Menggunakan Pengelolaan Postur Keamanan Data

Paket layanan Standard, Premium, dan Enterprise (Tidak digunakan lagi) (memerlukan aktivasi level organisasi)

Paket layanan Security Command Center Enterprise akan dihentikan pada 21 Mei 2027. Jika organisasi Anda menggunakan paket layanan Enterprise, organisasi tersebut akan otomatis beralih ke paket layanan Premium pada atau setelah 21 Mei 2027. Hubungi Account Representative atau spesialis penjualanGoogle Cloud jika ada pertanyaan.

Data Security Posture Management akan dihentikan pada 1 Februari 2027. DSPM tidak lagi tersedia untuk organisasi baru. Pengguna lama tetap memiliki akses penuh hingga penonaktifan. Pelajari lebih lanjut kontrol dan kemampuan deteksi alternatif.

Dokumen ini menjelaskan cara menggunakan Data Security Posture Management (DSPM).

Jika Anda menggunakan paket Security Command Center Standard, fitur DSPM terbatas akan tersedia.

Pengaktifan DSPM

Karena DSPM dinonaktifkan, Anda tidak dapat lagi mengaktifkan DSPM untuk organisasi yang belum menggunakannya. Jika DSPM sudah diaktifkan untuk organisasi Anda, DSPM akan tetap tersedia hingga tanggal penonaktifan, dan informasi dalam dokumen ini akan terus berlaku.

Untuk mengetahui informasi selengkapnya tentang paket Security Command Center, lihat Paket layanan Security Command Center.

Untuk melindungi resource tambahan dengan DSPM, aktifkan penemuan untuk resource tersebut (khusus paket Premium dan Enterprise).

Saat DSPM diaktifkan untuk organisasi Anda, layanan berikut juga diaktifkan (khusus paket Premium dan Enterprise):

• Compliance Manager untuk membuat, menerapkan, dan mengelola framework keamanan data dan kontrol cloud.
• Sensitive Data Protection untuk menggunakan sinyal sensitivitas data untuk penilaian risiko data default.
• Event Threat Detection (bagian dari Security Command Center) di level organisasi untuk menggunakan kontrol cloud tata kelola akses data dan kontrol cloud tata kelola aliran data.
• AI Protection untuk membantu mengamankan siklus proses workload AI Anda (khusus paket Security Command Center Enterprise).

Framework Dasar-Dasar Keamanan dan Privasi Data diterapkan ke organisasi secara otomatis (khusus paket Premium dan Enterprise).

(Khusus paket Premium dan Enterprise) Agen layanan DSPM (service-org-ORGANIZATION_ID@gcp-sa-dspm-hpsa.) dibuat saat DSPM diaktifkan.

Untuk mengetahui informasi tentang peran Identity and Access Management DSPM, lihat Identity and Access Management untuk aktivasi tingkat organisasi.

Mendowngrade dari paket Premium atau Enterprise ke paket Standard

Saat Anda melakukan downgrade dari paket Premium atau Enterprise ke paket Standard, kemampuan DSPM Anda akan terpengaruh sebagai berikut:

• Framework dihapus: Framework DSPM yang di-deploy yang bergantung pada fitur Premium atau Enterprise akan dihapus.
• Kehilangan akses fitur: Anda akan kehilangan akses ke kontrol keamanan data lanjutan dan framework data kustom.
• Kembali ke dasar: DSPM menggunakan pemeriksaan keamanan data dasar yang disertakan dalam framework Security Essentials.
• Temuan menjadi tidak aktif: Semua temuan yang sebelumnya dihasilkan oleh framework paket Premium atau Enterprise menjadi tidak aktif. Satu-satunya temuan yang tetap tersedia adalah temuan dari framework Security Essentials.

Jika Anda mengupgrade kembali ke paket Premium atau Enterprise setelah mendowngrade ke paket Standard, deployment framework yang dihapus selama downgrade tidak dapat dipulihkan secara otomatis. Anda harus men-deploy ulang framework ini secara manual dan membangun ulang konfigurasi terkait.

Dukungan DSPM untuk perimeter Kontrol Layanan VPC

Paket layanan Premium dan Enterprise (Tidak digunakan lagi)

Saat Anda mengaktifkan DSPM di organisasi yang menyertakan perimeter Kontrol Layanan VPC, pertimbangkan hal berikut:

• Tinjau batasan untuk Security Command Center.

• Anda tidak dapat menggunakan perimeter untuk membantu melindungi resource DSPM karena semua resource berada di level organisasi. Untuk mengelola izin DSPM, gunakan IAM.

• Karena DSPM diaktifkan di level organisasi, DSPM tidak dapat mendeteksi risiko dan pelanggaran data dalam perimeter layanan. Untuk mengizinkan akses, lakukan hal berikut:

  1. Pastikan Anda memiliki peran yang diperlukan untuk mengonfigurasi Kontrol Layanan VPC di tingkat organisasi.

  2. Konfigurasikan aturan ingress berikut:

  - ingressFrom:
    identities:
    - serviceAccount: DSPM_SA_EMAIL_ADDRESS
    sources:
        - accessLevel: "*"
    ingressTo:
      operations: "*"
      resources: "*"
  

  Ganti DSPM_SA_EMAIL_ADDRESS dengan alamat email agen layanan DSPM (service-org-ORGANIZATION_ID@gcp-sa-dspm-hpsa.).

  Peran IAM yang diperlukan untuk agen layanan diberikan saat Anda mengaktifkan DSPM, dan menentukan operasi yang dapat dilakukan agen layanan.

  Untuk mengetahui informasi selengkapnya tentang aturan ingress, lihat Mengonfigurasi kebijakan ingress dan egress.

Membuat framework keamanan data kustom

Paket layanan Premium dan Enterprise (Tidak digunakan lagi)

Jika diperlukan, salin framework Dasar-dasar keamanan dan privasi data dan sesuaikan untuk memenuhi persyaratan keamanan dan kepatuhan data Anda. Untuk mengetahui petunjuknya, lihat Menerapkan framework.

Men-deploy kontrol cloud keamanan data tingkat lanjut

Paket layanan Premium dan Enterprise (Tidak digunakan lagi)

Jika diperlukan, tambahkan kontrol cloud keamanan data lanjutan ke framework kustom. Kontrol ini memerlukan konfigurasi tambahan sebelum Anda dapat men-deploy-nya. Untuk mengetahui petunjuk tentang cara men-deploy kontrol dan framework cloud, lihat Menerapkan framework.

Anda dapat men-deploy framework yang mencakup kontrol cloud keamanan data lanjutan ke organisasi, folder, project, dan aplikasi App Hub di folder yang dikonfigurasi untuk pengelolaan aplikasi. Untuk men-deploy kontrol cloud keamanan data lanjutan terhadap aplikasi, framework hanya dapat menyertakan kontrol ini. Anda harus memilih folder khusus aplikasi dan aplikasi yang ingin dipantau oleh kontrol cloud. Aplikasi dalam project host atau batas project tunggal tidak didukung.

Pertimbangkan hal berikut:

• Tinjau informasi untuk setiap kontrol cloud keamanan data lanjutan untuk mengetahui batasannya.

• Selesaikan tugas untuk setiap aturan, seperti yang dijelaskan dalam tabel berikut.

  Aturan	Konfigurasi tambahan
  Kontrol cloud tata kelola akses data	Aktifkan log audit Akses Data untuk Cloud Storage dan Agent Platform (jika berlaku di lingkungan Anda). Tetapkan jenis izin akses data ke DATA_READ. Aktifkan log akses data di level organisasi atau level project, bergantung pada tempat Anda menerapkan kontrol cloud Tata kelola akses data. Pastikan hanya akun utama yang diberi otorisasi yang dikecualikan dari logging audit. Akun utama yang dikecualikan dari logging audit juga dikecualikan dari DSPM. Tambahkan satu atau beberapa akun utama yang diizinkan (hingga maksimum 200 akun utama), menggunakan salah satu format berikut: Untuk pengguna, principal://goog/subject/USER_EMAIL_ADDRESS Contoh: principal://goog/subject/[e-mail] Untuk grup, principalSet://goog/group/GROUP_EMAIL_ADDRESS Contoh: principalSet://goog/group/[e-mail]
  Kontrol cloud tata kelola aliran data	Aktifkan log audit Akses Data untuk Cloud Storage dan Agent Platform (jika berlaku di lingkungan Anda). Tetapkan jenis izin akses data ke DATA_READ. Aktifkan log akses data di level organisasi atau level project, bergantung pada tempat Anda menerapkan kontrol cloud Tata kelola akses data. Pastikan hanya akun utama yang diberi otorisasi yang dikecualikan dari logging audit. Akun utama yang dikecualikan dari logging audit juga dikecualikan dari DSPM. Tentukan negara yang diizinkan menggunakan kode negara yang ditentukan dalam Unicode Common Locale Data Repository (CLDR).
  Kontrol cloud perlindungan data dan pengelolaan kunci	Aktifkan CMEK di BigQuery dan Agent Platform.
  Kontrol cloud penghapusan data	Tetapkan periode retensi data. Misalnya, untuk menetapkan periode retensi data 90 hari dalam detik, tetapkan periode retensi data ke 777600.

Langkah berikutnya

• Memantau postur keamanan data Anda.
• Tinjau temuan terkait keamanan data.