Versleuteling aan de clientzijde toepassen met regels voor gegevensbescherming (bèta)

Deze functie wordt ondersteund in de volgende versies: Enterprise Plus, Education Standard en Education Plus. Versies vergelijken

Hiervoor is de add-on Assured Controls of Assured Controls Plus vereist.

Als beheerder kunt u regels voor gegevensbescherming gebruiken om Versleuteling aan de clientzijde (VCZ) van Google Workspace automatisch toe te passen op gevoelige bestanden die zijn opgeslagen in Google Drive. Als bestanden overeenkomen met de voorwaarden in een regel voor gegevensbescherming, versleutelt VCZ voor Workspace de bestanden. Alleen gebruikers met sleutels van je Key Access Control List Service (KACLS) kunnen de content ontsleutelen en bekijken.

Ondersteunde bestanden en opslaglocaties

U kunt regels voor gegevensbescherming die VCZ voor Workspace toepassen, gebruiken met de volgende opslaglocaties en bestandstypen:

  • Opslaglocaties: Mijn Drive en gedeelde Drives.
    Voor gedeelde Drives evalueren regels bestanden op basis van de organisatie-eenheid of groep die is toegewezen aan de gedeelde Drive, ongeacht welke gebruiker het bestand heeft gemaakt of geüpload.
  • Bestandsindelingen: Google Documenten, Spreadsheets en Presentaties, en Microsoft Office-bestanden zoals .docx, .xlsx en .pptx. Ga naar Wat wordt gescand in Drive voor een volledige lijst met ondersteunde bestandstypen.

Inzicht in de gevolgen voor bestanden en functies

Voordat u een regel voor gegevensbescherming aanzet die van toepassing is op Workspace VCZ, moet u nagaan welke invloed automatische versleuteling heeft op bestanden en gebruikers in uw organisatie:

  • Niet-ondersteunde functies en geëxporteerde Takeout-bestanden: Als een bestand overeenkomt met een regel en wordt geconverteerd, gebeurt het volgende:
    • Functies die toegang aan de serverzijde vereisen, zoals aan een container gebonden Google Apps Script-automatiseringen en gekoppelde Google-formulieren, worden niet meer uitgevoerd en worden definitief verwijderd uit het primaire bestand.
    • Voor Documenten, Spreadsheets en Presentaties wordt de laatste revisie bewaard en versleuteld. Eerdere niet-versleutelde revisies worden verwijderd.
    • Reacties op bestanden van derden, zoals reacties in Microsoft Office-bestanden, worden definitief verwijderd uit het primaire bestand. Reacties in Documenten, Spreadsheets en Presentaties worden bewaard.
    • Google exporteert verwijderde content naar versleutelde Takeout-bestanden. Deze bestanden staan in een map met een tijdstempel op dezelfde locatie als het versleutelde bestand.
  • Sleutelverpakking en verwijdering van onversleutelde gegevens: Als een bestand is gemarkeerd voor versleuteling, genereert Drive een sleutel voor gegevensversleuteling (Data Encryption Key, DEK) om de bestandscontent te versleutelen en stuurt de DEK naar uw KACLS via het geautomatiseerde systemwrap-eindpunt voor sleutelverpakking. Google registreert of bewaart de uitgepakte DEK nooit. De oorspronkelijke niet-versleutelde bestandsgegevens worden verwijderd volgens de tijdlijn voor bewaring van gegevens van Workspace.
  • Gebruikerservaring voor versleutelde bestanden: Als gebruikers werken met versleutelde bestanden, geldt het volgende:
    • Terwijl een bestand wordt geconverteerd naar Workspace-VCZ, is het tijdelijk vergrendeld voor bewerking.
    • Als een gebruiker een versleuteld bestand opent in Documenten, Spreadsheets of Presentaties, krijgt deze het volgende bericht: Je beheerder heeft dit bestand aanvullend versleuteld. Gebruikers kunnen op een link in het bericht klikken om de beveiligingsbeperkingen te controleren.
    • Gebruikers kunnen een voorbeeld bekijken van systeemeigen bestanden, afbeeldingen en pdf's. Voor alle andere bestandstypen wordt geen voorbeeld ondersteund. Gebruikers moeten Downloaden en ontsleutelen selecteren om toegang te krijgen.

Voordat u begint

Zorg dat uw organisatie aan de volgende vereisten voldoet voordat u een regel maakt:

  • Assured Controls-licenties toewijzen: Uw organisatie moet de add-on Assured Controls of Assured Controls Plus hebben.
  • VCZ van Workspace instellen voor Drive: Stel versleuteling aan de clientzijde in in de Google Beheerdersconsole met een identiteitsprovider (IdP) en een KACLS. Zet daarna Workspace VCZ voor Drive aan voor de organisatie-eenheden of groepen die zijn opgenomen in de regel.
  • Controleer of de sleutelservice ondersteuning biedt voor automatische versleuteling: Regels voor gegevensbescherming versleutelen bestanden automatisch op de achtergrond zonder dat de gebruiker iets hoeft te doen. Daarom moet uw KACLS-provider het systemwrap-eindpunt ondersteunen. Neem contact op met je sleutelserviceprovider om te bevestigen dat systemwrap wordt ondersteund en aanstaat.

Een regel voor gegevensbescherming maken om content te versleutelen

Tip: Als u wilt controleren op hoeveel bestanden een regel van invloed is voordat u content versleutelt, maakt u eerst een alleen-controleregel zonder een actie te selecteren. Controleer daarna de overeenkomende bestanden in de Regellogboekgebeurtenissen.

  1. Ga in de Google Beheerdersconsole naar Menu en dan Beveiliging en dan Toegangs- en gegevensbeheer en dan Gegevensbescherming.

    Hiervoor zijn de beheerdersrechten DLP-regels bekijken en DLP-regels beheren vereist.

  2. Klik op Regels beheren en dan Regel toevoegen en dan Nieuwe regel.
  3. In het gedeelte Naam en apps:
    1. Voer een naam en een optionele beschrijving voor de regel in.
    2. Vink bij Apps het vakje aan voor Google Drive.
    3. Klik op Doorgaan.
  4. In het gedeelte Acties:
    1. Selecteer voor Google Drive de optie Versleuteling aan de clientzijde toepassen.
    2. Neem het bericht over de mogelijke impact door.
    3. (Optioneel) Als u meldingen wilt sturen wanneer de regel wordt getriggerd, selecteert u in het gedeelte Meldingen een ernstniveau, vinkt u het vakje Meldingencentrum aan en voert u e-mailontvangers in.
    4. Klik op Doorgaan.
    5. Neem de kennisgeving door in het vak Bevestiging van impact op gegevens en klik op Ik begrijp het.
  5. In het gedeelte Bereik en voorwaarden:
    1. Laat bij Bereik de optie Alles in uw organisatie staan of selecteer Organisatie-eenheden en/of groepen om de regel toe te passen op specifieke organisatie-eenheden of configuratiegroepen waarvoor Assured Controls-licenties en VCZ voor Workspace aanstaan.
    2. Klik bij Contentvoorwaarden op Voorwaarde toevoegen en kies de voorwaarden die versleuteling activeren, zoals Alle content, Titel of Drive-labels. U kunt content matchen met vooraf gedefinieerde detectoren, woordenlijsten of reguliere expressies. Ga naar Regels en aangepaste inhouddetectoren maken in DLP voor Drive voor meer informatie.
    3. Klik op Doorgaan.
  6. In het gedeelte Beoordelen:
    1. Kies een optie voor Regelstatus:
      • Selecteer Actief om de regel onmiddellijk af te dwingen.
      • Als u de regel wilt opslaan om later uit te voeren, selecteert u Inactief.
    2. Klik op Maken.

Het kan enkele uren, een dag of langer duren om alle bestanden te scannen. Dit is afhankelijk van verschillende factoren, zoals het aantal bestanden. Ga naar Hoe werkt DLP voor Drive? voor meer informatie.

De uitvoering van regels onderzoeken in de tool voor beveiligingsonderzoek

Zo controleer je geautomatiseerde versleutelingsacties:

  1. Ga in de Google Beheerdersconsole naar Menu en dan Beveiliging en dan Beveiligingscentrum en dan Onderzoekstool.

    Hiervoor is het beheerdersrecht Beveiligingscentrum vereist.

  2. Selecteer bij Gegevensbron de optie Gebeurtenissen in het logboek Regels.
  3. Klik op Voorwaarde toevoegen, selecteer Regelnaam en kies de regel die je hebt gemaakt.
  4. Klik op Zoeken en controleer de resultaten:
    • Content komt overeen: Geeft aan dat een bestand overeenkomt met de voorwaarde.
    • Wijziging in versleuteling toegepast: Toont Geslaagd als het bestand is versleuteld.
  5. (Optioneel) Als u de controlegeschiedenis van een bestand wilt bekijken, wijzigt u de gegevensbron in Drive-logboekgebeurtenissen, zoekt u naar het bestand en zoekt u de gebeurtenis Versleutelen met de actor DLP-regel.

KACLS-fouten oplossen in het Meldingencentrum

Als Google Workspace geen verbinding kan maken met uw KACLS, blijft het bestand onversleuteld en krijgt u een melding in het Meldingencentrum:

  1. Ga in de Google Beheerdersconsole naar Menu en dan Beveiliging en dan Meldingencentrum.

    Hiervoor heeft u het beheerdersrecht Meldingenoverzicht nodig.

  2. Klik op Een filter toevoegen en dan Meldingstype.
  3. Vink het vakje aan voor Service voor versleuteling aan de clientzijde niet beschikbaar en dan klik op Toepassen.
  4. Klik op een melding om de details te controleren:
    • Eindpunt: Toont de KACLS-URL die is aangeroepen, zoals https://kacls.example.com/systemwrap.
    • HTTP-statuscode: Toont de HTTP-reactiecode die door je KACLS is geretourneerd, zoals 401, 403 of 500.

Bestanden opnieuw scannen nadat fouten zijn opgelost

Als een regel content niet kan versleutelen vanwege netwerkproblemen, KACLS-downtime of verkeerde verificatieconfiguraties, lost u het probleem op en scant u de bestanden opnieuw. Een nieuwe scan kan enkele uren, een dag of langer duren. Dit is afhankelijk van verschillende factoren, zoals het aantal bestanden.

  1. Ga in de Google Beheerdersconsole naar Menu en dan Beveiliging en dan Toegangs- en gegevensbeheer en dan Gegevensbescherming.

    Hiervoor zijn de beheerdersrechten DLP-regels bekijken en DLP-regels beheren vereist.

  2. Klik op Regels beheren en klik op de regel.
  3. Klik op Versleuteling aan de clientzijde opnieuw scannen.
  4. Klik in het bevestigingsvak op Opnieuw scannen starten.
  5. Nadat de scan is afgerond, controleert u of de bestanden zijn versleuteld met een van de volgende methoden:
    • Klik op de detailpagina van de regel op Onderzoeken.
    • Selecteer in de tool voor beveiligingsonderzoek Gebeurtenissen in het logboek Regels als gegevensbron en zoek naar de regel.
  6. Controleer of de gebeurtenis Wijziging in versleuteling toegepast de status Geslaagd heeft voor Gebeurtenisstatus.