Activer les actions d'inspection ou d'analyse des risques

Ce document décrit les actions que Sensitive Data Protection peut effectuer après l'exécution d'un job d'inspection ou d'une analyse des risques.

Une action est une tâche que Sensitive Data Protection effectue une fois un job d'inspection ou une analyse des risques terminé. Par exemple, vous pouvez enregistrer les résultats dans une table BigQuery, publier une notification dans un sujet Pub/Sub ou envoyer un e-mail lorsqu'une opération se termine correctement ou s'arrête en raison d'une erreur.

Les opérations de découverte de données sensibles disposent d'un ensemble d'actions différent. Pour en savoir plus sur les actions de découverte, consultez Activer les actions de découverte.

Quand utiliser les actions de job

Voici quelques cas d'utilisation courants :

  • Publier les résultats dans des entrepaux de données analytiques : exportez les résultats d'inspection détaillés directement vers BigQuery pour exécuter une analyse des tendances basée sur SQL, les joindre à des métadonnées d'actifs ou créer des tableaux de bord Data Studio personnalisés.
  • Avertir les systèmes de réponse de sécurité : diffusez des alertes de fin d'analyse et des résumés des résultats dans Pub/Sub pour déclencher la création automatisée de tickets, des fonctions Cloud Run ou des workflows de réponse aux incidents dans les plates-formes SIEM.
  • Intégrer la gestion centralisée de la posture : envoyez les résultats directement à Security Command Center pour agréger les données globales et les failles de l'infrastructure cloud.
  • Alerter les équipes d'exploitation en cas d'échec ou de fin d'analyse : configurez des notifications par e-mail pour avertir immédiatement les administrateurs de la sécurité lorsque des jobs d'inspection par lot volumineux sont terminés ou nécessitent une attention particulière.
  • Archiver les enregistrements bruts des résultats pour les audits de conformité : écrivez des enregistrements d'analyse Protobuf ou structurés dans Cloud Storage pour conserver des pistes d'audit infalsifiables requises par les normes réglementaires.

Actions disponibles

Lorsque vous exécutez un job Sensitive Data Protection, un résumé de ses résultats est enregistré par défaut dans Sensitive Data Protection. Vous pouvez consulter ce résumé à l'aide de Sensitive Data Protection dans la Google Cloud console. Vous pouvez également récupérer des informations récapitulatives dans l'API DLP à l'aide de la projects.dlpJobs.get méthode.

Les sections suivantes décrivent les actions disponibles pour les jobs d'inspection et d'analyse des risques.

Enregistrer les résultats dans BigQuery

Enregistrez les résultats du job Sensitive Data Protection dans une BigQuery. Avant de consulter ou d'analyser les résultats, vérifiez d'abord que le job est terminé.

Chaque fois qu'une analyse est exécutée, Sensitive Data Protection enregistre les résultats dans la table BigQuery que vous spécifiez. Les résultats exportés contiennent des informations sur l'emplacement de chaque résultat et la probabilité de correspondance.

Si vous souhaitez que chaque résultat inclue la chaîne qui correspond au détecteur infoType, activez l'option Inclure la citation. Les citations sont potentiellement sensibles. Par conséquent, Sensitive Data Protection ne les inclut pas par défaut dans les résultats.

Si vous ne spécifiez pas d'ID de table, BigQuery attribue un nom par défaut à une nouvelle table lors de la première exécution de l'analyse. Le nom est semblable à dlpgoogleapisDATE_1234567890, où DATE représente la date d'exécution de l'analyse. Si vous spécifiez une table existante, Sensitive Data Protection y ajoute les résultats de l'analyse.

Lorsque des données sont écrites dans une table BigQuery, la facturation et l'utilisation des quotas sont appliquées au projet contenant la table de destination.

Enregistrer les résultats dans Cloud Storage

Enregistrez les résultats du job Sensitive Data Protection dans un bucket ou un dossier Cloud Storage existant. Avant de consulter ou d'analyser les résultats, vérifiez d'abord que le job est terminé.

Si vous inspectez un bucket Cloud Storage, le bucket que vous désignez pour les résultats exportés ne doit pas être celui que vous inspectez.

Chaque fois qu'une analyse est exécutée, Sensitive Data Protection enregistre les résultats dans l'emplacement Cloud Storage que vous spécifiez. Les résultats exportés contiennent des informations sur l'emplacement de chaque résultat et la probabilité de correspondance.

Si vous souhaitez que chaque résultat inclue la chaîne qui correspond au détecteur infoType, activez l'option Inclure la citation. Les citations sont potentiellement sensibles. Par conséquent, Sensitive Data Protection ne les inclut pas par défaut dans les résultats.

Les résultats sont exportés au format texte Protobuf en tant qu' SaveToGcsFindingsOutput objet. Pour savoir comment analyser les résultats dans ce format, consultez Analyser les résultats stockés au format texte Protobuf.

Publier dans Pub/Sub

Publiez une notification contenant le nom du job Sensitive Data Protection en tant qu'attribut dans un canal Pub/Sub. Vous pouvez spécifier un ou plusieurs sujets auxquels envoyer le message de notification. Assurez-vous que le compte de service Sensitive Data Protection qui exécute le job d'analyse dispose d'un accès en publication sur le sujet.

En cas de problème de configuration ou d'autorisation avec le sujet Pub/Sub, Sensitive Data Protection tente de renvoyer la notification Pub/Sub pendant deux semaines maximum. Au bout de deux semaines, la notification est supprimée.

Publier dans Security Command Center

Publiez un résumé des résultats du job dans Security Command Center. Pour en savoir plus, consultez Envoyer les résultats d'analyse Sensitive Data Protection à Security Command Center.

Pour utiliser cette action, votre projet doit appartenir à une organisation, et Security Command Center doit être activé au niveau de l'organisation. Sinon, les résultats Sensitive Data Protection n'apparaîtront pas dans Security Command Center. Pour en savoir plus, consultez Vérifier le niveau d'activation de Security Command Center.

Publier dans Knowledge Catalog

Envoyez les résultats d'un job d'inspection BigQuery à Knowledge Catalog. Pour en savoir plus, consultez Envoyer les résultats d'inspection à Knowledge Catalog en tant qu' aspects.

Avertir par e-mail

Envoyez un e-mail lorsque le job est terminé. L'e-mail est envoyé aux propriétaires de projets IAM et aux contacts essentiels techniques Essential Contacts.

Publier sur Cloud Monitoring

Envoyez les résultats d'inspection à Cloud Monitoring dans Google Cloud Observability.

Créer une copie anonymisée

Anonymisez tous les résultats dans les données inspectées et écrivez le contenu anonymisé dans un nouveau fichier. Vous pouvez ensuite utiliser la copie anonymisée dans vos processus métier, à la place des données contenant des informations sensibles. Pour en savoir plus, consultez Créer une copie anonymisée des données Cloud Storage à l'aide de Sensitive Data Protection dans la Google Cloud console.

Opérations prises en charge

Le tableau suivant présente les opérations Sensitive Data Protection et les actions disponibles pour chacune d'elles.

Action Inspection BigQuery Inspection Cloud Storage Inspection Datastore Inspection hybride Analyse des risques
Enregistrer les résultats dans BigQuery ✓ ✓ ✓ ✓ ✓
Enregistrer les résultats dans Cloud Storage ✓ ✓ ✓ ✓
Publier dans Pub/Sub ✓ ✓ ✓ ✓ ✓
Publier dans Security Command Center ✓ ✓ ✓
Publier dans Knowledge Catalog ✓
Avertir par e-mail ✓ ✓ ✓ ✓ ✓
Publier sur Cloud Monitoring ✓ ✓ ✓ ✓
Anonymiser les résultats ✓

Spécifier des actions

Vous pouvez spécifier une ou plusieurs actions lorsque vous configurez un job :

  • Lorsque vous créez un job d'inspection ou d'analyse des risques à l'aide de Sensitive Data Protection dans la Google Cloud console, spécifiez des actions dans la section Ajouter des actions du workflow de création de job.
  • Lorsque vous configurez une nouvelle requête de job à envoyer à l'API DLP, spécifiez des actions dans l' Action objet.

Pour obtenir plus d'informations et des exemples de code dans plusieurs langages, consultez les sections suivantes :

Exemple de scénario d'action

Vous pouvez utiliser les actions Sensitive Data Protection pour automatiser les processus en fonction des résultats d'analyse Sensitive Data Protection. Supposons que vous partagez une table BigQuery avec un partenaire externe. Vous voulez vous assurer que cette table ne contient aucun identifiant sensible, par exemple des numéros de sécurité sociale américains (l'infoType US_SOCIAL_SECURITY_NUMBER), et que, si vous en trouvez, l'accès est révoqué pour le partenaire. Voici un exemple de workflow utilisant des actions :

  1. Créez un déclencheur de job Sensitive Data Protection pour exécuter une analyse d'inspection de la table BigQuery toutes les 24 heures.
  2. Définissez l' action suivante pour ces tâches : publier une notification Pub/Sub dans le sujet "projects/foo/scan_notifications".
  3. Créez une fonction Cloud qui écoute les messages entrants sur "projects/foo/scan_notifications." Cette fonction Cloud recevra le nom du job Sensitive Data Protection toutes les 24 heures, appellera Sensitive Data Protection pour obtenir les résultats récapitulatifs de ce job et, si elle trouve des numéros de sécurité sociale, elle pourra modifier les paramètres dans BigQuery ou Identity and Access Management (IAM) pour restreindre l'accès à la table.

Étape suivante