データ保護ルールを使用してクライアントサイド暗号化を適用する（ベータ版）

この機能に対応しているエディション: Enterprise Plus、Education Standard、Education Plus。エディションを比較

アクセスするには、Assured Controls または Assured Controls Plus のアドオンが必要です。

管理者は、データ保護ルールを使用して、Google ドライブに保存されている機密ファイルに Google Workspace のクライアントサイド暗号化（CSE）を自動的に適用できます。ファイルがデータ保護ルールの条件に一致すると、Workspace CSE はファイルを暗号化します。鍵アクセス制御リスト サービス（KACLS）の鍵を持つユーザーのみが、コンテンツを復号して表示できます。

サポートされているファイルと保存場所

Workspace CSE を適用するデータ保護ルールは、次のストレージ ロケーションとファイル形式で使用できます。

  • 保存場所 - マイドライブと共有ドライブ。
    共有ドライブの場合、ルールは、ファイルを作成またはアップロードしたユーザーに関係なく、共有ドライブに割り当てられた組織部門またはグループに基づいてファイルを評価します。
  • ファイル形式 - Google ドキュメント、スプレッドシート、スライド、Microsoft Office ファイル（.docx、.xlsx、.pptx など）。サポートされているファイル形式の一覧については、ドライブでスキャンされるファイルをご覧ください。

ファイルと機能への影響を把握する

Workspace CSE を適用するデータ保護ルールを有効にする前に、自動暗号化が組織内のファイルとユーザーにどのように影響するかを確認してください。

  • サポートされていない機能とエクスポートされたデータ エクスポート ファイル - ファイルがルールに一致して変換される場合:
    • サーバーサイド アクセスを必要とする機能（コンテナにバインドされた Google Apps Script の自動化やリンクされた Google フォームなど）は実行を停止し、プライマリ ファイルから完全に削除されます。
    • ドキュメント、スプレッドシート、スライドの場合、最新のリビジョンが保持され、暗号化されます。暗号化されていない以前のリビジョンは削除されます。
    • Microsoft Office ファイルのコメントなど、サードパーティ ファイルのコメントは、プライマリ ファイルから完全に削除されます。ドキュメント、スプレッドシート、スライドのコメントは保持されます。
    • 削除されたコンテンツは、暗号化されたデータ エクスポート ファイルにエクスポートされます。これらのファイルは、暗号化されたファイルと同じ場所にあるタイムスタンプ付きのフォルダにあります。
  • 鍵のラッピングと暗号化されていないデータの削除 - ファイルが暗号化対象としてフラグが設定されると、ドライブはデータ暗号鍵（DEK）を生成してファイルの内容を暗号化し、自動システムラップ鍵ラッピング エンドポイントを使用して DEK を KACLS に送信します。Google がラップ解除された DEK をログに記録したり、保存したりすることはありません。暗号化されていない元のファイルデータは、Workspace のデータの保持タイムラインに従って削除されます。
  • 暗号化されたファイルのユーザー エクスペリエンス - ユーザーが暗号化されたファイルを操作する場合:
    • ファイルが Workspace CSE に変換されている間、編集のために一時的にロックされます。
    • ユーザーがドキュメント、スプレッドシート、スライドで暗号化されたファイルを開くと、「このファイルには、管理者によって追加の暗号化が適用されています」というメッセージが表示されます。ユーザーは、メッセージ内のリンクをクリックして、セキュリティ制限を確認できます。
    • ユーザーは、ネイティブ ファイル、画像、PDF をプレビューできます。他のファイル形式はプレビューをサポートしていません。アクセスするには、[ダウンロードして復号] を選択する必要があります。

始める前に

ルールを作成する前に、組織が次の要件を満たしていることを確認してください。

  • Assured Controls ライセンスを割り当てる - 組織に Assured Controls または Assured Controls Plus アドオンが必要です。
  • ドライブ用の Workspace CSE を設定する - Google 管理コンソールで、ID プロバイダ（IdP）と KACLS を使用してクライアントサイド暗号化を設定します。次に、ルールに含まれる組織部門またはグループに対して、ドライブの Workspace CSE を有効にします。
  • 自動暗号化の鍵サービス サポートを確認する - データ保護ルールは、ユーザーの操作なしでバックグラウンドでファイルを自動的に暗号化するため、KACLS プロバイダは systemwrap エンドポイントをサポートする必要があります。鍵サービス提供者に連絡して、systemwrap がサポートされ、有効になっていることを確認します。

コンテンツを暗号化するデータ保護ルールを作成する

ヒント: コンテンツを暗号化する前に、ルールが影響するファイルの数を確認するには、まずアクションを選択せずに監査専用ルールを作成します。次に、ルールログ イベントで一致したファイルを確認します。

  1. Google 管理コンソールで、メニュー アイコン 次に [ セキュリティ] 次に [アクセスとデータ管理] 次に [データ保護] に移動します。

    DLP ルールを表示および管理する管理者権限が必要です。

  2. [ルールを管理] 次に [ルールを追加] 次に [新しいルール] をクリックします。
  3. [名前とアプリ] セクションで、次の操作を行います。
    1. ルールの名前と説明（省略可）を入力します。
    2. [アプリ] で、[Google ドライブ] チェックボックスをオンにします。
    3. [続行] をクリックします。
  4. [操作] セクションで次の操作を行います。
    1. [Google ドライブ] で [クライアントサイド暗号化を適用する] を選択します。
    2. 潜在的な影響に関するメッセージを確認します。
    3. （省略可）ルールがトリガーされたときに通知を送信するには、[アラート] セクションで重大度レベルを選択し、[アラート センター] チェックボックスをオンにして、メールの受信者を入力します。
    4. [続行] をクリックします。
    5. [データへの影響の確認] ボックスで、開示内容を確認し、[理解しました] をクリックします。
  5. [範囲と条件] セクションで、次の操作を行います。
    1. [範囲] で、[組織内のすべてのユーザー] を選択したままにするか、[組織部門またはグループ] を選択して、Assured Controls ライセンスと Workspace CSE が有効になっている特定の組織部門または設定グループにルールを適用します。
    2. [コンテンツの条件] で、[条件を追加] をクリックし、暗号化をトリガーする条件（[すべてのコンテンツ]、[タイトル]、[ドライブのラベル] など）を選択します。定義済みの検出項目、単語リスト、正規表現を使用してコンテンツを照合できます。詳しくは、ドライブの DLP ルールとカスタム コンテンツ検出項目を作成するをご覧ください。
    3. [続行] をクリックします。
  6. [確認] セクションで、次の操作を行います。
    1. [ルールのステータス] で、次のいずれかを選択します。
      • ルールをすぐに適用するには、[有効] を選択します。
      • ルールを保存して後で実行するには、[無効] を選択します。
    2. [作成] をクリックします。

ファイルのスキャンには、ファイル数などのさまざまな要因により、数時間、1 日、またはそれ以上の時間がかかることがあります。詳しくは、ドライブの DLP の仕組みをご覧ください。

セキュリティ調査ツールでルールの実行を調査する

自動暗号化アクションをモニタリングするには:

  1. Google 管理コンソールで、メニュー アイコン 次に [ セキュリティ] 次に [セキュリティ センター] 次に [調査ツール] に移動します。

    調査ツールを開くには、セキュリティ センターの管理者権限が必要です。

  2. [データソース] で [ルールのログのイベント] を選択します。
  3. [条件を追加] をクリックし、[ルール名] を選択して、作成したルールを選択します。
  4. [検索] をクリックして結果を確認します。
    • コンテンツが一致 - ファイルが条件に一致したことを示します。
    • 暗号化の変更が適用されました - ファイルが暗号化されると、[成功] と表示されます。
  5. （省略可）ファイルの監査履歴を表示するには、データソースを [ドライブのログイベント] に変更し、ファイルを検索して、[DLP ルール] アクターを含む [暗号化] イベントを見つけます。

アラート センターで KACLS エラーに対処する

Google Workspace が KACLS に接続できない場合、ファイルは暗号化されず、アラート センターにアラートが表示されます。

  1. Google 管理コンソールで、メニュー アイコン 次に [ セキュリティ] 次に [アラート センター] に移動します。

    アクセスするには、アラート センターの管理者権限が必要です。

  2. [フィルタを追加] 次に [アラートの種類] をクリックします。
  3. [クライアントサイド暗号化サービス使用不可] チェックボックスをオン 次に [適用] をクリックします。
  4. アラートをクリックして詳細を確認します。
    • エンドポイント - 呼び出された KACLS URL（https://kacls.example.com/systemwrap など）が表示されます。
    • HTTP ステータス コード - KACLS から返された HTTP レスポンス コード（401、403、500 など）が表示されます。

エラーを解決した後にファイルを再スキャンする

ネットワークの問題、KACLS のダウンタイム、認証の構成ミスが原因でルールがコンテンツを暗号化できない場合は、問題を解決してからファイルを再スキャンします。再スキャンには、ファイル数などのさまざまな要因により、数時間、1 日、またはそれ以上の時間がかかることがあります。

  1. Google 管理コンソールで、メニュー アイコン 次に [ セキュリティ] 次に [アクセスとデータ管理] 次に [データ保護] に移動します。

    DLP ルールを表示および管理する管理者権限が必要です。

  2. [ルールを管理] をクリックし、ルールをクリックします。
  3. [クライアントサイド暗号化の再スキャン] をクリックします。
  4. 確認ボックスで [再スキャンを開始] をクリックします。
  5. スキャンが完了したら、次のいずれかの方法でファイルが暗号化されていることを確認します。
    • ルールの詳細ページで [調査] をクリックします。
    • セキュリティ調査ツールで、データソースとして [ルールのログのイベント] を選択し、ルールを検索します。
  6. [Encryption change applied] イベントの [Event status] に [Succeeded] と表示されていることを確認します。