Infotipos y detectores de Infotipos

Cloud Data Loss Prevention (DLP) usa tipos de información, o Infotipos, para definir lo que busca. Un Infotipo es un tipo de dato sensible, como un nombre, una dirección de correo electrónico, un número de teléfono, un número de identificación, un número de tarjeta de crédito, etcétera. Un detector de Infotipo es el mecanismo de detección correspondiente que coincide con los criterios de coincidencia de un Infotipo.

Cómo usar Infotipos

Cloud DLP usa los detectores de Infotipos en la configuración de los análisis para determinar qué inspeccionar y cómo transformar los resultados. Los nombres de Infotipos también se usan cuando se muestran o informan resultados de análisis.

Por ejemplo, si deseas buscar direcciones de correo electrónico en un bloque de texto, debes especificar el detector de Infotipo EMAIL_ADDRESS en la configuración de inspección. Si deseas ocultar las direcciones de correo electrónico del bloque de texto, debes especificar EMAIL_ADDRESS en la configuración de inspección y en la de desidentificación para indicar cómo ocultar o transformar ese tipo.

Además, puedes usar una combinación de detectores de Infotipos integrados y personalizados para excluir un subconjunto de direcciones de correo electrónico de los resultados del análisis. Primero, crea un Infotipo personalizado llamado INTERNAL_EMAIL_ADDRESS y configúralo para que se excluyan las direcciones de correo electrónico de prueba internas. Luego, puedes configurar tu análisis con el fin de que incluya resultados para EMAIL_ADDRESS, pero incluye una regla de exclusión que omita cualquier resultado que coincida con INTERNAL_EMAIL_ADDRESS. Si deseas obtener más información sobre las reglas de exclusión y otras funciones de los detectores de Infotipos personalizados, consulta Crea detectores de Infotipos personalizados.

Cloud DLP proporciona un conjunto de detectores de Infotipos integrados que especificas por nombre, cada uno de los cuales aparece en la referencia del detector de Infotipos. Estos detectores usan una variedad de técnicas para encontrar y clasificar cada tipo. Por ejemplo, algunos tipos requerirán una coincidencia de patrones, algunos pueden tener sumas de verificación matemáticas, algunos tienen restricciones de dígitos especiales y otros pueden tener prefijos específicos o contexto alrededor de los resultados.

JSON de ejemplo

Cuando configuras Cloud DLP para que analice tu contenido, debes incluir los detectores de Infotipos que usarás en la configuración de análisis.

Por ejemplo, en el siguiente JSON se muestra una solicitud de análisis simple a la API de Cloud DLP. Ten en cuenta que el detector PHONE_NUMBER se especifica en inspectConfig, lo que le indica a Cloud DLP que analice la string dada en busca de un número de teléfono.

Entrada de JSON:

POST https://dlp.googleapis.com/v2/projects/[PROJECT-ID]/content:inspect?key={YOUR_API_KEY}

{
  "item":{
    "value":"My phone number is (415) 555-0890"
  },
  "inspectConfig":{
    "includeQuote":true,
    "minLikelihood":"POSSIBLE",
    "infoTypes":{
      "name":"PHONE_NUMBER"
    }
  }
}

Cuando envías la solicitud anterior al extremo especificado, Cloud DLP muestra lo siguiente:

Resultado de JSON:

{
  "result":{
    "findings":[
      {
        "quote":"(415) 555-0890",
        "infoType":{
          "name":"PHONE_NUMBER"
        },
        "likelihood":"VERY_LIKELY",
        "location":{
          "byteRange":{
            "start":"19",
            "end":"33"
          },
          "codepointRange":{
            "start":"19",
            "end":"33"
          }
        },
        "createTime":"2018-10-29T23:46:34.535Z"
      }
    ]
  }
}

Si necesitas controles precisos y predicción sobre qué detectores se ejecutan, debes especificar Infotipos enumerados en la referencia; de lo contrario, Cloud DLP usa una lista predeterminada, que puede cambiar con el tiempo. Según la cantidad de contenido para analizar, buscar Infotipos predeterminados puede llevar mucho tiempo o ser demasiado costoso.

Si quieres obtener más información sobre cómo usar los detectores de Infotipos para analizar tu contenido, consulta uno de los temas prácticos sobre análisis, ocultamiento o desidentificación.

Certeza y pruebas

Los resultados se informan con una puntuación de certeza llamada probabilidad. La puntuación de probabilidad indica la probabilidad de que un resultado coincida con el tipo correspondiente. Por ejemplo, un tipo puede mostrar una probabilidad más baja si solo coincide con el patrón y una más alta si coincide con el patrón y tiene un contexto positivo a su alrededor. Por este motivo, es posible que observes que un solo resultado puede coincidir con varios tipos con menor probabilidad. Además, es posible que un resultado no aparezca o tenga una certeza más baja si no coincide de forma correcta o si tiene un contexto negativo. Por ejemplo, es posible que un resultado no se informe si coincide con la estructura del Infotipo especificado, pero falla la suma de verificación del Infotipo. O un resultado podría coincidir con más de un Infotipo, pero tener contexto que esté a favor de uno de ellos y, por lo tanto, solo se informe para ese tipo.

Si estás probando varios detectores, es posible que notes que los datos falsos o de muestra no se informan porque esos datos no pasan suficientes verificaciones para informarse.

Tipos de detectores de Infotipos

Cloud DLP incluye varios tipos de detectores de Infotipos, los cuales se resumen a continuación:

  • Los detectores de Infotipos integrados están compilados en Cloud DLP. Incluyen detectores para tipos de datos sensibles específicos de un país o región, así como tipos de datos aplicables a nivel mundial.
  • Los detectores de Infotipos personalizados son detectores que creas tú mismo. Existen tres tipos de detectores de Infotipos personalizados:
    • Los detectores de diccionarios personalizados pequeños son listas de palabras simples con las que Cloud DLP detecta coincidencias. Usa los detectores de diccionarios personalizados pequeños cuando tengas una lista de al menos varias decenas de miles de palabras o frases. Se prefieren los detectores de diccionarios personalizados pequeños si esperas que la lista de palabras no cambie de forma significativa.
    • Cloud DLP genera detectores de diccionarios personalizados grandes mediante listas grandes de palabras o frases almacenadas en Cloud Storage o BigQuery. Usa los detectores de diccionarios personalizados grandes cuando tengas una gran lista de palabras o frases (hasta decenas de millones).
    • Los detectores de expresiones regulares (regex) permiten a Cloud DLP detectar las coincidencias basadas en un patrón de expresión regular.

Además, Cloud DLP incluye el concepto de reglas de inspección, que te permiten ajustar con precisión los resultados del análisis mediante las siguientes reglas:

  • Las reglas de exclusión te permiten reducir la cantidad de resultados que se muestran mediante la adición de reglas a un detector de Infotipos incorporado o personalizado.
  • Las reglas de palabra clave te permiten aumentar la cantidad o cambiar el valor de probabilidad de los resultados que se muestran si agregas reglas a un detector de Infotipos integrado o personalizado.

Detectores de Infotipos incorporados

Los detectores de Infotipos integrados están incorporados en Cloud DLP y, además, incluyen detectores para tipos de datos sensibles específicos de un país o una región, como el Numéro d'Inscription au Répertoire (NIR) de Francia (FRANCE_NIR), el número de licencia de conducir de Reino Unido (UK_DRIVERS_LICENSE_NUMBER) y el número de identificación personal de EE.UU. (US_SOCIAL_SECURITY_NUMBER). También se incluyen tipos de datos aplicables a nivel mundial, como el nombre de una persona (PERSON_NAME), números de teléfono (PHONE_NUMBER), direcciones de correo electrónico (EMAIL_ADDRESS) y números de tarjetas de crédito (CREDIT_CARD_NUMBER). Para detectar contenido que corresponde a Infotipos, Cloud DLP usa varias técnicas, incluidas la coincidencia de patrones, las sumas de verificación, el aprendizaje automático y el análisis de contexto, entre otras.

La lista de detectores de Infotipos incorporados siempre se actualiza. Para obtener una lista completa de los detectores de Infotipos integrados que se admiten por el momento, consulta la Referencia del detector de Infotipos.

También puedes ver una lista completa de todos los detectores de Infotipos integrados si llamas al método infoTypes.list de Cloud DLP.

Los detectores de Infotipos incorporados no son un método de detección 100% preciso. Por ejemplo, no pueden asegurar el cumplimiento de los requisitos regulatorios. Debes decidir qué datos son sensibles y cómo protegerlos de la mejor forma. Google recomienda que pruebes tus opciones de configuración a fin de asegurarte de que cumplan con tus requisitos.

Detectores de Infotipo personalizados

Existen tres tipos de detectores de Infotipos personalizados:

Además, Cloud DLP incluye reglas de inspección que te permiten ajustar de manera precisa los resultados del análisis mediante la adición de las siguientes reglas a los detectores existentes:

Detectores de diccionarios personalizados pequeños

Usa los detectores de diccionarios personalizados pequeños (también conocidos como “detectores de diccionario personalizados normales”) para hacer coincidir una lista corta (hasta varias decenas de miles) de palabras o frases. Un diccionario personalizado pequeño puede funcionar como su propio detector único.

Los detectores de diccionarios personalizados son útiles cuando deseas analizar en busca de una lista de palabras o frases que no se pueden combinar con facilidad mediante una expresión regular ni un detector incorporado. Por ejemplo, supongamos que deseas analizar en busca de salas de conferencias a las que se suele hacer referencia por los nombres que tienen asignadas en lugar de los números de las salas, como los nombres de estados o regiones, puntos de referencia, personajes de ficción, etcétera. Puedes crear un detector de diccionario personalizado pequeño que contenga una lista de estos nombres de salas. Cloud DLP puede analizar tu contenido para cada uno de los nombres de salas y mostrar una coincidencia cuando encuentre uno de ellos en contexto. Obtén más información sobre cómo Cloud DLP detecta coincidencias entre las palabras y frases del diccionario en la sección “Detalles de coincidencias en el diccionario” de Crea un detector de diccionario personalizado normal.

Para obtener más detalles sobre cómo funcionan los detectores de Infotipos personalizados de diccionarios pequeños, así como ejemplos prácticos, consulta Crea un detector de diccionario personalizado normal.

Detectores de diccionarios personalizados grandes

Usa los detectores de diccionarios personalizados grandes (también conocidos como “detectores de diccionarios personalizados almacenados”) cuando tengas más que unas pocas palabras o frases para buscar, o si tu lista de palabras o frases cambia con frecuencia. Los detectores de diccionario personalizados grandes pueden detectar coincidencias con hasta decenas de millones de palabras o frases.

Los detectores de diccionarios personalizados grandes se crean de manera diferente a los detectores de expresiones regulares y los detectores de diccionarios personalizados pequeños. Cada diccionario personalizado grande tiene dos componentes:

  • Una lista de frases que creas y defines. La lista se almacena como un archivo de texto dentro de Cloud Storage o como una columna en una tabla de BigQuery.
  • Los archivos de diccionario generados, que Cloud DLP compila según tu lista de frases. Los archivos del diccionario se almacenan en Cloud Storage y se componen de una copia de los datos de la frase fuente más los filtros de Bloom que ayudan en la búsqueda y en la detección de coincidencias. No puedes editar estos archivos directamente.

Una vez que creaste una lista de palabras y usaste Cloud DLP para generar un diccionario personalizado, puedes iniciar o programar un análisis mediante un detector de diccionario personalizado grande de manera similar a otros detectores de Infotipos.

Para obtener más detalles sobre cómo funcionan los detectores de diccionarios personalizados grandes y ejemplos prácticos, consulta Crea un detector de diccionario personalizado almacenado.

Expresiones regulares

Un detector de Infotipos personalizado de expresiones regulares (regex) te permite crear tus propios detectores de Infotipos que hacen posible que Cloud DLP detecte coincidencias basadas en un patrón de regex. Por ejemplo, supongamos que tienes números de historias clínicas en el formato ###-#-#####. Podrías definir un patrón de regex como el siguiente:

[1-9]{3}-[1-9]{1}-[1-9]{5}

Cloud DLP detectaría coincidencias con elementos como este:

123-4-56789

También puedes especificar una probabilidad para asignar a cada coincidencia de Infotipo personalizada. Es decir, cuando Cloud DLP detecte coincidencias con la secuencia que especifiques, asignará la probabilidad que indicaste. Esto es útil, ya que si tu regex personalizada define una secuencia que es bastante común como para coincidir con facilidad con otra secuencia aleatoria, no querrás que Cloud DLP etiquete cada coincidencia como VERY_LIKELY. Si eso sucediera, la confianza en los resultados del análisis se vería afectada y podría causar la desidentificación de la información incorrecta.

Para obtener más información sobre los detectores de Infotipos personalizados de expresiones regulares y ver ejemplos prácticos, consulta Crea un detector de regex personalizado.

Reglas de inspección

Usa las reglas de inspección para definir mejor los resultados que muestran los detectores de Infotipos existentes, ya sean incorporados o personalizados. Las reglas de inspección pueden ser útiles para los momentos en que los resultados que muestra Cloud DLP deben mejorarse de alguna manera, ya sea mediante la adición al detector de Infotipo existente o la exclusión desde este.

Los dos tipos de reglas de inspección son los siguientes:

  • Reglas de exclusión
  • Reglas de palabra clave

Si quieres obtener más información sobre las reglas de inspección, consulta Modifica los detectores de Infotipos para definir mejor los resultados del análisis.

Reglas de exclusión

Las reglas de exclusión te permiten disminuir la cantidad o precisión de los resultados que se muestran si agregas reglas a un detector de Infotipo incorporado o personalizado. Las reglas de exclusión pueden ayudarte a que un detector de Infotipos no muestre ruido ni otros resultados no deseados.

Por ejemplo, si analizas una base de datos en busca de direcciones de correo electrónico, puedes agregar una regla de exclusión con el formato de una regex personalizada que le indique a Cloud DLP que excluya cualquier resultado terminado en “@example.com”.

Si quieres obtener más información sobre las reglas de exclusión, consulta Modifica los detectores de Infotipos para definir mejor los resultados del análisis.

Reglas de palabra clave

Las reglas de palabra clave te permiten aumentar la cantidad o precisión de los resultados que se muestran si agregas reglas a un detector de Infotipos integrado o personalizado. Las reglas de palabra clave pueden ayudarte a disminuir la rigurosidad de las reglas de un detector de Infotipos existente.

Por ejemplo, supongamos que deseas analizar una base de datos médica en busca de nombres de pacientes. Puedes usar el detector de Infotipos integrado PERSON_NAME de Cloud DLP, pero eso hará que Cloud DLP arroje coincidencias con todos los nombres de personas, y no solo con los nombres de los pacientes. Para corregir esto, puedes incluir una regla de palabra clave con formato de Infotipo personalizado de regex que busque la palabra “paciente” dentro de una cierta proximidad de caracteres del primer carácter de coincidencias posibles. Luego, puedes asignar a los resultados que coincidan con este patrón una probabilidad de “muy probable”, ya que corresponden a esos criterios especiales.

Si quieres obtener más información sobre las reglas de palabra clave, consulta Modifica los detectores de Infotipos para definir mejor los resultados del análisis.

Ejemplos

Si deseas tener una mejor idea de cómo los Infotipos encuentran coincidencias con los resultados, consulta los siguientes ejemplos de coincidencias en una serie de dígitos para determinar si constituye un número de identificación personal de EE.UU o un número de identificación de contribuyente de EE.UU. Ten en cuenta que estos ejemplos son para detectores de Infotipos integrados. Cuando creas un detector de Infotipos personalizado, especificas los criterios que determinan la probabilidad de una coincidencia de análisis.

Ejemplo 1

"SSN 222-22-2222"

Informa una puntuación de probabilidad alta de VERY_LIKELY para un US_SOCIAL_SECURITY_NUMBER debido a lo siguiente:

  • Está en el formato de número de identificación personal estándar, lo que aumenta la certeza.
  • Tiene contexto cercano (“NSS”) que indica US_SOCIAL_SECURITY_NUMBER.

Ejemplo 2

"999-99-9999"

Informa una puntuación de probabilidad baja de VERY_UNLIKELY para un US_SOCIAL_SECURITY_NUMBER debido a lo siguiente:

  • Está en el formato estándar, lo que aumenta la certeza.
  • Comienza con un 9, lo que no está permitido en los números de identificación personal, por lo que disminuye la certeza.
  • No tiene contexto, lo que disminuye la certeza.

Ejemplo 3

"999-98-9999"

Informa una puntuación de probabilidad POSSIBLE para un US_INDIVIDUAL_TAXPAYER_IDENTIFICATION_NUMBER y VERY_UNLIKELY para un US_SOCIAL_SECURITY_NUMBER debido a lo siguiente:

  • Tiene el formato estándar de US_SOCIAL_SECURITY_NUMBER y US_INDIVIDUAL_TAXPAYER_IDENTIFICATION_NUMBER.
  • Comienza con un 9 y tiene otra verificación de dígitos, lo que aumenta la certeza de US_INDIVIDUAL_TAXPAYER_IDENTIFICATION_NUMBER.
  • Carece de contexto, lo que disminuye la certeza de ambos.

Próximos pasos

El equipo de Cloud DLP lanza detectores de Infotipos nuevos y los agrupa de forma periódica. Para obtener información sobre cómo obtener la lista más reciente de Infotipos integrados, consulta “Enumera los detectores de Infotipos integrados”.