Cómo ver el contenido que activa las reglas de protección de datos

Ediciones compatibles con esta función: Frontline Standard y Frontline Plus; Enterprise Standard y Enterprise Plus; Education Fundamentals, Education Standard y Education Plus; Enterprise Essentials Plus; Chrome Enterprise Premium. Comparar tu edición

La DLP para Drive, Gmail y Chat está disponible para los usuarios de Cloud Identity Premium que también tienen una licencia de Google Workspace. En el caso de la DLP de Drive, la licencia debe incluir los eventos de registro de Drive.

Como administrador, puedes usar fragmentos de prevención de pérdida de datos (DLP) para investigar si un incumplimiento de una regla de protección de datos es un incidente real o un falso positivo. Los fragmentos de DLP capturan el contenido que incumple una regla. Puedes revisar los fragmentos en la herramienta de investigación de seguridad y en la herramienta de investigación y auditoría.

Contenido de esta página

Acceso a los fragmentos en la herramienta de investigación

Para acceder a los fragmentos en la herramienta de investigación, sigue estos pasos:

Antes de comenzar

Activa el almacenamiento de contenido sensible:

  1. En la Consola del administrador de Google, ve a Menú y luego Seguridad y luego Control de acceso y datos y luego Protección de datos.

    Requiere tener los privilegios de administrador Ver regla de DLP y Administrar regla de DLP.

  2. En Almacenamiento de contenido sensible, cambia el estado a Activado.
  3. Haz clic en Guardar.

Si desactivas el almacenamiento de contenido sensible, los fragmentos de DLP ya no se registrarán.

Acerca de los fragmentos de DLP

Los fragmentos de DLP incluyen cualquier contenido marcado por una regla de protección de datos que coincida con las condiciones de contenido de la regla, como las siguientes:

  • Contenido de los archivos analizados
  • Detectores de contenido reutilizables
  • Palabras clave y listas de palabras
  • Expresiones regulares
  • Detectores de contenido predefinidos

Puedes revisar los fragmentos de DLP en los registros durante 180 días. Durante este tiempo, si se borra o cambia el contenido de origen, los fragmentos no se borran. Los fragmentos de DLP capturan el contenido coincidente que detectan las reglas de protección de datos y el texto circundante (hasta 100 caracteres Unicode en cada lado) para proporcionar contexto a los análisis de DLP.

Limitaciones de los fragmentos de DLP

  • El contenido del fragmento que supere los 500 caracteres Unicode se truncará.
  • Para los datos de eventos de registro de reglas de protección de datos, el tamaño total del parámetro de fragmentos se limita a 50 KB. Se quitan las instancias de fragmentos hasta que el tamaño general sea inferior a 50 KB.
  • En Google Chat, no se recopilan fragmentos de mensajes sin registrar (con el historial de chat desactivado) ni de conversaciones enviadas a un espacio que pertenezca a alguien ajeno a tu organización.
  • El contenido analizado por la DLP y los fragmentos extraídos de Google Drive podrían diferir del contenido de la fuente original del documento.

Paso 1: Inicia tu investigación

Opción 1: Visualiza fragmentos de contenido sensible en la herramienta de investigación

  1. En la Consola del administrador de Google, ve a Menú y luego Seguridad y luego Centro de seguridad y luego Herramienta de investigación.

    Es necesario tener el privilegio de administrador del Centro de seguridad.

  2. Haz clic en Fuente de datos y selecciona Eventos de registro de reglas.
  3. Haga clic en Agregar condición.
  4. En el menú Atributo, selecciona Tipo de regla y asegúrate de que el operador esté configurado como Es (la opción predeterminada).
  5. En el menú Tipo de regla, selecciona DLP.
  6. Haz clic en Buscar.

Opción 2: Visualiza fragmentos de contenido sensible en la página de investigación y auditoría

  1. En la Consola del administrador de Google, ve a Menú y luego Informes y luego Investigación y auditoría y luego Eventos de registro de reglas.

    Requiere tener el privilegio de administrador de Auditoría y administración.

  2. Haz clic en Agregar un filtro y luego Tipo de regla.
  3. En el cuadro Tipo de regla, selecciona Es y luego DLP y haz clic en Aplicar.
  4. Haz clic en Buscar.

Paso 2: Muestra contenido sensible

  1. En los resultados de la búsqueda, en la columna Tiene contenido sensible, busca Verdadero.
  2. En la columna Descripción, haz clic en el texto para abrir el panel Detalles del registro.
  3. Haz clic en Mostrar contenido sensible.
  4. Si es necesario, ingresa el motivo por el que necesitas ver el contenido sensible y luego haz clic en Confirmar.

El panel se actualizará y la fila Fragmentos de contenido sensible se actualizará con los fragmentos que activó la regla que estás investigando.

Paso 3: Consulta el contenido sensible

En el panel Detalles del registro, junto a Fragmentos de contenido sensible, haz clic en la flecha hacia la derecha para expandir las filas que contienen contenido sensible.

Puedes revisar los siguientes atributos:

Atributo Descripción
Contenido El contenido (incluido el texto circundante que se usa para el contexto) coincidió con una regla de protección de datos
Carácter inicial del contenido coincidente Es el inicio del contenido que coincidió con una regla, en el que el índice de inicio se basa en cero. El carácter inicial del contenido coincidente es relativo al fragmento de contenido, no al documento de origen.
Duración del contenido coincidente Duración de la coincidencia
ID del detector coincidente Detector que coincidió, si corresponde
Índice de fila (Archivos de chat en formato CSV) Índice basado en cero de la fila de contenido, si corresponde
Nombre del campo (Archivos de chat en formato CSV) Nombre de la columna del contenido, si corresponde

Ejemplo: La regla de protección de datos busca números de seguridad social

En este ejemplo, si una hoja de cálculo contiene un número de seguridad social, los atributos se completan de la siguiente manera:

  • Contenido: NSS 123-45-6789
  • Carácter inicial del contenido coincidente: 4
  • Longitud del contenido coincidente: 11
  • ID del detector coincidente: US_SOCIAL_SECURITY_NUMBER
  • Índice de fila: 2
  • Nombre del campo: header2

Exporta contenido sensible con BigQuery

Puedes exportar fragmentos de contenido sensible a tablas personalizadas para realizar más investigaciones. Para obtener más detalles, consulta Configura una exportación de BigQuery.

Quita el contenido sensible de los registros

Después de investigar un incidente, puedes quitar el contenido sensible de los registros para no exponer los datos de forma innecesaria. Quitar el contenido de los registros no lo quita del archivo o recurso real en el que se encontró el contenido ni de las tablas personalizadas de BigQuery. Si quitas el contenido, ya no estará disponible en la herramienta de investigación ni en la página de auditoría e investigación, y no se podrá exportar a BigQuery.

Debes acceder como administrador avanzado para realizar esta tarea.
  1. Repite los pasos 1, 2 y 3 anteriores en esta página para ver el contenido sensible.
  2. Haz clic en Quitar contenido sensible.
  3. En el cuadro Quitar contenido sensible, haz clic en Quitar para confirmar.

Restablecer el contenido sensible

Si es necesario, puedes restablecer el contenido sensible en el registro dentro del período de retención de 180 días.

Debes acceder como administrador avanzado para realizar esta tarea.
  1. Repite los pasos 1, 2 y 3 anteriores en esta página para ver el contenido sensible.
  2. En la parte superior del panel Detalles del registro, haz clic en Restablecer.
  3. Haz clic en Mostrar contenido sensible.
  4. En el panel Detalles del registro, junto a Fragmentos de contenido sensible, haz clic en la flecha hacia la derecha para expandir las filas que contienen contenido sensible.

Después del período de retención original de 180 días, se borran los fragmentos de DLP, independientemente de si los restableces.

Eventos de registro de acciones de datos del administrador

Puedes buscar los eventos de registro de acciones de datos de administrador para hacer un seguimiento de los administradores que accedieron al contenido sensible, lo quitaron o lo restablecieron. Para obtener más información, consulta Eventos de registro de acciones de datos del administrador.

Cómo usar detectores de contenido predefinidos