Data Discovery & Classification in Azure Synapse Analytics

Data Discovery & Classification is ingebouwd in Azure Synapse Analytics speciale SQL-pools. Het biedt mogelijkheden om gevoelige gegevens in uw databases te ontdekken, te classificeren, te labelen en te rapporteren.

Data Discovery & Classification wordt niet ondersteund voor serverless SQL-pools.

Uw meest gevoelige gegevens kunnen zakelijke, financiële, gezondheidszorg- of persoonlijke gegevens bevatten. Het kan fungeren als infrastructuur voor:

  • Voldoen aan privacynormen en vereisten voor naleving van regelgeving.
  • Ondersteun beveiligingsscenario's, zoals het monitoren (auditen) van toegang tot gevoelige gegevens.
  • Beheer de toegang tot en versterk de beveiliging van databases die zeer gevoelige gegevens bevatten.

Wat is Gegevensdetectie & Classificatie?

Data Discovery & Classification ondersteunt momenteel de volgende mogelijkheden:

  • Detectie en aanbevelingen: De classificatie-engine scant uw database en identificeert kolommen die mogelijk gevoelige gegevens bevatten. Het biedt u vervolgens een eenvoudige manier om aanbevolen classificatie te controleren en toe te passen via Azure Portal.

  • Labeling: Je kunt gevoeligheidsclassificatielabels persistent toepassen op kolommen door metadata-attributen in de database-engine te gebruiken. Deze metagegevens kunnen vervolgens worden gebruikt voor controlescenario's op basis van gevoeligheid.

  • gevoeligheid voor queryresultatenset: De gevoeligheid van een queryresultatenset wordt in realtime berekend voor controledoeleinden.

  • Zichtbaarheid: U kunt de status van de databaseclassificatie weergeven in een gedetailleerd dashboard in Azure Portal. U kunt ook een rapport in Excel-indeling downloaden om te gebruiken voor nalevings- en controledoeleinden en andere behoeften.

Gevoelige kolommen detecteren, classificeren en labelen

In deze sectie worden de stappen beschreven voor:

  • Kolommen detecteren, classificeren en labelen die gevoelige gegevens in uw database bevatten.
  • De huidige classificatiestatus van uw database weergeven en rapporten exporteren.

De classificatie bevat twee metagegevenskenmerken:

  • Labels: de belangrijkste classificatiekenmerken die worden gebruikt om het vertrouwelijkheidsniveau te definiëren van de gegevens die zijn opgeslagen in de kolom.
  • informatietypen: kenmerken die gedetailleerdere informatie bieden over het type gegevens dat in de kolom is opgeslagen.

Information Protection-beleid

Azure Synapse Analytics gebruikt SQL Information Protection policy voor dataclassificatie.

SQL Information Protection-beleid

Data Discovery & Classification bevat een ingebouwde set gevoeligheidslabels en informatietypen met ontdekkingslogica die native werkt met de SQL-logische server. Gebruik de beschermingslabels die beschikbaar zijn in het standaardbeleidsbestand, of pas deze taxonomie aan. Definieer een set en rangschikking van classificatieconstructies specifiek voor jouw omgeving.

Uw classificatietaxonomie definiëren en aanpassen

Definieer en pas je classificatietaxonomie aan op één centrale plek voor je hele Azure-organisatie. Gebruik Microsoft Defender voor Cloud als onderdeel van je beveiligingsbeleid. Alleen iemand met administratieve rechten op de rootmanagementgroep van de organisatie kan deze taak uitvoeren.

Als onderdeel van beleidsbeheer kunt u aangepaste labels definiëren, rangschikken en koppelen aan een geselecteerde set informatietypen. U kunt ook uw eigen aangepaste gegevenstypen toevoegen en deze configureren met tekenreekspatronen. De patronen worden toegevoegd aan de detectielogica voor het identificeren van dit type gegevens in uw databases.

Voor meer informatie, zie Het beleid voor SQL-gegevensbeveiliging aanpassen in Microsoft Defender voor Cloud (Preview).

Nadat u het organisatiebrede beleid hebt gedefinieerd, gaat u verder met het classificeren van individuele databases met uw aangepaste beleid.

Database classificeren in sql Information Protection-beleidsmodus

Note

Het volgende voorbeeld gebruikt Azure SQL Database, maar je moet het juiste product selecteren waarmee je Data Discovery & Classificatie wilt configureren.

  1. Ga naar de Azure-portal.

  2. Ga naar Gegevensdetectie & Classificatie onder de kop Beveiliging in het deelvenster Azure SQL Database. Het tabblad Overzicht bevat een samenvatting van de huidige classificatiestatus van de database. De samenvatting bevat een gedetailleerde lijst van alle geclassificeerde kolommen, die je kunt filteren om alleen specifieke schemadelen, informatietypen en labels te tonen. Als je nog geen kolommen hebt geclassificeerd, ga dan naar stap 4.

  3. Als u een rapport wilt downloaden in Excel-indeling, selecteert u Exporteren in het bovenste menu van het deelvenster.

  4. Als u uw gegevens wilt classificeren, selecteert u het tabblad Classificatie op de pagina Gegevensdetectie & Classificatie.

    De classificatie-engine scant uw database op kolommen met mogelijk gevoelige gegevens en biedt een lijst met aanbevolen kolomclassificaties.

  5. Classificatieaanbevelingen weergeven en toepassen.

    • Als u de lijst met aanbevolen kolomclassificaties wilt weergeven, selecteert u het deelvenster aanbevelingen onderaan het deelvenster.

    • Als u een aanbeveling voor een specifieke kolom wilt accepteren, schakelt u het selectievakje in de linkerkolom van de relevante rij in. Als u alle aanbevelingen wilt markeren als geaccepteerd, schakelt u het meest linkse selectievakje in de koptekst van de aanbevelingentabel in.

    • Als u de geselecteerde aanbevelingen wilt toepassen, selecteert u Geselecteerde aanbevelingen accepteren.

    Note

    De aanbevelingsengine, die automatische gegevensdetectie en aanbevelingen voor gevoelige kolommen biedt, wordt uitgeschakeld wanneer de beleidsmodus Microsoft Purview Informatiebeveiliging wordt gebruikt.

  6. U kunt kolommen ook handmatig classificeren, als alternatief of naast de classificatie op basis van aanbevelingen:

    1. Selecteer Classificatie toevoegen in het bovenmenu van het paneel.

    2. Selecteer in het contextvenster dat wordt geopend het schema, de tabel en de kolom die u wilt classificeren en het informatietype en het vertrouwelijkheidslabel.

    3. Selecteer Classificatie toevoegen onderaan het contextvenster.

  7. Als u uw classificatie wilt voltooien en de databasekolommen permanent wilt labelen (taggen) met de nieuwe classificatiemetagegevens, selecteert u Opslaan op de pagina Classificatie.

Microsoft Purview Informatiebeveiliging-beleid

Note

Microsoft Information Protection (MIP) is nu Microsoft Purview Informatiebeveiliging. Zowel "MIP" als "Microsoft Purview Informatiebeveiliging" verwijzen naar hetzelfde concept.

Microsoft Purview Informatiebeveiliging-labels bieden gebruikers een eenvoudige en uniforme manier om gevoelige gegevens te classificeren binnen verschillende Microsoft-applicaties. Maak en beheer MIP-gevoeligheidslabels in het Microsoft Purview-nalevingsportal. Zie Vertrouwelijkheidslabels maken en publicerenvoor meer informatie over het maken en publiceren van MIP-gevoelige labels in de Microsoft Purview-complianceportal.

Vereisten om over te schakelen naar Microsoft Purview Informatiebeveiliging-beleid

  • Het instellen of wijzigen van het informatiebeschermingsbeleid stelt het informatiebeschermingsbeleid in voor alle databases onder de tenant. Je moet tenant-brede Security Admin-rechten hebben om het information protection-beleid te wijzigen van SQL Information Protection-beleid naar MIP-beleid, of andersom.

  • Een gebruiker of persona met tenant-brede Security Admin-rechten kan het beleid toepassen op het niveau van de hoofdbeheergroep van de tenant. Zie Tenantbrede machtigingen verlenen aan uzelfvoor meer informatie.

  • Uw tenant heeft een actief Microsoft 365-abonnement en u hebt labels gepubliceerd voor de huidige gebruiker. Zie Vertrouwelijkheidslabels en hun beleid maken en configureren voor meer informatie.

Database classificeren in microsoft Purview Information Protection-beleidsmodus

  1. Ga naar de Azure-portal.
  2. Navigeer naar je database in Azure.
  3. Ga naar Data Discovery & Classificatie onder de kop Beveiliging in het databasedeelvenster.
  4. Als u Microsoft Information Protection-beleidwilt selecteren, selecteert u het tabblad Overzicht en selecteert u configureren.
  5. Selecteer Microsoft Information Protection-beleid in de Information Protection--opties en selecteer Opslaan.
  6. Als je naar het tabblad Classificatie gaat of classificatie toevoegt selecteert, zie je Microsoft 365 gevoeligheidslabels verschijnen in de keuzelijst Gevoeligheidslabels.
  • Het informatietype is [n/a] terwijl u in de MIP-beleidsmodus bent en de automatische gegevensdetectie-aanbevelingen & uitgeschakeld blijven.
  • Een waarschuwingsicoon kan verschijnen bij een reeds geclassificeerde kolom als de kolom is geclassificeerd met een ander Information Protection-beleid dan het huidige beleid. Als bijvoorbeeld de kolom eerder is geclassificeerd met een label met SQL Information Protection beleid en je nu in Microsoft Information Protection beleidmodus zit, zie je een waarschuwingsicoon bij die specifieke kolom. Het waarschuwingsicoon is informatief en geeft geen probleem aan.

Microsoft Purview Informatiebeveiliging-beleidsregels voor Azure SQL Database

Important

Microsoft Purview Informatiebeveiliging-beleidsregels voor Azure SQL Database zijn buiten gebruik gesteld. Je kunt toegangscontrole op gevoelige kolommen niet langer configureren of afdwingen via Microsoft Purview Informatiebeveiliging (MIP) toegangsbeleid, en bestaande toegangsbeleid die via deze functie zijn geconfigureerd, worden niet langer gehandhaafd.

Voorheen ondersteunde Azure SQL Database het afdwingen van toegangscontrole op kolommen die waren gelabeld met Microsoft Purview Informatiebeveiliging-gevoeligheidslabels door gebruik te maken van Purview-toegangsbeleid.

Microsoft Purview-beschermingsbeleid dat toegang via gevoeligheidslabels regelt, is nog steeds beschikbaar in Microsoft Fabric. Voor meer informatie, zie Beschermingsbeleid in Microsoft Fabric.

Toegang tot gevoelige gegevens controleren

Een belangrijk aspect van classificatie is het vermogen om toegang tot gevoelige gegevens te monitoren. Azure Synapse Analytics auditing bevat een veld in de auditlog genaamd data_sensitivity_information. Dit veld registreert de gevoeligheidsclassificaties (labels) van de data die een query teruggeeft.

Deze T-SQL-activiteiten zijn controleerbaar met gevoeligheidsinformatie:

  • ALTER TABLE ... DROP COLUMN
  • BULK INSERT
  • SELECT
  • DELETE
  • INSERT
  • MERGE
  • UPDATE
  • UPDATETEXT
  • WRITETEXT
  • DROP TABLE
  • BACKUP
  • DBCC CloneDatabase
  • SELECT INTO
  • INSERT INTO EXEC
  • TRUNCATE TABLE
  • DBCC SHOW_STATISTICS
  • sys.dm_db_stats_histogram

Gebruik sys.fn_get_audit_file om informatie te retourneren uit een auditbestand dat is opgeslagen in een Azure Storage-account.

Permissions

Deze ingebouwde rollen kunnen de gegevensclassificatie van een database lezen:

  • Owner
  • Reader
  • Contributor
  • SQL-beveiligingsbeheerder
  • Beheerder van gebruikerstoegang

Om de dataclassificatie van een database te lezen, heb je deze acties nodig:

  • Microsoft.Sql/servers/databases/currentSensitivityLabels/*
  • Microsoft.Sql/servers/databases/recommendedSensitivityLabels/*
  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

Deze ingebouwde rollen kunnen de gegevensclassificatie van een database wijzigen:

  • Owner
  • Contributor
  • SQL-beveiligingsbeheerder

Om de gegevensclassificatie van een database te wijzigen, heb je deze actie nodig:

  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

Meer informatie over op rollen gebaseerde machtigingen in Azure RBAC-.

Note

De ingebouwde rollen van Azure SQL in deze sectie zijn van toepassing op een speciale SQL-pool (voorheen SQL DW), maar zijn niet beschikbaar voor speciale SQL-pools en andere SQL-resources binnen Azure Synapse-werkruimtes. Voor SQL-bronnen in Azure Synapse-werkruimtes gebruik je de beschikbare acties voor dataclassificatie om aangepaste Azure-rollen te creëren die nodig zijn voor labeling. Voor meer informatie over de bewerkingen van de Microsoft.Synapse/workspaces/sqlPools leverancier, zie Microsoft.Synapse.

Classificaties beheren

U kunt T-SQL, een REST API of PowerShell gebruiken om classificaties te beheren.

T-SQL gebruiken

U kunt T-SQL gebruiken om kolomclassificaties toe te voegen of te verwijderen en om alle classificaties voor de hele database op te halen.

Note

Wanneer je T-SQL gebruikt om labels te beheren, is er geen validatie dat labels die je aan een kolom toevoegt bestaan in het informatiebeschermingsbeleid van de organisatie (de set labels die in de portaalaanbevelingen voorkomen). Je moet valideren.

Zie de volgende verwijzingen voor informatie over het gebruik van T-SQL voor classificaties:

PowerShell-cmdlets gebruiken

Beheer classificaties en aanbevelingen voor Azure SQL Database en Azure SQL Managed Instance door PowerShell te gebruiken.

PowerShell-cmdlets voor Azure SQL Database

REST-API gebruiken

U kunt de REST API gebruiken om classificaties en aanbevelingen programmatisch te beheren. De gepubliceerde REST API ondersteunt de volgende bewerkingen:

  • maken of bijwerken: hiermee wordt het vertrouwelijkheidslabel van de opgegeven kolom gemaakt of bijgewerkt.
  • Verwijderen: Hiermee verwijdert u het vertrouwelijkheidslabel van de opgegeven kolom.
  • Aanbeveling uitschakelen: hiermee worden vertrouwelijkheidsaanaanvelingen voor de opgegeven kolom uitgeschakeld.
  • Aanbeveling inschakelen: Hiermee worden vertrouwelijkheidsaanbevelingen voor de opgegeven kolom ingeschakeld. (Aanbevelingen zijn standaard ingeschakeld voor alle kolommen.)
  • Ophalen: hiermee haalt u het vertrouwelijkheidslabel van de opgegeven kolom op.
  • Lijst huidige per database: Hiermee haalt u de huidige vertrouwelijkheidslabels van de opgegeven database op.
  • Lijst Aanbevolen Door Database: Haalt de aanbevolen vertrouwelijkheidslabels van de opgegeven database op.

Metagegevens van classificaties ophalen met behulp van SQL-stuurprogramma's

U kunt de volgende SQL-stuurprogramma's gebruiken om metagegevens voor classificatie op te halen:

Veelgestelde vragen - Geavanceerde classificatiemogelijkheden

Vraag: Zal Microsoft Purview SQL Data Discovery & Classification vervangen of zal SQL Data Discovery & Classification binnenkort met pensioen gaan? Answer: We blijven SQL Data Discovery & Classification ondersteunen en u aanmoedigen om Microsoft Purview- te gebruiken die uitgebreidere mogelijkheden biedt om geavanceerde classificatiemogelijkheden en gegevensbeheer te stimuleren. Als we besluiten een service, functie, API of SKU uit te faseren, ontvang je vooraf bericht inclusief een migratie- of overgangspad. Zie het levenscyclusbeleid van Microsoft voor meer informatie.

Verwante onderwerpen

  • Laatst bijgewerkt om