De-Identifikation

Sensitive Data Protection verwendet Informationstypen (oder infoTypes), um zu definieren, wonach gescannt werden soll. Ein infoType ist ein Typ sensibler Daten wie Name, E-Mail-Adresse, Telefonnummer, Sozialversicherungsnummer, Kreditkartennummer usw.

Für jeden in Sensitive Data Protection definierten infoType gibt es einen entsprechenden Detektor. Sensitive Data Protection verwendet infoType-Detektoren in der Konfiguration für seine Scans, um zu bestimmen, was geprüft werden soll und wie Ergebnisse transformiert werden sollen. Die infoType-Namen werden auch für die Anzeige von Scanergebnissen oder in entsprechenden Berichten verwendet.

In diesem Thema werden infoTypes und infoType-Detektoren im Detail beschrieben. Außerdem finden Sie hier eine Anleitung zur Verwendung von infoType-Detektoren beim Scannen von Inhalten auf sensible Daten mit Sensitive Data Protection.

Wann sollte die De-Identifikation verwendet werden?

Im Folgenden sind einige gängige Anwendungsfälle aufgeführt:

  • Daten an externe Analysepartner weitergeben: Tokenisieren oder pseudonymisieren Sie direkte Kennungen (z. B. Namen, Personenkennzeichen und Kontonummern), damit Drittanbieter und Forscher Datasets analysieren können, ohne auf personenbezogene Daten im Klartext zuzugreifen.
  • Produktions-Datasets in Nicht-Produktionsumgebungen bereitstellen: Maskieren oder generalisieren Sie vertrauliche Kundenattribute, bevor Sie Produktionsdatenbanken in Entwicklungs-, Test- oder Trainingsumgebungen replizieren.
  • Gesetzliche Datenschutzanforderungen einhalten: Verschleiern Sie vertrauliche personenidentifizierbare Informationen (PII) und geschützte Gesundheitsdaten (PHI) in BigQuery- und Cloud Storage-Repositories, um Compliance-Standards wie die DSGVO und HIPAA zu erfüllen.
  • Sensible Felder in Streaming-Ereignispipelines bereinigen: Sensible Datensätze in Echtzeit transformieren, während Ereignisse durch Pub/Sub fließen, bevor Daten in nachgelagerten Warehouses oder Anwendungsdatenbanken gespeichert werden.
  • Referenzielle Integrität über relationale Datasets hinweg aufrechterhalten: Verwenden Sie deterministische kryptografische Transformationen, um sichere Joins und tabellenübergreifende Analysen über verschiedene Systeme hinweg zu ermöglichen, ohne die zugrunde liegenden Kennungen offenzulegen.

infoType-Detektoren angeben

Wenn Sie Sensitive Data Protection zum Scannen Ihrer Inhalte einrichten, fügen Sie die infoType-Detektoren hinzu, die in der Scankonfiguration verwendet werden sollen.

Das folgende JSON-Beispiel zeigt eine einfache Scananfrage an die DLP API. Beachten Sie, dass der Detektor PHONE_NUMBER in inspectConfig angegeben ist. Dadurch wird Sensitive Data Protection angewiesen, den angegebenen String nach einer Telefonnummer zu durchsuchen.

POST https://dlp.googleapis.com/v2/projects/[PROJECT_ID]/content:inspect?key={YOUR_API_KEY}

{
  "item":{
    "value":"My phone number is (415) 555-0890"
  },
  "inspectConfig":{
    "includeQuote":true,
    "minLikelihood":"POSSIBLE",
    "infoTypes":{
      "name":"PHONE_NUMBER"
    }
  }
}

Die vorhergehende Anfrage liefert Folgendes:

{
  "result":{
    "findings":[
      {
        "quote":"(415) 555-0890",
        "infoType":{
          "name":"PHONE_NUMBER"
        },
        "likelihood":"VERY_LIKELY",
        "location":{
          "byteRange":{
            "start":"19",
            "end":"33"
          },
          "codepointRange":{
            "start":"19",
            "end":"33"
          }
        },
        "createTime":"2018-10-29T23:46:34.535Z"
      }
    ]
  }
}

Geben Sie in Ihrer Scankonfiguration immer infoTypes an. Wenn Sie keine infoTypes angeben, verwendet Sensitive Data Protection eine Standardliste mit infoTypes. Je nach Menge der zu scannenden Inhalte kann das Scannen nach Standard-infoTypes zu zeitaufwendig oder teuer sein.

Weitere Informationen zur Verwendung von infoType-Detektoren zum Scannen von Inhalten finden Sie in den Anleitungen zu den Themen Prüfung, Entfernung und De-Identifikation.

Arten von infoType-Detektoren

Detektoren für Informationstypen (oder „infoTypes“) sind die Mechanismen, die Sensitive Data Protection verwendet, um sensible Daten zu finden.

Sensitive Data Protection umfasst verschiedene Arten von infoType-Detektoren, die hier zusammengefasst sind:

  • Integrierte infoType-Detektoren sind in Sensitive Data Protection integriert. Sie enthalten Detektoren für länder- oder regionsspezifische sensible Datentypen sowie global anwendbare Datentypen.
  • Benutzerdefinierte infoType-Detektoren sind Detektoren, die Sie selbst erstellen. Es gibt drei Arten von benutzerdefinierten infoType-Detektoren:
    • Reguläre benutzerdefinierte Wörterbuchdetektoren sind einfache Wortlisten, die von Sensitive Data Protection abgeglichen werden. Verwenden Sie reguläre benutzerdefinierte Wörterbuchdetektoren, wenn Sie eine Liste von einigen Zehntausend Wörtern oder Wortgruppen haben. Reguläre benutzerdefinierte Wörterbuchdetektoren werden bevorzugt verwendet, wenn davon auszugehen ist, dass sich die Wortliste nicht wesentlich ändern wird.
    • Gespeicherte Detektoren für benutzerdefinierte Wörterbücher werden von Sensitive Data Protection mithilfe großer Listen von Wörtern oder Wortgruppen generiert, die entweder in Cloud Storage oder BigQuery gespeichert sind. Verwenden Sie gespeicherte benutzerdefinierte Wörterbuchdetektoren, wenn Sie eine umfangreiche Liste von Wörtern oder Wortgruppen haben (bis zu mehreren zehn Millionen).
    • Mit Detektoren für reguläre Ausdrücke (Regex) kann Sensitive Data Protection Übereinstimmungen anhand eines regulären Ausdrucksmusters erkennen.

Wenn Sie die Scanergebnisse verfeinern möchten, können Sie Prüfregeln erstellen.

Integrierte infoType-Detektoren

In Sensitive Data Protection sind vordefinierte InfoType-Detektoren integriert, darunter Detektoren für länderspezifische oder regionsspezifische sensible Datentypen wie die französische Numéro d'Inscription au Répertoire (NIR) (FRANCE_NIR), die Führerscheinnummer des Vereinigten Königreichs (UK_DRIVERS_LICENSE_NUMBER) und die US-amerikanische Sozialversicherungsnummer (US_SOCIAL_SECURITY_NUMBER). Sie enthalten auch global anwendbare Datentypen wie einen Personennamen (PERSON_NAME), Telefonnummern (PHONE_NUMBER), E-Mail-Adressen (EMAIL_ADDRESS) und Kreditkartennummern (CREDIT_CARD_NUMBER). Zum Erkennen von Inhalten, die InfoTypes entsprechen, nutzt Sensitive Data Protection verschiedene Techniken, darunter Musterabgleich, Prüfsummen, maschinelles Lernen, Kontextanalyse und andere.

Die Liste der integrierten infoType-Detektoren wird kontinuierlich aktualisiert. Eine vollständige Liste der derzeit unterstützten integrierten infoType-Detektoren finden Sie in der InfoType-Detektorreferenz.

Sie können auch eine vollständige Liste aller integrierten infoType-Detektoren aufrufen, indem Sie die Methode infoTypes.list von Sensitive Data Protection aufrufen.

Benutzerdefinierte infoType-Detektoren

Es gibt drei Arten von benutzerdefinierten infoType-Detektoren:

Wenn Sie die Scanergebnisse verfeinern möchten, können Sie Prüfregeln erstellen.

Reguläre benutzerdefinierte Wörterbuchdetektoren

Verwenden Sie reguläre benutzerdefinierte Wörterbuchdetektoren, wenn Sie Inhalte mit kürzeren Listen von Wörtern oder Wortgruppen (bis zu mehreren Zehntausend) auf Übereinstimmungen prüfen möchten. Ein reguläres benutzerdefiniertes Wörterbuch kann als eigener eindeutiger Detektor verwendet werden.

Benutzerdefinierte Wörterbuchdetektoren sind nützlich, wenn Sie Inhalte auf Übereinstimmungen mit einer Liste von Wörtern oder Ausdrücken prüfen möchten, die mit einem regulären Ausdruck oder einem integrierten Detektor nicht leicht gefunden werden können. Nehmen Sie zum Beispiel an, Sie möchten nach Konferenzräumen suchen, die nicht mit Raumnummern gekennzeichnet, sondern nach Namen von Ländern oder Regionen, Sehenswürdigkeiten oder fiktiven Figuren benannt sind. Hier können Sie einen regulären benutzerdefinierten Wörterbuchdetektor erstellen, der eine Liste dieser Raumnamen enthält. Sensitive Data Protection kann Ihre Inhalte nach jedem der Raumnamen scannen und eine Übereinstimmung zurückgeben, wenn einer davon im Kontext gefunden wird. Weitere Informationen dazu, wie Sensitive Data Protection Wörter und Wortgruppen aus Wörterbüchern abgleicht, finden Sie im Abschnitt Besonderheiten beim Wörterbuchabgleich unter Regulären benutzerdefinierten Wörterbuchdetektor erstellen.

Weitere Informationen zur Funktionsweise von benutzerdefinierten infoType-Detektoren für reguläre Wörterbücher sowie Beispiele finden Sie unter Benutzerdefinierten Detektor für reguläre Wörterbücher erstellen.

Gespeicherte benutzerdefinierte Wörterbuchdetektoren

Verwenden Sie gespeicherte benutzerdefinierte Wörterbuchdetektoren, wenn Sie Inhalte auf sehr viele Wörter oder Wortgruppen prüfen möchten oder wenn sich diese Wörter oder Wortgruppen häufig ändern. Gespeicherte benutzerdefinierte Wörterbuchdetektoren können Dutzende Millionen von Wörtern oder Wortgruppen abgleichen.

Da gespeicherte benutzerdefinierte Wörterbuchdetektoren sehr umfangreich sind, werden sie anders erstellt als benutzerdefinierte Detektoren für reguläre Ausdrücke und reguläre benutzerdefinierte Detektoren. Jedes gespeicherte benutzerdefinierte Wörterbuch enthält zwei Komponenten:

  • Eine Liste von Wortgruppen, die Sie erstellen und definieren. Die Liste wird entweder als Textdatei in Cloud Storage oder als Spalte in einer BigQuery-Tabelle gespeichert.
  • Die generierten Wörterbuchdateien, die von Sensitive Data Protection auf Grundlage Ihrer Wortgruppenliste erstellt werden. Die Wörterbuchdateien werden in Cloud Storage gespeichert und bestehen aus einer Kopie der Quellwortgruppen sowie Bloomfiltern, die beim Suchen und Abgleichen helfen. Sie können diese Dateien nicht direkt bearbeiten.

Nachdem Sie eine Wortliste erstellt und dann mit Sensitive Data Protection ein benutzerdefiniertes Wörterbuch generiert haben, initiieren oder planen Sie einen Scan mit einem gespeicherten benutzerdefinierten Wörterbuchdetektor auf ähnliche Weise wie andere infoType-Detektoren.

Weitere Informationen zur Funktionsweise von Detektoren für gespeicherte benutzerdefinierte Wörterbücher sowie Beispiele finden Sie unter Detektor für gespeicherte benutzerdefinierte Wörterbücher erstellen.

Reguläre Ausdrücke

Mit einem benutzerdefinierten infoType-Detektor für reguläre Ausdrücke (Regex) können Sie eigene infoType-Detektoren erstellen, mit denen Sensitive Data Protection Übereinstimmungen anhand eines Regex-Musters erkennen kann. Nehmen Sie beispielsweise an, Sie haben Krankenaktennummern im Format ###-#-#####. Sie könnten ein Regex-Muster wie das Folgende definieren:

[1-9]{3}-[1-9]{1}-[1-9]{5}

Sensitive Data Protection würde dann Elemente wie diese abgleichen:

123-4-56789

Außerdem können Sie jeder benutzerdefinierten infoType-Übereinstimmung eine Wahrscheinlichkeit zuweisen. Das heißt, wenn Sensitive Data Protection die von Ihnen angegebene Sequenz findet, wird die von Ihnen angegebene Wahrscheinlichkeit zugewiesen. Das ist nützlich, weil Sie nicht möchten, dass Sensitive Data Protection jede Übereinstimmung als VERY_LIKELY kennzeichnet, wenn Ihr benutzerdefinierter regulärer Ausdruck eine Sequenz definiert, die so häufig vorkommt, dass sie leicht mit einer anderen zufälligen Sequenz übereinstimmen könnte. Dies würde nämlich die Zuverlässigkeit der Scanergebnisse beeinträchtigen und möglicherweise dazu führen, dass die falsche Information de-identifiziert wird.

Weitere Informationen zu benutzerdefinierten infoType-Detektoren für reguläre Ausdrücke und zu ihrer Verwendung finden Sie unter Benutzerdefinierten Regex-Detektor erstellen.