Planejar regras de proteção de dados

Edições que têm esse recurso: Frontline Standard e Frontline Plus; Enterprise Standard e Enterprise Plus; Education Fundamentals, Education Standard e Education Plus; Enterprise Essentials Plus. Comparar sua edição

Antes de criar regras de proteção de dados para sua organização, planeje e teste o conteúdo, as condições e o escopo. Com um planejamento avançado, suas regras de proteção de dados vão identificar dados sensíveis com mais precisão e aplicar as ações adequadas para a prevenção contra perda de dados (DLP).

Conhecer as limitações da DLP

  • Não há garantias de que todos os dados sensíveis serão sinalizados. O sistema de detecção da DLP traduz as regras em expressões regulares e usa outros parâmetros de conteúdo para determinar a probabilidade de uma correspondência. Podem ocorrer falso-positivos e negativos, que são acionados por vários fatores.
  • As regras de proteção de dados podem não funcionar se você exceder os limites de tamanho de conteúdo e de regras. Para mais detalhes, acesse Ver os limites de tamanho do conteúdo e das regras da DLP.

Se o relatório de insights sobre proteção de dados estiver ativado, você poderá receber recomendações de regras de proteção de dados com base nos resultados do relatório. Por exemplo, se o relatório listar números de passaporte como dados pessoais compartilhados na organização, você poderá analisar uma regra para impedir o compartilhamento desses números.

Veja mais detalhes em Impedir vazamentos com as regras recomendadas de proteção de dados.

Verificar se existe um modelo de regra para seus requisitos

Você pode usar modelos de regras para cenários comuns de proteção de dados, por exemplo, para impedir o compartilhamento de informações financeiras, de saúde ou de identificação pessoal. Você pode usar um modelo para simplificar a criação de regras e editar os valores padrão, se necessário.

Para mais detalhes, acesse Criar uma regra de proteção de dados usando um modelo predefinido.

Definir os grupos para o escopo da regra

Você pode aplicar a regra de proteção de dados a toda a organização ou apenas a determinados grupos dela. Se você ainda não usa grupos, configure-os antes de criar a regra. Os endereços de grupos precisam terminar com o domínio da organização. Não é possível usar grupos externos no escopo de uma regra.

As regras de proteção de dados podem usar os seguintes tipos de grupos:

  • Grupos dinâmicos: gerencie as associações automaticamente quando os usuários entram, saem ou se movem na sua organização. Disponíveis no Google Admin Console ou na API Cloud Identity, os grupos dinâmicos reduzem o tempo gasto gerenciando a associação a grupos. Para usar um grupo dinâmico em uma regra de proteção de dados, verifique se ele também é um grupo de segurança (tem o marcador Segurança). Veja mais detalhes em Gerenciar participantes automaticamente com grupos dinâmicos.
  • Grupos de segurança: converta um grupo padrão ou dinâmico em um grupo de segurança, o que ajuda a regular, auditar e monitorar o grupo em busca de permissões e controle de acesso. É possível criar grupos de segurança no Admin Console ou na API Cloud Identity Groups. Para mais detalhes, acesse Controlar o acesso a dados sensíveis com grupos de segurança.
  • Grupos migrados: use o Google Cloud Directory Sync (GCDS) para sincronizar grupos criados no Microsoft Active Directory ou em outras ferramentas com o Google Workspace. Em seguida, use esses grupos sincronizados nas regras de proteção de dados. Veja mais detalhes em Sobre o Google Cloud Directory Sync.

As regras se aplicam aos arquivos com base nos proprietários, não em quem os acessa. Se o escopo for restrito a uma unidade organizacional ou um grupo, a regra vai ser aplicada apenas aos arquivos que pertencem aos usuários e aos drives compartilhados nessa unidade organizacional ou grupo.

Definir as condições da regra

É possível criar uma regra de proteção de dados sem condições. Se você fizer isso, a regra será aplicada a todos os arquivos, mensagens ou eventos relevantes. Ou você pode especificar condições que definem o conteúdo ou a atividade sensível a ser verificada.

Uma regra geralmente compara o conteúdo com:

Uma regra pode combinar várias condições usando os operadores AND, OR ou NOT. Para mais detalhes, acesse Regras de proteção de dados com operadores de condição aninhados.

Criar uma regra de teste

Você pode criar uma regra de proteção de dados somente de auditoria para testar o impacto potencial sem interromper os usuários. Quando acionada, uma regra somente de auditoria não realiza nenhuma ação, exceto registrar eventos nos eventos de registro de regras e na ferramenta de investigação de segurança.

Para criar uma regra de teste somente de auditoria:

  1. Criar uma regra de proteção de dados. Quando você chegar à seção Ações, não selecione uma ação. Verifique se o status da regra está definido como Ativo.
  2. Escolha uma opção para testar a funcionalidade:
    • Acione a regra usando dados de teste.
    • Aguarde até que os usuários compartilhem dados pessoais compartilhados que possam ser afetados pela regra.
  3. Monitore os resultados:
  4. Depois de testar a regra, edite-a para aplicar uma ação, como bloquear ou avisar.
As mudanças podem levar até 24 horas, mas costumam ser mais rápidas. Saiba mais

Veja mais informações em Práticas recomendadas para testar regras em menos tempo.