Integrowanie zapobiegania utraty danych z Chrome przy użyciu Chrome Enterprise Premium

Aby korzystać z tej funkcji, musisz mieć dodatek Chrome Enterprise Premium.

Możesz używać Chrome Enterprise Premium z regułami zapobiegania utracie danych (DLP), aby sprawdzać działania użytkowników w przeglądarce Chrome oraz na urządzeniach z systemem Windows, macOS, Linux i ChromeOS. Możesz skanować w danym pliku do 10 MB treści tekstowych, aby automatycznie wykrywać dane, które są otwierane, przesyłane, pobierane, wklejane lub przenoszone. Możesz używać reguł DLP w Chrome Enterprise Premium, aby kontrolować informacje poufne, takie jak numery ubezpieczenia społecznego czy numery kart kredytowych.

Informacje dostępne na tej stronie

Zanim zaczniesz

Skonfiguruj zasady oprogramowania sprzęgającego Chrome Enterprise. Instrukcje znajdziesz w artykule Konfigurowanie zasad oprogramowania sprzęgającego Chrome Enterprise dla Chrome Enterprise Premium.

Zdarzenia użytkowników (wyzwalacze)

Zanim określisz, jakich treści lub kontekstu ma szukać reguła, musisz wskazać zdarzenie użytkownika, które inicjuje proces skanowania. To zdarzenie wywołuje całą regułę. Od wybranego zdarzenia zależą opcje Typ treści do przeskanowania dostępne w regule.

Możesz wybrać jedno z tych zdarzeń użytkownika:

  • Plik został przesłany – użytkownik przesyła plik z urządzenia w przeglądarce Chrome.
  • Plik został pobrany – użytkownik pobiera plik na urządzenie.
  • Wklejono treść – użytkownik wkleja treść na stronę internetową.
  • Wydrukowane treści – użytkownik drukuje treść strony internetowej.
  • Odwiedzone adres URL – użytkownik odwiedza adres URL.

Warunki DLP

Podczas tworzenia reguły DLP ustalasz warunki, które określają, jakie treści lub działania mają być celem skanowania. Możesz połączyć kilka warunków, aby utworzyć konkretne reguły.

Dostępne opcje Typ treści do przeskanowania zmieniają się w zależności od tego, które zdarzenie użytkownika zostało wybrane do rozpoczęcia skanowania, np. Plik został przesłany, Plik został pobrany, Wklejono treść, Wydrukowane treści, Odwiedzone URL-e itp.

Typ treści do przeskanowania Cel skanowania Szczegóły i użycie
Wszystkie treści Pasuje do wstępnie zdefiniowanego typu danych Skanuje całą zawartość pod kątem informacji poufnych, które pasują do wstępnie zdefiniowanego typu danych, np. Globalnie – adres e-mail lub Stany Zjednoczone – numer ubezpieczenia społecznego. Możesz ustawić próg prawdopodobieństwa i minimalną liczbę unikalnych lub wszystkich dopasowań.
Treść

Zawiera ciąg tekstowy

Zawiera słowa z listy słów

Dopasowanie wyrażenia regularnego

 Skanuje główną treść strony internetowej lub pliku pod kątem określonego tekstu, słów z listy niestandardowej lub wzorców zdefiniowanych przez wyrażenie regularne.
Rozmiar pliku

Więcej niż

Jest mniejsze niż

Jest równe

 Ustawia próg rozmiaru pliku (w bajtach), który na podstawie porównania wywoła regułę.
Typ pliku

Jest zgodny z kategorią plików systemowych

Jest zgodny z określonym typem MIME

 Filtruje, co ma być skanowane, według wstępnie zdefiniowanych kategorii plików, takich jak obraz lub plik wykonywalny, albo według określonego typu MIME. Dowiedz się więcej o typach MIME według kategorii plików.
Źródłowy kontekst Chrome Konkretne atrybuty związane z przeglądarką Chrome Skanuje wewnętrzne atrybuty Chrome, aby określić środowisko lub stan przeglądarki. Reguła jest stosowana, jeśli kontekst ma jedną z tych wartości: Incognito, Schowek lub Inny profil.
Źródłowy adres URL

Zawiera ciąg tekstowy

Zawiera słowa z listy słów

Dopasowanie wyrażenia regularnego

 Skanuje adres URL, z którego pochodzą treści, pod kątem określonego tekstu, słów z listy niestandardowej lub wzorców.
Konto zalogowane w aplikacji internetowej

Zgodna z nazwą domeny

Pasuje do adresu e-mail

Pasuje do wyrażenia regularnego adresu e-mail

 Skanuje konto użytkownika aktywnie zalogowanego w aplikacji internetowej Google, takiej jak Gmail czy Dysk, w momencie zdarzenia. Ten warunek dotyczy reguł uruchamianych przez zdarzenia Wklejanie, Odwiedzone URL-e, Pobrano plik, Przesłano plik i Drukowanie. Obecnie jest obsługiwane tylko w przypadku osobistych i zarządzanych kont Google.
Konto, na które zalogowano się w źródłowej aplikacji internetowej

Zgodna z nazwą domeny

Pasuje do adresu e-mail

Pasuje do wyrażenia regularnego adresu e-mail

 Skanuje konto użytkownika zalogowanego w aplikacji internetowej Google, która zawiera źródło treści (aplikacji, z której użytkownik skopiował treść). Ten warunek dotyczy tylko reguł uruchamianych przez zdarzenie Wklejono treść. Obecnie jest obsługiwane tylko w przypadku osobistych i zarządzanych kont Google.
Kategoria źródłowego adresu URL

Wybierz kategorię

 Współpracuje ze zdarzeniem użytkownika, np. Wklejono treść, aby sprawdzić, czy adres URL źródła należy do wstępnie zdefiniowanej kategorii, takiej jak Sieci społecznościowe lub Wiadomości.
Tytuł

Zawiera ciąg tekstowy

Zawiera słowa z listy słów

Dopasowanie wyrażenia regularnego

 Skanuje tytuł strony internetowej lub dokumentu, którego dotyczy działanie, w poszukiwaniu określonego tekstu, słów z listy niestandardowej lub wzorców.
URL

Zawiera ciąg tekstowy

Zawiera słowa z listy słów

Dopasowanie wyrażenia regularnego

 Skanuje adres URL powiązany z działaniem pod kątem określonego tekstu, słów z listy niestandardowej lub wzorców.  Skanowanie obejmuje adresy URL treści wczytywanych w umieszczonych elementach iframe.
Kategoria URL-a Wybierz kategorię Sprawdza, czy adres URL powiązany z działaniem należy do wstępnie zdefiniowanej kategorii, np. Sieci społecznościowe, Gry lub Hazard.  Skanowanie obejmuje adresy URL treści wczytywanych w umieszczonych elementach iframe.

Uwaga: wyzwalacz Odwiedzone URL-e nie skanuje adresów URL ani odpowiadających im kategorii w umieszczonych elementach iframe.

Działania DLP

Gdy warunek zostanie spełniony, reguła może wymusić 1 z tych działań:

Działanie (w przypadku przeglądarki Chrome i ChromeOS) Opis Ustawienia opcjonalne
Zablokuj Uniemożliwia użytkownikowi wykonanie działania, np. przesłanie pliku. Użytkownik zobaczy komunikat o błędzie lub komunikat niestandardowy. Dostosuj wiadomość: wyświetl użytkownikowi komunikat niestandardowy (maksymalnie 300 znaków, obsługuje hiperlinki) z wyjaśnieniem, dlaczego działanie zostało zablokowane.
Zezwól, ale wyświetl ostrzeżenie Umożliwia użytkownikowi kontynuowanie po wyświetleniu komunikatu ostrzegawczego. Decyzja użytkownika o kontynuowaniu czynności jest rejestrowana w zdarzeniach z dziennika.

Dostosuj komunikat: wyświetl niestandardowy komunikat ostrzegawczy.

Dodaj znak wodny do treści strony: w przypadku działań związanych z odwiedzeniem adresu URL nakłada na stronę internetową przezroczysty znak wodny i tekst „Poufne” lub niestandardową wiadomość.

Ogranicz możliwość robienia zrzutów ekranu i udostępniania ekranu: blokuje zrzuty ekranu i udostępnianie ekranu na powiązanych stronach w przypadku działań związanych z odwiedzeniem adresu URL w systemach macOS i Windows. Treści są zamazywane na zrzutach ekranu (w systemie Windows) lub niewidoczne (w systemie macOS).
Tylko kontrola Umożliwia użytkownikowi kontynuowanie działania bez zakłóceń i rejestruje zdarzenie do sprawdzenia.

Dodaj znak wodny do treści strony: w przypadku działań związanych z odwiedzeniem adresu URL nakłada na stronę internetową przezroczysty znak wodny i tekst „Poufne” lub niestandardową wiadomość.

Ogranicz możliwość robienia zrzutów ekranu i udostępniania ekranu: blokuje zrzuty ekranu i udostępnianie ekranu na powiązanych stronach w przypadku działań związanych z odwiedzeniem adresu URL w systemach macOS i Windows. Treści są zamazywane na zrzutach ekranu (w systemie Windows) lub niewidoczne (w systemie macOS).

Ważne: w przypadku zdarzeń użytkownika Przesłano plik i Wklejono treść blokowanie zależy od ustawień Opóźniaj przesyłanie pliku i Opóźnij możliwość wpisywania tekstu w zasadach oprogramowania sprzęgającego Chrome Enterprise. Szczegółowe informacje znajdziesz w sekcjach Analiza przesłanej treści i Zbiorcza analiza tekstu.

Wybieranie regionu dla danych

Wyniki skanowania DLP i skanowania pod kątem złośliwego oprogramowania możesz przechowywać w określonym regionie, np. w Stanach Zjednoczonych lub Europie. Możesz wybrać region, aby przechowywać dane w określonym miejscu, co jest wymagane w przypadku wielu umów dotyczących zgodności z przepisami. Szczegółowe informacje znajdziesz w artykule Wybieranie regionu geograficznego na potrzeby przechowywania danych.

Włączanie OCR

Aby umożliwić przeglądarce Chrome skanowanie obrazów w plikach i plikach PDF pod kątem treści poufnych, musisz włączyć optyczne rozpoznawanie znaków (OCR). Funkcja OCR skanuje pliki BMP, GIF, JPEG, PNG i TIF, które są przesyłane, pobierane i drukowane. Włączenie OCR ma zastosowanie do wszystkich reguł DLP. Nie można stosować tej funkcji wybiórczo do określonych reguł.

Aby włączyć OCR:

  1. W konsoli administracyjnej Google otwórz Menu a potem Bezpieczeństwoa potemDostęp do danych i kontrola nad nimia potemOchrona danych.

    Wymaga uprawnień administratora do wyświetlania reguł DLP i zarządzania nimi.

  2. Otwórz Ustawienia ochrony danych i kliknij Optyczne rozpoznawanie znaków (OCR).
  3. Włącz opcję W Google Chrome.
  4. Kliknij Zapisz.

Tworzenie reguły DLP

Regułę DLP możesz utworzyć po włączeniu OCR i określeniu jej warunków i działań. Szczegółowe informacje znajdziesz w artykule Tworzenie reguł DLP.

Częste przypadki użycia

W tabeli poniżej znajdziesz przykłady łączenia zdarzenia użytkownika (wyzwalacza), warunków (sprawdzanych elementów) i konkretnego działania (wymuszania) w celu zdefiniowania zasady DLP. Aby korzystać z tej tabeli, musisz wykonać te czynności:

  1. Wybierz zdarzenie użytkownika.
  2. Zmapuj wartości warunków na odpowiednie opcje.
  3. Wybierz działanie.
Przypadek użycia Zdarzenie użytkownika Warunki Czynność
Blokowanie pobierania plików z Dysku Google Plik został pobrany

Typ treści: adres URL*

Dopasowanie: zawiera ciąg tekstowy

Wartość: drive.google.com 		Zablokuj
Ostrzeganie użytkownika, jeśli pobrany plik zawiera więcej niż 30 adresów e-mail Plik został pobrany

Typ treści: wszystkie treści

Dopasowanie: pasuje do wstępnie zdefiniowanego typu danych

Ustawienia: typ danych: globalnie – adres e-mail, średnie prawdopodobieństwo, minimalna liczba unikalnych dopasowań – 30 		Zezwól, ale wyświetl ostrzeżenie
Blokowanie przesyłania plików do serwisów społecznościowych Prześlij plik

Typ treści: kategoria adresu URL

Dopasowanie: wybierz kategorię

Wartość: sieci społecznościowe 		Zablokuj
Blokowanie pobierania plików graficznych większych niż 10 kilobajtów Plik został pobrany

Warunek 1: rozmiar pliku

Dopasowanie: większe niż

Wartość: 10 tys. bajtów

ORAZ

Warunek 2: typ pliku

Dopasowanie: jest zgodny z kategorią plików systemowych

Wartość: obraz

 Zablokuj
Rejestrowanie przypadków przesyłania w ChromeOS plików zawierających amerykańskie numery ubezpieczenia społecznego Przesyłanie plików

Typ treści: wszystkie treści

Dopasowanie: pasuje do wstępnie zdefiniowanego typu danych

Ustawienia: typ danych: Stany Zjednoczone – numer ubezpieczenia społecznego, prawdopodobieństwo: średnie, minimalna liczba unikalnych dopasowań – 1, minimalna liczba dopasowań – 1 		Tylko kontrola
Uniemożliwianie użytkownikom wklejania treści skopiowanych z Gmaila (mail.google.com) Wklejono treść

Typ treści: źródłowy adres URL*

Dopasowanie: zawiera ciąg tekstowy

Wartość: mail.google.com 		Zablokuj
Stosowanie znaku wodnego lub ograniczanie możliwości robienia zrzutów ekranu, gdy użytkownicy odwiedzają wyznaczone witryny zawierające informacje poufne Odwiedzone URL-e

Typ treści: adres URL* lub kategoria adresu URL

Dopasowanie: wybierz odpowiednie dopasowanie

Wartość: konkretny adres URL lub kategoria o charakterze poufnym 		Zezwól, ale wyświetl ostrzeżenie / Tylko kontrola (z zaznaczonymi opcjami Dodaj znak wodny lub Ogranicz możliwość robienia zrzutów ekranu)
Blokowanie przesyłania plików na osobiste konto Dysku Google Plik przesłany

Warunek 1:
Typ treści: adres URL

Dopasowanie: zawiera ciąg tekstowy

Wartość: drive.google.com

ORAZ

Warunek 2:
Typ treści: konto zalogowane w aplikacji internetowej

Dopasowanie: nie pasuje do nazwy domeny

Wartość: your-organization-domain-name.com 		Zablokuj

* Jeśli filtrowany adres URL był ostatnio odwiedzany, jest on przechowywany w pamięci podręcznej przez kilka minut i może nie zostać przefiltrowany według nowej (lub zmodyfikowanej) reguły do czasu usunięcia z pamięci podręcznej tego adresu. Zanim przetestujesz nową lub zmodyfikowaną regułę, odczekaj około 5 minut.

Sprawdzanie, monitorowanie i analizowanie alertów

Po utworzeniu reguł DLP możesz sprawdzać działania użytkowników, takie jak przesyłanie i pobieranie danych czy kopiowanie i wklejanie danych w przeglądarce Chrome. Następnie możesz:

  • Wyświetlać raporty w panelu bezpieczeństwa. Raporty związane z Chrome Enterprise Premium obejmują:
    • Raport Podsumowanie ochrony przed zagrożeniami w Chrome
    • Raport Podsumowanie ochrony danych w Chrome
    • Raport Najbardziej zagrożeni użytkownicy Chrome
    • Raport Domeny Chrome o największym ryzyku
    • Więcej informacji znajdziesz w artykule Używanie panelu bezpieczeństwa.
  • Sprawdzaj alerty, które wskazują na wystąpienie incydentów udostępniania danych, za pomocą narzędzia do analizy zagrożeń. Więcej informacji znajdziesz w artykule Informacje o narzędziu do analizy zagrożeń.
  • Wyświetlaj szczegóły incydentów w Zdarzeniach z dziennika reguł.
  • Analizować naruszenia reguł DLP, aby określić, czy są to faktyczne, czy nieprawdziwe incydenty. Szczegółowe informacje znajdziesz w artykule poświęconym wyświetlaniu treści, które wyzwalają reguły DLP.