סקירה כללית על Data Security Posture Management‏ (DSPM)

‫

הפיצ'ר Data Security Posture Management‏ (DSPM) מספק תצוגה ממוקדת נתונים של Google Cloud האבטחה. הפתרון לניהול אבטחת נתונים בענן (DSPM) מאפשר לכם לזהות באופן רציף את הסיכונים לנתונים ולצמצם אותם. הוא עוזר לכם להבין אילו נתונים רגישים יש לכם, איפה הם מאוחסנים ב-Google Cloud, והאם השימוש בהם תואם לדרישות האבטחה והתאימות שלכם.

היכולות של DSPM תלויות ברמת השירות של Security Command Center. מידע נוסף על היכולות של Data Security Posture Management שזמינות במסלול Standard אפשר למצוא במאמר סקירה כללית של Data Security Posture Management במסלול Standard.

במהדורות Premium ו-Enterprise,‏ DSPM מאפשר לצוות שלכם לבצע את משימות אבטחת הנתונים הבאות:

  • גילוי וסיווג נתונים: גילוי וסיווג אוטומטי של משאבי מידע רגיש בסביבת Google Cloud העבודה, כולל BigQuery ו-Cloud Storage.

  • משילות מידע: כדאי להעריך את מצב אבטחת המידע הנוכחי שלכם בהשוואה לשיטות המומלצות ולמסגרות התאימות של Google, כדי לזהות בעיות אבטחה פוטנציאליות ולפתור אותן.

  • אכיפת אמצעי בקרה: מיפוי דרישות האבטחה לאמצעי בקרה ספציפיים בענן של משילות מידע (data governance), כמו Access Governance וניהול זרימת נתונים.

  • מעקב אחרי תאימות: מעקב אחרי עומסי עבודה (workloads) בהשוואה למסגרות אבטחת נתונים שהוחלו, כדי להוכיח התאמה, לתקן הפרות וליצור ראיות לביקורת.

רכיבי הליבה של DSPM

בקטעים הבאים מתוארים הרכיבים של DSPM.

מעקב אחרי מצב אבטחת המידע באמצעות מרכז הבקרה של DSPM

לוח הבקרה של אבטחת מידע במסוף Google Cloud מאפשר לכם לראות איך הנתונים של הארגון שלכם תואמים לדרישות שלכם בנושא אבטחת מידע ותאימות. הוא כולל סייר מפת הנתונים, שמאפשר להציג את מיקומי הנתונים ולסנן לפי מאפיינים כמו רגישות ופרויקט. לוח הבקרה מספק ממצאי אבטחה לגבי הפרות מדיניות, פרטים על פריסה של מסגרת אבטחה וכיסוי שלה ועוד.

מידע נוסף על השימוש בלוח הבקרה זמין במאמר מעקב אחרי רמת אבטחת הנתונים.

תאימות ו-frameworks של אבטחת מידע ב-DSPM

אתם משתמשים במסגרות כדי להגדיר את דרישות אבטחת הנתונים והתאימות שלכם, ומחילים את הדרישות האלה על סביבת Google Cloud . ‫DSPM כולל את מסגרת היסודות של אבטחת מידע והגנה על פרטיות, שמגדירה אמצעי בקרה מומלצים לאבטחת מידע ולעמידה בדרישות. כשמפעילים את DSPM, המסגרת הזו מופעלת באופן אוטומטי בארגוןGoogle Cloud במצב בלשי. אפשר להשתמש בממצאים שנוצרו כדי לשפר את אבטחת הנתונים.

אם צריך, אפשר ליצור עותקים של המסגרת כדי ליצור מסגרות מותאמות אישית לאבטחת נתונים. אתם יכולים להוסיף את אמצעי הבקרה המתקדמים לאבטחת מידע בענן למסגרות המותאמות אישית שלכם, ולהחיל את המסגרות המותאמות אישית על הארגון, על התיקיות, על הפרויקטים ועל האפליקציות ב-App Hub בתיקיות שהוגדרו לניהול אפליקציות. לדוגמה, אתם יכולים ליצור מסגרות מותאמות אישית שמחילות אמצעי בקרה משפטיים על תיקיות ספציפיות כדי לוודא שהנתונים בתיקיות האלה יישארו באזור גיאוגרפי מסוים.

מסגרת חיונית לאבטחת נתונים ולהגנה על הפרטיות (אמצעי בקרה בסיסיים)

אמצעי הבקרה הבאים בענן הם חלק ממסגרת העבודה בנושא יסודות אבטחת מידע והפרטיות. אמצעי הבקרה האלה מספקים יכולת זיהוי דומה לזו של ממצאים ספציפיים מ-Compliance Manager ומ-Sensitive Data Protection.

בטבלה הזו מפורטים אמצעי הבקרה בענן, התיאורים שלהם והגלאים של Compliance Manager ושל Sensitive Data Protection שמספקים יכולת זיהוי דומה בשילוב. מידע על אופן שילוב הממצאים האלה במהלך חקירה זמין במאמר שילוב ממצאים ממרכז התאימות ומ-Sensitive Data Protection.

שליטה בענן תיאור

דרישה להצפנה באמצעות CMEK לטבלאות BigQuery עם נתונים רגישים (SENSITIVE_DATA_BIGQUERY_TABLE_CMEK_DISABLED)

זיהוי מקרים שבהם לא נעשה שימוש ב-CMEK בטבלאות BigQuery שכוללות מידע אישי רגיש.

אמצעי הבקרה הזה מספק יכולת זיהוי דומה לזו של שירותי הזיהוי והגלאים המשולבים הבאים:

Require CMEK for BigQuery Datasets with Sensitive Data (SENSITIVE_DATA_DATASET_CMEK_DISABLED)

זיהוי מקרים שבהם לא נעשה שימוש ב-CMEK במערכי נתונים ב-BigQuery שכוללים מידע אישי רגיש.

אמצעי הבקרה הזה מספק יכולת זיהוי דומה לזו של שירותי הזיהוי והגלאים המשולבים הבאים:

חסימת גישה ציבורית למערכי נתונים ב-BigQuery עם נתונים רגישים (SENSITIVE_DATA_PUBLIC_DATASET)

זיהוי נתונים רגישים במערכי נתונים של BigQuery שנגישים לציבור.

אמצעי הבקרה הזה מספק יכולת זיהוי דומה לזו של שירותי הזיהוי והגלאים המשולבים הבאים:

חסימת גישה ציבורית למופעי Cloud SQL עם נתונים רגישים (SENSITIVE_DATA_PUBLIC_SQL_INSTANCE)

זיהוי מידע אישי רגיש במסדי נתונים של SQL שנגישים לציבור.

אמצעי הבקרה הזה מספק יכולת זיהוי דומה לזו של שירותי הזיהוי והגלאים המשולבים הבאים:

Require CMEK for Cloud SQL Instances with Sensitive Data (SENSITIVE_DATA_SQL_CMEK_DISABLED)

זיהוי מקרים שבהם לא נעשה שימוש ב-CMEK במסדי נתונים של Cloud SQL שכוללים מידע רגיש.

אמצעי הבקרה הזה מספק יכולת זיהוי דומה לזו של שירותי הזיהוי והגלאים המשולבים הבאים:

השוואה בין הממצאים של Compliance Manager ו-Sensitive Data Protection

במהלך חקירה, אתם יכולים ליצור קורלציה בין ממצאים ספציפיים של Compliance Manager ושל Sensitive Data Protection ACTIVE שזוהו באותו משאב, כדי לזהות תנאי שניתן להשוות לממצא של בקרת ענן DSPM.

כדי לבצע את הבדיקה הזו, אפשר להשתמש באחת מהשיטות הבאות:

  • התראות בזמן אמת באמצעות Pub/Sub: מגדירים ייצוא רציף ל-Pub/Sub שמסנן את הממצאים של ACTIVE. אפשר להשתמש בשירותים במורד הזרם, כמו פונקציות Cloud Run או Cloud Run, כדי להפעיל התראות או תהליכי עבודה אוטומטיים אם גם הממצא שקשור ל-Compliance Manager וגם הממצא שקשור ל-Sensitive Data Protection קיימים עבור אותו משאב, ושני הממצאים נמצאים במצב ACTIVE.

  • ניתוח מתוזמן באמצעות BigQuery: אפשר להשתמש בייצוא בסטרימינג רציף או בייצוא חד-פעמי בכמות גדולה ל-BigQuery. אפשר להריץ שאילתות SQL מתוזמנות ב-BigQuery שמבצעות self-join של הטבלה findings בעמודה resource_name ומסננות את הממצאים שבהם הממצא של Compliance Manager ושל Sensitive Data Protection קיים ונמצא במצב ACTIVE.

אמצעי בקרה מתקדמים בענן לצורכי אבטחה ומשילות מידע

הפתרון כולל אבטחת מידע מתקדמת שעוזרת לעמוד בדרישות נוספות של אבטחת מידע. אמצעי הבקרה המתקדמים האלה לאבטחת מידע בענן מחולקים לקבוצות הבאות:

  • מעקב אחרי הרשאות משתמשים: המערכת מזהה אם גורמים שהם לא אלה שציינתם ניגשים לנתונים רגישים. שם אמצעי הבקרה הוא הגבלת הגישה לנתונים רגישים למשתמשים מורשים.
  • מניעת זליגת מידע: המערכת מזהה אם לקוחות שנמצאים מחוץ למיקומים גיאוגרפיים (מדינות) ספציפיים ניגשים למידע רגיש. שם האמצעי הוא הגבלת הזרימה של מידע אישי רגיש בין אזורים גיאוגרפיים שונים.
  • אכיפת הצפנת CMEK: המערכת מזהה אם נוצרים נתונים רגישים ללא הצפנה באמצעות מפתחות הצפנה בניהול הלקוח (CMEK). יש כמה אמצעי בקרה שמאפשרים לאכוף CMEK בשירותים שונים של Google Cloud Google Cloud.
  • ניהול מחיקת נתונים: המערכת מזהה הפרות של מדיניות בנושא תקופת שמירה מקסימלית של נתונים רגישים. שם האמצעי הוא שליטה במשך התקופה המקסימלית לשמירת מידע רגיש.
  • ניהול שמירת נתונים: (גרסת Preview) הגדרה של תקופת שמירה מינימלית (בשניות) לאובייקטים ב-Cloud Storage, כדי להבטיח שהם יישמרו למשך תקופה מינימלית. שם הבקרה הוא הגדרת תקופת השמירה המינימלית לאובייקטים ב-Cloud Storage. כדי להשתמש באמצעי הבקרה הזה, צריך להירשם.
  • ניהול הצפנת נתונים: (גרסת Preview) דורש הצפנה של אובייקטים בקטגוריות של Cloud Storage. שם הבקרה הוא Require Customer-Managed Encryption for Cloud Storage Objects (דרישת הצפנה בניהול הלקוח לאובייקטים ב-Cloud Storage). כדי להשתמש באמצעי הבקרה הזה, צריך להירשם.
  • ניהול גישה ציבורית לנתונים: (גרסת Preview) הגבלת הגישה הציבורית לאובייקטים בקטגוריות של Cloud Storage כדי למנוע סיכון לחשיפת נתונים. שם הבקרה הוא Restrict Public Access to Cloud Storage Objects (הגבלת גישה ציבורית לאובייקטים ב-Cloud Storage). כדי להשתמש באמצעי הבקרה הזה, צריך להירשם.

אמצעי הבקרה האלה תומכים רק במצב זיהוי. מידע נוסף על פריסת אמצעי הבקרה האלה זמין במאמר שימוש ב-DSPM.

מעקב אחרי הרשאות המשתמשים

אמצעי הבקרה Restrict Access to Sensitive Data to Permitted Users מגביל את הגישה למידע רגיש לקבוצות מנהלים שצוינו. כשמתבצע ניסיון גישה לא תואם (גישה על ידי גורמים שהם לא הגורמים המורשים) למקורות נתונים, נוצרת ממצא. סוגי החשבונות הראשיים הנתמכים הם חשבונות משתמשים או קבוצות. בטבלה של פורמטים נתמכים של חשבונות משתמש מפורט מידע על הפורמט שבו צריך להשתמש.

חשבונות משתמשים כוללים את הפרטים הבאים:

  • חשבונות Google פרטיים שהמשתמשים נרשמים אליהם ב-google.com, כמו חשבונות Gmail.com
  • חשבונות Google מנוהלים לעסקים
  • חשבונות Google Workspace for Education

חשבונות משתמשים לא כוללים חשבונות רובוטים, חשבונות שירות, חשבונות מותג עם הרשאת גישה להעברה בלבד, חשבונות משאבים וחשבונות מכשירים.

אלה סוגי הנכסים הנתמכים:

  • מערכי נתונים וטבלאות ב-BigQuery
  • קטגוריות של Cloud Storage
  • מודלים, מערכי נתונים, Feature Store ומאגרי מטא-נתונים של Gemini Enterprise Agent Platform

מערכת DSPM בודקת את התאימות לאמצעי הבקרה הזה בכל פעם שחשבון משתמש קורא סוג משאב נתמך.

אמצעי הבקרה הזה בענן מחייב הפעלה של יומני ביקורת של גישה לנתונים ב-Cloud Storage וב-Agent Platform.

המגבלות כוללות:

  • יש תמיכה רק בפעולות קריאה.
  • הגישה באמצעות חשבונות שירות, כולל התחזות לחשבון שירות, לא כפופה לבקרה הזו. כדי לצמצם את הסיכון, צריך לוודא שרק לחשבונות שירות מהימנים יש גישה למשאבים רגישים של Cloud Storage,‏ BigQuery ו-Agent Platform. בנוסף, אל תקצו את התפקיד'יצירת אסימונים בחשבון שירות' (roles/iam.serviceAccountTokenCreator) למשתמשים שלא אמורה להיות להם גישה.
  • הבקרה הזו לא מונעת ממשתמשים לגשת לעותקים שנוצרו באמצעות פעולות של חשבון שירות, כמו אלה שבוצעו על ידי Storage Transfer Service ושירות העברת נתונים ל-BigQuery. המשתמשים יכולים לגשת לעותקים של נתונים שבהם האפשרות הזו לא מופעלת.
  • אין תמיכה במערכי נתונים מקושרים. מערכי נתונים מקושרים יוצרים מערך נתונים ב-BigQuery לקריאה בלבד, שפועל כקישור סמלי למערך נתונים של מקור. מערכי נתונים מקושרים לא יוצרים יומני ביקורת של גישה לנתונים, ויכול להיות שהם מאפשרים למשתמש לא מורשה לקרוא נתונים בלי שהפעולה תסומן. לדוגמה, משתמש יכול לעקוף את בקרת הגישה על ידי קישור מערך נתונים למערך נתונים מחוץ לגבולות התאימות שלכם, ואז לשלוח שאילתות למערך הנתונים החדש בלי ליצור יומנים לגבי מערך הנתונים המקורי. כדי לצמצם את הסיכון, אל תקצו את התפקידים BigQuery Admin (אדמין של BigQuery)‏ (roles/bigquery.admin),‏ BigQuery Data Owner (בעלים של נתונים ב-BigQuery)‏ (roles/bigquery.dataOwner) או BigQuery Studio Admin (אדמין של BigQuery Studio)‏ (roles/bigquery.studioAdmin) למשתמשים שלא אמורה להיות להם גישה למשאבי BigQuery רגישים.
  • שאילתות של טבלאות עם תווים כלליים לחיפוש נתמכות ברמת מערך הנתונים, אבל לא ברמת קבוצת הטבלאות. התכונה הזו מאפשרת לשלוח שאילתות בכמה טבלאות ב-BigQuery בו-זמנית באמצעות ביטויי תו כללי. הכלי DSPM מעבד שאילתות עם תווים כלליים כאילו אתם ניגשים למערך הנתונים הראשי ב-BigQuery, ולא לטבלאות ספציפיות בתוך מערך הנתונים.
  • אין תמיכה בגישה ציבורית לאובייקטים ב-Cloud Storage. גישה ציבורית מעניקה גישה לכל המשתמשים ללא בדיקות מדיניות.
  • אין תמיכה בגישה לאובייקטים ב-Cloud Storage או בהורדה שלהם באמצעות סשנים מאומתים בדפדפן.
  • כשפורסים טבלאות ומערכי נתונים של BigQuery באפליקציה של App Hub, הם לא נתמכים.

מניעת זליגת מידע

האמצעי Restrict Flow of Sensitive Data Across Geographic Jurisdictions מאפשר לכם לציין את המדינות המורשות שמתוכן אפשר לגשת לנתונים. הכלי לבקרה בענן פועל באופן הבא:

  • אם בקשת קריאה מגיעה מהאינטרנט, המדינה נקבעת על סמך כתובת ה-IP של בקשת הקריאה. אם נעשה שימוש בשרת proxy כדי לשלוח את בקשת הקריאה, ההתראות נשלחות על סמך המיקום של שרת ה-proxy.

  • אם בקשת הקריאה מגיעה ממכונה וירטואלית ב-Compute Engine, המדינה נקבעת לפי התחום בענן שממנו מגיעה הבקשה.

אלה סוגי הנכסים הנתמכים:

  • מערכי נתונים וטבלאות ב-BigQuery
  • קטגוריות של Cloud Storage
  • מודלים, מערכי נתונים, Feature Store ומאגרי מטא-נתונים של Agent Platform

המגבלות כוללות:

  • יש תמיכה רק בפעולות קריאה.
  • בפלטפורמת הסוכנים, יש תמיכה רק בבקשות מהאינטרנט.
  • אין תמיכה בגישה ציבורית לאובייקטים ב-Cloud Storage.
  • אין תמיכה בגישה לאובייקטים ב-Cloud Storage או בהורדה שלהם באמצעות סשנים מאומתים בדפדפן.
  • כשפורסים את התוסף באפליקציה ב-App Hub בתיקייה שהוגדרה לניהול אפליקציות, אין תמיכה בטבלאות ובמערכי נתונים של BigQuery.
  • כשמשתמש מקבל גישה למשאב יותר מפעם אחת ממיקום שלא עומד בדרישות תוך 24 שעות, הפרות נתמכות רק לגבי הגישה הראשונה.

אכיפה של הצפנת CMEK

אמצעי הבקרה האלה מחייבים להצפין משאבים ספציפיים באמצעות CMEK. למשל:

כשמפעילים את אמצעי הבקרה האלה על אפליקציה ב-App Hub, אין תמיכה בטבלאות ב-BigQuery.

ניהול מדיניות מקסימלית לשמירת נתונים

האמצעי שליטה על תקופת השמירה המקסימלית של מידע אישי רגיש קובע את תקופת השמירה של מידע אישי רגיש. אתם יכולים לבחור משאבים (לדוגמה, טבלאות ב-BigQuery) ולהחיל אמצעי בקרה בענן למחיקת נתונים, שיזהה אם אחד מהמשאבים חורג ממגבלות השמירה של גיל מקסימלי.

אלה סוגי הנכסים הנתמכים:

  • מערכי נתונים וטבלאות ב-BigQuery
  • מודלים, מערכי נתונים, Feature Store ומאגרי מטא-נתונים של Agent Platform
  • אובייקטים ב-Cloud Storage‏ (תצוגה מקדימה). כדי להשתמש באמצעי הבקרה הזה, צריך להירשם.

כשפורסים את אמצעי הבקרה הזה באפליקציה של App Hub, אין תמיכה בטבלאות ובמערכי נתונים של BigQuery.

ניהול שמירת נתונים

האמצעי הגדרת תקופת השמירה המינימלית לאובייקטים ב-Cloud Storage אוכף תקופת שמירה מינימלית לאובייקטים ב-Cloud Storage. האמצעי הזה מונע מחיקה או שינוי של אובייקטים ב-Cloud Storage עד שתקופת השמירה המינימלית (שמצוינת בשניות) מסתיימת.

הבקרה הזו מזהה אובייקטים ב-Cloud Storage שלא עומדים במדיניות המינימלית של שמירת הנתונים שהוגדרה. הממצאים נוצרים ב-Security Command Center ברמת ה-bucket. אפשר להריץ שאילתות על הממצאים ברמת האובייקט בתוך מערכי נתונים של Storage Intelligence (ב-object_security_findings_view). בממצאים ברמת האובייקט יש findingType: SCC_DSPM_DATA_RETENTION ו-findingReason: MINIMUM_RETENTION_VIOLATION.

סוגי הנכסים הנתמכים: אובייקטים ב-Cloud Storage

כדי להשתמש באמצעי הבקרה הזה, צריך להירשם.

ניהול הצפנת הנתונים

האמצעי Require Customer-Managed Encryption for Cloud Storage Objects עוזר לאכוף הצפנה של אובייקטים בקטגוריות של Cloud Storage באמצעות CMEK. הבקרה מזהה אובייקטים ב-Cloud Storage שלא מוצפנים באמצעות CMEK, בניגוד למדיניות ההצפנה שלכם.

הממצאים נוצרים ב-Security Command Center ברמת ה-bucket. אפשר להריץ שאילתות על הממצאים ברמת האובייקט בתוך מערכי נתונים של Storage Intelligence (ב-object_security_findings_view). לממצאים ברמת האובייקט יש findingType: SCC_DSPM_ENCRYPTION_NO_CMEK ו-findingReason: ENCRYPTION_CMEK_VIOLATION.

סוגי הנכסים הנתמכים: אובייקטים ב-Cloud Storage

כדי להשתמש באמצעי הבקרה הזה, צריך להירשם.

ניהול הגישה הציבורית לנתונים

אמצעי הבקרה הגבלת הגישה הציבורית לאובייקטים ב-Cloud Storage עוזר להגביל את הגישה הציבורית לאובייקטים בקטגוריות של Cloud Storage כדי למנוע סיכון לחשיפת נתונים. הבקרה הזו מזהה אובייקטים ב-Cloud Storage שאפשר לגשת אליהם באופן ציבורי, בניגוד למדיניות הגישה הציבורית.

הממצאים נוצרים ב-Security Command Center ברמת ה-bucket. אפשר להריץ שאילתות על הממצאים המפורטים ברמת האובייקט בתוך מערכי הנתונים של Storage Intelligence (ב-object_security_findings_view). הממצאים ברמת האובייקט כוללים את findingType: SCC_DSPM_PUBLIC_ACCESS_GOVERNANCE ואת findingReason: PUBLIC_ACCESS_VIOLATION.

השדה sccDspmFinding.securityInsights בתוצאת החיפוש ברמת האובייקט מספק פרטים נוספים על סטטוס הגישה הציבורית, כולל גישת קריאה וכתיבה.

סוגי הנכסים הנתמכים: אובייקטים ב-Cloud Storage

כדי להשתמש באמצעי הבקרה הזה, צריך להירשם.

שימוש ב-DSPM עם Sensitive Data Protection

‫DSPM פועל עם Sensitive Data Protection. השירות Sensitive Data Protection מוצא את המידע האישי הרגיש בארגון, ו-DSPM מאפשר לפרוס אמצעי בקרה לאבטחת נתונים בענן על המידע האישי הרגיש כדי לעמוד בדרישות האבטחה והתאימות.

בטבלה הבאה מוסבר איך אפשר להשתמש ב-Sensitive Data Protection לגילוי נתונים וב-DSPM לאכיפת מדיניות ולניהול מצב האבטחה.

שירות

Sensitive Data Protection

DSPM
היקף הנתונים

חיפוש וסיווג של מידע רגיש (כמו פרטים אישיים מזהים או סודות) באחסון ב- Google Cloud.

הערכת מצב האבטחה סביב המידע האישי הרגיש שסווג.
פעולות ליבה

סורק, יוצר פרופילים ומסיר פרטי זיהוי ממידע רגיש.

אוכף, עוקב ומאמת את כללי המדיניות.
התמקדות בממצאים

דוחות על המיקום של הנתונים הרגישים (לדוגמה, BigQuery או Cloud Storage).

דוחות על הסיבה לחשיפת הנתונים (לדוגמה, גישה ציבורית, חוסר ב-CMEK או הרשאות מוגזמות).
שילוב

הפידים מספקים ל-DSPM מטא-נתונים של רגישות וסיווג.

משתמש בנתונים של Sensitive Data Protection כדי להחיל אמצעי אבטחה ולעקוב אחריהם, וגם כדי לבצע הערכות סיכונים.

המאמרים הבאים