Desidentificação

O Cloud Data Loss Prevention (DLP) usa tipos de informações (infoTypes) para definir o que será verificado. Os infoTypes são tipos de dados confidenciais, como nome, endereço de e-mail, número de telefone, número de identificação, número de cartão de crédito etc.

Cada infoType definido no Cloud DLP tem um detector correspondente. O Cloud DLP usa detectores de infoType na configuração de suas verificações para determinar o que inspecionar e como transformar descobertas. Os nomes de infoType também são usados ao exibir ou informar os resultados da verificação.

Neste tópico, há uma descrição detalhada dos infoTypes e dos detectores de infoType, além de orientações sobre como usá-los com o Cloud DLP para verificar dados confidenciais em conteúdos.

Como especificar detectores de infoType

Ao configurar o Cloud DLP para verificar seu conteúdo, inclua os detectores de infoType que serão usados na configuração da verificação.

Por exemplo, o JSON a seguir demonstra uma solicitação de verificação simples para a API Cloud DLP. O detector PHONE_NUMBER é especificado em inspectConfig, o que instrui o Cloud DLP a verificar a string fornecida em busca de um número de telefone.

POST https://dlp.googleapis.com/v2/projects/[PROJECT_ID]/content:inspect?key={YOUR_API_KEY}

{
  "item":{
    "value":"My phone number is (415) 555-0890"
  },
  "inspectConfig":{
    "includeQuote":true,
    "minLikelihood":"POSSIBLE",
    "infoTypes":{
      "name":"PHONE_NUMBER"
    }
  }
}

A solicitação anterior retorna o seguinte:

{
  "result":{
    "findings":[
      {
        "quote":"(415) 555-0890",
        "infoType":{
          "name":"PHONE_NUMBER"
        },
        "likelihood":"VERY_LIKELY",
        "location":{
          "byteRange":{
            "start":"19",
            "end":"33"
          },
          "codepointRange":{
            "start":"19",
            "end":"33"
          }
        },
        "createTime":"2018-10-29T23:46:34.535Z"
      }
    ]
  }
}

Sempre especifique um infoType na configuração de verificação. Caso contrário, o Cloud DLP definirá o detector de infoType ALL_BASIC como padrão. Dependendo da quantidade de conteúdo que precisa ser verificada, a verificação de ALL_BASIC pode ser extremamente demorada ou cara.

Para mais informações sobre como usar os detectores de infoType para verificar conteúdo, consulte um dos tópicos de instruções sobre inspeção, edição ou desidentificação.

Tipos de detectores de infoType

Os detectores do tipo de informação (ou "infoType") são os mecanismos usados pelo Cloud DLP para encontrar dados confidenciais.

O Cloud DLP inclui vários tipos de detectores de infoType, que estão resumidos aqui:

  • Os detectores de infoType integrados fazem parte do Cloud DLP e contêm detectores para tipos de dados confidenciais específicos do país ou da região. Eles também incluem tipos de dados aplicáveis globalmente.
  • Os detectores de infoType personalizados são aqueles que você mesmo cria. Eles são divididos em três tipos:
    • Os detectores de dicionários personalizados regulares são listas de palavras simples usadas como base para correspondências do Cloud DLP. Use-os quando tiver uma lista de até dezenas de milhares de palavras ou frases. Dê preferência aos detectores de dicionários personalizados regulares se você não espera mudanças significativas na sua lista de palavras.
    • Os detectores de dicionários personalizados armazenados são gerados pelo Cloud DLP por meio de listas grandes de palavras ou frases armazenadas no Cloud Storage ou no BigQuery. Use-os quando tiver uma lista grande de até dezenas de milhões de palavras ou frases.
    • Os detectores de expressões regulares (regex) permitem que o Cloud DLP detecte correspondências com base em um padrão de expressão regular.

Além disso, o Cloud DLP inclui o conceito de regras de inspeção. Com elas, você ajusta os resultados da verificação usando estes itens:

  • Regras de exclusão, que permitem diminuir o número de descobertas retornadas adicionando regras a um detector de infoType integrado ou personalizado.
  • Regras de hotword, que permitem aumentar a quantidade ou alterar o valor de probabilidade das descobertas retornadas adicionando regras a um detector de infoType integrado ou personalizado.

Detectores de infoType integrados

Os detectores de infoType incorporados são integrados ao Cloud DLP e incluem detectores para tipos de dados confidenciais específicos por país ou região, como o francês Numéro d'Inscription au Répertoire (NIR) (FRANCE_NIR), Número da carta de habilitação do Reino Unido (UK_DRIVERS_LICENSE_NUMBER) e o número da Previdência Social dos EUA (US_SOCIAL_SECURITY_NUMBER). Eles também incluem tipos de dados aplicáveis globalmente, como o nome de uma pessoa (PERSON_NAME), números de telefone (PHONE_NUMBER), endereços de e-mail (EMAIL_ADDRESS) e números de cartão de crédito CREDIT_CARD_NUMBER. Para detectar conteúdo que corresponda a infoTypes, o Cloud DLP aproveita várias técnicas, incluindo correspondência de padrões, somas de verificação, machine learning, análise de contexto e outras.

A lista de detectores de infoType integrados está sempre em atualização. Para uma lista completa daqueles que são compatíveis atualmente, consulte Referência dos detectores de infoType.

Também é possível ver uma lista completa dos detectores de infoType integrados chamando o método infoTypes.list do Cloud DLP.

Os detectores de infoType integrados não são um método de detecção totalmente preciso. Eles não podem garantir conformidade com requisitos regulamentares, por exemplo. Você precisa decidir que dados são confidenciais e como eles serão protegidos. O Google recomenda que você teste suas configurações para ter certeza de que elas atendem aos requisitos.

Detectores de infoType personalizados

Há três tipos de detectores de infoType personalizados:

Além disso, o Cloud DLP inclui regras de inspeção que permitem adicionar as seguintes regras aos detectores atuais para ajustar os resultados da verificação:

Detectores de dicionários personalizados regulares

Use os detectores de dicionários personalizados regulares para corresponder uma lista curta (até várias dezenas de milhares) de palavras ou frases. Um dicionário personalizado regular pode atuar como seu próprio detector exclusivo.

Os detectores de dicionários personalizados são úteis quando você quer verificar uma lista de palavras ou frases que não são facilmente correspondidas por uma expressão regular ou um detector incorporado. Por exemplo, se você quiser verificar salas de conferência que geralmente são identificadas não por números, mas por nomes, como nomes de estado ou região, pontos de referência, personagens fictícios, entre outros. É possível fazer um detector de dicionário personalizado regular que contenha a lista desses nomes de sala. O Cloud DLP poderá verificar o conteúdo de cada sala e retornar uma correspondência quando encontrar uma delas no contexto. Saiba mais sobre como o Cloud DLP combina palavras e frases de dicionário na seção "Especificidades de correspondência do dicionário" de Como criar um detector de dicionário personalizado regular.

Para mais detalhes sobre como os detectores de infoType de dicionário personalizado regular funcionam e ver exemplos em ação, consulte Como criar um detector de dicionário personalizado regular.

Detectores de dicionários personalizados armazenados

Use detectores de dicionários personalizados armazenados quando tiver muitas palavras ou frases a verificar, ou se a lista de palavras ou frases for alterada com frequência. Os detectores de dicionários personalizados armazenados podem fazer correspondências em até dezenas de milhões de palavras ou frases.

Como os detectores de dicionários personalizados armazenados são muito grandes, eles são criados de maneira diferente dos detectores personalizados de expressão regular e dos detectores de dicionários personalizados regulares. Cada um deles tem dois componentes:

  • Uma lista de frases que você cria e define. Essa lista é armazenada como um arquivo de texto no Cloud Storage ou como uma coluna em uma tabela do BigQuery.
  • Os arquivos de dicionário gerados, que são criados pelo Cloud DLP com base na sua lista de frases. Os arquivos de dicionário são armazenados no Cloud Storage e compostos por uma cópia dos dados da frase de origem e dos filtros de Bloom, que ajudam na pesquisa e na correspondência. Não é possível editar esses arquivos diretamente.

Depois de criar uma lista de palavras e usar o Cloud DLP para gerar um dicionário personalizado, inicie ou programe uma verificação com um detector de dicionário personalizado armazenado de maneira semelhante aos outros detectores de infoType.

Para mais informações sobre como os detectores de dicionários personalizados armazenados funcionam e ver exemplos em ação, consulte Como criar um detector de dicionário personalizado armazenado.

Expressões regulares

Um detector de infoType personalizado de expressão regular (regex) permite que você crie seus próprios detectores para que o Cloud DLP detecte correspondências com base em um padrão de expressão regular. Por exemplo, suponha que você tivesse números de registros médicos no formato ###-#-#####. Seria possível definir um padrão de regex como o seguinte:

[1-9]{3}-[1-9]{1}-[1-9]{5}

O Cloud DLP corresponderia então a itens como este:

123-4-56789

Também é possível especificar uma probabilidade a ser atribuída a cada correspondência de infoType personalizada. Ou seja, quando o Cloud DLP fizer a correspondência com a sequência especificada, ele atribuirá a probabilidade indicada por você. Isso é útil porque, se a regex personalizada definir uma sequência comum o suficiente, ela poderá corresponder facilmente a alguma outra sequência aleatória. Não convém que o Cloud DLP rotule todas as correspondências como  VERY_LIKELY. Fazer isso diminuiria a confiança nos resultados da verificação e possivelmente desidentificaria as informações incorretas.

Para saber mais sobre detectores de infoType personalizados de expressões regulares e vê-los em ação, consulte Como criar um detector de regex personalizado.

Regras de inspeção

Use regras de inspeção para refinar os resultados retornados pelos detectores de infoType atuais, sejam eles incorporados ou personalizados. Essas regras podem ser úteis quando for preciso aumentar os resultados retornados pelo Cloud DLP, seja adicionando ou excluindo o detector de infoType atual.

Os dois tipos de regras de inspeção são:

  • Regras de exclusão
  • Regras de hotword

Para saber mais sobre regras de inspeção, consulte Como modificar os detectores de InfoType para refinar os resultados da verificação.

Regras de exclusão

As regras de exclusão permitem diminuir a quantidade ou a precisão das descobertas retornadas ao adicionar regras a um detector de infoType integrado ou personalizado. Essas regras podem ajudar a reduzir o ruído ou impedir que resultados indesejados sejam retornados por um detector de infoType.

Por exemplo, ao verificar um banco de dados em busca de endereços de e-mail, é possível adicionar uma regra de exclusão como um regex personalizado que instrua o Cloud DLP a excluir descobertas que terminem em "@example.com".

Para mais informações sobre regras de exclusão, consulte Como modificar os detectores de InfoType para refinar os resultados da verificação.

Regras de hotword

As regras de hotword permitem aumentar a quantidade ou precisão das descobertas retornadas ao adicionar regras a um detector de infoType integrado ou personalizado. As regras de hotword podem ajudá-lo efetivamente a flexibilizar as regras de um detector de infoType atual.

Por exemplo, suponha que você queira verificar nomes de pacientes em um banco de dados médico. Embora seja possível usar o detector de infoType PERSON_NAME integrado do Cloud DLP, isso o levará a fazer a correspondência dos nomes de todas as pessoas, e não apenas dos pacientes. Para corrigir esse problema, inclua uma regra de hotword no formato de um infoType personalizado de regex que procura pela palavra “paciente” dentro de uma determinada proximidade de caracteres do primeiro caractere de possíveis correspondências. Em seguida, é possível atribuir a descobertas correspondentes a esse padrão uma probabilidade de "muito provável", já que elas correspondem aos critérios especiais.

Para mais informações sobre regras de hotwords, consulte Como modificar os detectores de InfoType para refinar os resultados da verificação.