Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

使用資料安全防護機制管理

本文說明如何使用 Data Security Posture Management (DSPM)。

如果您使用的是 Security Command Center Standard 級別，則可使用部分 DSPM 功能。

啟用 DSPM

DSPM 即將停用，因此您無法再為尚未使用的組織啟用 DSPM。如果貴組織已啟用 DSPM，則在停用日期前仍可使用，且本文中的資訊仍適用。

如要進一步瞭解 Security Command Center 級別，請參閱「Security Command Center 服務級別」。

如要使用 DSPM 保護其他資源，請啟用這些資源的探索功能 (僅限 Premium 和 Enterprise 級)。

為組織啟用 DSPM 時，下列服務也會一併啟用 (僅限 Premium 和 Enterprise 方案)：

法規遵循管理工具：建立、套用及管理資料安全性架構和雲端控制項。
Sensitive Data Protection：使用資料敏感度信號，進行預設資料風險評估。
在組織層級啟用 Event Threat Detection (Security Command Center 的一部分)，以便使用資料存取權管理雲端控管機制和資料流程管理雲端控管機制。
AI Protection：協助保護 AI 工作負載的生命週期 (僅限 Security Command Center Enterprise 級)。

資料安全性與隱私權基本架構已自動套用至組織 (僅限 Premium 和 Enterprise 級別)。

(僅限 Premium 和 Enterprise 級別) 啟用 DSPM 時，系統會建立 DSPM 服務代理 (service-org-ORGANIZATION_ID@gcp-sa-dspm-hpsa.)。

如要瞭解 DSPM Identity and Access Management 角色，請參閱「組織層級啟用的 Identity and Access Management」。

從 Premium 或 Enterprise 級降級至 Standard 級

從 Premium 或 Enterprise 級別降級至標準級別時，DSPM 功能會受到下列影響：

移除架構：移除已部署且依賴 Premium 或 Enterprise 功能的 DSPM 架構。
無法使用功能：您無法使用進階資料安全性控制項和自訂資料架構。
還原為基本：DSPM 會使用 Security Essentials 架構中的基本資料安全性檢查。
發現項目會變成無效：先前由 Premium 或 Enterprise 級架構產生的所有發現項目都會變成無效。只有 Security Essentials 架構的發現項目會保留。

如果降級至 Standard 級後，又升級回 Premium 或 Enterprise 級，降級期間移除的架構部署作業無法自動復原。您必須手動重新部署這些架構，並重新建立相關聯的設定。

DSPM 支援 VPC Service Controls 範圍

在包含 VPC Service Controls perimeter 的組織中啟用 DSPM 時，請考量下列事項：

查看 Security Command Center 的限制。
您無法使用 perimeter 保護 DSPM 資源，因為所有資源都位於組織層級。如要管理 DSPM 權限，請使用 IAM。
DSPM 是在組織層級啟用，因此無法偵測 service perimeter 內的資料風險和違規事項。如要允許存取，請完成下列步驟：
1. 確認您具備設定 VPC Service Controls 所需的角色 (組織層級)。
2. 設定下列輸入規則：
```
- ingressFrom:
  identities:
  - serviceAccount: DSPM_SA_EMAIL_ADDRESS
  sources:
      - accessLevel: "*"
  ingressTo:
    operations: "*"
    resources: "*"
```
將 DSPM_SA_EMAIL_ADDRESS 替換為 DSPM 服務代理的電子郵件地址 (service-org-ORGANIZATION_ID@gcp-sa-dspm-hpsa.)。

啟用 DSPM 時，系統會授予服務代理必要的 IAM 角色，並決定服務代理可執行的作業。

如要進一步瞭解輸入規則，請參閱「設定輸入和輸出政策」。

建立自訂資料安全性框架

如有需要，請複製資料安全性和隱私權基本架構，並根據資料安全性和法規遵循需求進行自訂。如需操作說明，請參閱「套用架構」。

部署進階資料安全性雲端控管機制

如有需要，請將進階資料安全性雲端控管措施新增至自訂架構。這些控制項需要額外設定才能部署。如要瞭解如何部署雲端控管機制和架構，請參閱「套用架構」。

您可以將包含進階資料安全性雲端控制項的架構，部署至組織、資料夾、專案，以及設為應用程式管理的資料夾中的 App Hub 應用程式。如要針對應用程式部署進階資料安全性雲端控管機制，架構只能包含這些控管機制。您必須選取已啟用應用程式管理功能的資料夾，以及要由雲端控制項監控的應用程式。不支援主專案或單一專案邊界中的應用程式。

請考量下列事項：

請查看各項進階資料安全性雲端控管機制的資訊，瞭解相關限制。

請按照下表說明，完成每項規則的工作。

規則	更多設定
資料存取權管理雲端控管機制	為 Cloud Storage 和 Agent Platform (如果適用於您的環境) 啟用資料存取稽核記錄。將資料存取權限類型設為 `DATA_READ`。視您套用資料存取權管理雲端控管機制的位置而定，在組織層級或專案層級啟用資料存取記錄。確認只有授權主體可豁免稽核記錄。免除稽核記錄的主體也免除 DSPM。新增一或多個允許的主體 (最多 200 個)，並使用下列其中一種格式：使用者：`principal://goog/subject/USER_EMAIL_ADDRESS` 範例：`principal://goog/subject/alex@example.com` 群組：`principalSet://goog/group/GROUP_EMAIL_ADDRESS` 範例：`principalSet://goog/group/my-group@example.com`
資料流治理雲端控管機制	為 Cloud Storage 和 Agent Platform (如果適用於您的環境) 啟用資料存取稽核記錄。將資料存取權限類型設為 `DATA_READ`。視您套用資料存取權管理雲端控管機制的位置而定，在組織層級或專案層級啟用資料存取記錄。確認只有授權主體可豁免稽核記錄。免除稽核記錄的主體也免除 DSPM。請使用萬國碼 (Unicode) 通用語言代碼資料庫 (CLDR) 中定義的國家/地區代碼，指定允許的國家/地區。
資料保護和金鑰管理雲端控管	在 BigQuery 和 Agent Platform 中啟用 CMEK。
資料刪除雲端控制項	設定保留期限。舉例來說，如要以秒為單位設定 90 天的保留期限，請將保留期限設為 `777600`。