DLP-regels voor Google Drive instellen om datalekken te voorkomen

Data Loss Prevention (DLP) voor Google Drive helpt je voorkomen dat gevoelige gegevens je organisatie ongewild verlaten. Je stelt regels in die de inhoud van bestanden in Drive scannen, en die ingrijpen zodra een bestand bijvoorbeeld een creditcardnummer, BSN of een eigen gevoelig trefwoord bevat. DLP werkt automatisch op de achtergrond, zodat je niet afhankelijk bent van wat medewerkers zelf onthouden. De regels gelden zowel voor Mijn Drive als voor gedeelde Drives.

Voorwaarden en rechten

DLP voor Drive is beschikbaar in een aantal hogere Google Workspace-edities, waaronder Enterprise Standard en Enterprise Plus, Frontline Standard en Frontline Plus, Enterprise Essentials Plus en diverse Education-edities (Fundamentals, Standard en Plus). De Business-edities ondersteunen DLP voor Drive niet. Controleer in de Admin-console of jouw editie het ondersteunt.

Om regels te beheren heb je de juiste rechten nodig:

• Een supergebruiker, of
• Een gedelegeerd beheerder met zowel het recht DLP-regels bekijken als DLP-regels beheren (beide moeten aanstaan voor volledige toegang).

Waar je DLP-regels maakt

In de Google Admin-console ga je naar Beveiliging > Toegangs- en gegevensbeheer > Gegevensbescherming. Klik daar op Regels beheren en kies Regel toevoegen > Nieuwe regel om te beginnen.

Een DLP-regel opbouwen

Een regel bouw je op uit een paar logische onderdelen:

1. Naam en omschrijving geven aan waar de regel voor dient, zodat collega's de regel later begrijpen.
2. App kies je op Google Drive en vervolgens Drive-bestanden, zodat de regel op Drive-inhoud werkt.
3. Voorwaarden bepalen waar DLP naar zoekt. Je kunt kiezen voor een vooraf gedefinieerd gegevenstype (de aanbevolen optie, met ingebouwde detectoren) of voor woorden uit een woordenlijst. Bij gegevenstypen stel je een waarschijnlijkheidsdrempel en een minimaal aantal treffers in, zodat je niet bij elke losse match al alarm slaat.
4. Acties bepalen wat er gebeurt bij een treffer.
5. Status zet je op actief of inactief.

Welke acties zijn mogelijk

Voor Drive-bestanden kun je onder andere de volgende acties instellen:

• Extern delen blokkeren, zodat een bestand met gevoelige inhoud niet buiten je organisatie kan worden gedeeld.
• Downloaden, printen en kopiëren uitschakelen, eventueel alleen voor mensen met lees- of reactierechten.
• Alleen controleren (audit-only), waarbij de regel wel registreert maar niets blokkeert.

Daarnaast stel je een ernst in (laag, gemiddeld of hoog) en kun je meldingen naar het waarschuwingscentrum laten sturen, zodat je beheerteam op de hoogte blijft van wat de regel signaleert.

Eigen detectoren maken

Dekken de vooraf gedefinieerde gegevenstypen je situatie niet, dan maak je een eigen detector via Detectoren beheren. Dat kan op twee manieren:

• Met een reguliere expressie voor een vast patroon, bijvoorbeeld een intern projectnummer of klantnummer.
• Met een woordenlijst van termen, waarbij hoofdletters worden genegeerd.

Een eigen detector koppel je daarna als voorwaarde aan je regel.

Het bereik bepalen

Je kiest of een regel geldt voor je hele domein of alleen voor specifieke organisatie-eenheden en groepen. Zo kun je strenge regels toepassen op afdelingen die met gevoelige gegevens werken, zoals HR of finance, zonder de hele organisatie te beperken.

Aan de slag in het kort

1. Controleer of je editie DLP ondersteunt en dat je de juiste beheerdersrechten hebt.
2. Maak een eerste regel die alleen rapporteert, om vals-positieven in beeld te krijgen.
3. Verfijn de voorwaarden, eventueel met een eigen detector.
4. Activeer pas daarna blokkerende acties, en begin bij de organisatie-eenheden met de meeste gevoelige gegevens.

Wil je gegevens niet alleen beschermen tegen lekken, maar ook gestructureerd bewaren en doorzoeken voor compliance, lees dan onze gids over retentiebeleid en bewaarplichten in Google Vault.