הפעלת פעולות של בדיקה או ניתוח סיכונים

במסמך הזה מתוארות הפעולות שאפשר לבצע באמצעות Sensitive Data Protection אחרי הרצה של משימת בדיקה או ניתוח סיכונים.

פעולה היא משימה ש-Sensitive Data Protection מבצע אחרי השלמת עבודת בדיקה או ניתוח סיכונים. לדוגמה, אפשר לשמור ממצאים בטבלה ב-BigQuery, לפרסם התראה בנושא Pub/Sub או לשלוח אימייל כשפעולה מסתיימת בהצלחה או נעצרת בגלל שגיאה.

לפעולות של מיון מידע אישי רגיש יש קבוצה שונה של פעולות. איך מפעילים פעולות גילוי?

מתי כדאי להשתמש בפעולות שקשורות למשרות

הנה כמה תרחישי שימוש נפוצים:

  • פרסום ממצאים במחסני נתונים לצורכי ניתוח: ייצוא של ממצאי בדיקה מפורטים ישירות ל-BigQuery כדי להריץ ניתוח מגמות מבוסס-SQL, לשלב עם מטא נתונים של נכסים או ליצור מרכזי בקרה מותאמים אישית של Data Studio.
  • התראה למערכות תגובה לאירועי אבטחה: העברת התראות על השלמת סריקה וסיכומי ממצאים ל-Pub/Sub כדי להפעיל פתיחת פניות אוטומטית, פונקציות Cloud Run או תהליכי עבודה של תגובה לאירועים בפלטפורמות SIEM.
  • שילוב עם ניהול ריכוזי של מצב האבטחה: שליחת הממצאים ישירות ל-Security Command Center כדי לצבור את הסיכונים לנתונים לצד נקודות החולשה בתשתית הענן.
  • התראה לצוותי התפעול על כשל או השלמה של סריקה: הגדרת התראות באימייל כדי להודיע מיד לאדמינים של אבטחה כשמשימות בדיקה של קבוצות גדולות מסתיימות או דורשות טיפול.
  • העברת רשומות גולמיות של ממצאים לארכיון לצורך ביקורת תאימות: כתיבת רשומות סריקה מובְנות או Protobuf ב-Cloud Storage כדי לשמור על נתיבי ביקורת שמעידים על שיבוש, כפי שנדרש בתקנים רגולטוריים.

פעולות אפשריות

כשמריצים משימה של Sensitive Data Protection, סיכום הממצאים שלה נשמר כברירת מחדל ב-Sensitive Data Protection. אפשר לראות את הסיכום הזה באמצעות Sensitive Data Protection ב Google Cloud מסוף. אפשר גם לאחזר מידע סיכום ב-DLP API באמצעות השיטה projects.dlpJobs.get.

בקטעים הבאים מפורטות הפעולות שאפשר לבצע בבדיקות ובניתוחי סיכונים.

שמירת הממצאים ב-BigQuery

שמירת תוצאות המשימה של Sensitive Data Protection בטבלת BigQuery. לפני שצופים בתוצאות או מנתחים אותן, צריך לוודא שהעבודה הושלמה.

בכל פעם שמריצים סריקה, Sensitive Data Protection שומר את הממצאים בטבלה ב-BigQuery שצוינה. הממצאים שמיוצאים מכילים פרטים על המיקום של כל ממצא ועל הסבירות להתאמה.

אם רוצים שכל ממצא יכלול את המחרוזת שתואמת לגלאי של infoType, מפעילים את האפשרות Include quote. הצעות מחיר הן מידע רגיש, ולכן הן לא נכללות בתוצאות של Sensitive Data Protection כברירת מחדל.

אם לא תציינו מזהה טבלה, BigQuery יקצה שם ברירת מחדל לטבלה חדשה בפעם הראשונה שהסריקה תפעל. השם דומה ל-dlpgoogleapisDATE_1234567890, כאשר DATE מייצג את התאריך שבו הסריקה מופעלת. אם מציינים טבלה קיימת, אפליקציית Sensitive Data Protection מוסיפה אליה את הממצאים מהסריקה.

כשנתונים נכתבים בטבלה ב-BigQuery, החיוב והשימוש במכסות חלים על הפרויקט שמכיל את טבלת היעד.

שמירת ממצאים ב-Cloud Storage

שומרים את תוצאות המשימה של Sensitive Data Protection בתיקייה או בקטגוריה קיימת של Cloud Storage. לפני שצופים בתוצאות או מנתחים אותן, צריך לוודא שהעבודה הסתיימה.

אם אתם בודקים קטגוריה של Cloud Storage, הקטגוריה שאתם מייעדים לייצוא הממצאים לא יכולה להיות הקטגוריה שאתם בודקים.

בכל פעם שמריצים סריקה, הכלי Sensitive Data Protection שומר את הממצאים במיקום ב-Cloud Storage שציינתם. הממצאים שמיוצאים מכילים פרטים על המיקום של כל ממצא ועל הסבירות להתאמה.

אם רוצים שכל ממצא יכלול את המחרוזת שתואמת לגלאי של infoType, מפעילים את האפשרות Include quote. הצעות מחיר הן מידע רגיש, ולכן הן לא נכללות בתוצאות של Sensitive Data Protection כברירת מחדל.

הממצאים מיוצאים בפורמט טקסט של Protobuf כאובייקט SaveToGcsFindingsOutput. כדי לנתח ממצאים בפורמט הזה, קראו את המאמר ניתוח ממצאים שמאוחסנים כטקסט Protobuf.

פרסום ב-Pub/Sub

פרסום התראה שמכילה את השם של עבודת Sensitive Data Protection (הגנה על מידע רגיש) כמאפיין בערוץ Pub/Sub. אפשר לציין נושא אחד או יותר לשליחת הודעת ההתראה. חשוב לוודא שלחשבון השירות של Sensitive Data Protection שמפעיל את משימת הסריקה יש גישת פרסום לנושא.

אם יש בעיות בהגדרות או בהרשאות של נושא Pub/Sub, ‏Sensitive Data Protection מנסה לשלוח שוב את ההתראה ל-Pub/Sub במשך עד שבועיים. אחרי שבועיים, ההתראה נמחקת.

פרסום ב-Security Command Center

פרסום סיכום של תוצאות המשימה ב-Security Command Center. מידע נוסף זמין במאמר שליחת תוצאות הסריקה של Sensitive Data Protection אל Security Command Center.

כדי להשתמש בפעולה הזו, הפרויקט צריך להיות שייך לארגון, וצריך להפעיל את Security Command Center ברמת הארגון. אחרת, הממצאים של Sensitive Data Protection לא יופיעו ב-Security Command Center. מידע נוסף זמין במאמר בדיקת רמת ההפעלה של Security Command Center.

פרסום ב-Knowledge Catalog

שליחת התוצאות של משימת בדיקה ב-BigQuery אל Knowledge Catalog. מידע נוסף זמין במאמר שליחת תוצאות בדיקה ל-Knowledge Catalog כהיבטים.

שליחת התראה באימייל

שליחת אימייל כשהעבודה מסתיימת. האימייל נשלח לבעלי הפרויקט ב-IAM ולאנשי הקשר החיוניים לעניינים טכניים.

פרסום ב-Cloud Monitoring

שליחת תוצאות הבדיקה ל-Cloud Monitoring ב-Google Cloud Observability.

יצירת עותק ללא פרטים מזהים

להסיר את הפרטים המזהים מכל הממצאים בנתונים שנבדקו, ולכתוב את התוכן אחרי הסרת הפרטים המזהים לקובץ חדש. לאחר מכן תוכלו להשתמש בעותק ללא פרטי הזיהוי בתהליכים העסקיים שלכם, במקום בנתונים שמכילים מידע רגיש. מידע נוסף מופיע במאמר בנושא יצירת עותק עם הסרת פרטים מזהים של נתונים ב-Cloud Storage באמצעות Sensitive Data Protection במסוףGoogle Cloud .

פעולות נתמכות

בטבלה הבאה מוצגות הפעולות של Sensitive Data Protection והמקומות שבהם כל פעולה זמינה.

פעולה בדיקה ב-BigQuery בדיקה של Cloud Storage בדיקת מאגר הנתונים בדיקה היברידית ניתוח סיכונים
שמירת הממצאים ב-BigQuery ✓ ✓ ✓ ✓ ✓
שמירת ממצאים ב-Cloud Storage ✓ ✓ ✓ ✓
פרסום ב-Pub/Sub ✓ ✓ ✓ ✓ ✓
פרסום ב-Security Command Center ✓ ✓ ✓
פרסום ב-Knowledge Catalog ✓
שליחת התראה באימייל ✓ ✓ ✓ ✓ ✓
פרסום ב-Cloud Monitoring ✓ ✓ ✓ ✓
הסרת פרטי הזיהוי מהממצאים ✓

הגדרת פעולות

כשמגדירים משימה, אפשר לציין פעולה אחת או יותר:

  • כשיוצרים משימה חדשה של בדיקה או ניתוח סיכונים באמצעות Sensitive Data Protection במסוף Google Cloud , מציינים פעולות בקטע Add actions בתהליך העבודה של יצירת המשימה.
  • כשמגדירים בקשה חדשה לשליחה ל-DLP API, מציינים פעולות באובייקט Action.

מידע נוסף וקוד לדוגמה בכמה שפות זמינים במאמרים הבאים:

תרחיש לדוגמה של פעולה

אתם יכולים להשתמש בפעולות של Sensitive Data Protection כדי להגדיר תהליכים אוטומטיים על סמך תוצאות הסריקה של Sensitive Data Protection. נניח שיש לכם טבלה ב-BigQuery שמשותפת עם שותף חיצוני. אתם רוצים לוודא שהטבלה הזו לא מכילה מזהים רגישים כמו מספרי תעודות זהות בארה"ב (infoType US_SOCIAL_SECURITY_NUMBER), ושאם נמצאים כאלה, הגישה של השותף נשללת. הנה תרשים כללי של תהליך עבודה שכולל פעולות:

  1. יוצרים טריגר למשימה של Sensitive Data Protection כדי להריץ סריקת בדיקה של הטבלה ב-BigQuery כל 24 שעות.
  2. מגדירים את הפעולה של המשימות האלה כך שתפורסם התראת Pub/Sub בנושא "projects/foo/scan_notifications".
  3. יוצרים פונקציה של Cloud Functions שמאזינה להודעות נכנסות ב-"projects/foo/scan_notifications". הפונקציה הזו של Cloud Functions תקבל את השם של משימת Sensitive Data Protection כל 24 שעות, תפעיל את Sensitive Data Protection כדי לקבל את תוצאות הסיכום של המשימה הזו, ואם היא תמצא מספרי תעודת זהות, היא תוכל לשנות את ההגדרות ב-BigQuery או בניהול זהויות והרשאות גישה (IAM) כדי להגביל את הגישה לטבלה.

המאמרים הבאים