הפעלת הצפנה מצד הלקוח באמצעות כללי הגנה על נתונים (בטא)

התכונה הזו נתמכת במהדורות הבאות: Enterprise Plus,‏ Education Standard ו-Education Plus. להשוואה בין מהדורות

כדי לעשות את זה, צריך את התוסף Assured Controls או Assured Controls Plus.

אדמינים יכולים להשתמש בכללים להגנה על נתונים כדי להחיל באופן אוטומטי הצפנה מצד הלקוח (CSE) ב-Google Workspace על קבצים רגישים שמאוחסנים ב-Google Drive. כשהקבצים תואמים לתנאים של כלל להגנה על נתונים, Workspace CSE מצפין את הקבצים. רק משתמשים עם מפתחות משירות רשימת בקרת הגישה למפתחות (KACLS) יכולים לפענח את התוכן ולצפות בו.

קבצים נתמכים ומיקומי אחסון

אתם יכולים להשתמש בכללים להגנה על נתונים שמחילים את ההצפנה מצד הלקוח ב-Workspace במיקומי האחסון ובסוגי הקבצים הבאים:

• מיקומי אחסון – "האחסון שלי" ותיקיות אחסון שיתופי.
  בתיקיות של אחסון שיתופי, הכללים בודקים את הקבצים לפי היחידה הארגונית או הקבוצה שהוקצו לתיקייה, בלי קשר למשתמש שיצר או העלה את הקובץ.
• פורמטים של קבצים – Google Docs,‏ Sheets ו-Slides, וקובצי Microsoft Office כמו ‎ .docx,‏ ‎.xlsx ו-‎ .pptx. רשימה מלאה של סוגי הקבצים הנתמכים מופיעה במאמר מה נסרק ב-Drive.

הסבר על ההשפעה על קבצים ותכונות

לפני שמפעילים כלל הגנה על נתונים שכולל את Workspace CSE, חשוב לבדוק איך ההצפנה האוטומטית משפיעה על הקבצים והמשתמשים בארגון:

• תכונות שלא נתמכות וקבצים שיוצאו באמצעות Takeout – כשקובץ תואם לכלל ומומר:
  • תכונות שדורשות גישה מצד השרת, כמו אוטומציות של Google Apps Script שקשורות למאגר וטפסים מקושרים ב-Google Forms, מפסיקות לפעול ומוסרות באופן סופי מהקובץ הראשי.
  • ב-Docs, ב-Sheets וב-Slides, הגרסה האחרונה נשמרת ומוצפנת. גרסאות קודמות לא מוצפנות נמחקות.
  • תגובות בקבצים של צד שלישי, כמו תגובות בקובצי Microsoft Office, מוסרות באופן סופי מהקובץ הראשי. התגובות ב-Docs, ב-Sheets וב-Slides נשמרות.
  • ‫Google מייצאת תוכן שהוסר לקובצי Takeout מוצפנים. הקבצים האלה נמצאים בתיקייה עם חותמת זמן באותו מיקום של הקובץ המוצפן.
• אריזת מפתחות ומחיקת נתונים לא מוצפנים – כשקובץ מסומן להצפנה, Drive יוצר מפתח להצפנת נתונים (DEK) כדי להצפין את תוכן הקובץ, ושולח את ה-DEK ל-KACLS באמצעות נקודת הקצה האוטומטית של המערכת לאריזת מפתחות. ‫Google אף פעם לא מתעדת ביומן או שומרת את מפתח ה-DEK הלא עטוף. נתוני הקובץ המקוריים שלא הוצפנו נמחקים בהתאם לציר הזמן של שמירת הנתונים ב-Workspace.
• חוויית המשתמש בקבצים מוצפנים – כשמשתמשים עובדים עם קבצים מוצפנים:
  • בזמן שהקובץ מומר ל-Workspace CSE, הוא ננעל זמנית לעריכה.
  • כשמשתמש פותח קובץ מוצפן ב-Docs, ב-Sheets או ב-Slides, הוא מקבל את ההודעה הבאה: "האדמין שלך הפעיל הצפנה נוספת בקובץ הזה". המשתמשים יכולים ללחוץ על קישור בהודעה כדי לבדוק את מגבלות האבטחה.
  • המשתמשים יכולים לראות תצוגה מקדימה של קבצים מקוריים, תמונות וקובצי PDF. אי אפשר לראות תצוגה מקדימה של קבצים מסוגי קבצים אחרים. כדי לגשת אליהם, המשתמשים צריכים לבחור באפשרות הורדה ופענוח.

לפני שמתחילים

לפני שיוצרים כלל, צריך לוודא שהארגון עומד בדרישות הבאות:

• הקצאת רישיונות ל-Assured Controls – לארגון שלכם צריכה להיות חבילת Assured Controls או Assured Controls Plus.
• הגדרת Workspace CSE ל-Drive – מגדירים הצפנה מצד הלקוח במסוף Google Admin באמצעות ספק זהויות (IdP) ו-KACLS. לאחר מכן, ביחידות הארגוניות או בקבוצות שנכללות בכלל, מפעילים את Workspace CSE ב-Drive.
• אימות התמיכה של שירות המפתחות בהצפנה אוטומטית – כללי ההגנה על הנתונים מצפינים קבצים באופן אוטומטי ברקע בלי שהמשתמש צריך לעשות משהו, ולכן ספק ה-KACLS צריך לתמוך בנקודת הקצה systemwrap. פנו לספק שירותי המפתחות כדי לוודא ש-systemwrap נתמך ומופעל.

יצירת כלל הגנה על נתונים להצפנת תוכן

טיפ: כדי לבדוק על כמה קבצים הכלל משפיע לפני שמצפינים את התוכן, קודם צריך ליצור כלל שמיועד רק לבדיקה בלי לבחור פעולה. לאחר מכן, בודקים את הקבצים התואמים באירועים ביומן של הכללים.

1. במסוף Google Admin, נכנסים לתפריט אבטחה שליטה בגישה ובנתונים הגנה על נתונים.

   מעבר אל "הגנה על נתונים"

   כדי לעשות את זה צריך הרשאות אדמין לצפייה בכללי DLP וניהול כללי DLP.

2. לוחצים על ניהול כללים הוספת כלל כלל חדש.
3. בקטע שם ואפליקציות:
   1. מזינים שם לכלל ואפשר גם להוסיף תיאור.
   2. בקטע אפליקציות, מסמנים את התיבה של Google Drive.
   3. לוחצים על המשך.
4. בקטע פעולות:
   1. ב-Google Drive, בוחרים באפשרות החלת הצפנה מצד הלקוח.
   2. קוראים את ההודעה על ההשפעה הפוטנציאלית.
   3. (אופציונלי) כדי לשלוח התראות כשהכלל מופעל, בקטע התראות בוחרים רמת חומרה, מסמנים את התיבה מרכז ההתראות ומזינים את נמעני האימייל.
   4. לוחצים על המשך.
   5. בתיבה אישור ההשפעה על הנתונים, קוראים את ההודעה ולוחצים על הבנתי.
5. בקטע ההיקף והתנאים:
   1. בקטע היקף, משאירים את האפשרות כל המשתמשים בארגון או בוחרים באפשרות יחידות ארגוניות או קבוצות כדי להחיל את הכלל על יחידות ארגוניות או קבוצות של הגדרות ספציפיות שיש להן רישיונות ל-Assured Controls ושהופעל בהן Workspace CSE.
   2. בקטע תנאי תוכן, לוחצים על הוספת תנאי ובוחרים את התנאים שמפעילים את ההצפנה, כמו כל התוכן, כותרת או תוויות ב-Drive. אתם יכולים להתאים תוכן באמצעות גלאים מוגדרים מראש, רשימות מילים או ביטויים רגולריים. פרטים נוספים זמינים במאמר יצירת כללי DLP ל-Drive ומזהי תוכן בהתאמה אישית.
   3. לוחצים על המשך.
6. בקטע בדיקה:
   1. בקטע סטטוס הכלל, בוחרים אפשרות:
      • כדי לאכוף את הכלל באופן מיידי, בוחרים באפשרות פעיל.
      • כדי לשמור את הכלל ולהפעיל אותו מאוחר יותר, בוחרים באפשרות לא פעיל.
   2. לוחצים על יצירה.

סריקת הקבצים יכולה להימשך כמה שעות, יום או יותר, בהתאם לכמה גורמים, כולל מספר הקבצים. פרטים נוספים זמינים במאמר איך DLP ל-Drive פועל.

חקירת הפעלת כללים בכלי לחקירת אבטחה

כדי לעקוב אחרי פעולות הצפנה אוטומטיות:

1. במסוף Google Admin, נכנסים לתפריט אבטחה מרכז האבטחה כלי חקירה.

   לכלי החקירה

   כדי לעשות את זה צריך הרשאות אדמין למרכז האבטחה.

2. בקטע מקור נתונים, בוחרים באפשרות אירועים של רישום כללים.
3. לוחצים על הוספת תנאי, בוחרים באפשרות שם הכלל ובוחרים את הכלל שיצרתם.
4. לוחצים על חיפוש ובודקים את התוצאות:
   • תוכן תואם – מציין שהקובץ תואם לתנאי.
   • השינוי בהצפנה הוחל – מוצג הערך הצליח כשהקובץ מוצפן.
5. (אופציונלי) כדי לראות את היסטוריית הביקורת של קובץ, משנים את מקור הנתונים לאירועים ביומן של Drive, מחפשים את הקובץ ומוצאים את האירוע הצפנה עם הגורם כלל DLP.

טיפול בשגיאות KACLS במרכז ההתראות

אם Google Workspace לא מצליח להתחבר ל-KACLS, הקובץ נשאר לא מוצפן ומופיעה התראה במרכז ההתראות:

1. במסוף Google Admin, נכנסים לתפריט אבטחה מרכז ההתראות.

   כניסה למרכז ההתראות

   כדי לעשות את זה צריך הרשאת אדמין למרכז ההתראות.

2. לוחצים על הוספת מסנן סוג ההתראה.
3. מסמנים את התיבה השירות "הצפנה מצד הלקוח" לא זמין לוחצים על אישור.
4. לוחצים על התראה כדי לבדוק את הפרטים:
   • נקודת קצה (endpoint) – מציגה את כתובת ה-URL של KACLS שאליה בוצעה הקריאה, למשל https://kacls.example.com/systemwrap.
   • קוד סטטוס של HTTP – מציג את קוד התגובה של HTTP שהוחזר על ידי KACLS, כמו 401,‏ 403 או 500.

סריקה מחדש של הקבצים אחרי תיקון השגיאות

אם כלל לא יכול להצפין תוכן בגלל בעיות ברשת, השבתה של KACLS או הגדרות אימות שגויות, צריך לפתור את הבעיה ואז לסרוק מחדש את הקבצים. סריקה מחדש יכולה להימשך כמה שעות, יום או יותר, בהתאם לכמה גורמים, כולל מספר הקבצים.

1. במסוף Google Admin, נכנסים לתפריט אבטחה שליטה בגישה ובנתונים הגנה על נתונים.

   מעבר אל "הגנה על נתונים"

   כדי לעשות את זה צריך הרשאות אדמין לצפייה בכללי DLP וניהול כללי DLP.

2. לוחצים על ניהול כללים ואז על הכלל.
3. לוחצים על סריקה מחדש של הצפנה מצד הלקוח.
4. בתיבת האישור, לוחצים על התחלת סריקה מחדש.
5. בסיום הסריקה, מוודאים שהקבצים הוצפנו באחת מהשיטות הבאות:
   • בדף הפרטים של הכלל, לוחצים על חקירה.
   • בכלי לחקירת אבטחה, בוחרים באפשרות אירועים של רישום כללים בתור מקור הנתונים ומחפשים את הכלל.
6. מוודאים שבאירוע Encryption change applied מופיע הערך Succeeded בשדה Event status.

נושאים קשורים

• מידע על הצפנה בצד הלקוח