Ediciones compatibles con esta función: Frontline Plus, Enterprise Plus, Education Standard y Education Plus. Comparar tu edición
Como administrador, puedes activar la encriptación del cliente (CSE) de Google Workspace para los usuarios que necesiten crear contenido encriptado con estos servicios:
| Para este servicio… | Activa la CSE para… |
|---|---|
| Google Drive |
Usuarios que necesitan crear documentos, hojas de cálculo y presentaciones con encriptación del cliente, o bien subir archivos con encriptación del cliente a Drive No es necesario que actives la CSE para los usuarios que solo ven y editan los archivos que se comparten con ellos. |
| Gmail |
Usuarios que necesitan enviar o recibir mensajes encriptados Antes de activar la CSE para Gmail, revisa las opciones para habilitar la encriptación de correo electrónico para los usuarios, que es un requisito adicional a la activación de la CSE de Gmail. Para obtener más detalles, consulta CSE de Gmail: Asegúrate de que la encriptación esté habilitada para los usuarios más adelante en esta página. |
| Calendario de Google |
Usuarios que necesitan crear eventos de calendario con encriptación del cliente También debes activar la CSE en Drive y Meet para estos usuarios si quieres que adjunten documentos con encriptación del cliente y organicen reuniones con encriptación del cliente. No es necesario que actives la CSE para los invitados al evento. |
| Google Meet |
Usuarios que necesitan organizar reuniones en línea con encriptación del cliente No es necesario que actives la CSE para otros participantes de la reunión. |
En el caso de los usuarios que solo necesitan ver o editar contenido encriptado, asegúrate de lo siguiente:
- Los usuarios internos están en la lista de control de acceso a las claves (KACL) de tu servicio de claves. Para obtener más información, consulta Configura tu servicio de claves para la encriptación del cliente.
- Los usuarios externos tienen acceso a tu contenido con encriptación del cliente. Para obtener más detalles, consulta Proporciona acceso externo al contenido con encriptación del cliente.
Antes de comenzar
Asegúrate de haber completado estos pasos:
- Elige un servicio de claves.
- Conéctate a tu proveedor de identidad (IdP).
- Configura tu servicio de claves externo o la encriptación de claves de hardware.
- Asigna un servicio de claves o la encriptación de claves de hardware a unidades organizativas o grupos.
Si usas varios servicios de claves, asegúrate de que estén asignados a las unidades organizativas o los grupos de configuración adecuados.
Comprende las limitaciones del uso de la CSE con los servicios compatibles
Para obtener más información sobre las funciones que no están disponibles para los usuarios cuando eligen usar la CSE, consulta Experiencia del usuario de la CSE.
Si es necesario, agrega usuarios a unidades organizativas y grupos
Asegúrate de haber colocado a los usuarios en las unidades organizativas o los grupos para los que quieres activar la CSE en todos los servicios o en algunos específicos.
- Para obtener más información sobre cómo crear unidades organizativas, consulta Cómo agregar una unidad organizativa.
- Para obtener detalles sobre cómo crear y usar grupos de configuración, consulta Personaliza la configuración del servicio con grupos de configuración.
Puedes establecer la CSE como el parámetro de configuración predeterminado para las apps de los usuarios.
Cuando activas la CSE para unidades organizativas, puedes establecerla como la configuración predeterminada para los siguientes servicios, incluidas las apps web y para dispositivos móviles:
- Gmail: El contenido se encripta de forma predeterminada cuando los usuarios redactan, responden o reenvían un correo electrónico.
- Google Drive: El contenido se encripta de forma predeterminada cuando los usuarios crean archivos nuevos, como documentos, hojas de cálculo y presentaciones.
- Calendario de Google: Las descripciones de los eventos se encriptan de forma predeterminada cuando los usuarios crean un evento. Las reuniones de Google Meet también se encriptan de forma predeterminada.
Si activas la CSE de forma predeterminada, los usuarios podrán desactivar la encriptación si es necesario. Puedes supervisar las acciones de los usuarios para desactivar la CSE en Drive y Calendario con la herramienta de investigación de seguridad. Para obtener más detalles, consulta Cómo ver registros y los informes de la encriptación del cliente.
Nota: Por el momento, la opción de establecer la CSE como predeterminada para un servicio solo está disponible para las unidades organizativas, no para los grupos de configuración.
CSE de Gmail: Asegúrate de que la encriptación de correo electrónico esté habilitada para los usuarios
Para enviar y recibir mensajes encriptados, los usuarios deben tener habilitadas la CSE de Gmail y la encriptación de correo electrónico en sus cuentas. Según tu suscripción y tus necesidades, puedes habilitar la encriptación de cualquiera de las siguientes maneras:
- Configurar y subir certificados S/MIME para los usuarios (se requiere experiencia trabajando con APIs y secuencias de comandos de Python) Con esta opción, debes habilitar la API de Gmail antes de activar la CSE para Gmail. Para obtener más información, consulta Solo Gmail: Configura certificados S/MIME para la encriptación del cliente.
- Si tienes el complemento Assured Controls y no usas la encriptación de claves de hardware para Gmail, usa la encriptación de extremo a extremo (E2EE) de Gmail seleccionando la opción Encriptación con cuentas de invitado cuando actives la CSE de Gmail (como se describe más adelante en esta página). Con esta opción, no necesitas configurar certificados S/MIME para los usuarios. Para usar la E2EE de Gmail, primero debes configurar un proveedor de identidad (IdP) invitado. Para obtener más información, consulta Proporciona acceso externo al contenido con encriptación del cliente.
Importante: Con la opción Encriptación con cuentas de invitado, también puedes permitir que los usuarios intercambien mensajes con encriptación del cliente con cualquier persona ajena a tu organización. Para proporcionar este acceso, debes configurar un proveedor de identidad (IdP) de invitado. Para obtener más información, consulta Cómo proporcionar acceso externo al contenido con encriptación del cliente.
Activa o desactiva la CSE para los usuarios
Para activar la CSE para los usuarios, debes activarla en las unidades organizativas o los grupos de configuración a los que pertenecen los usuarios. Una vez que actives el acceso de los usuarios a la CSE, estos podrán elegir si quieren encriptar el contenido.
Cuando activas la CSE para una unidad organizativa, puedes establecerla como predeterminada para Gmail, Google Drive y el Calendario de Google, tanto en las apps web como para dispositivos móviles. Se requiere el complemento de Assured Controls o Assured Controls Plus.
Para evitar que los usuarios encripten contenido, puedes desactivar la CSE en las unidades organizativas o los grupos de configuración a los que pertenecen. Si desactivas la CSE para los usuarios, todo el contenido encriptado del cliente existente permanecerá encriptado y accesible.
Debes acceder como administrador avanzado para realizar esta tarea.-
En la Consola del administrador de Google, ve a Menú
Datos
Cumplimiento
Encriptación del cliente.Debes acceder como administrador avanzado para realizar esta tarea.
En Apps, haz clic en el nombre del servicio de Google para el que quieres activar o desactivar la CSE para los usuarios.
Como alternativa, en Encriptación con servicio de claves externo o Encriptación con claves de hardware, haz clic en Asignar. Luego, en Encriptación por app, selecciona el servicio de Google para el que quieras activar la CSE.
En el panel de la izquierda, selecciona la unidad organizativa o el grupo para el que quieras activar o desactivar la CSE.
En Estado de la encriptación del cliente, selecciona Activada o Desactivada.
En el mensaje emergente, confirma tu selección.
(Opcional solo para Gmail) Para habilitar automáticamente la encriptación de correos electrónicos en las cuentas de los usuarios, en Encriptación con cuentas de invitado, selecciona Permitir que los usuarios envíen mensajes con encriptación del cliente a destinatarios que no usan S/MIME. Se requiere el complemento de Assured Controls o Assured Controls Plus.
(Opcional solo para unidades organizativas) Para encriptar el contenido de Gmail, Drive o Calendario con el servicio de Google de forma predeterminada, en Activado de forma predeterminada, marca la casilla Activar la encriptación del cliente de forma predeterminada. Los usuarios aún tendrán la opción de desactivar la encriptación.
Se requiere el complemento Assured Controls o Assured Controls Plus.Haz clic en Anular para conservar el parámetro de configuración si se cambian los parámetros de configuración de CSE de la unidad organizativa superior.
Si ya está establecido el parámetro Anulada para la unidad organizativa, elige una de las siguientes opciones:
- Heredar: Revierte la configuración de CSE al mismo parámetro que la configuración principal.
- Guardar: Guarda el nuevo parámetro de configuración de la CSE (incluso si cambia el parámetro de configuración principal).
Si activaste la CSE para Gmail
Si no pudiste usar la opción Encriptación con cuentas de invitado después de activar la CSE para Gmail, debes preparar y subir los certificados S/MIME y los metadatos de la clave privada encriptada a Gmail para cada usuario que usará la CSE de Gmail. Para obtener más información, consulta Cómo configurar la CSE de Gmail para los usuarios.
Si los usuarios tienen problemas para usar la CSE
Consulta el Centro de alertas si los usuarios tienen problemas para usar la CSE de Gmail. Para obtener más información, consulta El servicio de encriptación del cliente no está disponible.