Google은 AI 기술을 사용하여 콘텐츠를 사용자의 기본 언어로 번역합니다. AI 번역에는 오류가 있을 수 있습니다.

데이터 보안 상황 관리 사용

이 문서에서는 데이터 보안 상황 관리(DSPM)를 사용하는 방법을 설명합니다.

Security Command Center Standard 등급을 사용하는 경우 제한된 DSPM 기능을 사용할 수 있습니다.

DSPM 사용 설정

DSPM이 종료되므로 아직 DSPM을 사용하지 않는 조직에서는 더 이상 DSPM을 사용 설정할 수 없습니다. 조직에 DSPM이 이미 사용 설정되어 있으면 종료 날짜까지 계속 사용할 수 있으며 이 문서의 정보가 계속 적용됩니다.

Security Command Center 등급에 대한 자세한 내용은 Security Command Center 서비스 등급을 참조하세요.

DSPM으로 추가 리소스를 보호하려면 해당 리소스에 대해 탐색을 사용 설정합니다(프리미엄 및 엔터프라이즈 등급만 해당).

조직에 DSPM이 사용 설정되면 다음 서비스도 사용 설정됩니다(프리미엄 및 엔터프라이즈 등급만 해당).

규정 준수 관리자: 데이터 보안 프레임워크와 클라우드 제어를 만들고, 적용하고, 관리합니다.
Sensitive Data Protection을 사용하여 기본 데이터 위험 평가에 데이터 민감도 신호를 사용합니다.
조직 수준에서 Event Threat Detection(Security Command Center의 일부)을 사용하여 데이터 액세스 거버넌스 클라우드 제어 및 데이터 흐름 거버넌스 클라우드 제어를 사용합니다.
AI 워크로드의 수명 주기를 보호하는 데 도움이 되는 AI 보호(Security Command Center Enterprise 등급만 해당)

데이터 보안 및 개인 정보 보호 기본 프레임워크가 조직에 자동으로 적용되었습니다(프리미엄 및 Enterprise 등급만 해당).

(프리미엄 및 엔터프라이즈 등급만 해당) DSPM 서비스 에이전트(service-org-ORGANIZATION_ID@gcp-sa-dspm-hpsa.)는 DSPM이 사용 설정되었을 때 생성되었습니다.

DSPM Identity and Access Management 역할에 대한 자세한 내용은 조직 수준 활성화를 위한 Identity and Access Management를 참조하세요.

프리미엄 또는 Enterprise 등급에서 표준 등급으로 다운그레이드

프리미엄 또는 Enterprise 등급에서 표준 등급으로 다운그레이드하면 DSPM 기능이 다음과 같이 영향을 받습니다.

프레임워크 삭제: 프리미엄 또는 엔터프라이즈 기능에 종속된 배포된 DSPM 프레임워크가 삭제됩니다.
기능 액세스 권한 상실: 고급 데이터 보안 제어 및 맞춤 데이터 프레임워크에 액세스할 수 없게 됩니다.
기본으로 되돌리기: DSPM은 Security Essentials 프레임워크에 포함된 기본 데이터 보안 검사를 사용합니다.
발견 항목이 비활성 상태가 됨: 이전에 프리미엄 또는 엔터프라이즈 등급 프레임워크에서 생성된 모든 발견 항목이 비활성 상태가 됩니다. 보안 필수사항 프레임워크의 발견 항목만 계속 사용할 수 있습니다.

Standard 등급으로 다운그레이드한 후 Premium 또는 Enterprise 등급으로 다시 업그레이드하면 다운그레이드 중에 삭제된 프레임워크 배포를 자동으로 복구할 수 없습니다. 이러한 프레임워크를 수동으로 다시 배포하고 연결된 구성을 다시 빌드해야 합니다.

VPC 서비스 제어 경계에 대한 DSPM 지원

VPC 서비스 제어 경계가 포함된 조직에서 DSPM을 사용 설정할 때는 다음 사항을 고려하세요.

Security Command Center의 제한사항을 검토합니다.
모든 리소스가 조직 수준에 있으므로 경계를 사용하여 DSPM 리소스를 보호할 수 없습니다. DSPM 권한을 관리하려면 IAM을 사용합니다.
DSPM은 조직 수준에서 사용 설정되므로 서비스 경계 내의 데이터 위험 및 위반을 감지할 수 없습니다. 액세스를 허용하려면 다음을 완료하세요.
1. 조직 수준에서 VPC 서비스 제어를 구성하는 데 필요한 역할이 있는지 확인합니다.
2. 다음 인그레스 규칙을 구성합니다.
```
- ingressFrom:
  identities:
  - serviceAccount: DSPM_SA_EMAIL_ADDRESS
  sources:
      - accessLevel: "*"
  ingressTo:
    operations: "*"
    resources: "*"
```
DSPM_SA_EMAIL_ADDRESS을 DSPM 서비스 에이전트의 이메일 주소(service-org-ORGANIZATION_ID@gcp-sa-dspm-hpsa.)로 바꿉니다.

서비스 에이전트에 필요한 IAM 역할은 DSPM을 사용 설정할 때 부여되며 서비스 에이전트가 수행할 수 있는 작업을 결정합니다.

인그레스 규칙에 대한 자세한 내용은 인그레스 및 이그레스 정책 구성을 참조하세요.

커스텀 데이터 보안 프레임워크 만들기

필요한 경우 데이터 보안 및 개인 정보 보호 기본 프레임워크를 복사하고 데이터 보안 및 규정 준수 요구사항에 맞게 맞춤설정합니다. 자세한 내용은 프레임워크 적용을 참조하세요.

고급 데이터 보안 클라우드 제어 배포

필요한 경우 고급 데이터 보안 클라우드 제어를 커스텀 프레임워크에 추가합니다. 이러한 제어를 배포하려면 먼저 추가 구성이 필요합니다. 클라우드 제어 및 프레임워크를 배포하는 방법은 프레임워크 적용을 참조하세요.

고급 데이터 보안 클라우드 제어가 포함된 프레임워크를 조직, 폴더, 프로젝트, 애플리케이션 관리를 위해 구성된 폴더의 App Hub 애플리케이션에 배포할 수 있습니다. 애플리케이션에 고급 데이터 보안 클라우드 제어를 배포하려면 프레임워크에 이러한 제어만 포함할 수 있습니다. 클라우드 제어에서 모니터링할 앱 지원 폴더와 애플리케이션을 선택해야 합니다. 호스트 프로젝트 또는 단일 프로젝트 경계의 애플리케이션은 지원되지 않습니다.

다음 사항을 고려하세요.

각 고급 데이터 보안 클라우드 제어의 제한사항을 검토합니다.

다음 표에 설명된 대로 각 규칙의 작업을 완료합니다.

규칙	추가 구성
데이터 액세스 거버넌스 클라우드 제어	Cloud Storage 및 Agent Platform(환경에 해당하는 경우)에 대해 데이터 액세스 감사 로그를 사용 설정합니다. 데이터 액세스 권한 유형을 `DATA_READ`로 설정합니다. 데이터 액세스 거버넌스 클라우드 제어를 적용하는 위치에 따라 조직 수준 또는 프로젝트 수준에서 데이터 액세스 로그를 사용 설정합니다. 승인된 보안 주체만 감사 로그에서 제외되는지 확인합니다. 감사 로깅에서 제외된 주 구성원은 DSPM에서도 제외됩니다. 다음 형식 중 하나를 사용하여 허용되는 주 구성원을 하나 이상(최대 200개) 추가합니다. 사용자(`principal://goog/subject/USER_EMAIL_ADDRESS`)의 경우 예: `principal://goog/subject/alex@example.com` 그룹의 경우 `principalSet://goog/group/GROUP_EMAIL_ADDRESS` 예: `principalSet://goog/group/my-group@example.com`
데이터 흐름 거버넌스 클라우드 제어	Cloud Storage 및 Agent Platform(환경에 해당하는 경우)에 대해 데이터 액세스 감사 로그를 사용 설정합니다. 데이터 액세스 권한 유형을 `DATA_READ`로 설정합니다. 데이터 액세스 거버넌스 클라우드 제어를 적용하는 위치에 따라 조직 수준 또는 프로젝트 수준에서 데이터 액세스 로그를 사용 설정합니다. 승인된 주 구성원만 감사 로깅에서 제외되는지 확인합니다. 감사 로깅에서 제외된 주 구성원은 DSPM에서도 제외됩니다. 유니코드 Common Locale Data Repository(CLDR)에 정의된 국가 코드를 사용하여 허용되는 국가를 지정합니다.
데이터 보호 및 키 거버넌스 클라우드 제어	BigQuery 및 Agent Platform에서 CMEK를 사용 설정합니다.
데이터 삭제 클라우드 제어	보관 기간을 설정합니다. 예를 들어 90일 보관 기간을 초 단위로 설정하려면 보관 기간을 `777600`로 설정합니다.