Use SQL to set up sensitive data classification¶

Exemple de base : Classification automatique des tables dans une base de données¶

Procédez comme suit pour classifier automatiquement une table dans la base de données :

1. En tant qu’administrateur, donnez à l’ingénieur des données les rôles et privilèges dont il a besoin pour classifier automatiquement les tables dans une base de données.

   USE ROLE ACCOUNTADMIN;
   
   GRANT USAGE ON DATABASE mydb TO ROLE data_engineer;
   GRANT EXECUTE AUTO CLASSIFICATION ON DATABASE mydb TO ROLE data_engineer;
   
   GRANT DATABASE ROLE SNOWFLAKE.CLASSIFICATION_ADMIN TO ROLE data_engineer;
   GRANT CREATE SNOWFLAKE.DATA_PRIVACY.CLASSIFICATION_PROFILE ON SCHEMA mydb.sch TO ROLE data_engineer;
   
   GRANT APPLY TAG ON ACCOUNT TO ROLE data_engineer;
   

   Copy

2. Passez au rôle d’ingénieur des données :

   USE ROLE data_engineer;
   

   Copy

3. Créez le profil de classification en tant qu’instance de la classe CLASSIFICATION_PROFILE :

   CREATE OR REPLACE SNOWFLAKE.DATA_PRIVACY.CLASSIFICATION_PROFILE
     my_classification_profile(
       {
         'minimum_object_age_for_classification_days': 0,
         'maximum_classification_validity_days': 30,
         'auto_tag': true,
         'classify_views': true
       });
   

   Copy

4. Appelez la méthode DESCRIBE sur l’instance pour confirmer ses propriétés :

   SELECT my_classification_profile!DESCRIBE();
   

   Copy

5. Définissez l’instance du profil de classification sur le schéma, ce qui lance le processus en arrière-plan de surveillance des tables du schéma et de classification automatique des données sensibles.

   ALTER DATABASE mydb
    SET CLASSIFICATION_PROFILE = 'mydb.sch.my_classification_profile';
   

   Copy

   Note

   Il s’écoule une heure entre le moment où le profil de classification est paramétré sur le schéma et le moment où Snowflake commence à classifier le schéma.

6. Après une heure d’attente, appelez la procédure stockée SYSTEM$GET_CLASSIFICATION_RESULT pour obtenir les résultats de la classification automatique.

   CALL SYSTEM$GET_CLASSIFICATION_RESULT('mydb.sch.t1');
   

   Copy

Exemple : Utilisation d’un mappage de balises et de classificateurs personnalisés¶

1. En tant qu’administrateur, donnez à l’ingénieur des données les rôles et privilèges dont il a besoin pour classifier automatiquement les tables dans une base de données et définir des balises sur les colonnes.

2. Créez le profil de classification.

   CREATE OR REPLACE SNOWFLAKE.DATA_PRIVACY.CLASSIFICATION_PROFILE
     my_classification_profile(
       {
         'minimum_object_age_for_classification_days': 0,
         'maximum_classification_validity_days': 30,
         'auto_tag': true,
         'classify_views': true
       });
   

   Copy

3. Appelez la méthode SET_TAG_MAP sur l’instance pour ajouter un mappage de balises au profil de classification. Cela permet d’appliquer automatiquement des balises personnalisées sur les colonnes qui contiennent des données sensibles.

   CALL my_classification_profile!SET_TAG_MAP(
     {'column_tag_map':[
       {
         'tag_name':'my_db.sch1.pii',
         'tag_value':'sensitive',
         'semantic_categories':['NAME']
       }]});
   

   Copy

   Vous auriez également pu ajouter cette carte de balise lors de la création du profil de classification.

4. Appelez la méthode SET_CUSTOM_CLASSIFIERS pour ajouter des classificateurs personnalisés au profil de classification. Cela permet de classer automatiquement les données sensibles selon des catégories sémantiques et de confidentialité définies par l’utilisateur.

   CALL my_classification_profile!set_custom_classifiers(
     {
       'medical_codes': medical_codes!list(),
       'finance_codes': finance_codes!list()
     });
   

   Copy

   Vous auriez également pu ajouter les classificateurs personnalisés lors de la création du profil de classification.

5. Appelez la méthode DESCRIBE sur l’instance pour confirmer que le mappage des balises et les classificateurs personnalisés ont été ajoutés au profil de classification.

   SELECT my_classification_profile!DESCRIBE();
   

   Copy

6. Définissez l’instance du profil de classification sur la base de données.

   ALTER DATABASE mydb
    SET CLASSIFICATION_PROFILE = 'mydb.sch.my_classification_profile';
   

   Copy

7. Attachez une politique de masquage à la balise tag_db.sch.pii pour activer le masquage basé sur les balises.

   ALTER TAG tag_db.sch.pii SET MASKING POLICY pii_mask;
   

   Copy

Exemple : Test d’un profil de classification avant d’activer la classification automatique¶

1. En tant qu’administrateur, donnez à l’ingénieur des données les rôles et privilèges dont il a besoin pour classer automatiquement les tables dans un schéma et définir des balises sur les colonnes.

2. Créez le profil de classification avec un mappage de balises et des classificateurs personnalisés :

   CREATE OR REPLACE SNOWFLAKE.DATA_PRIVACY.CLASSIFICATION_PROFILE my_classification_profile(
     {
       'minimum_object_age_for_classification_days':0,
       'auto_tag':true,
       'tag_map': {
         'column_tag_map':[
           {
             'tag_name':'tag_db.sch.pii',
             'tag_value':'highly sensitive',
             'semantic_categories':['NAME','NATIONAL_IDENTIFIER']
           },
           {
             'tag_name':'tag_db.sch.pii',
             'tag_value':'sensitive',
             'semantic_categories':['EMAIL','MEDICAL_CODE']
           }
         ]
       },
       'classify_views': true
       'custom_classifiers': {
         'medical_codes': medical_codes!list(),
         'finance_codes': finance_codes!list()
       }
     }
   );
   

   Copy

3. Appelez la procédure stockée SYSTEM$CLASSIFY pour tester les mappages de balises sur la table table1 avant d’activer la classification automatique.

   CALL SYSTEM$CLASSIFY(
    'db.sch.table1',
    'db.sch.my_classification_profile'
   );
   

   Copy

   La clé tags de la sortie contient des informations sur la définition de la balise (true si elle est définie, false sinon), le nom de la balise définie et la valeur de la balise :

   {
     "classification_profile_config": {
       "classification_profile_name": "db.schema.my_classification_profile"
     },
     "classification_result": {
       "EMAIL": {
         "alternates": [],
         "recommendation": {
           "confidence": "HIGH",
           "coverage": 1,
           "details": [],
           "privacy_category": "IDENTIFIER",
           "semantic_category": "EMAIL",
           "tags": [
             {
               "tag_applied": true,
               "tag_name": "snowflake.core.semantic_category",
               "tag_value": "EMAIL"
             },
             {
               "tag_applied": true,
               "tag_name": "snowflake.core.privacy_category",
               "tag_value": "IDENTIFIER"
             },
             {
               "tag_applied": true,
               "tag_name": "tag_db.sch.pii",
               "tag_value": "sensitive"
             }
           ]
         },
         "valid_value_ratio": 1
       },
       "FIRST_NAME": {
         "alternates": [],
         "recommendation": {
           "confidence": "HIGH",
           "coverage": 1,
           "details": [],
           "privacy_category": "IDENTIFIER",
           "semantic_category": "NAME",
           "tags": [
             {
               "tag_applied": true,
               "tag_name": "snowflake.core.semantic_category",
               "tag_value": "NAME"
             },
             {
               "tag_applied": true,
               "tag_name": "snowflake.core.privacy_category",
               "tag_value": "IDENTIFIER"
             },
             {
               "tag_applied": true,
               "tag_name": "tag_db.sch.pii",
               "tag_value": "highly sensitive"
             }
           ]
         },
         "valid_value_ratio": 1
       }
     }
   }
   

4. Après avoir vérifié que la classification automatique basée sur le profil de classification donnera le résultat souhaité, définissez l’instance du profil de classification sur la base de données.

   ALTER DATABASE mydb
    SET CLASSIFICATION_PROFILE = 'mydb.sch.my_classification_profile';
   

   Copy