Questa pagina fornisce strategie consigliate per identificare e risolvere i rischi legati ai dati nella tua organizzazione.
La protezione dei tuoi dati inizia con la comprensione di quali dati stai gestendo, dove si trovano i dati sensibili e come vengono protetti e utilizzati. Quando hai una visione completa dei tuoi dati e della loro postura di sicurezza, puoi adottare le misure appropriate per proteggerli e monitorare continuamente la conformità e i rischi.
Questa pagina presuppone che tu conosca i servizi di rilevamento e ispezione e le relative differenze.
Attivare il rilevamento di dati sensibili
Per determinare dove si trovano i dati sensibili nella tua attività, configura il rivelamento a livello di organizzazione, cartella o progetto. Questo servizio genera profili di dati contenenti metriche e informazioni sui tuoi dati, inclusi i relativi livelli di sensibilità e rischio.
Come servizio, Discovery funge da fonte attendibile per le risorse di dati e può generare automaticamente metriche per i report di controllo. Inoltre, Discovery può connettersi ad altri servizi Google Cloud come Security Command Center, Google Security Operations e Dataplex per arricchire le operazioni di sicurezza e la gestione dei dati.
Il servizio di rilevamento viene eseguito continuamente e rileva nuovi dati man mano che la tua organizzazione opera e cresce. Ad esempio, se un utente della tua organizzazione crea un nuovo progetto e carica una grande quantità di nuovi dati, il servizio di rilevamento può rilevare, classificare e generare report sui nuovi dati automaticamente.
Sensitive Data Protection fornisce un report di Looker predefinito su più pagine che offre una panoramica generale dei dati, incluse le suddivisioni per rischio, infoType e località. Nell'esempio seguente, il report mostra che i dati di bassa e alta sensibilità sono presenti in diversi paesi in tutto il mondo.
Intervenire in base ai risultati di rilevamento
Dopo aver ottenuto una visione ampia della tua posizione in termini di sicurezza dei dati, puoi risolvere eventuali problemi rilevati. In generale, i risultati di scoperta rientrano in uno dei seguenti scenari:
- Scenario 1: i dati sensibili sono stati trovati in un carico di lavoro in cui sono previsti e protetti correttamente.
- Scenario 2: i dati sensibili sono stati trovati in un workload in cui non erano previsti o in cui non sono stati implementati controlli adeguati.
- Scenario 3: sono stati trovati dati sensibili, ma sono necessarie ulteriori indagini.
Scenario 1: sono stati trovati dati sensibili e sono protetti correttamente
Anche se questo scenario non richiede un'azione specifica, devi includere i profili dei dati nei report di controllo e nei flussi di lavoro di analisi della sicurezza e continuare a monitorare le modifiche che potrebbero mettere a rischio i tuoi dati.
Ti consigliamo di procedere come segue:
Pubblica i profili dei dati negli strumenti per monitorare la tua postura di sicurezza e indagare sulle minacce informatiche. I profili di dati possono aiutarti a determinare la gravità di una vulnerabilità o minaccia alla sicurezza che potrebbe mettere a rischio i tuoi dati sensibili. Puoi esportare automaticamente i profili dei dati nei seguenti elementi:
Pubblica i profili dei dati in Dataplex o in un sistema di inventario per monitorare le metriche dei profili dei dati insieme a qualsiasi altro metadato aziendale appropriato. Per informazioni sull'esportazione automatica dei profili dati in Dataplex, consulta Etichettare le tabelle in Dataplex in base alle informazioni dei profili dati.
Scenario 2: sono stati trovati dati sensibili non protetti correttamente
Se la ricerca rileva dati sensibili in una risorsa non protetta adeguatamente dai controlli di accesso, prendi in considerazione i consigli descritti in questa sezione.
Dopo aver stabilito i controlli e la Security posture dei dati corretti per i tuoi dati, monitora eventuali modifiche che potrebbero metterli a rischio. Consulta i suggerimenti nello scenario 1.
Consigli generali
Ti consigliamo di eseguire le seguenti operazioni:
Crea una copia anonimizzata dei tuoi dati per mascherare o tokenizzare le colonne sensibili in modo che i tuoi analisti e ingegneri dei dati possano lavorare ancora con i tuoi dati senza rivelare identificatori non elaborati e sensibili come informazioni che consentono l'identificazione personale (PII).
Per i dati di Cloud Storage, puoi utilizzare una funzionalità integrata in Protezione dei dati sensibili per creare copie anonimizzate.
Se non ti servono, valuta la possibilità di eliminarli.
Consigli per proteggere i dati di BigQuery
- Modifica le autorizzazioni a livello di tabella utilizzando IAM.
Imposta controlli di accesso granulari a livello di colonna utilizzando i tag di criteri di BigQuery per limitare l'accesso alle colonne sensibili e ad alto rischio. Questa funzionalità ti consente di proteggere queste colonne, consentendo al contempo l'accesso al resto della tabella.
Puoi anche utilizzare i tag di criteri per attivare il mascheramento automatico dei dati, che può fornire agli utenti dati parzialmente offuscati.
Utilizza la funzionalità di sicurezza a livello di riga di BigQuery per nascondere o mostrare determinate righe di dati, a seconda che un utente o un gruppo sia presente in un elenco consentito.
Anonimizza i dati BigQuery al momento dell'esecuzione della query con le funzioni remote (UDF).
Consigli per proteggere i dati di Cloud Storage
Scenario 3: sono stati trovati dati sensibili, ma sono necessarie ulteriori indagini
In alcuni casi, potresti ottenere risultati che richiedono ulteriori accertamenti. Ad esempio, un profilo dei dati potrebbe specificare che una colonna ha un punteggio elevato per il testo libero con prove di dati sensibili. Un punteggio elevato per il testo libero indica che i dati non hanno una struttura prevedibile e potrebbero contenere istanze intermittenti di dati sensibili. Potrebbe trattarsi di una colonna di note in cui alcune righe contengono PII, come nomi, dati di contatto o identificatori emessi dal governo. In questo caso, ti consigliamo di impostare controlli di accesso aggiuntivi sulla tabella ed eseguire altre correzioni descritte nello scenario 2. Inoltre, ti consigliamo di eseguire un'ispezione mirata più approfondita per identificare l'entità del rischio.
Il servizio di ispezione ti consente di eseguire una scansione completa di una singola risorsa, ad esempio una singola tabella BigQuery o un bucket Cloud Storage. Per le origini dati non supportate direttamente dal servizio di ispezione, puoi esportare i dati in un bucket Cloud Storage o in una tabella BigQuery ed eseguire un job di ispezione su quella risorsa. Ad esempio, se hai dati da ispezionare in un database Cloud SQL, puoi esportarli in un file CSV o Avro in Cloud Storage ed eseguire un job di ispezione.
Un job di ispezione individua singole istanze di dati sensibili, ad esempio un numero di carta di credito nel mezzo di una frase all'interno di una cella di tabella. Questo livello di dettaglio può aiutarti a capire che tipo di dati sono presenti nelle colonne non strutturate o negli oggetti dati, inclusi file di testo, PDF, immagini e altri formati di documenti avanzati. Puoi quindi correggere i problemi rilevati tramite uno dei consigli descritti nello scenario 2.
Oltre ai passaggi consigliati nello scenario 2, ti consigliamo di adottare misure per impedire alle informazioni sensibili di entrare nello spazio di archiviazione dei dati di backend.
I metodi content
dell'API Cloud Data Loss Prevention possono accettare dati da qualsiasi carico di lavoro o applicazione
per l'ispezione e il mascheramento dei dati in movimento. Ad esempio, la tua applicazione può svolgere quanto segue:
- Accettare un commento fornito dall'utente.
- Esegui
content.deidentifyper anonimizzare i dati sensibili della stringa. - Salva la stringa anonimizzata nello spazio di archiviazione di backend anziché la stringa originale.
Riepilogo delle best practice
La tabella seguente riassume le best practice consigliate in questo documento:
| Sfida | Azione |
|---|---|
| Vuoi sapere che tipo di dati vengono archiviati dalla tua organizzazione. | Esegui il rilevamento a livello di organizzazione, cartella o progetto. |
| Hai trovato dati sensibili in una risorsa già protetta. | Monitora costantemente la risorsa eseguendo il rilevamento e esportando automaticamente i profili in Security Command Center, Google SecOps e Dataplex. |
| Hai trovato dati sensibili in una risorsa non protetta. | Nascondi o mostra i dati in base a chi li sta visualizzando; utilizza IAM, la sicurezza a livello di colonna o la sicurezza a livello di riga. Puoi anche utilizzare gli strumenti di anonimizzazione di Sensitive Data Protection per trasformare o rimuovere gli elementi sensibili. |
| Hai trovato dati sensibili e devi effettuare ulteriori accertamenti per comprendere la portata del rischio dei dati. | Esegui un job di ispezione sulla risorsa. Puoi anche impedire in modo proattivo
all'ingresso di dati sensibili nello spazio di archiviazione di backend utilizzando i metodi content
sincroni dell'API DLP, che elaborano i dati
quasi in tempo reale. |