Правила Assured Controls для управления доступом и запросов на доступ

Чтобы использовать правила Assured Controls с одобрением доступа, вам понадобится дополнение Assured Controls или Assured Controls Plus для Google Workspace. Чтобы использовать это правило с управлением доступом, вам понадобится дополнение Assured Controls Plus для Google Workspace. За подробной информацией обратитесь к своему торговому представителю.

Как администратор, вы можете использовать правила настроек доступа и размещения, чтобы требовать от сотрудников Google получать одобрение или соответствовать требованиям к местоположению и учетным данным, прежде чем получать доступ к данным вашей организации. Создав правило, вы можете указать правила для данных на основе их ярлыков классификации. Вы можете использовать правила хранения данных, основанные на условиях, вместо того чтобы применять одно правило ко всей организации, отделу или команде.

Основные преимущества правил на основе условий

  • Целевая защита. С помощью ярлыков классификации вы можете применять правила только к тем данным, которые в этом нуждаются. Такой целевой подход защищает конфиденциальные данные, не замедляя без необходимости время разрешения проблем службой поддержки.
  • Централизованное управление. Вы можете одновременно применять защиту, обеспечиваемую как управлением доступом, так и одобрением доступа. Это позволяет синхронизировать настройки и обновлять правила в одном месте, что снижает вероятность ошибок по сравнению с управлением отдельными правилами. Подробнее об управлении доступом и об одобрении доступа…

Об области действия владельца ресурса

Правила защищают данные в зависимости от того, кто владеет ресурсом (аккаунт пользователя или общий диск), а не от того, кто к нему обращается. Если вы ограничите правило определенным отделом или группой, ограничения будут применяться строго к данным, принадлежащим пользователям или общим дискам в этом отделе или группе.

Создать правило

  1. В консоли администратора Google нажмите на значок меню > Правила > Создать правило > Настройки доступа и размещения.

    Для выполнения этого действия необходим аккаунт суперадминистратора.

  2. В разделе Выберите действия установите флажки:
    • Чтобы ограничить действия сотрудников Google в целях поддержки на основе их местоположения и учетных данных, установите флажок Применить правило управления доступом.
    • Чтобы сотрудники Google могли выполнять действия в целях поддержки только после одобрения администратора, установите флажок Применить правила одобрения доступа.
  3. Нажмите Далее.
  4. В разделе Настройка действий задайте настройки для выбранных правил:
    1. В разделе Применить правило управления доступом выберите, кто из сотрудников Google может выполнять действия с данными в целях поддержки:
      • Сотрудники Google, которые находятся в США
      • Сотрудники Google из США, соответствующие требованиям CJIS и IRS 1075
      • Сотрудники Google, которые находятся в Европе или, при необходимости, за ее пределами и используют виртуальный рабочий стол компьютера, размещенного в Европе
    2. Чтобы изменить способ разрешения конфликтов региональных правил, нажмите Изменить приоритет местоположения. Подробнее о том, как настроить приоритет местоположения для конфликтующих правил…
    3. В разделе Применить правило одобрения доступа ознакомьтесь с информацией о правиле. Дополнительной настройки не потребуется.
    4. В разделе Оповещения проверьте сведения об отслеживании. Чтобы получать уведомления в Центре оповещений при срабатывании этого правила, необходимо создать правило активности, используя события в журнале прозрачного доступа в качестве условия источника данных.
  5. Нажмите Далее.
  6. В разделе Условия укажите критерии, которым должны соответствовать данные, чтобы правило сработало:
    • Владелец ресурса – выберите Применить ко всей организации название организации или Указать организационные подразделения или группы, чтобы применить правило к определенным отделам или командам.
    • Контент – нажмите Добавить условие, выберите Ярлык классификации и укажите нужный ярлык атрибута.
      Примечание. Если вам нужно сначала создать ярлыки, ознакомьтесь со статьей Как начать работу с ярлыками классификации (для администраторов).
  7. Нажмите Далее.
  8. В разделе Проверка введите название и при необходимости описание.
  9. В поле Статус выберите Активно (или оставьте правило неактивным, если хотите сначала протестировать его и проверить журналы), а затем нажмите Сохранить правило.

Как автоматизировать применение ярлыков с помощью правил защиты данных

Вы можете использовать правила защиты данных, чтобы создавать и применять правила защиты от потери данных (DLP), которые автоматически обрабатывают ярлыки данных:

  1. Настройте правило защиты данных, чтобы сканировать данные на наличие конфиденциальной информации, например номеров банковских карт или налогоплательщиков, и автоматически применять определенный ярлык классификации при обнаружении совпадения. Подробнее о том, как автоматически применять ярлыки классификации для файлов Диска с помощью правил DLP…
  2. Настройте правило настроек доступа и размещения (следуя инструкциям выше на этой странице), чтобы отслеживать этот ярлык классификации.

После связывания правило защиты данных находит конфиденциальные данные, применяет ярлык, а правило настроек доступа и размещения ограничивает доступ сотрудников Google.

Разрешение конфликтов правил

Если вы примените правила к данным, на которые уже распространяются существующие правила для пользователей, может возникнуть конфликт настроек. В этом случае Google Workspace автоматически разрешает конфликт, используя следующий порядок приоритета:

  1. Правила настроек доступа и размещения переопределяют правила на основе пользователей. Если данные активируют правило настроек доступа и размещения, которое также регулируется правилом на основе пользователей, заданным для отдела или команды, приоритет имеет правило настроек доступа и размещения. Более широкие правила, основанные на пользователях, применяются, только если не срабатывают правила настроек доступа и размещения.
  2. Группы переопределяют отделы. Если владелец ресурса принадлежит к отделу и группе с конфликтующими правилами на уровне пользователя, приоритет имеют настройки группы.
  3. Более строгие правила управления доступом имеют приоритет. Если к одним и тем же данным применяются два разных правила, не имеющих конфликтующих географических границ, Google Workspace применяет более строгое ограничение. Например, правило, требующее наличия учетных данных CJIS и IRS 1075, переопределяет правило, требующее только стандартных учетных данных персонала США.
  4. Географические конфликты зависят от приоритета местоположения. Если одно правило требует, чтобы доступ к одним и тем же данным предоставлялся сотрудникам из США, а другое – сотрудникам из ЕС, система будет следовать глобальной настройке приоритета местоположения вашего домена.

Как настроить приоритет местоположения для конфликтующих правил

Чтобы выбрать, какой регион имеет приоритет, когда несколько правил применяют разные географические регионы через правила управления доступом:

  1. В консоли администратора Google нажмите на значок меню > Данные > Соблюдение нормативных требований > Управление доступом.

    Требуется дополнение "Расширенные настройки доступа и размещения".

    Для выполнения этого действия необходим аккаунт суперадминистратора.

  2. Нажмите Область действия на основе правил.
  3. В разделе Приоритет местоположения при конфликте между правилами настройки доступа и размещения выберите один из вариантов:
    • Приоритет правил США – правила США имеют приоритет над правилами ЕС, если к одному ресурсу применяются правила из разных стран.
    • Приоритет правил ЕС. Правила ЕС имеют приоритет над правилами США, если к одному ресурсу применяются правила из разных стран.
  4. Нажмите Сохранить.