Aplicar a criptografia do lado do cliente usando regras de proteção de dados (Beta)

Edições que têm esse recurso: Enterprise Plus, Education Standard e Education Plus. Compare sua edição.

É preciso ter o complemento Assured Controls ou Assured Controls Plus.

Como administrador, você pode usar regras de proteção de dados para aplicar automaticamente a criptografia do lado do cliente (CSE) do Google Workspace a arquivos sensíveis armazenados no Google Drive. Quando os arquivos correspondem às condições de uma regra de proteção de dados, a CSE do Workspace criptografa os arquivos. Somente os usuários com chaves do seu serviço de lista de controle de acesso a chaves (KACLS, na sigla em inglês) podem descriptografar e ver o conteúdo.

Arquivos e locais de armazenamento compatíveis

É possível usar regras de proteção de dados que aplicam a CSE do Workspace com os seguintes locais de armazenamento e tipos de arquivo:

  • Locais de armazenamento: Meu Drive e drives compartilhados.
    Nos drives compartilhados, as regras avaliam os arquivos com base na unidade organizacional ou no grupo atribuído ao drive compartilhado, independentemente de qual usuário criou ou fez upload do arquivo.
  • Formatos de arquivo: arquivos do Documentos, Planilhas e Apresentações Google e do Microsoft Office, como .docx, .xlsx e .pptx. Para ver uma lista completa dos tipos de arquivo compatíveis, acesse O que é verificado no Drive.

Entender o impacto em arquivos e recursos

Antes de ativar uma regra de proteção de dados que aplica a CSE do Workspace, analise como a criptografia automática afeta os arquivos e os usuários na sua organização:

  • Recursos incompatíveis e arquivos exportados do Takeout: quando um arquivo corresponde a uma regra e é convertido:
    • Os recursos que exigem acesso do lado do servidor, como automações do Google Apps Script vinculadas ao contêiner e Google Formulários vinculados, deixam de funcionar e são removidos permanentemente do arquivo principal.
    • Para os apps Documentos, Planilhas e Apresentações, a revisão mais recente é preservada e criptografada. As revisões anteriores não criptografadas são excluídas.
    • Os comentários de arquivos de terceiros, como os de arquivos do Microsoft Office, são removidos permanentemente do arquivo principal. Os comentários nos apps Documentos, Planilhas e Apresentações são retidos.
    • O Google exporta o conteúdo removido para arquivos criptografados do Takeout. Esses arquivos estão em uma pasta com carimbo de data/hora no mesmo local do arquivo criptografado.
  • Encapsulamento de chaves e exclusão de dados não criptografados: quando um arquivo é sinalizado para criptografia, o Drive gera uma chave de criptografia de dados (DEK) para criptografar o conteúdo do arquivo e envia a DEK para o KACLS usando o endpoint de encapsulamento de chaves do sistema automatizado. O Google nunca registra nem armazena a DEK desencapsulada. Os dados originais do arquivo não criptografado são excluídos de acordo com o cronograma de retenção de dados do Workspace.
  • Experiência do usuário com arquivos criptografados: quando os usuários trabalham com arquivos criptografados:
    • Enquanto um arquivo está sendo convertido para a CSE do Workspace, ele fica temporariamente bloqueado para edição.
    • Quando um usuário abre um arquivo criptografado nos apps Documentos, Planilhas ou Apresentações, ele recebe a seguinte mensagem: "Seu admin aplicou criptografia extra a este arquivo". Os usuários podem clicar em um link na mensagem para analisar as limitações de segurança.
    • Os usuários podem visualizar arquivos nativos, imagens e PDFs. Não é possível visualizar outros tipos de arquivo. Para acessá-los, os usuários precisam selecionar Fazer o download e descriptografar.

Antes de começar

Antes de criar uma regra, verifique se a organização atende aos seguintes requisitos:

  • Atribuir licenças do Assured Controls: sua organização precisa ter o complemento Assured Controls ou Assured Controls Plus .
  • Configurar a CSE do Workspace para o Drive: configure a criptografia do lado do cliente no Google Admin Console com um provedor de identidade (IdP) e um KACLS. Em seguida, para as unidades organizacionais ou os grupos incluídos na regra, ative a CSE do Workspace para o Drive.
  • Verifique se o serviço de chaves é compatível com a criptografia automática: as regras de proteção de dados criptografam arquivos automaticamente em segundo plano sem que o usuário precise fazer nada. Por isso, seu provedor de KACLS precisa ser compatível com o endpoint systemwrap. Entre em contato com seu provedor de serviços de chaves para confirmar se o systemwrap é compatível e está ativado.

Criar uma regra de proteção de dados para criptografar conteúdo

Dica: para verificar quantos arquivos uma regra afeta antes de criptografar o conteúdo, primeiro crie uma regra somente de auditoria sem selecionar uma ação. Em seguida, analise os arquivos correspondentes nos Eventos de registro de regras.

  1. No Google Admin Console, acesse Menu e depois Segurança e depois Controle de dados e acesso e depois Proteção de dados.

    É necessário ter os privilégios de administrador "Ver regra da DLP" e "Gerenciar regra da DLP".

  2. Clique em Gerenciar regras e depois Adicionar regra e depois Nova regra.
  3. Na seção Nome e apps:
    1. Insira um nome e, se quiser, uma descrição para a regra.
    2. Em Apps, marque a caixa Google Drive.
    3. Clique em Continuar.
  4. Na seção Ações:
    1. Em Google Drive, selecione Aplicar criptografia do lado do cliente.
    2. Leia a mensagem sobre o possível impacto.
    3. (Opcional) Para enviar notificações quando a regra for acionada, na seção Alertas, selecione um nível de gravidade, marque a caixa Central de alertas e insira os destinatários de e-mail.
    4. Clique em Continuar.
    5. Na caixa Confirmação do impacto nos dados, leia a declaração e clique em Entendi.
  5. Na seção Escopo e condições:
    1. Em Escopo, mantenha Todos em sua organização ou selecione Unidades organizacionais e/ou grupos para aplicar a regra a unidades organizacionais ou grupos de configuração específicos que tenham licenças do Assured Controls e a CSE do Workspace ativadas.
    2. Em Condições de conteúdo, clique em Adicionar condição e escolha as condições que acionam a criptografia, como Todo o conteúdo, Título ou Marcadores do Drive. É possível fazer a correspondência de conteúdo usando detectores predefinidos, listas de palavras ou expressões regulares. Para mais detalhes, acesse Criar regras e detectores de conteúdo personalizados para a DLP do Drive.
    3. Clique em Continuar.
  6. Na seção Revisão:
    1. Em Status da regra, escolha uma opção:
      • Para aplicar a regra imediatamente, selecione Ativa.
      • Para salvar a regra e executá-la mais tarde, selecione Inativa.
    2. Clique em Criar.

A verificação dos arquivos pode levar algumas horas, um dia ou mais tempo, dependendo de vários fatores, como o número de arquivos. Para mais detalhes, acesse Como funciona a DLP para o Drive?

Investigar a execução de regras na ferramenta de investigação de segurança

Para monitorar as ações de criptografia automatizadas:

  1. No Google Admin Console, acesse Menu e depois Segurança e depois Central de segurança e depois Ferramenta de investigação.

    Exige o privilégio de administrador Central de segurança.

  2. Em Origem de dados, selecione Eventos de registro de regras.
  3. Clique em Adicionar condição, selecione Nome da regra e escolha a regra que você criou.
  4. Clique em Pesquisar e analise os resultados:
    • Conteúdo correspondente: mostra que um arquivo correspondeu à condição.
    • Mudança na criptografia aplicada: mostra Concluído quando o arquivo é criptografado.
  5. (Opcional) Para ver o histórico de auditoria de um arquivo, mude a fonte de dados para Eventos de registro do Drive, pesquise o arquivo e encontre o evento Criptografar com o ator Regra da DLP.

Corrigir erros do KACLS na Central de Alertas

Se o Google Workspace não conseguir se conectar ao KACLS, o arquivo vai permanecer sem criptografia, e você vai receber um alerta na Central de alertas:

  1. No Google Admin Console, acesse Menu e depois Segurança e depois Central de alertas.

    Exige o privilégio de administrador da Central de alertas.

  2. Clique em Adicionar um filtro e depois Tipo de alerta.
  3. Marque a caixa Serviço de criptografia do lado do cliente indisponível e depois clique em Aplicar.
  4. Clique em um alerta para analisar os detalhes:
    • Endpoint: mostra o URL do KACLS que foi chamado, como https://kacls.example.com/systemwrap.
    • Código de status HTTP: mostra o código de resposta HTTP retornado pelo KACLS, como 401, 403 ou 500.

Verificar os arquivos novamente após resolver os erros

Se uma regra não puder criptografar o conteúdo devido a problemas de rede, inatividade do KACLS ou erros de configuração de autenticação, resolva o problema e verifique os arquivos novamente. Uma nova verificação pode levar algumas horas, um dia ou mais, dependendo de vários fatores, incluindo o número de arquivos.

  1. No Google Admin Console, acesse Menu e depois Segurança e depois Controle de dados e acesso e depois Proteção de dados.

    É necessário ter os privilégios de administrador "Ver regra da DLP" e "Gerenciar regra da DLP".

  2. Clique em Gerenciar regras e depois na regra.
  3. Clique em Reverificar criptografia do lado do cliente.
  4. Na caixa de confirmação, clique em Iniciar nova verificação.
  5. Depois que a verificação for concluída, verifique se os arquivos foram criptografados usando um dos seguintes métodos:
    • Na página de detalhes da regra, clique em Investigar.
    • Na ferramenta de investigação de segurança, selecione Eventos de registro de regras como a fonte de dados e pesquise sua regra.
  6. Confirme se o evento Mudança de criptografia aplicada mostra Concluído em Status do evento.