方法類型

Sensitive Data Protection 提供多種方法，可用於檢查、轉換 (去識別化)、探索及分類資料。使用這些方法，您就能掃描 Google Cloud 內外的資料，並針對不同類型的工作負載，最佳化 Sensitive Data Protection 的行為。

Sensitive Data Protection 提供下列方法類型：

檢查和去識別化方法

本節說明如何找出與檢查設定中列出的資訊類型相符的每項資料，並視需要進行去識別化。

內容方法

內容方法是同步、無狀態的方法。要檢查或轉換的資料會直接在要求中傳送至 DLP API。Sensitive Data Protection 檢查結果或轉換後的資料會透過 API 回應傳回。要求資料在傳輸過程中會加密，且不會儲存。

內容方法資料流程，顯示用戶端透過 API 要求將資料傳送至 Sensitive Data Protection，後者可檢查及分類資料，或去識別化及轉換資料，並將同步 API 回應傳送至用戶端。

內容方法的使用時機

以下是一些常見用途：

  • 即時檢查使用者輸入內容：在網頁和行動應用程式中，同步掃描表單欄位、即時通訊訊息或意見回饋，然後再將資料儲存至資料庫。
  • 在外部處理前遮蓋機密文字：在將內容傳遞至第三方 API 或大型語言模型 (LLM) 之前，同步去識別化或遮蓋文字字串中的機密權杖。
  • 遮蓋上傳圖片中的私密資料：在顯示或儲存圖片之前，在偵測到的 PII 上疊加不透明矩形，模糊處理圖片格式 (例如 JPEG、PNG 或 BMP) 中的私密文字。
  • 視需要重新識別權杖化資料：當經過驗證的企業使用者需要存取原始明文時，在授權的伺服器端工作流程中，對先前去識別化的權杖進行去權杖化。
  • 驗證用戶端應用程式中的資料隱私權：在端點上執行無狀態隱私權檢查，無須佈建雲端儲存空間存放區，或設定後端工作基礎架構。

如要瞭解詳情，請參閱 REST API 參考資料中的內容方法：

儲存方法

儲存空間方法旨在檢查儲存在 Google Cloud 系統中的資料，例如 Cloud Storage、BigQuery 和Datastore 模式的 Firestore (Datastore)。如要啟用儲存空間檢查功能，請使用 dlpJobs 資源建立 Sensitive Data Protection 工作。每項工作都會以代管服務的形式執行，檢查資料並執行 Sensitive Data Protection 動作，例如儲存或發布發現項目。除了這些選用動作外，Sensitive Data Protection 還會建立及儲存工作的詳細資料，包括工作狀態、掃描的位元組數，以及各 infoType 的摘要結果。您可以使用 DLP API 或Google Cloud 控制台中的 Sensitive Data Protection 管理工作。

儲存方法資料流程，顯示 Sensitive Data Protection 檢查 Google Cloud 儲存空間存放區中的資料，然後儲存或發布發現項目。

儲存方法的使用時機

以下是一些常見用途：

  • 掃描大型分析資料表：使用分散式無伺服器批次掃描，檢查 BigQuery 中 PB 規模的資料集。
  • 稽核非結構化檔案存放區：檢查儲存在 Cloud Storage bucket 中的文件、封存檔和媒體檔案，找出未加密或誤放的機密資料。
  • 追蹤歷來掃描結果和趨勢：直接將詳細檢查發現項目保留在 BigQuery 資料表中，以便追蹤發現項目，並產生法規遵循稽核追蹤記錄。
  • 觸發事件導向的修復工作流程：將掃描完成事件和高風險發現項目快訊串流至 Pub/Sub，啟動自動化安全性應變教戰手冊。
  • 對大型資料集取樣，提高成本效益：設定取樣限制或資料列限制，不必掃描整個資料集，即可評估大型資料庫的資料風險。

如要瞭解詳情，請參閱 projects.dlpJobs 資源的 REST API 參考資料。您可以在 StorageConfig 物件中指定儲存空間詳細資料。

混合方法

混合方法是一組非同步 API 方法，可讓您掃描幾乎任何來源傳送的資料酬載，找出私密資訊，並將結果儲存在 Google Cloud。混合方法與內容方法類似，要檢查的資料會包含在一或多個檢查要求中。不過，與內容方法不同的是，混合方法不會在 API 回應中傳回檢查結果。而是以非同步方式在伺服器端處理檢查結果，並以類似儲存方法的方式製表及儲存結果。

如要啟用混合式檢查，請使用 dlpJobs 資源建立 Sensitive Data Protection 工作。每項混合工作都會以代管服務的形式執行，監聽檢查要求並執行 Sensitive Data Protection 動作，例如儲存或發布發現項目。除了這些選用動作外，Sensitive Data Protection 還會建立及儲存工作詳細資料，包括工作狀態、掃描的位元組數，以及各 infoType 的摘要發現項目。您可以使用 DLP API 或Google Cloud 控制台中的 Sensitive Data Protection 管理工作。

混合型工作資料流程，顯示應用程式將資料從外部來源傳送至 Sensitive Data Protection、Sensitive Data Protection 檢查資料，然後儲存或發布發現項目。

混合方法的使用時機

以下是一些常見用途：

  • 檢查混合雲和多雲端環境中的資料：將地端部署資料庫、裸機伺服器或其他雲端服務供應商的資料串流至 Sensitive Data Protection，同時將發現項目報告集中儲存在Google Cloud。
  • 稽核自訂應用程式資料管道：將自訂檢索器、微服務或 ETL 管道的串流資料傳送至 Sensitive Data Protection，無須管理本機掃描器工作站。
  • 在雲端遷移期間清理工作負載：在將舊版系統的資料庫即時複製到 Google Cloud的過程中，持續檢查機密資產並進行權杖化。
  • 集中管理多雲端法規遵循報表：將不同作業環境的檢查結果匯總至單一 BigQuery 資料集，以便統一管理。
  • 處理自訂檔案類型和專屬格式：從專屬二進位格式中擷取用戶端文字，並將擷取的酬載串流至 Sensitive Data Protection 進行檢查。

如要瞭解詳情，請參閱 projects.dlpJobs 資源的 REST API 參考資料。您可以在 StorageConfig 物件的 hybridOptions 欄位中指定資料來源。

探索方法

探索方法可讓您設定機密資料探索，以產生資料剖析檔。資料剖析檔提供深入分析，協助您判斷機密資料在組織中的存放位置、儲存的機密資料類型，以及該資料是否設有存取控管機制。

您可以設定探索功能，掃描儲存在 Google Cloud 資料儲存庫 (例如 BigQuery、Cloud SQL、Cloud Storage 和 Vertex AI) 中的資料。如果您已啟用 Security Command Center Enterprise，也可以使用 Sensitive Data Protection 掃描其他雲端服務供應商的資料。

您可以指定 Sensitive Data Protection 在每次探索掃描後執行的動作。舉例來說，您可以將掃描結果傳送至其他Google Cloud 服務 (例如 Security Command Center 和 Google Security Operations)，進一步掌握組織的資料安全性。您可以設定探索服務，為剖析的資源加上標記，自動授予或拒絕這些資源的 IAM 存取權。您也可以將資料剖析檔匯出至 BigQuery。您可以將匯出的設定檔連結至數據分析，查看預先建立的報表。您也可以建立自己的自訂查詢和報表。

如要啟用探索功能，請建立 DiscoveryConfig 資源。探索作業會根據您在探索設定中設定的範圍和頻率執行。如要瞭解 Sensitive Data Protection 儲存所產生剖析檔的位置，請參閱「資料落地考量」。

您可以使用 DLP API 或Google Cloud 控制台，管理探索設定、資料剖析檔和 Cloud SQL 連線。

探索資料流程，顯示 Sensitive Data Protection 從各種資料來源探索資料，並將資料剖析檔傳送至各種 Google Cloud服務。

探索方法的使用時機

以下是一些常見用途：

  • 自動探索全組織的資料：持續掃描及剖析 BigQuery、Cloud SQL 和 Cloud Storage 中的所有資料資產，不必編寫個別掃描工作或排程。
  • 找出高風險資料存放區：為資料表和 bucket 產生資料風險和資料敏感度分數，優先處理資料保護和管理措施。
  • 使用資料標記強制執行動態存取控管：根據探索到的 infoType 自動標記剖析資源，並使用 Identity and Access Management 政策授予或限制存取權。
  • 提供資料安全防護機制管理：將探索設定檔洞察資料傳送至 Security Command Center 和 Google Security Operations，以便將資料風險與基礎架構威脅建立關聯。
  • 透過主管資訊主頁，以圖表呈現法規遵循情形：將資料剖析檔匯出至 BigQuery，並連結預先建立的數據分析資訊主頁，監控整個組織、資料夾和專案的機密資料分布情形。

如要瞭解詳情，請參閱下列 REST API 參考資料：

後續步驟