方法类型

Sensitive Data Protection 包含不同类型的方法，可用于检查、转换（去标识化）、发现和分类数据。使用这些方法，您可以扫描 Google Cloud 内部和外部的数据，并针对不同类型的工作负载优化 Sensitive Data Protection 的行为。

Sensitive Data Protection 提供以下方法类型：

• 内容方法
• 存储方法
• 混合方法
• 发现方法

检查和去标识化方法

本部分介绍了可用于查找并选择性地去标识化与检查配置中列出的信息类型匹配的每条数据的方法。

内容方法

内容方法是同步的无状态方法。要检查或转换的数据将直接在请求中发送到 DLP API。 Sensitive Data Protection 检查发现结果或转换后的数据会在 API 响应中返回。请求数据在传输过程中会加密，并且不会存储。

何时使用内容方法

以下是一些常见使用场景：

• 实时检查用户输入：在将数据存储到数据库之前，在 Web 和移动应用中同步扫描表单字段、聊天消息或提交的反馈。
• 在外部处理之前遮盖敏感文本：在将内容传递给第三方 API 或大语言模型 (LLM) 之前，同步对文本字符串中的敏感词元进行去标识化或隐去处理。
• 隐去上传图片中的敏感数据：在显示或存储图片之前，通过在检测到的个人身份信息上叠加不透明矩形，混淆图片格式（例如 JPEG、PNG 或 BMP）中的敏感文本。
• 按需重标识经过令牌化的数据：当经过身份验证的业务用户需要访问原始明文时，在已获授权的服务器端工作流中对之前经过假名化的令牌进行去令牌化。
• 在客户端应用中验证数据隐私：在端点上运行无状态隐私检查，而无需预配云存储库或配置后端作业基础架构。

如需了解详情，请参阅内容方法的 REST API 参考文档：

• content.inspect
• content.deidentify
• content.reidentify
• image.redact

存储方法

存储方法旨在检查存储在 Cloud Storage、BigQuery 和 Datastore 模式下的 Firestore (Datastore) 等系统中的数据。 Google Cloud 如需启用存储空间检查，您可以使用 dlpJobs 资源创建 Sensitive Data Protection 作业。每个作业都作为一项代管式服务运行，用于检查数据，然后执行Sensitive Data Protection 操作，例如保存或发布发现结果。除了这些可选操作之外，Sensitive Data Protection 还会创建和存储有关作业的详细信息，包括作业状态、扫描的字节数以及每个 infoType 的摘要发现结果。您可以使用 DLP API 或 Google Cloud 控制台中的 Sensitive Data Protection 来管理作业。

何时使用存储方法

以下是一些常见使用场景：

• 扫描大规模分析表：使用分布式无服务器批量扫描功能检查 BigQuery 中的 PB 级数据集。
• 审核非结构化文件代码库：检查 Cloud Storage 存储桶中存储的文档、归档和媒体文件，以查找未加密或放错位置的敏感数据。
• 跟踪历史扫描结果和趋势：将详细的检查发现结果直接持久保存到 BigQuery 表中，以便跟踪一段时间内的结果并生成合规性审核跟踪记录。
• 触发事件驱动型修复工作流：将扫描完成事件和高风险发现结果提醒流式传输到 Pub/Sub，以启动自动安全响应 playbook。
• 对大型数据集进行采样以提高成本效益：配置采样限制或行数限制，以便在不扫描整个数据集的情况下估算大型数据库的数据风险状况。

如需了解详情，请参阅 projects.dlpJobs 资源的 REST API 参考文档。您可以在 StorageConfig 对象中指定存储空间详细信息。

混合方法

混合方法是一组异步 API 方法，可让您扫描从几乎任何来源发送的数据载荷，以查找敏感信息，并将发现结果存储在 Google Cloud中。混合方法与内容方法类似，因为您要检查的数据包含在一个或多个检查请求中；但是，与内容方法不同，混合方法不会在 API 响应中返回检查结果。相反，检查结果会在服务器端异步处理，并以类似于存储方法的方式进行制表和存储。

如需启用混合检查，请使用 dlpJobs 资源创建 Sensitive Data Protection 作业。每个混合作业都作为代管式服务运行，以监听检查请求并执行Sensitive Data Protection 操作，例如保存或发布发现结果。除了这些可选操作之外，Sensitive Data Protection 还会创建和存储有关作业的详细信息，包括作业状态、扫描的字节数以及每个 infoType 的摘要发现结果。您可以使用 DLP API 或 Google Cloud 控制台中的 Sensitive Data Protection 来管理作业。

何时使用混合方法

以下是一些常见使用场景：

• 检查混合云和多云环境中的数据：将来自本地数据库、裸金属服务器或其他云服务提供商的数据流式传输到 Sensitive Data Protection，同时将发现结果报告集中在Google Cloud中。
• 审核自定义应用数据流水线：将来自自定义抓取工具、微服务或 ETL 流水线的流式数据发送到 Sensitive Data Protection，而无需管理本地扫描器工作器队列。
• 在云迁移期间清理工作负载：在从旧系统到 Google Cloud的实时数据库复制期间，持续检查敏感资产并对其进行标记化。
• 集中管理多云合规性报告：将不同运营环境中的检查结果汇总到单个 BigQuery 数据集中，以便进行统一治理。
• 处理自定义文件类型和专有格式：从专有二进制格式中提取客户端文本，并将提取的载荷流式传输到 Sensitive Data Protection 进行检查。

如需了解详情，请参阅 projects.dlpJobs 资源的 REST API 参考文档。您可以在 StorageConfig 对象的 hybridOptions 字段中指定数据源。

发现方法

借助发现方法，您可以配置敏感数据发现以生成数据分析文件。数据分析可提供数据洞见，帮助您确定敏感数据在组织中的位置、您存储的敏感数据类型以及这些数据是否具有访问权限控制。

您可以配置发现功能，以扫描存储在 Google Cloud 数据存储区（例如 BigQuery、Cloud SQL、Cloud Storage 和 Vertex AI）中的数据。如果您激活了 Security Command Center Enterprise，还可以使用 Sensitive Data Protection 扫描来自其他云服务提供商的数据。

您可以指定希望 Sensitive Data Protection 在每次发现扫描后执行的操作。例如，您可以将扫描结果发送到其他Google Cloud 服务（例如 Security Command Center 和 Google Security Operations），以提高对组织数据安全状况的了解。您可以配置发现服务，以便为已分析的资源添加标记，从而自动授予或拒绝对这些资源的 IAM 访问权限。您还可以将数据分析结果导出到 BigQuery。您可以将导出的配置文件连接到数据洞察，以查看预制报告。您还可以创建自己的自定义查询和报告。

如需启用发现服务，您需要创建 DiscoveryConfig 资源。发现会根据您在发现配置中设置的范围和频率运行。如需了解 Sensitive Data Protection 在何处存储生成的分析结果，请参阅数据驻留注意事项。

您可以使用 DLP API 或 Google Cloud 控制台管理发现配置、数据分析结果和 Cloud SQL 连接。

何时使用发现方法

以下是一些常见使用场景：

• 自动执行组织级数据发现：持续扫描和分析 BigQuery、Cloud SQL 和 Cloud Storage 中的所有数据资产，而无需编写单独的扫描作业或时间表。
• 识别高风险数据存储库：为表和存储桶生成数据风险和数据敏感度评分，以便确定数据保护和治理计划的优先级。
• 使用数据标记强制执行动态访问权限控制：根据发现的 infoType 自动标记已分析的资源，以使用 Identity and Access Management 政策授予或限制访问权限。
• Feed 数据安全状况管理：将发现分析洞见发送到 Security Command Center 和 Google Security Operations，以便将数据风险与基础设施威胁相关联。
• 使用执行信息中心直观呈现合规状况：将数据分析导出到 BigQuery，并连接预制的数据洞察信息中心，以监控整个组织、文件夹和项目中的敏感数据分布。

如需了解详情，请参阅以下 REST API 参考文档：

• 发现配置

  • organizations.locations.discoveryConfigs
  • projects.locations.discoveryConfigs

• 连接

  连接仅与 Cloud SQL 发现功能相关。

  • organizations.locations.connections
  • projects.locations.connections

• 数据分析文件

  • organizations.locations.projectDataProfiles
  • projects.locations.projectDataProfiles
  • organizations.locations.fileStoreDataProfiles
  • projects.locations.fileStoreDataProfiles
  • organizations.locations.tableDataProfiles
  • projects.locations.tableDataProfiles
  • organizations.locations.columnDataProfiles
  • projects.locations.columnDataProfiles

后续步骤

• 阅读方法指南，以开始检查文本和图片中的敏感数据，并隐去文本和图片中的敏感数据：
  • 检查文本中是否存在敏感数据
  • 检查结构化文本中是否存在敏感数据
  • 检查图片是否存在敏感数据
  • 隐去图片中的敏感数据
  • 对敏感数据进行去标识化
• 如需详细了解如何检查存储空间以及如何使用操作，请参阅检查存储空间和数据库中是否存在敏感数据。
• 如需详细了解敏感数据发现，请参阅数据分析
• 查看价格。