Gmail 向け DLP について

この機能に対応しているエディション: Frontline Standard、Frontline Plus、Enterprise Standard、Enterprise Plus、Education Fundamentals、Education Standard、Education Plus。エディションを比較

Gmail のデータ損失防止（DLP）機能を使用すると、データ保護ルールを作成して、ユーザーがメールで共有するデリケートなコンテンツを管理できます。Gmail の DLP では、ルールは組織内外のユーザーに送信されるメール、または組織内外のユーザーから受信されるメールに適用されます。

Gmail の DLP の仕組み

ユーザーがメール メッセージを送信または受信すると、DLP によってメッセージにデリケートなコンテンツが含まれていないかスキャンされます。メールまたは添付ファイルがルールに違反している場合、ルールで定義されているアクションがメールに適用されます。

Gmail の DLP のフロー

1. デリケートなコンテンツと、デリケートなコンテンツが含まれるメッセージに対して行うアクションを定義するデータ保護ルールを追加します。
2. ユーザーがメールを送信または受信すると、DLP はルールに一致するコンテンツをスキャンします。
3. ルールが一致すると、DLP はルールで定義されたアクションを適用します。
4. すべてのイベントは、確認のためにルールのログイベントに記録されます。

サポートされている添付ファイルの形式

データ保護ルールでは、次の種類の添付ファイルがスキャンされます。

• ドキュメントのファイル形式 - TXT、DOC、DOCX、RTF、HTML、XHTML、XML、PDF、PPT、PPTX、ODP、ODS、ODT、XLS、XLSX、PS、CSS、CSV、JSON、SH
• 画像ファイル形式（OCR を有効にしている場合）- EPS、BMP、GIF、JPEG、PNG、PDF ファイル内の画像
• 圧縮ファイル形式 - BZIP、RAR、TAR、ZIP
• カスタム ファイルの形式 - HWP、KML、KMZ、SDC、SDD、SDW、SXC、SXI、SXW、WML、XPS

複数の添付ファイル

メールに複数の添付ファイルがある場合、いずれかの添付ファイルがルールの条件に一致すると、ルールがトリガーされます。このため、NOT 条件を含むルールで予期しない結果が生じることがあります。たとえば、「除外（SSN を含むコンテンツ）」という条件が使用されており、添付ファイルの 1 つに SSN が含まれている場合、条件が正になるためルールはトリガーされません。

トリガーについて

ルールで検索するコンテンツを定義する前に、スキャン プロセスを開始するトリガーを指定します。Gmail の DLP では、トリガーは次のとおりです。

• メッセージを送信 - 送信メールと添付ファイルがスキャンされます。
• メッセージを受信 - 受信メールと添付ファイルがスキャンされます。

DLP アクションについて

デリケートなコンテンツが検出された場合、ルールで次の表のアクションを適用できます。

検出後の操作が異なる類似したルールがある場合は、より厳しいアクションが優先されます。たとえば、あるルールで社会保障番号（SSN）が見つかった場合に警告を表示し、別のルールで SSN の使用をブロックしている場合、ブロック ルールがトリガーされ、ユーザーはメールを送信または受信できません。

トリガーとして [メールを受信したとき] を選択した場合、使用できるアクションは [監査のみ] と [分類ラベルを適用] のみです。

操作	説明
メッセージをブロック	送信メッセージのみ。メール メッセージの配信をブロックし、ユーザーに通知を送信します。必要に応じて、ユーザー向けのカスタム メッセージを追加できます。イベントがログに記録されます。
ユーザーに警告	送信メッセージのみ。警告メッセージを表示したうえで、ユーザーに操作の続行を許可します。必要に応じて、ユーザー向けのカスタム警告メッセージを追加できます。ユーザーが続行を選択した場合、その選択はログイベントに記録されます。
メールを検疫する	送信メッセージのみ。メールを検疫に移動し、送信または返信の前に管理者が確認できるようにします。必要に応じて、検疫条件を適用したり、ユーザー向けのカスタム メッセージを追加したりできます。 詳しくは、メールの隔離を設定するをご覧ください。
監査のみ	ユーザーは操作を中断することなく続行でき、イベントはログに記録されます。外部送信者、内部送信者、またはその両方のメッセージを監査できます。
分類ラベルを適用する	一致するメールに既存の分類ラベルを適用します。項目の種類として [オプション リスト] が付いたバッジラベルと標準ラベルのみがサポートされています。外部の送信者、内部の送信者、またはその両方からのメッセージに分類ラベルを適用するかどうかを選択できます。 データ保護ルールでは、分類ラベルを条件とアクションの両方に使用することはできません。 詳しくは、 Gmail DLP と自動分類ラベルをご覧ください。
カスタムメモを追加	送信メッセージのみ。一致するメールにカスタム ヘッダーまたはフッターを追加します。 詳しくは、 送信メールに分類メモを追加するをご覧ください。

DLP の条件について

データ保護ルールを作成するときに、スキャンするコンテンツまたはアクティビティを定義する条件を指定できます。事前定義されたデータタイプを使用することも、独自のカスタム コンテンツ検出項目を作成することもできます。AND、OR、NOT 演算子を使用して複数の条件を組み合わせることもできます。

詳しくは、定義済みコンテンツ検出項目の使用方法、カスタム検出項目を作成する、ネストされた条件演算子を使用した DLP ルールの例をご覧ください。

スキャンするコンテンツの種類	スキャン対象	詳細と使用方法
すべてのコンテンツ	事前定義されたデータの種類と一致する テキスト文字列を含む 語句を含む 正規表現に一致する 単語リスト内の単語に一致する	すべてのコンテンツをスキャンして機密情報を検出します。 [すべてのコンテンツ] オプションでは、件名、宛先、From、Bcc、Cc の 5 種類のヘッダーのみがスキャンされます。これらのヘッダーは同期スキャンにすぐに使用できます。すべてのメールヘッダーをスキャンするには、次のいずれかのオプションを使用することをおすすめします。 OR 演算子を使用して複数の条件を追加し、メールヘッダーをスキャンします。 メールヘッダーをスキャンするための個別のルールを作成します。
本文	事前定義されたデータの種類と一致する テキスト文字列を含む 語句を含む 正規表現に一致する 単語リスト内の単語に一致する	メール本文と添付ファイルをスキャンして機密情報を検出します。 メール本文は同期的にスキャンされ、添付ファイルは非同期的にスキャンされます。
分類ラベル	Is	メールに分類ラベルが適用されているかどうか。詳しくは、 Gmail DLP と自動分類ラベルをご覧ください。 データ保護ルールでは、分類ラベルを条件とアクションの両方に使用することはできません。
情報保護モードのステータス	有効 無効になっている	メールで情報保護モードが有効になっているかどうか。詳しくは、 情報保護モードで Gmail のメールを保護するをご覧ください。
メールヘッダー	事前定義されたデータの種類と一致する テキスト文字列を含む 語句を含む 正規表現に一致する 単語リスト内の単語に一致する	メールのヘッダーをスキャンして機密情報を確認します。 ほとんどのヘッダーは非同期でスキャンされますが、件名、宛先、From、Bcc、Cc のヘッダーは非同期的にも同期的にもスキャンされます。 ユーザーの利便性を損なわないよう、利用できないメール ヘッダーに除外条件（NOT 条件）を設定しないでください。
件名	事前定義されたデータの種類と一致する テキスト文字列を含む 語句を含む 正規表現に一致する 単語リスト内の単語に一致する	メールの件名を同期的にスキャンして機密情報を検出します。

ルールの作成

ルールの動作を決定したら、ルールを作成します。詳しくは、データ保護ルールの作成をご覧ください。

一般的なユースケース

次の表に、トリガー（ユーザーの操作）、条件（チェックされる内容）、特定のアクション（実行内容）を組み合わせて DLP ポリシーを定義する方法の例を示します。この表を使用するには、次の操作を行う必要があります。

1. トリガーを選択する。
2. 条件値を対応するオプションにマッピングする。
3. アクションを選択します。

変更が反映されるまでに最長で 24 時間ほどかかることがありますが、通常はこれより短い時間で完了します。詳細

ユースケース	トリガー	条件	アクション
Gmail のメールまたは添付ファイルにクレジット カード番号が含まれている場合にユーザーに警告する	Google Gmail メッセージを送信しました	コンテンツの種類: すべてのコンテンツ 一致: 事前定義されたデータの種類と一致する データの種類: あらゆる場所におけるクレジット カード番号 可能性のしきい値: 高 一意に一致するテキストの最低数: 1 最小一致数: 1	ユーザーに警告
メール本文に米国の個人納税者番号が含まれていて、そのメールで情報保護モードが使用されていない場合、そのメールをブロックする	Google Gmail メッセージを送信しました	条件 1: コンテンツ タイプ: Body 一致: 事前定義されたデータの種類と一致する データ型: 米国 - 個人納税者番号 AND 条件 2: コンテンツの種類: 情報保護モードのステータス 値: 無効	メッセージをブロック
受信メールを監査する	Google Gmail Message received（メッセージを受信しました）	コンテンツの種類: メールヘッダー 一致: 正規表現に一致する 値: 内部ツール パターンが繰り返される最小回数: 1	監査のみ

DLP ルールの優先度と競合について

メールが 1 つ以上のデータ損失防止（DLP）ルールをトリガーすると、Gmail はメール メッセージ内のデータを保護するためのアクションを実行します。1 つのメッセージが複数のルールをトリガーした場合、Gmail は一連の優先順位付けの手順に沿って、最も重要なアクションまたは保護アクションが最初に実行されるようにします。

たとえば、1 つのメールに複数のルールが適用されている場合、Gmail は検疫ではなくブロックし、警告ではなく検疫します。これにより、センシティブ データは常にメッセージに適用される最も厳しいルールで処理されます。

DLP アクション タイプ

アクションは、メッセージまたはユーザーに与える影響に基づいて分類されます。以下の表で使用されている用語を次に示します。

• クライアントサイド - ユーザーがメッセージを作成しているときに Gmail の作成ビューで発生するアクション（警告ダイアログなど）。
• サーバーサイド - ユーザーが新しいメッセージで [送信] をクリックした後、Gmail の配信システムがメッセージを処理している間に発生するアクション。
• 競合 - 2 つの異なるルールが同じメール メッセージに適用される場合。たとえば、あるルールではユーザーに警告を表示し、別のルールではメッセージの送信をブロックするとします。

アクション カテゴリ	説明	発生するタイミング	例
配信コントロール	メールが実際に送信されるかどうかを変更します。これらが最も重要です。	作成中と送信後	ブロック、検疫、ユーザーへの警告
レポートとログ	メッセージを妨げることなく、後で確認できるようにイベントの記録を保持します。	作成中と送信後	監査のみ
メッセージ メタデータの変更	メールの非表示情報またはラベル（機密ラベルなど）を更新します。	作成中と送信後 これらのアクションは、有効になっている他のアクションとは関係なく、常にメッセージに対して実行されます。タグはユーザーがメッセージを作成している間に追加されますが、通常、メッセージがシステムに保存された後は変更できません。	ラベルを適用する
メールの変更	実際のメールのテキストを追加または変更します。	送信後のみ	フッターを追加する
アラート	管理者または特定のユーザーに通知を送信します。	作成中と送信後	アラート センターの通知

Gmail で DLP ルールの優先度と競合を管理する方法

1 つのメールに複数のルールが適用される場合、Gmail は次のロジックを使用して、メールにルールを適用する方法を決定します。

配信優先度 - 厳密な順

複数のルールがメールに適用される場合、Gmail は最も制限の厳しいルールのみを適用します。メッセージ アクションの優先順位は次のとおりです。

• メールをブロック（最優先） - メールの送信が直ちにブロックされ、メールが送信されなかったことを知らせるアラートがユーザーに表示されます。
• メールを検疫 - メールは送信の承認または拒否のために管理者に保留され、ユーザーにはアラートが表示されます。
• ユーザーに警告する - メッセージの内容に関する警告アラートがユーザーに表示されます。メッセージを送信するかどうかを選択できます。

メッセージで同じアクション（メッセージのブロックなど）を含む複数の DLP ルールが有効になった場合、Gmail はそのうちの 1 つのみを適用します。Gmail は、ルール リソース名のアルファベット順で最初のルールを適用します。たとえば、メッセージが 2 つのブロックルール（ルール リソース名が policies/abb7a1e4c9f2d8a のルールとルール リソース名が policies/bb7aa1e4c9f2d8a のルール）を有効にする場合、Gmail は policies/abb7a1e4c9f2d8a ルールのみを適用します。Gmail は他のルールを無視します。

ラベル競合の解決 - システムとユーザー

ルールでラベル（公開、機密など）を適用しようとした場合:

• DLP と DLP - 新しい DLP ルールで古い DLP ルールとは異なるラベルが適用された場合、新しいラベルが優先され、古いラベルが置き換えられます。
• ユーザーと DLP - ユーザーが手動でラベルを選択し、有効な DLP ルールでユーザーによるオーバーライドが許可されている場合、Gmail はユーザーが選択したラベルを自動 DLP ラベルに置き換えません。

メッセージの内容の変更

DLP ルールで行われたメール コンテンツの変更は、DLP 配信アクション ルール（警告、検疫、ブロック）よりも優先度が低くなります。メッセージの内容の変更の例としては、メッセージにフッターを追加する、メッセージの件名に接頭辞を追加するなどが挙げられます。

メールで複数のルールが有効になり、フッターが追加される場合、Gmail は各ルールのリソース名に基づいてルールをアルファベット順に適用し、すべてのフッターを追加します。ルールのリソース名を確認する方法を学習する。

記録とアラート

• レポート: 別のルールが優先されたためにアクションがスキップされた場合でも、有効になったすべてのルールの記録が Gmail に保持されます。
• アラート: 特定のアクションが実際に発生した場合にのみ、アラートがユーザーに送信されます。たとえば、検疫処理が設定されているにもかかわらず、メッセージがブロックされた場合、ユーザーに検疫アラートは送信されません。

同期スキャンと非同期スキャンについて

Gmail メッセージの送信時に、ルールを同期または非同期でスキャンできます。

• 同期スキャン - ユーザーが [送信] をクリックすると、データ保護ルールがスキャンされます。メールがメールボックスから送信される前に、デリケートなコンテンツについてユーザーに通知されます。ウェブ版 Gmail と Gmail モバイルアプリは同期スキャンを行います。

  注: ユーザーが下書きとして保存したメールもスキャンされ、デリケートなコンテンツが含まれている場合はユーザーに通知されます。

• 非同期スキャン - データ保護ルールは、メールが送信者のメールボックスから送信された後にスキャンされます。受信者に配信される前に、メッセージがブロックまたは検疫されたことを知らせるメッセージがユーザーに表示されます。非同期スキャンは、ユーザーがサードパーティのメールアプリを使用してメールを送信したとき、および同期スキャンが失敗したときに行われます。

Gmail メッセージを受信すると、メッセージが受信者のメールボックスに配信される前にルールがスキャンされます。

送信メールに対する同期スキャンと非同期スキャンの結果

Gmail の DLP のインタラクション

DLP は他のメールルールとどのように連携しますか？

データ保護ルールは、コンテンツ コンプライアンス ルールとルーティング ルールよりも前に評価されます。

データ保護ルールがメールに対するブロックまたは検疫のアクションを受け付けなかった場合、メールはコンテンツ コンプライアンス ルールとルーティング ルールによって評価されます。コンテンツ コンプライアンス ルールまたはルーティング ルールで、メールの別のコピーを作成するアクション（新しい受信者の追加など）が適用された場合、DLP は送信前にメールの新しいコピーをスキャンします。

詳しくは、高度なメール コンテンツ フィルタリングに関するルールの設定をご覧ください。

Gmail の DLP はグループとどのように連携しますか？

データ保護ルールは、ルールが組織全体に設定されている場合にのみグループに適用されます。送信されたメッセージの場合、データ保護ルールでは、グループに対する [メールをブロック] アクションのみがサポートされます。グループに対する [ユーザーに警告] アクションと [メールを検疫] アクションはサポートされていません。

受信したメッセージの場合、データ保護ルールはグループが受信した元のコピーに適用されます。メールに分類ラベルが適用されている場合、受信したメールのグループ メンバーのコピーすべてに同じ分類が適用されます。

セキュリティ調査ツールを使用してデータ保護ルールイベントを調査する

BigQuery を使用して DLP 違反をエクスポートする

ルールのログイベントに記録された DLP 違反をカスタム テーブルにエクスポートして、さらに詳しく調査できます。詳しくは、サービスログの BigQuery への書き出しを設定するをご覧ください。

フィードバックをお寄せください

管理コンソールのデータ保護ページで、[フィードバックを送信] をクリックします。

関連トピック

• Gmail DLP と自動分類ラベル
• DLP のコンテンツとルールのサイズ制限を確認する
• 光学式文字認識を使用して画像を読み取る
• Google Workspace でのメールのルーティングと配信のオプション
• メールの検疫を設定する
• ルールのログのイベント