Implementando Cloud DLP para Proteção de Dados

Quando Usar

• Quando frameworks de conformidade (GDPR, HIPAA, PCI DSS) exigem descoberta e proteção automatizadas de dados sensíveis.
• Ao construir programas de governança de dados que classificam e rotulam dados em armazenamento em nuvem.
• Ao implementar controles de prevenção contra perda de dados para pipelines de dados baseados em nuvem.
• Ao auditar ambientes de nuvem em busca de dados sensíveis desprotegidos (PII, PHI, dados financeiros).
• Ao integrar a varredura de DLP em pipelines de CI/CD para evitar que dados sensíveis cheguem à produção.

Não use para DLP de endpoint (use agentes Microsoft Purview ou Symantec DLP), para DLP de e-mail (use Microsoft 365 DLP ou Google Workspace DLP), ou para prevenção de exfiltração de dados em nível de rede (use políticas de endpoint VPC e firewalls de rede).

Pré-requisitos

• Amazon Macie habilitado com permissões apropriadas para buckets S3.
• API do Google Cloud DLP habilitada (gcloud services enable dlp.googleapis.com).
• Azure Information Protection ou Microsoft Purview configurado.
• Permissões IAM para administração do serviço DLP e acesso a dados.
• Conhecimento das categorias de sensibilidade de dados relevantes para a organização (PII, PHI, PCI, proprietário).

Fluxo de Trabalho

Etapa 1: Implantar Amazon Macie para Descoberta de Dados S3

Habilite o Macie e configure trabalhos automatizados de descoberta de dados sensíveis para buckets S3.

# Enable Amazon Macie
aws macie2 enable-macie

# List all S3 buckets Macie can scan
aws macie2 describe-buckets \
  --query 'buckets[*].[bucketName,classifiableSizeInBytes,unclassifiableObjectCount.total]' \
  --output table

# Create a classification job for specific buckets
aws macie2 create-classification-job \
  --job-type SCHEDULED \
  --name "weekly-pii-scan" \
  --schedule-frequency-details '{"weekly":{"dayOfWeek":"MONDAY"}}' \
  --s3-job-definition '{
    "bucketDefinitions": [{
      "accountId": "ACCOUNT_ID",
      "buckets": ["customer-data-bucket", "analytics-data-lake", "backup-bucket"]
    }],
    "scoping": {
      "includes": {
        "and": [{
          "simpleScopeTerm": {
            "key": "OBJECT_EXTENSION",
            "values": ["csv", "json", "parquet", "txt", "xlsx"],
            "comparator": "EQ"
          }
        }]
      }
    }
  }' \
  --managed-data-identifier-ids '["SSN","CREDIT_CARD_NUMBER","EMAIL_ADDRESS","AWS_CREDENTIALS","PHONE_NUMBER"]'

# Create custom data identifier for internal employee IDs
aws macie2 create-custom-data-identifier \
  --name "EmployeeID" \
  --regex "EMP-[0-9]{6}" \
  --description "Internal employee ID format"

# Check job status and results
aws macie2 list-classification-jobs \
  --query 'items[*].[name,jobStatus,statistics.approximateNumberOfObjectsToProcess]' \
  --output table

Etapa 2: Configurar a API do Google Cloud DLP para Inspeção de Dados

Use o Google Cloud DLP para inspecionar e desidentificar dados sensíveis em recursos do GCP.

# Inspect a Cloud Storage bucket for sensitive data
gcloud dlp inspect-content \
  --content-type=TEXT_PLAIN \
  --min-likelihood=LIKELY \
  --info-types=PHONE_NUMBER,EMAIL_ADDRESS,CREDIT_CARD_NUMBER,US_SOCIAL_SECURITY_NUMBER \
  --storage-type=CLOUD_STORAGE \
  --gcs-uri="gs://sensitive-data-bucket/data/*.csv"

# Create an inspection job for BigQuery
cat > dlp-job.json << 'EOF'
{
  "inspectJob": {
    "storageConfig": {
      "bigQueryOptions": {
        "tableReference": {
          "projectId": "PROJECT_ID",
          "datasetId": "customer_data",
          "tableId": "transactions"
        },
        "sampleMethod": "RANDOM_START",
        "rowsLimit": 10000
      }
    },
    "inspectConfig": {
      "infoTypes": [
        {"name": "CREDIT_CARD_NUMBER"},
        {"name": "US_SOCIAL_SECURITY_NUMBER"},
        {"name": "EMAIL_ADDRESS"},
        {"name": "PHONE_NUMBER"},
        {"name": "PERSON_NAME"}
      ],
      "minLikelihood": "LIKELY",
      "limits": {"maxFindingsPerRequest": 1000}
    },
    "actions": [{
      "saveFindings": {
        "outputConfig": {
          "table": {
            "projectId": "PROJECT_ID",
            "datasetId": "dlp_results",
            "tableId": "findings"
          }
        }
      }
    }]
  }
}
EOF

gcloud dlp jobs create --project=PROJECT_ID --body-from-file=dlp-job.json

Etapa 3: Implementar Desidentificação de Dados com Cloud DLP

Configure transformações de desidentificação para mascarar, tokenizar ou redigir dados sensíveis.

# deidentify_pipeline.py - Desidentificar dados sensíveis usando Google Cloud DLP
from google.cloud import dlp_v2


…