Impedir vazamentos de dados em e-mails e anexos (DLP do Gmail)

Edições compatíveis com este recurso: Frontline Standard e Frontline Plus, Enterprise Standard e Enterprise Plus, Education Fundamentals, Education Standard e Education Plus. Comparar sua edição

A DLP para o Gmail também está disponível para usuários do Cloud Identity Premium que também são licenciados para as edições do Google Workspace que incluem o Gmail.

É possível criar regras de Prevenção contra perda de dados (DLP) no Google Admin Console para gerenciar o conteúdo sensível que os usuários compartilham em mensagens de e-mail. As regras de DLP no Gmail são válidas para mensagens enviadas para pessoas dentro e fora da organização. Use regras para identificar informações sensíveis e evitar que sejam compartilhadas de forma inadequada.

Nesta página

• Recursos da DLP para o Gmail
• Como funciona a DLP para o Gmail?
• Sobre a verificação síncrona e assíncrona
• Resultados da verificação síncrona e assíncrona
• O que é verificado?
• Tipos de arquivos de anexos compatíveis
• Vários anexos
• Como a DLP interage com outras regras de e-mail?
• DLP do Gmail e Grupos
• Criar regras de DLP para o Gmail
• Investigar eventos de regras da DLP usando a ferramenta de investigação de segurança
• Exportar violações de DLP usando o BigQuery
• Compartilhe seu feedback

Recursos da DLP para o Gmail

Com a DLP do Gmail, você pode:

• Crie regras de DLP para o Gmail ou outros apps do Google Workspace que usam a DLP, incluindo o Gmail, o Google Chat e o Google Drive.
• Use regras de DLP para acionar as ações adequadas em caso de violações:
  • Bloquear mensagem: bloqueie o envio da mensagem de e-mail e envie uma notificação ao usuário.
  • Alertar usuários: avise os usuários sobre informações sensíveis detectadas na mensagem, mas permita que eles enviem a mensagem mesmo assim.
  • Colocar mensagem em quarentena: coloca uma mensagem em quarentena para que um administrador analise antes de ela ser enviada ou devolvida.
  • Somente auditoria: envie a mensagem e registre o evento da DLP para auditoria futura e avaliação do impacto das novas regras.
• Defina condições usando strings de texto e detectores predefinidos e personalizados, como palavras-chave e expressões regulares.
• Adicione regras que adicionam automaticamente marcadores de classificação a novas mensagens com base nas condições especificadas. Por exemplo, aplique um rótulo de classificação Confidencial quando as mensagens contiverem informações sensíveis, financeiras ou de identificação pessoal.
• Detectar quando o modo confidencial está ativado para uma mensagem e usar o status do modo confidencial como uma condição para permitir que as pessoas enviem mensagens com conteúdo sensível.
• Aplique regras a unidades organizacionais ou grupos específicos ou a toda a organização.
• Avise os administradores sobre violações de regras na Central de alertas para que eles possam investigar.
• Verifique o texto da imagem em todos os anexos da mensagem com o reconhecimento óptico de caracteres (OCR).

Como funciona a DLP para o Gmail?

Quando um usuário envia uma mensagem de e-mail, a DLP verifica se ela tem conteúdo sensível. Se uma mensagem ou um anexo violar uma regra, a ação definida nela será aplicada à mensagem.

Resumo do fluxo:

1. Adicione regras da DLP que definem o conteúdo sensível e a ação a ser realizada em mensagens com esse tipo de conteúdo.
2. Quando um usuário envia uma mensagem de e-mail, a DLP verifica se o conteúdo corresponde à regra.
3. Se uma regra for atendida, a DLP vai aplicar a ação definida nela.
4. Todos os eventos são registrados para análise em eventos de registro de regras.

Sobre a verificação síncrona e assíncrona

Com a DLP para o Gmail, as regras podem ser verificadas de forma síncrona ou assíncrona:

• Verificação síncrona: as regras da DLP são verificadas quando o usuário clica em Enviar. O usuário é notificado sobre conteúdo sensível antes que a mensagem saia da caixa de e-mails. O Gmail na Web e o app Gmail para dispositivos móveis fazem a verificação síncrona.

• Verificação assíncrona: as regras de DLP são verificadas depois que a mensagem sai da caixa de e-mails do remetente. Os usuários recebem uma mensagem informando que a mensagem foi bloqueada ou colocada em quarentena antes de ser enviada ao destinatário. A verificação assíncrona ocorre quando um usuário envia uma mensagem usando um app de e-mail de terceiros e quando a verificação síncrona não é bem-sucedida.

Resultados da verificação síncrona e assíncrona

O que é verificado?

Somente as mensagens enviadas são verificadas. As condições de Tipo de conteúdo a ser verificado adicionadas à regra determinam qual parte da mensagem é verificada:

• Todo o conteúdo: o assunto, o destinatário, o remetente, o Cco, o Cc e o corpo da mensagem são verificados de forma síncrona. Os anexos são verificados de forma assíncrona. Os anexos incluem arquivos e imagens. Os nomes dos arquivos anexos também são verificados. Para mais detalhes, acesse Tipos de arquivos compatíveis nesta página.
  Os anexos não podem ser usados como condição para aplicar uma ação Avisar porque são sempre verificados de forma assíncrona.

  Importante: a opção Todo o conteúdo verifica apenas 5 tipos de cabeçalho: Assunto, Para, De, Cco e Cc. Esses cabeçalhos ficam disponíveis imediatamente para verificação síncrona. Para verificar todos os cabeçalhos de mensagem, recomendamos usar uma destas opções:

  • Adicionar uma condição com o operador OR para verificar os cabeçalhos de e-mail
  • Crie uma regra separada especificamente para verificar os cabeçalhos de e-mail.

• Cabeçalhos de e-mail: conteúdo nos cabeçalhos de e-mail. Embora a maioria dos cabeçalhos seja verificada de forma assíncrona, os cabeçalhos "Assunto", "Para", "De", "Cco" e "Cc" são verificados de forma assíncrona e síncrona. Para evitar interrupções aos usuários, não defina uma condição de correspondência negativa (uma condição NOT) em cabeçalhos de e-mail indisponíveis. Os cabeçalhos de e-mail são verificados para identificar informações sensíveis.

• Corpo: o corpo da mensagem é verificado de forma síncrona e os anexos são verificados de forma assíncrona.

• Assunto: o assunto é verificado de forma síncrona.

• Rótulo de classificação: rótulos de classificação que foram aplicados manualmente por um usuário ou automaticamente com uma regra da DLP. Uma regra não pode ter o rótulo de classificação como condição e rótulos de aplicar classificação como ação.

• Status do modo confidencial: indica se o modo confidencial está ativado na mensagem. Recomendamos usar essa condição com outras condições de regra. Por exemplo, se o corpo da mensagem tiver um CNPJ e não usar o modo confidencial, o envio será bloqueado. Para mais detalhes, acesse Proteger mensagens do Gmail com o modo confidencial.

Tipos de arquivos de anexos compatíveis

As regras de DLP verificam os seguintes tipos de anexos:

• Tipos de arquivo de documentos: TXT, DOC, DOCX, RTF, HTML, XHTML, XML, PDF, PPT, PPTX, ODP, ODS, ODT, XLS, XLSX, PS, CSS, CSV, JSON, SH
• Tipos de arquivo de imagem (quando o OCR está ativado): EPS, BMP, GIF, JPEG, PNG e imagens em arquivos PDF
• Arquivos compactados: BZIP, RAR, TAR e ZIP
• Tipos de arquivo personalizados: HWP, KML, KMZ, SDC, SDD, SDW, SXC, SXI, SXW, WML, XPS

Vários anexos

Se uma mensagem tiver mais de um anexo, a regra será acionada se qualquer um deles corresponder à condição da regra. Isso pode levar a regras que incluem a condição NOT com resultados inesperados. Por exemplo, se a condição NOT(content contains SSN) for usada e um dos anexos contiver SSN, a condição será verdadeira e a regra não será acionada.

Como a DLP interage com outras regras de e-mail?

As regras da DLP são avaliadas antes das regras de compliance de conteúdo e de roteamento.

Se as regras da DLP não aceitarem ações de bloqueio ou quarentena em uma mensagem, ela será avaliada pelas regras de compliance de conteúdo e de roteamento. Se uma regra de compliance de conteúdo ou roteamento aplicar uma ação que cria outra cópia da mensagem (por exemplo, adiciona um novo destinatário), a DLP verifica as novas cópias da mensagem antes de enviá-las.
Para mais detalhes, acesse Configurar regras para a filtragem avançada de conteúdo de e-mail.

DLP do Gmail e grupos

Esta seção descreve como as regras da DLP do Gmail interagem com os grupos.

As regras da DLP só são aplicadas a grupos quando são definidas para toda a organização. As regras de DLP só aceitam a ação "Rejeitar" para grupos. As ações "Avisar" e "Quarentena" não são compatíveis com grupos.

Criar regras de DLP para o Gmail

1. Acesse Menu Regras > Criar regra > Proteção de dados.

   É necessário ter os privilégios de ver e gerenciar regras da DLP.

2. Digite um nome para a regra e uma descrição, se quiser.
3. Na seção Apps, em Gmail, clique na caixa Mensagem enviada.
4. (Opcional) Para conferir se o OCR está ativado, clique em Verificar e marque a caixa Gmail para ativar o OCR para o Gmail.
5. Clique em Continuar.

6. Na seção Ações, em Gmail, escolha uma opção.

   Todas as ações são registradas em eventos de registro da regra.

   • Bloquear mensagem: não envie a mensagem imediatamente e mostre um alerta ao remetente sobre informações potencialmente sensíveis na mensagem. O remetente pode editar a mensagem e enviar de novo.
   • Alertar os usuários: não envie a mensagem imediatamente e mostre um alerta ao remetente. O remetente pode enviar a mensagem sem alterações ou editar e enviar de novo.
     Observação: os anexos são sempre verificados de forma assíncrona. Por isso, não é possível usá-los como condição para a ação Alertar usuários em uma regra.
   • Colocar a mensagem em quarentena: não envie a mensagem imediatamente e mostre um alerta ao remetente. O remetente pode enviar a mensagem sem alterações ou enviar para revisão por um administrador ou outra pessoa qualificada. Selecione uma opção no menu Condição de quarentena.
   • Somente auditoria: a mensagem é enviada. Nenhum alerta é exibido. A mensagem é verificada de acordo com as regras e registrada como o evento que um administrador pode analisar mais tarde.
   • Aplicar rótulo de classificação: aplique um rótulo de classificação às mensagens que correspondem às condições. Selecione uma opção nos menus Campo de rótulo e Opções de campo.
   • Adicionar observação personalizada: adiciona um cabeçalho ou rodapé personalizado às mensagens de e-mail correspondentes.

7. Em Selecionar quando esta ação deve ser aplicada, escolha se a ação deve ser aplicada a mensagens internas, externas ou ambas.

8. (Opcional) Para criar um alerta personalizado, em Mensagem do usuário, marque a caixa Personalizar mensagem e insira o texto do alerta. Os alertas podem incluir URLs e até 300 caracteres (incluindo caracteres em URLs). Se você não criar uma mensagem personalizada, a caixa vai mostrar a mensagem padrão.

9. (Opcional) Para definir o nível de gravidade dos eventos de mensagem denunciados, em Alertas, escolha um nível: Baixo, Médio ou Alto. O nível de gravidade é registrado nos eventos de registro da regra e pode ser usado para investigar incidentes.

10. (Opcional) Para enviar um alerta sobre eventos de mensagem (uma mensagem acionada por essa regra), marque a caixa Central de alertas. Você também pode enviar uma notificação de alerta aos superadministradores com a opção Todos os superadministradores. Insira outras notificações de alerta para outros destinatários.

11. Clique em Continuar.

12. Em Escopo, escolha uma opção:

    • Para aplicar a regra a toda a organização, selecione Todos em domain.name.
    • Para aplicar a regra a unidades organizacionais ou grupos específicos, selecione Unidades organizacionais e/ou grupos e inclua ou exclua unidades organizacionais e grupos.

13. Em Condições de conteúdo, clique em Adicionar condição e selecione a parte da mensagem que será verificada.

    Importante: se você criar uma regra de DLP sem condição, ela vai verificar todas as partes da mensagem e aplicar a ação especificada a todas as mensagens do Gmail.

    • Todo o conteúdo: verifica o cabeçalho, o assunto, o corpo e os anexos da mensagem.
    • Corpo: verifica o corpo da mensagem e os anexos.
    • Rótulo de classificação: verifica os rótulos de classificação aplicados às mensagens.
    • Status do modo confidencial: verifica se o modo confidencial está ativado para as mensagens.
    • Cabeçalhos de e-mail: verifica o cabeçalho e o assunto da mensagem. Se a mensagem for enviada com a criptografia do lado do cliente Google Workspace (CSE), só será possível verificar o conteúdo dos cabeçalhos do e-mail (incluindo o assunto).
    • Assunto: verifica apenas o assunto da mensagem.

14. Clique em O que verificar e selecione as opções e os atributos da verificação. Para informações detalhadas sobre cada campo, acesse Sobre "O que verificar nas opções e atributos" nesta página.

15. Clique em Continuar e verifique os detalhes da regra.

16. Escolha um status para a regra:

    • Ativo: a regra é executada imediatamente.
    • Inativo: a regra foi adicionada, mas não é executada imediatamente. Assim você tem tempo para analisar a regra e compartilhá-la com os participantes da equipe antes da implementação. Para acionar a regra mais tarde, no Admin Console, acesse SegurançaControle de acesso e dadosProteção de dadosGerenciar regras, mude o status para Ativaclique em Confirmar.

17. Clique em Criar.

As mudanças podem levar até 24 horas, mas costumam ser mais rápidas. Saiba mais

Sobre "O que verificar nas opções e atributos"

As opções de O que verificar variam de acordo com o tipo de conteúdo escolhido. Para as condições de regra do Gmail, você pode verificar se:

• Corresponde a um tipo de dados predefinido (recomendado)
• Contém string de texto
• Contém palavra
• Corresponde à expressão regular
• Corresponde às palavras da lista de palavras
• É um rótulo de classificação
• Está ativado ou desativado (somente status do modo confidencial)

Você pode usar os operadores AND, OR ou NOT com condições. Para saber como usar esses operadores com condições, acesse Exemplos de regras da DLP com operadores de condição aninhados.

O que verificar	Atributos
Corresponde a um tipo de dados predefinido	Tipo de dados: selecione um tipo de dados predefinido. Para mais detalhes, acesse Como usar detectores de conteúdo predefinidos. Limite de probabilidade: selecione um limite de probabilidade. Limites disponíveis: Muito baixa Baixo Médio Alta Muito alto Esses limites refletem a confiança do sistema DLP no resultado da correspondência. Em geral, o limite "Muito alto" corresponde a menos conteúdo e é mais preciso. O limite "Muito baixo" corresponde a mais arquivos, mas com menos precisão. Mínimo de correspondências exclusivas: insira o número mínimo de vezes que um resultado correspondente precisa ocorrer exclusivamente em um documento para acionar a ação. Número mínimo de correspondências: insira o número mínimo de vezes que os resultados correspondentes precisam aparecer em um documento para ativar a ação. Como funcionam as opções "Número mínimo de correspondências" e "Mínimo de correspondências exclusivas"? Por exemplo, imagine duas listas de CPFs ou CNPJs: a primeira tem 50 cópias do mesmo número, e a segunda tem 50 números exclusivos. Se o valor de Número mínimo de correspondências for igual a 10, os resultados serão acionados nas duas listas, já que ambas têm pelo menos 10 correspondências. Mas se o valor de "Mínimo de correspondências exclusivas" for igual a 10 e o valor de "Número mínimo de correspondências" for igual a 1, os resultados serão acionados somente na segunda lista, já que há 10 correspondências, e todas são valores exclusivos correspondentes.
Contém string de texto	Digite o conteúdo para corresponder: digite uma substring, um número ou outros caracteres para pesquisar. Especifique se o conteúdo diferencia maiúsculas de minúsculas. No caso da substring, se a regra contiver a palavra-chave e o documento contiver a palavra-chave, ocorrerá uma correspondência.
Contém palavra	Digite o conteúdo para corresponder: digite a palavra, o número ou outros caracteres para pesquisar.
Corresponde à expressão regular	Nome da expressão regular: um detector personalizado de expressão regular. Número mínimo de detecções do padrão: insira o número mínimo de vezes que o padrão expresso pela expressão regular precisa aparecer em um documento para acionar a ação.
Corresponde às palavras da lista de palavras	Nome da lista de palavras: selecione uma lista de palavras personalizada. Modo de correspondência: selecione Corresponde a qualquer palavra ou Corresponde ao mínimo de palavras únicas. Mínimo de vezes que uma palavra foi detectada: insira o número mínimo de vezes que uma palavra precisa ser detectada para acionar a ação. Mínimo de palavras únicas detectadas: insira o número mínimo de palavras únicas que precisam ser detectadas para acionar a ação (disponível apenas para a opção Corresponde ao mínimo de palavras únicas).

Investigar eventos de regras da DLP usando a ferramenta de investigação de segurança

Exportar violações do DLP usando o BigQuery

É possível exportar violações da DLP registradas em eventos de registro de regras para tabelas personalizadas para uma investigação mais detalhada. Saiba mais em Configurar exportações de registros de serviço para o BigQuery.

Envie feedback

No Admin Console, em qualquer página de proteção de dados, clique em Enviar feedback.

Temas relacionados

• DLP do Gmail e rótulos de classificação automática
• Ver os limites de tamanho do conteúdo e das regras da DLP
• Usar o reconhecimento óptico de caracteres para ler imagens
• Opções de roteamento e entrega de e-mails do Google Workspace
• Configurar a quarentena de e-mail
• Eventos de registro de regras