Desidentificación

Sensitive Data Protection usa tipos de información, o infotipos, para definir qué busca. Un Infotipo es un tipo de dato sensible, como un nombre, una dirección de correo electrónico, un número de teléfono, un número de identificación, un número de tarjeta de crédito, etcétera.

Nota: Si buscas una lista actualizada de todos los detectores de Infotipo integrados, consulta Referencia del detector de Infotipo.

Cada infotipo definido en Sensitive Data Protection tiene un detector correspondiente. Sensitive Data Protection usa detectores de Infotipo en la configuración de sus análisis para determinar qué inspeccionar y cómo transformar los hallazgos. Los nombres de Infotipo también se usan cuando se muestran o informan los resultados de análisis.

En este tema, se describen en detalle los infotipos y los detectores de Infotipo, y se proporcionan orientaciones sobre cómo usar los detectores de Infotipo cuando se analiza el contenido en busca de datos sensibles con Sensitive Data Protection.

Cuándo usar la desidentificación

A continuación, se muestran algunos casos de uso comunes:

• Comparte datos con socios de análisis externos: Asigna un token o seudonimiza los identificadores directos (como nombres, IDs nacionales y números de cuenta) para que los socios externos y los investigadores puedan analizar conjuntos de datos sin acceder a la identidad personal en texto simple.
• Almacena conjuntos de datos de producción en entornos que no sean de producción: Enmascara o generaliza los atributos sensibles de los clientes antes de replicar las bases de datos de producción en entornos de desarrollo, prueba o entrenamiento.
• Cumple con los mandatos regulatorios de privacidad: Ofusca la información de identificación personal (IIP) sensible y la información de salud protegida (PHI) en los repositorios de BigQuery y Cloud Storage para cumplir con los estándares de cumplimiento, como el RGPD y la HIPAA.
• Limpia los campos sensibles en las canalizaciones de eventos de transmisión: Transforma los registros sensibles en tiempo real a medida que los eventos fluyen a través de Pub/Sub antes de conservar los datos en almacenes o bases de datos de aplicaciones descendentes.
• Mantén la integridad referencial en los conjuntos de datos relacionales: Usa transformaciones criptográficas determinísticas para permitir uniones seguras y análisis de tablas cruzadas en distintos sistemas sin exponer los identificadores subyacentes.

Especifica los detectores de Infotipo

Cuando configuras Sensitive Data Protection para que analice tu contenido, incluyes los detectores de Infotipo que se usarán en la configuración del análisis.

Por ejemplo, el siguiente JSON muestra una solicitud de análisis simple a la API de DLP. Observa que el detector PHONE_NUMBER se especifica en inspectConfig, lo que indica a Sensitive Data Protection que analice la cadena dada en busca de un número de teléfono.

POST https://dlp.googleapis.com/v2/projects/[PROJECT_ID]/content:inspect?key={YOUR_API_KEY}

{
  "item":{
    "value":"My phone number is [phone]"
  },
  "inspectConfig":{
    "includeQuote":true,
    "minLikelihood":"POSSIBLE",
    "infoTypes":{
      "name":"PHONE_NUMBER"
    }
  }
}

La solicitud anterior muestra lo siguiente:

{
  "result":{
    "findings":[
      {
        "quote":"[phone]",
        "infoType":{
          "name":"PHONE_NUMBER"
        },
        "likelihood":"VERY_LIKELY",
        "location":{
          "byteRange":{
            "start":"19",
            "end":"33"
          },
          "codepointRange":{
            "start":"19",
            "end":"33"
          }
        },
        "createTime":"2018-10-29T23:46:34.535Z"
      }
    ]
  }
}

Especifica siempre Infotipos en la configuración de tu análisis. Si no especificas ningún infotipo, Sensitive Data Protection usa una lista de infotipos predeterminada. Según la cantidad de contenido para analizar, buscar Infotipos predeterminados puede llevar mucho tiempo o ser demasiado costoso.

Si quieres obtener más información sobre cómo usar los detectores de Infotipos para analizar tu contenido, consulta uno de los temas prácticos sobre análisis, ocultamiento o desidentificación.

Tipos de detectores de Infotipos

Los detectores de tipos de información (o "Infotipo") son los mecanismos que usa Sensitive Data Protection para encontrar datos sensibles.

Sensitive Data Protection incluye varios tipos de detectores de Infotipo, todos los cuales se resumen aquí:

• Los detectores de Infotipo integrados se integran en Sensitive Data Protection. Incluyen detectores para tipos de datos sensibles específicos de un país o una región, así como tipos de datos aplicables a nivel global.
• Los detectores de Infotipos personalizados son detectores que creas tú mismo. Existen tres tipos de detectores de Infotipos personalizados:
  • Los detectores de diccionarios personalizados normales son listas de palabras simples con las que Sensitive Data Protection coincide. Usa los detectores de diccionarios personalizados normales cuando tengas una lista de al menos varias decenas de miles de palabras o frases. Se prefieren los detectores de diccionarios personalizados normales si esperas que tu lista de palabras no cambie de forma significativa.
  • Los detectores de diccionarios personalizados almacenados se generan con Sensitive Data Protection a través de listas grandes de palabras o frases almacenadas en Cloud Storage o BigQuery. Usa los detectores de diccionarios personalizados almacenados cuando tengas listas grandes de palabras o frases de hasta decenas de millones.
  • Los detectores de expresiones regulares (regex) permiten que Sensitive Data Protection detecte coincidencias según un patrón de expresión regular.

Para definir mejor los resultados del análisis, puedes crear reglas de inspección.

Detectores de Infotipos incorporados

Los detectores de infoTypes integrados se incluyen en Sensitive Data Protection y abarcan detectores para tipos de datos sensibles específicos de un país o una región, como el Numéro d'Inscription au Répertoire (NIR) (FRANCE_NIR) de Francia, el número de licencia de conducir del Reino Unido (UK_DRIVERS_LICENSE_NUMBER) y el número de seguridad social de EE.UU. (US_SOCIAL_SECURITY_NUMBER). También incluyen tipos de datos aplicables a nivel global, como el nombre de una persona (PERSON_NAME), números de teléfono (PHONE_NUMBER), direcciones de correo electrónico (EMAIL_ADDRESS) y números de tarjetas de crédito (CREDIT_CARD_NUMBER). Para detectar contenido que corresponda a infoTypes, Sensitive Data Protection aprovecha varias técnicas, como la coincidencia de patrones, las sumas de comprobación, el aprendizaje automático, el análisis de contexto y otras.

La lista de detectores de Infotipo incorporados siempre se actualiza. Para obtener una lista completa de los detectores de Infotipos integrados que se admiten por el momento, consulta la Referencia del detector de Infotipos.

También puedes ver una lista completa de todos los detectores de Infotipo integrados llamando al método infoTypes.list de Sensitive Data Protection.

Importante: Los detectores de Infotipo integrados no son un método de detección perfectamente preciso. Por ejemplo, no pueden garantizar el cumplimiento de los requisitos reglamentarios. Debes decidir qué datos son sensibles y cómo protegerlos de la mejor manera. Google recomienda que pruebes la configuración para asegurarte de que cumpla con tus requisitos.

Detectores de Infotipo personalizados

Existen tres tipos de detectores de Infotipos personalizados:

• Detectores de diccionarios personalizados normales
• Detectores de diccionarios personalizados almacenados
• Expresiones regulares (regex)

Para definir mejor los resultados del análisis, puedes crear reglas de inspección.

Detectores de diccionarios personalizados normales

Usa los detectores de diccionarios personalizados normales para hacer coincidir una lista pequeña (hasta varias decenas de miles) de palabras o frases. Un diccionario personalizado normal puede funcionar como su propio detector único.

Los detectores de diccionarios personalizados son útiles cuando deseas analizar en busca de una lista de palabras o frases que no se pueden combinar con facilidad mediante una expresión regular ni un detector incorporado. Por ejemplo, supongamos que deseas analizar en busca de salas de conferencias a las que se suele hacer referencia por los nombres que tienen asignadas en lugar de los números de las salas, como los nombres de estados o regiones, puntos de referencia, personajes de ficción, etcétera. Puedes hacer un detector de diccionario personalizado normal que contenga una lista de estos nombres de salas. Sensitive Data Protection puede analizar tu contenido en busca de cada uno de los nombres de las salas y devolver una coincidencia cuando encuentre uno de ellos en contexto. Obtén más información sobre cómo Sensitive Data Protection hace coincidir las palabras y frases del diccionario en la sección "Detalles de la coincidencia de diccionario" de Crea un detector de diccionario personalizado normal.

Para obtener más detalles sobre cómo funcionan los detectores de Infotipo personalizados de diccionario normal, así como ejemplos prácticos, consulta Crea un detector de diccionario personalizado normal.

Detectores de diccionarios personalizados almacenados

Usa detectores de diccionarios personalizados almacenados cuando tengas más que unas pocas palabras o frases para buscar, o si tu lista de palabras o frases cambia con frecuencia. Los detectores de diccionario personalizados almacenados pueden detectar coincidencias con hasta decenas de millones de palabras o frases.

Los detectores de diccionarios personalizados almacenados, por ser detectores personalizados muy grandes, se crean de manera diferente a los detectores personalizados de expresiones regulares y los detectores de diccionarios personalizados normales. Cada diccionario personalizado almacenado tiene dos componentes:

• Una lista de frases que creas y defines. La lista se almacena como un archivo de texto dentro de Cloud Storage o como una columna en una tabla de BigQuery.
• Los archivos de diccionario generados, que Sensitive Data Protection crea en función de tu lista de frases. Los archivos del diccionario se almacenan en Cloud Storage y se componen de una copia de los datos de la frase fuente más los filtros de Bloom que ayudan en la búsqueda y en la detección de coincidencias. No puedes editar estos archivos directamente.

Una vez que hayas creado una lista de palabras y, luego, hayas usado Sensitive Data Protection para generar un diccionario personalizado, inicia o programa un análisis con un detector de diccionario personalizado almacenado de manera similar a otros detectores de Infotipo.

Para obtener más detalles sobre cómo funcionan los detectores de diccionarios personalizados almacenados, así como ejemplos prácticos, consulta Crea un detector de diccionario personalizado almacenado.

Expresiones regulares

Un detector de Infotipo personalizado de expresión regular (regex) te permite crear tus propios detectores de Infotipo que permiten que Sensitive Data Protection detecte coincidencias según un patrón de regex. Por ejemplo, supongamos que tienes números de historias clínicas con el formato ###-#-#####. Podrías definir un patrón de regex como el siguiente:

[1-9]{3}-[1-9]{1}-[1-9]{5}

Luego, Sensitive Data Protection coincidiría con elementos como este:

123-4-56789

También puedes especificar una probabilidad para asignar a cada coincidencia de Infotipo personalizada. Es decir, cuando Sensitive Data Protection coincida con la secuencia que especifiques, asignará la probabilidad que hayas indicado. Esto es útil porque, si tu regex personalizada define una secuencia que es lo suficientemente común, podría coincidir con facilidad con alguna otra secuencia aleatoria, y no querrás que Sensitive Data Protection etiquete cada coincidencia como VERY_LIKELY. Si eso sucediera, la confianza en los resultados del análisis se vería afectada y podría causar la desidentificación de la información incorrecta.

Para obtener más información sobre los detectores de Infotipo personalizados de expresiones regulares y ver ejemplos prácticos, consulta Crea un detector de regex personalizado.