Aktionen für die Prüfung oder Risikoanalyse aktivieren

In diesem Dokument werden die Aktionen beschrieben, die Sensitive Data Protection nach der Ausführung eines Inspektionsjobs oder einer Risikoanalyse ausführen kann.

Eine Aktion ist eine Aufgabe, die von Sensitive Data Protection ausgeführt wird, nachdem ein Prüfjob oder eine Risikoanalyse abgeschlossen wurde. Beispielsweise können Sie die Ergebnisse in einer BigQuery-Tabelle speichern, eine Benachrichtigung in einem Pub/Sub-Thema veröffentlichen oder eine E-Mail senden, wenn ein Vorgang erfolgreich abgeschlossen oder wegen eines Fehlers beendet wurde.

Vorgänge zur Erkennung sensibler Daten verfügen über einen anderen Satz von Aktionen. Weitere Informationen zu Erkennungsaktionen finden Sie unter Erkennungsaktionen aktivieren.

Wann Job-Aktionen verwendet werden sollten

Im Folgenden sind einige gängige Anwendungsfälle aufgeführt:

  • Ergebnisse in analytischen Data Warehouses veröffentlichen: Exportieren Sie detaillierte Inspektionsergebnisse direkt nach BigQuery, um SQL-basierte Trendanalysen durchzuführen, sie mit Asset-Metadaten zu verknüpfen oder benutzerdefinierte Data Studio-Dashboards zu erstellen.
  • Sicherheitsreaktionssysteme benachrichtigen: Streamen Sie Benachrichtigungen zum Abschluss von Scans und Zusammenfassungen von Ergebnissen an Pub/Sub, um automatisiertes Ticketing, Cloud Run Functions oder Incident Response-Workflows auf SIEM-Plattformen auszulösen.
  • Integration in die zentrale Verwaltung des Sicherheitsstatus: Senden Sie Ergebnisse direkt an Security Command Center, um Datenrisiken zusammen mit Sicherheitslücken in der Cloud-Infrastruktur zu aggregieren.
  • Betriebsteams über Scanfehler oder ‑abschluss benachrichtigen: Konfigurieren Sie E‑Mail-Benachrichtigungen, um Sicherheitsadministratoren sofort zu benachrichtigen, wenn große Batch-Inspektionsjobs abgeschlossen sind oder Aufmerksamkeit erfordern.
  • Rohdatensätze für Compliance-Prüfungen archivieren: Schreiben Sie Protobuf- oder strukturierte Scandatensätze in Cloud Storage, um manipulationssichere Prüfpfade zu erstellen, die von behördlichen Standards gefordert werden.

Verfügbare Aktionen

Wenn Sie einen Sensitive Data Protection-Job ausführen, wird standardmäßig eine Zusammenfassung der Ergebnisse in Sensitive Data Protection gespeichert. Sie können sich diese Zusammenfassung mithilfe von Sensitive Data Protection in der Google Cloud Console ansehen. Sie können auch zusammenfassende Informationen in der DLP API mit der Methode projects.dlpJobs.get abrufen.

In den folgenden Abschnitten werden die Aktionen beschrieben, die für Inspektions- und Risikoanalyse-Jobs verfügbar sind.

Ergebnisse in BigQuery speichern

Speichern Sie die Ergebnisse des Sensitive Data Protection-Jobs in einer BigQuery. Bevor Sie die Ergebnisse ansehen oder analysieren, sollten Sie zuerst prüfen, ob der Job abgeschlossen wurde.

Bei jeder Ausführung eines Scans speichert Sensitive Data Protection Scanergebnisse in der von Ihnen angegebenen BigQuery-Tabelle. Die exportierten Ergebnisse enthalten Details zum Speicherort der einzelnen Übereinstimmungen und zur Übereinstimmungswahrscheinlichkeit.

Wenn jede Fundstelle den String enthalten soll, der mit dem infoType-Detektor übereinstimmt, aktivieren Sie die Option Zitat einfügen. Zitate sind potenziell sensibel. Daher werden sie standardmäßig nicht in die Ergebnisse von Sensitive Data Protection aufgenommen.

Wenn Sie keine Tabellen-ID angeben, weist BigQuery einer neuen Tabelle einen Standardnamen zu, wenn der Scan zum ersten Mal ausgeführt wird. Der Name ähnelt dlpgoogleapisDATE_1234567890, wobei DATE für das Datum steht, an dem der Scanvorgang ausgeführt wird. Wenn Sie eine vorhandene Tabelle angeben, hängt Sensitive Data Protection Scanergebnisse an diese an.

Wenn Daten in eine BigQuery-Tabelle geschrieben werden, werden die Abrechnung und Kontingentnutzung dem Projekt zugeschrieben, das die Zieltabelle enthält.

Ergebnisse in Cloud Storage speichern

Speichern Sie die Ergebnisse des Sensitive Data Protection-Jobs in einem vorhandenen Cloud Storage-Bucket oder -Ordner. Bevor Sie die Ergebnisse ansehen oder analysieren, sollten Sie zuerst prüfen, ob der Job abgeschlossen wurde.

Wenn Sie einen Cloud Storage-Bucket prüfen, darf der Bucket, den Sie für exportierte Ergebnisse angeben, nicht der Bucket sein, den Sie prüfen.

Bei jedem Scan werden die Scanergebnisse von Sensitive Data Protection am von Ihnen angegebenen Cloud Storage-Speicherort gespeichert. Die exportierten Ergebnisse enthalten Details zum Speicherort der einzelnen Übereinstimmungen und zur Übereinstimmungswahrscheinlichkeit.

Wenn jede Fundstelle den String enthalten soll, der mit dem infoType-Detektor übereinstimmt, aktivieren Sie die Option Zitat einfügen. Zitate sind potenziell sensibel. Daher werden sie standardmäßig nicht in die Ergebnisse von Sensitive Data Protection aufgenommen.

Die Ergebnisse werden im Protobuf-Textformat als SaveToGcsFindingsOutput-Objekt exportiert. Informationen zum Parsen von Ergebnissen in diesem Format finden Sie unter Als Protobuf-Text gespeicherte Ergebnisse parsen.

In Pub/Sub veröffentlichen

Veröffentlichen Sie eine Benachrichtigung, die den Namen des Sensitive Data Protection-Jobs als Attribut für einen Pub/Sub-Kanal enthält. Sie können ein oder mehrere Themen angeben, an die die Benachrichtigung gesendet werden soll. Das Dienstkonto für Sensitive Data Protection, mit dem der Scanvorgang ausgeführt wird, muss Veröffentlichungszugriff auf das Thema haben.

Wenn es Konfigurations- oder Berechtigungsprobleme mit dem Pub/Sub-Thema gibt, versucht Sensitive Data Protection bis zu zwei Wochen lang, die Pub/Sub-Benachrichtigung zu senden. Nach zwei Wochen wird die Benachrichtigung verworfen.

In Security Command Center veröffentlichen

Eine Zusammenfassung der Jobergebnisse im Security Command Center veröffentlichen. Weitere Informationen finden Sie unter Ergebnisse von Sensitive Data Protection-Scans an Security Command Center senden.

Damit Sie diese Aktion verwenden können, muss Ihr Projekt zu einer Organisation gehören und Security Command Center muss auf Organisationsebene aktiviert sein. Andernfalls werden Sensitive Data Protection-Ergebnisse nicht in Security Command Center angezeigt. Weitere Informationen finden Sie unter Aktivierungsstufe von Security Command Center prüfen.

In Knowledge Catalog veröffentlichen

Senden Sie die Ergebnisse eines BigQuery-Prüfjobs an den Knowledge Catalog. Weitere Informationen finden Sie unter Inspektionsergebnisse als Aspekte an Knowledge Catalog senden.

In Data Catalog veröffentlichen

Senden Sie Jobergebnisse an Data Catalog. Diese Funktion ist veraltet.

Per E-Mail benachrichtigen

E-Mail senden, wenn der Job abgeschlossen ist. Die E-Mail wird an IAM-Projektinhaber und technische wichtige Kontakte gesendet.

In Cloud Monitoring veröffentlichen

Senden Sie Inspektionsergebnisse an Cloud Monitoring in Google Cloud Observability.

De-identifizierte Kopie erstellen

Alle Ergebnisse in den geprüften Daten de-identifizieren und den de-identifizierten Inhalt in eine neue Datei schreiben. Sie können die anonymisierte Kopie dann in Ihren Geschäftsprozessen anstelle von Daten mit vertraulichen Informationen verwenden. Weitere Informationen finden Sie unter Mit Sensitive Data Protection in derGoogle Cloud Console eine de-identifizierte Kopie von Cloud Storage-Daten erstellen.

Unterstützte Vorgänge

In der folgenden Tabelle sind die Sensitive Data Protection-Vorgänge und die Verfügbarkeit der einzelnen Aktionen aufgeführt.

Aktion BigQuery-Überprüfung Cloud Storage-Überprüfung Datastore-Prüfung Hybridprüfung Risikoanalyse
Ergebnisse in BigQuery speichern ✓ ✓ ✓ ✓ ✓
Ergebnisse in Cloud Storage speichern ✓ ✓ ✓ ✓
In Pub/Sub veröffentlichen ✓ ✓ ✓ ✓ ✓
In Security Command Center veröffentlichen ✓ ✓ ✓
In Knowledge Catalog veröffentlichen ✓
In Data Catalog veröffentlichen (verworfen) ✓
Per E-Mail benachrichtigen ✓ ✓ ✓ ✓ ✓
In Cloud Monitoring veröffentlichen ✓ ✓ ✓ ✓
Ergebnisse de-identifizieren ✓

Aktionen angeben

Sie können beim Konfigurieren eines Jobs eine oder mehrere Aktionen angeben:

  • Wenn Sie einen neuen Inspektions- oder Risikoanalysejob mit Sensitive Data Protection in der Google Cloud Console erstellen, geben Sie Aktionen im Abschnitt Aktionen hinzufügen des Workflows zur Joberstellung an.
  • Wenn Sie eine neue Jobanfrage konfigurieren, um sie an die DLP API zu senden, geben Sie Aktionen im Objekt Action an.

Weitere Informationen und Beispielcode in mehreren Sprachen finden Sie unter:

Beispielszenario für eine Aktion

Sie können Sensitive Data Protection-Aktionen verwenden, um Prozesse basierend auf Sensitive Data Protection-Scanergebnissen zu automatisieren. Angenommen, Sie haben eine BigQuery-Tabelle für einen externen Partner freigegeben. Sie möchten, dass diese Tabelle keine vertraulichen Kennzeichnungen wie US-Sozialversicherungsnummern (infoType US_SOCIAL_SECURITY_NUMBER) enthält und, falls doch solche Kennzeichnungen gefunden werden, der Partner keinen Zugriff erhält. Hier ist ein grober Überblick über einen Workflow mit Aktionen:

  1. Erstellen Sie einen Sensitive Data Protection-Job-Trigger, mit dem alle 24 Stunden ein Inspektionsscan der BigQuery-Tabelle ausgeführt wird.
  2. Legen Sie für diese Jobs als Aktion fest, dass eine Pub/Sub-Benachrichtigung im Thema "projects/foo/scan_notifications" veröffentlicht wird.
  3. Erstellen Sie eine Cloud Functions-Funktion, die eingehende Nachrichten auf "projects/foo/scan_notifications" überwacht. Diese Cloud Functions-Funktion empfängt alle 24 Stunden den Namen des Sensitive Data Protection-Jobs und ruft Sensitive Data Protection auf, um zusammengefasste Ergebnisse von diesem Job zu erhalten. Wurden Sozialversicherungsnummern gefunden, kann die Funktion die Einstellungen in BigQuery oder in Cloud Identity and Access Management (IAM) ändern, um den Zugriff auf die Tabelle zu beschränken.

Nächste Schritte