Часто задаваемые вопросы о шифровании на стороне клиента

Сведения о стандартном шифровании, используемом Google, приведены на сайте Google Cloud.

Дополнительную информацию о стандартном шифровании в Gmail можно найти в статье Шифрование писем в Справочном центре Gmail.

При сквозном шифровании (E2EE) шифрование и расшифровка всегда выполняются на исходных и целевых устройствах, например на мобильных телефонах в случае обмена мгновенными сообщениями. Ключи шифрования создаются на стороне клиента, поэтому вы, как администратор, не можете управлять ключами и тем, кто их может использовать. Кроме того, вы не знаете, какой контент зашифровали пользователи.

При клиентском шифровании (CSE) шифрование и расшифровка также всегда выполняются на исходных и целевых устройствах, которыми в этом случае являются браузеры клиентов. Однако при этом клиенты используют ключи шифрования, которые генерируются облачным сервисом управления ключами и хранятся в нем, поэтому вы можете управлять ключами и доступом к ним. Например, вы можете отозвать доступ пользователя к ключам, даже если этот пользователь их создал. Кроме того, вы можете отслеживать зашифрованные файлы пользователей.

Пользователи могут включить шифрование на стороне клиента на поддерживаемых устройствах. Информация о том, как пользователи могут включить шифрование на стороне клиента в мобильных и веб-приложениях, приведена в статье Общие сведения об использовании шифрования на стороне клиента.

Да. Когда шифрование на стороне клиента включено, некоторые функции в сервисах Google недоступны. Подробная информация приведена в статье Общие сведения об использовании шифрования на стороне клиента.

Ключ шифрования используется для преобразования данных в нечитаемый формат, чтобы они казались случайными. Такой способ защиты сохраняет конфиденциальность данных. Чтобы прочитать зашифрованные данные, пользователю или приложению нужен ключ, с помощью которого их можно преобразовать в исходный формат.

Чтобы с помощью ключей шифрования добавить уровень защиты к данным Google Workspace организации, вам потребуется сервис управления ключами. Для сервиса управления ключами можно выбрать облачный модуль аппаратной безопасности (HSM) для Google Workspace или партнера Google. Вы также можете создать собственный сервис управления ключами, используя Workspace CSE API. Для Gmail вы также можете использовать аппаратные ключи шифрования на смарт-картах.

Google сотрудничает с несколькими сервисами управления ключами. Список сервисов приведен в статье Как настроить сервис управления ключами для клиентского шифрования.

Да, вы можете использовать Cloud HSM для Google Workspace в качестве сервиса управления ключами.

Да, вы можете использовать несколько сервисов управления ключами и выбирать, какой сервис использовать для того или иного организационного подразделения или группы. Кроме того, зашифрованный контент можно переносить из одного сервиса в другой.

Примечание. В консоли администратора можно настроить единый сервис управления ключами для шифрования на стороне клиента в Gmail. Другие способы управления ключами описаны в документации Google Workspace Client-side Encryption API .

Да. Если сотрудники организации используют смарт-карты для доступа к различным помещениям и системам, вы можете настроить аппаратные ключи для шифрования на стороне клиента в Gmail. Вам понадобится дополнение "Настройки доступа и размещения" или "Расширенные настройки доступа и размещения". Тогда пользователи смогут шифровать электронные письма с помощью смарт-карт, на которых хранится личный ключ шифрования. Подробнее о том, как настроить аппаратные ключи шифрования и управлять ими для клиентского шифрования (только Gmail).

Да. Вы можете настроить и сервис управления ключами, и аппаратные ключи для шифрования на стороне клиента в Gmail. Вам понадобится дополнение "Настройки доступа и размещения" или "Расширенные настройки доступа и размещения". Кроме того, можно назначить и сервис управления ключами, и аппаратные ключи одним и тем же пользователям. Однако пользователь должен выбрать для Gmail один тип шифрования в зависимости от того, как вы настроили его закрытый ключ для Gmail. Подробнее о том, как настроить сертификаты S/MIME для клиентского шифрования (только Gmail)…

Да, можно. В таком случае лучше всего перенести контент, зашифрованный с помощью текущего сервиса управления ключами, в новый сервис. Подробные сведения приведены в разделе Если вы хотите перейти на новый сервис управления ключами.

Для управления списком контроля доступа к ключам шифрования используется внешний сервис управления ключами. Список должен включать всех пользователей, которым нужно шифровать и расшифровывать (просматривать и изменять) контент. За дополнительной информацией обратитесь к поставщику услуг шифрования.

Кроме того, необходимо включить шифрование на стороне клиента для всех пользователей, которым требуется шифровать данные. Подробные сведения приведены в статье Как включить или отключить клиентское шифрование для пользователей.

Для Gmail, Google Диска и Google Календаря можно включить шифрование на стороне клиента по умолчанию для нужных организационных подразделений. Вам понадобится дополнение "Настройки доступа и размещения" или "Расширенные настройки доступа и размещения".

Если вы включите шифрование на стороне клиента по умолчанию, пользователи все равно смогут отключить его.

Подробные сведения приведены в статье Как включить или отключить клиентское шифрование для пользователей.

Вам не нужно отдельно настраивать шифрование на стороне клиента для общих дисков. Внешний сервис управления ключами, настроенный в консоли администратора, работает для файлов и в разделе "Мой диск", и на общих дисках.

Если у вас возникает проблема с настройкой шифрования на стороне клиента, ознакомьтесь с документом Как просматривать сведения об оповещении.

Да. Ознакомьтесь с информацией в статье Как перенести в Gmail сообщения в виде зашифрованных клиентских объектов.

Да. Узнайте, как предоставить внешний доступ к клиентскому зашифрованному контенту.

Файлы, зашифрованные на стороне клиента, можно перенести в новый сервис управления ключами. Подробные сведения приведены в разделе Если вы хотите перейти на новый сервис управления ключами.

Да. Вы можете удалить шифрование на стороне клиента из документа, таблицы или презентации Google. Подробнее о том, как удалить шифрование из документа…

Чтобы расшифровать зашифрованные на стороне клиента файлы, которые вы экспортировали с помощью инструмента "Экспорт данных" или Google Сейфа, можно использовать утилиту расшифровки с запуском из командной строки. Подробнее о том, как расшифровать экспортированные клиентские зашифрованные файлы.

Да. Если вы используете версию Google Workspace, в которой предоставляется Google Сейф, вы можете использовать возможности хранения, поиска и экспорта зашифрованных на стороне клиента файлов Диска и писем Gmail в Сейфе.

Файлы, зашифрованные на стороне клиента, можно искать по их метаданным, по их названию и владельцу. Нельзя выполнять поиск таких файлов по их содержанию и типу, а также открывать и скачивать их в режиме предварительного просмотра.

Подробную информацию можно найти в Справочном центре Google Сейфа.

• Для зашифрованного на стороне клиента основного контента в Google Документах и Презентациях локальные модели машинного обучения обеспечивают проверку правописания с сохранением конфиденциальности данных в документе.
• Проверку правописания в письмах Gmail и комментариях в Google Документах выполняет браузер.

  Если в вашей организации используется Google Chrome, убедитесь, что у пользователей шифрования на стороне клиента не включена расширенная проверка правописания – эта функция отправляет данные в Google. Для выполнения базовой проверки правописания в Chrome данные в Google не отправляются. Дополнительную информацию можно найти в статье Как включать и отключать проверку правописания в Chrome. Если вы используете управляемый браузер Chrome, то можете создать правила для пользователей шифрования на стороне клиента, согласно которым расширенная проверка правописания будет отключена, а базовая останется включенной. Подробнее о том, как настроить правила Chrome для пользователей или браузеров…

Да, вы можете преобразовать экспортированные и расшифрованные файлы Google Таблиц в файлы Microsoft Excel. Подробную информацию можно найти в статье Как преобразовать экспортированные и расшифрованные файлы Google в файлы Microsoft Office.

Зашифрованные на стороне клиента файлы и письма не сканируются на наличие таких угроз, как фишинг и вредоносное ПО, поскольку у серверов Google нет доступа к их содержимому.

У функции защиты от потери данных (DLP) нет доступа к содержимому файлов и писем, зашифрованных на стороне клиента. Однако вы можете создать правила DLP, чтобы:

• Сканировать незашифрованные метаданные файлов на Диске, например название файла и ярлыки Диска, что может помочь предотвратить утечку данных деликатного характера.
• Сканировать файлы на Диске, чтобы определить, являются ли они клиентскими зашифрованными, выбрав условие правила Статус шифрования файла > Равно > Клиентское шифрование или Не клиентское шифрование.

Подробнее о том, как создать правила и настраиваемые детекторы содержания в DLP для Диска…

Если вы переведете пользователей на лицензию Google Workspace, в которой клиентское шифрование не поддерживается, они по-прежнему смогут смотреть и редактировать зашифрованные объекты, такие как файлы и письма. Однако пользователи не смогут создавать новые объекты с клиентским шифрованием.

Чтобы расшифровать объекты, например файлы и письма, сначала экспортируйте их с помощью инструмента "Экспорт данных". Затем отключите шифрование на стороне клиента, используя утилиту decrypter.