Criar um detector de rótulos de metadados personalizados

Este documento descreve como configurar a Proteção de Dados Sensíveis para detectar rótulos de metadados específicos no seu conteúdo.

Neste documento, os rótulos de metadados são rótulos de arquivos incorporados a arquivos compatíveis ou metadados fornecidos pelo aplicativo cliente na solicitação de inspeção. Se a Proteção de Dados Sensíveis encontrar conteúdo que corresponda aos critérios de metadados, ela vai gerar uma descoberta.

Para verificar rótulos de metadados, crie um infoType de rótulo de metadados personalizado. Em seguida, configure a inspeção ou a verificação de descoberta para pesquisar esse infoType.

Benefícios e casos de uso

Esse recurso permite usar as taxonomias de classificação atuais para inspeção de conteúdo e aplicação de políticas. Se você usa um sistema de classificação personalizado ou de terceiros que aplica rótulos de metadados aos documentos, é possível configurar a Proteção de Dados Sensíveis para detectar esses rótulos de metadados durante as operações de inspeção ou descoberta.

Exemplos de casos de uso incluem o seguinte:

  • Verificar arquivos em busca da presença de rótulos do Google Drive ou rótulos de sensibilidade da Microsoft que contenham metadados específicos.
  • Combinar a detecção de rótulos de metadados com a detecção de infoType padrão para uma abordagem de várias camadas.
  • Verificar os metadados que o aplicativo cliente transmite junto com o conteúdo, mesmo que os metadados não estejam incorporados ao arquivo. Neste documento, esse tipo de metadados é chamado de metadados fornecidos pelo cliente.
  • Higienizar documentos usando o Model Armor com base em rótulos de metadados específicos. Para usar esse recurso com o Model Armor ou serviços que usam o Model Armor, como o Gemini Enterprise, é necessário criar uma configuração avançada da Proteção de Dados Sensíveis no Model Armor que faça referência a esse detector de rótulos de metadados personalizados.

Formatos de metadados compatíveis

Esse recurso pode detectar os seguintes tipos de metadados:

  • Rótulos do Google Drive

  • Rótulos de sensibilidade da Microsoft nos seguintes tipos de arquivo:

    • DOCX
    • PDF
    • PPTX
    • XLSX

  • Metadados fornecidos pelo cliente

Configurações incompatíveis

Os detectores de rótulos de metadados personalizados não são compatíveis com o seguinte:

Criar um detector de rótulos de metadados

Para criar um detector de rótulos de metadados, defina um CustomInfoType em um InspectConfig objeto. Dependendo do tipo de metadados que você quer verificar, defina um dos seguintes:

Criar um detector de rótulos de metadados para verificar rótulos de arquivos

Para verificar rótulos do Google Drive ou rótulos de sensibilidade da Microsoft, defina um CustomInfoType que tenha um FileLabelInfoType:

{
  "inspectConfig": {
    "customInfoTypes": [
      {
        "infoType": {
          "name": "CUSTOM_METADATA_LABEL_NAME"
        },
        "likelihood": "LIKELIHOOD",
        "sensitivityScore": {
          "score": "SENSITIVITY_SCORE"
        },
        "fileLabelInfoType": {
          "googleDriveLabel": {
            "labelId": "LABEL_ID",
            "labelFieldsToMatch": [
              {
                "id": "FIELD_ID",
                "value": "FIELD_VALUE"
              }
            ]
          },
          "sensitivityLabel": {
            "guid": "GUID"
          }
        }
      }
    ]
  }
}

Substitua:

  • CUSTOM_METADATA_LABEL_NAME: o nome a ser atribuído ao detector de infoType personalizado.
  • LIKELIHOOD: opcional. O Likelihood valor a ser atribuído a todas as descobertas que correspondem a esse infoType personalizado. Se você omitir esse campo, o nível de probabilidade padrão será VERY_LIKELY.

  • SENSITIVITY_SCORE: opcional. O SensitivityScore a ser atribuído a todas as descobertas que correspondem a esse infoType personalizado. Se você omitir esse campo, a pontuação de sensibilidade padrão será HIGH.

    As pontuações de sensibilidade são usadas em perfis de dados. Ao criar o perfil dos dados, a Proteção de Dados Sensíveis usa as pontuações de sensibilidade dos infoTypes para calcular o nível de sensibilidade.

  • LABEL_ID: opcional. O ID de um Google Drive rótulo a ser correspondido. Se você especificar apenas um LABEL_ID, o detector vai corresponder a qualquer arquivo que tenha esse rótulo do Google Drive aplicado, independentemente dos valores dos campos. Para corresponder a valores de campo específicos em um rótulo, inclua um objeto labelFieldsToMatch.

  • FIELD_ID: obrigatório se você especificar um objeto labelFieldsToMatch. O ID de um campo de rótulo do Google Drive a ser correspondido.

  • FIELD_VALUE: obrigatório se você especificar um objeto labelFieldsToMatch. O valor de um campo de rótulo do Google Drive a ser correspondido.

  • GUID: opcional. O GUID de um rótulo de sensibilidade da Microsoft a ser correspondido.

Exemplo de detector para um rótulo do Google Drive

Este exemplo de inspectConfig define um infoType personalizado chamado CUSTOM_GOOGLE_DRIVE_LABEL_CONFIDENTIAL. Esse infoType personalizado detecta um rótulo do Google Drive que tem o seguinte:

  • O ID do rótulo mydrive-label-id
  • Dentro desse rótulo, um campo com o ID sensitivity-field-id e o valor confidential.

Se você não especificar um ID e um valor de campo em labelFieldsToMatch, esse infoType personalizado vai detectar os arquivos que têm o rótulo mydrive-label-id, independentemente da presença de campos de rótulo.

{
  "inspectConfig": {
    "customInfoTypes": [
      {
        "infoType": {
          "name": "CUSTOM_GOOGLE_DRIVE_LABEL_CONFIDENTIAL"
        },
        "likelihood": "VERY_LIKELY",
        "fileLabelInfoType": {
          "googleDriveLabel": {
            "labelId": "mydrive-label-id",
            "labelFieldsToMatch": [
              {
                "id": "sensitivity-field-id",
                "value": "confidential"
              }
            ]
          }
        }
      }
    ],
    "minLikelihood": "POSSIBLE"
  }
}

Quando você usa essa configuração em um job de inspeção, a Proteção de Dados Sensíveis gera uma descoberta CUSTOM_GOOGLE_DRIVE_LABEL_CONFIDENTIAL se encontrar uma correspondência.

Exemplo de detector para um rótulo de sensibilidade da Microsoft

Este exemplo de inspectConfig define um infoType personalizado chamado CUSTOM_SENSITIVITY_LABEL_CONFIDENTIAL. Esse infoType personalizado detecta um rótulo de sensibilidade da Microsoft que contém o GUID 12345678-9012-3456-7890-123456789012:

{
  "inspectConfig": {
    "customInfoTypes": [
      {
        "infoType": {
          "name": "CUSTOM_SENSITIVITY_LABEL_CONFIDENTIAL"
        },
        "likelihood": "VERY_LIKELY",
        "fileLabelInfoType": {
          "sensitivityLabel": {
            "guid": "12345678-9012-3456-7890-123456789012"
          }
        }
      }
    ],
    "minLikelihood": "POSSIBLE"
  }
}

Quando você usa essa configuração em um job de inspeção, a Proteção de Dados Sensíveis gera uma descoberta CUSTOM_SENSITIVITY_LABEL_CONFIDENTIAL se encontrar uma correspondência.

Criar um detector de rótulos de metadados para verificar pares de chave-valor personalizados

Para usar expressões regulares para verificar pares de chave-valor personalizados em metadados fornecidos pelo cliente, siga estas etapas:

  1. Defina um CustomInfoType que tenha um MetadataKeyValueExpression:

    {
  "inspectConfig": {
    "customInfoTypes": [
      {
        "infoType": {
          "name": "CUSTOM_METADATA_LABEL_NAME"
        },
        "likelihood": "LIKELIHOOD",
        "sensitivityScore": {
          "score": "SENSITIVITY_SCORE"
        },
        "metadataKeyValueExpression": {
          "keyRegex": "KEY_REGULAR_EXPRESSION",
          "valueRegex": "VALUE_REGULAR_EXPRESSION"
        }
      }
    ]
  }
}

    Substitua:

    • CUSTOM_METADATA_LABEL_NAME: o nome a ser atribuído ao detector de infoType personalizado.
    • LIKELIHOOD: opcional. O Likelihood valor a ser atribuído a todas as descobertas que correspondem a esse infoType personalizado. Se você omitir esse campo, o nível de probabilidade padrão será VERY_LIKELY.

    • SENSITIVITY_SCORE: opcional. O SensitivityScore a ser atribuído a todas as descobertas que correspondem a esse infoType personalizado. Se você omitir esse campo, a pontuação de sensibilidade padrão será HIGH.

      As pontuações de sensibilidade são usadas em perfis de dados. Ao criar o perfil dos dados, a Proteção de Dados Sensíveis usa as pontuações de sensibilidade dos infoTypes para calcular o nível de sensibilidade.

    • KEY_REGULAR_EXPRESSION: uma expressão regular para pesquisar nas chaves de rótulos de metadados.

    • VALUE_REGULAR_EXPRESSION: uma expressão regular para pesquisar nos valores de rótulos de metadados.

  2. Na sua content.inspect solicitação, especifique os metadados fornecidos pelo cliente no ContentMetadata campo do ContentItem.

Exemplo de solicitação para verificar metadados fornecidos pelo cliente

O exemplo a seguir mostra uma solicitação content.inspect que inclui um arquivo PDF e metadados fornecidos pelo cliente. A solicitação usa um infoType personalizado chamado CUSTOM_METADATA_CLASSIFICATION para verificar arquivos marcados como "Confidencial" ou "Uso interno".

{
  "inspectConfig": {
    "customInfoTypes": [
      {
        "infoType": {
          "name": "CUSTOM_METADATA_CLASSIFICATION"
        },
        "likelihood": "VERY_LIKELY",
        "metadataKeyValueExpression": {
          "keyRegex": "classification",
          "valueRegex": "Confidential|Internal Use"
        }
      }
    ]
  },
  "item": {
    "byteItem": {
      "type": "PDF",
      "data": "BASE64_ENCODED_PDF"
    },
    "contentMetadata": {
      "properties": [
        {
          "key": "classification",
          "value": "Confidential"
        }
      ]
    }
  }
}

Substitua BASE64_ENCODED_PDF por um arquivo codificado em base64 para verificar.

A Proteção de Dados Sensíveis gera uma descoberta se encontrar uma correspondência no conteúdo. O MetadataType da descoberta para MetadataLocation é preenchido com base em se a correspondência está incorporada ao arquivo (CONTENT_METADATA) ou fornecida pelo cliente (CLIENT_PROVIDED_METADATA).

A seguir