Mengaktifkan tindakan penemuan

Bagian ini menjelaskan cara menentukan tindakan yang Anda inginkan agar Sensitive Data Protection lakukan setelah membuat profil resource. Tindakan ini berguna jika Anda ingin mengirim insight yang dikumpulkan dari profil data ke layanan Google Cloud lain.

Catatan: Untuk mengetahui informasi tentang kemungkinan biaya yang dikenakan oleh layanan Google Cloud lain kepada Anda untuk mengonfigurasi tindakan, lihat Harga untuk mengekspor profil data.

Untuk mengaktifkan tindakan penemuan, buat atau edit konfigurasi pemindaian penemuan. Bagian berikut menjelaskan berbagai tindakan yang dapat Anda aktifkan di bagian Add actions pada konfigurasi pemindaian.

Tidak semua tindakan di halaman ini tersedia untuk setiap jenis penemuan. Misalnya, Anda tidak dapat melampirkan tag ke resource jika mengonfigurasi penemuan untuk resource dari penyedia cloud lain. Untuk mengetahui informasi selengkapnya, lihat Tindakan yang didukung di halaman ini.

Untuk mengetahui informasi selengkapnya tentang penemuan data sensitif, lihat Profil data.

Operasi pemeriksaan dan analisis risiko memiliki serangkaian tindakan yang berbeda. Untuk mengetahui informasi selengkapnya, lihat Mengaktifkan tindakan pemeriksaan atau analisis risiko tindakan.

Memublikasikan ke Google Security Operations

Metrik yang dikumpulkan dari profil data dapat menambahkan konteks ke temuan Google Security Operations Anda. Konteks yang ditambahkan dapat membantu Anda menentukan masalah keamanan terpenting yang perlu ditangani.

Misalnya, jika Anda menyelidiki agen layanan tertentu, Google Security Operations dapat menentukan resource yang diakses agen layanan dan apakah ada resource tersebut yang memiliki data dengan sensitivitas tinggi.

Untuk mengirim profil data ke instance Google Security Operations, aktifkan Publish to Google Security Operations.

Jika Anda tidak mengaktifkan instance Google Security Operations untuk organisasi Anda—melalui produk mandiri atau melalui Security Command Center Enterprise—mengaktifkan opsi ini tidak akan berpengaruh.

Memublikasikan ke Security Command Center

Temuan dari profil data memberikan konteks saat Anda melakukan triase dan mengembangkan rencana respons untuk temuan kerentanan dan ancaman di Security Command Center.

Catatan: Anda juga dapat mengonfigurasi Security Command Center untuk otomatis memprioritaskan resource untuk fitur simulasi jalur serangan sesuai dengan sensitivitas data yang dihitung yang terdapat dalam resource. Untuk mengetahui informasi selengkapnya, lihat Menetapkan nilai prioritas resource secara otomatis berdasarkan sensitivitas data.

Sebelum dapat menggunakan tindakan ini, Security Command Center harus diaktifkan di tingkat organisasi. Mengaktifkan Security Command Center di tingkat organisasi akan mengaktifkan alur temuan dari layanan terintegrasi seperti Sensitive Data Protection. Sensitive Data Protection berfungsi dengan Security Command Center di semua tingkat layanan.

Jika Security Command Center tidak diaktifkan di tingkat organisasi, temuan Sensitive Data Protection tidak akan muncul di Security Command Center. Untuk mengetahui informasi selengkapnya, lihat Memeriksa tingkat aktivasi Security Command Center.

Untuk mengirim hasil profil data ke Security Command Center, pastikan opsi Publish to Security Command Center diaktifkan.

Untuk mengetahui informasi selengkapnya, lihat Memublikasikan profil data ke Security Command Center.

Menyimpan salinan profil data ke BigQuery

Sensitive Data Protection menyimpan salinan setiap profil data yang dibuat dalam tabel BigQuery. Jika Anda tidak memberikan detail tabel pilihan, Sensitive Data Protection akan membuat set data dan tabel di container agen layanan. Secara default, set data diberi nama sensitive_data_protection_discovery dan tabel diberi nama discovery_profiles.

Penting: Tabel output menggunakan DataProfileBigQueryRowSchema sebagai skemanya. Skema ini dapat berubah saat Sensitive Data Protection menambahkan fitur. Pastikan alur kerja Anda dapat menangani perubahan skema, misalnya, dengan mengabaikan kolom yang tidak diketahui.

Tindakan ini memungkinkan Anda menyimpan histori semua profil yang dibuat. Histori ini dapat berguna untuk membuat laporan audit dan memvisualisasikan profil data. Anda juga dapat memuat informasi ini ke dalam sistem lain.

Selain itu, opsi ini memungkinkan Anda melihat semua profil data dalam satu tampilan, terlepas dari region tempat data Anda berada. Meskipun Anda juga dapat melihat profil data melalui Google Cloud konsol, konsol hanya menampilkan profil di satu region dalam satu waktu.

Jika Sensitive Data Protection gagal membuat profil resource, sistem akan mencoba lagi secara berkala. Untuk meminimalkan derau dalam data yang diekspor, Sensitive Data Protection hanya mengekspor profil yang berhasil dibuat ke BigQuery.

Sensitive Data Protection mulai mengekspor profil sejak Anda mengaktifkan opsi ini. Profil yang dibuat sebelum Anda mengaktifkan ekspor tidak akan disimpan ke BigQuery.

Catatan: Agen layanan Anda harus memiliki akses tulis di tabel tempat salinan profil akan disimpan. Jika Anda belum memiliki agen layanan, Sensitive Data Protection memungkinkan Anda membuatnya nanti di halaman Create scan configuration.

Untuk contoh kueri yang dapat Anda gunakan saat menganalisis profil data, lihat Menganalisis profil data.

Menyimpan temuan penemuan sampel ke BigQuery

Sensitive Data Protection dapat menambahkan temuan sampel ke tabel BigQuery pilihan Anda. Temuan sampel mewakili subset dari semua temuan dan mungkin tidak mewakili semua infoType yang ditemukan. Biasanya, sistem menghasilkan sekitar 10 temuan sampel per resource, tetapi jumlah ini dapat bervariasi untuk setiap operasi penemuan.

Setiap temuan mencakup string sebenarnya (juga disebut kutipan) yang terdeteksi dan lokasinya yang tepat.

Tindakan ini berguna jika Anda ingin mengevaluasi apakah konfigurasi pemeriksaan Anda cocok dengan jenis informasi yang ingin Anda tandai sebagai sensitif. Dengan menggunakan profil data yang diekspor dan temuan sampel yang diekspor, Anda dapat menjalankan kueri untuk mendapatkan informasi selengkapnya tentang item tertentu yang ditandai, infoType yang cocok, lokasi yang tepat, tingkat sensitivitas yang dihitung, dan detail lainnya.

Penting: Tabel output menggunakan DataProfileFinding sebagai skemanya. Skema ini dapat berubah saat Sensitive Data Protection menambahkan fitur. Pastikan alur kerja Anda dapat menangani perubahan skema, misalnya, dengan mengabaikan kolom yang tidak diketahui.

Contoh kueri: Menampilkan temuan sampel yang terkait dengan profil data penyimpanan file

Contoh ini mengharuskan Save data profile copies to BigQuery dan Save sample discovery findings to BigQuery diaktifkan.

Kueri berikut menggunakan operasi INNER JOIN pada tabel profil data yang diekspor dan tabel temuan sampel yang diekspor. Dalam tabel hasil, setiap data menampilkan kutipan temuan, infoType yang cocok, resource yang berisi temuan, dan tingkat sensitivitas resource yang dihitung.

SELECT
 findings_table.quote,
 findings_table.infotype.name,
 findings_table.location.container_name,
 profiles_table.file_store_profile.file_store_path as bucket_name,
 profiles_table.file_store_profile.sensitivity_score as bucket_sensitivity_score
FROM
 `FINDINGS_TABLE_PROJECT_ID.FINDINGS_TABLE_DATASET_ID.FINDINGS_TABLE_ID_latest_v1` AS findings_table
INNER JOIN
 `PROFILES_TABLE_PROJECT_ID.PROFILES_TABLE_DATASET_ID.PROFILES_TABLE_ID_latest_v1` AS profiles_table
ON
 findings_table.data_profile_resource_name=profiles_table.file_store_profile.name
 AND findings_table.timestamp.timestamp=profiles_table.file_store_profile.profile_last_generated.timestamp

Contoh kueri: Menampilkan temuan sampel yang terkait dengan profil data tabel

Contoh ini mengharuskan Save data profile copies to BigQuery dan Save sample discovery findings to BigQuery diaktifkan.

Kueri berikut menggunakan operasi INNER JOIN pada tabel profil data yang diekspor dan tabel temuan sampel yang diekspor. Dalam tabel hasil, setiap data menampilkan kutipan temuan, infoType yang cocok, resource yang berisi temuan, dan tingkat sensitivitas resource yang dihitung.

SELECT
 findings_table.quote,
 findings_table.infotype.name,
 findings_table.location.container_name,
 findings_table.location.data_profile_finding_record_location.field.name AS field_name,
 profiles_table.table_profile.dataset_project_id AS project_id,
 profiles_table.table_profile.dataset_id AS dataset_id,
 profiles_table.table_profile.table_id AS table_id,
 profiles_table.table_profile.sensitivity_score AS table_sensitivity_score
 FROM
 `FINDINGS_TABLE_PROJECT_ID.FINDINGS_TABLE_DATASET_ID.FINDINGS_TABLE_ID_latest_v1` AS findings_table
INNER JOIN
 `PROFILES_TABLE_PROJECT_ID.PROFILES_TABLE_DATASET_ID.PROFILES_TABLE_ID_latest_v1` AS profiles_table
ON
 findings_table.data_profile_resource_name=profiles_table.table_profile.name
 AND findings_table.timestamp.timestamp=profiles_table.table_profile.profile_last_generated.timestamp

Untuk menyimpan temuan sampel ke tabel BigQuery, ikuti langkah-langkah berikut:

1. Aktifkan Save sample discovery findings to BigQuery.

2. Masukkan detail tabel BigQuery tempat Anda ingin menyimpan temuan sampel.

   Tabel yang Anda tentukan untuk tindakan ini harus berbeda dengan tabel yang digunakan untuk tindakan Save data profile copies to BigQuery.

   • Untuk Project ID, masukkan ID project yang ada tempat Anda ingin mengekspor temuan.

   • Untuk Dataset ID, masukkan nama set data yang ada di project.

   • Untuk Table ID, masukkan nama tabel BigQuery tempat ingin menyimpan temuan. Jika tabel ini tidak ada, Sensitive Data Protection akan otomatis membuatnya untuk Anda menggunakan nama yang Anda berikan.

Catatan: Agen layanan Anda harus memiliki akses tulis di tabel. Jika Anda belum memiliki agen layanan, Sensitive Data Protection memungkinkan Anda membuatnya nanti di halaman Create scan configuration.

Untuk mengetahui informasi tentang konten setiap temuan yang disimpan dalam tabel BigQuery, lihat DataProfileFinding.

Melampirkan tag ke resource

Mengaktifkan Attach tags to resources akan menginstruksikan Sensitive Data Protection untuk otomatis memberi tag pada data Anda sesuai dengan tingkat sensitivitas yang dihitung. Bagian ini mengharuskan Anda untuk menyelesaikan tugas di Mengontrol akses IAM ke resource berdasarkan sensitivitas data terlebih dahulu.

Untuk otomatis memberi tag pada resource sesuai dengan tingkat sensitivitas yang dihitung, ikuti langkah-langkah berikut:

1. Aktifkan opsi Tag resources.

2. Untuk setiap tingkat sensitivitas (tinggi, sedang, rendah, dan tidak diketahui), masukkan jalur nilai tag yang Anda buat untuk tingkat sensitivitas yang diberikan.

   Jika Anda melewati tingkat sensitivitas, tidak ada tag yang dilampirkan untuk tingkat tersebut.

3. Untuk otomatis menurunkan tingkat risiko data resource saat tag tingkat sensitivitas ada, pilih When a tag is applied to a resource, lower the data risk of its profile to LOW. Opsi ini membantu Anda mengukur peningkatan postur keamanan dan privasi data.

   **Penting:** Opsi ini mengganti tingkat risiko data yang dihitung dari resource yang diprofilkan.

4. Pilih salah satu atau kedua opsi berikut:

   • Tag a resource when it is profiled for the first time.

   • Tag a resource when its profile is updated. Pilih opsi ini jika Anda ingin Sensitive Data Protection mengganti nilai tag tingkat sensitivitas pada operasi penemuan berikutnya. Akibatnya, akses utama ke resource akan otomatis berubah saat tingkat sensitivitas data yang dihitung untuk resource tersebut meningkat atau menurun.

     Jangan pilih opsi ini jika Anda berencana untuk memperbarui nilai tag tingkat sensitivitas yang dilampirkan layanan penemuan ke resource Anda secara manual. Jika Anda memilih opsi ini, Sensitive Data Protection dapat mengganti pembaruan manual Anda.

Memublikasikan ke Pub/Sub

Mengaktifkan Publish to Pub/Sub memungkinkan Anda melakukan tindakan terprogram berdasarkan hasil pembuatan profil. Anda dapat menggunakan notifikasi Pub/Sub untuk mengembangkan alur kerja guna menangkap dan memperbaiki temuan dengan risiko atau sensitivitas data yang signifikan.

Untuk mengirim notifikasi ke topik Pub/Sub, ikuti langkah-langkah berikut:

1. Aktifkan Publish to Pub/Sub.

   Daftar opsi akan muncul. Setiap opsi menjelaskan peristiwa yang menyebabkan Sensitive Data Protection mengirim notifikasi ke Pub/Sub.

2. Pilih peristiwa yang harus memicu notifikasi Pub/Sub.

   Jika Anda memilih Send a Pub/Sub notification each time a profile is updated, Sensitive Data Protection akan mengirim notifikasi jika ada perubahan pada tingkat sensitivitas, tingkat risiko data, infoType yang terdeteksi, akses publik, dan metrik penting lainnya dalam profil.

3. Untuk setiap peristiwa yang Anda pilih, ikuti langkah-langkah berikut:

   1. Masukkan nama topik. Nama harus dalam format berikut:

      projects/PROJECT_ID/topics/TOPIC_ID
      

      Ganti kode berikut:

      • PROJECT_ID: ID project yang terkait dengan topik Pub/Sub.
      • TOPIC_ID: ID topik Pub/Sub.

   2. Tentukan apakah akan menyertakan profil resource lengkap dalam notifikasi, atau hanya nama resource lengkap dari resource yang diprofilkan.

   3. Tetapkan tingkat risiko dan sensitivitas data minimum yang harus dipenuhi agar Sensitive Data Protection dapat mengirim notifikasi.

   4. Tentukan apakah hanya satu atau kedua kondisi risiko dan sensitivitas data harus dipenuhi. Misalnya, jika Anda memilih AND, kondisi risiko data dan sensitivitas harus dipenuhi sebelum Sensitive Data Protection mengirim notifikasi.

Catatan: Agen layanan Anda harus memiliki akses publikasi di topik Pub/Sub. Contoh peran yang memiliki akses publikasi adalah peran Pub/Sub Publisher (roles/pubsub.publisher). Jika Anda belum memiliki agen layanan, Sensitive Data Protection memungkinkan Anda membuatnya nanti di halaman Create scan configuration. Jika ada masalah konfigurasi atau izin dengan topik Pub/Sub, Sensitive Data Protection akan mencoba lagi mengirim notifikasi Pub/Sub hingga dua minggu. Setelah dua minggu, notifikasi akan dihapus.

Mengirim ke Knowledge Catalog sebagai aspek

Tindakan ini memungkinkan Anda menambahkan aspek Knowledge Catalog ke resource yang diprofilkan berdasarkan insight dari profil data. Tindakan ini hanya diterapkan ke profil baru dan yang diperbarui. Profil yang ada dan tidak diperbarui tidak akan dikirim ke Knowledge Catalog.

Saat Anda mengaktifkan tindakan ini, Sensitive Data Protection akan melampirkan aspek Sensitive Data Protection profile ke entri Knowledge Cataloguntuk setiap resource baru atau yang diperbarui yang Anda profilkan. Aspek yang dibuat berisi insight yang dikumpulkan dari profil data. Kemudian, Anda dapat menelusuri organisasi dan project untuk menemukan entri dengan nilai aspek Sensitive Data Protection profile tertentu.

Untuk mengirim profil data ke Knowledge Catalog, pastikan opsi Send to Dataplex Catalog as aspects diaktifkan.

Untuk mengetahui informasi selengkapnya, lihat Menambahkan aspek Knowledge Catalog berdasarkan insight dari profil data.

Tindakan yang didukung

Tabel berikut menunjukkan tindakan yang didukung untuk setiap jenis penemuan.

	Memublikasikan ke Google Security Operations	Memublikasikan ke Security Command Center	Menyimpan salinan profil data ke BigQuery	Menyimpan temuan penemuan sampel ke BigQuery	Melampirkan tag ke resource	Memublikasikan ke Pub/Sub	Mengirim ke Knowledge Catalog sebagai aspek
Amazon S3	✓	✓	✓	✓		✓
Azure Blob Storage	✓	✓	✓	✓		✓
BigQuery	✓	✓	✓	✓	✓	✓	✓
Cloud SQL	✓	✓	✓	✓	✓	✓	✓
Cloud Storage	✓	✓	✓	✓	✓	✓
Vertex AI	✓	✓	✓	✓		✓	✓

Langkah berikutnya

• Pelajari cara menggunakan data konteks dari profil data di Google Security Operations.
• Pelajari tentang temuan yang dapat dihasilkan Sensitive Data Protection di Security Command Center.
• Pelajari cara menganalisis profil data di BigQuery dan Data Studio.
• Pelajari cara mengontrol akses IAM ke resource berdasarkan sensitivitas data.
• Pelajari cara menerima dan mengurai pesan Pub/Sub tentang profil data.
• Pelajari cara menambahkan aspek Knowledge Catalog berdasarkan insight dari profil data.