Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Utilizzare la gestione della security posture dei dati

Questo documento descrive come utilizzare Data Security Posture Management (DSPM).

Se utilizzi il livello Security Command Center Standard, sono disponibili funzionalità DSPM limitate.

Abilitazione DSPM

Poiché DSPM verrà disattivato, non puoi più attivarlo per un'organizzazione che non lo utilizza già. Se DSPM è già abilitato per la tua organizzazione, rimane disponibile fino alla data di disattivazione e le informazioni contenute in questo documento continuano ad essere valide.

Per saperne di più sui livelli di Security Command Center, consulta Livelli di servizio di Security Command Center.

Per proteggere altre risorse con DSPM, attiva il rilevamento per queste risorse (solo livelli Premium ed Enterprise).

Quando DSPM è stato abilitato per la tua organizzazione, sono stati abilitati anche i seguenti servizi (solo livelli Premium ed Enterprise):

Compliance Manager per creare, applicare e gestire framework di sicurezza dei dati e controlli cloud.
Sensitive Data Protection per utilizzare gli indicatori di sensibilità dei dati per l'analisi del rischio dei dati predefinita.
Event Threat Detection (parte di Security Command Center) a livello di organizzazione per utilizzare il controllo cloud per la governance degli accessi ai dati e il controllo cloud per la governance del flusso di dati.
AI Protection per proteggere il ciclo di vita dei tuoi workload di AI (solo livello Security Command Center Enterprise).

Il framework Data Security and Privacy Essentials è stato applicato automaticamente all'organizzazione (solo livelli Premium ed Enterprise).

(Solo livelli Premium ed Enterprise) L'agente di servizio DSPM (service-org-ORGANIZATION_ID@gcp-sa-dspm-hpsa.) è stato creato quando è stato attivato DSPM.

Per informazioni sui ruoli di Identity and Access Management di DSPM, consulta Identity and Access Management per le attivazioni a livello di organizzazione.

Downgrade dai livelli Premium o Enterprise al livello Standard

Quando esegui il downgrade dal livello Premium o Enterprise al livello Standard, le funzionalità DSPM vengono interessate come segue:

Framework rimossi: i framework DSPM di cui è stato eseguito il deployment che dipendono dalle funzionalità Premium o Enterprise vengono rimossi.
Perdita dell'accesso alle funzionalità: perdi l'accesso ai controlli avanzati per la sicurezza dei dati e ai framework di dati personalizzati.
Ripristina le impostazioni di base: DSPM utilizza i controlli di sicurezza dei dati di base inclusi nel framework Security Essentials.
I risultati diventano inattivi: tutti i risultati generati in precedenza dai framework di livello Premium o Enterprise diventano inattivi. Gli unici risultati che rimangono disponibili sono quelli del framework Security Essentials.

Se esegui nuovamente l'upgrade al livello Premium o Enterprise dopo aver eseguito il downgrade al livello Standard, i deployment del framework rimossi durante il downgrade non possono essere recuperati automaticamente. Devi eseguire manualmente il deployment di questi framework e ricreare le configurazioni associate.

Supporto DSPM per i perimetri dei Controlli di servizio VPC

Quando attivi DSPM in un'organizzazione che include perimetri dei Controlli di servizio VPC, tieni presente quanto segue:

Esamina le limitazioni di Security Command Center.
Non puoi utilizzare un perimetro per proteggere le risorse DSPM perché tutte le risorse si trovano a livello di organizzazione. Per gestire le autorizzazioni DSPM, utilizza IAM.
Poiché DSPM è abilitato a livello di organizzazione, non può rilevare rischi e violazioni dei dati all'interno di un perimetro di servizio. Per consentire l'accesso, completa i seguenti passaggi:
1. Assicurati di disporre dei ruoli richiesti per configurare i Controlli di servizio VPC a livello di organizzazione.
2. Configura la seguente regola in entrata:
```
- ingressFrom:
  identities:
  - serviceAccount: DSPM_SA_EMAIL_ADDRESS
  sources:
      - accessLevel: "*"
  ingressTo:
    operations: "*"
    resources: "*"
```
Sostituisci DSPM_SA_EMAIL_ADDRESS con l'indirizzo email dell'agente di servizio DSPM (service-org-ORGANIZATION_ID@gcp-sa-dspm-hpsa.).

I ruoli IAM richiesti per l'agente di servizio vengono concessi quando attivi DSPM e determinano le operazioni che l'agente di servizio può eseguire.

Per saperne di più sulle regole in entrata, consulta Configurazione delle policy in entrata e in uscita.

Crea framework di sicurezza dei dati personalizzati

Se necessario, copia il framework degli elementi essenziali per la sicurezza e la privacy dei dati e personalizzalo per soddisfare i requisiti di sicurezza e conformità dei dati. Per le istruzioni, vedi Applica un framework.

Esegui il deployment di controlli cloud avanzati per la sicurezza dei dati

Se necessario, aggiungi i controlli cloud di sicurezza dei dati avanzata ai framework personalizzati. Questi controlli richiedono una configurazione aggiuntiva prima di poter essere implementati. Per istruzioni sul deployment di controlli e framework cloud, consulta Applica un framework.

Puoi eseguire il deployment di framework che includono controlli cloud avanzati per la sicurezza dei dati nella tua organizzazione, nelle cartelle, nei progetti e nelle applicazioni App Hub in cartelle configurate per la gestione delle applicazioni. Per eseguire il deployment dei controlli cloud avanzati per la sicurezza dei dati nelle applicazioni, il framework può includere solo questi controlli. Devi selezionare la cartella abilitata per le app e l'applicazione che vuoi che i controlli cloud monitorino. Le applicazioni nei progetti host o in un perimetro di un singolo progetto non sono supportate.

Considera quanto segue:

Esamina le informazioni per ogni controllo cloud di sicurezza dei dati avanzato per conoscere le limitazioni.

Completa le attività per ogni regola, come descritto nella tabella seguente.

Regola	Configurazione aggiuntiva
Controllo cloud di governance degli accessi ai dati	Abilita gli audit log di accesso ai dati per Cloud Storage e Agent Platform (se applicabile nel tuo ambiente). Imposta il tipo di autorizzazione di accesso ai dati su `DATA_READ`. Abilita i log di accesso ai dati a livello di organizzazione o di progetto, a seconda di dove applichi il controllo cloud di governance degli accessi ai dati. Verifica che solo le entità autorizzate siano esenti dall'audit logging. Le entità esenti dall'audit logging sono esenti anche da DSPM. Aggiungi una o più entità consentite (fino a un massimo di 200 entità) utilizzando uno dei seguenti formati: Per un utente, `principal://goog/subject/USER_EMAIL_ADDRESS` Esempio: `principal://goog/subject/alex@example.com` Per un gruppo, `principalSet://goog/group/GROUP_EMAIL_ADDRESS` Esempio: `principalSet://goog/group/my-group@example.com`
Controllo cloud di governance del flusso di dati	Abilita gli audit log di accesso ai dati per Cloud Storage e Agent Platform (se applicabile nel tuo ambiente). Imposta il tipo di autorizzazione di accesso ai dati su `DATA_READ`. Abilita i log di accesso ai dati a livello di organizzazione o di progetto, a seconda di dove applichi il controllo cloud di governance degli accessi ai dati. Verifica che solo le entità autorizzate siano esenti dall'audit logging. Le entità esenti dall'audit logging sono esenti anche da DSPM. Specifica i paesi consentiti utilizzando i codici paese definiti nel Common Locale Data Repository (CLDR) di Unicode.
Controllo cloud per la protezione dei dati e la governance delle chiavi	Abilita CMEK in BigQuery e Agent Platform.
Controlli cloud per l'eliminazione dei dati	Imposta i periodi di conservazione. Ad esempio, per impostare un periodo di conservazione di 90 giorni in secondi, imposta il periodo di conservazione su `777600`.