Descubrimiento de datos & Clasificación en Azure Synapse Analytics

Descubrimiento de datos y La clasificación está integrada en pools SQL dedicados de Azure Synapse Analytics. Ofrece capacidades para descubrir, clasificar, etiquetar y generar informes sobre datos sensibles en tus bases de datos.

El Descubrimiento y Clasificación de Datos no se admite para pools SQL sin servidor.

Los datos más confidenciales pueden incluir información empresarial, financiera, sanitaria o personal. Puede servir como infraestructura para lo siguiente:

  • Cumple con los estándares de privacidad de datos y los requisitos de cumplimiento normativo.
  • Admite escenarios de seguridad, como la monitorización (auditoría) del acceso a datos sensibles.
  • Controla el acceso y refuerza la seguridad de las bases de datos que contienen datos altamente sensibles.

¿Qué es la clasificación y detección de datos?

La clasificación y detección de datos admite actualmente las siguientes funcionalidades:

  • Detección y recomendaciones: el motor de clasificación examina la base de datos e identifica las columnas que contienen datos potencialmente confidenciales. A continuación, le proporciona una manera sencilla de revisar y aplicar la clasificación recomendada a través de Azure Portal.

  • Etiquetado: Puedes aplicar etiquetas de clasificación de sensibilidad de forma persistente a las columnas utilizando atributos de metadatos en el motor de la base de datos. Después, estos metadatos se pueden usar para escenarios de auditoría basados en confidencialidad.

  • Confidencialidad del conjunto de resultados de consulta: la confidencialidad del conjunto de resultados de consulta se calcula en tiempo real con fines de auditoría.

  • Visibilidad: puede ver el estado de clasificación de la base de datos en un panel detallado en Azure Portal. Además, puede descargar un informe en formato Excel para usarlo con fines de auditoría y cumplimiento de normas, así como para otras necesidades.

Detección, clasificación y etiquetado de columnas confidenciales

En esta sección se describen los pasos para:

  • La detección, clasificación y etiquetado de columnas que contienen información confidencial en la base de datos.
  • La visualización del estado de clasificación actual de la base de datos y exportación de informes.

La clasificación incluye dos atributos de metadatos:

  • Etiquetas: los atributos principales de clasificación, que se usan para definir el nivel de confidencialidad de los datos almacenados en la columna.
  • Tipos de información: atributos que proporcionan información más detallada sobre el tipo de datos almacenados en la columna.

Directiva de Information Protection

Azure Synapse Analytics utiliza la política SQL Information Protection para la clasificación de datos.

Directiva de protección de información SQL

El Descubrimiento y Clasificación de Datos incluye un conjunto integrado de etiquetas de sensibilidad y tipos de información con lógica de descubrimiento que funciona de forma nativa con el servidor lógico SQL. Utiliza las etiquetas de protección disponibles en el archivo de políticas por defecto, o personaliza esta taxonomía. Defina un conjunto y la categoría de construcciones de clasificación específicamente para su entorno.

Definir y personalizar la taxonomía de clasificación

Define y personaliza tu taxonomía de clasificación en un único lugar central para toda tu organización de Azure. Utiliza Microsoft Defender para la nube como parte de tu política de seguridad. Solo alguien con derechos administrativos en el grupo de gestión raíz de la organización puede realizar esta tarea.

Como parte de la administración de directivas, puede definir etiquetas personalizadas, clasificarlas y asociarlas con un conjunto de tipos de información seleccionado. También puede agregar sus propios tipos de información personalizados y configurarlos con patrones de cadena. Los patrones se agregan a la lógica de detección para identificar este tipo de datos en las bases de datos.

Para más información, consulte Personalice la directiva de protección de información de SQL en Microsoft Defender para la nube (Preview).

Después de definir la política organizacional, continúa clasificando las bases de datos individuales utilizando tu política personalizada.

Clasificación de la base de datos en modo de directiva de SQL Information Protection

Note

El siguiente ejemplo utiliza Azure SQL Database, pero debes seleccionar el producto adecuado en el que quieras configurar Descubrimiento de datos y clasificación.

  1. Vaya al portal Azure.

  2. Vaya a Clasificación y detección de datos en el encabezado Seguridad del panel de Azure SQL Database. La pestaña Overview incluye un resumen del estado actual de clasificación de la base de datos. El resumen incluye una lista detallada de todas las columnas clasificadas, que puedes filtrar para mostrar solo partes específicas del esquema, tipos de información y etiquetas. Si aún no has clasificado ninguna columna, salta al paso 4.

  3. Para descargar un informe en formato de Excel, seleccione Exportar en el menú superior del panel.

  4. Para empezar a clasificar los datos, seleccione la pestaña Clasificación en la página Clasificación y detección de datos.

    El motor de clasificación examina la base de datos en busca de columnas que contengan datos potencialmente confidenciales y proporciona una lista de clasificaciones de columna recomendadas.

  5. Visualice y aplique las recomendaciones de clasificación:

    • Para ver la lista de clasificaciones de columnas recomendadas, seleccione el panel de recomendaciones en la parte inferior del panel.

    • Para aceptar una recomendación para una columna específica, seleccione la casilla en la columna izquierda de la fila correspondiente. Para marcar todas las recomendaciones como aceptadas, seleccione la casilla más a la izquierda del encabezado de la tabla de recomendaciones.

    • Para aplicar las recomendaciones seleccionadas, seleccione Aceptar las recomendaciones seleccionadas.

    Note

    El motor de recomendaciones, que realiza la detección automática de datos y proporciona recomendaciones de columna confidenciales, se deshabilita cuando se usa el modo de directiva de Microsoft Purview Information Protection.

  6. También puede clasificar las columnas manualmente, como alternativa a la clasificación basada en recomendaciones, o además de ella:

    1. Seleccione Agregar clasificación en el menú superior del panel.

    2. En la ventana contextual que se abre, seleccione el esquema, la tabla y la columna que quiera clasificar, así como el tipo de información y la etiqueta de confidencialidad.

    3. Seleccione Agregar clasificación en la parte inferior de la ventana contextual.

  7. Para completar la clasificación y etiquetar de forma persistente las columnas de la base de datos con los nuevos metadatos de clasificación, seleccione Guardar en la página Clasificación.

Directiva de Microsoft Purview Information Protection

Note

Microsoft Information Protection (MIP) ahora es Microsoft Purview Information Protection. Tanto "MIP" como "Microsoft Purview Information Protection" se refieren al mismo concepto.

Las etiquetas Microsoft Purview Information Protection ofrecen una forma sencilla y uniforme para que los usuarios clasifiquen datos sensibles en diferentes aplicaciones de Microsoft. Crea y gestiona etiquetas de sensibilidad MIP en el portal de cumplimiento de Microsoft Purview. Para obtener información sobre cómo crear y publicar etiquetas confidenciales de MIP en el portal de cumplimiento de Microsoft Purview, consulte Crear y publicar etiquetas de confidencialidad.

Requisitos previos para cambiar a la directiva de Microsoft Purview Information Protection

  • Establecer o cambiar la política de protección de la información establece la política de protección de la información para todas las bases de datos del tenant. Debe tener el permiso Administrador de seguridad en todo el inquilino para cambiar la directiva de protección de la información de la directiva de SQL Information Protection a la directiva MIP, o viceversa.

  • Un usuario o persona con permiso de Administrador de seguridad en todo el inquilino puede aplicar la directiva en el nivel del grupo de administración raíz del inquilino. Para obtener más información, consulte Conceder permisos para todo el inquilino a sí mismo.

  • El inquilino tiene una suscripción activa de Microsoft 365 y tiene etiquetas publicadas para el usuario actual. Para más información, consulte Crear y configurar las etiquetas de confidencialidad y sus políticas.

Clasificación de la base de datos en el modo de directiva de Microsoft Purview Information Protection

  1. Vaya al portal Azure.
  2. Accede a tu base de datos en Azure.
  3. Vaya a Clasificación y detección de datos en el encabezado Seguridad del panel de la base de datos.
  4. Para seleccionar la Directiva de Microsoft Information Protection, seleccione la pestaña Información general y seleccione Configurar.
  5. Seleccione la Directiva de Protección de la Información de Microsoft en las opciones de Directiva de Protección de la Información y seleccione Guardar.
  6. Si vas a la pestaña de Clasificación o seleccionas Añadir clasificación, verás que aparecen etiquetas de sensibilidad de Microsoft 365 en la lista desplegable de etiquetas de sensibilidad.
  • Mientras está en el modo de directiva de MIP, el tipo de información es [n/a] y las recomendaciones y la detección automática de datos permanecen deshabilitadas.
  • Un icono de advertencia podría aparecer sobre una columna ya clasificada si la columna fue clasificada utilizando una política de Information Protection diferente a la política actualmente activa. Por ejemplo, si la columna se clasificó previamente mediante una etiqueta con una directiva de SQL Information Protection y ahora está en el modo de directiva de Microsoft Information Protection, verá un icono de advertencia junto a esa columna concreta. El icono de advertencia es informativo y no indica ningún problema.

Directivas de Protección de la información de Microsoft Purview para Azure SQL Database

Importante

Las políticas de Microsoft Purview Information Protection para Azure SQL Database se retiran. Ya no se pueden configurar ni hacer cumplir el control de acceso en columnas sensibles mediante las políticas de acceso de Microsoft Purview Information Protection (MIP), y las políticas de acceso existentes configuradas con esta capacidad ya no se aplican.

Anteriormente, Azure SQL Database soportaba la aplicación del control de acceso en columnas etiquetadas con etiquetas de sensibilidad de Microsoft Purview Information Protection mediante políticas de acceso de Purview.

Las políticas de protección de Microsoft Purview que controlan el acceso mediante etiquetas de sensibilidad siguen disponibles en Microsoft Fabric. Para más información, consulte Políticas de protección en Microsoft Fabric.

Auditoría del acceso a datos confidenciales

Un aspecto importante de la clasificación es la capacidad de monitorizar el acceso a datos sensibles. Azure Synapse Analytics Auditing incluye un campo en el registro de auditoría llamado data_sensitivity_information. Este campo registra las clasificaciones de sensibilidad (etiquetas) de los datos que una consulta devuelve.

Estas actividades T-SQL son auditables con información de sensibilidad:

  • ALTER TABLE ... DROP COLUMN
  • BULK INSERT
  • SELECT
  • DELETE
  • INSERT
  • MERGE
  • UPDATE
  • UPDATETEXT
  • WRITETEXT
  • DROP TABLE
  • BACKUP
  • DBCC CloneDatabase
  • SELECT INTO
  • INSERT INTO EXEC
  • TRUNCATE TABLE
  • DBCC SHOW_STATISTICS
  • sys.dm_db_stats_histogram

Use sys.fn_get_audit_file para devolver información de un archivo de auditoría almacenado en una cuenta de Azure Storage.

Permissions

Estos roles integrados pueden leer la clasificación de datos de una base de datos:

  • Propietario
  • Lector
  • Colaborador
  • Administrador de seguridad SQL
  • Administrador de acceso de usuario

Para leer la clasificación de datos de una base de datos, necesitas estas acciones:

  • Microsoft.Sql/servers/databases/currentSensitivityLabels/*
  • Microsoft.Sql/servers/databases/recommendedSensitivityLabels/*
  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

Estos roles integrados pueden modificar la clasificación de datos de una base de datos:

  • Propietario
  • Colaborador
  • Administrador de seguridad SQL

Para modificar la clasificación de datos de una base de datos, necesitas esta acción:

  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

Obtenga información sobre los permisos basados en roles en RBAC de Azure.

Note

Los roles integrados de Azure SQL en esta sección se aplican a un pool SQL dedicado (anteriormente SQL DW), pero no están disponibles para pools SQL dedicados ni para otros recursos SQL dentro de los espacios de trabajo de Azure Synapse. Para recursos SQL en los espacios de trabajo de Azure Synapse, utiliza las acciones disponibles para la clasificación de datos y así crear roles personalizados de Azure según sea necesario para el etiquetado. Para más información sobre las operaciones del proveedor Microsoft.Synapse/workspaces/sqlPools, consulte Microsoft.Synapse.

Administración de clasificaciones

Puede usar T-SQL, una API de REST o PowerShell para administrar las clasificaciones.

Uso de T-SQL

Puede utilizar T-SQL para agregar o quitar las clasificaciones de columna, y para recuperar todas las clasificaciones para toda la base de datos.

Note

Cuando usas T-SQL para gestionar etiquetas, no hay validación de que existan etiquetas que añades a una columna en la política de protección de información de la organización (el conjunto de etiquetas que aparecen en las recomendaciones del portal). Tienes que validar.

Para obtener información sobre el uso de T-SQL para las clasificaciones, vea las siguientes referencias:

Uso de cmdlets de PowerShell

Gestiona clasificaciones y recomendaciones para Azure SQL Database y Azure SQL Managed Instance usando PowerShell.

Cmdlets de PowerShell para Azure SQL Database

Uso de la API REST

Puede usar las API REST para administrar las clasificaciones y recomendaciones mediante programación. Las API de REST publicadas admiten las siguientes operaciones:

  • Crear o actualizar: crea o actualiza la etiqueta de confidencialidad de la columna especificada.
  • Eliminar: elimina la etiqueta de confidencialidad de la columna especificada.
  • Deshabilitar la recomendación: deshabilita las recomendaciones de confidencialidad en la columna especificada.
  • Habilitar la recomendación: habilita las recomendaciones de confidencialidad en la columna especificada. (Las recomendaciones están habilitadas de forma predeterminada en todas las columnas).
  • Obtener: obtiene la etiqueta de confidencialidad de la columna especificada.
  • Lista actual por base de datos: obtiene las etiquetas de confidencialidad actuales de la base de datos especificada.
  • Lista Recomendaciones por Base de Datos: Obtiene las etiquetas de sensibilidad recomendadas de la base de datos especificada.

Recuperación de metadatos de clasificaciones mediante controladores de SQL

Puede usar los siguientes controladores de SQL para recuperar metadatos de clasificación:

Preguntas más frecuentes: funcionalidades de clasificación avanzadas

Pregunta: ¿Sustituirá Microsoft Purview a SQL Data Discovery & Classification o se retirará pronto SQL Data Discovery & Classification? Respuesta: Se sigue dando soporte a Clasificación y detección de datos de SQL y se le anima a que adopte Microsoft Purview, que tiene más capacidades para impulsar la clasificación avanzada y la gobernanza de datos. Si decidimos retirar cualquier servicio, funcionalidad, API o SKU, recibes un aviso previo que incluye una migración o ruta de transición. Para obtener más información, consulte las directivas de ciclo de vida de Microsoft.

Contenido relacionado

  • Se actualizó por última vez el