Supported editions for this feature: Frontline Standard; Enterprise Standard et Enterprise Plus; Education Fundamentals, Education Standard, Teaching and Learning Upgrade et Education Plus; Enterprise Essentials Plus; Chrome Enterprise Premium . Comparer votre édition
Drive DLP and Chat DLP are available to Cloud Identity Premium users who also have a Google Workspace license. For Drive DLP, the license must include the Drive log events.
En tant qu'administrateur, vous pouvez utiliser les extraits de protection contre la perte de données pour déterminer si le non-respect d'une règle de protection contre la perte de données est un incident réel ou un faux positif. Les extraits de protection contre la perte de données capturent le contenu qui enfreint une règle. Vous pouvez consulter ces extraits dans l'outil d'investigation de sécurité, ainsi que sur la page d'audit et d'enquête.
- Accès aux extraits dans l'outil d'investigation
- Avant de commencer
- À propos des extraits de protection contre la perte de données
- Limites applicables aux extraits de protection contre la perte de données
- Étape 1: Commencez votre investigation
- Étape 2 : Affichez le contenu sensible
- Étape 3 : Consultez le contenu sensible
- Exporter du contenu sensible à l'aide de BigQuery
- Supprimer le contenu sensible des journaux
- Restaurer du contenu sensible
- Événements de journaux des actions sur les données d'administration
Accès aux extraits dans l'outil d'investigation
Pour accéder aux extraits dans l'outil d'investigation :
- Les administrateurs doivent disposer du droit Consulter le contenu sensible. Pour en savoir plus, consultez Droits d'administrateur pour l'outil d'investigation.
- Pour permettre aux administrateurs de consulter le contenu sensible, vous devez activer le paramètre "Consulter le contenu sensible".
- Pour supprimer et restaurer le contenu sensible des journaux, vous devez être un super-administrateur.
Avant de commencer
Activez le stockage des contenus sensibles:
-
Connectez-vous à la Console d'administration Google.
Connectez-vous avec votre compte administrateur (ne se terminant pas par "@gmail.com").
-
Dans la console d'administration, accédez à Menu
Sécurité
Contrôle des accès et des données
- Pour Stockage des contenus sensibles, définissez l'état sur Activé.
- Cliquez sur Enregistrer.
À propos des extraits de protection contre la perte de données
Les extraits de protection contre la perte de données contiennent tout contenu signalé par une règle de protection contre la perte de données qui correspond aux conditions de contenu de cette règle, par exemple:
- Contenu des fichiers analysés
- Détecteurs de contenu réutilisables
- Mots clés et listes de mots
- Expressions régulières
- Détecteurs de contenus prédéfinis
Vous pouvez consulter les extraits de protection contre la perte de données dans les journaux pendant 180 jours. Pendant cette période, si le contenu source est supprimé ou modifié, les extraits ne sont pas supprimés. Les extraits de protection contre la perte de données capturent le contenu correspondant détecté par les règles de protection contre la perte de données, ainsi que le texte environnant (jusqu'à 100 caractères Unicode de chaque côté) afin de fournir du contexte aux analyses de protection contre la perte de données.
Limites applicables aux extraits de protection contre la perte de données
- Le contenu des extraits dépassant 500 caractères Unicode est tronqué.
- Pour les données d'événements de journaux des règles de protection contre la perte de données, la taille totale du paramètre d'extraits est limitée à 50 ko. Les instances d'extraits sont supprimées jusqu'à ce que la taille globale soit inférieure à 50 ko.
- Dans Google Chat, les extraits ne sont pas collectés pour les messages en mode privé (historique des discussions désactivé) ni pour les conversations envoyées à un espace appartenant à une personne externe à votre organisation.
- Le contenu analysé par la protection contre la perte de données et les extraits de Google Drive peuvent différer du contenu source d'origine du document.
Étape 1: Commencez votre investigation
Option 1 : Afficher les extraits de contenu sensible dans l'outil d'investigation
-
Connectez-vous à la Console d'administration Google.
Connectez-vous avec votre compte administrateur (ne se terminant pas par "@gmail.com").
-
Dans la console d'administration, accédez à Menu
- Cliquez sur Source de données et sélectionnez Événements du journal des règles.
- Cliquez sur Ajouter une condition.
- Dans le menu Attribut, sélectionnez Type de règle et assurez-vous que l'opérateur est défini sur Est (option par défaut).
- Dans le menu Type de règle, sélectionnez Protection contre la perte de données.
- Cliquez sur Rechercher.
Option 2 : Afficher les extraits de contenu sensible sur la page d'audit et d'enquête
-
Connectez-vous à la Console d'administration Google.
Connectez-vous avec votre compte administrateur (ne se terminant pas par "@gmail.com").
-
Dans la console d'administration, accédez à Menu
Création de rapports
- Cliquez sur Ajouter un filtre
- Dans Type de règle, sélectionnez Est
- Cliquez sur Rechercher.
Étape 2 : Affichez le contenu sensible
- Dans les résultats de recherche, recherchez la valeur Vrai dans la colonne Comporte du contenu sensible.
- Dans la colonne Description, cliquez sur le texte pour ouvrir le panneau "Détails du journal".
- Cliquez sur Afficher le contenu sensible.
- Si nécessaire, indiquez la raison pour laquelle vous devez consulter le contenu sensible
Le panneau s'actualise et la ligne Extraits de contenu sensible affiche les extraits déclenchés par la règle concernée.
Étape 3 : Consultez le contenu sensible
Dans le panneau Détails du journal, à côté de l'option Extraits de contenu sensible, cliquez sur la flèche vers la droite pour développer les lignes contenant du contenu sensible.
Vous pouvez examiner les attributs suivants :
| Attribut | Description |
| Contenu | Contenu (y compris le texte environnant utilisé pour le contexte) correspondant à une règle de protection contre la perte de données |
| Caractère de départ du contenu correspondant | Début du contenu correspondant à une règle, où l'index de départ est basé sur zéro. Le caractère de départ du contenu correspondant est relatif à l'extrait de contenu, et non au document source. |
| Longueur du contenu correspondant | Longueur de la correspondance |
| ID du détecteur correspondant | Détecteur correspondant, le cas échéant |
| Index de ligne | (Fichiers Chat au format CSV) Index basé sur zéro de la ligne de contenu, le cas échéant |
| Nom du champ | (Fichiers Chat au format CSV) Nom de la colonne du contenu, le cas échéant |
Exemple : La règle de protection contre la perte de données analyse les numéros de sécurité sociale
Dans cet exemple, si une feuille de calcul contient un numéro de sécurité sociale, les attributs sont renseignés comme suit :
- Contenu: Numéro de sécurité sociale 123-45-6789
- Caractère de départ du contenu correspondant: 4
- Longueur du contenu correspondant: 11
- ID du détecteur correspondant: US_SOCIAL_SECURITY_NUMBER
- Index de ligne: 2
- Nom du champ : header2
Exporter du contenu sensible à l'aide de BigQuery
Vous pouvez exporter des extraits de contenu sensible vers des tables personnalisés pour un examen plus approfondi. Pour en savoir plus, consultez Définir une configuration BigQuery Export.
Supprimer le contenu sensible des journaux
Après avoir examiné un incident, vous pouvez supprimer le contenu sensible des journaux afin de ne pas exposer inutilement les données. Supprimer le contenu des journaux ne le supprime pas du fichier ni de la ressource où il a été trouvé, ni des tables BigQuery personnalisées. Si vous supprimez le contenu, il n'est plus disponible dans l'outil d'investigation ni sur la page d'audit et d'enquête, et ne peut pas être exporté vers BigQuery.
Pour ce faire, vous devez être connecté en tant que super-administrateur.
- Répétez les étapes 1, 2 et 3 ci-dessus pour afficher le contenu sensible.
- Cliquez sur Supprimer le contenu sensible.
- Dans la zone Supprimer le contenu sensible, cliquez sur Supprimer pour confirmer.
Restaurer du contenu sensible
Si nécessaire, vous pouvez restaurer le contenu sensible dans le journal pendant la période de conservation de 180 jours.
Pour ce faire, vous devez être connecté en tant que super-administrateur.
- Répétez les étapes 1, 2 et 3 ci-dessus pour afficher le contenu sensible.
- En haut du panneau Détails du journal, cliquez sur Restaurer.
- Cliquez sur Afficher le contenu sensible.
- Dans le panneau Détails du journal, à côté de l'option Extraits de contenu sensible, cliquez sur la flèche vers la droite
pour développer les lignes contenant du contenu sensible.
À l'issue de la période de conservation initiale de 180 jours, les extraits de protection contre la perte de données sont supprimés, que vous les restauriez ou non.
Événements de journaux des actions sur les données d'administration
Vous pouvez effectuer des recherches dans les événements du journal Actions sur les données d'administration pour savoir quels administrateurs ont accédé au contenu sensible, l'ont supprimé ou restauré. Pour en savoir plus, consultez Événements de journaux des actions sur les données d'administration.