Gmail 向け DLP について

この機能に対応しているエディション: Frontline Standard、Frontline Plus、Enterprise Standard、Enterprise Plus、Education Fundamentals、Education Standard、Education Plus。エディションを比較

Gmail のデータ損失防止（DLP）機能を使用すると、データ保護ルールを作成して、ユーザーがメールで共有するデリケートなコンテンツを管理できます。Gmail の DLP では、ルールは組織内外のユーザーに送信または受信されるメールに適用されます。

Gmail の DLP の仕組み

ユーザーがメールを送信または受信すると、DLP はメッセージにデリケートなコンテンツが含まれていないかスキャンします。メッセージまたは添付ファイルがルールに違反している場合、ルールで定義されているアクションがメッセージに適用されます。

Gmail の DLP のフロー

1. デリケートなコンテンツと、デリケートなコンテンツが含まれるメッセージに対して行うアクションを定義するデータ保護ルールを追加します。
2. ユーザーがメールを送信または受信すると、DLP はルールに一致するコンテンツをスキャンします。
3. ルールが一致すると、DLP はルールで定義されたアクションを適用します。
4. すべてのイベントは、確認のためにルールのログイベントに記録されます。

サポートされている添付ファイルの形式

データ保護ルールでは、次の種類の添付ファイルがスキャンされます。

• ドキュメントのファイル形式 - TXT、DOC、DOCX、RTF、HTML、XHTML、XML、PDF、PPT、PPTX、ODP、ODS、ODT、XLS、XLSX、PS、CSS、CSV、JSON、SH
• 画像ファイル形式（OCR を有効にしている場合）- EPS、BMP、GIF、JPEG、PNG、PDF ファイル内の画像
• 圧縮ファイル形式 - BZIP、RAR、TAR、ZIP
• カスタム ファイルの形式 - HWP、KML、KMZ、SDC、SDD、SDW、SXC、SXI、SXW、WML、XPS

注: DLP では、添付ファイル内のコンテンツのスキャンに加えて、ファイル名やファイル拡張子などのファイル メタデータも評価されます。

複数の添付ファイル

メールに複数の添付ファイルがある場合、いずれかの添付ファイルがルールの条件に一致すると、ルールがトリガーされます。このため、NOT 条件を含むルールで予期しない結果が生じることがあります。たとえば、「除外（SSN を含むコンテンツ）」という条件が使用されており、添付ファイルの 1 つに SSN が含まれている場合、条件が正になるためルールはトリガーされません。

トリガーについて

ルールで検索するコンテンツを定義する前に、スキャン プロセスを開始するトリガーを指定します。Gmail 用 DLP のトリガーは次のとおりです。

• メッセージを送信しました - 送信メールと添付ファイルがスキャンされます。
• メッセージを受信 - 受信メッセージと添付ファイルがスキャンされます。

DLP アクションについて

デリケートなコンテンツが検出された場合、ルールによってアクションが適用されます。次の表に記載されているアクションから選択できます。

検出後の操作が異なる類似したルールがある場合は、より厳しいアクションが優先されます。たとえば、あるルールで社会保障番号（SSN）が見つかった場合に警告を表示し、別のルールで SSN の使用をブロックしている場合、ブロック ルールがトリガーされ、ユーザーはメールを送信または受信できません。

トリガーとして [メールを受信したとき] を選択した場合、使用できるアクションは [監査のみ] と [分類ラベルを適用] のみです。

操作	説明
メッセージをブロック	送信メッセージのみ。メール メッセージの配信をブロックし、ユーザーに通知を送信します。必要に応じて、ユーザー向けのカスタム メッセージを追加できます。イベントがログに記録されます。
ユーザーに警告	送信メッセージのみ。警告メッセージを表示したうえで、ユーザーに操作の続行を許可します。必要に応じて、ユーザー向けのカスタム警告メッセージを追加できます。ユーザーが続行を選択した場合、その選択はログイベントに記録されます。
メールを検疫する	送信メールのみ。メールを検疫に配置し、送信または返信の前に管理者が確認できるようにします。必要に応じて、検疫条件を適用したり、ユーザー向けのカスタム メッセージを追加したりできます。 詳しくは、メールの隔離を設定するをご覧ください。
監査のみ	ユーザーは操作を中断することなく続行でき、イベントはログに記録されます。外部送信者、内部送信者、またはその両方のメッセージを監査できます。
分類ラベルを適用する	一致するメールに既存の分類ラベルを適用します。項目の種類として [オプション リスト] が付いたバッジラベルと標準ラベルのみがサポートされています。外部の送信者、内部の送信者、またはその両方からのメッセージに分類ラベルを適用するかどうかを選択できます。 データ保護ルールでは、分類ラベルを条件とアクションの両方に使用することはできません。 詳しくは、 Gmail DLP と自動分類ラベルをご覧ください。
カスタムメモを追加	送信メッセージのみ。一致するメールにカスタム ヘッダーまたはフッターを追加します。 詳しくは、 送信メールに分類メモを追加するをご覧ください。

DLP の条件について

条件なしでデータ保護ルールを作成できます。この場合、ルールは（選択したトリガーに応じて）すべての送信メッセージ、すべての受信ファイル、またはその両方に適用されます。

または、スキャンするコンテンツまたはアクティビティを定義する条件をデータ保護ルールで指定することもできます。事前定義されたデータ型を使用するか、独自のカスタム コンテンツ検出器を作成できます。また、AND、OR、NOT 演算子を使用して複数の条件を組み合わせることもできます。近接一致を使用してデータの機密性を定義し、他のキーワードやパターンから特定の距離内にあるコンテンツのみを検出できます。

詳しくは、定義済みコンテンツ検出項目の使用方法、カスタム検出項目を作成する、ネストされた条件演算子を使用した DLP ルールの例をご覧ください。

注: ファイル名、ファイル拡張子、ファイル形式に基づく条件は、メールの添付ファイルにのみ適用されます。これらの属性は、メールの本文や件名ではスキャンされません。

スキャンするコンテンツの種類	スキャン対象	詳細と使用方法
すべてのコンテンツ	事前定義されたデータの種類と一致する テキスト文字列を含む 語句を含む 正規表現に一致する 単語リスト内の単語に一致する	すべてのコンテンツをスキャンして機密情報を検出します。 [すべてのコンテンツ] オプションでは、件名、宛先、From、Bcc、Cc の 5 種類のヘッダーのみがスキャンされます。これらのヘッダーは同期スキャンにすぐに使用できます。すべてのメールヘッダーをスキャンするには、次のいずれかのオプションを使用することをおすすめします。 OR 演算子を使用して複数の条件を追加し、メールヘッダーをスキャンします。 メールヘッダーをスキャンするための個別のルールを作成します。
本文	事前定義されたデータの種類と一致する テキスト文字列を含む 語句を含む 正規表現に一致する 単語リスト内の単語に一致する	メール本文と添付ファイルをスキャンして機密情報がないか確認します。 メール本文は同期的にスキャンされ、添付ファイルは非同期的にスキャンされます。
分類ラベル	Is	メールに分類ラベルが適用されているかどうか。詳しくは、 Gmail DLP と自動分類ラベルをご覧ください。 データ保護ルールでは、分類ラベルを条件とアクションの両方に使用することはできません。
情報保護モードのステータス	有効 無効になっている	メールで情報保護モードが有効になっているかどうか。詳しくは、 情報保護モードで Gmail のメールを保護するをご覧ください。
メールヘッダー	事前定義されたデータの種類と一致する テキスト文字列を含む 語句を含む 正規表現に一致する 単語リスト内の単語に一致する	メールのヘッダーをスキャンして機密情報を確認します。 ほとんどのヘッダーは非同期でスキャンされますが、件名、宛先、From、Bcc、Cc のヘッダーは非同期的にも同期的にもスキャンされます。 ユーザーの利便性を損なわないよう、利用できないメール ヘッダーに除外条件（NOT 条件）を設定しないでください。
件名	事前定義されたデータの種類と一致する テキスト文字列を含む 語句を含む 正規表現に一致する 単語リスト内の単語に一致する	メールの件名を同期的にスキャンして機密情報を確認します。
ファイル名	テキスト文字列を含む 語句を含む	メールの添付ファイルのファイル名をスキャンします。この条件では、メールの本文や件名はスキャンされません。
ファイル拡張子	次のいずれかのテキスト文字列に等しい	メールの添付ファイルのファイル拡張子をスキャンします。 ピリオドは含めないでください（.pdf ではなく pdf と入力します）。
ファイル形式	一般的な MIME タイプと一致 カスタム MIME タイプと一致 システム ファイルのカテゴリと一致	メールの添付ファイルの構造的なファイル形式（MIME タイプ）をスキャンして、拡張子のテキストに関係なく、特定のメディア形式またはシステム ファイル クラスを識別します。この条件では、メールの本文や件名はスキャンされません。

ルールの作成

ルールの動作を決定したら、ルールを作成します。詳細については、データ保護ルールの作成をご覧ください。

一般的なユースケース

次の表に、トリガー（ユーザーの操作）、条件（チェックされる内容）、特定のアクション（実行内容）を組み合わせて DLP ポリシーを定義する方法の例を示します。この表を使用するには、次の操作を行う必要があります。

1. トリガーを選択する。
2. 条件値を対応するオプションにマッピングする。
3. アクションを選択します。

変更が反映されるまでに最長で 24 時間ほどかかることがありますが、通常はこれより短い時間で完了します。詳細

ユースケース	トリガー	条件	アクション
Gmail のメールまたは添付ファイルにクレジット カード番号が含まれている場合にユーザーに警告する	Google Gmail メッセージを送信しました	コンテンツの種類: すべてのコンテンツ 一致: 事前定義されたデータの種類と一致する データの種類: あらゆる場所におけるクレジット カード番号 可能性のしきい値: 高 一意に一致するテキストの最低数: 1 最小一致数: 1	ユーザーに警告
メール本文に米国の個人納税者番号が含まれていて、そのメールで情報保護モードが使用されていない場合、そのメールをブロックする	Google Gmail メッセージを送信しました	条件 1: コンテンツ タイプ: Body 一致: 事前定義されたデータの種類と一致する データ型: 米国 - 個人納税者番号 AND 条件 2: コンテンツの種類: 情報保護モードのステータス 値: 無効	メッセージをブロック
受信メールを監査する	Google Gmail メッセージを受信しました	コンテンツの種類: メールヘッダー 一致: 正規表現に一致する 値: 内部ツール パターンが繰り返される最小回数: 1	監査のみ

DLP ルールの優先度と競合を理解する

メールが 1 つ以上のデータ損失防止（DLP）ルールをトリガーすると、Gmail はメール メッセージ内のデータを保護するためのアクションを実行します。1 つのメッセージが複数のルールをトリガーした場合は、優先順位付けの手順に沿って、最も重要なアクションまたは保護アクションが最初に実行されるようにします。

たとえば、1 つのメールに複数のルールが適用されている場合、Gmail は検疫ではなくブロックし、警告ではなく検疫します。これにより、センシティブ データは常に、メッセージに適用される最も厳しいルールによって処理されます。

DLP アクション タイプ

アクションは、メッセージまたはユーザーに与える影響に基づいて分類されます。以下の表で使用されている用語を次に示します。

• クライアントサイド - ユーザーがメッセージを作成しているときに Gmail の作成ビューで発生するアクション（警告ダイアログなど）。
• サーバーサイド - ユーザーが新しいメッセージで [送信] をクリックした後、Gmail の配信システムがメッセージを処理している間に発生するアクション。
• 競合 - 同じメール メッセージに 2 つの異なるルールが適用される場合。たとえば、1 つのルールではユーザーに警告し、別のルールではメッセージの送信をブロックするとします。

アクション カテゴリ	説明	発生するタイミング	例
配信コントロール	メールが実際に送信されるかどうかを変更します。これらが最も重要です。	作成中と送信後	ブロック、検疫、ユーザーへの警告
レポートとログ	メッセージを妨げることなく、後で確認できるようにイベントの記録を保持します。	作成中と送信後	監査のみ
メッセージ メタデータの変更	メールの非表示情報またはラベル（機密ラベルなど）を更新します。	作成中と送信後 これらのアクションは、有効になっている他のアクションとは関係なく、常にメッセージに対して実行されます。タグはユーザーがメッセージを作成している間に追加されますが、通常、メッセージがシステムに保存された後は変更できません。	ラベルを適用する
メールの変更	実際のメールのテキストを追加または変更します。	送信後のみ	フッターを追加する
アラート	管理者または特定のユーザーに通知を送信します。	作成中と送信後	アラート センターの通知

Gmail で DLP ルールの優先度と競合を管理する方法

1 つのメールに複数のルールが適用される場合、Gmail は次のロジックを使用して、メールにルールを適用する方法を決定します。

配信優先度 - 厳密な順

複数のルールがメールに適用される場合、Gmail は最も制限の厳しいルールのみを適用します。メッセージ アクションの優先順位は次のとおりです。

• メールをブロック（最優先） - メールの送信が直ちにブロックされ、メールが送信されなかったことを知らせるアラートがユーザーに表示されます。
• メールを検疫 - メールは送信の承認または拒否のために管理者が保留し、ユーザーにはアラートが届きます。
• ユーザーに警告する - メールの内容に関する警告アラートがユーザーに表示されます。メッセージを送信するかどうかはユーザーが選択できます。

メールで同じアクション（メールのブロックなど）を含む複数の DLP ルールが有効になっている場合、Gmail はそのうちの 1 つのみを適用します。Gmail は、ルール リソース名のアルファベット順で最初のルールを適用します。たとえば、メールで 2 つのブロックルール（ルール リソース名が policies/abb7a1e4c9f2d8a のルールと policies/bb7aa1e4c9f2d8a のルール）が有効になっている場合、Gmail は policies/abb7a1e4c9f2d8a ルールのみを適用し、もう一方のルールは無視します。

ラベル競合の解決 - システムとユーザー

ルールでラベル（公開、機密など）を適用しようとした場合:

• DLP と DLP - 新しい DLP ルールで古い DLP ルールとは異なるラベルが適用された場合、新しいラベルが優先され、古いラベルが置き換えられます。
• ユーザーと DLP - ユーザーが手動でラベルを選択し、有効な DLP ルールでユーザーによるオーバーライドが許可されている場合、Gmail はユーザーが選択したラベルを自動 DLP ラベルに置き換えません。

メッセージの内容の変更

DLP ルールによるメール コンテンツの変更は、DLP 配信アクション ルール（警告、検疫、ブロック）よりも優先度が低くなります。メール コンテンツの変更の例としては、メールへのフッターの追加や、メールの件名へのプレフィックスの追加などがあります。

フッターを追加するルールが複数有効になっている場合、Gmail は各ルールのリソース名に基づいてルールをアルファベット順に適用し、すべてのフッターを追加します。ルールのリソース名を確認する方法をご覧ください。

記録とアラート

• レポート: 別のルールが優先されたためにアクションがスキップされた場合でも、有効になったすべてのルールの記録が Gmail に保持されます。
• アラート: 特定のアクションが実際に発生した場合にのみ、アラートがユーザーに送信されます。たとえば、検疫処理が設定されているにもかかわらず、メッセージがブロックされた場合、ユーザーに検疫アラートは送信されません。

同期スキャンと非同期スキャンについて

Gmail メッセージの送信時に、ルールを同期または非同期でスキャンできます。

• 同期スキャン - ユーザーが [送信] をクリックすると、データ保護ルールがスキャンされます。メールがメールボックスから送信される前に、デリケートなコンテンツについてユーザーに通知されます。ウェブ版 Gmail と Gmail モバイルアプリは同期スキャンを行います。

  注: ユーザーが下書きとして保存したメールもスキャンされ、機密情報が含まれている場合はユーザーに通知されます。

• 非同期スキャン - データ保護ルールは、メールが送信者のメールボックスから送信された後にスキャンされます。受信者に配信される前に、メールがブロックまたは検疫されたことを知らせるメールがユーザーに表示されます。非同期スキャンは、ユーザーがサードパーティのメールアプリを使用してメールを送信したとき、および同期スキャンが失敗したときに行われます。

Gmail メッセージを受信すると、メッセージが受信者のメールボックスに配信される前にルールがスキャンされます。

送信メールに対する同期スキャンと非同期スキャンの結果

Gmail の DLP のインタラクション

DLP は他のメールルールとどのように連携しますか？

データ保護ルールは、コンテンツ コンプライアンス ルールとルーティング ルールよりも前に評価されます。

データ保護ルールがメールに対するブロックまたは検疫のアクションを受け付けなかった場合、メールはコンテンツ コンプライアンス ルールとルーティング ルールによって評価されます。コンテンツ コンプライアンス ルールまたはルーティング ルールで、メールの別のコピーを作成するアクション（新しい受信者の追加など）が適用された場合、DLP は送信前にメールの新しいコピーをスキャンします。

詳しくは、高度なメール コンテンツ フィルタリングに関するルールの設定をご覧ください。

Gmail の DLP はグループとどのように連携しますか？

データ保護ルールは、ルールが組織全体に設定されている場合にのみグループに適用されます。送信されたメールの場合、データ保護ルールでは、グループに対する [メールをブロック] アクションのみがサポートされます。[ユーザーに警告] アクションと [メールを隔離] アクションは、グループではサポートされていません。

受信したメッセージの場合、データ保護ルールはグループが受信した元のコピーに適用されます。分類ラベルがメッセージに適用されている場合、受信メッセージのグループ メンバーのコピーにはすべて同じ分類が適用されます。

セキュリティ調査ツールを使用してデータ保護ルールイベントを調査する

BigQuery を使用して DLP 違反をエクスポートする

ルールのログイベントに記録された DLP 違反をカスタム テーブルにエクスポートして、さらに詳しく調査できます。詳しくは、サービスログの BigQuery への書き出しを設定するをご覧ください。

フィードバックをお寄せください

管理コンソールのデータ保護ページで、[フィードバックを送信] をクリックします。

関連トピック

• Gmail DLP と自動分類ラベル
• DLP のコンテンツとルールのサイズ制限を確認する
• 光学式文字認識を使用して画像を読み取る
• Google Workspace でのメールのルーティングと配信のオプション
• メールの検疫を設定する
• ルールのログのイベント