ใช้การเข้ารหัสฝั่งไคลเอ็นต์โดยใช้กฎการคุ้มครองข้อมูล (เบต้า)

รุ่นที่รองรับฟีเจอร์นี้ ได้แก่ Enterprise Plus, Education Standard และ Education Plus เปรียบเทียบรุ่นของคุณ

ต้องมีส่วนเสริม Assured Controls หรือ Assured Controls Plus

ในฐานะผู้ดูแลระบบ คุณสามารถใช้กฎการคุ้มครองข้อมูลเพื่อใช้การเข้ารหัสฝั่งไคลเอ็นต์ (CSE) ของ Google Workspace กับไฟล์ที่ละเอียดอ่อนซึ่งจัดเก็บไว้ใน Google ไดรฟ์โดยอัตโนมัติได้ เมื่อไฟล์ตรงกับเงื่อนไขในกฎการคุ้มครองข้อมูล CSE ของ Workspace จะเข้ารหัสไฟล์ โดยมีเพียงผู้ใช้ที่มีคีย์จากบริการรายการควบคุมการเข้าถึงคีย์ (KACLS) เท่านั้นที่สามารถถอดรหัสและดูเนื้อหาได้

ไฟล์และตำแหน่งพื้นที่เก็บข้อมูลที่รองรับ

คุณสามารถใช้กฎการคุ้มครองข้อมูลที่ใช้ CSE ของ Workspace กับสถานที่จัดเก็บข้อมูลและประเภทไฟล์ต่อไปนี้

  • ตำแหน่งที่เก็บข้อมูล - ไดรฟ์ของฉันและไดรฟ์ที่แชร์
    สำหรับไดรฟ์ที่แชร์ กฎจะประเมินไฟล์ตามหน่วยขององค์กรหรือกลุ่มที่กำหนดให้กับไดรฟ์ที่แชร์ ไม่ว่าผู้ใช้รายใดจะเป็นผู้สร้างหรืออัปโหลดไฟล์ก็ตาม
  • รูปแบบไฟล์ - Google เอกสาร, ชีต และสไลด์ รวมถึงไฟล์ Microsoft Office เช่น .docx, .xlsx และ .pptx โปรดดูรายการประเภทไฟล์ทั้งหมดที่รองรับในหัวข้อข้อมูลที่สแกนในไดรฟ์

ทำความเข้าใจผลกระทบที่มีต่อไฟล์และฟีเจอร์

ก่อนเปิดใช้กฎการคุ้มครองข้อมูลที่ใช้ CSE ของ Workspace โปรดตรวจสอบว่าการเข้ารหัสอัตโนมัติส่งผลต่อไฟล์และผู้ใช้ในองค์กรอย่างไร ดังนี้

  • ฟีเจอร์ที่ไม่รองรับและไฟล์ Takeout ที่ส่งออก - เมื่อไฟล์ตรงกับกฎและได้รับการแปลงแล้ว ระบบจะดำเนินการดังนี้
    • ฟีเจอร์ที่ต้องเข้าถึงฝั่งเซิร์ฟเวอร์ เช่น การทำงานอัตโนมัติของ Google Apps Script ที่เชื่อมโยงกับคอนเทนเนอร์และ Google ฟอร์มที่ลิงก์ไว้ จะหยุดทำงานและถูกนำออกจากไฟล์หลักอย่างถาวร
    • สำหรับเอกสาร ชีต และสไลด์ ระบบจะเก็บรักษาและเข้ารหัสการแก้ไขล่าสุด ระบบจะลบการแก้ไขที่ไม่ได้เข้ารหัสก่อนหน้านี้
    • ระบบจะนำความคิดเห็นในไฟล์ของบุคคลที่สาม เช่น ความคิดเห็นในไฟล์ Microsoft Office ออกจากไฟล์หลักอย่างถาวร ระบบจะเก็บความคิดเห็นในเอกสาร ชีต และสไลด์ไว้
    • Google จะส่งออกเนื้อหาที่ถูกนำออกไปยังไฟล์ Takeout ที่เข้ารหัส ไฟล์เหล่านี้จะอยู่ในโฟลเดอร์ที่มีการประทับเวลาในตำแหน่งเดียวกับไฟล์ที่เข้ารหัส
  • การรวมคีย์และการลบข้อมูลที่ไม่ได้เข้ารหัส - เมื่อมีการแจ้งว่าไฟล์ต้องเข้ารหัส ไดรฟ์จะสร้างคีย์การเข้ารหัสข้อมูล (DEK) เพื่อเข้ารหัสเนื้อหาไฟล์และส่ง DEK ไปยัง KACLS โดยใช้ปลายทางการรวมคีย์ systemwrap แบบอัตโนมัติ Google จะไม่บันทึกหรือจัดเก็บ DEK ที่ถอดรหัสแล้ว ระบบจะลบข้อมูลไฟล์ที่ไม่ได้เข้ารหัสต้นฉบับตามไทม์ไลน์การเก็บรักษาข้อมูลของ Workspace
  • ประสบการณ์ของผู้ใช้สำหรับไฟล์ที่เข้ารหัส - เมื่อผู้ใช้ทำงานกับไฟล์ที่เข้ารหัส
    • ขณะที่ระบบกำลังแปลงไฟล์เป็น CSE ของ Workspace ระบบจะล็อกไฟล์ไม่ให้แก้ไขชั่วคราว
    • เมื่อผู้ใช้เปิดไฟล์ที่เข้ารหัสในเอกสาร ชีต หรือสไลด์ ผู้ใช้จะได้รับข้อความ "ผู้ดูแลระบบได้ใช้การเข้ารหัสเพิ่มเติมกับไฟล์นี้" ผู้ใช้สามารถคลิกลิงก์ในข้อความเพื่อตรวจสอบข้อจำกัดด้านความปลอดภัยได้
    • ผู้ใช้สามารถดูตัวอย่างไฟล์ รูปภาพ และ PDF ของ Google ได้ ไฟล์ประเภทอื่นๆ ทั้งหมดไม่รองรับการแสดงตัวอย่าง หากต้องการเข้าถึงไฟล์ดังกล่าว ผู้ใช้ต้องเลือกดาวน์โหลดและถอดรหัส

ข้อควรทราบก่อนที่จะเริ่มต้น

ตรวจสอบว่าองค์กรมีคุณสมบัติตรงตามข้อกำหนดต่อไปนี้ก่อนสร้างกฎ

  • มอบหมายใบอนุญาต Assured Controls - องค์กรของคุณต้องมีส่วนเสริม Assured Controls หรือ Assured Controls Plus
  • ตั้งค่า CSE ของ Workspace สำหรับไดรฟ์ - ตั้งค่าการเข้ารหัสฝั่งไคลเอ็นต์ในคอนโซลผู้ดูแลระบบของ Google ด้วยผู้ให้บริการข้อมูลประจำตัว (IdP) และ KACLS จากนั้นเปิดใช้ CSE ของ Workspace สำหรับไดรฟ์ให้กับหน่วยขององค์กรหรือกลุ่มที่รวมอยู่ในกฎ
  • ตรวจสอบการรองรับบริการจัดการคีย์สำหรับการเข้ารหัสอัตโนมัติ - กฎการคุ้มครองข้อมูลจะเข้ารหัสไฟล์โดยอัตโนมัติในเบื้องหลังโดยที่ผู้ใช้ไม่ต้องดำเนินการใดๆ ดังนั้นผู้ให้บริการ KACLS ของคุณต้องรองรับปลายทาง systemwrap ติดต่อผู้ให้บริการจัดการคีย์เพื่อยืนยันว่าระบบรองรับและเปิดใช้ Systemwrap แล้ว

สร้างกฎการคุ้มครองข้อมูลเพื่อเข้ารหัสเนื้อหา

เคล็ดลับ: หากต้องการตรวจสอบจำนวนไฟล์ที่ได้รับผลกระทบจากกฎก่อนที่จะเข้ารหัสเนื้อหา ให้สร้างกฎเฉพาะการตรวจสอบก่อนโดยไม่ต้องเลือกการดำเนินการ จากนั้นตรวจสอบไฟล์ที่ตรงกันในเหตุการณ์ในบันทึกของกฎ

  1. ในคอนโซลผู้ดูแลระบบของ Google ให้ไปที่เมนู จากนั้น ความปลอดภัย จากนั้น การเข้าถึงและการควบคุมข้อมูล จากนั้น การคุ้มครองข้อมูล

    ต้องมีสิทธิ์ของผู้ดูแลระบบสำหรับดูกฎ DLP และจัดการกฎ DLP

  2. คลิกจัดการกฎ จากนั้น เพิ่มกฎ จากนั้น กฎใหม่
  3. ในส่วนชื่อและแอป ให้ทำดังนี้
    1. ป้อนชื่อและคำอธิบาย (ไม่บังคับ) สำหรับกฎ
    2. ในส่วนแอป ให้เลือกช่อง Google ไดรฟ์
    3. คลิกต่อไป
  4. ในส่วนการดำเนินการ ให้ทำดังนี้
    1. สำหรับ Google ไดรฟ์ ให้เลือกใช้การเข้ารหัสฝั่งไคลเอ็นต์
    2. ตรวจสอบข้อความผลกระทบที่อาจเกิดขึ้น
    3. (ไม่บังคับ) หากต้องการส่งการแจ้งเตือนเมื่อมีการเรียกใช้กฎ ให้เลือกเลือกระดับความรุนแรงในส่วนการแจ้งเตือน เลือกช่องศูนย์แจ้งเตือน แล้วป้อนผู้รับอีเมล
    4. คลิกต่อไป
    5. ในช่องการรับทราบผลกระทบต่อข้อมูล ให้ตรวจสอบการเปิดเผยข้อมูล แล้วคลิกฉันเข้าใจ
  5. ในส่วนขอบเขตและเงื่อนไข ให้ทำดังนี้
    1. ในส่วนขอบเขต ให้เลือกทั้งหมดในองค์กรของคุณ หรือเลือกหน่วยขององค์กรและ/หรือกลุ่มเพื่อใช้กฎกับหน่วยขององค์กรหรือกลุ่มการกำหนดค่าที่ต้องการซึ่งมีใบอนุญาต Assured Controls และเปิดใช้ CSE ของ Workspace
    2. ในส่วนเงื่อนไขเนื้อหา ให้คลิกเพิ่มเงื่อนไข แล้วเลือกเงื่อนไขที่ทริกเกอร์การเข้ารหัส เช่น เนื้อหาทั้งหมด ชื่อ หรือป้ายกำกับไดรฟ์ คุณสามารถจับคู่เนื้อหาโดยใช้ตัวตรวจจับที่กำหนดไว้ล่วงหน้า รายการคำ หรือนิพจน์ทั่วไป โปรดดูรายละเอียดที่หัวข้อสร้าง DLP สำหรับกฎของไดรฟ์และตัวตรวจจับเนื้อหาที่กำหนดเอง
    3. คลิกต่อไป
  6. ในส่วนตรวจสอบ ให้ทำดังนี้
    1. สำหรับสถานะของกฎ ให้เลือกตัวเลือกต่อไปนี้
      • หากต้องการบังคับใช้กฎทันที ให้เลือกใช้งาน
      • หากต้องการบันทึกกฎเพื่อเรียกใช้ในภายหลัง ให้เลือกไม่ใช้งาน
    2. คลิกสร้าง

การสแกนไฟล์อาจใช้เวลาเป็นชั่วโมง ทั้งวัน หรือนานกว่านั้น โดยขึ้นอยู่กับหลายปัจจัย รวมถึงจำนวนไฟล์ด้วย โปรดดูรายละเอียดที่หัวข้อวิธีทำงานของ DLP สำหรับไดรฟ์

ตรวจสอบการดำเนินการตามกฎในเครื่องมือตรวจสอบความปลอดภัย

วิธีตรวจสอบการดำเนินการเข้ารหัสอัตโนมัติ

  1. ในคอนโซลผู้ดูแลระบบของ Google ให้ไปที่เมนู จากนั้น ความปลอดภัย จากนั้น ศูนย์ความปลอดภัย จากนั้น เครื่องมือตรวจสอบ

    ต้องมีสิทธิ์ของผู้ดูแลระบบของศูนย์ความปลอดภัย

  2. ในส่วนแหล่งข้อมูล ให้เลือกเหตุการณ์ในบันทึกของกฎ
  3. คลิกเพิ่มเงื่อนไข เลือกชื่อกฎ แล้วเลือกกฎที่คุณสร้างขึ้น
  4. คลิกค้นหาและตรวจสอบผลลัพธ์ดังนี้
    • เนื้อหาตรงกัน - แสดงว่าไฟล์ตรงกับเงื่อนไข
    • นำการเปลี่ยนแปลงการเข้ารหัสไปใช้แล้ว - แสดงข้อความสำเร็จเมื่อเข้ารหัสไฟล์แล้ว
  5. (ไม่บังคับ) หากต้องการดูประวัติการตรวจสอบของไฟล์ ให้เปลี่ยนแหล่งข้อมูลเป็นเหตุการณ์ในบันทึกของไดรฟ์ ค้นหาไฟล์ แล้วค้นหาเหตุการณ์เข้ารหัสด้วยผู้ดำเนินการกฎ DLP

แก้ไขข้อผิดพลาด KACLS ในศูนย์แจ้งเตือน

หาก Google Workspace เชื่อมต่อกับ KACLS ไม่ได้ ไฟล์จะยังคงไม่มีการเข้ารหัสและคุณจะได้รับการแจ้งเตือนในศูนย์แจ้งเตือน ดังนี้

  1. ในคอนโซลผู้ดูแลระบบของ Google ให้ไปที่เมนู จากนั้น ความปลอดภัย จากนั้น ศูนย์แจ้งเตือน

    ต้องมีสิทธิ์ของผู้ดูแลระบบศูนย์แจ้งเตือน

  2. คลิกเพิ่มตัวกรอง จากนั้น ประเภทการแจ้งเตือน
  3. เลือกช่องบริการการเข้ารหัสฝั่งไคลเอ็นต์ไม่พร้อมใช้งาน จากนั้น คลิกใช้
  4. คลิกการแจ้งเตือนเพื่อดูรายละเอียด ดังนี้
    • ปลายทาง - แสดง URL ของ KACLS ที่เรียกใช้ เช่น https://kacls.example.com/systemwrap
    • รหัสสถานะ HTTP - แสดงรหัสการตอบกลับ HTTP ที่ KACLS แสดงผล เช่น 401, 403 หรือ 500

สแกนไฟล์อีกครั้งหลังจากแก้ไขข้อผิดพลาดแล้ว

หากกฎไม่สามารถเข้ารหัสเนื้อหาเนื่องจากปัญหาเกี่ยวกับเครือข่าย, เวลาหยุดทำงานของ KACLS หรือการกำหนดค่าการตรวจสอบสิทธิ์ไม่ถูกต้อง ให้แก้ไขปัญหาแล้วสแกนไฟล์อีกครั้ง การสแกนซ้ำอาจใช้เวลาหลายชั่วโมง ทั้งวัน หรือนานกว่านั้นได้ โดยขึ้นอยู่กับหลายปัจจัย รวมทั้งจำนวนไฟล์ด้วย

  1. ในคอนโซลผู้ดูแลระบบของ Google ให้ไปที่เมนู จากนั้น ความปลอดภัย จากนั้น การเข้าถึงและการควบคุมข้อมูล จากนั้น การคุ้มครองข้อมูล

    ต้องมีสิทธิ์ของผู้ดูแลระบบสำหรับดูกฎ DLP และจัดการกฎ DLP

  2. คลิกจัดการกฎ แล้วคลิกกฎที่ต้องการ
  3. คลิกสแกนการเข้ารหัสฝั่งไคลเอ็นต์อีกครั้ง
  4. คลิกเริ่มสแกนอีกครั้งในช่องยืนยัน
  5. หลังจากสแกนเสร็จแล้ว ให้ตรวจสอบว่าไฟล์ได้รับการเข้ารหัสโดยใช้วิธีใดวิธีหนึ่งต่อไปนี้
    • จากหน้ารายละเอียดของกฎ ให้คลิกตรวจสอบ
    • ในเครื่องมือตรวจสอบความปลอดภัย ให้เลือกเหตุการณ์ในบันทึกของกฎเป็นแหล่งข้อมูล แล้วค้นหากฎ
  6. ตรวจสอบว่าเหตุการณ์ใช้การเปลี่ยนแปลงการเข้ารหัสแล้วแสดงสถานะเป็นสำเร็จในส่วนสถานะเหตุการณ์