支持此功能的版本：一线员工标准版和一线员工 Plus 版；企业标准版和企业 Plus 版；教育基础版、教育标准版和教育 Plus 版；企业基本功能 Plus 版。比较您的版本
在为贵组织创建任何数据保护规则之前，您应规划和测试内容、条件和范围。通过提前规划，您的数据保护规则将更准确地识别敏感数据，并应用适当的操作来防止数据泄露 (DLP)。
了解 DLP 的限制
- 系统无法保证可以标记所有敏感数据。DLP 检测系统会将规则转译为正则表达式，并使用其他内容参数判断匹配的可能性。许多因素都可能导致系统出现误报和漏报的情况。
- 如果您超出内容和规则大小限制，数据保护规则可能无法正常运行。如需了解详情，请参阅查看数据泄露防护功能内容和规则大小限制。
检查推荐的规则
如果您启用了数据保护洞察报告，则可以根据报告结果获取推荐的数据保护规则。例如，如果报告显示贵组织共享的数据类型中有护照号码，您可以查看用于防止共享护照号码的规则。
有关详情，请参阅利用数据保护推荐规则防范数据泄露。
检查是否存在符合您要求的规则模板
您可以将规则模板用于常见的数据保护场景，例如，防止共享财务、健康或个人身份信息。您可以使用模板来简化规则创建，然后根据需要修改默认值。
如需了解详情，请参阅使用预定义模板创建数据保护规则。
确定规则范围内的群组
您可以将数据保护规则应用于整个组织，也可以仅应用于组织中的特定群组。如果您尚未使用群组，则需要先设置群组，然后才能创建规则。群组地址必须以贵组织的域名结尾。外部群组无法用于规则范围。
数据保护规则可以使用以下类型的群组：
- 动态群组：当用户加入组织、在组织中调动或离开组织时，系统会自动管理用户的成员资格。动态群组可通过 Google 管理控制台或 Cloud Identity API 创建和管理，可助您减少管理群组成员资格所耗费的时间。如需为数据保护规则使用动态群组，请确保该群组同时也是安全群组（具有安全标签）。有关详情，请参阅通过动态群组自动管理成员资格。
- 安全群组：您可以将标准群组或动态群组转换为安全群组，以便管理、审核和监控群组权限以及控制群组的访问权限。您可以通过管理控制台或 Cloud Identity Groups API 创建安全群组。有关详情，请参阅通过安全群组控制对敏感数据的访问。
- 迁移的群组：使用 Google Cloud Directory Sync (GCDS) 将您在 Microsoft Active Directory 或其他工具中创建的群组与 Google Workspace 同步。然后，在数据保护规则中使用这些已同步的群组。有关详情，请参阅关于 Google Cloud Directory Sync。
规则会根据文件所有者（而非文件访问者）应用于文件。如果范围仅限于某个组织部门或群组，则该规则仅适用于该组织部门或群组中的用户和共享云端硬盘所拥有的文件。
确定规则条件
您可以创建不含任何条件的数据保护规则。如果您这样做，该规则将应用于所有相关文件、邮件或事件。或者，您也可以指定条件，以定义要扫描的敏感内容或活动。
规则通常会根据以下内容匹配内容：
- 标准个人信息，例如驾照号码或纳税人识别号码。检查预定义的内容检测器中是否包含所需的数据类型。
- 自定义内容，采用正则表达式和字词列表的形式。如果预定义检测器未涵盖您的敏感内容，您可以创建自己的自定义检测器。
- 分类标签，例如敏感或 NTK。如需了解详情，请参阅通过 DLP 规则自动为云端硬盘文件应用分类标签和 Gmail DLP 和自动分类标签。
- 文件元数据，例如文件名、文件扩展名或文件 MIME 类型。
规则可以使用“与”“或”或“非”运算符组合多个条件。如需了解详情，请参阅使用嵌套条件运算符的数据保护规则。
创建测试规则
您可以创建仅记入审核日志的数据保护规则，在不干扰用户的情况下测试其潜在影响。仅记入审核日志的规则被触发后，系统不会执行任何操作，但会在规则日志事件和安全调查工具中记录事件。
如要创建仅记入审核日志的测试规则，请执行以下操作：
- 创建数据保护规则。在操作部分，不要选择任何操作。确保规则状态设置为有效。
- 选择一个选项来测试功能：
- 使用测试数据自行触发规则。
- 等待用户共享可能受该规则影响的数据。
- 监控结果：
- 测试规则后，请修改规则以应用操作，例如屏蔽或警告。
有关详情，请参阅加快规则测试的最佳做法。