Halaman ini menjelaskan cara mengonfigurasi penemuan data Cloud Storage di tingkat project. Jika Anda ingin membuat profil organisasi atau folder, lihat Membuat profil data Cloud Storage di organisasi atau folder.
Untuk informasi selengkapnya tentang layanan penemuan, lihat Profil data.
Sebelum memulai
Pastikan Cloud Data Loss Prevention API diaktifkan di project Anda:
- Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Make sure that billing is enabled for your Google Cloud project.
-
Enable the required API.
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Make sure that billing is enabled for your Google Cloud project.
-
Enable the required API.
Pastikan Anda memiliki izin IAM yang diperlukan untuk mengonfigurasi profil data di tingkat project.
Anda harus memiliki template inspeksi di setiap region tempat Anda memiliki data yang akan dibuat profilnya. Jika ingin menggunakan satu template untuk beberapa region, Anda dapat menggunakan template yang disimpan di region
global
. Jika kebijakan organisasi mencegah Anda membuat template inspeksi di regionglobal
, Anda harus menetapkan template inspeksi khusus untuk setiap region. Untuk informasi selengkapnya, lihat Pertimbangan residensi data.Dengan tugas ini, Anda dapat membuat template pemeriksaan hanya di region
global
. Jika memerlukan template inspeksi khusus untuk satu atau beberapa wilayah, Anda harus membuat template tersebut sebelum melakukan tugas ini.Anda dapat mengonfigurasi Perlindungan Data Sensitif untuk mengirim notifikasi ke Pub/Sub saat peristiwa tertentu terjadi, seperti saat Perlindungan Data Sensitif membuat profil bucket baru. Jika ingin menggunakan fitur ini, Anda harus membuat topik Pub/Sub terlebih dahulu.
Anda dapat mengonfigurasi Perlindungan Data Sensitif untuk otomatis melampirkan tag ke resource Anda. Fitur ini memungkinkan Anda memberikan akses secara bersyarat ke resource tersebut berdasarkan tingkat sensitivitas yang dihitung. Jika ingin menggunakan fitur ini, Anda harus menyelesaikan tugas di Mengontrol akses IAM ke resource berdasarkan sensitivitas data terlebih dahulu.
Membuat konfigurasi pemindaian
Buka halaman Create scan configuration.
Buka project Anda. Di toolbar, klik pemilih project, lalu pilih project Anda.
Bagian berikut memberikan informasi selengkapnya tentang langkah-langkah di halaman Buat konfigurasi pemindaian. Di akhir setiap bagian, klik Lanjutkan.
Pilih jenis penemuan
Pilih Cloud Storage.
Pilih cakupan
Lakukan salah satu hal berikut:Jika Anda ingin memindai satu bucket, pilih Pindai satu bucket.
Untuk setiap bucket, Anda hanya dapat memiliki satu konfigurasi pemindaian resource tunggal. Untuk informasi selengkapnya, lihat Membuat profil satu resource data.
Isi detail bucket yang ingin Anda buat profilnya.
Jika Anda ingin melakukan pembuatan profil tingkat project standar, pilih Pindai project yang dipilih.
Mengelola jadwal
Jika frekuensi pembuatan profil default sesuai dengan kebutuhan Anda, Anda dapat melewati bagian ini di halaman Buat konfigurasi pemindaian.
Konfigurasikan bagian ini karena alasan berikut:
- Untuk membuat penyesuaian terperinci pada frekuensi pembuatan profil semua data atau subkumpulan data tertentu.
- Untuk menentukan bucket yang tidak ingin Anda buat profilnya.
- Untuk menentukan bucket yang tidak ingin Anda buat profilnya lebih dari sekali.
Untuk melakukan penyesuaian terperinci pada frekuensi pembuatan profil, ikuti langkah-langkah berikut:
- Klik Tambahkan jadwal.
Di bagian Filters, Anda menentukan satu atau beberapa filter yang menentukan bucket mana yang ada dalam cakupan jadwal.
Tentukan setidaknya salah satu dari hal berikut:
- ID project atau ekspresi reguler yang menentukan satu atau beberapa project
- Nama bucket atau ekspresi reguler yang menentukan satu atau beberapa bucket
Ekspresi reguler harus mengikuti sintaksis RE2.
Misalnya, jika Anda ingin semua bucket dalam project disertakan dalam filter, masukkan project ID di kolom Project ID.
Jika Anda ingin menambahkan filter lainnya, klik Tambahkan filter, lalu ulangi langkah ini.
Klik Frekuensi.
Di bagian Frequency, tentukan apakah layanan penemuan harus membuat profil bucket yang Anda pilih dan, jika ya, seberapa sering:
Jika Anda tidak ingin bucket dibuat profilnya, nonaktifkan Buat profil data ini.
Jika Anda ingin bucket dibuat profilnya setidaknya sekali, biarkan Buat profil data ini aktif.
Di kolom berikutnya di bagian ini, Anda menentukan apakah sistem harus membuat profil ulang data Anda dan peristiwa apa yang akan memicu operasi pembuatan profil ulang. Untuk mengetahui informasi selengkapnya, lihat Frekuensi pembuatan profil data.
- Untuk Berdasarkan jadwal, tentukan seberapa sering Anda ingin bucket dibuat ulang profilnya. Bucket akan diprofilkan ulang, terlepas dari apakah bucket tersebut mengalami perubahan atau tidak.
- Untuk Saat template inspeksi berubah, tentukan apakah Anda ingin data Anda
dibuat ulang profilnya saat template inspeksi terkait diperbarui, dan jika ya, seberapa
sering.
Perubahan template inspeksi terdeteksi saat salah satu hal berikut terjadi:
- Nama template pemeriksaan berubah dalam konfigurasi pemindaian Anda.
updateTime
template inspeksi berubah.
Misalnya, jika Anda menetapkan template inspeksi untuk region
us-west1
dan memperbarui template inspeksi tersebut, hanya data di regionus-west1
yang akan dibuat profil ulang.
Opsional: Klik Kondisi.
Di bagian Kondisi, Anda menentukan kondisi apa pun yang harus dipenuhi oleh bucket—yang ditentukan dalam filter Anda—sebelum Perlindungan Data Sensitif membuat profilnya.
Jika perlu, tetapkan hal berikut:
Kondisi minimum: Jika Anda ingin menunda pembuatan profil bucket hingga mencapai usia tertentu, aktifkan opsi ini. Kemudian, masukkan durasi minimum.
Kondisi atribut bucket: Secara default, Sensitive Data Protection tidak memindai bucket yang mengaktifkan Autoclass. Jika Anda ingin memindai bucket tersebut, klik Pindai bucket dengan Autoclass diaktifkan.
Kondisi atribut objek: Secara default, Sensitive Data Protection hanya memindai objek yang berada dalam class penyimpanan Standar. Jika Anda ingin memindai objek di class penyimpanan lain, pilih class penyimpanan tersebut satu per satu atau klik Pindai semua objek, apa pun atributnya.
Kondisi waktu: Jika Anda tidak ingin bucket lama dibuat profilnya, aktifkan opsi ini. Kemudian, gunakan pemilih tanggal untuk memilih tanggal dan waktu. Setiap bucket yang dibuat pada atau sebelum stempel waktu yang Anda pilih akan dikecualikan dari pembuatan profil.
Contoh kondisi
Misalkan Anda memiliki konfigurasi berikut:
Kondisi minimum
- Durasi minimum: 24 jam
Kondisi atribut bucket
- Tidak ada yang dipilih
Kondisi atribut objek
- Memindai objek dengan class penyimpanan Standar
- Memindai objek dengan kelas penyimpanan Nearline
Kondisi waktu
- Stempel waktu: 05/4/22, 23.59
Dalam hal ini, Perlindungan Data Sensitif mengecualikan bucket apa pun yang dibuat pada atau sebelum 4 Mei 2022, pukul 23.59. Di antara bucket yang dibuat setelah tanggal dan waktu tersebut, profil Sensitive Data Protection hanya akan memproses bucket yang sudah ada setidaknya 24 jam dan telah menonaktifkan Autoclass. Dalam bucket tersebut, Sensitive Data Protection hanya membuat profil objek yang berada di class penyimpanan Standard dan Nearline.
Klik Done.
Jika Anda ingin menambahkan jadwal lainnya, klik Tambahkan jadwal dan ulangi langkah-langkah sebelumnya.
Untuk menentukan prioritas antar-jadwal, urutkan ulang menggunakan panah atas
dan panah bawah .Urutan jadwal menentukan cara menyelesaikan konflik antara jadwal. Jika bucket cocok dengan filter dari dua jadwal yang berbeda, jadwal yang lebih tinggi dalam daftar jadwal akan menentukan frekuensi pembuatan profil untuk bucket tersebut.
Jadwal terakhir dalam daftar selalu berlabel Jadwal default. Jadwal default ini mencakup bucket dalam cakupan yang Anda pilih yang tidak cocok dengan jadwal apa pun yang Anda buat. Jadwal default ini mengikuti frekuensi pembuatan profil default sistem.
Jika Anda ingin menyesuaikan jadwal default, klik
Edit jadwal, lalu sesuaikan setelan sesuai kebutuhan.
Memilih template pemeriksaan
Bergantung pada cara Anda ingin memberikan konfigurasi inspeksi, pilih salah satu opsi berikut. Apa pun opsi yang Anda pilih, Perlindungan Data Sensitif akan memindai data Anda di region tempat data tersebut disimpan. Artinya, data Anda tidak keluar dari wilayah asalnya.
Opsi 1: Membuat template inspeksi
Pilih opsi ini jika Anda ingin membuat template inspeksi baru di
wilayah global
.
- Klik Buat template inspeksi baru.
Opsional: Untuk mengubah pilihan default infoTypes, klik Manage infoTypes.
Untuk informasi selengkapnya tentang cara mengelola infoTypes bawaan dan kustom, lihat Mengelola infoTypes melalui konsol Google Cloud.
Anda harus memilih minimal satu infoType untuk melanjutkan.
Opsional: Konfigurasikan template inspeksi lebih lanjut dengan menambahkan kumpulan aturan dan menetapkan nilai minimum keyakinan. Untuk informasi selengkapnya, lihat Mengonfigurasi deteksi.
Saat membuat konfigurasi pemindaian, Sensitive Data Protection akan menyimpan
template pemeriksaan baru ini di region global
.
Opsi 2: Menggunakan template inspeksi yang ada
Pilih opsi ini jika Anda memiliki template inspeksi yang ada dan ingin menggunakannya.
- Klik Pilih template inspeksi yang ada.
- Masukkan nama resource lengkap template pemeriksaan yang ingin Anda gunakan.
Kolom Region akan otomatis diisi dengan nama region tempat template inspeksi Anda disimpan.
Template inspeksi yang Anda masukkan harus berada di region yang sama dengan data yang akan dibuat profilnya.
Untuk menghormati residensi data, Perlindungan Data Sensitif tidak menggunakan template pemeriksaan di luar wilayah tempat template tersebut disimpan.
Untuk menemukan nama resource lengkap template pemeriksaan, ikuti langkah-langkah berikut:
- Buka daftar template inspeksi Anda. Halaman ini akan terbuka di tab terpisah.
- Beralihlah ke project yang berisi template inspeksi yang ingin Anda gunakan.
- Di tab Templates, klik ID template dari template yang ingin Anda gunakan.
- Pada halaman yang terbuka, salin nama resource lengkap template. Nama resource lengkap mengikuti format ini:
projects/PROJECT_ID/locations/REGION/inspectTemplates/TEMPLATE_ID
- Di halaman Create scan configuration, di kolom Template name, tempelkan nama resource lengkap template.
- Buka daftar template inspeksi Anda. Halaman ini akan terbuka di tab terpisah.
- Untuk menambahkan template pemeriksaan untuk wilayah lain, klik Tambahkan template pemeriksaan dan masukkan nama resource lengkap template. Ulangi langkah ini untuk setiap wilayah tempat Anda memiliki template inspeksi khusus.
- Opsional: Tambahkan template inspeksi yang disimpan di region
global
. Sensitive Data Protection akan otomatis menggunakan template tersebut untuk data di region tempat Anda tidak memiliki template pemeriksaan khusus.
Tambah tindakan
Di bagian berikut, Anda akan menentukan tindakan yang ingin dilakukan Perlindungan Data Sensitif setelah membuat profil data.
Untuk mengetahui informasi tentang cara layanan Google Cloud lainnya menagih Anda untuk mengonfigurasi tindakan, lihat Harga untuk mengekspor profil data.
Publikasikan ke Security Command Center
Temuan dari profil data memberikan konteks saat Anda melakukan triage dan mengembangkan rencana respons untuk temuan kerentanan dan ancaman di Security Command Center.
Sebelum Anda dapat menggunakan tindakan ini, Security Command Center harus diaktifkan di level organisasi. Mengaktifkan Security Command Center di tingkat organisasi akan memungkinkan aliran temuan dari layanan terintegrasi seperti Sensitive Data Protection. Perlindungan Data Sensitif berfungsi dengan Security Command Center di semua tingkat layanan.Jika Security Command Center tidak diaktifkan di level organisasi, temuan Perlindungan Data Sensitif tidak akan muncul di Security Command Center. Untuk informasi selengkapnya, lihat Memeriksa level aktivasi Security Command Center.
Untuk mengirim hasil profil data Anda ke Security Command Center, pastikan opsi Publikasikan ke Security Command Center diaktifkan.
Untuk informasi selengkapnya, lihat Memublikasikan profil data ke Security Command Center.
Simpan salinan profil data ke BigQuery
Dengan mengaktifkan Simpan salinan profil data ke BigQuery, Anda dapat menyimpan salinan atau histori tersimpan dari semua profil yang dihasilkan. Tindakan ini dapat berguna untuk membuat laporan audit dan memvisualisasi profil data. Anda juga dapat memuat informasi ini ke sistem lain.
Selain itu, opsi ini memungkinkan Anda melihat semua profil data dalam satu tampilan, terlepas dari region tempat data Anda berada. Jika menonaktifkan opsi ini, Anda masih dapat melihat profil data di konsol Google Cloud. Namun, di konsol Google Cloud, Anda memilih satu region pada satu waktu, dan hanya melihat profil data untuk region tersebut.
Untuk mengekspor salinan profil data ke tabel BigQuery, ikuti langkah-langkah berikut:
Aktifkan Simpan salinan profil data ke BigQuery.
Masukkan detail tabel BigQuery tempat Anda ingin menyimpan profil data:
Untuk Project ID, masukkan ID project yang ada tempat Anda ingin profil data diekspor.
Untuk Dataset ID, masukkan nama set data yang ada dalam project tempat Anda ingin mengekspor profil data.
Untuk Table ID, masukkan nama untuk tabel BigQuery tempat profil data akan diekspor. Jika Anda belum membuat tabel ini, Perlindungan Data Sensitif akan otomatis membuatnya untuk Anda menggunakan nama yang Anda berikan.
Perlindungan Data Sensitif mulai mengekspor profil sejak Anda mengaktifkan opsi ini. Profil yang dibuat sebelum Anda mengaktifkan ekspor tidak disimpan ke BigQuery.
Melampirkan tag ke resource
Mengaktifkan Lampirkan tag ke resource akan memerintahkan Sensitive Data Protection untuk otomatis memberi tag pada data Anda sesuai dengan tingkat sensitivitas yang dihitung. Bagian ini mengharuskan Anda menyelesaikan tugas di Mengontrol akses IAM ke resource berdasarkan sensitivitas data terlebih dahulu.
Untuk memberi tag pada resource secara otomatis sesuai dengan tingkat sensitivitas yang dihitung, ikuti langkah-langkah berikut:
- Aktifkan opsi Tag resources.
Untuk setiap tingkat sensitivitas (tinggi, sedang, rendah, dan tidak diketahui), masukkan jalur nilai tag yang Anda buat untuk tingkat sensitivitas yang diberikan.
Jika Anda melewati tingkat sensitivitas, tidak ada tag yang terlampir untuk tingkat tersebut.
Untuk menurunkan tingkat risiko data resource secara otomatis saat tag tingkat sensitivitas ada, pilih Saat tag diterapkan ke resource, turunkan risiko data profilnya ke RENDAH. Opsi ini membantu Anda mengukur peningkatan postur keamanan dan privasi data.
Pilih salah satu atau kedua opsi berikut:
- Beri tag pada resource saat dibuat profilnya untuk pertama kalinya.
Memberi tag pada fasilitas saat profilnya diperbarui. Pilih opsi ini jika Anda ingin Perlindungan Data Sensitif menimpa nilai tag tingkat sensitivitas pada penemuan berikutnya. Akibatnya, akses akun utama ke resource akan berubah secara otomatis saat tingkat sensitivitas data yang dihitung untuk resource tersebut meningkat atau menurun.
Jangan pilih opsi ini jika Anda berencana memperbarui nilai tag tingkat sensitivitas yang dilampirkan layanan penemuan ke resource Anda secara manual. Jika Anda memilih opsi ini, Perlindungan Data Sensitif dapat menimpa pembaruan manual Anda.
Publikasikan ke Pub/Sub
Dengan mengaktifkan Publikasikan ke Pub/Sub, Anda dapat mengambil tindakan terprogram berdasarkan hasil pembuatan profil. Anda dapat menggunakan notifikasi Pub/Sub untuk mengembangkan alur kerja guna mendeteksi dan memperbaiki temuan dengan risiko atau sensitivitas data yang signifikan.
Untuk mengirim notifikasi ke topik Pub/Sub, ikuti langkah-langkah berikut:
Aktifkan Publikasikan ke Pub/Sub.
Daftar opsi akan muncul. Setiap opsi menjelaskan peristiwa yang menyebabkan Perlindungan Data Sensitif mengirim notifikasi ke Pub/Sub.
Pilih peristiwa yang akan memicu notifikasi Pub/Sub.
Jika Anda memilih Kirim notifikasi Pub/Sub setiap kali profil diperbarui, Perlindungan Data Sensitif akan mengirimkan notifikasi saat ada perubahan pada tingkat sensitivitas, tingkat risiko data, infoTypes yang terdeteksi, akses publik, dan metrik penting lainnya di profil.
Untuk setiap peristiwa yang Anda pilih, ikuti langkah-langkah berikut:
Masukkan nama topik. Nama harus dalam format berikut:
projects/PROJECT_ID/topics/TOPIC_ID
Ganti kode berikut:
- PROJECT_ID: ID project yang terkait dengan topik Pub/Sub.
- TOPIC_ID: ID topik Pub/Sub.
Tentukan apakah akan menyertakan profil bucket lengkap dalam notifikasi, atau hanya nama resource lengkap bucket yang dibuat profilnya.
Tetapkan tingkat sensitivitas dan risiko data minimum yang harus dipenuhi agar Sensitive Data Protection dapat mengirim notifikasi.
Tentukan apakah hanya satu atau kedua kondisi risiko dan sensitivitas data yang harus dipenuhi. Misalnya, jika Anda memilih
AND
, maka risiko data dan kondisi sensitivitas harus terpenuhi sebelum Perlindungan Data Sensitif mengirim notifikasi.
Menetapkan lokasi untuk menyimpan konfigurasi
Klik daftar Resource location, lalu pilih region tempat Anda ingin menyimpan konfigurasi pemindaian ini. Semua konfigurasi pemindaian yang nantinya Anda buat juga akan disimpan di lokasi ini.
Tempat Anda memilih untuk menyimpan konfigurasi pemindaian tidak memengaruhi data yang akan dipindai. Data Anda dipindai di region yang sama dengan tempat data tersebut disimpan. Untuk mengetahui informasi selengkapnya, lihat Pertimbangan residensi data.
Tinjau dan buat
- Jika Anda ingin memastikan bahwa pembuatan profil tidak dimulai secara otomatis setelah Anda membuat konfigurasi pemindaian, pilih Buat pemindaian dalam mode dijeda.
Opsi ini berguna dalam kasus berikut:
- Anda memilih untuk menyimpan profil data ke BigQuery, dan ingin memastikan agen layanan memiliki akses tulis ke tabel output.
- Anda telah mengonfigurasi notifikasi Pub/Sub dan ingin memberikan akses publikasi ke agen layanan.
- Anda telah mengaktifkan tindakan Lampirkan tag ke resource dan Anda perlu memberikan akses agen layanan ke tag tingkat sensitivitas.
- Tinjau setelan Anda, lalu klik Buat.
Perlindungan Data Sensitif membuat konfigurasi pemindaian dan menambahkannya ke daftar konfigurasi pemindaian penemuan.
Untuk melihat atau mengelola konfigurasi pemindaian, lihat Mengelola konfigurasi pemindaian.