Verwaltung des Datensicherheitsstatus – Übersicht

Die Datensicherheitsstatus-Verwaltung (Data Security Posture Management, DSPM) bietet eine datenzentrierte Ansicht der Sicherheit von Google Cloud . Mit DSPM können Sie Datenrisiken kontinuierlich identifizieren und reduzieren. Sie erfahren, welche sensiblen Daten Sie haben, wo sie inGoogle Cloudgespeichert sind und ob ihre Verwendung Ihren Sicherheits- und Compliance-Anforderungen entspricht.

Die DSPM-Funktionen hängen von Ihrer Security Command Center-Dienststufe ab. Weitere Informationen zu den DSPM-Funktionen, die in der Standard-Stufe verfügbar sind, finden Sie unter Datensicherheitsstatus-Verwaltung in der Übersicht über die Standard-Stufe.

Mit DSPM in den Premium- und Enterprise-Stufen kann Ihr Team die folgenden Datensicherheitsaufgaben ausführen:

  • Datenerkennung und -klassifizierung: Automatische Erkennung und Klassifizierung sensibler Datenressourcen in Ihrer Google Cloud -Umgebung, einschließlich BigQuery und Cloud Storage.

  • Data Governance: Bewerten Sie Ihren aktuellen Datensicherheitsstatus anhand der Best Practices und Compliance-Frameworks von Google, um potenzielle Sicherheitsprobleme zu identifizieren und zu beheben.

  • Kontrollen erzwingen: Ordnen Sie Ihre Sicherheitsanforderungen bestimmten Cloud-Kontrollen für die Data Governance zu, z. B. Data Access Governance und Data Flow Governance.

  • Compliance-Monitoring: Überwachen Sie Arbeitslasten im Hinblick auf angewendete Datensicherheits-Frameworks, um die Einhaltung nachzuweisen, Verstöße zu beheben und Nachweise für Audits zu generieren.

Kernkomponenten von DSPM

In den folgenden Abschnitten werden die Komponenten von DSPM beschrieben.

Datensicherheitsstatus mit dem DSPM-Dashboard überwachen

Im Dashboard für Datensicherheit in der Google Cloud Console können Sie sehen, wie die Daten Ihrer Organisation mit Ihren Anforderungen an Datensicherheit und Compliance übereinstimmen. Es bietet einen Data Map Explorer, mit dem Sie Datenstandorte visualisieren und nach Attributen wie Vertraulichkeit und Projekt filtern können. Das Dashboard bietet Sicherheitsergebnisse für Richtlinienverstöße, Details zur Bereitstellung und Abdeckung des Sicherheits-Frameworks und mehr.

Weitere Informationen zur Verwendung des Dashboards finden Sie unter Datensicherheitsstatus überwachen.

DSPM-Datensicherheits-Frameworks und Compliance

Mit Frameworks definieren Sie Ihre Anforderungen an Datensicherheit und Compliance und wenden diese Anforderungen auf Ihre Google Cloud -Umgebung an. DSPM umfasst das Framework für Datensicherheit und Datenschutz, das empfohlene grundlegende Kontrollen für Datensicherheit und Compliance definiert. Wenn Sie DSPM aktivieren, wird dieses Framework automatisch im Erkennungsmodus auf dieGoogle Cloud -Organisation angewendet. Sie können die generierten Ergebnisse verwenden, um Ihren Datenstatus zu verbessern.

Bei Bedarf können Sie Kopien des Frameworks erstellen, um benutzerdefinierte Datensicherheits-Frameworks zu erstellen. Sie können die Cloud-Steuerelemente für erweiterte Datensicherheit zu Ihren benutzerdefinierten Frameworks hinzufügen und die benutzerdefinierten Frameworks auf die Organisation, Ordner, Projekte und App Hub-Anwendungen in Ordnern anwenden, die für die Anwendungsverwaltung konfiguriert sind. Sie können beispielsweise benutzerdefinierte Frameworks erstellen, die rechtliche Kontrollen auf bestimmte Ordner anwenden, um sicherzustellen, dass die Daten in diesen Ordnern in einer bestimmten geografischen Region bleiben.

Framework für Datensicherheit und Datenschutz (Baseline-Kontrollen)

Die folgenden Cloud-Steuerelemente sind Teil des Frameworks „Grundlagen der Datensicherheit und des Datenschutzes“. Diese Kontrollen bieten vergleichbare Erkennungsfunktionen wie spezifische Ergebnisse aus Compliance Manager und Sensitive Data Protection.

In dieser Tabelle sind die Cloud-Kontrollen, ihre Beschreibungen und die Detektoren von Compliance Manager und Sensitive Data Protection aufgeführt, die in Kombination eine vergleichbare Erkennungsfunktion bieten. Informationen zum Korrelieren dieser Ergebnisse während einer Untersuchung finden Sie unter Ergebnisse aus Compliance Manager und Sensitive Data Protection korrelieren.

Cloud-Kontrolle Beschreibung

CMEK für BigQuery-Tabellen mit sensiblen Daten erforderlich (SENSITIVE_DATA_BIGQUERY_TABLE_CMEK_DISABLED)

Erkennen, wenn CMEK nicht für BigQuery-Tabellen mit sensiblen Daten verwendet wird.

Diese Einstellung bietet eine vergleichbare Erkennungsfunktion wie die folgenden kombinierten Erkennungsdienste und Detektoren:

CMEK für BigQuery-Datasets mit sensiblen Daten erforderlich (SENSITIVE_DATA_DATASET_CMEK_DISABLED)

Erkennen, wenn CMEK nicht für BigQuery-Datasets mit sensiblen Daten verwendet wird.

Diese Einstellung bietet eine vergleichbare Erkennungsfunktion wie die folgenden kombinierten Erkennungsdienste und Detektoren:

Öffentlichen Zugriff auf BigQuery-Datasets mit sensiblen Daten blockieren (SENSITIVE_DATA_PUBLIC_DATASET)

Erkennen Sie sensible Daten in öffentlich zugänglichen BigQuery-Datasets.

Diese Einstellung bietet eine vergleichbare Erkennungsfunktion wie die folgenden kombinierten Erkennungsdienste und Detektoren:

Öffentlichen Zugriff auf Cloud SQL-Instanzen mit sensiblen Daten blockieren (SENSITIVE_DATA_PUBLIC_SQL_INSTANCE)

Sensible Daten in öffentlich zugänglichen SQL-Datenbanken erkennen.

Diese Einstellung bietet eine vergleichbare Erkennungsfunktion wie die folgenden kombinierten Erkennungsdienste und Detektoren:

CMEK für Cloud SQL-Instanzen mit sensiblen Daten erforderlich (SENSITIVE_DATA_SQL_CMEK_DISABLED)

Erkennen, wenn CMEK nicht für Cloud SQL-Datenbanken mit sensiblen Daten verwendet wird.

Diese Einstellung bietet eine vergleichbare Erkennungsfunktion wie die folgenden kombinierten Erkennungsdienste und Detektoren:

Ergebnisse aus Compliance Manager und Sensitive Data Protection korrelieren

Während einer Untersuchung können Sie bestimmte Compliance Manager- und Sensitive Data Protection-ACTIVE-Ergebnisse, die für dieselbe Ressource identifiziert wurden, korrelieren, um einen Zustand zu identifizieren, der mit einem DSPM-Cloud-Kontrollergebnis vergleichbar ist.

Verwenden Sie eine der folgenden Methoden, um diese Prüfung durchzuführen:

  • Echtzeitbenachrichtigungen mit Pub/Sub: Richten Sie einen kontinuierlichen Export nach Pub/Sub ein, der nach ACTIVE-Ergebnissen filtert. Verwenden Sie nachgelagerte Dienste wie Cloud Run Functions oder Cloud Run, um automatisierte Benachrichtigungen oder Workflows auszulösen, wenn sowohl das zugehörige Compliance Manager- als auch das Sensitive Data Protection-Ergebnis für dieselbe Ressource vorhanden sind und beide Ergebnisse den Status ACTIVE haben.

  • Geplante Analyse mit BigQuery: Verwenden Sie entweder den kontinuierlichen Streaming-Export oder den einmaligen Bulk-Export nach BigQuery. Sie können geplante SQL-Abfragen in BigQuery ausführen, die die Tabelle findings mit sich selbst über resource_name verknüpfen und nach Ergebnissen filtern, bei denen sowohl das Compliance Manager- als auch das Sensitive Data Protection-Ergebnis vorhanden sind und sich im Status ACTIVE befinden.

Erweiterte Cloud-Steuerelemente für Data Governance und Sicherheit

DSPM bietet erweiterte Datensicherheit, um zusätzliche Anforderungen an die Datensicherheit zu erfüllen. Diese erweiterten Cloud-Steuerelemente für die Datensicherheit sind folgendermaßen gruppiert:

  • Nutzerberechtigungen überwachen: Es wird erkannt, ob andere Hauptkonten als die von Ihnen angegebenen auf sensible Daten zugreifen. Der Name der Einstellung lautet Zugriff auf sensible Daten auf autorisierte Nutzer beschränken.
  • Daten-Exfiltration verhindern: Es wird erkannt, ob Clients, die sich außerhalb der angegebenen geografischen Standorte (Länder) befinden, auf sensible Daten zugreifen. Der Name der Kontrolle lautet Fluss sensibler Daten über geografische Gerichtsbarkeiten hinweg einschränken.
  • CMEK-Verschlüsselung erzwingen: Erkennt, ob sensible Daten ohne kundenverwaltete Verschlüsselungsschlüssel (CMEKs) erstellt werden. Mehrere Steuerelemente helfen dabei, CMEK für verschiedene Google Cloud-Dienste zu erzwingen.
  • Datenlöschung verwalten: Erkennt Verstöße gegen Richtlinien zur maximalen Aufbewahrungsdauer für sensible Daten. Der Name der Einstellung lautet Maximale Aufbewahrungsdauer für sensible Daten festlegen.
  • Datenaufbewahrung verwalten: (Vorabversion) Erzwingt eine Mindestaufbewahrungsdauer (in Sekunden) für Cloud Storage-Objekte, um sicherzustellen, dass sie für einen Mindestzeitraum aufbewahrt werden. Der Name der Kontrolle lautet Mindestaufbewahrungsdauer für Cloud Storage-Objekte festlegen. Sie müssen sich registrieren, um dieses Steuerelement verwenden zu können.
  • Datenverschlüsselung verwalten: (Vorabversion) Erfordert die Verschlüsselung von Objekten in Cloud Storage-Buckets. Der Name der Kontrolle lautet Kundenverwaltete Verschlüsselung für Cloud Storage-Objekte erforderlich. Sie müssen sich registrieren, um dieses Steuerelement verwenden zu können.
  • Öffentlichen Zugriff auf Daten verwalten: (Vorabversion) Schränkt den öffentlichen Zugriff auf Objekte in Cloud Storage-Buckets ein, um das Risiko einer Datenpanne zu vermeiden. Der Name des Steuerelements lautet Öffentlichen Zugriff auf Cloud Storage-Objekte einschränken. Sie müssen sich registrieren, um dieses Steuerelement verwenden zu können.

Diese Kontrollen unterstützen nur den Erkennungsmodus. Weitere Informationen zum Bereitstellen dieser Kontrollen finden Sie unter DSPM verwenden.

Nutzerberechtigungen im Blick behalten

Mit der Einstellung Zugriff auf sensible Daten auf autorisierte Nutzer beschränken wird der Zugriff auf sensible Daten auf bestimmte Hauptkontengruppen beschränkt. Wenn ein nicht konformer Zugriffsversuch (Zugriff durch andere als die zulässigen Hauptkonten) auf Datenressourcen erfolgt, wird ein Ergebnis erstellt. Unterstützte Hauptkontotypen sind Nutzerkonten oder Gruppen. Informationen zum zu verwendenden Format finden Sie in der Tabelle der unterstützten Hauptkontoformate.

Nutzerkonten umfassen Folgendes:

  • Private Google-Konten, die Nutzer auf google.com registrieren, z. B. Gmail.com-Konten
  • Verwaltete Google-Konten für Unternehmen
  • Google Workspace for Education-Konten

Nutzerkonten umfassen keine Robot-Konten, Dienstkonten, Brand-Konten, die nur für die Delegierung vorgesehen sind, Ressourcenkonten und Gerätekonten.

Zu den unterstützten Asset-Typen gehören:

  • BigQuery-Datasets und -Tabellen
  • Cloud Storage-Buckets
  • Modelle, Datasets, Feature Stores und Metadatenspeicher der Gemini Enterprise Agent Platform

DSPM prüft die Einhaltung dieser Kontrolle, wenn ein Nutzerkonto einen unterstützten Ressourcentyp liest.

Für diese Cloud-Kontrolle müssen Sie Audit-Logs zum Datenzugriff für Cloud Storage und die Agent Platform aktivieren.

Es gelten folgende Einschränkungen:

  • Es werden nur Lesevorgänge unterstützt.
  • Der Zugriff durch Dienstkonten, einschließlich der Identitätsübernahme des Dienstkontos, ist von dieser Kontrolle ausgenommen. Als Abhilfemaßnahme sollten Sie dafür sorgen, dass nur vertrauenswürdige Dienstkonten Zugriff auf sensible Cloud Storage-, BigQuery- und Agent Platform-Ressourcen haben. Weisen Sie Nutzern, die keinen Zugriff haben sollen, außerdem nicht die Rolle Ersteller von Dienstkonto-Tokens (roles/iam.serviceAccountTokenCreator) zu.
  • Diese Einstellung verhindert nicht, dass Nutzer auf Kopien zugreifen, die über Dienstkontovorgänge erstellt wurden, z. B. über den Storage Transfer Service und den BigQuery Data Transfer Service. Nutzer könnten auf Kopien von Daten zugreifen, für die diese Einstellung nicht aktiviert ist.
  • Verknüpfte Datasets werden nicht unterstützt. Mit verknüpften Datasets wird ein schreibgeschütztes BigQuery-Dataset erstellt, das als symbolischer Link zu einem Quell-Dataset dient. Für verknüpfte Datasets werden keine Audit-Logs für den Datenzugriff erstellt. Ein nicht autorisierter Nutzer kann Daten lesen, ohne dass dies gekennzeichnet wird. Ein Nutzer könnte beispielsweise die Zugriffssteuerung umgehen, indem er ein Dataset mit einem Dataset außerhalb Ihrer Compliance-Grenze verknüpft. Er könnte dann das neue Dataset abfragen, ohne Logs für das Quell-Dataset zu generieren. Als Abhilfemaßnahme sollten Sie die Rollen BigQuery-Administrator (roles/bigquery.admin), BigQuery-Dateninhaber (roles/bigquery.dataOwner) oder BigQuery Studio-Administrator (roles/bigquery.studioAdmin) nicht Nutzern zuweisen, die keinen Zugriff auf sensible BigQuery-Ressourcen haben sollten.
  • Abfragen mit Platzhaltern werden auf Dataset-Ebene unterstützt, aber nicht auf Tabellensatzebene. Mit dieser Funktion können Sie mehrere BigQuery-Tabellen gleichzeitig mithilfe von Platzhalterausdrücken abfragen. DSPM verarbeitet Platzhalterabfragen so, als würden Sie auf das übergeordnete BigQuery-Dataset zugreifen, nicht auf einzelne Tabellen im Dataset.
  • Der öffentliche Zugriff auf Cloud Storage-Objekte wird nicht unterstützt. Der öffentliche Zugriff gewährt allen Nutzern Zugriff, ohne dass Richtlinien geprüft werden.
  • Der Zugriff auf oder das Herunterladen von Cloud Storage-Objekten über authentifizierte Browsersitzungen wird nicht unterstützt.
  • BigQuery-Tabellen und -Datasets werden nicht unterstützt, wenn sie in einer App Hub-Anwendung bereitgestellt werden.

Daten-Exfiltration verhindern

Mit der Einstellung Fluss sensibler Daten über geografische Gerichtsbarkeiten hinweg einschränken können Sie die zulässigen Länder angeben, von denen aus auf Daten zugegriffen werden kann. Die Cloud-Steuerung funktioniert so:

  • Wenn eine Leseanfrage aus dem Internet stammt, wird das Land anhand der IP-Adresse der Leseanfrage ermittelt. Wenn ein Proxy zum Senden der Leseanfrage verwendet wird, werden Benachrichtigungen basierend auf dem Standort des Proxys gesendet.

  • Wenn die Leseanfrage von einer Compute Engine-VM stammt, wird das Land durch die Cloud-Zone bestimmt, aus der die Anfrage stammt.

Zu den unterstützten Asset-Typen gehören:

  • BigQuery-Datasets und -Tabellen
  • Cloud Storage-Buckets
  • Agent Platform-Modelle, ‑Datasets, ‑Feature Stores und ‑Metadatenspeicher

Es gelten folgende Einschränkungen:

  • Es werden nur Lesevorgänge unterstützt.
  • Für die Agent Platform werden nur Anfragen aus dem Internet unterstützt.
  • Der öffentliche Zugriff auf Cloud Storage-Objekte wird nicht unterstützt.
  • Der Zugriff auf oder das Herunterladen von Cloud Storage-Objekten über authentifizierte Browsersitzungen wird nicht unterstützt.
  • Wenn BigQuery-Tabellen und -Datasets in einer App Hub-Anwendung in einem Ordner bereitgestellt werden, der für die Anwendungsverwaltung konfiguriert ist, werden sie nicht unterstützt.
  • Wenn ein Hauptkonto innerhalb von 24 Stunden mehrmals von einem nicht konformen Standort aus auf eine Ressource zugreift, werden Verstöße nur für den ersten Zugriff unterstützt.

CMEK-Verschlüsselung erzwingen

Diese Kontrollen erfordern, dass Sie bestimmte Ressourcen mit CMEKs verschlüsseln. Dazu gehören:

Wenn Sie diese Kontrollen in einer App Hub-Anwendung bereitstellen, werden BigQuery-Tabellen nicht unterstützt.

Richtlinien für die maximale Datenaufbewahrung verwalten

Mit der Einstellung Maximale Aufbewahrungsdauer für sensible Daten festlegen wird die Aufbewahrungsdauer für sensible Daten festgelegt. Sie können Ressourcen (z. B. BigQuery-Tabellen) auswählen und eine Cloud-Steuerung zum Löschen von Daten anwenden, die erkennt, ob eine der Ressourcen gegen die maximale Aufbewahrungsdauer verstößt.

Zu den unterstützten Asset-Typen gehören:

  • BigQuery-Datasets und -Tabellen
  • Agent Platform-Modelle, ‑Datasets, ‑Feature Stores und ‑Metadatenspeicher
  • Cloud Storage-Objekte (Vorschau). Sie müssen sich registrieren, um diese Einstellung zu verwenden.

Wenn Sie diese Kontrolle in einer App Hub-Anwendung bereitstellen, werden BigQuery-Tabellen und ‑Datasets nicht unterstützt.

Datenaufbewahrung verwalten

Mit der Einstellung Mindestaufbewahrungsdauer für Cloud Storage-Objekte festlegen wird eine Mindestaufbewahrungsdauer für Cloud Storage-Objekte erzwungen. Diese Einstellung verhindert das Löschen oder Ändern von Cloud Storage-Objekten, bis die Mindestaufbewahrungsdauer (in Sekunden angegeben) abgelaufen ist.

Mit dieser Einstellung werden Cloud Storage-Objekte erkannt, die nicht der konfigurierten Mindestaufbewahrungsrichtlinie entsprechen. Ergebnisse werden im Security Command Center auf Bucket-Ebene generiert. Sie können die Ergebnisse auf Objektebene in Storage Intelligence-Datasets (in object_security_findings_view) abfragen. Ergebnisse auf Objektebene haben findingType: SCC_DSPM_DATA_RETENTION und findingReason: MINIMUM_RETENTION_VIOLATION.

Unterstützte Asset-Typen: Cloud Storage-Objekte

Sie müssen sich registrieren, um diese Einstellung zu verwenden.

Datenverschlüsselung verwalten

Mit der Einstellung Kundenverwaltete Verschlüsselung für Cloud Storage-Objekte erforderlich können Sie die Verschlüsselung für Objekte in Cloud Storage-Buckets mithilfe von CMEKs erzwingen. Die Kontrolle erkennt Cloud Storage-Objekte, die nicht mit CMEK verschlüsselt sind, was gegen Ihre Verschlüsselungsrichtlinie verstößt.

Ergebnisse werden in Security Command Center auf Bucket-Ebene generiert. Sie können die Ergebnisse auf Objektebene in Storage Intelligence-Datasets (in object_security_findings_view) abfragen. Ergebnisse auf Objektebene haben findingType: SCC_DSPM_ENCRYPTION_NO_CMEK und findingReason: ENCRYPTION_CMEK_VIOLATION.

Unterstützte Asset-Typen: Cloud Storage-Objekte

Sie müssen sich registrieren, um diese Einstellung zu verwenden.

Öffentlichen Zugriff auf Daten verwalten

Mit der Einstellung Öffentlichen Zugriff auf Cloud Storage-Objekte einschränken können Sie den öffentlichen Zugriff auf Objekte in Cloud Storage-Buckets einschränken, um das Risiko einer Offenlegung von Daten zu vermeiden. Mit dieser Einstellung werden Cloud Storage-Objekte erkannt, die öffentlich zugänglich sind und gegen Ihre Richtlinie für den öffentlichen Zugriff verstoßen.

Ergebnisse werden in Security Command Center auf Bucket-Ebene generiert. Sie können die detaillierten Ergebnisse auf Objektebene in Storage Intelligence-Datasets (in object_security_findings_view) abfragen. Ergebnisse auf Objektebene haben findingType: SCC_DSPM_PUBLIC_ACCESS_GOVERNANCE und findingReason: PUBLIC_ACCESS_VIOLATION.

Das Feld sccDspmFinding.securityInsights im Ergebnis auf Objektebene enthält weitere Details zum Status der öffentlichen Zugänglichkeit, einschließlich Lese- und Schreibzugriff.

Unterstützte Asset-Typen: Cloud Storage-Objekte

Sie müssen sich registrieren, um diese Einstellung zu verwenden.

DSPM mit Sensitive Data Protection verwenden

DSPM funktioniert mit Sensitive Data Protection. Sensitive Data Protection findet die sensiblen Daten in Ihrer Organisation und mit DSPM können Sie Cloud-Steuerelemente für die Datensicherheit für die sensiblen Daten bereitstellen, um Ihre Sicherheits- und Compliance-Anforderungen zu erfüllen.

In der folgenden Tabelle wird beschrieben, wie Sie Sensitive Data Protection für die Datenerkennung und DSPM für die Richtlinienerzwingung und die Verwaltung des Sicherheitsstatus verwenden können.

Dienst

Sensitive Data Protection

DSPM
Datenumfang

Sucht und klassifiziert sensible Daten (z. B. personenidentifizierbare Informationen oder Secrets) im Speicher in Google Cloud.

Bewertet den Sicherheitsstatus rund um die klassifizierten sensiblen Daten.
Hauptaktionen

Scannt, profiliert und de-identifiziert sensible Daten.

Erzwingt, überwacht und validiert Richtlinien.
Fokus der Ergebnisse

Berichte darüber, wo sich die sensiblen Daten befinden (z. B. BigQuery oder Cloud Storage).

Berichte darüber, warum die Daten offengelegt werden (z. B. öffentlicher Zugriff, fehlender CMEK oder übermäßige Berechtigungen).
Integration

Stellt DSPM Metadaten zur Sensitivität und Klassifizierung bereit.

Verwendet Sensitive Data Protection-Daten, um Sicherheitskontrollen und Risikobewertungen anzuwenden und zu überwachen.

Nächste Schritte