Menerapkan enkripsi sisi klien menggunakan aturan perlindungan data (beta)

Edisi yang didukung untuk fitur ini: Enterprise Plus; Education Standard dan Education Plus. Bandingkan edisi Anda

Memerlukan add-on Assured Controls atau Assured Controls Plus.

Sebagai administrator, Anda dapat menggunakan aturan perlindungan data untuk menerapkan Enkripsi sisi klien (CSE) Google Workspace secara otomatis ke file sensitif yang disimpan di Google Drive. Jika file cocok dengan kondisi dalam aturan perlindungan data, CSE Workspace akan mengenkripsi file tersebut. Hanya pengguna yang memiliki kunci dari Layanan Daftar Kontrol Akses Kunci (KACLS) Anda yang dapat mendekripsi dan melihat konten.

File & lokasi penyimpanan yang didukung

Anda dapat menggunakan aturan perlindungan data yang menerapkan CSE Workspace dengan lokasi penyimpanan dan jenis file berikut:

  • Lokasi penyimpanan—Drive Saya dan drive bersama.
    Untuk drive bersama, aturan mengevaluasi file berdasarkan unit organisasi atau grup yang ditetapkan untuk drive bersama, terlepas dari pengguna yang membuat atau mengupload file.
  • Format file—Google Dokumen, Spreadsheet, dan Slide, serta file Microsoft Office seperti .docx, .xlsx, dan .pptx. Untuk mengetahui daftar lengkap jenis file yang didukung, buka Apa yang dipindai di Drive.

Memahami dampak pada file & fitur

Sebelum mengaktifkan aturan perlindungan data yang menerapkan CSE Workspace, tinjau pengaruh enkripsi otomatis terhadap file dan pengguna di organisasi Anda:

  • Fitur yang tidak didukung dan file ekspor Takeout—Jika file cocok dengan aturan dan dikonversi:
    • Fitur yang memerlukan akses sisi server, seperti otomatisasi Google Apps Script yang terikat container dan Google Formulir tertaut, akan berhenti berjalan dan dihapus secara permanen dari file utama.
    • Untuk Dokumen, Spreadsheet, dan Slide, revisi terbaru akan dipertahankan dan dienkripsi. Revisi sebelumnya yang tidak dienkripsi akan dihapus.
    • Komentar file pihak ketiga, seperti komentar di file Microsoft Office, akan dihapus secara permanen dari file utama. Komentar di Dokumen, Spreadsheet, dan Slide dipertahankan.
    • Google mengekspor konten yang dihapus ke file Takeout terenkripsi. File ini berada dalam folder yang diberi stempel waktu di lokasi yang sama dengan file terenkripsi.
  • Penggabungan kunci dan penghapusan data yang tidak dienkripsi—Saat file ditandai untuk dienkripsi, Drive akan membuat kunci enkripsi data (DEK) untuk mengenkripsi konten file dan mengirimkan DEK ke KACLS Anda menggunakan endpoint penggabungan kunci sistem otomatisnya. Google tidak pernah mencatat atau menyimpan DEK yang dibuka. Data file asli yang tidak dienkripsi akan dihapus sesuai dengan jadwal retensi data Workspace.
  • Pengalaman pengguna untuk file terenkripsi—Saat pengguna bekerja dengan file terenkripsi:
    • Saat file sedang dikonversi ke CSE Workspace, file tersebut dikunci sementara untuk pengeditan.
    • Saat pengguna membuka file terenkripsi di Dokumen, Spreadsheet, atau Slide, mereka akan mendapatkan pesan berikut: "Enkripsi tambahan telah diterapkan ke file ini oleh administrator Anda". Pengguna dapat mengklik link dalam pesan untuk meninjau batasan keamanan.
    • Pengguna dapat melihat pratinjau file native, gambar, dan PDF. Semua jenis file lainnya tidak mendukung pratinjau. Untuk mengaksesnya, pengguna harus memilih Download dan dekripsi.

Sebelum memulai

Pastikan organisasi Anda memenuhi persyaratan berikut sebelum Anda membuat aturan:

  • Menetapkan lisensi Assured Controls—Organisasi Anda harus memiliki add-on Assured Controls atau Assured Controls Plus.
  • Menyiapkan CSE Workspace untuk Drive—Siapkan enkripsi sisi klien di konsol Google Admin dengan penyedia identitas (IdP) dan KACLS. Kemudian, untuk unit organisasi atau grup yang disertakan dalam aturan Anda, aktifkan CSE Workspace untuk Drive.
  • Memverifikasi dukungan layanan kunci enkripsi untuk enkripsi otomatis—Aturan perlindungan data mengenkripsi file secara otomatis di latar belakang tanpa tindakan pengguna, sehingga penyedia KACLS Anda harus mendukung endpoint systemwrap. Hubungi penyedia layanan kunci enkripsi Anda untuk mengonfirmasi bahwa systemwrap didukung dan diaktifkan.

Membuat aturan perlindungan data untuk mengenkripsi konten

Tips: Untuk memeriksa jumlah file yang terpengaruh oleh aturan sebelum mengenkripsi konten, buat aturan hanya audit terlebih dahulu tanpa memilih tindakan. Kemudian, tinjau file yang cocok di Peristiwa log aturan.

  1. Di konsol Google Admin, buka Menu lalu Keamanan lalu Kontrol data dan akses lalu Perlindungan data.

    Memerlukan hak istimewa administrator Lihat aturan DLP dan Kelola aturan DLP.

  2. Klik Kelola aturan lalu Tambahkan aturan lalu Aturan baru.
  3. Di bagian Nama dan aplikasi:
    1. Masukkan nama dan deskripsi opsional untuk aturan.
    2. Untuk Aplikasi, centang kotak Google Drive.
    3. Klik Lanjutkan.
  4. Di bagian Tindakan:
    1. Untuk Google Drive, pilih Terapkan enkripsi sisi klien.
    2. Tinjau pesan potensi dampak.
    3. (Opsional) Untuk mengirim notifikasi saat aturan dipicu, di bagian Pemberitahuan, pilih tingkat keparahan, centang kotak Pusat notifikasi, dan masukkan penerima email.
    4. Klik Lanjutkan.
    5. Di kotak Konfirmasi dampak pada data, tinjau pengungkapan, lalu klik Saya mengerti.
  5. Di bagian Cakupan dan kondisi:
    1. Untuk Cakupan, tetap pilih Semua di organisasi Anda atau pilih Unit organisasi dan/atau grup untuk menerapkan aturan ke unit organisasi atau grup konfigurasi tertentu yang mengaktifkan lisensi Assured Controls dan CSE Workspace.
    2. Untuk Kondisi konten, klik Tambahkan Kondisi dan pilih kondisi yang memicu enkripsi, seperti Semua konten, Judul, atau Label Drive. Anda dapat mencocokkan konten menggunakan pendeteksi yang telah ditetapkan, daftar kata, atau ekspresi reguler. Untuk mengetahui detailnya, buka Membuat aturan DLP untuk Drive dan pendeteksi konten kustom.
    3. Klik Lanjutkan.
  6. Di bagian Review:
    1. Untuk Status aturan, pilih salah satu opsi:
      • Untuk langsung menerapkan aturan, pilih Aktif.
      • Untuk menyimpan aturan agar dijalankan nanti, pilih Tidak aktif.
    2. Klik Buat.

Proses pemindaian file dapat memakan waktu beberapa jam, satu hari, atau lebih lama, bergantung pada beberapa faktor, termasuk jumlah file. Untuk mengetahui detailnya, buka Bagaimana cara kerja DLP untuk Drive?

Menginvestigasi eksekusi aturan di alat investigasi keamanan

Untuk memantau tindakan enkripsi otomatis:

  1. Di konsol Google Admin, buka Menu lalu Keamanan lalu Pusat keamanan lalu Alat investigasi.

    Anda harus memiliki hak istimewa administrator Pusat keamanan.

  2. Untuk Sumber data, pilih Peristiwa log aturan.
  3. Klik Add condition, pilih Rule name, lalu pilih aturan yang Anda buat.
  4. Klik Search dan tinjau hasilnya:
    • Konten cocok—Menunjukkan bahwa file cocok dengan kondisi.
    • Perubahan enkripsi diterapkan—Menampilkan Berhasil saat file dienkripsi.
  5. (Opsional) Untuk melihat histori audit file, ubah sumber data ke Peristiwa log Drive, telusuri file, dan temukan peristiwa Enkripsi dengan pelaku Aturan DLP.

Mengatasi error KACLS di pusat notifikasi

Jika Google Workspace tidak dapat terhubung ke KACLS Anda, file akan tetap tidak dienkripsi dan Anda akan mendapatkan pemberitahuan di pusat notifikasi:

  1. Di konsol Google Admin, buka Menu lalu Keamanan lalu Pusat notifikasi.

    Memerlukan hak istimewa administrator Pusat notifikasi.

  2. Klik Tambahkan filter lalu Jenis notifikasi.
  3. Centang kotak Layanan enkripsi sisi klien tidak tersedia lalu klik Terapkan.
  4. Klik pemberitahuan untuk meninjau detailnya:
    • Endpoint—Menampilkan URL KACLS yang dipanggil, seperti https://kacls.example.com/systemwrap.
    • Kode status HTTP—Menampilkan kode respons HTTP yang ditampilkan oleh KACLS Anda, seperti 401, 403, atau 500.

Memindai ulang file setelah mengatasi error

Jika aturan tidak dapat mengenkripsi konten karena masalah jaringan, periode nonaktif KACLS, atau kesalahan konfigurasi autentikasi, selesaikan masalah tersebut, lalu pindai ulang file. Pemindaian ulang dapat memakan waktu beberapa jam, satu hari, atau lebih lama, bergantung pada beberapa faktor, termasuk jumlah file.

  1. Di konsol Google Admin, buka Menu lalu Keamanan lalu Kontrol data dan akses lalu Perlindungan data.

    Memerlukan hak istimewa administrator Lihat aturan DLP dan Kelola aturan DLP.

  2. Klik Kelola aturan, lalu klik aturan.
  3. Klik Pindai ulang enkripsi sisi klien.
  4. Di kotak konfirmasi, klik Mulai pemindaian ulang.
  5. Setelah pemindaian selesai, pastikan file telah dienkripsi menggunakan salah satu metode berikut:
    • Dari halaman detail aturan, klik Investigasi.
    • Di alat investigasi keamanan, pilih Peristiwa log aturan sebagai sumber data dan telusuri aturan Anda.
  6. Pastikan peristiwa Encryption change applied menampilkan Succeeded untuk Event status.