Data Security Posture Management (DSPM) fornisce una visualizzazione della sicurezza di Google Cloud incentrata sui dati. DSPM ti consente di identificare e ridurre continuamente il rischio dei dati aiutandoti a capire quali dati sensibili hai, dove sono archiviati inGoogle Cloude se il loro utilizzo è in linea con i tuoi requisiti di sicurezza e conformità.
Le funzionalità DSPM dipendono dal tuo livello di servizio di Security Command Center. Per saperne di più sulle funzionalità DSPM disponibili nel livello Standard, consulta Data Security Posture Management nella panoramica del livello Standard.
DSPM nei livelli Premium ed Enterprise consente al tuo team di completare le seguenti attività di sicurezza dei dati:
Rilevamento e classificazione dei dati: individua e classifica automaticamente le risorse di dati sensibili nel tuo ambiente Google Cloud , inclusi BigQuery e Cloud Storage.
Governance dei dati: valuta la tua attuale security posture dei dati rispetto alle best practice e ai framework di conformità di Google per identificare e risolvere potenziali problemi di sicurezza.
Applicazione dei controlli: mappa i tuoi requisiti di sicurezza a controlli cloud specifici per la governance dei dati, come la governance dell'accesso ai dati e la governance del flusso di dati.
Monitoraggio della conformità: monitora i workload rispetto ai framework di sicurezza dei dati applicati per dimostrare l'allineamento, correggere le violazioni e generare prove per l'audit.
Componenti principali di DSPM
Le sezioni seguenti descrivono i componenti di DSPM.
Monitora la security posture dei dati con la dashboard DSPM
La dashboard per la sicurezza dei dati nella console Google Cloud ti consente di vedere in che modo i dati della tua organizzazione sono in linea con i requisiti di sicurezza e conformità dei dati. Dispone di un Explorer mappa dati per visualizzare le posizioni dei dati e filtrarli in base ad attributi come sensibilità e progetto. La dashboard fornisce risultati di sicurezza per le violazioni delle policy, descrive in dettaglio l'implementazione e la copertura del framework di sicurezza e altro ancora.
Per saperne di più su come utilizzare la dashboard, consulta Monitora la security posture dei dati.
Framework di sicurezza dei dati e conformità DSPM
Utilizza i framework per definire i requisiti di sicurezza dei dati e conformità e applicarli al tuo ambiente Google Cloud . DSPM include il framework degli elementi essenziali per la sicurezza e la privacy dei dati, che definisce i controlli di base consigliati per la sicurezza e la conformità dei dati. Quando attivi DSPM, questo framework viene applicato automaticamente all'organizzazioneGoogle Cloud in modalità di rilevamento. Puoi utilizzare i risultati generati per rafforzare la tua postura dei dati.
Se necessario, puoi creare copie del framework per creare framework di sicurezza dei dati personalizzati. Puoi aggiungere i controlli cloud per la sicurezza dei dati avanzata ai tuoi framework personalizzati e applicarli all'organizzazione, alle cartelle, ai progetti e alle applicazioni App Hub nelle cartelle configurate per la gestione delle applicazioni. Ad esempio, puoi creare framework personalizzati che applicano controlli giurisdizionali a cartelle specifiche per garantire che i dati al loro interno rimangano in una determinata regione geografica.
Framework degli elementi essenziali per la sicurezza dei dati e la privacy (controlli di base)
I seguenti controlli cloud fanno parte del framework degli elementi essenziali per la sicurezza e la privacy dei dati. Questi controlli offrono una funzionalità di rilevamento paragonabile ai risultati specifici di Compliance Manager e Sensitive Data Protection.
Questa tabella elenca i controlli cloud, le relative descrizioni e i rilevatori di Compliance Manager e Sensitive Data Protection che, se combinati, forniscono una funzionalità di rilevamento paragonabile. Per informazioni su come correlare questi risultati durante un'indagine, consulta Correla i risultati di Compliance Manager e Sensitive Data Protection.
| Controllo cloud | Descrizione |
|---|---|
Richiedi CMEK per le tabelle BigQuery con dati sensibili ( |
Rileva quando non viene utilizzato CMEK per le tabelle BigQuery che includono dati sensibili. Questo controllo fornisce una funzionalità di rilevamento paragonabile ai seguenti servizi e rilevatori di rilevamento combinati:
|
|
Richiedi CMEK per i set di dati BigQuery con dati sensibili ( |
Rileva quando non viene utilizzata la chiave CMEK per i set di dati BigQuery che includono dati sensibili. Questo controllo offre una funzionalità di rilevamento paragonabile ai seguenti servizi e rilevatori di rilevamento combinati:
|
|
Blocca l'accesso pubblico ai set di dati BigQuery con dati sensibili ( |
Rileva i dati sensibili all'interno di set di dati BigQuery accessibili pubblicamente. Questo controllo fornisce una funzionalità di rilevamento paragonabile ai seguenti servizi e rilevatori di rilevamento combinati:
|
|
Blocca l'accesso pubblico alle istanze Cloud SQL con dati sensibili ( |
Rileva i dati sensibili all'interno di database SQL accessibili pubblicamente. Questo controllo offre una funzionalità di rilevamento paragonabile ai seguenti servizi e rilevatori di rilevamento combinati:
|
|
Richiedi CMEK per le istanze Cloud SQL con dati sensibili ( |
Rileva quando non viene utilizzato CMEK per i database Cloud SQL che includono dati sensibili. Questo controllo offre una funzionalità di rilevamento paragonabile ai seguenti servizi e rilevatori di rilevamento combinati:
|
Correlare i risultati di Compliance Manager e Sensitive Data Protection
Durante un'indagine puoi correlare risultati specifici di Compliance Manager e Sensitive Data Protection ACTIVE identificati sulla stessa risorsa per identificare una condizione paragonabile a un risultato dei controlli cloud DSPM.
Utilizza uno dei seguenti metodi per eseguire questa indagine:
Avvisi in tempo reale con Pub/Sub: configura un'esportazione continua in Pub/Sub che filtra i risultati di
ACTIVE. Utilizza servizi downstream, come Cloud Run Functions o Cloud Run, per attivare avvisi o flussi di lavoro automatici quando esistono sia il risultato di Compliance Manager correlato sia quello di Sensitive Data Protection per la stessa risorsa ed entrambi i risultati sono nello statoACTIVE.Analisi pianificata con BigQuery: utilizza l'esportazione streaming continua o l'esportazione collettiva una tantum in BigQuery. Puoi eseguire query SQL pianificate in BigQuery che eseguono un self-join della tabella
findingssuresource_namee filtrano i risultati in cui esistono sia il risultato di Compliance Manager sia quello di Sensitive Data Protection e sono nello statoACTIVE.
Controlli cloud avanzati per la governance e la sicurezza dei dati
La DSPM include la sicurezza dei dati avanzata per aiutarti a soddisfare ulteriori requisiti di sicurezza dei dati. Questi controlli cloud avanzati per la sicurezza dei dati sono raggruppati come segue:
- Monitora le autorizzazioni utente: rileva se entità diverse da quelle specificate accedono a dati sensibili. Il nome del controllo è Limita l'accesso ai dati sensibili agli utenti autorizzati.
- Previeni l'esfiltrazione di dati: rileva se i client che si trovano al di fuori di località geografiche (paesi) specificate accedono a dati sensibili. Il nome del controllo è Limita il flusso di dati sensibili tra giurisdizioni geografiche.
- Forza la crittografia CMEK: rileva se vengono creati dati sensibili senza la crittografia con chiavi di crittografia gestite dal cliente (CMEK). Più controlli aiutano ad applicare CMEK per diversi servizi Google Cloud.
- Gestisci l'eliminazione dei dati: rileva le violazioni delle policy relative al periodo di conservazione massimo per i dati sensibili. Il nome del controllo è Gestisci il periodo di conservazione massimo per i dati sensibili.
- Gestisci la conservazione dei dati: (anteprima) Applica un periodo di conservazione minimo (in secondi) per gli oggetti Cloud Storage per garantire che vengano conservati per un periodo di tempo minimo. Il nome del controllo è Gestisci il periodo di conservazione minimo per gli oggetti Cloud Storage. Per utilizzare questo controllo, devi registrarti.
- Gestisci la crittografia dei dati: (Anteprima) Richiede la crittografia per gli oggetti nei bucket Cloud Storage. Il nome del controllo è Richiedi la crittografia gestita dal cliente per gli oggetti Cloud Storage. Per utilizzare questo controllo, devi registrarti.
- Gestisci l'accesso pubblico ai dati: (anteprima) Limita l'accesso pubblico agli oggetti nei bucket Cloud Storage per evitare il rischio di esposizione dei dati. Il nome del controllo è Limita l'accesso pubblico agli oggetti Cloud Storage. Per utilizzare questo controllo, devi registrarti.
Questi controlli supportano solo la modalità di rilevamento. Per saperne di più sul deployment di questi controlli, consulta Utilizza DSPM.
Monitora le autorizzazioni degli utenti
Il controllo Limita l'accesso ai dati sensibili agli utenti autorizzati limita l'accesso ai dati sensibili a insiemi di entità specificati. Quando si verifica un tentativo di accesso non conforme (accesso da parte di entità diverse da quelle consentite) alle risorse di dati, viene creato un risultato. I tipi di entità supportati sono account utente o gruppi. Per informazioni sul formato da utilizzare, consulta la tabella dei formati delle entità supportati.
Gli account utente includono:
- Account Google consumer per i quali gli utenti si registrano su google.com, ad esempio account Gmail.com
- Account Google gestiti per le aziende
- Account Google Workspace for Education
Gli account utente non includono account robot, service account, account del brand solo per la delega, account delle risorse e account dei dispositivi.
I tipi di asset supportati includono:
- Set di dati e tabelle BigQuery
- Bucket Cloud Storage
- Modelli, set di dati, Feature Store e archivi di metadati di Gemini Enterprise Agent Platform
DSPM valuta la conformità a questo controllo ogni volta che un account utente legge un tipo di risorsa supportato.
Questo controllo cloud richiede l'abilitazione degli audit log di accesso ai dati per Cloud Storage e Agent Platform.
Le limitazioni includono:
- Sono supportate solo le operazioni di lettura.
- L'accesso da parte dei service account, inclusa la simulazione dell'identità dei account di servizio, è esente da questo controllo. Per mitigare il problema, assicurati che solo i service account attendibili abbiano accesso alle risorse sensibili di Cloud Storage, BigQuery e Agent Platform. Inoltre, non concedere il ruolo Creatore token account di servizio (
roles/iam.serviceAccountTokenCreator) agli utenti che non devono avere accesso. - Questo controllo non impedisce l'accesso degli utenti alle copie effettuate tramite operazioni dei account di servizio, come quelle eseguite da Storage Transfer Service e BigQuery Data Transfer Service. Gli utenti potrebbero accedere a copie di dati per cui questo controllo non è attivo.
- I set di dati collegati non sono supportati. I set di dati collegati creano un set di dati BigQuery di sola lettura che funge da link simbolico a un set di dati di origine. I set di dati collegati non producono audit log di accesso ai dati e potrebbero consentire a un utente non autorizzato di leggere i dati senza che l'azione venga segnalata. Ad esempio, un utente potrebbe bypassare il controllo degli accessi collegando un set di dati a un set di dati esterno al confine di conformità e potrebbe quindi eseguire query sul nuovo set di dati senza generare log sul set di dati di origine. Come mitigazione, non concedere i ruoli Amministratore BigQuery (
roles/bigquery.admin), BigQuery Data Owner (roles/bigquery.dataOwner) o BigQuery Studio Admin (roles/bigquery.studioAdmin) agli utenti che non dovrebbero avere accesso alle risorse BigQuery sensibili. - Le query su tabelle con caratteri jolly sono supportate a livello di set di dati, ma non a livello di set di tabelle. Questa funzionalità ti consente di eseguire query su più tabelle BigQuery contemporaneamente utilizzando espressioni con caratteri jolly. DSPM elabora le query con caratteri jolly come se stessi accedendo al set di dati BigQuery principale, non alle singole tabelle al suo interno.
- L'accesso pubblico agli oggetti Cloud Storage non è supportato. L'accesso pubblico concede l'accesso a tutti gli utenti senza controlli delle policy.
- L'accesso o il download di oggetti Cloud Storage tramite sessioni del browser autenticate non è supportato.
- Se viene eseguito il deployment in un'applicazione App Hub, le tabelle e i set di dati BigQuery non sono supportati.
Prevenzione dell'esfiltrazione di dati
Il controllo Limita il flusso di dati sensibili tra giurisdizioni geografiche ti consente di specificare i paesi consentiti da cui è possibile accedere ai dati. Il controllo cloud funziona come segue:
Se una richiesta di lettura proviene da internet, il paese viene determinato in base all'indirizzo IP della richiesta di lettura. Se per inviare la richiesta di lettura viene utilizzato un proxy, gli avvisi vengono inviati in base alla posizione del proxy.
Se la richiesta di lettura proviene da una VM di Compute Engine, il paese è determinato dalla zona cloud in cui ha origine la richiesta.
I tipi di asset supportati includono:
- Set di dati e tabelle BigQuery
- Bucket Cloud Storage
- Modelli, set di dati, Feature Store e archivi di metadati di Agent Platform
Le limitazioni includono:
- Sono supportate solo le operazioni di lettura.
- Per Agent Platform, sono supportate solo le richieste provenienti da internet.
- L'accesso pubblico agli oggetti Cloud Storage non è supportato.
- L'accesso o il download di oggetti Cloud Storage tramite sessioni del browser autenticate non è supportato.
- Se viene eseguito il deployment in un'applicazione App Hub in una cartella configurata per la gestione delle applicazioni, le tabelle e i set di dati BigQuery non sono supportati.
- Quando un'entità accede a una risorsa più di una volta da una località non conforme entro 24 ore, le violazioni sono supportate solo per il primo accesso.
Applica la crittografia CMEK
Questi controlli richiedono la crittografia di risorse specifiche utilizzando CMEK. tra cui:
- Attiva CMEK per i set di dati di Gemini Enterprise Agent Platform
- Attiva CMEK per i datastore dei metadati di Gemini Enterprise Agent Platform
- Attiva CMEK per i modelli di Gemini Enterprise Agent Platform
- Attiva CMEK per l'archivio di caratteristiche di Gemini Enterprise Agent Platform
- Abilita CMEK per le tabelle BigQuery
Quando esegui il deployment di questi controlli in un'applicazione App Hub, le tabelle BigQuery non sono supportate.
Gestisci le policy di conservazione massima dei dati
Il controllo Gestisci il periodo di conservazione massimo per i dati sensibili regola il periodo di conservazione dei dati sensibili. Puoi selezionare le risorse (ad esempio le tabelle BigQuery) e applicare un controllo cloud per l'eliminazione dei dati che rileva se una delle risorse viola i limiti di conservazione dell'età massima.
I tipi di asset supportati includono:
- Set di dati e tabelle BigQuery
- Modelli, set di dati, Feature Store e archivi di metadati di Agent Platform
- Oggetti Cloud Storage (anteprima). Per utilizzare questo controllo, devi registrarti.
Quando esegui il deployment di questo controllo in un'applicazione App Hub, le tabelle e i set di dati BigQuery non sono supportati.
Gestisci la conservazione dei dati
Il controllo Gestisci il periodo di conservazione minimo per gli oggetti Cloud Storage applica un periodo di conservazione minimo per gli oggetti Cloud Storage. Questo controllo impedisce l'eliminazione o la modifica degli oggetti Cloud Storage fino al termine del periodo di conservazione minimo (specificato in secondi).
Questo controllo rileva gli oggetti Cloud Storage che non soddisfano la policy di conservazione minima configurata. I risultati vengono generati in Security Command Center a livello di bucket. Puoi eseguire query sui risultati a livello di oggetto all'interno dei set di dati di Storage Intelligence (in object_security_findings_view).
I risultati a livello di oggetto hanno findingType: SCC_DSPM_DATA_RETENTION e findingReason: MINIMUM_RETENTION_VIOLATION.
Tipi di asset supportati: oggetti Cloud Storage
Per utilizzare questo controllo, devi registrarti.
Gestisci crittografia dei dati
Il controllo Richiedi la crittografia gestita dal cliente per gli oggetti Cloud Storage ti aiuta ad applicare la crittografia per gli oggetti nei bucket Cloud Storage utilizzando le CMEK. Il controllo rileva gli oggetti Cloud Storage non crittografati con CMEK, in violazione della policy di crittografia.
I risultati vengono generati in Security Command Center a livello di bucket. Puoi eseguire query sui risultati a livello di oggetto all'interno dei set di dati di Storage Intelligence (in object_security_findings_view). I risultati a livello di oggetto hanno findingType: SCC_DSPM_ENCRYPTION_NO_CMEK e findingReason: ENCRYPTION_CMEK_VIOLATION.
Tipi di asset supportati: oggetti Cloud Storage
Per utilizzare questo controllo, devi registrarti.
Gestisci l'accesso pubblico ai dati
Il controllo Limita l'accesso pubblico agli oggetti Cloud Storage ti aiuta a limitare l'accesso pubblico agli oggetti nei bucket Cloud Storage per evitare il rischio di esposizione dei dati. Questo controllo rileva gli oggetti Cloud Storage accessibili pubblicamente, in violazione della policy di accesso pubblico.
I risultati vengono generati in Security Command Center a livello di bucket. Puoi eseguire query sui risultati dettagliati a livello di oggetto nei set di dati di Storage Intelligence (in object_security_findings_view). I risultati a livello di oggetto hanno findingType: SCC_DSPM_PUBLIC_ACCESS_GOVERNANCE e findingReason: PUBLIC_ACCESS_VIOLATION.
Il campo sccDspmFinding.securityInsights nel risultato a livello di oggetto fornisce ulteriori dettagli sullo stato di accessibilità pubblica, incluso l'accesso in lettura e scrittura.
Tipi di asset supportati: oggetti Cloud Storage
Per utilizzare questo controllo, devi registrarti.
Utilizzo di DSPM con Sensitive Data Protection
DSPM funziona con Sensitive Data Protection. Sensitive Data Protection trova i dati sensibili nella tua organizzazione e DSPM ti consente di eseguire il deployment dei controlli cloud di sicurezza dei dati sui dati sensibili per soddisfare i requisiti di sicurezza e conformità.
La tabella seguente descrive come utilizzare Sensitive Data Protection per il rilevamento dei dati e DSPM per l'applicazione delle policy e la gestione della security posture.
| Servizio | Sensitive Data Protection |
DSPM |
|---|---|---|
| Ambito dei dati | Trova e classifica i dati sensibili (come PII o secret) nello spazio di archiviazione su Google Cloud. |
Valuta la security posture relativa ai dati sensibili classificati. |
| Azioni principali | Analizza, profila e anonimizza i dati sensibili. |
Applica, monitora e convalida le policy. |
| Focus sui risultati | Report su dove si trovano i dati sensibili (ad esempio BigQuery o Cloud Storage). |
Report sul motivo per cui i dati sono esposti (ad esempio, accesso pubblico, CMEK mancante o autorizzazioni eccessive). |
| Integrazione | Fornisce a DSPM i metadati di sensibilità e classificazione. |
Utilizza i dati di Sensitive Data Protection per applicare e monitorare i controlli di sicurezza e le analisi del rischio. |