Vanliga frågor om kryptering på klientsidan

Utgåvor som stöds för den här funktionen: Enterprise Plus, Education Standard och Education Plus, Jämför utgåvor

Här hittar du svar på vanliga frågor om Google Workspace-kryptering på klientsidan (CSE).

Öppna avsnitt  |  Komprimera alla

Om kryptering

Var hittar jag information om Googles standardkryptering?

Mer information om Googles standardkryptering finns på webbplatsen för Google Cloud.

Mer information om standardkryptering för Gmail finns i Kryptering under överföring i hjälpcentret för Gmail.

Hur skiljer sig CSE från e2e-kryptering (end-to-end)?

Med end-to-end-kryptering (e2e) sker kryptering och dekryptering alltid på käll- och målenheterna (exempelvis på mobiltelefoner för snabbmeddelanden). Krypteringsnycklar skapas på klienten. Som administratör har du därför inte kontroll över nycklarna på klienterna och vem som kan använda dem. Du har heller ingen insyn i vilket innehåll användarna har krypterat.

Med kryptering på klientsidan (CSE) sker kryptering och dekryptering alltid på käll- och målenheterna, vilket i det här fallet är klienternas webbläsare. Med CSE använder klienterna dock krypteringsnycklar som genereras och lagras i en molnbaserad nyckelhanteringstjänst så att du kan styra nycklarna och vem som har åtkomst till dem. Du kan till exempel återkalla en användares åtkomst till nycklar, även om användaren genererade dem. Med CSE kan du dessutom övervaka användarnas krypterade filer.

Förstå användarupplevelsen i CSE

Hur krypterar användarna data med CSE?

Användarna kan välja ett alternativ för att aktivera CSE i tjänsterna som stöds. Mer information om hur användarna kan aktivera CSE i webb- och mobilappar finns i Översikt över användarupplevelse med kryptering på klientsidan.

Finns det några begränsningar för användarna när de använder CSE?

Ja, vissa funktioner i Googles tjänster är inte tillgängliga när CSE har aktiverats. Mer information finns i Översikt över användarupplevelsen med kryptering på klientsidan.

Konfigurera CSE

Vad är krypteringsnycklar och hur får jag dem?

En krypteringsnyckel används för att omvandla data till ett oläsligt format så att den verkar vara slumpmässig. Detta gör att uppgifterna förblir privata för allt och alla som inte har godkänts för att läsa dem. Om en person eller ett program ska kunna läsa krypterad data kräv en nyckel som konverterar tillbaka uppgifterna till det ursprungliga formatet.

Om du vill använda krypteringsnycklar för att lägga till ett krypteringslager för organisationens Google Workspace-data måste du använda en nyckelhanteringstjänst som samarbetar med Google eller skapa en egen nyckeltjänst med Googles CSE API. För Gmail kan du även använda kryptering av maskinvarunycklar. Då finns en användares krypteringsnyckel på ett smartkort.

Vilka partnertjänster för nyckelhantering kan jag använda med CSE?

Google samarbetar med flera nyckelhanteringstjänster för CSE: En lista över tjänster finns i Konfigurera nyckeltjänsten för kryptering på klientsidan.

Kan jag använda Google som nyckelhanteringstjänst?

Nej, du måste använda en extern nyckelhanteringstjänst för att konfigurera Google Workspace-kryptering på klientsidan. Med CSE kontrollerar du dina egna krypteringsnycklar och Google kan inte komma åt dem för att dekryptera din data.

Kan jag använda flera nyckeltjänster?

Ja, du kan använda mer än en nyckeltjänst och välja vilken tjänst som ska användas för en organisationsenhet eller grupp. Du kan även migrera krypterat innehåll från en tjänst till en annan.

Obs! I administratörskonsolen kan du konfigurera en enda nyckeltjänst för kryptering på klientsidan i Gmail. Läs mer om andra alternativ för hantering av nycklar i Google Workspace Client-side Encryption API.

Kan jag använda smartkort med CSE?

Ja, om organisationen använder smartkort för åtkomst till anläggningar och system kan du konfigurera kryptering av maskinvarunycklar för Gmail CSE. Requires having the Assured Controls or Assured Controls Plus add-on. Användarna kan använda sina smartkort, som innehåller deras privata krypteringsnyckel, för att kryptera sina e-postmeddelanden. Mer information finns i Endast Gmail: Konfigurera och hantera kryptering av maskinvarunyckel för kryptering på klientsidan. 

Kan jag använda både en nyckeltjänst och maskinvarunycklar för kryptering för Gmail?

Ja, du kan konfigurera både en nyckeltjänst och maskinvarukrypteringsnycklar för Gmail CSE. Requires having the Assured Controls or Assured Controls Plus add-on. Du tilldelar även samma användare både nyckeltjänsten och maskinvarunyckelkrypteringen. En användare kan dock bara använda en typ av kryptering för Gmail, beroende på hur du konfigurerar användarens privata krypteringsnyckel för Gmail. Mer information finns i Endast Gmail: Ladda upp krypteringsnycklar för kryptering på klientsidan. 

Kan jag byta till en annan nyckeltjänst?

Ja, du kan byta till en annan nyckeltjänst. Om du gör detta är det praxis att migrera innehåll som har krypterats med din nuvarande nyckeltjänst till den nya tjänsten. Mer information finns i Om du vill byta till en ny nyckeltjänst.

Hur begränsar jag vilka användare eller grupper som har åtkomst till min externa nyckeltjänst?

Du hanterar listan för nyckelåtkomstkontroll (KACL) för krypteringsnycklar via din externa nyckeltjänst. KACL måste innehålla alla användare som behöver kryptera eller dekryptera (visa eller redigera) innehåll. Kontakta krypteringsleverantören om du vill veta mer.

Dessutom måste du aktivera CSE för alla användare som behöver kryptera data. Mer information finns i Aktivera eller inaktivera kryptering på klientsidan för användare.

Kan jag tillämpa användningen av CSE för specifika användare?

För Gmail, Google Drive och Google Kalender kan du ange att CSE är aktiverat som standard för specifika organisationsenheter. Requires having the Assured Controls or Assured Controls Plus add-on.

Om du anger att CSE är aktiverat som standard kan användarna fortfarande inaktivera CSE om det behövs. 

Mer information finns i Aktivera eller inaktivera kryptering på klientsidan för användare.

Hur konfigurerar jag CSE för delade enheter?

Du behöver inte konfigurera CSE specifikt för delade enheter. Den externa nyckeltjänst som du konfigurerar på administratörskonsolen fungerar för filer på både Min enhet och delade enheter.

Vad händer om jag får en varning när jag konfigurerar CSE?

Om du har problem med CSE-konfigurationen går du till Visa varningsinformation för mer information.

Kan jag importera och kryptera befintlig e-post med CSE?

Ja. Gå till Migrera meddelanden till Gmail som e-postmeddelanden som är krypterade på klientsidan.

Kan jag ge externa användare åtkomst till organisationens innehåll som är krypterat på klientsidan?

Ja. Gå till Ge extern åtkomst till krypterat innehåll på klientsidan.

Arbeta med krypterat innehåll på klientsidan

Kan jag kryptera om befintliga filer med en annan krypteringsnyckel?

Du kan migrera krypterade filer på klientsidan till en ny nyckeltjänst. Mer information finns i Om du vill byta till en ny nyckeltjänst.

Kan jag byta kryptering för en fil till Googles standardkryptering?

Ja, du kan ta bort kryptering på klientsidan från ett dokument, kalkylark eller en presentation i Google. Mer information finns i Ta bort kryptering från ett dokument.

Hur dekrypterar jag exporterade Drive-filer och e-postmeddelanden?

Om du vill dekryptera CSE-filer som du exporterar med verktyget för dataexport eller Google Arkiv kan du använda dekrypteraren, ett kommandoradsverktyg. Mer information finns i Dekryptera exporterade filer som är krypterade på klientsidan.

Kan jag behålla, söka efter och exportera krypterade filer och e-postmeddelanden i Google Arkiv?

Ja, om Google Workspace-utgåvan har Google Arkiv kan du lagra, söka efter och exportera krypterade filer på Drive och e-postmeddelanden i Gmail i Arkiv. 

Du kan söka efter filer på klientsidan med krypterad metadata, till exempel titel och ägare. Däremot kan du inte söka i innehållet, söka efter filtyp, förhandsgranska innehållet eller ladda ned från förhandsgranskningen.

Mer information finns i hjälpcentret för Google Arkiv.

Måste jag begränsa stavningskontrollen för krypterat innehåll på klientsidan?

• För kroppsinnehåll som är krypterat på klientsidan i Google Dokument och Presentationer tillhandahåller maskininlärningsmodeller på enheten stavningskontroll, vilket skyddar dokumentdatans konfidentialitet.
• För Gmail och kommentarer i Google Dokument finns det en stavningskontroll i webbläsaren.

  Om organisationen använder Google Chrome: Se till att CSE-användare inte använder Chromes förbättrade stavningskontroll. Det här alternativet skickar data till Google. CSE-användare kan i stället använda Chromes grundläggande stavningskontroll, som inte skickar data till Google. Mer information finns i Aktivera eller inaktivera stavningskontroll i Chrome. Om du använder hanterad webbläsaren Chrome kan du skapa en policy för att inaktivera stavningskontroll för CSE-användare. Då inaktiveras Förbättrad stavningskontroll men inte Grundläggande stavningskontroll. Mer information finns i Konfigurera Chrome-policyer för användare eller webbläsare.

Skannar krypterade filer och e-postmeddelanden på klientsidan

Söker Drive och Gmail automatiskt igenom krypterat innehåll på klientsidan efter säkerhetshot?

Krypterade filer och e-postmeddelanden på klientsidan genomsöks inte efter nätfiske och skadlig kod eftersom Googles servrar inte har åtkomst till innehållet.

Kan jag köra DLP-skanningar av innehåll i filer som är krypterade på klientsidan eller e-postmeddelanden?

Skanningar för förebyggande av dataförlust (DLP) har inte åtkomst till krypterat innehåll på klientsidan i filer eller e-postmeddelanden. Du kan dock skapa DLP-regler för att

• Skanna Drive-filers okrypterade metadata som filnamn och Drive-etiketter. Detta kan bidra till att förhindra läckor av känslig data.
• Skanna Drive-filer för att avgöra om de är krypterade på klientsidan eller inte genom att välja regelvillkoret Filkrypteringsstatus > Är > Krypterad på klientsidan eller Inte krypterad på klientsidan.

Mer information om hur du skapar DLP-regler för Drive finns i Skapa DLP för Drive-regler och anpassade innehållsdetektorer.

Byta till en Google Workspace-utgåva som inte har stöd för CSE

Vad händer med krypterat innehåll om användarnas licenser inte längre har CSE?

Om du flyttar användare till en Google Workspace-licens som inte innehåller CSE kan de fortfarande få åtkomst till och redigera alla objekt som är krypterade på klientsidan, till exempel filer och e-postmeddelanden. De kan dock inte skapa några nya objekt som är krypterade på klientsidan.

Kan jag ta bort kryptering från innehåll om vi inte längre vill använda CSE?

Om du vill sluta använda CSE och dekryptera objekt som filer och e-postmeddelanden måste du först exportera dessa objekt med verktyget för dataexport. Ta sedan bort CSE med dekrypterarverktyget.