Ativar ações de inspeção ou análise de risco

Este documento descreve as ações que a Proteção de Dados Sensíveis pode realizar após a execução de um job de inspeção ou análise de risco.

Uma ação é uma tarefa que a Proteção de Dados Sensíveis realiza após concluir um job de inspeção ou análise de risco. Por exemplo, é possível salvar descobertas em uma tabela do BigQuery, publicar uma notificação em um tópico do Pub/Sub ou enviar um e-mail quando uma operação é concluída com sucesso ou para devido a um erro.

As operações de descoberta de dados sensíveis têm um conjunto diferente de ações. Para mais informações sobre as ações de descoberta, consulte Ativar ações de descoberta.

Quando usar ações de job

Veja alguns casos de uso comuns:

  • Publicar descobertas em data warehouses de análise: exporte descobertas detalhadas de inspeção diretamente para o BigQuery para executar análises de tendências baseadas em SQL, mesclar metadados do recurso ou criar painéis personalizados do Data Studio.
  • Notificar sistemas de resposta de segurança: transmita alertas de conclusão de verificação e resumos de descobertas para o Pub/Sub para acionar emissão de tickets automatizada, funções do Cloud Run ou fluxos de trabalho de resposta a incidentes em plataformas SIEM.
  • Integrar com o gerenciamento de postura centralizado: envie descobertas diretamente para o Security Command Center para agregar riscos de dados e vulnerabilidades infraestrutura em nuvem.
  • Alertar equipes de operações sobre falha ou conclusão da verificação: configure notificações por e-mail para notificar imediatamente os administradores de segurança quando jobs de inspeção em lote grandes forem concluídos ou exigirem atenção.
  • Arquivar registros de descobertas brutas para auditorias de conformidade: grave registros de verificação estruturados ou do Protobuf no Cloud Storage para manter trilhas de auditoria à prova de violação exigidas por padrões regulatórios.

Ações disponíveis

Quando você executa um job de Proteção de Dados Sensíveis, um resumo das descobertas é salvo por padrão na Proteção de Dados Sensíveis. É possível conferir esse resumo usando a Proteção de Dados Sensíveis no Google Cloud console. Também é possível recuperar informações de resumo na API DLP usando o projects.dlpJobs.get método.

As seções a seguir descrevem as ações disponíveis para jobs de inspeção e análise de risco.

Salvar descobertas no BigQuery

Salve os resultados do job de Proteção de Dados Sensíveis em uma BigQuery. Antes de visualizar ou analisar os resultados, verifique se o job foi concluído.

Cada vez que uma verificação é executada, a Proteção de Dados Sensíveis salva as descobertas da verificação na tabela do BigQuery especificada. As descobertas exportadas contêm detalhes sobre o local e a probabilidade de correspondência de cada descoberta.

Se você quiser que cada descoberta inclua a string que correspondeu ao detector de infoType, ative a opção Incluir citação. As citações são potencialmente sensíveis, então a Proteção de Dados Sensíveis não as inclui nas descobertas por padrão.

Se você não especificar um ID de tabela, o BigQuery vai atribuir um nome padrão a uma nova tabela na primeira vez que a verificação for executada. O nome é semelhante a dlpgoogleapisDATE_1234567890, em que DATE representa a data em que a verificação é executada. Se você especificar uma tabela atual, a Proteção de Dados Sensíveis vai anexar as descobertas da verificação a ela.

Quando os dados são gravados em uma tabela do BigQuery, o uso do faturamento e da cota é aplicado a o projeto que contém a tabela de destino.

Salvar descobertas no Cloud Storage

Salve os resultados do job de Proteção de Dados Sensíveis em um bucket ou pasta do Cloud Storage. Antes de visualizar ou analisar os resultados, verifique se o job foi concluído.

Se você estiver inspecionando um bucket do Cloud Storage, o bucket designado para descobertas exportadas não poderá ser o mesmo que você está inspecionando.

Cada vez que uma verificação é executada, a Proteção de Dados Sensíveis salva as descobertas da verificação no local do Cloud Storage especificado. As descobertas exportadas contêm detalhes sobre o local e a probabilidade de correspondência de cada descoberta.

Se você quiser que cada descoberta inclua a string que correspondeu ao detector de infoType, ative a opção Incluir citação. As citações são potencialmente sensíveis, então a Proteção de Dados Sensíveis não as inclui nas descobertas por padrão.

As descobertas são exportadas no formato de texto do Protobuf como um SaveToGcsFindingsOutput objeto. Para informações sobre como analisar descobertas nesse formato, consulte Analisar descobertas armazenadas como texto do Protobuf.

Publicar no Pub/Sub

Publique uma notificação que contenha o nome do job de Proteção de Dados Sensíveis como um atributo em um canal do Pub/Sub. É possível especificar um ou mais tópicos para enviar a mensagem de notificação. Verifique se a conta de serviço da Proteção de Dados Sensíveis que executa o job de verificação tem acesso de publicação no tópico.

Se houver problemas de configuração ou permissão com o tópico do Pub/Sub, a Proteção de Dados Sensíveis vai tentar enviar a notificação do Pub/Sub por até duas semanas. Após duas semanas, a notificação será descartada.

Publicar no Security Command Center

Publique um resumo dos resultados do job no Security Command Center. Para mais informações, consulte Enviar resultados da verificação de Proteção de Dados Sensíveis para o Security Command Center.

Para usar essa ação, seu projeto precisa pertencer a uma organização, e o Security Command Center precisa ser ativado no nível da organização. Caso contrário, as descobertas da Proteção de Dados Sensíveis não vão aparecer no Security Command Center. Para mais informações, consulte Verificar o nível de ativação do Security Command Center.

Publicar no Knowledge Catalog

Envie os resultados de um job de inspeção do BigQuery para o Knowledge Catalog. Para mais informações, consulte Enviar resultados da inspeção para o Knowledge Catalog como aspectos.

Notificar por e-mail

Envie um e-mail quando o job for concluído. O e-mail é enviado para proprietários de projetos do IAM e contatos técnicos essenciais.

Publicar no Cloud Monitoring

Envie os resultados da inspeção para o Cloud Monitoring em Google Cloud Observability.

Fazer uma cópia desidentificada

Desidentifique todas as descobertas nos dados inspecionados e grave o conteúdo desidentificado em um novo arquivo. Em seguida, é possível usar a cópia desidentificada nos processos de negócios, em vez de dados que contenham informações sensíveis. Para mais informações, consulte Criar uma cópia desidentificada de dados do Cloud Storage usando a Proteção de Dados Sensíveis no Google Cloud console.

Operações suportadas

A tabela a seguir mostra as operações de Proteção de Dados Sensíveis e onde cada ação está disponível.

Ação Inspeção do BigQuery Inspeção do Cloud Storage Inspeção do Datastore Inspeção híbrida Análise de risco
Salvar descobertas no BigQuery ✓ ✓ ✓ ✓ ✓
Salvar descobertas no Cloud Storage ✓ ✓ ✓ ✓
Publicar no Pub/Sub ✓ ✓ ✓ ✓ ✓
Publicar no Security Command Center ✓ ✓ ✓
Publicar no Knowledge Catalog ✓
Notificar por e-mail ✓ ✓ ✓ ✓ ✓
Publicar no Cloud Monitoring ✓ ✓ ✓ ✓
Desidentificar descobertas ✓

Especificar ações

É possível especificar uma ou mais ações ao configurar um job:

  • Ao criar um novo job de inspeção ou análise de risco usando a Proteção de Dados Sensíveis no Google Cloud console, especifique as ações na seção Adicionar ações do fluxo de trabalho de criação de jobs.
  • Ao configurar uma nova solicitação de job para enviar à API DLP, especifique ações no Action objeto.

Para mais informações e exemplos de código em vários idiomas, consulte:

Exemplo de cenário de ação

É possível usar as ações de Proteção de Dados Sensíveis para automatizar processos com base nos resultados da verificação da Proteção de Dados Sensíveis. Suponha que você tenha uma tabela do BigQuery compartilhada com um parceiro externo. Você quer garantir que essa tabela não contenha nenhum identificador confidencial, como números de seguro social dos EUA (o InfoType US_SOCIAL_SECURITY_NUMBER), e que se você encontrar alguma, o acesso ao parceiro seja revogado. Veja a seguir um resumo de um fluxo de trabalho que usa ações:

  1. Crie um acionador de jobs de Proteção de Dados Sensíveis para executar uma verificação de inspeção da tabela do BigQuery a cada 24 horas.
  2. Defina a ação desses jobs para publicar uma notificação do Pub/Sub no tópico "projects/foo/scan_notifications."
  3. Crie uma função do Cloud Functions que detecte as mensagens recebidas em "projects/foo/scan_notifications". Essa função do Cloud Functions vai receber o nome do job de Proteção de Dados Sensíveis a cada 24 horas, chamar a Proteção de Dados Sensíveis para receber os resultados do resumo desse job e, se encontrar números de seguro social, poderá mudar as configurações no BigQuery ou Identity and Access Management (IAM) para restringir o acesso à tabela.

A seguir