Attivare le azioni di ispezione o analisi del rischio

Questo documento descrive le azioni che Sensitive Data Protection può eseguire dopo l'esecuzione di un job di ispezione o di un'analisi del rischio.

Un' azione è un'attività che Sensitive Data Protection esegue dopo aver completato un job di ispezione o un'analisi del rischio. Ad esempio, puoi salvare i risultati in una tabella BigQuery, pubblicare una notifica in un argomento Pub/Sub o inviare un'email quando un'operazione viene completata correttamente o si interrompe a causa di un errore.

Le operazioni di rilevamento dei dati sensibili hanno un insieme di azioni diverso. Per saperne di più sulle azioni di rilevamento, consulta Abilitare le azioni di rilevamento.

Quando utilizzare le azioni dei job

Ecco alcuni casi d'uso comuni:

  • Pubblicare i risultati nei data warehouse di analisi: esporta i risultati dettagliati dell'ispezione direttamente in BigQuery per eseguire analisi delle tendenze basate su SQL, unire i metadati degli asset o creare dashboard Data Studio personalizzate.
  • Inviare notifiche ai sistemi di risposta alla sicurezza: trasmetti in streaming gli avvisi di completamento della scansione e i riepiloghi dei risultati a Pub/Sub per attivare la creazione automatica di ticket, le funzioni Cloud Run o i flussi di lavoro di risposta agli incidenti nelle piattaforme SIEM.
  • Eseguire l'integrazione con la gestione centralizzata della posture: invia i risultati direttamente a Security Command Center per aggregare i rischi per i dati insieme alle vulnerabilità dell'infrastruttura cloud.
  • Inviare avvisi ai team operativi in caso di completamento o errore della scansione: configura le notifiche via email per avvisare immediatamente gli amministratori della sicurezza quando i job di ispezione batch di grandi dimensioni vengono completati o richiedono attenzione.
  • Archiviare i record dei risultati non elaborati per i controlli di conformità: scrivi i record di scansione Protobuf o strutturati in Cloud Storage per mantenere tracce di audit a prova di manomissione richieste dagli standard normativi.

Azioni disponibili

Quando esegui un job di Sensitive Data Protection, per impostazione predefinita viene salvato un riepilogo dei risultati all'interno di Sensitive Data Protection. Puoi visualizzare questo riepilogo utilizzando Sensitive Data Protection nella Google Cloud console. Puoi anche recuperare le informazioni di riepilogo nell'API DLP utilizzando il projects.dlpJobs.get metodo.

Le seguenti sezioni descrivono le azioni disponibili per i job di ispezione e analisi del rischio.

Salvare i risultati in BigQuery

Salva i risultati del job di Sensitive Data Protection in una BigQuery. Prima di visualizzare o analizzare i risultati, verifica che il job sia stato completato.

Ogni volta che viene eseguita una scansione, Sensitive Data Protection salva i risultati della scansione nella tabella BigQuery che hai specificato. I risultati esportati contengono dettagli sulla posizione e sulla probabilità di corrispondenza di ogni risultato.

Se vuoi che ogni risultato includa la stringa che corrisponde al rilevatore infoType, attiva l'opzione Includi citazione. Le citazioni sono potenzialmente sensibili, quindi Sensitive Data Protection non le include nei risultati per impostazione predefinita.

Se non specifichi un ID tabella, BigQuery assegna un nome predefinito a una nuova tabella la prima volta che viene eseguita la scansione. Il nome è simile a dlpgoogleapisDATE_1234567890, dove DATE rappresenta la data di esecuzione della scansione. Se specifichi una tabella esistente, Sensitive Data Protection aggiunge i risultati della scansione alla tabella.

Quando i dati vengono scritti in una tabella BigQuery, la fatturazione e l'utilizzo delle quote vengono applicati a l progetto che contiene la tabella di destinazione.

Salvare i risultati in Cloud Storage

Salva i risultati del job di Sensitive Data Protection in un existing Cloud Storage bucket o una cartella. Prima di visualizzare o analizzare i risultati, verifica che il job sia stato completato.

Se stai ispezionando un bucket Cloud Storage, il bucket che hai designato per i risultati esportati non deve essere il bucket che stai ispezionando.

Ogni volta che viene eseguita una scansione, Sensitive Data Protection salva i risultati della scansione nella località Cloud Storage che hai specificato. I risultati esportati contengono dettagli sulla posizione e sulla probabilità di corrispondenza di ogni risultato.

Se vuoi che ogni risultato includa la stringa che corrisponde al rilevatore infoType, attiva l'opzione Includi citazione. Le citazioni sono potenzialmente sensibili, quindi Sensitive Data Protection non le include nei risultati per impostazione predefinita.

I risultati vengono esportati in formato di testo Protobuf come SaveToGcsFindingsOutput oggetto. Per informazioni su come analizzare i risultati in questo formato, consulta Analizzare i risultati archiviati come testo Protobuf.

Pubblicare in Pub/Sub

Pubblica una notifica che contiene il nome del job di Sensitive Data Protection come attributo in un canale Pub/Sub. Puoi specificare uno o più argomenti a cui inviare il messaggio di notifica. Assicurati che l'account di servizio Sensitive Data Protection che esegue il job di scansione abbia accesso in pubblicazione all'argomento.

Se si verificano problemi di configurazione o autorizzazione con l'argomento Pub/Sub, Sensitive Data Protection ritenta l'invio della notifica Pub/Sub per un massimo di due settimane. Dopo due settimane, la notifica viene eliminata.

Pubblicare in Security Command Center

Pubblica un riepilogo dei risultati del job in Security Command Center. Per saperne di più, consulta Inviare i risultati della scansione di Sensitive Data Protection a Security Command Center.

Per utilizzare questa azione, il tuo progetto deve appartenere a un'organizzazione e Security Command Center deve essere attivato a livello di organizzazione. In caso contrario, i risultati di Sensitive Data Protection non verranno visualizzati in Security Command Center. Per saperne di più, consulta Controllare il livello di attivazione di Security Command Center.

Pubblicare in Knowledge Catalog

Invia i risultati di un job di ispezione di BigQuery a Knowledge Catalog. Per saperne di più, consulta Inviare i risultati dell'ispezione a Knowledge Catalog come aspetti.

Notificare via email

Invia un'email al termine del job. L'email viene inviata ai Project Owner IAM e ai contatti tecnici fondamentali.

Pubblicare in Cloud Monitoring

Invia i risultati dell'ispezione a Cloud Monitoring in Google Cloud Observability.

Creare una copia anonimizzata

Anonimizza tutti i risultati nei dati ispezionati e scrivi i contenuti anonimizzati in un nuovo file. Puoi quindi utilizzare la copia anonimizzata nei tuoi processi aziendali, al posto dei dati che contengono informazioni sensibili. Per saperne di più, consulta Creare una copia anonimizzata dei dati di Cloud Storage utilizzando Sensitive Data Protection nella Google Cloud console.

Operazioni supportate

La tabella seguente mostra le operazioni di Sensitive Data Protection e dove è disponibile ogni azione.

Azione Ispezione di BigQuery Ispezione di Cloud Storage Ispezione di Datastore Ispezione ibrida Analisi del rischio
Salvare i risultati in BigQuery ✓ ✓ ✓ ✓ ✓
Salvare i risultati in Cloud Storage ✓ ✓ ✓ ✓
Pubblicare in Pub/Sub ✓ ✓ ✓ ✓ ✓
Pubblicare in Security Command Center ✓ ✓ ✓
Pubblicare in Knowledge Catalog ✓
Notificare via email ✓ ✓ ✓ ✓ ✓
Pubblicare in Cloud Monitoring ✓ ✓ ✓ ✓
Anonimizzare i risultati ✓

Specificare le azioni

Puoi specificare una o più azioni quando configuri un job:

  • Quando crei un nuovo job di ispezione o analisi del rischio utilizzando Sensitive Data Protection nella Google Cloud console, specifica le azioni nella sezione Aggiungi azioni del flusso di lavoro di creazione del job.
  • Quando configuri una nuova richiesta di job da inviare all'API DLP, specifica le azioni nell' Action oggetto.

Per ulteriori informazioni e codice campione in diverse lingue, consulta:

Scenario di esempio di un'azione

Puoi utilizzare le azioni di Sensitive Data Protection per automatizzare i processi in base ai risultati della scansione di Sensitive Data Protection. Supponiamo che tu abbia una tabella BigQuery condivisa con un partner esterno. Vuoi assicurarti che questa tabella non contenga identificatori sensibili come i numeri di previdenza sociale statunitensi (l' infoType US_SOCIAL_SECURITY_NUMBER), e che, se ne trovi, l'accesso venga revocato al partner. Ecco una bozza di un flusso di lavoro che utilizzerebbe le azioni:

  1. Crea un trigger per un job di Sensitive Data Protection per eseguire una scansione di ispezione della tabella BigQuery ogni 24 ore.
  2. Imposta l' azione di questi job in modo che pubblichi una notifica Pub/Sub nell' argomento "projects/foo/scan_notifications."
  3. Crea una funzione Cloud Functions che rimanga in ascolto dei messaggi in entrata su "projects/foo/scan_notifications". Questa funzione Cloud Functions riceverà il nome del job di Sensitive Data Protection ogni 24 ore, chiamerà Sensitive Data Protection per ottenere i risultati di riepilogo di questo job e, se trova numeri di previdenza sociale, potrà modificare le impostazioni in BigQuery o Identity and Access Management (IAM) per limitare l'accesso alla tabella.

Passaggi successivi