Habilita las acciones de inspección o análisis de riesgos

En este documento, se describen las acciones que puede realizar Sensitive Data Protection después de ejecutar un trabajo de inspección o un análisis de riesgos.

Una acción es una tarea que Sensitive Data Protection realiza después de completar un trabajo de inspección o un análisis de riesgos. Por ejemplo, puedes guardar los resultados en una tabla de BigQuery, publicar una notificación en un tema de Pub/Sub o enviar un correo electrónico cuando una operación finaliza correctamente o se detiene debido a un error.

Las operaciones de descubrimiento de datos sensibles tienen un conjunto diferente de acciones. Para obtener más información sobre las acciones de descubrimiento, consulta Habilita las acciones de descubrimiento.

Cuándo usar acciones de trabajo

A continuación, se muestran algunos casos de uso comunes:

  • Publicar resultados en almacenes de datos analíticos: Exporta resultados de inspección detallados directamente a BigQuery para ejecutar análisis de tendencias basados en SQL, unirlos con metadatos de activos o compilar paneles personalizados de Data Studio.
  • Notificar a los sistemas de respuesta de seguridad: Transmite alertas de finalización de análisis y resúmenes de resultados a Pub/Sub para activar la emisión de tickets automatizada, las funciones de Cloud Run o los flujos de trabajo de respuesta ante incidentes en plataformas SIEM.
  • Integrar con la administración de postura centralizada: Envía los resultados directamente a Security Command Center para agregar riesgos de datos junto con las vulnerabilidades de la infraestructura de la nube.
  • Alertar a los equipos de operaciones sobre la falla o la finalización del análisis: Configura notificaciones por correo electrónico para notificar de inmediato a los administradores de seguridad cuando finalicen los trabajos de inspección por lotes grandes o requieran atención.
  • Archivar registros de resultados sin procesar para auditorías de cumplimiento: Escribe registros de análisis estructurados o de Protobuf en Cloud Storage para mantener registros de auditoría a prueba de manipulaciones que requieren los estándares regulatorios.

Acciones disponibles

Cuando ejecutas un trabajo de Sensitive Data Protection, se guarda un resumen de sus resultados de forma predeterminada en Sensitive Data Protection. Puedes ver este resumen con Sensitive Data Protection en la Google Cloud consola. También puedes recuperar información resumida en la API de DLP con el projects.dlpJobs.get método.

En las siguientes secciones, se describen las acciones disponibles para los trabajos de inspección y análisis de riesgos.

Guarda los resultados en BigQuery

Guarda los resultados del trabajo de Sensitive Data Protection en una BigQuery. Antes de ver o analizar los resultados, primero verifica que el trabajo se haya completado.

Cada vez que se ejecuta un análisis, Sensitive Data Protection guarda los resultados del análisis en la tabla de BigQuery que especificas. Los resultados exportados contienen detalles sobre la ubicación de cada resultado y la probabilidad de coincidencia.

Si quieres que cada resultado incluya la cadena que coincidió con el detector de Infotipo, habilita la opción Incluir cita. Las citas pueden ser sensibles, por lo que Sensitive Data Protection no las incluye en los resultados de forma predeterminada.

Si no especificas un ID de tabla, BigQuery le asigna un nombre predeterminado a una tabla nueva la primera vez que se ejecuta el análisis. El nombre es similar a dlpgoogleapisDATE_1234567890, donde DATE representa la fecha en que se ejecuta el análisis. Si especificas una tabla existente, Sensitive Data Protection le agrega los resultados del análisis.

Cuando se escriben datos en una tabla de BigQuery, el uso de cuotas y la facturación se aplican a l proyecto que contiene la tabla de destino.

Guarda los resultados en Cloud Storage

Guarda los resultados del trabajo de Sensitive Data Protection en un bucket o una carpeta de Cloud Storage existentes. Antes de ver o analizar los resultados, primero verifica que el trabajo se haya completado.

Si inspeccionas un bucket de Cloud Storage, el bucket que designes para los resultados exportados no debe ser el que inspeccionas.

Cada vez que se ejecuta un análisis, Sensitive Data Protection guarda los hallazgos del análisis en la ubicación de Cloud Storage que especificas. Los resultados exportados contienen detalles sobre la ubicación de cada resultado y la probabilidad de coincidencia.

Si quieres que cada resultado incluya la cadena que coincidió con el detector de Infotipo, habilita la opción Incluir cita. Las citas pueden ser sensibles, por lo que Sensitive Data Protection no las incluye en los resultados de forma predeterminada.

Los resultados se exportan en formato de texto Protobuf como un SaveToGcsFindingsOutput objeto. Para obtener información sobre cómo analizar los resultados en este formato, consulta Analiza los resultados almacenados como texto Protobuf.

Publicar en Pub/Sub

Publica una notificación que contenga el nombre del trabajo de Sensitive Data Protection como un atributo en un canal de Pub/Sub. Puedes especificar uno o más temas a los que se enviará el mensaje de notificación. Asegúrate de que la cuenta de servicio de Sensitive Data Protection que ejecuta el trabajo de análisis tenga acceso de publicación en el tema.

Si hay problemas de configuración o permisos con el tema de Pub/Sub, Sensitive Data Protection vuelve a intentar enviar la notificación de Pub/Sub hasta por dos semanas. Después de dos semanas, se descarta la notificación.

Publicar en Security Command Center

Publica un resumen de los resultados del trabajo en Security Command Center. Para obtener más información, consulta Envía los resultados del análisis de Sensitive Data Protection a Security Command Center.

Para usar esta acción, tu proyecto debe pertenecer a una organización, y Security Command Center debe estar activado a nivel de la organización. De lo contrario, los resultados de Sensitive Data Protection no aparecerán en Security Command Center. Para obtener más información, consulta Verifica el nivel de activación de Security Command Center.

Publicar en Knowledge Catalog

Envía los resultados de un trabajo de inspección de BigQuery a Knowledge Catalog. Para obtener más información, consulta Envía los resultados de la inspección a Knowledge Catalog como aspectos.

Notificar por correo electrónico

Envía un correo electrónico cuando se complete el trabajo. El correo electrónico se envía a los propietarios del proyecto de IAM y a los contactos técnicos esenciales.

Publicar en Cloud Monitoring

Envía los resultados de la inspección a Cloud Monitoring en Google Cloud Observability.

Hacer una copia desidentificada

Desidentifica los resultados de los datos inspeccionados y escribe el contenido desidentificado en un archivo nuevo. Luego, puedes usar la copia desidentificada en tus procesos empresariales, en lugar de los datos que contienen información sensible. Para obtener más información, consulta Crea una copia desidentificada de los datos de Cloud Storage con Sensitive Data Protection en la Google Cloud consola.

Operaciones admitidas

En la siguiente tabla, se muestran las operaciones de Sensitive Data Protection y dónde está disponible cada acción.

Acción Inspección de BigQuery Inspección de Cloud Storage Inspección de Datastore Inspección híbrida Análisis de riesgos
Guarda los resultados en BigQuery ✓ ✓ ✓ ✓ ✓
Guarda los resultados en Cloud Storage ✓ ✓ ✓ ✓
Publicar en Pub/Sub ✓ ✓ ✓ ✓ ✓
Publicar en Security Command Center ✓ ✓ ✓
Publicar en Knowledge Catalog ✓
Notificar por correo electrónico ✓ ✓ ✓ ✓ ✓
Publicar en Cloud Monitoring ✓ ✓ ✓ ✓
Desidentificar resultados ✓

Especifica acciones

Puedes especificar una o más acciones cuando configuras un trabajo:

  • Cuando creas un nuevo trabajo de inspección o análisis de riesgos con Sensitive Data Protection en la Google Cloud consola, especifica acciones en la sección Agregar acciones del flujo de trabajo de creación de trabajos.
  • Cuando configuras una solicitud de trabajo nueva para enviar a la API de DLP, especifica las acciones en el Action objeto.

Para obtener más información y un código de muestra en varios lenguajes, consulta los siguientes vínculos:

Ejemplo de situación de acción

Puedes usar las acciones de Sensitive Data Protection para automatizar procesos basados en los resultados del análisis de Sensitive Data Protection. Supongamos que tienes una tabla de BigQuery compartida con un socio externo. Quieres asegurarte de que esta tabla no contenga ningún identificador sensible, como los números de seguridad social de EE.UU. (el infoType US_SOCIAL_SECURITY_NUMBER), y que, si encuentras alguno, se revoque el acceso del socio. A continuación, se muestra un esquema simple de un flujo de trabajo que usaría acciones:

  1. Crea un activador de trabajo de Sensitive Data Protection para ejecutar un análisis de inspección de la tabla de BigQuery cada 24 horas.
  2. Configura la acción de estos trabajos para publicar una notificación de Pub/Sub al tema "projects/foo/scan_notifications."
  3. Crea un Cloud Function que escuche los mensajes entrantes en "projects/foo/scan_notifications". Este Cloud Function recibirá el nombre del trabajo de Sensitive Data Protection cada 24 horas, llamará a Sensitive Data Protection para obtener los resultados resumidos de este trabajo y, si encuentra algún número de seguridad social, puede cambiar la configuración en BigQuery o en Identity and Access Management (IAM) para restringir el acceso a la tabla.

¿Qué sigue?