Preguntas frecuentes sobre la encriptación del cliente

Para obtener detalles sobre la encriptación predeterminada de Google, visita el sitio de Google Cloud.

Para obtener más detalles sobre la encriptación estándar de Gmail, consulta Encriptación en tránsito en el Centro de ayuda de Gmail.

Con la encriptación de extremo a extremo (E2EE), la encriptación y la desencriptación siempre se producen en los dispositivos de origen y destino (como en los teléfonos celulares para la mensajería instantánea). Las claves de encriptación se generan en el cliente, por lo que, como administrador, no tienes control sobre las claves en los clientes ni sobre quién puede usarlas. Además, no tienes visibilidad sobre el contenido que encriptaron los usuarios.

Con la encriptación del cliente (CSE), la encriptación y la desencriptación también se realizan siempre en los dispositivos de origen y destino, que, en este caso, son los navegadores de los clientes. Sin embargo, con la CSE, los clientes usan claves de encriptación que se generan y almacenan en un servicio de administración de claves basado en la nube, por lo que puedes controlar las claves y quién tiene acceso a ellas. Por ejemplo, puedes revocar el acceso de un usuario a las claves, incluso si ese usuario las generó. Además, con la CSE, puedes supervisar los archivos encriptados de los usuarios.

Los usuarios pueden elegir una opción en los servicios compatibles para activar la CSE. Para obtener más información sobre cómo los usuarios pueden activar la CSE en las apps web y para dispositivos móviles, consulta Descripción general de la experiencia del usuario de la encriptación del cliente.

Sí, algunas funciones de los servicios de Google no están disponibles cuando la CSE está activada. Para obtener más información, consulta la descripción general de la experiencia del usuario de la encriptación del cliente.

Se usa una clave de encriptación para transformar los datos en un formato no legible, de modo que parezcan aleatorios. Esto mantiene la privacidad de los datos frente a cualquier persona o elemento que no tenga aprobación para leerlos. Para leer datos encriptados, una persona o aplicación necesita una clave que convierta los datos de vuelta a su formato original.

Para usar claves de encriptación y agregar una capa de encriptación a los datos de Google Workspace de tu organización, debes usar un servicio de administración de claves. Para tu servicio de administración de claves, puedes elegir Cloud Hardware Security Module (HSM) para Google Workspace o un socio de Google. También puedes crear tu propio servicio de claves con la API de CSE de Workspace. Como alternativa, solo para Gmail, puedes usar la encriptación con claves de hardware, en la que la clave de encriptación de un usuario reside en una tarjeta inteligente.

Google se asoció con varios servicios de administración de claves para usarlos con la CSE. Para obtener una lista de servicios, consulta Configura tu servicio de claves para la encriptación del cliente.

Sí, puedes usar Cloud HSM para Google Workspace como tu servicio de administración de claves.

Sí, puedes usar más de un servicio de claves y elegir cuál usar para una unidad organizativa o un grupo. También puedes migrar contenido encriptado de un servicio a otro.

Nota: En la Consola del administrador, puedes configurar un solo servicio de claves para la encriptación del cliente de Gmail. Obtén más información sobre otras opciones para administrar claves en la API de encriptación del cliente de Google Workspace .

Sí, si tu organización usa tarjetas inteligentes para acceder a instalaciones y sistemas, puedes configurar la encriptación de claves de hardware para la CSE de Gmail. Se requiere el complemento de Assured Controls o Assured Controls Plus. Los usuarios pueden usar sus tarjetas inteligentes, que contienen su clave de encriptación privada, para encriptar sus mensajes de correo electrónico. Para obtener más información, consulta Solo Gmail: Configura y administra la encriptación con claves de hardware para la encriptación del cliente.

Sí, puedes configurar un servicio de claves y claves de encriptación de hardware para la CSE de Gmail. Se requiere el complemento de Assured Controls o Assured Controls Plus. También asignas el servicio de claves y la encriptación de claves de hardware a los mismos usuarios. Sin embargo, un usuario solo puede usar un tipo de encriptación para Gmail, que depende de cómo configures su clave de encriptación privada para Gmail. Para obtener más información, consulta Solo Gmail: Configura certificados S/MIME para la encriptación del cliente.

Sí, puedes cambiar a un servicio de claves diferente. Si lo haces, se recomienda migrar el contenido encriptado con tu servicio de claves actual al servicio nuevo. Para obtener más información, consulta Si quieres cambiar a un servicio de claves nuevo.

Administras la lista de control de acceso (LCA) de las claves de encriptación a través de tu servicio de claves externo. La LCA debe incluir a todos los usuarios que necesiten encriptar o desencriptar (ver o editar) contenido. Comunícate con tu proveedor de encriptación para obtener más información.

Además, debes activar la CSE para los usuarios que necesiten encriptar datos. Para obtener más información, consulta Activa o desactiva la encriptación del cliente para los usuarios.

En el caso de Gmail, Google Drive y Calendario de Google, puedes especificar que la CSE esté activada de forma predeterminada para unidades organizativas específicas. Se requiere el complemento de Assured Controls o Assured Controls Plus.

Si especificas que la CSE esté activada de forma predeterminada, los usuarios podrán desactivarla si es necesario.

Para obtener más detalles, consulta Activa o desactiva la encriptación del cliente para los usuarios.

No es necesario que configures la CSE específicamente para las unidades compartidas. El servicio de claves externo que configures en la Consola del administrador funciona para los archivos de Mi unidad y de las unidades compartidas.

Si tienes un problema con la configuración de la CSE, ve a Ver detalles de la alerta para obtener más información.

Sí. Consulta Cómo migrar mensajes a Gmail como correos electrónicos con encriptación del cliente.

Sí. Consulta Cómo proporcionar acceso externo al contenido con encriptación del cliente.

Puedes migrar archivos con encriptación del cliente a un nuevo servicio de claves. Para obtener más información, consulta Si quieres cambiar a un servicio de claves nuevo.

Sí, puedes quitar la encriptación del cliente de un documento, una hoja de cálculo o una presentación de Google. Para obtener más información, consulta Cómo quitar la encriptación de un documento.

Para desencriptar los archivos con CSE que exportes con la herramienta de exportación de datos o Google Vault, puedes usar el desencriptador, una utilidad de línea de comandos. Para obtener más detalles, consulta Cómo desencriptar archivos exportados con encriptación del cliente.

Sí, si tu edición de Google Workspace incluye Google Vault, puedes conservar, buscar y exportar archivos de Drive y correos electrónicos de Gmail con encriptación del cliente en Vault.

Puedes buscar archivos encriptados del cliente por sus metadatos, como el título y el propietario. Sin embargo, no puedes buscar su contenido, buscar por tipo de archivo, obtener una vista previa del contenido ni descargarlo desde la vista previa.

Para obtener más detalles, visita el Centro de ayuda de Google Vault.

• En el caso del contenido del cuerpo encriptado del cliente en Documentos de Google y Presentaciones, los modelos de aprendizaje automático integrados en el dispositivo proporcionan la funcionalidad de corrección ortográfica, que preserva la confidencialidad de los datos del documento.
• En Gmail y los comentarios de Documentos de Google, el navegador proporciona la función de corrección ortográfica.

  Si tu organización usa Google Chrome: Asegúrate de que los usuarios de CSE no usen la Corrección ortográfica mejorada de Chrome, ya que esta opción envía datos a Google. En cambio, los usuarios de CSE pueden usar el corrector ortográfico básico de Chrome, que no envía datos a Google. Para obtener más información, consulta Cómo activar o desactivar el corrector ortográfico de Chrome. Si usas el navegador Chrome administrado, puedes crear una política para inhabilitar el corrector ortográfico para los usuarios de CSE, lo que desactiva el corrector ortográfico mejorado, pero no el corrector ortográfico básico. Para averiguar más detalles, consulta Establece políticas de Chrome para usuarios o navegadores.

Sí, puedes convertir los archivos de Hojas de cálculo de Google exportados y desencriptados en archivos de Microsoft Excel. Para obtener más detalles, consulta Cómo convertir archivos de Google exportados y desencriptados en archivos de Microsoft Office.

Los archivos y correos electrónicos encriptados del cliente no se analizan en busca de phishing ni software malicioso, ya que los servidores de Google no tienen acceso al contenido.

Los análisis de Prevención de pérdida de datos (DLP) no pueden acceder al contenido encriptado del cliente en archivos o correos electrónicos. Sin embargo, puedes crear reglas de DLP para lo siguiente:

• Analiza los metadatos sin encriptar de los archivos de Drive, como el título y las etiquetas de Drive, para evitar filtraciones de datos sensibles.
• Analiza los archivos de Drive para determinar si están encriptados del cliente o no. Para ello, elige la condición de la regla Estado de encriptación del archivo > Es > Encriptado del cliente o No encriptado del cliente.

Para obtener detalles sobre cómo crear reglas de DLP para Drive, consulta Crea reglas y detectores de contenido personalizados de DLP para Drive.

Si cambias a los usuarios a una licencia de Google Workspace que no incluye la CSE, estos podrán seguir accediendo a los elementos encriptados del cliente, como archivos y correos electrónicos, y editarlos. Sin embargo, no podrán crear elementos nuevos con encriptación del cliente.

Si quieres dejar de usar la CSE y desencriptar elementos como archivos y correos electrónicos, primero debes exportarlos con la herramienta de exportación de datos. Luego, usa la utilidad de desencriptación para quitar la CSE.