Ativar ações de descoberta

Esta seção descreve como especificar as ações que você quer que a Proteção de Dados Sensíveis realize após a criação de um perfil de recurso. Essas ações são úteis se você quiser enviar insights coletados de perfis de dados para outros Google Cloud serviços.

Para ativar as ações de descoberta, crie ou edite uma configuração de verificação de descoberta. As seções a seguir descrevem as diferentes ações que podem ser ativadas na seção Adicionar ações da configuração de verificação.

Nem todas as ações nesta página estão disponíveis para cada tipo de descoberta. Por exemplo, não é possível anexar tags a recursos se você estiver configurando a descoberta de recursos de outro provedor de nuvem. Para mais informações, consulte Ações aceitas nesta página.

Para mais informações sobre a descoberta de dados sensíveis, consulte Perfis de dados.

As operações de inspeção e análise de risco têm um conjunto diferente de ações. Para mais informações, consulte Ativar ações de inspeção ou análise de risco ações.

Publicar no Google Security Operations

As métricas coletadas de perfis de dados podem adicionar contexto às descobertas do Google Security Operations. O contexto adicionado pode ajudar você a determinar os problemas de segurança mais importantes a serem resolvidos.

Por exemplo, se você estiver investigando um agente de serviço específico, o Google Security Operations poderá determinar a quais recursos o agente de serviço acessou e se algum desses recursos tem dados de alta sensibilidade.

Para enviar seus perfis de dados à instância do Google Security Operations, ative a opção Publicar no Google Security Operations.

Se você não tiver uma instância do Google Security Operations ativada para sua organização (pelo produto independente ou pelo Security Command Center Enterprise), ativar essa opção não terá efeito.

Publicar no Security Command Center

As descobertas de perfis de dados fornecem contexto ao fazer a triagem e desenvolver planos de resposta para as descobertas de vulnerabilidade e ameaça no Security Command Center.

Antes de usar essa ação, o Security Command Center precisa ser ativado no nível da organização. Ativar o Security Command Center no nível da organização permite o fluxo de descobertas de serviços integrados, como a Proteção de Dados Sensíveis. A Proteção de Dados Sensíveis trabalha com o Security Command Center em todos os níveis do serviço.

Se o Security Command Center não estiver ativado no nível da organização, as descobertas da Proteção de Dados Sensíveis não vão aparecer no Security Command Center. Para mais informações, consulte Verificar o nível de ativação do Security Command Center.

Para enviar os resultados dos perfis de dados ao Security Command Center, verifique se a opção Publicar no Security Command Center está ativada.

Para mais informações, consulte Publicar perfis de dados no Security Command Center.

Salvar cópias do perfil dos dados no BigQuery

A Proteção de Dados Sensíveis salva uma cópia de cada perfil dos dados gerado em uma tabela do BigQuery. Se você não fornecer os detalhes da tabela preferida, a Proteção de Dados Sensíveis vai criar um conjunto de dados e uma tabela no contêiner do agente de serviço. Por padrão, o conjunto de dados é chamado de sensitive_data_protection_discovery e a tabela é chamada de discovery_profiles.

Essa ação permite manter um histórico de todos os perfis gerados. Esse histórico pode ser útil para criar relatórios de auditoria e visualizar perfis de dados. Também é possível carregar essas informações em outros sistemas.

Além disso, essa opção permite ver todos os perfis de dados em uma única visualização, independentemente da região dos dados. Embora também seja possível visualizar os perfis de dados pelo Google Cloud console, o console mostra os perfis em apenas uma região por vez.

Quando a Proteção de Dados Sensíveis não consegue criar um perfil de um recurso, ela tenta novamente periodicamente. Para minimizar o ruído nos dados exportados, a Proteção de Dados Sensíveis exporta apenas os perfis gerados com êxito para o BigQuery.

A Proteção de Dados Sensíveis começa a exportar perfis a partir do momento em que você ativa essa opção. Os perfis gerados antes da ativação da exportação não são salvos no BigQuery.

Para exemplos de consultas que podem ser usadas ao analisar perfis de dados, consulte Analisar perfis de dados.

Salvar as descobertas de amostra no BigQuery

A Proteção de Dados Sensíveis pode adicionar descobertas de amostra a uma tabela do BigQuery de sua escolha. As descobertas de amostra representam um subconjunto de todas as descobertas e podem não representar todos os InfoTypes descobertos. Normalmente, o sistema gera cerca de 10 descobertas de amostra por recurso, mas esse número pode variar para cada execução de descoberta.

Cada descoberta inclui a string real (também chamada de citação) que foi detectada e o local exato dela.

Essa ação é útil se você quiser avaliar se a configuração de inspeção está correspondendo corretamente ao tipo de informação que você quer sinalizar como sensível. Usando os perfis de dados exportados e as descobertas de amostra exportadas, é possível executar consultas para receber mais informações sobre os itens específicos que foram sinalizados, os InfoTypes correspondentes, os locais exatos, os níveis de sensibilidade calculados e outros detalhes.

Este exemplo exige que as opções Salvar cópias do perfil dos dados no BigQuery e Salvar as descobertas de amostra no BigQuery estejam ativadas.

A consulta a seguir usa uma operação INNER JOIN na tabela de perfis de dados exportados e na tabela de descobertas de amostra exportadas. Na tabela resultante, cada registro mostra a cotação da descoberta, o InfoType correspondente, o recurso que contém a descoberta e o nível de sensibilidade calculado do recurso. 

SELECT
 findings_table.quote,
 findings_table.infotype.name,
 findings_table.location.container_name,
 profiles_table.file_store_profile.file_store_path as bucket_name,
 profiles_table.file_store_profile.sensitivity_score as bucket_sensitivity_score
FROM
 `FINDINGS_TABLE_PROJECT_ID.FINDINGS_TABLE_DATASET_ID.FINDINGS_TABLE_ID_latest_v1` AS findings_table
INNER JOIN
 `PROFILES_TABLE_PROJECT_ID.PROFILES_TABLE_DATASET_ID.PROFILES_TABLE_ID_latest_v1` AS profiles_table
ON
 findings_table.data_profile_resource_name=profiles_table.file_store_profile.name

Este exemplo exige que as opções Salvar cópias do perfil dos dados no BigQuery e Salvar as descobertas de amostra no BigQuery estejam ativadas.

A consulta a seguir usa uma operação INNER JOIN na tabela de perfis de dados exportados e na tabela de descobertas de amostra exportadas. Na tabela resultante, cada registro mostra a cotação da descoberta, o InfoType correspondente, o recurso que contém a descoberta e o nível de sensibilidade calculado do recurso. 

SELECT
 findings_table.quote,
 findings_table.infotype.name,
 findings_table.location.container_name,
 findings_table.location.data_profile_finding_record_location.field.name AS field_name,
 profiles_table.table_profile.dataset_project_id AS project_id,
 profiles_table.table_profile.dataset_id AS dataset_id,
 profiles_table.table_profile.table_id AS table_id,
 profiles_table.table_profile.sensitivity_score AS table_sensitivity_score
 FROM
 `FINDINGS_TABLE_PROJECT_ID.FINDINGS_TABLE_DATASET_ID.FINDINGS_TABLE_ID_latest_v1` AS findings_table
INNER JOIN
 `PROFILES_TABLE_PROJECT_ID.PROFILES_TABLE_DATASET_ID.PROFILES_TABLE_ID_latest_v1` AS profiles_table
ON
 findings_table.data_profile_resource_name=profiles_table.table_profile.name

Para salvar descobertas de amostra em uma tabela do BigQuery, siga estas etapas:

  1. Ative a opção Salvar as descobertas de amostra no BigQuery.

  2. Insira os detalhes da tabela do BigQuery em que você quer salvar as descobertas de amostra.

    A tabela especificada para essa ação precisa ser diferente da tabela usada para a ação Salvar cópias do perfil dos dados no BigQuery.

    • Em ID do projeto, insira o ID de um projeto atual em que você quer exportar as descobertas.

    • Em ID do conjunto de dados, insira o nome de um conjunto de dados atual no projeto.

    • Em ID da tabela, insira o nome da tabela do BigQuery em que você quer salvar as descobertas. Se essa tabela não existir, a Proteção de Dados Sensíveis vai criá-la automaticamente usando o nome fornecido.

Para informações sobre o conteúdo de cada descoberta salva na tabela do BigQuery, consulte DataProfileFinding.

Anexar tags aos recursos

Ativar a opção Anexar tags aos recursos instrui a Proteção de Dados Sensíveis a marcar automaticamente os dados de acordo com o nível de sensibilidade calculado. Esta seção exige que você conclua primeiro as tarefas em Controlar o acesso IAM aos recursos com base na sensibilidade dos dados.

Para marcar automaticamente um recurso de acordo com o nível de sensibilidade calculado, siga estas etapas:

  1. Ative a opção Recursos de tag.

  2. Para cada nível de sensibilidade (alto, moderado, baixo e desconhecido), insira o caminho do valor da tag que você criou para o nível de sensibilidade especificado.

    Se você pular um nível de sensibilidade, nenhuma tag será anexada a ele.

  3. Para diminuir automaticamente o nível de risco de dados de um recurso quando a tag de nível de sensibilidade estiver presente, selecione Quando uma tag é aplicada a um recurso, diminua o risco de dados do perfil para BAIXO. Essa opção ajuda a medir a melhoria na segurança de dados e na privacidade.

  4. Selecione uma ou ambas as opções a seguir:

    • Incluir tag a um recurso quando ele recebe um perfil pela primeira vez.

    • Aplicar tag a um recurso quando o perfil é atualizado. Selecione essa opção se quiser que a Proteção de Dados Sensíveis substitua o valor da tag de nível de sensibilidade nas execuções de descoberta subsequentes. Consequentemente, o acesso de um principal a um recurso muda automaticamente à medida que o nível de sensibilidade de dados calculado para esse recurso aumenta ou diminui.

      Não selecione essa opção se você planeja atualizar manualmente os valores da tag de nível de sensibilidade que o serviço de descoberta anexou aos seus recursos. Se você selecionar essa opção, a Proteção de Dados Sensíveis poderá substituir suas atualizações manuais.

Publicar no Pub/Sub

Ativar a opção Publicar no Pub/Sub permite que você realize ações programáticas com base nos resultados da criação de perfil. É possível usar notificações do Pub/Sub para desenvolver um fluxo de trabalho para capturar e corrigir descobertas com risco ou sensibilidade de dados significativos.

Para enviar notificações a um tópico do Pub/Sub, siga estas etapas:

  1. Ative a opção Publicar no Pub/Sub.

    Uma lista de opções é exibida. Cada opção descreve um evento que faz com que a Proteção de Dados Sensíveis envie uma notificação ao Pub/Sub.

  2. Selecione os eventos que devem acionar uma notificação do Pub/Sub.

    Se você selecionar Enviar uma notificação do Pub/Sub sempre que um perfil for atualizado, a Proteção de Dados Sensíveis vai enviar uma notificação quando houver uma mudança no nível de sensibilidade, no nível de risco de dados, nos InfoTypes detectados, no acesso público e em outras métricas importantes no perfil.

  3. Para cada evento selecionado, siga estas etapas:

    1. Insira o nome do tópico. O nome precisa estar no seguinte formato:

      projects/PROJECT_ID/topics/TOPIC_ID

      Substitua:

      • PROJECT_ID: o ID do projeto associado ao tópico do Pub/Sub.
      • TOPIC_ID: o ID do tópico do Pub/Sub.

    2. Especifique se quer incluir o perfil completo do recurso na notificação ou apenas o nome completo do recurso que foi criado.

    3. Defina os níveis mínimos de risco de dados e sensibilidade que precisam ser atendidos para que a Proteção de Dados Sensíveis envie uma notificação.

    4. Especifique se apenas uma ou ambas as condições de risco de dados e sensibilidade precisam ser atendidas. Por exemplo, se você escolher AND, as condições de risco de dados e sensibilidade precisarão ser atendidas antes que a Proteção de Dados Sensíveis envie uma notificação.

Enviar para o Data Catalog como tags

Este recurso está descontinuado.

Essa ação permite criar tags do Data Catalog no Knowledge Catalog com base em insights de perfis de dados. Essa ação só é aplicada a perfis novos e atualizados. Os perfis atuais que não são atualizados não são enviados ao Knowledge Catalog.

O Data Catalog é um serviço de gerenciamento de metadados totalmente gerenciado e escalonável. Quando você ativa essa ação, as tabelas que você cria são marcadas automaticamente no Data Catalog de acordo com os insights coletados dos perfis de dados. Em seguida, é possível usar o Knowledge Catalog para pesquisar tabelas com valores de tag específicos na sua organização e nos seus projetos.

Para enviar os perfis de dados ao Knowledge Catalog como tags do Data Catalog, verifique se a opção Enviar para o Dataplex como tags está ativada.

Para mais informações, consulte Marcar tabelas no Data Catalog com base em insights de perfis de dados.

Enviar para o Knowledge Catalog como aspectos

Essa ação permite adicionar aspectos do Knowledge Catalog aos recursos com perfil com base em insights de perfis de dados. Essa ação só é aplicada a perfis novos e atualizados. Os perfis atuais que não são atualizados não são enviados ao Knowledge Catalog.

Quando você ativa essa ação, a Proteção de Dados Sensíveis anexa o Sensitive Data Protection profile aspecto à entrada do Knowledge Catalog para cada recurso novo ou atualizado que você cria. Os aspectos gerados contêm insights coletados dos perfis de dados. Em seguida, é possível pesquisar na sua organização e nos seus projetos entradas com valores de aspecto Sensitive Data Protection profile específicos.

Para enviar os perfis de dados ao Knowledge Catalog, verifique se a opção Enviar como aspectos ao Dataplex Catalog está ativada.

Para mais informações, consulte Adicionar aspectos do Knowledge Catalog com base em insights de perfis de dados.

Ações aceitas

A tabela a seguir mostra quais ações são aceitas para cada tipo de descoberta.

Publicar no Google Security Operations Publicar no Security Command Center Salvar cópias do perfil dos dados no BigQuery Salvar as descobertas de amostra no BigQuery Anexar tags aos recursos Publicar no Pub/Sub Enviar para o Knowledge Catalog como tags do Data Catalog (descontinuado) Enviar para o Knowledge Catalog como aspectos
Amazon S3 ✓ ✓ ✓ ✓ ✓
Armazenamento de blobs do Azure ✓ ✓ ✓ ✓ ✓
BigQuery ✓ ✓ ✓ ✓ ✓ ✓ ✓ ✓
Cloud SQL ✓ ✓ ✓ ✓ ✓ ✓ ✓
Cloud Storage ✓ ✓ ✓ ✓ ✓ ✓
Vertex AI ✓ ✓ ✓ ✓ ✓ ✓

A seguir