יצירת פרופיל של נתוני BigQuery בארגון או בתיקייה

בדף הזה מוסבר איך להגדיר את זיהוי הנתונים ב-BigQuery ברמת הארגון או התיקייה. הפלט של המשימה הזו הוא הגדרת גילוי ברמת הארגון, שאם היא פעילה, היא מורה לשירות Sensitive Data Protection ליצור פרופיל של הנתונים שלכם לפי לוח זמנים מוגדר.

כדי ליצור פרופיל נתונים ברמת הפרויקט, קראו את המאמר יצירת פרופיל של נתוני BigQuery בפרויקט יחיד.

מידע נוסף על שירות הגילוי זמין במאמר פרופילי נתונים.

כדי להתחיל ליצור פרופילים של נתונים, יוצרים הגדרה של סריקת גילוי.

לפני שמתחילים

  1. מוודאים שיש לכם את הרשאות ה-IAM שנדרשות להגדרת פרופילי נתונים ברמת הארגון.

    גם אם אין לכם את התפקיד Organization Administrator (roles/resourcemanager.organizationAdmin) או Security Admin (roles/iam.securityAdmin), אתם יכולים ליצור הגדרת סריקה. אבל אחרי שיוצרים את הגדרות הסריקה, מישהו עם אחד מהתפקידים האלה צריך להעניק לסוכן השירות גישה ליצירת פרופיל נתונים.

  2. צריך ליצור תבנית בדיקה בכל אזור שבו יש נתונים שרוצים ליצור להם פרופיל. אם רוצים להשתמש בתבנית אחת לכמה אזורים, אפשר להשתמש בתבנית שמאוחסנת באזור global. אם מדיניות הארגון מונעת מכם ליצור תבנית בדיקה באזור global, אתם צריכים להגדיר תבנית בדיקה ייעודית לכל אזור. מידע נוסף מופיע במאמר שיקולים לגבי מיקום הנתונים.

    המשימה הזו מאפשרת ליצור תבנית בדיקה באזור global בלבד. אם אתם צריכים תבניות בדיקה ייעודיות לאזור אחד או יותר, אתם צריכים ליצור את התבניות האלה לפני ביצוע המשימה הזו.

  3. כדי לשלוח התראות Pub/Sub לנושא כשמתרחשים אירועים מסוימים – למשל כש-Sensitive Data Protection יוצר פרופיל של טבלה חדשה – צריך ליצור נושא Pub/Sub לפני שמבצעים את המשימה הזו.

  4. אתם יכולים להגדיר את Sensitive Data Protection כך שיצרף באופן אוטומטי תגים למשאבים שלכם. התכונה הזו מאפשרת להעניק גישה למשאבים האלה באופן מותנה, על סמך רמות הרגישות המחושבות שלהם. כדי להשתמש בתכונה הזו, קודם צריך להשלים את המשימות שמפורטות במאמר שליטה בגישה של IAM למשאבים על סמך רגישות הנתונים.

כדי ליצור פרופילי נתונים, צריך מאגר של סוכני שירות וסוכן שירות בתוכו. המשימה הזו מאפשרת ליצור אותם באופן אוטומטי.

יצירת הגדרות סריקה

  1. עוברים לדף יצירת הגדרת סריקה.

    כניסה לדף Create scan configuration

  2. עוברים לארגון. בסרגל הכלים, לוחצים על בורר הפרויקטים ובוחרים את הארגון.

בקטעים הבאים מוסבר בהרחבה על השלבים בדף Create scan configuration. בסוף כל קטע, לוחצים על המשך.

בוחרים סוג גילוי.

בוחרים באפשרות BigQuery.

בחירת היקף הרשאות

מבצעים אחת מהפעולות הבאות:

  • כדי להגדיר פרופילים ברמת הארגון, בוחרים באפשרות Scan entire organization.
  • כדי להגדיר פרופילים ברמת התיקייה, בוחרים באפשרות סריקת התיקייה שנבחרה. לוחצים על Browse (עיון) ובוחרים את התיקייה.

ניהול לוחות הזמנים

אם תדירות יצירת הפרופילים שמוגדרת כברירת מחדל מתאימה לצרכים שלכם, אתם יכולים לדלג על החלק הזה בדף Create scan configuration.

מגדירים את הקטע הזה מהסיבות הבאות:

  • כדי לבצע שינויים מדויקים בתדירות יצירת הפרופילים של כל הנתונים או של קבוצות משנה מסוימות של הנתונים.
  • כדי לציין את הטבלאות שלא רוצים ליצור להן פרופיל.
  • כדי לציין את הטבלאות שלא רוצים ליצור להן פרופיל יותר מפעם אחת.

כדי לבצע התאמות מדויקות בתדירות יצירת הפרופילים, פועלים לפי השלבים הבאים:

  1. לוחצים על הוספת לוח זמנים.

  2. בקטע Filters (מסננים), מגדירים מסנן אחד או יותר שמציין אילו טבלאות נמצאות בהיקף של התזמון. טבלה נחשבת כחלק מההיקף של התזמון אם היא תואמת לפחות לאחד מהמסננים שהוגדרו.

    כדי להגדיר מסנן, צריך לציין לפחות אחד מהפרטים הבאים:

    • מזהה פרויקט או ביטוי רגולרי שמציין פרויקט אחד או יותר
    • מזהה של קבוצת נתונים או ביטוי רגולרי שמציין קבוצת נתונים אחת או יותר
    • מזהה טבלה או ביטוי רגולרי שמציין טבלה אחת או יותר

    הביטויים הרגולריים צריכים להיות בהתאם לתחביר RE2.

    לדוגמה, אם רוצים שכל הטבלאות בפרויקט ייכללו במסנן, מציינים את מזהה הפרויקט ומשאירים את שני השדות האחרים ריקים.

    כדי שתהיה התאמה למסנן, הטבלה צריכה לעמוד בכל הביטויים הרגולריים שצוינו במסנן.

    כדי להוסיף עוד מסננים, לוחצים על הוספת מסנן וחוזרים על השלב הזה.

  3. לוחצים על תדירות.

  4. בקטע Frequency, מציינים אם Sensitive Data Protection צריך ליצור פרופיל לטבלאות שהגדרתם במסננים, ואם כן, באיזו תדירות:

    • אם אתם לא רוצים ליצור פרופיל לטבלאות, השביתו את האפשרות Profile the tables.

    • אם רוצים שהטבלאות ינותחו לפחות פעם אחת, משאירים את האפשרות ניתוח הטבלאות מופעלת.

      בשדות הבאים בקטע הזה מציינים אם המערכת צריכה ליצור מחדש את הפרופיל של הנתונים, ואילו אירועים צריכים להפעיל פעולה של יצירת פרופיל מחדש. מידע נוסף מופיע במאמר בנושא תדירות יצירת פרופיל הנתונים.

      1. בשדה When schema changes, מציינים באיזו תדירות Sensitive Data Protection צריכה לבדוק אם בוצעו שינויים בסכימה של הטבלאות שנבחרו מאז הפעם האחרונה שהן נותחו. רק טבלאות עם שינויים בסכימה ינותחו מחדש.
      2. בקטע Types of schema change, מציינים אילו סוגים של שינויים בסכימה יפעילו פעולת יצירת פרופיל מחדש. בוחרים אחת מהאפשרויות הבאות:
        • עמודות חדשות: יצירת פרופיל מחדש של הטבלאות שנוספו להן עמודות חדשות.
        • עמודות שהוסרו: צריך ליצור פרופיל מחדש לטבלאות שהוסרו מהן עמודות.

        לדוגמה, נניח שיש לכם טבלאות שנוספות להן עמודות חדשות מדי יום, ואתם צריכים ליצור פרופיל של התוכן שלהן בכל פעם. אפשר להגדיר את האפשרות When schema changes (כשיש שינויים בסכימה) לReprofile daily (יצירת פרופיל מחדש מדי יום), ואת האפשרות Types of schema change (סוגי שינויים בסכימה) לNew columns (עמודות חדשות).

      3. בקטע When table changes (כשיש שינויים בטבלה), מציינים באיזו תדירות Sensitive Data Protection צריך לבדוק אם בוצעו שינויים בטבלאות שנבחרו מאז הפעם האחרונה שנוצר להן פרופיל. רק טבלאות עם שינויים יקבלו פרופיל חדש. דוגמאות לשינויים בטבלה: מחיקת שורות ושינויים בסכימה.

        צריך לבחור ערך זהה לערך שהגדרתם בשדה When schema changes או ערך עם תדירות נמוכה יותר.

      4. בקטע When inspect template changes (כשבודקים שינויים בתבנית), מציינים אם רוצים שהנתונים ינותחו מחדש כשמעדכנים את תבנית הבדיקה המשויכת, ואם כן, באיזו תדירות.

        שינוי בתבנית בדיקה מזוהה באחד מהמקרים הבאים:

        • השם של תבנית הבדיקה משתנה בהגדרת הסריקה.
        • הערך של updateTime בתבנית בדיקה משתנה.

        5. לדוגמה, אם הגדרתם תבנית בדיקה לאזור us-west1 ועדכנתם את תבנית הבדיקה הזו, רק הנתונים באזור us-west1 יוגדרו מחדש.

  5. לוחצים על תנאים.

  6. בקטע Conditions, מציינים את התנאים שהטבלאות, שמוגדרות במסננים, צריכות לעמוד בהם לפני ש-Sensitive Data Protection יחיל עליהן פרופילים. אם מגדירים תנאים מינימליים וגם תנאי זמן, Sensitive Data Protection יוצר פרופילים רק לטבלאות שעומדות בשני סוגי התנאים.

    • תנאי מינימום: התנאים האלה שימושיים אם רוצים לעכב את יצירת הפרופיל של טבלה עד שיהיו בה מספיק שורות או עד שהיא תגיע לגיל מסוים. מפעילים את התנאים שרוצים להחיל ומציינים את מספר השורות או משך הזמן המינימליים.
    • תנאי זמן: התנאי הזה שימושי אם אתם לא רוצים ליצור פרופיל לטבלאות ישנות. מפעילים את תנאי הזמן ובוחרים תאריך ושעה. כל טבלה שנוצרה בתאריך הזה או לפניו לא נכללת בפרופיל.

    תנאים לדוגמה

    נניח שהגדרתם את ההגדרות הבאות:

    • תנאים מינימליים

      • מספר שורות מינימלי: 10 שורות
      • משך הזמן המינימלי: 24 שעות

    • תנאי זמן

      • חותמת זמן: 4.5.22, 23:59

    במקרה כזה, Sensitive Data Protection לא כולל טבלאות שנוצרו ב-4 במאי 2022, בשעה 23:59 או לפני כן. מבין הטבלאות שנוצרו אחרי התאריך והשעה האלה, פרופילים של Sensitive Data Protection יכללו רק את הטבלאות שיש בהן 10 שורות או שהן בנות 24 שעות לפחות.

  7. בקטע Tables to profile, בוחרים אחת מהאפשרויות הבאות, בהתאם לסוגי הטבלאות שרוצים ליצור להן פרופיל:

    • יצירת פרופיל של כל הטבלאות: בוחרים באפשרות הזו אם רוצים שמערכת Sensitive Data Protection תיצור פרופיל של כל סוגי הטבלאות שתואמים למסננים ולתנאים שהגדרתם.

      עבור סוגי טבלאות שלא נתמכים, Sensitive Data Protection יוצר פרופילים שאוכלסו רק באופן חלקי. בפרופילים כאלה מוצגות שגיאות שמציינות שהטבלאות שהם קשורים אליהן לא נתמכות. צריך לבחור באפשרות הזו אם רוצים לראות את הפרופילים החלקיים למרות הודעות השגיאה.

      כשנוספת ל-Sensitive Data Protection תמיכה בסוג טבלה חדש, המערכת יוצרת פרופיל מלא לטבלאות מהסוג הזה בהפעלה המתוזמנת הבאה.

    • טבלאות נתמכות בפרופיל: בוחרים באפשרות הזו אם רוצים ש-Sensitive Data Protection תיצור פרופיל רק של הטבלאות הנתמכות שתואמות למסננים ולתנאים שהגדרתם. בטבלאות שלא נתמכות לא יהיו פרופילים חלקיים.

    • סוגי טבלאות ספציפיים לפרופיל: בוחרים באפשרות הזו אם רוצים ש-Sensitive Data Protection יצור פרופיל רק לסוגי הטבלאות שבוחרים. ברשימה שמופיעה, בוחרים סוג אחד או יותר.

      כש-Sensitive Data Protection מוסיף תמיכה בסוג חדש של טבלה, הוא לא יוצר באופן אוטומטי פרופילים של טבלאות מהסוג הזה. כדי ליצור פרופיל לסוגי הטבלאות החדשים שנתמכים, צריך לערוך את הגדרות הסריקה ולבחור את הסוגים האלה.

    אם לא תבחרו אפשרות, Sensitive Data Protection יצור פרופילים רק לטבלאות ב-BigQuery ויציג שגיאות בטבלאות שלא נתמכות.

    התמחור של יצירת פרופיל נתונים משתנה בהתאם לסוגי הטבלאות שנוצר להן פרופיל. מידע נוסף זמין במאמר תמחור של יצירת פרופילים של נתונים.

  8. לוחצים על סיום.

  9. אופציונלי: כדי להוסיף עוד לוחות זמנים, לוחצים על Add schedule וחוזרים על השלבים הקודמים.

  10. כדי לציין את סדר העדיפויות בין לוחות הזמנים, משנים את הסדר שלהם באמצעות החיצים למעלה ו- למטה.

    הסדר של לוחות הזמנים מציין איך לפתור התנגשויות בין לוחות זמנים. אם טבלה תואמת למסננים של שני תזמונים שונים, התזמון שמופיע גבוה יותר ברשימת התזמונים קובע את תדירות יצירת הפרופילים של אותה טבלה.

  11. אופציונלי: עורכים או משביתים את לוח הזמנים הכללי.

    לוח הזמנים האחרון ברשימה הוא לוח הזמנים הכללי. התזמון הזה כולל את הטבלאות בהיקף שבחרתם שלא תואמות לאף אחד מהתזמונים שיצרתם. התזמון של כלל ה-catch-all נקבע לפי תדירות ברירת המחדל של המערכת ליצירת פרופילים.

    • כדי לשנות את לוח הזמנים של כתובת ה-catch-all, לוחצים על עריכת לוח הזמנים ומשנים את ההגדרות לפי הצורך.
    • כדי למנוע מ-Sensitive Data Protection ליצור פרופיל של משאבים שנכללים בלוח הזמנים הכללי, משביתים את האפשרות יצירת פרופיל של משאבים שלא תואמים ללוח זמנים מותאם אישית.

בחירת תבנית בדיקה

בהתאם לאופן שבו אתם רוצים לספק הגדרת בדיקה, בחרו אחת מהאפשרויות הבאות. לא משנה באיזו אפשרות תבחרו, Sensitive Data Protection סורק את הנתונים באזור שבו הם מאוחסנים. כלומר, הנתונים לא יוצאים מהאזור שבו הם נוצרו.

אפשרות 1: יצירת תבנית בדיקה

בוחרים באפשרות הזו אם רוצים ליצור תבנית בדיקה חדשה באזור global.

  1. לוחצים על יצירת תבנית חדשה לבדיקה.

  2. אופציונלי: כדי לשנות את הבחירה של סוגי המידע שמוגדרים כברירת מחדל, לוחצים על ניהול סוגי מידע.

    מידע נוסף על ניהול של סוגי מידע מובנים ומותאמים אישית זמין במאמר בנושא ניהול סוגי מידע דרך מסוףGoogle Cloud .

    כדי להמשיך, צריך לבחור לפחות סוג מידע אחד.

  3. אופציונלי: אפשר להוסיף עוד כללים ולהגדיר סף מהימנות כדי להגדיר עוד את תבנית הבדיקה. מידע נוסף זמין במאמר בנושא הגדרת זיהוי.

כשההגדרה של הסריקה נוצרת ב-Sensitive Data Protection, תבנית הבדיקה החדשה נשמרת באזור global.

אפשרות 2: שימוש בתבנית בדיקה קיימת

כדאי לבחור באפשרות הזו אם יש לכם תבניות בדיקה קיימות שאתם רוצים להשתמש בהן.

  1. לוחצים על בחירת תבנית בדיקה קיימת.
  2. מזינים את שם המשאב המלא של תבנית הבדיקה שבה רוצים להשתמש. השדה אזור מאוכלס אוטומטית בשם האזור שבו מאוחסנת תבנית הבדיקה.

    תבנית הבדיקה שאתם מזינים צריכה להיות באותו אזור שבו נמצאים הנתונים שאתם רוצים ליצור להם פרופיל.

    כדי לכבד את מיקום אחסון הנתונים, Sensitive Data Protection לא משתמש בתבנית בדיקה מחוץ לאזור שבו התבנית מאוחסנת.

    כדי למצוא את שם המשאב המלא של תבנית בדיקה:

    1. עוברים לרשימת תבניות הבדיקה. הדף הזה נפתח בכרטיסייה נפרדת.

      מעבר לתבניות בדיקה

    2. בוחרים את הפרויקט שמכיל את תבנית הבדיקה שרוצים להשתמש בה.
    3. לוחצים על Configuration > Templates > Inspect (הגדרה > תבניות > בדיקה), ואז לוחצים על מזהה התבנית שרוצים להשתמש בה.
    4. בדף שנפתח, מעתיקים את שם המשאב המלא של התבנית. השם המלא של המשאב הוא בפורמט הבא: 
      projects/PROJECT_ID/locations/REGION/inspectTemplates/TEMPLATE_ID
    5. בדף Create scan configuration, בשדה Template name מדביקים את שם המשאב המלא של התבנית.
  3. כדי להוסיף תבנית בדיקה לאזור אחר, לוחצים על הוספת תבנית בדיקה ומזינים את שם המשאב המלא של התבנית. חוזרים על הפעולה הזו בכל אזור שבו יש לכם תבנית בדיקה ייעודית.
  4. אופציונלי: מוסיפים תבנית בדיקה שמאוחסנת באזור global. מערכת Sensitive Data Protection משתמשת אוטומטית בתבנית הזו לנתונים באזורים שבהם אין לכם תבנית ייעודית לבדיקה.

הוספת פעולות

בקטע הזה מוסבר איך מציינים פעולות שרוצים ש-Sensitive Data Protection יבצע אחרי יצירת פרופיל של טבלה. הפעולות האלה שימושיות אם רוצים לשלוח תובנות שנאספו מפרופילי נתונים לשירותים אחרים שלGoogle Cloud .

פרסום ב-Google Security Operations

מדדים שנאספים מפרופילי נתונים יכולים להוסיף הקשר לממצאים של Google Security Operations. ההקשר הנוסף יכול לעזור לכם להחליט מהן בעיות האבטחה שהכי חשוב לטפל בהן.

לדוגמה, אם אתם חוקרים סוכן שירות מסוים, Google Security Operations יכול לקבוע לאילו משאבים סוכן השירות ניגש, ואם באחד מהמשאבים האלה יש נתונים ברגישות גבוהה.

כדי לשלוח את הפרופילים של הנתונים למכונה של Google Security Operations, מפעילים את האפשרות Publish to Google Security Operations.

אם לא הפעלתם מכונה של Google Security Operations בארגון – דרך המוצר הנפרד או דרך Security Command Center Enterprise – להפעלת האפשרות הזו לא תהיה השפעה.

פרסום ב-Security Command Center

הממצאים מפרופילי הנתונים מספקים הקשר כשממיינים ומפתחים תוכניות תגובה לממצאי הפגיעות והאיומים ב-Security Command Center.

כדי להשתמש בפעולה הזו, צריך להפעיל את Security Command Center ברמת הארגון. הפעלת Security Command Center ברמת הארגון מאפשרת את זרימת הממצאים משירותים משולבים כמו Sensitive Data Protection. ‫Sensitive Data Protection פועל עם Security Command Center בכל רמות השירות.

אם Security Command Center לא מופעל ברמת הארגון, הממצאים של Sensitive Data Protection לא יופיעו ב-Security Command Center. מידע נוסף זמין במאמר בנושא בדיקת רמת ההפעלה של Security Command Center.

כדי לשלוח את התוצאות של פרופילי הנתונים ל-Security Command Center, ודאו שהאפשרות Publish to Security Command Center מופעלת.

מידע נוסף זמין במאמר בנושא פרסום פרופילי נתונים ב-Security Command Center.

שמירת עותקים של פרופילי נתונים ב-BigQuery

‫Sensitive Data Protection שומר עותק של כל פרופיל נתונים שנוצר בטבלה ב-BigQuery. אם לא תספקו את פרטי הטבלה המועדפת, Sensitive Data Protection תיצור מערך נתונים וטבלה בקונטיינר של סוכן השירות. כברירת מחדל, שם קבוצת הנתונים הוא sensitive_data_protection_discovery ושם הטבלה הוא discovery_profiles.

הפעולה הזו מאפשרת לכם לשמור היסטוריה של כל הפרופילים שנוצרו. היסטוריה כזו יכולה להיות שימושית ליצירת דוחות ביקורת ולהצגה חזותית של פרופילי נתונים. אפשר גם לטעון את המידע הזה למערכות אחרות.

בנוסף, האפשרות הזו מאפשרת לכם לראות את כל פרופילי הנתונים בתצוגה אחת, בלי קשר למיקום אחסון הנתונים שלכם. אפשר גם לראות את פרופילי הנתונים דרך מסוףGoogle Cloud , אבל במסוף מוצגים הפרופילים רק באזור אחד בכל פעם.

אם Sensitive Data Protection לא מצליח ליצור פרופיל של טבלה, הוא מנסה שוב מדי פעם. כדי לצמצם את הרעש בנתונים שמיוצאים, Sensitive Data Protection מייצא ל-BigQuery רק את הפרופילים שנוצרו בהצלחה.

הייצוא של הפרופילים ב-Sensitive Data Protection מתחיל מרגע שמפעילים את האפשרות הזו. פרופילים שנוצרו לפני שהפעלתם את הייצוא לא נשמרים ב-BigQuery.

במאמר ניתוח פרופילי נתונים מופיעות שאילתות לדוגמה שאפשר להשתמש בהן כשמנתחים פרופילי נתונים.

שמירת ממצאים לדוגמה של גילוי ב-BigQuery

‫Sensitive Data Protection יכול להוסיף ממצאים לדוגמה לטבלה ב-BigQuery שתבחרו. הממצאים לדוגמה מייצגים קבוצת משנה של כל הממצאים, ויכול להיות שהם לא מייצגים את כל סוגי המידע שנמצאו. בדרך כלל המערכת יוצרת כ-10 ממצאים לדוגמה לכל טבלה, אבל המספר הזה יכול להשתנות בכל הרצה של זיהוי.

כל ממצא כולל את המחרוזת עצמה (שנקראת גם ציטוט) שזוהתה ואת המיקום המדויק שלה.

הפעולה הזו שימושית אם רוצים להעריך אם הגדרת הבדיקה מתאימה לסוג המידע שרוצים לסמן כרגיש. באמצעות פרופילי הנתונים המיוצאים וממצאי הדגימה המיוצאים, אפשר להריץ שאילתות כדי לקבל מידע נוסף על הפריטים הספציפיים שסומנו, על סוגי המידע שהם תואמים להם, על המיקומים המדויקים שלהם, על רמות הרגישות המחושבות שלהם ועל פרטים נוספים.

בדוגמה הזו צריך להפעיל גם את האפשרות שמירת עותקים של פרופילי נתונים ב-BigQuery וגם את האפשרות שמירת ממצאים לדוגמה של סריקה ב-BigQuery.

השאילתה הבאה משתמשת בפעולה INNER JOIN גם בטבלה של פרופילי הנתונים המיוצאים וגם בטבלה של ממצאי הדוגמה המיוצאים. בטבלה שנוצרת, כל רשומה מציגה את הציטוט של הממצא, את ה-infoType שתואם לו, את המשאב שמכיל את הממצא ואת רמת הרגישות המחושבת של המשאב. 

SELECT
 findings_table.quote,
 findings_table.infotype.name,
 findings_table.location.container_name,
 findings_table.location.data_profile_finding_record_location.field.name AS field_name,
 profiles_table.table_profile.dataset_project_id AS project_id,
 profiles_table.table_profile.dataset_id AS dataset_id,
 profiles_table.table_profile.table_id AS table_id,
 profiles_table.table_profile.sensitivity_score AS table_sensitivity_score
 FROM
 `FINDINGS_TABLE_PROJECT_ID.FINDINGS_TABLE_DATASET_ID.FINDINGS_TABLE_ID_latest_v1` AS findings_table
INNER JOIN
 `PROFILES_TABLE_PROJECT_ID.PROFILES_TABLE_DATASET_ID.PROFILES_TABLE_ID_latest_v1` AS profiles_table
ON
 findings_table.data_profile_resource_name=profiles_table.table_profile.name
 AND findings_table.timestamp.timestamp=profiles_table.table_profile.profile_last_generated.timestamp

כדי לשמור ממצאים לדוגמה בטבלה ב-BigQuery:

  1. מפעילים את האפשרות שמירת ממצאי גילוי לדוגמה ב-BigQuery.

  2. מזינים את פרטי הטבלה ב-BigQuery שבה רוצים לשמור את הממצאים לדוגמה.

    הטבלה שאתם מציינים לפעולה הזו צריכה להיות שונה מהטבלה שמשמשת לפעולה שמירת עותקים של פרופילי נתונים ב-BigQuery.

    • בקטע מזהה פרויקט, מזינים את המזהה של פרויקט קיים שאליו רוצים לייצא את הממצאים.

    • בשדה Dataset ID, מזינים את השם של מערך נתונים קיים בפרויקט.

    • בשדה Table ID, מזינים את שם הטבלה ב-BigQuery שבה רוצים לשמור את הממצאים. אם הטבלה הזו לא קיימת, Sensitive Data Protection יוצר אותה בשבילכם באופן אוטומטי באמצעות השם שסיפקתם.

למידע על התוכן של כל ממצא שנשמר בטבלה ב-BigQuery, אפשר לעיין במאמר DataProfileFinding.

צירוף תגים למשאבים

הפעלת האפשרות צירוף תגים למשאבים מורה לשירות Sensitive Data Protection לתייג אוטומטית את הנתונים בהתאם לרמת הרגישות המחושבת שלהם. כדי לבצע את המשימות בקטע הזה, קודם צריך לבצע את המשימות בקטע שליטה בגישה של IAM למשאבים על סמך רגישות הנתונים.

כדי לתייג משאב באופן אוטומטי לפי רמת הרגישות המחושבת שלו:

  1. מפעילים את האפשרות תיוג משאבים.

  2. לכל רמת רגישות (גבוהה, בינונית, נמוכה ולא ידועה), מזינים את הנתיב של ערך התג שיצרתם לרמת הרגישות הזו.

    אם מדלגים על רמת רגישות, לא מצורף תג בשבילה.

  3. כדי להוריד באופן אוטומטי את רמת הסיכון של נתונים במשאב כשתג רמת הרגישות קיים, בוחרים באפשרות When a tag is applied to a resource, lower the data risk of its profile to LOW. האפשרות הזו עוזרת למדוד את השיפור במצב אבטחת המידע והפרטיות.

  4. בוחרים אחת מהאפשרויות הבאות או את שתיהן:

    • תיוג משאב כשיוצרים לו פרופיל בפעם הראשונה

    • תיוג משאב כשהפרופיל שלו מתעדכן בוחרים באפשרות הזו אם רוצים ש-Sensitive Data Protection יחליף את ערך התג של רמת הרגישות בהרצות הבאות של הסריקה. כתוצאה מכך, הגישה של חשבון משתמש למשאב משתנה באופן אוטומטי כשרמת רגישות הנתונים המחושבת של אותו משאב עולה או יורדת.

      אל תבחרו באפשרות הזו אם אתם מתכננים לעדכן באופן ידני את ערכי התגים של רמת הרגישות ששירות הגילוי צירף למשאבים שלכם. אם בוחרים באפשרות הזו, יכול להיות ש-Sensitive Data Protection יחליף את העדכונים הידניים.

פרסום ב-Pub/Sub

הפעלת האפשרות פרסום ב-Pub/Sub מאפשרת לכם לבצע פעולות פרוגרמטיות על סמך תוצאות הפרופילים. אתם יכולים להשתמש בהתראות של Pub/Sub כדי לפתח תהליך עבודה לזיהוי ולתיקון של ממצאים עם סיכון משמעותי או רגישות גבוהה של נתונים.

כדי לשלוח התראות לנושא Pub/Sub, פועלים לפי השלבים הבאים:

  1. מפעילים את האפשרות פרסום ב-Pub/Sub.

    מופיעה רשימה של אפשרויות. כל אפשרות מתארת אירוע שגורם ל-Sensitive Data Protection לשלוח התראה ל-Pub/Sub.

  2. בוחרים את האירועים שצריכים להפעיל התראה ב-Pub/Sub.

    אם בוחרים באפשרות Send a Pub/Sub notification each time a profile is updated (שליחת התראה ב-Pub/Sub בכל פעם שפרופיל מתעדכן), Sensitive Data Protection שולחת התראה כשמתרחש שינוי ברמת הרגישות, ברמת הסיכון של הנתונים, בסוגי ה-infoType שזוהו, בגישה הציבורית ובמדדים חשובים אחרים בפרופיל.

  3. לכל אירוע שבוחרים, פועלים לפי השלבים הבאים:

    1. מזינים את שם הנושא. השם צריך להיות בפורמט הבא:

      projects/PROJECT_ID/topics/TOPIC_ID

      מחליפים את מה שכתוב בשדות הבאים:

      • ‫PROJECT_ID: מזהה הפרויקט שמשויך לנושא ב-Pub/Sub.
      • ‫TOPIC_ID: המזהה של נושא Pub/Sub.

    2. מציינים אם לכלול בהתראה את הפרופיל המלא של הטבלה, או רק את השם המלא של המשאב של הטבלה שנוצר לה פרופיל.

    3. מגדירים את רמות הסיכון והרגישות המינימליות של הנתונים שצריך לעמוד בהן כדי ש-Sensitive Data Protection ישלח התראה.

    4. מציינים אם צריך לעמוד רק באחד מהתנאים של רמת הסיכון והרגישות של הנתונים, או בשניהם. לדוגמה, אם בוחרים באפשרות AND, גם התנאים של סיכון הנתונים וגם התנאים של רגישות הנתונים צריכים להתקיים כדי ש-Sensitive Data Protection ישלח התראה.

שליחה ל-Knowledge Catalog כהיבטים

הפעולה הזו מאפשרת לכם להוסיף מאפיינים של Knowledge Catalog לטבלאות עם פרופילים על סמך תובנות מפרופילי נתונים. הפעולה הזו חלה רק על פרופילים חדשים ומעודכנים. פרופילים קיימים שלא עודכנו לא נשלחים אל Knowledge Catalog.

כשמפעילים את הפעולה הזו, Sensitive Data Protection מצרף את ההיבט Sensitive Data Protection profile לרשומה ב-Knowledge Catalog לכל טבלה חדשה או מעודכנת שיוצרים לה פרופיל. ההיבטים שנוצרו מכילים תובנות שנאספו מפרופילי הנתונים. אחר כך תוכלו לחפש בארגון ובפרויקטים שלכם רשומות עם ערכי Sensitive Data Protection profile מאפיינים ספציפיים.

כדי לשלוח את פרופילי הנתונים אל Knowledge Catalog, מוודאים שהאפשרות שליחה אל Dataplex Catalog כהיבטים מופעלת.

מידע נוסף זמין במאמר הוספת היבטים של Knowledge Catalog על סמך תובנות מפרופילי נתונים.

ניהול החיוב והקונטיינר של סוכן השירות

בקטע הזה מציינים את הפרויקט שרוצים להשתמש בו בתור מאגר של סוכני שירות. אתם יכולים לאפשר ל-Sensitive Data Protection ליצור פרויקט חדש באופן אוטומטי, או לבחור פרויקט קיים.

בין אם אתם משתמשים בסוכן שירות חדש או בסוכן שירות קיים, חשוב לוודא שיש לו גישת קריאה לנתונים שאתם רוצים ליצור להם פרופיל.

יצירת פרויקט באופן אוטומטי

אם אין לכם את ההרשאות שנדרשות כדי ליצור פרויקט בארגון, אתם צריכים לבחור פרויקט קיים או לקבל את ההרשאות הנדרשות. למידע על ההרשאות הנדרשות, קראו את המאמר התפקידים שנדרשים כדי לעבוד עם פרופילי נתונים ברמת הארגון או התיקייה.

כדי ליצור באופן אוטומטי פרויקט שישמש כמאגר של סוכן השירות:

  1. בשדה Service agent container, בודקים את מזהה הפרויקט המוצע ועורכים אותו לפי הצורך.
  2. לוחצים על יצירה.
  3. אופציונלי: מעדכנים את שם הפרויקט שמוגדר כברירת מחדל.

  4. בוחרים את החשבון לחיוב על כל הפעולות שקשורות לפרויקט החדש, כולל פעולות שלא קשורות ל-Discovery.

  5. לוחצים על יצירה.

הפרויקט החדש נוצר על ידי Sensitive Data Protection. סוכן השירות בפרויקט הזה ישמש לאימות ב-Sensitive Data Protection ובממשקי API אחרים.

בחירת פרויקט קיים

כדי לבחור פרויקט קיים כמאגר של סוכן השירות, לוחצים על השדה Service agent container (מאגר של סוכן השירות) ובוחרים את הפרויקט.

הגדרת מיקום לשמירת ההגדרות האישיות

לוחצים על הרשימה Resource location ובוחרים את האזור שבו רוצים לאחסן את הגדרת הסריקה הזו. כל הגדרות הסריקה שתיצרו בהמשך יאוחסנו גם הן במיקום הזה.

המיקום שבו תבחרו לאחסן את הגדרות הסריקה לא משפיע על הנתונים שייסרקו. הנתונים שלכם נסרקים באותו אזור שבו הם מאוחסנים. מידע נוסף זמין במאמר שיקולים בנוגע למיקום אחסון הנתונים.

בדיקה ויצירה

  1. אם אתם רוצים לוודא שהפרופיילינג לא יתחיל באופן אוטומטי אחרי שתיצרו את הגדרת הסריקה, בחרו באפשרות Create scan in paused mode.

    האפשרות הזו שימושית במקרים הבאים:

    • האדמין ב- Google Cloud עדיין צריך לתת לסוכן השירות גישה ליצירת פרופיל נתונים.
    • אתם רוצים ליצור כמה הגדרות סריקה, וחלק מההגדרות צריכות להחליף הגדרות אחרות.
    • בחרתם לשמור פרופילי נתונים ב-BigQuery ואתם רוצים לוודא שלסוכן השירות יש הרשאת כתיבה לטבלה ב-BigQuery שבה יישמרו העותקים של פרופילי הנתונים.
    • בחרתם לשמור ממצאים לדוגמה של סריקה ב-BigQuery, ואתם רוצים לוודא שלסוכן השירות יש גישת כתיבה לטבלה ב-BigQuery שבה יישמרו הממצאים לדוגמה.
    • הגדרתם התראות Pub/Sub ואתם רוצים לתת גישת פרסום לסוכן השירות.
    • הפעלתם את הפעולה Attach tags to resources ואתם צריכים לתת לסוכן השירות גישה לתג של רמת הרגישות.
  2. בודקים את ההגדרות ולוחצים על יצירה.

    Sensitive Data Protection יוצר את הגדרת הסריקה ומוסיף אותה לרשימת הגדרות הסריקה לגילוי.

כדי לראות או לנהל את הגדרות הסריקה, אפשר לעיין במאמר ניהול הגדרות הסריקה.

אם לסוכן השירות יש את התפקידים שנדרשים כדי לגשת לנתונים וליצור להם פרופיל, Sensitive Data Protection מתחיל לסרוק את הנתונים זמן קצר אחרי שיוצרים את הגדרות הסריקה או ממשיכים הגדרה שהושהתה. אחרת, תוצג שגיאה ב-Sensitive Data Protection כשתציגו את פרטי הגדרת הסריקה.

המאמרים הבאים