BigQuery-Daten in einer Organisation oder einem Ordner profilieren

Auf dieser Seite wird beschrieben, wie Sie die BigQuery-Datenermittlung auf Organisations- oder Ordnerebene konfigurieren. Die Ausgabe dieser Aufgabe ist eine Erkennungskonfiguration auf Organisationsebene, die, sofern sie aktiv ist, Sensitive Data Protection anweist, Ihre Daten nach einem festgelegten Zeitplan zu profilieren.

Informationen zum Erstellen von Datenprofilen auf Projektebene finden Sie unter BigQuery-Daten in einem einzelnen Projekt analysieren.

Achtung:Wenn Sie ein Discovery-Abo auf Organisationsebene haben, einschließlich eines über Security Command Center, verwenden Sie eine Discovery-Konfiguration auf Organisationsebene, auch wenn Sie nur ein Projekt in der Organisation profilieren möchten. Verwenden Sie keine Erkennungskonfiguration auf Projektebene, da diese separat abgerechnet wird.

Weitere Informationen zum Discovery-Dienst finden Sie unter Datenprofile.

Wenn Sie mit der Profilerstellung für Daten beginnen möchten, erstellen Sie eine Konfiguration für einen Erkennungsscan.

Hinweis

1. Prüfen Sie, ob Sie die IAM-Berechtigungen haben, die zum Konfigurieren von Datenprofilen auf Organisationsebene erforderlich sind.

   Wenn Sie nicht die Rolle „Organisationsadministrator“ (roles/resourcemanager.organizationAdmin) oder Sicherheitsadministrator“ (roles/iam.securityAdmin) haben, können Sie trotzdem eine Scankonfiguration erstellen. Nachdem Sie die Scankonfiguration erstellt haben, muss jedoch jemand mit einer dieser Rollen Ihrem Dienst-Agent Zugriff auf die Datenprofilerstellung gewähren.

2. Sie benötigen eine Inspektionsvorlage in jeder Region, in der Sie Daten haben, für die ein Profil erstellt werden soll. Wenn Sie eine einzelne Vorlage für mehrere Regionen verwenden möchten, können Sie eine Vorlage verwenden, die in der Region global gespeichert ist. Wenn Organisationsrichtlinien verhindern, dass Sie eine Prüfvorlage in der Region global erstellen, müssen Sie für jede Region eine dedizierte Prüfvorlage festlegen. Weitere Informationen finden Sie unter Überlegungen zum Datenstandort.

   Mit dieser Aufgabe können Sie eine Inspektionsvorlage nur in der Region global erstellen. Wenn Sie dedizierte Inspektionsvorlagen für eine oder mehrere Regionen benötigen, müssen Sie diese Vorlagen erstellen, bevor Sie diese Aufgabe ausführen.

3. Wenn Sie Pub/Sub-Benachrichtigungen an ein Thema senden möchten, wenn bestimmte Ereignisse auftreten, z. B. wenn Sensitive Data Protection ein Profil für eine neue Tabelle erstellt, erstellen Sie ein Pub/Sub-Thema, bevor Sie diese Aufgabe ausführen.

4. Sie können Sensitive Data Protection so konfigurieren, dass Tags automatisch an Ihre Ressourcen angehängt werden. Mit dieser Funktion können Sie den Zugriff auf diese Ressourcen basierend auf den berechneten Vertraulichkeitsstufen bedingt gewähren. Wenn Sie diese Funktion verwenden möchten, müssen Sie zuerst die Aufgaben unter IAM-Zugriff auf Ressourcen basierend auf der Datensensibilität steuern ausführen.

Zum Generieren von Datenprofilen benötigen Sie einen Dienst-Agent-Container und einen Dienst-Agent darin. Mit dieser Aufgabe können Sie sie automatisch erstellen.

Scankonfiguration erstellen

1. Rufen Sie die Seite Scankonfiguration erstellen auf.

   Zur Seite „Scankonfiguration erstellen”

2. Rufen Sie Ihre Organisation auf. Klicken Sie in der Symbolleiste auf die Projektauswahl und wählen Sie Ihre Organisation aus.

In den folgenden Abschnitten finden Sie weitere Informationen zu den Schritten auf der Seite Scankonfiguration erstellen. Klicken Sie am Ende jedes Abschnitts auf Weiter.

Erkennungstyp auswählen

Wählen Sie BigQuery aus.

Bereich auswählen

Führen Sie einen der folgenden Schritte aus:

• Wenn Sie die Profilerstellung auf Organisationsebene konfigurieren möchten, wählen Sie Scan entire organization (Gesamte Organisation scannen) aus.
• Wenn Sie die Profilerstellung auf Ordnerebene konfigurieren möchten, wählen Sie Ausgewählten Ordner scannen aus. Klicken Sie auf Durchsuchen und wählen Sie den Ordner aus.

Pläne verwalten

Wenn die Standardprofilerstellungshäufigkeit Ihren Anforderungen entspricht, können Sie diesen Abschnitt der Seite Scankonfiguration erstellen überspringen.

Konfigurieren Sie diesen Abschnitt aus folgenden Gründen:

• Sie können die Häufigkeit der Profilerstellung für alle Ihre Daten oder bestimmte Teilmengen Ihrer Daten genau anpassen.
• Geben Sie die Tabellen an, für die Sie kein Profil erstellen möchten.
• Geben Sie die Tabellen an, für die nicht mehr als einmal ein Profil erstellt werden soll.

So nehmen Sie detaillierte Anpassungen an der Profilerstellungshäufigkeit vor:

1. Klicken Sie auf Zeitplan hinzufügen.

2. Im Abschnitt Filter definieren Sie einen oder mehrere Filter, die angeben, welche Tabellen im Zeitplan enthalten sind. Eine Tabelle wird als im Bereich des Zeitplans betrachtet, wenn sie mindestens einem der definierten Filter entspricht.

   Wenn Sie einen Filter konfigurieren möchten, geben Sie mindestens eine der folgenden Optionen an:

   • Eine Projekt-ID oder ein regulärer Ausdruck, der ein oder mehrere Projekte angibt
   • Eine Dataset-ID oder ein regulärer Ausdruck, die bzw. der ein oder mehrere Datasets angibt
   • Eine Tabellen-ID oder ein regulärer Ausdruck, der eine oder mehrere Tabellen angibt

   Reguläre Ausdrücke müssen der RE2-Syntax entsprechen.

   Wenn Sie beispielsweise alle Tabellen in einem Projekt in den Filter aufnehmen möchten, geben Sie die ID dieses Projekts an und lassen Sie die beiden anderen Felder leer.

   Damit eine Tabelle einem Filter entspricht, muss sie alle im Filter angegebenen regulären Ausdrücke erfüllen.

   Wenn Sie weitere Filter hinzufügen möchten, klicken Sie auf Filter hinzufügen und wiederholen Sie diesen Schritt.

3. Klicken Sie auf Häufigkeit.

4. Geben Sie im Abschnitt Häufigkeit an, ob Sensitive Data Protection ein Profil für die in Ihren Filtern definierten Tabellen erstellen soll und wenn ja, wie oft:

   • Wenn Sie nicht möchten, dass für die Tabellen jemals ein Profil erstellt wird, deaktivieren Sie Profil für die Tabellen erstellen.

   • Wenn die Tabellen mindestens einmal profiliert werden sollen, lassen Sie Tabellen profilieren aktiviert.

     In den folgenden Feldern in diesem Abschnitt geben Sie an, ob das System Ihre Daten neu profilieren soll und welche Ereignisse einen Neuprofilierungsvorgang auslösen sollen. Weitere Informationen finden Sie unter Häufigkeit der Datenprofilerstellung.

     1. Geben Sie unter Wenn sich das Schema ändert an, wie oft Sensitive Data Protection prüfen soll, ob sich das Schema der ausgewählten Tabellen nach der letzten Profilerstellung geändert hat. Nur für Tabellen mit Schemaänderungen wird ein neues Profil erstellt.
     2. Geben Sie unter Arten von Schemaänderungen an, welche Arten von Schemaänderungen einen Vorgang zur Profilneuerstellung auslösen sollen. Wählen Sie eine der folgenden Optionen aus:
        • Neue Spalten: Erstellen Sie ein neues Profil für die Tabellen, die neue Spalten erhalten haben.
        • Entfernte Spalten: Erstellen Sie für die Tabellen, aus denen Spalten entfernt wurden, neue Profile.

        Angenommen, Sie haben Tabellen, die jeden Tag neue Spalten erhalten, und Sie müssen deren Inhalte jedes Mal profilieren. Sie können Wenn sich das Schema ändert auf Profil täglich neu erstellen und Arten von Schemaänderungen auf Neue Spalten festlegen.

     3. Geben Sie unter Wenn sich die Tabelle ändert an, wie oft Sensitive Data Protection prüfen soll, ob sich die ausgewählten Tabellen nach der letzten Profilerstellung geändert haben. Nur für Tabellen mit Änderungen wird ein neues Profil erstellt. Beispiele für Tabellenänderungen sind das Löschen von Zeilen und Schemaänderungen.

        Sie müssen einen Wert auswählen, der dem Wert, den Sie im Feld Bei Schemaänderungen festgelegt haben, entspricht oder seltener ist.

     4. Geben Sie für Wenn sich die Prüfungsvorlage ändert an, ob und wie oft ein neues Profil für Ihre Daten erstellt werden soll, wenn die zugehörige Prüfungsvorlage aktualisiert wird.
        Hinweis: Sie geben die zu verwendenden Inspektionsvorlagen im Schritt Inspektionsvorlage auswählen auf dieser Seite an.

        Eine Änderung der Inspektionsvorlage wird erkannt, wenn einer der folgenden Fälle eintritt:

        • Der Name einer Inspektionsvorlage in Ihrer Scankonfiguration ändert sich.
        • Die updateTime einer Inspektionsvorlage ändert sich.

     Wenn Sie beispielsweise eine Inspektionsvorlage für die Region us-west1 festlegen und diese Inspektionsvorlage aktualisieren, wird nur für Daten in der Region us-west1 ein neues Profil erstellt.

5. Klicken Sie auf Bedingungen.

6. Geben Sie im Abschnitt Bedingungen alle Bedingungen an, die die in Ihren Filtern definierten Tabellen erfüllen müssen, bevor Sensitive Data Protection Profile für sie erstellt. Wenn Sie Mindestbedingungen und die Zeitbedingung festlegen, erstellt Sensitive Data Protection nur für Tabellen ein Profil, die beide Arten von Bedingungen erfüllen.

   • Mindestbedingungen: Diese Bedingungen sind nützlich, wenn Sie die Profilerstellung einer Tabelle verzögern möchten, bis sie genügend Zeilen hat oder ein bestimmtes Alter erreicht hat. Aktivieren Sie die Bedingungen, die Sie anwenden möchten, und geben Sie die Mindestanzahl von Zeilen oder die Mindestdauer an.
   • Zeitbedingung: Diese Bedingung ist nützlich, wenn Sie nicht möchten, dass alte Tabellen jemals profiliert werden. Aktivieren Sie die Zeitbedingung und wählen Sie ein Datum und eine Uhrzeit aus. Alle Tabellen, die am oder vor diesem Datum erstellt wurden, werden nicht in die Profilerstellung einbezogen.

   Beispielbedingungen

   Angenommen, Sie haben die folgende Konfiguration:

   • Mindestbedingungen

     • Mindestanzahl von Zeilen: 10 Zeilen
     • Mindestdauer: 24 Stunden

   • Zeitbasierte Bedingung

     • Zeitstempel: 5.4.22, 23:59 Uhr

   In diesem Fall schließt Sensitive Data Protection alle Tabellen aus, die am oder vor dem 4. Mai 2022 um 23:59 Uhr erstellt wurden. Von den Tabellen, die nach diesem Datum und dieser Uhrzeit erstellt wurden, erstellt Sensitive Data Protection nur für die Tabellen ein Profil, die entweder 10 Zeilen haben oder mindestens 24 Stunden alt sind.

7. Wählen Sie im Bereich Tabellen für die Profilerstellung je nach den Tabellentypen, für die Sie ein Profil erstellen möchten, eine der folgenden Optionen aus:

   • Alle Tabellen profilieren: Wählen Sie diese Option aus, wenn Sensitive Data Protection Profile für alle Tabellentypen erstellen soll, die Ihren Filtern und Bedingungen entsprechen.

     Für nicht unterstützte Tabellentypen generiert Sensitive Data Protection nur teilweise ausgefüllte Profile. Bei solchen Profilen werden Fehler angezeigt, die darauf hinweisen, dass die zugehörigen Tabellen nicht unterstützt werden. Wählen Sie diese Option aus, wenn Sie die Teilprofile trotz der Fehlermeldungen sehen möchten.

     Wenn der Schutz sensibler Daten einen neuen Tabellentyp unterstützt, werden Tabellen dieses Typs beim nächsten geplanten Lauf vollständig neu profiliert.

   • Profil für unterstützte Tabellen erstellen: Wählen Sie diese Option aus, wenn Sensitive Data Protection nur für die unterstützten Tabellen ein Profil erstellen soll, die Ihren Filtern und Bedingungen entsprechen. Für nicht unterstützte Tabellen werden keine Teilprofile erstellt.

   • Profil für bestimmte Tabellentypen erstellen: Wählen Sie diese Option aus, wenn Sensitive Data Protection nur für die von Ihnen ausgewählten Tabellentypen ein Profil erstellen soll. Wählen Sie in der angezeigten Liste einen oder mehrere Typen aus.

     Wenn Sensitive Data Protection Unterstützung für einen neuen Tabellentyp hinzufügt, werden Tabellen dieses Typs nicht automatisch profiliert. Wenn Sie neu unterstützte Tabellentypen profilieren möchten, müssen Sie die Scankonfiguration bearbeiten und diese Typen auswählen.

   Wenn Sie keine Option auswählen, erstellt Sensitive Data Protection nur Profile für BigQuery-Tabellen und zeigt Fehler für nicht unterstützte Tabellen an.

   Die Preise für die Datenprofilerstellung variieren je nach Art der Tabellen, für die ein Profil erstellt wird. Weitere Informationen finden Sie unter Datenprofilerstellung – Preise.

8. Klicken Sie auf Fertig.

9. Optional: Wenn Sie weitere Zeitpläne hinzufügen möchten, klicken Sie auf Zeitplan hinzufügen und wiederholen Sie die vorherigen Schritte.

10. Wenn Sie die Priorität zwischen Zeitplänen festlegen möchten, ordnen Sie sie mit den Aufwärts- und Abwärtspfeilen neu an.

    Die Reihenfolge der Zeitpläne gibt an, wie Konflikte zwischen Zeitplänen gelöst werden. Wenn eine Tabelle den Filtern von zwei verschiedenen Zeitplänen entspricht, bestimmt der Zeitplan, der in der Zeitplanliste weiter oben steht, die Profiling-Häufigkeit für diese Tabelle.

    Hinweis :Wenn Ihr Ermittlungspreismodus Abo-Modus ist, hängt die Geschwindigkeit, mit der Sensitive Data Protection Profile für Ihre Daten erstellt, davon ab, wie viel Kapazität Sie erworben haben. Informationen zum Ermitteln Ihrer täglichen Profilerstellungskapazität finden Sie unter Auslastung überwachen. Wenn Sie eine zu geringe Kapazität festgelegt haben, werden die in Ihren Zeitplänen festgelegten Profilerstellungshäufigkeiten möglicherweise nicht eingehalten. Wenn ein Backlog mit Daten vorhanden ist, für die Profile erstellt werden müssen, bestimmt die Reihenfolge des Zeitplans nicht die Reihenfolge, in der Sensitive Data Protection Profile für die Daten im Backlog erstellt. Vielmehr wird allen Datenressourcen im Bereich ein zufällig zugewiesener Slot in der Warteschlange zugewiesen.

11. Optional: Bearbeiten oder deaktivieren Sie den Auffangzeitplan.

    Der letzte Zeitplan in der Liste ist der Catch-all-Zeitplan. Dieser Zeitplan gilt für die Tabellen im ausgewählten Bereich, die mit keinem der von Ihnen erstellten Zeitpläne übereinstimmen. Der Catch-all-Zeitplan folgt der Standardhäufigkeit für die Profilerstellung des Systems.

    • Wenn Sie den Catch-all-Zeitplan anpassen möchten, klicken Sie auf Zeitplan bearbeiten und passen Sie die Einstellungen nach Bedarf an.
    • Wenn Sie verhindern möchten, dass Sensitive Data Protection ein Profil für Ressourcen erstellt, die vom Catch-all-Zeitplan abgedeckt werden, deaktivieren Sie Profil der Ressourcen erstellen, die keinem benutzerdefinierten Zeitplan entsprechen.

Inspektionsvorlage auswählen

Wählen Sie eine der folgenden Optionen aus, je nachdem, wie Sie eine Prüfkonfiguration bereitstellen möchten. Unabhängig davon, welche Option Sie auswählen, werden Ihre Daten von Sensitive Data Protection in der Region gescannt, in der sie gespeichert sind. Das bedeutet, dass Ihre Daten die Ursprungsregion nicht verlassen.

Option 1: Inspektionsvorlage erstellen

Wählen Sie diese Option aus, wenn Sie eine neue Inspektionsvorlage in der Region global erstellen möchten.

1. Klicken Sie auf Neue Inspektionsvorlage erstellen.

2. Optional: Klicken Sie auf infoTypes verwalten, um die Standardauswahl der infoTypes zu ändern.

   Weitere Informationen zum Verwalten von integrierten und benutzerdefinierten infoTypes finden Sie unter infoTypes über dieGoogle Cloud Console verwalten.

   Sie müssen mindestens einen infoType auswählen, um fortzufahren.

3. Optional: Konfigurieren Sie die Inspektionsvorlage weiter, indem Sie Regelsätze hinzufügen und einen Konfidenzschwellenwert festlegen. Weitere Informationen finden Sie unter Erkennung konfigurieren.

Wenn Sensitive Data Protection die Scankonfiguration erstellt, wird diese neue Inspektionsvorlage in der Region global gespeichert.

Option 2: Vorhandene Inspektionsvorlage verwenden

Wählen Sie diese Option aus, wenn Sie vorhandene Inspektionsvorlagen verwenden möchten.

1. Klicken Sie auf Vorhandene Inspektionsvorlage wählen.
2. Geben Sie den vollständigen Ressourcennamen der Inspektionsvorlage ein, die Sie verwenden möchten. Das Feld Region wird automatisch mit dem Namen der Region ausgefüllt, in der Ihre Inspektionsvorlage gespeichert ist.

   Die von Ihnen eingegebene Inspektionsvorlage muss sich in derselben Region wie die zu profilierenden Daten befinden.

   Um den Datenstandort zu berücksichtigen, verwendet Sensitive Data Protection keine Inspektionsvorlage außerhalb der Region, in der die Vorlage gespeichert ist.

   So finden Sie den vollständigen Ressourcennamen einer Inspektionsvorlage:

   1. Rufen Sie die Liste der Inspektionsvorlagen auf. Diese Seite wird in einem separaten Tab geöffnet.

      Inspektionsvorlagen aufrufen

   2. Wählen Sie das Projekt mit der Inspektionsvorlage aus, die Sie verwenden möchten.
   3. Wählen Sie Konfiguration > „Vorlagen“ > „Überprüfen“ aus und klicken Sie dann auf die Vorlagen-ID der Vorlage, die Sie verwenden möchten.
   4. Kopieren Sie auf der daraufhin angezeigten Seite den vollständigen Ressourcennamen der Vorlage. Der vollständige Ressourcenname hat folgendes Format:

      projects/PROJECT_ID/locations/REGION/inspectTemplates/TEMPLATE_ID

   5. Fügen Sie auf der Seite Scankonfiguration erstellen im Feld Vorlagenname den vollständigen Ressourcennamen der Vorlage ein.
3. Wenn Sie eine Inspektionsvorlage für eine andere Region hinzufügen möchten, klicken Sie auf Inspektionsvorlage hinzufügen und geben Sie den vollständigen Ressourcennamen der Vorlage ein. Wiederholen Sie diesen Vorgang für jede Region, für die Sie eine eigene Inspektionsvorlage haben.
4. Optional: Fügen Sie eine Inspektionsvorlage hinzu, die in der Region global gespeichert ist. Sensitive Data Protection verwendet diese Vorlage automatisch für Daten in Regionen, für die Sie keine dedizierte Inspektionsvorlage haben.
Achtung: Wenn Sie keine Inspektionsvorlage angeben, die in der Region global gespeichert ist, kann Sensitive Data Protection keine Profile für Daten in Regionen erstellen, die keine dedizierte Inspektionsvorlage haben. Weitere Informationen finden Sie unter Überlegungen zum Datenstandort.

Aktionen hinzufügen

In diesem Abschnitt wird beschrieben, wie Sie Aktionen angeben, die Sensitive Data Protection nach der Profilerstellung für eine Tabelle ausführen soll. Diese Aktionen sind nützlich, wenn Sie aus Datenprofilen gewonnene Statistiken an andereGoogle Cloud -Dienste senden möchten.

Hinweis :Informationen dazu, wie andere Google Cloud -Dienste Ihnen die Konfiguration von Aktionen in Rechnung stellen, finden Sie unter Preise für den Export von Datenprofilen.

In Google Security Operations veröffentlichen

Messwerte aus Datenprofilen können Ihren Google Security Operations-Ergebnissen Kontext hinzufügen. Der zusätzliche Kontext kann Ihnen helfen, die wichtigsten Sicherheitsprobleme zu ermitteln, die behoben werden müssen.

Wenn Sie beispielsweise einen bestimmten Dienst-Agenten untersuchen, kann Google Security Operations feststellen, auf welche Ressourcen der Dienst-Agent zugegriffen hat und ob diese Ressourcen sensible Daten enthalten.

Wenn Sie Ihre Datenprofile an Ihre Google Security Operations-Instanz senden möchten, aktivieren Sie In Google Security Operations veröffentlichen.

Wenn für Ihre Organisation keine Google Security Operations-Instanz aktiviert ist – weder über das eigenständige Produkt noch über Security Command Center Enterprise –, hat das Aktivieren dieser Option keine Auswirkungen.

In Security Command Center veröffentlichen

Ergebnisse aus Datenprofilen liefern Kontext, wenn Sie Ihre Ergebnisse zu Sicherheitslücken und Bedrohungen in Security Command Center priorisieren und Reaktionspläne entwickeln.

Hinweis :Sie können Security Command Center auch so konfigurieren, dass Ressourcen für die Simulation von Angriffspfaden automatisch priorisiert werden. Die Priorisierung erfolgt dann anhand der berechneten Vertraulichkeit der Daten, die die Ressourcen enthalten. Weitere Informationen finden Sie unter Prioritätswerte für Ressourcen automatisch anhand der Vertraulichkeit von Daten festlegen.

Bevor Sie diese Aktion verwenden können, muss Security Command Center auf Organisationsebene aktiviert werden. Wenn Sie Security Command Center auf Organisationsebene aktivieren, können Ergebnisse aus integrierten Diensten wie Sensitive Data Protection fließen. Sensitive Data Protection funktioniert mit allen Dienststufen von Security Command Center.

Wenn Security Command Center nicht auf Organisationsebene aktiviert ist, werden die Ergebnisse von Sensitive Data Protection nicht in Security Command Center angezeigt. Weitere Informationen finden Sie unter Aktivierungsstufe von Security Command Center prüfen.

Wenn Sie die Ergebnisse Ihrer Datenprofile an Security Command Center senden möchten, muss die Option In Security Command Center veröffentlichen aktiviert sein.

Weitere Informationen finden Sie unter Datenprofile im Security Command Center veröffentlichen.

Datenprofilkopien in BigQuery speichern

Sensitive Data Protection speichert eine Kopie jedes generierten Datenprofils in einer BigQuery-Tabelle. Wenn Sie die Details Ihrer bevorzugten Tabelle nicht angeben, erstellt Sensitive Data Protection ein Dataset und eine Tabelle im Dienst-Agent-Container. Standardmäßig heißt das Dataset sensitive_data_protection_discovery und die Tabelle discovery_profiles.

Wichtig :Die Ausgabetabelle verwendet DataProfileBigQueryRowSchema als Schema. Dieses Schema kann sich ändern, wenn Sensitive Data Protection neue Funktionen hinzufügt. Achten Sie darauf, dass Ihre Workflows Schemaänderungen verarbeiten können, z. B. durch Ignorieren unbekannter Felder.

So können Sie einen Verlauf aller generierten Profile speichern. Dieser Verlauf kann nützlich sein, um Prüfberichte zu erstellen und Datenprofile zu visualisieren. Sie können diese Informationen auch in andere Systeme laden.

Außerdem können Sie mit dieser Option alle Ihre Datenprofile in einer einzigen Ansicht sehen, unabhängig davon, in welcher Region sich Ihre Daten befinden. Sie können die Datenprofile auch über dieGoogle Cloud Console aufrufen. In der Console werden die Profile jedoch jeweils nur in einer Region angezeigt.

Wenn Sensitive Data Protection kein Profil für eine Tabelle erstellen kann, wird es regelmäßig wiederholt. Um das Rauschen in den exportierten Daten zu minimieren, exportiert Sensitive Data Protection nur die erfolgreich generierten Profile nach BigQuery.

Sensitive Data Protection beginnt mit dem Exportieren von Profilen, sobald Sie diese Option aktivieren. Profile, die vor dem Aktivieren des Exports generiert wurden, werden nicht in BigQuery gespeichert.

Hinweis: Ihr Dienst-Agent muss Schreibzugriff auf die Tabelle haben, in der die Profilkopien gespeichert werden. Wenn Sie noch keinen Dienst-Agent haben, können Sie ihn später auf der Seite Scankonfiguration erstellen in Sensitive Data Protection erstellen.

Beispielabfragen, die Sie beim Analysieren von Datenprofilen verwenden können, finden Sie unter Datenprofile analysieren.

Beispielergebnisse für die Erkennung in BigQuery speichern

Sensitive Data Protection kann einer BigQuery-Tabelle Ihrer Wahl Beispielergebnisse hinzufügen. Beispielergebnisse stellen eine Teilmenge aller Ergebnisse dar und repräsentieren möglicherweise nicht alle gefundenen infoTypes. Normalerweise generiert das System etwa 10 Beispielergebnisse pro Tabelle. Diese Anzahl kann jedoch für jeden Erkennungslauf variieren.

Jedes Ergebnis enthält den erkannten String (auch Zitat genannt) und seinen genauen Speicherort.

Diese Aktion ist nützlich, wenn Sie prüfen möchten, ob Ihre Prüfungskonfiguration dem Typ der Informationen entspricht, die Sie als vertraulich kennzeichnen möchten. Mithilfe der exportierten Datenprofile und der exportierten Beispielergebnisse können Sie Abfragen ausführen, um weitere Informationen zu den gekennzeichneten Elementen, den übereinstimmenden InfoTypes, den genauen Speicherorten, den berechneten Sensitivitätsstufen und anderen Details zu erhalten.

Wichtig: Die Ausgabetabelle verwendet DataProfileFinding als Schema. Dieses Schema kann sich ändern, wenn Sensitive Data Protection neue Funktionen hinzufügt. Achten Sie darauf, dass Ihre Workflows Schemaänderungen verarbeiten können, z. B. durch Ignorieren unbekannter Felder.

Beispielabfrage: Beispielergebnisse im Zusammenhang mit Tabellendatenprofilen anzeigen

Für dieses Beispiel müssen sowohl Datenprofilkopien in BigQuery speichern als auch Beispielergebnisse für die Erkennung in BigQuery speichern aktiviert sein.

In der folgenden Abfrage wird ein INNER JOIN-Vorgang sowohl für die Tabelle mit exportierten Datenprofilen als auch für die Tabelle mit exportierten Beispielergebnissen verwendet. In der resultierenden Tabelle enthält jeder Datensatz das Zitat des Ergebnisses, den infoType, mit dem es übereinstimmt, die Ressource, die das Ergebnis enthält, und das berechnete Sensibilitätsniveau der Ressource.

SELECT
 findings_table.quote,
 findings_table.infotype.name,
 findings_table.location.container_name,
 findings_table.location.data_profile_finding_record_location.field.name AS field_name,
 profiles_table.table_profile.dataset_project_id AS project_id,
 profiles_table.table_profile.dataset_id AS dataset_id,
 profiles_table.table_profile.table_id AS table_id,
 profiles_table.table_profile.sensitivity_score AS table_sensitivity_score
 FROM
 `FINDINGS_TABLE_PROJECT_ID.FINDINGS_TABLE_DATASET_ID.FINDINGS_TABLE_ID_latest_v1` AS findings_table
INNER JOIN
 `PROFILES_TABLE_PROJECT_ID.PROFILES_TABLE_DATASET_ID.PROFILES_TABLE_ID_latest_v1` AS profiles_table
ON
 findings_table.data_profile_resource_name=profiles_table.table_profile.name
 AND findings_table.timestamp.timestamp=profiles_table.table_profile.profile_last_generated.timestamp

So speichern Sie Beispielergebnisse in einer BigQuery-Tabelle:

1. Aktivieren Sie Beispielergebnisse für die Erkennung in BigQuery speichern.

2. Geben Sie die Details der BigQuery-Tabelle ein, in der Sie die Beispielergebnisse speichern möchten.

   Die Tabelle, die Sie für diese Aktion angeben, muss sich von der Tabelle unterscheiden, die für die Aktion Datenprofilkopien in BigQuery speichern verwendet wird.

   • Geben Sie unter Projekt-ID die ID eines vorhandenen Projekts ein, in das Sie die Ergebnisse exportieren möchten.

   • Geben Sie unter Dataset-ID den Namen eines vorhandenen Datasets im Projekt ein.

   • Geben Sie für Tabellen-ID den Namen der BigQuery-Tabelle ein, in der die Ergebnisse gespeichert werden sollen. Wenn diese Tabelle nicht vorhanden ist, wird sie von Sensitive Data Protection automatisch mit dem von Ihnen angegebenen Namen erstellt.

Hinweis : Ihr Dienst-Agent muss Schreibzugriff auf die Tabelle haben. Wenn Sie noch keinen Dienst-Agent haben, können Sie später auf der Seite Scankonfiguration erstellen einen erstellen.

Informationen zum Inhalt der einzelnen Ergebnisse, die in der BigQuery-Tabelle gespeichert werden, finden Sie unter DataProfileFinding.

Tags an Ressourcen anhängen

Wenn Sie Tags an Ressourcen anhängen aktivieren, weist Sensitive Data Protection Ihren Daten automatisch Tags entsprechend dem berechneten Vertraulichkeitsgrad zu. Für diesen Abschnitt müssen Sie zuerst die Aufgaben unter IAM-Zugriff auf Ressourcen basierend auf der Datensensibilität steuern ausführen.

So taggen Sie eine Ressource automatisch entsprechend ihrer berechneten Vertraulichkeitsstufe:

1. Aktivieren Sie die Option Ressourcen taggen.

2. Geben Sie für jede Vertraulichkeitsstufe (hoch, moderat, niedrig und unbekannt) den Pfad des Tag-Werts ein, den Sie für die jeweilige Vertraulichkeitsstufe erstellt haben.

   Wenn Sie eine Vertraulichkeitsstufe überspringen, wird kein Tag dafür angehängt.

3. Wenn Sie das Datenrisiko einer Ressource automatisch senken möchten, wenn das Tag für die Vertraulichkeitsstufe vorhanden ist, wählen Sie Beim Anwenden eines Tags auf eine Ressource das Datenrisiko ihres Profils auf NIEDRIG setzen aus. Mit dieser Option können Sie die Verbesserung Ihrer Datensicherheit und Ihres Datenschutzes messen.

   Wichtig :Mit dieser Option wird das berechnete Datenrisiko der profilierten Ressource überschrieben.

4. Wählen Sie eine oder beide der folgenden Optionen aus:

   • Ressource taggen, wenn zum ersten Mal ein Profil für sie erstellt wird.

   • Ressource taggen, wenn ihr Profil aktualisiert wird. Wählen Sie diese Option aus, wenn Sensitive Data Protection den Tag-Wert für die Vertraulichkeitsstufe bei nachfolgenden Erkennungsläufen überschreiben soll. Folglich ändert sich der Zugriff eines Principals auf eine Ressource automatisch, wenn sich der berechnete Grad der Datensensibilität für diese Ressource erhöht oder verringert.

     Wählen Sie diese Option nicht aus, wenn Sie die Tag-Werte für die Vertraulichkeitsstufe, die der Erkennungsdienst Ihren Ressourcen zugewiesen hat, manuell aktualisieren möchten. Wenn Sie diese Option auswählen, kann Sensitive Data Protection Ihre manuellen Aktualisierungen überschreiben.

In Pub/Sub veröffentlichen

Wenn Sie In Pub/Sub veröffentlichen aktivieren, können Sie programmatische Aktionen basierend auf Profilerstellungsergebnissen ausführen. Sie können Pub/Sub-Benachrichtigungen verwenden, um einen Workflow zu entwickeln, mit dem Sie Ergebnisse mit erheblichem Datenrisiko oder hoher Sensibilität erfassen und beheben können.

So senden Sie Benachrichtigungen an ein Pub/Sub-Thema:

1. Aktivieren Sie In Pub/Sub veröffentlichen.

   Eine Liste mit Optionen wird angezeigt. Jede Option beschreibt ein Ereignis, das dazu führt, dass Sensitive Data Protection eine Benachrichtigung an Pub/Sub sendet.

2. Wählen Sie die Ereignisse aus, die eine Pub/Sub-Benachrichtigung auslösen sollen.

   Wenn Sie Bei jeder Aktualisierung eines Profils eine Pub/Sub-Benachrichtigung senden auswählen, sendet Sensitive Data Protection eine Benachrichtigung, wenn sich die Vertraulichkeitsstufe, das Datenrisiko, die erkannten infoTypes, der öffentliche Zugriff und andere wichtige Messwerte im Profil ändern.

3. Führen Sie für jedes ausgewählte Ereignis die folgenden Schritte aus:

   1. Geben Sie den Namen des Themas ein. Der Name muss das folgende Format haben:

      projects/PROJECT_ID/topics/TOPIC_ID
      

      Ersetzen Sie Folgendes:

      • PROJECT_ID: die ID des Projekts, das dem Pub/Sub-Thema zugeordnet ist.
      • TOPIC_ID: die ID des Pub/Sub-Themas.

   2. Geben Sie an, ob das vollständige Tabellenprofil in die Benachrichtigung aufgenommen werden soll oder nur der vollständige Ressourcenname der Tabelle, für die ein Profil erstellt wurde.

   3. Legen Sie die Mindestwerte für Datenrisiko und Sensitivität fest, die erfüllt sein müssen, damit Sensitive Data Protection eine Benachrichtigung sendet.

   4. Geben Sie an, ob nur eine oder beide Bedingungen für Datenrisiko und Sensitivität erfüllt sein müssen. Wenn Sie beispielsweise AND auswählen, müssen sowohl die Bedingungen für das Datenrisiko als auch die für die Vertraulichkeit erfüllt sein, bevor Sensitive Data Protection eine Benachrichtigung sendet.

Hinweis : Ihr Dienst-Agent muss Veröffentlichungszugriff für das Pub/Sub-Thema haben. Ein Beispiel für eine Rolle mit Veröffentlichungszugriff ist die Rolle „Pub/Sub Publisher“ (roles/pubsub.publisher). Wenn Sie noch keinen Dienst-Agent haben, können Sie ihn später auf der Seite Scankonfiguration erstellen in Sensitive Data Protection erstellen. Wenn es Konfigurations- oder Berechtigungsprobleme mit dem Pub/Sub-Thema gibt, versucht Sensitive Data Protection bis zu zwei Wochen lang, die Pub/Sub-Benachrichtigung noch einmal zu senden. Nach zwei Wochen wird die Benachrichtigung verworfen.

Als Aspekte an Knowledge Catalog senden

Mit dieser Aktion können Sie profilierten Tabellen Knowledge Catalog-Aspekte hinzufügen, die auf Erkenntnissen aus Datenprofilen basieren. Diese Aktion wird nur auf neue und aktualisierte Profile angewendet. Vorhandene Profile, die nicht aktualisiert wurden, werden nicht an Knowledge Catalog gesendet.

Wenn Sie diese Aktion aktivieren, hängt Sensitive Data Protection den Aspekt Sensitive Data Protection profile an den Knowledge Catalog-Eintrag für jede neue oder aktualisierte Tabelle an, für die Sie ein Profil erstellen. Die generierten Aspekte enthalten Statistiken, die aus den Datenprofilen gewonnen wurden. Anschließend können Sie in Ihrer Organisation und Ihren Projekten nach Einträgen mit bestimmten Sensitive Data Protection profile-Aspektwerten suchen.

Wenn Sie die Datenprofile an Knowledge Catalog senden möchten, muss die Option Als Aspekte an Dataplex Catalog senden aktiviert sein.

Weitere Informationen finden Sie unter Knowledge Catalog-Aspekte basierend auf Statistiken aus Datenprofilen hinzufügen.

Dienst-Agent-Container und Abrechnung verwalten

In diesem Abschnitt geben Sie das Projekt an, das als Dienst-Agent-Container verwendet werden soll. Sie können Sensitive Data Protection ein neues Projekt automatisch erstellen lassen oder ein vorhandenes Projekt auswählen.

Unabhängig davon, ob Sie einen neu erstellten Dienst-Agent verwenden oder einen vorhandenen wiederverwenden, muss er Lesezugriff auf die zu profilierenden Daten haben.

Projekt automatisch erstellen

Wenn Sie nicht die erforderlichen Berechtigungen zum Erstellen eines Projekts in der Organisation haben, müssen Sie stattdessen ein vorhandenes Projekt auswählen oder die erforderlichen Berechtigungen einholen. Informationen zu den erforderlichen Berechtigungen finden Sie unter Erforderliche Rollen für die Arbeit mit Datenprofilen auf Organisations- oder Ordnerebene.

So erstellen Sie automatisch ein Projekt, das als Dienst-Agent-Container verwendet werden soll:

1. Prüfen Sie im Feld Service-Agent-Container die vorgeschlagene Projekt-ID und bearbeiten Sie sie bei Bedarf.
2. Klicken Sie auf Erstellen.
3. Optional: Aktualisieren Sie den Standardprojektnamen.

4. Wählen Sie das Konto aus, dem alle abrechenbaren Vorgänge im Zusammenhang mit diesem neuen Projekt in Rechnung gestellt werden sollen, einschließlich Vorgängen, die nicht mit der Erkennung zusammenhängen.

   Hinweis: Wenn Sie bereits ein Discovery-Abo auf Organisationsebene haben, ist dieses Rechnungskonto trotzdem erforderlich, um das Projekt zu erstellen. Bei allen Discovery-Vorgängen erfolgt die Abrechnung jedoch über das Projekt, das mit Ihrem Abo verknüpft ist.

5. Klicken Sie auf Erstellen.

Sensitive Data Protection erstellt das neue Projekt. Der Dienst-Agent in diesem Projekt wird für die Authentifizierung bei Sensitive Data Protection und anderen APIs verwendet.

Vorhandenes Projekt auswählen

Wenn Sie ein vorhandenes Projekt als Dienst-Agent-Container auswählen möchten, klicken Sie auf das Feld Dienst-Agent-Container und wählen Sie das Projekt aus.

Speicherort für Konfiguration festlegen

Klicken Sie auf die Liste Ressourcenstandort und wählen Sie die Region aus, in der Sie diese Scankonfiguration speichern möchten. Alle Scankonfigurationen, die Sie später erstellen, werden ebenfalls an diesem Standort gespeichert.

Der Speicherort der Scankonfiguration hat keinen Einfluss auf die zu scannenden Daten. Ihre Daten werden in derselben Region gescannt, in der sie gespeichert sind. Weitere Informationen finden Sie unter Überlegungen zum Datenstandort.

Hinweis: Wenn Sie bereits eine Scankonfiguration haben, können Sie den in diesem Feld festgelegten Wert nicht ändern. Alle Scankonfigurationen werden am selben Standort gespeichert. Wenn Sie den Speicherort aller Scankonfigurationen ändern möchten, müssen Sie sie löschen, neu erstellen und am neuen Speicherort speichern.

Überprüfen und erstellen

1. Wenn Sie verhindern möchten, dass die Profilerstellung automatisch nach dem Erstellen der Scankonfiguration gestartet wird, wählen Sie Scan im pausierten Modus erstellen aus.

   Diese Option ist in folgenden Fällen nützlich:

   • Ihr Google Cloud Administrator muss dem Dienst-Agent weiterhin Zugriff auf die Datenprofilerstellung gewähren.
   • Sie möchten mehrere Scankonfigurationen erstellen und möchten, dass einige Konfigurationen andere überschreiben.
   • Sie haben sich dafür entschieden, Datenprofile in BigQuery zu speichern, und möchten sicherstellen, dass der Dienst-Agent Schreibzugriff auf die BigQuery-Tabelle hat, in der die Datenprofilkopien gespeichert werden.
   • Sie haben sich dafür entschieden, Beispielergebnisse für die Erkennung in BigQuery zu speichern, und möchten sicherstellen, dass der Dienst-Agent Schreibzugriff auf die BigQuery-Tabelle hat, in der die Beispielergebnisse gespeichert werden.
   • Sie haben Pub/Sub-Benachrichtigungen konfiguriert und möchten dem Dienst-Agent Veröffentlichungszugriff gewähren.
   • Sie haben die Aktion Tags an Ressourcen anhängen aktiviert und müssen dem Dienst-Agent Zugriff auf das Tag für die Vertraulichkeitsstufe gewähren.
2. Prüfen Sie Ihre Einstellungen und klicken Sie auf Erstellen.

   Sensitive Data Protection erstellt die Scankonfiguration und fügt sie der Liste der Scankonfigurationen für die Erkennung hinzu.

Informationen zum Aufrufen oder Verwalten Ihrer Scankonfigurationen finden Sie unter Scankonfigurationen verwalten.

Wenn Ihr Dienst-Agent die erforderlichen Rollen für den Zugriff auf Ihre Daten und die Profilerstellung hat, beginnt Sensitive Data Protection kurz nach dem Erstellen der Scankonfiguration oder dem Fortsetzen einer pausierten Konfiguration mit dem Scannen Ihrer Daten. Andernfalls wird in Sensitive Data Protection ein Fehler angezeigt, wenn Sie die Details der Scankonfiguration aufrufen.

Hinweis:Wir verbessern unseren Erkennungsalgorithmus regelmäßig. Wenn wir feststellen, dass Ihre Organisation oder Ihr Projekt von einer Verbesserung profitieren würde, können wir Ihre Datenprofile automatisch neu erstellen und Aktionen in Ihrer Scankonfiguration wiederholen. Dafür fallen keine Sensitive Data Protection-Gebühren an. Aufgrund des Wiederholens von Aktionen können jedoch Kosten für die Nutzung anderer Google Cloud Dienste entstehen. Wenn Sie beispielsweise Sensitive Data Protection so konfiguriert haben, dass die Datenprofile in BigQuery gespeichert werden, werden Ihnen Gebühren für BigQuery in Rechnung gestellt.

Nächste Schritte

• Wenn Sie nicht die Rolle „Organisationsadministrator“ (roles/resourcemanager.organizationAdmin) oder Sicherheitsadministrator“ (roles/iam.securityAdmin) haben, muss jemand mit einer dieser Rollen Ihrem Dienst-Agent Zugriff auf die Datenprofilerstellung gewähren.
• Weitere Informationen zum Verwalten von Datenprofilen
• Erfahren Sie, wie Sie Scankonfigurationen verwalten.
• Informationen zum Empfangen und Parsen von Pub/Sub-Nachrichten, die vom Datenprofiler veröffentlicht werden
• Informationen zur Fehlerbehebung bei Datenprofilen
• Sehen Sie sich die Limits für die Datenprofilerstellung an.