Utiliser la gestion de la stratégie de sécurité des données

Niveaux de service Standard, Premium et Enterprise (obsolète) (nécessitent une activation au niveau de l'organisation)

Le niveau de service Security Command Center Enterprise sera arrêté le 21 mai 2027. Si votre organisation utilise le niveau de service Enterprise, elle passera automatiquement au niveau de service Premium le 21 mai 2027 ou après cette date. Si vous avez des questions, contactez votre responsable de compte ou un spécialiste des ventesGoogle Cloud .

Data Security Posture Management sera arrêté le 1er février 2027. La DSPM n'est plus disponible pour les nouvelles organisations. Les utilisateurs existants conservent un accès complet jusqu'à l'arrêt. En savoir plus sur les commandes et les autres fonctionnalités de détection

Ce document explique comment utiliser la gestion de la stratégie de sécurité des données (DSPM).

Si vous utilisez le niveau Security Command Center Standard, des fonctionnalités DSPM limitées sont disponibles.

Activation de DSPM

Comme DSPM est en cours d'arrêt, vous ne pouvez plus l'activer pour une organisation qui ne l'utilise pas déjà. Si la DSPM est déjà activée pour votre organisation, elle reste disponible jusqu'à la date d'arrêt, et les informations de ce document continuent de s'appliquer.

Pour en savoir plus sur les niveaux de Security Command Center, consultez Niveaux de service de Security Command Center.

Pour protéger des ressources supplémentaires avec DSPM, activez la découverte pour ces ressources (niveaux Premium et Enterprise uniquement).

Lorsque DSPM a été activé pour votre organisation, les services suivants ont également été activés (niveaux Premium et Enterprise uniquement) :

• Compliance Manager pour créer, appliquer et gérer des frameworks de sécurité des données et des contrôles cloud.
• Sensitive Data Protection pour utiliser les signaux de sensibilité des données pour l'évaluation des risques liés aux données par défaut.
• Event Threat Detection (qui fait partie de Security Command Center) au niveau de l'organisation pour utiliser le contrôle cloud de gouvernance des accès aux données et le contrôle cloud de gouvernance des flux de données.
• Protection de l'IA pour vous aider à sécuriser le cycle de vie de vos charges de travail d'IA (niveau Security Command Center Enterprise uniquement).

Le framework des principes essentiels de sécurité et de confidentialité des données a été appliqué automatiquement à l'organisation (niveaux Premium et Enterprise uniquement).

(Niveaux Premium et Enterprise uniquement) L'agent de service DSPM (service-org-ORGANIZATION_ID@gcp-sa-dspm-hpsa.) a été créé lorsque DSPM a été activé.

Pour en savoir plus sur les rôles Identity and Access Management de DSPM, consultez Identity and Access Management pour les activations au niveau de l'organisation.

Passer du niveau Premium ou Enterprise au niveau Standard

Lorsque vous passez du niveau Premium ou Enterprise au niveau Standard, vos fonctionnalités DSPM sont affectées comme suit :

• Frameworks supprimés : les frameworks DSPM déployés qui dépendent des fonctionnalités Premium ou Enterprise sont supprimés.
• Perte d'accès aux fonctionnalités : vous perdez l'accès aux contrôles avancés de sécurité des données et aux frameworks de données personnalisés.
• Retour à la version de base : DSPM utilise les vérifications de sécurité des données de base incluses dans le framework Security Essentials.
• Les résultats deviennent inactifs : tous les résultats précédemment générés par les frameworks de niveau Premium ou Enterprise deviennent inactifs. Seuls les résultats du framework Security Essentials restent disponibles.

Si vous repassez au niveau Premium ou Enterprise après être passé au niveau Standard, les déploiements de framework supprimés lors du passage au niveau inférieur ne peuvent pas être récupérés automatiquement. Vous devez redéployer manuellement ces frameworks et recompiler les configurations associées.

Compatibilité de DSPM avec les périmètres VPC Service Controls

Niveaux de service Premium et Enterprise (obsolètes)

Lorsque vous activez la DSPM dans une organisation qui inclut des périmètres VPC Service Controls, tenez compte des points suivants :

• Consultez les limites de Security Command Center.

• Vous ne pouvez pas utiliser de périmètre pour protéger les ressources DSPM, car toutes les ressources se trouvent au niveau de l'organisation. Pour gérer les autorisations DSPM, utilisez IAM.

• Comme la DSPM est activée au niveau de l'organisation, elle ne peut pas détecter les risques et les violations de données dans un périmètre de service. Pour autoriser l'accès, procédez comme suit :

  1. Assurez-vous de disposer des rôles requis pour configurer VPC Service Controls au niveau de l'organisation.

  2. Configurez la règle d'entrée suivante :

  - ingressFrom:
    identities:
    - serviceAccount: DSPM_SA_EMAIL_ADDRESS
    sources:
        - accessLevel: "*"
    ingressTo:
      operations: "*"
      resources: "*"
  

  Remplacez DSPM_SA_EMAIL_ADDRESS par l'adresse e-mail de l'agent de service DSPM (service-org-ORGANIZATION_ID@gcp-sa-dspm-hpsa.).

  Les rôles IAM requis pour l'agent de service sont attribués lorsque vous activez la DSPM. Ils déterminent les opérations que l'agent de service peut effectuer.

  Pour en savoir plus sur les règles d'entrée, consultez Configurer des règles d'entrée et de sortie.

Créer des frameworks de sécurité des données personnalisés

Niveaux de service Premium et Enterprise (obsolètes)

Si nécessaire, copiez le framework des principes essentiels de sécurité et de confidentialité des données et personnalisez-le pour répondre à vos exigences de sécurité et de conformité des données. Pour obtenir des instructions, consultez Appliquer un framework.

Déployer des contrôles cloud avancés de sécurité des données

Niveaux de service Premium et Enterprise (obsolètes)

Si nécessaire, ajoutez les contrôles cloud avancés de sécurité des données aux frameworks personnalisés. Ces contrôles nécessitent une configuration supplémentaire avant de pouvoir être déployés. Pour savoir comment déployer des contrôles et des frameworks cloud, consultez Appliquer un framework.

Vous pouvez déployer des frameworks incluant des contrôles cloud avancés de sécurité des données sur votre organisation, vos dossiers, vos projets et vos applications App Hub dans des dossiers configurés pour la gestion des applications. Pour déployer les contrôles cloud avancés de sécurité des données sur les applications, le framework ne peut inclure que ces contrôles. Vous devez sélectionner le dossier compatible avec les applications et l'application que vous souhaitez que les contrôles cloud surveillent. Les applications dans des projets hôtes ou une limite de projet unique ne sont pas acceptées.

Tenez compte des points suivants :

• Pour connaître les limites, consultez les informations relatives à chaque contrôle cloud avancé de sécurité des données.

• Effectuez les tâches pour chaque règle, comme décrit dans le tableau suivant.

  Règle	Configuration supplémentaire
  Contrôle cloud de la gouvernance des accès aux données	Activez les journaux d'audit des accès aux données pour Cloud Storage et Agent Platform (le cas échéant dans votre environnement). Définissez le type d'autorisation d'accès aux données sur DATA_READ. Activez les journaux d'accès aux données au niveau de l'organisation ou du projet, selon l'endroit où vous appliquez le contrôle cloud de gouvernance des accès aux données. Vérifiez que seuls les comptes principaux autorisés sont exemptés de la journalisation d'audit. Les comptes principaux exemptés de la journalisation d'audit sont également exemptés de la DSPM. Ajoutez un ou plusieurs comptes principaux autorisés (jusqu'à 200 comptes principaux) en utilisant l'un des formats suivants : Pour un utilisateur, principal://goog/subject/USER_EMAIL_ADDRESS Exemple : principal://goog/subject/[e-mail] Pour un groupe, principalSet://goog/group/GROUP_EMAIL_ADDRESS Exemple : principalSet://goog/group/[e-mail]
  Contrôle cloud de la gouvernance des flux de données	Activez les journaux d'audit des accès aux données pour Cloud Storage et Agent Platform (le cas échéant dans votre environnement). Définissez le type d'autorisation d'accès aux données sur DATA_READ. Activez les journaux d'accès aux données au niveau de l'organisation ou du projet, selon l'endroit où vous appliquez le contrôle cloud de gouvernance des accès aux données. Vérifiez que seuls les comptes principaux autorisés sont exemptés de la journalisation d'audit. Les comptes principaux exemptés de la journalisation d'audit sont également exemptés de la DSPM. Spécifiez les pays autorisés à l'aide des codes pays définis dans le Unicode Common Locale Data Repository (CLDR).
  Contrôle cloud de la protection des données et de la gouvernance des clés	Activez les CMEK dans BigQuery et Agent Platform.
  Commandes cloud de suppression des données	Définissez les durées de conservation. Par exemple, pour définir une durée de conservation de 90 jours en secondes, définissez-la sur 777600.

Étapes suivantes

• Surveillez votre stratégie de sécurité des données.
• Examinez les résultats liés à la sécurité des données.