Methodentypen

Sensitive Data Protection bietet verschiedene Methoden, mit denen Sie Daten untersuchen, transformieren (de-identifizieren), ermitteln und klassifizieren können. Mit diesen Methoden können Sie Daten in und außerhalb von Google Cloud scannen und das Verhalten von Sensitive Data Protection für verschiedene Arten von Arbeitslasten optimieren.

Sensitive Data Protection bietet die folgenden Methodentypen:

Methoden zur Überprüfung und De-Identifikation

In diesem Abschnitt werden die Methoden beschrieben, mit denen Sie jede Dateneinheit, die einem in Ihrer Prüfkonfiguration aufgeführten Informationstyp entspricht, finden und optional anonymisieren können.

Inhaltsmethoden

Inhaltsmethoden sind synchrone, zustandslose Methoden. Die zu prüfenden oder zu transformierenden Daten werden direkt in der Anfrage an die DLP API gesendet. Ergebnisse der Sensitive Data Protection-Prüfung oder transformierte Daten werden in der API-Antwort zurückgegeben. Anfragedaten werden bei der Übertragung verschlüsselt und nicht gespeichert.

Datenfluss der Inhaltsmethoden, der einen Client zeigt, der Daten über eine API-Anfrage an Sensitive Data Protection sendet, was die Daten prüfen und klassifizieren oder die Daten deidentifizieren und transformieren und eine synchrone API-Antwort an den Client senden kann.

Wann sollten Content-Methoden verwendet werden?

Im Folgenden sind einige gängige Anwendungsfälle aufgeführt:

  • Nutzer-Eingaben in Echtzeit prüfen: Formularfelder, Chatnachrichten oder Feedback-Eingaben in Web- und Mobilanwendungen synchron scannen, bevor Daten in Datenbanken gespeichert werden.
  • Sensiblen Text vor der externen Verarbeitung maskieren: Sensible Tokens in Textstrings synchron anonymisieren oder unkenntlich machen, bevor Inhalte an APIs von Drittanbietern oder Large Language Models (LLMs) übergeben werden.
  • Sensible Daten aus hochgeladenen Bildern entfernen: Sensiblen Text in Bildformaten wie JPEG, PNG oder TIFF verschleiern, indem undurchsichtige Rechtecke über erkannte personenbezogene Daten gelegt werden, bevor das Bild angezeigt oder gespeichert wird.
  • Tokenisierte Daten auf Anfrage re-identifizieren: Heben Sie die Tokenisierung von zuvor pseudonymisierten Tokens in autorisierten serverseitigen Arbeitsabläufen auf, wenn ein authentifizierter geschäftlicher Nutzer Zugriff auf den ursprünglichen Klartext benötigt.
  • Datenschutz in clientseitigen Anwendungen validieren: Führen Sie zustandslose Datenschutzprüfungen für Endpunkte aus, ohne Cloud-Speicher-Repositories bereitzustellen oder die Backend-Jobinfrastruktur zu konfigurieren.

Weitere Informationen finden Sie in der REST API-Referenz für Inhaltsmethoden:

Speichermethoden

Speichermethoden wurden entwickelt, um in Google Cloud gespeicherte Daten in Systemen wie Cloud Storage, BigQuery und Firestore im Datastore-Modus (Datenspeicher) zu untersuchen. Erstellen Sie zum Aktivieren der Speicherprüfung einen Sensitive Data Protection-Job mit der Ressource dlpJobs. Jeder Job wird als verwalteter Dienst ausgeführt, um Daten zu prüfen und dann Sensitive Data Protection-Aktionen wie das Speichern oder Veröffentlichen von Ergebnissen auszuführen. Zusätzlich zu diesen optionalen Aktionen erstellt und speichert Sensitive Data Protection Details zum Job, einschließlich Jobstatus, gescannte Byte und Zusammenfassungen pro infoType. Sie können Jobs mit der DLP API oder mit Sensitive Data Protection in der Google Cloud -Console verwalten.

Datenfluss der Speichermethoden, in dem gezeigt wird, wie Sensitive Data Protection Daten in einem Google Cloud -Speicher-Repository prüft und dann die Ergebnisse speichert oder veröffentlicht.

Wann sollten Speichermethoden verwendet werden?

Im Folgenden sind einige gängige Anwendungsfälle aufgeführt:

  • Analysetabellen im großen Maßstab scannen: Mit dem verteilten, serverlosen Batch-Scanning können Sie Datasets im Petabyte-Bereich in BigQuery untersuchen.
  • Unstrukturierte Dateirepositories prüfen: Untersuchen Sie Dokumente, Archive und Mediendateien, die in Cloud Storage-Buckets gespeichert sind, um unverschlüsselte oder falsch platzierte sensible Daten zu finden.
  • Verlaufsdaten von Scanergebnissen und Trends nachverfolgen: Detaillierte Prüfungsergebnisse werden direkt in BigQuery-Tabellen gespeichert, um Ergebnisse im Zeitverlauf nachzuverfolgen und Compliance-Prüfpfade zu generieren.
  • Ereignisgesteuerte Workflows zur Problembehebung auslösen: Streamen Sie Ereignisse zum Abschluss von Scans und Benachrichtigungen zu Ergebnissen mit hohem Risiko an Pub/Sub, um automatisierte Playbooks zur Reaktion auf Sicherheitsvorfälle zu starten.
  • Große Datasets zur Kosteneffizienz stichprobenartig erfassen: Konfigurieren Sie Stichproben- oder Zeilenlimits, um das Datenrisiko in großen Datenbanken zu schätzen, ohne ganze Datasets zu scannen.

Weitere Informationen finden Sie in der REST API-Referenz zur Ressource projects.dlpJobs. Sie geben die Speicherdetails im StorageConfig-Objekt an.

Hybridmethoden

Hybridmethoden sind eine Reihe asynchroner API-Methoden, mit denen Sie Nutzlasten von Daten aus praktisch jeder Quelle auf sensible Informationen prüfen und die Ergebnisse in Google Cloudspeichern können. Hybridmethoden ähneln Inhaltsmethoden dahingehend, dass die zu prüfenden Daten in einer oder mehreren Prüfungsanfragen enthalten sind. Im Gegensatz zu Inhaltsmethoden geben Hybridmethoden jedoch keine Prüfungsergebnisse in der API-Antwort zurück. Die Prüfungsergebnisse werden stattdessen serverseitig synchron verarbeitet und die Ergebnisse werden in Tabellen eingefügt und ähnlich wie Speichermethoden gespeichert.

Erstellen Sie zum Aktivieren der Hybridprüfung einen Job zum Schutz sensibler Daten mit der Ressource dlpJobs. Jeder Hybridjob wird als verwalteter Dienst ausgeführt, um Prüfungsanfragen zu überwachen und Sensitive Data Protection-Aktionen wie das Speichern oder Veröffentlichen von Ergebnissen auszuführen. Zusätzlich zu diesen optionalen Aktionen erstellt und speichert Sensitive Data Protection Details zum Job, einschließlich Jobstatus, gescannte Byte und Zusammenfassungen pro infoType. Sie können Jobs mit der DLP API oder mit Sensitive Data Protection in der Google Cloud -Console verwalten.

Dataflow für Hybridjobs, in dem gezeigt wird, wie Ihre Anwendung Daten aus einer externen Quelle an Sensitive Data Protection sendet, Sensitive Data Protection die Daten prüft und die Ergebnisse dann speichert oder veröffentlicht.

Wann sollten Hybridmethoden verwendet werden?

Im Folgenden sind einige gängige Anwendungsfälle aufgeführt:

  • Daten in Hybrid- und Multi-Cloud-Umgebungen prüfen: Daten aus lokalen Datenbanken, Bare-Metal-Servern oder anderen Cloud-Anbietern in Sensitive Data Protection streamen und gleichzeitig Berichte zu Ergebnissen inGoogle Cloudzentralisieren.
  • Benutzerdefinierte Datenpipelines für Anwendungen prüfen: Senden Sie Streamingdaten von benutzerdefinierten Crawlern, Mikrodiensten oder ETL-Pipelines an Sensitive Data Protection, ohne lokale Scanner-Worker-Flotten verwalten zu müssen.
  • Arbeitslasten während der Cloud-Migration bereinigen: Sensible Assets während der Live-Datenbankreplikation aus alten Systemen in Google Cloudkontinuierlich prüfen und tokenisieren.
  • Multi-Cloud-Compliance-Berichte zentralisieren: Fassen Sie Prüfungsergebnisse aus verschiedenen operativen Umgebungen in einem einzigen BigQuery-Dataset für eine einheitliche Governance zusammen.
  • Benutzerdefinierte Dateitypen und proprietäre Formate verarbeiten: Extrahieren Sie clientseitig Text aus proprietären Binärformaten und streamen Sie die extrahierten Nutzlasten zur Überprüfung an Sensitive Data Protection.

Weitere Informationen finden Sie in der REST API-Referenz zur Ressource projects.dlpJobs. Sie geben die Datenquelle im Feld hybridOptions des StorageConfig-Objekts an.

Erkennungsmethoden

Mit Erkennungsmethoden können Sie die Erkennung sensibler Daten so konfigurieren, dass Datenprofile generiert werden. Datenprofile liefern Informationen, mit denen Sie ermitteln können, wo sich sensible Daten in Ihrer Organisation befinden, welche Art von sensiblen Daten Sie speichern und ob für diese Daten Zugriffssteuerungen eingerichtet sind.

Sie können die Erkennung so konfigurieren, dass Daten gescannt werden, die in Systemen wie BigQuery, Cloud SQL, Cloud Storage und Vertex AI auf Google Cloud gespeichert sind. Wenn Sie Security Command Center Enterprise aktiviert haben, können Sie mit Sensitive Data Protection auch Daten von anderen Cloud-Anbietern scannen.

Sie können Aktionen angeben, die von Sensitive Data Protection nach jedem Erkennungsscan ausgeführt werden sollen. Sie können beispielsweise Scanergebnisse an andereGoogle Cloud -Dienste wie Security Command Center und Google Security Operations senden, um die Transparenz der Datensicherheit Ihrer Organisation zu erhöhen. Sie können den Erkennungsdienst so konfigurieren, dass Ihre profilierten Ressourcen getaggt werden, um den IAM-Zugriff auf diese Ressourcen automatisch zu gewähren oder zu verweigern. Sie können die Datenprofile auch nach BigQuery exportieren. Sie können die exportierten Profile mit Data Studio verbinden, um den vorgefertigten Bericht aufzurufen. Sie können auch eigene benutzerdefinierte Abfragen und Berichte erstellen.

Um die Erkennung zu aktivieren, erstellen Sie eine DiscoveryConfig-Ressource. Die Erkennung wird basierend auf dem Umfang und der Häufigkeit ausgeführt, die Sie in der Erkennungskonfiguration festlegen. Informationen dazu, wo Sensitive Data Protection die generierten Profile speichert, finden Sie unter Überlegungen zum Datenstandort.

Sie können die Ermittlungskonfigurationen, Datenprofile und Cloud SQL-Verbindungen über die DLP API oder die Google Cloud Console verwalten.

Datenfluss für die Erkennung, bei dem Sensitive Data Protection Daten aus verschiedenen Datenquellen erkennt und Datenprofile an verschiedene Google Cloud-Dienste sendet.

Wann sollten Erkennungsmethoden verwendet werden?

Im Folgenden sind einige gängige Anwendungsfälle aufgeführt:

  • Organisationsweite Datenerkennung automatisieren: Alle Daten-Assets in BigQuery, Cloud SQL und Cloud Storage kontinuierlich scannen und profilieren, ohne einzelne Scanjobs oder Zeitpläne schreiben zu müssen.
  • Datenrepositories mit hohem Risiko identifizieren: Generieren Sie Datenrisiko- und Datenvertraulichkeitswerte für Tabellen und Buckets, um Initiativen zum Datenschutz und zur Datenverwaltung zu priorisieren.
  • Dynamische Zugriffssteuerung mit Datentags erzwingen: Profilierte Ressourcen werden automatisch auf Grundlage der erkannten InfoTypes getaggt, um den Zugriff mithilfe von IAM-Richtlinien (Identity and Access Management) zu gewähren oder einzuschränken.
  • Sicherheitsstatusmanagement für Daten bereitstellen: Senden Sie Informationen aus Erkennungsprofilen an Security Command Center und Google Security Operations, um Datenrisiken mit Infrastrukturbedrohungen in Beziehung zu setzen.
  • Compliance-Status mit Executive Dashboards visualisieren: Exportieren Sie Datenprofile nach BigQuery und verbinden Sie vorgefertigte Data Studio-Dashboards, um die Verteilung sensibler Daten in der gesamten Organisation, in Ordnern und Projekten zu überwachen.

Weitere Informationen finden Sie in der REST API-Referenz für die folgenden Elemente:

Nächste Schritte