יצירת פרופיל של נתוני Cloud SQL בארגון או בתיקייה

בדף הזה מוסבר איך להגדיר את זיהוי הנתונים ב-Cloud SQL ברמת הארגון או התיקייה. אם אתם רוצים ליצור פרופיל של פרויקט, קראו את המאמר יצירת פרופיל של נתוני Cloud SQL בפרויקט יחיד.

מידע נוסף על שירות הגילוי זמין במאמר פרופילי נתונים.

איך זה עובד

זהו תהליך העבודה הכללי ליצירת פרופילים של נתונים ב-Cloud SQL:

  1. יוצרים הגדרת סריקה.

    אחרי שיוצרים הגדרת סריקה, Sensitive Data Protection מתחיל לזהות את המכונות של Cloud SQL וליצור חיבור שמוגדר כברירת מחדל לכל מכונה. התהליך הזה יכול להימשך כמה שעות, בהתאם למספר המכונות בהיקף הגילוי. אפשר לצאת ממסוףGoogle Cloud ולבדוק את החיבורים מאוחר יותר.

  2. מקצים את תפקידי ה-IAM הנדרשים לסוכן השירות שמשויך להגדרות הסריקה.

  3. כשהחיבורים שמוגדרים כברירת מחדל מוכנים, נותנים ל-Sensitive Data Protection גישה למכונות Cloud SQL באמצעות עדכון כל חיבור עם פרטי הכניסה המתאימים של המשתמש במסד הנתונים. אפשר לספק חשבונות משתמשים קיימים במסד הנתונים או ליצור משתמשים במסד הנתונים.

  4. מומלץ: להגדיל את מספר החיבורים המקסימלי ש-Sensitive Data Protection יכול להשתמש בהם כדי ליצור פרופיל של הנתונים. הגדלת מספר החיבורים יכולה להאיץ את הגילוי.

שירותים נתמכים

התכונה הזו תומכת באפשרויות הבאות:

  • Cloud SQL ל-MySQL
  • Cloud SQL ל-PostgreSQL

אי אפשר להשתמש ב-Cloud SQL ל-SQL Server.

אזורי עיבוד ואחסון

השירות Sensitive Data Protection הוא שירות אזורי ובמספר אזורים, והוא לא מבחין בין אזורים. כשמבצעים פרופיילינג של מכונה ב-Cloud SQL באמצעות Sensitive Data Protection, הנתונים מעובדים באזור הנוכחי שלה, אבל לא בהכרח באזור הנוכחי שלה. לדוגמה, אם מכונה של Cloud SQL מאוחסנת באזור us-central1-a, אז Sensitive Data Protection מעבד ומאחסן את פרופילי הנתונים באזור us-central1.

מידע נוסף זמין במאמר שיקולים בנוגע למיקום אחסון הנתונים.

לפני שמתחילים

  1. מוודאים שיש לכם את הרשאות ה-IAM שנדרשות כדי להגדיר פרופילי נתונים ברמת הארגון.

    גם אם אין לכם את התפקיד Organization Administrator (roles/resourcemanager.organizationAdmin) או Security Admin (roles/iam.securityAdmin), אתם יכולים ליצור הגדרת סריקה. עם זאת, אחרי שיוצרים את הגדרת הסריקה, משתמש עם אחד מהתפקידים האלה צריך לתת לסוכן השירות גישה ליצירת פרופיל נתונים.

  2. צריך ליצור תבנית בדיקה בכל אזור שבו יש נתונים שרוצים ליצור להם פרופיל. אם רוצים להשתמש בתבנית אחת לכמה אזורים, אפשר להשתמש בתבנית שמאוחסנת באזור global. אם מדיניות הארגון מונעת מכם ליצור תבנית בדיקה באזור global, אתם צריכים להגדיר תבנית בדיקה ייעודית לכל אזור. מידע נוסף מופיע במאמר שיקולים לגבי מיקום אחסון הנתונים.

    המשימה הזו מאפשרת ליצור תבנית בדיקה באזור global בלבד. אם אתם צריכים תבניות בדיקה ייעודיות לאזור אחד או יותר, אתם צריכים ליצור את התבניות האלה לפני ביצוע המשימה הזו.

  3. כדי לשלוח התראות Pub/Sub לנושא כשאירועים מסוימים מתרחשים – למשל, כשפרופיל חדש נוצר ב-Sensitive Data Protection – צרו נושא Pub/Sub לפני שתבצעו את המשימה הזו.

  4. אתם יכולים להגדיר ש-Sensitive Data Protection יצרף אוטומטית תגים למשאבים. התכונה הזו מאפשרת לכם להעניק גישה מותנית למשאבים האלה על סמך רמות הרגישות המחושבות שלהם. כדי להשתמש בתכונה הזו, קודם צריך לבצע את המשימות שמפורטות במאמר שליטה בגישה של IAM למשאבים על סמך רגישות הנתונים.

  5. אתם יכולים להגדיר את Sensitive Data Protection כך שיצרף באופן אוטומטי היבטים למשאבי Cloud SQL שנוצר להם פרופיל, על סמך תובנות מממצאים. כדי להשתמש בתכונה הזו, צריך להפעיל את השילוב של הקטלוג האוניברסלי במכונה של Cloud SQL ל-MySQL או במכונה של Cloud SQL ל-PostgreSQL.

כדי ליצור פרופילי נתונים, צריך מאגר של סוכני שירות וסוכן שירות בתוכו. המשימה הזו מאפשרת ליצור אותם באופן אוטומטי.

יצירת הגדרות סריקה

  1. נכנסים לדף Create scan configuration.

    כניסה לדף Create scan configuration

  2. עוברים לארגון. בסרגל הכלים, לוחצים על בורר הפרויקטים ובוחרים את הארגון.

בקטעים הבאים מוסבר בהרחבה על השלבים בדף Create scan configuration. בסוף כל קטע, לוחצים על המשך.

בוחרים סוג גילוי.

בוחרים באפשרות Cloud SQL.

בחירת היקף הרשאות

מבצעים אחת מהפעולות הבאות:

  • כדי להגדיר פרופילים ברמת הארגון, בוחרים באפשרות Scan entire organization.
  • כדי להגדיר יצירת פרופילים ברמת התיקייה, בוחרים באפשרות Scan selected folder. לוחצים על עיון ובוחרים את התיקייה.

ניהול לוחות הזמנים

אם תדירות יצירת הפרופילים שמוגדרת כברירת מחדל מתאימה לצרכים שלכם, אתם יכולים לדלג על החלק הזה בדף Create scan configuration.

כדאי להגדיר את הקטע הזה מהסיבות הבאות:

  • כדי לבצע שינויים מדויקים בתדירות יצירת הפרופילים של כל הנתונים או של קבוצות משנה מסוימות של הנתונים.
  • כדי לציין את הטבלאות שלא רוצים ליצור להן פרופיל.
  • כדי לציין את הטבלאות שאתם לא רוצים ליצור להן פרופיל יותר מפעם אחת.

כדי לבצע שינויים מדויקים בתדירות יצירת הפרופילים, פועלים לפי השלבים הבאים:

  1. לוחצים על הוספת לוח זמנים.

  2. בקטע Filters מגדירים מסנן אחד או יותר כדי לציין אילו טבלאות נכללות בהיקף של התזמון. טבלה נחשבת כנכללת בהיקף של התזמון אם היא תואמת לפחות לאחד מהמסננים שהוגדרו.

    כדי להגדיר מסנן, צריך לציין לפחות אחד מהפרטים הבאים:

    • מזהה פרויקט או ביטוי רגולרי שמציין פרויקט אחד או יותר.
    • מזהה מכונה או ביטוי רגולרי שמציין מכונה אחת או יותר.
    • מזהה של מסד נתונים או ביטוי רגולרי שמציין מסד נתונים אחד או יותר.
    • מזהה טבלה או ביטוי רגולרי שמציין טבלה אחת או יותר. מזינים את הערך הזה בשדה Database resource name or regular expression.

    הביטויים הרגולריים חייבים להתאים לתחביר RE2.

    לדוגמה, אם רוצים שכל הטבלאות במסד נתונים ייכללו במסנן, מזינים את מזהה מסד הנתונים בשדה Database ID.

    כדי להתאים למסנן, טבלה צריכה לעמוד בכל הביטויים הרגולריים שצוינו במסנן.

    כדי להוסיף עוד מסננים, לוחצים על הוספת מסנן וחוזרים על השלב הזה.

  3. לוחצים על תדירות.

  4. בקטע Frequency, מציינים אם שירות הגילוי צריך ליצור פרופיל לטבלאות שבחרתם, ואם כן, באיזו תדירות:

    • אם אתם לא רוצים ליצור פרופיל לטבלאות, השביתו את האפשרות Do profile this data.

    • אם רוצים ליצור פרופיל לטבלאות לפחות פעם אחת, משאירים את האפשרות Do profile this data מופעלת.

      בשדות הבאים בקטע הזה, אתם מציינים אם המערכת צריכה ליצור פרופיל מחדש לנתונים, ואילו אירועים צריכים להפעיל את הפעולה הזו. מידע נוסף זמין במאמר תדירות היצירה של פרופילי נתונים.

      1. בקטע On a schedule, מציינים את התדירות שבה רוצים ליצור פרופיל מחדש לטבלאות. הטבלאות עוברות פרופיילינג מחדש גם אם לא בוצעו בהן שינויים.
      2. בקטע When schema changes, מציינים באיזו תדירות Sensitive Data Protection צריך לבדוק אם בוצעו שינויים בסכימה של הטבלאות שנבחרו מאז הפעם האחרונה שנוצר להן פרופיל. רק טבלאות עם שינויים בסכימה ינותחו מחדש.
      3. בקטע Types of schema change, מציינים אילו סוגים של שינויים בסכימה יפעילו פעולת יצירת פרופיל מחדש. בוחרים אחת מהאפשרויות הבאות:
        • עמודות חדשות: יצירת פרופיל מחדש של הטבלאות שנוספו להן עמודות חדשות.
        • עמודות שהוסרו: צריך ליצור פרופיל מחדש לטבלאות שהוסרו מהן עמודות.

        לדוגמה, נניח שיש לכם טבלאות שנוספות להן עמודות חדשות מדי יום, ואתם צריכים ליצור פרופיל של התוכן שלהן בכל פעם. אפשר להגדיר את When schema changes ל-Reprofile daily, ואת Types of schema change ל-New columns.

      4. בשדה When inspect template changes, מציינים אם רוצים ליצור פרופיל חדש לנתונים כשתבנית הבדיקה המשויכת מתעדכנת, ואם כן, באיזו תדירות.

        שינוי בתבנית הבדיקה מזוהה כשאחד מהמקרים הבאים מתרחש:

        • השם של תבנית הבדיקה משתנה בהגדרת הסריקה.
        • הערך של updateTime בתבנית בדיקה משתנה.

        5. לדוגמה, אם הגדרתם תבנית בדיקה לאזור us-west1 ועדכנתם את תבנית הבדיקה הזו, רק הנתונים באזור us-west1 יוגדרו מחדש.

  5. לוחצים על תנאים.

    בקטע Conditions מציינים את סוגי המשאבים של מסד הנתונים שרוצים ליצור להם פרופיל. כברירת מחדל, Sensitive Data Protection מוגדר ליצור פרופילים לכל סוגי המשאבים הנתמכים של מסדי נתונים. כשנוסיף ל-Sensitive Data Protection תמיכה בסוגים נוספים של משאבי מסדי נתונים, גם הסוגים האלה יקבלו פרופיל באופן אוטומטי.

  6. אופציונלי: אם רוצים להגדיר באופן מפורש את סוגי המשאבים של מסד הנתונים שרוצים ליצור להם פרופיל, מבצעים את השלבים הבאים:

    1. לוחצים על השדה Database resource types.
    2. בוחרים את סוגי המשאבים של מסד הנתונים שרוצים ליצור להם פרופיל.

    אם בהמשך Sensitive Data Protection יוסיף תמיכה בגילוי של סוגי משאבים נוספים של מסדי נתונים ב-Cloud SQL, הסוגים האלה יקבלו פרופיל רק אם תחזרו לרשימה הזו ותבחרו אותם.

  7. לוחצים על סיום.

  8. אופציונלי: כדי להוסיף עוד לוחות זמנים, לוחצים על Add schedule וחוזרים על השלבים הקודמים.

  9. כדי לקבוע את סדר העדיפויות בין לוחות הזמנים, משנים את הסדר שלהם באמצעות החיצים למעלה ולמטה .

    סדר לוחות הזמנים קובע איך לפתור התנגשויות בין לוחות זמנים. אם טבלה תואמת למסננים של שני תזמונים שונים, התזמון שמופיע גבוה יותר ברשימת התזמונים קובע את תדירות יצירת הפרופילים של אותה טבלה.

  10. אופציונלי: עורכים או משביתים את לוח הזמנים הכולל.

    לוח הזמנים האחרון ברשימה הוא לוח הזמנים הכולל. התזמון הזה כולל את הטבלאות בהיקף שבחרתם שלא תואמות לאף אחד מהתזמונים שיצרתם. לוח הזמנים הכולל פועל לפי תדירות ברירת המחדל של המערכת ליצירת פרופילים.

    • כדי לשנות את לוח הזמנים של ה-catch-all, לוחצים על עריכת לוח הזמנים ומשנים את ההגדרות לפי הצורך.
    • כדי למנוע מ-Sensitive Data Protection ליצור פרופיל של משאב כלשהו שכלול בתזמון הכולל, משביתים את האפשרות יצירת פרופיל למשאבים שלא תואמים לאף תזמון בהתאמה אישית.

בחירת תבנית בדיקה

בהתאם לאופן שבו אתם רוצים לספק הגדרת בדיקה, בחרו אחת מהאפשרויות הבאות. לא משנה באיזו אפשרות תבחרו, Sensitive Data Protection סורק את הנתונים באזור שבו הם מאוחסנים. כלומר, הנתונים לא יוצאים מהאזור המקורי שלהם.

אפשרות 1: יצירת תבנית בדיקה

בוחרים באפשרות הזו אם רוצים ליצור תבנית בדיקה חדשה באזור global.

  1. לוחצים על יצירת תבנית בדיקה חדשה.

  2. אופציונלי: כדי לשנות את הבחירה של סוגי המידע שמוגדרים כברירת מחדל, לוחצים על ניהול סוגי מידע.

    במאמר ניהול של טיפוסי מידע באמצעות מסוףGoogle Cloud מוסבר איך לנהל טיפוסי מידע מובנים ובהתאמה אישית.

    כדי להמשיך, צריך לבחור לפחות סוג מידע אחד.

  3. אופציונלי: מגדירים את תבנית הבדיקה על ידי הוספת קבוצות של כללים והגדרת סף סמך. מידע נוסף זמין במאמר הגדרת זיהוי.

כשההגדרה של הסריקה נוצרת ב-Sensitive Data Protection, תבנית הבדיקה החדשה נשמרת באזור global.

אפשרות 2: שימוש בתבנית בדיקה קיימת

כדאי לבחור באפשרות הזו אם יש לכם תבניות בדיקה קיימות שאתם רוצים להשתמש בהן.

  1. לוחצים על בחירת תבנית בדיקה קיימת.
  2. מזינים את שם המשאב המלא של תבנית הבדיקה שבה רוצים להשתמש. השדה Region מתמלא באופן אוטומטי בשם האזור שבו מאוחסנת תבנית הבדיקה.

    תבנית הבדיקה שאתם מזינים צריכה להיות באותו אזור שבו נמצאים הנתונים שאתם רוצים ליצור להם פרופיל.

    כדי לכבד את מיקום אחסון הנתונים, Sensitive Data Protection לא משתמש בתבנית בדיקה מחוץ לאזור שבו התבנית מאוחסנת.

    כדי למצוא את שם המשאב המלא של תבנית בדיקה:

    1. עוברים לרשימת תבניות הבדיקה. הדף הזה נפתח בכרטיסייה נפרדת.

      מעבר לתבניות בדיקה

    2. בוחרים את הפרויקט שמכיל את תבנית הבדיקה שבה רוצים להשתמש.
    3. בוחרים באפשרות Configuration > Templates > Inspect, ואז לוחצים על מזהה התבנית שבה רוצים להשתמש.
    4. בדף שנפתח, מעתיקים את שם המשאב המלא של התבנית. השם המלא של המשאב הוא בפורמט הבא: 
      projects/PROJECT_ID/locations/REGION/inspectTemplates/TEMPLATE_ID
    5. בדף Create scan configuration, בשדה Template name, מדביקים את שם המשאב המלא של התבנית.
  3. כדי להוסיף תבנית בדיקה לאזור אחר, לוחצים על Add inspection template ומזינים את שם המשאב המלא של התבנית. חוזרים על הפעולה הזו בכל אזור שיש בו תבנית בדיקה ייעודית.
  4. אופציונלי: מוסיפים תבנית בדיקה שמאוחסנת באזור global. ‫Sensitive Data Protection משתמשת אוטומטית בתבנית הזו לנתונים באזורים שבהם אין לכם תבנית בדיקה ייעודית.

הוספת פעולות

בקטע הזה מוסבר איך לציין את הפעולות שאתם רוצים ש-Sensitive Data Protection יבצע אחרי יצירת פרופיל של טבלה. הפעולות האלה שימושיות אם רוצים לשלוח תובנות שנאספו מפרופילי נתונים לשירותים אחרים שלGoogle Cloud .

פרסום ב-Google Security Operations

מדדים שנאספים מפרופילי נתונים יכולים להוסיף הקשר לממצאים של Google Security Operations. ההקשר הנוסף יכול לעזור לכם להחליט מהן בעיות האבטחה שהכי חשוב לטפל בהן.

לדוגמה, אם אתם חוקרים סוכן שירות מסוים, Google Security Operations יכול לקבוע לאילו משאבים סוכן השירות ניגש, ואם באחד מהמשאבים האלה יש נתונים ברגישות גבוהה.

כדי לשלוח את הפרופילים של הנתונים למכונה של Google Security Operations, מפעילים את האפשרות Publish to Google Security Operations.

אם לא הפעלתם מכונה של Google Security Operations בארגון – דרך המוצר הנפרד או דרך Security Command Center Enterprise – להפעלת האפשרות הזו לא תהיה השפעה.

פרסום ב-Security Command Center

הממצאים מפרופילי הנתונים מספקים הקשר כשאתם ממיינים ומפתחים תוכניות תגובה לממצאי הפגיעויות והאיומים ב-Security Command Center.

כדי להשתמש בפעולה הזו, צריך להפעיל את Security Command Center ברמת הארגון. כשמפעילים את Security Command Center ברמת הארגון, הממצאים משירותים משולבים כמו Sensitive Data Protection מתחילים לזרום. ‫Sensitive Data Protection פועל עם Security Command Center בכל רמות השירות.

אם Security Command Center לא מופעל ברמת הארגון, הממצאים של Sensitive Data Protection לא יופיעו ב-Security Command Center. מידע נוסף זמין במאמר בדיקת רמת ההפעלה של Security Command Center.

כדי לשלוח את התוצאות של פרופילי הנתונים ל-Security Command Center, ודאו שהאפשרות Publish to Security Command Center מופעלת.

מידע נוסף זמין במאמר פרסום פרופילי נתונים ב-Security Command Center.

שמירת עותקים של פרופילי נתונים ב-BigQuery

‫Sensitive Data Protection שומר עותק של כל פרופיל נתונים שנוצר בטבלה ב-BigQuery. אם לא תספקו את פרטי הטבלה המועדפת, Sensitive Data Protection ייצור מערך נתונים וטבלה בקונטיינר של סוכן השירות. כברירת מחדל, שם מערך הנתונים הוא sensitive_data_protection_discovery ושם הטבלה הוא discovery_profiles.

הפעולה הזו מאפשרת לכם לשמור היסטוריה של כל הפרופילים שיצרתם. ההיסטוריה הזו יכולה לעזור לכם ליצור דוחות ביקורת ולהציג פרופילי נתונים. אפשר גם לטעון את המידע הזה למערכות אחרות.

בנוסף, האפשרות הזו מאפשרת לכם לראות את כל פרופילי הנתונים בתצוגה אחת, בלי קשר למיקום אחסון הנתונים שלכם. אפשר גם לראות את פרופילי הנתונים דרך מסוףGoogle Cloud , אבל במסוף מוצגים הפרופילים רק באזור אחד בכל פעם.

אם Sensitive Data Protection לא מצליח ליצור פרופיל לטבלה, הוא מנסה שוב מדי פעם. כדי לצמצם את הרעש בנתונים שמיוצאים, Sensitive Data Protection מייצא ל-BigQuery רק את הפרופילים שנוצרו בהצלחה.

הייצוא של הפרופילים ב-Sensitive Data Protection מתחיל מרגע שמפעילים את האפשרות הזו. פרופילים שנוצרו לפני שהפעלתם את הייצוא לא נשמרים ב-BigQuery.

במאמר ניתוח פרופילי נתונים מופיעות שאילתות לדוגמה שאפשר להשתמש בהן כשמנתחים פרופילי נתונים.

שמירת ממצאים לדוגמה של נתונים שזוהו ב-BigQuery

‫Sensitive Data Protection יכול להוסיף ממצאים לדוגמה לטבלה ב-BigQuery לבחירתכם. הממצאים לדוגמה מייצגים קבוצת משנה של כל הממצאים, ויכול להיות שהם לא מייצגים את כל סוגי המידע שנמצאו. בדרך כלל המערכת יוצרת כ-10 ממצאים לדוגמה לכל טבלה, אבל המספר הזה יכול להשתנות בכל הרצה של זיהוי.

כל ממצא כולל את המחרוזת עצמה (שנקראת גם ציטוט) שזוהתה ואת המיקום המדויק שלה.

הפעולה הזו שימושית אם רוצים לבדוק אם הגדרת הבדיקה תואמת לסוג המידע שרוצים לסמן כרגיש. בעזרת פרופילי הנתונים שיוצאו והממצאים לדוגמה שיוצאו, אתם יכולים להריץ שאילתות כדי לקבל מידע נוסף על הפריטים הספציפיים שסומנו, סוגי המידע שהם תאמו, המיקומים המדויקים שלהם, רמות הרגישות המחושבות שלהם ופרטים נוספים.

בדוגמה הזו צריך להפעיל גם את האפשרות שמירת עותקים של פרופילי נתונים ב-BigQuery וגם את האפשרות שמירת ממצאים לדוגמה של סריקה ב-BigQuery.

בשאילתה הבאה נעשה שימוש בפעולת INNER JOIN גם בטבלה של פרופילי הנתונים שיוצאו וגם בטבלה של הממצאים לדוגמה שיוצאו. בטבלה שנוצרת, כל רשומה מציגה את הציטוט של הממצא, את ה-infoType שתואם לו, את המשאב שמכיל את הממצא ואת רמת הרגישות המחושבת של המשאב. 

SELECT
 findings_table.quote,
 findings_table.infotype.name,
 findings_table.location.container_name,
 findings_table.location.data_profile_finding_record_location.field.name AS field_name,
 profiles_table.table_profile.dataset_project_id AS project_id,
 profiles_table.table_profile.dataset_id AS dataset_id,
 profiles_table.table_profile.table_id AS table_id,
 profiles_table.table_profile.sensitivity_score AS table_sensitivity_score
 FROM
 `FINDINGS_TABLE_PROJECT_ID.FINDINGS_TABLE_DATASET_ID.FINDINGS_TABLE_ID_latest_v1` AS findings_table
INNER JOIN
 `PROFILES_TABLE_PROJECT_ID.PROFILES_TABLE_DATASET_ID.PROFILES_TABLE_ID_latest_v1` AS profiles_table
ON
 findings_table.data_profile_resource_name=profiles_table.table_profile.name
 AND findings_table.timestamp.timestamp=profiles_table.table_profile.profile_last_generated.timestamp

כדי לשמור ממצאים לדוגמה בטבלה ב-BigQuery:

  1. מפעילים את האפשרות שמירת ממצאי גילוי לדוגמה ב-BigQuery.

  2. מזינים את פרטי הטבלה ב-BigQuery שבה רוצים לשמור את הממצאים לדוגמה.

    הטבלה שאתם מציינים לפעולה הזו צריכה להיות שונה מהטבלה שמשמשת לפעולה שמירת עותקים של פרופילי נתונים ב-BigQuery.

    • בשדה Project ID, מזינים את מזהה הפרויקט של פרויקט קיים שאליו רוצים לייצא את הממצאים.

    • בשדה Dataset ID, מזינים את השם של מערך נתונים קיים בפרויקט.

    • בשדה Table ID, מזינים את שם הטבלה ב-BigQuery שבה רוצים לשמור את הממצאים. אם הטבלה הזו לא קיימת, Sensitive Data Protection יוצר אותה בשבילכם באופן אוטומטי באמצעות השם שסיפקתם.

למידע על התוכן של כל ממצא שנשמר בטבלה ב-BigQuery, קראו את המאמר DataProfileFinding.

צירוף תגים למשאבים

כשמפעילים את האפשרות Attach tags to resources, המערכת של Sensitive Data Protection מתייגת אוטומטית את הנתונים בהתאם לרמת הרגישות שחושבה. כדי לבצע את המשימות בקטע הזה, קודם צריך לבצע את המשימות שמפורטות בקטע שליטה בגישה של IAM למשאבים על סמך רגישות הנתונים.

כדי לתייג משאב באופן אוטומטי לפי רמת הרגישות המחושבת שלו:

  1. מפעילים את האפשרות תיוג משאבים.

  2. לכל רמת רגישות (גבוהה, בינונית, נמוכה ולא ידועה), מזינים את הנתיב של ערך התג שיצרתם לרמת הרגישות הזו.

    אם מדלגים על רמת רגישות, לא מצורף תג בשבילה.

  3. כדי להוריד באופן אוטומטי את רמת הסיכון של נתונים במשאב כשתג רמת הרגישות קיים, בוחרים באפשרות When a tag is applied to a resource, lower the data risk of its profile to LOW. האפשרות הזו עוזרת למדוד את השיפור במצב אבטחת המידע והפרטיות.

  4. בוחרים אחת מהאפשרויות הבאות או את שתיהן:

    • תייגו משאב כשאתם יוצרים לו פרופיל בפעם הראשונה.

    • תיוג משאב כשהפרופיל שלו מתעדכן בחרו באפשרות הזו אם אתם רוצים ש-Sensitive Data Protection יחליף את ערך התג של רמת הרגישות בהרצות הבאות של הסריקה. כתוצאה מכך, הגישה של חשבון משתמש למשאב משתנה באופן אוטומטי כשרמת רגישות הנתונים המחושבת של אותו משאב עולה או יורדת.

      אל תבחרו באפשרות הזו אם אתם מתכננים לעדכן באופן ידני את ערכי התגים של רמת הרגישות ששירות הגילוי צירף למשאבים שלכם. אם בוחרים באפשרות הזו, יכול להיות ש-Sensitive Data Protection יחליף את העדכונים הידניים.

פרסום ב-Pub/Sub

הפעלת האפשרות Publish to Pub/Sub מאפשרת לבצע פעולות פרוגרמטיות על סמך תוצאות הפרופיילינג. אתם יכולים להשתמש בהתראות של Pub/Sub כדי לפתח תהליך עבודה לזיהוי ולתיקון של ממצאים עם סיכון משמעותי או רגישות גבוהה של נתונים.

כדי לשלוח התראות לנושא Pub/Sub, פועלים לפי השלבים הבאים:

  1. מפעילים את האפשרות פרסום ב-Pub/Sub.

    מופיעה רשימה של אפשרויות. כל אפשרות מתארת אירוע שגורם ל-Sensitive Data Protection לשלוח התראה ל-Pub/Sub.

  2. בוחרים את האירועים שיפעילו התראת Pub/Sub.

    אם בוחרים באפשרות Send a Pub/Sub notification each time a profile is updated, ‏Sensitive Data Protection שולח התראה כשחל שינוי ברמת הרגישות, ברמת הסיכון של הנתונים, בסוגי המידע שזוהו, בגישה הציבורית ובמדדים חשובים אחרים בפרופיל.

  3. מבצעים את השלבים הבאים לכל אירוע שבוחרים:

    1. כותבים את שם הנושא. השם צריך להיות בפורמט הבא:

      projects/PROJECT_ID/topics/TOPIC_ID

      מחליפים את מה שכתוב בשדות הבאים:

      • ‫PROJECT_ID: מזהה הפרויקט שמשויך לנושא ב-Pub/Sub.
      • ‫TOPIC_ID: המזהה של נושא Pub/Sub.

    2. מציינים אם לכלול בהתראה את הפרופיל המלא של הטבלה, או רק את השם המלא של המשאב של הטבלה שנוצר לה פרופיל.

    3. מגדירים את רמות הסיכון והרגישות המינימליות של הנתונים שצריכות להתקיים כדי ש-Sensitive Data Protection ישלח התראה.

    4. מציינים אם צריך לעמוד רק באחד מהתנאים של רמת הסיכון והרגישות של הנתונים, או בשניהם. לדוגמה, אם בוחרים באפשרות AND, גם התנאים של סיכון הנתונים וגם התנאים של רגישות הנתונים צריכים להתקיים כדי ש-Sensitive Data Protection ישלח התראה.

שליחה ל-Knowledge Catalog כהיבטים

הפעולה הזו מאפשרת להוסיף היבטים של Knowledge Catalog לטבלאות שנוצר להן פרופיל, על סמך תובנות מפרופילי הנתונים. הפעולה הזו חלה רק על פרופילים חדשים ומעודכנים. פרופילים קיימים שלא עודכנו לא נשלחים אל Knowledge Catalog.

כשמפעילים את הפעולה הזו, Sensitive Data Protection מצרף את ההיבט Sensitive Data Protection profile לרשומה ב-Knowledge Catalog לכל טבלה חדשה או מעודכנת שיוצרים לה פרופיל. ההיבטים שנוצרו מכילים תובנות שנאספו מפרופילי הנתונים. לאחר מכן תוכלו לחפש בארגון ובפרויקטים רשומות עם ערכי היבטים ספציפיים של Sensitive Data Protection profile.

כדי לשלוח את פרופילי הנתונים ל-Knowledge Catalog, ודאו שהאפשרות Send to Dataplex Catalog as aspects מופעלת.

מידע נוסף זמין במאמר הוספת היבטים של Knowledge Catalog על סמך תובנות מפרופילי נתונים.

ניהול החיוב והקונטיינר של סוכן השירות

בקטע הזה מציינים את הפרויקט שרוצים להשתמש בו בתור מאגר של סוכני שירות. אתם יכולים להגדיר ש-Sensitive Data Protection ייצור פרויקט חדש באופן אוטומטי, או לבחור פרויקט קיים.

לא משנה אם אתם משתמשים בסוכן שירות חדש או בסוכן שירות קיים, ודאו שיש לו גישת קריאה לנתונים שאתם רוצים ליצור להם פרופיל.

יצירת פרויקט באופן אוטומטי

אם אין לכם את ההרשאות שנדרשות כדי ליצור פרויקט בארגון, אתם צריכים לבחור פרויקט קיים או לקבל את ההרשאות הנדרשות. למידע על ההרשאות הנדרשות, קראו את המאמר התפקידים שנדרשים כדי לעבוד עם פרופילי נתונים ברמת הארגון או התיקייה.

כדי ליצור באופן אוטומטי פרויקט שישמש כמאגר של סוכני השירות:

  1. בשדה Service agent container, בודקים את מזהה הפרויקט המוצע ועורכים אותו לפי הצורך.
  2. לוחצים על יצירה.
  3. אופציונלי: מעדכנים את שם הפרויקט שמוגדר כברירת מחדל.

  4. בוחרים את החשבון לחיוב על כל הפעולות שקשורות לפרויקט החדש, כולל פעולות שלא קשורות ל-Discovery.

  5. לוחצים על יצירה.

‫Sensitive Data Protection יוצר את הפרויקט החדש. סוכן השירות בפרויקט הזה ישמש לאימות ב-Sensitive Data Protection ובממשקי API אחרים.

בחירת פרויקט קיים

כדי לבחור פרויקט קיים בתור מאגר של סוכני שירות, לוחצים על השדה Service agent container ובוחרים את הפרויקט.

הגדרת מיקום לשמירת ההגדרות האישיות

ברשימה Resource location, בוחרים את האזור שבו רוצים לאחסן את הגדרת הסריקה. כל הגדרות הסריקה שתיצרו בהמשך יאוחסנו גם הן במיקום הזה.

המיקום שבו תבחרו לאחסן את הגדרות הסריקה לא משפיע על הנתונים שייסרקו. הנתונים נסרקים באותו אזור שבו הם מאוחסנים. מידע נוסף זמין במאמר שיקולים בנוגע למיקום אחסון הנתונים.

בדיקה ויצירה

  1. אם אתם רוצים לוודא שהפרופיילינג לא יתחיל באופן אוטומטי אחרי שתיצרו את הגדרת הסריקה, בחרו באפשרות Create scan in paused mode.

    האפשרות הזו שימושית במקרים הבאים:

    • האדמין ב- Google Cloud עדיין צריך לתת לסוכן השירות גישה ליצירת פרופיל נתונים.
    • אתם רוצים ליצור כמה הגדרות סריקה, ורוצים שחלק מההגדרות יחליפו הגדרות אחרות.
    • בחרתם לשמור פרופילי נתונים ב-BigQuery ואתם רוצים לוודא שלסוכן השירות יש גישת כתיבה לטבלה ב-BigQuery שבה יישמרו העותקים של פרופילי הנתונים.
    • בחרתם לשמור ממצאים לדוגמה של סריקה ב-BigQuery, ואתם רוצים לוודא שלסוכן השירות יש גישת כתיבה לטבלה ב-BigQuery שבה יישמרו הממצאים לדוגמה.
    • הגדרתם התראות Pub/Sub ואתם רוצים לתת גישת פרסום לסוכן השירות.
    • הפעלתם את הפעולה צירוף תגים למשאבים ואתם צריכים לתת לסוכן השירות גישה לתג של רמת הרגישות.
  2. בודקים את ההגדרות ולוחצים על יצירה.

    ההגדרה של סריקת הממצאים נוצרת ב-Sensitive Data Protection ומתווספת לרשימת ההגדרות של סריקות הממצאים.

כדי לראות או לנהל את הגדרות הסריקה, קראו את המאמר ניהול הגדרות הסריקה.

הכלי Sensitive Data Protection מתחיל לזהות את המכונות של Cloud SQL וליצור חיבור ברירת מחדל לכל מכונה. התהליך הזה יכול להימשך כמה שעות, בהתאם למספר המכונות בהיקף החיפוש. אפשר לצאת ממסוף Google Cloud ולבדוק את החיבורים מאוחר יותר.

כשהחיבורים שמוגדרים כברירת מחדל מוכנים, מעדכנים אותם עם פרטי הכניסה של המשתמש במסד הנתונים שבהם אתם רוצים ש-Sensitive Data Protection ישתמש כדי ליצור פרופיל למכונות Cloud SQL. מידע נוסף זמין במאמר ניהול חיבורים לשימוש עם Discovery.

המאמרים הבאים

איך מעדכנים את החיבורים