Crie perfis de dados do BigQuery numa organização ou numa pasta

Esta página descreve como configurar a deteção de dados do BigQuery ao nível de uma organização ou uma pasta. O resultado desta tarefa é uma configuração de descoberta ao nível da organização que, se estiver ativa, indica à proteção de dados confidenciais que crie perfis dos seus dados de acordo com um horário definido.

Para criar perfis de dados ao nível do projeto, consulte o artigo Crie perfis de dados do BigQuery num único projeto.

Atenção: se tiver uma subscrição de deteção ao nível da organização, incluindo uma através do Security Command Center, use uma configuração de deteção ao nível da organização, mesmo que planeie criar perfis apenas de um projeto na organização. Não use uma configuração de descoberta ao nível do projeto, porque é faturada separadamente.

Para mais informações sobre o serviço de deteção, consulte o artigo Perfis de dados.

Para iniciar a criação de perfis de dados, crie uma configuração de análise de deteção.

Antes de começar

1. Confirme que tem as autorizações de IAM necessárias para configurar perfis de dados ao nível da organização.

   Se não tiver a função de administrador da organização (roles/resourcemanager.organizationAdmin) ou administrador de segurança (roles/iam.securityAdmin), ainda pode criar uma configuração de análise. No entanto, depois de criar a configuração da análise, alguém com um desses papéis tem de conceder acesso à criação de perfis de dados ao seu agente de serviço.

2. Tem de ter um modelo de inspeção em cada região onde tem dados a serem criados perfis. Se quiser usar um único modelo para várias regiões, pode usar um modelo armazenado na região global. Se as políticas organizacionais impedirem a criação de um modelo de inspeção na região global, tem de definir um modelo de inspeção dedicado para cada região. Para mais informações, consulte as considerações sobre a residência de dados.

   Esta tarefa permite-lhe criar um modelo de inspeção apenas na região global. Se precisar de modelos de inspeção dedicados para uma ou mais regiões, tem de criar esses modelos antes de realizar esta tarefa.

3. Para enviar notificações do Pub/Sub para um tópico quando ocorrem determinados eventos, como quando a Proteção de dados confidenciais cria um perfil de uma nova tabela, crie um tópico do Pub/Sub antes de realizar esta tarefa.

4. Pode configurar a Proteção de dados confidenciais para anexar automaticamente etiquetas aos seus recursos. Esta funcionalidade permite-lhe conceder condicionalmente acesso a esses recursos com base nos respetivos níveis de sensibilidade calculados. Se quiser usar esta funcionalidade, tem de concluir primeiro as tarefas em Controlar o acesso IAM aos recursos com base na sensibilidade dos dados.

Para gerar perfis de dados, precisa de um contentor de agente de serviço e um agente de serviço no respetivo interior. Esta tarefa permite-lhe criá-los automaticamente.

Crie uma configuração de análise

1. Aceda à página Criar configuração de análise.

   Aceda a Criar configuração de análise

2. Aceda à sua organização. Na barra de ferramentas, clique no seletor de projetos e selecione a sua organização.

As secções seguintes fornecem mais informações sobre os passos na página Criar configuração de análise. No final de cada secção, clique em Continuar.

Selecione um tipo de descoberta

Selecione BigQuery.

Selecione o âmbito

Efetue um dos seguintes passos:

• Para configurar a criação de perfis ao nível da organização, selecione Analisar toda a organização.
• Para configurar a criação de perfis ao nível de uma pasta, selecione Analisar pasta selecionada. Clique em Procurar e selecione a pasta.

Gerir horários

Se a frequência de criação de perfis predefinida for adequada às suas necessidades, pode ignorar esta secção da página Criar configuração de análise.

Configure esta secção pelos seguintes motivos:

• Para fazer ajustes detalhados à frequência de criação de perfis de todos os seus dados ou de determinados subconjuntos dos seus dados.
• Para especificar as tabelas que não quer criar perfis.
• Para especificar as tabelas que não quer que sejam analisadas mais do que uma vez.

Para fazer ajustes detalhados à frequência da criação de perfis, siga estes passos:

1. Clique em Adicionar programação.

2. Na secção Filtros, define um ou mais filtros que especificam que tabelas estão no âmbito da programação. Uma tabela é considerada no âmbito da programação se corresponder a, pelo menos, um dos filtros definidos.

   Para configurar um filtro, especifique, pelo menos, um dos seguintes elementos:

   • Um ID do projeto ou uma expressão regular que especifica um ou mais projetos
   • Um ID do conjunto de dados ou uma expressão regular que especifica um ou mais conjuntos de dados
   • Um ID da tabela ou uma expressão regular que especifica uma ou mais tabelas

   As expressões regulares têm de seguir a sintaxe RE2.

   Por exemplo, se quiser que todas as tabelas de um projeto sejam incluídas no filtro, especifique o ID desse projeto e deixe os outros dois campos em branco.

   Para corresponder a um filtro, uma tabela tem de cumprir todas as expressões regulares especificadas nesse filtro.

   Se quiser adicionar mais filtros, clique em Adicionar filtro e repita este passo.

3. Clique em Frequência.

4. Na secção Frequência, especifique se a proteção de dados confidenciais deve criar perfis das tabelas que definiu nos seus filtros e, em caso afirmativo, com que frequência:

   • Se nunca quiser que as tabelas sejam analisadas, desative a opção Analise as tabelas.

   • Se quiser que as tabelas sejam perfiladas, pelo menos, uma vez, deixe a opção Perfil das tabelas ativada.

     Nos campos seguintes desta secção, especifica se o sistema deve voltar a criar perfis dos seus dados e que eventos devem acionar uma operação de recriação de perfis. Para mais informações, consulte o artigo Frequência de geração do perfil de dados.

     1. Para Quando o esquema muda, especifique a frequência com que a proteção de dados confidenciais deve verificar se as tabelas selecionadas sofreram alterações ao esquema após a última criação de perfis. Apenas as tabelas com alterações de esquema são redefinidas.
     2. Para Tipos de alteração do esquema, especifique que tipos de alterações do esquema devem acionar uma operação de nova criação de perfis. Selecione uma das seguintes opções:
        • Novas colunas: refaça o perfil das tabelas que ganharam novas colunas.
        • Colunas removidas: refaça o perfil das tabelas que tinham colunas removidas.

        Por exemplo, suponhamos que tem tabelas que ganham novas colunas todos os dias e precisa de criar perfis dos respetivos conteúdos sempre que isso acontece. Pode definir Quando o esquema muda como Voltar a criar perfil diariamente e definir Tipos de alterações ao esquema como Novas colunas.

     3. Para Quando a tabela muda, especifique a frequência com que a proteção de dados confidenciais deve verificar se as tabelas selecionadas sofreram alterações após a última criação de perfis. Apenas as tabelas com alterações vão ser redefinidas. Exemplos de alterações à tabela: eliminações de linhas e alterações ao esquema.

        Tem de selecionar um valor igual ou menos frequente do que o valor que definiu no campo Quando o esquema muda.

     4. Para Quando inspecionar alterações ao modelo, especifique se quer que os seus dados sejam redefinidos quando o modelo de inspeção associado for atualizado e, se for o caso, com que frequência.
        Nota: especifica os modelos de inspeção a usar no passo Selecionar modelo de inspeção nesta página.

        É detetada uma alteração ao modelo de inspeção quando ocorre uma das seguintes situações:

        • O nome de um modelo de inspeção é alterado na configuração da análise.
        • O updateTime de um modelo de inspeção é alterado.

     Por exemplo, se definir um modelo de inspeção para a região us-west1 e atualizar esse modelo de inspeção, apenas os dados na região us-west1 vão ser redefinidos.

5. Clique em Condições.

6. Na secção Condições, especifique as condições que as tabelas, definidas nos seus filtros, têm de cumprir antes de os perfis de proteção de dados confidenciais as processarem. Se definir condições mínimas e a condição de tempo, a proteção de dados confidenciais apenas cria perfis de tabelas que cumprem ambos os tipos de condições.

   • Condições mínimas: estas condições são úteis se quiser atrasar a criação de perfis de uma tabela até ter linhas suficientes ou até atingir uma determinada antiguidade. Ative as condições que quer aplicar e especifique a duração ou a quantidade de linhas mínima.
   • Condição de tempo: esta condição é útil se não quiser que as tabelas antigas sejam perfiladas. Ative a condição de tempo e escolha uma data e uma hora. Qualquer tabela criada nessa data ou antes é excluída da criação de perfis.

   Exemplos de condições

   Suponhamos que tem a seguinte configuração:

   • Condições mínimas

     • Número mínimo de linhas: 10 linhas
     • Duração mínima: 24 horas

   • Condição de tempo

     • Data/hora: 04/05/22, 23:59

   Neste caso, a proteção de dados confidenciais exclui todas as tabelas criadas a 4 de maio de 2022 ou antes, às 23:59. Entre as tabelas criadas após esta data e hora, os perfis de proteção de dados confidenciais apenas analisam as tabelas que têm 10 linhas ou, pelo menos, 24 horas.

7. Na secção Tabelas a analisar no perfil, selecione uma das seguintes opções, consoante os tipos de tabelas que quer analisar no perfil:

   • Criar perfil de todas as tabelas: selecione esta opção se quiser que a proteção de dados sensíveis crie perfis de todos os tipos de tabelas que correspondam aos seus filtros e condições.

     Para tipos de tabelas não suportados, a proteção de dados confidenciais gera perfis apenas parcialmente preenchidos. Estes perfis mostram erros que indicam que as tabelas a que pertencem não são suportadas. Selecione esta opção se quiser ver os perfis parciais apesar das mensagens de erro.

     Quando a Proteção de dados confidenciais adiciona suporte para um novo tipo de tabela, volta a criar perfis completos das tabelas desse tipo durante a próxima execução agendada.

   • Tabelas suportadas pelo perfil: selecione esta opção se quiser que a proteção de dados confidenciais crie perfis apenas das tabelas suportadas que correspondam aos seus filtros e condições. As tabelas não suportadas não têm perfis parciais.

   • Tipos de tabelas específicos do perfil: selecione esta opção se quiser que a proteção de dados confidenciais crie perfis apenas dos tipos de tabelas que selecionar. Na lista apresentada, selecione um ou mais tipos.

     Quando a Proteção de dados confidenciais adiciona suporte para um novo tipo de tabela, não cria automaticamente perfis de tabelas desse tipo. Para criar perfis de tipos de tabelas suportados recentemente, tem de editar a configuração da análise e selecionar esses tipos.

   Se não selecionar uma opção, os perfis de proteção de dados confidenciais apenas analisam tabelas do BigQuery e mostram erros para tabelas não suportadas.

   O preço da análise do perfil de dados varia consoante os tipos de tabelas analisadas. Para mais informações, consulte os preços da criação de perfis de dados.

8. Clique em Concluído.

9. Opcional: para adicionar mais programações, clique em Adicionar programação e repita os passos anteriores.

10. Para especificar a precedência entre horários, reordene-os com as setas para cima e para baixo.

    A ordem dos horários especifica como os conflitos entre horários são resolvidos. Se uma tabela corresponder aos filtros de dois horários diferentes, o horário mais acima na lista de horários determina a frequência da criação de perfis para essa tabela.

    Nota: se o modo de preços de deteção for o modo de subscrição, a taxa à qual a proteção de dados confidenciais perfila os seus dados é afetada pela quantidade de capacidade que comprou. Para determinar a sua capacidade de criação de perfis diária, consulte o artigo Monitorizar a utilização. Se tiver capacidade insuficiente, as frequências de criação de perfis que definir nas suas programações podem não ser seguidas. Se existir um atraso de dados a serem analisados, a ordem da programação não determina a ordem pela qual a proteção de dados confidenciais analisa os dados no atraso. Em vez disso, todos os recursos de dados no âmbito recebem um espaço atribuído aleatoriamente na fila.

11. Opcional: edite ou desative a Programação geral.

    O último horário na lista é o horário geral. Esta programação abrange as tabelas no âmbito selecionado que não correspondem a nenhuma das programações que criou. A programação geral segue a frequência de criação de perfis predefinida do sistema.

    • Para ajustar a programação geral, clique em Editar programação e, de seguida, ajuste as definições conforme necessário.
    • Para impedir que a proteção de dados confidenciais crie perfis de recursos cobertos pela programação geral, desative a opção Criar perfis dos recursos que não correspondem a nenhuma programação personalizada.

Selecione o modelo de inspeção

Dependendo da forma como quer fornecer uma configuração de inspeção, escolha uma das seguintes opções. Independentemente da opção escolhida, a Proteção de dados confidenciais analisa os seus dados na região onde esses dados estão armazenados. Ou seja, os seus dados não saem da respetiva região de origem.

Opção 1: crie um modelo de inspeção

Escolha esta opção se quiser criar um novo modelo de inspeção na região global.

1. Clique em Criar novo modelo de inspeção.

2. Opcional: para modificar a seleção predefinida de infoTypes, clique em Gerir infoTypes.

   Para mais informações sobre como gerir infoTypes incorporados e personalizados, consulte o artigo Faça a gestão de infoTypes através da Google Cloud consola.

   Tem de ter, pelo menos, um infoType selecionado para continuar.

3. Opcional: configure ainda mais o modelo de inspeção adicionando conjuntos de regras e definindo um limite de confiança. Para mais informações, consulte o artigo Configure a deteção.

Quando a proteção de dados confidenciais cria a configuração da análise, armazena este novo modelo de inspeção na região global.

Opção 2: use um modelo de inspeção existente

Escolha esta opção se tiver modelos de inspeção existentes que queira usar.

1. Clique em Selecionar modelo de inspeção existente.
2. Introduza o nome completo do recurso do modelo de inspeção que quer usar. O campo Região é preenchido automaticamente com o nome da região onde o modelo de inspeção está armazenado.

   O modelo de inspeção que introduzir tem de estar na mesma região que os dados a serem perfilados.

   Para respeitar a residência de dados, a Proteção de dados confidenciais não usa um modelo de inspeção fora da região onde esse modelo está armazenado.

   Para encontrar o nome completo do recurso de um modelo de inspeção, siga estes passos:

   1. Aceda à lista de modelos de inspeção. Esta página é aberta num separador separado.

      Aceda aos modelos de inspeção

   2. Selecione o projeto que contém o modelo de inspeção que quer usar.
   3. Selecione Configuração > Modelos > Inspeção, e, de seguida, clique no ID do modelo que quer usar.
   4. Na página aberta, copie o nome completo do recurso do modelo. O nome completo do recurso segue este formato:

      projects/PROJECT_ID/locations/REGION/inspectTemplates/TEMPLATE_ID

   5. Na página Criar configuração de análise, no campo Nome do modelo, cole o nome completo do recurso do modelo.
3. Para adicionar um modelo de inspeção para outra região, clique em Adicionar modelo de inspeção e introduza o nome completo do recurso do modelo. Repita este processo para cada região onde tem um modelo de inspeção dedicado.
4. Opcional: adicione um modelo de inspeção armazenado na região global. A proteção de dados confidenciais usa automaticamente esse modelo para dados em regiões onde não tem um modelo de inspeção dedicado.
Aviso: se não incluir um modelo de inspeção armazenado na região global, a proteção de dados confidenciais não pode criar perfis de dados em regiões que não tenham um modelo de inspeção dedicado. Para mais informações, consulte o artigo Considerações sobre a residência de dados.

Adicione ações

Esta secção descreve como especificar as ações que quer que a Proteção de dados confidenciais execute após a criação de perfis de uma tabela. Estas ações são úteis se quiser enviar estatísticas recolhidas a partir de perfis de dados para outros serviçosGoogle Cloud .

Nota: para informações sobre como outros Google Cloud serviços podem cobrar-lhe pela configuração de ações, consulte o artigo Preços para exportar perfis de dados.

Publique no Google Security Operations

As métricas recolhidas a partir de perfis de dados podem adicionar contexto às suas conclusões do Google Security Operations. O contexto adicionado pode ajudar a determinar os problemas de segurança mais importantes a resolver.

Por exemplo, se estiver a investigar um agente de serviço específico, o Google Security Operations pode determinar a que recursos o agente de serviço acedeu e se algum desses recursos tem dados de alta sensibilidade.

Para enviar os seus perfis de dados para a instância do Google Security Operations, ative a opção Publicar no Google Security Operations.

Se não tiver uma instância do Google Security Operations ativada para a sua organização, através do produto autónomo ou do Security Command Center Enterprise, a ativação desta opção não tem qualquer efeito.

Publicação no Security Command Center

As conclusões dos perfis de dados fornecem contexto quando tria e desenvolve planos de resposta para as conclusões de vulnerabilidades e ameaças no Security Command Center.

Nota: também pode configurar o Security Command Center para priorizar automaticamente os recursos para a funcionalidade de simulação do caminho de ataque de acordo com a sensibilidade calculada dos dados que os recursos contêm. Para mais informações, consulte o artigo Defina automaticamente os valores de prioridade dos recursos por sensibilidade dos dados.

Antes de poder usar esta ação, o Security Command Center tem de ser ativado ao nível da organização. A ativação do Security Command Center ao nível da organização permite o fluxo de resultados de serviços integrados, como o Sensitive Data Protection. A proteção de dados confidenciais funciona com o Security Command Center em todos os níveis de serviço.

Se o Security Command Center não estiver ativado ao nível da organização, as conclusões da Proteção de dados confidenciais não são apresentadas no Security Command Center. Para mais informações, consulte o artigo Verifique o nível de ativação do Security Command Center.

Para enviar os resultados dos seus perfis de dados para o Security Command Center, certifique-se de que a opção Publicar no Security Command Center está ativada.

Para mais informações, consulte o artigo Publique perfis de dados no Security Command Center.

Guarde cópias dos perfis de dados no BigQuery

A proteção de dados confidenciais guarda uma cópia de cada perfil de dados gerado numa tabela do BigQuery. Se não fornecer os detalhes da sua tabela preferencial, a proteção de dados confidenciais cria um conjunto de dados e uma tabela no contentor do agente do serviço. Por predefinição, o conjunto de dados chama-se sensitive_data_protection_discovery e a tabela chama-se discovery_profiles.

Importante: o esquema desta tabela pode mudar à medida que a Proteção de dados confidenciais adiciona mais funcionalidades.

Esta ação permite-lhe manter um histórico de todos os perfis gerados. Este histórico pode ser útil para criar relatórios de auditoria e visualizar perfis de dados. Também pode carregar estas informações noutros sistemas.

Além disso, esta opção permite-lhe ver todos os seus perfis de dados numa única vista, independentemente da região em que os seus dados residem. Embora também possa ver os perfis de dados através da Google Cloud consola, a consola apresenta os perfis apenas numa região de cada vez.

Quando a proteção de dados confidenciais não consegue criar um perfil de uma tabela, tenta novamente periodicamente. Para minimizar o ruído nos dados exportados, a proteção de dados confidenciais exporta apenas os perfis gerados com êxito para o BigQuery.

A proteção de dados confidenciais começa a exportar perfis a partir do momento em que ativa esta opção. Os perfis gerados antes de ativar a exportação não são guardados no BigQuery.

Nota: o agente de serviço tem de ter acesso de escrita na tabela onde as cópias dos perfis vão ser guardadas. Se ainda não tiver um agente de serviço, a proteção de dados confidenciais permite-lhe criar um mais tarde na página Criar configuração de análise.

Para ver exemplos de consultas que pode usar ao analisar perfis de dados, consulte o artigo Analise perfis de dados.

Guarde os resultados da deteção de amostras no BigQuery

A proteção de dados confidenciais pode adicionar resultados de amostra a uma tabela do BigQuery à sua escolha. Os resultados de amostra representam um subconjunto de todos os resultados e podem não representar todos os infoTypes que foram descobertos. Normalmente, o sistema gera cerca de 10 resultados de amostra por tabela, mas este número pode variar para cada execução de deteção.

Cada descoberta inclui a string real (também denominada citação) que foi detetada e a respetiva localização exata.

Esta ação é útil se quiser avaliar se a sua configuração de inspeção está a fazer corresponder corretamente o tipo de informações que quer sinalizar como confidenciais. Com os perfis de dados exportados e os resultados de amostra exportados, pode executar consultas para obter mais informações acerca dos itens específicos que foram denunciados, os infoTypes que corresponderam, as respetivas localizações exatas, os respetivos níveis de sensibilidade calculados e outros detalhes.

Importante: o esquema desta tabela pode mudar à medida que a Proteção de dados confidenciais adiciona mais funcionalidades.

Consulta de exemplo: mostra exemplos de conclusões relacionados com perfis de dados de tabelas

Este exemplo requer que as opções Guardar cópias do perfil de dados no BigQuery e Guardar resultados da deteção de amostras no BigQuery estejam ativadas.

A consulta seguinte usa uma operação INNER JOIN na tabela de perfis de dados exportados e na tabela de resultados de amostra exportados. Na tabela resultante, cada registo mostra a citação da descoberta, o infoType que correspondeu, o recurso que contém a descoberta e o nível de sensibilidade calculado do recurso.

SELECT
 findings_table.quote,
 findings_table.infotype.name,
 findings_table.location.container_name,
 findings_table.location.data_profile_finding_record_location.field.name AS field_name,
 profiles_table.table_profile.dataset_project_id AS project_id,
 profiles_table.table_profile.dataset_id AS dataset_id,
 profiles_table.table_profile.table_id AS table_id,
 profiles_table.table_profile.sensitivity_score AS table_sensitivity_score
 FROM
 `FINDINGS_TABLE_PROJECT_ID.FINDINGS_TABLE_DATASET_ID.FINDINGS_TABLE_ID_latest_v1` AS findings_table
INNER JOIN
 `PROFILES_TABLE_PROJECT_ID.PROFILES_TABLE_DATASET_ID.PROFILES_TABLE_ID_latest_v1` AS profiles_table
ON
 findings_table.data_profile_resource_name=profiles_table.table_profile.name

Para guardar resultados de exemplo numa tabela do BigQuery, siga estes passos:

1. Ative a opção Guardar resultados da descoberta de amostras no BigQuery.

2. Introduza os detalhes da tabela do BigQuery onde quer guardar as conclusões de amostra.

   A tabela que especificar para esta ação tem de ser diferente da tabela usada para a ação Guardar cópias do perfil de dados no BigQuery.

   • Para o ID do projeto, introduza o ID de um projeto existente para o qual quer exportar as conclusões.

   • Para ID do conjunto de dados, introduza o nome de um conjunto de dados existente no projeto.

   • Para ID da tabela, introduza o nome da tabela do BigQuery onde quer guardar as conclusões. Se esta tabela não existir, a proteção de dados confidenciais cria-a automaticamente para si com o nome que indicar.

Nota: o agente de serviço tem de ter acesso de escrita na tabela. Se ainda não tiver um agente de serviço, a Proteção de dados confidenciais permite-lhe criar um mais tarde na página Criar configuração de análise.

Para obter informações sobre o conteúdo de cada descoberta guardada na tabela do BigQuery, consulte DataProfileFinding.

Anexe etiquetas a recursos

A ativação da opção Anexar etiquetas a recursos indica ao Sensitive Data Protection que etiquete automaticamente os seus dados de acordo com o respetivo nível de sensibilidade calculado. Esta secção requer que conclua primeiro as tarefas em Controlar o acesso à IAM aos recursos com base na sensibilidade dos dados.

Para etiquetar automaticamente um recurso de acordo com o respetivo nível de sensibilidade calculado, siga estes passos:

1. Ative a opção Etiquetar recursos.

2. Para cada nível de sensibilidade (elevado, moderado, baixo e desconhecido), introduza o caminho do valor da etiqueta que criou para o nível de sensibilidade indicado.

   Se ignorar um nível de sensibilidade, não é anexada nenhuma etiqueta ao mesmo.

3. Para diminuir automaticamente o nível de risco de dados de um recurso quando a etiqueta de nível de sensibilidade estiver presente, selecione Quando uma etiqueta é aplicada a um recurso, diminua o risco de dados do respetivo perfil para BAIXO. Esta opção ajuda a medir a melhoria na sua postura de segurança e privacidade dos dados.

   Importante: esta opção substitui o nível de risco de dados calculado do recurso com perfil.

4. Selecione uma ou ambas as seguintes opções:

   • Etiquete um recurso quando este for perfilado pela primeira vez.

   • Etiquete um recurso quando o respetivo perfil for atualizado. Selecione esta opção se quiser que a proteção de dados confidenciais substitua o valor da etiqueta do nível de sensibilidade nas execuções de deteção subsequentes. Consequentemente, o acesso de um principal a um recurso é alterado automaticamente à medida que o nível de sensibilidade dos dados calculado para esse recurso aumenta ou diminui.

     Não selecione esta opção se planear atualizar manualmente os valores das etiquetas de nível de sensibilidade que o serviço de deteção anexou aos seus recursos. Se selecionar esta opção, a Proteção de dados confidenciais pode substituir as suas atualizações manuais.

Publicar no Pub/Sub

A ativação da opção Publicar no Pub/Sub permite-lhe tomar medidas programáticas com base nos resultados da criação de perfis. Pode usar notificações do Pub/Sub para desenvolver um fluxo de trabalho para detetar e corrigir resultados com um risco ou uma sensibilidade de dados significativos.

Para enviar notificações para um tópico do Pub/Sub, siga estes passos:

1. Ative a opção Publicar no Pub/Sub.

   É apresentada uma lista de opções. Cada opção descreve um evento que faz com que a proteção de dados confidenciais envie uma notificação para o Pub/Sub.

2. Selecione os eventos que devem acionar uma notificação do Pub/Sub.

   Se selecionar Enviar uma notificação do Pub/Sub sempre que um perfil for atualizado, a Proteção de dados confidenciais envia uma notificação quando existe uma alteração no nível de sensibilidade, no nível de risco de dados, nos infoTypes detetados, no acesso público e noutras métricas importantes no perfil.

3. Para cada evento que selecionar, siga estes passos:

   1. Introduza o nome do tópico. O nome tem de estar no seguinte formato:

      projects/PROJECT_ID/topics/TOPIC_ID
      

      Substitua o seguinte:

      • PROJECT_ID: o ID do projeto associado ao tópico do Pub/Sub.
      • TOPIC_ID: o ID do tópico do Pub/Sub.

   2. Especifique se quer incluir o perfil completo da tabela na notificação ou apenas o nome completo do recurso da tabela que foi analisada.

   3. Defina os níveis de risco e sensibilidade dos dados mínimos que têm de ser cumpridos para que a proteção de dados confidenciais envie uma notificação.

   4. Especifique se apenas uma ou ambas as condições de risco e sensibilidade dos dados têm de ser cumpridas. Por exemplo, se escolher AND, as condições de risco de dados e de sensibilidade têm de ser cumpridas antes que a Proteção de dados confidenciais envie uma notificação.

Nota: o seu agente de serviço tem de ter acesso de publicação no tópico do Pub/Sub. Um exemplo de uma função que tem acesso de publicação é a função de publicador do Pub/Sub (roles/pubsub.publisher). Se ainda não tiver um agente de serviço, a proteção de dados confidenciais permite-lhe criar um mais tarde na página Criar configuração de análise. Se existirem problemas de configuração ou autorização com o tópico do Pub/Sub, a Proteção de dados confidenciais tenta reenviar a notificação do Pub/Sub durante um período máximo de duas semanas. Após duas semanas, a notificação é rejeitada.

Envie para o catálogo de dados como etiquetas

Esta funcionalidade está descontinuada.

Esta ação permite-lhe criar etiquetas do Data Catalog no Dataplex Universal Catalog com base em estatísticas de perfis de dados. Esta ação só é aplicada a perfis novos e atualizados. Os perfis existentes que não são atualizados não são enviados para o Dataplex Universal Catalog.

O Data Catalog é um serviço de gestão de metadados escalável e totalmente gerido. Quando ativa esta ação, as tabelas que cria perfis são automaticamente etiquetadas no catálogo de dados de acordo com as estatísticas recolhidas dos perfis de dados. Em seguida, pode usar o catálogo universal do Dataplex para pesquisar tabelas com valores de etiquetas específicos na sua organização e projetos.

Para enviar os perfis de dados para o Dataplex Universal Catalog como etiquetas do Data Catalog, certifique-se de que a opção Enviar para o Dataplex como etiquetas está ativada.

Para mais informações, consulte o artigo Etiquete tabelas no catálogo de dados com base em estatísticas de perfis de dados.

Envie para o Dataplex Universal Catalog como aspetos

Esta ação permite-lhe adicionar aspetos do Dataplex Universal Catalog a tabelas com perfis com base em estatísticas de perfis de dados. Esta ação só é aplicada a perfis novos e atualizados. Os perfis existentes que não são atualizados não são enviados para o Dataplex Universal Catalog.

Quando ativa esta ação, a proteção de dados confidenciais anexa o aspeto Sensitive Data Protection profile à entrada do catálogo universal do Dataplex para cada tabela nova ou atualizada que perfila. Os aspetos gerados contêm estatísticas recolhidas a partir dos perfis de dados. Em seguida, pode pesquisar na sua organização e projetos entradas com valores de aspeto Sensitive Data Protection profile específicos.

Para enviar os perfis de dados para o Dataplex Universal Catalog, certifique-se de que a opção Enviar para o catálogo do Dataplex como aspetos está ativada.

Para mais informações, consulte o artigo Adicione aspetos do Dataplex Universal Catalog com base em estatísticas dos perfis de dados.

Faça a gestão do contentor do agente de serviço e da faturação

Nesta secção, especifica o projeto a usar como um contentor do agente de serviço. Pode fazer com que a Proteção de dados confidenciais crie automaticamente um novo projeto ou escolher um projeto existente.

Independentemente de estar a usar um agente de serviço recém-criado ou a reutilizar um existente, certifique-se de que tem acesso de leitura aos dados a serem perfilados.

Crie automaticamente um projeto

Se não tiver as autorizações necessárias para criar um projeto na organização, tem de selecionar um projeto existente ou obter as autorizações necessárias. Para obter informações sobre as autorizações necessárias, consulte o artigo Funções necessárias para trabalhar com perfis de dados ao nível da organização ou da pasta.

Para criar automaticamente um projeto para usar como contentor do agente de serviço, siga estes passos:

1. No campo Recipiente do agente de serviço, reveja o ID do projeto sugerido e edite-o conforme necessário.
2. Clique em Criar.
3. Opcional: atualize o nome do projeto predefinido.

4. Selecione a conta a faturar por todas as operações faturáveis relacionadas com este novo projeto, incluindo operações que não estão relacionadas com a deteção.

   Nota: se já tiver uma subscrição do Google Workspace Discovery ao nível da organização, continua a precisar desta conta de faturação para criar o projeto. No entanto, todas as operações de descoberta são faturadas através do projeto associado à sua subscrição.

5. Clique em Criar.

A Proteção de dados confidenciais cria o novo projeto. O agente de serviço neste projeto vai ser usado para autenticar no serviço de proteção de dados sensíveis e noutras APIs.

Selecione um projeto existente

Para selecionar um projeto existente como contentor do agente de serviço, clique no campo Contentor do agente de serviço e selecione o projeto.

Defina a localização para armazenar a configuração

Clique na lista Localização do recurso e selecione a região onde quer armazenar esta configuração de análise. Todas as configurações de análise que criar posteriormente também são armazenadas nesta localização.

O local onde optar por armazenar a configuração da análise não afeta os dados a serem analisados. Os seus dados são analisados na mesma região onde são armazenados. Para mais informações, consulte as Considerações sobre a residência de dados.

Nota: se já tiver uma configuração de análise existente, não pode alterar o valor definido neste campo. Todas as configurações de análise são armazenadas na mesma localização. Se quiser alterar a localização de todas as suas configurações de análise, tem de as eliminar, recriá-las e armazená-las na nova localização.

Verifique e crie

1. Se quiser certificar-se de que a criação de perfis não é iniciada automaticamente depois de criar a configuração de análise, selecione Criar análise no modo pausado.

   Esta opção é útil nos seguintes casos:

   • O seu Google Cloud administrador continua a ter de conceder acesso à análise de perfis de dados ao agente de serviço.
   • Quiser criar várias configurações de análise e quiser que algumas configurações substituam outras.
   • Optou por guardar perfis de dados no BigQuery e quer certificar-se de que o agente de serviço tem acesso de escrita à tabela do BigQuery onde as cópias dos perfis de dados vão ser guardadas.
   • Optou por guardar as conclusões de deteção de amostras no BigQuery e quer certificar-se de que o agente de serviço tem acesso de escrita à tabela do BigQuery onde as conclusões de amostras vão ser guardadas.
   • Configurou notificações do Pub/Sub e quer conceder acesso de publicação ao agente do serviço.
   • Ativou a ação Anexar etiquetas a recursos e tem de conceder ao agente de serviço acesso à etiqueta de nível de sensibilidade.
2. Reveja as definições e clique em Criar.

   A proteção de dados confidenciais cria a configuração de análise e adiciona-a à lista de configurações de análise de deteção.

Para ver ou gerir as configurações de análise, consulte o artigo Gerir configurações de análise.

Se o seu agente de serviço tiver as funções necessárias para aceder aos seus dados e criar um perfil dos mesmos, o Sensitive Data Protection começa a analisar os seus dados pouco depois de criar a configuração de análise ou retomar uma configuração pausada. Caso contrário, a proteção de dados confidenciais mostra um erro quando vê os detalhes da configuração da análise.

Nota: Melhoramos regularmente o nosso algoritmo de deteção. Se determinarmos que a sua organização ou projeto beneficiaria de uma nova melhoria que implementamos, podemos regenerar automaticamente os seus perfis de dados e refazer as ações na configuração da análise. Não incorre em encargos de proteção de dados confidenciais para esta operação. No entanto, uma vez que vamos refazer as ações, pode incorrer em custos pela sua utilização de outros serviços Google Cloud . Por exemplo, se configurou a proteção de dados confidenciais para guardar os perfis de dados no BigQuery, pode incorrer em custos do BigQuery.

O que se segue?

• Se não tiver a função de administrador da organização (roles/resourcemanager.organizationAdmin) ou administrador de segurança (roles/iam.securityAdmin), alguém com uma dessas funções tem de conceder acesso à criação de perfis de dados ao seu agente de serviço.
• Saiba como gerir perfis de dados.
• Saiba como gerir as configurações de análise.
• Saiba como receber e analisar mensagens do Pub/Sub publicadas pelo criador de perfis de dados.
• Saiba como resolver problemas com perfis de dados.
• Consulte os limites da criação de perfis de dados.