Aplica la encriptación del cliente con reglas de protección de datos (beta)

Ediciones compatibles con esta función: Enterprise Plus, Education Standard y Education Plus. Comparar tu edición

Se requiere el complemento de Assured Controls o Assured Controls Plus.

Como administrador, puedes usar reglas de protección de datos para aplicar automáticamente la encriptación del cliente (CSE) de Google Workspace a los archivos sensibles almacenados en Google Drive. Cuando los archivos cumplen con las condiciones de una regla de protección de datos, la CSE de Workspace los encripta. Solo los usuarios con claves de tu servicio de lista de control de acceso a claves (KACLS) pueden desencriptar y ver el contenido.

Archivos y ubicaciones de almacenamiento compatibles

Puedes usar reglas de protección de datos que apliquen la CSE de Workspace con las siguientes ubicaciones de almacenamiento y tipos de archivos:

  • Ubicaciones de almacenamiento: Mi unidad y unidades compartidas.
    En el caso de las unidades compartidas, las reglas evalúan los archivos según la unidad organizativa o el grupo asignados a la unidad compartida, independientemente de qué usuario haya creado o subido el archivo.
  • Formatos de archivo: Documentos, Hojas de cálculo y Presentaciones de Google, y archivos de Microsoft Office, como .docx, .xlsx y .pptx. Para obtener una lista completa de los tipos de archivos admitidos, consulta Qué se analiza en Drive.

Comprende el impacto en los archivos y las funciones

Antes de activar una regla de protección de datos que aplique la CSE de Workspace, revisa cómo afecta la encriptación automática a los archivos y usuarios de tu organización:

  • Funciones no admitidas y archivos de Takeout exportados: Cuando un archivo coincide con una regla y se convierte, ocurre lo siguiente:
    • Las funciones que requieren acceso del servidor, como las automatizaciones de Google Apps Script vinculadas a contenedores y los Formularios de Google vinculados, dejan de ejecutarse y se quitan de forma permanente del archivo principal.
    • En el caso de Documentos, Hojas de cálculo y Presentaciones, se conserva y encripta la revisión más reciente. Se borran las revisiones anteriores sin encriptar.
    • Los comentarios de archivos de terceros, como los de Microsoft Office, se quitan de forma permanente del archivo principal. Se conservan los comentarios en Documentos, Hojas de cálculo y Presentaciones.
    • Google exporta el contenido quitado a archivos de Takeout encriptados. Estos archivos se encuentran en una carpeta con marca de tiempo en la misma ubicación que el archivo encriptado.
  • Unión de claves y eliminación de datos sin encriptar: Cuando se marca un archivo para encriptarlo, Drive genera una clave de encriptación de datos (DEK) para encriptar el contenido del archivo y envía la DEK a tu KACLS con su extremo de unión de claves systemwrap automatizado. Google nunca registra ni almacena la DEK desencapsulada. Los datos originales del archivo sin encriptar se borran según el cronograma de retención de datos de Workspace.
  • Experiencia del usuario con archivos encriptados: Cuando los usuarios trabajan con archivos encriptados, ocurre lo siguiente:
    • Mientras se convierte un archivo a la CSE de Workspace, se bloquea temporalmente para su edición.
    • Cuando un usuario abre un archivo encriptado en Documentos, Hojas de cálculo o Presentaciones, recibe el siguiente mensaje: "Tu administrador aplicó encriptación adicional a este archivo". Los usuarios pueden hacer clic en un vínculo del mensaje para revisar las limitaciones de seguridad.
    • Los usuarios pueden obtener una vista previa de los archivos nativos, las imágenes y los PDFs. Los demás tipos de archivos no admiten una vista previa. Para acceder a ellos, los usuarios deben seleccionar Descargar y desencriptar.

Antes de comenzar

Asegúrate de que tu organización cumpla con los siguientes requisitos antes de crear una regla:

  • Asigna licencias de Assured Controls: Tu organización debe tener el complemento de Assured Controls o Assured Controls Plus.
  • Configura la CSE de Workspace para Drive: Configura la encriptación del cliente en la Consola del administrador de Google con un proveedor de identidad (IdP) y un KACLS. Luego, en las unidades organizativas o los grupos incluidos en tu regla, activa la CSE de Workspace para Drive.
  • Verifica la compatibilidad del servicio de claves con la encriptación automatizada: Las reglas de protección de datos encriptan los archivos automáticamente en segundo plano sin que el usuario deba realizar ninguna acción, por lo que tu proveedor de KACLS debe admitir el extremo systemwrap. Comunícate con tu proveedor de servicios de claves para confirmar que systemwrap sea compatible y esté activado.

Crea una regla de protección de datos para encriptar contenido

Sugerencia: Para verificar cuántos archivos afecta una regla antes de encriptar el contenido, primero crea una regla de solo auditoría sin seleccionar una acción. Luego, revisa los archivos que coinciden en los eventos de registro de reglas.

  1. En la Consola del administrador de Google, ve a Menú y luego Seguridad y luego Control de acceso y datos y luego Protección de datos.

    Es necesario tener los privilegios de administrador para ver y administrar las reglas de DLP.

  2. Haz clic en Administrar reglas y luego Agregar regla y luego Regla nueva.
  3. En la sección Nombre y apps, haz lo siguiente:
    1. Ingresa un nombre y una descripción opcional para la regla.
    2. En Apps, marca la casilla de Google Drive.
    3. Haz clic en Continuar.
  4. En la sección Acciones, haz lo siguiente:
    1. En Google Drive, selecciona Aplicar la encriptación del cliente.
    2. Revisa el mensaje de impacto potencial.
    3. (Opcional) Para enviar notificaciones cuando se active la regla, en la sección Alertas, selecciona un nivel de gravedad, marca la casilla Centro de alertas y, luego, ingresa los destinatarios de correo electrónico.
    4. Haz clic en Continuar.
    5. En el cuadro Confirmación del impacto en los datos, revisa la divulgación y haz clic en Entiendo.
  5. En la sección Alcance y condiciones, haz lo siguiente:
    1. En Alcance, mantén Todos en tu organización o selecciona Unidades organizativas o grupos para aplicar la regla a unidades organizativas o grupos de configuración específicos que tengan activadas las licencias de Assured Controls y la CSE de Workspace.
    2. En Condiciones del contenido, haz clic en Agregar condición y elige las condiciones que activan la encriptación, como Todo el contenido, Título o Etiquetas de Drive. Puedes hacer coincidir el contenido con detectores predefinidos, listas de palabras o expresiones regulares. Para obtener más información, consulta Crea reglas y detectores de contenido personalizados de DLP para Drive.
    3. Haz clic en Continuar.
  6. En la sección Revisar, haz lo siguiente:
    1. En Estado de la regla, elige una opción:
      • Para aplicar la regla de inmediato, selecciona Activa.
      • Para guardar la regla y ejecutarla más tarde, selecciona Inactiva.
    2. Haz clic en Crear.

La búsqueda de archivos puede tardar unas horas, un día o más, según varios factores, incluida la cantidad de archivos. Para obtener más información, consulta ¿Cómo funciona la DLP para Drive?

Investiga la ejecución de reglas en la herramienta de investigación de seguridad

Para supervisar las acciones de encriptación automatizadas, sigue estos pasos:

  1. En la Consola del administrador de Google, ve a Menú y luego Seguridad y luego Centro de seguridad y luego Herramienta de investigación.

    Es necesario tener el privilegio de administrador del Centro de seguridad.

  2. En Fuente de datos, selecciona Eventos de registro de reglas.
  3. Haz clic en Agregar condición, selecciona Nombre de la regla y elige la regla que creaste.
  4. Haz clic en Buscar y revisa los resultados:
    • Coincidencia de contenido: Indica que un archivo cumplió con la condición.
    • Se aplicó el cambio de encriptación: Muestra Correcto cuando el archivo está encriptado.
  5. (Opcional) Para ver el historial de auditoría de un archivo, cambia la fuente de datos a Eventos de registro de Drive, busca el archivo y encuentra el evento Encriptar con el actor Regla de DLP.

Cómo abordar los errores de KACLS en el centro de alertas

Si Google Workspace no puede conectarse a tu KACLS, el archivo permanecerá sin encriptar y recibirás una alerta en el centro de alertas:

  1. En la Consola del administrador de Google, ve a Menú y luego Seguridad y luego Centro de alertas.

    Es necesario tener el privilegio de administrador del Centro de alertas.

  2. Haz clic en Agregar un filtro y luego Tipo de alerta.
  3. Marca la casilla El servicio de encriptación del cliente no está disponible y luego haz clic en Aplicar.
  4. Haz clic en una alerta para revisar los detalles:
    • Extremo: Muestra la URL de KACLS a la que se llamó, como https://kacls.example.com/systemwrap.
    • Código de estado HTTP: Muestra el código de respuesta HTTP que devuelve tu KACLS, como 401, 403 o 500.

Vuelve a analizar los archivos después de resolver los errores

Si una regla no puede encriptar contenido debido a problemas de red, tiempo de inactividad de KACLS o parámetros de configuración de autenticación incorrectos, resuelve el problema y, luego, vuelve a analizar los archivos. Un nuevo análisis puede tardar unas horas, un día o más, según varios factores, incluida la cantidad de archivos.

  1. En la Consola del administrador de Google, ve a Menú y luego Seguridad y luego Control de acceso y datos y luego Protección de datos.

    Es necesario tener los privilegios de administrador para ver y administrar las reglas de DLP.

  2. Haz clic en Administrar reglas y, luego, en la regla.
  3. Haz clic en Volver a analizar la encriptación del cliente.
  4. En el cuadro de confirmación, haz clic en Iniciar nuevo análisis.
  5. Una vez que finalice el análisis, verifica que los archivos se hayan encriptado con uno de los siguientes métodos:
    • En la página de detalles de la regla, haz clic en Investigar.
    • En la herramienta de investigación de seguridad, selecciona Eventos de registro de reglas como la fuente de datos y busca tu regla.
  6. Confirma que el evento Cambio de encriptación aplicado muestre Correcto en Estado del evento.