Crea un detector de etiquetas de metadatos personalizado

En este documento, se describe cómo configurar Sensitive Data Protection para detectar etiquetas de metadatos específicas en tu contenido.

En este documento, las etiquetas de metadatos son etiquetas de archivos que están incorporadas en archivos compatibles o metadatos que proporciona tu aplicación cliente en la solicitud de inspección. Si Sensitive Data Protection encuentra contenido que coincide con tus criterios de metadatos, genera un hallazgo.

Para buscar etiquetas de metadatos, crea un Infotipo de etiqueta de metadatos personalizado. Luego, configura tu inspección o análisis de descubrimiento para buscar ese Infotipo.

Beneficios y casos de uso

Esta función te permite usar tus taxonomías de clasificación existentes para la inspección de contenido y la aplicación de políticas. Si usas un sistema de clasificación personalizado o de terceros que aplica etiquetas de metadatos a tus documentos, puedes configurar Sensitive Data Protection para detectar estas etiquetas de metadatos durante tus operaciones de inspección o descubrimiento.

Como ejemplo, se incluyen los siguientes casos prácticos:

  • Analiza archivos para detectar la presencia de etiquetas de Google Driveo etiquetas de sensibilidad de Microsoft que contengan metadatos específicos.
  • Combina la detección de etiquetas de metadatos con la detección de Infotipo estándar para un enfoque de varias capas.
  • Analiza los metadatos que tu aplicación cliente pasa junto con el contenido, incluso si los metadatos no están incorporados en el archivo. En este documento, este tipo de metadatos se denomina metadatos proporcionados por el cliente.
  • Sanea documentos con Model Armor en función de etiquetas de metadatos específicas. Para usar esta función con Model Armor (o servicios que usan Model Armor, como Gemini Enterprise), debes crear una configuración avanzada de Sensitive Data Protection en Model Armor que haga referencia a este detector de etiquetas de metadatos personalizado.

Formatos de metadatos compatibles

Esta función puede detectar los siguientes tipos de metadatos:

  • Etiquetas de Google Drive

  • Etiquetas de sensibilidad de Microsoft en los siguientes tipos de archivos:

    • DOCX
    • PDF
    • PPTX
    • XLSX

  • Metadatos proporcionados por el cliente

Opciones de configuración no compatibles

Los detectores de etiquetas de metadatos personalizados no son compatibles con lo siguiente:

Crea un detector de etiquetas de metadatos

Para crear un detector de etiquetas de metadatos, define un CustomInfoType dentro de un InspectConfig objeto. Según el tipo de metadatos que deseas analizar, define una de las siguientes opciones:

Crea un detector de etiquetas de metadatos para analizar etiquetas de archivos

Para analizar etiquetas de Google Drive o etiquetas de sensibilidad de Microsoft, define un CustomInfoType que tenga un FileLabelInfoType:

{
  "inspectConfig": {
    "customInfoTypes": [
      {
        "infoType": {
          "name": "CUSTOM_METADATA_LABEL_NAME"
        },
        "likelihood": "LIKELIHOOD",
        "sensitivityScore": {
          "score": "SENSITIVITY_SCORE"
        },
        "fileLabelInfoType": {
          "googleDriveLabel": {
            "labelId": "LABEL_ID",
            "labelFieldsToMatch": [
              {
                "id": "FIELD_ID",
                "value": "FIELD_VALUE"
              }
            ]
          },
          "sensitivityLabel": {
            "guid": "GUID"
          }
        }
      }
    ]
  }
}

Reemplaza lo siguiente:

  • CUSTOM_METADATA_LABEL_NAME: Es el nombre que se asignará al detector de Infotipo personalizado.
  • LIKELIHOOD: Opcional Es el Likelihood valor que se asignará a todos los resultados que coincidan con este Infotipo personalizado. Si omites este campo, el nivel de probabilidad predeterminado es VERY_LIKELY.

  • SENSITIVITY_SCORE: Opcional Es el SensitivityScore que se asignará a todos los resultados que coincidan con este Infotipo personalizado. Si omites este campo, la puntuación de sensibilidad predeterminada es HIGH.

    Las puntuaciones de sensibilidad se usan en los perfiles de datos. Cuando creas perfiles de tus datos, Sensitive Data Protection usa las puntuaciones de sensibilidad de los Infotipos para calcular el nivel de sensibilidad.

  • LABEL_ID: Opcional Es el ID de una etiqueta de Google Drive que debe coincidir. Si solo especificas un LABEL_ID, el detector coincide con cualquier archivo que tenga aplicada esa etiqueta de Google Drive, independientemente de los valores de sus campos. Para que coincidan valores de campo específicos dentro de una etiqueta, incluye un objeto labelFieldsToMatch.

  • FIELD_ID: Es obligatorio si especificas un objeto labelFieldsToMatch. Es el ID de un campo de etiqueta de Google Drive que debe coincidir.

  • FIELD_VALUE: Es obligatorio si especificas un objeto labelFieldsToMatch. Es el valor de un campo de etiqueta de Google Drive que debe coincidir.

  • GUID: Opcional Es el GUID de una etiqueta de sensibilidad de Microsoft que debe coincidir.

Ejemplo de detector para una etiqueta de Google Drive

En este ejemplo de inspectConfig, se define un Infotipo personalizado llamado CUSTOM_GOOGLE_DRIVE_LABEL_CONFIDENTIAL. Este Infotipo personalizado detecta una etiqueta de Google Drive que tiene lo siguiente:

  • El ID de etiqueta mydrive-label-id
  • Dentro de esa etiqueta, un campo con el ID sensitivity-field-id y el valor confidential

Si no especificas un ID y un valor de campo en labelFieldsToMatch, este Infotipo personalizado detecta los archivos que tienen la etiqueta mydrive-label-id, independientemente de la presencia de cualquier campo de etiqueta.

{
  "inspectConfig": {
    "customInfoTypes": [
      {
        "infoType": {
          "name": "CUSTOM_GOOGLE_DRIVE_LABEL_CONFIDENTIAL"
        },
        "likelihood": "VERY_LIKELY",
        "fileLabelInfoType": {
          "googleDriveLabel": {
            "labelId": "mydrive-label-id",
            "labelFieldsToMatch": [
              {
                "id": "sensitivity-field-id",
                "value": "confidential"
              }
            ]
          }
        }
      }
    ],
    "minLikelihood": "POSSIBLE"
  }
}

Cuando usas esta configuración en un trabajo de inspección, Sensitive Data Protection genera un resultado CUSTOM_GOOGLE_DRIVE_LABEL_CONFIDENTIAL si encuentra una coincidencia.

Ejemplo de detector para una etiqueta de sensibilidad de Microsoft

En este ejemplo de inspectConfig, se define un Infotipo personalizado llamado CUSTOM_SENSITIVITY_LABEL_CONFIDENTIAL. Este Infotipo personalizado detecta una etiqueta de sensibilidad de Microsoft que contiene el GUID 12345678-9012-3456-7890-123456789012:

{
  "inspectConfig": {
    "customInfoTypes": [
      {
        "infoType": {
          "name": "CUSTOM_SENSITIVITY_LABEL_CONFIDENTIAL"
        },
        "likelihood": "VERY_LIKELY",
        "fileLabelInfoType": {
          "sensitivityLabel": {
            "guid": "12345678-9012-3456-7890-123456789012"
          }
        }
      }
    ],
    "minLikelihood": "POSSIBLE"
  }
}

Cuando usas esta configuración en un trabajo de inspección, Sensitive Data Protection genera un hallazgo CUSTOM_SENSITIVITY_LABEL_CONFIDENTIAL si encuentra una coincidencia.

Crea un detector de etiquetas de metadatos para analizar pares clave-valor personalizados

Para usar expresiones regulares para analizar pares clave-valor personalizados en metadatos proporcionados por el cliente, sigue estos pasos:

  1. Define un CustomInfoType que tenga un MetadataKeyValueExpression:

    {
  "inspectConfig": {
    "customInfoTypes": [
      {
        "infoType": {
          "name": "CUSTOM_METADATA_LABEL_NAME"
        },
        "likelihood": "LIKELIHOOD",
        "sensitivityScore": {
          "score": "SENSITIVITY_SCORE"
        },
        "metadataKeyValueExpression": {
          "keyRegex": "KEY_REGULAR_EXPRESSION",
          "valueRegex": "VALUE_REGULAR_EXPRESSION"
        }
      }
    ]
  }
}

    Reemplaza lo siguiente:

    • CUSTOM_METADATA_LABEL_NAME: Es el nombre que se asignará al detector de Infotipo personalizado.
    • LIKELIHOOD: Opcional Es el Likelihood valor que se asignará a todos los resultados que coincidan con este Infotipo personalizado. Si omites este campo, el nivel de probabilidad predeterminado es VERY_LIKELY.

    • SENSITIVITY_SCORE: Opcional Es el SensitivityScore que se asignará a todos los resultados que coincidan con este Infotipo personalizado. Si omites este campo, la puntuación de sensibilidad predeterminada es HIGH.

      Las puntuaciones de sensibilidad se usan en los perfiles de datos. Cuando creas perfiles de tus datos, Sensitive Data Protection usa las puntuaciones de sensibilidad de los Infotipos para calcular el nivel de sensibilidad.

    • KEY_REGULAR_EXPRESSION: Es una expresión regular para buscar en las claves de las etiquetas de metadatos.

    • VALUE_REGULAR_EXPRESSION: Es una expresión regular para buscar en los valores de las etiquetas de metadatos.

  2. En tu content.inspect solicitud, especifica los metadatos proporcionados por el cliente en el ContentMetadata campo de la ContentItem.

Ejemplo de solicitud para analizar metadatos proporcionados por el cliente

En el siguiente ejemplo, se muestra una solicitud content.inspect que incluye un archivo PDF y metadatos proporcionados por el cliente. La solicitud usa un Infotipo personalizado llamado CUSTOM_METADATA_CLASSIFICATION para analizar archivos marcados como "Confidencial" o "Uso interno".

{
  "inspectConfig": {
    "customInfoTypes": [
      {
        "infoType": {
          "name": "CUSTOM_METADATA_CLASSIFICATION"
        },
        "likelihood": "VERY_LIKELY",
        "metadataKeyValueExpression": {
          "keyRegex": "classification",
          "valueRegex": "Confidential|Internal Use"
        }
      }
    ]
  },
  "item": {
    "byteItem": {
      "type": "PDF",
      "data": "BASE64_ENCODED_PDF"
    },
    "contentMetadata": {
      "properties": [
        {
          "key": "classification",
          "value": "Confidential"
        }
      ]
    }
  }
}

Reemplaza BASE64_ENCODED_PDF por un archivo codificado en base64 para analizar.

Sensitive Data Protection genera un hallazgo si encuentra una coincidencia en el contenido. El MetadataType del resultado para MetadataLocation se propaga en función de si la coincidencia está incorporada en el archivo (CONTENT_METADATA) o la proporciona el cliente (CLIENT_PROVIDED_METADATA).

¿Qué sigue?