Profilare i dati Cloud SQL in un'organizzazione o una cartella

Questa pagina descrive come configurare l'individuazione dei dati Cloud SQL a livello di organizzazione o cartella. Se vuoi profilare un progetto, consulta Profilare i dati Cloud SQL in un singolo progetto.

Per saperne di più sul servizio di rilevamento, consulta Profili di dati.

Come funziona

Di seguito è riportato un flusso di lavoro di alto livello per la profilazione dei dati Cloud SQL:

1. Crea una configurazione di scansione.

   Dopo aver creato una configurazione della scansione, Sensitive Data Protection inizia a identificare le tue istanze Cloud SQL e a creare una connessione predefinita per ogni istanza. A seconda del numero di istanze nell'ambito del rilevamento, questo processo può richiedere alcune ore. Puoi uscire dalla consoleGoogle Cloud e controllare i collegamenti in un secondo momento.

2. Concedi i ruoli IAM richiesti al service agent associato alla configurazione <x0A>della scansione.

3. Quando le connessioni predefinite sono pronte, concedi a Sensitive Data Protection l'accesso alle tue istanze Cloud SQL aggiornando ogni connessione con le credenziali utente del database corrette. Puoi fornire account utente database esistenti o creare utenti database.

4. Consigliato: aumenta il numero massimo di connessioni che Sensitive Data Protection può utilizzare per profilare i tuoi dati. Aumentando le connessioni è possibile velocizzare la scoperta.

Servizi supportati

Questa funzionalità supporta quanto segue:

• Cloud SQL per MySQL
• Cloud SQL per PostgreSQL

Cloud SQL per SQL Server non è supportato.

Regioni di elaborazione e archiviazione

Sensitive Data Protection è un servizio regionale e multiregionale; non distingue tra zone. Quando Sensitive Data Protection profila un'istanza Cloud SQL, i dati vengono elaborati nella regione corrente, ma non necessariamente nella zona corrente. Ad esempio, se un'istanza Cloud SQL è archiviata nella zona us-central1-a, Sensitive Data Protection elabora e archivia i profili di dati nella regione us-central1.

Per saperne di più, consulta Considerazioni sulla residenza dei dati.

Prima di iniziare

1. Conferma di disporre delle autorizzazioni IAM necessarie per configurare i profili dei dati a livello di organizzazione.

   Se non disponi del ruolo Amministratore organizzazione (roles/resourcemanager.organizationAdmin) o Amministratore sicurezza (roles/iam.securityAdmin), puoi comunque creare una configurazione di scansione. Tuttavia, dopo aver creato la configurazione della scansione, una persona con uno di questi ruoli deve concedere l'accesso alla profilazione dei dati al tuo service agent.

2. Devi disporre di un modello di ispezione in ogni regione in cui sono presenti dati da profilare. Se vuoi utilizzare un singolo modello per più regioni, puoi utilizzare un modello archiviato nella regione global. Se le policy dell'organizzazione ti impediscono di creare un modello di ispezione nella regione global, devi impostare un modello di ispezione dedicato per ogni regione. Per ulteriori informazioni, consulta Considerazioni sulla residenza dei dati.

   Questa attività ti consente di creare un modello di ispezione solo nella regione global. Se hai bisogno di modelli di ispezione dedicati per una o più regioni, devi crearli prima di eseguire questa attività.

3. Per inviare notifiche Pub/Sub a un argomento quando si verificano determinati eventi, ad esempio quando Sensitive Data Protection profila una nuova tabella, crea un argomento Pub/Sub prima di eseguire questa attività.

4. Puoi configurare Sensitive Data Protection in modo che aggiunga automaticamente tag alle tue risorse. Questa funzionalità ti consente di concedere l'accesso a queste risorse in modo condizionale in base ai livelli di sensibilità calcolati. Se vuoi utilizzare questa funzionalità, devi prima completare le attività descritte in Controllare l'accesso IAM alle risorse in base alla sensibilità dei dati.

5. Puoi configurare Sensitive Data Protection in modo che colleghi automaticamente gli aspetti alle risorse Cloud SQL profilate in base agli insight sulla scoperta. Se vuoi utilizzare questa funzionalità, devi abilitare l'integrazione del catalogo universale nell'istanza Cloud SQL per MySQL o nell'istanza Cloud SQL per PostgreSQL.

Per generare profili di dati, hai bisogno di un container dell'agente di servizio e di un agente di servizio al suo interno. Questa attività ti consente di crearli automaticamente.

Creazione di una configurazione di scansione

1. Vai alla pagina Crea configurazione scansione.

   Vai a Crea configurazione di scansione

2. Vai alla tua organizzazione. Nella barra degli strumenti, fai clic sul selettore dei progetti e seleziona la tua organizzazione.

Le sezioni seguenti forniscono ulteriori informazioni sui passaggi della pagina Crea configurazione scansione. Al termine di ogni sezione, fai clic su Continua.

Seleziona un tipo di rilevamento

Seleziona Cloud SQL.

Seleziona ambito

• Per configurare la profilazione a livello di organizzazione, seleziona Scansiona l'intera organizzazione.
• Per configurare la profilazione a livello di cartella, seleziona Scansiona cartella selezionata. Fai clic su Sfoglia e seleziona la cartella.

Gestisci pianificazioni

Se la frequenza di profilazione predefinita soddisfa le tue esigenze, puoi saltare questa sezione della pagina Crea configurazione di analisi.

Configura questa sezione per i seguenti motivi:

• Per apportare modifiche precise alla frequenza di profilazione di tutti i dati o di determinati sottoinsiemi di dati.
• Per specificare le tabelle che non vuoi profilare.
• Per specificare le tabelle che non vuoi profilare più di una volta.

Per apportare modifiche precise alla frequenza di profilazione:

1. Fai clic su Aggiungi pianificazione.

2. Nella sezione Filtri, definisci uno o più filtri che specificano quali tabelle rientrano nell'ambito della pianificazione. Una tabella viene considerata nell'ambito della pianificazione se corrisponde ad almeno uno dei filtri definiti.

   Per configurare un filtro, specifica almeno uno dei seguenti elementi:

   • Un ID progetto o un'espressione regolare che specifica uno o più progetti.
   • Un ID istanza o un'espressione regolare che specifica una o più istanze.
   • Un ID database o un'espressione regolare che specifica uno o più database.
   • Un ID tabella o un'espressione regolare che specifica una o più tabelle. Inserisci questo valore nel campo Nome della risorsa di database o espressione regolare.

   Le espressioni regolari devono rispettare la sintassi RE2.

   Ad esempio, se vuoi che tutte le tabelle di un database siano incluse nel filtro, inserisci l'ID database nel campo ID database.

   Per corrispondere a un filtro, una tabella deve soddisfare tutte le espressioni regolari specificate all'interno di quel filtro.

   Se vuoi aggiungere altri filtri, fai clic su Aggiungi filtro e ripeti questo passaggio.

3. Fai clic su Frequenza.

4. Nella sezione Frequenza, specifica se il servizio di rilevamento deve profilare le tabelle selezionate e, in caso affermativo, con quale frequenza:

   • Se non vuoi mai che le tabelle vengano profilate, disattiva Profila questi dati.

   • Se vuoi che le tabelle vengano profilate almeno una volta, lascia Esegui la profilazione di questi dati attivata.

     Nei campi successivi di questa sezione, specifica se il sistema deve riprofilare i dati e quali eventi devono attivare un'operazione di riprofilatura. Per saperne di più, consulta Frequenza di generazione del profilo dei dati.

     1. Per In base a una pianificazione, specifica la frequenza con cui vuoi che le tabelle vengano riprofilate. Le tabelle vengono riprofilate indipendentemente dal fatto che abbiano subito modifiche.
     2. Per Quando lo schema cambia, specifica la frequenza con cui Sensitive Data Protection deve verificare se le tabelle selezionate hanno subito modifiche allo schema dopo l'ultima profilazione. Verranno riprofilate solo le tabelle con modifiche allo schema.
     3. Per Tipi di modifica allo schema, specifica quali tipi di modifiche allo schema devono attivare un'operazione di riprofilatura. Seleziona una delle seguenti opzioni:
        • Nuove colonne: esegui nuovamente il profilo delle tabelle a cui sono state aggiunte nuove colonne.
        • Colonne rimosse: esegui nuovamente il profiling delle tabelle a cui sono state rimosse colonne.

        Ad esempio, supponiamo che tu abbia tabelle che acquisiscono nuove colonne ogni giorno e che tu debba profilare i loro contenuti ogni volta. Puoi impostare Quando lo schema cambia su Nuova profilazione ogni giorno e impostare Tipi di modifiche allo schema su Nuove colonne.

     4. Per Quando si esaminano le modifiche al modello, specifica se vuoi che i dati vengano riprofilati quando il modello di ispezione associato viene aggiornato e, in caso affermativo, con quale frequenza.

        Una modifica al modello di ispezione viene rilevata quando si verifica una delle seguenti condizioni:

        • Il nome di un modello di ispezione cambia nella configurazione della scansione.
        • Il updateTime di un modello di ispezione cambia.

     Ad esempio, se imposti un modello di ispezione per la regione us-west1 e lo aggiorni, verrà eseguita la nuova profilazione solo dei dati nella regione us-west1.

5. Fai clic su Condizioni.

   Nella sezione Condizioni, specifica i tipi di risorse di database che vuoi profilare. Per impostazione predefinita, Sensitive Data Protection è configurato per profilare tutti i tipi di risorse di database supportati. Quando Sensitive Data Protection aggiunge il supporto per altri tipi di risorse di database, anche questi tipi verranno profilati automaticamente.

6. (Facoltativo) Se vuoi impostare in modo esplicito i tipi di risorse di database che vuoi profilare, segui questi passaggi:

   1. Fai clic sul campo Tipi di risorsa di database.
   2. Seleziona i tipi di risorse di database che vuoi profilare.

   Se in un secondo momento Sensitive Data Protection aggiunge il supporto del rilevamento per altri tipi di risorse di database Cloud SQL, questi tipi verranno profilati solo se torni a questo elenco e li selezioni.

7. Fai clic su Fine.

8. (Facoltativo) Per aggiungere altre pianificazioni, fai clic su Aggiungi pianificazione e ripeti i passaggi precedenti.

9. Per specificare la precedenza tra le pianificazioni, riordinali utilizzando le frecce su arrow_upward e giù arrow_downward.

   L'ordine dei programmi specifica come vengono risolti i conflitti tra i programmi. Se una tabella corrisponde ai filtri di due pianificazioni diverse, la pianificazione più in alto nell'elenco delle pianificazioni determina la frequenza di profilazione per quella tabella.

10. (Facoltativo) Modifica o disattiva la pianificazione generica.

    L'ultima pianificazione nell'elenco è la pianificazione generica. Questa pianificazione copre le tabelle nell'ambito selezionato che non corrispondono a nessuna delle pianificazioni che hai creato. La pianificazione generica segue la frequenza di profilazione predefinita del sistema.

    • Per modificare la pianificazione generica, fai clic su edit Modifica pianificazione e poi modifica le impostazioni in base alle esigenze.
    • Per impedire a Sensitive Data Protection di profilare qualsiasi risorsa coperta dalla pianificazione generica, disattiva l'opzione Profila le risorse che non corrispondono a nessuna pianificazione personalizzata.

Seleziona template di ispezione

A seconda di come vuoi fornire una configurazione di ispezione, scegli una delle seguenti opzioni. Indipendentemente dall'opzione scelta, Sensitive Data Protection analizza i tuoi dati nella regione in cui sono archiviati. ovvero i tuoi dati non vengono trasferiti dalla regione di origine.

Opzione 1: crea un modello di ispezione

Scegli questa opzione se vuoi creare un nuovo modello di ispezione nella regione global.

1. Fai clic su Crea nuovo modello di ispezione.

2. (Facoltativo) Per modificare la selezione predefinita degli infoType, fai clic su Gestisci infoType.

   Per saperne di più su come gestire gli infoType integrati e personalizzati, consulta Gestisci gli infoType tramite la console Google Cloud .

   Per continuare, devi selezionare almeno un infoType.

3. (Facoltativo) Configura ulteriormente il modello di ispezione aggiungendo set di regole e impostando una soglia di confidenza. Per saperne di più, consulta Configura il rilevamento.

Quando Sensitive Data Protection crea la configurazione di scansione, archivia questo nuovo modello di ispezione nella regione global.

Opzione 2: utilizza un modello di ispezione esistente

Scegli questa opzione se hai template di ispezione esistenti che vuoi utilizzare.

1. Fai clic su Seleziona template di ispezione esistente.
2. Inserisci il nome completo della risorsa del modello di ispezione che vuoi utilizzare. Il campo Regione viene compilato automaticamente con il nome della regione in cui è archiviato il modello di ispezione.

   Il modello di ispezione che inserisci deve trovarsi nella stessa regione dei dati da profilare.

   Per rispettare la residenza dei dati, Sensitive Data Protection non utilizza un modello di ispezione al di fuori della regione in cui è archiviato.

   Per trovare il nome risorsa completo di un modello di ispezione, segui questi passaggi:

   1. Vai all'elenco dei modelli di ispezione. Questa pagina si apre in una scheda separata.

      Vai ai modelli di ispezione

   2. Seleziona il progetto che contiene il modello di ispezione che vuoi utilizzare.
   3. Seleziona Configurazione > Modelli > Esamina, e poi fai clic sull'ID modello del modello che vuoi utilizzare.
   4. Nella pagina visualizzata, copia il nome completo della risorsa del modello. Il nome completo della risorsa segue questo formato:

      projects/PROJECT_ID/locations/REGION/inspectTemplates/TEMPLATE_ID

   5. Nella pagina Crea configurazione di scansione, nel campo Nome modello, incolla il nome completo della risorsa del modello.
3. Per aggiungere un modello di ispezione per un'altra regione, fai clic su Aggiungi modello di ispezione e inserisci il nome risorsa completo del modello. Ripeti questa procedura per ogni regione in cui hai un modello di ispezione dedicato.
4. (Facoltativo) Aggiungi un modello di ispezione archiviato nella regione global. Sensitive Data Protection utilizza automaticamente questo modello per i dati nelle regioni in cui non è presente un modello di ispezione dedicato.

Aggiungi azioni

Questa sezione descrive come specificare le azioni che vuoi che Sensitive Data Protection esegua dopo la profilazione di una tabella. Queste azioni sono utili se vuoi inviare approfondimenti raccolti dai profili dei dati ad altri serviziGoogle Cloud .

Pubblica in Google Security Operations

Le metriche raccolte dai profili dei dati possono aggiungere contesto ai risultati di Google Security Operations. Il contesto aggiuntivo può aiutarti a determinare i problemi di sicurezza più importanti da risolvere.

Ad esempio, se stai esaminando un determinato agente di servizio, Google Security Operations può determinare a quali risorse ha avuto accesso l'agente di servizio e se una di queste risorse contiene dati sensibili.

Per inviare i profili dei dati all'istanza di Google Security Operations, attiva Pubblica in Google Security Operations.

Se non hai un'istanza Google Security Operations attivata per la tua organizzazione, tramite il prodotto autonomo o tramite Security Command Center Enterprise, l'attivazione di questa opzione non ha alcun effetto.

Pubblica su Security Command Center

I risultati dei profili di dati forniscono il contesto quando valuti e sviluppi piani di risposta per i risultati relativi a vulnerabilità e minacce in Security Command Center.

Se Security Command Center non è attivato a livello di organizzazione, i risultati di Sensitive Data Protection non vengono visualizzati in Security Command Center. Per maggiori informazioni, vedi Controllare il livello di attivazione di Security Command Center.

Per inviare i risultati dei profili di dati a Security Command Center, assicurati che l'opzione Pubblica in Security Command Center sia attivata.

Per saperne di più, consulta Pubblicare profili di dati in Security Command Center.

Salva le copie dei profili dati su BigQuery

Sensitive Data Protection salva una copia di ogni profilo di dati generato in una tabella BigQuery. Se non fornisci i dettagli della tabella che preferisci, Sensitive Data Protection crea un set di dati e una tabella nel contenitore dell'agente di servizio. Per impostazione predefinita, il set di dati si chiama sensitive_data_protection_discovery e la tabella si chiama discovery_profiles.

In questo modo, puoi conservare una cronologia di tutti i profili generati. Questa cronologia può essere utile per creare report di audit e visualizzare i profili dei dati. Puoi anche caricare queste informazioni in altri sistemi.

Inoltre, questa opzione ti consente di visualizzare tutti i tuoi profili dei dati in un'unica visualizzazione, indipendentemente dalla regione in cui si trovano i dati. Anche se puoi visualizzare i profili dei dati tramite la consoleGoogle Cloud , la console mostra i profili in una sola regione alla volta.

Quando Sensitive Data Protection non riesce a profilare una tabella, riprova periodicamente. Per ridurre al minimo il rumore nei dati esportati, Sensitive Data Protection esporta in BigQuery solo i profili generati correttamente.

Sensitive Data Protection inizia a esportare i profili dal momento in cui attivi questa opzione. I profili generati prima dell'attivazione dell'esportazione non vengono salvati in BigQuery.

Per esempi di query che puoi utilizzare durante l'analisi dei profili dei dati, consulta Analizzare i profili dei dati.

Salva i risultati del rilevamento di esempio in BigQuery

Sensitive Data Protection può aggiungere risultati di esempio a una tabella BigQuery a tua scelta. I risultati di esempio rappresentano un sottoinsieme di tutti i risultati e potrebbero non rappresentare tutti i tipi di informazioni rilevati. Normalmente, il sistema genera circa 10 risultati di esempio per tabella, ma questo numero può variare per ogni esecuzione del rilevamento.

Ogni risultato include la stringa effettiva (chiamata anche citazione) rilevata e la sua posizione esatta.

Questa azione è utile se vuoi valutare se la configurazione dell'ispezione corrisponde correttamente al tipo di informazioni che vuoi contrassegnare come sensibili. Utilizzando i profili dei dati esportati e i risultati di esempio esportati, puoi eseguire query per ottenere maggiori informazioni sugli elementi specifici segnalati, sugli infoType corrispondenti, sulle loro posizioni esatte, sui livelli di sensibilità calcolati e su altri dettagli.

SELECT
 findings_table.quote,
 findings_table.infotype.name,
 findings_table.location.container_name,
 findings_table.location.data_profile_finding_record_location.field.name AS field_name,
 profiles_table.table_profile.dataset_project_id AS