DLP ルールとコンテキストアウェア アクセスの条件を組み合わせる

Chrome ブラウザのルールを作成するには、Chrome Enterprise Premium が必要です。

1. Google 管理コンソールで、メニュー アイコン [ルール] [ルールを作成] [データ保護] に移動します。

   [データ保護] に移動

   DLP ルールを表示および管理する権限が必要です。

2. ルールの名前と、必要に応じて説明を入力します。
3. [アプリ] セクションの [Chrome] で、[ファイルをダウンロードしました] チェックボックスをオンにします。
4. [続行] をクリックします。
5. [操作] セクションの [Chrome] で、[ブロック] を選択します。
6. （省略可）インシデントが DLP インシデント ダッシュボードにどのように表示されるかを指定するには、[アラート] セクションで重大度レベル（[低、中、高]）を選択します。
7. （省略可）アラート センターで通知をトリガーするには、[アラート センター] チェックボックスをオンにします。管理者に通知を送信するには、[すべての特権管理者] チェックボックスをオンにするか、受信者のメールアドレスを追加します。
8. [続行] をクリックします。
9. [範囲] で、次のいずれかを選択します。
   • ルールを組織全体に適用するには、[domain.name 内のすべてdomain.name] を選択します。
   • 特定の組織部門またはグループにルールを適用するには、[組織部門またはグループ] を選択し、組織部門とグループを追加または除外します。

   含めるか除外するかの指定において組織部門とグループとの間で競合が発生する場合は、グループが優先されます。

10. [条件] で、[条件を追加] をクリックし、次のように条件を設定します。
    • [スキャンするコンテンツの種類] で [すべてのコンテンツ] を選択します。
    • [スキャン対象] で、DLP スキャンのタイプを選択し、属性を選択します。
      使用可能な属性の詳細については、Chrome Enterprise Premium を使用して DLP を Chrome と統合するをご覧ください。
11. [コンテキストの条件] で、[アクセスレベルを選択] をクリックします。
    適切なアクセスレベルをすでに作成している場合は、[コンテキストの条件] セクションでアクセスレベルを選択し、ステップ 19 に進みます。
12. [新しいアクセスレベルを作成] をクリックします。
13. 名前（「企業ネットワークの外部」など）と、必要に応じて説明を入力します。
14. [コンテキストの条件] セクションで、[条件を追加] をクリックします。
15. [1 つ以上の属性と一致しない（OR）] を選択します。
16. [属性を選択] [IP サブネット（パブリック）] をクリックして、会社のネットワークの IP アドレスを入力します。IP アドレスは、IPv4 アドレスもしくは IPv6 アドレス、または CIDR のブロック表記のルーティング プレフィックスである必要があります。
    • プライベート IP アドレスには対応していません（ユーザーのホーム ネットワークを含む）。
    • 静的 IP アドレスに対応しています。
    • 動的 IP アドレスを使用するには、アクセスレベルに静的 IP サブネットを定義する必要があります。動的 IP アドレスの範囲がわかっていて、アクセスレベルで定義された静的 IP アドレスがその範囲に対応している場合は、コンテキスト条件が満たされています。動的 IP アドレスが定義済みの静的 IP サブネット内にない場合、コンテキスト条件は満たされません。
17. [作成] をクリックします。[ルールを作成] ページに戻ります。新しいアクセスレベルとその属性がリストに追加されます。
18. [続行] をクリックしてルールの詳細を確認します。
19. [ルールのステータス] で、次のいずれかを選択します。
    • アクティブ - ルールはすぐに適用されます。
    • 無効 - ルールは存在していますが、無効です。このオプションにより、実装する前にルールを確認して、チームメンバーと共有する時間の余裕が生まれます。後でルールを有効にするには、[セキュリティ] [アクセスとデータ管理] [データの保護] [ルールを管理] に移動します。ルールの [無効] ステータスをクリックし、[有効] を選択します。ルールは有効にすると適用され、DLP によって機密コンテンツがスキャンされます。
20. [作成] をクリックします。

Chrome ブラウザのルールを作成するには、Chrome Enterprise Premium が必要です。

1. Google 管理コンソールで、メニュー アイコン [ルール] [ルールを作成] [データ保護] に移動します。

   [データ保護] に移動

   DLP ルールを表示および管理する権限が必要です。

2. ルールの名前と、必要に応じて説明を入力します。
3. [アプリ] セクションの [Chrome] で、[ファイルをダウンロードしました] チェックボックスをオンにします。
4. [続行] をクリックします。
5. [操作] セクションの [Chrome] で、[ブロック] を選択します。
6. （省略可）インシデントが DLP インシデント ダッシュボードにどのように表示されるかを指定するには、[アラート] セクションで重大度レベル（[低、中、高]）を選択します。
7. （省略可）アラート センターで通知をトリガーするには、[アラート センター] チェックボックスをオンにします。管理者に通知を送信するには、[すべての特権管理者] チェックボックスをオンにするか、受信者のメールアドレスを追加します。
8. [続行] をクリックします。
9. [範囲] で、次のいずれかを選択します。
   • ルールを組織全体に適用するには、[domain.name 内のすべてdomain.name] を選択します。
   • 特定の組織部門またはグループにルールを適用するには、[組織部門またはグループ] を選択し、組織部門とグループを追加または除外します。

   含めるか除外するかの指定において組織部門とグループとの間で競合が発生する場合は、グループが優先されます。

10. [条件] で、[条件を追加] をクリックし、次のように条件を設定します。
    • [スキャンするコンテンツの種類] で [すべてのコンテンツ] を選択します。
    • [スキャン対象] で、DLP スキャンのタイプを選択し、属性を選択します。
      使用可能な属性の詳細については、Chrome Enterprise Premium を使用して DLP を Chrome と統合するをご覧ください。
11. [コンテキストの条件] セクションで、[アクセスレベルを選択] をクリックします。

    適切なアクセスレベルをすでに作成している場合は、[コンテキストの条件] セクションでアクセスレベルを選択し、ステップ 20 に進みます。

12. [新しいアクセスレベルを作成] をクリックします。
13. 名前（「中国」など）と、必要に応じて説明を入力します。
14. [コンテキストの条件] セクションで、[条件を追加] をクリックします。
15. [すべての属性と一致する（AND）] を選択します。
16. [属性を選択] [地域] をクリックし、リストから国を選択します。
17. （省略可）国を追加して、その国からログインするユーザーにルールを適用するには、次の手順を実施します。
    1. [条件を追加] をクリックし、[すべての属性と一致する（AND）] を選択します。
    2. [条件] の上部で、[複数の条件を結合] を [OR] に設定します。
18. [作成] をクリックします。[ルールを作成] ページに戻ります。新しいアクセスレベルとその属性がリストに追加されます。
19. [続行] をクリックしてルールの詳細を確認します。
20. [ルールのステータス] で、次のいずれかを選択します。
    • アクティブ - ルールはすぐに適用されます。
    • 無効 - ルールは存在していますが、無効です。このオプションにより、実装する前にルールを確認して、チームメンバーと共有する時間の余裕が生まれます。後でルールを有効にするには、[セキュリティ] [アクセスとデータ管理] [データの保護] [ルールを管理] に移動します。ルールの [無効] ステータスをクリックし、[有効] を選択します。ルールは有効にすると適用され、DLP によって機密コンテンツがスキャンされます。
21. [作成] をクリックします。

1. Google 管理コンソールで、メニュー アイコン [ルール] [ルールを作成] [データ保護] に移動します。

   [データ保護] に移動

   DLP ルールを表示および管理する権限が必要です。

2. ルールの名前と、必要に応じて説明を入力します。
3. [アプリ] セクションの [Google ドライブ] で、[ドライブ ファイル] チェックボックスをオンにします。
4. [続行] をクリックします。
5. [アクション] セクションの [Google ドライブ] で、[ダウンロード、印刷、コピーを無効にする] [コメント投稿者と閲覧者のみ] を選択します。
6. （省略可）インシデントが DLP インシデント ダッシュボードにどのように表示されるかを指定するには、[アラート] セクションで重大度レベル（[低、中、高]）を選択します。
7. （省略可）アラート センターで通知をトリガーするには、[アラート センター] チェックボックスをオンにします。管理者に通知を送信するには、[すべての特権管理者] チェックボックスをオンにするか、受信者のメールアドレスを追加します。
8. [続行] をクリックします。
9. [範囲] で、次のいずれかを選択します。
   • ルールを組織全体に適用するには、[domain.name 内のすべてdomain.name] を選択します。
   • 特定の組織部門またはグループにルールを適用するには、[組織部門またはグループ] を選択し、組織部門とグループを追加または除外します。

   含めるか除外するかの指定において組織部門とグループとの間で競合が発生する場合は、グループが優先されます。

10. [条件] で、[条件を追加] をクリックし、次のように条件を設定します。
    • [スキャンするコンテンツの種類] で [すべてのコンテンツ] を選択します。
    • [スキャン対象] で、DLP スキャンのタイプを選択し、属性を選択します。使用可能な属性の詳細については、DLP ルールを作成するをご覧ください。
11. [コンテキストの条件] セクションで、[アクセスレベルを選択] をクリックします。
12. 適切なアクセスレベルをすでに作成している場合は、[コンテキストの条件] セクションでアクセスレベルを選択し、ステップ 18 に進みます。
13. [新しいアクセスレベルを作成] をクリックします。
14. 名前（「承認されていないデバイス」など）と、必要に応じて説明を入力します。
15. [コンテキストの条件] セクションで、[条件を追加] をクリックし、次のように条件を設定します。
    • [1 つ以上の属性と一致しない（OR）] を選択します。
    • [属性を選択] [デバイス] [管理者承認済み] をクリックします。
16. [作成] をクリックします。[ルールを作成] ページに戻ります。新しいアクセスレベルとその属性がリストに追加されます。
17. [続行] をクリックしてルールの詳細を確認します。
18. [ルールのステータス] で、次のいずれかを選択します。
    • アクティブ - ルールはすぐに適用されます。
    • 無効 - ルールは存在していますが、無効です。このオプションにより、実装する前にルールを確認して、チームメンバーと共有する時間の余裕が生まれます。後でルールを有効にするには、[セキュリティ] [アクセスとデータ管理] [データの保護] [ルールを管理] に移動します。ルールの [無効] ステータスをクリックし、[有効] を選択します。ルールは有効にすると適用され、DLP によって機密コンテンツがスキャンされます。
19. [作成] をクリックします。

この例では、ユーザーが管理対象外のデバイスで Salesforce 管理コンソール（salesforce.com/admin）にアクセスしようとすると、ブロックされます。ユーザーは引き続き Salesforce アプリケーションの他の部分にアクセスできます。

Chrome ブラウザのルールを作成するには、Chrome Enterprise Premium が必要です。

1. Google 管理コンソールで、メニュー アイコン [ルール] [ルールを作成] [データ保護] に移動します。

   [データ保護] に移動

   DLP ルールを表示および管理する権限が必要です。

2. ルールの名前と、必要に応じて説明を入力します。
3. [アプリ] セクションの [Chrome] で、[アクセスした URL] チェックボックスをオンにします。
4. （省略可）インシデントが DLP インシデント ダッシュボードにどのように表示されるかを指定するには、[アラート] セクションで重大度レベル（[低、中、高]）を選択します。
5. （省略可）アラート センターで通知をトリガーするには、[アラート センター] チェックボックスをオンにします。管理者に通知を送信するには、[すべての特権管理者] チェックボックスをオンにするか、受信者のメールアドレスを追加します。
6. [続行] をクリックします。
7. [操作] セクションの [Chrome] で、[ブロック] を選択します。
8. [続行] をクリックします。
9. [範囲] で、次のいずれかを選択します。
   • ルールを組織全体に適用するには、[domain.name 内のすべてdomain.name] を選択します。
   • 特定の組織部門またはグループにルールを適用するには、[組織部門またはグループ] を選択し、組織部門とグループを追加または除外します。

   含めるか除外するかの指定において組織部門とグループとの間で競合が発生する場合は、グループが優先されます。

10. [条件] で、[条件を追加] をクリックし、次のように条件を設定します。
    • [スキャンするコンテンツの種類] で [URL] を選択します。
    • [スキャン対象] で [テキスト文字列を含む] を選択します。
    • [照合するコンテンツ] に「salesforce.com/admin」と入力します。
11. [コンテキストの条件] セクションで、[アクセスレベルを選択] をクリックします。
    適切なアクセスレベルをすでに作成している場合は、[コンテキストの条件] セクションでアクセスレベルを選択し、ステップ 18 に進みます。
12. [新しいアクセスレベルを作成] をクリックします。
13. 名前（「Salesforce 管理者」など）と、必要に応じて説明を入力します。
14. [コンテキストの条件] セクションで、[詳細] タブをクリックします。
15. テキスト ボックスに以下を入力します。
    device.chrome.management_state != ChromeManagementState.CHROME_MANAGEMENT_STATE_BROWSER_MANAGED
16. [作成] をクリックします。[ルールを作成] ページに戻ります。新しいアクセスレベルとその属性がリストに追加されます。
17. [続行] をクリックしてルールの詳細を確認します。
18. [ルールのステータス] で、次のいずれかを選択します。
    • アクティブ - ルールはすぐに適用されます。
    • 無効 - ルールは存在していますが、無効です。このオプションにより、実装する前にルールを確認して、チームメンバーと共有する時間の余裕が生まれます。後でルールを有効にするには、[セキュリティ] [アクセスとデータ管理] [データの保護] [ルールを管理] に移動します。ルールの [無効] ステータスをクリックし、[有効] を選択します。ルールは有効にすると適用され、DLP によって機密コンテンツがスキャンされます。
19. [作成] をクリックします。

注: フィルタした URL に最近アクセスしていた場合、その URL は数分間キャッシュに保存されます。そのため、キャッシュが削除されるまでは、新しいルール（または変更されたルール）で正常にフィルタリングされないことがあります。5 分ほど待ってから、新しいルールまたは変更後のルールをテストします。

古いバージョンの Chrome では、コンテキストの条件は無視されます。ルールは、コンテンツの条件のみが設定されているかのように動作します。

いいえ。シークレット モードではルールは適用されません。管理者は、ログイン時にコンテキストアウェア アクセスを適用することで、Chrome のシークレット モードから Workspace または SaaS アプリケーションにログインできないようにすることができます。

管理対象ブラウザと管理対象プロファイルのユーザーが同じ企業に属している場合、ブラウザレベルの DLP ルールとユーザーレベルの DLP ルールの両方が適用されます。

管理対象ブラウザと管理対象プロファイルのユーザーが異なる企業に属している場合、ブラウザレベルの DLP ルールのみが適用されます。コンテキストの条件は常に一致とみなされ、最も厳しい結果が適用されます。IP ベースやリージョン ベースの条件には影響しません。

管理コンソールのコンテキストアウェア アクセスは、Google Cloud コンソールでサポートされているすべての属性をサポートしているわけではありません。そのため、Google Cloud コンソールで作成されたそのような属性を含む基本アクセスレベルを管理コンソールで割り当てることはできますが、編集することはできません。

管理コンソールの [ルール] ページでは、Google Cloud コンソールで作成されたアクセスレベルを割り当てることができます。ただし、サポートされていない属性を含むアクセスレベルの条件の詳細を表示することはできません。

• DLP ルールの作成時にコンテキストの条件を表示するには、[サービス] > [データ セキュリティ] > [アクセスレベルの管理] の管理者権限が必要です。
• コンテキストの条件カードは、ルールの作成時に Chrome トリガーを選択した場合にのみ表示されます。

割り当てたアクセスレベルが削除されると、コンテキストの条件はデフォルトで true になり、ルールはコンテンツのみのルールと同様に動作します。この場合、当初意図していたよりも多くのデバイスやユースケースにルールが適用されることに注意してください。

いいえ。ルールにおけるアクセスレベルの評価は、コンテキストアウェア アクセスの設定とは関係ありません。コンテキストアウェア アクセスの有効化と割り当てがルールに影響することはありません。

空の条件はデフォルトで true と評価されます。つまり、コンテキストアウェア アクセスのみのルールについては、コンテンツの条件を空白のままにしておくことができます。コンテンツとコンテキストの条件を両方とも空のままにすると、常にルールがトリガーされます。

いいえ。ルールはコンテンツの条件とコンテキストの条件の両方が満たされた場合にのみトリガーされます。

DLP とコンテキストアウェア アクセスはどちらもバックグラウンド サービスに依存しているため、定期的に中断が発生する可能性があります。ルールの適用中にサービスの中断が発生した場合、適用は行われません。この場合、ルールのログのイベントと Chrome のログイベントの両方にイベントが記録されます。

デバイスベースの属性の場合、コンテキストの条件は一致とみなされ、最も厳しい結果となるよう適用されます。デバイス以外の属性（IP アドレス、リージョンなど）の場合、変更はありません。

はい。アクセスレベルの情報を表示するには、検索結果の [アクセスレベル] 列で [ルールのログのイベント] または [Chrome のログイベント] のいずれかを検索します。

いいえ。現在のところ、これらのフローではユーザー修復機能を使用できません。