Как комбинировать правила защиты данных с условиями контекстно-зависимого доступа

Чтобы создавать правила для браузера Chrome, необходима версия Chrome Enterprise Premium.

1. В консоли администратора Google нажмите на значок меню Правила Создать правило Защита данных.

   Перейти в раздел "Защита данных"

   У вас должны быть права на просмотр правил DLP и управление ими или, если вы используете браузер Chrome или ChromeOS, просмотр правил DLP в Chrome и управление ими.

2. Введите название и (если необходимо) описание правила.
3. В разделе Приложения установите для Chrome флажок Файл скачан.
4. Нажмите Продолжить.
5. В разделе Действия для Chrome выберите Заблокировать.
6. Чтобы указать, как инциденты будут представлены на панели управления инцидентами в DLP, в разделе Оповещения выберите степень серьезности (Низкая, Средняя, Высокая).
7. Если нужно включить уведомления в Центре оповещений, установите флажок Центр оповещений. Чтобы отправлять уведомления администраторам, установите флажок Все суперадминистраторы или добавьте адреса электронной почты получателей.
8. Нажмите Продолжить.
9. В поле Область действия выберите один из вариантов:
   • Чтобы применить правило ко всей организации, выберите Все в домене domain.name.
   • Чтобы применить правило к определенным организационным подразделениям или группам, выберите Организационные подразделения и/или группы и включите в область действия или исключите из нее организационные подразделения и группы.

   Если при включении организационных подразделений и групп в область действия или их исключении из нее возникает конфликт, группы имеют приоритет.

10. В разделе Условия для контента нажмите Добавить условие, а затем:
    • Для параметра Тип контента, который нужно сканировать выберите значение Весь контент.
    • В качестве значения параметра Что искать выберите тип сканирования защиты от потери данных и его атрибуты.
      Дополнительная информация о доступных атрибутах приведена в статье Как интегрировать DLP с Chrome с помощью Chrome Enterprise Premium.
11. В разделе Контекстные условия нажмите Выбрать уровень доступа.
    Если вы уже создали нужный уровень доступа, в разделе Контекстные условия выберите этот уровень доступа и перейдите к шагу 19.
12. Нажмите Создать уровень доступа.
13. Введите название (например, "Вне корпоративной сети") и при необходимости описание.
14. В разделе Контекстные условия нажмите Добавить условие.
15. Выберите Не соответствует одному или нескольким атрибутам (ИЛИ).
16. Нажмите Выбрать атрибут IP-подсеть (общедоступная) и введите IP-адрес сети вашей компании. Используйте адрес по стандарту IPv4 или IPv6 либо префикс маршрутизации в формате блока CIDR.
    • Личные IP-адреса, в том числе адреса домашних сетей пользователей, не поддерживаются.
    • Статические IP-адреса поддерживаются.
    • Чтобы использовать динамический IP-адрес, укажите для уровня доступа статическую IP-подсеть. Если указанный для уровня доступа статический IP-адрес находится в диапазоне динамических IP-адресов, то условие будет выполняться. Если динамический IP-адрес не входит в указанную статическую IP-подсеть, условие не будет выполняться.
17. Нажмите Создать. Снова откроется страница Создать правило. Новый уровень доступа и его атрибуты будут добавлены в список.
18. Нажмите Продолжить, чтобы посмотреть сведения о правиле.
19. В разделе Статус правила выберите один из вариантов:
    • Активно. Правило выполняется немедленно.
    • Неактивно. Правило создается, но не выполняется немедленно, благодаря чему вы можете проверить его и поделиться им с другими участниками команды перед внедрением. Чтобы активировать правило позже, выберите Безопасность Управление доступом и данными Защита данных Управление правилами. Нажмите на статус правила Неактивно и выберите Активно. После активации правило будет запущено и функция DLP проверит наличие конфиденциальных данных.
20. Нажмите Создать.

Чтобы создавать правила для браузера Chrome, необходима версия Chrome Enterprise Premium.

1. В консоли администратора Google нажмите на значок меню Правила Создать правило Защита данных.

   Перейти в раздел "Защита данных"

   У вас должны быть права на просмотр правил DLP и управление ими или, если вы используете браузер Chrome или ChromeOS, просмотр правил DLP в Chrome и управление ими.

2. Введите название и (если необходимо) описание правила.
3. В разделе Приложения установите для Chrome флажок Файл скачан.
4. Нажмите Продолжить.
5. В разделе Действия для Chrome выберите Заблокировать.
6. Чтобы указать, как инциденты будут представлены на панели управления инцидентами в DLP, в разделе Оповещения выберите степень серьезности (Низкая, Средняя, Высокая).
7. Если нужно включить уведомления в Центре оповещений, установите флажок Центр оповещений. Чтобы отправлять уведомления администраторам, установите флажок Все суперадминистраторы или добавьте адреса электронной почты получателей.
8. Нажмите Продолжить.
9. В поле Область действия выберите один из вариантов:
   • Чтобы применить правило ко всей организации, выберите Все в домене domain.name.
   • Чтобы применить правило к определенным организационным подразделениям или группам, выберите Организационные подразделения и/или группы и включите в область действия или исключите из нее организационные подразделения и группы.

   Если при включении организационных подразделений и групп в область действия или их исключении из нее возникает конфликт, группы имеют приоритет.

10. В разделе Условия для контента нажмите Добавить условие, а затем:
    • Для параметра Тип контента, который нужно сканировать выберите значение Весь контент.
    • В качестве значения параметра Что искать выберите тип сканирования защиты от потери данных и его атрибуты.
      Дополнительная информация о доступных атрибутах приведена в статье Как интегрировать DLP с Chrome с помощью Chrome Enterprise Premium.
11. В разделе Контекстные условия нажмите Выбрать уровень доступа.

    Если вы уже создали нужный уровень доступа, в разделе Контекстные условия выберите этот уровень доступа и перейдите к шагу 20.

12. Нажмите Создать уровень доступа.
13. Введите название (например, "В Китае") и при необходимости описание.
14. В разделе Контекстные условия нажмите Добавить условие.
15. Выберите Соответствует всем атрибутам (И).
16. Нажмите Выбрать атрибут Местоположение, а затем выберите страну из списка.
17. Чтобы добавить другие страны и применить правило к пользователям, выполнившим вход из них:
    1. Нажмите Добавить условие и выберите Соответствует всем атрибутам (И).
    2. В верхней части списка раздела Условия установите для параметра Объединение условий с помощью оператора: значение ИЛИ.
18. Нажмите Создать. Снова откроется страница Создать правило. Новый уровень доступа и его атрибуты будут добавлены в список.
19. Нажмите Продолжить, чтобы посмотреть сведения о правиле.
20. В разделе Статус правила выберите один из вариантов:
    • Активно. Правило выполняется немедленно.
    • Неактивно. Правило создается, но не выполняется немедленно, благодаря чему вы можете проверить его и поделиться им с другими участниками команды перед внедрением. Чтобы активировать правило позже, выберите Безопасность Управление доступом и данными Защита данных Управление правилами. Нажмите на статус правила Неактивно и выберите Активно. После активации правило будет запущено и функция DLP проверит наличие конфиденциальных данных.
21. Нажмите Создать.

1. В консоли администратора Google нажмите на значок меню Правила Создать правило Защита данных.

   Перейти в раздел "Защита данных"

   У вас должны быть права на просмотр правил DLP и управление ими или, если вы используете браузер Chrome или ChromeOS, просмотр правил DLP в Chrome и управление ими.

2. Введите название и (если необходимо) описание правила.
3. В разделе Приложения рядом с пунктом Google Диск установите флажок Файлы на Диске.
4. Нажмите Продолжить.
5. В разделе Действия рядом с пунктом Google Диск выберите Запретить скачивание, печать и копирование Только для пользователей с правами на комментирование и просмотр.

   Подробнее о том, как запретить пользователям скачивать, печатать или копировать файлы…

6. Чтобы указать, как инциденты будут представлены на панели управления инцидентами в DLP, в разделе Оповещения выберите степень серьезности (Низкая, Средняя, Высокая).
7. Если нужно включить уведомления в Центре оповещений, установите флажок Центр оповещений. Чтобы отправлять уведомления администраторам, установите флажок Все суперадминистраторы или добавьте адреса электронной почты получателей.
8. Нажмите Продолжить.
9. В поле Область действия выберите один из вариантов:
   • Чтобы применить правило ко всей организации, выберите Все в домене domain.name.
   • Чтобы применить правило к определенным организационным подразделениям или группам, выберите Организационные подразделения и/или группы и включите в область действия или исключите из нее организационные подразделения и группы.

   Если при включении организационных подразделений и групп в область действия или их исключении из нее возникает конфликт, группы имеют приоритет.

10. В разделе Условия для контента нажмите Добавить условие, а затем:
    • Для параметра Тип контента, который нужно сканировать выберите значение Весь контент.
    • В качестве значения параметра Что искать выберите тип сканирования защиты от потери данных и его атрибуты. Дополнительная информация о доступных атрибутах приведена в разделе Как создать правила DLP для Диска.
11. В разделе Контекстные условия нажмите Выбрать уровень доступа.
12. Если вы уже создали нужный уровень доступа, в разделе Контекстные условия выберите этот уровень доступа и перейдите к шагу 17.
13. Нажмите Создать уровень доступа.
14. Введите название (например, "Неодобренное устройство") и при необходимости описание.
15. В разделе Контекстные условия нажмите Добавить условие и настройте условие следующим образом:
    • Выберите Не соответствует одному или нескольким атрибутам (ИЛИ).
    • Нажмите Выбрать атрибут Устройство Одобрено администратором.
16. Нажмите Создать. Снова откроется страница Создать правило. Новый уровень доступа и его атрибуты будут добавлены в список.
17. Нажмите Продолжить, чтобы посмотреть сведения о правиле.
18. В разделе Статус правила выберите один из вариантов:
    • Активно. Правило выполняется немедленно.
    • Неактивно. Правило создается, но не выполняется немедленно, благодаря чему вы можете проверить его и поделиться им с другими участниками команды перед внедрением. Чтобы активировать правило позже, выберите Безопасность Управление доступом и данными Защита данных Управление правилами. Нажмите на статус правила Неактивно и выберите Активно. После активации правило будет запущено и функция DLP проверит наличие конфиденциальных данных.
19. Нажмите Создать.

В этом примере блокируется попытка пользователя перейти в консоль администратора Salesforce (salesforce.com/admin) на устройстве, управление которым не настроено. При этом у пользователя сохраняется доступ к остальным частям приложения Salesforce.

Чтобы создавать правила для браузера Chrome, необходима версия Chrome Enterprise Premium.

1. В консоли администратора Google нажмите на значок меню Правила Создать правило Защита данных.

   Перейти в раздел "Защита данных"

   У вас должны быть права на просмотр правил DLP и управление ими или, если вы используете браузер Chrome или ChromeOS, просмотр правил DLP в Chrome и управление ими.

2. Введите название и (если необходимо) описание правила.
3. В разделе Приложения для Chrome установите флажок Посещенный URL.
4. Чтобы указать, как инциденты будут представлены на панели управления инцидентами в DLP, в разделе Оповещения выберите степень серьезности (Низкая, Средняя, Высокая).
5. Если нужно включить уведомления в Центре оповещений, установите флажок Центр оповещений. Чтобы отправлять уведомления администраторам, установите флажок Все суперадминистраторы или добавьте адреса электронной почты получателей.
6. Нажмите Продолжить.
7. В разделе Действия для Chrome выберите Заблокировать.
8. Нажмите Продолжить.
9. В поле Область действия выберите один из вариантов:
   • Чтобы применить правило ко всей организации, выберите Все в домене domain.name.
   • Чтобы применить правило к определенным организационным подразделениям или группам, выберите Организационные подразделения и/или группы и включите в область действия или исключите из нее организационные подразделения и группы.

   Если при включении организационных подразделений и групп в область действия или их исключении из нее возникает конфликт, группы имеют приоритет.

10. В разделе Условия для контента нажмите Добавить условие и настройте условие следующим образом:
    • Для параметра Тип контента, который нужно сканировать выберите URL.
    • В качестве значения параметра Что искать выберите Содержит текст.
    • В поле Контент, соответствие которому нужно найти введите salesforce.com/admin.
11. В разделе Контекстные условия нажмите Выбрать уровень доступа.
    Если вы уже создали нужный уровень доступа, в разделе Контекстные условия выберите этот уровень доступа и перейдите к шагу 17.
12. Нажмите Создать уровень доступа.
13. Введите название (например, "Администратор Salesforce") и при необходимости описание.
14. В разделе "Контекстные условия" перейдите на вкладку Расширенные.
15. В текстовом поле введите следующее:
    device.chrome.management_state != ChromeManagementState.CHROME_MANAGEMENT_STATE_BROWSER_MANAGED
16. Нажмите Создать. Снова откроется страница Создать правило. Новый уровень доступа и его атрибуты будут добавлены в список.
17. Нажмите Продолжить, чтобы посмотреть сведения о правиле.
18. В разделе Статус правила выберите один из вариантов:
    • Активно. Правило выполняется немедленно.
    • Неактивно. Правило создается, но не выполняется немедленно, благодаря чему вы можете проверить его и поделиться им с другими участниками команды перед внедрением. Чтобы активировать правило позже, выберите Безопасность Управление доступом и данными Защита данных Управление правилами. Нажмите на статус правила Неактивно и выберите Активно. После активации правило будет запущено и функция DLP проверит наличие конфиденциальных данных.
19. Нажмите Создать.

Примечание. Если фильтруемый вами URL недавно посещался, он на несколько минут кешируется и может не фильтроваться новым (или измененным) правилом, пока кешированные данные для этого URL не будут удалены. Подождите около пяти минут, прежде чем тестировать новое или измененное правило.

Нет. В режиме инкогнито правила не применяются. Администраторы могут запретить вход в приложения Workspace или SaaS в режиме инкогнито Chrome, применив контекстно-зависимый доступ во время входа.

Если управляемый браузер и управляемый аккаунт относятся к одной кампании, будут применяться правила защиты данных на уровне браузера и на уровне пользователя.

Если управляемый браузер и пользователь управляемого профиля принадлежат разным предприятиям, применяются только правила защиты данных на уровне браузера. Контекстно-зависимое условие всегда будет считаться выполненным и будет применяться самый строгий результат. Это не влияет на условия, зависящие от IP-адреса или региона.

Функция контекстно-зависимого доступа в консоли администратора поддерживает не все атрибуты, поддерживаемые консолью Google Cloud. Поэтому в консоли администратора можно назначать, но не редактировать любые базовые уровни, созданные в консоли Google Cloud, включающие эти атрибуты.

В консоли администратора на странице "Правила" можно назначать уровни доступа, созданные в консоли Google Cloud, но нельзя просматривать сведения об условиях для уровней доступа с неподдерживаемыми атрибутами.

• Убедитесь, что вы являетесь администратором с правом "Сервисы > Защита данных > Управление уровнями доступа", которое необходимо для просмотра контекстных условий во время создания правила защиты данных.
• В правиле выберите Google Chrome или Google Диск с действием Запретить скачивание, печать и копирование. Убедитесь, что вы не выбрали действия пользователя Gmail или Chat.

Если удалить назначенный уровень доступа, контекстные условия по умолчанию будут считаться выполненными и правило будет работать как правило соответствия контента. Обратите внимание, что в таком случае правило будет применяться к большему числу устройств и сценариев использования, чем вы рассчитывали.

Нет. Оценка уровня доступа в правилах не зависит от настроек контекстно-зависимого доступа. Активация и назначение контекстно-зависимого доступа не должны влиять на правила.

В таком случае правило применяется по умолчанию. Это означает, что для правил, основанных на контекстных условиях, условия соответствия контента можно не заполнять. Обратите внимание, что если не заполнять оба вида условий, правило будет активироваться всегда.

Нет. Правило активируется только в том случае, если выполнены и условия соответствия контента, и контекстные условия.

Как в правилах DLP, так и в правилах контекстно-зависимого доступа используются фоновые службы, работа которых может время от времени прерываться. Если это случается во время применения правила, то правило не будет применено. В таких случаях и в журнале правил, и в журнале Chrome регистрируется соответствующее событие.

Для атрибутов на основе устройства контекстные условия будут считаться выполненными и будет применяться самый строгий результат. На атрибуты, не основанные на устройстве (такие как IP-адрес и регион), это не влияет.

Да. Чтобы посмотреть эту информацию, выполните поиск событий журнала правил или событий журнала Chrome в столбце "Уровень доступа" результатов поиска.

Нет. Пока что он для них недоступен.