Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Verwaltung des Datensicherheitsstatus verwenden

In diesem Dokument wird beschrieben, wie Sie die Datensicherheitsstatus-Verwaltung verwenden können.

Wenn Sie die Standard-Stufe von Security Command Center verwenden, sind eingeschränkte DSPM-Funktionen verfügbar.

DSPM-Aktivierung

Da DSPM eingestellt wird, können Sie DSPM nicht mehr für eine Organisation aktivieren, die es noch nicht verwendet. Wenn DSPM bereits für Ihre Organisation aktiviert ist, bleibt es bis zum Datum der Einstellung verfügbar und die Informationen in diesem Dokument gelten weiterhin.

Weitere Informationen zu Security Command Center-Stufen finden Sie unter Security Command Center-Dienststufen.

Wenn Sie zusätzliche Ressourcen mit DSPM schützen möchten, aktivieren Sie die Erkennung für diese Ressourcen (nur Premium- und Enterprise-Stufen).

Als DSPM für Ihre Organisation aktiviert wurde, wurden auch die folgenden Dienste aktiviert (nur Premium- und Enterprise-Stufen):

Compliance Manager, um Datensicherheits-Frameworks und Cloud-Steuerelemente zu erstellen, anzuwenden und zu verwalten.
Sensitive Data Protection, um Signale zur Datensensitivität für die Standardbewertung des Datenrisikos zu verwenden.
Event Threat Detection (Teil des Security Command Center) auf Organisationsebene, um die Cloud-Kontrollen für die Datenzugriffs- und Datenflussverwaltung zu verwenden.
AI Protection zum Schutz des Lebenszyklus Ihrer KI-Arbeitslasten (nur Security Command Center Enterprise-Stufe).

Das Framework für Datensicherheit und Datenschutz wurde automatisch auf die Organisation angewendet (nur Premium- und Enterprise-Stufen).

(Nur Premium- und Enterprise-Stufen) Der DSPM-Dienst-Agent (service-org-ORGANIZATION_ID@gcp-sa-dspm-hpsa.) wurde erstellt, als DSPM aktiviert wurde.

Informationen zu den DSPM-IAM-Rollen finden Sie unter Identity and Access Management für Aktivierungen auf Organisationsebene.

Downgrade von der Premium- oder Enterprise-Stufe auf die Standard-Stufe

Wenn Sie ein Downgrade von der Premium- oder Enterprise-Stufe auf die Standard-Stufe durchführen, hat das folgende Auswirkungen auf Ihre DSPM-Funktionen:

Frameworks entfernt: Bereitgestellte DSPM-Frameworks, die von Premium- oder Enterprise-Funktionen abhängen, werden entfernt.
Verlust des Zugriffs auf Funktionen: Sie verlieren den Zugriff auf erweiterte Datensicherheitskontrollen und benutzerdefinierte Daten-Frameworks.
Zurücksetzen auf Basic: Die DSPM verwendet die grundlegenden Datensicherheitsprüfungen, die im Security Essentials-Framework enthalten sind.
Ergebnisse werden inaktiv: Alle Ergebnisse, die zuvor von Frameworks der Premium- oder Enterprise-Stufe generiert wurden, werden inaktiv. Es sind nur noch die Ergebnisse aus dem Security Essentials-Framework verfügbar.

Wenn Sie nach einem Downgrade auf die Standard-Stufe wieder ein Upgrade auf die Premium- oder Enterprise-Stufe durchführen, können die während des Downgrades entfernten Framework-Bereitstellungen nicht automatisch wiederhergestellt werden. Sie müssen diese Frameworks manuell neu bereitstellen und die zugehörigen Konfigurationen neu erstellen.

DSPM-Unterstützung für VPC Service Controls-Perimeter

Wenn Sie DSPM in einer Organisation aktivieren, die VPC Service Controls-Perimeter enthält, beachten Sie Folgendes:

Lesen Sie die Einschränkungen für Security Command Center.
Sie können keinen Perimeter verwenden, um DSPM-Ressourcen zu schützen, da sich alle Ressourcen auf Organisationsebene befinden. Verwenden Sie IAM, um DSPM-Berechtigungen zu verwalten.
Da DSPM auf Organisationsebene aktiviert ist, können Datenrisiken und Verstöße innerhalb eines Dienstperimeters nicht erkannt werden. So gewähren Sie Zugriff:
1. Sie benötigen die erforderlichen Rollen zum Konfigurieren von VPC Service Controls auf Organisationsebene.
2. Konfigurieren Sie die folgende Regel für eingehenden Traffic:
```
- ingressFrom:
  identities:
  - serviceAccount: DSPM_SA_EMAIL_ADDRESS
  sources:
      - accessLevel: "*"
  ingressTo:
    operations: "*"
    resources: "*"
```
Ersetzen Sie DSPM_SA_EMAIL_ADDRESS durch die E-Mail-Adresse des DSPM-Dienst-Agents (service-org-ORGANIZATION_ID@gcp-sa-dspm-hpsa.).

Die erforderlichen IAM-Rollen für den Dienst-Agent werden gewährt, wenn Sie DSPM aktivieren. Sie bestimmen, welche Vorgänge der Dienst-Agent ausführen kann.

Weitere Informationen zu Regeln für eingehenden Traffic finden Sie unter Richtlinien für eingehenden und ausgehenden Traffic konfigurieren.

Benutzerdefinierte Frameworks zur Datensicherheit erstellen

Kopieren Sie bei Bedarf das Framework für Datensicherheit und Datenschutz und passen Sie es an Ihre Anforderungen an Datensicherheit und Compliance an. Eine Anleitung finden Sie unter Framework anwenden.

Erweiterte Cloud-Kontrollen für die Datensicherheit bereitstellen

Fügen Sie bei Bedarf die Cloud-Steuerelemente für erweiterte Datensicherheit zu benutzerdefinierten Frameworks hinzu. Diese Kontrollen müssen zusätzlich konfiguriert werden, bevor Sie sie bereitstellen können. Eine Anleitung zum Bereitstellen von Cloud-Steuerelementen und Frameworks finden Sie unter Framework anwenden.

Sie können Frameworks mit erweiterten Cloud-Steuerelementen für die Datensicherheit in Ihrer Organisation, in Ordnern, Projekten und App Hub-Anwendungen in Ordnern bereitstellen, die für die Anwendungsverwaltung konfiguriert sind. Wenn Sie die erweiterten Cloud-Steuerelemente für die Datensicherheit für Anwendungen bereitstellen möchten, darf das Framework nur diese Steuerelemente enthalten. Sie müssen den für die Anwendungsverwaltung konfigurierten Ordner und die Anwendung auswählen, die von den Cloud-Steuerelementen überwacht werden sollen. Anwendungen in Hostprojekten oder einer Einzelprojektgrenze werden nicht unterstützt.

Berücksichtige Folgendes:

Lesen Sie die Informationen zu den einzelnen erweiterten Cloud-Steuerelementen für die Datensicherheit, um mehr über die Einschränkungen zu erfahren.

Führen Sie die Aufgaben für jede Regel aus, wie in der folgenden Tabelle beschrieben.

Regel	Zusätzliche Konfiguration
Cloud-Kontrolle für die Datenzugriffs-Governance	Aktivieren Sie Audit-Logs zum Datenzugriff für Cloud Storage und Agent Platform (falls in Ihrer Umgebung zutreffend). Legen Sie den Berechtigungstyp für den Datenzugriff auf `DATA_READ` fest. Aktivieren Sie die Datenzugriffslogs auf Organisations- oder Projektebene, je nachdem, wo Sie die Cloud-Steuerung für die Datenzugriffsverwaltung anwenden. Prüfen Sie, ob nur autorisierte Hauptkonten vom Audit-Logging ausgenommen sind. Hauptkonten, die von der Audit-Protokollierung ausgenommen sind, sind auch von DSPM ausgenommen. Fügen Sie ein oder mehrere zulässige Hauptkonten (maximal 200 Hauptkonten) in einem der folgenden Formate hinzu: Für einen Nutzer, `principal://goog/subject/USER_EMAIL_ADDRESS` Beispiel: `principal://goog/subject/alex@example.com` Für eine Gruppe: `principalSet://goog/group/GROUP_EMAIL_ADDRESS` Beispiel: `principalSet://goog/group/my-group@example.com`
Cloud-Kontrolle für die Datenfluss-Governance	Aktivieren Sie Audit-Logs zum Datenzugriff für Cloud Storage und Agent Platform (falls in Ihrer Umgebung zutreffend). Legen Sie den Berechtigungstyp für den Datenzugriff auf `DATA_READ` fest. Aktivieren Sie die Datenzugriffslogs auf Organisations- oder Projektebene, je nachdem, wo Sie die Cloud-Steuerung für die Datenzugriffsverwaltung anwenden. Prüfen Sie, ob nur autorisierte Hauptkonten vom Audit-Logging ausgenommen sind. Hauptkonten, die von der Audit-Protokollierung ausgenommen sind, sind auch von DSPM ausgenommen. Geben Sie die zulässigen Länder mit den Ländercodes an, die im Unicode Common Locale Data Repository (CLDR) definiert sind.
Cloud-Steuerung für Datenschutz und Schlüssel-Governance	Aktivieren Sie CMEK in BigQuery und auf der Agent Platform.
Cloud-Steuerelemente für die Datenlöschung	Legen Sie die Aufbewahrungsdauer fest. Wenn Sie beispielsweise eine Aufbewahrungsdauer von 90 Tagen in Sekunden festlegen möchten, geben Sie `777600` ein.