En esta página, se describen y comparan dos servicios de Protección de datos sensibles que ayudan a comprender tus datos y habilitar flujos de trabajo de administración de datos: el servicio de descubrimiento y el servicio de inspección.
Descubrimiento de datos sensibles
El servicio de descubrimiento supervisa los datos de toda tu organización. Este servicio se ejecuta de forma continua y descubre, clasifica y perfila datos automáticamente. El descubrimiento puede ayudarte a comprender la ubicación y la naturaleza de los datos que almacenas, incluidos los recursos de datos que quizás no conozcas. Por lo general, los datos desconocidos (a veces llamados datos en la sombra) no se someten al mismo nivel de administración de datos y administración de riesgos que los datos conocidos.
Puedes configurar el descubrimiento en varios alcances. Puedes establecer diferentes programas de generación de perfiles para diferentes subconjuntos de tus datos. También puedes excluir subconjuntos de datos que no necesitas para crear perfiles.
Resultado del análisis de descubrimiento: perfiles de datos
El resultado de un análisis de descubrimiento es un conjunto de perfiles de datos para cada recurso de datos dentro del alcance. Por ejemplo, un análisis de descubrimiento de datos de BigQuery o Cloud SQL genera perfiles de datos a nivel del proyecto, la tabla y la columna.
Un perfil de datos contiene métricas y estadísticas sobre el recurso perfilado. Incluye las clasificaciones de datos (o infotipos), los niveles de sensibilidad, los niveles de riesgo de los datos, el tamaño de los datos, la forma de los datos y otros elementos que describen la naturaleza de los datos y su postura de seguridad de los datos (qué tan seguros son los datos). Puedes usar perfiles de datos para tomar decisiones fundamentadas sobre cómo proteger tus datos, por ejemplo, configurando políticas de acceso en la tabla.
Considera una columna de BigQuery llamada ccn, en la que cada fila contiene un número de tarjeta de crédito único y no hay valores nulos. El perfil de datos generado a nivel de la columna tendrá los siguientes detalles:
| Nombre visible | Valor |
|---|---|
Field ID |
ccn |
Data risk |
High |
Sensitivity |
High |
Data type |
TYPE_STRING |
Policy tags |
No |
Free text score |
0 |
Estimated uniqueness |
High |
Estimated null proportion |
Very low |
Last profile generated |
DATE_TIME |
Predicted infoType |
CREDIT_CARD_NUMBER |
Además, este perfil a nivel de la columna forma parte de un perfil a nivel de la tabla, que proporciona estadísticas como la ubicación de los datos, el estado de encriptación y si la tabla se comparte de forma pública. En la consola de Google Cloud, también puedes ver las entradas de Cloud Logging de la tabla, los principales de IAM con roles para la tabla y las etiquetas de Dataplex adjuntas a la tabla.
Para obtener una lista completa de las métricas y las estadísticas disponibles en los perfiles de datos, consulta la Referencia de métricas.
Cuándo usar el descubrimiento
Cuando planifiques tu enfoque de administración de riesgos de datos, te recomendamos que comiences con el descubrimiento. El servicio de descubrimiento te ayuda a obtener una vista amplia de tus datos y a habilitar las alertas, los informes y la mitigación de problemas.
Además, el servicio de descubrimiento puede ayudarte a identificar los recursos en los que podrían residir los datos no estructurados. Estos recursos pueden garantizar una inspección exhaustiva. Los datos no estructurados se especifican con una puntuación de texto libre alta en una escala del 0 al 1.
Inspección de datos sensibles
El servicio de inspección realiza un análisis exhaustivo de un solo recurso para ubicar cada instancia individual de datos sensibles. Una inspección produce un hallazgo para cada instancia detectada.
Los trabajos de inspección proporcionan un conjunto amplio de opciones de configuración para ayudarte a identificar los datos que deseas inspeccionar. Por ejemplo, puedes activar el muestreo para limitar los datos que se inspeccionarán a una cantidad determinada de filas (para datos de BigQuery) o a ciertos tipos de archivos (para datos de Cloud Storage). También puedes segmentar tus anuncios para un período específico en el que se crearon o modificaron los datos.
A diferencia del descubrimiento, que supervisa tus datos de forma continua, una inspección es una operación a pedido. Sin embargo, puedes programar trabajos de inspección recurrentes llamados activadores de trabajo.
Resultado del análisis de inspección: hallazgos
Cada resultado incluye detalles como la ubicación de la instancia detectada, su posible Infotipo y la certeza (también llamada probabilidad) de que el resultado coincida con el Infotipo. Según tu configuración, también puedes obtener la cadena real a la que se refiere el hallazgo. Esta cadena se denomina cita en Protección de datos sensibles.
Para obtener una lista completa de los detalles incluidos en un hallazgo de inspección, consulta Finding.
Cuándo usar la inspección
Una inspección es útil cuando necesitas investigar datos no estructurados (como comentarios o opiniones creados por el usuario) y, luego, identificar cada instancia de información de identificación personal (PII). Si un análisis de descubrimiento identifica recursos que contienen datos no estructurados, te recomendamos que ejecutes un análisis de inspección en esos recursos para obtener detalles sobre cada resultado individual.
Cuándo no usar la inspección
Inspeccionar un recurso no es útil si se cumplen las siguientes condiciones. Un análisis de descubrimiento puede ayudarte a decidir si es necesario realizar un análisis de inspección.
- Solo tienes datos estructurados en el recurso. Es decir, no hay columnas de datos de formato libre, como comentarios o opiniones de los usuarios.
- Ya conoces los infotipos almacenados en ese recurso.
Por ejemplo, supongamos que los perfiles de datos de un análisis de descubrimiento indican que una
tabla de BigQuery determinada no tiene columnas con datos desordenados,
pero tiene una columna de números de tarjetas de crédito únicos. En este caso, no es útil inspeccionar los números de tarjeta de crédito en la tabla. Una inspección generará un hallazgo para cada elemento de la columna. Si tienes 1 millón de filas y cada fila contiene 1 número de tarjeta de crédito, un trabajo de inspección producirá 1 millón de resultados para el infotipo CREDIT_CARD_NUMBER. En este ejemplo, no se necesita la inspección porque el análisis de descubrimiento ya indica que la columna contiene números de tarjetas de crédito únicos.
Residencia, procesamiento y almacenamiento de datos
Tanto el descubrimiento como la inspección admiten los requisitos de residencia de datos:
- El servicio de descubrimiento procesa tus datos donde residen y almacena los perfiles de datos generados en la misma región o multirregión que los datos perfilados. Para obtener más información, consulta Consideraciones sobre la residencia de los datos.
- Cuando se inspeccionan datos dentro de un sistema de almacenamiento de Google Cloud, el servicio de inspección procesa tus datos en la misma región donde residen y almacena el trabajo de inspección en esa región. Cuando inspeccionas
datos a través de un trabajo híbrido o un método
content, el servicio de inspección te permite especificar dónde debe procesar tus datos. Para obtener más información, consulta Cómo se almacenan los datos.
Resumen de la comparación: servicios de descubrimiento y de inspección
| Discovery | Inspección | |
|---|---|---|
| Beneficios |
|
|
| Costo |
10 TB cuestan aproximadamente USD 300 por mes en el modo de consumo. |
10 TB cuestan aproximadamente USD 10,000 por análisis. |
| Fuentes de datos compatibles | BigLake BigQuery Variables de entorno de las funciones de Cloud Run Variables de entorno de la revisión del servicio de Cloud Run Cloud SQL Cloud Storage Vertex AI (Versión preliminar) Amazon S3 |
BigQuery Cloud Storage Datastore Híbrido (cualquier fuente)1 |
| Alcances admitidos |
|
Una sola tabla de BigQuery, un bucket de Cloud Storage o un tipo de Datastore |
| Plantillas de inspección integradas | Sí | Sí |
| Infotipos integrados y personalizados | Sí | Sí |
| Resultado del análisis | Descripción general de alto nivel (perfiles de datos) de todos los datos admitidos. | Resultados concretos de datos sensibles en el recurso inspeccionado |
| Guarda los resultados en BigQuery | Sí | Sí |
| Enviar a Dataplex como etiquetas | Sí | Sí |
| Publica los resultados en Security Command Center | Sí | Sí |
| Publicar resultados en Google Security Operations | Sí para el descubrimiento a nivel de la organización y de la carpeta | No |
| Publicar en Pub/Sub | Sí | Sí |
| Compatibilidad con la residencia de datos | Sí | Sí |
1 La inspección híbrida tiene un modelo de precios diferente. Para obtener más información, consulta Inspección de datos de cualquier fuente .
¿Qué sigue?
- Explora las estrategias recomendadas para mitigar el riesgo de los datos (siguiente documento de esta serie).