Aktionen für die Prüfung oder Risikoanalyse aktivieren

In diesem Dokument werden die Aktionen beschrieben, die Sensitive Data Protection nach dem Ausführen eines Inspektionsjobs oder einer Risikoanalyse ausführen kann.

Eine Aktion ist eine Aufgabe, die Sensitive Data Protection nach Abschluss eines Inspektionsjobs oder einer Risikoanalyse ausführt. Sie können beispielsweise Ergebnisse in einer BigQuery-Tabelle speichern, eine Benachrichtigung in einem Pub/Sub-Thema veröffentlichen oder eine E-Mail senden, wenn ein Vorgang entweder erfolgreich abgeschlossen oder aufgrund eines Fehlers beendet wurde.

Für Vorgänge zur Erkennung sensibler Daten gibt es eine andere Reihe von Aktionen. Weitere Informationen zu Erkennungsaktionen finden Sie unter Erkennungsaktionen aktivieren.

Wann sollten Jobaktionen verwendet werden?

Im Folgenden sind einige gängige Anwendungsfälle aufgeführt:

  • Ergebnisse in analytischen Data Warehouses veröffentlichen: Exportieren Sie detaillierte Inspektionsergebnisse direkt nach BigQuery, um SQL-basierte Trendanalysen auszuführen, sie mit Asset-Metadaten zu verknüpfen oder benutzerdefinierte Data Studio-Dashboards zu erstellen.
  • Sicherheitsreaktionssysteme benachrichtigen: Streamen Sie Benachrichtigungen über den Abschluss von Scans und Ergebnisübersichten an Pub/Sub, um automatisierte Ticket-Erstellung, Cloud Run Functions oder Incident Response-Workflows in SIEM-Plattformen auszulösen.
  • In die zentralisierte Statusverwaltung einbinden: Senden Sie Ergebnisse direkt an Security Command Center, um Datenrisiken zusammen mit Schwachstellen in der Cloud-Infrastruktur zu aggregieren.
  • Betriebsteams über Scanfehler oder -abschluss benachrichtigen: Konfigurieren Sie E-Mail Benachrichtigungen, um Sicherheitsadministratoren sofort zu benachrichtigen, wenn große Batch-Inspektionsjobs abgeschlossen sind oder Aufmerksamkeit erfordern.
  • Rohdatensätze für Compliance-Audits archivieren: Schreiben Sie Protobuf- oder strukturierte Scandatensätze in Cloud Storage, um manipulationssichere Audit-Trails zu führen, die von den gesetzlichen Standards gefordert werden.

Verfügbare Aktionen

Wenn Sie einen Job zum Schutz sensibler Daten ausführen, wird standardmäßig eine Zusammenfassung der Ergebnisse im Schutz sensibler Daten gespeichert. Sie können diese Zusammenfassung über Sensitive Data Protection in der Google Cloud Console aufrufen. Sie können Zusammenfassungsinformationen auch in der DLP API mit der projects.dlpJobs.get Methode abrufen.

In den folgenden Abschnitten werden die Aktionen beschrieben, die für Inspektions- und Risikoanalysejobs verfügbar sind.

Ergebnisse in BigQuery speichern

Speichern Sie die Ergebnisse des Jobs zum Schutz sensibler Daten in einer BigQuery-Tabelle. Bevor Sie die Ergebnisse ansehen oder analysieren, prüfen Sie zuerst, ob der Job abgeschlossen ist.

Bei jeder Ausführung eines Scans speichert Sensitive Data Protection die Scanergebnisse in der von Ihnen angegebenen BigQuery-Tabelle. Die exportierten Ergebnisse enthalten Details zum Speicherort und zur Übereinstimmungswahrscheinlichkeit jedes Ergebnisses.

Wenn jedes Ergebnis den String enthalten soll, der mit dem infoType-Detektor übereinstimmt, aktivieren Sie die Option Zitat einschließen. Zitate können vertrauliche Informationen enthalten, daher schließt Sensitive Data Protection sie standardmäßig nicht in die Ergebnisse ein.

Wenn Sie keine Tabellen-ID angeben, weist BigQuery der neuen Tabelle bei der ersten Ausführung des Scans einen Standardnamen zu. Der Name ähnelt dlpgoogleapisDATE_1234567890, wobei DATE das Datum der Ausführung des Scans darstellt. Wenn Sie eine vorhandene Tabelle angeben, hängt Sensitive Data Protection Scanergebnisse daran an.

Wenn Daten in eine BigQuery-Tabelle geschrieben werden, werden die Abrechnung und Kontingentnutzung dem Projekt zugeschrieben, das die Zieltabelle enthält.

Ergebnisse in Cloud Storage speichern

Speichern Sie die Ergebnisse des Sensitive Data Protection-Jobs in einem vorhandenen Cloud Storage Bucket oder Ordner. Bevor Sie die Ergebnisse ansehen oder analysieren, prüfen Sie zuerst, ob der Job abgeschlossen ist.

Wenn Sie einen Cloud Storage-Bucket prüfen, darf der Bucket, den Sie für exportierte Ergebnisse angeben, nicht der Bucket sein, den Sie prüfen.

Bei jeder Ausführung eines Scans speichert der Schutz sensibler Daten die Scanergebnisse am von Ihnen angegebenen Cloud Storage-Speicherort. Die exportierten Ergebnisse enthalten Details zum Speicherort und zur Übereinstimmungswahrscheinlichkeit jedes Ergebnisses.

Wenn jedes Ergebnis den String enthalten soll, der mit dem infoType-Detektor übereinstimmt, aktivieren Sie die Option Zitat einschließen. Zitate können vertrauliche Informationen enthalten, daher werden sie standardmäßig nicht in die Ergebnisse aufgenommen.

Die Ergebnisse werden im Protobuf-Textformat als SaveToGcsFindingsOutput Objekt exportiert. Informationen zum Parsen von Ergebnissen in diesem Format finden Sie unter Ergebnisse als Protobuf Text parsen.

In Pub/Sub veröffentlichen

Veröffentlichen Sie eine Benachrichtigung, die den Namen des Jobs zum Schutz sensibler Daten als Attribut enthält, in einem Pub/Sub-Kanal. Sie können ein oder mehrere Themen angeben, an die die Benachrichtigung gesendet werden soll. Achten Sie darauf, dass das Dienstkonto des Schutzes sensibler Daten, mit dem der Scanjob ausgeführt wird, Veröffentlichungszugriff auf das Thema hat.

Wenn es Konfigurations- oder Berechtigungsprobleme mit dem Pub/Sub-Thema gibt, versucht der Schutz sensibler Daten bis zu zwei Wochen lang, die Pub/Sub-Benachrichtigung zu senden. Nach zwei Wochen wird die Benachrichtigung verworfen.

In Security Command Center veröffentlichen

Veröffentlichen Sie eine Zusammenfassung der Job-Ergebnisse in Security Command Center. Weitere Informationen finden Sie unter Scanergebnisse zum Schutz sensibler Daten an Security Command Center senden.

Um diese Aktion zu verwenden, muss Ihr Projekt zu einer Organisation gehören und Security Command Center muss auf Organisationsebene aktiviert sein. Andernfalls werden die Ergebnisse von Sensitive Data Protection nicht in Security Command Center angezeigt. Weitere Informationen finden Sie unter Aktivierungsstufe von Security Command Center prüfen.

In Knowledge Catalog veröffentlichen

Senden Sie die Ergebnisse eines BigQuery-Inspektions jobs an Knowledge Catalog. Weitere Informationen finden Sie unter Inspektionsergebnisse als Aspekte an Knowledge Catalog senden.

Per E-Mail benachrichtigen

Senden Sie eine E-Mail, wenn der Job abgeschlossen ist. Die E-Mail wird an IAM Project Owner und wichtige technische Kontakte gesendet.

In Cloud Monitoring veröffentlichen

Senden Sie Inspektionsergebnisse an Cloud Monitoring in Google Cloud Observability.

De-identifizierte Kopie erstellen

De-identifizieren Sie alle Ergebnisse in den geprüften Daten und schreiben Sie den de-identifizierten Inhalt in eine neue Datei. Sie können die de-identifizierte Kopie dann in Ihren Geschäftsprozessen anstelle von Daten verwenden, die vertrauliche Informationen enthalten. Weitere Informationen finden Sie unter De-identifizierte Kopie von Cloud Storage-Daten mit dem Schutz sensibler Daten in der Google Cloud Console erstellen.

Unterstützte Vorgänge

In der folgenden Tabelle sind die Vorgänge zum Schutz sensibler Daten und die Orte aufgeführt, an denen die einzelnen Aktionen verfügbar sind.

Aktion BigQuery-Inspektion Cloud Storage-Inspektion Datastore-Inspektion Hybridprüfung Risikoanalyse
Ergebnisse in BigQuery speichern ✓ ✓ ✓ ✓ ✓
Ergebnisse in Cloud Storage speichern ✓ ✓ ✓ ✓
In Pub/Sub veröffentlichen ✓ ✓ ✓ ✓ ✓
In Security Command Center veröffentlichen ✓ ✓ ✓
In Knowledge Catalog veröffentlichen ✓
Per E-Mail benachrichtigen ✓ ✓ ✓ ✓ ✓
In Cloud Monitoring veröffentlichen ✓ ✓ ✓ ✓
Ergebnisse de-identifizieren ✓

Aktionen angeben

Sie können beim Konfigurieren eines Jobs eine oder mehrere Aktionen angeben:

  • Wenn Sie in der Google Cloud Console einen neuen Inspektions- oder Risikoanalysejob mit Sensitive Data Protection erstellen, geben Sie die Aktionen im Abschnitt Aktionen hinzufügen des Workflows zur Job-Erstellung an.
  • Wenn Sie eine neue Jobanfrage konfigurieren, um sie an die DLP API zu senden, geben Sie die Aktionen im Action Objekt an.

Weitere Informationen und Beispielcode in mehreren Sprachen finden Sie unter:

Beispielszenario für eine Aktion

Sie können Sensitive Data Protection-Aktionen verwenden, um Prozesse basierend auf den Scanergebnissen von Sensitive Data Protection zu automatisieren. Angenommen, Sie haben eine BigQuery-Tabelle für einen externen Partner freigegeben. Sie möchten, dass diese Tabelle keine vertraulichen Kennzeichnungen wie US-Sozialversicherungsnummern (infoType US_SOCIAL_SECURITY_NUMBER) enthält und, falls doch solche Kennzeichnungen gefunden werden, der Partner keinen Zugriff erhält. Hier ist ein grober Überblick über einen Workflow mit Aktionen:

  1. Erstellen Sie einen Sensitive Data Protection-Job-Trigger, um alle 24 Stunden einen Inspektionsscan der BigQuery-Tabelle auszuführen.
  2. Legen Sie für diese Jobs als Aktion fest, dass eine Pub/Sub-Benachrichtigung im Thema "projects/foo/scan_notifications" veröffentlicht wird.
  3. Erstellen Sie eine Cloud Functions-Funktion, die eingehende Nachrichten auf "projects/foo/scan_notifications" überwacht. Diese Cloud Functions-Funktion erhält alle 24 Stunden den Namen des Jobs zum Schutz sensibler Daten, ruft den Schutz sensibler Daten auf, um Zusammenfassungsergebnisse aus diesem Job abzurufen, und kann, wenn sie Sozialversicherungsnummern findet, Einstellungen in BigQuery oder Identity and Access Management (IAM) ändern, um den Zugriff auf die Tabelle einzuschränken.

Nächste Schritte