Cette page explique comment activer la découverte de données sensibles à l'aide des paramètres si vous êtes abonné au niveau Enterprise et que vous activez Sensitive Data Protection, un produit facturé séparément. Vous pouvez personnaliser à tout moment après l'activation de la détection.
Lorsque vous activez la détection, Sensitive Data Protection génère Les résultats de Security Command Center qui montrent le niveau de sensibilité et de risque de données dans votre organisation.
Pour savoir comment activer la découverte de données sensibles, quelle que soit votre Security Command Center, consultez les pages suivantes Documentation sur la protection des données sensibles:
- Publier des profils de données dans Security Command Center
- Signaler des secrets dans des variables d'environnement à Security Command Center
Fonctionnement
Le service de découverte Sensitive Data Protection vous aide à protéger vos données dans votre organisation en identifiant l'emplacement des données sensibles résident. Dans Sensitive Data Protection, le service génère des données profils, qui fournissent des métriques et des insights sur vos données à différents niveaux de détail. Dans Security Command Center, effectue les opérations suivantes:
Générer dans Security Command Center des résultats d'observation affichant les valeurs calculées les niveaux de sensibilité et de risque des données de vos données Cloud SQL. Vous pouvez utiliser ces résultats pour éclairer votre réponse lorsque vous rencontrez des menaces et des failles liées à vos éléments de données. Pour obtenir la liste des types de résultats générés, consultez la section Résultats des observations du découverte service.
Ces résultats peuvent éclairer la désignation automatique des ressources de grande valeur en fonction de la sensibilité des données. Pour en savoir plus, consultez Utiliser Discovery Insights. pour identifier les ressources les plus importantes sur cette page.
Générez des résultats de failles dans Security Command Center lorsque La protection des données sensibles détecte la présence de secrets dans vos Variables d'environnement Cloud Functions. Stocker des secrets, tels que des mots de passe, dans les variables d'environnement n'est pas une pratique sécurisée, car les variables d'environnement ne sont pas chiffrées. Pour obtenir la liste complète des types de secrets Sensitive Data Protection détecte, consultez la section Identifiants et secrets. Pour obtenir la liste des types de résultats générés, consultez la section Résultats de failles du Détection de Sensitive Data Protection service.
Pour activer la découverte de données sensibles pour votre organisation, vous devez en créer un la configuration de l'analyse de découverte pour chaque code ressource que vous voulez analyser.
Tarifs
La détection de données sensibles est facturée séparément de Security Command Center quel que soit votre niveau de service. Si vous n'avez pas souscrit d'abonnement pour Discovery, vous êtes facturé en fonction de votre consommation (octets analysés). Pour plus pour plus d'informations, consultez la section Découverte pricing dans la documentation sur la protection des données sensibles.
Avant de commencer
Effectuez ces tâches avant de terminer celles qui figurent sur cette page.
Activer le niveau Security Command Center Enterprise
Suivez les étapes 1 et 2 de la guide de configuration pour activer le niveau Security Command Center Enterprise. Pour plus d'informations, consultez l'article Activer Security Command Center Enterprise niveau supérieur.
Activer la protection des données sensibles en tant que service intégré
Si Sensitive Data Protection n'est pas déjà activé en tant que service intégré, l'activer. Pour en savoir plus, consultez la page Ajouter une configuration Google Cloud intégrée service.
Configurer les autorisations
Pour obtenir les autorisations nécessaires à la configuration de la découverte de données sensibles, demandez votre administrateur de vous attribuer les rôles IAM suivants organisation:
Objectif | Rôle prédéfini | Autorisations pertinentes |
---|---|---|
Créer une configuration d'analyse de découverte et afficher les profils de données | Administrateur DLP (roles/dlp.admin ) |
|
Créez un projet qui servira de conteneur d'agent de service1 | Créateur de projet (roles/resourcemanager.projectCreator ) |
|
Accorder l'accès à la découverte2 | Choisissez l'une des options suivantes :
|
|
1 Si vous ne disposez pas de l'onglet
Créateur (roles/resourcemanager.projectCreator
), vous pouvez toujours créer une analyse
configuration, mais l'agent de service
que vous utilisez doit être un projet existant.
2 Si le champ "Organisation" ne figure pas
Administrateur (roles/resourcemanager.organizationAdmin
) ou Administrateur de sécurité
(roles/iam.securityAdmin
), vous pouvez toujours créer une configuration d'analyse. Après avoir
créer la configuration d'analyse, une personne de votre organisation disposant de l'un de ces rôles doit accorder l'accès de découverte au
agent de service.
Pour en savoir plus sur l'attribution de rôles, consultez la page Gérer access.
Vous pouvez également obtenir les autorisations requises via des des rôles ou d'autres rôles.
Activer la découverte avec les paramètres par défaut
Pour activer la découverte, vous devez créer une configuration pour chaque source de données que vous voulez analyser. Cette procédure vous permet de créer automatiquement à l'aide des paramètres par défaut. Vous pouvez personnaliser paramètres à tout moment après avoir effectué cette procédure.
Si vous souhaitez personnaliser les paramètres dès le départ, consultez les pages suivantes à la place:
- Profiler les données BigQuery dans une organisation ou un dossier
- Profiler des données Cloud SQL dans une organisation ou un dossier
- Signaler des secrets dans des variables d'environnement à Security Command Center
Pour activer la découverte avec les paramètres par défaut, procédez comme suit:
Dans la console Google Cloud, accédez à Sensitive Data Protection Page Activer la découverte.
Vérifiez que vous consultez bien l'organisation que vous avez activée. Security Command Center activé.
Dans le champ Conteneur d'agent de service, définissez le projet à utiliser en tant que agent de service conteneur. Dans ce projet, le système crée un agent de service et lui accorde les autorisations de découverte requises.
Si vous utilisiez auparavant le service de découverte pour votre organisation, vous pouvez vous disposez déjà d'un projet de conteneur d'agent de service que vous pouvez réutiliser.
- Pour créer automatiquement un projet à utiliser comme conteneur d'agent de service, Examinez l'ID de projet suggéré et modifiez-le si nécessaire. Cliquez ensuite sur Créer : L'attribution des autorisations peut prendre quelques minutes l'agent de service du nouveau projet.
- Pour sélectionner un projet existant, cliquez sur le champ Conteneur d'agent de service et sélectionnez le projet.
Pour vérifier les paramètres par défaut, cliquez sur l'icône de développement
.Dans la section Activer la découverte, pour chaque type de découverte que vous souhaitez cliquez sur Activer. L'activation d'un type de découverte a les effets suivants:
- BigQuery: crée une configuration de découverte pour le profilage tables BigQuery dans toute l'organisation. Sensitive Data Protection commence à profiler BigQuery et envoie les profils à Security Command Center.
- Cloud SQL: crée une configuration de découverte pour le profilage tables Cloud SQL dans l'ensemble de l'organisation. La protection des données sensibles commence à créer des connexions par défaut pour pour chacune de vos instances Cloud SQL. Ce processus peut prendre quelques heures. Lorsque les connexions par défaut sont prêtes, vous devez attribuer Accès de Sensitive Data Protection à vos les instances Cloud SQL en mettant à jour chaque connexion avec la bonne les identifiants de l'utilisateur de la base de données.
- Failles des secrets/identifiants: crée une configuration de découverte permettant de détecter et de signaler les secrets non chiffrés dans Cloud Functions variables d'environnement. Début de la protection des données sensibles analyser vos variables d'environnement.
Pour afficher les nouvelles configurations de découverte, cliquez sur Accéder à la découverte configuration.
Si vous avez activé la découverte Cloud SQL, la configuration de découverte est créé en mode suspendu avec des erreurs indiquant l'absence d'identifiants. Voir Gérer les connexions à utiliser avec découverte pour accorder les rôles IAM requis à votre agent de service des identifiants utilisateur de base de données pour chaque instance Cloud SQL.
Fermez le volet.
À partir du moment où Sensitive Data Protection génère les profils de données, il peut
prendre jusqu'à six heures pour les éléments Data sensitivity
et Data risk
associés
des résultats dans Security Command Center.
Dès que vous activez la découverte de secrets dans Sensitive Data Protection,
peut prendre jusqu'à 12 heures pour que l'analyse initiale des variables d'environnement
complètes et pour que tous les résultats Secrets in environment variables
apparaissent dans
Security Command Center. La protection des données sensibles analyse ensuite l'environnement
toutes les 24 heures. En pratique, les analyses peuvent s'exécuter plus fréquemment.
Pour afficher les résultats générés par Sensitive Data Protection, consultez la section Examiner Résultats de Sensitive Data Protection dans console Google Cloud.
Identifier les ressources à forte valeur à l'aide des insights de la découverte
Security Command Center peut désigner automatiquement Ensemble de données BigQuery à sensibilité élevée ou données de sensibilité moyenne en tant que ressource de grande valeur en activant la détection Sensitive Data Protection des insights lorsque vous créez une valeur de ressource configuration pour la fonctionnalité de simulation du chemin d'attaque.
Pour les ressources de forte valeur, Security Command Center fournit des scores d'exposition aux attaques et des visualisations du chemin d'attaque, que vous pouvez utiliser pour prioriser la sécurité des ressources contenant des données sensibles.
Les simulations de chemin d'attaque peuvent définir automatiquement des valeurs de priorité sur la base des classifications de la sensibilité des données issues Protection des données sensibles uniquement pour les types de ressources de données suivants:
bigquery.googleapis.com/Dataset
sqladmin.googleapis.com/Instance
Personnaliser les configurations d'analyse
Une fois les configurations d'analyse créées, vous pouvez les personnaliser. Par exemple : vous pouvez effectuer les opérations suivantes:
- Réglez la fréquence de recherche.
- Spécifiez des filtres pour les éléments de données que vous ne souhaitez pas reprofiler.
- Modifiez l'inspection modèle, qui définit les informations d'IA qui Sensitive Data Protection analyse.
- Publiez les profils de données générés dans d'autres services Google Cloud.
- Modifiez le conteneur d'agent de service.
Pour personnaliser une configuration d'analyse, procédez comme suit:
- Ouvrez la configuration d'analyse pour modification.
Mettez à jour les paramètres si nécessaire. Pour en savoir plus sur les options Edit scan configuration (Modifier la configuration de l'analyse), consultez les pages suivantes: