Cloud Data Loss Prevention (Cloud DLP) ora fa parte della protezione dei dati sensibili. Il nome dell'API rimane invariato: API Cloud Data Loss Prevention (API DLP). Per informazioni sui servizi che costituiscono la protezione dei dati sensibili, consulta la panoramica sulla protezione dei dati sensibili.

Ispeziona lo spazio di archiviazione e i database di Google Cloud per individuare dati sensibili

La gestione corretta dei dati sensibili archiviati in un repository di archiviazione inizia con la classificazione dello spazio di archiviazione, che consente di identificare la posizione all'interno del repository, il tipo di dati sensibili e il modo in cui vengono utilizzati. Queste informazioni possono aiutarti a impostare correttamente le autorizzazioni di controllo e condivisione e possono far parte di un piano di monitoraggio continuo.

Sensitive Data Protection è in grado di rilevare e classificare i dati sensibili archiviati in una località di Cloud Storage, un tipo di Datastore o una tabella BigQuery. Durante l'analisi dei file nelle posizioni di Cloud Storage, Sensitive Data Protection supporta l'analisi di file binari, di testo, di immagini, Microsoft Word, Microsoft Excel, Microsoft PowerPoint, PDF e Apache Avro. I tipi di file non riconosciuti vengono analizzati come file binari. Per ulteriori informazioni sui tipi di file supportati, consulta Tipi di file supportati.

Per ispezionare lo spazio di archiviazione e i database per l'individuazione di dati sensibili, devi specificare la località dei dati e il tipo di dati sensibili che Sensitive Data Protection deve cercare. Sensitive Data Protection avvia un job che ispeziona i dati nella posizione specificata e poi rende disponibili i dettagli sugli infoTypes trovati nei contenuti, i valori di probabilità e altro ancora.

Puoi configurare l'ispezione dello spazio di archiviazione e dei database utilizzando Sensitive Data Protection nella console Google Cloud, tramite l'API DLP RESTful o in modo programmatico utilizzando una libreria client di Sensitive Data Protection in uno dei vari linguaggi.

Questo argomento include:

Best practice per la configurazione delle scansioni dei repository e dei database di Google Cloud Storage.
Istruzioni per configurare una scansione di ispezione utilizzando Sensitive Data Protection nella console Google Cloud e, facoltativamente, per pianificare scansioni di ispezione ripetute periodiche.
JSON ed esempi di codice per ogni tipo di repository di Google Cloud Storage: (Cloud Storage, Firestore in modalità Datastore (Datastore) e BigQuery).
Una panoramica dettagliata delle opzioni di configurazione per i job di scansione.
Istruzioni su come recuperare i risultati della scansione e gestire i job di scansione creati da ogni richiesta riuscita.

best practice

Identifica e dai priorità alla scansione

È importante valutare innanzitutto gli asset e specificare quali hanno la priorità più alta per la scansione. All'inizio potresti avere un grande arretrato di dati che richiedono una classificazione e sarà impossibile analizzarli tutti immediatamente. Scegli inizialmente i dati che presentano il rischio potenziale più elevato, ad esempio dati a cui si accede di frequente, ampiamente accessibili o sconosciuti.

Assicurati che Sensitive Data Protection possa accedere ai tuoi dati

Sensitive Data Protection deve essere in grado di accedere ai dati da scansionare. Assicurati che l'account di servizio di Sensitive Data Protection sia autorizzato a leggere le risorse.

Limitare l'ambito delle prime scansioni

Per ottenere risultati ottimali, limita l'ambito dei primi job anziché analizzare tutti i dati. Inizia con una tabella, un bucket o alcuni file e utilizza il campionamento. Limitando l'ambito delle prime scansioni, puoi determinare meglio quali rilevatori abilitare e quali regole di esclusione potrebbero essere necessarie per ridurre i falsi positivi in modo che i risultati siano più significativi. Evita di attivare tutti gli infoType se non ti servono tutti, poiché falsi positivi o risultati inutilizzabili potrebbero rendere difficile la valutazione del rischio. Sebbene siano utili in determinati scenari, infoType come DATE, TIME, DOMAIN_NAME e URL corrispondono a una vasta gamma di risultati e potrebbero non essere utili da attivare per le analisi di dati di grandi dimensioni.

Durante il campionamento di un file strutturato, ad esempio un file CSV, TSV o Avro, assicurati che la dimensione del campione sia sufficientemente grande da coprire l'intestazione completa del file e una riga di dati. Per ulteriori informazioni, consulta Scansione dei file strutturati in modalità di analisi strutturata.

Pianifica le scansioni

Utilizza i trigger di job di Sensitive Data Protection per eseguire automaticamente analisi e generare risultati ogni giorno, ogni settimana o ogni trimestre. Queste analisi possono anche essere configurate per ispezionare solo i dati che sono cambiati dall'ultima scansione, il che può farti risparmiare tempo e ridurre i costi. L'esecuzione periodica di analisi può aiutarti a identificare tendenze o anomalie nei risultati dell'analisi.

Latenza job

Non sono garantiti obiettivi del livello di servizio (SLO) per job e trigger di job. La latenza è influenzata da diversi fattori, tra cui la quantità di dati da scansionare, il repository di archiviazione analizzato, il tipo e il numero di infoType in fase di scansione, la regione in cui viene elaborato il job e le risorse di calcolo disponibili in quella regione. Pertanto, la latenza dei job di ispezione non può essere determinata in anticipo.

Per ridurre la latenza del job, puoi provare quanto segue:

Se il campionamento è disponibile per il job o il trigger di job, abilitalo.
Evita di attivare gli infoType che non ti servono. Sebbene quanto segue sia utile in determinati scenari, questi infoType possono eseguire le richieste molto più lentamente rispetto a quelle che non le includono:
- PERSON_NAME
- FEMALE_NAME
- MALE_NAME
- FIRST_NAME
- LAST_NAME
- DATE_OF_BIRTH
- LOCATION
- STREET_ADDRESS
- ORGANIZATION_NAME
Specifica sempre gli infoType in modo esplicito. Non utilizzare un elenco infoType vuoto.
Se possibile, utilizza una regione di elaborazione diversa.

Se continui ad avere problemi di latenza con i job dopo aver provato queste tecniche, valuta la possibilità di utilizzare le richieste content.inspect o content.deidentify anziché i job. Questi metodi sono coperti dal Contratto sul livello del servizio. Per maggiori informazioni, consulta l'Accordo sul livello del servizio di Sensitive Data Protection.

Prima di iniziare

Le istruzioni fornite in questo argomento presuppongono quanto segue:

Hai attivato la fatturazione.

Scopri come attivare la fatturazione
Hai attivato la protezione dei dati sensibili.

Abilita Sensitive Data Protection

La classificazione dello spazio di archiviazione richiede il seguente ambito OAuth: https://www.googleapis.com/auth/cloud-platform. Per maggiori informazioni, consulta Autenticazione nell'API DLP.

Ispeziona una località di Cloud Storage

Puoi configurare un'ispezione per la protezione dei dati sensibili di una località Cloud Storage utilizzando la console Google Cloud, l'API DLP tramite richieste REST o RPC oppure in modo programmatico in più lingue utilizzando una libreria client. Per informazioni sui parametri inclusi nei seguenti esempi di codice e JSON, consulta la sezione "Configurare l'ispezione dell'archiviazione" più avanti in questo argomento.

Sensitive Data Protection si basa sulle estensioni dei file e sui tipi multimediali (MIME) per identificare i tipi di file da analizzare e le modalità di scansione da applicare. Ad esempio, la protezione dei dati sensibili analizza un file .txt in modalità di testo normale, anche se è strutturato come file CSV, che in genere viene scansionato in modalità di analisi strutturata.

Per configurare un job di scansione di un bucket Cloud Storage utilizzando Sensitive Data Protection:

Console

Questa sezione descrive come ispezionare un bucket o una cartella di Cloud Storage. Se vuoi anche che Sensitive Data Protection crei una copia anonimizzata dei tuoi dati, consulta Anonimizzazione dei dati sensibili archiviati in Cloud Storage utilizzando la console Google Cloud.

Nella sezione Sensitive Data Protection della console Google Cloud, vai alla pagina Crea job o trigger di job.

Vai a Crea job o trigger di job

Nota: puoi anche avviare una scansione di Sensitive Data Protection direttamente dal browser Cloud Storage. Nella colonna più a destra relativa al bucket da scansionare, fai clic sul menu Altre azioni (visualizzato con tre puntini disposti in verticale) e poi su Scansiona con Sensitive Data Protection. La pagina di creazione del job di Sensitive Data Protection si apre in una scheda separata.
Inserisci le informazioni del job di Sensitive Data Protection e fai clic su Continua per completare ogni passaggio:
- In Passaggio 1: scegli i dati di input, assegna un nome al job inserendo un valore nel campo Nome. In Posizione, scegli Cloud Storage dal menu Tipo di archiviazione, quindi inserisci la località dei dati da analizzare. La sezione Campionamento è preconfigurata per eseguire una scansione di esempio sui dati. Puoi modificare il campo Percentuale di oggetti scansionati all'interno del bucket per risparmiare risorse se disponi di una grande quantità di dati. Per ulteriori dettagli, consulta Scegliere i dati di input.
- (Facoltativo) Per il Passaggio 2: configura il rilevamento, puoi configurare i tipi di dati da cercare, chiamati "infoTypes". Puoi selezionare un modello dall'elenco di infoType predefiniti oppure selezionare un modello, se esistente. Per maggiori dettagli, consulta Configurare il rilevamento.
- (Facoltativo) Per il Passaggio 3: aggiungi azioni, assicurati che l'opzione Notifica via email sia attiva.
  
  Abilita Salva in BigQuery per pubblicare i risultati di Sensitive Data Protection in una tabella BigQuery. Specifica quanto segue:
  - In ID progetto, inserisci l'ID progetto in cui sono archiviati i risultati.
  - In ID set di dati, inserisci il nome del set di dati in cui sono memorizzati i risultati.
  - (Facoltativo) Per ID tabella, inserisci il nome della tabella in cui sono memorizzati i risultati. Se non viene specificato alcun ID tabella, a una nuova tabella viene assegnato un nome predefinito, simile al seguente: dlp_googleapis_[DATE]_1234567890, dove [DATE] rappresenta la data di esecuzione della scansione. Se specifichi una tabella esistente, i risultati vengono aggiunti.
  - (Facoltativo) Abilita Includi virgolette per includere le stringhe che corrispondono a un rilevatore infoType. Le citazioni sono potenzialmente sensibili, quindi per impostazione predefinita Sensitive Data Protection non le include nei risultati.
  Quando i dati vengono scritti in una tabella BigQuery, l'utilizzo delle quote e della fatturazione viene applicato al progetto che contiene la tabella di destinazione.
  
  Se vuoi creare una copia anonimizzata dei tuoi dati, attiva Crea una copia anonimizzata. Per maggiori informazioni, consulta Anonimizzazione dei dati sensibili archiviati in Cloud Storage utilizzando la console Google Cloud.
  
  Puoi anche salvare i risultati in Pub/Sub, Security Command Center, Data Catalog e Cloud Monitoring. Per maggiori dettagli, consulta Aggiungere azioni.
- (Facoltativo) Per il Passaggio 4: pianifica, per eseguire l'analisi una sola volta, lascia il menu impostato su Nessuna. Per pianificare l'esecuzione periodica delle scansioni, fai clic su Crea un trigger per eseguire il job in base a una pianificazione periodica. Per ulteriori dettagli, consulta la sezione Programmazione.
Fai clic su Crea.
Una volta completato il job di Sensitive Data Protection, il sistema ti reindirizzerà alla pagina dei dettagli del job e riceverai una notifica via email. Puoi visualizzare i risultati dell'ispezione nella pagina dei dettagli del job.
(Facoltativo) Se hai scelto di pubblicare i risultati di Sensitive Data Protection in BigQuery, nella pagina Dettagli job fai clic su Visualizza risultati in BigQuery per aprire la tabella nell'interfaccia utente web di BigQuery. Puoi quindi eseguire query sulla tabella e analizzare i risultati. Per ulteriori informazioni sull'esecuzione di query sui risultati in BigQuery, consulta Esecuzione di query sui risultati di Sensitive Data Protection in BigQuery.

Protocollo

Di seguito è riportato un esempio di JSON che può essere inviato in una richiesta POST all'endpoint REST di Sensitive Data Protection specificato. Questo JSON di esempio mostra come utilizzare l'API DLP per ispezionare i bucket Cloud Storage. Per informazioni sui parametri inclusi nella richiesta, consulta "Configurare l'ispezione dello spazio di archiviazione" più avanti in questo argomento.

Puoi provare rapidamente questa funzionalità in Explorer API nella pagina di riferimento per content.inspect:

Vai ad Explorer API

Tieni presente che una richiesta riuscita, anche in Explorer API, creerà un nuovo job di scansione. Per informazioni su come controllare i job di scansione, consulta "Recuperare i risultati dell'ispezione" più avanti in questo argomento. Per informazioni generali sull'utilizzo di JSON per inviare richieste all'API DLP, consulta la guida rapida di JSON.

Input JSON:

POST https://dlp.googleapis.com/v2/projects/[PROJECT-ID]/dlpJobs?key={YOUR_API_KEY}

{
  "inspectJob":{
    "storageConfig":{
      "cloudStorageOptions":{
        "fileSet":{
          "url":"gs://[BUCKET-NAME]/*"
        },
        "bytesLimitPerFile":"1073741824"
      },
      "timespanConfig":{
        "startTime":"2017-11-13T12:34:29.965633345Z",
        "endTime":"2018-01-05T04:45:04.240912125Z"
      }
    },
    "inspectConfig":{
      "infoTypes":[
        {
          "name":"PHONE_NUMBER"
        }
      ],
      "excludeInfoTypes":false,
      "includeQuote":true,
      "minLikelihood":"LIKELY"
    },
    "actions":[
      {
        "saveFindings":{
          "outputConfig":{
            "table":{
              "projectId":"[PROJECT-ID]",
              "datasetId":"[DATASET-ID]"
            }
          }
        }
      }
    ]
  }
}

Output JSON:

{
  "name":"projects/[PROJECT-ID]/dlpJobs/[JOB-ID]",
  "type":"INSPECT_JOB",
  "state":"PENDING",
  "inspectDetails":{
    "requestedOptions":{
      "snapshotInspectTemplate":{

      },
      "jobConfig":{
        "storageConfig":{
          "cloudStorageOptions":{
            "fileSet":{
              "url":"gs://[BUCKET-NAME]/*"
            },
            "bytesLimitPerFile":"1073741824"
          },
          "timespanConfig":{
            "startTime":"2017-11-13T12:34:29.965633345Z",
            "endTime":"2018-01-05T04:45:04.240912125Z"
          }
        },
        "inspectConfig":{
          "infoTypes":[
            {
              "name":"PHONE_NUMBER"
            }
          ],
          "minLikelihood":"LIKELY",
          "limits":{

          },
          "includeQuote":true
        },
        "actions":[
          {
            "saveFindings":{
              "outputConfig":{
                "table":{
                  "projectId":"[PROJECT-ID]",
                  "datasetId":"[DATASET-ID]",
                  "tableId":"[NEW-TABLE-ID]"
                }
              }
            }
          }
        ]
      }
    }
  },
  "createTime":"2018-11-07T18:01:14.225Z"
}

Java

Per scoprire come installare e utilizzare la libreria client per Sensitive Data Protection, consulta Librerie client di Sensitive Data Protection.

Per eseguire l'autenticazione in Sensitive Data Protection, configura Credenziali predefinite dell'applicazione. Per maggiori informazioni, consulta Configurare l'autenticazione per un ambiente di sviluppo locale.

Ispeziona lo spazio di archiviazione e i database di Google Cloud per individuare dati sensibili

best practice

Identifica e dai priorità alla scansione

Assicurati che Sensitive Data Protection possa accedere ai tuoi dati

Limitare l'ambito delle prime scansioni

Pianifica le scansioni

Latenza job

Prima di iniziare

Ispeziona una località di Cloud Storage

Console

Protocollo

Java

Node.js

Python

Go

PHP

C#

Ispeziona un tipo di Datastore

Console

Protocollo

Java

Node.js

Python

Go

PHP

C#

Ispeziona una tabella BigQuery

Console

Protocollo

Java

Node.js

Python

Go

PHP

C#

Configura l'ispezione dello spazio di archiviazione

Limitare la quantità di contenuti ispezionati

Limitare le scansioni di Cloud Storage

C#

Go

Java

Node.js

PHP

Python

REST

Limitare le analisi di BigQuery

Go

Java

Node.js

PHP

Python

C#

REST

Recupero dei risultati dell'ispezione

Passaggi successivi