Поддерживаемые версии для этой функции: Frontline Standard и Frontline Plus; Enterprise Standard и Enterprise Plus; Education Fundamentals, Education Standard и Education Plus; Enterprise Essentials Plus; Chrome Enterprise Premium. Сравните свою версию .
Функции Drive DLP, Gmail DLP и Chat DLP доступны пользователям Cloud Identity Premium, имеющим также лицензию Google Workspace. Для Drive DLP лицензия должна включать события журнала Drive .
Администратор может использовать фрагменты кода предотвращения потери данных (DLP) для проверки того, является ли нарушение правила DLP реальным инцидентом или ложным срабатыванием. Фрагменты DLP фиксируют контент, нарушающий правило. Вы можете просмотреть эти фрагменты в инструменте расследования инцидентов безопасности и на странице аудита и расследования.
На этой странице
- Доступ к фрагментам кода в инструменте расследования
- Прежде чем начать
- О фрагментах DLP
- Ограничения фрагментов DLP
- Шаг 1: Начните расследование
- Шаг 2: Отображение контента, имеющего конфиденциальный характер.
- Шаг 3: Просмотр конфиденциальной информации
- Экспорт конфиденциального контента с помощью BigQuery
- Удалите конфиденциальную информацию из журналов.
- Восстановить конфиденциальный контент
- События журнала действий администратора с данными
Доступ к фрагментам кода в инструменте расследования
Чтобы получить доступ к фрагментам текста в инструменте расследования:
- Администраторы должны обладать правами доступа «Просмотр конфиденциальной информации ». Подробности см. в разделе «Права администратора для инструмента расследования» .
- Чтобы разрешить администраторам просматривать конфиденциальную информацию, необходимо включить параметр «Просмотр конфиденциальной информации» .
- Для удаления и восстановления конфиденциальной информации из журналов необходимы права суперадминистратора.
Прежде чем начать
Включите хранение конфиденциального контента:
В консоли администратора Google перейдите в меню.
Безопасность Контроль доступа и данных Защита данных .Для этого требуются права администратора «Просмотр правил DLP» и «Управление правилами DLP» .
- Для хранения конфиденциальной информации переведите параметр в положение «Вкл.» .
- Нажмите « Сохранить ».
Если отключить хранение конфиденциальной информации, фрагменты DLP больше не будут регистрироваться в журнале.
О фрагментах DLP
Фрагменты DLP содержат любой контент, отмеченный правилом DLP, который соответствует условиям содержимого правила DLP, например:
- Содержимое отсканированных файлов
- Многоразовые детекторы контента
- Ключевые слова и списки слов
- Регулярные выражения
- Предопределенные детекторы контента
Вы можете просматривать фрагменты DLP в журналах в течение 180 дней. В течение этого времени, если исходный контент удаляется или изменяется, фрагменты не удаляются. Фрагменты DLP содержат совпадающий контент, обнаруженный правилами DLP, а также окружающий текст (до 100 символов Юникода с каждой стороны), обеспечивающий контекст для сканирования DLP.
Ограничения фрагментов DLP
- Содержимое фрагмента текста, превышающее 500 символов Юникода, обрезается.
- Для данных журнала правил DLP общий размер параметра snippets ограничен 50 КБ. Экземпляры snippets удаляются до тех пор, пока общий размер не станет меньше 50 КБ.
- В Google Chat фрагменты сообщений не собираются для сообщений, не относящихся к официальной переписке (история чата отключена), или для разговоров, отправленных в пространство, принадлежащее лицу, не входящему в вашу организацию.
- Содержимое, отсканированное с помощью DLP, и фрагменты текста, извлеченные из Google Drive, могут отличаться от исходного содержимого документа.
Шаг 1: Начните расследование
Вариант 1: Просмотр фрагментов конфиденциальной информации в инструменте расследования.
В консоли администратора Google перейдите в меню.
Безопасность Центр безопасности Инструмент расследования .Для этого требуются права администратора центра безопасности .
- Щелкните «Источник данных» и выберите «Журнал правил событий» .
- Нажмите «Добавить условие» .
- В меню «Атрибут» выберите «Тип правила» и убедитесь, что для оператора установлено значение «Является» (вариант по умолчанию).
- В меню «Тип правила» выберите DLP .
- Нажмите «Поиск» .
Вариант 2: Просмотр фрагментов конфиденциальной информации на странице аудита и расследования.
В консоли администратора Google перейдите в меню.
Отчетность Аудит и расследование Правила регистрируют события .Для этого необходимы права администратора по аудиту и расследованиям .
- Нажмите « Добавить фильтр». Тип правила .
- В поле «Тип правила» выберите «Является» Нажмите DLP и нажмите «Применить» .
- Нажмите «Поиск» .
Шаг 2: Отображение контента, имеющего конфиденциальный характер.
- В результатах поиска в столбце «Содержит конфиденциальную информацию » найдите значение «True» .
- В столбце «Описание» щелкните по тексту, чтобы открыть панель с подробными сведениями о журнале.
- Нажмите « Показать конфиденциальную информацию» .
- При необходимости укажите причину, по которой вам необходимо просмотреть конфиденциальную информацию. Нажмите «Подтвердить» .
Панель обновится, и строка « Конфиденциальные фрагменты контента» отобразит фрагменты, активируемые правилом, которое вы исследуете.
Шаг 3: Просмотр конфиденциальной информации
В панели сведений о журнале рядом с пунктом «Конфиденциальные фрагменты содержимого » нажмите стрелку вправо. 
развернуть строки, содержащие конфиденциальную информацию.
Вы можете просмотреть следующие атрибуты:
| Атрибут | Описание |
| Содержание | Содержимое (включая окружающий текст, используемый для контекста) соответствовало правилу DLP. |
| Соответствующий контент, начальный персонаж | Начало содержимого, соответствующего правилу, где начальный индекс начинается с нуля. Начальный символ найденного содержимого определяется относительно фрагмента содержимого, а не исходного документа. |
| Соответствующая длина контента | Длительность матча |
| Идентификатор совпавшего детектора | Детектор, который совпал с данным, если таковой имелся. |
| Индекс строки | (Файлы чата в формате CSV) Индекс строки содержимого, начинающийся с нуля, если таковой имеется. |
| Название поля | (Файлы чата в формате CSV) Название столбца содержимого, если таковой имеется. |
Пример: правило DLP сканирует наличие номеров социального страхования.
В этом примере, если электронная таблица содержит номер социального страхования, атрибуты заполняются следующим образом:
- Содержание: SSN 123-45-6789
- Соответствующий контент, начальный символ: 4
- Длина найденного контента: 11
- Идентификатор совпавшего детектора: US_SOCIAL_SECURITY_NUMBER
- Номер строки: 2
- Название поля: header2
Экспорт конфиденциального контента с помощью BigQuery
Вы можете экспортировать фрагменты конфиденциальной информации в пользовательские таблицы для дальнейшего анализа. Подробности см. в разделе «Настройка конфигурации экспорта BigQuery» .
Удалите конфиденциальную информацию из журналов.
После расследования инцидента вы можете удалить конфиденциальную информацию из журналов, чтобы избежать ненужного раскрытия данных. Удаление информации из журналов не удаляет её из самого файла или ресурса, где она была найдена, а также из пользовательских таблиц BigQuery. Если вы удалите информацию, она больше не будет доступна в инструменте расследования или на странице аудита и расследования и не сможет быть экспортирована в BigQuery.
Для выполнения этой задачи необходимо войти в систему как суперадминистратор .- Повторите шаги 1, 2 и 3, описанные выше, на этой странице, чтобы просмотреть контент, содержащий конфиденциальную информацию.
- Нажмите « Удалить конфиденциальную информацию» .
- В поле «Удалить конфиденциальную информацию» нажмите «Удалить» для подтверждения.
Восстановить конфиденциальный контент
При необходимости вы можете восстановить конфиденциальную информацию в журнале в течение 180-дневного периода хранения.
Для выполнения этой задачи необходимо войти в систему как суперадминистратор .- Повторите шаги 1, 2 и 3, описанные выше, на этой странице, чтобы просмотреть контент, содержащий конфиденциальную информацию.
- В верхней части панели сведений о журнале нажмите «Восстановить» .
- Нажмите « Показать конфиденциальную информацию» .
- В панели сведений о журнале рядом с пунктом «Конфиденциальные фрагменты содержимого » нажмите стрелку вправо. развернуть строки, содержащие конфиденциальную информацию.
По истечении первоначального 180-дневного срока хранения фрагменты DLP удаляются независимо от того, восстанавливаете вы их или нет.
События журнала действий администратора с данными
Вы можете выполнить поиск по событиям журнала действий администратора, чтобы отслеживать администраторов, которые получили доступ, удалили или восстановили конфиденциальный контент. Для получения более подробной информации перейдите в раздел «События журнала действий администратора» .