的運作方式如下：
如果讀取要求來自網際網路，系統會根據讀取要求的 IP 位址判斷國家/地區。如果使用 Proxy 傳送讀取要求，系統會根據 Proxy 的位置傳送快訊。
如果讀取要求來自 Compute Engine VM，系統會根據要求來源的雲端區域判斷國家/地區。
支援的素材資源類型包括：
- BigQuery 資料集和資料表
- Cloud Storage 值區
- Agent Platform 模型、資料集、特徵儲存庫和中繼資料儲存庫
限制包括：
- 僅支援讀取作業。
- 如果是 Agent Platform，則僅支援來自網際網路的要求。
- 不支援公開存取 Cloud Storage 物件。
- 系統不支援使用經過驗證的瀏覽器工作階段存取或下載 Cloud Storage 物件。
- 如果部署到為應用程式管理設定的資料夾中，App Hub 應用程式就不支援 BigQuery 表格和資料集。
- 如果主體在 24 小時內從不符規定的位置多次存取資源，系統只會針對第一次存取記錄違規事項。
強制執行 CMEK 加密
這些控制選項要求您使用 CMEK 加密特定資源。包括：
- 為 Gemini Enterprise Agent Platform 資料集啟用 CMEK
- 為 Gemini Enterprise Agent Platform 中繼資料儲存庫啟用 CMEK
- 為 Gemini Enterprise Agent Platform 模型啟用 CMEK
- 為 Gemini Enterprise Agent Platform Featurestore 啟用 CMEK
- 為 BigQuery 資料表啟用 CMEK
將這些控制項部署至 App Hub 應用程式時，系統不支援 BigQuery 資料表。
管理最長資料保留政策
「控管機密資料的保留期限上限」控制項可控管機密資料的保留期限。您可以選取資源 (例如 BigQuery 資料表)，並套用資料刪除雲端控制項，偵測是否有任何資源違反最長保留期限。
支援的素材資源類型包括：
將這項控制項部署至 App Hub 應用程式時，系統不支援 BigQuery 資料表和資料集。
管理資料保留設定
「控管 Cloud Storage 物件的最短保留期限」控制項會強制執行 Cloud Storage 物件的最短保留期限。這項控制項可防止 Cloud Storage 物件遭到刪除或修改，直到最短保留期限 (以秒為單位指定) 屆滿為止。
這項控制項會偵測不符合設定最低保留政策的 Cloud Storage 物件。系統會在 Security Command Center 的 bucket 層級產生發現項目。您可以在 Storage Intelligence 資料集 (位於 object_security_findings_view) 中，查詢物件層級的發現項目。物件層級的發現項目具有 findingType：SCC_DSPM_DATA_RETENTION 和 findingReason：MINIMUM_RETENTION_VIOLATION。
支援的資產類型：Cloud Storage 物件
如要使用這項控制項，請先註冊。
管理資料加密設定
「Require Customer-Managed Encryption for Cloud Storage Objects」(要求 Cloud Storage 物件採用客戶自行管理的加密) 控制項可協助您使用 CMEK，強制加密 Cloud Storage 值區中的物件。這項控制項會偵測未以 CMEK 加密的 Cloud Storage 物件，這類物件違反了加密政策。
系統會在 Security Command Center 的 bucket 層級產生發現項目。您可以在 Storage Intelligence 資料集 (位於 object_security_findings_view) 中，查詢物件層級的發現項目。物件層級的發現項目具有 findingType：SCC_DSPM_ENCRYPTION_NO_CMEK 和 findingReason：ENCRYPTION_CMEK_VIOLATION。
支援的資產類型：Cloud Storage 物件
如要使用這項控制項，請先註冊。
管理資料的公開存取權
「限制 Cloud Storage 物件的公開存取權」控制項可協助您限制 Cloud Storage bucket 中物件的公開存取權，避免資料外洩風險。這項控制項會偵測違反公開存取政策的公開存取 Cloud Storage 物件。
系統會在 Security Command Center 的 bucket 層級產生發現項目。您可以在 Storage Intelligence 資料集 (位於 object_security_findings_view) 中查詢詳細的物件層級發現項目。物件層級發現項目具有 findingType：SCC_DSPM_PUBLIC_ACCESS_GOVERNANCE 和 findingReason：PUBLIC_ACCESS_VIOLATION。
物件層級的發現項目中的 sccDspmFinding.securityInsights 欄位會提供公開存取狀態的詳細資料，包括讀取和寫入存取權。
支援的資產類型：Cloud Storage 物件
如要使用這項控制項，請先註冊。
搭配使用 DSPM 和 Sensitive Data Protection
DSPM 會與 Sensitive Data Protection 搭配運作。Sensitive Data Protection 會找出貴機構中的機密資料，而 DSPM 可讓您在機密資料上部署資料安全性雲端控制項，以符合安全性和法規遵循要求。
下表說明如何使用 Sensitive Data Protection 進行資料探索，以及如何使用 DSPM 執行政策和管理安全狀態。
| 服務 | Sensitive Data Protection |
DSPM |
|---|---|---|
| 資料範圍 | 在 Google Cloud的儲存空間中尋找及分類機密資料 (例如 PII 或密鑰)。 |
評估分類機密資料周圍的資安態勢。 |
| 核心動作 | 掃描、剖析及去識別化機密資料。 |
強制執行、監控及驗證政策。 |
| 發現項目重點 | 報告敏感資料的位置 (例如 BigQuery 或 Cloud Storage)。 |
報告會說明資料外洩的原因 (例如公開存取、缺少 CMEK 或權限過多)。 |
| 整合 | 提供敏感度和分類中繼資料給 DSPM。 |
使用 Sensitive Data Protection 資料套用及監控安全控管措施和風險評估。 |