Profila i dati di BigQuery in un'organizzazione o una cartella

Questa pagina descrive come configurare il rilevamento dei dati BigQuery a livello di organizzazione o cartella. Se vuoi creare il profilo di un progetto, consulta Creare il profilo dei dati BigQuery in un singolo progetto.

Per ulteriori informazioni sul servizio di rilevamento, consulta Profili di dati.

Per iniziare a creare i profili dei dati, devi creare una configurazione della scansione.

Prima di iniziare

1. Verifica di disporre delle autorizzazioni IAM necessarie per configurare i profili dei dati a livello di organizzazione.

   Se non disponi del ruolo Amministratore organizzazione (roles/resourcemanager.organizationAdmin) o Amministratore sicurezza (roles/iam.securityAdmin), puoi comunque creare una configurazione di scansione. Tuttavia, dopo aver creato la configurazione della scansione, un utente con uno di questi ruoli deve concedere l'accesso alla profilazione dei dati all'agente di servizio.

2. Devi avere un modello di ispezione in ogni regione in cui sono presenti i dati da profilare. Se vuoi utilizzare un unico modello per più regioni, puoi utilizzare un modello archiviato nella regione global. Se i criteri organizzativi ti impediscono di creare un modello di ispezione nella regione global, devi impostare un modello di ispezione dedicato per ogni regione. Per ulteriori informazioni, consulta Considerazioni sulla residenza dei dati.

   Questa attività ti consente di creare un modello di ispezione solo nella regione global. Se hai bisogno di modelli di ispezione dedicati per una o più regioni, devi crearli prima di eseguire questa operazione.

3. Per inviare notifiche Pub/Sub a un argomento quando si verificano determinati eventi, ad esempio quando Sensitive Data Protection profila una nuova tabella, crea un argomento Pub/Sub prima di eseguire questa operazione.

4. Puoi configurare Sensitive Data Protection in modo che colleghi automaticamente i tag alle tue risorse. Questa funzionalità ti consente di concedere l'accesso a queste risorse in base ai relativi livelli di sensibilità calcolati. Se vuoi utilizzare questa funzionalità, devi prima completare le attività descritte in Controllare l'accesso IAM alle risorse in base alla sensibilità dei dati.

Per generare profili di dati, devi disporre di un container per l'agente di servizio e di un agente di servizio. Questa attività ti consente di crearli automaticamente.

Creazione di una configurazione di scansione

1. Vai alla pagina Crea configurazione scansione.

   Vai a Crea configurazione di scansione

2. Vai alla tua organizzazione. Nella barra degli strumenti, fai clic sul selettore di progetti e seleziona la tua organizzazione.

Le sezioni seguenti forniscono ulteriori informazioni sui passaggi nella pagina Crea configurazione di scansione. Al termine di ogni sezione, fai clic su Continua.

Seleziona un tipo di rilevamento

Seleziona BigQuery.

Seleziona ambito

Esegui una di queste operazioni:

• Per configurare il profilo a livello di organizzazione, seleziona Scandina l'intera organizzazione.
• Per configurare il profilo a livello di cartella, seleziona Scansiona la cartella selezionata. Fai clic su Sfoglia e seleziona la cartella.

Gestisci pianificazioni

Se la frequenza di analisi predefinita soddisfa le tue esigenze, puoi saltare questa sezione della pagina Crea configurazione di analisi.

Configura questa sezione per i seguenti motivi:

• Per apportare aggiustamenti granulari alla frequenza di profilazione di tutti i dati o di determinati sottoinsiemi di dati.
• Per specificare le tabelle di cui non vuoi creare il profilo.
• Per specificare le tabelle di cui non vuoi eseguire il profilo più di una volta.

Per apportare modifiche precise alla frequenza di profilazione:

1. Fai clic su Aggiungi pianificazione.

2. Nella sezione Filtri, definisci uno o più filtri che specificano le tabelle che rientrano nell'ambito della pianificazione.

   Specifica almeno uno dei seguenti elementi:

   • Un ID progetto o un'espressione regolare che specifica uno o più progetti
   • Un ID set di dati o un'espressione regolare che specifica uno o più set di dati
   • Un ID tabella o un'espressione regolare che specifica una o più tabelle

   Le espressioni regolari devono seguire la sintassi RE2.

   Ad esempio, se vuoi che tutte le tabelle di un progetto vengano incluse nel filtro, specifica l'ID del progetto e lascia vuoti gli altri due campi.

   Se vuoi aggiungere altri filtri, fai clic su Aggiungi filtro e ripeti questo passaggio.

3. Fai clic su Frequenza.

4. Nella sezione Frequenza, specifica se Sensitive Data Protection deve profilare le tabelle definite nei filtri e, in caso affermativo, con quale frequenza:

   • Se non vuoi mai che le tabelle vengano profilate, disattiva Profila le tabelle.

   • Se vuoi che le tabelle vengano profilate almeno una volta, lascia attiva l'opzione Profila le tabelle.

     Nei campi successivi di questa sezione, specifica se il sistema deve eseguire il nuovo profilo dei dati e quali eventi devono attivare un'operazione di nuovo profilo. Per ulteriori informazioni, consulta la sezione Frequenza di generazione del profilo dei dati.

     1. In Quando cambia lo schema, specifica la frequenza con cui Sensitive Data Protection deve verificare se le tabelle selezionate hanno subito modifiche allo schema dopo l'ultima profilazione. Verranno riprofilate solo le tabelle con modifiche allo schema.
     2. In Tipi di modifica dello schema, specifica i tipi di modifiche allo schema che devono attivare un'operazione di riprofilazione. Seleziona una delle seguenti opzioni:
        • Nuove colonne: riprofila le tabelle che hanno acquisito nuove colonne.
        • Colonne rimosse: esegui nuovamente il profilo delle tabelle di cui sono state rimosse le colonne.

        Ad esempio, supponi di avere tabelle che acquisiscono nuove colonne ogni giorno e devi profilare i relativi contenuti ogni volta. Puoi impostare Quando cambia lo schema su Nuova profilazione ogni giorno e impostare Tipi di modifica dello schema su Nuove colonne.

     3. Per Quando la tabella cambia, specifica la frequenza con cui Sensitive Data Protection deve verificare se le tabelle selezionate sono state modificate dopo l'ultima profilazione. Verrà eseguito il nuovo profilo solo per le tabelle con modifiche. Alcuni esempi di modifiche alle tabelle sono le eliminazioni di righe e le modifiche allo schema.

        Devi selezionare un valore uguale o meno frequente di quello impostato nel campo Quando cambia lo schema.

     4. Per Quando si esaminano le modifiche al modello, specifica se vuoi che i dati vengano riprofilati quando il modello di ispezione associato viene aggiornato e, in questo caso, con quale frequenza.
        Nota: specifica i modelli di ispezione da utilizzare nel passaggio Seleziona il modello di ispezione di questa pagina.

        Una modifica al modello di ispezione viene rilevata quando si verifica una delle seguenti condizioni:

        • Il nome di un modello di ispezione cambia nella configurazione della scansione.
        • Il valore updateTime di un modello di ispezione cambia.

     Ad esempio, se imposti un modello di ispezione per la regione us-west1 e lo aggiorni, verrà eseguita la nuova profilazione solo dei dati nella regione us-west1.

5. Fai clic su Condizioni.

6. Nella sezione Condizioni, specifica le condizioni che le tabelle, definite nei filtri, devono soddisfare prima che Sensitive Data Protection le profili. Se imposti le condizioni minime e la condizione temporale, Sensitive Data Protection profila solo le tabelle che soddisfano entrambi i tipi di condizioni.

   • Condizioni minime: queste condizioni sono utili se vuoi ritardare il profiling di una tabella finché non contiene righe sufficienti o fino a quando non raggiunge una determinata età. Attiva le condizioni che vuoi applicare e specifica il conteggio minimo delle righe o la durata.
   • Condizione temporale: questa condizione è utile se non vuoi che le vecchie tabelle vengano mai profilate. Attiva la condizione di tempo e scegli una data e un'ora. Qualsiasi tabella creata in questa data o prima viene esclusa dal profiling.

   Condizioni di esempio

   Supponiamo che tu abbia la seguente configurazione:

   • Condizioni minime

     • Numero minimo di righe: 10 righe
     • Durata minima: 24 ore

   • Condizione temporale

     • Timestamp: 4/05/22, 23:59

   In questo caso, Sensitive Data Protection esclude tutte le tabelle create entro il giorno 4 maggio 2022 alle ore 23:59. Tra le tabelle create dopo questa data e ora, Sensitive Data Protection profila solo quelle con 10 righe o con almeno 24 ore di età.

7. Nella sezione Tabelle da profilare, seleziona una delle seguenti opzioni, a seconda del tipo di tabelle che vuoi profilare:

   • Esegui il profilo di tutte le tabelle: seleziona questa opzione se vuoi che Sensitive Data Protection profili tutti i tipi di tabelle corrispondenti ai tuoi filtri e alle tue condizioni.

     Per i tipi di tabelle non supportati, Sensitive Data Protection genera solo profili parzialmente compilati. Questi profili mostrano errori che indicano che le tabelle a cui appartengono non sono supportate. Seleziona questa opzione se vuoi visualizzare i profili parziali nonostante i messaggi di errore.

     Quando Sensitive Data Protection aggiunge il supporto per un nuovo tipo di tabella, ne riprofila completamente le tabelle di quel tipo durante l'esecuzione pianificata successiva.

   • Profila le tabelle supportate: seleziona questa opzione se vuoi che Sensitive Data Protection profili solo le tabelle supportate che corrispondono ai tuoi filtri e alle tue condizioni. Le tabelle non supportate non avranno profili parziali.

   • Esegui il profilo di tipi di tabelle specifici: seleziona questa opzione se vuoi che la funzionalità Protezione dei dati sensibili profili solo i tipi di tabelle che selezioni. Nell'elenco visualizzato, seleziona uno o più tipi.

     Quando Sensitive Data Protection aggiunge il supporto per un nuovo tipo di tabella, non genera automaticamente il profilo delle tabelle di quel tipo. Per creare il profilo dei tipi di tabella di nuova introduzione, devi modificare la configurazione della scansione e selezionare questi tipi.

   Se non selezioni un'opzione, Sensitive Data Protection profila solo le tabelle BigQuery e mostra errori per le tabelle non supportate.

   I prezzi della profilazione dei dati variano in base ai tipi di tabelle profilate. Per ulteriori informazioni, consulta Prezzi della profilazione dei dati.

8. Fai clic su Fine.

9. Se vuoi aggiungere altre pianificazioni, fai clic su Aggiungi pianificazione e ripeti i passaggi precedenti.

10. Per specificare la precedenza tra le pianificazioni, riordinale utilizzando le frecce su e giù.

    L'ordine dei programmi specifica in che modo vengono risolti i conflitti tra i programmi. Se una tabella corrisponde ai filtri di due pianificazioni diverse, la pianificazione più in alto nell'elenco delle pianificazioni determina la frequenza di profilazione per quella tabella.

    Nota: se la modalità di determinazione dei prezzi di Discovery è la modalità abbonamento, la frequenza con cui Sensitive Data Protection profila i tuoi dati è influenzata dalla quantità di capacità che hai acquistato. Per determinare la tua capacità di profilazione giornaliera, consulta la sezione Monitoraggio dell'utilizzo. Se hai eseguito un provisioning insufficiente della capacità, le frequenze di profilazione impostate nelle pianificazioni potrebbero non essere rispettate. Se esiste una coda di tabelle da profilare, l'ordine di pianificazione non determina l'ordine in cui Sensitive Data Protection profila le tabelle nella coda. ma tutte le tabelle nell'ambito vengono assegnate in modo casuale alla coda.

    L'ultima pianificazione nell'elenco è sempre quella etichettata come Pianificazione predefinita. Questa pianificazione predefinita copre le tabelle nell'ambito selezionato che non corrispondono a nessuna delle pianificazioni che hai creato. Questa pianificazione predefinita segue la frequenza di profilazione predefinita del sistema.

11. Se vuoi modificare la pianificazione predefinita, fai clic su Modifica pianificazione e modifica le impostazioni in base alle esigenze.

Seleziona modello di ispezione

A seconda di come vuoi fornire una configurazione di ispezione, scegli una delle seguenti opzioni. Indipendentemente dall'opzione scelta, Sensitive Data Protection analizza i dati nella regione in cui sono archiviati. Ciò significa che i dati non vengono trasferiti dalla regione di origine.

Opzione 1: crea un modello di ispezione

Scegli questa opzione se vuoi creare un nuovo modello di ispezione nella regione global.

1. Fai clic su Crea nuovo modello di ispezione.

2. (Facoltativo) Per modificare la selezione predefinita degli infoType, fai clic su Gestisci infoType.

   Per ulteriori informazioni su come gestire gli infoType integrati e personalizzati, consulta Gestire gli infoType tramite la console Google Cloud.

   Per continuare, devi avere selezionato almeno un infoType.

3. (Facoltativo) Configura ulteriormente il modello di ispezione aggiungendo set di regole e impostando una soglia di confidenza. Per ulteriori informazioni, consulta Configurare il rilevamento.

Quando Sensitive Data Protection crea la configurazione di scansione, archivia questo nuovo modello di ispezione nella regione global.

Opzione 2: utilizza un modello di ispezione esistente

Scegli questa opzione se hai modelli di ispezione esistenti che vuoi utilizzare.

1. Fai clic su Seleziona un modello di ispezione esistente.

2. Inserisci il nome completo della risorsa del modello di ispezione che vuoi utilizzare. Il campo Regione viene compilato automaticamente con il nome della regione dove è archiviato il modello di ispezione.

   Il modello di ispezione inserito deve trovarsi nella stessa regione dei dati da profilare.

   Per rispettare la residenza dei dati, Sensitive Data Protection non utilizza un modello di ispezione al di fuori della regione in cui è archiviato.

   Per trovare il nome completo della risorsa di un modello di ispezione, segui questi passaggi:

   1. Vai all'elenco dei modelli di ispezione. Questa pagina si apre in una scheda separata.

      Vai ai modelli di ispezione

   2. Passa al progetto che contiene il modello di ispezione che vuoi utilizzare.

   3. Nella scheda Modelli, fai clic sull'ID del modello che vuoi utilizzare.

   4. Nella pagina visualizzata, copia il nome completo della risorsa del modello. Il nome completo della risorsa segue questo formato:

      projects/PROJECT_ID/locations/REGION/inspectTemplates/TEMPLATE_ID

   5. Nella pagina Crea configurazione di scansione, incolla il nome completo della risorsa del modello nel campo Nome modello.

3. Per aggiungere un modello di ispezione per un'altra regione, fai clic su Aggiungi modello di ispezione e inserisci il nome completo della risorsa del modello. Ripeti questa operazione per ogni regione in cui hai un modello di ispezione dedicato.

4. (Facoltativo) Aggiungi un modello di ispezione archiviato nella regione global. Sensitive Data Protection utilizza automaticamente questo modello per i dati nelle regioni in cui non hai un modello di ispezione dedicato.

   Attenzione: se non includi un modello di ispezione archiviato nella regione global, Sensitive Data Protection non può creare il profilo dei dati nelle regioni che non dispongono di un modello di ispezione dedicato. Per ulteriori informazioni, consulta Considerazioni sulla residenza dei dati.

Aggiungi azioni

Nelle sezioni seguenti, specifica le azioni che vuoi che Sensitive Data Protection esegua dopo aver generato i profili dei dati.

Per informazioni su come altri servizi Google Cloud potrebbero addebitarti la configurazione delle azioni, consulta Prezzi per l'esportazione dei profili di dati.

Pubblica in Google Security Operations

Le metriche raccolte dai profili dei dati possono aggiungere contesto ai risultati di Google Security Operations. Il contesto aggiuntivo può aiutarti a determinare i problemi di sicurezza più importanti da risolvere.

Ad esempio, se stai esaminando un determinato agente di servizio, Google Security Operations può determinare a quali risorse ha avuto accesso l'agente di servizio e se una di queste risorse conteneva dati altamente sensibili.

Per inviare i profili dei dati all'istanza di Google Security Operations, attiva Google Security Operations.

Se non hai attivato un'istanza Google Security Operations per la tua organizzazione tramite il prodotto autonomo o tramite Security Command Center Enterprise, l'attivazione di questa opzione non ha alcun effetto.

Pubblica su Security Command Center

I risultati dei profili di dati forniscono il contesto quando valuti e sviluppi piani di risposta per i risultati relativi a vulnerabilità e minacce in Security Command Center.

Nota: puoi anche configurare Security Command Center in modo che assegni automaticamente la priorità alle risorse per la funzionalità di simulazione del percorso di attacco in base alla sensibilità calcolata dei dati contenuti nelle risorse. Per ulteriori informazioni, consulta Impostare automaticamente i valori di priorità delle risorse in base alla sensibilità dei dati.

Prima di poter utilizzare questa azione, Security Command Center deve essere attivato a livello di organizzazione. L'attivazione di Security Command Center a livello di organizzazione consente il flusso dei risultati provenienti da servizi integrati come Sensitive Data Protection. Sensitive Data Protection funziona con Security Command Center in tutti i livelli di servizio.

Se Security Command Center non è attivato a livello di organizzazione, i risultati di Sensitive Data Protection non verranno visualizzati in Security Command Center. Per ulteriori informazioni, vedi Controllare il livello di attivazione di Security Command Center.

Per inviare i risultati dei profili di dati a Security Command Center, assicurati che l'opzione Pubblica in Security Command Center sia attivata.

Per ulteriori informazioni, vedi Pubblicare i profili di dati in Security Command Center.

Salva le copie dei profili dati su BigQuery

L'attivazione dell'opzione Salva le copie dei profili dati in BigQuery ti consente di conservare una copia salvata o la cronologia di tutti i profili generati. Questa operazione può essere utile per creare report di controllo e visualizzare i profili dei dati. Puoi anche caricare queste informazioni in altri sistemi.

Inoltre, questa opzione ti consente di visualizzare tutti i tuoi profili di dati in un'unica visualizzazione, indipendentemente dalla regione in cui si trovano i dati. Se disattivi questa opzione, puoi comunque visualizzare i profili di dati nella console Google Cloud. Tuttavia, nella console Google Cloud puoi selezionare una regione alla volta e visualizzare solo i profili di dati per quella regione.

Nota: quando Sensitive Data Protection non riesce a profilare una tabella, riprova periodicamente. Per ridurre al minimo il rumore nei dati esportati, Sensitive Data Protection esporta in BigQuery solo i profili generati correttamente.

Per esportare copie dei profili di dati in una tabella BigQuery:

1. Attiva Salva le copie dei profili dati in BigQuery.

2. Inserisci i dettagli della tabella BigQuery in cui vuoi salvare le copie del profilo dati:

   • In ID progetto, inserisci l'ID di un progetto esistente in cui vuoi esportare i profili dei dati.

   • In ID set di dati, inserisci il nome di un set di dati esistente nel progetto куда vuoi esportare i profili di dati.

   • In ID tabella, inserisci un nome per la tabella BigQuery in cui verranno esportati i profili dei dati. Se questa tabella non esiste, Sensitive Data Protection la crea automaticamente utilizzando il nome fornito.

Sensitive Data Protection inizia a esportare i profili dal momento in cui attivi questa opzione. I profili generati prima dell'attivazione dell'esportazione non vengono salvati in BigQuery.

Nota: l'agente di servizio deve avere accesso in scrittura alla tabella in cui verranno salvate le copie del profilo. Se non hai ancora un agente di servizio, Sensitive Data Protection ti consente di crearne uno in un secondo momento nella pagina Crea configurazione di scansione.

Ad esempio, consulta Analisi dei profili dei dati per informazioni sulle query che puoi utilizzare per analizzare i profili dei dati.

Salva i risultati del rilevamento di esempio in BigQuery

Sensitive Data Protection può aggiungere risultati di esempio a una tabella BigQuery a tua scelta. I risultati di esempio rappresentano un sottoinsieme di tutti i risultati e potrebbero non rappresentare tutti gli infoType rilevati. In genere, il sistema genera circa 10 risultati di esempio per tabella, ma questo numero può variare per ogni esecuzione del rilevamento.

Ogni risultato include la stringa effettiva (chiamata anche citazione) rilevata e la relativa posizione esatta.

Nota: la tabella specificata per questa azione deve essere diversa da quella specificata per l'azione Salva le copie dei profili di dati in BigQuery.

Questa azione è utile se vuoi valutare se la configurazione dell'ispezione corrisponde correttamente al tipo di informazioni che vuoi segnalare come sensibili. Utilizzando i profili dei dati esportati e i risultati del campione esportati, puoi eseguire query per ottenere ulteriori informazioni sugli elementi specifici segnalati, sugli infoType corrispondenti, sulle relative posizioni esatte, sui livelli di sensibilità calcolati e su altri dettagli.

Query di esempio: mostra i risultati di esempio relativi ai profili dei dati della tabella

Questo esempio richiede l'abilitazione sia di Salva le copie dei profili dati in BigQuery sia di Salva i risultati del rilevamento di esempio in BigQuery.

La seguente query utilizza un'operazione INNER JOIN sia sulla tabella dei profili dei dati esportati sia sulla tabella dei risultati del campione esportati. Nella tabella risultante, ogni record mostra la citazione del risultato, l'infoType a cui corrisponde, la risorsa che contiene il risultato e il livello di sensibilità calcolato della risorsa.

SELECT
 findings_table.quote,
 findings_table.infotype.name,
 findings_table.location.container_name,
 findings_table.location.data_profile_finding_record_location.field.name AS field_name,
 profiles_table.table_profile.dataset_project_id AS project_id,
 profiles_table.table_profile.dataset_id AS dataset_id,
 profiles_table.table_profile.table_id AS table_id,
 profiles_table.table_profile.sensitivity_score AS table_sensitivity_score
 FROM
 `FINDINGS_TABLE_PROJECT_ID.FINDINGS_TABLE_DATASET_ID.FINDINGS_TABLE_ID_latest_v1` AS findings_table
INNER JOIN
 `PROFILES_TABLE_PROJECT_ID.PROFILES_TABLE_DATASET_ID.PROFILES_TABLE_ID_latest_v1` AS profiles_table
ON
 findings_table.data_profile_resource_name=profiles_table.table_profile.name

Per salvare i risultati di esempio in una tabella BigQuery, segui questi passaggi:

1. Attiva Salva i risultati del rilevamento di esempio in BigQuery.

2. Inserisci i dettagli della tabella BigQuery in cui vuoi salvare i risultati di esempio.

   • In ID progetto, inserisci l'ID di un progetto esistente in cui vuoi esportare i risultati.

   • In ID set di dati, inserisci il nome di un set di dati esistente nel progetto.

   • In ID tabella, inserisci il nome della tabella BigQuery in cui vuoi salvare i risultati. Se questa tabella non esiste, Sensitive Data Protection la crea automaticamente utilizzando il nome fornito.

Nota: l'agente di servizio deve avere accesso in scrittura alla tabella. Se non hai ancora un agente di servizio, Sensitive Data Protection ti consente di crearne uno in un secondo momento nella pagina Crea configurazione di scansione.

Per informazioni sui contenuti di ogni risultato salvato nella tabella BigQuery, consulta DataProfileFinding.

Associa tag alle risorse

L'attivazione dell'opzione Allega tag alle risorse indica a Sensitive Data Protection di applicare automaticamente i tag ai dati in base al livello di sensibilità calcolato. Per questa sezione devi prima completare le attività descritte in Controllare l'accesso IAM alle risorse in base alla sensibilità dei dati.

Per taggare automaticamente una risorsa in base al relativo livello di sensibilità calcolato:

1. Attiva l'opzione Tagga risorse.

2. Per ogni livello di sensibilità (alto, moderato, basso e sconosciuto), inserisci il percorso del valore del tag che hai creato per il livello di sensibilità specificato.

   Se salti un livello di sensibilità, non viene associato alcun tag.

3. Per abbassare automaticamente il livello di rischio dei dati di una risorsa quando è presente il tag del livello di sensibilità, seleziona Quando un tag viene applicato a una risorsa, riduci il rischio dei dati del profilo impostandolo su BASSO. Questa opzione ti consente di misurare il miglioramento della tua situazione in termini di sicurezza e privacy dei dati.

   Importante: questa opzione sostituisce il livello di rischio calcolato dei dati della risorsa sottoposta a profilazione.

4. Seleziona una o entrambe le seguenti opzioni:

   • Tagga una risorsa quando viene profilata per la prima volta.

   • Tagga una risorsa quando il suo profilo viene aggiornato. Seleziona questa opzione se vuoi che Sensitive Data Protection sovrascriva il valore del tag del livello di sensibilità nelle esecuzioni successive del rilevamento. Di conseguenza, l'accesso di un amministratore a una risorsa cambia automaticamente con l'aumento o la diminuzione del livello di sensibilità dei dati calcolato per la risorsa.

     Non selezionare questa opzione se prevedi di aggiornare manualmente i valori dei tag del livello di sensibilità che il servizio di rilevamento ha associato alle tue risorse. Se selezioni questa opzione, Sensitive Data Protection può sovrascrivere i tuoi aggiornamenti manuali.

Pubblica in Pub/Sub

L'attivazione di Pubblica in Pub/Sub ti consente di eseguire azioni programmatiche in base ai risultati del profilo. Puoi utilizzare le notifiche Pub/Sub per sviluppare un flusso di lavoro per rilevare e correggere i risultati con rischi o sensibilità significativi per i dati.

Per inviare notifiche a un argomento Pub/Sub:

1. Attiva Pubblica in Pub/Sub.

   Viene visualizzato un elenco di opzioni. Ogni opzione descrive un evento che causa la spedizione di una notifica da parte di Sensitive Data Protection a Pub/Sub.

2. Seleziona gli eventi che devono attivare una notifica Pub/Sub.

   Se selezioni Invia una notifica Pub/Sub ogni volta che un profilo viene aggiornato, Sensitive Data Protection invia una notifica quando si verifica una variazione nel livello di sensibilità, nel livello di rischio dei dati, negli infoType rilevati, nell'accesso pubblico e in altre metriche importanti nel profilo.

3. Per ogni evento selezionato:

   1. Inserisci il nome dell'argomento. Il nome deve avere il seguente formato:

      projects/PROJECT_ID/topics/TOPIC_ID
      

      Sostituisci quanto segue:

      • PROJECT_ID: l'ID del progetto associato all'argomento Pub/Sub.
      • TOPIC_ID: l'ID dell'argomento Pub/Sub.

   2. Specifica se includere nella notifica il profilo completo della tabella o solo il nome completo della risorsa della tabella di cui è stato eseguito il profilo.

   3. Imposta i livelli minimi di rischio e sensibilità dei dati che devono essere soddisfatti affinché Sensitive Data Protection invii una notifica.

   4. Specifica se deve essere soddisfatta una sola o entrambe le condizioni di rischio e sensibilità dei dati. Ad esempio, se scegli AND, devono essere soddisfatte sia le condizioni relative al rischio dei dati sia quelle relative alla sensibilità prima che Sensitive Data Protection invii una notifica.

Nota: l'agente di servizio deve disporre di accesso in qualità di editor all'argomento Pub/Sub. Un esempio di ruolo con accesso alla pubblicazione è il ruolo Publisher Pub/Sub (roles/pubsub.publisher). Se non hai ancora un agente di servizio, Sensitive Data Protection ti consente di crearne uno in un secondo momento nella pagina Creare configurazione di scansione. Se si verificano problemi di configurazione o autorizzazione con l'argomento Pub/Sub, la Protezione dei dati sensibili riprova a inviare la notifica Pub/Sub per un massimo di due settimane. Dopo due settimane, la notifica viene eliminata.

Invia a Dataplex come tag

Questa azione ti consente di creare tag in Dataplex in base alle informazioni ricavate dai profili dati. Questa azione viene applicata solo ai profili nuovi e aggiornati. I profili esistenti che non vengono aggiornati non vengono inviati a Dataplex.

Dataplex è un servizio Google Cloud che unifica i dati distribuiti e automatizza la gestione e la governance dei dati. Quando attivi questa azione, le tabelle di cui esegui il profilo vengono automaticamente etichettate in Dataplex in base agli approfondimenti raccolti dai profili dei dati. Puoi quindi cercare nella tua organizzazione e nei tuoi progetti tabelle con valori di tag specifici.

Per inviare i profili dei dati a Dataplex, assicurati che l'opzione Invia a Dataplex come tag sia attivata.

Per saperne di più, consulta Etichettare le tabelle in Dataplex in base alle informazioni ricavate dai profili dei dati.

Gestisci container e fatturazione dell'agente di servizio

In questa sezione, specifica il progetto da utilizzare come container dell'agente di servizio. Puoi chiedere a Protezione dei dati sensibili di creare automaticamente un nuovo progetto oppure scegliere un progetto esistente.

Indipendentemente dal fatto che tu stia utilizzando un agente di servizio appena creato o ne stia riutilizzando uno esistente, assicurati che abbia accesso in lettura ai dati da profilare.

Creare automaticamente un progetto

Se non disponi delle autorizzazioni necessarie per creare un progetto nell'organizzazione, devi selezionarne uno esistente o ottenere le autorizzazioni richieste. Per informazioni sulle autorizzazioni richieste, consulta Ruoli richiesti per lavorare con i profili dei dati a livello di organizzazione o di cartella.

Per creare automaticamente un progetto da utilizzare come contenitore dell'agente di servizio:

1. Nel campo Container dell'agente di servizio, controlla l'ID progetto suggerito e modificalo se necessario.
2. Fai clic su Crea.
3. (Facoltativo) Aggiorna il nome predefinito del progetto.

4. Seleziona l'account a cui fatturare tutte le operazioni fatturabili relative a questo nuovo progetto, incluse quelle non correlate al rilevamento.

   Nota: se hai già un abbonamento Discovery a livello di organizzazione, questo account di fatturazione è comunque necessario per creare il progetto. Tuttavia, per tutte le operazioni di rilevamento, la fatturazione avviene tramite il progetto associato al tuo abbonamento.

5. Fai clic su Crea.

Sensitive Data Protection crea il nuovo progetto. L'agente di servizio all'interno di questo progetto verrà utilizzato per l'autenticazione in Sensitive Data Protection e altre API.

Seleziona un progetto esistente

Per selezionare un progetto esistente come container dell'agente di servizio, fai clic sul campo Container dell'agente di servizio e seleziona il progetto.

Imposta la posizione in cui archiviare la configurazione

Fai clic sull'elenco Posizione della risorsa e seleziona la regione in cui vuoi archiviare questa configurazione di scansione. Anche tutte le configurazioni di scansione che creerai in seguito verranno archiviate in questa posizione.

La posizione in cui scegli di archiviare la configurazione della scansione non influisce sui dati da esaminare. I tuoi dati vengono sottoposti a scansione nella stessa regione in cui sono archiviati. Per ulteriori informazioni, consulta Considerazioni sulla residenza dei dati.

Nota: se hai già una configurazione di scansione esistente, non puoi modificare il valore impostato in questo campo. Tutte le configurazioni di scansione sono archiviate nella stessa posizione. Se vuoi modificare la posizione di tutte le configurazioni di scansione, devi eliminarle, ricrearle e archiviarle nella nuova posizione.

Rivedi e crea

1. Se vuoi assicurarti che la profilazione non venga avviata automaticamente dopo la creazione della configurazione della scansione, seleziona Crea analisi in modalità in pausa.

   Questa opzione è utile nei seguenti casi:

   • L'amministratore Google Cloud deve comunque concedere all'agente di servizio l'accesso alla profilazione dei dati.
   • Vuoi creare più configurazioni di analisi e alcune di queste devono sostituire altre.
   • Hai scelto di salvare i profili dati in BigQuery e vuoi assicurarti che l'agente di servizio abbia accesso in scrittura alla tabella BigQuery in cui verranno salvate le copie dei profili dati.
   • Hai scelto di salvare i risultati del rilevamento di esempio in BigQuery e vuoi assicurarti che l'agente di servizio abbia accesso in scrittura alla tabella BigQuery in cui verranno salvati i risultati di esempio.
   • Hai configurato le notifiche Pub/Sub e vuoi concedere l'accesso in qualità di editore all'agente di servizio.
   • Hai attivato l'azione Associa tag alle risorse e devi concedere all'agente di servizio l'accesso al tag del livello di sensibilità.
2. Rivedi le impostazioni e fai clic su Crea.

   Sensitive Data Protection crea la configurazione di scansione e la aggiunge all'elenco delle configurazioni di scansione del rilevamento.

Per visualizzare o gestire le configurazioni di scansione, consulta Gestire le configurazioni di scansione.

Se l'agente di servizio dispone dei ruoli necessari per accedere ai dati e profilarli, Sensitive Data Protection inizia a scansionarli poco dopo la creazione della configurazione della scansione o la ripresa di una configurazione in pausa. In caso contrario, Sensitive Data Protection mostra un errore quando visualizzi i dettagli della configurazione della scansione.

Nota: miglioriamo regolarmente il nostro algoritmo di rilevamento. Se rileviamo che la tua organizzazione o il tuo progetto potrebbero trarre vantaggio da un nuovo miglioramento da noi implementato, potremmo rigenerare automaticamente i tuoi profili di dati e ripetere le azioni nella configurazione di scansione. Per questa operazione non ti verrà addebitato alcun costo di Sensitive Data Protection. Tuttavia, dal momento che ripetiamo le azioni, potrebbero esserti addebitati i costi per l'utilizzo di altri servizi Google Cloud. Ad esempio, se hai configurato Sensitive Data Protection per salvare i profili di dati in BigQuery, potrebbero esserti addebitati i costi di BigQuery.

Passaggi successivi

• Se non disponi del ruolo Amministratore organizzazione (roles/resourcemanager.organizationAdmin) o Amministratore sicurezza (roles/iam.securityAdmin), un utente con uno di questi ruoli deve concedere l'accesso alla profilazione dei dati al tuo agente di servizio.
• Scopri come gestire i profili di dati.
• Scopri come gestire le configurazioni di scansione.
• Scopri come ricevere e analizzare i messaggi Pub/Sub pubblicati dal profiler dei dati.
• Scopri come risolvere i problemi relativi ai profili dei dati.