Cloud Data Loss Prevention（Cloud DLP）は機密データの保護の一部になりました。API 名は Cloud Data Loss Prevention API（DLP API）のままです。機密データの保護を構成するサービスについては、機密データの保護の概要をご覧ください。

Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

検出アクションを有効にする

このセクションでは、リソースのプロファイリング後に Sensitive Data Protection で行うアクションを指定する方法について説明します。これらのアクションは、データプロファイルから収集した分析情報を他の Google Cloud サービスに送信する場合に便利です。

検出アクションを有効にするには、検出スキャン構成を作成または編集します。以降のセクションでは、スキャン構成の [アクションを追加] セクションで有効にできるさまざまなアクションについて説明します。

このページのアクションは、すべての検出タイプで使用できるわけではありません。たとえば、別のクラウドプロバイダのリソースの検出を構成している場合、リソースにタグを付けることはできません。詳細については、このページのサポートされているアクションをご覧ください。

機密データの検出の詳細については、データプロファイルをご覧ください。

検査オペレーションとリスク分析オペレーションでは、アクションのセットが異なります。詳細については、検査アクションまたはリスク分析アクションを有効にするをご覧ください。

Google Security Operations に公開する

データプロファイルから収集された指標によって、Google Security Operations の検出結果にコンテキストが追加されます。コンテキストが追加されることで、最も重要なセキュリティ問題の特定に役立ちます。

たとえば、特定のサービスエージェントを調査する場合、Google Security Operations は、サービスエージェントがアクセスしたリソースと、それらのリソースに機密性の高いデータが含まれているかどうかを判断できます。

データプロファイルを Google Security Operations インスタンスに送信するには、[Google Security Operations に公開] を有効にします。

組織で有効になっている Google Security Operations インスタンスがない場合（スタンドアロンプロダクトまたは Security Command Center Enterprise を使用）、このオプションを有効にしても効果はありません。

Security Command Center に公開する

データプロファイルからの検出結果は、 Security Command Centerで脆弱性と脅威の検出結果に対する対応計画に優先順位を付けて開発する際にコンテキストを提供します。

このアクションを使用する前に、Security Command Center を組織レベルで有効にする必要があります。組織レベルで Security Command Center を有効にすると、統合サービス（Sensitive Data Protection など）の検出結果のフローが有効になります。Sensitive Data Protection は、すべてのサービスティアで Security Command Center と連携します。

Security Command Center が組織レベルで有効になっていない場合、Sensitive Data Protection の検出結果は Security Command Center に表示されません。詳細については、Security Command Center の有効化レベルを確認するをご覧ください。

データプロファイルの結果を Security Command Center に送信するには、[Security Command Center に公開] オプションが有効になっていることを確認します。

詳細については、データプロファイルを Security Command Center に公開するをご覧ください。

データプロファイルのコピーを BigQuery に保存する

Sensitive Data Protection は、生成された各データプロファイルのコピーを BigQuery テーブルに保存します。優先するテーブルの詳細を指定しない場合、Sensitive Data Protection はサービスエージェントコンテナにデータセットとテーブルを作成します。デフォルトでは、データセットの名前は sensitive_data_protection_discovery、テーブルの名前は discovery_profiles です。

このアクションにより、生成されたすべてのプロファイルの履歴を保持できます。この履歴は、監査レポートの作成やデータプロファイルの可視化に役立ちます。この情報は他のシステムに読み込むこともできます。

また、このオプションを使用すると、データ所在地に関係なく、すべてのデータプロファイルを単一のビューで確認できます。コンソールでデータプロファイルを表示することもできますが、 Google Cloud コンソールには一度に 1 つのリージョンのプロファイルのみが表示されます。

Sensitive Data Protection は、リソースのプロファイリングに失敗すると、定期的に再試行します。エクスポートされるデータのノイズを最小限に抑えるため、Sensitive Data Protection では正常に生成されたプロファイルのみを BigQuery にエクスポートします。

このオプションを有効にした時点から、Sensitive Data Protection はプロファイルのエクスポートを開始します。エクスポートを有効にする前に生成されたプロファイルは BigQuery に保存されません。

データプロファイルの分析に使用できるクエリの例については、データプロファイルを分析するをご覧ください。

サンプル検出の検出結果を BigQuery に保存する

Sensitive Data Protection は、任意の BigQuery テーブルに検出結果のサンプルを追加できます。検出結果のサンプルは、すべての検出結果のサブセットを表し、検出されたすべての infoType を表しているわけではありません。通常、システムはリソースごとに約 10 個の検出結果のサンプルを生成しますが、この数は検出の実行ごとに異なります。

各検出結果には、検出された実際の文字列（引用符とも呼ばれます）とその正確な位置が含まれます。

このアクションは、検査構成が、機密としてフラグを設定する情報の種類と正しく一致しているかどうかを評価する場合に便利です。エクスポートされたデータプロファイルとエクスポートされた検出結果のサンプルを使用してクエリを実行すると、フラグが設定された特定のアイテム、一致した infoType、正確な位置、計算された機密性レベルなどの詳細情報を取得できます。

この例では、[データプロファイルのコピーを BigQuery に保存する] と [サンプル検出の検出結果を BigQuery に保存する] の両方を有効にする必要があります。

次のクエリでは、エクスポートされたデータプロファイルのテーブルとエクスポートされた検出結果のサンプルのテーブルの両方で INNER JOIN オペレーションを使用します。結果のテーブルでは、各レコードに検出結果の引用符、一致した infoType、検出結果を含むリソース、リソースの計算された機密性レベルが表示されます。

SELECT
 findings_table.quote,
 findings_table.infotype.name,
 findings_table.location.container_name,
 profiles_table.file_store_profile.file_store_path as bucket_name,
 profiles_table.file_store_profile.sensitivity_score as bucket_sensitivity_score
FROM
 `FINDINGS_TABLE_PROJECT_ID.FINDINGS_TABLE_DATASET_ID.FINDINGS_TABLE_ID_latest_v1` AS findings_table
INNER JOIN
 `PROFILES_TABLE_PROJECT_ID.PROFILES_TABLE_DATASET_ID.PROFILES_TABLE_ID_latest_v1` AS profiles_table
ON
 findings_table.data_profile_resource_name=profiles_table.file_store_profile.name
 AND findings_table.timestamp.timestamp=profiles_table.file_store_profile.profile_last_generated.timestamp

SELECT
 findings_table.quote,
 findings_table.infotype.name,
 findings_table.location.container_name,
 findings_table.location.data_profile_finding_record_location.field.name AS field_name,
 profiles_table.table_profile.dataset_project_id AS project_id,
 profiles_table.table_profile.dataset_id AS dataset_id,
 profiles_table.table_profile.table_id AS table_id,
 profiles_table.table_profile.sensitivity_score AS table_sensitivity_score
 FROM
 `FINDINGS_TABLE_PROJECT_ID.FINDINGS_TABLE_DATASET_ID.FINDINGS_TABLE_ID_latest_v1` AS findings_table
INNER JOIN
 `PROFILES_TABLE_PROJECT_ID.PROFILES_TABLE_DATASET_ID.PROFILES_TABLE_ID_latest_v1` AS profiles_table
ON
 findings_table.data_profile_resource_name=profiles_table.table_profile.name
 AND findings_table.timestamp.timestamp=profiles_table.table_profile.profile_last_generated.timestamp

検出結果のサンプルを BigQuery テーブルに保存する手順は次のとおりです。

[サンプル検出の検出結果を BigQuery に保存する] を有効にします。
検出結果のサンプルを保存する BigQuery テーブルの詳細を入力します。

このアクションに指定するテーブルは、[データプロファイルのコピーを BigQuery に保存する] アクションで使用するテーブルとは異なる必要があります。
- [**プロジェクト ID**] に、検出結果をエクスポートする既存のプロジェクトの ID を入力します。
- [**データセット ID**] に、プロジェクト内の既存のデータセットの名前を入力します。
- [**テーブル ID**] に、検出結果を保存する BigQuery テーブルの名前を入力します。このテーブルが存在しない場合は、指定した名前を使用して、Sensitive Data Protection によって自動的に作成されます。

BigQuery テーブルに保存される各検出結果の内容については、DataProfileFinding をご覧ください。

リソースにタグを適用する

[リソースにタグを適用する] を有効にすると、Sensitive Data Protection は、計算された機密性レベルに基づいてデータに自動的にタグを付けます。このセクションでは、データの機密性に基づいてリソースへの IAM アクセスを制御するの手順を完了する必要があります。

計算された機密性レベルに基づいてリソースに自動的にタグを付ける手順は次のとおりです。

[リソースにタグを付ける] オプションを有効にします。
機密性レベル（高、中、低、不明）ごとに、指定された機密性レベル用に作成したタグ値のパスを入力します。

機密性レベルをスキップすると、タグは適用されません。
機密性レベルのタグが存在する場合に、リソースのデータリスクレベルを自動的に下げるには、[リソースにタグを適用する場合、そのプロファイルのデータリスクを「低」に下げる] を選択します。このオプションは、データセキュリティとプライバシーの状況の改善を測定するのに役立ちます。

**重要:** このオプションは、プロファイリングされたリソースの計算されたデータリスクレベルをオーバーライドします。
次のいずれかまたは両方のオプションを選択します。
- 初めてプロファイリングされるリソースにタグを付ける。
- プロファイルの更新時にリソースにタグを付ける。後続の検出実行で Sensitive Data Protection が機密性レベルのタグ値を上書きする場合は、このオプションを選択します。その結果、リソースの計算されたデータ機密性レベルが増減すると、プリンシパルのリソースへのアクセスが自動的に変更されます。
  
  検出サービスがリソースにアタッチした機密性レベルのタグ値を手動で更新する場合は、このオプションを選択しないでください。このオプションを選択すると、Sensitive Data Protection が手動更新を上書きする可能性があります。

Pub/Sub に公開

[Pub/Sub に公開] を有効にすると、プロファイリング結果に基づいて、プログラムによるアクションを実行できます。Pub/Sub 通知を使用して、重大なデータリスクや機密性が高い検出結果を把握し、修正するワークフローを開発できます。

Pub/Sub トピックに通知を送信する手順は次のとおりです。

[Pub/Sub に公開] を有効にします。

オプションのリストが表示されます:各オプションでは、Sensitive Data Protection によって Pub/Sub に通知を送信するイベントが記述されます。
Pub/Sub 通知をトリガーするように設定するイベントを選択します。

[プロファイルが更新されるたびに Pub/Sub 通知を送信する] を選択した場合、プロファイルの機密性レベル、データリスクレベル、検出された infoType、一般公開、その他の重要な指標が変更されると、 Sensitive Data Protection で通知が送信されます。
選択したイベントごとに、次の手順を行います。
1. トピックの名前を入力します。名前は次の形式にする必要があります。
```
projects/PROJECT_ID/topics/TOPIC_ID
```
  以下を置き換えます。
  - PROJECT_ID: Pub/Sub トピックに関連付けられたプロジェクトの ID。
  - TOPIC_ID: Pub/Sub トピックの ID。
2. 通知にリソースプロファイル全体を含めるか、プロファイリングされたリソースの完全なリソース名のみを含めるかを指定します。
3. Sensitive Data Protection で通知が送信されるようにするために、満たす必要がある最小データのリスクと機密性レベルを設定します。
4. データリスクと機密性条件の一方または両方のみを満たす必要があるかどうかを指定します。たとえば、AND を選択した場合、Sensitive Data Protection で通知が送信される前に、データリスクと機密性条件の両方が満たされる必要があります。

注: サービスエージェントには、公開アクセス権が Pub/Sub トピックに対して付与されている必要があります。公開アクセス権を持つロールの例として、Pub/Sub パブリッシャーのロール（roles/pubsub.publisher）があります。サービスエージェントがまだない場合は、Sensitive Data Protection により、後で [スキャン構成の作成] ページで作成できます。Pub/Sub トピックの構成または権限に問題がある場合、Sensitive Data Protection は Pub/Sub 通知の送信を最大 2 週間再試行します。2 週間後に通知は破棄されます。

アスペクトとして Knowledge Catalog に送信する

このアクションを使用すると、データプロファイルの分析情報に基づいて、プロファイリングされたリソースに Knowledge Catalog アスペクトを追加できます。このアクションは、新規および更新されたプロファイルにのみ適用されます。更新されていない既存のプロファイルは Knowledge Catalog に送信されません。

このアクションを有効にすると、Sensitive Data Protection は、プロファイリングする新規または更新されたリソースごとに、Knowledge Catalog エントリに Sensitive Data Protection profileアスペクトをアタッチします。生成されたアスペクトには、データプロファイルから収集された分析情報が含まれます。その後、組織とプロジェクトで、特定のSensitive Data Protection profileアスペクト値を持つエントリを検索できます。

データプロファイルを Knowledge Catalog に送信するには、[アスペクトとして Dataplex Catalog に送信する] オプションが有効になっていることを確認します。

詳細については、データプロファイルの分析情報に基づいて Knowledge Catalog アスペクトを追加するをご覧ください。

サポートされているアクション

次の表に、検出タイプごとにサポートされているアクションを示します。

	Google Security Operations に公開する	Security Command Center に公開する	データプロファイルのコピーを BigQuery に保存する	サンプル検出の検出結果を BigQuery に保存する	リソースにタグを適用する	Pub/Sub に公開	アスペクトとして Knowledge Catalog に送信する
Amazon S3	✓	✓	✓	✓		✓
Azure Blob Storage	✓	✓	✓	✓		✓
BigQuery	✓	✓	✓	✓	✓	✓	✓
Cloud SQL	✓	✓	✓	✓	✓	✓	✓
Cloud Storage	✓	✓	✓	✓	✓	✓
Vertex AI	✓	✓	✓	✓		✓	✓

次のステップ

Google Security Operations でデータプロファイルのコンテキストデータを使用する方法を学習する。
Sensitive Data Protection がSecurity Command Center で生成できる検出結果について学習する。
BigQuery とデータポータルでデータプロファイルを分析する方法を学習する。
データの機密性に基づいてリソースへの IAM アクセスを制御する方法を学習する。
データプロファイルに関する Pub/Sub メッセージを受信して解析する方法を学習する。

データプロファイルの分析情報に基づいて Knowledge Catalog アスペクトを追加する方法を学習する。

検出アクションを有効にする コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

Google Security Operations に公開する

Security Command Center に公開する

データ プロファイルのコピーを BigQuery に保存する

サンプル検出の検出結果を BigQuery に保存する

クエリの例: ファイルストアのデータ プロファイルに関連する検出結果のサンプルを表示する

クエリの例: テーブルのデータ プロファイルに関連する検出結果のサンプルを表示する