O Google usa tecnologia de IA na tradução de conteúdos para seu idioma de preferência. As traduções com IA podem ter erros.

Usar o gerenciamento da postura de segurança de dados

Neste documento, descrevemos como usar o Gerenciamento de Postura de Segurança de Dados (DSPM).

Se você estiver no nível Standard do Security Command Center, recursos limitados de DSPM vão estar disponíveis.

Ativação do DSPM

Como o DSPM está sendo desativado, não é mais possível ativá-lo em uma organização que ainda não o utiliza. Se o DSPM já estiver ativado para sua organização, ele vai permanecer disponível até a data de desativação, e as informações neste documento vão continuar sendo válidas.

Para mais informações sobre os níveis do Security Command Center, consulte Níveis de serviço do Security Command Center.

Para proteger outros recursos com o DSPM, ative a descoberta para esses recursos (somente nos níveis Premium e Enterprise).

Quando o DSPM foi ativado para sua organização, os seguintes serviços também foram ativados (somente nos níveis Premium e Enterprise):

Compliance Manager para criar, aplicar e gerenciar frameworks de segurança de dados e controles de nuvem.
Proteção de Dados Sensíveis para usar indicadores de sensibilidade de dados na avaliação de risco de dados padrão.
Event Threat Detection (parte do Security Command Center) no nível da organização para usar o controle de nuvem de governança de acesso a dados e o controle de nuvem de governança de fluxo de dados.
Proteção de IA para ajudar a proteger o ciclo de vida das cargas de trabalho de IA (somente no nível Security Command Center Enterprise).

O framework de fundamentos de segurança e privacidade de dados foi aplicado à organização automaticamente (somente nos níveis Premium e Enterprise).

(Somente nos níveis Premium e Enterprise) O agente de serviço do DSPM (service-org-ORGANIZATION_ID@gcp-sa-dspm-hpsa.) foi criado quando o DSPM foi ativado.

Para informações sobre os papéis do Identity and Access Management da DSPM, consulte Identity and Access Management para ativações no nível da organização.

Fazer downgrade dos níveis Premium ou Enterprise para o nível Standard

Quando você faz downgrade do nível Premium ou Enterprise para o nível Standard, seus recursos de DSPM são afetados da seguinte maneira:

Frameworks removidos: os frameworks de DSPM implantados que dependem de recursos Premium ou Enterprise são removidos.
Perda de acesso aos recursos: você perde o acesso aos controles avançados de segurança de dados e aos frameworks de dados personalizados.
Reverte para o básico: o DSPM usa as verificações básicas de segurança de dados incluídas no framework do Security Essentials.
As descobertas ficam inativas: todas as descobertas geradas anteriormente pelos frameworks de nível Premium ou Enterprise ficam inativas. As únicas descobertas que permanecem disponíveis são as do framework de princípios básicos de privacidade e segurança de dados.

Se você fizer upgrade de volta para o nível Premium ou Enterprise depois de fazer downgrade para o nível Standard, as implantações de framework removidas durante o downgrade não poderão ser recuperadas automaticamente. É necessário reimplantar manualmente esses frameworks e recriar as configurações associadas.

Suporte do DSPM para perímetros do VPC Service Controls

Ao ativar o DSPM em uma organização que inclui perímetros do VPC Service Controls, considere o seguinte:

Analise as limitações do Security Command Center.
Não é possível usar um perímetro para proteger recursos do DSPM, porque todos os recursos estão no nível da organização. Para gerenciar as permissões de DSPM, use o IAM.
Como o DSPM é ativado no nível da organização, ele não pode detectar riscos e violações de dados em um perímetro de serviço. Para permitir o acesso, faça o seguinte:
1. Verifique se você tem os papéis necessários para configurar o VPC Service Controls no nível da organização.
2. Configure a seguinte regra de entrada:
```
- ingressFrom:
  identities:
  - serviceAccount: DSPM_SA_EMAIL_ADDRESS
  sources:
      - accessLevel: "*"
  ingressTo:
    operations: "*"
    resources: "*"
```
Substitua DSPM_SA_EMAIL_ADDRESS pelo endereço de e-mail do agente de serviço do DSPM (service-org-ORGANIZATION_ID@gcp-sa-dspm-hpsa.).

Os papéis do IAM necessários para o agente de serviço são concedidos quando você ativa a DSPM e determinam quais operações o agente de serviço pode realizar.

Para mais informações sobre regras de entrada, consulte Como configurar políticas de entrada e saída.

Criar frameworks personalizados de segurança de dados

Se necessário, copie o framework de princípios básicos de segurança e privacidade de dados e personalize-o para atender aos requisitos de segurança e compliance de dados. Para instruções, consulte Aplicar um framework.

Implantar controles avançados de segurança de dados na nuvem

Se necessário, adicione os controles de nuvem de segurança de dados avançada a frameworks personalizados. Esses controles exigem configuração adicional antes de serem implantados. Para instruções sobre como implantar controles e frameworks de nuvem, consulte Aplicar um framework.

É possível implantar frameworks que incluem controles avançados de segurança de dados na nuvem para sua organização, pastas, projetos e aplicativos do App Hub em pastas configuradas para gerenciamento de aplicativos. Para implantar os controles avançados de segurança de dados na nuvem em aplicativos, o framework só pode incluir esses controles. Selecione a pasta habilitada para apps e o aplicativo que você quer que os controles de nuvem monitorem. Não há suporte para aplicativos em projetos host ou em um limite de projeto único.

Considere o seguinte:

Consulte as informações de cada controle de nuvem de segurança de dados avançado para saber mais sobre as limitações.

Conclua as tarefas de cada regra, conforme descrito na tabela a seguir.

Regra	Configurações avançadas
Controle da nuvem de governança de acesso aos dados	Ative os registros de auditoria de acesso a dados para o Cloud Storage e a Agent Platform (quando aplicável ao seu ambiente). Defina o tipo de permissão de acesso aos dados como `DATA_READ`. Ative os registros de acesso aos dados no nível da organização ou do projeto, dependendo de onde você aplica o controle de nuvem de governança de acesso aos dados. Verifique se apenas os principais autorizados estão isentos da geração de registros de auditoria. Os principais isentos da geração de registros de auditoria também estão isentos do DSPM. Adicione um ou mais principais permitidos (até um máximo de 200 principais) usando um dos seguintes formatos: Para um usuário, `principal://goog/subject/USER_EMAIL_ADDRESS` Exemplo: `principal://goog/subject/alex@example.com` Para um grupo, `principalSet://goog/group/GROUP_EMAIL_ADDRESS` Exemplo: `principalSet://goog/group/my-group@example.com`
Controle de nuvem de governança de fluxo de dados	Ative os registros de auditoria de acesso a dados para o Cloud Storage e a Agent Platform (quando aplicável ao seu ambiente). Defina o tipo de permissão de acesso aos dados como `DATA_READ`. Ative os registros de acesso aos dados no nível da organização ou do projeto, dependendo de onde você aplica o controle de nuvem de governança de acesso aos dados. Verifique se apenas os principais autorizados estão isentos da geração de registros de auditoria. Os principais isentos da geração de registros de auditoria também estão isentos do DSPM. Especifique os países permitidos usando os códigos de país definidos no Unicode Common Locale Data Repository (CLDR).
Proteção de dados e controle de nuvem de governança de chaves	Ative a CMEK no BigQuery e na Agent Platform.
Controles de exclusão de dados na nuvem	Defina os períodos de retenção. Por exemplo, para definir um período de armazenamento de 90 dias em segundos, defina o período como `777600`.