Cloud Data Loss Prevention (Cloud DLP) ora fa parte di Sensitive Data Protection. Il nome dell'API rimane invariato: API Cloud Data Loss Prevention (API DLP). Per informazioni sui servizi che compongono Sensitive Data Protection, consulta la panoramica di Sensitive Data Protection.

Questa pagina è stata tradotta dall'API Cloud Translation.

Inviare i risultati del job di ispezione della protezione dei dati sensibili a Security Command Center

Questa guida ti illustra come ispezionare i dati in Cloud Storage, Firestore in modalità Datastore (Datastore) o BigQuery e inviare i risultati dell'ispezione a Security Command Center.

Per utilizzare questa funzionalità, il tuo progetto deve appartenere a un'organizzazione e Security Command Center deve essere attivato a livello di organizzazione. In caso contrario, i risultati di Sensitive Data Protection non verranno visualizzati in Security Command Center. Per maggiori informazioni, vedi Controllare il livello di attivazione di Security Command Center.

Per i dati BigQuery, puoi anche eseguire la profilazione, che è diversa da un'operazione di ispezione. Puoi anche inviare profili di dati a Security Command Center. Per ulteriori informazioni, vedi Pubblicare profili di dati in Security Command Center.

Panoramica

Security Command Center ti consente di raccogliere dati su, identificare e intervenire in caso di minacce alla sicurezza prima che possano causare danni o perdite all'azienda. Con Security Command Center, puoi eseguire diverse azioni relative alla sicurezza da una singola dashboard centralizzata.

Sensitive Data Protection è integrato in Security Command Center. Quando utilizzi un'azione di Sensitive Data Protection per esaminare i tuoi repository di archiviazioneGoogle Cloud alla ricerca di dati sensibili, può inviare i risultati direttamente alla dashboard di Security Command Center. Vengono visualizzati accanto ad altre metriche di sicurezza.

Completando i passaggi di questa guida, potrai:

Abilita Security Command Center e Sensitive Data Protection.
Configura Sensitive Data Protection per ispezionare un repository di archiviazione, ovvero un bucket Cloud Storage, una tabella BigQuery o un tipo Datastore. Google Cloud
Configura una scansione di Sensitive Data Protection per inviare i risultati del job di ispezione a Security Command Center.

Per saperne di più su Security Command Center, consulta la documentazione di Security Command Center.

Se vuoi inviare i risultati delle scansioni di rilevamento, non dei job di ispezione, a Security Command Center, consulta la documentazione relativa alla profilazione di un'organizzazione, di una cartella o di un progetto.

Costi

In questo documento vengono utilizzati i seguenti componenti fatturabili di Google Cloud:

Sensitive Data Protection
Cloud Storage
BigQuery
Datastore

Per generare una stima dei costi in base all'utilizzo previsto, utilizza il calcolatore prezzi.

I nuovi utenti di Google Cloud potrebbero avere diritto a una prova senza costi.

Prima di iniziare

Prima di poter inviare i risultati della scansione di Sensitive Data Protection a Security Command Center, devi eseguire le seguenti operazioni:

Passaggio 1: imposta i Google Cloud repository di archiviazione.
Passaggio 2: imposta i ruoli Identity and Access Management (IAM).
Passaggio 3: abilita Security Command Center.
Passaggio 4: abilita Sensitive Data Protection.
Passaggio 5: abilita Sensitive Data Protection come origine di sicurezza per Security Command Center.

I passaggi per configurare questi componenti sono descritti nelle sezioni seguenti.

Passaggio 1: imposta Google Cloud i repository di archiviazione

Scegli se eseguire la scansione del tuo repository di archiviazione o di uno di esempio. Google Cloud Questo argomento fornisce istruzioni per entrambi gli scenari.

Scansionare i propri dati

Se vuoi analizzare il tuo bucket Cloud Storage, la tua tabella BigQuery o il tuo tipo Datastore esistenti, apri prima il progetto in cui si trova il repository. Nei passaggi successivi, abiliterai sia Security Command Center che Sensitive Data Protection per questo progetto e la relativa organizzazione.

Dopo aver aperto il progetto che vuoi utilizzare, vai al passaggio 2 per configurare alcuni ruoli IAM.

Scansiona dati di esempio

Se vuoi analizzare un set di dati di test, assicurati prima di aver configurato un account di fatturazione, quindi crea un nuovo progetto. Per completare questo passaggio, devi avere il ruolo IAM Creatore progetto. Scopri di più sui ruoli IAM.

Se non hai ancora configurato la fatturazione, crea un account di fatturazione.
Scopri come attivare la fatturazione
Vai alla pagina Nuovo progetto nella console Google Cloud .
Vai a Nuovo progetto
Nell'elenco a discesa Account di fatturazione, seleziona l'account di fatturazione a cui deve essere fatturato il progetto.
Nell'elenco a discesa Organizzazione, seleziona l'organizzazione in cui vuoi creare il progetto.
Nell'elenco a discesa Posizione, seleziona l'organizzazione o la cartella in cui vuoi creare il progetto.

Poi scarica e archivia i dati di esempio:

Vai al repository dei tutorial di Cloud Run Functions su GitHub.
Fai clic su Clona o scarica, quindi su Scarica ZIP.
Estrai il file ZIP che hai scaricato.
Vai alla pagina Browser di archiviazione nella Google Cloud console.
Vai a Cloud Storage
Fai clic su Crea bucket.
Nella pagina Crea un bucket, assegna al bucket un nome univoco, quindi fai clic su Crea.
Nella pagina Dettagli bucket, fai clic su Carica cartella.
Vai alla cartella dlp-cloud-functions-tutorials-master che hai estratto, aprila e seleziona la cartella sample_data. Fai clic su Carica per caricare i contenuti della cartella in Cloud Storage.

Annota il nome che hai assegnato al bucket Cloud Storage per un utilizzo successivo. Al termine del caricamento del file, puoi continuare.

Passaggio 2: imposta i ruoli IAM

Per utilizzare Sensitive Data Protection per inviare i risultati della scansione a Security Command Center, devi disporre dei ruoli IAM Amministratore Centro sicurezza e Editor dei job Sensitive Data Protection. Questa sezione descrive come aggiungere i ruoli. Per completare questa sezione, devi disporre del ruolo IAM Amministratore organizzazione.

Vai alla pagina IAM.

Vai a IAM
Nella scheda Visualizza per entità, individua il tuo Account Google e fai clic su Modifica entità.

Nota:se non riesci a trovare il tuo account, assicurati di cercare un'organizzazione e non un progetto. Per selezionare l'organizzazione corretta, utilizza l'elenco a discesa del selettore dei progetti.

Se viene visualizzato un messaggio di avviso che indica che non disponi di autorizzazioni sufficienti per visualizzare questa pagina, assicurati di disporre del ruolo IAM Amministratore dell'organizzazione. Per saperne di più, consulta la documentazione di IAM.
Aggiungi i ruoli Amministratore di Security Center e Editor dei job di Sensitive Data Protection:
1. Nel riquadro Modifica accesso, fai clic su Aggiungi un altro ruolo.
2. Nell'elenco Seleziona un ruolo, cerca Amministratore Security Center e selezionalo.
3. Fai clic su Aggiungi un altro ruolo.
4. Nell'elenco Seleziona un ruolo, cerca Editor DLP Jobs e selezionalo.
5. Fai clic su Salva.

Ora disponi dei ruoli Editor job Sensitive Data Protection e Amministratore Centro sicurezza per la tua organizzazione. Questi ruoli ti consentono di completare le attività nel resto di questo argomento.

Passaggio 3: abilita Security Command Center

Vai alla pagina Security Command Center nella console Google Cloud .

Vai a Security Command Center
Nell'elenco a discesa Organizzazione, seleziona l'organizzazione per cui vuoi attivare la protezione dei dati sensibili, quindi fai clic su Seleziona.
Nella pagina Attiva rilevamento asset visualizzata, seleziona Tutti i progetti attuali e futuri, quindi fai clic su Attiva. Dovrebbe essere visualizzato un messaggio che indica che Sensitive Data Protection sta iniziando il rilevamento degli asset.

Al termine dell'individuazione degli asset, Sensitive Data Protection mostrerà gli asset Google Cloud supportati. Il rilevamento degli asset potrebbe richiedere alcuni minuti e potrebbe essere necessario aggiornare la pagina per visualizzarli.

Per saperne di più sull'attivazione di Security Command Center, consulta la documentazione di Security Command Center.

Passaggio 4: abilita Sensitive Data Protection

Abilita Sensitive Data Protection per il progetto che vuoi scansionare. Il progetto deve trovarsi nella stessa organizzazione per cui hai abilitato Security Command Center. Per abilitare Sensitive Data Protection utilizzando la consoleGoogle Cloud :

Nella console Google Cloud , vai alla pagina Attiva l'accesso all'API.
Abilitare l'API
Nella barra degli strumenti, seleziona il progetto del passaggio 1 di questa guida. Il progetto deve contenere il bucket Cloud Storage, la tabella BigQuery o il tipo Datastore che vuoi analizzare.
Fai clic su Avanti.
Fai clic su Attiva.

Sensitive Data Protection è ora abilitato per il tuo progetto.

Passaggio 5: abilita Sensitive Data Protection come servizio integrato per Security Command Center

Per visualizzare i risultati della scansione di Sensitive Data Protection in Security Command Center, attiva Sensitive Data Protection come servizio integrato. Per maggiori informazioni, consulta la sezione Aggiungere un servizio integrato nella documentazione di Security Command Center. Google Cloud

I risultati di Sensitive Data Protection vengono visualizzati nella pagina Risultati di Security Command Center.

Configura ed esegui una scansione per l'ispezione di Sensitive Data Protection

In questa sezione, configurerai ed eseguirai un job di ispezione di Sensitive Data Protection.

Il job di ispezione che configuri qui indica a Sensitive Data Protection di scansionare i dati di esempio archiviati in Cloud Storage o i tuoi dati archiviati in Cloud Storage, Datastore o BigQuery. La configurazione del job che specifichi è anche il punto in cui indichi a Sensitive Data Protection di salvare i risultati della scansione in Security Command Center.

Passaggio 1: annota l'identificatore del progetto

Vai alla console Google Cloud .
Vai alla console Google Cloud
Fai clic su Seleziona.
Nell'elenco a discesa Seleziona da, seleziona l'organizzazione per cui hai attivato Security Command Center.
In ID, copia l'ID progetto per il progetto che contiene i dati che vuoi analizzare.
Nella sezione Nome, fai clic sul progetto per selezionarlo.

Passaggio 2: apri APIs Explorer e configura il job

Vai a Explorer API nella pagina di riferimento per il metodo dlpJobs.create facendo clic sul pulsante seguente:
Explorer API aperte
Nella casella parent (elemento principale), inserisci quanto segue, dove PROJECT_ID è l'ID progetto che hai annotato nel passaggio 1:
```
projects/PROJECT_ID
```

Sostituisci i contenuti del campo Corpo della richiesta con il seguente JSON per il tipo di dati che vuoi utilizzare: dati di esempio in un bucket Cloud Storage o i tuoi dati archiviati in Cloud Storage, Datastore o BigQuery.

Dati di esempio

Se hai creato un bucket Cloud Storage per archiviare i dati di esempio, copia il seguente JSON e incollalo nel campo Corpo richiesta. Sostituisci BUCKET_NAME con il nome che hai assegnato al tuo bucket Cloud Storage:

{
  "inspectJob":{
    "storageConfig":{
      "cloudStorageOptions":{
        "fileSet":{
          "url":"gs://BUCKET_NAME/**"
        }
      }
    },
    "inspectConfig":{
      "infoTypes":[
        {
          "name":"EMAIL_ADDRESS"
        },
        {
          "name":"PERSON_NAME"
        },
        {
          "name": "LOCATION"
        },
        {
          "name":"PHONE_NUMBER"
        }
      ],
      "includeQuote":true,
      "minLikelihood":"UNLIKELY",
      "limits":{
        "maxFindingsPerRequest":100
      }
    },
    "actions":[
      {
        "publishSummaryToCscc":{

        }
      }
    ]
  }
}

Dati di Cloud Storage

Per eseguire la scansione del tuo bucket Cloud Storage, copia il seguente JSON e incollalo nel campo Corpo della richiesta.

Sostituisci PATH_NAME con il percorso della posizione che vuoi scansionare. Per eseguire la scansione in modo ricorsivo, termina il percorso con due asterischi, ad esempio gs://path_to_files/**. Per eseguire la scansione di una directory specifica e non più in profondità, termina il percorso con un asterisco, ad esempio, gs://path_to_files/*.

{
  "inspectJob":{
    "storageConfig":{
      "cloudStorageOptions":{
        "fileSet":{
          "url":"gs://PATH_NAME"
        }
      }
    },
    "inspectConfig":{
      "infoTypes":[
        {
          "name":"EMAIL_ADDRESS"
        },
        {
          "name":"PERSON_NAME"
        },
        {
          "name": "LOCATION"
        },
        {
          "name":"PHONE_NUMBER"
        }
      ],
      "includeQuote":true,
      "minLikelihood":"UNLIKELY",
      "limits":{
        "maxFindingsPerRequest":100
      }
    },
    "actions":[
      {
        "publishSummaryToCscc":{

        }
      }
    ]
  }
}

Per saperne di più sulle opzioni di scansione disponibili, vedi Ispezione dello spazio di archiviazione e dei database per l'individuazione di dati sensibili.

Dati Datastore

Per analizzare i tuoi dati conservati in Datastore, copia il seguente codice JSON e incollalo nel campo Corpo della richiesta.

Sostituisci DATASTORE_KIND con il nome del tipo di datastore. Puoi anche sostituire NAMESPACE_ID e PROJECT_ID con gli identificatori di spazio dei nomi e progetto, rispettivamente, oppure puoi rimuovere completamente "partitionID" se vuoi.

{
  "inspectJob":{
    "storageConfig":{
      "datastoreOptions":{
        "kind":{
          "name":"DATASTORE_KIND"
        },
        "partitionId":{
          "namespaceId":"NAMESPACE_ID",
          "projectId":"PROJECT_ID"
        }
      }
    },
    "inspectConfig":{
      "infoTypes":[
        {
          "name":"EMAIL_ADDRESS"
        },
        {
          "name":"PERSON_NAME"
        },
        {
          "name": "LOCATION"
        },
        {
          "name":"PHONE_NUMBER"
        }
      ],
      "includeQuote":true,
      "minLikelihood":"UNLIKELY",
      "limits":{
        "maxFindingsPerRequest":100
      }
    },
    "actions":[
      {
        "publishSummaryToCscc":{

        }
      }
    ]
  }
}

Per saperne di più sulle opzioni di scansione disponibili, vedi Ispezione dello spazio di archiviazione e dei database per l'individuazione di dati sensibili.

Dati BigQuery

Per eseguire la scansione della tua tabella BigQuery, copia il seguente JSON e incollalo nel campo Corpo della richiesta.

Sostituisci PROJECT_ID, BIGQUERY_DATASET_NAME e BIGQUERY_TABLE_NAME con l'ID progetto e i nomi del set di dati e della tabella BigQuery, rispettivamente.

{
  "inspectJob":
  {
    "storageConfig":
    {
      "bigQueryOptions":
      {
        "tableReference":
        {
          "projectId": "PROJECT_ID",
          "datasetId": "BIGQUERY_DATASET_NAME",
          "tableId": "BIGQUERY_TABLE_NAME"
        }
      }
    },
    "inspectConfig":
    {
      "infoTypes":
      [
        {
          "name": "EMAIL_ADDRESS"
        },
        {
          "name": "PERSON_NAME"
        },
        {
          "name": "LOCATION"
        },
        {
          "name": "PHONE_NUMBER"
        }
      ],
      "includeQuote": true,
      "minLikelihood": "UNLIKELY",
      "limits":
      {
        "maxFindingsPerRequest": 100
      }
    },
    "actions":
    [
      {
        "publishSummaryToCscc":
        {
        }
      }
    ]
  }
}

Per saperne di più sulle opzioni di scansione disponibili, vedi Ispezione dello spazio di archiviazione e dei database per l'individuazione di dati sensibili.

Passaggio 3: esegui la richiesta per avviare il job di ispezione

Dopo aver configurato il job seguendo i passaggi precedenti, fai clic su Esegui per inviare la richiesta. Se la richiesta riesce, sotto la richiesta viene visualizzata una risposta con un codice di esito positivo e un oggetto JSON che indica lo stato del job di Sensitive Data Protection che hai creato.

Controlla lo stato della scansione per l'ispezione di Sensitive Data Protection

La risposta alla tua richiesta di scansione include l'ID lavoro della scansione di ispezione come chiave "name" e lo stato attuale del lavoro di ispezione come chiave "state". Subito dopo l'invio della richiesta, lo stato del job è "PENDING".

Dopo aver inviato la richiesta di scansione, la scansione dei tuoi contenuti inizia immediatamente.

Per controllare lo stato del job di ispezione:

Vai a Explorer API nella pagina di riferimento per il metodo dlpJobs.get facendo clic sul pulsante seguente:
Explorer API aperte
Nella casella name, digita il nome del job dalla risposta JSON alla richiesta di scansione nel seguente formato:
```
projects/PROJECT_ID/dlpJobs/JOB_ID
```
L'ID job è nel formato i-1234567890123456789.
Per inviare la richiesta, fai clic su Esegui.

Se la chiave "state" dell'oggetto JSON della risposta indica che il job è "DONE", allora il job di ispezione è terminato.

Per visualizzare il resto della risposta JSON, scorri la pagina verso il basso. In "result" > "infoTypeStats", ogni tipo di informazione elencato deve avere un "count" corrispondente. In caso contrario, assicurati di aver inserito correttamente il JSON e che il percorso o la posizione dei dati siano corretti.

Al termine del job di ispezione, puoi continuare con la sezione successiva di questa guida per visualizzare i risultati della scansione in Security Command Center.

Esempi di codice: ispeziona un bucket Cloud Storage

Questo esempio mostra come utilizzare l'API DLP per creare un job di ispezione che esamina un bucket Cloud Storage e invia i risultati a Security Command Center.