Der Schutz sensibler Daten verwendet Informationstypen bzw. infoTypes, um zu definieren, wonach gescannt wird. Ein infoType ist ein Typ sensibler Daten wie Name, E-Mail-Adresse, Telefonnummer, Sozialversicherungsnummer, Kreditkartennummer usw.
Jeder in Sensitive Data Protection definierte infoType besitzt einen entsprechenden Detektor. Der Schutz sensibler Daten verwendet in der Konfiguration für seine Scans infoType-Detektoren, um zu bestimmen, wonach gesucht werden soll und wie die Ergebnisse transformiert werden. Die infoType-Namen werden auch für die Anzeige von Scanergebnissen oder in entsprechenden Berichten verwendet.
In diesem Thema werden die infoTypes und infoType-Detektoren detailliert beschrieben. Außerdem erfahren Sie, wie Sie infoType-Detektoren nutzen können, wenn Sie mit dem Schutz sensibler Daten Inhalte auf sensible Daten untersuchen.
infoType-Detektoren angeben
Wenn Sie den Schutz sensibler Daten zum Scannen Ihrer Inhalte einrichten, geben Sie die zu verwendenden infoType-Detektoren in der Scankonfiguration an.
Anhand der folgenden JSON wird z. B. eine einfache Scananfrage an die DLP API veranschaulicht. Beachten Sie, dass der PHONE_NUMBER-Detektor in
inspectConfig angegeben ist.
Damit wird der Schutz sensibler Daten angewiesen, den angegebenen String nach einer
Telefonnummer zu durchsuchen.
POST https://dlp.googleapis.com/v2/projects/[PROJECT_ID]/content:inspect?key={YOUR_API_KEY}
{
"item":{
"value":"My phone number is (415) 555-0890"
},
"inspectConfig":{
"includeQuote":true,
"minLikelihood":"POSSIBLE",
"infoTypes":{
"name":"PHONE_NUMBER"
}
}
}
Die vorhergehende Anfrage liefert Folgendes:
{
"result":{
"findings":[
{
"quote":"(415) 555-0890",
"infoType":{
"name":"PHONE_NUMBER"
},
"likelihood":"VERY_LIKELY",
"location":{
"byteRange":{
"start":"19",
"end":"33"
},
"codepointRange":{
"start":"19",
"end":"33"
}
},
"createTime":"2018-10-29T23:46:34.535Z"
}
]
}
}
Geben Sie in Ihrer Scan konfiguration immer infoTypes an. Wenn Sie keine infoTypes angeben, verwendet der Schutz sensibler Daten eine Standard-infoTypes-Liste. Je nach Menge der zu scannenden Inhalte kann das Scannen nach Standard-infoTypes zu zeitaufwendig oder teuer sein.
Weitere Informationen zur Verwendung von infoType-Detektoren zum Scannen von Inhalten finden Sie in den Anleitungen zu den Themen Prüfung, Entfernung und De-Identifikation.
Arten von infoType-Detektoren
Informationstyp- bzw. infoType-Detektoren sind die Mechanismen, mit deren Hilfe der Schutz sensibler Daten nach sensiblen Daten sucht.
Der Schutz sensibler Daten enthält mehrere Arten von infoType-Detektoren, die hier zusammengefasst sind:
- _Integrierte infoType-Detektoren_ sind in den Schutz sensibler Daten eingebunden. Dazu gehören Detektoren für länder- oder regionsspezifische sensible Datentypen sowie global anwendbare Datentypen.
- Benutzerdefinierte infoType-Detektoren sind Detektoren, die Sie selbst erstellen. Es gibt drei Arten von benutzerdefinierten infoType-Detektoren:
- Reguläre benutzerdefinierte Wörterbuchdetektoren sind einfache Wortlisten, in denen der Schutz sensibler Daten nach Übereinstimmungen sucht. Verwenden Sie reguläre benutzerdefinierte Wörterbuchdetektoren, wenn Sie eine Liste von einigen Zehntausend Wörtern oder Wortgruppen haben. Reguläre benutzerdefinierte Wörterbuchdetektoren werden bevorzugt verwendet, wenn davon auszugehen ist, dass sich die Wortliste nicht wesentlich ändern wird.
- Gespeicherte benutzerdefinierte Wörterbuchdetektoren werden vom Schutz sensibler Daten unter Verwendung umfangreicher Listen von Wörtern oder Wortgruppen generiert, die entweder in Cloud Storage oder BigQuery gespeichert sind. Verwenden Sie gespeicherte benutzerdefinierte Wörterbuchdetektoren, wenn Sie eine umfangreiche Liste von Wörtern oder Wortgruppen haben (bis zu mehreren zehn Millionen).
- Detektoren regulärer Ausdrücke (Regex-Detektoren) ermöglichen es dem Schutz sensibler Daten, Übereinstimmungen anhand eines regulären Ausdrucksmusters zu erkennen.
Sie können Prüfregeln erstellen, um die Scanergebnisse zu verfeinern.
Integrierte infoType-Detektoren
Integrierte infoType-Detektoren sind in den Schutz sensibler Daten eingebunden und
umfassen Detektoren für länder- oder regionsspezifische sensible Daten wie
die französische Numéro d'Inscription au Répertoire (NIR) (FRANCE_NIR), die britische
Führerscheinnummer (UK_DRIVERS_LICENSE_NUMBER) und die US-amerikanische Sozialversicherungs
nummer (US_SOCIAL_SECURITY_NUMBER). Ebenfalls enthalten sind Detektoren für global anwendbare Daten
typen wie Namen von Personen (PERSON_NAME), Telefonnummern (PHONE_NUMBER),
E-Mail-Adressen (EMAIL_ADDRESS) und Kreditkartennummern
(CREDIT_CARD_NUMBER).Zur Erkennung von Inhalten, die den infoTypes entsprechen,
nutzt der Schutz sensibler Daten verschiedene Techniken wie Muster
erkennung, Prüfsummen, maschinelles Lernen, Kontextanalyse und andere.
Die Liste der integrierten infoType-Detektoren wird kontinuierlich aktualisiert. Eine vollständige Liste der derzeit unterstützten integrierten infoType-Detektoren finden Sie unter InfoType-Detektorreferenz.
Benutzerdefinierte infoType-Detektoren
Es gibt drei Arten von benutzerdefinierten infoType-Detektoren:
- Reguläre benutzerdefinierte Wörterbuchdetektoren
- Gespeicherte benutzerdefinierte Wörterbuchdetektoren
- Reguläre Ausdrücke (Regex)
Sie können Prüfregeln erstellen, um die Scanergebnisse zu verfeinern.
Reguläre benutzerdefinierte Wörterbuchdetektoren
Verwenden Sie reguläre benutzerdefinierte Wörterbuchdetektoren, wenn Sie Inhalte mit kürzeren Listen von Wörtern oder Wortgruppen (bis zu mehreren Zehntausend) auf Übereinstimmungen prüfen möchten. Ein reguläres benutzerdefiniertes Wörterbuch kann als eigener eindeutiger Detektor verwendet werden.
Benutzerdefinierte Wörterbuchdetektoren sind nützlich, wenn Sie Inhalte auf Übereinstimmungen mit einer Liste von Wörtern oder Ausdrücken prüfen möchten, die mit einem regulären Ausdruck oder einem integrierten Detektor nicht leicht gefunden werden können. Nehmen Sie zum Beispiel an, Sie möchten nach Konferenzräumen suchen, die nicht mit Raumnummern gekennzeichnet, sondern nach Namen von Ländern oder Regionen, Sehenswürdigkeiten oder fiktiven Figuren benannt sind. Hier können Sie einen regulären benutzerdefinierten Wörterbuchdetektor erstellen, der eine Liste dieser Raumnamen enthält. Der Schutz sensibler Daten kann Ihren Inhalt nach allen enthaltenen Raumnamen prüfen und eine Übereinstimmung zurückgeben, wenn er im Kontext einen davon findet. Weitere Informationen dazu, wie der Schutz sensibler Daten nach Wörtern und Wortgruppen aus Wörterbüchern sucht, finden Sie unter Regulären benutzerdefinierten Wörterbuchdetektor erstellen im Abschnitt "Details zum Wörterbuchabgleich".
Weitere Informationen zur Funktionsweise regulärer benutzerdefinierter Wörterbuchdetektoren für infoTypes sowie Praxisbeispiele finden Sie unter Regulären benutzerdefinierten Wörterbuch Detektor erstellen.
Gespeicherte benutzerdefinierte Wörterbuchdetektoren
Verwenden Sie gespeicherte benutzerdefinierte Wörterbuchdetektoren, wenn Sie Inhalte auf sehr viele Wörter oder Wortgruppen prüfen möchten oder wenn sich diese Wörter oder Wortgruppen häufig ändern. Gespeicherte benutzerdefinierte Wörterbuchdetektoren können Dutzende Millionen von Wörtern oder Wortgruppen abgleichen.
Da gespeicherte benutzerdefinierte Wörterbuchdetektoren sehr umfangreich sind, werden sie anders erstellt als benutzerdefinierte Detektoren für reguläre Ausdrücke und reguläre benutzerdefinierte Detektoren. Jedes gespeicherte benutzerdefinierte Wörterbuch enthält zwei Komponenten:
- Eine Liste von Wortgruppen, die Sie erstellen und definieren. Die Liste wird entweder als Textdatei in Cloud Storage oder als Spalte in einer BigQuery-Tabelle gespeichert.
- Die generierten Wörterbuchdateien, die vom Schutz sensibler Daten basierend auf Ihrer Wortgruppenliste generiert werden. Die Wörterbuchdateien werden in Cloud Storage gespeichert und bestehen aus einer Kopie der Quellwortgruppen sowie Bloomfiltern, die beim Suchen und Abgleichen helfen. Sie können diese Dateien nicht direkt bearbeiten.
Nachdem Sie eine Wortliste erstellt und dann mit dem Schutz sensibler Daten ein benutzerdefiniertes Wörterbuch generiert haben, starten oder planen Sie einen Scan mithilfe eines gespeicherten benutzerdefinierten Wörterbuchdetektors, ähnlich wie mit anderen infoType-Detektoren.
Weitere Informationen über die Funktionsweise gespeicherter benutzerdefinierter Wörterbuchdetektoren sowie Praxisbeispiele finden Sie unter Gespeicherten benutzerdefinierten Wörterbuch Detektor erstellen.
Reguläre Ausdrücke
Ein benutzerdefinierter, auf einem regulären Ausdruck (Regex) basierender infoType-Detektor ermöglicht es Ihnen, eigene infoType-Detektoren zu erstellen, mit denen der Schutz sensibler Daten Übereinstimmungen basierend auf einem Regex-Muster erkennen kann. Nehmen Sie beispielsweise an, Sie haben Krankenaktennummern im Format ###-#-#####. Sie könnten ein Regex-Muster wie das Folgende definieren:
[1-9]{3}-[1-9]{1}-[1-9]{5}
Der Schutz sensibler Daten prüft dann auf Übereinstimmungen mit Elementen wie diesem:
123-4-56789
Außerdem können Sie jeder
benutzerdefinierten infoType-Übereinstimmung eine Wahrscheinlichkeit zuweisen. Das heißt, wenn der Schutz sensibler Daten eine Übereinstimmung mit der angegebenen Sequenz findet, weist er die von Ihnen angegebene Wahrscheinlichkeit zu.
Dies ist nützlich, wenn Ihr benutzerdefinierter Regex einer Sequenz entspricht, die allgemein verwendet wird und auch anderen, nicht relevanten Sequenzen entsprechen könnte. In diesem Fall sollte der Schutz sensibler Daten nicht jede Übereinstimmung als VERY_LIKELY einstufen. Dies würde nämlich die Zuverlässigkeit der Scanergebnisse beeinträchtigen und möglicherweise dazu führen, dass die falsche Information de-identifiziert wird.
Weitere Informationen zu regulären infoType-Detektoren für reguläre Ausdrücke sowie Praxisbeispiele finden Sie unter Benutzerdefinierten Regex Detektor erstellen.