데이터 보호 규칙을 사용하여 클라이언트 측 암호화 적용하기(베타)

이 기능이 지원되는 버전: Enterprise Plus, Education Standard, Education Plus. 사용 중인 버전 비교하기

Assured Controls 또는 Assured Controls Plus 부가기능이 필요합니다.

관리자는 데이터 보호 규칙을 사용하여 Google Drive에 저장된 민감한 파일에 Google Workspace 클라이언트 측 암호화(CSE)를 자동으로 적용할 수 있습니다. 파일이 데이터 보호 규칙의 조건과 일치하면 Workspace CSE가 파일을 암호화합니다. 키 액세스 제어 목록 서비스(KACLS)의 키가 있는 사용자만 콘텐츠를 복호화하고 볼 수 있습니다.

지원되는 파일 및 저장 위치

다음 저장소 위치 및 파일 형식에 Workspace CSE를 적용하는 데이터 보호 규칙을 사용할 수 있습니다.

  • 저장소 위치: 내 드라이브 및 공유 드라이브
    공유 드라이브의 경우 규칙은 파일을 만들거나 업로드한 사용자와 관계없이 공유 드라이브에 할당된 조직 단위 또는 그룹을 기준으로 파일을 평가합니다.
  • 파일 형식: Google Docs, Sheets, Slides, Microsoft Office 파일(예: .docx, .xlsx, .pptx) 지원되는 파일 형식의 전체 목록은 Drive에서 검사되는 항목을 참고하세요.

파일 및 기능에 미치는 영향 이해하기

Workspace CSE를 적용하는 데이터 보호 규칙을 사용 설정하기 전에 자동 암호화가 조직의 파일과 사용자에게 미치는 영향을 검토하세요.

  • 지원되지 않는 기능 및 내보낸 테이크아웃 파일: 파일이 규칙과 일치하고 변환되는 경우:
    • 컨테이너에 바인딩된 Google Apps Script 자동화 및 연결된 Google Forms와 같이 서버 측 액세스가 필요한 기능은 실행이 중지되고 기본 파일에서 영구적으로 삭제됩니다.
    • Docs, Sheets, Slides의 경우 최신 버전이 보존되고 암호화됩니다. 암호화되지 않은 이전 버전은 삭제됩니다.
    • Microsoft Office 파일의 댓글과 같은 서드 파티 파일 댓글은 기본 파일에서 영구적으로 삭제됩니다. Docs, Sheets, Slides의 댓글은 보관됩니다.
    • Google은 삭제된 콘텐츠를 암호화된 테이크아웃 파일로 내보냅니다. 이러한 파일은 암호화된 파일과 동일한 위치에 있는 타임스탬프가 지정된 폴더에 있습니다.
  • 키 래핑 및 암호화되지 않은 데이터 삭제: 파일이 암호화 대상으로 지정되면 Drive는 데이터 암호화 키(DEK)를 생성하여 파일 콘텐츠를 암호화하고 자동화된 systemwrap 키 래핑 엔드포인트를 사용하여 DEK를 KACLS로 전송합니다. Google은 래핑 해제된 DEK를 로깅하거나 저장하지 않습니다. 암호화되지 않은 원본 파일 데이터는 Workspace 데이터 보관 기간에 따라 삭제됩니다.
  • 암호화된 파일의 사용자 환경: 사용자가 암호화된 파일을 사용하는 경우:
    • 파일이 Workspace CSE로 변환되는 동안에는 수정할 수 없도록 일시적으로 잠깁니다.
    • 사용자가 Docs, Sheets 또는 Slides에서 암호화된 파일을 열면 '관리자가 이 파일에 추가 암호화를 적용했습니다'라는 메시지가 표시됩니다. 사용자는 메시지의 링크를 클릭하여 보안 제한사항을 검토할 수 있습니다.
    • 사용자는 기본 파일, 이미지, PDF를 미리 볼 수 있습니다. 다른 모든 파일 형식은 미리보기를 지원하지 않습니다. 액세스하려면 사용자가 다운로드 및 복호화를 선택해야 합니다.

시작하기 전에

규칙을 만들기 전에 조직이 다음 요구사항을 충족하는지 확인하세요.

  • Assured Controls 라이선스 할당: 조직에 Assured Controls 또는 Assured Controls Plus 부가기능이 있어야 합니다.
  • Drive용 Workspace CSE 설정: ID 공급업체(IdP) 및 KACLS를 사용하여 Google 관리 콘솔에서 클라이언트 측 암호화를 설정합니다. 그런 다음 규칙에 포함된 조직 단위 또는 그룹에 대해 Drive용 Workspace CSE를 사용 설정합니다.
  • 자동 암호화를 위한 키 관리 서비스 지원 확인: 데이터 보호 규칙은 사용자 작업 없이 백그라운드에서 파일을 자동으로 암호화하므로 KACLS 제공업체는 systemwrap 엔드포인트를 지원해야 합니다. 키 서비스 제공업체에 문의하여 systemwrap이 지원되고 사용 설정되어 있는지 확인하세요.

콘텐츠를 암호화하는 데이터 보호 규칙 만들기

도움말: 콘텐츠를 암호화하기 전에 규칙이 영향을 미치는 파일 수를 확인하려면 먼저 작업을 선택하지 않고 감사 전용 규칙을 만듭니다. 그런 다음 규칙 로그 이벤트에서 일치하는 파일을 검토합니다.

  1. Google 관리 콘솔에서 메뉴 다음 보안 다음 액세스 및 데이터 컨트롤 다음 데이터 보호로 이동합니다.

    DLP 규칙 보기 및 DLP 규칙 관리 관리자 권한이 필요합니다.

  2. 규칙 관리 다음 규칙 추가 다음 새 규칙을 클릭합니다.
  3. 이름 및 앱 섹션에서 다음을 수행합니다.
    1. 규칙의 이름과 설명(선택사항)을 입력합니다.
    2. 앱에서 Google Drive 체크박스를 선택합니다.
    3. 계속을 클릭합니다.
  4. 작업 섹션에서 다음을 수행합니다.
    1. Google Drive에서 클라이언트 측 암호화 적용을 선택합니다.
    2. 잠재적 영향 메시지를 검토합니다.
    3. (선택사항) 규칙이 트리거될 때 알림을 보내려면 알림 섹션에서 심각도 수준을 선택하고 알림 센터 체크박스를 선택한 후 이메일 수신자를 입력합니다.
    4. 계속을 클릭합니다.
    5. 데이터에 미치는 영향 확인 상자에서 공개 정보를 검토하고 이해함을 클릭합니다.
  5. 범위 및 조건 섹션에서 다음을 수행합니다.
    1. 범위에서 조직 내 모든 사용자를 유지하거나 조직 단위 및/또는 그룹을 선택하여 Assured Controls 라이선스 및 Workspace CSE가 사용 설정된 특정 조직 단위 또는 구성 그룹에 규칙을 적용합니다.
    2. 콘텐츠 조건에서 조건 추가를 클릭하고 암호화를 트리거하는 조건(예: 모든 콘텐츠, 제목, Drive 라벨)을 선택합니다. 사전 정의된 검사기, 단어 목록 또는 정규 표현식을 사용하여 콘텐츠를 일치시킬 수 있습니다. 자세한 내용은 Drive용 DLP 규칙 및 맞춤 콘텐츠 검사 프로그램 만들기를 참고하세요.
    3. 계속을 클릭합니다.
  6. 검토 섹션에서 다음을 수행합니다.
    1. 규칙 상태에서 다음 옵션 중 하나를 선택합니다.
      • 규칙을 즉시 시행하려면 활성을 선택합니다.
      • 나중에 실행할 규칙을 저장하려면 비활성을 선택합니다.
    2. 만들기를 클릭합니다.

파일 검사는 파일 개수를 비롯한 여러 요인에 의해 몇 시간 또는 하루 이상 소요될 수 있습니다. 자세한 내용은 Drive용 DLP의 작동 방식을 참고하세요.

보안 조사 도구에서 규칙 실행 조사하기

자동 암호화 작업을 모니터링하려면 다음 안내를 따르세요.

  1. Google 관리 콘솔에서 메뉴 다음 보안 다음 보안 센터 다음 조사 도구로 이동합니다.

    보안 센터 관리자 권한이 필요합니다.

  2. 데이터 소스에서 규칙 로그 이벤트를 선택합니다.
  3. 조건 추가를 클릭하고 규칙 이름을 선택한 후 만든 규칙을 선택합니다.
  4. 검색을 클릭하고 결과를 검토합니다.
    • 콘텐츠 일치: 파일이 조건과 일치함을 나타냅니다.
    • 적용된 암호화 변경: 파일이 암호화되면 성공이 표시됩니다.
  5. (선택사항) 파일의 감사 기록을 보려면 데이터 소스를 Drive 로그 이벤트로 변경하고 파일을 검색한 후 DLP 규칙 행위자가 있는 암호화 이벤트를 찾습니다.

알림 센터에서 KACLS 오류 해결하기

Google Workspace에서 KACLS에 연결할 수 없는 경우 파일은 암호화되지 않은 상태로 유지되며 알림 센터에 알림이 표시됩니다.

  1. Google 관리 콘솔에서 메뉴 다음 보안 다음 알림 센터로 이동합니다.

    알림 센터 관리자 권한이 필요합니다.

  2. 필터 추가 다음 알림 유형을 클릭합니다.
  3. 클라이언트 측 암호화 서비스를 사용할 수 없음 체크박스를 선택하고 다음 적용을 클릭합니다.
  4. 알림을 클릭하여 세부정보를 검토합니다.
    • 엔드포인트: 호출된 KACLS URL을 표시합니다(예: https://kacls.example.com/systemwrap).
    • HTTP 상태 코드: KACLS에서 반환한 HTTP 응답 코드(예: 401, 403, 500)를 표시합니다.

오류 해결 후 파일 다시 검사

네트워크 문제, KACLS 다운타임 또는 인증 구성 오류로 인해 규칙이 콘텐츠를 암호화할 수 없는 경우 문제를 해결한 후 파일을 다시 검사합니다. 다시 검사하는 데는 파일 수를 비롯한 여러 요인에 따라 몇 시간, 하루 또는 그 이상이 걸릴 수 있습니다.

  1. Google 관리 콘솔에서 메뉴 다음 보안 다음 액세스 및 데이터 컨트롤 다음 데이터 보호로 이동합니다.

    DLP 규칙 보기 및 DLP 규칙 관리 관리자 권한이 필요합니다.

  2. 규칙 관리를 클릭한 다음 규칙을 클릭합니다.
  3. 클라이언트 측 암호화 재검색을 클릭합니다.
  4. 확인 상자에서 다시 검사 시작을 클릭합니다.
  5. 스캔이 완료되면 다음 방법 중 하나를 사용하여 파일이 암호화되었는지 확인합니다.
    • 규칙의 세부정보 페이지에서 조사를 클릭합니다.
    • 보안 조사 도구에서 규칙 로그 이벤트를 데이터 소스로 선택하고 규칙을 검색합니다.
  6. 암호화 변경 적용 이벤트에 이벤트 상태가 성공으로 표시되는지 확인합니다.