סקירה כללית על מרכז האבטחה

במאמר הזה מוסבר על מרכז האבטחה של BigQuery במסוףGoogle Cloud . אתם יכולים להשתמש במרכז האבטחה כדי לנתח את פרופילי אבטחת המידע של הארגון, להגדיר ולנהל את מדיניות האבטחה ברמת השורה וברמת העמודה, ולנהל את תגי משילות המידע ותגי המדיניות.

לפני שמתחילים

כדי לראות מידע במרכז האבטחה, צריך:

מפעילים את Dataplex API, אם הוא עדיין לא מופעל.

תפקידים שנדרשים להפעלת ממשקי API

כדי להפעיל ממשקי API, צריך את ההרשאה serviceusage.services.enable. אם יצרתם את הפרויקט, סביר להניח שכבר יש לכם את ההרשאה הזו דרך התפקיד "בעלים" (roles/owner). אחרת, תוכלו לקבל את ההרשאה הזו דרך התפקיד "אדמין בממשק 'שימוש בשירות'" (roles/serviceusage.serviceUsageAdmin). איך מקצים תפקידים

להפעלת ה-API

התפקידים הנדרשים

כדי לקבל את ההרשאות שדרושות לניהול ולמעקב אחרי הגדרות האבטחה בדף מרכז האבטחה של BigQuery, צריך לבקש מהאדמין להקצות לכם את תפקידי ה-IAM הבאים:

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

בחירת משאבים וניתוח פרופיל האבטחה

בכרטיסייה Resources במרכז האבטחה אתם יכולים לחפש מערכי נתונים וטבלאות בפרויקט ב-BigQuery, לראות את מדיניות האבטחה שמצורפת אליהם ולנתח את פרופיל האבטחה של כל משאב.

ניתוח פרופיל אבטחה באמצעות Gemini Cloud Assist

‫Gemini Cloud Assist במרכז האבטחה מאפשר לכם לבדוק את הגדרות האבטחה, לשאול שאלות לגבי המשאבים ולנתח את פרופיל האבטחה של מערך נתונים או טבלה:

  1. במסוף Google Cloud , עוברים לדף BigQuery.

    כניסה ל-BigQuery

  2. בתפריט הניווט, לוחצים על Governance ואז על Security center.

  3. לוחצים על הכרטיסייה משאבים.

  4. מציבים את הסמן מעל קבוצת נתונים או טבלה ולוחצים על astrophotography_mode Show security profile.

‫Gemini Cloud Assist יוצר סיכום של פרופיל האבטחה של המשאב, כולל מדיניות גישה ברמת השורה, מדיניות נתונים ברמת העמודה ותגי סיווג.

אתם יכולים גם להשתמש בחלונית הצ'אט של Gemini Cloud Assist כדי לשאול שאלות על ממצאי אבטחה, מדיניות ובקרת גישה.

איך משתמשים ב-Gemini Cloud Assist

חיפוש וסינון של משאבים

בכרטיסייה משאבים אפשר לאתר משאבים ולבדוק את אמצעי בקרת הגישה באמצעות הפעולות הבאות:

  • היקף הפרויקט: בכרטיסייה Resources מוצגים מערכי הנתונים והטבלאות בפרויקט שנבחר ב- Google Cloud .
  • חיפוש וסינון: לוחצים על Filter כדי לחפש משאבים לפי שם מערך הנתונים, שם הטבלה או המיקום.
  • בדיקת המדיניות שצורפה: בעמודות Policies (מדיניות) ו-Policy tags (תגי מדיניות) אפשר לראות אם מדיניות גישה או תגים צורפו לכל טבלה. כדי לראות את פרטי המדיניות, לוחצים על שם המשאב. כדי ליצור או לשנות כללי מדיניות למשאב שנבחר, עוברים לכרטיסייה Policy management.

ניהול המדיניות

בכרטיסייה Policy management במרכז האבטחה אתם יכולים להגדיר ולנהל את כללי מדיניות הגישה ברמת השורה ואת כללי מדיניות האבטחה ברמת העמודה בטבלאות.

אפשר להגדיר מדיניות אבטחה ברמת העמודה בשלוש דרכים:

  • מדיניות נתונים שהוקצתה ישירות לעמודות
  • כללי מדיניות מבוססי-תגים של משילות מידע (תצוגה מקדימה)
  • מדיניות שמבוססת על תגי מדיניות

כללי מדיניות גישה לשורות

בתצוגה Row access מוצגות כל כללי מדיניות הגישה ברמת השורה שנוצרו למשאבים שלכם. לכל מדיניות אפשר לראות את שם המדיניות, שם הטבלה, שם מערך הנתונים ותאריך השינוי האחרון. אתם יכולים לערוך, למחוק או ליצור מדיניות ישירות בתצוגה הזו.

כשיוצרים מדיניות גישה ברמת השורה, צריך לציין את הפרטים הבאים:

  • שם המדיניות: שם ייחודי למדיניות.
  • חיפוש טבלה: מזינים את שם הטבלה בשדה החיפוש כדי לאתר ולבחור את טבלת היעד.
  • תצוגת סכימה: בודקים את סכימת הטבלה כדי לוודא מהם שמות העמודות הזמינים.
  • תנאי סינון: מזינים תנאי סינון ב-SQL שמגדיר אילו שורות יוצגו (לדוגמה, region = 'us-east1').
  • חשבונות משתמשים: מציינים את המשתמשים, הקבוצות או הדומיינים שהמדיניות חלה עליהם.

למידע נוסף, קראו את המאמר מבוא לאבטחה ברמת השורה ב-BigQuery.

כללי מדיניות לאבטחת עמודות

בתצוגה Column security אתם יכולים לנהל את בקרת הגישה ברמת העמודה ואת הסתרת הנתונים בכל המשאבים.

כדי לראות את מדיניות האבטחה של העמודות, צריך קודם לבחור אזור מהרשימה Region.

אחרי שבוחרים אזור, כללי המדיניות מופיעים בשלושה קטעים, בהתאם לאופן שבו הם נוצרו:

  • תגי מדיניות: כללי מדיניות שקשורים לתגי טקסונומיה של Data Catalog.
  • תגים לניהול נתונים: מדיניות שמשויכת לתגי Resource Manager עם purpose=DATA_GOVERNANCE (תצוגה מקדימה).
  • מדיניות נתונים שהוקצתה ישירות: מדיניות נתונים שמצורפת ישירות לעמודות בטבלה, בלי תגים מתווכים.

מדדים להערכת ההשפעה של המדיניות

בכל מדיניות, בטבלה מוצגים מדדי ההשפעה שמראים את מספר הטבלאות והעמודות שמושפעות מהמדיניות הזו. המדדים האלה מציינים עד כמה המדיניות מיושמת במערכי הנתונים שלכם, ועוזרים לאדמינים להעריך את היקף ההגעה של המדיניות ואת הרגישות שלה לפני עדכון או הקצאה מחדש.

צירוף מדיניות לכמה עמודות

כדי לצרף מדיניות קיימת לכמה עמודות בטבלאות ובמערכי נתונים שונים, לוחצים על צירוף בטבלת המדיניות. כך אפשר להחיל כללים עקביים של בקרת גישה ברמת העמודה או הסתרת נתונים בכל הארגון בפעולה אחת.

כשמקצים ישויות למדיניות גישה לנתונים, מערכת BigQuery מעניקה להן את התפקיד Masked Reader (קורא עם מיסוך) (roles/bigquerydatapolicy.maskedReader) במדיניות הזו. התפקיד הזה הוא התפקיד היחיד שמוגדר מראש שנותן את ההרשאה bigquery.dataPolicies.maskedGet, שנדרשת כדי לקרוא ערכים מוסתרים בעמודות המוגנות. מידע נוסף זמין במאמר בנושא תפקידים לשליחת שאילתות לנתונים מוסווים.

בהתאם לדרישות של בקרת הגישה, תוכלו להיעזר באחד מהמדריכים הבאים כדי לקבל הוראות מפורטות להגדרת כללי מדיניות:

  • סינון שורות לפי זהות המשתמש: כדי להגביל את השורות שהמשתמשים יכולים לשלוח לגביהן שאילתות על סמך מאפיינים כמו מחלקה או אזור, אפשר לעיין במאמר מבוא לאבטחה ברמת השורה ב-BigQuery.
  • חסימת הגישה לעמודות ספציפיות: כדי למנוע ממשתמשים לא מורשים לשלוח שאילתות לגבי עמודות רגישות לחלוטין, אפשר לעיין במאמר בנושא הגבלת הגישה באמצעות בקרת גישה ברמת העמודה.
  • הסתרת ערכי עמודות במהלך שאילתות: כדי לאפשר למשתמשים להריץ שאילתות בטבלאות תוך הסתרת נתונים רגישים (כמו כתובות אימייל), אפשר לעיין במאמר בנושא הסתרת נתוני עמודות.

תגי משילות מידע ותגי מדיניות

תגי משילות מידע ותגי מדיניות מאפשרים לסווג עמודות ולהחיל אמצעי בקרת גישה על משאבים ב-BigQuery.

כדי לנהל תגים במרכז האבטחה:

  1. במסוף Google Cloud , עוברים לדף BigQuery.

    כניסה ל-BigQuery

  2. בתפריט הניווט, לוחצים על Governance ואז על Security center.

  3. בהתאם לסוג התג שרוצים לנהל, בוחרים באחת מהכרטיסיות הבאות:

    • תגי משילות נתונים: לוחצים על הכרטיסייה Data governance tags כדי ליצור מפתחות של תגי Resource Manager (עם purpose=DATA_GOVERNANCE) ולהגדיר ערכים היררכיים של תגים (תצוגה מקדימה). כדי להגדיר את הרשאות הגישה, לוחצים על ניהול הגישה.
    • תגי מדיניות: לוחצים על הכרטיסייה תגי מדיניות ואז על יצירת טקסונומיה כדי ליצור טקסונומיות של Data Catalog ותגי מדיניות היררכיים. כדי להגדיר הרשאות גישה, משתמשים בחלונית ההרשאות.

אחרי שיוצרים מפתחות תגים או טקסונומיות, מצרפים את התגים לעמודות בטבלה כדי לאכוף בקרת גישה ברמת העמודה והסוואת נתונים:

המאמרים הבאים