יצירת פרופיל של נתונים ב-Cloud Storage בפרויקט יחיד

בדף הזה מוסבר איך להגדיר גילוי נתונים ב-Cloud Storage ברמת הפרויקט. כדי ליצור פרופיל של ארגון או תיקייה, קראו את המאמר יצירת פרופיל של נתוני Cloud Storage בארגון או בתיקייה.

מידע נוסף על שירות הזיהוי זמין במאמר פרופילי נתונים.

לפני שמתחילים

1. אם יש לכם מינוי ל-Discovery ברמת הארגון, כולל מינוי דרך Security Command Center, חשוב לדעת שההגדרה הזו של Discovery ברמת הפרויקט לא כלולה במינוי, והחיוב עליה מתבצע בנפרד. מומלץ להשתמש בהגדרת גילוי ברמת הארגון כדי ליצור פרופיל של הפרויקט. מידע נוסף זמין במאמר יצירת פרופיל של פרויקטים או נכסי נתונים נבחרים בארגון או בתיקייה.

2. מוודאים שה-Cloud Data Loss Prevention API מופעל בפרויקט:

   נכנסים לחשבון Google Cloud . אנחנו ממליצים למשתמשים חדשים ב- Google Cloud ליצור חשבון כדי שיוכלו להעריך את הביצועים של המוצרים שלנו בתרחישים מהעולם האמיתי. לקוחות חדשים מקבלים בחינם גם קרדיט בשווי 300$ להרצה, לבדיקה ולפריסה של עומסי העבודה.

   In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Roles required to select or create a project

   • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
   • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

   Verify that billing is enabled for your Google Cloud project.

   Enable the required API, if it is not already enabled.

   Roles required to enable APIs

   To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

   Enable the API

   In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Roles required to select or create a project

   • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
   • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

   Verify that billing is enabled for your Google Cloud project.

   Enable the required API, if it is not already enabled.

   Roles required to enable APIs

   To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

   Enable the API

3. מוודאים שיש לכם את הרשאות ה-IAM שנדרשות כדי להגדיר פרופילי נתונים ברמת הפרויקט.

4. צריך ליצור תבנית בדיקה בכל אזור שבו יש נתונים שרוצים ליצור להם פרופיל. אם רוצים להשתמש בתבנית אחת לכמה אזורים, אפשר להשתמש בתבנית שמאוחסנת באזור global. אם מדיניות הארגון מונעת מכם ליצור תבנית בדיקה באזור global, אתם צריכים להגדיר תבנית בדיקה ייעודית לכל אזור. מידע נוסף מופיע במאמר שיקולים לגבי מיקום אחסון הנתונים.

   במשימה הזו אפשר ליצור תבנית בדיקה רק באזור global. אם אתם צריכים תבניות בדיקה ייעודיות לאזור אחד או יותר, אתם צריכים ליצור את התבניות האלה לפני ביצוע המשימה הזו.

5. אתם יכולים להגדיר את Sensitive Data Protection כך שישלח התראות ל-Pub/Sub כשאירועים מסוימים מתרחשים, למשל כש-Sensitive Data Protection יוצר פרופיל לקטגוריה חדשה. כדי להשתמש בתכונה הזו, קודם צריך ליצור נושא Pub/Sub.

6. אתם יכולים להגדיר ש-Sensitive Data Protection יצרף אוטומטית תגים למשאבים. התכונה הזו מאפשרת להעניק גישה למשאבים האלה באופן מותנה, על סמך רמות הרגישות המחושבות שלהם. כדי להשתמש בתכונה הזו, צריך קודם להשלים את המשימות שמתוארות במאמר שליטה בגישת IAM למשאבים על סמך רגישות הנתונים.

יצירת הגדרות סריקה

1. עוברים לדף יצירת הגדרת סריקה.

   כניסה לדף Create scan configuration

2. עוברים לפרויקט. בסרגל הכלים, לוחצים על בורר הפרויקטים ובוחרים את הפרויקט.

בקטעים הבאים מוסבר בהרחבה על השלבים בדף יצירת הגדרת סריקה. בסיום כל קטע, לוחצים על המשך.

בוחרים סוג גילוי.

לוחצים על Cloud Storage.

בחירת היקף הרשאות

מבצעים אחת מהפעולות הבאות:

• אם רוצים לסרוק קטגוריה אחת, בוחרים באפשרות סריקת קטגוריה אחת.

  לכל מאגר יכולה להיות רק הגדרה אחת של סריקה של משאב יחיד. מידע נוסף מופיע במאמר יצירת פרופיל של מקור נתונים יחיד.

  ממלאים את פרטי הקטגוריה שרוצים ליצור לה פרופיל.

• כדי לבצע פרופיילינג רגיל ברמת הפרויקט, לוחצים על Scan selected project.

ניהול לוחות זמנים

אם תדירות יצירת הפרופילים שמוגדרת כברירת מחדל מתאימה לצרכים שלכם, אתם יכולים לדלג על החלק הזה בדף Create scan configuration.

מגדירים את הקטע הזה מהסיבות הבאות:

• כדי לבצע התאמות מדויקות בתדירות יצירת הפרופילים של כל הנתונים או של קבוצות משנה מסוימות של הנתונים.
• כדי לציין את הקטגוריות שאתם לא רוצים ליצור להן פרופיל.
• כדי לציין את הדליים שלא רוצים ליצור להם פרופיל יותר מפעם אחת.

כדי לבצע שינויים מדויקים בתדירות יצירת הפרופילים, פועלים לפי השלבים הבאים:

1. לוחצים על הוספת לוח זמנים.

2. מציינים אם שירות הגילוי צריך ליצור פרופיל לקטגוריות שבחרתם או להחריג אותן מיצירת פרופיל.

   • אם אתם לא רוצים שהמערכת תיצור פרופיל של הדליים שתואמים למסננים, משביתים את האפשרות יצירת פרופיל של הנתונים האלה.

   • אם רוצים שה-buckets שתואמים למסננים ולתנאים ינותחו לפחות פעם אחת, משאירים את האפשרות Do profile this data (ניתוח הנתונים האלה) מופעלת.

3. בקטע Filters, מוסיפים ביטויים רגולריים ותגים כדי לבחור את הקטגוריות שרוצים לכלול בתזמון. כדי שקטגוריה תיכלל בלוח הזמנים, היא צריכה לעמוד בדרישות הבאות:

   • אם מוסיפים מסננים של ביטויים רגולריים, הקטגוריה צריכה להתאים לפחות לאחד מהביטויים הרגולריים שצוינו.
   • אם מוסיפים מסנני תגים, לקטגוריה חייבים להיות כל התגים שציינתם.

   לדוגמה, נניח שהוספתם שני מסנני ביטויים רגולריים ושלושה מסנני תגים ללוח זמנים. כדי שקטגוריה תיכלל בהיקף של התזמון הזה, היא צריכה להתאים לפחות לאחד ממסנני הביטויים הרגולריים ולכל מסנני התגים.

   כדי להוסיף מסננים:

   1. כדי להוסיף מסנן של ביטוי רגולרי, צריך לציין לפחות אחד מהפרטים הבאים:

      • מזהה פרויקט או ביטוי רגולרי שמציין פרויקט אחד או יותר
      • שם של קטגוריה או ביטוי רגולרי שמציין קטגוריה אחת או יותר

      הביטויים הרגולריים צריכים להיות בהתאם לתחביר RE2.

      כדי להוסיף עוד מסננים של ביטויים רגולריים, לוחצים על הוספת מסנן וחוזרים על השלב הזה.

   2. כדי להוסיף סינון לפי תגים, בוחרים באפשרות סינון לפי תגים. מציינים תג אחד או יותר שכבר קיימים ורוצים לכלול בהיקף של התזמון.

4. לוחצים על תדירות.

5. בקטע Frequency, מציינים אם שירות הגילוי צריך ליצור פרופיל מחדש לנתונים, ואילו אירועים צריכים להפעיל את הפעולה הזו. מידע נוסף זמין במאמר תדירות היצירה של פרופילי נתונים.

   1. אם בחרתם באפשרות On a schedule, ציינו באיזו תדירות אתם רוצים ליצור פרופיל מחדש לקטגוריות. הפרופילים של הדליים נוצרים מחדש בלי קשר לשינויים שבוצעו בהם.
   2. בקטע When inspect template changes (כשבודקים שינויים בתבנית), מציינים אם רוצים שהנתונים ינותחו מחדש כשמעדכנים את תבנית הבדיקה המשויכת, ואם כן, באיזו תדירות.
      הערה: אתם מציינים את תבניות הבדיקה שבהן אתם רוצים להשתמש בשלב בחירת תבנית בדיקה בדף הזה.

      שינוי בתבנית בדיקה מזוהה באחד מהמקרים הבאים:

      • השם של תבנית הבדיקה משתנה בהגדרת הסריקה.
      • התבנית updateTime של תבנית בדיקה משתנה.

   לדוגמה, אם הגדרתם תבנית בדיקה לאזור us-west1 ועדכנתם את תבנית הבדיקה הזו, רק הנתונים באזור us-west1 יוגדרו מחדש.

6. אופציונלי: לוחצים על תנאים.

   בקטע Conditions, מציינים את התנאים שצריכים להתקיים לגבי הדליים שהוגדרו במסננים לפני ש-Sensitive Data Protection יסווגו אותם.

   אם צריך, מגדירים את הפרטים הבאים:

   • תנאים מינימליים: אם רוצים לדחות את יצירת הפרופיל של מאגר עד שהוא יגיע לגיל מסוים, מפעילים את האפשרות הזו. אחר כך מזינים את משך הזמן המינימלי.

   • תנאים של מאפייני קטגוריה: כברירת מחדל, Sensitive Data Protection לא סורק קטגוריות שמופעל בהן Autoclass. כדי לסרוק את הקטגוריות האלה, לוחצים על סריקת קטגוריות עם Autoclass מופעל.

     זהירות: כשסורקים אובייקטים שמופעל בהם סיווג אוטומטי והם נמצאים בסוגי אחסון נתונים בשימוש נדיר (cold storage), הם עוברים לסוג האחסון Standard Storage.

   • תנאים של מאפייני אובייקט: כברירת מחדל, Sensitive Data Protection סורק רק אובייקטים שנמצאים בסוג האחסון Standard Storage. אם רוצים לסרוק אובייקטים בסוגי אחסון אחרים, בוחרים את סוגי האחסון האלה בנפרד או לוחצים על Scan all objects regardless of the attribute.

   • תנאי זמן: אם אתם לא רוצים ליצור פרופיל לקטגוריות ישנות, הפעילו את האפשרות הזו. לאחר מכן, משתמשים בחלונית לבחירת תאריך כדי לבחור תאריך ושעה. כל דלי שנוצר בתאריך ובשעה שנבחרו או לפני כן לא ייכלל בפרופיל.

   תנאים לדוגמה

   נניח שהגדרתם את הדברים הבאים:

   • תנאי מינימום

     • משך הזמן המינימלי: 24 שעות

   • תנאים של מאפייני קטגוריות

     • לא נבחרו קבוצות

   • תנאים של מאפייני אובייקטים

     • סריקת אובייקטים עם Standard Storage
     • סריקת אובייקטים עם סוג האחסון Nearline Storage

   • תנאי זמן

     • חותמת זמן: 05/4/22, 23:59

   במקרה כזה, Sensitive Data Protection לא יכלול אף דלי שנוצר בתאריך 4 במאי 2022 בשעה 23:59 או לפני כן. מבין הקטגוריות שנוצרו אחרי התאריך והשעה האלה, Sensitive Data Protection יוצר פרופילים רק לקטגוריות שנוצרו לפני 24 שעות לפחות, ושהסיווג האוטומטי מושבת בהן. בקטגוריות האלה, Sensitive Data Protection יוצר פרופילים רק לאובייקטים שנמצאים בסוגי האחסון Standard ו-Nearline Storage.

7. לוחצים על סיום.

8. אופציונלי: כדי להוסיף עוד לוחות זמנים, לוחצים על Add schedule וחוזרים על השלבים הקודמים.

9. כדי לציין את סדר העדיפויות בין לוחות הזמנים, משנים את הסדר שלהם באמצעות החיצים למעלה ו- למטה.

   סדר לוחות הזמנים קובע איך לפתור התנגשויות בין לוחות זמנים. אם דלי תואם למסננים של שני לוחות זמנים שונים, התדירות שבה יתבצע פרופיל הדלי תהיה לפי לוח הזמנים שמופיע גבוה יותר ברשימת לוחות הזמנים.

   הערה: אם מצב התמחור של הסריקה הוא מצב מינוי, קצב יצירת הפרופילים של הנתונים ב-Sensitive Data Protection מושפע מהקיבולת שרכשתם. כדי לקבוע את קיבולת הפרופיילינג היומית, קראו את המאמר מעקב אחרי הניצול. אם הקצאת הקיבולת נמוכה מדי, יכול להיות שהמערכת לא תפעל לפי תדירויות הפרופיילינג שהגדרתם בלוחות הזמנים. אם יש נתונים שהצטברו בתור לעיבוד, סדר התזמון לא קובע את הסדר שבו Sensitive Data Protection יוצר פרופילים של הנתונים שהצטברו בתור. במקום זאת, לכל מקורות הנתונים בהיקף מוקצה משבצת בתור באופן אקראי.

10. אופציונלי: עורכים או משביתים את לוח הזמנים הכללי.

    לוח הזמנים האחרון ברשימה הוא לוח הזמנים הכולל. התזמון הזה חל על הקטגוריות בהיקף שבחרתם שלא תואמות לאף אחד מהתזמונים שיצרתם. לוח הזמנים הכולל פועל לפי תדירות ברירת המחדל של המערכת ליצירת פרופילים.

    • כדי לשנות את לוח הזמנים של כתובת ה-catch-all, לוחצים על עריכת לוח הזמנים ומשנים את ההגדרות לפי הצורך.
    • כדי למנוע מ-Sensitive Data Protection ליצור פרופיל של משאב כלשהו שכלול בתזמון הכולל, משביתים את האפשרות יצירת פרופיל למשאבים שלא תואמים לאף תזמון בהתאמה אישית.

בחירת תבנית בדיקה

בהתאם לאופן שבו אתם רוצים לספק הגדרת בדיקה, בחרו אחת מהאפשרויות הבאות. לא משנה באיזו אפשרות תבחרו, Sensitive Data Protection סורק את הנתונים באזור שבו הם מאוחסנים. כלומר, הנתונים לא יוצאים מהאזור המקורי שלהם.

אפשרות 1: יצירת תבנית בדיקה

בוחרים באפשרות הזו אם רוצים ליצור תבנית חדשה לבדיקה באזור global.

1. לוחצים על יצירת תבנית בדיקה חדשה.

2. אופציונלי: כדי לשנות את ברירת המחדל של סוגי המידע, לוחצים על ניהול סוגי מידע.

   במאמר ניהול של טיפוסי מידע באמצעות מסוףGoogle Cloud מוסבר איך לנהל טיפוסי מידע מובנים ובהתאמה אישית.

   כדי להמשיך, צריך לבחור לפחות סוג מידע אחד.

3. אופציונלי: מגדירים את תבנית הבדיקה על ידי הוספת קבוצות של כללים והגדרת סף סמך. מידע נוסף זמין במאמר הגדרת זיהוי.

כשההגדרה של הסריקה נוצרת ב-Sensitive Data Protection, תבנית הבדיקה החדשה נשמרת באזור global.

אפשרות 2: שימוש בתבנית בדיקה קיימת

כדאי לבחור באפשרות הזו אם יש לכם תבניות בדיקה קיימות שאתם רוצים להשתמש בהן.

1. לוחצים על בחירת תבנית בדיקה קיימת.
2. מזינים את שם המשאב המלא של תבנית הבדיקה שבה רוצים להשתמש. השדה אזור מאוכלס אוטומטית בשם האזור שבו מאוחסנת תבנית הבדיקה.

   תבנית הבדיקה שאתם מזינים צריכה להיות באותו אזור שבו נמצאים הנתונים שאתם רוצים ליצור להם פרופיל.

   כדי לכבד את מיקום אחסון הנתונים, Sensitive Data Protection לא משתמש בתבנית בדיקה מחוץ לאזור שבו התבנית מאוחסנת.

   כדי למצוא את שם המשאב המלא של תבנית בדיקה:

   1. עוברים לרשימת תבניות הבדיקה. הדף הזה נפתח בכרטיסייה נפרדת.

      מעבר לתבניות בדיקה

   2. בוחרים את הפרויקט שמכיל את תבנית הבדיקה שרוצים להשתמש בה.
   3. לוחצים על Configuration > Templates > Inspect (הגדרה > תבניות > בדיקה), ואז לוחצים על מזהה התבנית שרוצים להשתמש בה.
   4. בדף שנפתח, מעתיקים את שם המשאב המלא של התבנית. הפורמט של השם המלא של המשאב הוא:

      projects/PROJECT_ID/locations/REGION/inspectTemplates/TEMPLATE_ID

   5. בדף Create scan configuration, בשדה Template name מדביקים את שם המשאב המלא של התבנית.
3. כדי להוסיף תבנית בדיקה לאזור אחר, לוחצים על הוספת תבנית בדיקה ומזינים את שם המשאב המלא של התבנית. חוזרים על הפעולה הזו לכל אזור שיש בו תבנית בדיקה ייעודית.
4. אופציונלי: מוסיפים תבנית בדיקה שמאוחסנת באזור global. ‫Sensitive Data Protection משתמשת אוטומטית בתבנית הזו לנתונים באזורים שבהם אין לכם תבנית בדיקה ייעודית.
זהירות: אם לא תכללו תבנית בדיקה שמאוחסנת באזור global, לא תוכלו ליצור ב-Sensitive Data Protection פרופיל של נתונים באזורים שאין בהם תבנית בדיקה ייעודית. מידע נוסף זמין במאמר שיקולים לגבי מיקום אחסון הנתונים.

הוספת פעולות

בקטע הזה מוסבר איך לציין את הפעולות שאתם רוצים ש-Sensitive Data Protection יבצע אחרי יצירת פרופיל של קטגוריה. הפעולות האלה שימושיות אם רוצים לשלוח תובנות שנאספו מפרופילי נתונים לשירותים אחרים שלGoogle Cloud .

הערה: למידע על חיובים אפשריים על הגדרת פעולות בשירותים אחרים של Google Cloud Google, אפשר לעיין במאמר תמחור לייצוא פרופילים של נתונים.

פרסום ב-Security Command Center

הממצאים מפרופילי הנתונים מספקים הקשר כשאתם ממיינים ומפתחים תוכניות תגובה לממצאי הפגיעויות והאיומים ב-Security Command Center.

הערה: אתם יכולים גם להגדיר את Security Command Center כך שייתן עדיפות אוטומטית למשאבים בתכונה "הדמיה של מסלול התקפה", בהתאם לרגישות המחושבת של הנתונים שהמשאבים מכילים. מידע נוסף זמין במאמר הגדרה אוטומטית של ערכי העדיפות של המשאבים לפי רגישות הנתונים.

כדי להשתמש בפעולה הזו, צריך להפעיל את Security Command Center ברמת הארגון. כשמפעילים את Security Command Center ברמת הארגון, הממצאים משירותים משולבים כמו Sensitive Data Protection מתחילים לזרום. ‫Sensitive Data Protection פועל עם Security Command Center בכל רמות השירות.

אם Security Command Center לא מופעל ברמת הארגון, הממצאים של Sensitive Data Protection לא יופיעו ב-Security Command Center. מידע נוסף זמין במאמר בדיקת רמת ההפעלה של Security Command Center.

כדי לשלוח את התוצאות של פרופילי הנתונים אל Security Command Center, מוודאים שהאפשרות פרסום ב-Security Command Center מופעלת.

מידע נוסף זמין במאמר פרסום פרופילי נתונים ב-Security Command Center.

שמירת עותקים של פרופילי נתונים ב-BigQuery

‫Sensitive Data Protection שומר עותק של כל פרופיל נתונים שנוצר בטבלה ב-BigQuery. אם לא תספקו את פרטי הטבלה המועדפת, Sensitive Data Protection ייצור קבוצת נתונים וטבלה בפרויקט. כברירת מחדל, שם מערך הנתונים הוא sensitive_data_protection_discovery ושם הטבלה הוא discovery_profiles.

חשוב: טבלת הפלט משתמשת ב-DataProfileBigQueryRowSchema כסכימה שלה. הסכימה הזו יכולה להשתנות כשמוסיפים תכונות ל-Sensitive Data Protection. חשוב לוודא שתהליכי העבודה יכולים להתמודד עם שינויים בסכימה, למשל על ידי התעלמות משדות לא מוכרים.

הפעולה הזו מאפשרת לכם לשמור היסטוריה של כל הפרופילים שיצרתם. ההיסטוריה הזו יכולה להיות שימושית ליצירת דוחות ביקורת ולהמחשה חזותית של פרופילי נתונים. אפשר גם לטעון את המידע הזה למערכות אחרות.

בנוסף, האפשרות הזו מאפשרת לכם לראות את כל פרופילי הנתונים בתצוגה אחת, בלי קשר למיקום אחסון הנתונים שלכם. אפשר גם לראות את פרופילי הנתונים דרך מסוףGoogle Cloud , אבל במסוף מוצגים הפרופילים רק באזור אחד בכל פעם.

אם התהליך של Sensitive Data Protection ליצירת פרופיל של קטגוריה נכשל, המערכת מנסה שוב מדי פעם. כדי לצמצם את הרעש בנתונים שמיוצאים, Sensitive Data Protection מייצא ל-BigQuery רק את הפרופילים שנוצרו בהצלחה.

הייצוא של פרופילים ב-Sensitive Data Protection מתחיל ברגע שמפעילים את האפשרות הזו. פרופילים שנוצרו לפני שהפעלתם את הייצוא לא נשמרים ב-BigQuery.

הערה: לסוכן השירות שמשויך לפרויקט צריכה להיות גישת כתיבה בטבלה שבה יישמרו העותקים של הפרופילים.

לדוגמה, שאילתות שאפשר להשתמש בהן כשמנתחים פרופילי נתונים מופיעות במאמר ניתוח פרופילי נתונים.

שמירת ממצאים לדוגמה של נתונים שזוהו ב-BigQuery

‫Sensitive Data Protection יכול להוסיף ממצאים לדוגמה לטבלה ב-BigQuery שתבחרו. הממצאים לדוגמה מייצגים קבוצת משנה של כל הממצאים, ויכול להיות שהם לא מייצגים את כל סוגי המידע שנמצאו. בדרך כלל המערכת יוצרת כ-10 ממצאים לדוגמה לכל קטגוריה, אבל המספר הזה יכול להשתנות בכל הרצה של סריקה.

כל ממצא כולל את המחרוזת עצמה (שנקראת גם ציטוט) שזוהתה ואת המיקום המדויק שלה.

הפעולה הזו שימושית אם רוצים להעריך אם הגדרת הבדיקה מתאימה לסוג המידע שרוצים לסמן כרגיש. באמצעות פרופילי הנתונים המיוצאים וממצאי הדגימה המיוצאים, אפשר להריץ שאילתות כדי לקבל מידע נוסף על הפריטים הספציפיים שסומנו, על סוגי המידע שהם תואמים להם, על המיקומים המדויקים שלהם, על רמות הרגישות המחושבות שלהם ועל פרטים נוספים.

חשוב: טבלת הפלט משתמשת בסכימה DataProfileFinding. הסכימה הזו יכולה להשתנות כשמוסיפים תכונות ל-Sensitive Data Protection. חשוב לוודא שתהליכי העבודה שלכם יכולים להתמודד עם שינויים בסכימה, למשל על ידי התעלמות משדות לא ידועים.

שאילתה לדוגמה: הצגת ממצאים לדוגמה שקשורים לפרופילי נתונים של מאגרי קבצים

כדי להשתמש בדוגמה הזו, צריך להפעיל את האפשרויות שמירת עותקים של פרופיל הנתונים ב-BigQuery ושמירת ממצאי גילוי לדוגמה ב-BigQuery.

בשאילתה הבאה נעשה שימוש בפעולת INNER JOIN גם בטבלה של פרופילי הנתונים שיוצאו וגם בטבלה של הממצאים לדוגמה שיוצאו. בטבלה שנוצרת, כל רשומה מציגה את הציטוט של הממצא, את ה-infoType שתואם לו, את המשאב שמכיל את הממצא ואת רמת הרגישות המחושבת של המשאב.

SELECT
 findings_table.quote,
 findings_table.infotype.name,
 findings_table.location.container_name,
 profiles_table.file_store_profile.file_store_path as bucket_name,
 profiles_table.file_store_profile.sensitivity_score as bucket_sensitivity_score
FROM
 `FINDINGS_TABLE_PROJECT_ID.FINDINGS_TABLE_DATASET_ID.FINDINGS_TABLE_ID_latest_v1` AS findings_table
INNER JOIN
 `PROFILES_TABLE_PROJECT_ID.PROFILES_TABLE_DATASET_ID.PROFILES_TABLE_ID_latest_v1` AS profiles_table
ON
 findings_table.data_profile_resource_name=profiles_table.file_store_profile.name
 AND findings_table.timestamp.timestamp=profiles_table.file_store_profile.profile_last_generated.timestamp

כדי לשמור ממצאים לדוגמה בטבלה ב-BigQuery:

1. מפעילים את האפשרות שמירת ממצאי גילוי לדוגמה ב-BigQuery.

2. מזינים את הפרטים של הטבלה ב-BigQuery שבה רוצים לשמור את הממצאים לדוגמה.

   הטבלה שאתם מציינים לפעולה הזו צריכה להיות שונה מהטבלה שמשמשת לפעולה שמירת עותקים של פרופילי נתונים ב-BigQuery.

   • בקטע מזהה פרויקט, מזינים את המזהה של פרויקט קיים שאליו רוצים לייצא את הממצאים.

   • בשדה Dataset ID מזינים את השם של מערך נתונים קיים בפרויקט.

   • בשדה מזהה הטבלה, מזינים את השם של הטבלה ב-BigQuery שבה רוצים לשמור את הממצאים. אם הטבלה הזו לא קיימת, Sensitive Data Protection יוצר אותה באופן אוטומטי בשם שאתם מספקים.

הערה: לסוכן השירות שמשויך לפרויקט צריכה להיות גישת כתיבה בטבלה.

למידע על התוכן של כל ממצא שנשמר בטבלה ב-BigQuery, קראו את המאמר DataProfileFinding.

צירוף תגים למשאבים

הפעלת האפשרות צירוף תגים למשאבים מורה לשירות Sensitive Data Protection לתייג אוטומטית את הנתונים בהתאם לרמת הרגישות המחושבת שלהם. כדי להשלים את הפעולות שמתוארות בקטע הזה, צריך קודם להשלים את הפעולות שמתוארות במאמר שליטה בגישת IAM למשאבים על סמך רגישות הנתונים.

כדי לתייג משאב באופן אוטומטי בהתאם לרמת הרגישות המחושבת שלו, פועלים לפי השלבים הבאים:

1. מפעילים את האפשרות תיוג משאבים.

2. לכל רמת רגישות (גבוהה, בינונית, נמוכה ולא ידועה), מזינים את הנתיב של ערך התג שיצרתם לרמת הרגישות הזו.

   אם מדלגים על רמת רגישות, לא מצורף תג לרמה הזו.

3. כדי להוריד באופן אוטומטי את רמת הסיכון של נתונים במשאב כשתג רמת הרגישות קיים, בוחרים באפשרות When a tag is applied to a resource, lower the data risk of its profile to LOW. האפשרות הזו עוזרת לכם למדוד את השיפור ברמת אבטחת המידע והפרטיות שלכם.

   חשוב: האפשרות הזו מבטלת את רמת הסיכון המחושבת של הנתונים במשאב שנוצר לו פרופיל.

4. בוחרים אחת מהאפשרויות הבאות או את שתיהן:

   • תייגו משאב כשאתם יוצרים לו פרופיל בפעם הראשונה.

   • תיוג משאב כשהפרופיל שלו מתעדכן. בוחרים באפשרות הזו אם רוצים ש-Sensitive Data Protection יחליף את הערך של תג רמת הרגישות בהפעלות גילוי עוקבות. כתוצאה מכך, הגישה של חשבון משתמש למשאב משתנה באופן אוטומטי כשרמת רגישות הנתונים המחושבת של אותו משאב עולה או יורדת.

     אל תבחרו באפשרות הזו אם אתם מתכננים לעדכן באופן ידני את ערכי התגים של רמת הרגישות ששירות הגילוי צירף למשאבים שלכם. אם בוחרים באפשרות הזו, יכול להיות ש-Sensitive Data Protection יחליף את העדכונים הידניים.

פרסום ב-Pub/Sub

הפעלת האפשרות פרסום ב-Pub/Sub מאפשרת לכם לבצע פעולות פרוגרמטיות על סמך תוצאות הפרופילים. אתם יכולים להשתמש בהתראות של Pub/Sub כדי לפתח תהליך עבודה לזיהוי ולתיקון של ממצאים עם סיכון משמעותי לנתונים או רגישות משמעותית של נתונים.

כדי לשלוח התראות לנושא Pub/Sub, פועלים לפי השלבים הבאים:

1. מפעילים את האפשרות פרסום ב-Pub/Sub.

   מופיעה רשימת אפשרויות. כל אפשרות מתארת אירוע שגורם ל-Sensitive Data Protection לשלוח התראה ל-Pub/Sub.

2. בוחרים את האירועים שיפעילו התראת Pub/Sub.

   אם בוחרים באפשרות Send a Pub/Sub notification each time a profile is updated (שליחת התראה ב-Pub/Sub בכל פעם שפרופיל מתעדכן), Sensitive Data Protection שולחת התראה כשמתרחש שינוי ברמת הרגישות, ברמת הסיכון של הנתונים, בסוגי ה-infoType שזוהו, בגישה הציבורית ובמדדים חשובים אחרים בפרופיל.

3. מבצעים את השלבים הבאים לכל אירוע שבוחרים:

   1. כותבים את שם הנושא. השם צריך להיות בפורמט הבא:

      projects/PROJECT_ID/topics/TOPIC_ID
      

      מחליפים את מה שכתוב בשדות הבאים:

      • ‫PROJECT_ID: מזהה הפרויקט שמשויך לנושא ב-Pub/Sub.
      • ‫TOPIC_ID: המזהה של נושא ה-Pub/Sub.

   2. ציינו אם לכלול בהתראה את הפרופיל המלא של הקטגוריה, או רק את שם המשאב המלא של הקטגוריה שנוצר לה פרופיל.

   3. מגדירים את רמות הסיכון והרגישות המינימליות של הנתונים שצריכות להתקיים כדי ש-Sensitive Data Protection ישלח התראה.

   4. מציינים אם צריך לעמוד רק באחד מהתנאים של רמת הסיכון והרגישות של הנתונים, או בשניהם. לדוגמה, אם בוחרים באפשרות AND, גם התנאים של סיכון הנתונים וגם התנאים של רגישות הנתונים צריכים להתקיים כדי ש-Sensitive Data Protection ישלח התראה.

הערה: לסוכן השירות שמשויך לפרויקט שלכם צריכה להיות גישת פרסום לנושא Pub/Sub. דוגמה לתפקיד עם גישת פרסום הוא התפקיד "פרסום הודעות ב-Pub/Sub"‏ (roles/pubsub.publisher). אם יש בעיות בהגדרות או בהרשאות של נושא Pub/Sub, המערכת של Sensitive Data Protection תנסה לשלוח את ההתראה ב-Pub/Sub במשך שבועיים. אחרי שבועיים, ההתראה נמחקת.

הגדרת מיקומים חלופיים לעיבוד תמונות

באופן כללי, Sensitive Data Protection מעבדת את הנתונים במיקום שבו הם מאוחסנים. עם זאת, אפשר לעבד תמונות רק במספר אזורים או באזור global. אם מגדירים מיקום חלופי, Sensitive Data Protection משתמש במיקום החלופי כדי לעבד תמונות שלא נמצאות במספר אזורים או באזור global. אם מדלגים על הקטע הזה, התמונות האלה לא מעובדות.

כדי להגדיר מיקומים חלופיים לעיבוד תמונות, בוחרים באחת מהאפשרויות הבאות או בשתיהן:

• מעבר לשימוש במספר אזורים: אם אי אפשר לעבד תמונה במיקום המקורי שלה, התמונה מעובדת במספר אזורים שתואמים למיקום המקורי של התמונה. אם למיקום המקורי של התמונה אין אזור במספר אזורים תואם, המערכת מדלגת על התמונה.
• מעבר חזרה לגלובלי: אם אי אפשר לעבד תמונה במיקום המקורי שלה, התמונה מעובדת באזור global.

אם בוחרים את שתי האפשרויות, המערכת של Sensitive Data Protection בוחרת באיזה מיקום להשתמש כמיקום חלופי.

הגדרת מיקום לשמירת ההגדרות האישיות

ברשימה Resource location, בוחרים את האזור שבו רוצים לאחסן את הגדרת הסריקה. כל הגדרות הסריקה שתיצרו בהמשך יאוחסנו גם הן במיקום הזה.

המיקום שבו בוחרים לאחסן את הגדרות הסריקה לא משפיע על הנתונים שייסרקו. הנתונים שלכם נסרקים באותו אזור שבו הם מאוחסנים. מידע נוסף זמין במאמר שיקולים בנוגע למיקום אחסון הנתונים.

הערה: אם כבר יש לכם הגדרת סריקה קיימת, לא תוכלו לשנות את הערך שהוגדר בשדה הזה. כל הגדרות הסריקה נשמרות באותו מיקום. אם רוצים לשנות את המיקום של כל הגדרות הסריקה, צריך למחוק אותן, ליצור אותן מחדש ולאחסן אותן במיקום החדש.

בדיקה ויצירה

1. אם אתם רוצים לוודא שהפרופיילינג לא יתחיל באופן אוטומטי אחרי שתיצרו את הגדרת הסריקה, בחרו באפשרות Create scan in paused mode.

   האפשרות הזו שימושית במקרים הבאים:

   • בחרתם לשמור פרופילי נתונים ב-BigQuery ואתם רוצים לוודא שלסוכן השירות יש גישת כתיבה לטבלה ב-BigQuery שבה יישמרו העותקים של פרופילי הנתונים.
   • בחרתם לשמור ממצאים לדוגמה של סריקה ב-BigQuery, ואתם רוצים לוודא שלסוכן השירות יש גישת כתיבה לטבלה ב-BigQuery שבה יישמרו הממצאים לדוגמה.
   • הגדרתם התראות Pub/Sub ואתם רוצים לתת גישת פרסום לסוכן השירות.
   • הפעלתם את הפעולה צירוף תגים למשאבים ואתם צריכים לתת לסוכן השירות גישה לתג של רמת הרגישות.
2. בודקים את ההגדרות ולוחצים על יצירה.

   ההגדרה של סריקת הגילוי נוצרת ב-Sensitive Data Protection ומתווספת לרשימת ההגדרות של סריקות הגילוי.

כדי לראות או לנהל את הגדרות הסריקה, קראו את המאמר ניהול הגדרות הסריקה.

הערה: אנחנו משפרים את אלגוריתם הזיהוי שלנו באופן קבוע. אם נגלה שהארגון או הפרויקט שלכם יכולים להפיק תועלת משיפור חדש שהטמענו, יכול להיות שניצור מחדש באופן אוטומטי את פרופילי הנתונים ונבצע מחדש את הפעולות בהגדרות הסריקה. לא תחויבו על הפעולה הזו ב-Sensitive Data Protection. עם זאת, מכיוון שנבצע מחדש את הפעולות, יכול להיות שתחויבו על השימוש בשירותים אחרים של Google Cloud . לדוגמה, אם הגדרתם את Sensitive Data Protection לשמירת פרופילי הנתונים ב-BigQuery, יכול להיות שתחויבו על השימוש ב-BigQuery.

המאמרים הבאים

איך מנהלים פרופילים של נתונים

איך מנהלים את הגדרות הסריקה

איך מקבלים ומנתחים הודעות Pub/Sub שפורסמו על ידי הכלי ליצירת פרופילים של נתונים

איך פותרים בעיות בפרופילי נתונים

עיינו במגבלות של יצירת פרופיל נתונים.

בודקים את אשכולות הקבצים שאפשר לסרוק באמצעות מיון מידע אישי רגיש.