Applica la crittografia lato client utilizzando le regole di protezione dei dati (beta)

Versioni supportate per questa funzionalità: Enterprise Plus; Education Standard ed Education Plus. Confronta la tua versione

È necessario disporre del componente aggiuntivo Assured Controls o Assured Controls Plus.

In qualità di amministratore, puoi utilizzare le regole di protezione dei dati per applicare automaticamente la crittografia lato client (CSE) di Google Workspace ai file sensibili archiviati su Google Drive. Quando i file corrispondono alle condizioni di una regola di protezione dei dati, Workspace CSE li cripta. Solo gli utenti con chiavi del tuo servizio Key Access Control List (KACLS) possono decriptare e visualizzare i contenuti.

File e posizioni di archiviazione supportati

Puoi utilizzare le regole per la protezione dei dati che applicano la crittografia lato client di Workspace con le seguenti località di archiviazione e i seguenti tipi di file:

  • Posizioni di archiviazione: Il mio Drive e i Drive condivisi.
    Per i Drive condivisi, le regole valutano i file in base all'unità organizzativa o al gruppo assegnati al Drive condiviso, indipendentemente dall'utente che ha creato o caricato il file.
  • Formati file: Documenti, Fogli e Presentazioni Google e file di Microsoft Office come .docx, .xlsx e .pptx. Per un elenco completo dei tipi di file supportati, vedi Elementi analizzati in Drive.

Informazioni sull'impatto su file e funzionalità

Prima di attivare una regola di protezione dei dati che applica la crittografia lato client di Workspace, esamina l'impatto della crittografia automatica su file e utenti della tua organizzazione:

  • Funzionalità non supportate e file di Takeout esportati: quando un file corrisponde a una regola e viene convertito:
    • Le funzionalità che richiedono l'accesso lato server, come le automazioni di Google Apps Script associate ai container e i moduli Google collegati, smettono di funzionare e vengono rimosse definitivamente dal file principale.
    • Per Documenti, Fogli e Presentazioni, l'ultima revisione viene conservata e criptata. Le revisioni precedenti non criptate vengono eliminate.
    • I commenti ai file di terze parti, ad esempio i commenti nei file di Microsoft Office, vengono rimossi definitivamente dal file principale. I commenti in Documenti, Fogli e Presentazioni vengono conservati.
    • Google esporta i contenuti rimossi in file Takeout criptati. Questi file si trovano in una cartella con timestamp nella stessa posizione del file criptato.
  • Wrapping delle chiavi ed eliminazione dei dati non criptati: quando un file viene contrassegnato per la crittografia, Drive genera una chiave di crittografia dei dati (DEK) per criptare i contenuti del file e la invia al KACLS utilizzando l'endpoint di wrapping delle chiavi del sistema automatizzato. Google non registra né archivia mai la DEK non sottoposta a wrapping. I dati dei file originali non criptati vengono eliminati in base alla cronologia di conservazione dei dati di Workspace.
  • Esperienza utente per i file criptati: quando gli utenti lavorano con file criptati:
    • Durante la conversione di un file in formato CSE di Workspace, il file viene bloccato temporaneamente per la modifica.
    • Quando un utente apre un file criptato in Documenti, Fogli o Presentazioni, riceve il seguente messaggio: "A questo file è stata applicata una crittografia aggiuntiva dall'amministratore". Gli utenti possono fare clic su un link nel messaggio per esaminare le limitazioni di sicurezza.
    • Gli utenti possono visualizzare l'anteprima di file nativi, immagini e PDF. Tutti gli altri tipi di file non supportano l'anteprima. Per accedervi, gli utenti devono selezionare Scarica e decripta.

Prima di iniziare

Prima di creare una regola, assicurati che la tua organizzazione soddisfi i seguenti requisiti:

  • Assegna le licenze Assured Controls: la tua organizzazione deve disporre del componente aggiuntivo Assured Controls o Assured Controls Plus.
  • Configura la crittografia lato client di Workspace per Drive: configura la crittografia lato client nella Console di amministrazione Google con un provider di identità (IdP) e un KACLS. Quindi, per le unità organizzative o i gruppi inclusi nella regola, attiva la crittografia lato client di Workspace per Drive.
  • Verifica il supporto del servizio chiavi per la crittografia automatica: le regole di protezione dei dati criptano i file automaticamente in background senza l'intervento dell'utente, pertanto il tuo provider KACLS deve supportare l'endpoint systemwrap. Contatta il tuo fornitore di servizi di chiavi per verificare che systemwrap sia supportato e attivato.

Crea una regola per la protezione dei dati per criptare i contenuti

Suggerimento: per verificare quanti file sono interessati da una regola prima di criptare i contenuti, crea prima una regola di solo controllo senza selezionare un'azione. Quindi, esamina i file corrispondenti negli eventi del log delle regole.

  1. Nella Console di amministrazione Google, vai a Menu e poi Sicurezza e poi Accesso e controllo dei dati e poi Protezione dei dati.

    È necessario disporre dei privilegi amministrativi Visualizzazione regola DLP e Gestione regola DLP.

  2. Fai clic su Gestisci regole e poi Aggiungi regola e poi Nuova regola.
  3. Nella sezione Nome e app:
    1. Inserisci un nome e una descrizione facoltativa per la regola.
    2. Per App, seleziona la casella Google Drive.
    3. Fai clic su Continua.
  4. Nella sezione Azioni:
    1. Per Google Drive, seleziona Applica la crittografia lato client.
    2. Esamina il messaggio relativo all'impatto potenziale.
    3. (Facoltativo) Per inviare notifiche quando la regola viene attivata, nella sezione Avvisi, seleziona un livello di gravità, seleziona la casella Centro avvisi e inserisci i destinatari delle email.
    4. Fai clic su Continua.
    5. Nella casella Conferma dell'impatto sui dati, esamina l'informativa e fai clic su Ho capito.
  5. Nella sezione Ambito e condizioni:
    1. In Ambito, mantieni Tutta l'organizzazione your organization o seleziona Unità organizzative e/o gruppi per applicare la regola a unità organizzative o gruppi di configurazione specifici per cui sono attive le licenze Assured Controls e la crittografia lato client di Workspace.
    2. In Condizioni dei contenuti, fai clic su Aggiungi condizione e scegli le condizioni che attivano la crittografia, ad esempio Tutti i contenuti, Titolo o Etichette di Drive. Puoi trovare contenuti corrispondenti utilizzando rilevatori predefiniti, elenchi di parole o espressioni regolari. Per maggiori dettagli, vai a Creare regole e rilevatori di contenuti personalizzati di DLP per Drive.
    3. Fai clic su Continua.
  6. Nella sezione Revisione:
    1. Per Stato della regola, scegli un'opzione:
      • Per applicare la regola immediatamente, seleziona Attiva.
      • Per salvare la regola ed eseguirla in un secondo momento, seleziona Non attiva.
    2. Fai clic su Crea.

L'analisi dei file può richiedere alcune ore, un giorno o anche più tempo, a seconda di diversi fattori, tra cui il numero di file. Per maggiori dettagli, vedi Come funziona DLP per Drive?

Esamina l'esecuzione delle regole nello strumento di indagine sulla sicurezza

Per monitorare le azioni di crittografia automatica:

  1. Nella Console di amministrazione Google, vai a Menu e poi Sicurezza e poi Centro sicurezza e poi Strumento di indagine.

    È necessario disporre del privilegio di amministratore Centro sicurezza.

  2. In Origine dati, seleziona Eventi del log delle regole.
  3. Fai clic su Aggiungi condizione, seleziona Nome regola e scegli la regola che hai creato.
  4. Fai clic su Cerca ed esamina i risultati:
    • Contenuti corrispondenti: indica che un file corrisponde alla condizione.
    • Modifica della crittografia applicata: mostra Operazione riuscita quando il file è criptato.
  5. (Facoltativo) Per visualizzare la cronologia di controllo di un file, cambia l'origine dati in Eventi dei log di Drive, cerca il file e individua l'evento Cripta con l'attore Regola DLP.

Risolvi gli errori KACLS nel Centro avvisi

Se Google Workspace non riesce a connettersi al tuo KACLS, il file rimane non criptato e ricevi un avviso nel Centro avvisi:

  1. Nella Console di amministrazione Google, vai a Menu e poi Sicurezza e poi Centro avvisi.

    È necessario disporre del privilegio di amministratore del Centro avvisi.

  2. Fai clic su Aggiungi un filtro e poi Tipo di avviso.
  3. Seleziona la casella Il servizio di crittografia lato client non è disponibile e poi fai clic su Applica.
  4. Fai clic su un avviso per esaminare i dettagli:
    • Endpoint: mostra l'URL KACLS chiamato, ad esempio https://kacls.example.com/systemwrap.
    • Codice di stato HTTP: mostra il codice di risposta HTTP restituito dal tuo KACLS, ad esempio 401, 403 o 500.

Esegui nuovamente la scansione dei file dopo aver risolto gli errori

Se una regola non riesce a criptare i contenuti a causa di problemi di rete, tempi di inattività di KACLS o configurazioni errate dell'autenticazione, risolvi il problema e poi ripeti la scansione dei file. Una nuova scansione può richiedere alcune ore, un giorno o anche più tempo, a seconda di diversi fattori, tra cui il numero di file.

  1. Nella Console di amministrazione Google, vai a Menu e poi Sicurezza e poi Accesso e controllo dei dati e poi Protezione dei dati.

    È necessario disporre dei privilegi amministrativi Visualizzazione regola DLP e Gestione regola DLP.

  2. Fai clic su Gestisci regole, quindi sulla regola.
  3. Fai clic su Nuova scansione della crittografia lato client.
  4. Nella finestra di conferma, fai clic su Avvia nuova scansione.
  5. Al termine della scansione, verifica che i file siano stati criptati utilizzando uno dei seguenti metodi:
    • Nella pagina dei dettagli della regola, fai clic su Indaga.
    • Nello strumento di indagine sulla sicurezza, seleziona Eventi del log delle regole come origine dati e cerca la regola.
  6. Verifica che l'evento Modifica della crittografia applicata mostri Riuscito per Stato evento.