Découverte et classification des données

S’applique :Azure SQL DatabaseAzure SQL Managed InstanceAzure Synapse Analytics

L’option Découverte et classification des données est conçue pour Azure SQL Database, Azure SQL Managed Instance et Azure Synapse Analytics. Elle offre des fonctionnalités de base pour la découverte, la classification, l’étiquetage et le signalement des données sensibles dans vos bases de données.

Vos données les plus sensibles peuvent inclure des informations commerciales, financières, médicales ou personnelles. Elles peuvent servir d’infrastructure pour :

  • Contribuer à respecter les normes en matière de confidentialité des données et d’exigences pour la conformité réglementaire.
  • Différents scénarios de sécurité, comme la supervision (audit) de l’accès à des données sensibles
  • Contrôler l’accès et renforcer la sécurité des bases de données contenant des données sensibles.

Pour plus d’informations sur SQL Server local, consultez Découverte et classification de données SQL.

Remarque

La protection d’accès basée sur l’étiquette qui utilise les politiques Protection des données Microsoft Purview (aperçu) est retirée et n’est plus disponible. Pour plus d’informations, consultez les politiques Protection des données Microsoft Purview pour Azure SQL Database.

Qu’est-ce que la découverte et la classification des données ?

La fonction Découverte et classification des données prend actuellement en charge les fonctionnalités suivantes :

  • Découverte et recommandations : Le moteur de classification analyse votre base de données et identifie les colonnes contenant des données potentiellement sensibles. Il vous offre ensuite un moyen simple d’examiner et d’appliquer la classification recommandée via le portail Azure.

  • Étiquetage : Vous pouvez appliquer des étiquettes de classification de sensibilité de manière permanente aux colonnes à l’aide de nouveaux attributs de métadonnées qui ont été ajoutés au moteur de base de données SQL Server. Vous pouvez ensuite utiliser ces métadonnées pour des scénarios d’audit basés sur la sensibilité.

  • Sensibilité du jeu de résultats de requête : La sensibilité du jeu de résultats de requête est calculée en temps réel à des fins d’audit.

  • Visibilité : Vous pouvez afficher l’état de classification de la base de données dans un tableau de bord détaillé dans le portail Azure. En outre, vous pouvez télécharger un rapport au format Excel pour l’utiliser à des fins de conformité et d’audit, et d’autres besoins.

Découvrir, classer et étiqueter des colonnes contenant des données sensibles

Cette section décrit les étapes pour :

  • Découvrir, classer et étiqueter les colonnes qui contiennent des données sensibles dans votre base de données.
  • Afficher l’état actuel de la classification de votre base de données et exporter des rapports.

La classification comprend deux attributs de métadonnées :

  • Étiquettes : Les principaux attributs de classification utilisés pour définir le niveau de sensibilité des données stockées dans la colonne.
  • Types d'informations : Attributs qui fournissent des informations plus granulaires sur le type des données stockées dans la colonne.

Stratégie de protection des informations

Azure SQL fournit à la fois la stratégie Information Protection SQL et la stratégie Microsoft Information Protection pour la classification des données. Vous pouvez choisir l’une ou l’autre en fonction de vos besoins.

Capture d’écran des types de stratégies Information Protection.

Stratégie de protection des informations SQL

La Découverte et classification des données est fournie avec un ensemble intégré d’étiquettes de confidentialité et de types d’informations, associés à une logique de découverte native du serveur logique SQL. Vous pouvez continuer à utiliser les étiquettes de protection disponibles dans le fichier de stratégie par défaut, ou vous pouvez personnaliser cette taxonomie. Vous pouvez définir un ensemble et un classement d’éléments de classification spécifiquement pour votre environnement.

Définir et personnaliser votre taxonomie de classification

Vous définissez et personnalisez votre taxonomie de classification dans un emplacement central pour l’ensemble de votre organisation Azure. Cet emplacement se trouve dans Microsoft Defender pour le cloud, dans le cadre de votre stratégie de sécurité. Seules les personnes disposant de droits d’administration pour le groupe d’administration racine de l’organisation peuvent effectuer cette tâche.

Dans le cadre de la gestion des stratégies, vous pouvez définir des étiquettes personnalisées, les classer et les associer à un ensemble de types d’informations. Vous pouvez également ajouter vos propres types d’informations personnalisés et les configurer avec des modèles de chaîne. Les modèles sont ajoutés à la logique de détection pour identifier ce type de données dans vos bases de données.

Pour plus d’informations, consultez Personnaliser la stratégie de protection des informations SQL dans Microsoft Defender pour le cloud (préversion).

Une fois la stratégie au niveau de l’organisation définie, vous pouvez continuer à classer les bases de données individuelles à l’aide de votre stratégie personnalisée.

Classer la base de données en mode de stratégie SQL Information Protection

Remarque

L’exemple ci-dessous utilise Azure SQL Database, mais vous devez sélectionner le produit dans lequel vous souhaitez configurer Découverte et classification des données.

  1. Accédez au portail Azure.

  2. Accédez à Découverte et classification des données sous l’en-tête Sécurité du volet Azure SQL Database. L’onglet Vue d’ensemble contient un résumé de l’état actuel de la classification de la base de données. Le résumé comprend une liste détaillée de toutes les colonnes classifiées, que vous pouvez également filtrer pour afficher uniquement des parties de schéma, des types d’informations et des étiquettes spécifiques. Si vous n’avez pas encore classifié de colonne, passez à l’étape 4.

    Capture d’écran de l’onglet Aperçu avec la section Découverte et Classification des données mises en évidence.

  3. Pour télécharger un rapport au format Excel, sélectionnez Exporter dans le menu supérieur du volet.

  4. Pour commencer à classer vos données, sélectionnez l’onglet Classification de la page Découverte et classification des données.

    Le moteur de classification analyse votre base de données à la recherche de colonnes contenant des données potentiellement sensibles, et il fournit une liste de classifications de colonnes recommandées.

  5. Afficher et appliquer les recommandations de classification :

    • Pour afficher la liste des classifications de colonnes recommandées, sélectionnez le panneau de recommandations en bas du volet.

    • Pour accepter une recommandation associée à une colonne spécifique, sélectionnez la case dans la colonne de gauche de la ligne concernée. Pour marquer toutes les recommandations comme étant acceptées, activez la case à cocher la plus à gauche dans l’en-tête de table de recommandations.

    • Pour appliquer les recommandations sélectionnées, sélectionnez Accepter les recommandations sélectionnées.

    Capture d’écran des recommandations pour la classification.

    Remarque

    Le moteur de recommandation, qui effectue la recherche de données automatique et fournit des recommandations de colonne sensibles, est désactivé lorsque le mode Stratégie Protection des données Microsoft Purview est utilisé.

  6. Vous pouvez aussi, en guise d’alternative, classifier manuellement des colonnes ou, en plus de la classification basée sur les recommandations :

    1. Sélectionnez Ajouter une classification dans le menu en haut du volet.

    2. Dans la fenêtre contextuelle qui apparaît, sélectionnez le schéma, la table et la colonne que vous souhaitez classifier, ainsi que l’étiquette de sensibilité et le type d’informations.

    3. Sélectionnez Ajouter une classification en bas de la fenêtre contextuelle.

    Capture d’écran qui montre comment ajouter la classification manuellement.

  7. Pour terminer votre classification et étiqueter de manière permanente les colonnes de base de données avec les nouvelles métadonnées de classification, sélectionnez Enregistrer dans la page Classification.

Stratégie Protection des données Microsoft Purview

Remarque

Microsoft Information Protection (MIP) a été renommé Protection des données Microsoft Purview. Tant « MIP » que « Protection des données Microsoft Purview » sont utilisés de manière interchangeable dans ce document, mais font référence au même concept.

Les étiquettes Protection des données Microsoft Purview fournissent aux utilisateurs un moyen simple de classifier les données sensibles de manière uniforme dans les différentes applications Microsoft. Les étiquettes de confidentialité MIP sont créées et gérées dans le portail de conformité Microsoft Purview. Pour savoir comment créer et publier des étiquettes de confidentialité MIP dans le portail de conformité Microsoft Purview, consultez Créer et publier des étiquettes de confidentialité.

Conditions préalables pour passer à Stratégie Protection des données Microsoft Purview

  • La définition ou la modification d’une stratégie de protection des informations dans Azure SQL Database définit la stratégie de protection des informations correspondante pour toutes les bases de données du locataire. L’utilisateur ou le profil doit disposer de l’autorisation Administrateur de la sécurité à l’échelle du locataire pour modifier la stratégie de protection des informations, de la stratégie SQL Information Protection à la stratégie MIP, ou inversement.

  • L’utilisateur ou le profil disposant de l’autorisation Administrateur de la sécurité à l’échelle du locataire peut appliquer une stratégie au niveau du groupe d’administration racine du locataire. Pour plus d’informations, consultez Vous accorder des autorisations pour l’ensemble du locataire.

    Capture d’écran de la demande du portail Azure pour les autorisations d’administrateur de sécurité au niveau locataire.

  • Votre locataire dispose d’un abonnement Microsoft 365 actif et des étiquettes sont publiées pour l’utilisateur actuel. Pour plus d’informations, consultez Créer et configurer des étiquettes de confidentialité et leurs stratégies.

Classifier la base de données en mode Stratégie Protection des données Microsoft Purview

  1. Accédez au portail Azure.

  2. Accédez à votre base de données dans Azure SQL Database.

  3. Accédez à Découverte et classification des données sous l’en-tête Sécurité du volet de la base de données.

  4. Pour sélectionner Stratégie de Microsoft Information Protection, sélectionnez l’onglet Vue d’ensemble, puis sélectionnez Configurer.

  5. Sélectionnez Stratégie de Microsoft Information Protection dans les options Stratégie de protection des informations, puis sélectionnez Enregistrer.

    Capture d’écran du choix de la stratégie Microsoft Information Protection pour Azure SQL Database.

  6. Si vous allez dans l’onglet Classification ou sélectionnez Ajouter classification, vous voyez apparaître les étiquettes de sensibilité Microsoft 365 dans la liste déroulante des étiquettes de sensibilité.

    Capture d’écran de la liste déroulante des étiquettes de sensibilité.

    Capture d’écran de l’étiquette de sensibilité dans l’onglet Classification.

  • Le type des informations est [n/a] tant que vous êtes en mode Stratégie MIP, et tant que la découverte automatique des données et les recommandations restent désactivées.

  • Une icône d’avertissement peut apparaître sur une colonne déjà classée si celle-ci a été classée selon une politique de Information Protection différente de la politique actuellement active. Par exemple, si la colonne a été classée en utilisant une étiquette avec une politique SQL Information Protection auparavant et que vous êtes maintenant en mode politique Microsoft Information Protection, vous voyez une icône d'avertissement contre cette colonne spécifique. L’icône d’avertissement est informative et n’indique pas de problème.

    Capture d’écran d’avertissements concernant des colonnes classifiées en raison de différentes stratégies de protection des informations.

Protection des données Microsoft Purview Policies for Azure SQL Database

Important

Les politiques Protection des données Microsoft Purview pour Azure SQL Database sont retirées. Vous ne pouvez plus configurer ou imposer le contrôle d’accès sur les colonnes sensibles via les politiques d’accès Protection des données Microsoft Purview (MIP), et les politiques d’accès existantes configurées via cette fonctionnalité ne sont plus appliquées.

Auparavant, Azure SQL Database supportait l’application du contrôle d’accès sur les colonnes étiquetées avec les labels de sensibilité Protection des données Microsoft Purview en utilisant les politiques d’accès Purview.

Les politiques de protection de Microsoft Purview qui contrôlent l’accès via des labels de sensibilité sont toujours disponibles dans Microsoft Fabric. Pour plus d’informations, consultez Politiques de protection dans Microsoft Fabric.

Audit de l’accès aux données sensibles

Un aspect important de la classification est la possibilité de superviser l’accès aux données sensibles. Azure SQL Auditing inclut un champ dans le journal d’audit appelé data_sensitivity_information. Ce champ enregistre les classifications de sensibilité (étiquettes) des données qu’une requête retourne. Voici un exemple :

Capture d’écran de l’ensemble de résultats d’une requête d’un journal d’audit exemple.

Ces activités T-SQL sont auditables avec des informations de sensibilité :

  • ALTER TABLE ... DROP COLUMN
  • BULK INSERT
  • SELECT
  • DELETE
  • INSERT
  • MERGE
  • UPDATE
  • UPDATETEXT
  • WRITETEXT
  • DROP TABLE
  • BACKUP
  • DBCC CloneDatabase
  • SELECT INTO
  • INSERT INTO EXEC
  • TRUNCATE TABLE
  • DBCC SHOW_STATISTICS
  • sys.dm_db_stats_histogram

Utilisez sys.fn_get_audit_file pour retourner des informations à partir d’un fichier d’audit stocké dans un compte de stockage Azure.

Autorisations

Ces rôles intégrés peuvent lire la classification des données d’une base de données :

  • Propriétaire
  • Lecteur
  • Contributeur
  • Gestionnaire de sécurité SQL
  • Administrateur de l'accès utilisateur

Voici les actions requises pour lire la classification des données d’une base de données :

  • Microsoft.Sql/servers/databases/currentSensitivityLabels/*
  • Microsoft.Sql/servers/databases/recommendedSensitivityLabels/*
  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

Ces rôles intégrés peuvent modifier la classification des données d’une base de données :

  • Propriétaire
  • Contributeur
  • Gestionnaire de sécurité SQL

Voici l’action requise pour modifier la classification des données d’une base de données :

  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

En savoir plus sur les autorisations en fonction du rôle dans Azure RBAC.

Remarque

Les rôles intégrés Azure SQL dans cette section s'appliquent à un pool SQL dédié (anciennement SQL DW) mais ne sont pas disponibles pour les pools SQL dédiés et autres ressources SQL dans les espaces de travail Azure Synapse. Pour les ressources SQL dans les espaces de travail Azure Synapse, utilisez les actions disponibles pour la classification des données afin de créer des rôles Azure personnalisés selon les besoins pour l’étiquetage. Pour plus d’informations sur les opérations du fournisseurMicrosoft.Synapse/workspaces/sqlPools, consultez Microsoft.Synapse.

Gérer les classifications

Vous pouvez utiliser T-SQL, une API REST ou PowerShell pour gérer les classifications.

Utiliser T-SQL

Vous pouvez utiliser T-SQL pour ajouter/supprimer des classifications de colonne, ainsi que pour récupérer toutes les classifications pour la base de données entière.

Remarque

Quand vous utilisez T-SQL pour gérer les étiquettes, aucune validation n’est effectuée pour vérifier que les étiquettes que vous ajoutez à une colonne existent dans la stratégie de protection des informations de l’organisation (ensemble des étiquettes qui apparaissent dans les recommandations du portail). C’est donc à vous de valider.

Pour plus d’informations sur l’utilisation de T-SQL pour les classifications, consultez les références suivantes :

Utiliser des applets de commande PowerShell

Gérez les classifications et les recommandations pour Azure SQL Database et Azure SQL Managed Instance à l'aide de PowerShell.

Cmdlets PowerShell pour Azure SQL Database

Applets de commande PowerShell pour Azure SQL Managed Instance

Utiliser l’API REST

Vous pouvez utiliser l’API REST pour gérer par programme les classifications et les recommandations. L’API REST publiée prend en charge les opérations suivantes :

Récupérer les métadonnées de classification à l’aide de pilotes SQL

Vous pouvez utiliser les pilotes SQL suivants pour récupérer les métadonnées de classification :

Questions fréquentes (FAQ) - Fonctionnalités de classification avancées

Question : Microsoft Purview remplacera-t-il la fonctionnalité Découverte et classification des données SQL ou celle-ci sera-t-elle bientôt mise hors service ? Réponse : Nous continuons à prendre en charge la fonctionnalité Découverte et classification des données SQL et vous encourageons à adopter Microsoft Purview, qui offre des fonctionnalités plus riches en termes de classification avancée et de gouvernance des données. Si nous décidons de retirer un service, une fonctionnalité, une API ou une référence SKU, vous recevrez des notifications préalables indiquant comment opérer une migration ou une transition. Pour plus d’informations, consultez les stratégies de cycle de vie Microsoft.

Contenu connexe

  • Last updated on