Visa innehåll som utlöser dataskyddsregler

Utgåvor som stöds för den här funktionen: Frontline Standard och Frontline Plus, Enterprise Standard och Enterprise Plus, Education Fundamentals, Education Standard och Education Plus, Enterprise Essentials Plus, Chrome Enterprise Premium. Jämför utgåvor

Drive DLP, Gmail DLP och Chat DLP är tillgängliga för användare med Cloud Identity-premiumversion som även har en Google Workspace-licens. För Drive DLP måste licensen innehålla logghändelser för Drive.

Som administratör kan du använda DLP-kodavsnitt för att undersöka om en överträdelse av dataskyddsregeln är en verklig incident eller ett falskt positivt resultat. DLP-utdrag registrerar innehållet som bryter mot en regel. Du kan granska utdragen i verktyget för säkerhetsutredningar och verktyget för granskning och utredning.

På den här sidan

Åtkomst till utdrag i utredningsverktyget

Så här får du åtkomst till utdrag i utredningsverktyget:

Innan du börjar

Aktivera lagring av känsligt innehåll:

  1. I Googles administratörskonsol går du till Meny följt av Säkerhet följt av Åtkomst- och datakontroll följt av Dataskydd.

    Kräver att administratörsbehörigheterna Visa DLP-regel och Hantera DLP-regel.

  2. Ändra statusen till På för Lagring av känsligt innehåll.
  3. Klicka på Spara.

Om du inaktiverar lagring av känsligt innehåll loggas inte längre DLP-kodavsnitt.

Om DLP-kodavsnitt

DLP-kodavsnitt innehåller allt innehåll som flaggas av en dataskyddsregel som matchar regelns innehållsvillkor, till exempel:

  • Innehåll i skannade filer
  • Detektorer för innehåll som kan återanvändas
  • Sökord och ordlistor
  • Reguljära uttryck
  • Fördefinierade innehållsdetektorer

Du kan granska DLP-kodavsnitt i loggarna i 180 dagar. Om källinnehållet raderas eller ändras under tiden raderas inte kodavsnitten. DLP-kodavsnitt fångar upp matchat innehåll som identifieras av dataskyddsregler samt omgivande text (upp till 100 Unicode-tecken på varje sida) som ger kontext för DLP-skanningar.

Begränsningar för DLP-kodavsnitt

  • Utdragsinnehåll som är större än 500 Unicode-tecken trunkeras.
  • För logghändelsedata för dataskyddsregler är den totala storleken på parametern för utdrag begränsad till 50 kB. Utdragsinstanser tas bort tills den totala storleken är mindre än 50 kB.
  • I Google Chat samlas inte utdrag in för privata meddelanden (chatthistorik inaktiverad) eller konversationer som skickas till ett rum som ägs av någon utanför organisationen.
  • DLP-skannat innehåll och utdrag som extraherats från Google Drive kan skilja sig från det ursprungliga källinnehållet i dokumentet.

Steg 1: Starta utredningen

Alternativ 1: Visa kodavsnitt för känsligt innehåll i utredningsverktyget

  1. I Googles administratörskonsol går du till menyn följt av Säkerhet följt av Säkerhetscenter följt av Utredningsverktyg.

    Administratörsbehörighet för Säkerhetscenter krävs.

  2. Klicka på Datakälla och välj Regellogghändelser.
  3. Klicka på Lägg till villkor.
  4. Välj Regeltyp på menyn Attribut och se till att operatorn är inställd på Är (standardalternativet).
  5. Välj DLP på menyn Regeltyp.
  6. Klicka på Sök.

Alternativ 2: Visa kodavsnitt för känsligt innehåll på sidan för granskning och utredning

  1. I Googles administratörskonsol går du till menyn följt av Rapportering följt av Granskning och utredning följt av Regellogghändelser.

    Kräver administratörsbehörighet för Granskning och utredning.

  2. Klicka på Lägg till ett filter följt av Regeltyp.
  3. Välj Är följt av DLP i rutan Regeltyp och klicka på Använd.
  4. Klicka på Sök.

Steg 2: Visa känsligt innehåll

  1. Leta efter Sant i kolumnen Har känsligt innehåll i sökresultaten.
  2. Klicka på texten i kolumnen Beskrivning för att öppna panelen Logginformation.
  3. Klicka på Visa känsligt innehåll.
  4. Ange vid behov anledningen till att du behöver se det känsliga innehållet följt av klicka på Bekräfta.

Panelen uppdateras och raden Kodavsnitt för känsligt innehåll uppdateras med kodavsnitten som aktiveras av regeln du utreder.

Steg 3: Visa känsligt innehåll

Klicka på högerpilen bredvid Kodavsnitt för känsligt innehåll i panelen Logginformation för att utöka raderna som innehåller känsligt innehåll.

Du kan granska följande attribut:

Attribut Beskrivning
Innehåll Innehåll (inklusive omgivande text som används för kontext) matchade en dataskyddsregel
Starttecken för matchat innehåll Start av innehåll som matchade en regel, där startindexet är nollbaserat. Starttecknet för det matchade innehållet är relativt till innehållsutdraget, inte källdokumentet.
Längd på matchat innehåll Matchningens längd
Id på matchad detektor Detektor som matchade, om sådan finns
Radindex (Chattfiler i CSV-format) Innehållsradens nollbaserade index, om det finns något
Fältnamn (Chattfiler i CSV-format) Innehållets kolumnnamn, om det finns något

Exempel: Dataskyddsregel söker efter personnummer

Om ett kalkylark i det här exemplet innehåller ett personnummer fylls attributen i på följande sätt:

  • Innehåll: SSN 123-45-6789
  • Starttecken för matchat innehåll: 4
  • Längd på matchat innehåll: 11
  • Id på matchad detektor: US_SOCIAL_SECURITY_NUMBER
  • Radindex: 2
  • Fältnamn: header2

Exportera känsligt innehåll med BigQuery

Du kan exportera kodavsnitt för känsligt innehåll till anpassade tabeller för vidare utredning. Mer information finns i Ställa in en konfiguration för BigQuery Export.

Ta bort känsligt innehåll från loggar

När du har utrett en incident kan du ta bort känsligt innehåll från loggarna så att du inte exponerar data i onödan. Om du tar bort innehållet från loggarna tas det inte bort från den fil eller resurs där innehållet hittades eller från anpassade BigQuery-tabeller. Om du tar bort innehållet är det inte längre tillgängligt i utredningsverktyget eller på gransknings- och utredningssidan och kan inte exporteras till BigQuery.

Du måste vara inloggad som avancerad administratör för den här uppgiften.
  1. Upprepa steg 1, 2 och 3 ovan på den här sidan för att se känsligt innehåll.
  2. Klicka på Ta bort känsligt innehåll.
  3. Klicka på Ta bort i rutan Ta bort känsligt innehåll för att bekräfta.

Återställa känsligt innehåll

Vid behov kan du återställa känsligt innehåll i loggen inom lagringsperioden på 180 dagar.

Du måste vara inloggad som avancerad administratör för den här uppgiften.
  1. Upprepa steg 1, 2 och 3 ovan på den här sidan för att se känsligt innehåll.
  2. Klicka på Återställ högst upp i panelen Logginformation.
  3. Klicka på Visa känsligt innehåll.
  4. Klicka på högerpilen i panelen Logginformation bredvid Utdrag med känsligt innehåll för att utöka raderna med känsligt innehåll.

Efter den ursprungliga lagringsperioden på 180 dagar raderas DLP-utdragen, oavsett om du återställer dem eller inte.

Logghändelser för administratörsdataåtgärd

Du kan söka i logghändelserna för administratörsdataåtgärder för att hålla reda på administratörer som har fått åtkomst till, tagit bort eller återställt känsligt innehåll. Mer information finns i Logghändelser för administratörsdataåtgärder.

Så här använder du fördefinierade innehållsdetektorer