Data Discovery & Classificação no Azure Synapse Analytics

A Descoberta e Classificação de Dados está integrada nos pools SQL dedicados do Azure Synapse Analytics. Oferece capacidades para descobrir, classificar, rotular e reportar dados sensíveis nas suas bases de dados.

A Descoberta e Classificação de Dados não é suportada para pools SQL serverless.

Os seus dados mais sensíveis podem incluir informações comerciais, financeiras, de cuidados de saúde ou pessoais. Pode servir de infraestrutura para:

  • Cumpra os padrões de privacidade de dados e os requisitos de conformidade regulamentar.
  • Suportar cenários de segurança, como monitorizar (auditar) o acesso a dados sensíveis.
  • Controla o acesso e endurece a segurança das bases de dados que contêm dados altamente sensíveis.

O que é Data Discovery & Classification?

Atualmente, o Data Discovery & Classification oferece suporte aos seguintes recursos:

  • Descoberta e recomendações: O mecanismo de classificação verifica seu banco de dados e identifica colunas que contêm dados potencialmente confidenciais. Em seguida, ele fornece uma maneira fácil de revisar e aplicar a classificação recomendada por meio do portal do Azure.

  • Rotulagem: Pode aplicar etiquetas de classificação de sensibilidade de forma persistente às colunas usando atributos de metadados no motor da base de dados. Esses metadados podem ser usados para cenários de auditoria baseados em sensibilidade.

  • Sensibilidade do conjunto de resultados da consulta: A sensibilidade de um conjunto de resultados de consulta é calculada em tempo real para fins de auditoria.

  • Visibilidade: Você pode exibir o estado de classificação do banco de dados em um painel detalhado no portal do Azure. Além disso, você pode baixar um relatório no formato Excel para usar para fins de conformidade e auditoria e outras necessidades.

Descubra, classifique e rotule colunas confidenciais

Esta seção descreve as etapas para:

  • Descobrir, classificar e rotular colunas que contêm dados confidenciais em seu banco de dados.
  • Visualizar o estado atual de classificação do banco de dados e exportar relatórios.

A classificação inclui dois atributos de metadados:

  • Rótulos: Os principais atributos de classificação, usados para definir o nível de sensibilidade dos dados armazenados na coluna.
  • Tipos de informações: atributos que fornecem informações mais granulares sobre o tipo de dados armazenados na coluna.

Política de proteção de informações

O Azure Synapse Analytics utiliza a política SQL Information Protection para classificação de dados.

Política de Proteção de Informações SQL

A Descoberta e Classificação de Dados inclui um conjunto incorporado de etiquetas de sensibilidade e tipos de informação com lógica de descoberta que funciona nativamente com o servidor lógico SQL. Utilize os rótulos de proteção disponíveis no ficheiro de políticas por defeito, ou personalize esta taxonomia. Defina um conjunto e uma hierarquia de construtos de classificação especificamente para o seu ambiente.

Definir e personalizar sua taxonomia de classificação

Defina e personalize a sua taxonomia de classificação num único local central para toda a sua organização Azure. Use o Microsoft Defender para a Cloud como parte da sua política de segurança. Só alguém com direitos administrativos no grupo de gestão raiz da organização pode realizar esta tarefa.

Como parte do gerenciamento de políticas, você pode definir rótulos personalizados, classificá-los e associá-los a um conjunto selecionado de tipos de informações. Você também pode adicionar seus próprios tipos de informações personalizadas e configurá-los com padrões de cadeia de caracteres. Os padrões são adicionados à lógica de descoberta para identificar esse tipo de dados em seus bancos de dados.

Para obter mais informações, consulte Personalizar a política de proteção de informações SQL no Microsoft Defender para a Cloud (Visualização).

Depois de definir a política organizacional, continue a classificar as bases de dados individuais utilizando a sua política personalizada.

Classificar o banco de dados no modo de política de Proteção de Informações SQL

Note

O exemplo seguinte utiliza o Base de Dados SQL do Azure, mas deve selecionar o produto apropriado para o qual pretende configurar o Data Discovery & Classification.

  1. Vai para o portal Azure.

  2. Vá para Descoberta de Dados & Classificação sob o título Segurança no painel Banco de Dados SQL do Azure. O separador Visão Geral inclui um resumo do estado atual da classificação da base de dados. O resumo inclui uma lista detalhada de todas as colunas classificadas, que pode utilizar para filtrar e mostrar apenas partes específicas do esquema, tipos de informação e etiquetas. Se ainda não classificaste nenhuma coluna, salta para o passo 4.

  3. Para baixar um relatório no formato Excel, selecione Exportar no menu superior do painel.

  4. Para começar a classificar seus dados, selecione a guia Classificação na página Descoberta de Dados & Classificação .

    O mecanismo de classificação verifica seu banco de dados em busca de colunas que contenham dados potencialmente confidenciais e fornece uma lista de classificações de colunas recomendadas.

  5. Veja e aplique recomendações de classificação:

    • Para exibir a lista de classificações de coluna recomendadas, selecione o painel de recomendações na parte inferior do painel.

    • Para aceitar uma recomendação para uma coluna específica, marque a caixa de seleção na coluna esquerda da linha relevante. Para marcar todas as recomendações como aceitas, marque a caixa de seleção mais à esquerda no cabeçalho da tabela de recomendações.

    • Para aplicar as recomendações selecionadas, selecione Aceitar recomendações selecionadas.

    Note

    O mecanismo de recomendação, que faz a descoberta automática de dados e fornece recomendações de coluna confidenciais, é desabilitado quando o modo de política de Proteção de Informações do Microsoft Purview é usado.

  6. Você também pode classificar colunas manualmente, como alternativa ou além da classificação baseada em recomendações:

    1. Selecione Adicionar classificação no menu superior do painel.

    2. Na janela de contexto que se abre, selecione o esquema, a tabela e a coluna que deseja classificar, bem como o tipo de informação e o rótulo de sensibilidade.

    3. Selecione Adicionar classificação na parte inferior da janela de contexto.

  7. Para concluir sua classificação e rotular (marcar) persistentemente as colunas do banco de dados com os novos metadados de classificação, selecione Salvar na página Classificação .

Política de proteção de informações do Microsoft Purview

Note

Microsoft Information Protection (MIP) é agora Proteção de Informações do Microsoft Purview. Tanto "MIP" como "Proteção de Informações do Microsoft Purview" referem-se ao mesmo conceito.

Os rótulos Proteção de Informações do Microsoft Purview fornecem uma forma simples e uniforme para os utilizadores classificarem dados sensíveis em diferentes aplicações Microsoft. Crie e gere etiquetas de sensibilidade MIP no portal de conformidade do Microsoft Purview. Para saber como criar e publicar rótulos sensíveis a MIP no portal de conformidade do Microsoft Purview, consulte Criar e publicar rótulos de sensibilidade.

Pré-requisitos para mudar para a política de proteção de informações do Microsoft Purview

  • Definir ou alterar a política de proteção de informação define a política de proteção de informação para todas as bases de dados no tenant. Deve ter permissão de Administrador de Segurança ao nível do inquilino para alterar a política de proteção de informações de SQL Information Protection policy para política MIP, ou vice-versa.

  • Um utilizador ou persona com permissão de Administrador de Segurança para todo o tenant pode aplicar a política ao nível do grupo de gestão raiz do tenant. Para obter mais informações, consulte Conceder permissões a nível do locatário a si mesmo.

  • O seu inquilino tem uma subscrição ativa do Microsoft 365 e foram publicadas etiquetas para o utilizador atual. Para obter mais informações, consulte Criar e configurar rótulos de sensibilidade e suas políticas.

Classificar o banco de dados no modo de política de Proteção de Informações do Microsoft Purview

  1. Vai para o portal Azure.
  2. Navegue até à sua base de dados no Azure.
  3. Vá para Descoberta de Dados & Classificação sob o título Segurança no painel do banco de dados.
  4. Para selecionar a política de Proteção de Informações da Microsoft, selecione a guia Visão geral e selecione Configurar.
  5. Selecione Política de Proteção de Informações da Microsoft nas opções de política de Proteção de Informações e selecione Salvar.
  6. Se acederes ao separador Classificação ou selecionares Adicionar classificação, verás as etiquetas de confidencialidade do Microsoft 365 aparecer na lista pendente Etiqueta de confidencialidade.
  • O tipo de informação é [n/a] enquanto está no modo de política MIP e a descoberta automática de dados e recomendações continuam desativadas.
  • Um ícone de aviso pode aparecer junto a uma coluna já classificada se a coluna for classificada usando uma política de Information Protection diferente da política atualmente ativa. Por exemplo, se a coluna tiver sido classificada anteriormente através de um rótulo com a política SQL Information Protection e estiver agora no modo de política Microsoft Information Protection, verá um ícone de aviso junto dessa coluna específica. O ícone de aviso é informativo e não indica problema.

Políticas de Proteção de Informações do Microsoft Purview para o Base de Dados SQL do Azure

Importante

As políticas do Proteção de Informações do Microsoft Purview para Base de Dados SQL do Azure foram retiradas. Já não pode configurar ou impor controlo de acesso em colunas sensíveis através das políticas de acesso Proteção de Informações do Microsoft Purview (MIP), e as políticas de acesso existentes configuradas por esta funcionalidade deixaram de ser aplicadas.

Anteriormente, o Base de Dados SQL do Azure suportava a aplicação do controlo de acesso em colunas rotuladas com etiquetas de sensibilidade do Proteção de Informações do Microsoft Purview, utilizando políticas de acesso Purview.

As políticas de proteção da Microsoft Purview que controlam o acesso através de rótulos de sensibilidade ainda estão disponíveis no Microsoft Fabric. Para mais informações, consulte Políticas de Proteção no Microsoft Fabric.

Auditar o acesso a dados confidenciais

Um aspeto importante da classificação é a capacidade de monitorizar o acesso a dados sensíveis. A auditoria do Azure Synapse Analytics inclui um campo no registo de auditoria chamado data_sensitivity_information. Este campo regista as classificações de sensibilidade (etiquetas) dos dados que uma consulta devolve.

Estas atividades T-SQL são auditáveis com informação de sensibilidade:

  • ALTER TABLE ... DROP COLUMN
  • BULK INSERT
  • SELECT
  • DELETE
  • INSERT
  • MERGE
  • UPDATE
  • UPDATETEXT
  • WRITETEXT
  • DROP TABLE
  • BACKUP
  • DBCC CloneDatabase
  • SELECT INTO
  • INSERT INTO EXEC
  • TRUNCATE TABLE
  • DBCC SHOW_STATISTICS
  • sys.dm_db_stats_histogram

Use sys.fn_get_audit_file para retornar informações de um arquivo de auditoria armazenado em uma conta de Armazenamento do Azure.

Permissions

Essas funções internas podem ler a classificação de dados de um banco de dados:

  • Proprietário
  • Reader
  • Contributor
  • Gestor de Segurança SQL
  • Administrador de Acesso de Usuário

Para ler a classificação de dados de uma base de dados, precisa destas ações:

  • Microsoft.Sql/servers/databases/currentSensitivityLabels/*
  • Microsoft.Sql/servers/databases/recommendedSensitivityLabels/*
  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

Essas funções internas podem modificar a classificação de dados de um banco de dados:

  • Proprietário
  • Contributor
  • Gestor de Segurança SQL

Para modificar a classificação dos dados de uma base de dados, precisa desta ação:

  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

Saiba mais sobre permissões baseadas em função no Azure RBAC.

Note

As funções integradas no SQL do Azure nesta secção aplicam-se a um pool SQL dedicado (anteriormente SQL DW), mas não estão disponíveis para pools SQL dedicados e outros recursos SQL dentro dos espaços de trabalho do Azure Synapse. Para recursos SQL em espaços de trabalho do Azure Synapse, utilize as ações disponíveis para classificação de dados para criar funções personalizadas do Azure, consoante necessário, para etiquetagem. Para obter mais informações sobre as operações do Microsoft.Synapse/workspaces/sqlPools provedor, consulte Microsoft.Synapse.

Gerir classificações

Você pode usar o T-SQL, uma API REST ou o PowerShell para gerenciar classificações.

Usar T-SQL

Você pode usar o T-SQL para adicionar ou remover classificações de coluna e recuperar todas as classificações de todo o banco de dados.

Note

Quando usa T-SQL para gerir etiquetas, não há validação de que as etiquetas adicionadas a uma coluna existam na política de proteção de informação da organização (o conjunto de etiquetas que aparece nas recomendações do portal). Tens de validar.

Para obter informações sobre como usar o T-SQL para classificações, consulte as seguintes referências:

Usar cmdlets do PowerShell

Gerir classificações e recomendações para Base de Dados SQL do Azure e Azure SQL Managed Instance usando PowerShell.

Cmdlets do PowerShell para o Banco de Dados SQL do Azure

Utilizar a API REST

Você pode usar a API REST para gerenciar programaticamente classificações e recomendações. A API REST publicada suporta as seguintes operações:

  • Criar ou atualizar: cria ou atualiza o rótulo de sensibilidade da coluna especificada.
  • Excluir: exclui o rótulo de sensibilidade da coluna especificada.
  • Desativar recomendação: desativa as recomendações de sensibilidade na coluna especificada.
  • Ativar recomendação: habilita recomendações de sensibilidade na coluna especificada. (As recomendações são ativadas por padrão em todas as colunas.)
  • Get: Obtém o rótulo de sensibilidade da coluna especificada.
  • List Current By Database: Obtém os rótulos de sensibilidade atuais do banco de dados especificado.
  • Lista recomendada pelo banco de dados: Obtém os rótulos de sensibilidade recomendados do banco de dados especificado.

Recuperar metadados de classificações usando drivers SQL

Você pode usar os seguintes drivers SQL para recuperar metadados de classificação:

FAQ - Recursos avançados de classificação

Pergunta: O Microsoft Purview vai substituir a Descoberta de Dados SQL & Classificação ou a Descoberta de Dados SQL & Classificação irá ser retirada em breve? Resposta: Continuamos a oferecer suporte ao SQL Data Discovery & Classification e incentivamos você a adotar o Microsoft Purview , que tem recursos mais avançados para impulsionar recursos avançados de classificação e governança de dados. Se decidirmos retirar qualquer serviço, funcionalidade, API ou SKU, receberá aviso prévio, incluindo um caminho de migração ou transição. Para mais informações, consulte as políticas do Ciclo de Vida da Microsoft.

Conteúdo relacionado

  • Última atualização a