Применение клиентского шифрования с помощью правил защиты данных (бета-версия)

Эта функция доступна в версиях Enterprise Plus, Education Standard и Education Plus. Сравнение версий

Вам понадобится дополнение "Настройки доступа и размещения" или "Расширенные настройки доступа и размещения".

Как администратор, вы можете использовать правила защиты данных, чтобы автоматически применять клиентское шифрование Google Workspace к конфиденциальным файлам, хранящимся на Google Диске. Если файлы соответствуют условиям правила защиты данных, Workspace CSE шифрует их. Расшифровать и посмотреть контент могут только пользователи с ключами из сервиса списков контроля доступа к ключам.

Поддерживаемые файлы и места хранения

Правила защиты данных, в которых применяется шифрование на стороне клиента в Workspace, можно использовать со следующими хранилищами и типами файлов:

  • Места хранения – раздел "Мой диск" и общие диски.
    Для общих дисков правила оценивают файлы на основе организационного подразделения или группы, назначенных общему диску, независимо от того, какой пользователь создал или загрузил файл.
  • Форматы файлов – Google Документы, Таблицы и Презентации, а также файлы Microsoft Office, например DOCX, XLSX и PPTX. Полный список поддерживаемых типов файлов приведен в разделе Какие файлы сканируются на Диске.

Как это повлияет на файлы и функции

Прежде чем включить правило защиты данных, которое применяет шифрование на стороне клиента в Workspace, ознакомьтесь с тем, как автоматическое шифрование влияет на файлы и пользователей в организации.

  • Неподдерживаемые функции и экспортированные файлы Google Архиватора. Если файл соответствует правилу и преобразован:
    • Функции, которым требуется доступ на стороне сервера, например автоматизации Google Apps Script, связанные с контейнером, и связанные Google Формы, перестанут работать и будут навсегда удалены из основного файла.
    • Для Документов, Таблиц и Презентаций сохраняется и шифруется последняя версия. Предыдущие незашифрованные версии удаляются.
    • Комментарии к сторонним файлам, например к файлам Microsoft Office, удаляются из основного файла без возможности восстановления. Комментарии в Документах, Таблицах и Презентациях сохраняются.
    • Google экспортирует удаленный контент в зашифрованные файлы Архиватора. Эти файлы находятся в папке с отметкой времени в том же месте, что и зашифрованный файл.
  • Упаковка ключей и удаление незашифрованных данных. Когда файл помечается для шифрования, Диск генерирует ключ шифрования данных (DEK) для шифрования содержимого файла и отправляет DEK в KACLS, используя конечную точку упаковки ключей автоматизированной системы. Google никогда не регистрирует и не хранит распакованный ключ шифрования данных. Исходные незашифрованные данные файлов удаляются в соответствии со сроками хранения данных Workspace.
  • Работа с зашифрованными файлами. При работе с зашифрованными файлами:
    • Пока файл преобразуется в формат Workspace CSE, он временно заблокирован для редактирования.
    • Когда пользователь открывает зашифрованный файл в Документах, Таблицах или Презентациях, он видит следующее сообщение: "Ваш администратор добавил к этот файл дополнительное шифрование". Пользователи могут нажать на ссылку в сообщении, чтобы ознакомиться с ограничениями безопасности.
    • Пользователи могут просматривать файлы, изображения и PDF-файлы. Для файлов других типов предварительный просмотр не поддерживается. Чтобы получить к ним доступ, пользователям нужно выбрать Скачать и расшифровать.

Подготовка

Прежде чем создавать правило, убедитесь, что ваша организация соответствует следующим требованиям:

Как создать правило защиты данных для шифрования контента

Совет. Чтобы узнать, на сколько файлов повлияет правило, прежде чем шифровать контент, сначала создайте правило, предусматривающее только аудит, не выбирая действие. Затем посмотрите, какие файлы соответствуют правилу, в разделе События журнала правил.

  1. В консоли администратора Google нажмите на значок меню > Безопасность > Управление доступом и данными > Защита данных.

    У вас должны быть права администратора на просмотр правил DLP и управление ими.

  2. Нажмите Управление правилами > Добавить правило > Создать правило.
  3. В разделе Название и приложения:
    1. Введите название и, если нужно, описание правила.
    2. В разделе Приложения установите флажок Google Диск.
    3. Нажмите Продолжить.
  4. В разделе Действия сделайте следующее:
    1. Для Google Диска выберите Применить клиентское шифрование.
    2. Ознакомьтесь с сообщением о возможных последствиях.
    3. Чтобы отправлять уведомления при срабатывании правила, в разделе Оповещения выберите уровень серьезности, установите флажок Центр оповещений и укажите получателей электронной почты.
    4. Нажмите Продолжить.
    5. В окне Ознакомьтесь с последствиями для данных прочитайте информацию и нажмите Я понимаю.
  5. В разделе Область действия и условия:
    1. В разделе Область действия оставьте вариант Все в ваша организация или выберите Организационные подразделения и/или группы, чтобы применить правило к определенным организационным подразделениям или группам конфигурации, у которых есть лицензии на настройки доступа и размещения и для которых включено шифрование на стороне клиента в Workspace.
    2. В разделе Условия для контента нажмите Добавить условие и выберите условия, при которых будет выполняться шифрование, например Весь контент, Название или Ярлыки Диска. Вы можете сопоставлять контент, используя стандартные детекторы, списки слов или регулярные выражения. Подробнее о том, как создать правила и настраиваемые детекторы содержания в DLP для Диска…
    3. Нажмите Продолжить.
  6. В разделе Проверка:
    1. Для параметра Статус правила выберите одно из следующих значений:
      • Чтобы правило начало действовать немедленно, выберите Активно.
      • Чтобы сохранить правило и запустить его позже, выберите Неактивно.
    2. Нажмите Создать.

Сканирование может занять несколько часов или дней в зависимости от ряда факторов, включая количество файлов. Подробнее о том, как работает DLP для Диска…

Как изучить выполнение правила в инструменте "Анализ безопасности"

Чтобы отслеживать действия по автоматическому шифрованию:

  1. В консоли администратора Google нажмите на значок меню > Безопасность > Центр безопасности > Инструмент "Анализ безопасности".

    У вас должны быть права администратора с доступом к центру безопасности.

  2. В качестве источника данных выберите События журнала правил.
  3. Нажмите Добавить условие, выберите Название правила и укажите созданное правило.
  4. Нажмите Поиск и изучите результаты.
    • Контент соответствует – файл соответствует условию.
    • Изменение шифрования применено – если файл зашифрован, отображается значение Выполнено.
  5. Чтобы посмотреть историю аудита файла, выберите в качестве источника данных События журнала Диска, найдите файл и событие Шифрование с исполнителем Правило DLP.

Как устранять ошибки KACLS в Центре оповещений

Если Google Workspace не удается подключиться к KACLS, файл остается незашифрованным, а в центре оповещений появляется предупреждение:

  1. В консоли администратора Google нажмите на значок меню > Безопасность > Центр оповещений.

    У вас должны быть права администратора с доступом к Центру оповещений.

  2. Нажмите Добавить фильтр > Тип оповещения.
  3. Установите флажок Клиентский сервис шифрования недоступен > нажмите Применить.
  4. Нажмите на оповещение, чтобы посмотреть подробные сведения.
    • Конечная точка — URL KACLS, который был вызван, например https://kacls.example.com/systemwrap.
    • Код статуса HTTP – показывает HTTP-ответ, возвращенный KACLS, например 401, 403 или 500.

Повторно сканировать файлы после устранения ошибок

Если правило не может зашифровать контент из-за проблем с сетью, недоступности KACLS или неправильной настройки аутентификации, устраните проблему и повторно просканируйте файлы. Повторное сканирование может занять несколько часов или дней в зависимости от ряда факторов, включая количество файлов.

  1. В консоли администратора Google нажмите на значок меню > Безопасность > Управление доступом и данными > Защита данных.

    У вас должны быть права администратора на просмотр правил DLP и управление ими.

  2. Нажмите Управление правилами и выберите правило.
  3. Нажмите Повторное сканирование клиентского шифрования.
  4. В окне подтверждения нажмите Начать повторное сканирование.
  5. После завершения сканирования убедитесь, что файлы были зашифрованы, используя один из следующих методов:
    • На странице сведений о правиле нажмите Проверить.
    • В инструменте "Анализ безопасности" выберите События журнала правил в качестве источника данных и найдите правило.
  6. Убедитесь, что для события Изменение шифрования применено в поле Статус события указано Выполнено.