Estrategias recomendadas para mitigar los riesgos de los datos

En esta página se ofrecen estrategias recomendadas para identificar y corregir los riesgos relacionados con los datos de su organización.

Para proteger tus datos, primero debes saber qué datos tratas, dónde se encuentran los datos sensibles y cómo se protegen y se usan. Si tienes una visión completa de tus datos y de su postura de seguridad, puedes tomar las medidas adecuadas para protegerlos y monitorizar continuamente el cumplimiento y los riesgos.

En esta página se da por supuesto que conoces los servicios de descubrimiento e inspección y sus diferencias.

Habilitar el descubrimiento de datos sensibles

Para determinar dónde se encuentran los datos sensibles de su empresa, configure el descubrimiento a nivel de organización, carpeta o proyecto. Este servicio genera perfiles de datos que contienen métricas y estadísticas sobre tus datos, incluidos sus niveles de sensibilidad y de riesgo.

Como servicio, Discovery actúa como fuente de información veraz sobre tus recursos de datos y puede generar automáticamente métricas para los informes de auditoría. Además, la detección se puede conectar a otros Google Cloud servicios, como Security Command Center, Google Security Operations y Dataplex Universal Catalog, para mejorar las operaciones de seguridad y la gestión de datos.

El servicio de descubrimiento se ejecuta continuamente y detecta nuevos datos a medida que tu organización opera y crece. Por ejemplo, si alguien de tu organización crea un proyecto y sube una gran cantidad de datos nuevos, el servicio de detección puede detectar, clasificar y generar informes sobre los datos nuevos automáticamente.

Protección de Datos Sensibles proporciona un informe de Looker de varias páginas prediseñado que te ofrece una vista general de tus datos, incluidos desgloses por riesgo, por infoType y por ubicación. En el siguiente ejemplo, el informe muestra que hay datos de sensibilidad baja y alta en varios países de todo el mundo.

Tomar medidas en función de los resultados de la detección

Una vez que tengas una visión general de tu estrategia de seguridad de datos, podrás solucionar los problemas que hayas encontrado. Por lo general, las detecciones se clasifican en uno de los siguientes casos:

• Situación 1: Se han encontrado datos sensibles en una carga de trabajo donde se espera y están protegidos correctamente.
• Situación 2: Se han encontrado datos sensibles en una carga de trabajo en la que no se esperaba o en la que no se han implementado los controles adecuados.
• Situación 3: Se han encontrado datos sensibles, pero es necesario investigar más.

Situación 1: Se han encontrado datos sensibles y están protegidos correctamente

Aunque en este caso no es necesario que hagas nada, debes incluir los perfiles de datos en tus informes de auditoría y flujos de trabajo de análisis de seguridad, así como seguir monitorizando los cambios que puedan poner en riesgo tus datos.

Te recomendamos que hagas lo siguiente:

• Publica los perfiles de datos en herramientas para monitorizar tu postura de seguridad e investigar ciberamenazas. Los perfiles de datos pueden ayudarte a determinar la gravedad de una amenaza o vulnerabilidad de seguridad que pueda poner en riesgo tus datos sensibles. Puedes exportar automáticamente perfiles de datos a los siguientes destinos:

  • Security Command Center
  • Google SecOps

• Publica los perfiles de datos en Dataplex Universal Catalog o en un sistema de inventario para hacer un seguimiento de las métricas de los perfiles de datos junto con otros metadatos empresariales adecuados. Para obtener información sobre cómo exportar automáticamente perfiles de datos a Dataplex Universal Catalog, consulta el artículo Añadir aspectos de Dataplex Universal Catalog basados en las estadísticas de los perfiles de datos.

Situación 2: Se han encontrado datos sensibles que no están protegidos correctamente

Si la detección encuentra datos sensibles en un recurso que no está protegido correctamente con controles de acceso, ten en cuenta las recomendaciones que se describen en esta sección.

Una vez que hayas establecido los controles y la postura de seguridad de los datos correctos, monitoriza cualquier cambio que pueda poner en riesgo tus datos. Consulta las recomendaciones del caso práctico 1.

Recomendaciones generales

Te recomendamos que hagas lo siguiente:

• Crea una copia anonimizada de tus datos para enmascarar o tokenizar las columnas sensibles de forma que tus analistas e ingenieros de datos puedan seguir trabajando con tus datos sin revelar identificadores sensibles sin procesar, como la información personal identificable (IPI).

  En el caso de los datos de Cloud Storage, puedes usar una función integrada de Protección de Datos Sensibles para crear copias desidentificadas.

• Si no necesitas los datos, plantéate eliminarlos.

Recomendaciones para proteger los datos de BigQuery

• Ajusta los permisos a nivel de tabla con Gestión de identidades y accesos.

• Define controles de acceso precisos a nivel de columna mediante las etiquetas de política de BigQuery para restringir el acceso a las columnas sensibles y de alto riesgo. Esta función te permite proteger esas columnas y, al mismo tiempo, dar acceso al resto de la tabla.

  También puedes usar etiquetas de política para habilitar el enmascaramiento de datos automático, que puede proporcionar a los usuarios datos parcialmente ofuscados.

• Usa la función de seguridad a nivel de fila de BigQuery para ocultar o mostrar determinadas filas de datos en función de si un usuario o un grupo se encuentra en una lista permitida.

• Desidentificar los datos de BigQuery en el momento de la consulta con funciones remotas (UDF).

Recomendaciones para proteger los datos de Cloud Storage

• Aplica controles de acceso con la gestión de identidades y accesos.

• Aplica controles de acceso mediante listas de control de acceso.

• Crea copias desidentificadas de tus datos de Cloud Storage.

Ejemplo 3: Se han encontrado datos sensibles, pero se necesita más investigación

En algunos casos, es posible que obtengas resultados que requieran más investigación. Por ejemplo, un perfil de datos puede especificar que una columna tiene una puntuación de texto libre alta con pruebas de datos sensibles. Una puntuación alta de texto libre indica que los datos no tienen una estructura predecible y que pueden contener instancias intermitentes de datos sensibles. Por ejemplo, puede ser una columna de notas en la que determinadas filas contengan información personal identificable, como nombres, datos de contacto o identificadores emitidos por el Gobierno. En este caso, te recomendamos que definas controles de acceso adicionales en la tabla y que apliques otras medidas correctoras descritas en el caso práctico 2. Además, le recomendamos que realice una inspección más exhaustiva y específica para determinar el alcance del riesgo.

El servicio de inspección te permite realizar un análisis exhaustivo de un solo recurso, como una tabla de BigQuery o un bucket de Cloud Storage. En el caso de las fuentes de datos que no son compatibles directamente con el servicio de inspección, puede exportar los datos a un contenedor de Cloud Storage o a una tabla de BigQuery y ejecutar un trabajo de inspección en ese recurso. Por ejemplo, si tienes datos que necesitas inspeccionar en una base de datos de Cloud SQL, puedes exportarlos a un archivo CSV o AVRO en Cloud Storage y ejecutar una tarea de inspección.

Un trabajo de inspección localiza instancias concretas de datos sensibles, como un número de tarjeta de crédito en medio de una frase dentro de una celda de una tabla. Este nivel de detalle puede ayudarte a entender qué tipo de datos hay en las columnas no estructuradas o en los objetos de datos, incluidos archivos de texto, PDFs, imágenes y otros formatos de documentos enriquecidos. Después, puedes solucionar los problemas detectados siguiendo cualquiera de las recomendaciones descritas en el caso práctico 2.

Además de los pasos recomendados en el escenario 2, considera la posibilidad de tomar medidas para evitar que la información sensible se introduzca en el almacenamiento de datos de backend. Los métodos content de la API Cloud Data Loss Prevention pueden aceptar datos de cualquier carga de trabajo o aplicación para inspeccionar y enmascarar datos en movimiento. Por ejemplo, tu aplicación puede hacer lo siguiente:

1. Aceptar un comentario proporcionado por un usuario.
2. Ejecuta content.deidentify para desidentificar los datos sensibles de esa cadena.
3. Guarda la cadena anonimizada en tu almacenamiento backend en lugar de la cadena original.

Resumen de las prácticas recomendadas

En la siguiente tabla se resumen las prácticas recomendadas que se indican en este documento:

Reto	Acción
Quieres saber qué tipo de datos almacena tu organización.	Ejecuta la detección a nivel de organización, carpeta o proyecto.
Has encontrado datos sensibles en un recurso que ya está protegido.	Monitoriza continuamente ese recurso ejecutando la detección y exportando automáticamente los perfiles a Security Command Center, Google SecOps y Dataplex Universal Catalog.
Has encontrado datos sensibles en un recurso que no está protegido.	Ocultar o mostrar datos en función de quién los vea. Para ello, usa IAM, seguridad a nivel de columna o seguridad a nivel de fila. También puedes usar las herramientas de desidentificación de Protección de datos sensibles para transformar o eliminar los elementos sensibles.
Ha encontrado datos sensibles y necesita investigar más a fondo para determinar el alcance del riesgo de sus datos.	Ejecuta una tarea de inspección en el recurso. También puedes evitar de forma proactiva que los datos sensibles se introduzcan en tu almacenamiento backend mediante los métodos síncronos content de la API DLP, que procesan los datos casi en tiempo real.