Impedisci le fughe di dati nelle email e negli allegati (DLP per Gmail)

Versioni supportate per questa funzionalità: Frontline Standard e Frontline Plus; Enterprise Standard ed Enterprise Plus; Education Fundamentals, Education Standard ed Education Plus. Confronta la tua versione

La funzionalità DLP per Gmail è disponibile anche per gli utenti di Cloud Identity Premium che dispongono anche di una licenza per le versioni di Google Workspace che includono Gmail.

Puoi creare regole di Prevenzione della perdita di dati (DLP) nella Console di amministrazione Google per gestire i contenuti sensibili condivisi dagli utenti nei messaggi email. Con DLP per Gmail, le regole vengono applicate ai messaggi inviati alle persone all'interno e all'esterno della tua organizzazione. Utilizza le regole per identificare le informazioni sensibili e contribuire a impedirne la condivisione in modo inappropriato.

In questa pagina

• Funzionalità DLP per Gmail
• Come funziona DLP per Gmail?
• Informazioni sulla scansione sincrona e asincrona
• Risultati della scansione sincrona e asincrona
• Che cosa viene scansionato?
• Tipi di file allegati supportati
• Più allegati
• In che modo DLP interagisce con le altre regole email?
• DLP di Gmail e gruppi
• Crea regole DLP per Gmail
• Esamina gli eventi delle regole DLP con lo strumento di indagine sulla sicurezza
• Esporta le violazioni DLP utilizzando BigQuery
• Condividi il tuo feedback

Funzionalità DLP per Gmail

Con DLP per Gmail, puoi:

• Creare regole DLP per Gmail o per altre app di Google Workspace che utilizzano DLP, tra cui Gmail, Google Chat e Google Drive.
• Utilizzare le regole DLP per attivare le azioni appropriate per le violazioni delle regole:
  • Blocca messaggio: blocca la consegna dell'email e invia una notifica all'utente.
  • Avvisa gli utenti: avvisa gli utenti delle informazioni sensibili rilevate nel messaggio, ma consente loro di inviarlo comunque.
  • Metti messaggio in quarantena: metti in quarantena un messaggio affinché venga esaminato da un amministratore prima di essere inviato o prima che torni indietro.
  • Solo controllo: invia il messaggio e registra l'evento DLP per un controllo futuro al fine di valutare l'impatto delle nuove regole.
• Definisci le condizioni utilizzando stringhe di testo e rilevatori predefiniti e personalizzati, come parole chiave ed espressioni regolari.
• Aggiungere regole che aggiungono automaticamente le etichette di classificazione ai nuovi messaggi in base alle condizioni specificate. Ad esempio, applica un'etichetta di classificazione Riservato quando i messaggi contengono informazioni sensibili, finanziarie o che consentono l'identificazione personale.
• Rilevare quando la modalità confidenziale è attivata per un messaggio e utilizzare lo stato della modalità confidenziale come condizione per consentire alle persone di inviare messaggi con contenuti sensibili.
• Applicare le regole per unità organizzative o gruppi specifici oppure per l'intera organizzazione.
• Avvisare gli amministratori in merito alle violazioni delle regole nel Centro avvisi in modo che possano esaminare il problema.
• Scansionare il testo dell'immagine in tutti gli allegati dei messaggi con il riconoscimento ottico dei caratteri (OCR).

Come funziona DLP per Gmail?

Quando un utente invia un'email, DLP la scansiona per individuare contenuti sensibili. Se un messaggio o un allegato viola una regola, l'azione definita nella regola viene applicata al messaggio.

Riepilogo del flusso:

1. Aggiungi regole DLP che definiscono i contenuti sensibili e l'azione da eseguire sui messaggi con contenuti sensibili.
2. Quando un utente invia un'email, DLP scansiona i contenuti per individuare eventuali corrispondenze alle regole.
3. Se viene trovata una corrispondenza con una regola, DLP applica l'azione definita nella regola.
4. Tutti gli eventi vengono registrati negli eventi del log delle regole per la revisione.

Informazioni sulla scansione sincrona e asincrona

Con DLP per Gmail, le regole possono essere scansionate in modo sincrono o asincrono:

• Scansione sincrona: le regole DLP vengono scansionate quando l'utente fa clic su Invia. L'utente viene avvisato dei contenuti sensibili prima che il messaggio venga inviato dalla sua casella di posta. Gmail sul web e l'app mobile Gmail eseguono la scansione sincrona.

• Scansione asincrona: le regole DLP vengono scansionate dopo che il messaggio lascia la casella di posta del mittente. Gli utenti ricevono un messaggio che li informa che il messaggio è bloccato o messo in quarantena prima di essere recapitato al destinatario. La scansione asincrona si verifica quando un utente invia un messaggio con un'app email di terze parti e quando la scansione sincrona non va a buon fine.

Risultati della scansione sincrona e asincrona

Che cosa viene scansionato?

Vengono scansionati soltanto i messaggi in uscita. Le condizioni Tipo di contenuti da analizzare aggiunte nella regola determinano quale parte del messaggio viene analizzata:

• Tutti i contenuti: l'oggetto, A, Da, Ccn, Cc e il corpo del messaggio vengono scansionati in modo sincrono. La scansione degli allegati viene eseguita in modo asincrono. Gli allegati includono file e immagini. Vengono scansionati anche i nomi file degli allegati. Per maggiori dettagli, vedi Tipi di file supportati in questa pagina.
  Gli allegati non possono essere utilizzati come condizione per applicare un'azione Avvisa perché vengono sempre scansionati in modo asincrono.

  Importante: l'opzione Tutti i contenuti scansiona solo cinque tipi di intestazioni: Oggetto, A, Da, Ccn e Cc. Queste intestazioni sono immediatamente disponibili per la scansione sincrona. Per analizzare tutte le intestazioni dei messaggi, ti consigliamo di utilizzare una di queste opzioni:

  • Aggiungi una condizione con l'operatore OR per eseguire la scansione delle intestazioni email.
  • Crea una regola separata specificamente per la scansione delle intestazioni email

• Intestazioni email: i contenuti delle intestazioni email. Mentre la maggior parte delle intestazioni viene scansionata in modo asincrono, le intestazioni Oggetto, A, Da, Ccn e Cc vengono scansionate sia in modo asincrono che sincrono. Per evitare interruzioni per gli utenti, evita di impostare una condizione di corrispondenza esclusa (una condizione NOT) sulle intestazioni email non disponibili. Le intestazioni email vengono scansionate per verificare la presenza di informazioni sensibili.

• Corpo: il corpo del messaggio viene scansionato in modo sincrono e gli allegati in modo asincrono.

• Oggetto: l'oggetto viene scansionato in modo sincrono.

• Etichetta di classificazione: le etichette di classificazione che sono state applicate manualmente da un utente o automaticamente con una regola DLP. Una regola non può avere sia l'etichetta di classificazione come condizione che le etichette Applica classificazione come azione.

• Stato delle modalità riservate: indica se la modalità riservata è attivata per il messaggio. Ti consigliamo di utilizzare questa condizione con altre condizioni della regola. Ad esempio, se il corpo del messaggio contiene un ID fiscale e il messaggio non utilizza la modalità confidenziale, l'invio del messaggio viene bloccato. Per maggiori dettagli, vedi Utilizzare la modalità riservata per proteggere i messaggi di Gmail.

Tipi di file allegati supportati

Le regole DLP scansionano i seguenti tipi di allegati:

• Tipi di file di documenti: TXT, DOC, DOCX, RTF, HTML, XHTML, XML, PDF, PPT, PPTX, ODP, ODS, ODT, XLS, XLSX, PS, CSS, CSV, JSON, SH
• Tipi di file immagine (quando l'OCR è attivo): EPS, BMP, GIF, JPEG, PNG e immagini all'interno di file PDF
• Tipi di file compressi: BZIP, RAR, TAR, ZIP
• Tipi di file personalizzati: HWP, KML, KMZ, SDC, SDD, SDW, SXC, SXI, SXW, WML, XPS

Più allegati

Se un messaggio ha più di un allegato, la regola viene attivata se uno qualsiasi degli allegati corrisponde alla condizione della regola. A volte questo può portare a regole che includono la condizione NOT con risultati imprevisti. Ad esempio, se viene utilizzata la condizione NOT(content contains SSN) e uno degli allegati contiene SSN, la condizione è vera e la regola non viene attivata.

In che modo DLP interagisce con le altre regole email?

Le regole DLP vengono valutate prima delle regole di conformità dei contenuti e delle regole di routing.

Se le regole DLP non accettano azioni di blocco o quarantena per un messaggio, quest'ultimo viene valutato dalle regole di conformità dei contenuti e di routing. Se una regola di conformità dei contenuti o di routing applica un'azione che crea un'altra copia del messaggio (ad esempio, aggiunge un nuovo destinatario), DLP esegue la scansione delle nuove copie del messaggio prima di inviarle.
Per maggiori dettagli, vedi Configura regole per il filtro avanzato dei contenuti delle email.

DLP di Gmail e gruppi

Questa sezione descrive in che modo le regole DLP di Gmail interagiscono con i gruppi.

Le regole DLP si applicano ai gruppi solo quando la regola è impostata per l'intera organizzazione. Le regole DLP supportano solo l'azione Rifiuta per i gruppi. Le azioni Avvisa e Quarantena non sono supportate per i gruppi.

Crea regole DLP per Gmail

1. Vai a Menu Regole > Crea regola > Protezione dei dati.

   È necessario disporre dei privilegi di visualizzazione e gestione regola DLP.

2. Inserisci un nome per la regola e, facoltativamente, una descrizione.
3. Nella sezione App, per Gmail, fai clic sulla casella Messaggio inviato.
4. (Facoltativo) Per verificare se la tecnologia OCR è attiva, fai clic su Verifica e seleziona la casella Gmail per attivare OCR per Gmail.
5. Fai clic su Continua.

6. Nella sezione Azioni, in Gmail, scegli un'opzione.

   Tutte le azioni sono registrate negli eventi del log delle regole.

   • Blocca messaggio: non invia subito il messaggio e mostra un avviso al mittente sulle informazioni potenzialmente sensibili contenute nel messaggio. Il mittente può modificare il messaggio e inviarlo di nuovo.
   • Avvisa gli utenti: non invia subito il messaggio e mostra un avviso al mittente. Il mittente può inviare il messaggio senza modifiche oppure modificarlo e inviarlo di nuovo.
     Nota: gli allegati vengono sempre analizzati in modo asincrono, pertanto non puoi utilizzarli come condizione per l'azione Avvisa gli utenti in una regola.
   • Metti messaggio in quarantena: non invia subito il messaggio e mostra un avviso al mittente. Il mittente può inviare il messaggio senza modifiche o inviarlo per la revisione da parte di un amministratore o di un'altra persona qualificata. Devi selezionare un'opzione dal menu Condizione di quarantena.
   • Solo controllo: il messaggio viene inviato. Non viene visualizzato alcun avviso. Il messaggio viene sottoposto a scansione in base alle regole e registrato come evento che un amministratore può esaminare in un secondo momento.
   • Applica etichetta di classificazione: applica un'etichetta di classificazione ai messaggi che soddisfano le condizioni. Devi selezionare un'opzione dai menu Campo dell'etichetta e Opzioni campo.
   • Aggiungi nota personalizzata: aggiunge un'intestazione o un piè di pagina personalizzato alle email corrispondenti.

7. In Seleziona quando applicare questa azione, scegli se l'azione deve essere applicata ai messaggi interni, ai messaggi esterni o a entrambi.

8. (Facoltativo) Per creare un avviso personalizzato, seleziona la casella Personalizza messaggio in Messaggio utente e inserisci il testo dell'avviso. Gli avvisi possono includere URL e fino a 300 caratteri (inclusi quelli negli URL). Se non crei un messaggio personalizzato, nella casella viene visualizzato il messaggio predefinito.

9. (Facoltativo) Per impostare il livello di gravità degli eventi dei messaggi segnalati, alla voce Avvisi, scegli un livello di gravità: Basso, Medio o Alto. Il livello di gravità è registrato negli eventi del log delle regole e può essere utilizzato per esaminare gli incidenti.

10. (Facoltativo) Per inviare un avviso sugli eventi dei messaggi (un messaggio attivato da questa regola), seleziona la casella Centro avvisi. Inoltre, invii una notifica di avviso ai super amministratori con l'opzione Tutti i super amministratori. Inserisci altre notifiche di avviso per altri destinatari.

11. Fai clic su Continua.

12. In Ambito, scegli un'opzione:

    • Per applicare la regola all'intera organizzazione, seleziona Tutti in domain.name.
    • Per applicare la regola a unità organizzative o gruppi specifici, seleziona Unità organizzative e/o gruppi e includi o escludi le unità organizzative e i gruppi.

13. Per Condizioni dei contenuti, fai clic su Aggiungi condizione e seleziona la parte del messaggio da sottoporre a scansione.

    Importante: se crei una regola DLP senza condizioni, la regola scansiona tutte le parti del messaggio e applica l'azione specificata a ogni messaggio Gmail.

    • Tutti i contenuti: l'intestazione, l'oggetto, il corpo e gli allegati del messaggio vengono scansionati.
    • Corpo: il corpo del messaggio e gli allegati vengono scansionati.
    • Etichetta di classificazione: scansiona le etichette di classificazione applicate ai messaggi.
    • Stato della modalità riservata: controlla se la modalità riservata è attiva per i messaggi.
    • Intestazioni email: l'intestazione e l'oggetto del messaggio vengono scansionati. Se il messaggio viene inviato con la crittografia lato client di Google Workspace (CSE), è possibile eseguire la scansione solo dei contenuti delle intestazioni email (incluso l'oggetto).
    • Oggetto: viene scansionato solo l'oggetto del messaggio.

14. Fai clic su Che cosa cercare e seleziona le opzioni e gli attributi per la scansione. Per informazioni dettagliate su ciascun campo, consulta la sezione Informazioni sulle opzioni e sugli attributi di Che cosa cercare in questa pagina.

15. Fai clic su Continua ed esamina i dettagli della regola.

16. Scegli uno stato per la regola:

    • Attiva: la regola viene eseguita immediatamente.
    • Non attiva: la regola viene aggiunta, ma non viene eseguita immediatamente. Questa opzione ti lascia il tempo di esaminare la regola e di condividerla con altre persone prima che venga implementata. Per attivare la regola in un secondo momento, nella Console di amministrazione, vai a SicurezzaAccesso e controllo dei datiProtezione dei datiGestisci regole, imposta lo stato su Attivafai clic su Conferma.

17. Fai clic su Crea.

Le modifiche possono richiedere fino a 24 ore, ma in genere sono più rapide. Scopri di più

Informazioni sulle opzioni e sugli attributi di Che cosa cercare

Le opzioni Che cosa cercare variano in base al tipo di contenuti che hai scelto di scansionare. Per le condizioni delle regole di Gmail, puoi eseguire la ricerca di:

• Corrisponde al tipo di dati predefinito (consigliato)
• Contiene la stringa di testo
• Contiene la parola
• Corrisponde all'espressione regolare
• Corrisponde alle parole incluse nell'elenco
• È un'etichetta di classificazione
• È attivata o disattivata (solo stato Modalità riservata)

Nelle condizioni puoi utilizzare gli operatori AND, OR o NOT. Per maggiori dettagli sull'utilizzo di questi operatori con le condizioni, vai a Esempi di regole DLP con operatori con condizioni nidificate.

Che cosa cercare	Attributi
Corrisponde al tipo di dati predefinito	Tipo di dati: seleziona un tipo di dati predefinito. Per maggiori dettagli, vedi Come utilizzare i rilevatori di contenuti predefiniti. Soglia di probabilità: seleziona una soglia di probabilità. Le soglie disponibili sono: Molto basso Bassa Media Alta Molto alto Queste soglie riflettono la fiducia del sistema DLP nel risultato della corrispondenza. In genere, la soglia Molto alta corrisponde a un numero inferiore di contenuti ed è più precisa. La soglia Molto bassa dovrebbe trovare corrispondenze in un numero maggiore di file, ma con una precisione inferiore. Numero minimo di corrispondenze univoche: inserisci il numero minimo di volte in cui un risultato con corrispondenza deve verificarsi in modo univoco in un documento per attivare l'azione. Numero di corrispondenze minimo: inserisci il numero minimo di volte in cui i risultati con corrispondenze devono essere rilevati in un documento per poter attivare l'azione. Numero di corrispondenze minimo e Numero minimo di corrispondenze univoche: come funzionano. Supponiamo che tu abbia 2 elenchi di codici fiscali, il primo contenente 50 copie di uno stesso numero e il secondo 50 numeri univoci. Se il valore di Numero di corrispondenze minimo è uguale a 10, saranno presenti risultati in entrambi gli elenchi poiché entrambi contengono almeno 10 corrispondenze. Oppure, se il valore di Numero minimo di corrispondenze univoche è uguale a 10 e quello di Numero di corrispondenze minimo è uguale a 1, i risultati attiveranno l'azione solo sul secondo elenco, dato che ci sono 10 corrispondenze e tutte per valori univoci.
Contiene la stringa di testo	Inserisci i contenuti da utilizzare per la corrispondenza: inserisci una sottostringa, un numero o altri caratteri da cercare. Specifica se i contenuti sono sensibili alle maiuscole. Per le sottostringhe, se la regola contiene, ad esempio, la parola chiave e il documento contiene la parola chiave, si crea una corrispondenza.
Contiene la parola	Inserisci i contenuti da far corrispondere: inserisci la parola, il numero o gli altri caratteri da cercare.
Corrisponde all'espressione regolare	Nome espressione regolare: un rilevatore personalizzato dell'espressione regolare. Numero minimo di volte in cui il pattern è rilevato: inserisci il numero minimo di volte in cui il pattern indicato dall'espressione regolare deve comparire in un documento per attivare l'azione.
Corrisponde alle parole incluse nell'elenco	Nome elenco di parole: seleziona un elenco di parole personalizzato. Modalità corrispondenza: seleziona Corrispondenza con qualsiasi parola o Corrispondenza con un numero minimo di parole univoche. Numero minimo di rilevamenti di una parola: inserisci il numero minimo di volte in cui una parola deve essere rilevata per attivare l'azione. Numero minimo di rilevamenti di parole univoche: inserisci il numero minimo di parole univoche che devono essere rilevate per attivare l'azione (disponibile solo per l'opzione Corrispondenza con un numero minimo di parole univoche).

Esamina gli eventi delle regole DLP con lo strumento di indagine sulla sicurezza

Esporta le violazioni DLP utilizzando BigQuery

Per effettuare ulteriori indagini, puoi esportare le violazioni DLP registrate negli eventi del log delle regole in tabelle personalizzate. Per maggiori dettagli, vedi Configurare le esportazioni dei log di servizio in BigQuery.

Condividi il tuo feedback

Nella Console di amministrazione in tutte le pagine relative alla protezione dei dati, fai clic su Invia feedback.

Argomenti correlati

• Etichette di classificazione automatica e DLP di Gmail
• Visualizzare i limiti relativi alle dimensioni dei contenuti e delle regole DLP
• Utilizzare il riconoscimento ottico dei caratteri (OCR) per leggere le immagini
• Routing dell'email e opzioni di recapito per Google Workspace
• Configurare la quarantena per le email
• Eventi del log delle regole