Nesta página, você encontra estratégias recomendadas para identificar e corrigir o risco de dados na sua organização.
A proteção dos seus dados começa com o entendimento de quais dados você está processando, onde os dados confidenciais estão localizados e como eles são protegidos e usados. Quando você tem uma visão abrangente dos seus dados e da postura de segurança deles, é possível tomar as medidas apropriadas para protegê-los e monitorar continuamente a conformidade e os riscos.
Nesta página, você precisa estar familiarizado com os serviços de descoberta e inspeção e as diferenças entre eles.
Ativar a descoberta de dados sensíveis
Para determinar onde há dados confidenciais na sua empresa, configure a descoberta no nível da organização, da pasta ou do projeto. Esse serviço gera perfis de dados contendo métricas e insights sobre seus dados, incluindo os níveis de sensibilidade e de risco dos dados.
Como serviço, a descoberta atua como uma fonte de verdade sobre seus recursos de dados e pode relatar métricas automaticamente para relatórios de auditoria. Além disso, a descoberta pode se conectar a outros serviços do Google Cloud, como o Security Command Center, o Chronicle e o Dataplex, para enriquecer as operações de segurança e o gerenciamento de dados.
O serviço de descoberta é executado continuamente e detecta novos dados à medida que sua organização opera e cresce. Por exemplo, se alguém em sua organização criar um novo projeto e fizer upload de uma grande quantidade de dados novos, o serviço de descoberta poderá descobrir, classificar e relatar os novos dados automaticamente.
A proteção de dados sensíveis oferece um relatório predefinido do Looker em várias páginas, que apresenta uma visão de alto nível dos seus dados, incluindo detalhamentos por risco, por infoType e por local. No exemplo a seguir, o relatório mostra que dados de baixa e alta sensibilidade estão presentes em vários países ao redor do mundo.
Tome medidas com base nos resultados da descoberta
Depois de ter uma visão ampla da postura de segurança de dados, será possível corrigir os problemas encontrados. Em geral, as descobertas de descoberta se enquadram em um dos seguintes cenários:
- Cenário 1: dados confidenciais foram encontrados em uma carga de trabalho em que eles são esperados e estão adequadamente protegidos.
- Cenário 2: dados confidenciais foram encontrados em uma carga de trabalho onde isso não era esperado ou onde não tem controles adequados.
- Cenário 3: foram encontrados dados sensíveis, mas que precisam de mais investigação.
Cenário 1: dados sensíveis foram encontrados e estão devidamente protegidos
Esse cenário não exige uma ação específica, mas é necessário incluir os perfis de dados nos relatórios de auditoria e nos fluxos de trabalho de análise de segurança e continuar monitorando as mudanças que podem colocar os dados em risco.
Recomendamos o seguinte:
Publique os perfis de dados em ferramentas para monitorar sua postura de segurança e investigar ameaças cibernéticas. Os perfis de dados podem ajudar a determinar a gravidade de uma ameaça ou vulnerabilidade de segurança que pode colocar seus dados confidenciais em risco. É possível exportar perfis de dados automaticamente para o seguinte:
- Security Command Center
- Chronicle (em inglês)
Publique os perfis de dados no Dataplex ou em um sistema de inventário para rastrear as métricas do perfil de dados com quaisquer outros metadados comerciais adequados. Saiba como exportar automaticamente perfis de dados para o Dataplex em Marcar tabelas no Dataplex com base em insights de perfis de dados.
Cenário 2: dados confidenciais foram encontrados e não estão protegidos adequadamente
Se a descoberta encontrar dados confidenciais em um recurso que não é protegido corretamente pelos controles de acesso, considere fazer o seguinte:
- Ajuste permissões no nível da tabela usando o IAM.
Defina controles de acesso refinados no nível da coluna usando tags de política do BigQuery para restringir o acesso às colunas confidenciais e de alto risco. Esse recurso permite proteger essas colunas e permitir acesso ao restante da tabela.
Você também pode usar tags de política para ativar o mascaramento de dados automático, que pode fornecer dados parcialmente ofuscados aos usuários.
Use o recurso de segurança no nível da linha do BigQuery para ocultar ou exibir determinadas linhas de dados, dependendo de um usuário ou grupo estar em uma lista de permissões.
Faça uma cópia desidentificada dos dados para mascarar ou tokenizar as colunas confidenciais para que os analistas e engenheiros de dados ainda possam trabalhar com seus dados sem revelar identificadores brutos e sensíveis, como informações de identificação pessoal (PII).
Veja a seguir as soluções disponíveis para implantar a desidentificação:
Caso você não precise dos dados, considere excluí-los.
Depois de estabelecer os controles e a postura segurança de dados corretos, monitore alterações que possam colocar os dados em risco. Veja as recomendações no cenário 1.
Cenário 3: dados confidenciais foram encontrados, mas precisam de mais investigação
Em alguns casos, os resultados podem exigir mais investigação. Por exemplo, um perfil de dados pode especificar que uma coluna tem uma alta pontuação de texto livre com evidências de dados confidenciais. Uma pontuação de texto livre alta indica que os dados não têm uma estrutura previsível e podem conter instâncias intermitentes de dados confidenciais. Pode ser uma coluna de notas em que algumas linhas contêm PII, como nomes, detalhes de contato ou identificadores emitidos pelo governo. Nesse caso, recomendamos que você defina mais controles de acesso na tabela e realize outras correções descritas no cenário 2. Além disso, recomendamos realizar uma inspeção mais profunda e direcionada para identificar a extensão do risco.
O serviço de inspeção permite que você execute uma verificação completa de um único recurso, como uma tabela individual do BigQuery ou um bucket do Cloud Storage. Para fontes de dados sem suporte direto do serviço de inspeção, exporte os dados para um bucket do Cloud Storage ou uma tabela do BigQuery e execute um job de inspeção nesse recurso. Por exemplo, se você tiver dados que precisam ser inspecionados em um banco de dados do Cloud SQL, será possível exportá-los para um arquivo CSV ou AVRO no Cloud Storage e executar um job de inspeção.
Um job de inspeção localiza instâncias individuais de dados confidenciais, como um número de cartão de crédito no meio de uma frase dentro de uma célula da tabela. Esse nível de detalhamento pode ajudar você a entender que tipo de dados estão presentes em colunas não estruturadas ou em objetos de dados, incluindo arquivos de texto, PDFs, imagens e outros formatos de documentos avançados. Assim, é possível corrigir as descobertas usando qualquer uma das recomendações descritas no cenário 2.
Além das etapas recomendadas no cenário 2, considere tomar medidas para
impedir que informações confidenciais entrem no armazenamento de dados de back-end.
Os métodos content da API Cloud Data Loss Prevention podem aceitar dados de qualquer carga de trabalho ou aplicativo para inspeção e mascaramento de dados em movimento. Por exemplo, o aplicativo pode fazer
o seguinte:
- Aceitar um comentário fornecido pelo usuário.
- Execute
content.deidentifypara desidentificar os dados confidenciais dessa string. - Salve a string desidentificada no armazenamento de back-end em vez da string original.
Resumo das práticas recomendadas
A tabela a seguir resume as práticas recomendadas neste documento:
| Desafio | Ação |
|---|---|
| Você quer saber que tipo de dados sua organização está armazenando. | Execute a descoberta no nível da organização, da pasta ou do projeto. |
| Você encontrou dados sensíveis em um recurso que já está protegido. | Monitore esse recurso continuamente executando a descoberta e exportando automaticamente perfis para o Security Command Center, o Chronicle e o Dataplex. |
| Você encontrou dados confidenciais em um recurso que não está protegido. | Oculte ou exiba dados com base em quem os visualiza. Use o IAM, segurança no nível da coluna ou da linha. Também é possível usar as ferramentas de desidentificação da Proteção de Dados Sensíveis para transformar ou remover os elementos sensíveis. |
| Você encontrou dados confidenciais e precisa investigar mais para entender a extensão do risco aos seus dados. | Execute um job de inspeção no recurso. Também é possível impedir proativamente que dados confidenciais entrem no armazenamento de back-end usando os métodos síncronos de "conteúdo" da API DLP, que processam dados quase em tempo real. |