Tillämpa kryptering på klientsidan med dataskyddsregler (beta)

Utgåvor som stöds för den här funktionen: Enterprise Plus, Education Standard och Education Plus. Jämför utgåvor

Kräver tillägget Säkra kontroller eller Säkra kontroller Plus.

Som administratör kan du använda dataskyddsregler för att automatiskt tillämpa kryptering på klientsidan (CSE) i Google Workspace på känsliga filer som lagras i Google Drive. När filer matchar villkoren i en dataskyddsregel krypterar Workspace CSE filerna. Endast användare med nycklar från KACLS (Key Access Control List Service) kan dekryptera och visa innehållet.

Filer och lagringsplatser som stöds

Du kan använda dataskyddsregler som tillämpar Workspace CSE med följande lagringsplatser och filtyper:

  • Lagringsplatser – Min enhet och delade enheter.
    För delade enheter utvärderar reglerna filer baserat på den delade enhetens tilldelade organisationsenhet eller grupp, oavsett vilken användare som har skapat eller laddat upp filen.
  • Filformat – Google Dokument, Kalkylark och Presentationer samt Microsoft Office-filer som .docx, .xlsx och .pptx. En fullständig lista över filtyper som stöds finns i Vad skannas i Drive?

Förstå hur filer och funktioner påverkas

Innan du aktiverar en dataskyddsregel som tillämpar Workspace CSE ska du granska hur automatisk kryptering påverkar filer och användare i organisationen:

  • Funktioner som inte stöds och exporterade Takeout-filer – när en fil matchar en regel och konverteras:
    • Funktioner som kräver åtkomst på serversidan, till exempel behållarbundna Google Apps Script-automatiseringar och länkade Google Formulär, slutar att köras och tas bort permanent från den primära filen.
    • För Dokument, Kalkylark och Presentationer bevaras och krypteras den senaste versionen. Tidigare okrypterade versioner raderas.
    • Kommentarer i filer från tredje part, till exempel kommentarer i Microsoft Office-filer, tas bort permanent från den primära filen. Kommentarer i Dokument, Kalkylark och Presentationer lagras.
    • Google exporterar borttaget innehåll till krypterade Takeout-filer. Filerna finns i en tidsstämplad mapp på samma plats som den krypterade filen.
  • Nyckelinkapsling och radering av okrypterad data – när en fil flaggas för kryptering genererar Drive en datakrypteringsnyckel (DEK) för att kryptera filinnehållet och skickar DEK till din KACLS med hjälp av dess automatiserade systemwrap-slutpunkt för nyckelinkapsling. Google loggar eller lagrar aldrig den uppackade DEK:en. Den ursprungliga okrypterade fildatan raderas enligt tidslinjen för datalagring i Workspace.
  • Användarupplevelse för krypterade filer – när användarna arbetar med krypterade filer:
    • Medan en fil konverteras till Workspace CSE är den tillfälligt låst för redigering.
    • När en användare öppnar en krypterad fil i Dokument, Kalkylark eller Presentationer visas följande meddelande: Administratören tillämpade ytterligare kryptering på den här filen. Användarna kan klicka på en länk i meddelandet för att granska säkerhetsbegränsningarna.
    • Användarna kan förhandsgranska inbyggda filer, bilder och PDF-filer. Alla andra filtyper har inte stöd för förhandsgranskning. Användarna måste välja Ladda ned och dekryptera för att få åtkomst till dem.

Innan du börjar

Se till att organisationen uppfyller följande krav innan du skapar en regel:

  • Tilldela licenser för Säkra kontroller – organisationen måste ha tillägget Säkra kontroller eller Säkra kontroller Plus.
  • Konfigurera Workspace CSE för Drive – konfigurera kryptering på klientsidan i Googles administratörskonsol med en identitetsleverantör (IdP) och en KACLS. Aktivera sedan Workspace CSE för Drive för de organisationsenheter eller grupper som ingår i regeln.
  • Verifiera stöd för nyckeltjänst för automatisk kryptering – dataskyddsregler krypterar filer automatiskt i bakgrunden utan användaråtgärd, så din KACLS-leverantör måste ha stöd för systemwrap-slutpunkten. Kontakta nyckeltjänstleverantören för att bekräfta att systemwrap stöds och är aktiverat.

Skapa en dataskyddsregel för att kryptera innehåll

Tips! Om du vill kontrollera hur många filer en regel påverkar innan du krypterar innehåll skapar du först en regel för endast granskning utan att välja en åtgärd. Granska sedan de matchade filerna i regellogghändelserna.

  1. Öppna menyn i Googles administratörskonsol följt av Säkerhet följt av Åtkomst- och datakontroll följt av Dataskydd.

    Kräver att administratörsbehörigheterna Visa DLP-regel och Hantera DLP-regel.

  2. Klicka på Hantera regler följt av Lägg till regel följt av Ny regel.
  3. I avsnittet Namn och appar:
    1. Ange ett namn och en valfri beskrivning för regeln.
    2. Markera rutan Google Drive för Appar.
    3. Klicka på Fortsätt.
  4. I avsnittet Åtgärder:
    1. För Google Drive väljer du Tillämpa kryptering på klientsidan.
    2. Granska meddelandet om potentiell påverkan.
    3. (Valfritt) Om du vill skicka aviseringar när regeln aktiveras väljer du en allvarlighetsgrad i avsnittet Varningar, markerar rutan Varningscenter och anger e-postmottagare.
    4. Klicka på Fortsätt.
    5. Läs igenom informationen i rutan Bekräftelse av inverkan på data och klicka på Jag förstår.
  5. I avsnittet Omfattning och villkor:
    1. För Omfattning behåller du Alla i organisationen eller väljer Organisationsenheter och/eller grupper för att tillämpa regeln på specifika organisationsenheter eller konfigurationsgrupper som har licenser för Säkra kontroller och Workspace CSE aktiverat.
    2. För Innehållsvillkor klickar du på Lägg till villkor och väljer de villkor som utlöser kryptering, till exempel Allt innehåll, Titel eller Drive-etiketter. Du kan matcha innehåll med fördefinierade detektorer, ordlistor eller reguljära uttryck. Mer information finns i Skapa DLP för Drive-regler och anpassade innehållsdetektorer.
    3. Klicka på Fortsätt.
  6. I avsnittet Granska:
    1. Välj ett alternativ för Regelstatus:
      • Välj Aktiv om du vill tillämpa regeln omedelbart.
      • Om du vill spara regeln och köra den senare väljer du Inaktiv.
    2. Klicka på Skapa.

Filgenomsökningen kan ta några timmar, en dag eller längre tid beroende på flera faktorer, däribland antalet filer. Mer information finns i Hur fungerar DLP för Drive?

Undersöka regelkörning i verktyget för säkerhetsutredningar

Så här övervakar du automatiska krypteringsåtgärder:

  1. I Googles administratörskonsol går du till menyn följt av Säkerhet följt av Säkerhetscenter följt av Utredningsverktyg.

    Administratörsbehörighet för Säkerhetscenter krävs.

  2. Välj Regellogghändelser som Datakälla.
  3. Klicka på Lägg till villkor, välj Regelnamn och välj regeln du skapade.
  4. Klicka på Sök och granska resultaten:
    • Innehållsmatchning – visar att en fil matchade villkoret.
    • Krypteringsändring tillämpad – visar Slutförd när filen är krypterad.
  5. (Valfritt) Om du vill visa en fils granskningshistorik ändrar du datakällan till Drive-logghändelser, söker efter filen och letar reda på händelsen Kryptera med aktören DLP-regel.

Hantera KACLS-fel i varningscentret

Om Google Workspace inte kan ansluta till KACLS förblir filen okrypterad och du får en varning i varningscentret:

  1. I Googles administratörskonsol går du till menyn följt av Säkerhet följt av Varningscenter.

    Administratörsbehörighet för varningscentret krävs.

  2. Klicka på Lägg till ett filter följt av Varningstyp.
  3. Markera rutan Kryptering på klientsidan inte tillgänglig följt av klicka på Använd.
  4. Klicka på en varning för att granska informationen:
    • Ändpunkt – visar KACLS-webbadressen som anropades, till exempel https://kacls.example.com/systemwrap.
    • HTTP-statuskod – visar HTTP-svarskoden som returneras av din KACLS, till exempel 401, 403 eller 500.

Skanna om filer efter att du har åtgärdat fel

Om en regel inte kan kryptera innehåll på grund av nätverksproblem, driftstopp för KACLS eller felaktiga autentiseringskonfigurationer åtgärdar du problemet och skannar sedan filerna igen. En ny genomsökning kan ta några timmar, en dag eller längre tid beroende på flera faktorer, däribland antalet filer.

  1. Öppna menyn i Googles administratörskonsol följt av Säkerhet följt av Åtkomst- och datakontroll följt av Dataskydd.

    Kräver att administratörsbehörigheterna Visa DLP-regel och Hantera DLP-regel.

  2. Klicka på Hantera regler och klicka sedan på regeln.
  3. Klicka på Skanna om kryptering på klientsidan.
  4. Klicka på Starta ny genomsökning i bekräftelserutan.
  5. När skanningen är klar kontrollerar du att filerna har krypterats med någon av följande metoder:
    • Klicka på Undersök på regelns informationssida.
    • Välj Regellogghändelser som datakälla i verktyget för säkerhetsutredningar och sök efter regeln.
  6. Bekräfta att händelsen Krypteringsändring tillämpad visar Slutförd för Händelsestatus.