Clasificación y detección de datos:

Se aplica a:Azure SQL DatabaseAzure SQL Managed InstanceAzure Synapse Analytics

La clasificación y detección de datos está integrada en Azure SQL Database, Instancia administrada de Azure SQL y Azure Synapse Analytics. Ofrece funcionalidades básicas para detectar, clasificar, etiquetar e informar de los datos confidenciales de las bases de datos.

Los datos más confidenciales pueden incluir información empresarial, financiera, sanitaria o personal. Puede servir como infraestructura para lo siguiente:

  • Ayudar a satisfacer los estándares de privacidad de datos y los requisitos de cumplimiento normativo.
  • Varios escenarios de seguridad, como la supervisión (auditoría) de acceso a datos confidenciales.
  • Controlar el acceso y mejorar la seguridad de las bases de datos que contienen información altamente confidencial.

Para información sobre SQL Server local, consulte Clasificación y detección de datos de SQL.

Nota:

La protección de acceso basada en etiquetas que utiliza las políticas de Microsoft Purview Information Protection (preview) ha sido retirada y ya no está disponible. Para más información, consulte las políticas de Microsoft Purview Information Protection para Azure SQL Database.

¿Qué es la clasificación y detección de datos?

La clasificación y detección de datos admite actualmente las siguientes funcionalidades:

  • Detección y recomendaciones: el motor de clasificación examina la base de datos e identifica las columnas que contienen datos potencialmente confidenciales. A continuación, le proporciona una manera sencilla de revisar y aplicar la clasificación recomendada a través de Azure Portal.

  • Etiquetado: Puede aplicar etiquetas de clasificación de confidencialidad de forma persistente a columnas mediante nuevos atributos de metadatos que se han agregado al motor de base de datos de SQL Server. Después, estos metadatos se pueden usar para escenarios de auditoría basados en confidencialidad.

  • Confidencialidad del conjunto de resultados de consulta: la confidencialidad del conjunto de resultados de consulta se calcula en tiempo real con fines de auditoría.

  • Visibilidad: puede ver el estado de clasificación de la base de datos en un panel detallado en Azure Portal. Además, puede descargar un informe en formato Excel para usarlo con fines de auditoría y cumplimiento de normas, así como para otras necesidades.

Detección, clasificación y etiquetado de columnas confidenciales

En esta sección se describen los pasos para:

  • La detección, clasificación y etiquetado de columnas que contienen información confidencial en la base de datos.
  • La visualización del estado de clasificación actual de la base de datos y exportación de informes.

La clasificación incluye dos atributos de metadatos:

  • Etiquetas: los atributos principales de clasificación, que se usan para definir el nivel de confidencialidad de los datos almacenados en la columna.
  • Tipos de información: atributos que proporcionan información más detallada sobre el tipo de datos almacenados en la columna.

Directiva de Information Protection

Azure SQL ofrece la directiva de SQL Information Protection y la directiva de Microsoft Information Protection en la clasificación de datos. Puede elegir cualquiera de estas dos directivas en función de sus necesidades.

Captura de pantalla de los tipos de directiva de Protección de la Información.

Directiva de protección de información SQL

La función de detección y clasificación de datos incluye un conjunto integrado de etiquetas de confidencialidad y tipos de información con lógica de detección que es nativa del servidor lógico de SQL. Puede seguir usando las etiquetas de protección disponibles en el archivo de directiva predeterminado o puede personalizar esta taxonomía. Puede definir un conjunto o el orden de construcciones de clasificación específicamente para su entorno.

Definir y personalizar la taxonomía de clasificación

Se define y personaliza la taxonomía de clasificación en una ubicación central para toda la organización de Azure. Esa ubicación se encuentra en Microsoft Defender for Cloud, como parte de la directiva de seguridad. Solo un usuario con derechos administrativos en el grupo de administración raíz de la organización puede realizar esta tarea.

Como parte de la administración de directivas, puede definir etiquetas personalizadas, clasificarlas y asociarlas con un conjunto de tipos de información seleccionado. También puede agregar sus propios tipos de información personalizados y configurarlos con patrones de cadena. Los patrones se agregan a la lógica de detección para identificar este tipo de datos en las bases de datos.

Para más información, consulte Personalice la directiva de protección de información de SQL en Microsoft Defender para la nube (Preview).

Una vez definida la directiva de toda la organización, puede continuar con la clasificación de bases de datos individuales mediante la directiva personalizada.

Clasificación de la base de datos en modo de directiva de SQL Information Protection

Nota:

En el ejemplo siguiente se usa Azure SQL Database, pero debe seleccionar el producto adecuado para el que quiera configurar la clasificación y detección de datos.

  1. Vaya a Azure Portal.

  2. Vaya a Clasificación y detección de datos en el encabezado Seguridad del panel de Azure SQL Database. La pestaña Información general incluye un resumen del estado de clasificación actual de la base de datos. El resumen incluye una lista detallada de todas las columnas clasificadas, que también se pueden filtrar para mostrar solo partes específicas de esquema, tipos de información y etiquetas. Si aún no ha clasificado ninguna columna, vaya al paso 4.

    Captura de pantalla de la pestaña Resumen con Descubrimiento y Clasificación de Datos resaltados.

  3. Para descargar un informe en formato de Excel, seleccione Exportar en el menú superior del panel.

  4. Para empezar a clasificar los datos, seleccione la pestaña Clasificación en la página Clasificación y detección de datos.

    El motor de clasificación examina la base de datos en busca de columnas que contengan datos potencialmente confidenciales y proporciona una lista de clasificaciones de columna recomendadas.

  5. Visualice y aplique las recomendaciones de clasificación:

    • Para ver la lista de clasificaciones de columnas recomendadas, seleccione el panel de recomendaciones en la parte inferior del panel.

    • Para aceptar una recomendación para una columna específica, seleccione la casilla en la columna izquierda de la fila correspondiente. Para marcar todas las recomendaciones como aceptadas, seleccione la casilla más a la izquierda del encabezado de la tabla de recomendaciones.

    • Para aplicar las recomendaciones seleccionadas, seleccione Aceptar las recomendaciones seleccionadas.

    Captura de pantalla de recomendaciones para clasificación.

    Nota:

    El motor de recomendaciones, que realiza la detección automática de datos y proporciona recomendaciones de columna confidenciales, se deshabilita cuando se usa el modo de directiva de Microsoft Purview Information Protection.

  6. También puede clasificar las columnas manualmente, como alternativa a la clasificación basada en recomendaciones, o además de ella:

    1. Seleccione Agregar clasificación en el menú superior del panel.

    2. En la ventana contextual que se abre, seleccione el esquema, la tabla y la columna que quiera clasificar, así como el tipo de información y la etiqueta de confidencialidad.

    3. Seleccione Agregar clasificación en la parte inferior de la ventana contextual.

    Captura de pantalla que muestra cómo añadir clasificación manualmente.

  7. Para completar la clasificación y etiquetar de forma persistente las columnas de la base de datos con los nuevos metadatos de clasificación, seleccione Guardar en la página Clasificación.

Directiva de Microsoft Purview Information Protection

Nota:

Microsoft Information Protection (MIP) se ha cambiado de nombre a Microsoft Purview Information Protection. Tanto "MIP" como "Microsoft Purview Information Protection" se usan indistintamente en este documento, pero hacen referencia al mismo concepto.

Las etiquetas de Microsoft Purview Information Protection proporcionan a los usuarios una manera sencilla y uniforme de clasificar datos confidenciales de manera uniforme en diferentes aplicaciones de Microsoft. Las etiquetas de confidencialidad de MIP se crean y administran en el portal de cumplimiento de Microsoft Purview. Para obtener información sobre cómo crear y publicar etiquetas confidenciales de MIP en el portal de cumplimiento de Microsoft Purview, consulte Crear y publicar etiquetas de confidencialidad.

Requisitos previos para cambiar a la directiva de Microsoft Purview Information Protection

  • Establecer o cambiar la directiva de protección de la información en Azure SQL Database establece la directiva de protección de información correspondiente para todas las bases de datos del inquilino. El usuario o el rol deben tener permiso de Administrador de seguridad para todos los inquilinos para cambiar la directiva de protección de la información de la directiva de SQL Information Protection a la directiva de MIP, o viceversa.

  • El usuario o el rol que tiene permisos de Administrador de seguridad en todo el inquilino pueden aplicar la directiva en el nivel de grupo de administración raíz del inquilino. Para obtener más información, consulte Conceder permisos para todo el inquilino a sí mismo.

    Captura de pantalla de la solicitud del portal Azure para permisos de administrador de seguridad a nivel de tenente.

  • El inquilino tiene una suscripción activa de Microsoft 365 y tiene etiquetas publicadas para el usuario actual. Para obtener más información, consulte Crear y configurar etiquetas de confidencialidad y sus directivas.

Clasificación de la base de datos en el modo de directiva de Microsoft Purview Information Protection

  1. Vaya a Azure Portal.

  2. Vaya a su base de datos en Azure SQL Database.

  3. Vaya a Clasificación y detección de datos en el encabezado Seguridad del panel de la base de datos.

  4. Para seleccionar la Directiva de Microsoft Information Protection, seleccione la pestaña Información general y seleccione Configurar.

  5. Seleccione la Directiva de Protección de la Información de Microsoft en las opciones de Directiva de Protección de la Información y seleccione Guardar.

    Captura de pantalla de la selección de la directiva de Microsoft Information Protection para Azure SQL Database.

  6. Si vas a la pestaña de Clasificación o seleccionas Añadir clasificación, verás que aparecen etiquetas de sensibilidad de Microsoft 365 en la lista desplegable de etiquetas de sensibilidad.

    Captura de pantalla de la lista desplegable de etiquetas de sensibilidad.

    Captura de pantalla de la etiqueta de sensibilidad en la pestaña Clasificación.

  • Mientras está en el modo de directiva de MIP, el tipo de información es [n/a] y las recomendaciones y la detección automática de datos permanecen deshabilitadas.

  • Un icono de advertencia podría aparecer sobre una columna ya clasificada si la columna fue clasificada utilizando una política de Information Protection diferente a la política actualmente activa. Por ejemplo, si la columna se clasificó previamente mediante una etiqueta con una directiva de SQL Information Protection y ahora está en el modo de directiva de Microsoft Information Protection, verá un icono de advertencia junto a esa columna concreta. El icono de advertencia es informativo y no indica ningún problema.

    Captura de pantalla de advertencias sobre columnas clasificadas debido a diferentes directivas de protección de la información.

Directivas de Protección de la información de Microsoft Purview para Azure SQL Database

Importante

Las políticas de Microsoft Purview Information Protection para Azure SQL Database se retiran. Ya no se pueden configurar ni hacer cumplir el control de acceso en columnas sensibles mediante las políticas de acceso de Microsoft Purview Information Protection (MIP), y las políticas de acceso existentes configuradas con esta capacidad ya no se aplican.

Anteriormente, Azure SQL Database soportaba la aplicación del control de acceso en columnas etiquetadas con etiquetas de sensibilidad de Microsoft Purview Information Protection mediante políticas de acceso de Purview.

Las políticas de protección de Microsoft Purview que controlan el acceso mediante etiquetas de sensibilidad siguen disponibles en Microsoft Fabric. Para más información, consulte Políticas de protección en Microsoft Fabric.

Auditoría del acceso a datos confidenciales

Un aspecto importante de la clasificación es la capacidad de supervisar el acceso a información confidencial. Azure SQL Auditing incluye un campo en el registro de auditoría llamado data_sensitivity_information. Este campo registra las clasificaciones de sensibilidad (etiquetas) de los datos que una consulta devuelve. Este es un ejemplo:

Captura de pantalla del conjunto de resultados de una consulta de registro de auditoría de ejemplo.

Estas actividades T-SQL son auditables con información de sensibilidad:

  • ALTER TABLE ... DROP COLUMN
  • BULK INSERT
  • SELECT
  • DELETE
  • INSERT
  • MERGE
  • UPDATE
  • UPDATETEXT
  • WRITETEXT
  • DROP TABLE
  • BACKUP
  • DBCC CloneDatabase
  • SELECT INTO
  • INSERT INTO EXEC
  • TRUNCATE TABLE
  • DBCC SHOW_STATISTICS
  • sys.dm_db_stats_histogram

Use sys.fn_get_audit_file para devolver información de un archivo de auditoría almacenado en una cuenta de Azure Storage.

Permisos

Estos roles integrados pueden leer la clasificación de datos de una base de datos:

  • Propietario
  • Lector
  • Colaborador
  • Administrador de seguridad SQL
  • Administrador de acceso de usuario

Estas son las acciones necesarias para leer la clasificación de datos de una base de datos:

  • Microsoft.Sql/servers/databases/currentSensitivityLabels/*
  • Microsoft.Sql/servers/databases/recommendedSensitivityLabels/*
  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

Estos roles integrados pueden modificar la clasificación de datos de una base de datos:

  • Propietario
  • Colaborador
  • Administrador de seguridad SQL

Esta es la acción necesaria para modificar la clasificación de datos de una base de datos:

  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

Obtenga información sobre los permisos basados en roles en RBAC de Azure.

Nota:

Los roles integrados de Azure SQL en esta sección se aplican a un pool SQL dedicado (anteriormente SQL DW), pero no están disponibles para pools SQL dedicados ni para otros recursos SQL dentro de los espacios de trabajo de Azure Synapse. Para recursos SQL en los espacios de trabajo de Azure Synapse, utiliza las acciones disponibles para la clasificación de datos y así crear roles personalizados de Azure según sea necesario para el etiquetado. Para más información sobre las operaciones del proveedor Microsoft.Synapse/workspaces/sqlPools, consulte Microsoft.Synapse.

Administración de clasificaciones

Puede usar T-SQL, una API de REST o PowerShell para administrar las clasificaciones.

Uso de T-SQL

Puede utilizar T-SQL para agregar o quitar las clasificaciones de columna, y para recuperar todas las clasificaciones para toda la base de datos.

Nota:

Al usar T-SQL para administrar las etiquetas, no se valida que las etiquetas que se agregan a una columna existan en la directiva de protección de información de la organización (el conjunto de etiquetas que aparecen en las recomendaciones del portal). Depende de usted validar esto.

Para obtener información sobre el uso de T-SQL para las clasificaciones, vea las siguientes referencias:

Uso de cmdlets de PowerShell

Administre clasificaciones y recomendaciones para Azure SQL Database e Instancia administrada de Azure SQL mediante PowerShell.

Cmdlets de PowerShell para Azure SQL Database

Cmdlets de PowerShell para la Instancia Administrada de Azure SQL

Uso de la API de REST

Puede usar las API REST para administrar las clasificaciones y recomendaciones mediante programación. Las API de REST publicadas admiten las siguientes operaciones:

  • Crear o actualizar: crea o actualiza la etiqueta de confidencialidad de la columna especificada.
  • Eliminar: elimina la etiqueta de confidencialidad de la columna especificada.
  • Deshabilitar la recomendación: deshabilita las recomendaciones de confidencialidad en la columna especificada.
  • Habilitar la recomendación: habilita las recomendaciones de confidencialidad en la columna especificada. (Las recomendaciones están habilitadas de forma predeterminada en todas las columnas).
  • Obtener: obtiene la etiqueta de confidencialidad de la columna especificada.
  • Lista actual por base de datos: obtiene las etiquetas de confidencialidad actuales de la base de datos especificada.
  • Lista Recomendaciones por Base de Datos: Obtiene las etiquetas de sensibilidad recomendadas de la base de datos especificada.

Recuperación de metadatos de clasificaciones mediante controladores de SQL

Puede usar los siguientes controladores de SQL para recuperar metadatos de clasificación:

Preguntas más frecuentes: funcionalidades de clasificación avanzadas

Pregunta: ¿Microsoft Purview reemplazará la Clasificación y detección de datos de SQL o esta última se retirará pronto? Respuesta: Se sigue dando soporte a Clasificación y detección de datos de SQL y se le anima a que adopte Microsoft Purview, que tiene más capacidades para impulsar la clasificación avanzada y la gobernanza de datos. Si decidimos retirar cualquier servicio, característica, API o SKU, recibirá un aviso previo con instrucciones para la migración o transición. Para obtener más información, consulte las directivas de ciclo de vida de Microsoft.

Contenido relacionado

  • Last updated on