Data Security Posture Management (DSPM) 提供以資料為中心的 Google Cloud 安全性檢視畫面。DSPM 可協助您瞭解有哪些機密資料、資料儲存在Google Cloud的位置，以及資料使用方式是否符合安全性和法規遵循要求，進而持續找出並降低資料風險。
DSPM 功能取決於您的 Security Command Center 服務級別。如要進一步瞭解 Standard 級別提供的 DSPM 功能，請參閱「Standard 級別的 Data Security Posture Management 總覽」。
Premium 和 Enterprise 級別的 DSPM 可讓團隊完成下列資料安全性工作：
資料探索和分類：自動探索及分類 Google Cloud 環境中的機密資料資源，包括 BigQuery 和 Cloud Storage。
資料治理：根據 Google 的最佳做法和法規遵循架構，評估目前的資料安全防護機制，找出並修正潛在的安全問題。
控管措施執行：將安全性需求對應至特定的資料治理雲端控管措施，例如資料存取權管理和資料流程管理。
法規遵循監控：根據套用的資料安全性架構監控工作負載，證明符合規範、修正違規事項，並產生稽核證據。
DSPM 的核心元件
以下各節說明 DSPM 的元件。
使用 DSPM 資訊主頁監控您的資料安全性資安態勢
Google Cloud 控制台中的資料安全性資訊主頁，可讓您查看組織的資料是否符合資料安全性和法規遵循要求。這項服務提供資料地圖探索工具，可視覺化呈現資料位置，並依機密程度和專案等屬性篩選。資訊主頁會提供違反政策的安全性發現項目、詳細說明安全性架構部署和涵蓋範圍等。
如要進一步瞭解如何使用資訊主頁，請參閱「監控資料安全性態勢」。
DSPM 資料安全性框架和法規遵循
您可以使用架構定義資料安全性與法規遵循需求，並將這些需求套用至 Google Cloud 環境。DSPM 包含資料安全性和隱私權基本架構，定義了資料安全性和法規遵循的建議基準控管措施。啟用 DSPM 後，系統會自動以偵測模式將這個架構套用至Google Cloud 組織。您可以利用產生的發現項目，強化資料防護機制。
如有需要，您可以複製架構，建立自訂資料安全性架構。您可以將進階資料安全性雲端控制項新增至自訂架構，並將自訂架構套用至組織、資料夾、專案，以及設為應用程式管理的資料夾中的 App Hub 應用程式。舉例來說，您可以建立自訂架構，將管轄權控管措施套用至特定資料夾，確保這些資料夾中的資料保留在特定地理區域內。
資料安全性和隱私權基本架構 (基準控制項)
下列雲端控管措施屬於資料安全性和隱私權基本架構。這些控管機制提供的偵測功能，與法規遵循管理員和 Sensitive Data Protection 的特定發現項目相當。
下表列出雲端控管機制、說明，以及法規遵循管理工具和 Sensitive Data Protection 偵測工具，這些工具結合後可提供類似的偵測功能。如要瞭解如何在調查期間建立這些發現項目的關聯，請參閱「建立 Compliance Manager 和 Sensitive Data Protection 發現項目的關聯」。
| CloudControl | 說明 |
|---|---|
含有機密資料的 BigQuery 資料表必須使用 CMEK ( |
偵測含有機密資料的 BigQuery 資料表是否未使用 CMEK。 這項控制項提供的偵測功能，與下列偵測服務和偵測工具組合相當：
|
|
含有機密資料的 BigQuery 資料集必須使用 CMEK ( |
偵測含有機密資料的 BigQuery 資料集是否未使用 CMEK。 這項控制項提供的偵測功能，與下列偵測服務和偵測工具組合相當：
|
|
禁止公開存取含有機密資料的 BigQuery 資料集 ( |
偵測可公開存取的 BigQuery 資料集內是否有機密資料。 這項控制項提供的偵測功能，與下列偵測服務和偵測工具組合相當：
|
|
禁止公開存取含有機密資料的 Cloud SQL 執行個體 ( |
偵測可公開存取的 SQL 資料庫中是否有機密資料。 這項控制項提供的偵測功能，與下列偵測服務和偵測工具組合相當：
|
|
要求含有機密資料的 Cloud SQL 執行個體使用 CMEK ( |
偵測 Cloud SQL 資料庫是否含有機密資料，但未使用 CMEK。 這項控制項提供的偵測功能，與下列偵測服務和偵測工具組合相當：
|
彙整 Compliance Manager 和 Sensitive Data Protection 的發現項目
在調查期間，您可以將在同一資源上找到的特定 Compliance Manager 和 Sensitive Data Protection ACTIVE 發現項目建立關聯，協助找出與 DSPM 雲端控管發現項目類似的情況。
請使用下列其中一種方法執行這項調查：
透過 Pub/Sub 即時發出警告：設定持續匯出至 Pub/Sub，篩選
ACTIVE發現項目。當同一資源同時存在相關的法規遵循管理員和 Sensitive Data Protection 發現項目，且兩者都處於ACTIVE狀態時，請使用 Cloud Run functions 或 Cloud Run 等下游服務，觸發自動快訊或工作流程。使用 BigQuery 進行排程分析：使用連續串流匯出或大量一次性匯出至 BigQuery。您可以在 BigQuery 中執行排定的 SQL 查詢，在
resource_name上 self-joinfindings資料表，並篩選出 Compliance Manager 和 Sensitive Data Protection 發現項目皆存在且處於ACTIVE狀態的發現項目。
進階資料治理和安全雲端控管機制
DSPM 包含進階資料安全性功能，可協助您滿足額外的資料安全性需求。這些進階資料安全性雲端控制項分為以下幾組：
- 監控使用者授權：偵測是否有非指定主體存取機密資料。控制項名稱為「Restrict Access to Sensitive Data to Permitted Users」(僅允許獲准使用者存取機密資料)。
- 防範資料竊取：偵測指定地理位置 (國家/地區) 以外的用戶端是否正在存取機密資料。控管機制名稱為「Restrict Flow of Sensitive Data Across Geographic Jurisdictions」(限制敏感資料跨地理管轄區流動)。
- 強制執行 CMEK 加密：偵測是否在未採用客戶自行管理的加密金鑰 (CMEK) 加密的情況下建立機密資料。多項控制項有助於為不同的 Google Cloud服務強制執行 CMEK。
- 管理資料刪除作業：偵測機密資料是否違反最長保留期限政策。控制項名稱為「控管敏感資料的最長保留期限」。
- 管理資料保留：(預先發布版) 強制規定 Cloud Storage 物件的最短保留期限 (以秒為單位)，確保物件至少保留一段時間。控管項目的名稱為「控管 Cloud Storage 物件的最短保留期限」。您必須註冊才能使用這項控制項。
- 管理資料加密：(預先發布版) 要求對 Cloud Storage bucket 中的物件進行加密。控制項名稱為「Require Customer-Managed Encryption for Cloud Storage Objects」(Cloud Storage 物件必須使用客戶自行管理的加密機制)。您必須註冊才能使用這項控制項。
- 管理資料的公開存取權：(預先發布版) 限制 Cloud Storage bucket 中物件的公開存取權，避免資料外洩風險。控管機制名稱為「Restrict Public Access to Cloud Storage Objects」(限制公開存取 Cloud Storage 物件)。您必須註冊才能使用這項控制項。
這些控管機制僅支援偵測模式。如要進一步瞭解如何部署這些控制項，請參閱「使用 DSPM」。
監控使用者權限
「Restrict Access to Sensitive Data to Permitted Users」(僅允許特定使用者存取機密資料) 控制項會限制只有指定的主體集可以存取機密資料。如果有人嘗試以不符合規定的方式存取資料資源 (由允許主體以外的主體存取)，系統就會建立發現項目。支援的主體類型為使用者帳戶或群組。如要瞭解應使用的格式，請參閱支援的主體格式表格。
使用者帳戶包括：
- 使用者在 google.com 註冊的個人 Google 帳戶，例如 Gmail.com 帳戶
- 企業專用的受管理 Google 帳戶
- Google Workspace for Education 帳戶
使用者帳戶不包括機器人帳戶、服務帳戶、僅限委派的品牌帳戶、資源帳戶和裝置帳戶。
支援的素材資源類型包括：
- BigQuery 資料集和資料表
- Cloud Storage 值區
- Gemini Enterprise Agent Platform 模型、資料集、特徵儲存庫和中繼資料儲存庫
每當使用者帳戶讀取支援的資源類型時，DSPM 都會評估是否符合這項控管機制。
這項雲端控管機制要求您啟用 Cloud Storage 和 Agent Platform 的資料存取稽核記錄。
限制如下：
- 僅支援讀取作業。
- 服務帳戶的存取權 (包括服務帳戶模擬) 不受這項控制項限制。為降低風險，請確保只有受信任的服務帳戶，才能存取機密的 Cloud Storage、BigQuery 和 Agent Platform 資源。此外，請勿將服務帳戶權杖建立者 (
roles/iam.serviceAccountTokenCreator) 角色授予不應具備存取權的使用者。 - 這項控制項不會禁止使用者存取透過服務帳戶作業 (例如 Storage 移轉服務和 BigQuery 資料移轉服務) 建立的副本。使用者可以存取未啟用這項控制項的資料副本。
- 不支援連結的資料集。連結的資料集會建立唯讀 BigQuery 資料集，做為來源資料集的符號連結。連結的資料集不會產生資料存取稽核記錄，未經授權的使用者可能在未標記的情況下讀取資料。舉例來說，使用者可以將資料集連結至法規遵循範圍外的資料集，藉此規避存取控管機制，然後查詢新資料集，而不會產生來源資料集的記錄。為降低風險，請勿將 BigQuery 管理員 (
roles/bigquery.admin)、BigQuery 資料擁有者 (roles/bigquery.dataOwner) 或 BigQuery Studio 管理員 (roles/bigquery.studioAdmin) 角色授予不應存取機密 BigQuery 資源的使用者。 - 萬用字元資料表查詢支援資料集層級，但不支援資料表集層級。這項功能可讓您使用萬用字元運算式，同時查詢多個 BigQuery 資料表。DSPM 處理萬用字元查詢時，會視為您正在存取父項 BigQuery 資料集，而非資料集內的個別資料表。
- 不支援公開存取 Cloud Storage 物件。公開存取權會授予所有使用者存取權，不進行任何政策檢查。
- 不支援使用已驗證的瀏覽器工作階段存取或下載 Cloud Storage 物件。
- 部署至 App Hub 應用程式時，不支援 BigQuery 資料表和資料集。
防範資料竊取
「Restrict Flow of Sensitive Data Across Geographic Jurisdictions」(限制機密資料跨地理管轄區流動) 控制項可讓您指定允許存取資料的國家/地區。雲端控管機制的運作方式如下：
如果讀取要求來自網際網路，系統會根據讀取要求的 IP 位址判斷國家/地區。如果使用 Proxy 傳送讀取要求，系統會根據 Proxy 的位置傳送快訊。
如果讀取要求來自 Compute Engine VM，則國家/地區取決於要求來源的雲端可用區。
支援的素材資源類型包括：
- BigQuery 資料集和資料表
- Cloud Storage 值區
- Agent Platform 模型、資料集、特徵儲存庫和中繼資料儲存庫
限制如下：
- 僅支援讀取作業。
- Agent Platform 僅支援來自網際網路的要求。
- 不支援公開存取 Cloud Storage 物件。
- 不支援使用已驗證的瀏覽器工作階段存取或下載 Cloud Storage 物件。
- 如果部署至設定為應用程式管理的資料夾中的 App Hub 應用程式，則不支援 BigQuery 資料表和資料集。
- 如果主體在 24 小時內，從不符合規定的位置多次存取資源，系統只會記錄首次存取。
強制執行 CMEK 加密
這些控制項會要求您使用 CMEK 加密特定資源。包括：
- 為 Gemini Enterprise Agent Platform 資料集啟用 CMEK
- 為 Gemini Enterprise Agent Platform 中繼資料儲存庫啟用 CMEK
- 為 Gemini Enterprise Agent Platform 模型啟用 CMEK
- 為 Gemini Enterprise Agent Platform 特徵儲存庫啟用 CMEK
- 為 BigQuery 資料表啟用 CMEK
將這些控制項部署至 App Hub 應用程式時，不支援 BigQuery 資料表。
管理資料保留政策
「控管機密資料的最長保留期限」控制項可控管機密資料的保留期限。您可以選取資源 (例如 BigQuery 資料表)，並套用資料刪除雲端控管機制，偵測是否有任何資源違反最長保留期限限制。
支援的素材資源類型包括：
將這項控制項部署至 App Hub 應用程式時，不支援 BigQuery 資料表和資料集。
管理資料保留
「控管 Cloud Storage 物件的最短保留期限」控制項會強制執行 Cloud Storage 物件的最短保留期限。這項控制項可防止 Cloud Storage 物件在最短保留期限 (以秒為單位) 屆滿前遭到刪除或修改。
這項控制項會偵測不符合設定最低保留政策的 Cloud Storage 物件。Security Command Center 會在 bucket 層級產生發現項目。您可以在 Storage Intelligence 資料集 (位於 object_security_findings_view) 中，查詢物件層級的發現項目。物件層級的發現項目包含 findingType：SCC_DSPM_DATA_RETENTION 和 findingReason：MINIMUM_RETENTION_VIOLATION。
支援的資產類型：Cloud Storage 物件
您必須申請才能使用這項控制項。
管理資料加密設定
「Cloud Storage 物件必須使用客戶自行管理的加密金鑰」控制項可協助您使用 CMEK，強制加密 Cloud Storage bucket 中的物件。這項控制項會偵測未以 CMEK 加密的 Cloud Storage 物件，這類物件違反加密政策。
Security Command Center 會在 bucket 層級產生發現項目。您可以在 Storage Intelligence 資料集 (位於 object_security_findings_view) 中，查詢物件層級的發現項目。物件層級的發現項目具有 findingType：SCC_DSPM_ENCRYPTION_NO_CMEK 和 findingReason：ENCRYPTION_CMEK_VIOLATION。
支援的資產類型：Cloud Storage 物件
您必須申請才能使用這項控制項。
管理資料的公開存取權
「限制公開存取 Cloud Storage 物件」控制項可協助您限制公開存取 Cloud Storage bucket 中的物件，避免資料外洩風險。這項控制項會偵測可公開存取的 Cloud Storage 物件，確認是否違反公開存取政策。
Security Command Center 會在 bucket 層級產生發現項目。您可以在 Storage Intelligence 資料集 (位於 object_security_findings_view) 中，查詢詳細的物件層級發現項目。物件層級發現項目包含 findingType：SCC_DSPM_PUBLIC_ACCESS_GOVERNANCE 和 findingReason：PUBLIC_ACCESS_VIOLATION。
物件層級發現項目中的 sccDspmFinding.securityInsights 欄位，會提供公開存取權狀態的詳細資料，包括讀取和寫入權限。
支援的資產類型：Cloud Storage 物件
您必須申請才能使用這項控制項。
搭配使用 DSPM 與 Sensitive Data Protection
DSPM 可與 Sensitive Data Protection 搭配使用。Sensitive Data Protection 會找出組織中的機密資料，DSPM 則可讓您對機密資料部署資料安全性雲端控管機制，滿足安全性和法規遵循需求。
下表說明如何使用 Sensitive Data Protection 探索資料，以及如何使用 DSPM 執行政策和管理安全態勢。
| 服務 | Sensitive Data Protection |
DSPM |
|---|---|---|
| 資料範圍 | 在 Google Cloud的儲存空間中，尋找 PII 或密鑰等機密資料並分類。 |
評估已分類機密資料周圍的資安態勢。 |
| 核心動作 | 掃描、剖析機密資料，並將其去識別化。 |
強制執行、監控及驗證政策。 |
| 發現項目重點 | 回報機密資料的位置 (例如 BigQuery 或 Cloud Storage)。 |
回報資料外洩的原因 (例如公開存取、缺少 CMEK 或權限過多)。 |
| 整合 | 將敏感度和分類中繼資料提供給 DSPM。 |
使用 Sensitive Data Protection 資料，套用及監控安全控管機制和風險評估。 |