Se usó la API de Cloud Translation para traducir esta página.

Crea y programa trabajos de inspección de Cloud DLP

En este tema, se describe en detalle cómo crear un trabajo de inspección de Cloud Data Loss Prevention y cómo programar trabajos de inspección recurrentes mediante la creación de un activador de trabajo. Para obtener una explicación rápida acerca de cómo crear un activador de trabajo nuevo con la IU de Cloud DLP, consulta la página sobre la guía de inicio rápido para crear un activador de trabajo de Cloud DLP.

Acerca de los trabajos de inspección y activadores de trabajos

Cuando Cloud DLP realiza un análisis de inspección para identificar datos sensibles, cada análisis se ejecuta como un trabajo. Cloud DLP crea y ejecuta un recurso de trabajo cada vez que le pides que inspeccione tus repositorios de Google Cloud Storage, incluidos los buckets de Cloud Storage, las tablas de BigQuery, los tipos de Datastore y los datos externos.

Para programar trabajos de análisis de inspección de Cloud DLP, crea activadores de trabajo. Un activador de trabajo automatiza la creación de trabajos de DLP de forma periódica y también se puede ejecutar a pedido.

Para obtener más información sobre trabajos y activadores de trabajo en Cloud DLP, consulta la página conceptual Activadores de trabajos.

Crea un trabajo de inspección nuevo

Para crear un trabajo de inspección nuevo de Cloud DLP, sigue estos pasos:

Consola

En la consola de Google Cloud, ve a la página Prevención de pérdida de datos.

Ir a Prevención de pérdida de datos
Haz clic en la pestaña Inspección y, luego, en Crear trabajos y activadores de trabajos.

También puedes hacer clic en el siguiente botón:

Crear trabajo nuevo

La página Crear trabajo contiene las secciones siguientes:

Elige los datos de entrada
Configurar detección
Agrega acciones
Repaso

Elige los datos de entrada

Nombre

Ingresa un nombre para el trabajo. Puedes usar letras, números y guiones. Asignar un nombre a tu trabajo es opcional. Si no ingresas un nombre, Cloud DLP le dará al trabajo un identificador de número único.

Ubicación

En el menú Tipo de almacenamiento, elige el tipo de repositorio que almacena los datos que deseas analizar:

Cloud Storage: ingresa la URL del bucket que deseas analizar o selecciona Incluir/excluir en el menú Tipo de ubicación y, luego, haz clic en Examinar para navegar al bucket o subcarpeta que deseas analizar. Selecciona la casilla de verificación Analizar carpeta de forma recurrente para analizar el directorio especificado y todos los directorios contenidos. Déjalo sin seleccionar para analizar solo el directorio especificado y nada más.
BigQuery: ingresa los identificadores del proyecto, el conjunto de datos y la tabla que deseas analizar.
Datastore: ingresa los identificadores para el proyecto, el espacio de nombres (opcional) y el tipo que deseas analizar.
Híbrido: Puedes agregar etiquetas obligatorias, etiquetas opcionales y opciones para controlar datos tabulares. Para obtener más información, consulta Tipos de metadatos que puedes proporcionar.

Muestreo

El muestreo es una forma opcional de ahorrar recursos si tienes una gran cantidad de datos.

En Muestreo, puedes elegir si deseas analizar todos los datos seleccionados o tomar muestras de un porcentaje determinado. El muestreo funciona de manera diferente según el tipo de repositorio de almacenamiento que analices:

Para BigQuery, puedes muestrear un subconjunto del total de filas seleccionadas, que corresponde al porcentaje de archivos que especificas en el análisis.
En el caso de Cloud Storage, si algún archivo excede el tamaño especificado en el tamaño máximo de bytes para analizar por archivo, Cloud DLP lo escanea hasta ese tamaño máximo y luego pasa al siguiente archivo.

Para activar el muestreo, elige una de las siguientes opciones del primer menú:

Iniciar el muestreo desde la parte superior: Cloud DLP inicia el análisis parcial al comienzo de los datos. Para BigQuery, esto inicia el análisis en la primera fila. En Cloud Storage, se inicia el análisis al comienzo de cada archivo y se detiene el análisis cuando Cloud DLP analiza hasta el tamaño máximo especificado.
Iniciar el muestreo desde el inicio aleatorio: Cloud DLP inicia el análisis parcial en una ubicación aleatoria dentro de los datos. Para BigQuery, esto inicia el análisis en una fila aleatoria. Para Cloud Storage, esta configuración solo se aplica a los archivos que superan cualquier tamaño máximo especificado. Cloud DLP analiza los archivos por debajo del tamaño máximo en su totalidad y los archivos por encima del tamaño máximo hasta el máximo.

Para realizar un análisis parcial, también debes elegir qué porcentaje de los datos deseas analizar. Usa el control deslizante para establecer el porcentaje.

También puedes acotar los archivos o registros para analizarlos por fecha. Para obtener información sobre cómo hacerlo, consulta Programa más adelante en este tema.

Configuración avanzada

Cuando creas un trabajo para un análisis de depósitos de Cloud Storage o tablas de BigQuery, puedes limitar tu búsqueda si especificas una configuración avanzada. Específicamente, puedes configurar lo siguiente:

Archivos (solo Cloud Storage): los tipos de archivo que se deben analizar, incluidos los archivos de texto, binarios e imágenes.
Campos de identificación (solo BigQuery): identificadores de fila únicos dentro de la tabla.
En el caso de Cloud Storage, si algún archivo excede el tamaño especificado en el tamaño máximo de bytes para analizar por archivo, Cloud DLP lo escanea hasta ese tamaño máximo y luego pasa al siguiente archivo.

Para activar el muestreo, elige el porcentaje de datos que deseas analizar. Usa el control deslizante para establecer el porcentaje. Luego, elige una de las siguientes opciones del primer menú:

Iniciar el muestreo desde la parte superior: Cloud DLP inicia el análisis parcial al comienzo de los datos. Para BigQuery, esto inicia el análisis en la primera fila. En el caso de Cloud Storage, esto inicia el análisis al comienzo de cada archivo y lo detiene una vez que Cloud DLP analiza hasta cualquier tamaño máximo de archivo (ver arriba).
Iniciar el muestreo desde el inicio aleatorio: Cloud DLP inicia el análisis parcial en una ubicación aleatoria dentro de los datos. Para BigQuery, esto inicia el análisis en una fila aleatoria. Para Cloud Storage, esta configuración solo se aplica a los archivos que superan cualquier tamaño máximo especificado. Cloud DLP analiza los archivos por debajo del tamaño máximo en su totalidad y los archivos por encima del tamaño máximo hasta el máximo.

Archivos

Para los archivos almacenados en Cloud Storage, puedes especificar los tipos que se incluirán en tu análisis en Archivos.

Puedes elegir entre los archivos binarios, de texto, con imágenes, CSV, TSV, de Microsoft Word, de Microsoft Excel, de Microsoft PowerPoint, PDF y Apache Avro. Para obtener una lista exhaustiva de las extensiones de archivo que Cloud DLP puede analizar en los buckets de Cloud Storage, consulta FileType. Elegir Binario hace que Cloud DLP analice archivos de tipos que no se reconocen.

Campos de identificación

Para las tablas de BigQuery, en el campo Campos de identificación, puedes indicarle a Cloud DLP que incluya los valores de las columnas de clave primaria de la tabla en los resultados. Esto te permite vincular los resultados a las filas de la tabla que los contienen.

Ingresa los nombres de las columnas que identifican de manera única cada fila de la tabla. Si es necesario, usa la notación de puntos para especificar campos anidados. Puedes agregar todos los campos que desees.

También debes activar la acción Guardar en BigQuery para exportar los resultados a BigQuery. Cuando los resultados se exportan a BigQuery, cada resultado contiene los valores correspondientes de los campos de identificación. Para obtener más información, consulta identifyingFields.

Configura la detección

En la sección Configura la detección especificas los tipos de datos sensibles que deseas analizar. Completar esta sección es opcional. Si omites esta sección, Cloud DLP analizará tus datos en busca de un conjunto predeterminado de Infotipos.

Plantilla

De manera opcional, puedes usar una plantilla de Cloud DLP para reutilizar la información de configuración que especificaste anteriormente.

Si ya creaste una plantilla que deseas usar, haz clic en el campo Nombre de la plantilla para ver una lista de las plantillas de inspección existentes. Elige o escribe el nombre de la plantilla que deseas usar.

Para obtener más información sobre la creación de plantillas, consulta la página sobre cómo crear plantillas de inspección de Cloud DLP.

Infotipos

Los detectores de Infotipo encuentran datos sensibles de un tipo determinado. Por ejemplo, el detector de Infotipo integrado US_SOCIAL_SECURITY_NUMBER de Cloud DLP busca números de identificación personal de EE.UU. Además de los detectores de Infotipo integrados, puedes crear tus propios detectores de Infotipo.

En Infotipos, elige el detector de Infotipo que corresponda al tipo de datos que deseas analizar. No recomendamos dejar esta sección en blanco. Si lo haces, Cloud DLP analizará tus datos con un conjunto predeterminado de Infotipos, que puede incluir infotipos que no necesitas. Para obtener más información sobre cada detector, consulta la referencia del detector de Infotipo.

Si quieres obtener más información para administrar Infotipos integrados y personalizados en esta sección, consulta Administra infotipos a través de Google Cloud Console.

Conjuntos de reglas de inspección

Inspection rulesets allow you to customize both built-in and custom infoType detectors using context rules. The two types of inspection rules are:

Exclusion rules, which help exclude false or unwanted findings.
Hotword rules, which help detect additional findings.

To add a new ruleset, first specify one or more built-in or custom infoType detectors in the InfoTypes section. These are the infoType detectors that your rulesets will be modifying. Then, do the following:

Click in the Choose infoTypes field. The infoType or infoTypes you specified previously appear below the field in a menu, as shown here:

Screenshot of the DLP UI's inspection rulesets configuration.

Choose an infoType from the menu, and then click Add rule. A menu appears with the two options Hotword rule and Exclusion rule.

For hotword rules, choose Hotword rules. Then, do the following:

In the Hotword field, enter a regular expression that Cloud DLP should look for.
From the Hotword proximity menu, choose whether the hotword you entered is found before or after the chosen infoType.
In Hotword distance from infoType, enter the approximate number of characters between the hotword and the chosen infoType.
In Confidence level adjustment, choose whether to assign matches a fixed likelihood level, or to increase or decrease the default likelihood level by a certain amount.

For exclusion rules, choose Exclusion rules. Then, do the following:

In the Exclude field, enter a regular expression (regex) that Cloud DLP should look for.
From the Matching type menu, choose one of the following:

Full match: The finding must completely match the regex.
Partial match: A substring of the finding can match the regex.
Inverse match: The finding doesn't match the regex.

You can add additional hotword or exclusion rules and rulesets to further refine your scan results.

Umbral de confianza

Cada vez que Cloud DLP detecta una posible coincidencia con datos sensibles, le asigna un valor de probabilidad en una escala de “Muy improbable” a “Muy probable”. Cuando configuras un valor de probabilidad aquí, le indicas a Cloud DLP que solo haga coincidir los datos que se corresponden con ese valor de probabilidad o uno superior.

El valor predeterminado de “Posible” es suficiente para la mayoría de los propósitos. Si habitualmente obtienes coincidencias demasiado amplias, mueve el control deslizante hacia arriba. Si tienes muy pocas coincidencias, mueve el control deslizante hacia abajo.

Cuando finalices, haz clic en Continuar.

Agrega acciones

En el paso Agregar acciones, selecciona una o más acciones que deseas que realice Cloud DLP después de que se complete el trabajo.

Puedes configurar las siguientes acciones:

Guardar en BigQuery: Guarda los resultados del trabajo de DLP en una tabla de BigQuery. Antes de ver o analizar los resultados, asegúrate de que el trabajo se completó.

Cada vez que se ejecuta un análisis, Cloud DLP guarda los resultados del análisis en la tabla de BigQuery que especifiques. Los resultados exportados contienen detalles sobre la ubicación de cada resultado y la probabilidad de coincidencia. Si deseas que cada resultado incluya la string que coincidió con el detector de Infotipo, habilita la opción Include quote.

Si no especificas un ID de tabla, BigQuery asigna un nombre predeterminado a una tabla nueva la primera vez que se ejecuta el análisis. Si especificas una tabla existente, Cloud DLP agrega los resultados del análisis.

Si no guardas los resultados en BigQuery, los resultados del análisis solo contienen estadísticas sobre la cantidad y los infotipos de los resultados.

Cuando los datos se escriben en una tabla de BigQuery, el uso de la facturación y la cuota se aplica al proyecto que contiene la tabla de destino.
Publicar en Pub/Sub: publica una notificación que contenga el nombre del trabajo de DLP como un atributo en un canal de Pub/Sub. Puedes especificar uno o más temas para enviar el mensaje de notificación. Asegúrate de que la cuenta de servicio de Cloud DLP que ejecuta el trabajo de análisis tenga acceso de publicación al tema.
Publicar en Security Command Center: publica un resumen de los resultados del trabajo en Security Command Center. Para obtener más información, consulta Cómo enviar los resultados del análisis de Cloud DLP a Security Command Center.
Publicar en Dataplex: Envía los resultados del trabajo a Dataplex, el servicio de administración de metadatos de Google Cloud.
Notificar por correo electrónico: Envía un correo electrónico cuando se complete el trabajo. El correo electrónico se envía a los propietarios del proyecto de IAM y a los contactos esenciales técnicos.
Publicar en Cloud Monitoring: Envía los resultados de la inspección a Cloud Monitoring en Google Cloud's operations suite.
Hacer una copia desidentificada: Desidentifica cualquier resultado de los datos inspeccionados y escribe el contenido desidentificado en un archivo nuevo. Luego, puedes usar la copia desidentificada en tus procesos empresariales, en lugar de datos que contengan información sensible. Para obtener más información, consulta Crea una copia desidentificada de los datos de Cloud Storage con Cloud DLP en la consola de Google Cloud.

Para obtener más información, consulta Acciones.

Cuando finalices de seleccionar las acciones, haz clic en Continuar.

Repaso

La sección Revisa contiene un resumen con formato JSON de la configuración del trabajo que acabas de especificar.

Haz clic en Crear para crear el trabajo (si no especificaste un programa) y ejecutar el trabajo una vez. Aparecerá la página de información del trabajo, que contiene el estado y otra información. Si el trabajo se encuentra en ejecución, puedes hacer clic en el botón Cancelar para detenerlo. También puedes borrar el trabajo si haces clic en Borrar.

Para volver a la página principal de Cloud DLP, haz clic en la flecha Atrás en Google Cloud Console.

Protocolo

Un trabajo se representa en la API de DLP con el recurso DlpJobs. Puedes crear un trabajo nuevo mediante el método projects.dlpJobs.create del recurso DlpJob.

Este JSON de muestra se puede enviar en una solicitud POST al extremo REST de Cloud DLP especificado. En este JSON de ejemplo, se muestra cómo crear un trabajo en Cloud DLP. El trabajo es un análisis de inspección de Datastore.

Para intentar realizar esto con rapidez, puedes usar el Explorador de API que se incorpora a continuación. Ten en cuenta que una solicitud correcta, incluso una creada en el Explorador de API, creará un trabajo. Si quieres obtener información general sobre el uso de JSON para enviar solicitudes a la API de DLP, consulta la guía de inicio rápido de JSON.

Entrada de JSON:

{
  "inspectJob": {
    "storageConfig": {
      "bigQueryOptions": {
        "tableReference": {
          "projectId": "bigquery-public-data",
          "datasetId": "san_francisco_sfpd_incidents",
          "tableId": "sfpd_incidents"
        }
      },
      "timespanConfig": {
        "startTime": "2020-01-01T00:00:01Z",
        "endTime": "2020-01-31T23:59:59Z",
        "timestampField": {
          "name": "timestamp"
        }
      }
    },
    "inspectConfig": {
      "infoTypes": [
        {
          "name": "PERSON_NAME"
        },
        {
          "name": "STREET_ADDRESS"
        }
      ],
      "excludeInfoTypes": false,
      "includeQuote": true,
      "minLikelihood": "LIKELY"
    },
    "actions": [
      {
        "saveFindings": {
          "outputConfig": {
            "table": {
              "projectId": "[PROJECT-ID]",
              "datasetId": "[DATASET-ID]"
            }
          }
        }
      }
    ]
  }
}

Salida de JSON:

El siguiente resultado indica que el trabajo se creó de forma correcta.

{
  "name": "projects/[PROJECT-ID]/dlpJobs/[JOB-ID]",
  "type": "INSPECT_JOB",
  "state": "PENDING",
  "inspectDetails": {
    "requestedOptions": {
      "snapshotInspectTemplate": {},
      "jobConfig": {
        "storageConfig": {
          "bigQueryOptions": {
            "tableReference": {
              "projectId": "bigquery-public-data",
              "datasetId": "san_francisco_sfpd_incidents",
              "tableId": "sfpd_incidents"
            }
          },
          "timespanConfig": {
            "startTime": "2020-01-01T00:00:01Z",
            "endTime": "2020-01-31T23:59:59Z",
            "timestampField": {
              "name": "timestamp"
            }
          }
        },
        "inspectConfig": {
          "infoTypes": [
            {
              "name": "PERSON_NAME"
            },
            {
              "name": "STREET_ADDRESS"
            }
          ],
          "minLikelihood": "LIKELY",
          "limits": {},
          "includeQuote": true
        },
        "actions": [
          {
            "saveFindings": {
              "outputConfig": {
                "table": {
                  "projectId": "[PROJECT-ID]",
                  "datasetId": "[DATASET-ID]",
                  "tableId": "[TABLE-ID]"
                }
              }
            }
          }
        ]
      }
    },
    "result": {}
  },
  "createTime": "2020-07-10T07:26:33.643Z"
}

Java

Si deseas obtener información sobre cómo instalar y usar la biblioteca cliente de Cloud DLP, consulta Bibliotecas cliente de Cloud DLP.

Para autenticar en Cloud DLP, configura las credenciales predeterminadas de la aplicación. Si deseas obtener más información, consulta Configura la autenticación para un entorno de desarrollo local.

Crea y programa trabajos de inspección de Cloud DLP

Acerca de los trabajos de inspección y activadores de trabajos

Crea un trabajo de inspección nuevo

Consola

Elige los datos de entrada

Nombre

Ubicación

Muestreo

Configuración avanzada

Archivos

Campos de identificación

Configura la detección

Plantilla

Infotipos

Conjuntos de reglas de inspección

Umbral de confianza

Agrega acciones

Repaso

Protocolo

Java

Crea un activador de trabajo nuevo

Consola

Elige los datos de entrada

Nombre

Ubicación

Muestreo

Configuración avanzada

Archivos

Campos de identificación

Configura la detección

Plantilla

Infotipos

Infotipos personalizados

Conjuntos de reglas de inspección

Umbral de confianza

Agrega acciones

Programa

Revisa

Protocolo

Java

Node.js

Python

Go

PHP

C#

Enumera todos los trabajos

Consola

Protocolo

Java

Node.js

Python

Go

PHP

C#

Enumera todos los activadores de trabajo

Consola

Protocolo

Java

Node.js

Python

Go

PHP

C#

Borra un trabajo

Consola

Protocolo

Java

Node.js

Python

Go

PHP

C#

Borra un activador de trabajo

Consola

Protocolo

Java

Node.js

Python

Go

PHP