La administración de la postura de seguridad de los datos (DSPM) proporciona una vista centrada en los datos de la seguridad de Google Cloud . La DSPM te permite identificar y reducir de forma continua el riesgo de los datos, ya que te ayuda a comprender qué datos sensibles tienes, dónde se almacenan en Google Cloudy si su uso se alinea con tus requisitos de seguridad y cumplimiento.
Las capacidades de DSPM dependen de tu nivel de servicio de Security Command Center. Consulta Administración de la postura de seguridad de los datos en la descripción general del nivel Estándar para obtener más información sobre qué funciones de DSPM están disponibles en el nivel Estándar.
La DSPM en los niveles Premium y Enterprise permite que tu equipo complete las siguientes tareas de seguridad de los datos:
Descubrimiento y clasificación de datos: Descubre y clasifica automáticamente los recursos de datos sensibles en tu entorno de Google Cloud , incluidos BigQuery y Cloud Storage.
Administración de datos: Evalúa tu postura de seguridad de los datos actual en función de las prácticas recomendadas y los marcos de cumplimiento de Google para identificar y solucionar posibles problemas de seguridad.
Aplicación de controles: Asigna tus requisitos de seguridad a controles de nube de administración de datos específicos, como la administración de acceso a los datos y la administración de flujo de datos.
Supervisión del cumplimiento: Supervisa las cargas de trabajo en función de los marcos de seguridad de los datos aplicados para demostrar la alineación, corregir los incumplimientos y generar evidencias para la auditoría.
Componentes principales de la DSPM
En las siguientes secciones, se describen los componentes de la DSPM.
Supervisa tu postura de seguridad de los datos con el panel de DSPM
El panel de seguridad de los datos de la consola de Google Cloud te permite ver cómo los datos de tu organización se alinean con los requisitos de cumplimiento y seguridad de los datos. Cuenta con un explorador de mapas de datos para visualizar las ubicaciones de los datos y filtrarlos por atributos como la sensibilidad y el proyecto. En el panel, se proporcionan hallazgos de seguridad por incumplimientos de políticas, se detalla la implementación y la cobertura del framework de seguridad, y mucho más.
Para obtener más información sobre cómo usar el panel, consulta Supervisa tu postura de seguridad de los datos.
Frameworks de seguridad de los datos y cumplimiento de DSPM
Usa marcos de trabajo para definir tus requisitos de seguridad de los datos y cumplimiento, y aplicar esos requisitos a tu entorno de Google Cloud . La DSPM incluye el framework de aspectos básicos de la seguridad y la privacidad de los datos, que define los controles de referencia recomendados para la seguridad y el cumplimiento de los datos. Cuando habilitas la DSPM, este framework se aplica automáticamente a la organización deGoogle Cloud en modo de detección. Puedes usar los hallazgos generados para reforzar tu postura de datos.
Si es necesario, puedes hacer copias del framework para crear frameworks de seguridad de los datos personalizados. Puedes agregar los controles de nube de seguridad de los datos avanzada a tus frameworks personalizados y aplicarlos a la organización, las carpetas, los proyectos y las aplicaciones de App Hub en las carpetas configuradas para la administración de aplicaciones. Por ejemplo, puedes crear frameworks personalizados que apliquen controles jurisdiccionales a carpetas específicas para garantizar que los datos de esas carpetas permanezcan dentro de una región geográfica en particular.
Marco de trabajo de aspectos básicos de la seguridad y privacidad de los datos (controles de referencia)
Los siguientes controles de nube forman parte del framework de Aspectos básicos de la seguridad y la privacidad de los datos. Estos controles proporcionan una capacidad de detección comparable a la de los hallazgos específicos del Administrador de cumplimiento y Sensitive Data Protection.
En esta tabla, se enumeran los controles de la nube, sus descripciones y los detectores de Administrador de cumplimiento y Sensitive Data Protection que proporcionan una capacidad de detección comparable cuando se combinan. Para obtener información sobre cómo correlacionar estos hallazgos durante una investigación, consulta Correlaciona los hallazgos del Administrador de cumplimiento y Sensitive Data Protection.
| Control de nube | Descripción |
|---|---|
Exige CMEK para las tablas de BigQuery con datos sensibles ( |
Detecta cuándo no se usa CMEK para las tablas de BigQuery que incluyen datos sensibles. Este control proporciona una capacidad de detección comparable a la de los siguientes servicios y detectores de detección combinados:
|
|
Exige CMEK para los conjuntos de datos de BigQuery con datos sensibles ( |
Detecta cuándo no se usa CMEK para los conjuntos de datos de BigQuery que incluyen datos sensibles. Este control proporciona una capacidad de detección comparable a la de los siguientes servicios y detectores de detección combinados:
|
|
Bloquea el acceso público a los conjuntos de datos de BigQuery con datos sensibles ( |
Detecta datos sensibles en conjuntos de datos de BigQuery de acceso público. Este control proporciona una capacidad de detección comparable a la de los siguientes servicios y detectores de detección combinados:
|
|
Bloquea el acceso público a las instancias de Cloud SQL con datos sensibles ( |
Detecta datos sensibles en bases de datos de SQL de acceso público. Este control proporciona una capacidad de detección comparable a la de los siguientes servicios y detectores de detección combinados:
|
|
Exige CMEK para las instancias de Cloud SQL con datos sensibles ( |
Detecta cuándo no se usa CMEK para las bases de datos de Cloud SQL que incluyen datos sensibles. Este control proporciona una capacidad de detección comparable a la de los siguientes servicios y detectores de detección combinados:
|
Correlaciona los hallazgos del Administrador de cumplimiento y Sensitive Data Protection
Durante una investigación, puedes correlacionar hallazgos específicos de Compliance Manager y
Sensitive Data Protection ACTIVE identificados en el mismo recurso
para ayudar a identificar una condición que sea comparable a un
hallazgo de control de DSPM en la nube.
Usa uno de los siguientes métodos para realizar esta investigación:
Alertas en tiempo real con Pub/Sub: Configura una exportación continua a Pub/Sub que filtre los hallazgos de
ACTIVE. Usa servicios downstream, como Cloud Run Functions o Cloud Run, para activar alertas o flujos de trabajo automatizados cuando existan el Administrador de cumplimiento y el hallazgo de Sensitive Data Protection relacionados para el mismo recurso y ambos hallazgos estén en estadoACTIVE.Análisis programado con BigQuery: Usa la exportación mediante transmisión continua o la exportación masiva única a BigQuery. Puedes ejecutar consultas en SQL programadas en BigQuery que unan la tabla
findingscon sí misma enresource_namey filtren los hallazgos en los que existan los hallazgos del Administrador de cumplimiento y de Sensitive Data Protection, y estén en el estadoACTIVE.
Controles avanzados de seguridad y administración de datos en la nube
La DSPM incluye seguridad de los datos avanzada para ayudarte a cumplir con requisitos adicionales de seguridad de los datos. Estos controles avanzados de seguridad de los datos en la nube se agrupan de la siguiente manera:
- Supervisa los permisos de los usuarios: Detecta si las principales que no son las que especificas acceden a datos sensibles. El nombre del control es Restringe el acceso a datos sensibles a los usuarios permitidos.
- Evita el robo de datos: Detecta si los clientes que están fuera de las ubicaciones geográficas (país) especificadas acceden a datos sensibles. El nombre del control es Restringe el flujo de datos sensibles entre jurisdicciones geográficas.
- Aplicar la encriptación de CMEK: Detecta si se crean datos sensibles sin la encriptación de claves de encriptación administradas por el cliente (CMEK). Varios controles ayudan a aplicar la CMEK para diferentes servicios de Google Cloud.
- Administra la eliminación de datos: Detecta incumplimientos de las políticas de período de retención máximo para los datos sensibles. El nombre del control es Controla el período de retención máximo para los datos sensibles.
- Administra la retención de datos: (versión preliminar) Aplica un período de retención mínimo (en segundos) para los objetos de Cloud Storage con el objetivo de garantizar que se retengan durante un período mínimo. El nombre del control es Controla el período de retención mínimo para los objetos de Cloud Storage. Debes registrarte para usar este control.
- Administra la encriptación de datos: (Versión preliminar) Requiere encriptación para los objetos en los buckets de Cloud Storage. El nombre del control es Exigir la encriptación administrada por el cliente para los objetos de Cloud Storage. Debes registrarte para usar este control.
- Administra el acceso público a los datos: (versión preliminar) Restringe el acceso público a los objetos en los buckets de Cloud Storage para evitar el riesgo de exposición de los datos. El nombre del control es Restringe el acceso público a los objetos de Cloud Storage. Debes registrarte para usar este control.
Estos controles solo admiten el modo de detección. Para obtener más información sobre la implementación de estos controles, consulta Usa DSPM.
Supervisa los permisos de los usuarios
El control Restringe el acceso a datos sensibles a usuarios permitidos restringe el acceso a datos sensibles a conjuntos de principales especificados. Cuando hay un intento de acceso no conforme (acceso de principales que no sean las permitidas) a los recursos de datos, se crea un hallazgo. Los tipos de principales admitidos son las cuentas de usuario o los grupos. Para obtener información sobre qué formato usar, consulta la tabla de formatos de principales compatibles.
Las cuentas de usuario incluyen lo siguiente:
- Cuentas de Google personales que los usuarios registran en google.com, como las cuentas de Gmail.com
- Cuentas de Google administradas para empresas
- Cuentas de Google Workspace for Education
Las cuentas de usuario no incluyen cuentas de robot, cuentas de servicio, cuentas de marca solo de delegación, cuentas de recursos ni cuentas de dispositivos.
Entre los tipos de recursos admitidos, se incluyen los siguientes:
- Tablas y conjuntos de datos de BigQuery
- Buckets de Cloud Storage
- Modelos, conjuntos de datos, Feature Store y almacenes de metadatos de Gemini Enterprise Agent Platform
La DSPM evalúa el cumplimiento de este control cada vez que una cuenta de usuario lee un tipo de recurso compatible.
Este control de la nube requiere que habilites los registros de auditoría de acceso a los datos para Cloud Storage y Agent Platform.
Estas son algunas de las limitaciones:
- Solo se admiten operaciones de lectura.
- El acceso de las cuentas de servicio, incluida la identidad temporal como cuenta de servicio, está
exento de este control. Como mitigación, asegúrate de que solo las cuentas de servicio de confianza
tengan acceso a los recursos sensibles de Cloud Storage,
BigQuery y
Agent Platform. Además, no otorgues el rol de creador de tokens de cuenta de servicio (
roles/iam.serviceAccountTokenCreator) a los usuarios que no deberían tener acceso. - Este control no impide que los usuarios accedan a las copias que se realizan a través de las operaciones de la cuenta de servicio, como las que realizan el Servicio de transferencia de almacenamiento y el Servicio de transferencia de datos de BigQuery. Los usuarios podrían acceder a copias de datos que no tienen este control habilitado.
- No se admiten los conjuntos de datos vinculados. Los conjuntos de datos vinculados crean un conjunto de datos de BigQuery
de solo lectura que actúa como un vínculo simbólico a un conjunto de datos de origen. Los conjuntos de datos vinculados
no producen registros de auditoría de acceso a los datos y podrían permitir que un usuario no autorizado lea
datos sin que se marque. Por ejemplo, un usuario podría omitir el control de acceso
vinculando un conjunto de datos a un conjunto de datos fuera de tu límite de cumplimiento
y, luego, podría consultar el nuevo conjunto de datos sin generar registros
en el conjunto de datos de origen. Como mitigación, no otorgues los roles de administrador de BigQuery
(
roles/bigquery.admin), propietario de datos de BigQuery (roles/bigquery.dataOwner) o administrador de BigQuery Studio (roles/bigquery.studioAdmin) a los usuarios que no deberían tener acceso a recursos sensibles de BigQuery. - Las consultas de tablas comodín se admiten a nivel del conjunto de datos, pero no a nivel del conjunto de tablas. Esta función te permite consultar varias tablas de BigQuery al mismo tiempo con expresiones comodín. La DSPM procesa las consultas con comodines como si estuvieras accediendo al conjunto de datos superior de BigQuery, no a las tablas individuales dentro del conjunto de datos.
- No se admite el acceso público a los objetos de Cloud Storage. El acceso público otorga acceso a todos los usuarios sin ninguna verificación de políticas.
- No se admite el acceso ni la descarga de objetos de Cloud Storage con sesiones autenticadas del navegador.
- Cuando se implementan en una aplicación de App Hub, no se admiten las tablas ni los conjuntos de datos de BigQuery.
Impide el robo de datos
El control Restringe el flujo de datos sensibles entre jurisdicciones geográficas te permite especificar los países permitidos desde los que se puede acceder a los datos. El control de la nube funciona de la siguiente manera:
Si una solicitud de lectura proviene de Internet, el país se determina en función de la dirección IP de la solicitud de lectura. Si se usa un proxy para enviar la solicitud de lectura, las alertas se envían según la ubicación del proxy.
Si la solicitud de lectura proviene de una VM de Compute Engine, el país se determina según la zona de la nube en la que se origina la solicitud.
Entre los tipos de recursos admitidos, se incluyen los siguientes:
- Tablas y conjuntos de datos de BigQuery
- Buckets de Cloud Storage
- Modelos, conjuntos de datos, Feature Store y almacenes de metadatos de Agent Platform
Estas son algunas de las limitaciones:
- Solo se admiten operaciones de lectura.
- En Agent Platform, solo se admiten solicitudes de Internet.
- No se admite el acceso público a los objetos de Cloud Storage.
- No se admite el acceso ni la descarga de objetos de Cloud Storage con sesiones autenticadas del navegador.
- Cuando se implementan en una aplicación de App Hub en una carpeta configurada para la administración de aplicaciones, las tablas y los conjuntos de datos de BigQuery no son compatibles.
- Cuando una principal accede a un recurso más de una vez desde una ubicación que no cumple con los requisitos en un plazo de 24 horas, solo se admiten los incumplimientos del primer acceso.
Aplicar la encriptación de CMEK
Estos controles requieren que encriptes recursos específicos con CMEK. Entre ellas, se incluyen las siguientes:
- Habilita CMEK para los conjuntos de datos de Gemini Enterprise Agent Platform
- Habilita CMEK para los almacenes de metadatos de Gemini Enterprise Agent Platform
- Habilita CMEK para los modelos de Gemini Enterprise Agent Platform
- Habilita CMEK para el almacén de atributos de Gemini Enterprise Agent Platform
- Habilita CMEK para las tablas de BigQuery
Cuando implementas estos controles en una aplicación de App Hub, no se admiten las tablas de BigQuery.
Administra las políticas de retención de datos máxima
El control Controla el período de retención máximo para los datos sensibles controla el período de retención de los datos sensibles. Puedes seleccionar recursos (por ejemplo, tablas de BigQuery) y aplicar un control de eliminación de datos en la nube que detecte si alguno de los recursos incumple los límites máximos de retención por antigüedad.
Entre los tipos de recursos admitidos, se incluyen los siguientes:
- Tablas y conjuntos de datos de BigQuery
- Modelos, conjuntos de datos, Feature Store y almacenes de metadatos de Agent Platform
- Objetos de Cloud Storage (versión preliminar). Debes registrarte para usar este control.
Cuando implementas este control en una aplicación de App Hub, no se admiten las tablas de BigQuery ni los conjuntos de datos.
Administra la retención de datos
El control Administra el período de retención mínimo para los objetos de Cloud Storage aplica un período de retención mínimo para los objetos de Cloud Storage. Este control impide que se borren o modifiquen los objetos de Cloud Storage hasta que haya transcurrido el período de retención mínimo (especificado en segundos).
Este control detecta los objetos de Cloud Storage que no cumplen con la política de retención mínima
configurada. Los hallazgos se generan en Security Command Center a nivel del
bucket. Puedes consultar los hallazgos a nivel de objeto en
los conjuntos de datos de Storage Intelligence (en object_security_findings_view).
Los hallazgos a nivel de objeto tienen findingType: SCC_DSPM_DATA_RETENTION y
findingReason: MINIMUM_RETENTION_VIOLATION.
Tipos de recursos compatibles: objetos de Cloud Storage
Debes registrarte para usar este control.
Administra la encriptación de datos
El control Exigir la encriptación administrada por el cliente para los objetos de Cloud Storage te ayuda a aplicar la encriptación para los objetos en los buckets de Cloud Storage con CMEK. El control detecta objetos de Cloud Storage que no están encriptados con CMEK, lo que incumple tu política de encriptación.
Los hallazgos se generan en Security Command Center a nivel del bucket. Puedes consultar los
hallazgos a nivel de objeto en los conjuntos de datos de Storage Intelligence
(en object_security_findings_view). Los hallazgos a nivel de objeto tienen
findingType: SCC_DSPM_ENCRYPTION_NO_CMEK y
findingReason: ENCRYPTION_CMEK_VIOLATION.
Tipos de recursos compatibles: objetos de Cloud Storage
Debes registrarte para usar este control.
Administra el acceso público a los datos
El control Restringe el acceso público a los objetos de Cloud Storage te ayuda a restringir el acceso público a los objetos en los buckets de Cloud Storage para evitar el riesgo de exposición de los datos. Este control detecta los objetos de Cloud Storage que son de acceso público, lo que infringe tu política de acceso público.
Los hallazgos se generan en Security Command Center a nivel del bucket. Puedes consultar los
hallazgos detallados a nivel de objeto en los conjuntos de datos de Storage Intelligence
(en object_security_findings_view). Los hallazgos a nivel de objeto tienen
findingType: SCC_DSPM_PUBLIC_ACCESS_GOVERNANCE y
findingReason: PUBLIC_ACCESS_VIOLATION.
El campo sccDspmFinding.securityInsights del hallazgo a nivel de objeto
proporciona más detalles sobre el estado de accesibilidad pública, incluido el acceso de lectura y
escritura.
Tipos de recursos compatibles: objetos de Cloud Storage
Debes registrarte para usar este control.
Usa DSPM con Sensitive Data Protection
La DSPM funciona con Sensitive Data Protection. Sensitive Data Protection encuentra los datos sensibles en tu organización, y DSPM te permite implementar controles de seguridad de los datos en la nube en los datos sensibles para cumplir con tus requisitos de seguridad y cumplimiento.
En la siguiente tabla, se describe cómo puedes usar Sensitive Data Protection para el descubrimiento de datos y DSPM para la aplicación de políticas y la administración de la postura de seguridad.
| Servicio | Sensitive Data Protection |
DSPM |
|---|---|---|
| Alcance de los datos | Busca y clasifica datos sensibles (como IIP o secretos) en el almacenamiento en Google Cloud. |
Evalúa la postura de seguridad en torno a los datos sensibles clasificados. |
| Acciones principales | Analiza, genera perfiles y desidentifica datos sensibles. |
Aplica, supervisa y valida políticas. |
| Enfoque de los hallazgos | Informa dónde se encuentran los datos sensibles (por ejemplo, BigQuery o Cloud Storage). |
Informes sobre por qué se exponen los datos (por ejemplo, acceso público, CMEK faltante o permisos excesivos) |
| Integración | Proporciona a DSPM metadatos de sensibilidad y clasificación. |
Usa los datos de Sensitive Data Protection para aplicar y supervisar los controles de seguridad y las evaluaciones de riesgos. |