使用資料保護規則套用用戶端加密 (Beta 版)

支援這項功能的版本：Enterprise Plus；Education Standard 和 Education Plus。版本比較

須加購「安全控管」或「安全控管 Plus」方案。

管理員可以使用資料保護規則，自動對儲存在 Google 雲端硬碟中的機密檔案套用 Google Workspace 用戶端加密 (CSE)。當檔案符合資料保護規則的條件時，Workspace CSE 會加密檔案。只有具備金鑰存取控制清單服務 (KACLS) 金鑰的使用者，才能解密及查看內容。

支援的檔案和儲存位置

您可以將套用 Workspace CSE 的資料保護規則，用於下列儲存位置和檔案類型：

  • 儲存位置：「我的雲端硬碟」和共用雲端硬碟。
    如果是共用雲端硬碟，規則會根據共用雲端硬碟指派的組織單位或群組評估檔案，無論檔案是由哪位使用者建立或上傳。
  • 檔案格式：Google 文件、試算表和簡報，以及 Microsoft Office 檔案，例如 .docx、.xlsx 和 .pptx。如需支援的檔案類型完整清單，請參閱「系統會掃描雲端硬碟中的哪些內容」。

瞭解對檔案和功能的影響

啟用套用 Workspace CSE 的資料保護規則前，請先瞭解自動加密功能對貴組織檔案和使用者的影響：

  • 不支援的功能和匯出的匯出檔案：檔案符合規則並轉換時：
    • 需要伺服器端存取權的功能 (例如容器繫結的 Google Apps Script 自動化動作和連結的 Google 表單) 會停止執行，並從主要檔案中永久移除。
    • Google 文件、試算表和簡報會保留並加密最新修訂版本。系統會刪除先前未加密的修訂版本。
    • 第三方檔案註解 (例如 Microsoft Office 檔案中的註解) 會從主要檔案中永久移除。Google 文件、試算表和簡報中的註解會保留。
    • Google 會將移除的內容匯出至加密的匯出檔案。這些檔案位於與加密檔案相同位置的時間戳記資料夾中。
  • 金鑰包裝和刪除未加密資料：當檔案標記為加密時，雲端硬碟會產生資料加密金鑰 (DEK) 來加密檔案內容，並使用自動化系統包裝金鑰端點，將 DEK 傳送至 KACLS。Google 絕不會記錄或儲存未包裝的 DEK。原始未加密檔案資料會根據 Workspace 資料保留時間軸刪除。
  • 加密檔案的使用者體驗：使用者處理加密檔案時：
    • 檔案轉換為 Workspace CSE 格式時，會暫時鎖定，無法編輯。
    • 使用者在 Google 文件、試算表或簡報中開啟加密檔案時，會看到以下訊息：「管理員已為這個檔案套用額外加密。」使用者可以點選郵件中的連結，查看安全性限制。
    • 使用者可以預覽原生檔案、圖片和 PDF。所有其他檔案類型都不支援預覽。使用者必須選取「Download and decrypt」(下載並解密)，才能存取這些檔案。

事前準備

建立規則前，請確認貴組織符合下列規定：

  • 指派安全控管授權：貴機構必須加購安全控管或安全控管 Plus 方案。
  • 為雲端硬碟設定 Workspace CSE：在 Google 管理控制台中，使用識別資訊提供者 (IdP) 和 KACLS 設定用戶端加密。然後，針對規則中包含的組織單位或群組，開啟 Workspace CSE for Drive。
  • 確認金鑰服務支援自動加密：資料保護規則會在背景自動加密檔案，不需使用者操作，因此 KACLS 供應商必須支援 systemwrap 端點。請與金鑰服務供應商聯絡，確認是否支援並啟用 systemwrap。

建立資料保護規則來加密內容

提示：如要在加密內容前，先查看規則會影響多少檔案，請先建立僅限稽核的規則，但不選取動作。然後在規則記錄事件中查看相符的檔案。

  1. 在 Google 管理控制台中，依序點選「選單」圖示 接下來「安全性」接下來「存取權與資料控管」接下來「資料保護」。

    須具備「查看及管理資料遺失防護規則」的管理員權限。

  2. 依序按一下「管理規則」接下來「新增規則」接下來「建立新規則」。
  3. 在「名稱和應用程式」部分：
    1. 輸入規則名稱，並視需要填寫說明。
    2. 在「應用程式」部分，勾選「Google 雲端硬碟」方塊。
    3. 按一下「繼續」。
  4. 在「動作」部分：
    1. 在「Google 雲端硬碟」部分，選取「套用用戶端加密功能」。
    2. 查看潛在影響訊息。
    3. (選用) 如要在規則觸發時傳送通知，請在「Alerting」(快訊) 部分選取嚴重性等級，勾選「Alert center」(快訊中心) 方塊，然後輸入電子郵件收件者。
    4. 按一下「繼續」。
    5. 在「Acknowledgement of impact on data」(確認對資料的影響) 方塊中，詳閱揭露事項，然後按一下「I understand」(我瞭解)。
  5. 在「範圍和條件」部分：
    1. 在「範圍」部分，保留「<貴組織> 中所有人」，或選取「組織單位和/或群組」，將規則套用至已啟用安全控管授權和 Workspace CSE 的特定組織單位或配置群組。
    2. 在「內容條件」部分，按一下「新增條件」，然後選擇觸發加密條件，例如「所有內容」、「標題」或「雲端硬碟標籤」。您可以使用預先定義的偵測工具、字詞清單或規則運算式來比對內容。詳情請參閱「建立雲端硬碟資料遺失防護規則和自訂內容偵測工具」。
    3. 按一下「繼續」。
  6. 在「Review」(審查) 部分：
    1. 在「規則狀態」部分，選擇下列任一選項：
      • 如要立即強制執行規則，請選取「有效」。
      • 如要儲存規則並於日後執行，請選取「無效」。
    2. 按一下「建立」。

檔案掃描作業可能需要幾個小時、一天或更長的時間，實際所需時間取決於多種因素，包括檔案數量。詳情請參閱「雲端硬碟的資料遺失防護功能如何運作？」

在安全調查工具中調查規則執行情形

如要監控自動加密動作，請按照下列步驟操作：

  1. 在 Google 管理控制台中，依序點選「選單」圖示 接下來「安全性」選項 接下來「安全中心」接下來「調查工具」。

    必須擁有安全中心管理員權限。

  2. 在「資料來源」部分，選取「規則記錄事件」。
  3. 按一下「Add condition」(新增條件)，選取「Rule name」(規則名稱)，然後選擇您建立的規則。
  4. 按一下「搜尋」，然後查看結果：
    • 內容相符：表示檔案符合條件。
    • 套用加密內容異動：檔案加密後，會顯示「成功」。
  5. (選用) 如要查看檔案的稽核記錄，請將資料來源變更為「雲端硬碟記錄事件」，搜尋檔案，然後找出「DLP 規則」執行者的「加密」事件。

在快訊中心解決 KACLS 錯誤

如果 Google Workspace 無法連線至 KACLS，檔案會維持未加密狀態，您也會在快訊中心收到快訊：

  1. 在 Google 管理控制台中，依序點選「選單」圖示 接下來「安全性」接下來「快訊中心」。

    必須具備快訊中心管理員權限。

  2. 依序點選「新增篩選器」接下來「快訊類型」。
  3. 勾選「用戶端加密服務無法使用」方塊 接下來 按一下「套用」。
  4. 按一下快訊即可查看詳細資料：
    • 端點：顯示呼叫的 KACLS 網址，例如 https://kacls.example.com/systemwrap。
    • HTTP 狀態碼：顯示 KACLS 傳回的 HTTP 回應代碼，例如 401、403 或 500。

解決錯誤後重新掃描檔案

如果規則因網路問題、KACLS 停機或驗證設定錯誤而無法加密內容，請先解決問題，然後重新掃描檔案。重新掃描可能需要幾個小時、一天或更長的時間，實際所需時間取決於多種因素，包括檔案數量。

  1. 在 Google 管理控制台中，依序點選「選單」圖示 接下來「安全性」接下來「存取權與資料控管」接下來「資料保護」。

    須具備「查看及管理資料遺失防護規則」的管理員權限。

  2. 按一下「管理規則」，然後點選規則。
  3. 按一下「重新掃描用戶端加密」。
  4. 在確認方塊中，按一下「開始重新掃描」。
  5. 掃描完成後，請使用下列任一方法，確認檔案是否已加密：
    • 在規則的詳細資料頁面，按一下「調查」。
    • 在安全調查工具中，選取「Rule log events」(規則記錄事件) 做為資料來源，然後搜尋規則。
  6. 確認「Encryption change applied」(已套用加密設定變更) 事件的「Event status」(事件狀態) 顯示為「Succeeded」(成功)。