Эта функция доступна в версиях Frontline Standard, Frontline Plus, Enterprise Standard, Enterprise Plus, Education Fundamentals, Education Standard и Education Plus. Сравнение версий
Функция защиты от потери данных (DLP) для Gmail позволяет создавать правила защиты данных, чтобы управлять конфиденциальным контентом, которым ваши пользователи делятся в электронных письмах. При использовании DLP для Gmail правила применяются к письмам, отправленным пользователям в организации и за ее пределами,
Как работает DLP для Gmail
Когда пользователь отправляет или получает электронное письмо, функция DLP сканирует его на наличие конфиденциального контента. Если письмо или прикрепленный файл нарушает правило, к письму применяется заданное в правиле действие.
Процесс работы DLP для Gmail
- Добавьте правила защиты данных, определяющие конфиденциальный контент и действие, которое нужно применить к сообщениям с ним.
- Когда пользователь отправляет или получает письмо, функция DLP сканирует контент на соответствие правилам.
- При обнаружении соответствия функция DLP применяет действие, заданное в правиле.
- Все события регистрируются в журнале событий правил для последующего анализа.
Какой контент сканируется?
- Типы файлов: TXT, DOC, DOCX, RTF, HTML, XHTML, XML, PDF, PPT, PPTX, ODP, ODS, ODT, XLS, XLSX, PS, CSS, CSV, JSON и SH.
- Графические файлы (если включено оптическое распознавание символов) – EPS, BMP, GIF, JPEG, PNG. При асинхронном сканировании DLP функция OCR также проверяет изображения в PDF-файлах. Функция оптического распознавания символов работает по принципу максимальной эффективности и может пропускать изображения.
- Сжатые типы файлов — BZIP, RAR, TAR, ZIP
- Специальные типы файлов – HWP, KML, KMZ, SDC, SDD, SDW, SXC, SXI, SXW, WML и XPS.
- Метаданные файла, например его название и расширение имени файла.
Если в письме более одного прикрепленного файла, правило срабатывает, когда хотя бы один из них соответствует условию правила. Иногда из-за этого правила, включающие условие НЕ, дают неожиданные результаты. Например, если используется условие НЕ (в контенте есть номер социального страхования (SSN)) и одно из вложений содержит SSN, условие будет истинным и правило не сработает.
Какой контент не сканируется?
- Текст и тема письма для правил, в которых используются условия "Название файла", "Расширение имени файла" или "Тип файла".
- Содержимое файлов, защищенных паролем. Чтобы заблокировать или поместить в карантин прикрепленные файлы, защищенные паролем, используйте правила соответствия для прикрепленных файлов. Подробнее о том, как фильтровать письма с прикрепленными файлами…
Триггеры
Прежде чем определять, какой контент должно искать правило, укажите триггер, который будет запускать сканирование. В DLP для Gmail триггерами являются:
- Сообщение отправлено – сканируются исходящие сообщения и прикрепленные файлы.
- Получено сообщение – сканируются входящие сообщения и прикрепленные файлы.
Действия DLP
Если будет обнаружен конфиденциальный контент, правило применит одно из указанных ниже действий. Вы можете выбрать действия, перечисленные в таблице ниже.
Если у вас есть схожие правила с разными действиями, приоритет будет иметь то, которое предусматривает более строгие меры. Например, если одно правило предупреждает пользователей при обнаружении номера социального страхования (SSN), а другое – блокирует использование SSN, сработает правило блокировки, и пользователь не сможет отправить или получить электронное письмо.
Если в качестве триггера выбрано Получено письмо, доступны только действия Только аудит и Применить ярлыки классификации.
| Действие | Описание |
|---|---|
| Заблокировать сообщение |
Только исходящие сообщения. Блокирует доставку электронных писем и отправляет пользователю уведомление. При необходимости добавьте сообщение для пользователей. Событие регистрируется. |
| Показывать пользователям предупреждение |
Только исходящие сообщения. После предупреждения пользователь может продолжить выполнение действия. При необходимости можно добавить собственное предупреждение для пользователей. Выбор пользователя регистрируется в журнале событий. |
| Поместить сообщение в карантин |
Только исходящие сообщения. Помещает письма в карантин, чтобы администратор мог проверить их перед отправкой или возвратом. При необходимости можно применить условия карантина или добавить сообщение для пользователей. Подробнее о том, как настроить карантин электронной почты… |
| Только аудит |
Пользователь может продолжить выполнение действия без прерываний. Событие регистрируется. Вы можете выбрать, какие сообщения нужно проверять: от внешних отправителей, от внутренних отправителей или от тех и других. |
| Применить ярлыки классификации |
Применяет существующий ярлык классификации к подходящим электронным письмам. Поддерживаются только ярлыки со значком и стандартные ярлыки с типом поля "Список вариантов". Вы можете применять ярлыки классификации к письмам от внешних и/или внутренних отправителей. В правиле защиты данных нельзя использовать ярлык классификации в качестве условия и действия одновременно. Подробнее о DLP и автоматическом применении ярлыков классификации в Gmail… |
| Добавить собственную заметку |
Добавляет пользовательский заголовок или нижний колонтитул в соответствующие электронные письма. Подробнее о том, как добавить собственные заметки… |
Условия DLP
Вы можете создать правило защиты данных без условий. В этом случае правило применяется ко всем отправленным сообщениям, всем полученным файлам или и к тому, и к другому (в зависимости от выбранного триггера).
Вы также можете указать условия в правиле защиты данных, определяющие, какой контент или действия нужно искать при сканировании. Вы можете использовать стандартные типы данных или создать собственные детекторы контента. Кроме того, можно объединить несколько условий с помощью операторов AND, OR и NOT.
Подробнее о том, как использовать стандартные детекторы обнаружения контента, создать собственный, а также о правилах защиты данных со вложенными операторами условий.
Примечание. Условия, основанные на названии файла, расширении имени файла или типе файла, применяются только к прикрепленным файлам. Эти атрибуты не сканируются в тексте или теме письма.
| Тип контента, который нужно сканировать | Что искать | Подробности и использование |
|---|---|---|
| Любой контент |
Соответствует стандартному типу данных Содержит текст Содержит слово Соответствует регулярному выражению Есть в списке слов |
Сканирует весь контент на наличие конфиденциальной информации. При выборе условия Весь контент сканируются только пять типов заголовков: "Тема", "Кому", "От", "Копия" и "Скрытая копия". Эти заголовки изначально доступны для синхронного сканирования. Чтобы сканировать все заголовки, рекомендуем воспользоваться одним из следующих вариантов:
|
| Body |
Соответствует стандартному типу данных Содержит текст Содержит слово Соответствует регулярному выражению Есть в списке слов |
Сканирует текст письма и прикрепленные файлы на наличие конфиденциальной информации. |
| Ярлык для классификации | Равно |
Применен ли к сообщению ярлык классификации. Подробнее о DLP и автоматическом применении ярлыков классификации в Gmail… В правиле защиты данных нельзя использовать ярлык классификации в качестве условия и действия одновременно. |
| Статус конфиденциального режима | Включено Отключено |
Включен ли конфиденциальный режим для письма. Подробнее о том, как включить конфиденциальный режим для защиты сообщений… |
| Заголовки писем |
Соответствует стандартному типу данных Содержит текст Содержит слово Соответствует регулярному выражению Есть в списке слов |
Заголовки писем сканируются на наличие конфиденциальной информации. Хотя большинство заголовков сканируются асинхронно, заголовки "Тема", "Кому", "От", "Скрытая копия" и "Копия" сканируются как асинхронно, так и синхронно. Чтобы не прерывать работу пользователей, не устанавливайте условие отрицательного соответствия (условие |
| Тема |
Соответствует стандартному типу данных Содержит текст Содержит слово Соответствует регулярному выражению Есть в списке слов |
Синхронно сканирует темы писем на наличие конфиденциальной информации. |
| Filename |
Содержит текст Содержит слово |
Сканирует названия прикрепленных к письмам файлов. Это условие не сканирует текст письма или строку темы. |
| File extension (Расширение имени файла) |
Соответствует любой текстовой строке |
Сканирует расширения файлов, прикрепленных к письмам. Не добавляйте точку (укажите pdf, а не .pdf). |
| Тип файла |
Соответствует стандартному MIME-типу Соответствует специальному MIME-типу Соответствует категории системного файл |
Сканирует структурный тип файла (MIME-тип) прикрепленных к письмам файлов, чтобы определить конкретные форматы медиафайлов или классы системных файлов, независимо от того, что указано в тексте расширения. Это условие не сканирует текст письма или строку темы. |
Создать правило
Когда вы определите, что должно делать правило, создайте его. Подробнее о том, как создавать правила защиты данных…
Примеры использования
В таблице ниже приведены примеры того, как объединить триггер (что делает пользователь), условия (что проверяется) и определенное действие (применение), чтобы задать правила DLP. Чтобы использовать таблицу:
- Выберите триггер.
- Сопоставьте значения условий с соответствующими вариантами.
- Выберите действие.
| Вариант использования | Trigger (Триггер). | Условие | Действие |
|---|---|---|---|
| Предупреждение пользователей, когда письма Gmail или прикрепленные файлы содержат номер кредитной карты | Google Gmail  Отправлено сообщение |
Тип контента: весь контент. Соответствие: соответствует стандартному типу данных Тип данных: универсальный – номер кредитной карты. Порог вероятности – "Высокий". Мин. число уникальных совпадений: 1. Наименьшее количество совпадений: 1. |
Показывать пользователям предупреждение |
| Блокировать письма Gmail, если текст письма содержит идентификационный номер налогоплательщика США и для письма не используется конфиденциальный режим | Google Gmail Сообщение отправлено |
Условие 1 Тип контента: тело. Соответствие: соответствует стандартному типу данных Тип данных: "США – индивидуальный идентификационный номер налогоплательщика".
Условие 2 Тип контента: "Статус конфиденциального режима". Значение: "Отключено". |
Заблокировать сообщение |
| Как классифицировать входящие письма от внутреннего задания | Google Gmail Сообщение получено |
Тип контента: заголовки сообщения электронной почты. Совпадение: содержит строку Значение: an-internal-job-address@example.com. Минимальное количество повторений шаблона: 1. |
Применить ярлык классификации: Внутренний |
Приоритеты и конфликты правил DLP
Когда письмо активирует одно или несколько правил защиты от потери данных (DLP), Gmail принимает меры по защите данных в письмах. Если одно письмо активирует несколько правил, Gmail выполняет действия в определенном порядке, чтобы в первую очередь выполнялись самые важные или защитные действия.
Например, если к письму применяются несколько правил, Gmail блокирует его, а не помещает в карантин, и помещает в карантин, а не показывает предупреждение. Это гарантирует, что конфиденциальные данные всегда будут обрабатываться в соответствии с самым строгим правилом, применимым к сообщению.
Типы действий DLP
Действия классифицируются по тому, как они влияют на сообщение или пользователя. В таблице ниже используются следующие термины:
- На стороне клиента – действия, которые выполняются в режиме создания письма Gmail, пока пользователь пишет письмо, например диалоговое окно с предупреждением.
- На стороне сервера – действия, которые происходят после того, как пользователь нажимает "Отправить" в новом письме, пока система доставки Gmail обрабатывает сообщение.
- Конфликт. Возникает, когда к одному и тому же электронному письму применяются два разных правила. Например, одно правило требует предупредить пользователя, а другое – заблокировать отправку письма.
| Категория действия | Описание | Когда это происходит | Примеры |
| Настройки выполнения | Определяет, будет ли отправлено письмо. Это самые важные. | При написании письма и после отправки | Блокировать, помещать в карантин, предупреждать пользователя |
| Отчеты и журналы | Сохраняет запись о событии, чтобы вы могли проверить ее позже, не вмешиваясь в работу с письмом. | При написании письма и после отправки | Только аудит |
| Изменения в метаданных сообщений | Обновляет скрытую информацию или ярлыки в письме (например, ярлыки конфиденциальности). | Во время создания и после отправки Эти действия всегда выполняются с письмами, независимо от других активированных действий. Теги добавляются, когда пользователь пишет письмо, но обычно их нельзя изменить после того, как письмо сохранено в системе. |
Примените ярлыки |
| Изменения в электронной почте | Добавляет или изменяет текст в письме. | Только после отправки | Добавить нижний колонтитул |
| Оповещения | Отправляет уведомление администратору или определенному пользователю. | Во время создания и после отправки | Уведомление Центра оповещений |
Как Gmail управляет приоритетами и конфликтами правил DLP
Если письмо активирует несколько правил, Gmail применяет их следующим образом:
Приоритет выполнения – от самого высокого до самого низкого
Если к письму применяется несколько правил, Gmail применяет только самое строгое из них. Приоритет действий с сообщениями:
- Заблокировать сообщение (наивысший приоритет) – отправка сообщения немедленно блокируется, и пользователь получает уведомление о том, что сообщение не было отправлено.
- Поместить письмо в карантин – отправить сообщение в карантин, чтобы администратор мог его проверить, а затем отправить или вернуть. Пользователь получит уведомление.
- Показывать пользователям предупреждение – пользователь увидит предупреждение о содержимом письма. но у него будет возможность отправить сообщение.
Если письмо активирует несколько правил DLP с одним и тем же действием (например, блокировкой письма), Gmail применяет только одно из них. Gmail применяет первое правило в алфавитном порядке названия ресурса правила. Например, если письмо активирует два правила блокировки, одно с названием ресурса правила policies/abb7a1e4c9f2d8a, а другое – с названием policies/bb7aa1e4c9f2d8a, Gmail применит только правило policies/abb7a1e4c9f2d8a. Gmail игнорирует другое правило.
Как найти название ресурса для правила
Чтобы найти названия ресурсов правил DLP, используйте инструмент "Анализ безопасности". В левой части страницы со сведениями о правиле нажмите Проверить правило, чтобы открыть страницу инструмента "Анализ безопасности" для этого правила. Название ресурса для правила отображается в поле Идентификатор правила в следующем формате: policies/resource-name.
Подробнее о том, как выполнять поиск с помощью инструмента "Анализ безопасности"…
Разрешение конфликтов ярлыков (системных и пользовательских)
Если правила пытаются применить ярлыки, например "Общедоступный" или "Конфиденциально":
- DLP и DLP. Если новое правило DLP применяет ярлык, отличный от ярлыка старого правила DLP, приоритет имеет новый ярлык, который заменяет старый.
- Пользователь и DLP – если пользователь вручную выбирает ярлык и активированное правило DLP разрешает переопределения, то Gmail не будет заменять выбранный пользователем ярлык на ярлык, примененный автоматически с помощью DLP.
Изменения в содержании сообщения
Изменения контента письма, внесенные с помощью правил DLP, имеют более низкий приоритет, чем правила действий DLP при доставке (предупреждение, карантин, блокировка). Примеры изменений содержимого письма: добавление нижнего колонтитула и добавление префикса к теме письма.
Если для добавления колонтитула активировано несколько правил, Gmail применяет их в алфавитном порядке на основе названия ресурса каждого правила и добавляет все колонтитулы. Подробнее о том, как найти название ресурса правила…
Записи и оповещения
- Отчеты. Gmail регистрирует каждое активированное правило, даже если действие было пропущено из-за приоритета другого правила.
- Оповещения. Пользователи получают оповещение только при выполнении определенного действия. Например, если настроено действие "Карантин", но сообщение было заблокировано, пользователи не получат оповещение о карантине.
О синхронном и асинхронном сканировании
При отправке писем Gmail сканирование на соответствие правилам может выполняться синхронно или асинхронно:
Синхронное сканирование. Сканирование на соответствие правилам защиты данных выполняется тогда, когда пользователь нажимает кнопку Отправить. Пользователь получает уведомление о конфиденциальном контенте до отправки письма. Веб-версия и мобильное приложение Gmail выполняют синхронное сканирование.
Примечание. Письма, сохраненные пользователем как черновики, также сканируются, и пользователь получает уведомление о любом конфиденциальном контенте.
Асинхронное сканирование. Сканирование письма на соответствие правилам защиты данных выполняется после отправки из почтового ящика. Пользователь получает сообщение о том, что письмо заблокировано или помещено в карантин до того, как оно доставляется получателю. Асинхронное сканирование выполняется в том случае, если пользователь отправляет письмо с помощью стороннего почтового приложения, а также в случае сбоя синхронного сканирования.
При получении сообщений Gmail правила сканируются до того, как сообщение доставляется в почтовый ящик получателя.
Результаты синхронного и асинхронного сканирования отправленных сообщений
Синхронное сканирование: веб-версия или мобильное приложение Gmail
Если сработает правило с действием Заблокировать сообщение:
- Пользователь увидит уведомление о том, что письмо в текущем виде отправить нельзя. Вы можете указать собственный текст для этого предупреждения.
- В уведомлении есть кнопка Назад к редактированию, поэтому пользователь может вернуться к редактированию письма, чтобы изменить или удалить конфиденциальный контент.
- Когда пользователь отправит отредактированное письмо, оно снова сканируется и проверяется на соответствие всем применимым правилам.
Если сработает правило с действием Показывать пользователям предупреждение:
- Появится уведомление о том, что сообщение может содержать конфиденциальный контент. Вы можете добавить собственное сообщение в параметрах правила.
- В уведомлении есть кнопка Назад к редактированию, поэтому пользователь может вернуться к редактированию письма, чтобы изменить или удалить конфиденциальный контент.
- В уведомлении есть кнопка Все равно отправить, позволяющая отправить письмо в текущем виде.
Если сработает правило с действием Поместить сообщение в карантин:
- Появится уведомление о том, что сообщение может содержать конфиденциальный контент. Вы можете добавить собственное сообщение в параметрах правила.
- В диалоговом окне есть кнопка Назад к редактированию, поэтому пользователь может вернуться к редактированию письма, чтобы изменить или удалить конфиденциальный контент.
- В окне есть кнопка Отправить на проверку, чтобы пользователь мог отправить письмо на проверку администратору или другому уполномоченному сотруднику. После проверки письма администратор может одобрить доставку получателю или заблокировать отправку.
Если сработает правило с действием Только аудит:
- Пользователь не увидит уведомления, а письмо будет доставлено получателям.
- В журналы аудита будет записано событие, связанное с письмом.
Примечание. Письма, которые сканируются синхронно, могут быть просканированы снова асинхронно в качестве дополнительной меры безопасности. Из-за этого письмо может быть заблокировано, даже если при синхронном сканировании диалоговое окно не появилось.
Асинхронное сканирование: Gmail через SMTP и сторонний почтовый клиент
Если сработает правило с действием Заблокировать сообщение:
- Письмо появится у отправителя в папке Отправленные.
- Отправитель получит сообщение о том, что письмо заблокировано. Вы можете указать собственный текст для этого предупреждения.
Если сработает правило с действием Показывать пользователям предупреждение:
- Письмо появится у отправителя в папке Отправленные.
- Отправитель получит сообщение о том, что письмо заблокировано. Вы можете указать собственный текст для этого предупреждения.
- Для писем, отправленных с помощью сторонних почтовых клиентов, которые подключены к Gmail через SMTP, правила с действием Показывать пользователям предупреждение работают так же, как правила с действием Заблокировать сообщение.
Если сработает правило с действием Поместить сообщение в карантин:
- Письмо появится у отправителя в папке Отправленные.
- Если письмо не было отправлено, автор увидит предупреждение о том, что оно помещено в карантин. Вы можете указать собственный текст для этого предупреждения.
Если сработает правило с действием Только аудит:
- Отправитель не получит уведомления, а письмо будет доставлено получателю.
Асинхронное сканирование: веб-версия или мобильное приложение Gmail
Если вы используете веб-версию или мобильное приложение Gmail, в качестве дополнительной меры защиты письма сканируются асинхронно ещё раз.
Если сработает правило с действием Заблокировать сообщение:
- Письмо появится у отправителя в папке Отправленные.
- Отправитель получит сообщение о том, что письмо заблокировано. Вы можете указать собственный текст для этого предупреждения.
Если сработает правило с действием Показывать пользователям предупреждение, письмо будет отправлено:
- Письмо появится у отправителя в папке Отправленные.
- В журналы аудита будет записано событие, связанное с письмом.
Если сработает правило с действием Поместить сообщение в карантин:
- Письмо появится у отправителя в папке Отправленные.
- Он может получить уведомление позже, если отправку заблокирует проверяющий.
Если сработает правило с действием Только аудит:
- Отправитель не получит уведомления, а письмо будет доставлено получателю.
Письма, созданные автоматически другими продуктами Google
Gmail отправляет автоматические уведомления и письма, создаваемые другими сервисами Google и Google Workspace, в том числе Календарем, Документами и Диском. Например, если пользователь создаст мероприятие в Календаре и пригласит гостей, будет создано письмо Gmail со сведениями о мероприятии и разослано участникам. Это письмо будет просканировано на стороне сервера. Если контент соответствует условиям какого-либо правила, применяется заданное в правиле действие.
Если сработает правило с действием Заблокировать сообщение:
- Письмо появится у отправителя в папке Отправленные.
- Отправитель получит сообщение о том, что письмо заблокировано. Вы можете указать собственный текст для этого предупреждения.
Если сработает правило с действием Показывать пользователям предупреждение:
- Письмо будет отправлено.
- Письмо появится у отправителя в папке Отправленные.
- В журналы аудита будет записано событие, связанное с письмом.
Если сработает правило с действием Поместить сообщение в карантин:
- Отправитель может получить уведомление позже, если отправку заблокирует проверяющий.
Если сработает правило с действием Только аудит:
- Письмо будет отправлено.
- Отправитель не получит никаких уведомлений.
Взаимодействие DLP с Gmail
Как правила DLP работают в сочетании с другими правилами для писем?
Оценка на соответствие условиям правил защиты данных выполняется до применения правил соответствия содержания и маршрутизации.
Если письмо не будет заблокировано или помещено в карантин в соответствии с правилами защиты данных, будет произведено дополнительное сканирование на выполнение правил соответствия содержания и маршрутизации. Если в результате применения правила соответствия содержания или маршрутизации возникнет новый экземпляр письма (например, будет добавлен получатель), функция DLP отсканирует его до отправки.
Подробнее о том, как задать правила для расширенной фильтрации контента электронных писем…
Как DLP для Gmail взаимодействует с группами?
Для писем, отправленных группам или полученных от них (например, support@example.com), правила защиты данных применяются, только если правило задано для всей организации.
Для писем, отправленных группам, DLP для Gmail:
- Сканируются только письма, отправленные за пределы организации.
- Поддерживает только действие Заблокировать сообщение.
Для писем, полученных группами, DLP в Gmail:
- Сканируется только исходная копия письма.
- Применяет одни и те же ярлыки классификации ко всем участникам группы.
Как использовать инструмент "Анализ безопасности" для выявления нарушений правил защиты данных
Как найти события из журнала правил
Ниже приведен пример поиска писем Gmail, вызвавших срабатывание правила защиты данных. Вы можете использовать другие условия или не использовать их вообще.
-
В консоли администратора Google нажмите на значок меню
Безопасность
Центр безопасности
Инструмент "Анализ безопасности".У вас должны быть права администратора с доступом к центру безопасности.
- Нажмите Источник данных События журнала правил.
- Выберите Конструктор условий Добавить условие Атрибут Тип правила.
- Выберите DLP.
- Нажмите Поиск.
В результатах поиска внизу страницы приведен список событий и сведения о каждом из них.Примечание. Фрагменты конфиденциального контента не поддерживаются для функции DLP в Gmail. Поэтому в столбце Содержит конфиденциальные данные будет значение "Ложь", даже если письмо содержит конфиденциальный контент, из-за которого сработало правило защиты данных.
- Прокрутите страницу до столбца Идентификатор ресурса, нажмите на значок меню
и выберите События журнала Gmail и Идентификатор сообщения. - Нажмите Поиск, чтобы открыть новую поисковую страницу, где источником данных будут события журнала Gmail.
- Чтобы изучить дополнительные сведения, нажмите на идентификатор сообщения для любой строки в результатах поиска. Появится боковая панель с дополнительными сведениями для анализа.
- При необходимости введите обоснование потребности в просмотре контента Gmail, а затем нажмите Подтвердить.
Как экспортировать список нарушений DLP с помощью BigQuery
Вы можете экспортировать нарушения DLP, зарегистрированные в событиях журнала правил, в настраиваемые таблицы для дальнейшего изучения. Подробнее о том, как настроить экспорт служебных журналов в BigQuery…
Поделитесь своим мнением
В консоли администратора на любой из страниц функции защиты данных нажмите Отправить отзыв.