この機能に対応しているエディション: Frontline Standard、Frontline Plus、Enterprise Standard、Enterprise Plus、Education Fundamentals、Education Standard、Education Plus、Enterprise Essentials Plus。エディションを比較
組織のデータ保護ルールを作成する前に、コンテンツ、条件、スコープを計画してテストする必要があります。事前に計画を立てることで、データ保護ルールで機密データをより正確に識別し、データ損失防止（DLP）のための適切なアクションを適用できるようになります。
DLP の制限事項を把握する
- すべての機密データにフラグが付けられるとは限りません。DLP 検出システムでは、ルールを正規表現に変換し、追加のコンテンツ パラメータを使用して一致確率を判定します。多くの要因が関係するため、誤検出および検出漏れをゼロにするのは非常に困難です。
- コンテンツとルールのサイズの上限を超えると、データ保護ルールが機能しないことがあります。詳しくは、DLP のコンテンツとルールのサイズ制限を確認するをご覧ください。
推奨ルールを確認する
データ保護に関する分析情報レポートが有効になっている場合は、レポートの結果に基づいておすすめのデータ保護ルールが表示されます。たとえば、組織内で共有データとしてパスポート番号がレポートに表示される場合は、パスポート番号の共有を防止するルールを確認できます。
詳しくは、データ保護のおすすめのルールを使用したデータ漏洩防止をご覧ください。
要件に合ったルール テンプレートが存在するかどうかを確認する
ルール テンプレートは、一般的なデータ保護シナリオで使用できます。たとえば、財務情報、健康情報、個人を特定できる情報の共有を防止できます。テンプレートを使用すると、ルールの作成を簡素化できます。必要に応じてデフォルト値を編集することもできます。
詳しくは、定義済みのテンプレートを使用してデータ保護ルールを作成するをご覧ください。
ルールの範囲に含めるグループを決定する
データ保護ルールは、組織全体に適用することも、組織内の特定のグループにのみ適用することもできます。まだグループを使用していない場合は、ルールを作成する前にグループを設定する必要があります。グループ アドレスの末尾は組織のドメインである必要があります。外部グループをルールの範囲に使用することはできません。
データ保護ルールでは、次のタイプのグループを使用できます。
- 動的グループ - ユーザーが組織に入ったとき、移動したとき、退職したときに、メンバーを自動的に管理します。動的グループは Google 管理コンソールまたは Cloud Identity API で利用できるため、グループのメンバー構成の変更を手動管理する手間を省くメリットがあります。データ保護ルールに動的グループを使用するには、そのグループがセキュリティ グループ（セキュリティ ラベルが付いているもの）でもあることを確認してください。詳しくは、動的グループを使用してメンバーを自動的に管理するをご覧ください。
- セキュリティ グループ - 標準グループまたは動的グループをセキュリティ グループに変換すると、権限管理とアクセス制御を行うためのグループを規制、監査、監視できるようになります。セキュリティ グループは、管理コンソールまたは Cloud Identity Groups API で作成できます。詳しくは、セキュリティ グループでセンシティブ データへのアクセスを制御するをご覧ください。
- 移行されたグループ - Google Cloud Directory Sync（GCDS）を使用して、Microsoft Active Directory などのツールで作成したグループを Google Workspace と同期できます。次に、同期されたグループをデータ保護ルールで使用します。詳しくは、Google Cloud Directory Sync についてをご確認ください。
ルールは、ファイルにアクセスしているユーザーではなく、ファイルのオーナーに基づいてファイルに適用されます。スコープが組織部門またはグループに制限されている場合、ルールは、その組織部門またはグループ内のユーザーと共有ドライブが所有するファイルにのみ適用されます。
ルールの条件を決定する
条件なしでデータ保護ルールを作成できます。その場合、ルールは関連するすべてのファイル、メッセージ、イベントに適用されます。または、スキャンする機密コンテンツまたはアクティビティを定義する条件を指定することもできます。
通常、ルールはコンテンツを次のものと照合します。
- 標準的な個人情報（運転免許証番号や納税者番号など）。必要なデータ型が事前定義済みコンテンツ検出項目に含まれているかどうかを確認します。
- カスタム コンテンツ。正規表現と単語リストの形式。機密コンテンツが事前定義された検出機能の対象外である場合は、独自のカスタム検出機能を作成できます。
- 分類ラベル（機密、NTK など）。詳しくは、DLP ルールを使用してドライブのファイルに分類ラベルを自動的に適用すると Gmail DLP と自動分類ラベルをご覧ください。
- ファイル メタデータ（ファイル名、ファイル拡張子、ファイルの MIME タイプなど）。
ルールでは、AND、OR、NOT 演算子を使用して複数の条件を組み合わせることができます。詳しくは、ネストされた条件演算子を使用したデータ保護ルールをご覧ください。
テストルールを作成する
監査専用のデータ保護ルールを作成すると、ユーザーの作業を中断することなく、ルールの潜在的な影響をテストできます。監査専用ルールがトリガーされると、ルールのログイベントとセキュリティ調査ツールにイベントが記録されるだけで、操作は行われません。
監査専用のテストルールを作成するには:
- データ保護ルールを作成する。[操作] では、操作を選択しないでください。ルールのステータスが [有効] に設定されていることを確認します。
- 次のいずれかの方法で機能をテストします。
- テストデータを使用してルールを自分でトリガーする。
- ユーザーがルールに影響を受ける可能性のある共有データを共有するのを待ちます。
- 結果をモニタリングします。
- ルールのログイベントを開き、[アクション] 列に [監査のみ] と表示されているルールを探します。
- セキュリティ調査ツールでインシデントの詳細を確認します。
- ルールをテストしたら、編集してブロックや警告などのアクションを適用します。
詳しくは、ルールテストを迅速に行うための推奨事項をご確認ください。