防止 Chat 消息和附件发生数据泄露

Chat 是对延迟时间敏感的应用，因此我们设计了 Chat 数据泄露防护功能，以免降低最终用户体验。

• 对于消息，数据泄露防护功能会在给定的时间内进行扫描。根据检测器的复杂性和数量，部分检测器可能无法及时完成检测，系统不会强制执行。DLP 扫描状态会包含在所发送的消息和上传的附件的 Google Chat 审核日志中。
• 以下预定义的检测器可能需要更多时间来完成扫描，在 Chat 数据泄露防护规则中使用这些检测器会增加扫描超时的风险：
  • 出生日期
  • 姓名
• 给与附件更多扫描时间。

系统会将以逗号分隔值 (.csv) 文件视为纯文本。因此，您在查看文件数据时可在列中发现的明显的违规内容，数据泄露防护功能可能无法发现。

确保用户的 Gmail 和 Google Chat 应用是最新版本，以便他们收到已屏蔽的 Chat 对话的完整消息。在旧版 Gmail 和 Chat 中，可能会触发警告的内容会被屏蔽。

如果您创建的数据泄露防护规则未设置任何条件，则该规则会将指定的操作应用于每一条 Chat 消息和/或所有上传的文件（具体取决于您在创建规则时是选择消息还是文件附件，或者同时选择两者）。

Chat 消息或附件被屏蔽后，用户可能会收到以下消息：

• 无法发送消息
• 无法更新消息

  根据贵组织的政策，您的消息可能包含不得分享的敏感内容（例如信用卡号）。请根据需要进行修改；如有任何问题，请与管理员联系。

消息被屏蔽后，用户可以关闭对话框，或点击修改消息，然后修改消息文本或移除违规附件。

当 Chat 消息或附件触发警告时，用户会收到以下消息。注意，系统最初会屏蔽消息，并且仅在用户仍然选择发送消息时才会发送：

• 检查您的消息

  根据贵组织的政策，您的消息可能包含不得分享的敏感内容（例如信用卡号）。请根据需要进行修改；如有任何问题，请与管理员联系。

收到警告后，用户可以点击修改消息来修改消息文本，点击仍然发送以原样发送文本，或关闭对话框。

当文本或附件中包含社会保障号时，此规则会屏蔽对话（内部或外部）。

1. 在 Google 管理控制台中，依次点击“菜单”图标 规则 创建规则 数据保护。

   前往“数据保护”

   需要拥有查看和管理数据泄露防护规则的特权。

2. 添加规则的名称和说明，例如“在聊天中分享社会保障号时屏蔽”。
3. 对于 Google Chat，选择发送了消息和上传了文件（附件）。
4. 点击继续。
5. 在操作部分的“Google Chat”下，选择屏蔽消息。选择何时执行此操作。在此示例中，请选择外部对话和内部对话。将聊天室、群聊和 1 对 1 聊天保持为选中状态。
6. （可选）在提醒部分：
   • 请选择严重程度级别（“低”“中”或“高”），以确定如何在安全信息中心内报告此规则触发的事件。
   • 选择是否将此规则触发的事件的相关提醒发送到提醒中心。您还可以选择通过电子邮件向所有超级用户或其他收件人发送提醒通知。
7. 点击继续。
8. 在范围部分中，选择应用到整个 <domain.name>domain.name，或选择将规则应用到特定组织部门或群组，具体做法是搜索相应组织部门或群组，进行添加或排除。
9. 在内容条件部分中，点击添加条件并选择以下值：
   1. 要扫描的内容类型 - 所有内容（注意，如果您选择 Google Chat，那么无论您选择了什么其他应用，“所有内容”都是唯一可用的内容类型）
   2. 要扫描的内容 - 与预定义的数据类型匹配（推荐）
   3. 选择数据类型 - 美国 - 美国社会保障号。
   4. 可能性阈值 - 高。该条件的置信度阈值。这是用来决定消息是否触发规则操作的额外衡量标准。
   5. 不重复匹配数量下限 - 1。要触发相应操作，消息或附件中必须出现的不重复的最少匹配次数。
   6. 最低相符项目数 - 1。内容必须在消息或附件中出现几次才会触发相应操作。例如，如果您选择 2，那么邮件中必须出现至少 2 次个人身份信息才会触发相应操作。
10. 点击继续以查看规则详情。Chat 的操作是屏蔽外部和内部话题中的消息。
11. 为规则选择状态：
    • 活跃 - 您的规则会立即生效
    • 未启用 - 系统会保存您的规则，但不会立即运行。这样，在执行该规则前，您就有充足的时间来检查规则并与团队成员共享。稍后，您可以前往安全性 访问权限和数据控件 数据保护 管理规则来启用该规则。点击该规则的“未启用”状态，然后选择活跃。启用后，系统会立即执行该规则，DLP 会扫描敏感内容。
12. 点击创建。

此组合规则禁止您通过 Chat 附件或云端硬盘文件对外共享护照信息。

1. 在 Google 管理控制台中，依次点击“菜单”图标 规则 创建规则 数据保护。

   前往“数据保护”

   需要拥有查看和管理数据泄露防护规则的特权。

2. 添加规则的名称和说明，例如“在 Chat 和云端硬盘中共享护照号码时屏蔽”。
3. 对于 Google 云端硬盘，请选择云端硬盘文件。对于 Google Chat，仅选择上传了文件。
4. 点击继续。
5. 在操作部分中：
   1. 在“Google Chat”下方，选择屏蔽消息。选择何时执行此操作。在本示例中，取消选择内部话题，并让外部话题保持选中状态。您还可以选择要应用该规则的聊天类型。
   2. 在“Google 云端硬盘”下方，选择禁止与外部共享。
6. （可选）在提醒部分：
   • 请选择严重程度级别（“低”“中”或“高”），以确定如何在安全信息中心内报告此规则触发的事件。
   • 选择是否将此规则触发的事件的相关提醒发送到提醒中心。您还可以选择通过电子邮件向所有超级用户或其他收件人发送提醒通知。
7. 点击继续。
8. 在范围部分中，选择应用到整个 <domain.name>domain.name，或选择将规则应用到特定组织部门或群组，具体做法是搜索相应组织部门或群组，进行添加或排除。
9. 在内容条件部分中，点击添加条件并选择以下值：
   1. 要扫描的内容类型 - 所有内容（注意，如果您选择 Google Chat，那么无论您选择了什么其他应用，“所有内容”都是唯一可用的内容类型）。
   2. 要扫描的内容 - 与预定义的数据类型匹配（推荐）
   3. 选择数据类型 - 美国护照
   4. 可能性阈值 - 高。该条件的置信度阈值。这是用来决定消息是否触发操作的额外衡量标准。
   5. 不重复匹配数量下限 - 1。要触发相应操作，非重复匹配结果必须在文档中出现的最少次数。
   6. 最低相符项目数 - 1。要触发相应操作，指定内容必须在邮件中出现的最少次数。例如，如果您选择 2，那么邮件中必须出现至少 2 次个人身份信息才会触发相应操作。
10. 点击继续以查看规则详情。Chat 只能屏蔽外部话题中的内容。云端硬盘的相关操作是禁止与外部共享内容。
11. 为规则选择状态：
    • 活跃 - 您的规则会立即生效
    • 未启用 - 系统会保存您的规则，但不会立即运行。这样，在执行该规则前，您就有充足的时间来检查规则并与团队成员共享。稍后，您可以前往安全性 访问权限和数据控件 数据保护 管理规则来启用该规则。点击该规则的“未启用”状态，然后选择活跃。启用后，系统会立即执行该规则，DLP 会扫描敏感内容。
12. 点击创建。

在此示例中，当上传到 Chat（作为附件）的文档中出现项目代号（在此示例中为 SpiderWeb）或项目缩略词（在此示例中为 SpdW）时，您可以在规则审核日志中记录。

1. 在 Google 管理控制台中，依次点击“菜单”图标 规则 创建规则 数据保护。

   前往“数据保护”

   需要拥有查看和管理数据泄露防护规则的特权。

2. 添加规则的名称和说明，例如“在 Chat 中共享名称时记录”。
3. 对于 Google Chat，仅选择上传了文件。
4. 点击继续。
5. 在操作部分的 Chat 下方，选择仅记入审核日志。此外，对于 Chat，请选择何时执行此操作。在此示例中，请同时选择外部对话和内部对话。
6. （可选）在提醒部分：
   • 请选择严重程度级别（“低”“中”或“高”），以确定如何在安全信息中心内报告此规则触发的事件。
   • 选择是否将此规则触发的事件的相关提醒发送到提醒中心。您还可以选择通过电子邮件向所有超级用户或其他收件人发送提醒通知。
7. 点击继续。
8. 在范围部分中，选择应用到整个 <domain.name>domain.name，或选择将规则应用到特定组织部门或群组，具体做法是搜索相应组织部门或群组，进行添加或排除。
9. 在内容条件部分中，点击添加条件并选择以下值：
   1. 要扫描的内容类型 - 所有内容（注意，如果您选择 Google Chat，那么无论您选择了什么其他应用，“所有内容”都是唯一可用的内容类型）。
   2. 要扫描的内容 - 包含文本字符串
   3. 输入要匹配的内容 - SpiderWeb
10. 点击添加条件以添加“或”条件，然后选择以下值：
    1. 要扫描的内容类型 - 所有内容
    2. 要扫描的内容 - 包含文本字符串
    3. 输入要匹配的内容 - SpdW
11. 点击继续以查看规则详情。请注意，在操作下方，针对 Chat 的操作为仅记入审核日志，并提到该操作针对外部话题和内部话题。
12. 为规则选择状态：
    • 活跃 - 您的规则会立即生效
    • 未启用 - 系统会保存您的规则，但不会立即运行。这样，在执行该规则前，您就有充足的时间来检查规则并与团队成员共享。稍后，您可以前往安全性 访问权限和数据控件 数据保护 管理规则来启用该规则。点击该规则的“未启用”状态，然后选择活跃。启用后，系统会立即执行该规则，DLP 会扫描敏感内容。
13. 点击创建。

在此示例中，您将创建一个列出项目敏感字词的自定义检测器。然后，您要将此自定义检测器用作某个数据泄露防护规则中的一个条件。

创建检测器

1. 在 Google 管理控制台中，依次点击“菜单”图标 安全性 访问权限和数据控件 数据保护。

   前往“数据保护”

   需要拥有查看 DLP 规则和管理 DLP 规则的管理员权限。

2. 点击管理检测器。
3. 点击添加检测器，然后点击字词表。
4. 在添加字词表窗口中：
   1. 添加名称（例如“敏感字词”）和说明。
   2. 添加以逗号分隔的敏感字词列表。请注意，系统会忽略大小写和符号，并且只匹配完整的字词。字词列表检测器中的字词应至少包含 2 个字母或数字。
5. 点击创建。现在，您可以在规则条件中使用该自定义检测器了。

在规则中使用自定义检测器

1. 在 Google 管理控制台中，依次点击“菜单”图标 安全性 访问权限和数据控件 数据保护。

   前往“数据保护”

   需要拥有查看 DLP 规则和管理 DLP 规则的管理员权限。

2. 依次点击管理规则 添加规则 新规则。
3. 添加规则的名称（例如，需要警告用户的敏感字词）和说明。
4. 对于 Google Chat，请选择发送了消息和上传了文件。
5. 点击继续。
6. 在“操作”部分的“Google Chat”下，选择警告用户。此外，对于 Chat，请选择何时执行此操作。在此示例中，请选择外部对话和内部对话。
7. （可选）在提醒部分：
   • 请选择严重程度级别（“低”“中”或“高”），以确定如何在安全信息中心内报告此规则触发的事件。
   • 选择是否将此规则触发的事件的相关提醒发送到提醒中心。您还可以选择通过电子邮件向所有超级用户或其他收件人发送提醒通知。
8. 在范围部分，选择应用到整个<域名>，或选择将规则应用到特定组织部门或群组，具体做法是搜索相应组织部门或群组，进行添加或排除。
9. 在内容条件部分中，点击添加条件并选择以下值：
   • 要扫描的内容类型 - 所有内容（注意，如果您选择 Google Chat，那么无论您选择了什么其他应用，“所有内容”都是唯一可用的内容类型）。
   • 要扫描的内容 - 与字词表中的字词匹配
   • 字词表名称 - 敏感字词
   • 匹配模式 - 匹配任意字词
   • 任意字词被检测到的最少总次数 - 1
10. 点击继续以查看规则详情。请注意，在操作下方，针对 Chat 的操作是警告用户，并提到该操作针对外部话题和内部话题。
11. 为规则选择状态：
    • 活跃 - 您的规则会立即生效
    • 未启用 - 系统会保存您的规则，但不会立即运行。这样，在执行该规则前，您就有充足的时间来检查规则并与团队成员共享。稍后，您可以前往安全性 访问权限和数据控件 数据保护 管理规则来启用该规则。点击该规则的“未启用”状态，然后选择活跃。启用后，系统会立即执行该规则，DLP 会扫描敏感内容。
12. 点击创建。

规则模板会提供一组条件，可覆盖大量常见的数据保护情况。请使用规则模板为常见的数据保护情况设置政策。

此示例使用规则模板禁止发送包含美国个人身份信息 (PII) 的聊天消息，向聊天消息上传包含此类信息的文件，或者共享包含此类信息的云端硬盘文件。

在开始前，请先使用超级用户账号或者拥有以下权限的委派管理员账号登录：

• “组织单元管理员”权限。
• “群组管理员”权限。
• 查看 DLP 规则和管理 DLP 规则的权限。请注意，您必须同时启用“查看”和“管理”权限，才能拥有创建和修改规则的完整权限。我们建议您创建同时拥有这两种权限的自定义角色。
• “查看元数据和属性”权限（仅在使用调查工具时需要）：安全中心 调查工具 规则 查看元数据和属性。

详细了解管理员权限和如何创建自定义管理员角色。

1. 依次前往“菜单”图标 规则。
2. 点击模板。
3. 在“模板”页面中，点击 Prevent PII information sharing (US)（禁止共享（美国）个人身份信息）。
4. 在名称部分，接受规则的默认名称和说明，或输入新值。
5. 在应用下方，系统会预先选择以下选项：
   • 对于 Google Chat，系统会勾选发送了消息和上传了文件。
   • 对于 Gmail，系统会勾选发送了消息。
   • 对于 Google 云端硬盘，系统会选择云端硬盘文件。
6. 点击继续以查看为个人身份信息规则模板选择的默认“操作”（对于 Chat 和 Gmail，请选择“屏蔽消息”；对于云端硬盘，请选择“禁止与外部共享”）。
7. 点击继续。
8. 在范围部分，搜索并选择要应用规则的组织部门和群组。
9. 查看个人身份信息规则模板的默认预选条件：
   • 要扫描的内容类型 - 所有内容（注意，如果您选择 Google Chat，那么无论您选择了什么其他应用，“所有内容”都是唯一可用的内容类型）。
   • 要扫描的内容 - 与预定义的数据类型匹配（推荐）
   • 选择数据类型 - 多种数据类型，包括社会保障号、驾驶执照号码和美国护照号码。
   • 可能性阈值 - 很高。该条件的置信度阈值。这是用来决定消息是否触发操作的额外衡量标准。
   • 不重复匹配数量下限 - 1。要触发相应操作，非重复匹配结果必须在文档中出现的最少次数。
   • 最低相符项目数 - 1。要触发相应操作，指定内容必须在邮件中出现的最少次数。例如，如果您选择 2，那么邮件中必须出现至少 2 次个人身份信息才会触发相应操作。
10. 点击继续以查看规则详情。
11. 为规则选择状态：
    • 活跃 - 您的规则会立即生效
    • 未启用 - 系统会保存您的规则，但不会立即运行。这样，在执行该规则前，您就有充足的时间来检查规则并与团队成员共享。稍后，您可以前往安全性 访问权限和数据控件 数据保护 管理规则来启用该规则。点击该规则的“未启用”状态，然后选择活跃。启用后，系统会立即执行该规则，DLP 会扫描敏感内容。
12. 点击创建。

作为贵组织的管理员，您可以添加要在触发规则时向用户显示的消息。您可以自定义消息，帮助用户了解并修正违规内容，然后屏蔽消息或向用户发出警告。

1. 依次前往“菜单”图标 规则。
2. 在对敏感内容进行分类和保护部分，点击创建规则。
3. 点击名称，然后输入规则的名称。
   （可选）如需输入规则的说明，请点击说明，然后输入说明。
4. 在应用和 Google Chat 部分，选择以下一个或多个选项：
   • 如需对消息应用规则，请勾选发送了消息复选框。
   • 如需将规则应用于附件，请勾选上传了文件复选框。
5. 点击继续。
6. 点击操作，然后选择一个选项：
   • 如需警告用户，请选择警告用户。
   • 如需屏蔽消息，请选择屏蔽消息。
7. 选择何时应用规则，然后勾选自定义消息复选框。
8. 输入自定义消息。您可以创建长度高达 300 个字符的消息，并插入链接。插入的网址会计入消息的字符数限制。
9. （可选）如需在管理控制台中选择如何报告此规则触发的事件的严重程度，请针对提醒选择低、中或高。
10. （可选）如需在规则触发事件时向提醒中心发送提醒，请勾选发送至提醒中心复选框；如需向所有超级用户发送提醒通知，请勾选所有超级用户复选框。您也可以输入其他电子邮件收件人来接收通知。
11. 在范围部分，选择一个选项：
    • 如需将规则应用于整个组织，请选择 domain.namedomain.name 中的所有用户。
    • 如要将规则应用于特定组织部门或群组，请选择组织部门和/或群组，然后包含或排除组织部门和群组。
12. （可选）如需添加条件，请执行以下操作：
    1. 点击 Add Condition。对于 Google Chat 而言，所有内容是唯一选项。
    2. 点击要扫描的内容，然后填写扫描类型所需的属性。
       
       如果您创建的数据泄露防护规则未设置任何条件，则该规则会将指定的操作应用于每一条 Chat 消息和所有上传的文件（具体取决于您在创建规则时是选择消息还是文件附件，或者同时选择两者）。
13. 点击继续并查看规则详情。
14. 为规则选择状态：
    • 有效 - 您的规则会立即生效。
    • 未启用 - 系统会保存您的规则，但不会立即运行。这样，在执行该规则前，您就有充足的时间来检查规则并与团队成员共享。稍后如要启用该规则，请在管理控制台中依次前往安全性 访问权限和数据控件 数据保护 管理规则，将状态更改为已启用，然后点击确认。
15. 点击创建。

1. 在管理控制台首页，依次前往安全性 访问权限和数据控件 数据保护。
2. 在数据保护设置下方，点击光学字符识别 (OCR)。默认状态为开启。如果 OCR 为关闭状态，请选择关闭并将其滑动到开启位置。
3. 点击保存。这会为应用于 Google Chat 的数据保护规则开启 OCR。

注意：启用 OCR 设置后，该设置将应用于所有 Chat 数据泄露防护规则。您无法选择将 OCR 应用于特定规则。

您可以在创建数据保护规则时验证 OCR 是否已开启。

1. 在管理控制台首页，点击规则。
2. 在保护您的敏感内容下方，点击创建规则。
3. 输入规则的名称和说明。
4. 在应用下方，为 Google Chat 勾选上传了文件。
5. 点击可检查 OCR 是否已开启。如果未为 Google Chat 选择 OCR，请选中 Google Chat 框，然后点击保存。
6. 点击继续以完成规则的创建。如需创建规则方面的帮助，请参阅上文中的 Chat 数据泄露防护功能 - 规则示例。

在以下情况下，您无法查看原始违规消息或附件：

• 消息未发送（遭到屏蔽）。只能查看已发送且违反仅记入审核日志规则的内容。
• 消息是在其他组织所拥有的话题中发送的。
• 消息超过了保留期限。