Kombinera dataskyddsregler med kontextkänsliga åtkomstvillkor

Utgåvor som stöds för den här funktionen: Frontline Standard och Frontline Plus, Enterprise Standard och Enterprise Plus, Education Standard och Education Plus, Enterprise Essentials Plus. Jämför utgåvor

Om du vill ha ökad kontroll över vilka användare och enheter som kan överföra känsligt innehåll kan du kombinera regler för dataskydd för förebyggande av dataförlust (DLP) med kontextkänsliga åtkomstvillkor. När du lägger till ett kontextkänsligt åtkomstvillkor, till exempel användarplats, enhetens säkerhetsstatus eller IP-adress, i en dataskyddsregel tillämpas regeln enbart om kontextvillkoren uppfylls.

Användningsfall

Genom att kombinera dataskyddsregler och kontextkänsliga åtkomstvillkor kan du styra

  • Webbläsaren Chrome – till exempel att ladda upp och bifoga filer, ladda upp och klistra in webbinnehåll, ladda ned och skriva ut.
  • Google Drive – ladda ned, skriva ut och kopiera Drive-filer. Kontextkänsliga åtkomstvillkor är endast tillgängliga för Google Drive med åtgärden Inaktivera nedladdning, utskrift och kopiering.

Innan du börjar

Innan du kombinerar dataskyddsregler med kontextkänsliga åtkomstvillkor måste du uppfylla kraven i följande tabell.

Google Workspace-tillägg

(Krävs av DLP för Chrome, men inte av DLP för Drive)
Version av webbläsaren Chrome

Version 105 eller senare

I tidigare Chrome-versioner ignoreras kontextvillkor. Regler fungerar som om endast innehållsvillkor har angetts.

(Krävs av DLP för Chrome, men inte av DLP för Drive)
Verifiering av slutpunkt

För stationära enheter måste du aktivera slutpunktsverifiering för att tillämpa enhets- eller enhetsoperativsystembaserade kontextvillkor.

(Krävs inte för attribut som inte är enhetsbaserade, till exempel IP-adress, region och webbläsarhanteringsstatus)
Mobilhantering

Grundläggande eller avancerad hantering måste tillämpas för mobila enheter.

(Krävs inte för attribut som inte är enhetsbaserade, till exempel IP-adress, region och webbläsarhanteringsstatus)
Administratörsbehörigheter för åtkomstnivåer

Om du vill skapa åtkomstnivåer måste du ha behörigheten Hantering av åtkomstnivå. Om du vill använda åtkomstnivåer i dataskyddsregler måste du ha behörigheten Åtkomstnivåhantering eller Regelhantering.

Mer information finns i Datasäkerhet.

Steg 1: Konfigurera webbläsaren Chrome för tillämpning av regler

Om du vill integrera DLP-funktioner med webbläsaren Chrome måste du konfigurera policyer för Chrome Enterprise Connector.

Steg 2: Skapa en dataskyddsregel med kontextkänsliga åtkomstvillkor

Innan du börjar: Det här är allmänna anvisningar som visar hur du skapar en dataskyddsregel med kontextkänsliga åtkomstvillkor. Du kan skapa en åtkomstnivå innan du skapar en dataskyddsregel eller när du skapar regeln. I de här stegen skapas åtkomstnivån först, innan resten av stegen.

  1. Skapa en ny åtkomstnivå med lämpliga villkor. Anvisningar finns i Skapa en åtkomstnivå. Du kan tilldela en enskild åtkomstnivå till en dataskyddsregel.
  2. Skapa en ny dataskyddsregel från grunden eller med hjälp av en fördefinierad mall. Mer information om stegen finns i Skapa dataskyddsregler.
  3. Detaljerade exempel finns i Exempel på DLP- och kontextkänsliga åtkomstregler (längre ned på den här sidan).
Det kan ta upp till 24 timmar att införa ändringar, men det går oftast snabbare. Läs mer

Exempel på DLP- och kontextkänsliga åtkomstregler

Följande exempel visar hur du kan kombinera dataskyddsregler med kontextkänsliga åtkomstnivåer för att tillämpa regler som beror på en användares IP-adress, plats eller enhetsstatus.

Exempel 1: Blockera nedladdningar på enheter utanför företagsnätverket (webbläsaren Chrome)

Du behöver Chrome Enterprise Premium för att skapa regler för webbläsaren Chrome.

  1. Öppna menyn i Googles administratörskonsol följt av Regler följt av Skapa regel följt av Dataskydd.

    Kräver att du har behörigheterna Visa och Hantera DLP-regel eller, för Chrome-webbläsaren eller ChromeOS, behörigheterna Visa och Hantera Chrome DLP-regel.

  2. Ange ett namn och (valfritt) en beskrivning för regeln.
  3. Markera rutan Fil nedladdad för Chrome i avsnittet Appar.
  4. Klicka på Fortsätt.
  5. Välj Blockera i avsnittet Åtgärder under Chrome.
  6. (Valfritt) Om du vill ange hur incidenter ska visas i DLP-incidentöversikten väljer du en allvarlighetsgrad (Låg, Medel, Hög) i avsnittet Varningar.
  7. (Valfritt) Om du vill aktivera aviseringar i varningscentret markerar du rutan Varningscenter. Om du vill skicka en avisering till administratörer markerar du rutan Alla avancerade administratörer eller lägger till mottagarnas e-postadresser.
  8. Klicka på Fortsätt.
  9. Välj ett alternativ för Omfattning:
    • Om du vill tillämpa regeln på hela organisationen väljer du Alla på domain.name.
    • Om du vill tillämpa regeln på specifika organisationsenheter eller grupper väljer du Organisationsenheter och/eller grupper och inkluderar eller utesluter organisationsenheterna och grupperna.

    Om det finns en konflikt mellan organisationsenheter och grupper när det gäller inkludering eller uteslutning har gruppen företräde.

  10. Klicka på Lägg till villkor i avsnittet Innehållsvillkor och konfigurera sedan villkoret enligt följande:
  11. Klicka på Välj en åtkomstnivå för Kontextvillkor.
    Om du redan har skapat en lämplig åtkomstnivå väljer du åtkomstnivån i avsnittet Kontextvillkor och fortsätter till steg 19.
  12. Klicka på Skapa ny åtkomstnivå.
  13. Ange ett namn (till exempel Utanför företagsnätverket) och eventuellt en beskrivning.
  14. Klicka på Lägg till villkor i avsnittet Kontextvillkor.
  15. Välj Uppfyller inte 1 eller flera attribut (OR).
  16. Klicka på Välj attribut följt av IP-subnät (offentligt) och ange IP-adressen för företagsnätverket. Adressen ska vara en IPv4- eller IPv6-adress eller ett ruttprefix i CIDR-blockformat.
    • Privata IP-adresser stöds inte (inklusive användarnas hemnätverk).
    • Statiska IP-adresser stöds.
    • Om du vill använda en dynamisk IP-adress måste du definiera ett statiskt IP-delnät för åtkomstnivån. Om du känner till intervallet för den dynamiska IP-adressen och den definierade statiska IP-adressen i åtkomstnivån täcker detta intervall, är kontextvillkoret uppfyllt. Om den dynamiska IP-adressen inte finns i det definierade statiska IP-delnätet uppfylls inte kontextvillkoret.
  17. Klicka på Skapa. Du kommer tillbaka till sidan Skapa regel. Den nya åtkomstnivån och dess attribut läggs till i listan.
  18. Klicka på Fortsätt och granska regelinformationen.
  19. Välj ett alternativ för Regelstatus:
    • Aktiv – regeln körs omedelbart.
    • Inaktiv – din regel finns men är inte aktiv. Det ger dig tid att granska regeln och dela den med teammedlemmar innan du implementerar den. Aktivera regeln senare genom att öppna Säkerhet följt av Åtkomst och datakontroll följt av Dataskydd följt av Hantera regler. Klicka på statusen Inaktiv för regeln och välj Aktiv. Regeln körs när du har aktiverat den och DLP söker efter känsligt innehåll.
  20. Klicka på Skapa.
Det kan ta upp till 24 timmar att införa ändringar, men det går oftast snabbare. Läs mer

Exempel 2: Blockera nedladdningar för användare som loggar in från specifika länder (webbläsaren Chrome)

Du behöver Chrome Enterprise Premium för att skapa regler för webbläsaren Chrome.

  1. Öppna menyn i Googles administratörskonsol följt av Regler följt av Skapa regel följt av Dataskydd.

    Kräver att du har behörigheterna Visa och Hantera DLP-regel eller, för Chrome-webbläsaren eller ChromeOS, behörigheterna Visa och Hantera Chrome DLP-regel.

  2. Ange ett namn och (valfritt) en beskrivning för regeln.
  3. Markera rutan Fil nedladdad för Chrome i avsnittet Appar.
  4. Klicka på Fortsätt.
  5. Välj Blockera i avsnittet Åtgärder under Chrome.
  6. (Valfritt) Om du vill ange hur incidenter ska visas i DLP-incidentöversikten väljer du en allvarlighetsgrad (Låg, Medel, Hög) i avsnittet Varningar.
  7. (Valfritt) Om du vill aktivera aviseringar i varningscentret markerar du rutan Varningscenter. Om du vill skicka en avisering till administratörer markerar du rutan Alla avancerade administratörer eller lägger till mottagarnas e-postadresser.
  8. Klicka på Fortsätt.
  9. Välj ett alternativ för Omfattning:
    • Om du vill tillämpa regeln på hela organisationen väljer du Alla på domain.name.
    • Om du vill tillämpa regeln på specifika organisationsenheter eller grupper väljer du Organisationsenheter och/eller grupper och inkluderar eller utesluter organisationsenheterna och grupperna.

    Om det finns en konflikt mellan organisationsenheter och grupper när det gäller inkludering eller uteslutning har gruppen företräde.

  10. Klicka på Lägg till villkor i avsnittet Innehållsvillkor och konfigurera sedan villkoret enligt följande:
  11. Klicka på Välj en åtkomstnivå i avsnittet Kontextvillkor.

    Om du redan har skapat en lämplig åtkomstnivå väljer du åtkomstnivån i avsnittet Kontextvillkor och fortsätter till steg 20.

  12. Klicka på Skapa ny åtkomstnivå.
  13. Ange ett namn (till exempel I Kina) och eventuellt en beskrivning.
  14. Klicka på Lägg till villkor i avsnittet Kontextvillkor.
  15. Välj Uppfyller alla attribut (AND).
  16. Klicka på Välj attribut följt av Plats och välj sedan ett land på listan.
  17. (Valfritt) Om du vill lägga till ytterligare länder och tillämpa regeln på användare som loggar in från dem gör du följande:
    1. Klicka på Lägg till villkor och välj Uppfyller alla attribut (AND).
    2. Ställ in Kombinera flera villkor med på ELLER högst upp i Villkor.
  18. Klicka på Skapa. Du kommer tillbaka till sidan Skapa regel. Den nya åtkomstnivån och dess attribut läggs till i listan.
  19. Klicka på Fortsätt och granska regelinformationen.
  20. Välj ett alternativ för Regelstatus:
    • Aktiv – regeln körs omedelbart.
    • Inaktiv – din regel finns men är inte aktiv. Det ger dig tid att granska regeln och dela den med teammedlemmar innan du implementerar den. Aktivera regeln senare genom att öppna Säkerhet följt av Åtkomst och datakontroll följt av Dataskydd följt av Hantera regler. Klicka på statusen Inaktiv för regeln och välj Aktiv. Regeln körs när du har aktiverat den och DLP söker efter känsligt innehåll.
  21. Klicka på Skapa.
Det kan ta upp till 24 timmar att införa ändringar, men det går oftast snabbare. Läs mer

Exempel 3: Blockera nedladdningar på enheter som inte är godkända av administratören (Drive)

  1. Öppna menyn i Googles administratörskonsol följt av Regler följt av Skapa regel följt av Dataskydd.

    Kräver att du har behörigheterna Visa och Hantera DLP-regel eller, för Chrome-webbläsaren eller ChromeOS, behörigheterna Visa och Hantera Chrome DLP-regel.

  2. Ange ett namn och (valfritt) en beskrivning för regeln.
  3. Markera rutan Drive-filer för Google Drive i avsnittet Appar.
  4. Klicka på Fortsätt.
  5. Välj Inaktivera nedladdning, utskrift och kopiering följt av Endast för kommentatorer och läsbehöriga för Google Drive i avsnittet Åtgärder.

    Mer information om den här åtgärden finns i Förhindra att användare laddar ned, skriver ut eller kopierar filer.

  6. (Valfritt) Om du vill ange hur incidenter ska visas i DLP-incidentöversikten väljer du en allvarlighetsgrad (Låg, Medel, Hög) i avsnittet Varningar.
  7. (Valfritt) Om du vill aktivera aviseringar i varningscentret markerar du rutan Varningscenter. Om du vill skicka en avisering till administratörer markerar du rutan Alla avancerade administratörer eller lägger till mottagarnas e-postadresser.
  8. Klicka på Fortsätt.
  9. Välj ett alternativ för Omfattning:
    • Om du vill tillämpa regeln på hela organisationen väljer du Alla på domain.name.
    • Om du vill tillämpa regeln på specifika organisationsenheter eller grupper väljer du Organisationsenheter och/eller grupper och inkluderar eller utesluter organisationsenheterna och grupperna.

    Om det finns en konflikt mellan organisationsenheter och grupper när det gäller inkludering eller uteslutning har gruppen företräde.

  10. Klicka på Lägg till villkor i avsnittet Innehållsvillkor och konfigurera sedan villkoret enligt följande:
    • Välj Allt innehåll för Innehållstyp att skanna.
    • För Vad skanningen ska göras efter väljer du en DLP-skanningstyp och väljer attribut. Mer information om tillgängliga attribut finns i Skapa DLP för Drive-regler.
  11. Klicka på Välj en åtkomstnivå i avsnittet Kontextvillkor.
  12. Om du redan har skapat en lämplig åtkomstnivå väljer du den i avsnittet Kontextvillkor och fortsätter till steg 17.
  13. Klicka på Skapa ny åtkomstnivå.
  14. Ange ett namn (till exempel Ej godkänd enhet) och eventuellt en beskrivning.
  15. Klicka på Lägg till villkor i avsnittet Kontextvillkor och konfigurera villkoret enligt följande:
    • Välj Uppfyller inte 1 eller flera attribut (OR).
    • Klicka på Välj attribut följt av Enhet följt av Godkänd av administratör.
  16. Klicka på Skapa. Du kommer tillbaka till sidan Skapa regel. Den nya åtkomstnivån och dess attribut läggs till i listan.
  17. Klicka på Fortsätt och granska regelinformationen.
  18. Välj ett alternativ för Regelstatus:
    • Aktiv – regeln körs omedelbart.
    • Inaktiv – din regel finns men är inte aktiv. Det ger dig tid att granska regeln och dela den med teammedlemmar innan du implementerar den. Aktivera regeln senare genom att öppna Säkerhet följt av Åtkomst och datakontroll följt av Dataskydd följt av Hantera regler. Klicka på statusen Inaktiv för regeln och välj Aktiv. Regeln körs när du har aktiverat den och DLP söker efter känsligt innehåll.
  19. Klicka på Skapa.
Det kan ta upp till 24 timmar att införa ändringar, men det går oftast snabbare. Läs mer

Exempel 4: Blockera navigering till ”salesforce.com/admin” på ohanterade enheter (webbläsaren Chrome)

I det här exemplet blockeras användaren om hen försöker navigera till Salesforce-administratörskonsolen (salesforce.com/admin) med en ohanterad enhet. Användarna kan fortfarande komma åt andra delar av Salesforce-programmet.

Du behöver Chrome Enterprise Premium för att skapa regler för webbläsaren Chrome.

  1. Öppna menyn i Googles administratörskonsol följt av Regler följt av Skapa regel följt av Dataskydd.

    Kräver att du har behörigheterna Visa och Hantera DLP-regel eller, för Chrome-webbläsaren eller ChromeOS, behörigheterna Visa och Hantera Chrome DLP-regel.

  2. Ange ett namn och (valfritt) en beskrivning för regeln.
  3. Klicka på rutan Besökt webbadress för Chrome i avsnittet Appar.
  4. (Valfritt) Om du vill ange hur incidenter ska visas i DLP-incidentöversikten väljer du en allvarlighetsgrad (Låg, Medel, Hög) i avsnittet Varningar.
  5. (Valfritt) Om du vill aktivera aviseringar i varningscentret markerar du rutan Varningscenter. Om du vill skicka en avisering till administratörer markerar du rutan Alla avancerade administratörer eller lägger till mottagarnas e-postadresser.
  6. Klicka på Fortsätt.
  7. Välj Blockera i avsnittet Åtgärder under Chrome.
  8. Klicka på Fortsätt.
  9. Välj ett alternativ för Omfattning:
    • Om du vill tillämpa regeln på hela organisationen väljer du Alla på domain.name.
    • Om du vill tillämpa regeln på specifika organisationsenheter eller grupper väljer du Organisationsenheter och/eller grupper och inkluderar eller utesluter organisationsenheterna och grupperna.

    Om det finns en konflikt mellan organisationsenheter och grupper när det gäller inkludering eller uteslutning har gruppen företräde.

  10. Klicka på Lägg till villkor i avsnittet Innehållsvillkor och konfigurera villkoret enligt följande:
    • Välj Webbadress för Innehållstyp att skanna.
    • Välj Innehåller textsträng för Vad skanningen ska göras efter.
    • För Innehåll som ska matcha anger du salesforce.com/admin.
  11. Klicka på Välj en åtkomstnivå i avsnittet Kontextvillkor.
    Om du redan har skapat en lämplig åtkomstnivå väljer du åtkomstnivån i avsnittet Kontextvillkor och fortsätter till steg 17.
  12. Klicka på Skapa ny åtkomstnivå.
  13. Ange ett namn (till exempel Salesforce-administratör) och eventuellt en beskrivning.
  14. Klicka på fliken Avancerat i avsnittet Kontextvillkor.
  15. Ange följande i textrutan:
    device.chrome.management_state != ChromeManagementState.CHROME_MANAGEMENT_STATE_BROWSER_MANAGED
  16. Klicka på Skapa. Du kommer tillbaka till sidan Skapa regel. Den nya åtkomstnivån och dess attribut läggs till i listan.
  17. Klicka på Fortsätt och granska regelinformationen.
  18. Välj ett alternativ för Regelstatus:
    • Aktiv – regeln körs omedelbart.
    • Inaktiv – din regel finns men är inte aktiv. Det ger dig tid att granska regeln och dela den med teammedlemmar innan du implementerar den. Aktivera regeln senare genom att öppna Säkerhet följt av Åtkomst och datakontroll följt av Dataskydd följt av Hantera regler. Klicka på statusen Inaktiv för regeln och välj Aktiv. Regeln körs när du har aktiverat den och DLP söker efter känsligt innehåll.
  19. Klicka på Skapa.
Det kan ta upp till 24 timmar att införa ändringar, men det går oftast snabbare. Läs mer

Obs! Om en webbadress som du filtrerar bort nyligen har besökts cachelagras den i flera minuter och kanske inte filtreras av en ny (eller ändrad) regel förrän dess cache har rensats. Vänta cirka fem minuter innan du testar en ny eller ändrad regel.

Vanliga frågor

Fungerar regler för hanterade webbläsare i inkognitoläget?

Nej. Regler gäller inte i inkognitoläget. Administratörer kan förhindra inloggning till Workspace- eller SaaS-appar från Chromes inkognitoläge genom att tillämpa kontextkänslig åtkomst vid inloggning.

Måste hanterade webbläsare och hanterade användare finnas i samma företag för att en regel ska tillämpas?

Om användaren av den hanterade webbläsaren och den hanterade profilen tillhör samma företag tillämpas både dataskyddsregler på webbläsarnivå och dataskyddsregler på användarnivå.

Om användaren av den hanterade webbläsaren och den hanterade profilen tillhör olika företag tillämpas endast dataskyddsreglerna på webbläsarnivå. kontextvillkoret betraktas alltid som en matchning och det striktaste resultatet tillämpas. IP-baserade eller regionbaserade förhållanden påverkas inte.

Stöder administratörskonsolen och Google Cloud Console samma åtkomstnivåer?

Kontextkänslig åtkomst i administratörskonsolen har inte stöd för alla attribut som stöds av Google Cloud Console. Därför kan alla grundläggande åtkomstnivåer som skapas i Google Cloud Console och som innehåller dessa attribut tilldelas i administratörskonsolen, men de kan inte redigeras där.

På sidan Regler i administratörskonsolen kan du tilldela åtkomstnivåer som har skapats i Google Cloud Console, men du kan inte se information om villkor för åtkomstnivåer med attribut som inte stöds.

Varför ser jag inte kortet med kontextvillkor när jag skapar en regel?

  • Se till att du har administratörsbehörigheten Tjänster > Datasäkerhet > Hantering av åtkomstnivå, som krävs för att visa kontextvillkor när du skapar en dataskyddsregel.
  • Se till att du har valt antingen Google Chrome eller Google Drive med åtgärden Inaktivera nedladdning, utskrift och kopiering i regeln. Kontrollera att du inte har valt användaråtgärderna för Gmail eller Chat.

Vad händer om en tilldelad åtkomstnivå raderas?

Om en tilldelad åtkomstnivå tas bort är kontextvillkoren som standard sant och regeln fungerar som en regel för enbart innehåll. Observera att regeln då gäller fler enheter och användningsfall än du ursprungligen avsåg.

Måste kontextkänslig åtkomst aktiveras för att kontextvillkoren ska fungera i regler?

Nej. Utvärderingen av åtkomstnivåer i regler är oberoende av inställningarna för kontextkänslig åtkomst. Aktivering och tilldelning av kontextkänslig åtkomst ska inte påverka regler.

Vad händer om regelvillkoret är tomt?

Tomma villkor utvärderas som sanna som standard. Det innebär att innehållsvillkoren kan lämnas tomma för en regel som endast gäller kontextkänslig åtkomst. Observera att regeln alltid aktiveras om både innehålls- och kontextvillkor lämnas tomma.

Utlöses en regel om bara ett av villkoren är uppfyllt?

Nej. Regeln aktiveras endast när både innehålls- och kontextvillkor är uppfyllda.

Varför ser jag logghändelser som säger att DLP inte tillämpades?

Både DLP och kontextkänslig åtkomst förlitar sig på bakgrundstjänster som kan avbrytas med jämna mellanrum. Om ett avbrott i tjänsten inträffar under tillämpningen av regeln tillämpas regeln inte. När detta händer loggas en händelse i både Logghändelser för regler och Logghändelser för Chrome.

Hur fungerar sammanhangsvillkor när verifiering av ändpunkt inte har installerats?

För enhetsbaserade attribut betraktas kontextvillkoren som en matchning och det striktaste resultatet tillämpas. För attribut som inte är enhetsbaserade (till exempel IP-adress och region) sker ingen ändring.

Kan jag se information om åtkomstnivåer för utlösta regler i verktyget för säkerhetsutredningar?

Ja. Du kan se information om åtkomstnivå genom att söka efter Regellogghändelser eller Logghändelser för Chrome i kolumnen Åtkomstnivå i sökresultaten.

Går det att vidta åtgärder för användare för kontextvillkor i regler?

Nej. Det går inte att åtgärda användare i dessa flöden ännu.


Google, Google Workspace och tillhörande märken och logotyper är varumärken som tillhör Google LLC. Alla andra företags- och produktnamn är varumärken som tillhör de företag som de är kopplade till.