La gestion de la stratégie de sécurité des données (DSPM) fournit une vue de la sécurité de Google Cloud centrée sur les données. DSPM vous permet d'identifier et de réduire en permanence les risques liés aux données en vous aidant à comprendre quelles données sensibles vous possédez, où elles sont stockées dansGoogle Cloudet si leur utilisation est conforme à vos exigences de sécurité et de conformité.
Les fonctionnalités DSPM dépendent de votre niveau de service Security Command Center. Pour en savoir plus sur les fonctionnalités DSPM disponibles dans le niveau Standard, consultez Data Security Posture Management dans la présentation du niveau Standard.
La DSPM dans les niveaux Premium et Enterprise permet à votre équipe d'effectuer les tâches de sécurité des données suivantes :
Découverte et classification des données : découvrez et classifiez automatiquement les ressources de données sensibles dans votre environnement Google Cloud , y compris BigQuery et Cloud Storage.
Gouvernance des données : évaluez votre stratégie de sécurité des données actuelle par rapport aux bonnes pratiques et aux frameworks de conformité de Google pour identifier et résoudre les problèmes de sécurité potentiels.
Application des contrôles : mappez vos exigences de sécurité à des contrôles cloud de gouvernance des données spécifiques, tels que la gouvernance des accès aux données et la gouvernance des flux de données.
Surveillance de la conformité : surveillez les charges de travail par rapport aux frameworks de sécurité des données appliqués pour prouver l'alignement, corriger les cas de non-respect et générer des preuves pour l'audit.
Composants principaux de la DSPM
Les sections suivantes décrivent les composants de la DSPM.
Surveiller votre stratégie de sécurité des données avec le tableau de bord DSPM
Le tableau de bord de sécurité des données de la console Google Cloud vous permet de voir comment les données de votre organisation s'alignent sur vos exigences de sécurité et de conformité des données. Il comprend un explorateur de la carte des données pour visualiser les emplacements des données et les filtrer par attributs tels que la sensibilité et le projet. Le tableau de bord fournit des résultats de sécurité pour les cas de non-respect des règles, détaille le déploiement et la couverture du framework de sécurité, et plus encore.
Pour en savoir plus sur l'utilisation du tableau de bord, consultez Surveiller votre stratégie de sécurité des données.
Frameworks de sécurité des données et conformité DSPM
Vous utilisez des frameworks pour définir vos exigences de sécurité et de conformité des données, et les appliquer à votre environnement Google Cloud . La DSPM inclut le framework des principes de base de la sécurité et de la confidentialité des données, qui définit les contrôles de référence recommandés pour la sécurité et la conformité des données. Lorsque vous activez la DSPM, ce framework est automatiquement appliqué à l'organisationGoogle Cloud en mode détective. Vous pouvez utiliser les résultats générés pour renforcer votre stratégie de données.
Si nécessaire, vous pouvez créer des copies du framework pour créer des frameworks de sécurité des données personnalisés. Vous pouvez ajouter les contrôles cloud de sécurité avancée des données à vos frameworks personnalisés et appliquer ces frameworks personnalisés à l'organisation, aux dossiers, aux projets et aux applications App Hub dans les dossiers configurés pour la gestion des applications. Par exemple, vous pouvez créer des frameworks personnalisés qui appliquent des contrôles juridictionnels à des dossiers spécifiques pour vous assurer que les données de ces dossiers restent dans une région géographique particulière.
Framework des principes de base de la sécurité et de la confidentialité des données (contrôles de base)
Les contrôles cloud suivants font partie du framework "Principes de base de la sécurité et de la confidentialité des données". Ces contrôles offrent une capacité de détection comparable à celle des résultats spécifiques de Compliance Manager et de Sensitive Data Protection.
Ce tableau liste les contrôles cloud, leurs descriptions, ainsi que les détecteurs du Gestionnaire de conformité et de Sensitive Data Protection qui, lorsqu'ils sont combinés, offrent une capacité de détection comparable. Pour savoir comment mettre en corrélation ces résultats lors d'une investigation, consultez Mettre en corrélation les résultats du Gestionnaire de conformité et de Sensitive Data Protection.
| Contrôle cloud | Description |
|---|---|
Exiger une CMEK pour les tables BigQuery contenant des données sensibles ( |
Détectez quand une clé CMEK n'est pas utilisée pour les tables BigQuery contenant des données sensibles. Ce contrôle offre une capacité de détection comparable à celle des services et détecteurs de détection combinés suivants :
|
|
Exiger une CMEK pour les ensembles de données BigQuery contenant des données sensibles ( |
Détectez quand les CMEK ne sont pas utilisées pour les ensembles de données BigQuery qui incluent des données sensibles. Ce contrôle offre une capacité de détection comparable à celle des services et détecteurs de détection combinés suivants :
|
|
Bloquer l'accès public aux ensembles de données BigQuery contenant des données sensibles ( |
Détectez les données sensibles dans les ensembles de données BigQuery accessibles au public. Ce contrôle offre une capacité de détection comparable à celle des services et détecteurs de détection combinés suivants :
|
|
Bloquer l'accès public aux instances Cloud SQL contenant des données sensibles ( |
Détectez les données sensibles dans les bases de données SQL accessibles au public. Ce contrôle offre une capacité de détection comparable à celle des services et détecteurs de détection combinés suivants :
|
|
Exiger des CMEK pour les instances Cloud SQL contenant des données sensibles ( |
Détectez quand les CMEK ne sont pas utilisées pour les bases de données Cloud SQL qui incluent des données sensibles. Ce contrôle offre une capacité de détection comparable à celle des services et détecteurs de détection combinés suivants :
|
Corréler les résultats de Compliance Manager et de Sensitive Data Protection
Lors d'une investigation, vous pouvez mettre en corrélation des résultats spécifiques de Compliance Manager et de Sensitive Data Protection ACTIVE identifiés sur la même ressource pour vous aider à identifier une condition comparable à un résultat de contrôle cloud DSPM.
Utilisez l'une des méthodes suivantes pour effectuer cette investigation :
Alertes en temps réel avec Pub/Sub : configurez une exportation continue vers Pub/Sub qui filtre les résultats
ACTIVE. Utilisez des services en aval, tels que Cloud Run Functions ou Cloud Run, pour déclencher des alertes ou des workflows automatisés lorsque le résultat Compliance Manager et le résultat Sensitive Data Protection associés existent pour la même ressource et que les deux résultats sont à l'étatACTIVE.Analyse planifiée avec BigQuery : utilisez l'exportation en flux continu ou l'exportation groupée ponctuelle vers BigQuery. Vous pouvez exécuter des requêtes SQL planifiées dans BigQuery qui effectuent une autojointure de la table
findingssurresource_nameet filtrent les résultats pour lesquels le résultat de Compliance Manager et celui de Sensitive Data Protection existent et sont à l'étatACTIVE.
Contrôles cloud avancés de gouvernance et de sécurité des données
DSPM inclut une sécurité des données avancée pour vous aider à répondre à des exigences de sécurité des données supplémentaires. Ces contrôles cloud avancés de sécurité des données sont regroupés comme suit :
- Surveiller les autorisations des utilisateurs : détecte si des comptes principaux autres que ceux que vous spécifiez accèdent à des données sensibles. Le nom du contrôle est Limiter l'accès aux données sensibles aux utilisateurs autorisés.
- Empêcher l'exfiltration de données : détecte si des clients situés en dehors des zones géographiques (pays) spécifiées accèdent à des données sensibles. Le nom du contrôle est Limiter le flux de données sensibles entre les juridictions géographiques.
- Appliquer le chiffrement CMEK : détecte si des données sensibles sont créées sans chiffrement par clés de chiffrement gérées par le client (CMEK). Plusieurs contrôles permettent d'appliquer les CMEK pour différents services Google Cloud.
- Gérer la suppression des données : détecte les cas de non-respect des règles de durée de conservation maximale pour les données sensibles. Le nom du contrôle est Régir la durée de conservation maximale des données sensibles.
- Gérer la conservation des données (aperçu) : applique une durée de conservation minimale (en secondes) pour les objets Cloud Storage afin de s'assurer qu'ils sont conservés pendant une durée minimale. Le nom du contrôle est Régir la durée de conservation minimale des objets Cloud Storage. Vous devez vous inscrire pour utiliser cette commande.
- Gérer le chiffrement des données : (preview) nécessite le chiffrement des objets dans les buckets Cloud Storage. Le nom du contrôle est Exiger le chiffrement géré par le client pour les objets Cloud Storage. Vous devez vous inscrire pour utiliser cette commande.
- Gérer l'accès public aux données (preview) : limite l'accès public aux objets dans les buckets Cloud Storage pour éviter tout risque d'exposition des données. Le nom du contrôle est Limiter l'accès public aux objets Cloud Storage. Vous devez vous inscrire pour utiliser cette commande.
Ces contrôles ne sont compatibles qu'avec le mode de détection. Pour en savoir plus sur le déploiement de ces contrôles, consultez Utiliser la DSPM.
Surveiller les autorisations des utilisateurs
Le contrôle Limiter l'accès aux données sensibles aux utilisateurs autorisés limite l'accès aux données sensibles aux ensembles de comptes principaux spécifiés. Lorsqu'une tentative d'accès non conforme (accès par des comptes principaux autres que ceux autorisés) aux ressources de données est effectuée, un résultat est créé. Les types de comptes principaux acceptés sont les comptes utilisateur ou les groupes. Pour en savoir plus sur le format à utiliser, consultez le tableau des formats de comptes principaux acceptés.
Les comptes utilisateur incluent les éléments suivants :
- Les comptes Google personnels que les utilisateurs créent sur google.com, tels que les comptes Gmail.com
- Comptes Google gérés pour les entreprises
- Comptes Google Workspace for Education
Les comptes utilisateur n'incluent pas les comptes robot, les comptes de service, les comptes de marque de délégation uniquement, les comptes de ressources et les comptes d'appareils.
Les types d'assets compatibles sont les suivants :
- Ensembles de données et tables BigQuery
- Buckets Cloud Storage
- Modèles, ensembles de données, feature stores et magasins de métadonnées Gemini Enterprise Agent Platform
La DSPM évalue la conformité avec ce contrôle chaque fois qu'un compte utilisateur lit un type de ressource compatible.
Ce contrôle cloud nécessite l'activation des journaux d'audit des accès aux données pour Cloud Storage et Agent Platform.
Voici quelques limites :
- Seules les opérations de lecture sont acceptées.
- L'accès par des comptes de service, y compris l'emprunt d'identité d'un compte de service, est exempté de ce contrôle. Pour limiter ce risque, assurez-vous que seuls les comptes de service de confiance ont accès aux ressources Cloud Storage, BigQuery et Agent Platform sensibles. De plus, n'attribuez pas le rôle Créateur de jetons du compte de service (
roles/iam.serviceAccountTokenCreator) aux utilisateurs qui ne doivent pas y avoir accès. - Ce contrôle n'empêche pas les utilisateurs d'accéder aux copies effectuées via des opérations de compte de service, telles que celles effectuées par le service de transfert de stockage et le service de transfert de données BigQuery. Les utilisateurs peuvent accéder à des copies de données pour lesquelles ce contrôle n'est pas activé.
- Les ensembles de données associés ne sont pas acceptés. Les ensembles de données associés créent un ensemble de données BigQuery en lecture seule qui sert de lien symbolique vers un ensemble de données source. Les ensembles de données associés ne produisent pas de journaux d'audit des accès aux données et peuvent permettre à un utilisateur non autorisé de lire des données sans que cela soit signalé. Par exemple, un utilisateur peut contourner le contrôle des accès en associant un ensemble de données à un ensemble de données situé en dehors de votre limite de conformité. Il peut ensuite interroger le nouvel ensemble de données sans générer de journaux pour l'ensemble de données source. Pour limiter ce risque, n'attribuez pas les rôles Administrateur BigQuery (
roles/bigquery.admin), Propriétaire de données BigQuery (roles/bigquery.dataOwner) ou Administrateur BigQuery Studio (roles/bigquery.studioAdmin) aux utilisateurs qui ne doivent pas avoir accès aux ressources BigQuery sensibles. - Les requêtes de table générique sont acceptées au niveau de l'ensemble de données, mais pas au niveau de l'ensemble de tables. Cette fonctionnalité vous permet d'interroger plusieurs tables BigQuery en même temps à l'aide d'expressions génériques. DSPM traite les requêtes avec des caractères génériques comme si vous accédiez à l'ensemble de données BigQuery parent, et non à des tables individuelles de l'ensemble de données.
- L'accès public aux objets Cloud Storage n'est pas accepté. L'accès public accorde l'accès à tous les utilisateurs sans aucune vérification des règles.
- L'accès aux objets Cloud Storage ou leur téléchargement à l'aide de sessions de navigateur authentifiées n'est pas possible.
- Lorsqu'ils sont déployés sur une application App Hub, les tables et les ensembles de données BigQuery ne sont pas compatibles.
Prévenez l'exfiltration de données
Le contrôle Limiter le flux de données sensibles entre les juridictions géographiques vous permet de spécifier les pays autorisés à partir desquels les données sont accessibles. Le contrôle cloud fonctionne comme suit :
Si une requête de lecture provient d'Internet, le pays est déterminé en fonction de l'adresse IP de la requête de lecture. Si un proxy est utilisé pour envoyer la requête de lecture, les alertes sont envoyées en fonction de l'emplacement du proxy.
Si la requête de lecture provient d'une VM Compute Engine, le pays est déterminé par la zone cloud d'où provient la requête.
Les types d'assets compatibles sont les suivants :
- Ensembles de données et tables BigQuery
- Buckets Cloud Storage
- Modèles, ensembles de données, feature stores et datastores de métadonnées Agent Platform
Voici quelques limites :
- Seules les opérations de lecture sont acceptées.
- Pour Agent Platform, seules les requêtes provenant d'Internet sont acceptées.
- L'accès public aux objets Cloud Storage n'est pas accepté.
- L'accès aux objets Cloud Storage ou leur téléchargement à l'aide de sessions de navigateur authentifiées n'est pas possible.
- Lorsqu'ils sont déployés dans une application App Hub dans un dossier configuré pour la gestion des applications, les tables et les ensembles de données BigQuery ne sont pas compatibles.
- Lorsqu'un compte principal accède à une ressource plusieurs fois depuis un emplacement non conforme en l'espace de 24 heures, les cas de non-respect ne sont pris en charge que pour le premier accès.
Appliquer le chiffrement CMEK
Ces contrôles exigent que vous chiffriez des ressources spécifiques à l'aide de CMEK. Exemples :
- Activer les CMEK pour les ensembles de données Gemini Enterprise Agent Platform
- Activer les CMEK pour les magasins de métadonnées Gemini Enterprise Agent Platform
- Activer les CMEK pour les modèles Gemini Enterprise Agent Platform
- Activer les CMEK pour le magasin de caractéristiques Gemini Enterprise Agent Platform
- Activer les CMEK pour les tables BigQuery
Lorsque vous déployez ces contrôles sur une application App Hub, les tables BigQuery ne sont pas acceptées.
Gérer les règles de conservation maximale des données
Le contrôle Régir la durée de conservation maximale des données sensibles régit la durée de conservation des données sensibles. Vous pouvez sélectionner des ressources (par exemple, des tables BigQuery) et appliquer un contrôle cloud de suppression des données qui détecte si l'une des ressources ne respecte pas les limites de durée de conservation maximale.
Les types d'assets compatibles sont les suivants :
- Ensembles de données et tables BigQuery
- Modèles, ensembles de données, feature stores et magasins de métadonnées Agent Platform
- Objets Cloud Storage (bêta) Vous devez vous inscrire pour utiliser cette commande.
Lorsque vous déployez ce contrôle sur une application App Hub, les tables BigQuery et les ensembles de données ne sont pas acceptés.
Gérer la conservation des données
Le contrôle Régir la durée de conservation minimale des objets Cloud Storage applique une durée de conservation minimale pour les objets Cloud Storage. Ce contrôle empêche la suppression ou la modification des objets Cloud Storage jusqu'à ce que la durée de conservation minimale (spécifiée en secondes) soit écoulée.
Ce contrôle détecte les objets Cloud Storage qui ne respectent pas la règle de conservation minimale configurée. Les résultats sont générés dans Security Command Center au niveau du bucket. Vous pouvez interroger les résultats au niveau de l'objet dans les ensembles de données Storage Intelligence (dans object_security_findings_view). Les résultats au niveau de l'objet ont findingType : SCC_DSPM_DATA_RETENTION et findingReason : MINIMUM_RETENTION_VIOLATION.
Types d'assets compatibles : objets Cloud Storage
Vous devez vous inscrire pour utiliser cette commande.
Gérer le chiffrement des données
Le contrôle Exiger un chiffrement géré par le client pour les objets Cloud Storage vous aide à appliquer le chiffrement des objets dans les buckets Cloud Storage à l'aide de CMEK. Le contrôle détecte les objets Cloud Storage qui ne sont pas chiffrés avec des CMEK, ce qui constitue une violation de votre règle de chiffrement.
Les résultats sont générés dans Security Command Center au niveau du bucket. Vous pouvez interroger les résultats au niveau de l'objet dans les ensembles de données Storage Intelligence (dans object_security_findings_view). Les résultats au niveau de l'objet ont findingType : SCC_DSPM_ENCRYPTION_NO_CMEK et findingReason : ENCRYPTION_CMEK_VIOLATION.
Types d'assets compatibles : objets Cloud Storage
Vous devez vous inscrire pour utiliser cette commande.
Gérer l'accès public aux données
Le contrôle Limiter l'accès public aux objets Cloud Storage vous aide à limiter l'accès public aux objets des buckets Cloud Storage afin d'éviter tout risque d'exposition des données. Ce contrôle détecte les objets Cloud Storage accessibles au public, en violation de votre règle d'accès public.
Les résultats sont générés dans Security Command Center au niveau du bucket. Vous pouvez interroger les résultats détaillés au niveau des objets dans les ensembles de données Storage Intelligence (dans object_security_findings_view). Les résultats au niveau des objets ont findingType : SCC_DSPM_PUBLIC_ACCESS_GOVERNANCE et findingReason : PUBLIC_ACCESS_VIOLATION.
Le champ sccDspmFinding.securityInsights du résultat au niveau de l'objet fournit plus de détails sur l'état d'accessibilité publique, y compris l'accès en lecture et en écriture.
Types d'assets compatibles : objets Cloud Storage
Vous devez vous inscrire pour utiliser cette commande.
Utiliser la DSPM avec Sensitive Data Protection
Le DSPM fonctionne avec Sensitive Data Protection. Sensitive Data Protection détecte les données sensibles dans votre organisation, et la DSPM vous permet de déployer des contrôles cloud de sécurité des données sur les données sensibles pour répondre à vos exigences de sécurité et de conformité.
Le tableau suivant décrit comment utiliser Sensitive Data Protection pour la découverte de données et la DSPM pour l'application des règles et la gestion de la stratégie de sécurité.
| Service | Sensitive Data Protection |
DSPM |
|---|---|---|
| Champ des données | Recherche et classe les données sensibles (telles que les informations permettant d'identifier personnellement l'utilisateur ou les secrets) dans l'espace de stockage sur Google Cloud. |
Évalue la stratégie de sécurité autour des données sensibles classifiées. |
| Actions principales | Analyse, profile et anonymise les données sensibles. |
Applique, surveille et valide les règles. |
| Focus sur les résultats | Rapports sur l'emplacement des données sensibles (par exemple, BigQuery ou Cloud Storage). |
Rapports sur la raison pour laquelle les données sont exposées (par exemple, accès public, CMEK manquante ou autorisations excessives). |
| Intégration | Fournit à DSPM des métadonnées de sensibilité et de classification. |
Utilise les données de Sensitive Data Protection pour appliquer et surveiller les contrôles de sécurité et les évaluations des risques. |