민감한 콘텐츠를 전송할 수 있는 사용자 및 기기를 더욱 세부적으로 관리하려면 사용자 위치, 기기 보안 상태(관리 기기, 암호화된 기기), IP 주소와 같은 컨텍스트 인식 액세스 조건과 데이터 손실 방지(DLP) 규칙을 결합하면 됩니다. DLP 규칙에 컨텍스트 인식 액세스 정책을 추가하면 컨텍스트 조건이 충족되는 경우에만 규칙이 시행됩니다.
예를 들어 다음과 같은 사용자에 대해서만 민감한 콘텐츠의 다운로드를 차단하는 DLP 규칙을 만들 수 있습니다.
- 회사 네트워크 외부 사용자
- 특정 위험 국가에서 로그인한 사용자
- 관리자가 승인하지 않은 기기를 사용하는 사용자
DLP 규칙과 컨텍스트 조건을 결합하여 이러한 작업을 관리할 수 있습니다.
Chrome: 파일 업로드(예: 파일 첨부), 웹 콘텐츠 업로드(붙여넣은 콘텐츠), 다운로드, 페이지 인쇄
Drive(베타): 댓글 또는 보기 액세스 권한이 있는 사용자의 Drive 파일 복사, 다운로드, 인쇄
요구사항
| Workspace 버전 |
Chrome Enterprise Premium
(Chrome DLP에는 필요, Drive DLP에는 필요하지 않음) |
|---|---|
| Chrome 버전 |
Chrome 105 이상 (Chrome DLP에는 필요, Drive DLP에는 필요하지 않음) |
| 엔드포인트 확인 | 데스크톱 기기의 경우 기기 기반 컨텍스트 조건을 적용하려면 엔드포인트 확인을 사용 설정해야 합니다. IP 주소 및 지역과 같이 기기 기반이 아닌 속성에는 필요하지 않습니다. |
| 휴대기기 관리 | 휴대기기에는 기본 또는 고급 관리가 시행되어야 합니다. |
| 관리자 권한 | 액세스 수준을 만드는 경우: 서비스 > 데이터 보안 > 액세스 수준 관리 |
| DLP 규칙에서 액세스 수준을 사용하는 경우 서비스 > 데이터 보안 > 액세스 수준 관리 또는 서비스 > 데이터 보안 > 규칙 관리 |
규칙 시행을 위한 Chrome 설정하기
DLP 기능을 Chrome과 통합하려면 Chrome Enterprise 커넥터 정책을 설정해야 합니다.
액세스 수준 만들기
- 보안 > 액세스 및 데이터 관리 > 컨텍스트 인식 액세스 > 액세스 수준으로 이동하여 기존 액세스 수준을 확인합니다.
- DLP 규칙 생성 전 또는 생성 중에 액세스 수준을 만들 수 있습니다. DLP 규칙보다 먼저 만드는 경우 액세스 수준 만들기에 관한 안내를 참고하세요. 아래 예에서는 DLP 규칙 생성 중 액세스 수준을 만듭니다.
- DLP 규칙에 단일 액세스 수준을 할당할 수 있습니다. 여러 액세스 수준으로 복잡한 조건을 만들려면 고급 모드를 사용하세요.
DLP 및 컨텍스트 인식 액세스 규칙 예시
다음 예는 DLP 규칙을 컨텍스트 인식 액세스 수준과 결합하여 사용자의 IP 주소, 위치, 기기 상태에 따라 규칙을 시행하는 방법을 보여줍니다.
이 예에는 DLP 규칙 생성 중에 액세스 수준을 만드는 데 필요한 단계가 포함되어 있습니다. 액세스 수준을 이미 만든 경우에는 규칙을 만들 때 이 단계를 생략할 수 있습니다.
예 1: 기업 네트워크 외부의 기기에 민감한 콘텐츠 다운로드 차단(Chrome)-
- 규칙
규칙 만들기
- 규칙의 이름과 설명을 추가합니다.
- 범위 섹션에서 <domain.name> 내 모든 사용자를 선택하거나 규칙이 적용되는 조직 단위 또는 그룹을 검색하여 포함하거나 제외하도록 선택합니다. 조직 단위와 그룹 간에 포함 또는 제외에 대한 충돌이 발생하는 경우 그룹이 우선 적용됩니다.
- 계속을 클릭합니다.
- Chrome 아래의 앱에서 파일 다운로드됨을 선택합니다.
- 계속을 클릭합니다.
- 조건 섹션에서 조건 추가를 클릭합니다.
- 검사할 콘텐츠 유형에서 모든 콘텐츠를 선택합니다.
- 검사할 대상에서 DLP 검사 유형을 선택하고 속성을 선택합니다. 사용 가능한 속성에 대한 자세한 내용은 DLP 규칙 만들기를 참고하세요.
- 컨텍스트 조건 섹션에서 액세스 수준 선택을 클릭하여 기존 액세스 수준을 표시합니다.
- 새 액세스 수준 만들기를 클릭합니다.
- 새 액세스 수준의 이름과 설명을 입력합니다.
- 컨텍스트 조건에서 조건 추가를 클릭합니다.
- 1개 이상의 속성을 충족하지 않음을 선택합니다.
- 속성 선택
- 비공개 IP 주소(사용자의 홈 네트워크 포함)는 지원되지 않습니다.
- 정적 IP 주소는 지원됩니다.
- 동적 IP 주소를 사용하려면 해당 액세스 수준에 정적 IP 서브넷을 정의해야 합니다. 동적 IP 주소의 범위를 알고 있고 액세스 수준에 정의된 고정 IP 주소가 해당 범위를 포함하는 경우 컨텍스트 조건이 충족됩니다. 동적 IP 주소가 정의된 정적 IP 서브넷에 없으면 컨텍스트 조건이 충족되지 않습니다.
- 만들기를 클릭합니다. 규칙 만들기 페이지로 돌아갑니다. 새 액세스 수준이 목록에 추가되고 속성이 오른쪽에 표시됩니다.
- 계속을 클릭합니다.
- 작업 페이지에서 Chrome 작업에 대해 차단을 선택합니다.
참고: 이 작업은 콘텐츠 조건 및 컨텍스트 조건이 모두 충족되는 경우에만 적용됩니다.
- (선택사항) 알림 심각도 수준(낮음, 중간, 높음) 및 알림 전송 및 이메일 알림 전송 여부를 선택합니다.
- 계속을 클릭하여 규칙 세부정보를 검토합니다.
- 규칙의 상태를 선택합니다.
- 활성: 규칙이 즉시 실행됩니다.
- 비활성: 규칙이 존재하지만 적용되지 않습니다. 이 옵션을 선택하면 규칙을 구현하기 전에 검토하고 팀원과 공유할 수 있습니다. 나중에 '보안', '액세스 및 데이터 관리', '데이터 보호', '규칙 관리'로 차례로 이동하여 규칙을 활성화할 수 있습니다. 규칙의 '비활성' 상태를 클릭하고 '활성'을 선택하세요. 규칙을 활성화하면 규칙이 실행되고 DLP에서 민감한 콘텐츠를 검사합니다.
- 만들기를 클릭합니다.
변경사항이 적용되는 데 최대 24시간이 소요될 수 있지만 일반적으로 더 빠르게 적용됩니다. 자세히 알아보기
-
- 규칙
- 규칙의 이름과 설명을 추가합니다.
- 범위 섹션에서 <domain.name> 내 모든 사용자를 선택하거나 규칙이 적용되는 조직 단위 또는 그룹을 검색하여 포함하거나 제외하도록 선택합니다. 조직 단위와 그룹 간에 포함 또는 제외에 대한 충돌이 발생하는 경우 그룹이 우선 적용됩니다.
- 계속을 클릭합니다.
- Chrome 아래의 앱에서 파일 다운로드됨을 선택합니다.
- 계속을 클릭합니다.
- 조건 섹션에서 조건 추가를 클릭합니다.
- 검사할 콘텐츠 유형에서 모든 콘텐츠를 선택합니다.
- 검사할 대상에서 DLP 검사 유형을 선택하고 속성을 선택합니다. 사용 가능한 속성에 대한 자세한 내용은 DLP 규칙 만들기를 참고하세요.
- 컨텍스트 조건 섹션에서 액세스 수준 선택을 클릭하여 기존 액세스 수준을 표시합니다.
- 새 액세스 수준 만들기를 클릭합니다.
- 새 액세스 수준의 이름과 설명을 입력합니다.
- 컨텍스트 조건에서 조건 추가를 클릭합니다.
- 모든 속성 충족을 선택합니다.
- 속성 선택
- (선택사항) 국가를 더 추가하려면 조건 추가를 클릭한 다음 16단계를 반복합니다.
- (선택사항) 국가를 두 개 이상 선택한 경우 다음을 사용하여 여러 조건 결합 전환 버튼(조건 위에 위치)을 OR로 설정합니다. 이는 사용자가 선택한 국가에서 로그인하는 경우 DLP 규칙이 적용됨을 의미합니다.
- 만들기를 클릭합니다. 규칙 만들기 페이지로 돌아갑니다. 새 액세스 수준이 목록에 추가되고 속성이 오른쪽에 표시됩니다.
- 계속을 클릭합니다.
- 작업 페이지에서 Chrome 작업에 대해 차단을 선택합니다.
참고: 이 작업은 콘텐츠 조건 및 컨텍스트 조건이 모두 충족되는 경우에만 적용됩니다.
- (선택사항) 알림 심각도 수준(낮음, 중간, 높음) 및 알림 전송 및 이메일 알림 전송 여부를 선택합니다.
- 계속을 클릭하여 규칙 세부정보를 검토합니다.
- 규칙의 상태를 선택합니다.
- 활성: 규칙이 즉시 실행됩니다.
- 비활성: 규칙이 존재하지만 적용되지 않습니다. 이 옵션을 선택하면 규칙을 구현하기 전에 검토하고 팀원과 공유할 수 있습니다. 나중에 '보안', '액세스 및 데이터 관리', '데이터 보호', '규칙 관리'로 차례로 이동하여 규칙을 활성화할 수 있습니다. 규칙의 '비활성' 상태를 클릭하고 '활성'을 선택하세요. 규칙을 활성화하면 규칙이 실행되고 DLP에서 민감한 콘텐츠를 검사합니다.
- 만들기를 클릭합니다.
변경사항이 적용되는 데 최대 24시간이 소요될 수 있지만 일반적으로 더 빠르게 적용됩니다. 자세히 알아보기
-
- 규칙
- 규칙의 이름과 설명을 추가합니다.
- 범위 섹션에서 <domain.name> 내 모든 사용자를 선택하거나 규칙이 적용되는 조직 단위 또는 그룹을 검색하여 포함하거나 제외하도록 선택합니다. 조직 단위와 그룹 간에 포함 또는 제외에 대한 충돌이 발생하는 경우 그룹이 우선 적용됩니다.
- 계속을 클릭합니다.
- Google Drive의 앱에서 Drive 파일을 선택합니다.
- 계속을 클릭합니다.
- 조건 섹션에서 조건 추가를 클릭합니다.
- 검사할 콘텐츠 유형에서 모든 콘텐츠를 선택합니다.
- 검사할 대상에서 DLP 검사 유형을 선택하고 속성을 선택합니다. 사용 가능한 속성에 대한 자세한 내용은 DLP 규칙 만들기를 참고하세요.
- 컨텍스트 조건 섹션에서 액세스 수준 선택을 클릭하여 기존 액세스 수준을 표시합니다.
- 새 액세스 수준 만들기를 클릭합니다.
- 새 액세스 수준의 이름과 설명을 입력합니다.
- 컨텍스트 조건에서 조건 추가를 클릭합니다.
- 1개 이상의 속성을 충족하지 않음을 선택합니다.
- 속성 선택
- 만들기를 클릭합니다. 규칙 만들기 페이지로 돌아갑니다. 새 액세스 수준이 목록에 추가되고 속성이 오른쪽에 표시됩니다.
- 계속을 클릭합니다.
- 작업 페이지의 Google Drive 작업에서 댓글 작성자 및 뷰어의 다운로드, 인쇄, 복사 사용 중지를 선택합니다.
참고: 이 작업은 콘텐츠 조건 및 컨텍스트 조건이 모두 충족되는 경우에만 적용됩니다.
- (선택사항) 알림 심각도 수준(낮음, 중간, 높음) 및 알림 전송 및 이메일 알림 전송 여부를 선택합니다.
- 계속을 클릭하여 규칙 세부정보를 검토합니다.
- 규칙의 상태를 선택합니다.
- 활성: 규칙이 즉시 실행됩니다.
- 비활성: 규칙이 존재하지만 적용되지 않습니다. 이 옵션을 선택하면 규칙을 구현하기 전에 검토하고 팀원과 공유할 수 있습니다. 나중에 '보안', '액세스 및 데이터 관리', '데이터 보호', '규칙 관리'로 차례로 이동하여 규칙을 활성화할 수 있습니다. 규칙의 '비활성' 상태를 클릭하고 '활성'을 선택하세요. 규칙을 활성화하면 규칙이 실행되고 DLP에서 민감한 콘텐츠를 검사합니다.
- 만들기를 클릭합니다.
변경사항이 적용되는 데 최대 24시간이 소요될 수 있지만 일반적으로 더 빠르게 적용됩니다. 자세히 알아보기
이 예에서는 사용자가 관리되지 않는 기기를 사용하여 Salesforce 관리 콘솔(salesforce.com/admin)로 이동하려고 하면 차단됩니다. 사용자는 Salesforce 애플리케이션의 다른 부분에는 계속 액세스할 수 있습니다.
-
- 규칙
- 규칙의 이름과 설명을 추가합니다.
- 범위 섹션에서 <domain.name> 내 모든 사용자를 선택하거나 규칙이 적용되는 조직 단위 또는 그룹을 검색하여 포함하거나 제외하도록 선택합니다. 조직 단위와 그룹 간에 포함 또는 제외에 대한 충돌이 발생하는 경우 그룹이 우선 적용됩니다.
- 계속을 클릭합니다.
- Chrome의 앱에서 방문한 URL을 선택합니다.
- 계속을 클릭합니다.
- 조건 섹션에서 조건 추가를 클릭하고 다음 값을 선택합니다.
- 검사할 콘텐츠 유형: URL
- 검사 대상: 텍스트 문자열 포함
- 일치 콘텐츠: salesforce.com/admin
- 컨텍스트 조건 섹션에서 액세스 수준 선택을 클릭하여 기존 액세스 수준을 표시합니다.
- 새 액세스 수준 만들기를 클릭합니다.
- 새 액세스 수준의 이름과 설명을 입력합니다.
- 컨텍스트 조건에서 고급 탭을 클릭합니다.
- 텍스트 상자에 다음을 입력합니다.
device.chrome.management_state != ChromeManagementState.CHROME_MANAGEMENT_STATE_BROWSER_MANAGED고급 모드에 대해 자세히 알아보세요.
- 만들기를 클릭합니다. 규칙 만들기 페이지로 돌아갑니다. 새 액세스 수준이 목록에 추가되고 속성이 오른쪽에 표시됩니다.
- 계속을 클릭합니다.
- 작업 페이지에서 Chrome 작업에 대해 차단을 선택합니다.
참고: 이 작업은 콘텐츠 조건 및 컨텍스트 조건이 모두 충족되는 경우에만 적용됩니다.
- (선택사항) 알림 심각도 수준(낮음, 중간, 높음) 및 알림 전송 및 이메일 알림 전송 여부를 선택합니다.
- 계속을 클릭하여 규칙 세부정보를 검토합니다.
- 규칙의 상태를 선택합니다.
- 활성: 규칙이 즉시 실행됩니다.
- 비활성: 규칙이 존재하지만 적용되지 않습니다. 이 옵션을 선택하면 규칙을 구현하기 전에 검토하고 팀원과 공유할 수 있습니다. 나중에 '보안', '액세스 및 데이터 관리', '데이터 보호', '규칙 관리'로 차례로 이동하여 규칙을 활성화할 수 있습니다. 규칙의 '비활성' 상태를 클릭하고 '활성'을 선택하세요. 규칙을 활성화하면 규칙이 실행되고 DLP에서 민감한 콘텐츠를 검사합니다.
- 만들기를 클릭합니다.
참고: 필터링 중인 URL을 최근에 방문한 적이 있는 경우 몇 분 동안 캐시되며 해당 URL이 캐시에서 삭제될 때까지 새(또는 수정된) 규칙으로 필터링되지 않을 수 있습니다. 새 규칙이나 수정된 규칙을 테스트하기 전에 약 5분 정도 기다려 주세요.
FAQ
이전 버전의 Chrome에서는 CAA+DLP 규칙이 어떻게 작동하나요?이전 버전의 Chrome에서는 컨텍스트 조건이 무시됩니다. 규칙은 콘텐츠 조건만 설정된 것처럼 작동합니다.
아니요. 시크릿 모드에서는 규칙이 적용되지 않습니다. 관리자는 로그인 시 컨텍스트 인식 액세스를 시행하여 Chrome 시크릿 모드에서 Workspace 또는 SaaS 애플리케이션에 로그인하지 못하게 할 수 있습니다.
관리 브라우저 및 관리 프로필 사용자가 동일한 기업에 속해 있는 경우 브라우저 수준 DLP 규칙과 사용자 수준 DLP 규칙이 모두 적용됩니다.
관리 브라우저 및 관리 프로필 사용자가 다른 기업에 속해 있으면 브라우저 수준 DLP 규칙만 적용됩니다. 컨텍스트 조건은 항상 일치로 간주되며 가장 엄격한 결과가 시행됩니다. IP 기반 또는 지역 기반 조건에는 영향을 미치지 않습니다.
관리 콘솔의 CAA는 GCP Console에서 지원하는 속성 모두를 지원하지는 않습니다. 따라서 GCP Console에서 생성된 이러한 속성이 포함된 모든 기본 액세스 수준은 관리 콘솔에서 할당할 수 있지만 수정할 수는 없습니다.
관리 콘솔의 규칙 페이지에서, GCP에서 만든 액세스 수준을 할당할 수 있지만 지원되지 않는 속성이 있는 액세스 수준에 대한 조건의 세부정보는 볼 수 없습니다.
- 서비스 > 데이터 보안 > 액세스 수준 관리로 이동하여 DLP 규칙 생성 중 컨텍스트 조건을 보는 데 필요한 관리자 권한이 있는지 확인하세요.
- 규칙 생성 중에 Chrome 트리거를 선택한 경우에만 컨텍스트 조건 카드가 표시됩니다.
할당된 액세스 수준이 삭제되면 기본적으로 컨텍스트 조건은 true가 되고 규칙은 콘텐츠 전용 규칙처럼 작동합니다. 이렇게 하면 규칙이 원래 의도한 것보다 더 많은 기기/사용 사례에 적용됩니다.
아니요. 규칙의 액세스 수준 평가는 CAA 설정과는 별개입니다. CAA 활성화 및 할당은 규칙에 영향을 미치지 않아야 합니다.
빈 조건은 기본적으로 true로 평가됩니다. 즉, CAA 규칙만 있는 경우 콘텐츠 조건을 비워 둘 수 있습니다. 콘텐츠 및 컨텍스트 조건이 모두 비어 있으면 규칙이 항상 트리거됩니다.
아니요. 이 규칙은 콘텐츠 및 컨텍스트 조건이 모두 충족되는 경우에만 트리거됩니다.
DLP와 CAA 모두 주기적으로 중단되는 백그라운드 서비스에 의존합니다. 규칙 시행 중에 서비스 중단이 발생하면 규칙이 시행되지 않습니다. 이 경우 이벤트가 규칙 로그와 Chrome 로그 둘 다에 기록됩니다.
기기 기반 속성의 경우 컨텍스트 조건이 일치로 간주되고 가장 엄격한 결과가 시행됩니다. 기기 기반이 아닌 속성(예: IP 주소, 지역)의 경우 변경사항이 없습니다.
예. 검색 결과의 액세스 수준 열에서 규칙 로그 이벤트 또는 Chrome 로그 이벤트를 검색하여 액세스 수준 정보를 볼 수 있습니다.
아니요. 이 절차에서는 아직 최종 사용자가 수정할 수 없습니다.
