Empêcher les fuites de données dans les e-mails et les pièces jointes

Éditions compatibles avec cette fonctionnalité: Frontline Standard; Enterprise Standard et Enterprise Plus; Education Fundamentals, Education Standard, Teaching and Learning Upgrade et Education Plus. Comparer votre édition

La protection contre la perte de données pour Gmail est également disponible pour les utilisateurs Cloud Identity Premium qui disposent aussi d'une licence pour les éditions Google Workspace incluant Gmail.

Vous pouvez créer des règles de protection contre la perte de données dans la console d'administration Google pour gérer les contenus sensibles que vos utilisateurs partagent dans leurs e-mails. Avec la protection contre la perte de données pour Gmail, les règles s'appliquent aux messages envoyés à des utilisateurs au sein de votre organisation et en dehors. Elles permettent d'identifier les informations sensibles et d'éviter leur partage avec des personnes internes ou externes à votre organisation.

Sur cette page

• Fonctionnalités de la protection contre la perte de données pour Gmail
• Comment fonctionne la protection contre la perte de données pour Gmail ?
• À propos de l'analyse synchrone et asynchrone
• Résultats de l'analyse synchrone et asynchrone
• Qu'est-ce qui est analysé ?
• Types de pièces jointes compatibles
• Comment la protection contre la perte de données pour Gmail coexiste-t-elle avec les autres règles ?
• Limitations connues
• Créer une règle de protection des données pour Gmail
• Examiner les cas de non-respect des règles de protection contre la perte de données à l'aide de l'outil d'investigation de sécurité
• Exporter les cas de non-respect de la protection contre la perte de données à l'aide de BigQuery
• Faire part de vos commentaires

Fonctionnalités de la protection contre la perte de données pour Gmail

Avec la protection contre la perte de données pour Gmail, les administrateurs peuvent effectuer les actions suivantes :

• Créez des règles de protection des données pour Gmail ou d'autres applications Google Workspace qui utilisent la protection contre la perte de données, y compris Gmail, Google Chat et Drive.
• Appliquez différentes actions en cas de non-respect des règles. Par exemple, vous pouvez bloquer la distribution des e-mails et envoyer une notification à l'utilisateur (Bloquer le message), avertir les utilisateurs des informations sensibles détectées dans le message mais leur permettre de l'envoyer quand même (Avertir les utilisateurs), mettre un message en quarantaine pour qu'il soit examiné par un administrateur avant d'être envoyé ou renvoyé (Mettre le message en quarantaine), ou envoyer le message et consigner l'événement de protection contre la perte de données pour un audit ultérieur afin d'évaluer l'impact des nouvelles règles (Audit uniquement).
• Définissez des conditions à l'aide de chaînes de texte, et de détecteurs prédéfinis et personnalisés (par exemple, des mots clés et des expressions régulières).
• Ajoutez des règles permettant d'appliquer automatiquement des libellés de classification aux nouveaux messages en fonction des conditions que vous spécifiez. Par exemple, appliquez un libellé de classification Confidentiel lorsque les messages contiennent des informations sensibles, financières ou permettant d'identifier personnellement l'utilisateur.  
• Détectez lorsque le mode confidentiel est activé pour un message et utilisez cet état comme condition pour autoriser les utilisateurs à envoyer des messages incluant du contenu sensible.
• Appliquez des règles pour une unité organisationnelle ou un groupe spécifique, ou pour l'ensemble de votre organisation.
• Signalez les cas de non-respect des règles aux administrateurs dans le centre d'alerte afin qu'ils puissent analyser le problème.
• Analysez le texte des images dans toutes les pièces jointes des messages à l'aide de la reconnaissance optique des caractères (OCR).

Comment fonctionne la protection contre la perte de données pour Gmail ?

Lorsqu'un utilisateur envoie un e-mail, la protection contre la perte de données l'analyse pour détecter tout contenu sensible. Si un message ou une pièce jointe enfreint une règle, l'action définie dans cette règle s'applique au message.

Résumé du flux :

1. Vous créez des règles de protection contre la perte de données qui définissent le contenu sensible et devant être protégé.
2. Lorsqu'un utilisateur envoie un e-mail, la protection contre la perte de données analyse le contenu pour détecter les cas de non-respect des règles. 
3. Si une règle est appliquée, la protection contre la perte de données exécute l'action définie dans cette règle.
4. Tous les événements sont consignés dans les événements du journal des règles afin d'être examinés. En savoir plus sur les événements du journal des règles

À propos de l'analyse synchrone et asynchrone

Avec la protection contre la perte de données pour Gmail, les règles de protection des données peuvent être analysées de manière synchrone ou asynchrone : 

• Analyse synchrone : les règles de protection des données sont analysées lorsque l'utilisateur clique sur le bouton Envoyer. Les utilisateurs sont avertis de la présence de contenu sensible avant que le message ne quitte leur boîte aux lettres, lorsqu'ils utilisent Gmail sur le Web ou avec une application mobile.

• Analyse asynchrone : les règles de protection des données sont analysées après que le message a quitté la boîte aux lettres de l'expéditeur. Les utilisateurs sont informés que le message a été bloqué ou mis en quarantaine avant d'être distribué au destinataire. L'analyse asynchrone se produit lorsqu'un utilisateur envoie un message à l'aide d'une application de messagerie tierce et que l'analyse synchrone échoue.

Résultats de l'analyse synchrone et asynchrone

Analyse synchrone : Gmail sur le Web ou sur mobile

Lorsqu'une règle avec l'action Bloquer le message est déclenchée : 

• Une boîte de dialogue s'ouvre pour avertir l'utilisateur que le message ne peut pas être envoyé dans son état actuel. Vous pouvez ajouter un message personnalisé dans la règle de cette alerte.
• La boîte de dialogue contient l'option Retour à l'édition, qui permet à l'utilisateur de revenir à l'édition du message.
• Lorsque l'utilisateur renvoie le message après l'avoir modifié, celui-ci est à nouveau analysé par rapport à toutes les règles applicables.

Lorsqu'une règle avec l'action Avertir les utilisateurs est déclenchée :

• Une boîte de dialogue s'ouvre pour avertir l'utilisateur que le message contient potentiellement du contenu sensible. Vous pouvez ajouter un message personnalisé dans la règle de cette alerte.
• La boîte de dialogue contient l'option Retour à l'édition, qui permet à l'utilisateur de revenir éventuellement à l'édition du message.
• Elle contient également l'option Envoyer quand même, qui permet à l'utilisateur d'envoyer le message dans son état actuel.

Lorsqu'une règle avec l'action Mettre le message en quarantaine est déclenchée :

• Une boîte de dialogue s'ouvre pour avertir l'utilisateur que le message contient potentiellement du contenu sensible. Vous pouvez ajouter un message personnalisé dans la règle de cette alerte.
• La boîte de dialogue contient l'option Retour à l'édition, qui permet à l'utilisateur de revenir éventuellement à l'édition du message.
• Elle contient également le bouton Envoyer pour examen, qui permet à l'utilisateur d'envoyer le message pour qu'il soit examiné par un administrateur ou un autre utilisateur autorisé. Après avoir examiné le message, l'administrateur peut approuver sa distribution auprès du destinataire, ou le refuser et bloquer son envoi.

Lorsqu'une règle avec l'action Audit uniquement est déclenchée :

• L'utilisateur ne voit pas de boîte de dialogue et le message est distribué normalement aux destinataires.
• L'événement du message est enregistré dans les journaux d'audit. En savoir plus sur les événements du journal des règles

Remarque : Les messages analysés de manière synchrone peuvent être analysés une nouvelle fois de manière asynchrone, à titre de mesure de sécurité supplémentaire. Cela peut entraîner le blocage du message, même si aucune boîte de dialogue n'a été présentée lors de l'analyse synchrone.

Analyse asynchrone : Gmail avec SMTP et application de messagerie tierce

Lorsqu'une règle avec l'action Bloquer le message est déclenchée : 

• Le message s'affiche dans la boîte aux lettres Messages envoyés de l'expéditeur.
• Peu après, l'expéditeur est informé que le message a été bloqué. Vous pouvez ajouter un message personnalisé dans la règle de cette alerte.

Lorsqu'une règle avec l'action Avertir les utilisateurs est déclenchée : 

• Le message s'affiche dans la boîte aux lettres Messages envoyés de l'expéditeur.
• Peu de temps après l'envoi, l'expéditeur est informé que le message a été bloqué. Vous pouvez ajouter un message personnalisé dans la règle de cette alerte.

• Pour les messages envoyés à l'aide d'applications de messagerie tierces connectées à Gmail via SMTP, les règles avec l'action Avertir les utilisateurs se comportent comme des règles avec l'action Bloquer le message.

Lorsqu'une règle avec l'action Mettre le message en quarantaine est déclenchée : 

• Le message s'affiche dans la boîte aux lettres Messages envoyés de l'expéditeur.
• Si l'administrateur a bloqué le message, l'expéditeur peut recevoir une alerte indiquant que le message a été mis en quarantaine. Vous pouvez ajouter un message personnalisé dans la règle de cette alerte.

Lorsqu'une règle avec l'action Audit uniquement est déclenchée : 

• L'expéditeur ne reçoit aucune notification et le message est distribué normalement au destinataire.

Analyse asynchrone : Gmail sur le Web ou sur mobile

Lorsque vous utilisez Gmail sur le Web ou dans une application mobile, les messages sont analysés de manière asynchrone une nouvelle fois par mesure de sécurité supplémentaire.

Lorsqu'une règle avec l'action Bloquer le message est déclenchée : 

• Le message s'affiche dans la boîte aux lettres Messages envoyés de l'expéditeur.
• Peu après, l'expéditeur est informé que le message a été bloqué. Vous pouvez ajouter un message personnalisé dans la règle de cette alerte.

Lorsqu'une règle avec l'action Avertir les utilisateurs est déclenchée, le message est envoyé :

• Le message s'affiche dans la boîte aux lettres Messages envoyés de l'expéditeur.
• L'événement du message est enregistré dans les événements du journal des règles.

Lorsqu'une règle avec l'action Mettre le message en quarantaine est déclenchée : 

• L'expéditeur peut voir le message dans sa boîte aux lettres Messages envoyés.
• Il est susceptible de recevoir une notification ultérieurement si le réviseur a empêché l'envoi du message.

Lorsqu'une règle avec l'action Audit uniquement est déclenchée : 

• L'expéditeur ne reçoit aucune notification et le message est distribué au destinataire.

Messages créés automatiquement par d'autres produits Google

Gmail envoie des notifications et des messages automatiques créés par d'autres services Google et Google Workspace, y compris Agenda, Docs et Drive. Par exemple, lorsqu'un utilisateur crée un événement dans Google Agenda et invite des personnes, un message Gmail contenant les informations sur l'événement est créé et envoyé aux participants. Le message est analysé côté serveur. Si le contenu du message répond aux conditions de certaines règles, l'action associée est appliquée.

Lorsqu'une règle avec l'action Bloquer le message est déclenchée :

• Le message s'affiche dans la boîte aux lettres Messages envoyés de l'expéditeur.
• Peu après, l'expéditeur est informé que le message a été bloqué. Vous pouvez ajouter un message personnalisé dans la règle pour cette notification.

Lorsqu'une règle avec l'action Avertir les utilisateurs est déclenchée, le message est envoyé.

• Le message est envoyé normalement.
• Le message s'affiche dans la boîte aux lettres Messages envoyés de l'expéditeur.
• L'événement du message est enregistré dans les événements du journal des règles.

Lorsqu'une règle avec l'action Mettre le message en quarantaine est déclenchée : 

• L'expéditeur est susceptible de recevoir une notification ultérieurement si le réviseur a empêché l'envoi du message.

Lorsqu'une règle avec l'action Audit uniquement est déclenchée : 

• Le message est envoyé normalement.
• L'expéditeur ne reçoit aucune notification.

Qu'est-ce qui est analysé ?

Seuls les messages sortants sont analysés. Le type de contenu à analyser sélectionné dans la règle détermine la partie du message qui est analysée :

• Tous les contenus : l'objet, les destinataires, l'expéditeur, les champs Cci et Cc, et le corps du message sont analysés de manière synchrone. Les pièces jointes sont analysées de manière asynchrone. Les pièces jointes incluent des fichiers et des images. Les noms des pièces jointes sont également analysés. Consultez la section Types de fichiers compatibles sur cette page.
  Important : Seuls cinq types d'en-têtes (Objet, À, De, Cci, Cc) sont analysés pour la condition Tous les contenus, car ils sont immédiatement disponibles pour l'analyse synchrone. Pour analyser tous les en-têtes d'un message, nous vous recommandons d'utiliser l'une des options suivantes :
  • Ajouter une condition avec l'opérateur OR pour analyser les en-têtes de l'e-mail
  • Créer une règle distincte pour analyser spécifiquement les en-têtes de l'e-mail
• En-têtes de l'e-mail : tout le contenu des en-têtes de l'e-mail (en plus de Objet, À, De, Cci et Cc). Tous les en-têtes du message sont analysés de manière asynchrone, car certains ne sont pas disponibles pour l'analyse synchrone.
• Corps : le corps du message est analysé de manière synchrone et les pièces jointes de manière asynchrone. 
• Objet : l'objet est analysé de manière synchrone.
• Libellé de classification : libellés de classification appliqués manuellement par un utilisateur ou automatiquement à l'aide d'une règle de protection contre la perte de données. Une règle ne peut pas avoir à la fois la condition Libellé de classification et Appliquer des libellés de classification comme action.
• État du mode confidentiel : indique si le mode confidentiel est activé pour le message. Nous vous recommandons d'utiliser cette condition avec d'autres conditions de règle. Par exemple, si le corps du message contient un numéro d'identification fiscale et que le mode confidentiel n'est pas activé, l'envoi du message est bloqué. En savoir plus sur le mode confidentiel

Types de pièces jointes compatibles

Les règles de protection des données analysent les types de pièces jointes suivants :

• Types de documents : TXT, DOC, DOCX, RTF, HTML, XHTML, XML, PDF, PPT, PPTX, ODP, ODS, ODT, XLS, XLSX, PS, CSS, CSV, JSON, SH
• Types de fichiers image (si la reconnaissance optique des caractères est activée) : EPS, BMP, GIF, JPEG, PNG et images contenues dans des fichiers PDF
• Types de fichiers compressés : .BZIP, RAR, TAR, ZIP
• Types de fichiers personnalisés : HWP, KML, KMZ, SDC, SDD, SDW, SXC, SXI, SXW, WML, XPS

Comment la protection contre la perte de données interagit-elle avec les autres règles liées aux e-mails ?

Les règles de protection des données sont évaluées avant les règles de conformité du contenu et les règles de routage.

Si les règles de protection des données ne bloquent pas et ne mettent pas en quarantaine un message, celui-ci est ensuite évalué par les règles de conformité du contenu et de routage. Si une règle de conformité du contenu ou de routage applique une action qui crée une autre copie du message (par exemple, ajout d'un destinataire), la protection contre la perte de données analyse les nouvelles copies du message avant de les envoyer.
Pour en savoir plus sur les règles de conformité du contenu, consultez Définir des règles de filtrage avancé du contenu des e-mails.

Limitations connues

• Pendant la phase bêta, les règles de protection des données avec l'action Appliquer des libellés de classification ne sont appliquées que de manière asynchrone.
  • N'utilisez pas l'action Avertir dans les règles. Pendant la phase bêta, cette action est ignorée.
  • L'expéditeur ne reçoit pas de notifications concernant les libellés de classification appliqués à un message et ne les voit pas dans sa boîte aux lettres Messages envoyés.
• Les adresses e-mail des alias de groupe sont traitées comme des destinataires internes. Si le groupe comporte des membres externes, les règles destinées aux messages externes ne sont pas appliquées.
• Les règles ne s'appliquent pas aux groupes. Si un message est envoyé au nom d'un groupe, les règles ne sont pas appliquées.

Pour connaître les limites concernant l'analyse des messages, consultez Limites concernant la contre la perte de données pour les contenus Gmail.

Créer une règle de protection des données pour Gmail

1. Connectez-vous à la Console d'administration Google avec un compte super-administrateur.

   Si vous n'utilisez pas de compte super-administrateur, vous ne pouvez pas suivre ces étapes.

2. Accédez à Menu    Règles.
3. Sur la page Classer et protéger votre contenu sensible, cliquez sur Créer une règle.
4. Cliquez sur Nom, puis saisissez le nom de la règle et, éventuellement, une description.
5. Dans Champ d'application, choisissez une option :
   • Pour appliquer la règle à l'ensemble de votre organisation, sélectionnez Tous les utilisateurs de domain.name.
   • Pour appliquer la règle à des unités organisationnelles ou à des groupes spécifiques, sélectionnez Unités organisationnelles et/ou groupes, puis incluez ou excluez les unités organisationnelles et les groupes en question.
6. Cliquez sur Continuer.
7. (Facultatif) Pour vérifier si la reconnaissance optique des caractères est activée, cliquez sur Vérifier, puis cochez l'option Gmail pour activer l'OCR pour Gmail.
8. Sous Gmail, cochez l'option Message envoyé.
9. Cliquez sur Continuer.
10. Pour ajouter une condition, cliquez sur Ajouter une condition, puis sélectionnez la partie du message qui est analysée :

    Si vous créez une règle sans condition, elle applique l'action spécifiée à tous les messages Gmail et à toutes les parties du message.

    • Tous les contenus : analyse l'en-tête, l'objet, le corps et les pièces jointes du message.
    • Corps : analyse le corps du message et les pièces jointes.
    • En-têtes de l'e-mail : analyse l'en-tête et l'objet du message. Si le message est envoyé avec le chiffrement côté client (CSE) Google Workspace, seul le contenu des en-têtes de l'e-mail (y compris l'objet) peut être analysé.
    • Objet : analyse uniquement l'objet du message.
    • Libellés de classification (bêta) : analyse les libellés de classification appliqués aux messages. Pendant la phase bêta, les règles avec cette condition sont appliquées de manière asynchrone. N'utilisez pas l'action Avertir comme condition de règle. Elle n'est destinée qu'aux opérations synchrones.
    • État du mode confidentiel (bêta) : vérifie si le mode confidentiel est activé pour les messages.
11. Cliquez sur Continuer.
12. Cliquez sur Action, puis choisissez une option :

    Toutes les actions sont consignées dans les événements du journal des règles.

    • Bloquer le message : n'envoie pas le message immédiatement et affiche une alerte à l'expéditeur concernant les informations potentiellement sensibles qu'il contient. L'expéditeur peut modifier le message et réessayer de l'envoyer.
    • Avertir les utilisateurs (non disponible dans la version bêta) : n'envoie pas le message immédiatement et affiche une alerte à l'expéditeur. L'expéditeur peut envoyer le message tel quel, ou le modifier et réessayer.
    • Mettre le message en quarantaine : n'envoie pas le message immédiatement et affiche une alerte à l'expéditeur. L'expéditeur peut envoyer le message tel quel, ou l'envoyer pour examen à un administrateur ou à une autre personne qualifiée. Vous devez sélectionner une option dans le menu Conditions de mise en quarantaine.
    • Audit uniquement : le message est envoyé normalement. Aucune alerte ne s'affiche. Le message est analysé par rapport aux règles et enregistré en tant qu'événement susceptible d'être examiné par un administrateur ultérieurement.
    • Appliquer un libellé de classification : applique un libellé de classification aux messages qui répondent aux conditions. Vous devez sélectionner une option dans les menus Champ de libellé et Option de champ. Pendant la phase bêta, les règles avec cette action ne sont appliquées que de manière asynchrone.
13. Dans le champ Indiquez quand appliquer cette action, indiquez si l'action doit s'appliquer aux messages internes, externes ou aux deux. 
14. (Facultatif) Pour créer une alerte personnalisée, cochez la case Personnaliser le message, puis saisissez le texte de l'alerte. Les alertes peuvent comporter jusqu'à 300 caractères (y compris les caractères des URL) et peuvent inclure des URL. Si vous ne créez pas de message personnalisé, le message par défaut s'affiche dans la zone.
15. (Facultatif) Dans le menu Alertes, choisissez un niveau de gravité pour les événements de message signalés : Faible, Moyen ou Élevé. Le niveau de gravité est consigné dans les événements du journal des règles et peut servir à examiner les incidents.
16. (Facultatif) Pour envoyer une alerte concernant les événements de message (un message déclenché par cette règle), cochez la case Envoyer au centre d'alerte. Vous pouvez également envoyer une notification concernant l'alerte aux super-administrateurs en cochant l'option Tous les super-administrateurs. Saisissez d'autres notifications d'alerte pour d'autres destinataires.
17. Cliquez sur Continuer et consultez les détails de la règle. 
18. Définissez l'état de la règle :
    • Actif : la règle s'exécute immédiatement.
    • Inactif : la règle est ajoutée, mais ne s'exécute pas immédiatement. Vous avez ainsi le temps d'examiner la règle et de la partager avec d'autres utilisateurs avant de l'appliquer. Pour activer la règle ultérieurement, dans la console d'administration, accédez à Sécurité  Contrôle des accès et des données  Protection des données  Gérer les règles, définissez l'état sur Actif, puis cliquez sur Confirmer. 
19. Cliquez sur Créer.

Les modifications peuvent prendre jusqu'à 24 heures, mais sont généralement plus rapides. En savoir plus

Examiner les événements des règles de protection contre la perte de données à l'aide de l'outil d'investigation de sécurité

Rechercher des événements du journal des règles

L'exemple suivant permet d'effectuer une recherche pour examiner les messages Gmail qui ont déclenché une règle de protection contre la perte de données. Vous pouvez utiliser d'autres conditions dans votre recherche ou n'en indiquer aucune.

1. Accédez à Menu    Sécurité > Centre de sécurité > Outil d'investigation.

   Vous devez disposer du droit d'administrateur Centre de sécurité.

2. Cliquez sur Source de données et sélectionnez Événements du journal des règles.
3. Cliquez sur Ajouter une condition Attribut Type de règle.
4. Sélectionnez DLP.
5. Cliquez sur Rechercher.
   Dans les résultats de recherche en bas de la page, vous pouvez consulter une liste d'événements avec des détails sur chacun d'entre eux.

   Remarque : Les extraits de contenu sensible ne sont pas compatibles avec la protection contre la perte de données dans Gmail (bêta). Par conséquent, la colonne Comporte du contenu sensible affiche "Faux" même si un message comporte du contenu sensible ayant déclenché une règle de protection contre la perte de données.

6. Faites défiler la page jusqu'à la colonne ID de ressource, puis cliquez sur Menu pour passer de Événements de journaux Gmail à ID du message.
7. Cliquez sur Rechercher pour ouvrir une nouvelle page de recherche dans laquelle Événements de journaux Gmail est la source de données.
8. Pour consulter des détails supplémentaires, cliquez sur l'ID du message de n'importe quelle ligne dans les résultats de recherche. Un panneau latéral contenant des détails supplémentaires sur votre investigation s'affiche.
9. Si vous y êtes invité, indiquez pourquoi vous souhaitez consulter le contenu Gmail, puis cliquez sur Confirmer.

Exporter les cas de non-respect de la protection contre la perte de données à l'aide de BigQuery

Vous pouvez exporter les cas de non-respect de la protection contre la perte de données consignés dans les événements du journal des règles vers des tableaux personnalisés pour un examen plus approfondi. Pour en savoir plus, consultez Configurer les exportations de journaux de service vers BigQuery.

Faire part de vos commentaires

Dans la console d'administration, sur n'importe quelle page concernant la protection des données, cliquez sur Envoyer des commentaires.

Articles associés

• Protection contre la perte de données et libellés de classification automatique dans Gmail (bêta)
• Lire les images à l'aide de la reconnaissance optique des caractères
• Utiliser les détecteurs de contenu prédéfinis
• Options de routage et de distribution des e-mails pour Google Workspace
• Configurer des zones de quarantaine pour les e-mails
• Événements du journal des règles