O Gerenciamento de Postura de Segurança de Dados (DSPM) oferece uma visão da segurança do Google Cloud centrada em dados. O DSPM permite identificar e reduzir continuamente o risco de dados, ajudando você a entender quais dados sensíveis você tem, onde eles estão armazenados no Google Cloude se o uso deles está alinhado aos seus requisitos de segurança e conformidade.
Os recursos do DSPM dependem do seu nível de serviço do Security Command Center. Consulte Gerenciamento de Postura de Segurança de Dados na visão geral do nível Standard para mais informações sobre quais recursos de DSPM estão disponíveis no nível Standard.
O DSPM nos níveis Premium e Enterprise permite que sua equipe conclua as seguintes tarefas de segurança de dados:
Descoberta e classificação de dados: descubra e classifique automaticamente recursos de dados sensíveis no ambiente do Google Cloud , incluindo o BigQuery e o Cloud Storage.
Governança de dados: avalie sua postura de segurança de dados atual em relação às práticas recomendadas e aos frameworks de compliance do Google para identificar e corrigir possíveis problemas de segurança.
Aplicação de controles: mapeie seus requisitos de segurança para controles de nuvem específicos de governança de dados, como governança de acesso a dados e governança de fluxo de dados.
Monitoramento de compliance: monitore as cargas de trabalho em relação aos frameworks de segurança de dados aplicados para comprovar o alinhamento, corrigir violações e gerar evidências para auditoria.
Principais componentes do DSPM
As seções a seguir descrevem os componentes do DSPM.
Monitorar sua postura de segurança de dados com o painel do DSPM
O painel de segurança de dados no console do Google Cloud permite que você veja como os dados da sua organização se alinham aos requisitos de segurança e conformidade de dados. Ele conta com um explorador de mapa de dados para visualizar os locais dos dados e filtrar por atributos como sensibilidade e projeto. O painel fornece descobertas de segurança para violações da política, detalhes sobre a implantação e cobertura do framework de segurança e muito mais.
Para mais informações sobre como usar o painel, consulte Monitorar sua postura de segurança de dados.
Frameworks de segurança de dados e compliance do DSPM
Use frameworks para definir os requisitos de segurança de dados e compliance e aplicá-los ao ambiente do Google Cloud . O DSPM inclui o framework de princípios básicos de segurança de dados e privacidade, que define os controles de referência recomendados para segurança e compliance de dados. Quando você ativa o DSPM, esse framework é aplicado automaticamente à organizaçãoGoogle Cloud no modo detetive. Use as descobertas geradas para reforçar sua postura de dados.
Se necessário, é possível fazer cópias do framework para criar frameworks personalizados de segurança de dados. É possível adicionar os controles avançados de segurança de dados na nuvem aos seus frameworks personalizados e aplicá-los à organização, às pastas, aos projetos e aos aplicativos do App Hub em pastas configuradas para gerenciamento de aplicativos. Por exemplo, é possível criar frameworks personalizados que aplicam controles jurisdicionais a pastas específicas para garantir que os dados dentro dessas pastas permaneçam em uma região geográfica específica.
Estrutura de princípios básicos de segurança de dados e privacidade (controles de referência)
Os controles de nuvem a seguir fazem parte do framework de princípios básicos de segurança e privacidade de dados. Esses controles oferecem uma capacidade de detecção comparável às descobertas específicas do Compliance Manager e da Proteção de Dados Sensíveis.
Esta tabela lista os controles de nuvem, as descrições deles e os detectores do Compliance Manager e da Proteção de Dados Sensíveis que oferecem capacidade de detecção comparável quando combinados. Para saber como correlacionar essas descobertas durante uma investigação, consulte Correlacionar descobertas do Compliance Manager e da Proteção de Dados Sensíveis.
| Controle de nuvem | Descrição |
|---|---|
Exigir CMEK para tabelas do BigQuery com dados sensíveis ( |
Detectar quando a CMEK não é usada em tabelas do BigQuery que incluem dados sensíveis. Esse controle oferece uma capacidade de detecção comparável à dos seguintes serviços e detectores de detecção combinados:
|
|
Exigir CMEK para conjuntos de dados do BigQuery com dados sensíveis ( |
Detectar quando a CMEK não é usada em conjuntos de dados do BigQuery que incluem dados sensíveis. Esse controle oferece uma capacidade de detecção comparável à dos seguintes serviços e detectores de detecção combinados:
|
|
Bloquear o acesso público a conjuntos de dados do BigQuery com dados sensíveis ( |
Detectar dados sensíveis em conjuntos de dados do BigQuery acessíveis publicamente. Esse controle oferece uma capacidade de detecção comparável à dos seguintes serviços e detectores de detecção combinados:
|
|
Bloquear o acesso público a instâncias do Cloud SQL com dados sensíveis ( |
Detectar dados sensíveis em bancos de dados SQL acessíveis publicamente. Esse controle oferece uma capacidade de detecção comparável à dos seguintes serviços e detectores de detecção combinados:
|
|
Exigir CMEK para instâncias do Cloud SQL com dados sensíveis ( |
Detectar quando a CMEK não é usada em bancos de dados do Cloud SQL que incluem dados sensíveis. Esse controle oferece uma capacidade de detecção comparável à dos seguintes serviços e detectores de detecção combinados:
|
Correlacionar descobertas do Compliance Manager e da Proteção de Dados Sensíveis
Durante uma investigação, é possível correlacionar descobertas específicas do Compliance Manager e da
Proteção de Dados Sensíveis ACTIVE identificadas no mesmo recurso
para ajudar a identificar uma condição comparável a uma
descoberta de controle de nuvem do DSPM.
Use um dos seguintes métodos para realizar essa investigação:
Alertas em tempo real com o Pub/Sub: configure uma exportação contínua para o Pub/Sub que filtre as descobertas de
ACTIVE. Use serviços downstream, como o Cloud Run functions ou o Cloud Run, para acionar alertas ou fluxos de trabalho automatizados quando a descoberta relacionada do Compliance Manager e da Proteção de Dados Sensíveis existir para o mesmo recurso e ambas as descobertas estiverem no estadoACTIVE.Análise programada com o BigQuery: use a exportação contínua ou a exportação única em massa para o BigQuery. É possível executar consultas SQL programadas no BigQuery que mesclam automaticamente a tabela
findingsemresource_namee filtram as descobertas em que as descobertas do Compliance Manager e da Proteção de Dados Sensíveis existem e estão no estadoACTIVE.
Controles avançados de governança de dados e segurança na nuvem
O DSPM inclui segurança de dados avançada para ajudar você a atender a outros requisitos de segurança de dados. Esses controles avançados de segurança de dados na nuvem são agrupados da seguinte forma:
- Monitorar permissões do usuário: detecta se principais diferentes dos que você especificou estão acessando dados sensíveis. O nome do controle é Restringir o acesso a dados sensíveis a usuários permitidos.
- Evitar a exfiltração de dados: detecta se clientes fora de locais geográficos (países) especificados estão acessando dados sensíveis. O nome do controle é Restringir o fluxo de dados sensíveis entre jurisdições geográficas.
- Aplicar a criptografia CMEK: detecta se dados confidenciais estão sendo criados sem a criptografia de chaves de criptografia gerenciadas pelo cliente (CMEKs). Vários controles ajudam a aplicar a CMEK para diferentes serviços do Google Cloud.
- Gerenciar a exclusão de dados: detecta violações das políticas de período máximo de retenção para dados sensíveis. O nome do controle é Controlar o período máximo de retenção de dados sensíveis.
- Gerenciar a retenção de dados: (pré-lançamento) aplica um período mínimo de retenção (em segundos) para objetos do Cloud Storage para garantir que eles sejam mantidos por um período mínimo. O nome do controle é Controlar o período mínimo de retenção de objetos do Cloud Storage. É necessário se inscrever para usar esse controle.
- Gerenciar criptografia de dados: (pré-lançamento) requer criptografia para objetos em buckets do Cloud Storage. O nome do controle é Exigir criptografia gerenciada pelo cliente para objetos do Cloud Storage. É necessário se inscrever para usar esse controle.
- Gerenciar o acesso público aos dados: (pré-lançamento) restringe o acesso público a objetos em buckets do Cloud Storage para evitar o risco de exposição de dados. O nome do controle é Restringir o acesso público a objetos do Cloud Storage. É necessário se inscrever para usar esse controle.
Esses controles são compatíveis apenas com o modo de detecção. Para mais informações sobre como implantar esses controles, consulte Usar DSPM.
Monitorar permissões do usuário
O controle Restringir o acesso a dados sensíveis a usuários permitidos restringe o acesso a dados sensíveis a conjuntos de principais especificados. Quando há uma tentativa de acesso não conforme (acesso por principais que não sejam os permitidos) aos recursos de dados, uma descoberta é criada. Os tipos de principal compatíveis são contas de usuário ou grupos. Para saber qual formato usar, consulte a tabela de formatos de principal compatíveis.
As contas de usuário incluem:
- Contas do Google pessoais que os usuários criam em google.com, como contas do Gmail.com
- Contas do Google gerenciadas para empresas
- Contas do Google Workspace for Education
As contas de usuário não incluem contas de robô, de serviço, de marca somente para delegação, de recursos e de dispositivos.
Os tipos de recursos compatíveis incluem:
- Conjuntos de dados e tabelas do BigQuery.
- Buckets do Cloud Storage
- Modelos, conjuntos de dados, Feature Stores e repositórios de metadados da Gemini Enterprise Agent Platform
O DSPM avalia a conformidade com esse controle sempre que uma conta de usuário lê um tipo de recurso compatível.
Esse controle de nuvem exige que você ative os registros de auditoria de acesso a dados para o Cloud Storage e a plataforma de agentes.
As limitações incluem:
- Somente operações de leitura são compatíveis.
- O acesso por contas de serviço, incluindo a identidade temporária de conta de serviço, está
isento desse controle. Como mitigação, garanta que apenas contas de serviço
confiáveis tenham acesso a recursos sensíveis do Cloud Storage,
do BigQuery e
da Agent Platform. Além disso, não conceda o papel de Criador de Token da Conta de Serviço (
roles/iam.serviceAccountTokenCreator) a usuários que não devem ter acesso. - Esse controle não impede que os usuários acessem cópias feitas por operações de conta de serviço, como as feitas pelo Serviço de transferência do Cloud Storage e pelo serviço de transferência de dados do BigQuery. Os usuários podem acessar cópias de dados que não têm esse controle ativado.
- Conjuntos de dados vinculados
não são compatíveis. Os conjuntos de dados vinculados criam um conjunto de dados somente leitura do BigQuery
que atua como um link simbólico para um conjunto de dados de origem. Os conjuntos de dados vinculados
não produzem registros de auditoria de acesso a dados e podem permitir que um usuário não autorizado leia
dados sem que isso seja sinalizado. Por exemplo, um usuário pode ignorar o controle de acesso vinculando um conjunto de dados a um conjunto de dados fora do limite de conformidade e, em seguida, consultar o novo conjunto de dados sem gerar registros no conjunto de dados de origem. Como mitigação, não conceda os papéis de Administrador do BigQuery
(
roles/bigquery.admin), Proprietário de dados do BigQuery (roles/bigquery.dataOwner) ou Administrador do BigQuery Studio (roles/bigquery.studioAdmin) a usuários que não devem ter acesso a recursos confidenciais do BigQuery. - As consultas de tabela curinga são compatíveis no nível do conjunto de dados, mas não no nível do conjunto de tabelas. Esse recurso permite consultar várias tabelas do BigQuery ao mesmo tempo usando expressões curinga. O DSPM processa consultas com caracteres curinga como se você estivesse acessando o conjunto de dados pai do BigQuery, não tabelas individuais dentro do conjunto de dados.
- Não é possível acessar publicamente os objetos do Cloud Storage. O acesso público concede acesso a todos os usuários sem nenhuma verificação de política.
- Não é possível acessar ou fazer o download de objetos do Cloud Storage usando sessões de navegador autenticadas.
- Quando implantadas em um aplicativo do App Hub, as tabelas e os conjuntos de dados do BigQuery não são compatíveis.
Prevenção a ataques de exportação de dados
O controle Restringir o fluxo de dados sensíveis entre jurisdições geográficas permite especificar os países permitidos de onde os dados podem ser acessados. O controle de nuvem funciona da seguinte maneira:
Se uma solicitação de leitura vier da Internet, o país será determinado com base no endereço IP da solicitação de leitura. Se um proxy for usado para enviar a solicitação de leitura, os alertas serão enviados com base na localização do proxy.
Se a solicitação de leitura vier de uma VM do Compute Engine, o país será determinado pela zona de nuvem em que a solicitação foi originada.
Os tipos de recursos compatíveis incluem:
- Conjuntos de dados e tabelas do BigQuery.
- Buckets do Cloud Storage
- Modelos, conjuntos de dados, Feature Stores e repositórios de metadados da Agent Platform
As limitações incluem:
- Somente operações de leitura são compatíveis.
- Para a Plataforma de Agentes, apenas solicitações da Internet são aceitas.
- Não é possível acessar publicamente os objetos do Cloud Storage.
- Não é possível acessar ou fazer o download de objetos do Cloud Storage usando sessões de navegador autenticadas.
- Quando implantados em um aplicativo do App Hub em uma pasta configurada para gerenciamento de aplicativos, as tabelas e os conjuntos de dados do BigQuery não são compatíveis.
- Quando um principal acessa um recurso mais de uma vez em um local não compatível em um período de 24 horas, as violações são compatíveis apenas com o primeiro acesso.
Aplicar criptografia CMEK
Esses controles exigem que você criptografe recursos específicos usando CMEKs. Algumas delas são as seguintes:
- Ativar CMEK para conjuntos de dados da Gemini Enterprise Agent Platform
- Ativar CMEK para repositórios de metadados da Gemini Enterprise Agent Platform
- Ativar CMEK para modelos da plataforma de agentes do Gemini Enterprise
- Ativar CMEK para o Featurestore da Gemini Enterprise Agent Platform
- Ativar CMEK para tabelas do BigQuery
Quando você implanta esses controles em um aplicativo do App Hub, as tabelas do BigQuery não são compatíveis.
Gerenciar políticas de retenção máxima de dados
O controle Controlar o período máximo de retenção de dados sensíveis controla o período de armazenamento de dados sensíveis. É possível selecionar recursos (por exemplo, tabelas do BigQuery) e aplicar um controle de nuvem de exclusão de dados que detecta se algum dos recursos viola os limites máximos de retenção de idade.
Os tipos de recursos compatíveis incluem:
- Conjuntos de dados e tabelas do BigQuery.
- Modelos, conjuntos de dados, Feature Stores e repositórios de metadados da Agent Platform
- Objetos do Cloud Storage (pré-lançamento). É necessário se inscrever para usar esse controle.
Ao implantar esse controle em um aplicativo do App Hub, as tabelas e os conjuntos de dados do BigQuery não são compatíveis.
Gerenciar a retenção de dados
O controle Controlar o período mínimo de retenção para objetos do Cloud Storage impõe um período mínimo de retenção para objetos do Cloud Storage. Esse controle impede a exclusão ou modificação de objetos do Cloud Storage até que o período mínimo de retenção (especificado em segundos) tenha passado.
Esse controle detecta objetos do Cloud Storage que não atendem à política de retenção mínima configurada. As descobertas são geradas no Security Command Center no nível do bucket. É possível consultar as descobertas no nível do objeto em
conjuntos de dados do Storage Intelligence (em object_security_findings_view).
As descobertas no nível do objeto têm findingType: SCC_DSPM_DATA_RETENTION e
findingReason: MINIMUM_RETENTION_VIOLATION.
Tipos de recursos compatíveis: objetos do Cloud Storage
É necessário se inscrever para usar esse controle.
Gerenciar criptografia de dados
O controle Exigir criptografia gerenciada pelo cliente para objetos do Cloud Storage ajuda você a aplicar a criptografia para objetos em buckets do Cloud Storage usando CMEKs. O controle detecta objetos do Cloud Storage que não estão criptografados com CMEK, violando sua política de criptografia.
As descobertas são geradas no Security Command Center no nível do bucket. É possível consultar as
descobertas no nível do objeto nos conjuntos de dados do Storage Intelligence
(em object_security_findings_view). As descobertas no nível do objeto têm
findingType: SCC_DSPM_ENCRYPTION_NO_CMEK e
findingReason: ENCRYPTION_CMEK_VIOLATION.
Tipos de recursos compatíveis: objetos do Cloud Storage
É necessário se inscrever para usar esse controle.
Gerenciar o acesso público aos dados
O controle Restringir o acesso público a objetos do Cloud Storage ajuda a restringir o acesso público a objetos em buckets do Cloud Storage para evitar o risco de exposição de dados. Esse controle detecta objetos do Cloud Storage que estão acessíveis publicamente, violando sua política de acesso público.
As descobertas são geradas no Security Command Center no nível do bucket. É possível consultar as
descobertas detalhadas no nível do objeto nos conjuntos de dados do Storage Intelligence
(em object_security_findings_view). As descobertas no nível do objeto têm
findingType: SCC_DSPM_PUBLIC_ACCESS_GOVERNANCE e
findingReason: PUBLIC_ACCESS_VIOLATION.
O campo sccDspmFinding.securityInsights na descoberta no nível do objeto
fornece mais detalhes sobre o status de acessibilidade pública, incluindo acesso de leitura e
gravação.
Tipos de recursos compatíveis: objetos do Cloud Storage
É necessário se inscrever para usar esse controle.
Como usar o DSPM com a Proteção de Dados Sensíveis
O DSPM funciona com a Proteção de Dados Sensíveis. A Proteção de Dados Sensíveis encontra os dados sensíveis na sua organização, e o DSPM permite implantar controles de nuvem de segurança de dados nos dados sensíveis para atender aos requisitos de segurança e compliance.
A tabela a seguir descreve como usar a Proteção de Dados Sensíveis para descoberta de dados e o DSPM para aplicação de políticas e gerenciamento da postura de segurança.
| Serviço | Proteção de Dados Sensíveis |
DSPM |
|---|---|---|
| Escopo dos dados | Encontra e classifica dados sensíveis (como PII ou secrets) no armazenamento no Google Cloud. |
Avalia a postura de segurança em relação aos dados sensíveis classificados. |
| Ações principais | Verifica, cria perfis e desidentifica dados sensíveis. |
Aplica, monitora e valida políticas. |
| Foco nas descobertas | Relatórios sobre onde os dados sensíveis estão localizados (por exemplo, BigQuery ou Cloud Storage). |
Relatórios sobre por que os dados estão expostos (por exemplo, acesso público, CMEK ausente ou permissões excessivas). |
| Integração | Fornece metadados de sensibilidade e classificação ao DSPM. |
Usa dados da Proteção de Dados Sensíveis para aplicar e monitorar controles de segurança e avaliações de risco. |