סקירה כללית על Data Security Posture Management‏ (DSPM)

התכונה "ניהול של אופן אבטחת המידע" (DSPM) מספקת תצוגה ממוקדת-נתונים של האבטחה ב- Google Cloud . בעזרת DSPM אתם יכולים לזהות ולהפחית באופן רציף את הסיכון לנתונים, על ידי הבנה של הנתונים הרגישים שיש לכם, איפה הם מאוחסנים ב-Google Cloudואם השימוש בהם תואם לדרישות האבטחה והתאימות שלכם.

היכולות של DSPM תלויות ברמת השירות של Security Command Center. למידע נוסף על היכולות של Data Security Posture Management שזמינות ברמה Standard, קראו את סקירה כללית על Data Security Posture Management ברמה Standard.

בעזרת DSPM בגרסאות Premium ו-Enterprise, הצוות שלכם יכול לבצע את המשימות הבאות שקשורות לאבטחת מידע:

  • גילוי וסיווג של נתונים: גילוי וסיווג אוטומטיים של משאבי מידע רגיש בסביבת Google Cloud , כולל BigQuery ו-Cloud Storage.

  • משילות מידע (data governance): הערכת מצב אבטחת המידע הנוכחי שלכם בהשוואה לשיטות המומלצות ולמסגרות התאימות של Google, כדי לזהות ולתקן בעיות אבטחה פוטנציאליות.

  • אכיפת אמצעי בקרה: ממפים את דרישות האבטחה לאמצעי בקרה ספציפיים בענן לניהול נתונים, כמו ניהול הגישה לנתונים וניהול זרימת הנתונים.

  • מעקב אחרי תאימות: מעקב אחרי עומסי עבודה בהתאם למסגרות אבטחת המידע שהוחלו, כדי להוכיח תאימות, לתקן הפרות וליצור ראיות לביקורת.

רכיבי הליבה של DSPM

בקטעים הבאים מתוארים הרכיבים של DSPM.

מעקב אחרי מצב אבטחת המידע באמצעות מרכז הבקרה של DSPM

מרכז הבקרה של אבטחת המידע במסוף Google Cloud מאפשר לכם לראות אם הנתונים של הארגון עומדים בדרישות של אבטחת המידע והתאימות. הוא כולל את סייר מפת הנתונים כדי להציג באופן חזותי את מיקומי הנתונים ולסנן לפי מאפיינים כמו רגישות ופרויקט. בלוח הבקרה מוצגים ממצאי אבטחה לגבי הפרות מדיניות, פירוט של פריסת מסגרת האבטחה והכיסוי שלה ועוד.

למידע נוסף על השימוש במרכז הבקרה, קראו את המאמר מעקב אחרי מצב אבטחת המידע.

תאימות ו-frameworks של אבטחת מידע ב-DSPM

אתם משתמשים במסגרות כדי להגדיר את הדרישות של אבטחת המידע והתאימות, ולהחיל את הדרישות האלה על סביבת Google Cloud . ‫DSPM כולל את מסגרת היסודות של אבטחת מידע ופרטיות, שמגדירה אמצעי בקרה בסיסיים מומלצים לאבטחת מידע ולתאימות. כשמפעילים את DSPM, המסגרת הזו מוחלת באופן אוטומטי על הארגון ב-Google Cloud במצב זיהוי. אתם יכולים להשתמש בממצאים שנוצרו כדי לחזק את מצב הנתונים.

אם צריך, אתם יכולים ליצור עותקים של המסגרת כדי ליצור מסגרות מותאמות אישית לאבטחת מידע. אתם יכולים להוסיף את אמצעי הבקרה המתקדמים בענן לאבטחת מידע למסגרות בהתאמה אישית, ולהחיל את המסגרות האלה על הארגון, התיקיות, הפרויקטים והאפליקציות ב-App Hub בתיקיות שהוגדרו לניהול אפליקציות. לדוגמה, אתם יכולים ליצור מסגרות בהתאמה אישית שמחילות אמצעי בקרה של סמכות שיפוט על תיקיות ספציפיות, כדי לוודא שהנתונים בתיקיות האלה נשארים באזור גיאוגרפי מסוים.

מסגרת יסודות אבטחת המידע והפרטיות (אמצעי בקרה בסיסיים)

אמצעי הבקרה הבאים בענן הם חלק מהמסגרת של "יסודות האבטחה והפרטיות של נתונים". אמצעי הבקרה האלה מספקים יכולת זיהוי דומה לממצאים ספציפיים מ-Compliance Manager ומ-Sensitive Data Protection.

בטבלה הזו מפורטים אמצעי הבקרה בענן, התיאורים שלהם והגלאים של Compliance Manager ושל Sensitive Data Protection, שביחד מספקים יכולת זיהוי דומה. במאמר התאמה בין ממצאים מ-Compliance Manager ומ-Sensitive Data Protection מוסבר איך להתאים בין הממצאים האלה במהלך חקירה.

שליטה בענן תיאור

דרישה ל-CMEK בטבלאות BigQuery עם מידע אישי רגיש (SENSITIVE_DATA_BIGQUERY_TABLE_CMEK_DISABLED)

זיהוי מקרים שבהם לא נעשה שימוש ב-CMEK בטבלאות ב-BigQuery שכוללות מידע אישי רגיש.

אמצעי הבקרה הזה מספק יכולת זיהוי דומה לזו של שירותי הזיהוי והגלאים המשולבים הבאים:

דרישה ל-CMEK במערכי נתונים של BigQuery עם מידע אישי רגיש (SENSITIVE_DATA_DATASET_CMEK_DISABLED)

זיהוי מקרים שבהם לא נעשה שימוש ב-CMEK במערכי נתונים של BigQuery שכוללים מידע אישי רגיש.

אמצעי הבקרה הזה מספק יכולת זיהוי דומה לזו של שירותי הזיהוי והגלאים המשולבים הבאים:

חסימת הגישה הציבורית למערכי נתונים של BigQuery שמכילים מידע אישי רגיש (SENSITIVE_DATA_PUBLIC_DATASET)

זיהוי נתונים רגישים במערכי נתונים של BigQuery שנגישים לכולם.

אמצעי הבקרה הזה מספק יכולת זיהוי דומה לזו של שירותי הזיהוי והגלאים המשולבים הבאים:

חסימת הגישה הציבורית למכונות Cloud SQL עם מידע אישי רגיש (SENSITIVE_DATA_PUBLIC_SQL_INSTANCE)

זיהוי מידע אישי רגיש במסדי נתונים של SQL שנגישים באופן ציבורי.

אמצעי הבקרה הזה מספק יכולת זיהוי דומה לזו של שירותי הזיהוי והגלאים המשולבים הבאים:

דרישה ל-CMEK במכונות Cloud SQL עם מידע אישי רגיש (SENSITIVE_DATA_SQL_CMEK_DISABLED)

זיהוי מקרים שבהם לא נעשה שימוש ב-CMEK במסדי נתונים של Cloud SQL שכוללים מידע רגיש.

אמצעי הבקרה הזה מספק יכולת זיהוי דומה לזו של שירותי הזיהוי והגלאים המשולבים הבאים:

התאמה בין הממצאים של Compliance Manager ו-Sensitive Data Protection

במהלך חקירה, אתם יכולים לקשר בין ממצאים ספציפיים של Compliance Manager ו-Sensitive Data Protection ACTIVE שזוהו באותו משאב, כדי לזהות מצב שדומה לממצא של בקרת ענן ב-DSPM.

כדי לבצע את הבדיקה הזו, אפשר להשתמש באחת מהשיטות הבאות:

  • התראות בזמן אמת באמצעות Pub/Sub: הגדרת ייצוא רציף ל-Pub/Sub שמסנן ממצאים של ACTIVE. אתם יכולים להשתמש בשירותים במורד הזרם, כמו פונקציות Cloud Run או Cloud Run, כדי להפעיל התראות או תהליכי עבודה אוטומטיים כשגם הממצא הקשור של Compliance Manager וגם הממצא של Sensitive Data Protection קיימים באותו משאב, ושני הממצאים נמצאים במצב ACTIVE.

  • ניתוח מתוזמן באמצעות BigQuery: אפשר להשתמש בייצוא בסטרימינג רציף או בייצוא חד-פעמי בכמות גדולה ל-BigQuery. אתם יכולים להריץ שאילתות SQL מתוזמנות ב-BigQuery שמבצעות self-join של הטבלה findings ב-resource_name, ולסנן ממצאים שבהם הממצא של Compliance Manager ושל Sensitive Data Protection קיים ונמצא במצב ACTIVE.

אמצעי בקרה מתקדמים בענן לאבטחה ולמשילות מידע (data governance)

‫DSPM כולל אבטחת מידע מתקדמת שעוזרת לעמוד בדרישות נוספות של אבטחת מידע. אמצעי הבקרה המתקדמים האלה לאבטחת מידע בענן מקובצים באופן הבא:

  • מעקב אחרי הרשאות משתמשים: זיהוי אם חשבונות משתמשים אחרים, מלבד אלה שציינתם, ניגשים למידע אישי רגיש. שם אמצעי הבקרה הוא הגבלת הגישה למידע רגיש למשתמשים מורשים.
  • מניעת זליגת מידע: זיהוי אם לקוחות שנמצאים מחוץ למיקומים גיאוגרפיים (מדינות) מסוימים ניגשים למידע אישי רגיש. שם אמצעי הבקרה הוא Restrict Flow of Sensitive Data Across Geographic Jurisdictions.
  • אכיפת הצפנת CMEK: זיהוי אם נוצרים נתונים רגישים בלי הצפנה של מפתחות הצפנה בניהול הלקוח (CMEK). יש כמה אמצעי בקרה שעוזרים לאכוף את השימוש ב-CMEK בשירותים שונים של Google Cloud.
  • ניהול מחיקת נתונים: זיהוי הפרות של כללי המדיניות בנושא תקופת השמירה המקסימלית של מידע אישי רגיש. שם אמצעי הבקרה הוא Govern the Maximum Retention Period for Sensitive Data.
  • ניהול שמירת הנתונים: (גרסת טרום-השקה (Preview)) אוכף תקופת שמירה מינימלית (בשניות) לאובייקטים ב-Cloud Storage כדי לוודא שהם נשמרים למשך פרק זמן מינימלי. שם אמצעי הבקרה הוא ניהול תקופת השמירה המינימלית של אובייקטים ב-Cloud Storage. כדי להשתמש באמצעי הבקרה הזה, צריך להירשם.
  • ניהול הצפנת נתונים: (גרסת טרום-השקה (Preview)) דורש הצפנה של אובייקטים בקטגוריות של Cloud Storage. שם אמצעי הבקרה הוא Require Customer-Managed Encryption for Cloud Storage Objects. כדי להשתמש באמצעי הבקרה הזה, צריך להירשם.
  • ניהול הגישה הציבורית לנתונים: (גרסת טרום-השקה (Preview)) מגבילה את הגישה הציבורית לאובייקטים בקטגוריות של Cloud Storage כדי למנוע את הסיכון לחשיפת נתונים. שם אמצעי הבקרה הוא Restrict Public Access to Cloud Storage Objects. כדי להשתמש באמצעי הבקרה הזה, צריך להירשם.

אמצעי הבקרה האלה תומכים במצב בלש בלבד. מידע נוסף על פריסת אמצעי הבקרה האלה זמין במאמר שימוש ב-DSPM.

מעקב אחרי הרשאות המשתמשים

אמצעי הבקרה Restrict Access to Sensitive Data to Permitted Users מגביל את הגישה לנתונים רגישים לקבוצות חשבונות משתמשים ספציפיות. כשמתבצע ניסיון גישה לא תואם (גישה על ידי חשבונות משתמשים שאינם החשבונות המורשים) למשאבי נתונים, נוצר ממצא. סוגי חשבונות המשתמשים הנתמכים הם חשבונות משתמשים או קבוצות. בטבלת הפורמטים הנתמכים של חשבונות משתמשים מוסבר באיזה פורמט להשתמש.

חשבונות משתמשים כוללים את הפרטים הבאים:

  • חשבונות Google פרטיים שהמשתמשים נרשמים אליהם ב-google.com, כמו חשבונות Gmail.com
  • חשבונות Google מנוהלים לעסקים
  • חשבונות Google Workspace for Education

חשבונות משתמשים לא כוללים חשבונות רובוט, חשבונות שירות, חשבונות מותג להאצלת סמכויות בלבד, חשבונות משאבים וחשבונות מכשירים.

סוגי הנכסים הנתמכים כוללים:

  • מערכי נתונים וטבלאות ב-BigQuery
  • קטגוריות של Cloud Storage
  • מודלים, מערכי נתונים, Feature Store ומאגרי מטא-נתונים של Gemini Enterprise Agent Platform

מערכת DSPM בודקת את התאימות לאמצעי הבקרה הזה בכל פעם שחשבון משתמש קורא סוג משאב נתמך.

אמצעי הבקרה הזה בענן מחייב להפעיל את יומני בקרת הגישה לנתונים ב-Cloud Storage וב-Agent Platform.

המגבלות כוללות:

  • רק פעולות קריאה נתמכות.
  • הגישה באמצעות חשבונות שירות, כולל התחזות לחשבון שירות, פטורה מהבקרה הזו. כדי לצמצם את הסיכון, ודאו שרק לחשבונות שירות מהימנים יש גישה למשאבים רגישים ב-Cloud Storage, ב-BigQuery וב-Agent Platform. בנוסף, אל תקצו את התפקיד "יצירת אסימונים בחשבון שירות" (roles/iam.serviceAccountTokenCreator) למשתמשים שלא אמורה להיות להם גישה.
  • אמצעי הבקרה הזה לא מונע ממשתמשים לגשת לעותקים שנוצרו באמצעות פעולות של חשבון שירות, כמו אלה שנוצרו על ידי Storage Transfer Service ושירות העברת הנתונים ל-BigQuery. המשתמשים יכולים לגשת לעותקים של נתונים שלא הופעלה בהם אמצעי הבקרה הזה.
  • אין תמיכה במערכי נתונים מקושרים. מערכי נתונים מקושרים יוצרים מערך נתונים לקריאה בלבד ב-BigQuery, שפועל כקישור סמלי למערך נתונים של מקור. מערכי נתונים מקושרים לא יוצרים יומני בקרת הרשאות גישה לנתונים, ויכול להיות שמשתמש לא מורשה יוכל לקרוא נתונים בלי שהפעולה תסומן. לדוגמה, משתמש יכול לעקוף את בקרת הגישה על ידי קישור של מערך נתונים למערך נתונים מחוץ לגבולות התאימות, ואז לשלוח שאילתות למערך הנתונים החדש בלי ליצור יומנים במערך הנתונים המקורי. כדי לצמצם את הסיכון, אל תקצו את התפקידים אדמין ב-BigQuery‏ (roles/bigquery.admin), בעלים של נתונים ב-BigQuery‏ (roles/bigquery.dataOwner) או אדמין ב-BigQuery Studio‏ (roles/bigquery.studioAdmin) למשתמשים שלא אמורה להיות להם גישה למשאבים רגישים ב-BigQuery.
  • אפשר להריץ שאילתות של טבלאות תווים כלליים לחיפוש ברמת מערך הנתונים, אבל לא ברמת קבוצת הטבלאות. התכונה הזו מאפשרת לשלוח שאילתות לכמה טבלאות ב-BigQuery בו-זמנית באמצעות ביטויים של תווים כלליים לחיפוש. ‫DSPM מעבד שאילתות עם תווים כלליים לחיפוש כאילו אתם ניגשים למערך הנתונים הראשי ב-BigQuery, ולא לטבלאות ספציפיות בתוך מערך הנתונים.
  • אין תמיכה בגישה ציבורית לאובייקטים של Cloud Storage. גישה ציבורית מעניקה גישה לכל המשתמשים בלי בדיקות מדיניות.
  • אי אפשר לגשת לאובייקטים ב-Cloud Storage או להוריד אותם באמצעות סשנים מאומתים בדפדפן.
  • כשפורסים באפליקציה של App Hub, אין תמיכה בטבלאות ובמערכי נתונים של BigQuery.

מניעת זליגת מידע

אמצעי הבקרה Restrict Flow of Sensitive Data Across Geographic Jurisdictions מאפשר לציין את המדינות שמהן אפשר לגשת לנתונים. כך פועל אמצעי הבקרה בענן:

  • אם בקשת הקריאה מגיעה מהאינטרנט, המדינה נקבעת לפי כתובת ה-IP של בקשת הקריאה. אם נעשה שימוש בשרת proxy כדי לשלוח את בקשת הקריאה, ההתראות נשלחות על סמך המיקום של שרת ה-proxy.

  • אם בקשת הקריאה מגיעה ממכונה וירטואלית של Compute Engine, המדינה נקבעת לפי האזור בענן שממנו מגיעה הבקשה.

סוגי הנכסים הנתמכים כוללים:

  • מערכי נתונים וטבלאות ב-BigQuery
  • קטגוריות של Cloud Storage
  • מודלים, מערכי נתונים, Feature Store ומאגרי מטא-נתונים של Agent Platform

המגבלות כוללות:

  • רק פעולות קריאה נתמכות.
  • ב-Agent Platform, יש תמיכה רק בבקשות מהאינטרנט.
  • אין תמיכה בגישה ציבורית לאובייקטים של Cloud Storage.
  • אי אפשר לגשת לאובייקטים ב-Cloud Storage או להוריד אותם באמצעות סשנים מאומתים בדפדפן.
  • כשפורסים אפליקציה ב-App Hub בתיקייה שמוגדרת לניהול אפליקציות, אין תמיכה בטבלאות ובמערכי נתונים של BigQuery.
  • אם חשבון משתמש ניגש למשאב יותר מפעם אחת ממיקום שלא עומד בדרישות תוך 24 שעות, ההפרות נתמכות רק בגישה הראשונה.

אכיפת הצפנת CMEK

אמצעי הבקרה האלה מחייבים להצפין משאבים ספציפיים באמצעות מפתחות CMEK. למשל:

כשפורסים את אמצעי הבקרה האלה באפליקציה של App Hub, אין תמיכה בטבלאות ב-BigQuery.

ניהול מדיניות שמירת הנתונים המקסימלית

אמצעי הבקרה Govern the Maximum Retention Period for Sensitive Data קובע את תקופת השמירה של מידע אישי רגיש. אתם יכולים לבחור משאבים (לדוגמה, טבלאות ב-BigQuery) ולהחיל אמצעי בקרה בענן למחיקת נתונים, שמזהה אם אחד מהמשאבים חורג ממגבלות השמירה המקסימליות.

סוגי הנכסים הנתמכים כוללים:

  • מערכי נתונים וטבלאות ב-BigQuery
  • מודלים, מערכי נתונים, Feature Store ומאגרי מטא-נתונים של Agent Platform
  • אובייקטים ב-Cloud Storage (גרסת טרום-השקה (Preview)). כדי להשתמש באמצעי הבקרה הזה, צריך להירשם.

כשפורסים את אמצעי הבקרה הזה באפליקציה של App Hub, אין תמיכה בטבלאות ובמערכי נתונים של BigQuery.

ניהול שמירת הנתונים

אמצעי הבקרה ניהול תקופת השמירה המינימלית של אובייקטים ב-Cloud Storage אוכף תקופת שמירה מינימלית של אובייקטים ב-Cloud Storage. אמצעי הבקרה הזה מונע מחיקה או שינוי של אובייקטים ב-Cloud Storage עד שתקופת השמירה המינימלית (שמצוינת בשניות) תסתיים.

אמצעי הבקרה הזה מזהה אובייקטים ב-Cloud Storage שלא עומדים במדיניות המינימלית שהוגדרה לשמירת נתונים. הממצאים נוצרים ב-Security Command Center ברמת הקטגוריה. אפשר לשלוח שאילתות לגבי הממצאים ברמת האובייקט בתוך מערכי הנתונים של Storage Intelligence (ב-object_security_findings_view). לממצאים ברמת האובייקט יש את הערכים findingType: SCC_DSPM_DATA_RETENTION ו-findingReason: MINIMUM_RETENTION_VIOLATION.

סוגי הנכסים הנתמכים: אובייקטים של Cloud Storage

כדי להשתמש באמצעי הבקרה הזה, צריך להירשם.

ניהול הצפנת הנתונים

אמצעי הבקרה Require Customer-Managed Encryption for Cloud Storage Objects עוזר לאכוף הצפנה של אובייקטים בקטגוריות של Cloud Storage באמצעות מפתחות CMEK. אמצעי הבקרה מזהה אובייקטים ב-Cloud Storage שלא מוצפנים באמצעות CMEK, בניגוד למדיניות ההצפנה שלכם.

הממצאים נוצרים ב-Security Command Center ברמת הקטגוריה. אתם יכולים לשלוח שאילתות לגבי הממצאים ברמת האובייקט בתוך מערכי הנתונים של Storage Intelligence (ב-object_security_findings_view). לממצאים ברמת האובייקט יש את הערכים findingType: SCC_DSPM_ENCRYPTION_NO_CMEK ו-findingReason: ENCRYPTION_CMEK_VIOLATION.

סוגי הנכסים הנתמכים: אובייקטים של Cloud Storage

כדי להשתמש באמצעי הבקרה הזה, צריך להירשם.

ניהול הגישה הציבורית לנתונים

אמצעי הבקרה Restrict Public Access to Cloud Storage Objects עוזר להגביל את הגישה הציבורית לאובייקטים בקטגוריות של Cloud Storage, כדי למנוע סיכון של חשיפת נתונים. אמצעי הבקרה הזה מזהה אובייקטים ב-Cloud Storage שנגישים באופן ציבורי, בניגוד למדיניות הגישה הציבורית שלכם.

הממצאים נוצרים ב-Security Command Center ברמת הקטגוריה. אתם יכולים לשלוח שאילתות לגבי הממצאים המפורטים ברמת האובייקט בתוך מערכי הנתונים של Storage Intelligence (ב-object_security_findings_view). הממצאים ברמת האובייקט כוללים את הערכים findingType: SCC_DSPM_PUBLIC_ACCESS_GOVERNANCE ו-findingReason: PUBLIC_ACCESS_VIOLATION.

השדה sccDspmFinding.securityInsights בממצא ברמת האובייקט מספק פרטים נוספים על סטטוס הנגישות הציבורית, כולל גישת קריאה וכתיבה.

סוגי הנכסים הנתמכים: אובייקטים של Cloud Storage

כדי להשתמש באמצעי הבקרה הזה, צריך להירשם.

שימוש ב-DSPM עם Sensitive Data Protection

‫DSPM פועל עם Sensitive Data Protection. בעזרת Sensitive Data Protection אפשר למצוא את המידע הרגיש בארגון, ובעזרת DSPM אפשר לפרוס אמצעי בקרה בענן לאבטחת המידע הרגיש כדי לעמוד בדרישות האבטחה והתאימות.

בטבלה הבאה מוסבר איך אפשר להשתמש ב-Sensitive Data Protection כדי לגלות נתונים, וב-DSPM כדי לאכוף מדיניות ולנהל את מצב האבטחה.

שירות

Sensitive Data Protection

DSPM
היקף הנתונים

מאתר ומסווג מידע אישי רגיש (כמו פרטים אישיים מזהים או סודות) באחסון ב- Google Cloud.

הערכת מצב האבטחה של המידע האישי הרגיש שסווג.
פעולות ליבה

סריקה, יצירת פרופילים והסרת פרטי זיהוי של מידע אישי רגיש.

אוכף, מנטר ומאמת את כללי המדיניות.
התמקדות בממצאים

דוחות על המיקום של המידע הרגיש (לדוגמה, BigQuery או Cloud Storage).

דוחות על הסיבה לחשיפת הנתונים (לדוגמה, גישה ציבורית, חוסר ב-CMEK או הרשאות מוגזמות).
שילוב

הזנת מטא-נתונים של רגישות וסיווג ל-DSPM.

משתמש בנתונים של Sensitive Data Protection כדי להחיל ולנטר אמצעי בקרה לאבטחה והערכות סיכונים.

המאמרים הבאים