DLP ルールとコンテキストアウェアアクセスの条件を組み合わせる

この機能に対応しているエディション: Frontline Standard、Frontline Plus、Enterprise Standard、Enterprise Plus、Education Standard、Education Plus、Enterprise Essentials Plus。エディションの比較

ドライブの DLP と Chat の DLP は、Google Workspace ライセンスも保有する Cloud Identity Premium ユーザーがご利用いただけます。ドライブの DLP の場合、ライセンスにドライブのログイベントが含まれている必要があります。

どのユーザーやデバイスに機密コンテンツの転送を許可するかをより細かく制御するには、データ損失防止（DLP）ルールをコンテキストアウェアアクセスの条件と組み合わせるのが効果的です。ユーザーの所在地、デバイスのセキュリティステータス（管理対象、暗号化済み）、IP アドレスなどの条件を指定できます。コンテキストアウェアアクセスの条件を DLP ルールに追加すると、そのルールはコンテキストの条件が満たされた場合にのみ適用されます。

ユースケース

DLP ルールとコンテキストアウェアアクセスの条件を組み合わせると、次の操作を制御できます。

Chrome ブラウザ - ファイルのアップロードと添付、ウェブコンテンツのアップロードと貼り付け、ダウンロード、印刷など。
Google ドライブ - コメント権限または閲覧権限を持つユーザーによるドライブのファイルをコピー、ダウンロード、印刷など。

詳細な例については、このページの DLP ルールとコンテキストアウェアアクセスルールの例をご覧ください。

始める前に

DLP ルールとコンテキストアウェアアクセスの条件を組み合わせる前に、次の表に記載された要件を満たす必要があります。

Google Workspace アドオン	Chrome Enterprise Premium （Chrome の DLP では必須、ドライブの DLP では必須ではない）
Chrome ブラウザのバージョン	バージョンが 105 以降である。詳しくは、よくある質問をご覧ください。（Chrome の DLP では必須、ドライブの DLP では必須ではない）
エンドポイントの確認	デスクトップデバイスの場合、デバイスまたはデバイス OS ベースのコンテキストの条件を適用するには、エンドポイントの確認を有効にする必要があります。（IP アドレス、リージョン、ブラウザ管理の状態など、デバイス以外の属性の場合は必須ではありません）
モバイル管理	モバイルデバイスには、基本管理または詳細管理が適用されている必要があります。（IP アドレス、リージョン、ブラウザ管理の状態など、デバイス以外の属性の場合は必須ではありません）
アクセスレベルの管理者権限	アクセスレベルを作成するには、アクセスレベル管理の権限が必要です。DLP ルールでアクセスレベルを使用するには、アクセスレベル管理またはルール管理の権限が必要です。詳しくは、データセキュリティをご覧ください。

ステップ 1: ルールを適用するために Chrome ブラウザを設定する

DLP 機能と Chrome ブラウザを結びつけるには、Chrome Enterprise Connectors ポリシーを設定する必要があります。

ステップ 2: コンテキストアウェアアクセスの条件を使用して DLP ルールを作成する

始める前に: ここでは、コンテキストアウェアアクセスの条件を使用して DLP ルールを作成する手順の概要を説明します。具体的な例については、このページの DLP とコンテキストアウェアアクセスルールの例をご覧ください。

アクセスレベルは、DLP ルールの作成前またはルール作成中に作成できます。以下の手順では、他の手順の前にアクセスレベルを作成します。

適切な条件で新しいアクセスレベルを作成します。手順については、アクセスレベルを作成するをご覧ください。
1 つの DLP ルールには　1 つのアクセスレベルのみを割り当てることができます。
DLP ルールを新規に作成するか、定義済みのテンプレートを使用して作成します。手順については、データ保護ルールを作成するをご覧ください。

変更には最長で 24 時間かかることがありますが、通常はこれより短い時間で完了します。詳細

DLP とコンテキストアウェアアクセスルールの例

次の例は、DLP ルールとコンテキストアウェアアクセスレベルを組み合わせて、ユーザーの IP アドレス、ロケーション、デバイスステータスに応じてルールを適用する方法を示しています。

セクションを開く | すべて閉じて一番上に移動

例 1: 企業ネットワーク外のデバイスでのダウンロードをブロックする（Chrome ブラウザ）

Chrome ブラウザのルールを作成するには、Chrome Enterprise Premium が必要です。

管理者アカウントで Google 管理コンソールにログインします。
管理者アカウントを使用していない場合は、管理コンソールにアクセスできません。
Go to Menu Rules > Create rule > Data protection.
Requires having the View and Manage DLP rule privileges.
ルールの名前と、必要に応じて説明を追加します。
[範囲] で、[組織内のすべてのユーザー] を選択するか、ルールの適用先となる組織部門またはグループを検索して、含めるか除外することもできます。含める対象や除外する対象について組織部門とグループに競合がある場合は、グループが優先されます。
[続行] をクリックします。
[アプリ] セクションの [Chrome] で、[ダウンロード済みファイル] チェックボックスをオンにして、[続行] をクリックします。
[条件] セクションで、[条件を追加] をクリックし、次のように条件を設定します。
- [スキャンするコンテンツの種類] で [すべてのコンテンツ] を選択します。
- [スキャン対象] で、DLP スキャンのタイプを選択し、属性を選択します。
  使用可能な属性の詳細については、DLP ルールを作成するをご覧ください。
[コンテキストの条件] で、[アクセスレベルを選択] をクリックします。
適切なアクセスレベルをすでに作成している場合は、[コンテキストの条件] セクションでアクセスレベルを選択し、ステップ 15 に進みます。
[新しいアクセスレベルを作成] をクリックします。
新しいアクセスレベルの名前と、必要に応じて説明を入力します。
[コンテキストの条件] セクションで、[条件を追加] をクリックします。
[1 つ以上の属性と一致しない（OR）] を選択します。
[属性を選択] [IP サブネット] をクリックして、会社のネットワークの IP アドレスを入力します。IP アドレスは、IPv4 アドレスもしくは IPv6 アドレス、または CIDR のブロック表記のルーティングプレフィックスである必要があります。
- プライベート IP アドレスには対応していません（ユーザーのホームネットワークを含む）。
- 静的 IP アドレスに対応しています。
- 動的 IP アドレスを使用するには、アクセスレベルに静的 IP サブネットを定義する必要があります。動的 IP アドレスの範囲がわかっていて、アクセスレベルで定義された静的 IP アドレスがその範囲に対応している場合は、コンテキスト条件が満たされています。動的 IP アドレスが定義済みの静的 IP サブネット内にない場合、コンテキスト条件は満たされません。
[作成] をクリックします。[ルールを作成] ページに戻ります。新しいアクセスレベルとその属性がリストに追加されます。
[続行] をクリックします。
[操作] ページで、[ChromeOS アクション] として [ブロック] を選択します。
（省略可）イベントがルールの条件を満たしたときにアラート通知を送信するには、[アラート] セクションで [アラートセンター] チェックボックスをオンにします。
- （省略可）特権管理者にアラート通知をメールで送信するには、[すべての特権管理者] チェックボックスをオンにします。
- （省略可）他のユーザーにアラート通知をメールで送信するには、[メールの受信者を追加] をクリックし、1 つ以上のユーザー名またはメールアドレスを追加して、[完了] をクリックします。
[続行] をクリックしてルールの詳細を確認します。
ルールのステータスを以下から選択します。
- アクティブ - ルールはすぐに適用されます。
- 無効 - ルールは存在していますが、無効です。このオプションにより、ルールを確認して、チームメンバーと共有してから実装することができます。後でルールを有効にするには、[セキュリティ] [アクセスとデータ管理] [データの保護] [ルールを管理] に移動します。ルールの [無効] ステータスをクリックし、[アクティブ] を選択します。ルールは有効にすると適用され、DLP によって機密コンテンツがスキャンされます。
[作成] をクリックします。

変更には最長で 24 時間かかることがありますが、通常はこれより短い時間で完了します。詳細

例 2: 特定の国からログインしているユーザーによるダウンロードをブロックする（Chrome ブラウザ）

Chrome ブラウザのルールを作成するには、Chrome Enterprise Premium が必要です。

管理者アカウントで Google 管理コンソールにログインします。
管理者アカウントを使用していない場合は、管理コンソールにアクセスできません。
Go to Menu Rules > Create rule > Data protection.
Requires having the View and Manage DLP rule privileges.
ルールの名前と、必要に応じて説明を追加します。
[範囲] で、[組織内のすべてのユーザー] を選択するか、ルールの適用先となる組織部門またはグループを検索して、含めるか除外することもできます。含める対象や除外する対象について組織部門とグループに競合がある場合は、グループが優先されます。
[続行] をクリックします。
[アプリ] セクションの [Chrome] で、[ダウンロード済みファイル] チェックボックスをオンにして、[続行] をクリックします。
[条件] で、[条件を追加] をクリックします。
[スキャンするコンテンツの種類] で [すべてのコンテンツ] を選択します。
[スキャン対象] で、DLP スキャンのタイプを選択し、属性を選択します。
使用可能な属性の詳細については、DLP ルールを作成するをご覧ください。
[コンテキストの条件] セクションで、[アクセスレベルを選択] をクリックします。
適切なアクセスレベルをすでに作成している場合は、[コンテキストの条件] セクションでアクセスレベルを選択し、ステップ 18 に進みます。
[新しいアクセスレベルを作成] をクリックします。
新しいアクセスレベルの名前と、必要に応じて説明を入力します。
[コンテキストの条件] セクションで、[条件を追加] をクリックします。
[すべての属性と一致する（AND）] を選択します。
[属性を選択] [地域] をクリックし、リストから国を選択します。
（省略可）国を追加して、その国からログインするユーザーにルールを適用するには、次の手順を実施します。
1. [条件を追加] をクリックし、[すべての属性と一致する] を選択します。
2. [条件] の上部で、[複数の条件を結合] を [OR] に設定します。
[作成] をクリックします。[ルールを作成] ページに戻ります。新しいアクセスレベルとその属性がリストに追加されます。
[続行] をクリックします。
[操作] ページで、[ChromeOS アクション] として [ブロック] を選択します。
操作は、コンテンツの条件とコンテキストの条件の両方が満たされた場合にのみ適用されます。
（省略可）イベントがルールの条件を満たしたときにアラート通知を送信するには、[アラート] セクションで [アラートセンター] チェックボックスをオンにします。
- （省略可）特権管理者にアラート通知をメールで送信するには、[すべての特権管理者] チェックボックスをオンにします。
- （省略可）他のユーザーにアラート通知をメールで送信するには、[メールの受信者を追加] をクリックし、1 つ以上のユーザー名またはメールアドレスを追加して、[完了] をクリックします。
[続行] をクリックしてルールの詳細を確認します。
ルールのステータスを以下から選択します。
- アクティブ - ルールはすぐに適用されます。
- 無効 - ルールは存在していますが、無効です。このオプションにより、ルールを確認して、チームメンバーと共有してから実装することができます。後でルールを有効にするには、[セキュリティ] [アクセスとデータ管理] [データの保護] [ルールを管理] に移動します。ルールの [無効] ステータスをクリックし、[有効] を選択します。ルールは有効にすると適用され、DLP によって機密コンテンツがスキャンされます。
[作成] をクリックします。

変更には最長で 24 時間かかることがありますが、通常はこれより短い時間で完了します。詳細

例 3: 管理者が承認していないデバイスでのダウンロードをブロックする（ドライブ）

管理者アカウントで Google 管理コンソールにログインします。
管理者アカウントを使用していない場合は、管理コンソールにアクセスできません。
Go to Menu Rules > Create rule > Data protection.
Requires having the View and Manage DLP rule privileges.
ルールの名前と、必要に応じて説明を追加します。
[範囲] で、[組織内のすべてのユーザー] を選択するか、ルールの適用先となる組織部門またはグループを検索して、含めるか除外することもできます。含める対象や除外する対象について組織部門とグループに競合がある場合は、グループが優先されます。
[続行] をクリックします。
[アプリ] セクションの [Google ドライブ] で、[ドライブファイル] チェックボックスをオンにして、[続行] をクリックします。
[条件] で、[条件を追加] をクリックします。
[スキャンするコンテンツの種類] で [すべてのコンテンツ] を選択します。
[スキャン対象] で、DLP スキャンのタイプを選択し、属性を選択します。
使用可能な属性の詳細については、DLP ルールを作成するをご覧ください。
[コンテキストの条件] セクションで、[アクセスレベルを選択] をクリックします。
適切なアクセスレベルをすでに作成している場合は、[コンテキストの条件] セクションでアクセスレベルを選択し、ステップ 17 に進みます。
[新しいアクセスレベルを作成] をクリックします。
新しいアクセスレベルの名前と、必要に応じて説明を入力します。
[コンテキストの条件] セクションで、[条件を追加] をクリックします。
[1 つ以上の属性と一致しない（OR）] を選択します。
[属性を選択] [デバイス] [管理者によって承認されている] をクリックします。
[作成] をクリックします。[ルールを作成] ページに戻ります。新しいアクセスレベルとその属性がリストに追加されます。
[続行] をクリックします。
[操作] セクションの [Google ドライブ] で、[操作] をクリックし、[ダウンロード、印刷、コピーを無効にする] [コメント投稿者と閲覧者のみ] を選択します。
操作が適用されるのは、コンテンツの条件とコンテキストの条件の両方が満たされている場合のみです。
（省略可）イベントがルールの条件を満たしたときにアラート通知を送信するには、[アラート] セクションで [アラートセンター] チェックボックスをオンにします。
- （省略可）特権管理者にアラート通知をメールで送信するには、[すべての特権管理者] チェックボックスをオンにします。
- （省略可）他のユーザーにアラート通知をメールで送信するには、[メールの受信者を追加] をクリックし、1 つ以上のユーザー名またはメールアドレスを追加して、[完了] をクリックします。
[続行] をクリックしてルールの詳細を確認します。
ルールのステータスを以下から選択します。
- アクティブ - ルールはすぐに適用されます。
- 無効 - ルールは存在していますが、無効です。このオプションにより、ルールを確認して、チームメンバーと共有してから実装することができます。後でルールを有効にするには、[セキュリティ] [アクセスとデータ管理] [データの保護] [ルールを管理] に移動します。ルールの [無効] ステータスをクリックし、[有効] を選択します。ルールは有効にすると適用され、DLP によって機密コンテンツがスキャンされます。
[作成] をクリックします。

変更には最長で 24 時間かかることがありますが、通常はこれより短い時間で完了します。詳細

例 4: 管理対象外のデバイスへの「salesforce.com/admin」へのナビゲーションをブロックする（Chrome ブラウザ）

この例では、ユーザーが管理対象外のデバイスで Salesforce 管理コンソール（salesforce.com/admin）にアクセスしようとすると、ブロックされます。ユーザーは引き続き Salesforce アプリケーションの他の部分にアクセスできます。

Chrome ブラウザのルールを作成するには、Chrome Enterprise Premium が必要です。

管理者アカウントで Google 管理コンソールにログインします。
管理者アカウントを使用していない場合は、管理コンソールにアクセスできません。
Go to Menu Rules > Create rule > Data protection.
Requires having the View and Manage DLP rule privileges.
ルールの名前と、必要に応じて説明を追加します。
[範囲] で、[組織内のすべてのユーザー] を選択するか、ルールの適用先となる組織部門またはグループを検索して、含めるか除外することもできます。含める対象や除外する対象について組織部門とグループに競合がある場合は、グループが優先されます。
[続行] をクリックします。
[アプリ] セクションの [Chrome] で、[アクセスした URL] チェックボックスをオンにします。
[続行] をクリックします。
[条件] で、[条件を追加] をクリックします。
[スキャンするコンテンツの種類] で [URL] を選択します。
[スキャン対象] で [テキスト文字列を含む] を選択します。
[照合するコンテンツ] に「salesforce.com/admin」と入力します。
[コンテキストの条件] セクションで、[アクセスレベルを選択] をクリックします。
適切なアクセスレベルをすでに作成している場合は、[コンテキストの条件] セクションでアクセスレベルを選択し、ステップ 18 に進みます。
[新しいアクセスレベルを作成] をクリックします。
新しいアクセスレベルの名前と、必要に応じて説明を入力します。
[コンテキストの条件] で、[詳細] タブをクリックします。
テキストボックスに以下を入力します。
device.chrome.management_state != ChromeManagementState.CHROME_MANAGEMENT_STATE_BROWSER_MANAGED
[作成] をクリックします。[ルールを作成] ページに戻ります。新しいアクセスレベルとその属性がリストに追加されます。
[続行] をクリックします。
[操作] ページで、[ChromeOS アクション] として [ブロック] を選択します。
操作が適用されるのは、コンテンツの条件とコンテキストの条件の両方が満たされている場合のみです。
[アラート] セクションで、[低] をクリックして、アラートの重要度レベル（[低]、[中]、[高]）を選択します。
（省略可）イベントがルールの条件を満たしたときにアラート通知を送信するには、[アラート] セクションで [アラートセンター] チェックボックスをオンにします。
- （省略可）特権管理者にアラート通知をメールで送信するには、[すべての特権管理者] チェックボックスをオンにします。
- （省略可）他のユーザーにアラート通知をメールで送信するには、[メールの受信者を追加] をクリックし、1 つ以上のユーザー名またはメールアドレスを追加して、[完了] をクリックします。
[続行] をクリックしてルールの詳細を確認します。
ルールのステータスを以下から選択します。
- アクティブ - ルールはすぐに適用されます。
- 無効 - ルールは存在していますが、無効です。このオプションにより、ルールを確認して、チームメンバーと共有してから実装することができます。後でルールを有効にするには、[セキュリティ] [アクセスとデータ管理] [データの保護] [ルールを管理] に移動します。ルールの [無効] ステータスをクリックし、[有効] を選択します。ルールは有効にすると適用され、DLP によって機密コンテンツがスキャンされます。
[作成] をクリックします。

注: フィルタした URL に最近アクセスしていた場合、その URL は数分間キャッシュに保存されます。そのため、キャッシュが削除されるまでは、新しいルール（または変更されたルール）で正常にフィルタリングされないことがあります。新しいルールや変更したルールをテストする前に、5 分ほどお待ちください。

よくある質問

セクションを開く | すべて閉じて一番上に移動

古いバージョンの Chrome では、コンテキストアウェアアクセスの条件を含む DLP ルールはどのように動作しますか？

古いバージョンの Chrome では、コンテキストの条件は無視されます。ルールは、コンテンツの条件のみが設定されているかのように動作します。

管理対象ブラウザのルールはシークレットモードでも機能しますか？

いいえ。シークレットモードではルールは適用されません。管理者は、ログイン時にコンテキストアウェアアクセスを適用することで、Chrome のシークレットモードから Workspace または SaaS アプリケーションにログインできないようにすることができます。

ルールを適用するには、管理対象ブラウザと管理対象ユーザーが同じ企業内に属している必要がありますか？

管理対象ブラウザと管理対象プロファイルのユーザーが同じ企業に属している場合、ブラウザレベルの DLP ルールとユーザーレベルの DLP ルールの両方が適用されます。

管理対象ブラウザと管理対象プロファイルのユーザーが異なる企業に属している場合、ブラウザレベルの DLP ルールのみが適用されます。コンテキストの条件は常に一致とみなされ、最も厳しい結果が適用されます。 IP ベースやリージョンベースの条件には影響しません。

管理コンソールと Google Cloud コンソールでは同じアクセスレベルをサポートしていますか？

管理コンソールのコンテキストアウェアアクセスは、Google Cloud コンソールでサポートされているすべての属性をサポートしているわけではありません。そのため、Google Cloud コンソールで作成されたそのような属性を含む基本アクセスレベルを管理コンソールで割り当てることはできますが、編集することはできません。

管理コンソールの [ルール] ページでは、Google Cloud コンソールで作成されたアクセスレベルを割り当てることができます。ただし、サポートされていない属性を含むアクセスレベルの条件の詳細を表示することはできません。

ルールの作成時にコンテキスト条件カードが表示されないのはなぜですか？