Планирование правил защиты данных

Эта функция доступна в версиях Frontline Standard, Frontline Plus, Enterprise Standard, Enterprise Plus, Education Fundamentals, Education Standard, Education Plus и Enterprise Essentials Plus. Сравнение версий

Прежде чем создавать правила защиты данных для организации, необходимо спланировать и протестировать контент, условия и область действия. Если вы заранее все спланируете, правила защиты данных будут точнее определять конфиденциальные данные и применять подходящие действия для защиты от потери данных (DLP).

Ограничения DLP

  • Мы не можем гарантировать, что будут обнаружены все конфиденциальные данные. Система DLP-обнаружения преобразует правила в регулярные выражения и использует дополнительные параметры, чтобы оценить вероятность совпадения. Так как работа функции зависит от множества факторов, возможны ложные срабатывания и пропущенные файлы.
  • Правила защиты данных могут не работать, если вы превысите ограничения на размер контента и правил. Подробнее об ограничениях для контента и правил DLP…

Если у вас включен отчет о безопасности данных, вы можете получать рекомендации по правилам защиты данных на основе результатов отчета. Например, если в отчете указано, что внешним пользователям доступны номера паспортов, вы можете посмотреть правило, запрещающее делиться паспортными данными.

Подробнее о том, как предотвратить утечку информации с помощью рекомендуемых правил защиты данных…

Проверьте, есть ли шаблон правила, соответствующий вашим требованиям

Вы можете использовать шаблоны правил для распространенных сценариев защиты данных, например чтобы запретить передачу финансовой информации, сведений о здоровье или информации, позволяющей идентифицировать личность. Чтобы упростить создание правил, можно использовать шаблон, а затем при необходимости изменить значения по умолчанию.

Подробнее о том, как создать правило защиты данных на основе стандартного шаблона…

Как выбрать группы для области действия правила

Правило защиты данных можно применить ко всей организации или только к определенным группам в ней. Если вы ещё не используете группы, настройте их, прежде чем создавать правило. Адреса групп должны заканчиваться доменом вашей организации. Внешние группы нельзя использовать в качестве области действия правила.

В правилах защиты данных можно использовать следующие типы групп:

  • Динамические группы. Состав групп автоматически изменяется, когда пользователи присоединяются к вашей организации, перемещаются в ее пределах или покидают ее. Динамические группы, создаваемые в консоли администратора Google или с помощью Cloud Identity API, позволяют сэкономить время на изменении состава участников групп. Если для правила защиты данных нужно использовать динамическую группу, она также должна быть группой безопасности (с ярлыком Группа безопасности). Подробнее об автоматическом изменении списка участников в динамических группах…
  • Группы безопасности. Стандартную или динамическую группу можно преобразовать в группу безопасности. Это упрощает применение правил, аудит и мониторинг для целей управления разрешениями и контроля доступа. Группы безопасности можно создать в консоли администратора или с помощью Cloud Identity Groups API. Подробная информация приведена в статье Как управлять доступом к конфиденциальным данным с помощью групп безопасности.
  • Перенесенные группы. С помощью инструмента Google Cloud Directory Sync (GCDS) можно синхронизировать с Google Workspace группы, созданные в Microsoft Active Directory или других сервисах. Затем вы можете использовать синхронизированные группы в правилах защиты данных. инструмент Google Cloud Directory Sync.

Правила применяются к файлам на основе их владельцев, а не тех, кто получает доступ к файлам. Если область действия ограничена организационным подразделением или группой, правило применяется только к файлам, принадлежащим пользователям и общим дискам в этом подразделении или группе.

Как выбрать условия правил

Вы можете создать правило защиты данных без условий. В этом случае правило будет применяться ко всем соответствующим файлам, сообщениям или событиям. Вы также можете указать условия, определяющие, какой конфиденциальный контент или действия нужно искать при сканировании.

Обычно правило сопоставляет контент со следующими элементами:

Правило может объединять несколько условий с помощью операторов AND, OR или NOT. Подробнее о правилах защиты данных с операторами вложенных условий…

Как создать тестовое правило

Вы можете создать правило защиты данных, предусматривающее только аудит, чтобы протестировать его потенциальное влияние, не мешая работе пользователей. При активации правила, предназначенного только для аудита, не выполняется никаких действий, кроме записи событий в события журнала правил и в инструмент "Анализ безопасности".

Чтобы создать правило, предусматривающее только аудит:

  1. Создайте правило защиты данных. Когда вы перейдете к разделу Действие, не выбирайте действие. Убедитесь, что для параметра "Статус правила" задано значение Активно.
  2. Выберите один из вариантов:
    • Активируйте правило самостоятельно, используя тестовые данные.
    • Подождите, пока пользователи начнут обмениваться данными, на которые может распространяться это правило.
  3. Отслеживайте результаты:
  4. После тестирования правила измените его, чтобы применить действие, например блокировку или предупреждение.
Изменения вступают в силу в течение 24 часов (обычно быстрее). Подробнее…

Подробнее о том, как эффективно проверять правила…