Descoberta de Dados & Classificação no Azure Synapse Analytics

Descoberta de Dados & A classificação está integrada nos pools SQL dedicados do Azure Synapse Analytics. Ele oferece capacidades para descobrir, classificar, rotular e reportar dados sensíveis em seus bancos de dados.

Descoberta e Classificação de Dados não é suportada para pools SQL serverless.

Os dados mais confidenciais podem incluir informações comerciais, financeiras, de saúde ou pessoais. Isso pode servir como infraestrutura para:

  • Atenda aos padrões de privacidade de dados e aos requisitos de conformidade regulatória.
  • Suporte a cenários de segurança, como monitoramento (auditoria) do acesso a dados sensíveis.
  • Controlar o acesso e reforçar a segurança de bancos de dados que contêm dados altamente sensíveis.

O que é a Descoberta e Classificação de Dados?

A detecção e classificação de dados atualmente suporta os seguintes recursos:

  • Descoberta e recomendações: o mecanismo de classificação examina o banco de dados e identifica colunas contendo dados potencialmente confidenciais. Em seguida, ele oferece uma forma fácil de examinar e aplicar a classificação recomendada por meio do portal do Azure.

  • Rotulagem: Você pode aplicar rótulos de classificação de sensibilidade de forma persistente às colunas usando atributos de metadados no mecanismo de banco de dados. Esses metadados podem ser usados para cenários de auditoria com base na sensibilidade.

  • Confidencialidade do conjunto de resultados da consulta: a confidencialidade do conjunto de resultados da consulta é calculada em tempo real para fins de auditoria.

  • Visibilidade: é possível exibir o estado da classificação do banco de dados em um dashboard detalhado no portal do Azure. Além disso, você pode baixar um relatório no formato do Excel para fins de conformidade e auditoria e outras necessidades.

Descobrir, classificar e rotular colunas confidenciais

Esta seção descreve as etapas para:

  • Descobrir, classificar e rotular as colunas que contêm dados confidenciais em um banco de dado.
  • Ver o estado de classificação atual do banco de dados e exportar relatórios.

A classificação inclui dois atributos de metadados:

  • Rótulos: os principais atributos de classificação, usados para definir a sensibilidade dos dados armazenados na coluna.
  • Tipos de informações: atributos que mostram informações mais granulares sobre o tipo de dados armazenados na coluna.

Política de Proteção de Informações

Azure Synapse Analytics utiliza a política SQL Proteção de Informações para classificação de dados.

Política de Proteção de Informações do SQL

Descoberta e Classificação de Dados inclui um conjunto embutido de rótulos de sensibilidade e tipos de informação com lógica de descoberta que funciona nativamente com o servidor lógico SQL. Use os rótulos de proteção disponíveis no arquivo padrão de políticas ou personalize essa taxonomia. Defina um conjunto e uma hierarquia de construtos de classificação especificamente para o seu ambiente.

Definir e personalizar sua taxonomia de classificação

Defina e personalize sua taxonomia de classificação em um único local central para toda a sua organização Azure. Use o Microsoft Defender para Nuvem, como parte da sua política de segurança. Somente alguém com direitos administrativos no grupo de gestão raiz da organização pode realizar essa tarefa.

Como parte do gerenciamento de políticas, você pode definir rótulos personalizados, classificá-los e associá-los a um conjunto selecionado de tipos de informações. Você também pode adicionar seus próprios tipos de informações personalizados e configurá-los com padrões de cadeia de caracteres. Os padrões são adicionados à lógica de descoberta para identificar esse tipo de dados nos bancos de dados.

Para mais informações, consulte Personalizar a política de proteção de informações do SQL no Microsoft Defender para nuvem (versão prévia).

Depois de definir a política de toda a organização, continue classificando bancos de dados individuais usando sua política personalizada.

Classificar o banco de dados no modo de política de Proteção de Informações do SQL

Note

O exemplo a seguir usa o Banco de Dados SQL do Azure, mas você deve selecionar o produto apropriado no qual deseja configurar Descoberta e Classificação de Dados.

  1. Vá para o portal do Azure.

  2. Navegue para Descoberta e Classificação de Dados no cabeçalho Segurança do painel do Banco de Dados SQL do Azure. A aba Visão Geral inclui um resumo do estado atual da classificação do banco de dados. O resumo inclui uma lista detalhada de todas as colunas classificadas, que você pode filtrar para mostrar apenas partes específicas do esquema, tipos de informação e etiquetas. Se você ainda não classificou nenhuma coluna, pule para o passo 4.

  3. Para baixar um relatório no formato Excel, clique na opção Exportar no menu superior do painel.

  4. Para começar a classificar os dados, selecione a guia Classificação na página Descoberta e Classificação de Dados.

    O mecanismo de classificação verifica o banco de dados em busca de colunas que contenham dados possivelmente confidenciais e mostra uma lista de classificações de coluna recomendadas.

  5. Veja e aplique as recomendações de classificação:

    • Para ver a lista das classificações de colunas recomendadas, selecione o painel de recomendações na parte inferior do painel.

    • Para aceitar a recomendação de uma coluna específica, marque a caixa de seleção na coluna à esquerda da linha relevante. Para marcar todas as recomendações como aceitas, marque a última caixa de seleção à esquerda no cabeçalho da tabela de recomendações.

    • Para aplicar as recomendações selecionadas, selecione Aceitar recomendações selecionadas.

    Note

    O mecanismo de recomendação, que realiza a descoberta de dados automática e fornece as recomendações de colunas confidenciais, é desabilitado quando o modo de política de Proteção de Informações do Microsoft Purview é usado.

  6. Você também pode classificar as colunas manualmente como uma alternativa ou além da classificação de recomendação:

    1. Selecione Adicionar classificação no menu superior do painel.

    2. Na janela de contexto que se abre, selecione o esquema, a tabela e a coluna que você deseja classificar e, em seguida, o tipo de informações e o rótulo de confidencialidade.

    3. Selecione Adicionar classificação na parte inferior da janela de contexto.

  7. Para concluir a classificação e rotular (marcar) de maneira persistente as colunas do banco de dados com os novos metadados de classificação, selecione Salvar na página Classificação.

Política de Proteção de Informações do Microsoft Purview

Note

Microsoft Proteção de Informações (MIP) agora é Proteção de Informações do Microsoft Purview. Tanto "MIP" quanto "Proteção de Informações do Microsoft Purview" referem-se ao mesmo conceito.

Os rótulos Proteção de Informações do Microsoft Purview oferecem uma forma simples e uniforme para os usuários classificarem dados sensíveis entre diferentes aplicativos da Microsoft. Crie e gerencie rótulos de sensibilidade MIP no portal de conformidade do Microsoft Purview. Para saber como criar e publicar rótulos confidenciais de PIM no portal de conformidade do Microsoft Purview, confira Criar e publicar rótulos de confidencialidade.

Pré-requisitos para realizar a comutação para a política de Proteção de Informações do Microsoft Purview

  • Definir ou alterar a política de proteção de informações define a política de proteção de informações para todos os bancos de dados no locatário. Você deve ter permissão de Administrador de Segurança em todo o locatário para alterar a política de proteção de informações da política SQL Proteção de Informações para a política MIP, ou vice-versa.

  • Um usuário ou persona com permissão de Administrador de Segurança para todo o locatário pode aplicar a política no nível do grupo de gerenciamento raiz do locatário. Para obter mais informações, confira Conceder permissões em todo o locatário para si mesmo.

  • Seu locatário tem uma assinatura do Microsoft 365 ativa e você tem rótulos publicados do usuário atual. Para obter mais informações, confira Criar e configurar rótulos de confidencialidade e as respectivas políticas.

Classificação do banco de dados no modo de política de Proteção de Informações do Microsoft Purview

  1. Vá para o portal do Azure.
  2. Navegue até seu banco de dados no Azure.
  3. Acesse Classificação e Descoberta de Dados no título Segurança do painel do banco de dados.
  4. Para selecionar a Política de Proteção de Informações da Microsoft, selecione a guia Visão Geral e Configurar.
  5. Selecione a Política de Proteção de Informações da Microsoft nas opções Política de Proteção de Informações e selecione Salvar.
  6. Se você for até a guia Classificação ou selecionar Adicionar classificação, verá os rótulos de sensibilidade do Microsoft 365 aparecerem na lista suspensa Rótulo de sensibilidade.
  • O tipo de informações é [n/a] enquanto você está no modo de política de MIP e as recomendações e descoberta de dados automáticas permanecem desabilitadas.
  • Um ícone de aviso pode aparecer ao lado de uma coluna já classificada se a coluna tiver sido classificada com uma política de Proteção de Informações diferente da política atualmente ativa. Por exemplo, se a coluna foi classificada anteriormente usando um rótulo com a política do SQL Proteção de Informações e você agora está no modo de política do Microsoft Proteção de Informações, você verá um ícone de aviso ao lado dessa coluna específica. O ícone de aviso é informativo e não indica problema.

Políticas do Proteção de Informações do Microsoft Purview para o Banco de Dados SQL do Azure

Importante

As políticas do Proteção de Informações do Microsoft Purview do Banco de Dados SQL do Azure foram desativadas. Você não pode mais configurar ou aplicar controle de acesso em colunas sensíveis por meio das políticas de acesso Proteção de Informações do Microsoft Purview (MIP), e as políticas de acesso existentes configuradas por essa funcionalidade não são mais aplicadas.

Anteriormente, o Banco de Dados SQL do Azure suportava a aplicação do controle de acesso em colunas rotuladas com etiquetas de sensibilidade do Proteção de Informações do Microsoft Purview, utilizando políticas de acesso do Purview.

Políticas de proteção do Microsoft Purview que controlam o acesso por meio de rótulos de sensibilidade ainda estão disponíveis no Microsoft Fabric. Para mais informações, veja Políticas de Proteção no Microsoft Fabric.

Auditar o acesso aos dados confidenciais

Um aspecto importante da classificação é a capacidade de monitorar o acesso a dados sensíveis. A auditoria do Azure Synapse Analytics inclui um campo no log de auditoria chamado data_sensitivity_information. Esse campo registra as classificações de sensibilidade (rótulos) dos dados que uma consulta retorna.

Essas atividades T-SQL são auditáveis com informações de sensibilidade:

  • ALTER TABLE ... DROP COLUMN
  • BULK INSERT
  • SELECT
  • DELETE
  • INSERT
  • MERGE
  • UPDATE
  • UPDATETEXT
  • WRITETEXT
  • DROP TABLE
  • BACKUP
  • DBCC CloneDatabase
  • SELECT INTO
  • INSERT INTO EXEC
  • TRUNCATE TABLE
  • DBCC SHOW_STATISTICS
  • sys.dm_db_stats_histogram

Use sys.fn_get_audit_file para retornar informações de um arquivo de auditoria armazenado em uma conta de Armazenamento do Azure.

Permissions

Estas funções internas podem ler a classificação de dados de um banco de dados:

  • Proprietário
  • Leitor
  • Contributor
  • Gerenciador de Segurança do SQL
  • Administrador de Acesso do Usuário

Para ler a classificação de dados de um banco de dados, você precisa destas ações:

  • Microsoft.Sql/servers/databases/currentSensitivityLabels/*
  • Microsoft.Sql/servers/databases/recommendedSensitivityLabels/*
  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

Estas funções internas podem modificar a classificação de dados de um banco de dados:

  • Proprietário
  • Contributor
  • Gerenciador de Segurança do SQL

Para modificar a classificação de dados de um banco de dados, você precisa desta ação:

  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

Saiba mais sobre permissões baseadas em função no RBAC do Azure.

Note

As funções integradas ao SQL do Azure nesta seção se aplicam a um pool SQL dedicado (anteriormente SQL DW), mas não estão disponíveis para pools SQL dedicados e outros recursos SQL dentro dos workspaces do Azure Synapse. Para recursos SQL em espaços de trabalho do Azure Synapse, use as ações disponíveis para classificação de dados para criar funções personalizadas do Azure, conforme necessário para a rotulagem. Para obter mais informações sobre as operações de provedor Microsoft.Synapse/workspaces/sqlPools, consulte Microsoft.Synapse.

Gerenciar classificações

Você pode usar o T-SQL, uma API REST ou o PowerShell para gerenciar as classificações.

Usar T-SQL

Você pode usar o T-SQL para adicionar ou remover classificações de coluna, bem como para recuperar todas as classificações do banco de dados inteiro.

Note

Quando você usa T-SQL para gerenciar rótulos, não há validação de que os rótulos adicionados a uma coluna existam na política de proteção de informações da organização (o conjunto de rótulos que aparece nas recomendações do portal). Você precisa validar.

Para saber como usar o T-SQL para classificações, confira as seguintes referências:

Usar cmdlets do PowerShell

Gerencie classificações e recomendações para Banco de Dados SQL do Azure e Instância Gerenciada de SQL do Azure usando PowerShell.

Cmdlets do PowerShell para o Banco de Dados SQL do Azure

Usar a API REST

Você pode usar a API REST para gerenciar programaticamente classificações e recomendações. A API REST publicada dá suporte às seguintes operações:

Recuperar metadados de classificações usando drivers SQL

Você pode usar os seguintes drivers SQL para recuperar metadados de classificação:

Perguntas frequentes – Recursos de classificação avançada

Pergunta: O Microsoft Purview substituirá o SQL Data Discovery & Classification ou o SQL Data Discovery & Classification será descontinuado em breve? Resposta: continuamos a oferecer suporte à Descoberta e Classificação de Dados SQL e incentivamos você a adotar o Microsoft Purview, que tem recursos mais avançados para impulsionar os recursos de classificação avançada e a governança de dados. Se decidirmos aposentar qualquer serviço, funcionalidade, API ou SKU, você recebe aviso prévio, incluindo um caminho de migração ou transição. Para obter mais informações, consulte as políticas de Ciclo de Vida da Microsoft.

Conteúdo relacionado

  • Última atualização em