Perfila datos de Cloud SQL en un solo proyecto

En esta página, se describe cómo configurar el descubrimiento de datos de Cloud SQL a nivel de proyecto. Si deseas generar perfiles de una organización o carpeta, consulta Genera perfiles de datos de Cloud SQL en una organización o carpeta.

Para obtener más información sobre el servicio de descubrimiento, consulta Perfiles de datos.

Cómo funciona

A continuación, se muestra un flujo de trabajo de alto nivel para generar perfiles de datos de Cloud SQL:

1. Crea una configuración de análisis.

   Después de crear una configuración de análisis, Sensitive Data Protection comienza a identificar tus instancias de Cloud SQL y a crear una conexión predeterminada para cada instancia. Según la cantidad de instancias incluidas en el alcance del descubrimiento, este proceso puede tardar algunas horas. Puedes salir de la consola de Google Cloud y revisar tus conexiones más tarde.

2. Otorga los roles de IAM necesarios al agente de servicio asociado con tu configuración de análisis.

3. Cuando las conexiones predeterminadas estén listas, otorga a Sensitive Data Protection acceso a tus instancias de Cloud SQL actualizando cada conexión con las credenciales de usuario de la base de datos adecuadas. Puedes proporcionar cuentas de usuario de la base de datos existentes o crear usuarios de la base de datos.

   Nota: En el caso de las instancias de Cloud SQL para PostgreSQL, tienes la opción de usar el agente de servicio como el usuario de la base de datos.

4. Recomendación: Aumenta la cantidad máxima de conexiones que Sensitive Data Protection puede usar para generar perfiles de tus datos. Aumentar las conexiones puede acelerar el descubrimiento.

Servicios compatibles

Esta función admite lo siguiente:

• Cloud SQL para MySQL
• Cloud SQL para PostgreSQL

No se admite Cloud SQL para SQL Server.

Regiones de procesamiento y almacenamiento

Sensitive Data Protection es un servicio regional y multirregional, y no distingue entre zonas. Cuando Sensitive Data Protection genera perfiles de una instancia de Cloud SQL, los datos se procesan en su región actual, pero no necesariamente en su zona actual. Por ejemplo, si una instancia de Cloud SQL se almacena en la zona us-central1-a, Sensitive Data Protection procesa y almacena los perfiles de datos en la región us-central1.

Para obtener más información, consulta Consideraciones sobre la residencia de datos.

Antes de comenzar

1. Si tienes una suscripción de descubrimiento a nivel de la organización, incluida una a través de Security Command Center, ten en cuenta que esta configuración de descubrimiento a nivel del proyecto no se incluye en tu suscripción y se factura por separado. Te recomendamos que uses una configuración de descubrimiento a nivel de la organización para generar el perfil del proyecto. Para obtener más información, consulta Crea perfiles de proyectos o recursos de datos seleccionados en una organización o carpeta.

2. Asegúrate de que la API de Cloud Data Loss Prevention esté habilitada en tu proyecto:

   Accede a tu cuenta de Google Cloud . Si es la primera vez que usas Google Cloud, crea una cuenta para evaluar el rendimiento de nuestros productos en situaciones reales. Los clientes nuevos también obtienen $300 en créditos gratuitos para ejecutar, probar y, además, implementar cargas de trabajo.

   In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Roles required to select or create a project

   • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
   • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

   Verify that billing is enabled for your Google Cloud project.

   Enable the required API, if it is not already enabled.

   Roles required to enable APIs

   To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

   Enable the API

   In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Roles required to select or create a project

   • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
   • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

   Verify that billing is enabled for your Google Cloud project.

   Enable the required API, if it is not already enabled.

   Roles required to enable APIs

   To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

   Enable the API

3. Confirma que tienes los permisos de IAM necesarios para configurar perfiles de datos a nivel de proyecto.

4. Debes tener una plantilla de inspección en cada región en la que tengas datos para los que quieras crear perfiles. Si deseas usar una sola plantilla para varias regiones, puedes usar una plantilla almacenada en la región global. Si las políticas de la organización te impiden crear una plantilla de inspección en la región global, debes establecer una plantilla de inspección dedicada para cada región. Para obtener más información, consulta Consideraciones sobre la residencia de datos.

   Esta tarea te permite crear una plantilla de inspección solo en la región global. Si necesitas plantillas de inspección dedicadas para una o más regiones, debes crear esas plantillas antes de realizar esta tarea.

5. Puedes configurar Sensitive Data Protection para que envíe notificaciones a Pub/Sub cuando ocurran ciertos eventos, como cuando Sensitive Data Protection genera el perfil de una tabla nueva. Si deseas usar esta función, primero debes crear un tema de Pub/Sub.

6. Puedes configurar Sensitive Data Protection para que adjunte automáticamente etiquetas a tus recursos. Esta función te permite otorgar acceso condicional a esos recursos según sus niveles de sensibilidad calculados. Si quieres usar esta función, primero debes completar las tareas que se indican en Controla el acceso de IAM a los recursos según la sensibilidad de los datos.

7. Puedes configurar Sensitive Data Protection para que adjunte aspectos de forma automática a los recursos de Cloud SQL perfilados según las estadísticas de descubrimiento. Si deseas usar esta función, debes habilitar la integración del catálogo universal en tu instancia de Cloud SQL para MySQL o instancia de Cloud SQL para PostgreSQL.

Crear una configuración de análisis

1. Ve a la página Crear configuración de análisis.

   Ir a Crear configuración de análisis

2. Ve a tu proyecto. En la barra de herramientas, haz clic en el selector de proyectos y elige tu proyecto.

En las siguientes secciones, se proporciona más información sobre los pasos de la página Crear configuración de análisis. Al final de cada sección, haz clic en Continuar.

Selecciona un tipo de descubrimiento

Selecciona Cloud SQL.

Selecciona el permiso

Realiza una de las siguientes acciones:

• Si quieres analizar una sola tabla, selecciona Analizar una tabla.

  Para cada tabla, solo puedes tener una configuración de análisis de un solo recurso. Para obtener más información, consulta Crea un perfil de un solo recurso de datos.

  Completa los detalles de la tabla de la que quieres crear un perfil.

• Si deseas realizar la generación de perfiles estándar a nivel del proyecto, selecciona Analizar el proyecto seleccionado.

Administrar programas

Si la frecuencia de generación de perfiles predeterminada satisface tus necesidades, puedes omitir esta sección de la página Crear configuración de análisis.

Configura esta sección por los siguientes motivos:

• Realizar ajustes detallados en la frecuencia de generación de perfiles de todos tus datos o de ciertos subconjuntos de tus datos
• Especificar las tablas de las que no quieres crear perfiles.
• Especificar las tablas de las que no quieres que se creen perfiles más de una vez

Para realizar ajustes precisos en la frecuencia de generación de perfiles, sigue estos pasos:

1. Haz clic en Agregar programación.

2. En la sección Filtros, define uno o más filtros que especifiquen qué tablas están dentro del alcance del programa. Se considera que una tabla está dentro del alcance del programa si coincide con al menos uno de los filtros definidos.

   Para configurar un filtro, especifica al menos una de las siguientes opciones:

   • Es un ID del proyecto o una expresión regular que especifica uno o más proyectos.
   • Es un ID de instancia o una expresión regular que especifica una o más instancias.
   • Es un ID de base de datos o una expresión regular que especifica una o más bases de datos.
   • Es un ID de tabla o una expresión regular que especifica una o más tablas. Ingresa este valor en el campo Nombre o expresión regular del recurso de la base de datos.

   Las expresiones regulares deben seguir la sintaxis RE2.

   Por ejemplo, si deseas que todas las tablas de una base de datos se incluyan en el filtro, ingresa el ID de la base de datos en el campo ID de la base de datos.

   Para que coincida con un filtro, una tabla debe cumplir con todas las expresiones regulares especificadas en ese filtro.

   Si quieres agregar más filtros, haz clic en Agregar filtro y repite este paso.

3. Haz clic en Frecuencia.

4. En la sección Frecuencia, especifica si el servicio de descubrimiento debe generar perfiles de las tablas que seleccionaste y, si es así, con qué frecuencia:

   • Si no quieres que se generen perfiles de las tablas, desactiva Do profile this data.

   • Si quieres que se generen perfiles de las tablas al menos una vez, deja activada la opción Do profile this data.

     En los campos siguientes de esta sección, debes especificar si el sistema debe volver a generar el perfil de tus datos y qué eventos deben activar una operación de nueva generación de perfil. Para obtener más información, consulta Frecuencia de generación de perfiles de datos.

     1. En Según un programa, especifica la frecuencia con la que quieres que se vuelva a generar el perfil de las tablas. Se vuelve a generar el perfil de las tablas, independientemente de si sufrieron cambios.
     2. En Cuando cambia el esquema, especifica con qué frecuencia Sensitive Data Protection debe verificar si las tablas seleccionadas tuvieron cambios de esquema después de que se generó su perfil por última vez. Solo se volverán a generar perfiles de las tablas con cambios de esquema.
     3. En Tipos de cambios de esquema, especifica qué tipos de cambios de esquema deben activar una operación de cambio de perfil. Selecciona una de las siguientes opciones:
        • Columnas nuevas: Vuelve a generar el perfil de las tablas que obtuvieron columnas nuevas.
        • Columnas quitadas: Vuelve a generar el perfil de las tablas a las que se les quitaron columnas.

        Por ejemplo, supongamos que tienes tablas que obtienen columnas nuevas todos los días y necesitas generar perfiles de su contenido cada vez. Puedes configurar Cuando cambia el esquema como Volver a generar el perfil diariamente y establecer Tipos de cambio de esquema como Columnas nuevas.

     4. En Cuando inspeccionas cambios en la plantilla, especifica si quieres que se vuelva a generar el perfil de tus datos cuando se actualice la plantilla de inspección asociada y, si es así, con qué frecuencia.
        Nota: Especifica las plantillas de inspección que usarás en el paso Seleccionar plantilla de inspección de esta página.

        Se detecta un cambio en la plantilla de inspección cuando ocurre alguna de las siguientes situaciones:

        • El nombre de una plantilla de inspección cambia en tu configuración de análisis.
        • Cambia el updateTime de una plantilla de inspección.

     Por ejemplo, si configuras una plantilla de inspección para la región us-west1 y la actualizas, solo se volverá a generar el perfil de los datos de la región us-west1.

5. Haz clic en Condiciones.

   En la sección Condiciones, especifica los tipos de recursos de base de datos para los que deseas generar perfiles. De forma predeterminada, Sensitive Data Protection está configurado para generar perfiles de todos los tipos de recursos de base de datos admitidos. Cuando Sensitive Data Protection agregue compatibilidad con más tipos de recursos de base de datos, también se generarán perfiles de esos tipos automáticamente.

6. Opcional: Si deseas establecer de forma explícita los tipos de recursos de la base de datos para los que deseas generar el perfil, sigue estos pasos:

   1. Haz clic en el campo Tipos de recursos de base de datos.
   2. Selecciona los tipos de recursos de base de datos para los que quieres generar perfiles.

   Si, más adelante, Sensitive Data Protection agrega compatibilidad con el descubrimiento para más tipos de recursos de bases de datos de Cloud SQL, solo se generarán perfiles de esos tipos si regresas a esta lista y los seleccionas.

7. Haz clic en Listo.

8. Opcional: Para agregar más programas, haz clic en Agregar programa y repite los pasos anteriores.

9. Para especificar la precedencia entre los programas, reordénalos con las flechas hacia arriba y hacia abajo .

   El orden de los programas especifica cómo se resuelven los conflictos entre ellos. Si una tabla coincide con los filtros de dos programas diferentes, el programa que se encuentre más arriba en la lista de programas determinará la frecuencia de generación de perfiles para esa tabla.

   Nota: Si tu modo de precios de descubrimiento es el modo de suscripción, la velocidad a la que Sensitive Data Protection genera perfiles de tus datos se ve afectada por la capacidad que compraste. Para determinar tu capacidad de generación de perfiles diaria, consulta Supervisa el uso. Si aprovisionaste capacidad de forma insuficiente, es posible que no se sigan las frecuencias de creación de perfiles que estableciste en tus programas. Si hay una lista de tareas pendientes de datos para los que se debe generar un perfil, el orden de la programación no dicta el orden en el que Sensitive Data Protection genera el perfil de los datos de la lista de tareas pendientes. En cambio, todos los recursos de datos dentro del alcance obtienen un espacio asignado de forma aleatoria en la cola.

10. Opcional: Edita o desactiva la opción Programa general.

    El último programa de la lista es el programa general. Este programa abarca las tablas del alcance seleccionado que no coinciden con ninguno de los programas que creaste. El programa genérico sigue la frecuencia de creación de perfiles predeterminada del sistema.

    • Para ajustar el programa general, haz clic en Editar programa y, luego, ajusta la configuración según sea necesario.
    • Para evitar que Sensitive Data Protection genere perfiles de cualquier recurso que esté cubierto por el programa general, desactiva Genera un perfil de los recursos que no coinciden con ningún programa personalizado.

Selecciona una plantilla de inspección

Según cómo quieras proporcionar una configuración de inspección, elige una de las siguientes opciones. Independientemente de la opción que elijas, Sensitive Data Protection analiza tus datos en la región en la que se almacenan. Es decir, tus datos no salen de su región de origen.

Opción 1: Crea una plantilla de inspección

Elige esta opción si deseas crear una plantilla de inspección nueva en la región global.

1. Haz clic en Crear una plantilla de inspección nueva.

2. Opcional: Para modificar la selección predeterminada de infotipos, haz clic en Administrar infotipos.

   Para obtener más información sobre cómo administrar los tipos de información integrados y personalizados, consulta Administra tipos de información a través de la consola deGoogle Cloud .

   Debes seleccionar al menos un Infotipo para continuar.

3. Opcional: Configura aún más la plantilla de inspección agregando conjuntos de reglas y estableciendo un umbral de confianza. Para obtener más información, consulta Configura la detección.

Cuando Sensitive Data Protection crea la configuración de análisis, almacena esta nueva plantilla de inspección en la región global.

Opción 2: Usa una plantilla de inspección existente

Elige esta opción si tienes plantillas de inspección existentes que quieras usar.

1. Haz clic en Seleccionar plantilla de inspección existente.
2. Ingresa el nombre completo del recurso de la plantilla de inspección que deseas usar. El campo Región se completa automáticamente con el nombre de la región en la que se almacena tu plantilla de inspección.

   La plantilla de inspección que ingreses debe estar en la misma región que los datos para los que se generará el perfil.

   Para respetar la residencia de datos, Sensitive Data Protection no usa una plantilla de inspección fuera de la región en la que se almacena esa plantilla.

   Para encontrar el nombre completo del recurso de una plantilla de inspección, sigue estos pasos:

   1. Ve a la lista de plantillas de inspección. Esta página se abrirá en una pestaña aparte.

      Ir a las plantillas de inspección

   2. Selecciona el proyecto que contiene la plantilla de inspección que deseas usar.
   3. Selecciona Configuración > Plantillas > Inspeccionar y, luego, haz clic en el ID de la plantilla que deseas usar.
   4. En la página que se abre, copia el nombre completo del recurso de la plantilla. El nombre completo del recurso tiene el siguiente formato:

      projects/PROJECT_ID/locations/REGION/inspectTemplates/TEMPLATE_ID

   5. En la página Crear configuración de análisis, en el campo Nombre de la plantilla, pega el nombre completo del recurso de la plantilla.
3. Para agregar una plantilla de inspección para otra región, haz clic en Agregar plantilla de inspección y, luego, ingresa el nombre completo del recurso de la plantilla. Repite este paso para cada región en la que tengas una plantilla de inspección dedicada.
4. Opcional: Agrega una plantilla de inspección que se almacene en la región global. Sensitive Data Protection usa automáticamente esa plantilla para los datos de las regiones en las que no tienes una plantilla de inspección dedicada.
Precaución: Si no incluyes una plantilla de inspección almacenada en la región de global, Sensitive Data Protection no podrá crear perfiles de datos en las regiones que no tengan una plantilla de inspección dedicada. Para obtener más información, consulta Consideraciones sobre la residencia de datos.

Agregar acciones

En esta sección, se describe cómo especificar las acciones que deseas que realice Sensitive Data Protection después de generar el perfil de una tabla. Estas acciones son útiles si deseas enviar estadísticas recopiladas a partir de los perfiles de datos a otros servicios deGoogle Cloud .

Nota: Para obtener información sobre cómo otros servicios de Google Cloud pueden cobrarte por configurar acciones, consulta Precios de la exportación de perfiles de datos.

Publicar en Security Command Center

Los hallazgos de los perfiles de datos proporcionan contexto cuando clasificas y desarrollas planes de respuesta para tus hallazgos de vulnerabilidades y amenazas en Security Command Center.

Nota: También puedes configurar Security Command Center para priorizar automáticamente los recursos de la función de simulación de ruta de ataque según la sensibilidad calculada de los datos que contienen los recursos. Para obtener más información, consulta Establece valores de prioridad de recursos automáticamente según la sensibilidad de los datos.

Antes de que puedas usar esta acción, Security Command Center debe activarse a nivel de la organización. Activar Security Command Center a nivel de la organización permite el flujo de hallazgos de servicios integrados, como Sensitive Data Protection. Sensitive Data Protection funciona con Security Command Center en todos los niveles de servicio.

Si Security Command Center no está activado a nivel de la organización, los hallazgos de Sensitive Data Protection no aparecerán en Security Command Center. Para obtener más información, consulta Verifica el nivel de activación de Security Command Center.

Para enviar los resultados de tus perfiles de datos a Security Command Center, asegúrate de que la opción Publicar en Security Command Center esté activada.

Para obtener más información, consulta Publica perfiles de datos en Security Command Center.

Guardar copias de los perfiles de datos en BigQuery

Sensitive Data Protection guarda una copia de cada perfil de datos generado en una tabla de BigQuery. Si no proporcionas los detalles de tu tabla preferida, Sensitive Data Protection creará un conjunto de datos y una tabla en el proyecto. De forma predeterminada, el conjunto de datos se llama sensitive_data_protection_discovery y la tabla se llama discovery_profiles.

Importante: La tabla de salida usa DataProfileBigQueryRowSchema como su esquema. Este esquema puede cambiar a medida que Sensitive Data Protection agrega funciones. Asegúrate de que tus flujos de trabajo puedan controlar los cambios de esquema, por ejemplo, ignorando los campos desconocidos.

Esta acción te permite mantener un historial de todos los perfiles que generaste. Este historial puede ser útil para crear informes de auditoría y visualizar perfiles de datos. También puedes cargar esta información en otros sistemas.

Además, esta opción te permite ver todos tus perfiles de datos en una sola vista, sin importar la residencia de tus datos. Aunque también puedes ver los perfiles de datos a través de la consola deGoogle Cloud , la consola muestra los perfiles en una sola región a la vez.

Cuando Sensitive Data Protection no puede generar el perfil de una tabla, vuelve a intentarlo periódicamente. Para minimizar el ruido en los datos exportados, Sensitive Data Protection solo exporta los perfiles generados correctamente a BigQuery.

Sensitive Data Protection comienza a exportar perfiles desde el momento en que activas esta opción. Los perfiles que se generaron antes de que activaras la exportación no se guardan en BigQuery.

Nota: El agente de servicio asociado con tu proyecto debe tener acceso de escritura en la tabla en la que se guardarán las copias del perfil.

Para ver ejemplos de consultas que puedes usar cuando analizas perfiles de datos, consulta Analiza perfiles de datos.

Guardar los hallazgos de descubrimiento de muestra en BigQuery

Sensitive Data Protection puede agregar hallazgos de muestra a una tabla de BigQuery que elijas. Los hallazgos de muestra representan un subconjunto de todos los hallazgos y es posible que no representen todos los infoTypes que se descubrieron. Por lo general, el sistema genera alrededor de 10 muestras de resultados por tabla, pero esta cantidad puede variar para cada ejecución de descubrimiento.

Cada hallazgo incluye la cadena real (también llamada cita) que se detectó y su ubicación exacta.

Esta acción es útil si deseas evaluar si tu configuración de inspección coincide de forma correcta con el tipo de información que deseas marcar como sensible. Con los perfiles de datos y los resultados de muestra exportados, puedes ejecutar consultas para obtener más información sobre los elementos específicos que se marcaron, los infoTypes que coincidieron, sus ubicaciones exactas, sus niveles de sensibilidad calculados y otros detalles.

Importante: La tabla de salida usa DataProfileFinding como su esquema. Este esquema puede cambiar a medida que Sensitive Data Protection agregue funciones. Asegúrate de que tus flujos de trabajo puedan controlar los cambios de esquema, por ejemplo, ignorando los campos desconocidos.

Ejemplo de búsqueda: Muestra ejemplos de hallazgos relacionados con los perfiles de datos de tablas

En este ejemplo, se deben habilitar las opciones Guardar copias de los perfiles de datos en BigQuery y Guardar los hallazgos de descubrimiento de muestra en BigQuery.

En la siguiente consulta, se usa una operación INNER JOIN en la tabla de perfiles de datos exportados y en la tabla de hallazgos de muestra exportados. En la tabla resultante, cada registro muestra la cita del hallazgo, el Infotipo con el que coincidió, el recurso que contiene el hallazgo y el nivel de sensibilidad calculado del recurso.

SELECT
 findings_table.quote,
 findings_table.infotype.name,
 findings_table.location.container_name,
 findings_table.location.data_profile_finding_record_location.field.name AS field_name,
 profiles_table.table_profile.dataset_project_id AS project_id,
 profiles_table.table_profile.dataset_id AS dataset_id,
 profiles_table.table_profile.table_id AS table_id,
 profiles_table.table_profile.sensitivity_score AS table_sensitivity_score
 FROM
 `FINDINGS_TABLE_PROJECT_ID.FINDINGS_TABLE_DATASET_ID.FINDINGS_TABLE_ID_latest_v1` AS findings_table
INNER JOIN
 `PROFILES_TABLE_PROJECT_ID.PROFILES_TABLE_DATASET_ID.PROFILES_TABLE_ID_latest_v1` AS profiles_table
ON
 findings_table.data_profile_resource_name=profiles_table.table_profile.name
 AND findings_table.timestamp.timestamp=profiles_table.table_profile.profile_last_generated.timestamp

Para guardar los hallazgos de muestra en una tabla de BigQuery, sigue estos pasos:

1. Activa Guardar los hallazgos de descubrimiento de muestra en BigQuery.

2. Ingresa los detalles de la tabla de BigQuery en la que deseas guardar los hallazgos de muestra.

   La tabla que especifiques para esta acción debe ser diferente de la tabla que se usa para la acción Guardar copias de los perfiles de datos en BigQuery.

   • En ID del proyecto, ingresa el ID de un proyecto existente al que deseas exportar los hallazgos.

   • En ID de conjunto de datos, ingresa el nombre de un conjunto de datos existente en el proyecto.

   • En ID de tabla, ingresa el nombre de la tabla de BigQuery en la que quieres guardar los hallazgos. Si esta tabla no existe, Sensitive Data Protection la crea automáticamente con el nombre que proporciones.

Nota: El agente de servicio asociado con tu proyecto debe tener acceso de escritura en la tabla.

Para obtener información sobre el contenido de cada hallazgo que se guarda en la tabla de BigQuery, consulta DataProfileFinding.

Adjunta etiquetas a los recursos

Si activas Adjuntar etiquetas a los recursos, se le indica a Sensitive Data Protection que etiquete tus datos de forma automática según el nivel de sensibilidad calculado. En esta sección, primero debes completar las tareas de Controla el acceso de IAM a los recursos en función de la sensibilidad de los datos.

Para etiquetar automáticamente un recurso según su nivel de sensibilidad calculado, sigue estos pasos:

1. Activa la opción Recursos de las etiquetas.

2. Para cada nivel de sensibilidad (alto, moderado, bajo y desconocido), ingresa la ruta del valor de la etiqueta que creaste para el nivel de sensibilidad determinado.

   Si omites un nivel de sensibilidad, no se adjuntará ninguna etiqueta.

3. Para reducir automáticamente el nivel de riesgo de los datos de un recurso cuando la etiqueta de nivel de sensibilidad está presente, selecciona Cuando se aplica una etiqueta a un recurso, reducir el riesgo de los datos de su perfil a BAJO. Esta opción te ayuda a medir la mejora en tu postura de seguridad y privacidad de los datos.

   Importante: Esta opción anula el nivel de riesgo de datos calculado del recurso perfilado.

4. Selecciona una o ambas opciones:

   • Etiquetar un recurso cuando se genera un perfil por primera vez

   • Etiquetar un recurso cuando se actualiza su perfil. Selecciona esta opción si deseas que Sensitive Data Protection anule el valor de la etiqueta de nivel de sensibilidad en las ejecuciones de descubrimiento posteriores. En consecuencia, el acceso de un principal a un recurso cambia automáticamente a medida que aumenta o disminuye el nivel de sensibilidad de los datos calculado para ese recurso.

     No selecciones esta opción si planeas actualizar de forma manual los valores de la etiqueta de nivel de sensibilidad que el servicio de descubrimiento adjuntó a tus recursos. Si seleccionas esta opción, Sensitive Data Protection puede reemplazar tus actualizaciones manuales.

Publicar en Pub/Sub

Activar Publicar en Pub/Sub te permite realizar acciones programáticas en función de los resultados de la generación de perfiles. Puedes usar las notificaciones de Pub/Sub para desarrollar un flujo de trabajo que detecte y corrija los hallazgos con un riesgo o una sensibilidad de datos significativos.

Para enviar notificaciones a un tema de Pub/Sub, sigue estos pasos:

1. Activa Publicar en Pub/Sub.

   Aparecerá una lista de opciones. Cada opción describe un evento que hace que Sensitive Data Protection envíe una notificación a Pub/Sub.

2. Selecciona los eventos que deben activar una notificación de Pub/Sub.

   Si seleccionas Enviar una notificación de Pub/Sub cada vez que se actualiza un perfil, Sensitive Data Protection enviará una notificación cuando haya un cambio en el nivel de sensibilidad, el nivel de riesgo de los datos, los infoTypes detectados, el acceso público y otras métricas importantes del perfil.

3. Para cada evento que selecciones, sigue estos pasos:

   1. Ingresa el nombre del tema. El nombre debe tener el siguiente formato:

      projects/PROJECT_ID/topics/TOPIC_ID
      

      Reemplaza lo siguiente:

      • PROJECT_ID: Es el ID del proyecto asociado al tema de Pub/Sub.
      • TOPIC_ID: Es el ID del tema de Pub/Sub.

   2. Especifica si deseas incluir el perfil de tabla completo en la notificación o solo el nombre completo del recurso de la tabla para la que se creó el perfil.

   3. Establece los niveles mínimos de riesgo y sensibilidad de los datos que se deben cumplir para que Sensitive Data Protection envíe una notificación.

   4. Especifica si se debe cumplir solo una o ambas condiciones de riesgo y sensibilidad de los datos. Por ejemplo, si eliges AND, se deben cumplir las condiciones de riesgo de los datos y de sensibilidad antes de que Sensitive Data Protection envíe una notificación.

Nota: El agente de servicio asociado con tu proyecto debe tener acceso de publicación en el tema de Pub/Sub. Un ejemplo de un rol que tiene acceso de publicación es el rol de publicador de Pub/Sub (roles/pubsub.publisher). Si hay problemas de configuración o permisos con el tema de Pub/Sub, Sensitive Data Protection vuelve a intentar enviar la notificación de Pub/Sub durante un máximo de dos semanas. Después de dos semanas, se descarta la notificación.

Enviar a Knowledge Catalog como aspectos

Esta acción te permite agregar aspectos de Knowledge Catalog a las tablas con perfil según las estadísticas de los perfiles de datos. Esta acción solo se aplica a los perfiles nuevos y actualizados. Los perfiles existentes que no se actualicen no se enviarán a Knowledge Catalog.

Cuando habilitas esta acción, Sensitive Data Protection adjunta el aspecto Sensitive Data Protection profile a la entrada de Knowledge Catalog para cada tabla nueva o actualizada de la que creas un perfil. Los aspectos generados contienen estadísticas recopiladas a partir de los perfiles de datos. Luego, puedes buscar en tu organización y proyectos entradas con valores de aspecto Sensitive Data Protection profile específicos.

Para enviar los perfiles de datos a Knowledge Catalog, asegúrate de que la opción Enviar a Dataplex Catalog como aspectos esté activada.

Para obtener más información, consulta Agrega aspectos de Knowledge Catalog según las estadísticas de los perfiles de datos.

Establece la ubicación en la que se almacenará la configuración

Haz clic en la lista Ubicación del recurso y selecciona la región en la que deseas almacenar esta configuración de análisis. Todos los parámetros de configuración de análisis que crees más adelante también se almacenarán en esta ubicación.

La ubicación que elijas para almacenar la configuración de análisis no afecta los datos que se analizarán. Tus datos se analizan en la misma región en la que se almacenan. Para obtener más información, consulta Consideraciones sobre la residencia de datos.

Nota: Si ya tienes una configuración de análisis existente, no puedes cambiar el valor establecido en este campo. Todas las configuraciones de análisis se almacenan en la misma ubicación. Si quieres cambiar la ubicación de todas tus configuraciones de análisis, debes borrarlas, volver a crearlas y almacenarlas en la nueva ubicación.

Revisa y crea

1. Si quieres asegurarte de que la generación de perfiles no comience automáticamente después de crear la configuración de análisis, selecciona Crear análisis en modo de pausa.

   Esta opción es útil en los siguientes casos:

   • Optaste por guardar los perfiles de datos en BigQuery y quieres asegurarte de que el agente de servicio tenga acceso de escritura a la tabla de BigQuery en la que se guardarán las copias de los perfiles de datos.
   • Decidiste guardar los hallazgos de descubrimiento de muestra en BigQuery y quieres asegurarte de que el agente de servicio tenga acceso de escritura a la tabla de BigQuery en la que se guardarán los hallazgos de muestra.
   • Configuraste las notificaciones de Pub/Sub y quieres otorgar acceso de publicación al agente de servicio.
   • Habilitaste la acción Attach tags to resources y debes otorgar acceso al agente de servicio a la etiqueta de nivel de sensibilidad.
2. Revisa tu configuración y haz clic en Crear.

   Sensitive Data Protection crea la configuración de análisis y la agrega a la lista de parámetros de configuración de análisis de descubrimiento.

Para ver o administrar tus parámetros de configuración de análisis, consulta Administra los parámetros de configuración de análisis.

Sensitive Data Protection comenzará a identificar tus instancias de Cloud SQL y a crear una conexión predeterminada para cada instancia. Según la cantidad de instancias en el alcance del descubrimiento, este proceso puede tardar unas horas. Puedes salir de la consola de Google Cloud y verificar tus conexiones más tarde.

Cuando las conexiones predeterminadas estén listas, actualízalas con las credenciales de usuario de la base de datos que deseas que Sensitive Data Protection use para generar perfiles de tus instancias de Cloud SQL. Para obtener más información, consulta Administra conexiones para usarlas con el descubrimiento.

Nota: Mejoramos periódicamente nuestro algoritmo de detección. Si descubrimos que tu organización o proyecto se beneficiaría de una nueva mejora que implementamos, podríamos volver a generar automáticamente tus perfiles de datos y volver a realizar las acciones en la configuración de análisis. No se generarán cargos de Sensitive Data Protection para esa operación. Sin embargo, como volveremos a realizar las acciones, podrían generarse cargos por el uso de otros servicios de Google Cloud . Por ejemplo, si configuraste Sensitive Data Protection para guardar los perfiles de datos en BigQuery, podrían generarse cargos de BigQuery.

¿Qué sigue?

Obtén más información para actualizar tus conexiones.