Appliquer le chiffrement côté client à l'aide de règles de protection des données (bêta)

Éditions compatibles avec cette fonctionnalité : Enterprise Plus, Education Standard et Education Plus. Comparer votre édition

Vous devez disposer du module complémentaire Assured Controls ou Assured Controls Plus.

En tant qu'administrateur, vous pouvez utiliser des règles de protection des données pour appliquer automatiquement le chiffrement côté client Google Workspace aux fichiers sensibles stockés dans Google Drive. Lorsque des fichiers correspondent aux conditions d'une règle de protection des données, le CSE Workspace les chiffre. Seuls les utilisateurs disposant de clés de votre service de liste de contrôle d'accès aux clés (KACLS) peuvent déchiffrer et afficher le contenu.

Fichiers et emplacements de stockage compatibles

Vous pouvez utiliser des règles de protection des données qui appliquent le CSE Workspace avec les emplacements de stockage et les types de fichiers suivants :

  • Emplacements de stockage : Mon Drive et les Drive partagés.
    Pour les Drive partagés, les règles évaluent les fichiers en fonction de l'unité organisationnelle ou du groupe attribué au Drive partagé, quel que soit l'utilisateur qui a créé ou importé le fichier.
  • Formats de fichiers : Google Docs, Sheets et Slides, et fichiers Microsoft Office tels que .docx, .xlsx et .pptx. Pour obtenir la liste complète des types de fichiers compatibles, consultez Éléments analysés dans Drive.

Comprendre l'impact sur les fichiers et les fonctionnalités

Avant d'activer une règle de protection des données qui applique le CSE Workspace, examinez l'impact du chiffrement automatique sur les fichiers et les utilisateurs de votre organisation :

  • Fonctionnalités non compatibles et fichiers Takeout exportés : lorsqu'un fichier correspond à une règle et qu'il est converti :
    • Les fonctionnalités qui nécessitent un accès côté serveur, telles que les automatisations Google Apps Script liées à un conteneur et les formulaires Google Forms associés, cessent de s'exécuter et sont définitivement supprimées du fichier principal.
    • Pour Docs, Sheets et Slides, la dernière révision est conservée et chiffrée. Les révisions non chiffrées précédentes sont supprimées.
    • Les commentaires sur les fichiers tiers, tels que les commentaires dans les fichiers Microsoft Office, sont définitivement supprimés du fichier principal. Les commentaires dans Docs, Sheets et Slides sont conservés.
    • Google exporte le contenu supprimé vers des fichiers Takeout chiffrés. Ces fichiers se trouvent dans un dossier horodaté au même emplacement que le fichier chiffré.
  • Encapsulation de clé et suppression des données non chiffrées : lorsqu'un fichier est marqué pour chiffrement, Drive génère une clé de chiffrement des données (DEK) pour chiffrer le contenu du fichier et l'envoie à votre KACLS à l'aide de son point de terminaison d'encapsulation de clé systemwrap automatisé. Google ne consigne ni ne stocke jamais la DEK déballée. Les données du fichier d'origine non chiffré sont supprimées conformément au calendrier de conservation des données Workspace.
  • Expérience utilisateur pour les fichiers chiffrés : lorsque les utilisateurs travaillent avec des fichiers chiffrés :
    • Lorsqu'un fichier est converti au format Workspace CSE, il est temporairement verrouillé pour modification.
    • Lorsqu'un utilisateur ouvre un fichier chiffré dans Docs, Sheets ou Slides, le message suivant s'affiche : "Un chiffrement supplémentaire a été appliqué à ce fichier par votre administrateur." Les utilisateurs peuvent cliquer sur un lien dans le message pour consulter les limites de sécurité.
    • Les utilisateurs peuvent prévisualiser les fichiers natifs, les images et les PDF. Tous les autres types de fichiers ne sont pas compatibles avec l'aperçu. Pour y accéder, les utilisateurs doivent sélectionner Télécharger et déchiffrer.

Avant de commencer

Avant de créer une règle, assurez-vous que votre organisation remplit les conditions suivantes :

  • Attribuer des licences Assured Controls : votre organisation doit disposer du module complémentaire Assured Controls ou Assured Controls Plus.
  • Configurer le CSE Workspace pour Drive : configurez le chiffrement côté client dans la console d'administration Google avec un fournisseur d'identité (IdP) et un KACLS. Ensuite, pour les unités organisationnelles ou les groupes inclus dans votre règle, activez le CSE Workspace pour Drive.
  • Vérifiez que le service de clés est compatible avec le chiffrement automatisé : les règles de protection des données chiffrent automatiquement les fichiers en arrière-plan sans intervention de l'utilisateur. Votre fournisseur KACLS doit donc être compatible avec le point de terminaison systemwrap. Contactez votre fournisseur de services de clés pour vérifier que systemwrap est compatible et activé.

Créer une règle de protection des données pour chiffrer le contenu

Conseil : Pour vérifier le nombre de fichiers concernés par une règle avant de chiffrer le contenu, commencez par créer une règle d'audit uniquement sans sélectionner d'action. Ensuite, examinez les fichiers correspondants dans les événements de journaux de règles.

  1. Dans la console d'administration Google, accédez à Menu  puis Sécurité puis Contrôle des accès et des données puis Protection des données.

    Vous devez disposer des droits d'administrateur "Afficher la règle de protection contre la perte de données" et "Gérer la règle de protection contre la perte de données".

  2. Cliquez sur Gérer les règles puis Ajouter une règle puis Nouvelle règle.
  3. Dans la section Nom et applications :
    1. Saisissez un nom et une description facultative pour la règle.
    2. Pour Applications, cochez la case Google Drive.
    3. Cliquez sur Continuer.
  4. Dans la section Actions :
    1. Pour Google Drive, sélectionnez Appliquer le chiffrement côté client.
    2. Lisez le message concernant l'impact potentiel.
    3. (Facultatif) Pour envoyer des notifications lorsque la règle est déclenchée, dans la section Alertes, sélectionnez un niveau de gravité, cochez la case Centre d'alerte et saisissez les destinataires des e-mails.
    4. Cliquez sur Continuer.
    5. Dans la boîte de dialogue Notification concernant l'impact sur les données, lisez la notification, puis cliquez sur Je comprends.
  5. Dans la section Champ d'application et conditions :
    1. Pour Champ d'application, conservez Tous les utilisateurs de votre organisation ou sélectionnez Unités organisationnelles et/ou groupes pour appliquer la règle à des unités organisationnelles ou des groupes de configuration spécifiques pour lesquels des licences Assured Controls et le CSE Workspace sont activés.
    2. Dans le champ Conditions concernant le contenu, cliquez sur Ajouter une condition et choisissez les conditions qui déclenchent le chiffrement, par exemple Tous les contenus, Titre ou Libellés Drive. Vous pouvez faire correspondre du contenu à l'aide de détecteurs prédéfinis, de listes de mots ou d'expressions régulières. Pour en savoir plus, consultez Créer des règles de protection contre la perte de données pour Drive et des détecteurs de contenu personnalisés.
    3. Cliquez sur Continuer.
  6. Dans la section Vérification :
    1. Dans le champ État de la règle, sélectionnez une option :
      • Pour appliquer la règle immédiatement, sélectionnez Active.
      • Pour enregistrer la règle afin de l'exécuter ultérieurement, sélectionnez Inactive.
    2. Cliquez sur Créer.

L'analyse des fichiers peut prendre quelques heures, une journée, voire plus, en fonction de plusieurs facteurs, par exemple du nombre de fichiers. Pour en savoir plus, consultez Comment fonctionne la protection contre la perte de données pour Drive ?

Examiner l'exécution d'une règle dans l'outil d'investigation de sécurité

Pour surveiller les actions de chiffrement automatisées :

  1. Dans la console d'administration Google, accédez à Menu  puis Sécurité puis Centre de sécurité puis Outil d'investigation.

    Le droit d'administrateur Centre de sécurité est requis.

  2. Pour Source de données, sélectionnez Événements du journal des règles.
  3. Cliquez sur Ajouter une condition, sélectionnez Nom de la règle, puis choisissez la règle que vous avez créée.
  4. Cliquez sur Rechercher et examinez les résultats :
    • Contenu correspondant : indique qu'un fichier correspond à la condition.
    • Modification du chiffrement appliquée : affiche Réussite lorsque le fichier est chiffré.
  5. (Facultatif) Pour afficher l'historique d'audit d'un fichier, remplacez la source de données par Événements de journaux Drive, recherchez le fichier, puis recherchez l'événement Chiffrer avec l'acteur Règle de protection contre la perte de données.

Résoudre les erreurs KACLS dans le centre d'alerte

Si Google Workspace ne parvient pas à se connecter à votre KACLS, le fichier reste non chiffré et vous recevez une alerte dans le centre d'alerte :

  1. Dans la console d'administration Google, accédez à Menu  puis  Sécurité puis Centre d'alerte.

    Vous devez disposer du droit d'administrateur du centre d'alerte.

  2. Cliquez sur Ajouter un filtre puis Type d'alerte.
  3. Cochez la case Service de chiffrement côté client indisponible puis cliquez sur Appliquer.
  4. Cliquez sur une alerte pour en examiner les détails :
    • Point de terminaison : affiche l'URL du service de liste de contrôle d'accès aux clés qui a été appelée, par exemple https://kacls.example.com/systemwrap.
    • Code d'état HTTP : affiche le code de réponse HTTP renvoyé par votre KACLS, par exemple 401, 403 ou 500.

Réanalyser les fichiers après avoir corrigé les erreurs

Si une règle ne peut pas chiffrer le contenu en raison de problèmes réseau, d'une indisponibilité du KACLS ou d'une mauvaise configuration de l'authentification, résolvez le problème, puis analysez à nouveau les fichiers. Une nouvelle analyse peut prendre quelques heures, une journée, voire plus, en fonction de plusieurs facteurs, par exemple du nombre de fichiers.

  1. Dans la console d'administration Google, accédez à Menu  puis Sécurité puis Contrôle des accès et des données puis Protection des données.

    Vous devez disposer des droits d'administrateur "Afficher la règle de protection contre la perte de données" et "Gérer la règle de protection contre la perte de données".

  2. Cliquez sur Gérer les règles, puis sur la règle.
  3. Cliquez sur Nouvelle analyse du chiffrement côté client.
  4. Dans la boîte de dialogue de confirmation, cliquez sur Lancer une nouvelle analyse.
  5. Une fois l'analyse terminée, vérifiez que les fichiers ont été chiffrés à l'aide de l'une des méthodes suivantes :
    • Sur la page d'informations de la règle, cliquez sur Examiner.
    • Dans l'outil d'investigation de sécurité, sélectionnez Événements de journaux des règles comme source de données, puis recherchez votre règle.
  6. Vérifiez que l'événement Modification du chiffrement appliquée affiche Réussi pour l'état de l'événement.