Esta página apresenta estratégias recomendadas para identificar e corrigir o risco de dados na sua organização.
A proteção dos seus dados começa por compreender que dados está a processar, onde se encontram os dados confidenciais e como estes dados são protegidos e utilizados. Quando tem uma vista abrangente dos seus dados e da respetiva postura de segurança, pode tomar as medidas adequadas para os proteger e monitorizar continuamente a conformidade e o risco.
Esta página pressupõe que conhece os serviços de deteção e inspeção e as respetivas diferenças.
Ative a deteção de dados confidenciais
Para determinar onde existem dados confidenciais na sua empresa, configure a deteção ao nível da organização, da pasta ou do projeto. Este serviço gera perfis de dados que contêm métricas e estatísticas sobre os seus dados, incluindo os respetivos níveis de sensibilidade e níveis de risco de dados.
Como serviço, a descoberta atua como uma fonte prioritária sobre os seus recursos de dados e pode comunicar automaticamente métricas para relatórios de auditoria. Além disso, a deteção pode ligar-se a outros Google Cloud serviços, como o Security Command Center, o Google Security Operations e o Dataplex Universal Catalog para enriquecer as operações de segurança e a gestão de dados.
O serviço de deteção é executado continuamente e deteta novos dados à medida que a sua organização opera e cresce. Por exemplo, se alguém na sua organização criar um novo projeto e carregar uma grande quantidade de novos dados, o serviço de deteção pode detetar, classificar e criar relatórios sobre os novos dados automaticamente.
A proteção de dados confidenciais oferece um relatório do Looker de várias páginas previamente criado que lhe dá uma vista geral dos seus dados, incluindo discriminações por risco, por infoType e por localização. No exemplo seguinte, o relatório mostra que os dados de baixa sensibilidade e de alta sensibilidade estão presentes em vários países em todo o mundo.
Tome medidas com base nos resultados da deteção
Depois de obter uma visão geral da sua postura de segurança de dados, pode corrigir quaisquer problemas encontrados. Em geral, as conclusões de descoberta enquadram-se num dos seguintes cenários:
- Cenário 1: foram encontrados dados confidenciais numa carga de trabalho onde são esperados e estão devidamente protegidos.
- Cenário 2: foram encontrados dados confidenciais numa carga de trabalho onde não eram esperados ou onde não existem controlos adequados.
- Cenário 3: foram encontrados dados confidenciais, mas é necessária uma investigação mais aprofundada.
Cenário 1: foram encontrados dados confidenciais e estão devidamente protegidos
Embora este cenário não exija uma ação específica, deve incluir os perfis de dados nos seus relatórios de auditoria e fluxos de trabalho de análise de segurança, e continuar a monitorizar as alterações que possam colocar os seus dados em risco.
Recomendamos o seguinte:
Publicar os perfis de dados em ferramentas para monitorizar a sua postura de segurança e investigar ciberameaças. Os perfis de dados podem ajudar a determinar a gravidade de uma ameaça ou vulnerabilidade de segurança que possa colocar os seus dados confidenciais em risco. Pode exportar automaticamente perfis de dados para o seguinte:
Publique os perfis de dados no catálogo universal do Dataplex ou num sistema de inventário para acompanhar as métricas do perfil de dados, juntamente com quaisquer outros metadados da empresa adequados. Para obter informações sobre a exportação automática de perfis de dados para o Catálogo universal do Dataplex, consulte o artigo Adicione aspetos do Catálogo universal do Dataplex com base nas estatísticas dos perfis de dados.
Cenário 2: foram encontrados dados confidenciais que não estão devidamente protegidos
Se a deteção encontrar dados confidenciais num recurso que não esteja devidamente protegido por controlos de acesso, considere as recomendações descritas nesta secção.
Depois de estabelecer os controlos e a postura de segurança de dados corretos para os seus dados, monitorize quaisquer alterações que possam colocar os seus dados em risco. Veja as recomendações no cenário 1.
Recomendações gerais
Considere fazer o seguinte:
Crie uma cópia anónima dos seus dados para ocultar ou criar símbolos para as colunas confidenciais, para que os seus analistas e engenheiros de dados possam continuar a trabalhar com os seus dados sem revelar identificadores confidenciais não processados, como informações de identificação pessoal (IIP).
Para dados do Cloud Storage, pode usar uma funcionalidade incorporada na proteção de dados sensíveis para criar cópias desidentificadas.
Se não precisar dos dados, considere eliminá-los.
Recomendações para proteger os dados do BigQuery
- Ajuste as autorizações ao nível da tabela através do IAM.
Defina controlos de acesso detalhados ao nível da coluna através de etiquetas de políticas do BigQuery para restringir o acesso às colunas confidenciais e de alto risco. Esta funcionalidade permite-lhe proteger essas colunas, ao mesmo tempo que permite o acesso ao resto da tabela.
Também pode usar etiquetas de políticas para ativar a ocultação de dados automática, que pode dar aos utilizadores dados parcialmente ocultados.
Use a funcionalidade de segurança ao nível da linha do BigQuery para ocultar ou apresentar determinadas linhas de dados, consoante um utilizador ou um grupo esteja numa lista permitida.
Remova a identificação dos dados do BigQuery no momento da consulta com funções remotas (UDF).
Recomendações para proteger os dados do Cloud Storage
Cenário 3: foram encontrados dados confidenciais, mas é necessária uma investigação mais detalhada
Em alguns casos, pode receber resultados que requerem uma investigação mais detalhada. Por exemplo, um perfil de dados pode especificar que uma coluna tem uma pontuação de texto livre elevada com provas de dados confidenciais. Uma pontuação de texto livre elevada indica que os dados não têm uma estrutura previsível e podem conter instâncias intermitentes de dados sensíveis. Pode ser uma coluna de notas em que determinadas linhas contêm IPI, como nomes, detalhes de contacto ou identificadores emitidos por entidades governamentais. Neste caso, recomendamos que defina controlos de acesso adicionais na tabela e execute outras correções descritas no cenário 2. Além disso, recomendamos que execute uma inspeção mais detalhada e direcionada para identificar a extensão do risco.
O serviço de inspeção permite-lhe executar uma análise detalhada de um único recurso, como uma tabela individual do BigQuery ou um contentor do Cloud Storage. Para origens de dados que não são suportadas diretamente pelo serviço de inspeção, pode exportar os dados para um contentor do Cloud Storage ou uma tabela do BigQuery e executar uma tarefa de inspeção nesse recurso. Por exemplo, se tiver dados que precisa de inspecionar numa base de dados do Cloud SQL, pode exportar esses dados para um ficheiro CSV ou AVRO no Cloud Storage e executar uma tarefa de inspeção.
Uma tarefa de inspeção localiza instâncias individuais de dados confidenciais, como um número de cartão de crédito no meio de uma frase numa célula de uma tabela. Este nível de detalhe pode ajudar a compreender que tipo de dados está presente em colunas não estruturadas ou em objetos de dados, incluindo ficheiros de texto, PDFs, imagens e outros formatos de documentos avançados. Em seguida, pode corrigir as suas conclusões através de qualquer uma das recomendações descritas no cenário 2.
Além dos passos recomendados no cenário 2, considere tomar medidas para
impedir que informações confidenciais entrem no seu armazenamento de dados de back-end.
Os contentmétodos
da API Cloud Data Loss Prevention podem aceitar dados de qualquer carga de trabalho ou aplicação
para inspeção e ocultação de dados em movimento. Por exemplo, a sua aplicação pode fazer o seguinte:
- Aceitar um comentário fornecido pelo utilizador.
- Execute
content.deidentifypara remover a identificação de dados confidenciais dessa string. - Guarde a string anonimizada no seu armazenamento de back-end em vez da string original.
Resumo das práticas recomendadas
A tabela seguinte resume as práticas recomendadas neste documento:
| Desafio | Ação |
|---|---|
| Quer saber que tipo de dados a sua organização está a armazenar. | Execute a deteção ao nível da organização, da pasta ou do projeto. |
| Encontrou dados confidenciais num recurso que já está protegido. | Monitorize continuamente esse recurso executando a deteção e exportando automaticamente perfis para o Security Command Center, o Google SecOps e o catálogo universal do Dataplex. |
| Encontrou dados confidenciais num recurso que não está protegido. | Oculte ou apresente dados com base em quem os está a ver; use o IAM, a segurança ao nível da coluna ou a segurança ao nível da linha. Também pode usar as ferramentas de desidentificação da Proteção de dados confidenciais para transformar ou remover os elementos confidenciais. |
| Encontrou dados confidenciais e precisa de investigar mais aprofundadamente para compreender a extensão do risco de dados. | Execute uma tarefa de inspeção no recurso. Também pode impedir proativamente que
dados confidenciais entrem no seu armazenamento de back-end através dos métodos
content síncronos da API DLP, que processam dados
em tempo quase real. |