Evita que se filtren datos en correos electrónicos y archivos adjuntos (DLP de Gmail)

Ediciones compatibles con esta función: Frontline Standard y Frontline Plus; Enterprise Standard y Enterprise Plus; Education Fundamentals, Education Standard y Education Plus. Comparar tu edición

La DLP para Gmail también está disponible para los usuarios de Cloud Identity Premium que también tengan licencia para las ediciones de Google Workspace que incluyen Gmail.

Puedes crear reglas de prevención de pérdida de datos (DLP) en la Consola del administrador de Google para administrar el contenido sensible que comparten tus usuarios en los mensajes de correo electrónico. Con la DLP de Gmail, las reglas se aplican a los mensajes que se envían a personas dentro y fuera de tu organización. Usa reglas para identificar la información sensible y evitar que se comparta de forma inapropiada.

En esta página

• Funciones de la DLP para Gmail
• ¿Cómo funciona la DLP de Gmail?
• Acerca del análisis síncrono y asíncrono
• Resultados del análisis síncrono y asíncrono
• ¿Qué se escanea?
• Tipos de archivos adjuntos admitidos
• Varios archivos adjuntos
• ¿Cómo interactúa la DLP con otras reglas de correo electrónico?
• DLP y Grupos de Gmail
• Crea reglas de DLP para Gmail
• Investiga eventos de reglas de DLP con la herramienta de investigación de seguridad
• Exporta incumplimientos de la DLP con BigQuery
• Comparta sus comentarios

Funciones de la DLP para Gmail

Con la DLP de Gmail, puedes hacer lo siguiente:

• Crea reglas de DLP para Gmail o para otras apps de Google Workspace que usen la DLP, como Gmail, Google Chat y Google Drive.
• Usa reglas de DLP para activar las acciones adecuadas en caso de incumplimientos de reglas:
  • Bloquear el mensaje: Bloquea la entrega del mensaje de correo electrónico y envía una notificación al usuario.
  • Advertir a los usuarios: Se advierte a los usuarios sobre la información sensible detectada en el mensaje, pero se les permite enviarlo de todos modos.
  • Colocar el mensaje en cuarentena: Coloca un mensaje en cuarentena para que un administrador lo revise antes de que se envíe o devuelva.
  • Solo auditar: Envía el mensaje y registra el evento de DLP para una futura auditoría y, así, evaluar el impacto de las reglas nuevas.
• Define condiciones con cadenas de texto y detectores predefinidos y personalizados, como palabras clave y expresiones regulares.
• Agrega reglas que apliquen automáticamente etiquetas de clasificación a los mensajes nuevos según las condiciones que especifiques. Por ejemplo, aplica una etiqueta de clasificación Confidencial cuando los mensajes contengan información sensible, financiera o de identificación personal.
• Detectar cuándo se habilita el modo confidencial para un mensaje y usar el estado del modo confidencial como condición para permitir que las personas envíen mensajes con contenido sensible
• Aplicar reglas para unidades organizativas o grupos específicos, o para toda tu organización
• Alertar a los administradores sobre los incumplimientos de reglas en el Centro de alertas para que puedan investigar
• Analiza el texto de las imágenes en todos los archivos adjuntos de los mensajes con reconocimiento óptico de caracteres (OCR).

¿Cómo funciona la DLP de Gmail?

Cuando un usuario envía un mensaje de correo electrónico, la DLP lo analiza en busca de contenido sensible. Si un mensaje o un archivo adjunto infringe una regla, se aplica al mensaje la acción definida en la regla.

Resumen del flujo:

1. Agrega reglas de DLP que definan el contenido sensible y la acción que se debe realizar en los mensajes con contenido sensible.
2. Cuando un usuario envía un mensaje de correo electrónico, la DLP analiza el contenido para detectar coincidencias con las reglas.
3. Si se encuentra una coincidencia con una regla, la DLP aplica la acción definida en ella.
4. Todos los eventos se registran en los eventos de registro de reglas para su revisión.

Acerca de la búsqueda síncrona y asíncrona

Con la DLP para Gmail, las reglas se pueden analizar de forma síncrona o asíncrona:

• Análisis síncrono: Las reglas de DLP se analizan cuando el usuario hace clic en Enviar. Se notifica al usuario sobre el contenido sensible antes de que el mensaje salga de su buzón. Gmail en la Web y la app de Gmail para dispositivos móviles realizan análisis síncronos.

• Análisis asíncrono: Las reglas de la DLP se analizan después de que el mensaje sale del buzón del remitente. Los usuarios reciben un mensaje que indica que el mensaje se bloqueó o se puso en cuarentena antes de que se entregue al destinatario. El análisis asíncrono se produce cuando un usuario envía un mensaje con una app de correo electrónico de terceros y cuando el análisis síncrono no se realiza correctamente.

Resultados del análisis síncrono y asíncrono

¿Qué se analiza?

Solo se analizan los mensajes salientes. Las condiciones de Tipo de contenido que se analizará agregadas en la regla determinan qué parte del mensaje se analiza:

• Todo el contenido: El asunto, los destinatarios, los remitentes, los destinatarios ocultos y los destinatarios en copia del mensaje, así como el cuerpo del mensaje, se analizan de forma síncrona. Los archivos adjuntos se analizan de forma asíncrona. Los archivos adjuntos incluyen archivos e imágenes. También se analizan los nombres de los archivos adjuntos. Para obtener más información, consulta Tipos de archivos compatibles en esta página.
  Los archivos adjuntos no se pueden usar como condición para aplicar una acción de Advertencia porque siempre se analizan de forma asíncrona.

  Importante: La opción Todo el contenido solo analiza 5 tipos de encabezados: Asunto, Para, De, Cco y Cc. Estos encabezados están disponibles de inmediato para el análisis síncrono. Para analizar todos los encabezados de los mensajes, te recomendamos que uses una de estas opciones:

  • Agrega una condición con el operador OR para analizar los encabezados de correo electrónico
  • Crea una regla independiente específicamente para analizar los encabezados de correo electrónico.

• Encabezados de correo electrónico: Contenido de los encabezados de correo electrónico Si bien la mayoría de los encabezados se analizan de forma asíncrona, los encabezados Subject, To, From, Bcc y Cc se analizan de forma asíncrona y síncrona. Para evitar interrumpir a los usuarios, no establezcas una condición de coincidencia negativa (una condición NOT) en los encabezados de correo electrónico no disponibles. Se analizan los encabezados de los correos electrónicos para verificar si contienen información sensible.

• Cuerpo: El cuerpo del mensaje se analiza de forma síncrona y los archivos adjuntos, de forma asíncrona.

• Asunto: El asunto se analiza de forma síncrona.

• Etiqueta de clasificación: Son las etiquetas de clasificación que un usuario aplicó de forma manual o que se aplicaron automáticamente con una regla de DLP. Una regla no puede tener Etiqueta de clasificación como condición y Aplicar etiquetas de clasificación como acción.

• Estado del modo confidencial: Indica si el mensaje tiene habilitado el modo confidencial. Te recomendamos que uses esta condición con otras condiciones de reglas. Por ejemplo, si el cuerpo del mensaje contiene un ID fiscal y el mensaje no usa el modo confidencial, se bloqueará el envío del mensaje. Para obtener más información, consulta Cómo proteger los mensajes de Gmail con el modo confidencial.

Tipos de archivos adjuntos admitidos

Las reglas de DLP analizan los siguientes tipos de archivos adjuntos:

• Tipos de archivos de documentos: TXT, DOC, DOCX, RTF, HTML, XHTML, XML, PDF, PPT, PPTX, ODP, ODS, ODT, XLS, XLSX, PS, CSS, CSV, JSON y SH
• Tipos de archivos de imágenes (cuando el OCR está activado): EPS, BMP, GIF, JPEG, PNG y las imágenes dentro de archivos PDF
• Tipos de archivos comprimidos: BZIP, RAR, TAR y ZIP
• Tipos de archivos personalizados: HWP, KML, KMZ, SDC, SDD, SDW, SXC, SXI, SXW, WML y XPS

Varios archivos adjuntos

Si un mensaje tiene más de un adjunto, la regla se activará si alguno de los adjuntos coincide con la condición de la regla. En ocasiones, esto puede generar que las reglas que incluyen la condición NOT tengan resultados inesperados. Por ejemplo, si se usa la condición NOT(content contains SSN) y uno de los archivos adjuntos contiene SSN, la condición es verdadera y no se activará la regla.

¿Cómo interactúa la DLP con otras reglas de correo electrónico?

Las reglas de DLP se evalúan antes que las reglas de cumplimiento de contenido y las reglas de enrutamiento.

Si las reglas de DLP no aceptan acciones de bloqueo o cuarentena en un mensaje, las reglas de cumplimiento de contenido y de enrutamiento evalúan el mensaje. Si una regla de cumplimiento de contenido o de enrutamiento aplica una acción que crea otra copia del mensaje (por ejemplo, agrega un destinatario nuevo), la DLP analiza las copias nuevas del mensaje antes de enviarlas.
Para obtener más información, consulta Configura reglas para el filtro avanzado de contenido de los correos electrónicos.

DLP y grupos de Gmail

En esta sección, se describe cómo interactúan las reglas de la DLP de Gmail con los grupos.

Las reglas de DLP se aplican a los grupos solo cuando la regla se establece para toda la organización. Las reglas de la DLP solo admiten la acción Rechazar para los grupos. Las acciones de advertencia y cuarentena no son compatibles con los grupos.

Crea reglas de DLP para Gmail

1. Ve a Menú Reglas > Crear regla > Protección de datos.

   Se requiere tener los privilegios para ver y administrar las reglas de DLP.

2. Ingresa un nombre para la regla y, de forma opcional, una descripción.
3. En la sección Apps, para Gmail, haz clic en la casilla Se envió el mensaje.
4. (Opcional) Para verificar que el OCR esté activado, haz clic en Verificar y marca la casilla Gmail para activar el OCR en Gmail.
5. Haz clic en Continuar.

6. En la sección Acciones, en Gmail, elige una opción.

   Todas las acciones se registran en los eventos de registro de reglas.

   • Bloquear el mensaje: No envíes el mensaje de inmediato y muestra una alerta al remitente sobre la información potencialmente sensible que contiene. El remitente puede editar el mensaje y volver a enviarlo.
   • Advertir a los usuarios: No envíes el mensaje de inmediato y muestra una alerta al remitente. El remitente puede enviar el mensaje sin cambios o editarlo y volver a enviarlo.
     Nota: Los archivos adjuntos siempre se analizan de forma asíncrona, por lo que no puedes usarlos como condición para la acción Advertir a los usuarios en una regla.
   • Poner el mensaje en cuarentena: No envíes el mensaje de inmediato y muestra una alerta al remitente. El remitente puede enviar el mensaje sin cambios o enviarlo para que lo revise un administrador o cualquier otra persona calificada. Debes seleccionar una opción en el menú Condición de cuarentena.
   • Solo auditar: El mensaje se envía. No se muestra ninguna alerta. El mensaje se analiza según las reglas y se registra como el evento que un administrador puede revisar más adelante.
   • Aplicar etiqueta de clasificación: Aplica una etiqueta de clasificación a los mensajes que coincidan con las condiciones. Debes seleccionar una opción en los menús Campo de etiqueta y Opciones de campo.
   • Agregar nota personalizada: Agrega un encabezado o pie de página personalizado a los mensajes de correo electrónico coincidentes.

7. En Selecciona cuándo debe aplicarse esta acción, elige si la acción se debe aplicar a los mensajes internos, los mensajes externos o ambos.

8. (Opcional) Para crear una alerta personalizada, en Mensaje para los usuarios, marca la casilla Personalizar mensaje y escribe el texto de la alerta. Las alertas pueden incluir URLs y hasta 300 caracteres (incluidos los caracteres de las URLs). Si no creas un mensaje personalizado, en el cuadro se mostrará el mensaje predeterminado.

9. Opcional: Para establecer el nivel de gravedad de los eventos de mensajes informados, en Alertas, elige un nivel de gravedad: Bajo, Medio o Alto. El nivel de gravedad se registra en los eventos de registro de regla y se puede usar para investigar incidentes.

10. Opcional: Para enviar una alerta sobre los eventos de mensajes (un mensaje activado por esta regla), marca la casilla Centro de alertas. También envías una notificación de alerta a los administradores avanzados con la opción Todos los administradores avanzados. Ingresa otras notificaciones de alerta para otros destinatarios.

11. Haz clic en Continuar.

12. En Permiso, elige una opción:

    • Para aplicar la regla a toda tu organización, selecciona All in domain.name.
    • Para aplicar la regla a unidades organizativas o grupos específicos, selecciona Unidades organizativas o grupos y, luego, incluye o excluye esas entidades.

13. En Condiciones de contenido, haz clic en Agregar condición y selecciona la parte del mensaje que se analiza.

    Importante: Si creas una regla de DLP sin condiciones, la regla analizará todas las partes del mensaje y aplicará la acción especificada a todos los mensajes de Gmail.

    • Todo el contenido: Analiza el encabezado, el asunto, el cuerpo y los archivos adjuntos del mensaje.
    • Cuerpo: Analiza el cuerpo del mensaje y los archivos adjuntos.
    • Etiqueta de clasificación: Analiza las etiquetas de clasificación aplicadas a los mensajes.
    • Estado del modo confidencial: Analiza si el modo confidencial está activado para los mensajes.
    • Encabezados de correo electrónico: Analiza el encabezado y el asunto del mensaje. Si el mensaje se envía con la encriptación del cliente (CSE) de Google Workspace, solo se puede analizar el contenido de los encabezados de correo electrónico (incluido el asunto).
    • Asunto: Analiza solo el asunto del mensaje.

14. Haz clic en Qué analizar y selecciona las opciones y los atributos para tu análisis. Para obtener información detallada sobre cada campo, consulta Acerca de las opciones y los atributos de qué buscar en esta página.

15. Haz clic en Continuar y revisa los detalles de la regla.

16. Elige un estado para la regla:

    • Activa: La regla se ejecuta de inmediato.
    • Inactiva: La regla se agrega, pero no se ejecuta de inmediato. Esto te da tiempo para revisar la regla y compartirla con otras personas antes de que se implemente. Para activar la regla más adelante, en la Consola del administrador, ve a SeguridadControl de acceso y datosProtección de datosAdministrar reglas, cambia el estado a Activahaz clic en Confirmar.

17. Haz clic en Crear.

Los cambios pueden tardar hasta 24 horas en aplicarse, aunque suelen ocurrir antes. Más información

Acerca de las opciones y los atributos de Qué se analizará

Las opciones de Qué analizar varían según el tipo de contenido que elijas analizar. En el caso de las condiciones de las reglas de Gmail, puedes buscar lo siguiente:

• Coincide con el tipo de datos predefinido (recomendado)
• Contiene una cadena de texto
• Contiene la palabra
• Coincide con la expresión regular
• Coincide con palabras de la lista
• Es una etiqueta de clasificación
• Está habilitado o inhabilitado (solo para el estado del modo confidencial)

Puedes usar los operadores AND, OR o NOT con condiciones. Para obtener detalles sobre el uso de estos operadores con condiciones, consulta Ejemplos de reglas de la DLP con operadores de condiciones anidados.

Qué buscar	Atributos
Coincide con el tipo de datos predefinido	Tipo de datos: Selecciona un tipo de datos predefinido. Para obtener más información, consulta Cómo usar detectores de contenido predefinidos. Umbral de probabilidad: Selecciona un umbral de probabilidad. Los umbrales disponibles son los siguientes: Muy bajo Baja Medio Alta Muy alto Estos umbrales reflejan la confianza del sistema de DLP en el resultado de la coincidencia. En general, el umbral Muy alto coincidirá con menos contenido y será más preciso. Se espera que el umbral Muy bajo coincida con más archivos, pero con menor precisión. Cantidad mínima de coincidencias únicas: Ingresa la cantidad mínima de veces que un resultado de coincidencia debe aparecer de forma única en un documento para activar la acción. Cantidad mínima de coincidencias: Ingresa la cantidad mínima de veces que deben aparecer los resultados coincidentes en un documento para activar la acción. ¿Cómo funcionan la cantidad mínima de coincidencias y la cantidad mínima de coincidencias únicas? Supongamos que hay 2 listas de números de seguridad social: la primera tiene 50 copias del mismo número y la segunda tiene 50 números únicos. Si el valor de Recuento mínimo de coincidencias es igual a 10, los resultados se activarán en ambas listas, ya que hay al menos 10 coincidencias en ambas. Sin embargo, si el valor de Coincidencias únicas mínimas es igual a 10 y el valor de Recuento de coincidencias mínimo es igual a 1, los resultados se activarán solo en la segunda lista, ya que hay 10 coincidencias y todas coinciden con valores únicos.
Contiene una cadena de texto	Ingresa el contenido que debe coincidir: Ingresa una subcadena, un número o algunos otros caracteres para realizar la búsqueda. Especifica si el contenido distingue mayúsculas de minúsculas. Si se trata de una subcadena, la regla puede contener la clave de palabra y, si el documento contiene la clave de palabra, se produce una coincidencia.
Contiene la palabra	Ingresa el contenido que coincida: Ingresa la palabra, el número o los demás caracteres que desees buscar.
Coincide con la expresión regular	Nombre de la expresión regular: Es un detector personalizado de expresiones regulares. Cantidad mínima de veces que se detecta el patrón: Ingresa la cantidad mínima de veces que el patrón indicado por la expresión regular debe aparecer en un documento para activar la acción.
Coincide con palabras de la lista	Nombre de la lista de palabras: Selecciona una lista de palabras personalizada. Modo de coincidencia: Selecciona Coincidir con cualquier palabra o Coincidir con la cantidad mínima de palabras únicas. Cantidad total mínima de veces que se detecta una palabra: Ingresa la cantidad mínima de veces que se debe detectar una palabra para activar la acción. Cantidad mínima de palabras únicas detectadas: Ingresa la cantidad mínima de palabras únicas que se deben detectar para que se active la acción (solo está disponible para la opción Coincidir con la cantidad mínima de palabras únicas).

Investiga eventos de reglas de DLP con la herramienta de investigación de seguridad

Exporta incumplimientos de la DLP con BigQuery

Puedes exportar los incumplimientos de la DLP registrados en los eventos de registro de reglas a tablas personalizadas para realizar investigaciones adicionales. Para obtener más detalles, consulta Configura exportaciones de registros del servicio a BigQuery.

Comparte tus comentarios

En la Consola del administrador, en cualquier página de protección de datos, haz clic en Enviar comentarios.

Temas relacionados

• DLP de Gmail y etiquetas de clasificación automática
• Consulta los límites de tamaño del contenido y las reglas de DLP
• Usa el reconocimiento óptico de caracteres para leer imágenes
• Opciones de enrutamiento y entrega de correo electrónico para Google Workspace
• Cómo configurar la cuarentena de correo electrónico
• Eventos de registro de reglas