Stosowanie szyfrowania po stronie klienta przy użyciu reguł ochrony danych (beta)

Ta funkcja jest dostępna w tych wersjach: Enterprise Plus, Education Standard i Education Plus. Porównaj wersje

Wymaga dodatku Bezpieczne ustawienia lub Bezpieczne ustawienia Plus.

Jako administrator możesz używać reguł ochrony danych, aby automatycznie stosować szyfrowanie po stronie klienta w Google Workspace do poufnych plików przechowywanych na Dysku Google. Gdy pliki spełniają warunki reguły ochrony danych, szyfrowanie po stronie klienta w Workspace szyfruje te pliki. Tylko użytkownicy, którzy mają klucze z usługi listy kontroli dostępu do kluczy (KACLS), mogą odszyfrowywać i wyświetlać treści.

Obsługiwane pliki i lokalizacje przechowywania

Reguł ochrony danych, które stosują szyfrowanie po stronie klienta w Workspace, możesz używać w przypadku tych lokalizacji przechowywania i typów plików:

  • Lokalizacje przechowywania – Mój dysk i dyski współdzielone.
    W przypadku dysków współdzielonych reguły oceniają pliki na podstawie jednostki organizacyjnej lub grupy przypisanej do dysku współdzielonego, niezależnie od tego, który użytkownik utworzył lub przesłał plik.
  • Formaty plików – Dokumenty, Arkusze i Prezentacje Google oraz pliki pakietu Microsoft Office, takie jak .docx, .xlsx i .pptx. Pełną listę obsługiwanych typów plików znajdziesz w artykule Co jest skanowane na Dysku.

Wpływ na pliki i funkcje

Zanim włączysz regułę ochrony danych, która stosuje szyfrowanie po stronie klienta w Workspace, sprawdź, jak automatyczne szyfrowanie wpływa na pliki i użytkowników w organizacji:

  • Nieobsługiwane funkcje i wyeksportowane pliki Takeout – gdy plik jest zgodny z regułą i zostanie przekonwertowany:
    • Funkcje, które wymagają dostępu po stronie serwera, takie jak automatyzacje Google Apps Script powiązane z kontenerem i połączone Formularze Google, przestają działać i są trwale usuwane z pliku głównego.
    • W przypadku Dokumentów, Arkuszy i Prezentacji najnowsza wersja jest zachowywana i szyfrowana. Poprzednie niezaszyfrowane wersje zostaną usunięte.
    • Komentarze do plików innych firm, np. komentarze w plikach pakietu Microsoft Office, są trwale usuwane z pliku głównego. Komentarze w Dokumentach, Arkuszach i Prezentacjach są zachowywane.
    • Google eksportuje usunięte treści do zaszyfrowanych plików Takeout. Te pliki znajdują się w folderze ze znacznikiem czasu w tej samej lokalizacji co zaszyfrowany plik.
  • Pakowanie kluczy i usuwanie niezaszyfrowanych danych – gdy plik zostanie oznaczony do zaszyfrowania, Dysk wygeneruje klucz szyfrujący dane (DEK) do zaszyfrowania zawartości pliku i wyśle go do KACLS za pomocą automatycznego punktu końcowego pakowania kluczy systemwrap. Google nigdy nie rejestruje ani nie przechowuje odszyfrowanego klucza DEK. Oryginalne niezaszyfrowane dane pliku są usuwane zgodnie z harmonogramem przechowywania danych w Workspace.
  • Interfejs użytkownika w przypadku zaszyfrowanych plików – gdy użytkownicy pracują z zaszyfrowanymi plikami:
    • Podczas konwertowania pliku na format Workspace CSE jest on tymczasowo zablokowany do edycji.
    • Gdy użytkownik otworzy zaszyfrowany plik w Dokumentach, Arkuszach lub Prezentacjach, zobaczy komunikat: „Administrator zastosował do tego pliku dodatkowe szyfrowanie”. Użytkownicy mogą kliknąć link w wiadomości, aby sprawdzić ograniczenia zabezpieczeń.
    • Użytkownicy mogą wyświetlać podgląd plików natywnych, obrazów i plików PDF. Wszystkie inne typy plików nie obsługują podglądu. Aby uzyskać do nich dostęp, użytkownicy muszą wybrać Pobierz i odszyfruj.

Zanim zaczniesz

Zanim utworzysz regułę, upewnij się, że Twoja organizacja spełnia te wymagania:

  • Przypisz licencje na Bezpieczne ustawienia – Twoja organizacja musi mieć dodatek Bezpieczne ustawienia lub Bezpieczne ustawienia Plus.
  • Skonfiguruj szyfrowanie po stronie klienta w Workspace na Dysku – skonfiguruj szyfrowanie po stronie klienta w konsoli administracyjnej Google za pomocą dostawcy tożsamości i usługi KACLS. Następnie w jednostkach organizacyjnych lub grupach uwzględnionych w regule włącz szyfrowanie po stronie klienta w Workspace na Dysku.
  • Sprawdź, czy usługa kluczy obsługuje automatyczne szyfrowanie – reguły ochrony danych szyfrują pliki automatycznie w tle bez udziału użytkownika, więc dostawca KACLS musi obsługiwać punkt końcowy systemwrap. Skontaktuj się z dostawcą usługi kluczy, aby potwierdzić, że funkcja systemwrap jest obsługiwana i włączona.

Tworzenie reguły ochrony danych w celu szyfrowania treści

Wskazówka: aby przed zaszyfrowaniem treści sprawdzić, na ile plików wpływa reguła, najpierw utwórz regułę tylko do kontroli bez wybierania działania. Następnie sprawdź dopasowane pliki w zdarzeniach z dziennika reguł.

  1. W konsoli administracyjnej Google otwórz Menu  a potem Bezpieczeństwo a potem Zarządzanie danymi i kontrola dostępu a potem Ochrona danych.

    Wymaga uprawnień administratora do wyświetlania reguł DLP i zarządzania nimi.

  2. Kliknij Zarządzaj regułami a potem Dodaj regułę a potem Nowa reguła.
  3. W sekcji Nazwa i aplikacje:
    1. Wpisz nazwę i opcjonalnie opis reguły.
    2. W sekcji Aplikacje zaznacz pole Dysk Google.
    3. Kliknij Dalej.
  4. W sekcji Działania:
    1. W przypadku Dysku Google wybierz Zastosuj szyfrowanie po stronie klienta.
    2. Zapoznaj się z komunikatem o potencjalnym wpływie.
    3. (Opcjonalnie) Aby wysyłać powiadomienia po aktywowaniu reguły, w sekcji Alerty wybierz wagę, zaznacz pole Centrum alertów i wpisz adresy e-mail odbiorców.
    4. Kliknij Dalej.
    5. W polu Potwierdzenie wpływu na dane zapoznaj się z informacjami i kliknij Rozumiem.
  5. W sekcji Zakres i warunki:
    1. W sekcji Zakres pozostaw opcję Wszyscy w Twojej organizacji lub wybierz Jednostki organizacyjne lub grupy, aby zastosować regułę do określonych jednostek organizacyjnych lub grup konfiguracji, które mają licencje na Bezpieczne ustawienia i włączone szyfrowanie po stronie klienta w Workspace.
    2. W sekcji Warunki dotyczące treści kliknij Dodaj warunek i wybierz warunki, które powodują szyfrowanie, takie jak Wszystkie treści, Tytuł lub Etykiety Dysku. Możesz dopasowywać treści, korzystając ze wstępnie zdefiniowanych wzorców, list słów lub wyrażeń regularnych. Szczegółowe informacje znajdziesz w artykule Tworzenie reguł i niestandardowych wzorców do wykrywania treści w DLP dla Dysku.
    3. Kliknij Dalej.
  6. W sekcji Sprawdź:
    1. W sekcji Stan reguły wybierz jedną z opcji:
      • Aby od razu zastosować regułę, wybierz Aktywna.
      • Aby zapisać regułę i uruchomić ją później, wybierz Nieaktywna.
    2. Kliknij Utwórz.

Skanowanie plików może potrwać kilka godzin, dzień lub dłużej w zależności od różnych czynników, w tym liczby plików. Szczegółowe informacje znajdziesz w artykule Jak działa DLP na Dysku?.

Analizowanie wykonywania reguł w narzędziu do analizy zagrożeń

Aby monitorować automatyczne działania związane z szyfrowaniem:

  1. W konsoli administracyjnej Google otwórz Menu  a potem  Bezpieczeństwo a potem Centrum bezpieczeństwa a potem Narzędzie do analizy zagrożeń.

    Wymaga uprawnień administratora Centrum bezpieczeństwa.

  2. W polu Źródło danych wybierz Zdarzenia z dziennika reguł.
  3. Kliknij kolejno Dodaj warunek, Nazwa reguły i wybierz utworzoną regułę.
  4. Kliknij Szukaj i sprawdź wyniki:
    • Dopasowanie treści – wskazuje, że plik spełnia warunek.
    • Zastosowano zmianę szyfrowania – gdy plik jest zaszyfrowany, wyświetla się stan Udało się.
  5. (Opcjonalnie) Aby wyświetlić historię kontroli pliku, zmień źródło danych na Zdarzenia z dziennika Dysku, wyszukaj plik i znajdź zdarzenie Zaszyfruj z podmiotem Reguła DLP.

Rozwiązywanie problemów z KACLS w Centrum alertów

Jeśli Google Workspace nie może połączyć się z Twoją usługą KACLS, plik pozostanie niezaszyfrowany, a w Centrum alertów pojawi się alert:

  1. W konsoli administracyjnej Google otwórz Menu  a potem  Bezpieczeństwo a potem Centrum alertów.

    Wymaga uprawnień administratora Centrum alertów.

  2. Kliknij Dodaj filtr a potem Typ alertu.
  3. Zaznacz pole Usługa szyfrowania po stronie klienta niedostępna a potem kliknij Zastosuj.
  4. Kliknij alert, aby wyświetlić szczegóły:
    • Punkt końcowy – pokazuje wywołany adres URL KACLS, np. https://kacls.example.com/systemwrap.
    • Kod stanu HTTP – pokazuje kod odpowiedzi HTTP zwrócony przez KACLS, np. 401, 403 lub 500.

Ponowne skanowanie plików po rozwiązaniu problemów

Jeśli reguła nie może zaszyfrować treści z powodu problemów z siecią, przestoju KACLS lub błędnej konfiguracji uwierzytelniania, rozwiąż problem, a następnie ponownie przeskanuj pliki. Ponowne skanowanie może potrwać kilka godzin, dzień lub dłużej w zależności od różnych czynników, w tym liczby plików.

  1. W konsoli administracyjnej Google otwórz Menu  a potem Bezpieczeństwo a potem Zarządzanie danymi i kontrola dostępu a potem Ochrona danych.

    Wymaga uprawnień administratora do wyświetlania reguł DLP i zarządzania nimi.

  2. Kliknij Zarządzaj regułami, a następnie kliknij regułę.
  3. Kliknij Ponowne skanowanie szyfrowania po stronie klienta.
  4. W polu potwierdzenia kliknij Rozpocznij ponowne skanowanie.
  5. Po zakończeniu skanowania sprawdź, czy pliki zostały zaszyfrowane, używając jednej z tych metod:
    • Na stronie z informacjami o regule kliknij Zbadaj.
    • W narzędziu do analizy zagrożeń wybierz Zdarzenia z dziennika reguł jako źródło danych i wyszukaj regułę.
  6. Sprawdź, czy zdarzenie Zmiana szyfrowania została zastosowana ma Stan zdarzenia Udało się.