יצירת כללי DLP ל-Drive ומזהי תוכן בהתאמה אישית

התנאים של כלל ה-DLP קובעים איזה סוג של תוכן רגיש הכלל יזהה. למטה מפורטות דוגמאות לכללי DLP. יכול להיות שכלל יצטרך רק תנאי אחד, או שהוא יכול לשלב כמה תנאים באמצעות האופרטורים AND,‏ OR או NOT. דוגמאות לתנאים בתצוגת עץ זמינות במאמר דוגמאות לאופרטורים לתנאים בתצוגת עץ של כללי DLP ב-Drive.

• כדי לזהות מידע אישי רגיל, כמו מספר רישיון נהיגה או מזהה לצורכי מס, אפשר להשתמש במזהי תוכן מוגדרים מראש. רשימה מלאה של המזהים הזמינים מופיעה במאמר איך משתמשים במזהי תוכן מוגדרים מראש.
• בתנאי הכלל אפשר גם להשתמש במזהי תוכן בהתאמה אישית שאתם יוצרים, כמו מזהה תוכן שמכיל רשימת מילים או ביטוי רגולרי. הוראות מפורטות מופיעות בקטע שלב 2. יוצרים מזהה בהתאמה אישית.

הצעות לשיפור בדיקת הכללים, כולל הגדרת סביבת בדיקה לכללים, זמינות במאמר שיטות מומלצות לבדיקת כללים מהירה יותר.

אתם יכולים ליצור כלל לביקורת בלבד כדי לבדוק כללים שאתם יוצרים ב-DLP. כך תוכלו לבדוק את ההשפעה הפוטנציאלית של כלל ב-Google Drive. כמו כל הכללים, הכללים האלה מופעלים, אבל במקרה הזה הם לא מבצעים פעולה, אלא רק כותבים את התוצאות ביומן הביקורת של הכללים ובכלי החקירה.

הצעות לשיפור בדיקת הכללים, כולל הגדרת סביבת בדיקה לכללים, זמינות במאמר שיטות מומלצות לבדיקת כללים מהירה יותר.

כדי ליצור כלל שמיועד רק לבדיקה ולהשתמש בו:

1. פועלים לפי השלבים ליצירת כלל שמפורטים בשלב 3. יצירת כללים
2. כשמגיעים לקטע 'פעולה' בתהליך יצירת הכלל, לא בוחרים פעולה. הפעולות הן אופציונליות. הכלל יופעל ללא פעולה שמשויכת אליו, וכל האירועים יתועדו ביומן הביקורת של הכללים. במקרה כזה, הכלל יסומן כביקורת בלבד בקטע 'פעולה'.
3. ממשיכים ומשלימים את הגדרת הכלל. מוודאים שהכלל פעיל.
4. בודקים את הפונקציונליות בעצמכם, או מחכים שהמשתמשים בדומיין ישתפו באופן טבעי נתונים שעשויים להיות מושפעים מהכלל הזה.
5. צפייה ביומן הביקורת של הכללים. פרטים נוספים זמינים במאמרים בנושא יומן ביקורת של כללים או כלי החקירה. יומן הביקורת יציג כללים ללא פעולה שהופעלה כשמשתמשים בכלל שמיועד רק לבדיקה.

6. אחרי שמוודאים שהכלל מוגדר בדיוק כמו שרוצים, משנים את הכלל כך שתחול עליו פעולה (כפי שמתואר בשלב 3. יצירת כללים).

כללים מומלצים הם כללי DLP שמומלצים לכם על סמך התוצאות של הדוח 'תובנות בנושא הגנה על נתונים'. לדוגמה, אם מספרי דרכונים רשומים בדוח בתור סוג של נתונים שמשותפים בארגון, תקבלו המלצה מה-DLP לכלל למניעת השיתוף של מספרי דרכונים.

המלצות לכללים מתקבלות רק אם הדוח 'תובנות לגבי הגנה על נתונים' מופעל. פרטים נוספים זמינים במאמר בנושא מניעת דליפת נתונים באמצעות כללים מומלצים להגנה על נתונים.

• קבוצות דינמיות: ניהול החברות באופן אוטומטי כשמשתמשים מצטרפים לארגון, עוברים בין מחלקות בארגון או עוזבים אותו. הן זמינות במסוף Admin או עם Cloud Identity API. השימוש בקבוצות דינמיות עוזר לצמצם את הזמן שאתם מקדישים לניהול החברות בקבוצה באופן ידני. כדי להשתמש בקבוצות דינמיות בכלל DLP, חשוב להגדיר אותן גם כקבוצות אבטחה (קבוצות עם התווית אבטחה). מידע נוסף על קבוצות דינמיות

• קבוצות אבטחה: המרת קבוצה רגילה או קבוצה דינמית לקבוצת אבטחה, שמאפשרת להשגיח, לבדוק ולעקוב אחרי ההרשאות ובקרת הגישה לקבוצה. אתם יכולים ליצור קבוצות אבטחה במסוף Admin, או באמצעות Cloud Identity Groups API, על ידי הוספת התווית אבטחה. מידע נוסף על קבוצות אבטחה

• קבוצות שהועברו מפלטפורמות אחרות: אתם יכולים להשתמש ב-Google Cloud Directory Sync‏ (GCDS) כדי לסנכרן קבוצות שיצרתם ב-Microsoft Active Directory או בכלים אחרים עם Google Workspace. לאחר מכן, אתם יכולים להשתמש בקבוצות האלו שסונכרנו בכללי DLP. מידע נוסף על GCDS

אלה הוראות כלליות ליצירת מזהה בהתאמה אישית, אם אתם צריכים להשתמש בו בתנאי הכלל.

יצירת מזהה DLP לשימוש עם כללים

לפני שמתחילים, צריך להיכנס לחשבון סופר-אדמין או לחשבון אדמין עם ההרשאות הבאות:

• הרשאות אדמין של יחידה ארגונית.
• הרשאות אדמין של קבוצות Google.
• הרשאות צפייה בכללי DLP וניהול כללי DLP. חשוב לזכור: כדי לקבל גישה מלאה ליצירה ולעריכה של כללים, צריך להפעיל את ההרשאות צפייה וניהול. מומלץ ליצור תפקיד בהתאמה אישית שכולל את שתי ההרשאות.
• הרשאות צפייה במטא-נתונים ובמאפיינים (נדרשות לשימוש בכלי החקירה בלבד): מרכז האבטחהכלי החקירהכללצפייה במטא-נתונים ובמאפיינים.

מידע נוסף על הרשאות אדמין ועל יצירת תפקידי אדמין בהתאמה אישית

1. במסוף Google Admin, נכנסים לתפריט אבטחהשליטה בגישה ובנתוניםהגנה על נתונים.

   מעבר אל "הגנה על נתונים"

   כדי לעשות את זה צריך הרשאות אדמין לצפייה בכללי DLP וניהול כללי DLP.

2. לוחצים על ניהול אמצעי זיהוי.
3. לוחצים על הוספת גלאי. מוסיפים את השם והתיאור.

   אפשר לבחור באחת מהאפשרויות הבאות:

   • ביטוי רגולרי: שיטה להתאמה בין טקסטים לבין דפוסים. לוחצים על בדיקת הביטוי כדי לאמת את הביטוי הרגולרי. דוגמאות לביטויים רגולריים
   • רשימת מילים – רשימת מילים בהתאמה אישית שאתם יוצרים. רשימה של מילים שצריך לזהות, מופרדות בפסיקים. המערכת מתעלמת מאותיות רישיות ומסמלים. ההתאמה מתבצעת רק למילים שלמות. אתם יכולים להוסיף הודעה קופצת שתופיע כשהמערכת תזהה תוכן. מילים ברשימת המילים של אמצעי הזיהוי צריכות להכיל לפחות 2 תווים שהם אותיות או ספרות.
4. לוחצים על יצירה. בהמשך, תוכלו להשתמש במזהה המותאם אישית כשתרצו להוסיף תנאים לכלל.

לפני שמתחילים, צריך להיכנס לחשבון סופר-אדמין או לחשבון אדמין עם ההרשאות הבאות:

• הרשאות אדמין של יחידה ארגונית.
• הרשאות אדמין של קבוצות Google.
• הרשאות צפייה בכללי DLP וניהול כללי DLP. חשוב לזכור: כדי לקבל גישה מלאה ליצירה ולעריכה של כללים, צריך להפעיל את ההרשאות צפייה וניהול. מומלץ ליצור תפקיד בהתאמה אישית שכולל את שתי ההרשאות.

למידע על ההרשאות שנדרשות רק לכלי החקירה, אפשר לעיין במאמר בנושא הרשאות אדמין לכלי לחקירת אבטחה.

מידע נוסף על הרשאות אדמין ועל יצירת תפקידי אדמין בהתאמה אישית

1. במסוף Google Admin, נכנסים לתפריט אבטחהשליטה בגישה ובנתוניםהגנה על נתונים.

   מעבר אל "הגנה על נתונים"

   כדי לעשות את זה צריך הרשאות אדמין לצפייה בכללי DLP וניהול כללי DLP.

2. לוחצים על ניהול כללים. אחר כך לוחצים על הוספת כללכלל חדש או על הוספת כללכלל חדש מתבנית. כדי להשתמש בתבנית, בוחרים תבנית מהדף Templates (תבניות).
3. מוסיפים את השם והתיאור של הכלל.
4. בקטע Apps, בוחרים באפשרות Google Drive Drive files.
5. לוחצים על המשך.
6. בקטע פעולות, אפשר לבחור את הפעולה שתתבצע אם יזוהה מידע אישי רגיש בסריקה:

   רוצים לבדוק כלל לפני שמוסיפים לו פעולה?
   אתם יכולים ליצור כלל שמיועד רק לבדיקה כדי לבדוק כלל שכותב ליומן הביקורת בלי לבצע פעולה. בחירת פעולה היא אופציונלית. פרטים נוספים זמינים במאמר בנושא שימוש בכללים לביקורת בלבד כדי לבדוק את תוצאות הכללים (אופציונלי, אבל מומלץ).

   • חסימת שיתוף חיצוני – מונעת את שיתוף המסמך.
   • הצגת אזהרה על שיתוף חיצוני – אם משתמש מנסה לשתף את הקובץ, מוצגת לו אזהרה שהקובץ מכיל תוכן רגיש. הם יכולים לבטל או ללחוץ על 'לשתף בכל זאת'.

     הערה: אם מפעילים התראות לפעולה הזו, הן מופעלות כשמזוהה תוכן רגיש, בלי קשר לשאלה אם הקובץ שותף באותו זמן. הזיהוי מתבצע בדרך כלל אחרי שיוצרים או מעדכנים קובץ, או אחרי שמשנים כללים שחלים על הקובץ – לדוגמה, אם יוצרים או מעדכנים כלל. זה יכול לקרות גם כששדרוג של המערכת משפר את יכולת הזיהוי. אירועי זיהוי נרשמים ביומן הכללים.

   • השבתת האפשרות להוריד, להדפיס ולהעתיק – מונעת הורדה, הדפסה והעתקה, אלא אם למשתמש יש הרשאת עריכה או הרשאה גבוהה יותר. התכונה הזו היא ניהול זכויות מידע (IRM) למניעת אובדן נתונים (DLP), והיא משתמשת בהגדרות השיתוף ב-Drive כמדיניות, כך שהמשתמשים לא יכולים להוריד, להדפיס או להעתיק מסמכים, גיליונות אלקטרוניים או מצגות של Google Drive בכל הפלטפורמות. פרטים נוספים זמינים בשאלות הנפוצות בנושא IRM.
   • החלה של תוויות סיווג – החלה של תוויות סיווג קיימות על קבצים תואמים. כדי להגדיר את ההגדרות:
     1. בוחרים תווית זמינה מהרשימה הנפתחת תווית סיווג, ואז בוחרים שדה ואפשרות שדה זמינים לתווית. יש תמיכה רק בתוויות עם תגים ובתוויות רגילות עם שדה מסוג רשימת אפשרויות. פרטים נוספים זמינים במאמר התחלת העבודה כאדמינים של תוויות סיווג.
     2. (אופציונלי) לוחצים על הוספת תווית כדי להוסיף עוד תוויות.
     3. בוחרים אם לאפשר למשתמשים לשנות ערכים של תוויות ושדות שמוחלים על הקבצים שלהם.
7. בקטע שליחת התראות, בוחרים רמת חומרה (נמוכה, בינונית או גבוהה). רמת החומרה משפיעה על האופן שבו תקריות מוצגות בתרשים בלוח הבקרה של תקריות DLP (מספר התקריות עם רמת חומרה גבוהה, בינונית או נמוכה) לאורך זמן.
8. אופציונלי: מסמנים את התיבה מרכז ההתראות כדי להפעיל התראות. ההתראות נתמכות ב-Google Drive בלבד. מידע נוסף זמין במאמר בנושא צפייה בפרטי ההתראה.

   מסמנים את התיבה כדי לשלוח התראה לכל הסופר-אדמינים, או מוסיפים את כתובות האימייל של נמענים נוספים. אפשר להוסיף רק נמענים ששייכים למשתמש. המערכת מתעלמת מנמענים חיצוניים. הנמענים יכולים להיות משתמשים או קבוצות. חשוב לזכור שצריך להגדיר גישה לקבוצות שנבחרו כדי שהן יוכלו לקבל את האימייל שנשלח אליהן. פרטים על הגדרת גישה לקבוצות לקבלת התראות באימייל מופיעים במאמר בנושא הגדרת התראות באימייל ממרכז ההתראות.

   ההתראות מופיעות במרכז ההתראות. שימו לב: יש עיכוב בין מועד ההתרחשות של ההתראה לבין מועד הרישום שלה. יש השהיה בין הזמן שבו ההתראה מוצגת במרכז ההתראות לבין הזמן שבו מתעדכנים יומן הביקורת של הכללים ומרכזי האבטחה של DLP. יכול להיות שתקבלו התראה ותוכלו לראות את סיכום ההתראה, אבל ייקח זמן עד שמספר האירועים בלוחות הבקרה או ביומני הביקורת בכלי לחקירת מצב האבטחה יתעדכן. יכולות להיות עד 50 התראות לכל כלל ביום. ההתראות ימשיכו להופיע עד שהסף הזה יושג.

9. לוחצים על המשך.
10. בקטע היקף ההרשאות, בוחרים באפשרות כולם בדומיין <domain.name> או בוחרים להחיל את הכלל הזה רק על משתמשים ביחידות ארגוניות או בקבוצות נבחרות. אם יש סתירה בין יחידות ארגוניות לבין קבוצות מבחינת הכללה או החרגה, הקבוצה מקבלת עדיפות.

    הערה: אם רוצים להחיל את הכלל על קבוצה דינמית, הקבוצה צריכה להיות גם קבוצת אבטחה (קבוצה עם התווית אבטחה). מידע נוסף זמין במאמר אילו סוגים של קבוצות אפשר לבחור להיקף של הכלל?

11. בקטע תנאים, לוחצים על הוספת תנאי.
12. בוחרים את סוג התוכן לסריקה:
    • כל התוכן: כל המסמך, כולל הכותרת, הגוף וההצעות לעריכה
    • Body: Body of the document
    • תווית סיווג: כל התוויות שהוחלו על המסמך. פרטים נוספים זמינים במאמר התחלת העבודה כאדמינים של תוויות סיווג.
    • שינויים מוצעים: תוכן שנוסף למסמך במצב 'הצעות'
    • כותרת: שם המסמך
13. לוחצים על מה לחפש?, וממלאים את המאפיינים הנדרשים לסוג הסריקה הזה, שמפורטים בטבלה שלמטה.

    שימו לב שהאפשרויות בקטע מה לחפש? משתנות בהתאם לסוג התוכן לסריקה שבחרתם בשלב הקודם. לדוגמה, אם בוחרים באפשרות 'כותרת' כסוג התוכן לסריקה, האפשרויות בקטע מה לחפש? יכללו את מסתיים ב ומתחיל ב.

    מה לחפש?	מאפיינים
    התאמה לסוג מוגדר מראש של נתונים	סוג הנתונים — בוחרים סוג נתונים מוגדר מראש. מידע נוסף על סוגי נתונים מוגדרים מראש זמין כאן. סף סבירות להתאמה — בוחרים את סף הסבירות להתאמה. הערכים האפשריים: נמוך מאוד נמוכה בינונית גבוהה גבוהה מאוד ערכי הסף האלה משקפים את רמת המהימנות של מערכת ה-DLP בתוצאות ההתאמה. באופן כללי, כשמגדירים את סף הסבירות להתאמה כגבוהה מאוד, תהיה התאמה לפחות תוכן והיא תהיה מדויקת יותר. כשמגדירים סף סבירות נמוכה מאוד, יהיו יותר התאמות אבל רמת הדיוק תרד. מספר מינימלי של התאמות ייחודיות – מספר הפעמים המינימלי שהתאמה צריכה להופיע במסמך כדי להפעיל את הפעולה. מספר מינימלי של התאמות – מספר הפעמים המינימלי שכל תוצאות ההתאמה מוצגות במסמך כדי להפעיל את הפעולה. איך ההגדרות 'מספר מינימלי של התאמות' ו'מספר מינימלי של התאמות ייחודיות' פועלות? לדוגמה, נניח שיש שתי רשימות של מספרי תעודת זהות: ברשימה הראשונה יש 50 עותקים של אותו המספר, וברשימה השנייה יש 50 מספרים ייחודיים. במקרה הזה, אם הערך של מספר מינימלי של התאמות הוא 10, התוצאות יפעילו את הפעולה בשתי הרשימות כי יש לפחות 10 התאמות בשתיהן. לחלופין, אם הערך של מספר מינימלי של התאמות ייחודיות הוא 10, והערך של מספר מינימלי של התאמות הוא 1, התוצאות יפעילו את הפעולה רק ברשימה השנייה, כי יש 10 התאמות והן כולן תואמות לערכים ייחודיים.
    מכיל מחרוזת טקסט	צריך להזין תוכן לחיפוש התאמות – מזינים מחרוזת משנה, מספר או תווים אחרים שצריך לחפש לפיהם. צריך לציין אם התוכן תלוי אותיות רישיות (case-sensitive). אם מקלידים מחרוזת משנה, הכלל יכול להכיל את המילה מַפְתח ואם המסמך מכיל אותה, תהיה התאמה.
    תוכן שמכיל מילה	צריך להזין תוכן לחיפוש התאמות – מזינים מילה, מספר או תווים אחרים שצריך לחפש לפיהם. האפשרות זמינה רק אם בוחרים באפליקציית Gmail.
    התאמה של ביטוי רגיל	שם של ביטוי רגולרי — מזהה בהתאמה אישית של ביטוי רגולרי. מספר פעמים מינימלי שהדפוס זוהה — מספר הפעמים המינימלי שהדפוס שמוצג בביטוי הרגולרי צריך להופיע במסמך כדי להפעיל את הפעולה.
    התאמה של מילים מרשימת המילים	שם של רשימת מילים – בוחרים רשימת מילים בהתאמה אישית. מצב התאמה – בוחרים באפשרות התאמה לאחת מהמילים או התאמה למספר מינימלי של מילים ייחודיות. מספר פעמים כולל מינימלי שזוהתה אחת המילים — מספר הפעמים הקטן ביותר שמילה צריכה להיות מזוהה כדי שהפעולה תתבצע. מספר מינימלי של מילים ייחודיות שזוהו — המספר הקטן ביותר של מילים ייחודיות שצריך לזהות כדי שהפעולה תתבצע (זמין רק באפשרות התאמה למספר מינימלי של מילים ייחודיות).
    מסתיים ב-	צריך להזין תוכן לחיפוש התאמות – מזינים מילה, מספר או תווים אחרים שצריך לחפש לפיהם. צריך לציין אם התוכן תלוי אותיות רישיות (case-sensitive).
    מתחיל ב-	צריך להזין תוכן לחיפוש התאמות – מזינים מילה, מספר או תווים אחרים שצריך לחפש לפיהם. צריך לציין אם התוכן תלוי אותיות רישיות (case-sensitive).
    הוא (סוג תוכן תווית סיווג בלבד)	תווית סיווג – בוחרים תווית סיווג זמינה מהרשימה הנפתחת.‫ Label field (שדה התווית) – בוחרים שדה תווית זמין לתווית Drive שנבחרה.‫ אפשרות שדה – בוחרים אפשרות שדה זמינה עבור השדה שנבחר.

    אתם יכולים להשתמש בתנאים עם האופרטורים AND,‏ OR או NOT. פרטים נוספים על השימוש בתנאים עם האופרטורים AND,‏ OR או NOT זמינים במאמר דוגמאות לאופרטורים לתנאים בתצוגת עץ של כללי DLP ב-Drive.

    הערה: אם יוצרים כלל DLP בלי תנאים, הכלל יחיל את הפעולה שצוינה על כל הקבצים ב-Drive.

14. לוחצים על המשך ובודקים את פרטי הכלל.
15. בקטע סטטוס הכלל, בוחרים סטטוס ראשוני לכלל:
    • פעיל – הכלל מתחיל לפעול באופן מיידי.
    • לא פעיל – הכלל קיים, אבל הוא לא מתחיל לפעול באופן מיידי. כך אתם יכולים לבדוק את הכלל ולשתף אותו עם חברי הצוות לפני שאתם מטמיעים אותו. כדי להפעיל את הכלל בשלב מאוחר יותר, נכנסים אל אבטחההגנה על נתוניםניהול הכללים. לוחצים על הסטטוס 'לא פעיל' של הכלל ובוחרים באפשרות פעיל. הכלל יפעל אחרי שתפעילו אותו, ומערכת ה-DLP תסרוק את התוכן הרגיש.
16. לוחצים על יצירה.

כדאי להגדיר את הציפיות של המשתמשים לגבי ההתנהגות וההשלכות של הכלל החדש. לדוגמה, יכול להיות שתבחרו לחסום שיתוף עם גורמים מחוץ לארגון אם מידע אישי ורגיש משותף. במקרה כזה, כדאי להסביר למשתמשים שלפעמים הם לא יוכלו לשתף מסמכים, ולציין את הסיבות האפשריות לכך.

בדוגמה הזו מוסבר איך להשתמש בסיווג מוגדר מראש כדי למנוע ממשתמשים בארגונים ובקבוצות ספציפיים לשתף נתונים רגישים. אתם יכולים להשתמש בסיווגים מוגדרים מראש כדי לציין נתונים שמוזנים בדרך כלל. בדוגמה הזו, הנתונים האלה הם מספרי ביטוח לאומי.

לפני שמתחילים, חשוב לוודא שאתם מחוברים לחשבון סופר-אדמין או לחשבון אדמין עם ההרשאות שמפורטות למעלה בקטע יצירת כלל DLP.

1. במסוף Google Admin, נכנסים לתפריט אבטחהשליטה בגישה ובנתוניםהגנה על נתונים.

   מעבר אל "הגנה על נתונים"

   כדי לעשות את זה צריך הרשאות אדמין לצפייה בכללי DLP וניהול כללי DLP.

2. לוחצים על ניהול כללים. אחר כך לוחצים על הוספת כללכלל חדש.
3. מוסיפים שם ותיאור לכלל.
4. בקטע אפליקציות, בוחרים באפשרות Google Drive קבצים ב-Drive.
5. לוחצים על המשך.
6. בקטע פעולות, מתחת ל-Google Drive, בוחרים באפשרות חסימת שיתוף חיצוני.
7. בקטע שליחת התראות, בוחרים את רמת החומרה גבוהה. מסמנים את התיבה מרכז ההתראות כדי להפעיל התראה, ומציינים את הנמענים של האימייל.

   יש עיכוב בין הרגע שבו מתרחשת התראה לבין הרגע שבו היא נרשמת ביומן. מנהלי מערכת יכולים לקבל עד 50 התראות לכל כלל ביום, עד שמגיעים לסף הזה.

8. לוחצים על המשך.
9. בקטע היקף, בוחרים באפשרות החלה על כל <domain.name> או בוחרים לחפש ולכלול או להחריג יחידות ארגוניות או קבוצות שהכלל חל עליהן. אם יש סתירה בין יחידות ארגוניות לבין קבוצות מבחינת הכללה או החרגה, הקבוצה מקבלת עדיפות.
10. בקטע תנאי תוכן, לוחצים על הוספת תנאי ובוחרים את הערכים הבאים:
    • סוג התוכן לסריקה – כל התוכן
    • מה לחפש? – התאמה לסוג מוגדר מראש של נתונים (מומלץ)
    • סוג הנתונים – ארצות הברית – מספר ביטוח לאומי.
    • סף סבירות להתאמה – גבוה מאוד. אמצעי נוסף שמשמש לקביעה אם הודעות מפעילות את הפעולה.
    • מספר מינימלי של התאמות ייחודיות – 1. מספר הפעמים המינימלי שהתאמה ייחודית צריכה להופיע במסמך כדי להפעיל את הפעולה.
    • מספר מינימלי של התאמות – 1. מספר הפעמים שהתוכן צריך להופיע בהודעה כדי שהפעולה תופעל. לדוגמה, אם בוחרים באפשרות 2, התוכן צריך להופיע לפחות פעמיים בהודעה כדי שהפעולה תופעל.
11. לוחצים על המשך.
12. לוחצים על המשך כדי לבדוק את פרטי הכלל.
13. בקטע סטטוס הכלל, בוחרים סטטוס ראשוני לכלל:
    • פעיל – הכלל יפעל באופן מיידי
    • לא פעיל – הכלל קיים, אבל הוא לא מתחיל לפעול באופן מיידי. כך אתם יכולים לבדוק את הכלל ולשתף אותו עם חברי הצוות לפני שאתם מטמיעים אותו. כדי להפעיל את הכלל בשלב מאוחר יותר, נכנסים אל אבטחההגנה על נתוניםניהול הכללים. לוחצים על הסטטוס לא פעיל של הכלל ובוחרים באפשרות פעיל. הכלל יפעל אחרי שתפעילו אותו, ומערכת ה-DLP תסרוק את התוכן הרגיש.
14. לוחצים על יצירה.

בדוגמה הזו מוסבר איך מגדירים מזהה בהתאמה אישית. אפשר לפרט מילים שצריך לזהות במזהה בהתאמה אישית. אפשר להשתמש בהגדרות של טריגרים בכללים כדי למנוע ממשתמשים לשתף מסמכים עם נמענים חיצוניים שכוללים נתונים רגישים, כמו שמות פרויקטים פנימיים.

לפני שמתחילים, חשוב לוודא שאתם מחוברים לחשבון סופר-אדמין או לחשבון אדמין עם ההרשאות שמפורטות למעלה בקטע יצירת כלל DLP.

1. במסוף Google Admin, נכנסים לתפריט אבטחהשליטה בגישה ובנתוניםהגנה על נתונים.

   מעבר אל "הגנה על נתונים"

   כדי לעשות את זה צריך הרשאות אדמין לצפייה בכללי DLP וניהול כללי DLP.

2. לוחצים על ניהול אמצעי זיהוי. אחר כך לוחצים על הוספת אמצעי זיהוירשימת מילים.
3. מזינים שם ותיאור לגלאי.
4. מזינים את המילים שרוצים לזהות, מופרדות בפסיקים. ברשימות מילים בהתאמה אישית:
   • אין חשיבות לאותיות רישיות או קטנות. לדוגמה, המחרוזת BAD תואמת למחרוזות bad,‏ Bad ו-BAD.
   • ההתאמה מתבצעת רק למילים שלמות. לדוגמה, אם מוסיפים את המילה bad לרשימת המילים המותאמת אישית, המילה badminton לא תזוהה.
5. לוחצים על יצירה.
6. לוחצים על ניהול כללים. אחר כך לוחצים על הוספת כללכלל חדש.
7. בקטע שם, מזינים את השם ואם רוצים מוסיפים גם תיאור לכלל.
8. בקטע אפליקציות, בוחרים באפשרות Google Drive קבצים ב-Drive.
9. בקטע פעולות, מתחת ל-Google Drive, בוחרים באפשרות חסימת שיתוף חיצוני.
10. בקטע שליחת התראות, בוחרים את רמת החומרה גבוהה. מסמנים את התיבה מרכז ההתראות כדי להפעיל התראה, ומציינים את הנמענים של האימייל.

    יש עיכוב בין הרגע שבו מתרחשת התראה לבין הרגע שבו היא נרשמת ביומן. מנהלי מערכת יכולים לקבל עד 50 התראות לכל כלל ביום, עד שמגיעים לסף הזה.

11. לוחצים על המשך.

12. בקטע היקף ההרשאות, מחפשים את היחידות הארגוניות או הקבוצות שהכלל חל עליהן ובוחרים אותן.
13. בקטע תנאי תוכן, לוחצים על הוספת תנאי ובוחרים את הערכים הבאים:
    • סוג התוכן לסריקה – כל התוכן
    • מה לחפש? — התאמה של מילים מרשימת המילים
    • שם של רשימת מילים – גוללים כדי למצוא את המזהה שיצרתם למעלה.
    • מצב התאמה – בוחרים מצב התאמה:
      • התאמה לאחת מהמילים – ספירת התאמות של מילים כלשהן ברשימת המילים המוגדרת מראש
      • התאמה למספר מינימלי של מילים ייחודיות – מציינים את מספר המילים הייחודיות המינימלי שזוהו ואת מספר הפעמים הכולל המינימלי שזוהתה אחת המילים (מתוך רשימת המילים המוגדרת מראש)
    • מספר פעמים כולל מינימלי שזוהתה אחת המילים — 1
14. לוחצים על המשך כדי לבדוק את פרטי הכלל.
15. בקטע סטטוס הכלל, בוחרים סטטוס ראשוני לכלל:
    • פעיל – הכלל יפעל באופן מיידי
    • לא פעיל – הכלל קיים, אבל הוא לא מתחיל לפעול באופן מיידי. כך אתם יכולים לבדוק את הכלל ולשתף אותו עם חברי הצוות לפני שאתם מטמיעים אותו. כדי להפעיל את הכלל בשלב מאוחר יותר, נכנסים אל אבטחההגנה על נתוניםניהול הכללים. לוחצים על הסטטוס לא פעיל של הכלל ובוחרים באפשרות פעיל. הכלל יפעל אחרי שתפעילו אותו, ומערכת ה-DLP תסרוק את התוכן הרגיש.
16. לוחצים על יצירה.

תבנית כלל מספקת קבוצה של תנאים שמכסים הרבה תרחישים אופייניים של הגנה על נתונים. אפשר להשתמש בתבנית של כלל כדי להגדיר מדיניות למצבים נפוצים של הגנה על נתונים.

בדוגמה הזו נעשה שימוש בתבנית של כלל כדי לחסום שליחה או שיתוף של מסמך ב-Drive או אימייל שמכילים פרטים אישיים מזהים (PII) בארה"ב.

לפני שמתחילים, חשוב לוודא שאתם מחוברים לחשבון סופר-אדמין או לחשבון אדמין עם ההרשאות שמפורטות למעלה בקטע יצירת כלל DLP.

1. במסוף Google Admin, נכנסים לתפריט אבטחהשליטה בגישה ובנתוניםהגנה על נתונים.

   מעבר אל "הגנה על נתונים"

   כדי לעשות את זה צריך הרשאות אדמין לצפייה בכללי DLP וניהול כללי DLP.

2. לוחצים על ניהול כללים.
3. לוחצים על הוספת כלליצירת כלל חדש לפי תבנית.
4. בדף Templates (תבניות), לוחצים על Prevent PII information sharing (US) (מניעה של שיתוף מידע אישי מזהה (ארה"ב)).
5. מאשרים את השם והתיאור שמוגדרים כברירת מחדל לכלל או מזינים ערכים חדשים.
6. לוחצים על המשך.
7. בודקים את ההגדרות של Actions (פעולות) ושל Alerting (התראות) ועורכים אותן אם צריך. ב-Google Drive, האפשרות חסימת האפשרות לשתף תוכן עם גורמים חיצוניים מסומנת. חסימת שיתוף מונעת מהמשתמשים לשתף קבצים שעומדים בתנאים עם משתמשים מחוץ לארגון. האבטחה מוגדרת לרמה נמוכה, וההתראות מושבתות.
8. לוחצים על המשך.
9. התנאים נבחרים מראש בתבנית הכלל. כדי לראות את התנאים הספציפיים שחלים על הכלל, אפשר לעיין בהם.
10. לוחצים על המשך כדי לבדוק את פרטי הכלל.
11. בקטע סטטוס הכלל, בוחרים סטטוס ראשוני לכלל:
    • פעיל – הכלל יפעל באופן מיידי
    • לא פעיל – הכלל קיים, אבל הוא לא מתחיל לפעול באופן מיידי. כך אתם יכולים לבדוק את הכלל ולשתף אותו עם חברי הצוות לפני שאתם מטמיעים אותו. כדי להפעיל את הכלל בשלב מאוחר יותר, נכנסים אל אבטחההגנה על נתוניםניהול הכללים. לוחצים על הסטטוס לא פעיל של הכלל ובוחרים באפשרות פעיל. הכלל יפעל אחרי שתפעילו אותו, ומערכת ה-DLP תסרוק את התוכן הרגיש.
12. לוחצים על יצירה.

בדוגמה הזו משולב כלל DLP עם תנאי של בקרת גישה מבוססת-הקשר. כשמשלבים כלל DLP עם תנאי לפי הקשר, הכלל מוחל רק כשהתנאי מתקיים.

בדוגמה הזו, כלל ה-DLP חוסם את האפשרות של משתמשים במסמך Google Docs עם הרשאת תגובה או הרשאת צפייה להוריד, להדפיס או להעתיק תוכן רגיש. התנאי לפי הקשר הוא שהמשתמשים ניגשים לתוכן ממכשירי iOS או Android.

חשוב לדעת: כדי להחיל תנאי הקשר שמבוססים על מכשיר או על מערכת ההפעלה של המכשיר על מכשירים ניידים, צריך להפעיל ניהול מכשירים בסיסי או מתקדם.

לפני שמתחילים, חשוב לוודא שאתם מחוברים לחשבון סופר-אדמין או לחשבון אדמין עם ההרשאות שמפורטות למעלה בקטע יצירת כלל DLP.

1. במסוף Google Admin, נכנסים לתפריט אבטחהשליטה בגישה ובנתוניםהגנה על נתונים.

   מעבר אל "הגנה על נתונים"

   כדי לעשות את זה צריך הרשאות אדמין לצפייה בכללי DLP וניהול כללי DLP.

2. לוחצים על ניהול כללים. אחר כך לוחצים על הוספת כללכלל חדש.
3. מוסיפים שם ותיאור לכלל.
4. בקטע אפליקציות, בוחרים באפשרות Google Drive קבצים ב-Drive.
5. לוחצים על המשך.
6. בקטע פעולות, בוחרים באפשרות השבתת ההורדה, ההדפסה וההעתקה עבור Google Drive ובוחרים באפשרות לבעלי הרשאת תגובה וצפייה בלבד.

   הערה: הפעולה מתבצעת רק אם מתקיימים גם תנאי התוכן וגם התנאים לפי הקשר.

7. (אופציונלי) בוחרים את רמת החומרה של ההתראה (נמוכה, בינונית או גבוהה) ואם לשלוח התראה והתראות באימייל.
8. לוחצים על המשך.
9. בקטע היקף ההרשאות, מחפשים את היחידות הארגוניות או הקבוצות שהכלל יחול עליהן ובוחרים אותן.
10. בקטע אפליקציות, בקטע Google Drive, מסמנים את התיבה קבצים ב-Drive.
11. בקטע תנאי תוכן, לוחצים על הוספת תנאי.
12. בקטע סוג התוכן לסריקה, בוחרים באפשרות כל התוכן.
13. בקטע מה לחפש?, בוחרים סוג סריקת DLP ומאפיינים. מידע נוסף על המאפיינים הזמינים מופיע במאמר יצירת כלל DLP.
14. בקטע תנאים להקשר, לוחצים על בחירת רמת גישה כדי להציג את רמות הגישה הקיימות.
15. לוחצים על יצירה של רמת גישה חדשה.
16. מזינים שם ותיאור לרמת הגישה החדשה.
17. בקטע תנאים להקשר, לוחצים על הוספת תנאי.
18. בוחרים באפשרות עומד בכל המאפיינים.
19. לוחצים על בחירת מאפייןמערכת הפעלה של המכשיר, ואז לוחצים על בחירת מערכת הפעלה ובוחרים באפשרות iOS מהתפריט הנפתח.
20. בקטע גרסה מינימלית, משאירים את ברירת המחדל 'כל גרסה' או בוחרים גרסה ספציפית.
21. לוחצים על הוספת תנאי, חוזרים על שלבים 20 עד 21 ובוחרים באפשרות Android כמערכת ההפעלה של המכשיר.
22. מעבירים את המתג Join multiple conditions with (שנמצא מעל Conditions) למצב OR. המשמעות היא שכלל ה-DLP יחול אם המשתמשים ניגשים לתוכן רגיש באמצעות מכשירי iOS או Android.
23. לוחצים על יצירה. חוזרים לדף יצירת כלל. רמת הגישה החדשה תתווסף לרשימה, והמאפיינים שלה יוצגו בצד שמאל.
24. לוחצים על המשך כדי לבדוק את פרטי הכלל.
25. בקטע סטטוס הכלל, בוחרים סטטוס ראשוני לכלל:
    • פעיל – הכלל יפעל באופן מיידי
    • לא פעיל – הכלל קיים, אבל הוא לא מתחיל לפעול באופן מיידי. כך אתם יכולים לבדוק את הכלל ולשתף אותו עם חברי הצוות לפני שאתם מטמיעים אותו. כדי להפעיל את הכלל בשלב מאוחר יותר, נכנסים אל אבטחההגנה על נתוניםניהול הכללים. לוחצים על הסטטוס לא פעיל של הכלל ובוחרים באפשרות פעיל. הכלל יפעל אחרי שתפעילו אותו, ומערכת ה-DLP תסרוק את התוכן הרגיש.
26. לוחצים על יצירה.

יכול להיות שיחלפו 24 שעות עד שהשינויים ייכנסו לתוקף, אבל בדרך כלל זה קורה מהר יותר. מידע נוסף

דוגמאות נוספות זמינות במאמר שילוב של כללי DLP עם תנאים של בקרת גישה מבוססת-הקשר.

לפני שמתחילים, צריך להיכנס לחשבון סופר-אדמין או לחשבון אדמין עם ההרשאות הבאות:

• הרשאות אדמין של יחידה ארגונית.
• הרשאות אדמין של קבוצות Google.
• הרשאות צפייה בכללי DLP וניהול כללי DLP. חשוב לזכור: כדי לקבל גישה מלאה ליצירה ולעריכה של כללים, צריך להפעיל את ההרשאות צפייה וניהול. מומלץ ליצור תפקיד בהתאמה אישית שכולל את שתי ההרשאות.
• הרשאות צפייה במטא-נתונים ובמאפיינים (נדרשות לשימוש בכלי החקירה בלבד): מרכז האבטחהכלי החקירהכללצפייה במטא-נתונים ובמאפיינים.

מידע נוסף על הרשאות אדמין ועל יצירת תפקידי אדמין בהתאמה אישית

1. במסוף Google Admin, נכנסים לתפריט אבטחהשליטה בגישה ובנתוניםהגנה על נתונים.

   מעבר אל "הגנה על נתונים"

   כדי לעשות את זה צריך הרשאות אדמין לצפייה בכללי DLP וניהול כללי DLP.

2. לוחצים על ניהול כללים או על ניהול אמצעי זיהוי. דף הכללים נמצא בקטע אבטחה > הגנה על נתונים > כללים. דף המזהים נמצא בקטע אבטחה > הגנה על נתונים > מזהים.

מיון כללים

אפשר למיין את הכללים לפי העמודות שם או השתנה לאחרונה בסדר עולה או יורד.

1. בדף הכללים, לוחצים על שם העמודה שם או תאריך שינוי אחרון.
2. לוחצים על החץ למעלה או למטה כדי למיין את העמודה.

הפעלה או השבתה של כללים

אם מפעילים כלל, ה-DLP מריץ סריקה על המסמכים שמשתמשים בכלל הזה.

1. בדף הכללים, בעמודה 'סטטוס' של כלל מסוים, בוחרים באפשרות פעיל או לא פעיל.
2. מאשרים שרוצים להפעיל או להשבית את הכלל.

מחיקת כלל

מחיקת כללים היא פעולה בלתי הפיכה.

1. בדף הכללים, מצביעים על שורה כדי להציג את סמל הפח בסוף השורה.
2. לוחצים על סמל פח האשפה .
3. מאשרים שרוצים למחוק את הכלל.

ייצוא כללים

אפשר לייצא כללים לקובץ ‎ .txt.

1. בדף הכללים, לוחצים על ייצוא כללים.
2. רשימת הכללים מורדת לקובץ טקסט. כדי לראות את הכללים שהורדו, לוחצים על קובץ .txt בפינה הימנית התחתונה.

עריכה של פרטי הכלל

כשעורכים כללים, מתבצע סריקה חדשה של המסמכים שמושפעים מהכללים האלה.

1. ברשימת הכללים, לוחצים על הכלל שרוצים לערוך.
2. לוחצים על עריכת כלל.
3. עורכים את הכלל לפי הצורך. התהליך זהה ליצירת כלל.
4. בסיום, לוחצים על עדכון ובוחרים באחת מהאפשרויות הבאות:
   • פעיל – הכלל יפעל באופן מיידי
   • לא פעיל – הכלל קיים, אבל הוא לא מתחיל לפעול באופן מיידי. כך אתם יכולים לבדוק את הכלל ולשתף אותו עם חברי הצוות לפני שאתם מטמיעים אותו. כדי להפעיל את הכלל בשלב מאוחר יותר, נכנסים אל אבטחההגנה על נתוניםניהול הכללים. לוחצים על הסטטוס לא פעיל של הכלל ובוחרים באפשרות פעיל. הכלל יפעל אחרי שתפעילו אותו, ומערכת ה-DLP תסרוק את התוכן הרגיש.
5. לוחצים על סיום.

חקירת כלל באמצעות הכלי לחקירת אבטחה

התכונה הזו נתמכת במהדורות הבאות: Frontline Standard ו-Frontline Plus,‏ Enterprise Standard ו-Enterprise Plus,‏ Education Standard ו-Education Plus,‏ Enterprise Essentials Plus. השוואה בין מהדורות

ב-DLP נעשה שימוש בכלי לחקירת אבטחה כדי להראות באיזו תדירות מופעל כלל. בכלי מוצגות תוצאות החיפוש של הכלל, וגם הפעולות שהופעלו בכל אירוע.

כדי להשתמש בכלי החקירה, צריך הרשאות לצפייה במטא-נתונים ובמאפיינים. ההרשאות האלה נמצאות במרכז האבטחהכלי החקירהכללצפייה במטא-נתונים ובמאפיינים.

כדי לחקור כלל:

1. ברשימת הכללים, מצביעים על שורה ולוחצים על Investigate rule (חקירת הכלל).
2. יוצגו תוצאות חיפוש של הכלל. חשוב לזכור שיש עיכוב בין הפעלת הכלל לבין העדכון של היומן. פרטים נוספים זמינים במאמר בנושא כלי החקירה.

טיפ: אפשר להפעיל או להשבית כלל מכלי החקירה. בטבלת התוצאות, מצביעים על כותרת העמודה 'מזהה כלל'. לוחצים על ואז בוחרים באפשרות פעולותהפעלת הכלל או פעולותהשבתת הכלל.

טיפ: כדי לראות את התוצאות של כל כללי ה-DLP, לוחצים על סמל הסגירה X כדי להסיר את הכלל הספציפי.

סינון מזהים מותאמים אישית

אפשר לסנן את רשימת הגלאים המותאמים אישית לפי שם הגלאי וסוג הגלאי.

1. בדף של המזהה המותאם אישית, לוחצים על הוספת מסנן.
2. סינון לפי שם או סוג של גלאי:
   • שם המזהה – מזינים מחרוזת לחיפוש
   • סוג מזהה – בוחרים סוג מזהה
3. לוחצים על אישור. המסנן יישאר בתוקף עד שתסירו אותו.

ייצוא מזהים

אפשר לייצא גלאים לקובץ ‎ .txt.

1. בדף 'גלאים', לוחצים על ייצוא גלאים.
2. הגלאים מפרטים את ההורדות בקובץ טקסט. לוחצים על קובץ txt בפינה הימנית התחתונה כדי לראות את הגלאים שהורדו.

עריכת גלאי מותאם אישית של רשימת מילים

כשעורכים מזהים מותאמים אישית שמשמשים בכללים, מתבצע סריקה חדשה של המסמכים שמושפעים מהכללים שמכילים את המזהים ששונו.

כדי לערוך את השם והתיאור של מזהה בהתאמה אישית:

1. לוחצים על מזהה בהתאמה אישית של רשימת מילים ברשימה.
2. לוחצים על עריכת המידע.
3. עורכים את השם והתיאור.
4. לוחצים על שמירה.

כדי להוסיף מילים לרשימה:

1. לוחצים על מזהה בהתאמה אישית של רשימת מילים ברשימה.
2. לוחצים על הוספת מילים.
3. מוסיפים מילים לרשימת המילים.
4. לוחצים על שמירה.

כדי לערוך מילים ברשימה:

1. לוחצים על מזהה מותאם אישית של מילים מותאמות אישית ברשימה.
2. לוחצים על עריכת מילים.
3. עורכים את המילים ברשימה.
4. לוחצים על שמירה.

עריכה של מזהה בהתאמה אישית של ביטוי רגולרי

כשעורכים מזהים מותאמים אישית שמשמשים בכללים, מתבצע סריקה חדשה של המסמכים שמושפעים מהכללים שמכילים את המזהים ששונו.

כדי לערוך את השם, התיאור או הביטוי הרגולרי של מזהה בהתאמה אישית של ביטוי רגולרי

1. בדף של המזהה בהתאמה אישית, לוחצים על מזהה בהתאמה אישית של ביטוי רגולרי.
2. בחלון הקופץ, עורכים את השם, התיאור או הביטוי הרגולרי.
3. אם ערכתם את הביטוי הרגולרי, לוחצים על בדיקת הביטוי. מזינים נתונים לבדיקה כדי לאמת.
4. לוחצים על שמירה.

מחיקת גלאי בהתאמה אישית

מחיקה של מזהים היא פעולה בלתי הפיכה.

1. בדף של הגלאי המותאם אישית, מצביעים על שורה כדי להציג את סמל הפח בסוף השורה.
2. לוחצים על סמל פח האשפה .
3. מאשרים שרוצים למחוק את אמצעי הזיהוי.