Mengaktifkan tindakan analisis risiko atau inspeksi

Dokumen ini menjelaskan tindakan yang dapat dilakukan Sensitive Data Protection setelah menjalankan tugas inspeksi atau analisis risiko.

Tindakan adalah tugas yang dilakukan Sensitive Data Protection setelah menyelesaikan tugas inspeksi atau analisis risiko. Misalnya, Anda dapat menyimpan temuan ke tabel BigQuery, memublikasikan notifikasi ke topik Pub/Sub, atau mengirim email saat operasi selesai dengan berhasil atau berhenti karena error.

Operasi penemuan data sensitif memiliki serangkaian tindakan yang berbeda. Untuk mengetahui informasi selengkapnya tentang tindakan penemuan, lihat Mengaktifkan tindakan penemuan.

Kapan harus menggunakan tindakan tugas

Berikut adalah beberapa kasus penggunaan umum:

  • Memublikasikan temuan ke data warehouse analitik: Ekspor temuan pemeriksaan mendetail langsung ke BigQuery untuk menjalankan analisis tren berbasis SQL, menggabungkan dengan metadata aset, atau membuat dasbor Looker Studio kustom.
  • Memberi tahu sistem respons keamanan: Streaming peringatan penyelesaian pemindaian dan ringkasan temuan ke Pub/Sub untuk memicu pemberian tiket otomatis, fungsi Cloud Run, atau alur kerja respons insiden di platform SIEM.
  • Integrasikan dengan pengelolaan postur terpusat: Kirim temuan langsung ke Security Command Center untuk menggabungkan risiko data bersama dengan kerentanan infrastruktur cloud.
  • Memberi tahu tim operasi tentang kegagalan atau penyelesaian pemindaian: Konfigurasikan notifikasi email untuk segera memberi tahu administrator keamanan saat tugas pemeriksaan batch besar selesai atau memerlukan perhatian.
  • Mengarsipkan data temuan mentah untuk audit kepatuhan: Tulis Protobuf atau data pemindaian terstruktur ke Cloud Storage untuk mempertahankan jejak audit yang tahan terhadap modifikasi yang tidak sah, yang diwajibkan oleh standar peraturan.

Tindakan yang tersedia

Saat Anda menjalankan tugas Sensitive Data Protection, ringkasan temuannya akan disimpan secara default dalam Sensitive Data Protection. Anda dapat melihat ringkasan ini menggunakan Sensitive Data Protection di konsol Google Cloud . Anda juga dapat mengambil informasi ringkasan di DLP API menggunakan metode projects.dlpJobs.get.

Bagian berikut menjelaskan tindakan yang tersedia untuk tugas pemeriksaan dan analisis risiko.

Menyimpan temuan ke BigQuery

Simpan hasil tugas Sensitive Data Protection ke tabel BigQuery. Sebelum melihat atau menganalisis hasilnya, pastikan terlebih dahulu bahwa tugas telah selesai.

Setiap kali pemindaian dijalankan, Sensitive Data Protection akan menyimpan temuan pemindaian ke tabel BigQuery yang Anda tentukan. Temuan yang diekspor berisi detail tentang lokasi setiap temuan dan kemungkinan kecocokan.

Jika Anda ingin setiap temuan menyertakan string yang cocok dengan detektor infoType, aktifkan opsi Sertakan kutipan. Kutipan berpotensi sensitif, sehingga Sensitive Data Protection tidak menyertakannya dalam temuan secara default.

Jika Anda tidak menentukan ID tabel, BigQuery akan menetapkan nama default ke tabel baru saat pemindaian pertama kali dijalankan. Nama ini mirip dengan dlpgoogleapisDATE_1234567890, dengan DATE mewakili tanggal pemindaian dijalankan. Jika Anda menentukan tabel yang sudah ada, Sensitive Data Protection akan menambahkan temuan pemindaian ke tabel tersebut.

Saat data ditulis ke tabel BigQuery, penggunaan penagihan dan kuota akan diterapkan ke project yang berisi tabel tujuan.

Menyimpan temuan ke Cloud Storage

Simpan hasil tugas Sensitive Data Protection ke bucket atau folder Cloud Storage yang sudah ada. Sebelum melihat atau menganalisis hasilnya, pastikan terlebih dahulu bahwa tugas telah selesai.

Jika Anda memeriksa bucket Cloud Storage, bucket yang Anda tetapkan untuk temuan yang diekspor tidak boleh berupa bucket yang sedang Anda periksa.

Setiap kali pemindaian berjalan, Sensitive Data Protection akan menyimpan temuan pemindaian ke lokasi Cloud Storage yang Anda tentukan. Temuan yang diekspor berisi detail tentang lokasi setiap temuan dan kemungkinan kecocokan.

Jika Anda ingin setiap temuan menyertakan string yang cocok dengan pendeteksi infoType, aktifkan opsi Sertakan kutipan. Kutipan berpotensi sensitif, sehingga Sensitive Data Protection tidak menyertakannya dalam temuan secara default.

Temuan diekspor dalam format teks Protobuf sebagai objek SaveToGcsFindingsOutput. Untuk mengetahui informasi tentang cara mengurai temuan dalam format ini, lihat Mengurai temuan yang disimpan sebagai teks Protobuf.

Publikasikan ke Pub/Sub

Publikasikan notifikasi yang berisi nama tugas Sensitive Data Protection sebagai atribut ke saluran Pub/Sub. Anda dapat menentukan satu atau beberapa topik untuk mengirim pesan notifikasi. Pastikan akun layanan Sensitive Data Protection yang menjalankan tugas pemindaian memiliki akses publikasi di topik.

Jika ada masalah konfigurasi atau izin dengan topik Pub/Sub, Sensitive Data Protection akan mencoba mengirim ulang notifikasi Pub/Sub hingga dua minggu. Setelah dua minggu, notifikasi akan dihapus.

Publikasikan ke Security Command Center

Publikasikan ringkasan hasil tugas ke Security Command Center. Untuk mengetahui informasi selengkapnya, lihat Mengirim hasil pemindaian Sensitive Data Protection ke Security Command Center.

Untuk menggunakan tindakan ini, project Anda harus menjadi bagian dari organisasi, dan Security Command Center harus diaktifkan di tingkat organisasi. Jika tidak, temuan Sensitive Data Protection tidak akan muncul di Security Command Center. Untuk mengetahui informasi selengkapnya, lihat Memeriksa tingkat aktivasi Security Command Center.

Memublikasikan ke Knowledge Catalog

Mengirim hasil tugas inspeksi BigQuery ke Knowledge Catalog. Untuk mengetahui informasi selengkapnya, lihat Mengirim hasil pemeriksaan ke Knowledge Catalog sebagai aspek.

Beri tahu melalui email

Mengirim email saat tugas selesai. Email akan dikirim ke Project Owner IAM dan Kontak Penting teknis.

Publikasikan ke Cloud Monitoring

Mengirim hasil pemeriksaan ke Cloud Monitoring di Google Cloud Observability.

Membuat salinan yang dide-identifikasi

Melakukan de-identifikasi temuan apa pun dalam data yang diperiksa, dan menulis konten yang telah dilakukan de-identifikasi ke file baru. Kemudian, Anda dapat menggunakan salinan yang telah dide-identifikasi dalam proses bisnis Anda, sebagai pengganti data yang berisi informasi sensitif. Untuk mengetahui informasi selengkapnya, lihat Membuat salinan data Cloud Storage yang dide-identifikasi menggunakan Sensitive Data Protection di konsolGoogle Cloud .

Operasi yang didukung

Tabel berikut menunjukkan operasi Sensitive Data Protection dan tempat setiap tindakan tersedia.

Tindakan Pemeriksaan BigQuery Pemeriksaan Cloud Storage Pemeriksaan Datastore Inspeksi hybrid Analisis risiko
Menyimpan temuan ke BigQuery ✓ ✓ ✓ ✓ ✓
Menyimpan temuan ke Cloud Storage ✓ ✓ ✓ ✓
Publikasikan ke Pub/Sub ✓ ✓ ✓ ✓ ✓
Publikasikan ke Security Command Center ✓ ✓ ✓
Memublikasikan ke Knowledge Catalog ✓
Beri tahu melalui email ✓ ✓ ✓ ✓ ✓
Publikasikan ke Cloud Monitoring ✓ ✓ ✓ ✓
Temuan de-identifikasi ✓

Menentukan tindakan

Anda dapat menentukan satu atau beberapa tindakan saat mengonfigurasi tugas:

  • Saat Anda membuat tugas pemeriksaan atau analisis risiko baru menggunakan Sensitive Data Protection di konsol Google Cloud , tentukan tindakan di bagian Add actions dalam alur kerja pembuatan tugas.
  • Saat Anda mengonfigurasi permintaan tugas baru untuk dikirim ke DLP API, tentukan tindakan dalam objek Action.

Untuk mengetahui informasi selengkapnya dan kode contoh dalam beberapa bahasa, lihat:

Contoh skenario tindakan

Anda dapat menggunakan tindakan Sensitive Data Protection untuk mengotomatiskan proses berdasarkan hasil pemindaian Sensitive Data Protection. Misalkan Anda memiliki tabel BigQuery yang dibagikan kepada partner eksternal. Anda ingin memastikan bahwa tabel ini tidak berisi ID sensitif seperti nomor Jaminan Sosial AS (infoType US_SOCIAL_SECURITY_NUMBER), dan jika Anda menemukannya, akses akan dicabut dari partner. Berikut adalah garis besar alur kerja yang akan menggunakan tindakan:

  1. Buat pemicu tugas Sensitive Data Protectionuntuk menjalankan pemindaian inspeksi tabel BigQuery setiap 24 jam.
  2. Tetapkan tindakan untuk tugas ini guna memublikasikan notifikasi Pub/Sub ke topik "projects/foo/scan_notifications".
  3. Buat Cloud Function yang memproses pesan masuk di "projects/foo/scan_notifications". Cloud Function ini akan menerima nama tugas Sensitive Data Protection setiap 24 jam, memanggil Sensitive Data Protection untuk mendapatkan hasil ringkasan dari tugas ini, dan, jika menemukan nomor Jaminan Sosial, Cloud Function ini dapat mengubah setelan di BigQuery atau Identity and Access Management (IAM) untuk membatasi akses ke tabel.

Langkah berikutnya