Profila i dati BigQuery in un unico progetto

Questa pagina descrive come configurare il rilevamento dei dati di BigQuery a livello di progetto. L'output di questa attività è una configurazione di rilevamento a livello di progetto che, se attiva, indica a Sensitive Data Protection di profilare i dati in base a una pianificazione impostata.

Se vuoi profilare un'organizzazione o una cartella, consulta Profila i dati BigQuery in un'organizzazione o una cartella.

Non utilizzare una configurazione di rilevamento a livello di progetto, perché viene fatturata separatamente.

Per saperne di più sul servizio di discovery, consulta Profili di dati.

Per iniziare a profilare i dati, crea una configurazione di scansione di rilevamento.

Prima di iniziare

1. Se hai un abbonamento per il rilevamento a livello di organizzazione, incluso uno tramite Security Command Center, tieni presente che questa configurazione di rilevamento a livello di progetto non è inclusa nell'abbonamento e viene fatturata separatamente. Ti consigliamo di utilizzare una configurazione di rilevamento a livello di organizzazione per profilare il progetto. Per saperne di più, consulta Profila progetti o asset di dati selezionati in un'organizzazione o una cartella.

2. Assicurati che l'API Cloud Data Loss Prevention sia abilitata nel tuo progetto:

   Accedi al tuo account Google Cloud . Se non conosci Google Cloud, crea un account per valutare le prestazioni dei nostri prodotti in scenari reali. I nuovi clienti ricevono anche 300 $di crediti senza costi per l'esecuzione, il test e il deployment dei workload.

   In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Roles required to select or create a project

   • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
   • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

   Verify that billing is enabled for your Google Cloud project.

   Enable the required API, if it is not already enabled.

   Roles required to enable APIs

   To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

   Enable the API

   In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Roles required to select or create a project

   • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
   • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

   Verify that billing is enabled for your Google Cloud project.

   Enable the required API, if it is not already enabled.

   Roles required to enable APIs

   To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

   Enable the API

3. Verifica di disporre delle autorizzazioni IAM necessarie per configurare i profili dati a livello di progetto.

4. Devi disporre di un template di ispezione in ogni regione in cui sono presenti dati da profilare. Se vuoi utilizzare un singolo template per più regioni, puoi utilizzare un template archiviato nella regione global. Se le policy dell'organizzazione impediscono la creazione di un template di ispezione nella regione global, devi impostare un template di ispezione dedicato per ogni regione. Per saperne di più, consulta Considerazioni sulla residenza dei dati.

   Questa attività ti consente di creare un template di ispezione solo nella regione global. Se hai bisogno di modelli di ispezione dedicati per una o più regioni, devi crearli prima di eseguire questa attività.

5. Puoi configurare Sensitive Data Protection per inviare notifiche a Pub/Sub quando si verificano determinati eventi, ad esempio quando Sensitive Data Protection profila una nuova tabella. Se vuoi utilizzare questa funzionalità, devi prima creare un argomento Pub/Sub.

6. Puoi configurare Sensitive Data Protection in modo che colleghi automaticamente i tag alle tue risorse. Questa funzionalità ti consente di concedere l'accesso condizionale a queste risorse in base ai livelli di sensibilità calcolati. Se vuoi utilizzare questa funzionalità, devi prima completare le attività descritte in Controlla l'accesso IAM alle risorse in base alla sensibilità dei dati.

Creazione di una configurazione di scansione

1. Vai alla pagina Crea configurazione di scansione.

   Vai a Crea configurazione di scansione

2. Vai al progetto. Nella barra degli strumenti, fai clic sul selettore dei progetti e seleziona il tuo progetto.

Le sezioni seguenti forniscono ulteriori informazioni sui passaggi della pagina Crea configurazione di scansione. Al termine di ogni sezione, fai clic su Continua.

Seleziona un tipo di rilevamento

Seleziona BigQuery.

Seleziona ambito

Esegui una delle seguenti operazioni:

• Se vuoi analizzare una singola tabella, seleziona Analizza una tabella.

  Per ogni tabella, puoi avere una sola configurazione di scansione di una singola risorsa. Per saperne di più, consulta Profila una singola risorsa di dati.

  Inserisci i dettagli della tabella di cui vuoi eseguire la profilazione.

• Se vuoi eseguire la profilazione standard a livello di progetto, seleziona Scansiona il progetto selezionato.

Gestisci pianificazioni

Se la frequenza di profilazione predefinita soddisfa le tue esigenze, puoi saltare questa sezione della pagina Crea configurazione di scansione.

Configura questa sezione per i seguenti motivi:

• Per apportare modifiche granulari alla frequenza di profilazione di tutti i dati o di determinati sottoinsiemi di dati.
• Per specificare le tabelle che non vuoi profilare.
• Per specificare le tabelle che non vuoi profilare più di una volta.

Per apportare modifiche granulari alla frequenza di profilazione, segui questi passaggi:

1. Fai clic su Aggiungi pianificazione.

2. Nella sezione Filtri, definisci uno o più filtri che specificano quali tabelle rientrano nell'ambito della pianificazione. Una tabella è considerata nell'ambito della pianificazione se corrisponde ad almeno uno dei filtri definiti.

   Per configurare un filtro, specifica almeno uno dei seguenti elementi:

   • Un ID progetto o un'espressione regolare che specifica uno o più progetti
   • Un ID set di dati o un'espressione regolare che specifica uno o più set di dati
   • Un ID tabella o un'espressione regolare che specifica una o più tabelle

   Le espressioni regolari devono seguire la sintassi RE2.

   Ad esempio, se vuoi che tutte le tabelle di un set di dati siano incluse nel filtro, specifica l'ID del set di dati e lascia vuoti gli altri due campi.

   Per corrispondere a un filtro, una tabella deve soddisfare tutte le espressioni regolari specificate all'interno del filtro.

   Se vuoi aggiungere altri filtri, fai clic su Aggiungi filtro e ripeti questo passaggio.

3. Fai clic su Frequenza.

4. Nella sezione Frequency, specificare se Sensitive Data Protection deve profilare le tabelle definite nei filtri e, in caso affermativo, con quale frequenza:

   • Se non vuoi mai che le tabelle vengano profilate, disattiva l'opzione Profila le tabelle.

   • Se vuoi che le tabelle vengano profilate almeno una volta, lascia attiva l'opzione Profila le tabelle.

     Nei campi successivi di questa sezione, specifica se il sistema deve riprofilare i dati e quali eventi devono attivare un'operazione di riprofilazione. Per saperne di più, consulta Frequenza di generazione dei profili dati.

     1. In In caso di modifiche allo schema, specifica la frequenza con cui Sensitive Data Protection deve verificare se le tabelle selezionate hanno subito modifiche allo schema dopo l'ultima profilazione. Verranno riprofilate solo le tabelle con modifiche allo schema.
     2. In Tipi di modifica allo schema, specifica quali tipi di modifiche allo schema devono attivare un'operazione di riprofilazione. Seleziona una delle seguenti opzioni:
        • Nuove colonne: riprofila le tabelle che hanno acquisito nuove colonne.
        • Colonne rimosse: riprofila le tabelle da cui sono state rimosse le colonne.

        Ad esempio, supponiamo che tu abbia tabelle che acquisiscono nuove colonne ogni giorno e che tu debba profilare i loro contenuti ogni volta. Puoi impostare Quando cambia lo schema su Nuova profilazione ogni giorno e Tipi di modifica dello schema su Nuove colonne.

     3. In Quando la tabella cambia, specifica la frequenza con cui Sensitive Data Protection deve verificare se le tabelle selezionate hanno subito modifiche dopo l'ultima profilazione. Verranno riprofilate solo le tabelle con modifiche. Esempi di modifiche alla tabella sono le eliminazioni di righe e le modifiche allo schema.

        Devi selezionare un valore uguale o meno frequente di quello impostato nel campo Quando lo schema cambia.

     4. In Quando si esaminano le modifiche al template, specifica se vuoi che i dati vengano riprofilati quando il template di ispezione associato viene aggiornato e, in caso affermativo, con quale frequenza.
        Nota: i modelli di ispezione da utilizzare vengono specificati nel passaggio Seleziona il modello di ispezione in questa pagina.

        Viene rilevata una modifica al template di ispezione quando si verifica una delle seguenti condizioni:

        • Il nome di un template di ispezione cambia nella configurazione di scansione.
        • updateTime di un template di ispezione cambia.

     Ad esempio, se imposti un template di ispezione per la regione us-west1 e lo aggiorni, verrà eseguita la nuova profilazione solo dei dati nella regione us-west1.

5. Fai clic su Condizioni.

6. Nella sezione Condizioni, specifica le condizioni che le tabelle, definite nei filtri, devono soddisfare prima che Sensitive Data Protection le profili. Se imposti le condizioni minime e la condizione temporale, Sensitive Data Protection profila solo le tabelle che soddisfano entrambi i tipi di condizioni.

   • Condizioni minime: queste condizioni sono utili se vuoi ritardare la profilazione di una tabella finché non ha un numero sufficiente di righe o finché non raggiunge una determinata età. Attiva le condizioni che vuoi applicare e specifica il numero minimo di righe o la durata.
   • Condizione temporale: questa condizione è utile se non vuoi che le tabelle precedenti vengano mai profilate. Attiva la condizione di tempo e scegli una data e un'ora. Qualsiasi tabella creata entro questa data è esclusa dalla profilazione.

   Condizioni di esempio

   Supponiamo che tu abbia la seguente configurazione:

   • Condizioni minime

     • Numero minimo di righe: 10 righe
     • Durata minima: 24 ore

   • Condizione di giorni e orari

     • Timestamp: 4/5/22, 23:59

   In questo caso, Sensitive Data Protection esclude tutte le tabelle create entro il 4 maggio 2022 alle 23:59. Tra le tabelle create dopo questa data e ora, Sensitive Data Protection profila solo le tabelle che hanno 10 righe o che hanno almeno 24 ore.

7. Nella sezione Tabelle da profilare, seleziona una delle seguenti opzioni, a seconda dei tipi di tabelle che vuoi profilare:

   • Profila tutte le tabelle: seleziona questa opzione se vuoi che Sensitive Data Protection profili tutti i tipi di tabelle che corrispondono ai tuoi filtri e alle tue condizioni.

     Per i tipi di tabella non supportati, Sensitive Data Protection genera profili compilati solo parzialmente. Questi profili mostrano errori che indicano che le tabelle a cui si riferiscono non sono supportate. Seleziona questa opzione se vuoi visualizzare i profili parziali nonostante i messaggi di errore.

     Quando Sensitive Data Protection aggiunge il supporto per un nuovo tipo di tabella, esegue la riprofilazione completa delle tabelle di quel tipo durante l'esecuzione pianificata successiva.

   • Profila le tabelle supportate: seleziona questa opzione se vuoi che Sensitive Data Protection profili solo le tabelle supportate che corrispondono ai filtri e alle condizioni. Non verranno generati profili parziali per le tabelle non supportate.

   • Tipi di tabella specifici per i profili: seleziona questa opzione se vuoi che Sensitive Data Protection profili solo i tipi di tabelle che selezioni. Nell'elenco visualizzato, seleziona uno o più tipi.

     Quando Sensitive Data Protection aggiunge il supporto per un nuovo tipo di tabella, non profila automaticamente le tabelle di quel tipo. Per profilare i tipi di tabella appena supportati, devi modificare la configurazione di scansione e selezionare questi tipi.

   Se non selezioni un'opzione, Sensitive Data Protection profila solo le tabelle BigQuery e mostra errori per le tabelle non supportate.

   I prezzi per la profilazione dei dati variano a seconda dei tipi di tabelle profilate. Per saperne di più, consulta i prezzi della profilazione dei dati.

8. Fai clic su Fine.

9. (Facoltativo) Per aggiungere altre pianificazioni, fai clic su Aggiungi pianificazione e ripeti i passaggi precedenti.

10. Per specificare la precedenza tra le pianificazioni, riordinale utilizzando le frecce su e giù .

    L'ordine delle pianificazioni specifica come vengono risolti i conflitti tra le pianificazioni. Se una tabella corrisponde ai filtri di due pianificazioni diverse, la pianificazione più in alto nell'elenco delle pianificazioni determina la frequenza di profilazione per quella tabella.

    Nota: se la modalità di determinazione del prezzo di discovery è la modalità di abbonamento, la velocità con cui Sensitive Data Protection profila i dati dipende dalla capacità acquistata. Per determinare la capacità di profilazione giornaliera, consulta Monitoraggio dell'utilizzo. Se hai eseguito un provisioning insufficiente della capacità, le frequenze di profilazione impostate nelle pianificazioni potrebbero non essere rispettate. Se esiste un backlog di dati da profilare, l'ordine di pianificazione non determina l'ordine in cui Sensitive Data Protection profila i dati nel backlog. Invece, a tutte le risorse di dati nell'ambito viene assegnato uno slot casuale nella coda.

11. (Facoltativo) Modifica o disattiva la Pianificazione generale.

    L'ultima pianificazione nell'elenco è quella generica. Questa pianificazione copre le tabelle nell'ambito selezionato che non corrispondono a nessuna delle pianificazioni che hai creato. La pianificazione generica segue la frequenza di profilazione predefinita del sistema.

    • Per modificare la programmazione catch-all, fai clic su Modifica programmazione e poi modifica le impostazioni in base alle esigenze.
    • Per impedire a Sensitive Data Protection di profilare qualsiasi risorsa coperta dalla pianificazione generica, disattiva Profila le risorse che non corrispondono a nessuna pianificazione personalizzata.

Seleziona template di ispezione

A seconda di come vuoi fornire una configurazione di ispezione, scegli una delle seguenti opzioni. Indipendentemente dall'opzione scelta, Sensitive Data Protection analizza i dati nella regione in cui sono archiviati. In altre parole, i tuoi dati non lasciano la regione di origine.

Opzione 1: crea un template di ispezione

Scegli questa opzione se vuoi creare un nuovo template di ispezione nella regione global.

1. Fai clic su Crea nuovo modello di ispezione.

2. (Facoltativo) Per modificare la selezione predefinita degli infoType, fai clic su Gestisci infoType.

   Per saperne di più su come gestire gli infoType integrati e personalizzati, consulta Gestisci gli infoType tramite la consoleGoogle Cloud .

   Per continuare, devi selezionare almeno un infoType.

3. (Facoltativo) Configura ulteriormente il template di ispezione aggiungendo set di regole e impostando una soglia di confidenza. Per saperne di più, consulta Configura il rilevamento.

Quando Sensitive Data Protection crea la configurazione di scansione, archivia questo nuovo template di ispezione nella regione global.

Opzione 2: utilizza un template di ispezione esistente

Scegli questa opzione se hai già dei template di ispezione che vuoi utilizzare.

1. Fai clic su Seleziona template di ispezione esistente.
2. Inserisci il nome risorsa completo del template di ispezione che vuoi utilizzare. Il campo Regione viene compilato automaticamente con il nome della regione in cui è archiviato il modello di ispezione.

   Il template di ispezione inserito deve trovarsi nella stessa regione dei dati da profilare.

   Per rispettare la residenza dei dati, Sensitive Data Protection non utilizza un template di ispezione al di fuori della regione in cui è archiviato.

   Per trovare il nome risorsa completo di un template di ispezione, segui questi passaggi:

   1. Vai all'elenco dei modelli di ispezione. Questa pagina si apre in una scheda separata.

      Vai ai modelli di ispezione

   2. Seleziona il progetto che contiene il template di ispezione che vuoi utilizzare.
   3. Seleziona Configurazione > Modelli > Ispeziona, quindi fai clic sull'ID del modello che vuoi utilizzare.
   4. Nella pagina che si apre, copia il nome completo della risorsa del template. Il nome completo della risorsa segue questo formato:

      projects/PROJECT_ID/locations/REGION/inspectTemplates/TEMPLATE_ID

   5. Nella pagina Crea configurazione di scansione, nel campo Nome template, incolla il nome completo della risorsa del template.
3. Per aggiungere un template di ispezione per un'altra regione, fai clic su Aggiungi template di ispezione e inserisci il nome risorsa completo del template. Ripeti questa operazione per ogni regione in cui hai un template di ispezione dedicato.
4. (Facoltativo) Aggiungi un template di ispezione archiviato nella regione global. Sensitive Data Protection utilizza automaticamente questo modello per i dati nelle regioni in cui non hai un modello di ispezione dedicato.
Attenzione: se non includi un template di ispezione archiviato nella regione global, Sensitive Data Protection non può profilare i dati nelle regioni che non hanno un template di ispezione dedicato. Per saperne di più, consulta Considerazioni sulla residenza dei dati.

Aggiungi azioni

Questa sezione descrive come specificare le azioni che vuoi che Sensitive Data Protection esegua dopo la profilazione di una tabella. Queste azioni sono utili se vuoi inviare insight raccolti dai profili dei dati ad altri serviziGoogle Cloud .

Nota: per informazioni su come altri servizi Google Cloud potrebbero addebitarti costi per la configurazione delle azioni, consulta Prezzi per l'esportazione dei profili di dati.

Pubblica su Security Command Center

I risultati dei profili dati forniscono il contesto per valutare e sviluppare piani di risposta per i risultati relativi a vulnerabilità e minacce in Security Command Center.

Nota: puoi anche configurare Security Command Center in modo che assegni automaticamente la priorità alle risorse per la funzionalità di simulazione del percorso di attacco in base alla sensibilità calcolata dei dati contenuti nelle risorse. Per saperne di più, consulta Imposta automaticamente i valori di priorità delle risorse in base alla sensibilità dei dati.

Per poter utilizzare questa azione, Security Command Center deve essere attivato a livello di organizzazione. L'attivazione di Security Command Center a livello di organizzazione abilita il flusso di risultati da servizi integrati come Sensitive Data Protection. Sensitive Data Protection funziona con Security Command Center in tutti i livelli di servizio.

Se Security Command Center non è attivato a livello di organizzazione, i risultati di Sensitive Data Protection non verranno visualizzati in Security Command Center. Per saperne di più, vedi Controlla il livello di attivazione di Security Command Center.

Per inviare i risultati dei profili di dati a Security Command Center, assicurati che l'opzione Pubblica in Security Command Center sia attiva.

Per saperne di più, consulta Pubblica i profili di dati in Security Command Center.

Salva le copie dei profili dati su BigQuery

Sensitive Data Protection salva una copia di ogni profilo dati generato in una tabella BigQuery. Se non fornisci i dettagli della tabella che preferisci, Sensitive Data Protection crea un set di dati e una tabella nel progetto. Per impostazione predefinita, il set di dati è denominato sensitive_data_protection_discovery e la tabella è denominata discovery_profiles.

Importante: la tabella di output utilizza DataProfileBigQueryRowSchema come schema. Questo schema può cambiare man mano che Sensitive Data Protection aggiunge funzionalità. Assicurati che i tuoi flussi di lavoro possano gestire le modifiche allo schema, ad esempio ignorando i campi sconosciuti.

In questo modo, puoi conservare una cronologia di tutti i profili generati. Questa cronologia può essere utile per creare report di controllo e visualizzare i profili dei dati. Puoi anche caricare queste informazioni in altri sistemi.

Inoltre, questa opzione ti consente di visualizzare tutti i profili dati in un'unica visualizzazione, indipendentemente dalla regione in cui si trovano i dati. Sebbene tu possa anche visualizzare i profili di dati tramite la consoleGoogle Cloud , la console mostra i profili in una sola regione alla volta.

Quando Sensitive Data Protection non riesce a profilare una tabella, riprova periodicamente. Per ridurre al minimo il rumore nei dati esportati, Sensitive Data Protection esporta in BigQuery solo i profili generati correttamente.

Sensitive Data Protection inizia a esportare i profili dal momento in cui attivi questa opzione. I profili generati prima dell'attivazione dell'esportazione non vengono salvati in BigQuery.

Nota: l'agente di servizio associato al tuo progetto deve disporre dell'accesso in scrittura alla tabella in cui verranno salvate le copie del profilo.

Per esempi di query che puoi utilizzare durante l'analisi dei profili di dati, consulta Analizza i profili di dati.

Salva i risultati del rilevamento di esempio in BigQuery

Sensitive Data Protection può aggiungere risultati di esempio a una tabella BigQuery di tua scelta. I risultati di esempio rappresentano un sottoinsieme di tutti i risultati e potrebbero non rappresentare tutti gli infoType rilevati. In genere, il sistema genera circa 10 risultati di esempio per tabella, ma questo numero può variare per ogni esecuzione del rilevamento.

Ogni risultato include la stringa effettiva (chiamata anche citazione) rilevata e la sua posizione esatta.

Questa azione è utile se vuoi valutare se la configurazione di ispezione corrisponde correttamente al tipo di informazioni che vuoi contrassegnare come sensibili. Utilizzando i profili dati esportati e i risultati di esempio esportati, puoi eseguire query per ottenere ulteriori informazioni sugli elementi specifici contrassegnati, sugli infoType corrispondenti, sulle loro posizioni esatte, sui livelli di sensibilità calcolati e su altri dettagli.

Importante: la tabella di output utilizza DataProfileFinding come schema. Questo schema può cambiare man mano che Sensitive Data Protection aggiunge funzionalità. Assicurati che i tuoi flussi di lavoro possano gestire le modifiche allo schema, ad esempio ignorando i campi sconosciuti.

Query di esempio: mostra i risultati di esempio relativi ai profili dei dati delle tabelle

Questo esempio richiede l'attivazione di Salva le copie dei profili dati in BigQuery e Salva i risultati del rilevamento di esempio in BigQuery.

La seguente query utilizza un'operazione INNER JOIN sia sulla tabella dei profili dati esportati sia sulla tabella dei risultati di esempio esportati. Nella tabella risultante, ogni record mostra la citazione del risultato, l'infoType corrispondente, la risorsa che contiene il risultato e il livello di sensibilità calcolato della risorsa.

SELECT
 findings_table.quote,
 findings_table.infotype.name,
 findings_table.location.container_name,
 findings_table.location.data_profile_finding_record_location.field.name AS field_name,
 profiles_table.table_profile.dataset_project_id AS project_id,
 profiles_table.table_profile.dataset_id AS dataset_id,
 profiles_table.table_profile.table_id AS table_id,
 profiles_table.table_profile.sensitivity_score AS table_sensitivity_score
 FROM
 `FINDINGS_TABLE_PROJECT_ID.FINDINGS_TABLE_DATASET_ID.FINDINGS_TABLE_ID_latest_v1` AS findings_table
INNER JOIN
 `PROFILES_TABLE_PROJECT_ID.PROFILES_TABLE_DATASET_ID.PROFILES_TABLE_ID_latest_v1` AS profiles_table
ON
 findings_table.data_profile_resource_name=profiles_table.table_profile.name
 AND findings_table.timestamp.timestamp=profiles_table.table_profile.profile_last_generated.timestamp

Per salvare i risultati di esempio in una tabella BigQuery, segui questi passaggi:

1. Attiva Salva i risultati del rilevamento di esempio in BigQuery.

2. Inserisci i dettagli della tabella BigQuery in cui vuoi salvare i risultati di esempio.

   La tabella specificata per questa azione deve essere diversa da quella utilizzata per l'azione Salva le copie dei profili di dati in BigQuery.

   • In ID progetto, inserisci l'ID di un progetto esistente in cui vuoi esportare i risultati.

   • In ID set di dati, inserisci il nome di un set di dati esistente nel progetto.

   • In ID tabella, inserisci il nome della tabella BigQuery in cui vuoi salvare i risultati. Se questa tabella non esiste, Sensitive Data Protection la crea automaticamente utilizzando il nome che fornisci.

Nota: il service agent associato al tuo progetto deve disporre dell'accesso in scrittura alla tabella.

Per informazioni sui contenuti di ogni risultato salvato nella tabella BigQuery, consulta DataProfileFinding.

Collega i tag alle risorse

Se attivi Collega tag alle risorse, Sensitive Data Protection aggiunge automaticamente tag ai tuoi dati in base al livello di sensibilità calcolato. Questa sezione richiede di completare prima le attività descritte in Controlla l'accesso IAM alle risorse in base alla sensibilità dei dati.

Per taggare automaticamente una risorsa in base al livello di sensibilità calcolato, segui questi passaggi:

1. Attiva l'opzione Tagga le risorse.

2. Per ogni livello di sensibilità (alto, moderato, basso e sconosciuto), inserisci il percorso del valore del tag che hai creato per il livello di sensibilità specificato.

   Se salti un livello di sensibilità, non viene associato alcun tag.

3. Per ridurre automaticamente il livello di rischio dei dati di una risorsa quando è presente il tag del livello di sensibilità, seleziona Quando un tag viene applicato a una risorsa, riduci il rischio dei dati del profilo impostandolo su BASSO. Questa opzione ti aiuta a misurare il miglioramento della tua postura di sicurezza e privacy dei dati.

   Importante: questa opzione sostituisce il livello di rischio dei dati calcolato della risorsa profilata.

4. Seleziona una o entrambe le seguenti opzioni:

   • Tagga una risorsa quando viene profilata per la prima volta.

   • Tagga una risorsa quando il suo profilo viene aggiornato. Seleziona questa opzione se vuoi che Sensitive Data Protection sovrascriva il valore del tag del livello di sensibilità nelle esecuzioni di rilevamento successive. Di conseguenza, l'accesso di un'entità a una risorsa cambia automaticamente man mano che il livello di sensibilità dei dati calcolato per quella risorsa aumenta o diminuisce.

     Non selezionare questa opzione se prevedi di aggiornare manualmente i valori dei tag del livello di sensibilità che il servizio di discovery ha associato alle tue risorse. Se selezioni questa opzione, Sensitive Data Protection può sovrascrivere gli aggiornamenti manuali.

Pubblica in Pub/Sub

L'attivazione di Pubblica in Pub/Sub ti consente di intraprendere azioni programmatiche in base ai risultati della profilazione. Puoi utilizzare le notifiche Pub/Sub per sviluppare un flusso di lavoro per rilevare e correggere i risultati con un rischio o una sensibilità dei dati significativi.

Per inviare notifiche a un argomento Pub/Sub, segui questi passaggi:

1. Attiva Pubblica in Pub/Sub.

   Viene visualizzato un elenco di opzioni. Ogni opzione descrive un evento che fa sì che Sensitive Data Protection invii una notifica a Pub/Sub.

2. Seleziona gli eventi che devono attivare una notifica Pub/Sub.

   Se selezioni Invia una notifica Pub/Sub ogni volta che un profilo viene aggiornato, Sensitive Data Protection invia una notifica quando si verifica una modifica del livello di sensibilità, del livello di rischio dei dati, degli infoType rilevati, dell'accesso pubblico e di altre metriche importanti nel profilo.

3. Per ogni evento selezionato:

   1. Inserisci il nome dell'argomento. Il nome deve essere nel seguente formato:

      projects/PROJECT_ID/topics/TOPIC_ID
      

      Sostituisci quanto segue:

      • PROJECT_ID: l'ID del progetto associato all'argomento Pub/Sub.
      • TOPIC_ID: l'ID dell'argomento Pub/Sub.

   2. Specifica se includere nella notifica il profilo completo della tabella o solo il nome completo della risorsa della tabella di cui è stato eseguito il profiling.

   3. Imposta i livelli minimi di rischio e sensibilità dei dati che devono essere soddisfatti affinché Sensitive Data Protection invii una notifica.

   4. Specifica se devono essere soddisfatte una o entrambe le condizioni di rischio e sensibilità dei dati. Ad esempio, se scegli AND, devono essere soddisfatte sia le condizioni di rischio dei dati sia quelle di sensibilità prima che Sensitive Data Protection invii una notifica.

Nota: il service agent associato al tuo progetto deve disporre dell' accesso in pubblicazione all'argomento Pub/Sub. Un esempio di ruolo con accesso in pubblicazione è il ruolo Publisher Pub/Sub (roles/pubsub.publisher). Se si verificano problemi di configurazione o autorizzazione con l'argomento Pub/Sub, Sensitive Data Protection riprova a inviare la notifica Pub/Sub per un massimo di due settimane. Dopo due settimane, la notifica viene ignorata.

Invia a Knowledge Catalog come aspetti

Questa azione ti consente di aggiungere aspetti di Knowledge Catalog alle tabelle profilate in base agli insight dei profili dati. Questa azione viene applicata solo ai profili nuovi e aggiornati. I profili esistenti che non vengono aggiornati non vengono inviati a Knowledge Catalog.

Quando attivi questa azione, Sensitive Data Protection associa l'aspetto Sensitive Data Protection profile alla voce di Knowledge Catalog per ogni tabella nuova o aggiornata di cui esegui la profilazione. Gli aspetti generati contengono insight raccolti dai profili dei dati. Puoi quindi cercare nella tua organizzazione e nei tuoi progetti le voci con valori di aspetto Sensitive Data Protection profile specifici.

Per inviare i profili dei dati a Knowledge Catalog, assicurati che l'opzione Invia a Dataplex Catalog come aspetti sia attiva.

Per saperne di più, consulta Aggiungi aspetti di Knowledge Catalog in base agli insight dei profili dei dati.

Imposta la posizione in cui archiviare la configurazione

Fai clic sull'elenco Località della risorsa e seleziona la regione in cui vuoi archiviare questa configurazione di scansione. Anche tutte le configurazioni di scansione che creerai in un secondo momento verranno archiviate in questa località.

La scelta della posizione in cui archiviare la configurazione di scansione non influisce sui dati da scansionare. I tuoi dati vengono scansionati nella stessa regione in cui sono archiviati. Per saperne di più, consulta Considerazioni sulla residenza dei dati.

Nota: se hai già una configurazione di analisi esistente, non puoi modificare il valore impostato in questo campo. Tutte le configurazioni di scansione sono archiviate nella stessa località. Se vuoi modificare la località di tutte le configurazioni di scansione, devi eliminarle, ricrearle e archiviarle nella nuova località.

Rivedi e crea

1. Se vuoi assicurarti che la profilazione non venga avviata automaticamente dopo aver creato la configurazione della scansione, seleziona Crea analisi in modalità in pausa.

   Questa opzione è utile nei seguenti casi:

   • Hai scelto di salvare i profili dati in BigQuery e vuoi assicurarti che l'agente di servizio disponga dell'accesso in scrittura alla tabella BigQuery in cui verranno salvate le copie dei profili dati.
   • Hai scelto di salvare i risultati del rilevamento di esempio in BigQuery e vuoi assicurarti che l'agente di servizio disponga dell'accesso in scrittura alla tabella BigQuery in cui verranno salvati i risultati di esempio.
   • Hai configurato le notifiche Pub/Sub e vuoi concedere l'accesso alla pubblicazione al service agent.
   • Hai attivato l'azione Associa tag alle risorse e devi concedere al service agent l'accesso al tag del livello di sensibilità.
2. Rivedi le impostazioni e fai clic su Crea.

   Sensitive Data Protection crea la configurazione di scansione e la aggiunge all'elenco delle configurazioni di scansione del discovery.

Per visualizzare o gestire le configurazioni di scansione, consulta Gestisci le configurazioni di scansione.

Se l'agente di servizio dispone dei ruoli necessari per accedere ai dati e profilarli, Sensitive Data Protection inizia a scansionare i dati poco dopo la creazione della configurazione di scansione o la ripresa di una configurazione in pausa. In caso contrario, Sensitive Data Protection mostra un errore quando visualizzi i dettagli della configurazione di scansione.

Nota: miglioriamo regolarmente il nostro algoritmo di rilevamento. Se rileviamo che la tua organizzazione o il tuo progetto potrebbero trarre vantaggio da un nuovo miglioramento da noi implementato, potremmo rigenerare automaticamente i tuoi profili di dati e ripetere le azioni nella configurazione di scansione. Per questa operazione non ti verrà addebitato alcun costo di Sensitive Data Protection. Tuttavia, dal momento che ripetiamo le azioni, potrebbero esserti addebitati i costi per l'utilizzo di altri servizi Google Cloud . Ad esempio, se hai configurato Sensitive Data Protection per salvare i profili di dati in BigQuery, potrebbero esserti addebitati i costi di BigQuery.

Passaggi successivi

Scopri come gestire i profili dati.

Scopri come gestire le configurazioni di scansione.

Scopri come ricevere e analizzare i messaggi Pub/Sub pubblicati dal profiler dei dati.

Scopri come risolvere i problemi relativi ai profili dati.

Esamina i limiti di profilazione dei dati.