Vera の API データ保護ポリシーを構成する

以下のセクションでは、Vera の API データ保護ポリシーを設定する方法について説明します。既に入力済みのセクションを編集するには、セクションタイトルの横にある鉛筆アイコンをクリックしてください。

応用

API データ保護ポリシーを構成するには:

Netskope UIでPolicies > API Data Protectionに移動し、 SaaSタブの下にあるNew Policyクリックします。
Applicationセクションでアプリを選択します。
注記
アプリケーションの種類としてGoogle Driveを選択した場合、管理者はコンテンツまたは接続済みアプリ/プラグインをスキャンするオプションを選択できます。
Instanceセクションで、ポリシーの対象となるアプリインスタンスを選択します。
Nextをクリックし、新しい API データ保護ポリシーのページで設定しているセクションに一致するトピックをこのガイド内で参照してください。

Office 365 SharePointの制限事項

Office 365 SharePoint アプリケーションの場合、親サイトでポリシーを作成しても、そのポリシーは親サイト配下のサブサイトのコンテンツには適用されません。サブサイトにポリシーを適用する必要がある場合は、ポリシー内で明示的に選択する必要があります。

ユーザー

API データ保護ポリシーページのこのセクションでは、ポリシー違反を引き起こす可能性のあるユーザーとグループを指定します。

すべてのサイト、すべてのユーザー、ユーザーのサブセット、ユーザープロファイル、ユーザーグループ、ドメインのサブセット、すべてのチームドライブ、またはチームドライブのサブセットSelect 。特定のユーザー、ユーザープロファイル、ユーザーグループ、ドメインのサブセット、およびチームドライブのサブセットを検索して選択できます。ユーザー（およびユーザーのフォルダ）、ユーザープロファイル、ユーザーグループ、ドメインのサブセット、チームドライブのサブセットを検索すると、リストが表示されます。「すべてのユーザー」、「ユーザープロファイル」、「ユーザーグループ」、「すべてのチームドライブ」、または「ドメインのサブセット」（Googleドライブアプリのみ）を選択した場合、ユーザー、ユーザープロファイル、またはチームドライブを除外するための追加オプションが利用できます。
Exclude Sites 、 Exclude Users 、 Exclude User Profiles 、 Exclude Team DrivesオプションはAll Users 、 User Profiles 、 User Groups 、 All Team Drives 、 Subset of Domainsで利用可能です。Excludeオプションは、除外リスト内のユーザー間で共有されているファイルの場合、ユーザーのファイルまたはユーザープロファイル内のファイルがポリシーをトリガーしないようにします。
注記
除外リストに追加されたサイトは、遡及スキャンにおけるポリシー処理の対象となることにご注意ください。これは既知の問題であり、まもなく修正プログラムが提供される予定です。
重要
- 除外ユーザー機能は、共有属性のみをチェックします。例えば、ユーザーxがユーザーyとzとファイルを共有した場合、ポリシー条件がトリガーされ、これら3人のユーザーに対してファイルの処理がそれ以上行われないようにするには、3人全員が除外ユーザーリストに含まれている必要があります。ユーザーxを除外ユーザーリストにのみ追加した場合、ポリシーの除外ユーザー条件はトリガーされません。そのため、所有者と共有当事者を除外ユーザーリストに追加することが不可欠です。 Subset of Domains 、 All Teams 、 Subset of Team Drivesオプションは、Google ドライブポリシーにのみ適用されます。チームドライブのフォルダは、Googleドライブのインスタンスが作成された後に表示されます。サブドメインのリストは、UI の API データ保護ダッシュボードページで参照できます。有効な電子メールアドレス形式に従っていない、「IT サポート」、「人事グループ」などの電子メールエイリアスによって所有されているファイルの場合、 Netskope Google Drive API からのそのような通知を処理しません。その結果、Netskope は違反をトリガーせず、 Skope ITページにも表示しません。すべてのユーザー、ユーザーのサブセット、ユーザープロファイル、ユーザーグループ、およびドメインのサブセットは、Google ドライブの「マイドライブ」フォルダ内のコンテンツをスキャンします。すべてのチームドライブおよび一部のチームドライブは、Googleドライブの「チームドライブ」または「共有ドライブ」フォルダ内のコンテンツをスキャンします。
注記
- GitHub の API データ保護ポリシーウィザードでは、UI 上にExclude Userオプションが表示されますが、これはサポートされていません。ユーザープロファイルは、ここに表示される前に追加する必要があります。ユーザープロファイルを含むCSVファイルをダウンロードするには、 Policies > Profiles > Userにアクセスし、 New User Profileをクリックしてください。Create User Profileウィザードの手順を完了し、ユーザープロファイルを選択してください。
注記
ユーザーグループオプションを使うには、まずNetskopeアダプターユーティリティツールをインストールする必要があります。詳細については、 Netskopeアダプタを参照してください。
Salesforce の場合、[ユーザーのサブセット] を選択すると、電子メールアドレスの代わりにユーザー名が表示されます。構造化データおよび/または非構造化データのスキャンを含めるオプションもあります。Microsoft Office 365 SharePoint サイトの場合、ユーザーではなくサイトまたはサイトのサブセットを検索できます。GitHub の場合、任意のユーザー、外部コラボレーター、およびユーザーリージョンを検索できます。
完了したら、 Nextをクリックしてください。

コンテンツ

API データ保護ポリシーページのこのセクションでは、ポリシー違反を引き起こすファイル、オブジェクト、メッセージを指定します。

AWSの場合は、 All File TypesまたはSpecific File Typesを選択してスキャンしてください。

Azure の場合は、 All File TypesまたはSpecific File Typesを選択してスキャンしてください。

Boxの場合、以下のいずれかのオプションを選択できます。

All Sharing Optionsプライベート、パブリック、内部共有、外部共有など、すべての共有オプションをスキャンします。
Specific Sharing Options特定の共有オプションを使用すると、すべての共有タイプまたは特定の共有タイプを選択できます。例:
- 非公開：誰とも共有されていないファイル。
- 公開：一般に共有または公開されているファイル。
- 内部共有：組織内の同一サブドメイン内のユーザーとのみ共有されるファイル。コンテンツ共有がポリシー違反を引き起こすしきい値を設定するには、 Advanced Optionsを選択し、ポリシー違反が発生するために検出する必要のある内部または外部の協力者の数を入力します。
  注記
  Shared Internallyオプションは、ファイルまたはフォルダに公開共有リンクがある場合、ポリシーをトリガーしません。
- 外部共有：組織外のユーザーと特別に共有されるファイル。All External Domains選択して特定の外部ドメインを選択するか、 All External Domains Exceptオプションを選択して特定のドメインを除外することができます。All External Domains Exceptオプションを選択した場合は、ポリシーのトリガーから除外するドメインを選択してください。Create Newオプションを選択すると、新しいドメインを作成できます。コンテンツ共有がポリシー違反を引き起こすしきい値を設定するには、 Advanced Optionsを選択し、ポリシー違反が発生するために検出する必要のある内部または外部の協力者の数を入力します。
  注記
  Shared Externallyオプションは、ファイルまたはフォルダに公開共有リンクがある場合、ポリシーをトリガーしません。
All File Types またはSpecific File Typesでスキャンします。

Cisco Webex Teamsでは、以下のいずれかのオプションを選択できます。

All Sharing Options: プライベート、内部共有、外部共有など、すべての共有オプションをスキャンします。
Specific Sharing Options特定の共有オプションを使用すると、すべての共有タイプ、または「非公開」、「社内共有」、「社外共有」などの特定の共有タイプを選択できます。
「外部共有」では、以下を選択できます。
- すべての組織
- 内部組織
- 外部組織
- 外部ドメインのうち、...を除くすべての外部ドメイン
  注記
  外部ドメインを指定して、露出判定およびポリシー適用から除外することができます。

Dropboxの場合、以下のいずれかのオプションを選択できます。

All Sharing Optionsプライベート、パブリック、内部共有、外部共有など、すべての共有オプションをスキャンします。
Specific Sharing Options特定の共有オプションを使用すると、すべての共有タイプまたは特定の共有タイプを選択できます。例:
- 非公開：誰とも共有されていないファイル。
- 公開：一般に共有または公開されているファイル。
- 内部共有：組織内の同一サブドメイン内のユーザーとのみ共有されるファイル。コンテンツ共有がポリシー違反を引き起こすしきい値を設定するには、 Advanced Optionsを選択し、ポリシー違反が発生するために検出する必要のある内部または外部の協力者の数を入力します。
  注記
  Shared Internallyオプションは、ファイルまたはフォルダに公開共有リンクがある場合、ポリシーをトリガーしません。
- 外部共有：組織外のユーザーと特別に共有されるファイル。All External Domains選択して特定の外部ドメインを選択するか、 All External Domains Exceptオプションを選択して特定のドメインを除外することができます。All External Domains Exceptオプションを選択した場合は、ポリシーのトリガーから除外するドメインを選択してください。Create Newオプションを選択すると、新しいドメインを作成できます。コンテンツ共有がポリシー違反を引き起こすしきい値を設定するには、 Advanced Optionsを選択し、ポリシー違反が発生するために検出する必要のある内部または外部の協力者の数を入力します。
  注記
  Shared Externallyオプションは、ファイルまたはフォルダに公開共有リンクがある場合、ポリシーをトリガーしません。
All File Types またはSpecific File Typesでスキャンします。

Workplace by Facebookでは、以下のいずれかのオプションを選択できます。

All Sharing Options: 内部および外部で共有された投稿、コメント、返信、チャットメッセージ、添付ファイルをスキャンします。
Specific Sharing Options特定の共有オプションを使用すると、すべての共有タイプ、または特定の共有タイプ（内部共有および/または外部共有）を選択できます。
- 内部：職場組織内で共有された投稿、コメント、返信、チャットメッセージ、添付ファイルをスキャンします。
  注記
  社内共有オプションは、複数企業グループでは利用できません。
- 外部：職場組織外（複数企業グループなど）で共有された投稿、コメント、返信、チャットメッセージ、添付ファイルをスキャンします。外部共有の種類については、設定済みの外部ドメインであれば、すべてまたは特定の外部ドメインを選択できます。
All File Types またはSpecific File Typesでスキャンします。

Googleドライブの場合、以下のいずれかのオプションを選択できます。

スキャンするファイル共有オプション

All Sharing Optionsプライベート、パブリック、内部共有、外部共有、エンタープライズ共有など、すべての共有オプションをスキャンします。
Specific Sharing Options特定の共有オプションを使用すると、すべての共有タイプまたは特定の共有タイプを選択できます。例:
- 非公開：誰とも共有されていないファイル。
  注記
  このオプションは、Google チームドライブでは利用できません。
- 公開：一般に共有または公開されているファイル。
  一般公開の場合は、以下を選択できます。
  - 公開ファイル – インデックス登録済みおよび未登録ファイル：インデックス登録済みか未登録かを問わず、一般公開されているファイル。
  - 公開 – インデックス登録のみ：一般に公開され、Google検索で検索可能なファイル。
  - 公開 – 非公開のみ: 公開共有リンクがあるが、Google検索には表示されないファイル。
  注記
  Googleドライブでは、Google管理者がGoogle管理コンソールで共有設定をオフに設定している場合、公開共有されているファイルを開くことができない場合があります。この設定はApps > Google Workspace > Drives and Docs > Sharing Settings > Sharing options > Sharing outside of <organization>の下にあります。この不一致は、Google API がファイルの公開をパブリックとしてタグ付けしているにもかかわらず、 Sharing outside of <organization>オプションがオフに設定されているためファイルへのアクセスが制限されているために発生します。
- 内部共有：組織内の同一サブドメイン内のユーザーとのみ共有されるファイル。コンテンツ共有がポリシー違反を引き起こすしきい値を設定するには、 Advanced Optionsを選択し、ポリシー違反が発生するために検出する必要のある内部または外部の協力者の数を入力します。
  注記
  このオプションは、Google チームドライブでは利用できません。
  注記
  Shared Internallyオプションは、ファイルまたはフォルダに公開共有リンクがある場合、ポリシーをトリガーしません。
- 外部共有：組織外のユーザーと特別に共有されるファイル。All External Domains選択して特定の外部ドメインを選択するか、 All External Domains Exceptオプションを選択して特定のドメインを除外することができます。All External Domains Exceptオプションを選択した場合は、ポリシーのトリガーから除外するドメインを選択してください。Create Newオプションを選択すると、新しいドメインを作成できます。コンテンツ共有がポリシー違反を引き起こすしきい値を設定するには、 Advanced Optionsを選択し、ポリシー違反が発生するために検出する必要のある内部または外部の協力者の数を入力します。
  注記
  Shared Externallyオプションは、ファイルまたはフォルダに公開共有リンクがある場合、ポリシーをトリガーしません。
- エンタープライズ共有：同じ組織内で共有されているが、異なるサブドメインに属するファイル。
- リンクを持つエンタープライズ内のすべてのユーザー: 組織内の任意のユーザーと共有されているが、エンタープライズの異なるサブドメインに属するファイル。

スキャン対象ファイルの種類

All File Types またはSpecific File Typesでスキャンします。

Microsoft Office 365 OneDrive for BusinessのSharePointサイトでは、以下のいずれかのオプションを選択できます。

スキャンするファイル共有オプション

All Sharing Options: プライベート、パブリック、外部共有、内部共有、地域間共有、企業内共有、グループとの共有など、すべての共有オプションをスキャンします。
Specific Sharing Options特定の共有オプションを使用すると、すべての共有タイプまたは特定の共有タイプを選択できます。例:
- 非公開：誰とも共有されていないファイル。
- 公開：一般に共有または公開されているファイル。
- 内部共有：組織内の同一サブドメイン内のユーザーとのみ共有されるファイル。
  注記
  異なる地理的場所にいる社内ユーザーとファイルを共有すると、そのファイルは「社内」ではなく「地域間」として分類されます。
  注記
  Shared Internallyオプションは、ファイルまたはフォルダに公開共有リンクがある場合、ポリシーをトリガーしません。
- 外部共有：組織外のユーザーと特別に共有されるファイル。All External Domains選択して特定の外部ドメインを選択するか、 All External Domains Exceptオプションを選択して特定のドメインを除外することができます。All External Domains Exceptオプションを選択した場合は、ポリシーのトリガーから除外するドメインを選択してください。Create Newオプションを選択すると、新しいドメインを作成できます。
  注記
  Shared Externallyオプションは、ファイルまたはフォルダに公開共有リンクがある場合、ポリシーをトリガーしません。
- クロスジオ：Office 365のマルチジオ環境において、地理的に離れた複数の場所で共有されるファイル。
  注記
  地理的な場所をまたいだ情報共有機能は、すべての地理的な場所に対して1つのインスタンスを使用する集中型コンプライアンス管理と、地理的な場所ごとに1つのインスタンスを使用する分散型コンプライアンス管理の両方で利用可能です。
  地域をまたいだファイル共有オプションが表示されない場合は、Microsoft Office 365 アカウントで地域間連携機能が有効になっていることを確認してください。
- エンタープライズ共有: Office 365のプリセットグループと共有されるファイル。それらはEveryoneおよび/またはEveryone except external usersです。全員の場合、ファイルはOffice 365エンタープライズ内および外部ユーザー間で共有されます。ファイル共有による情報漏洩は外部に及ぶ。外部ユーザーを除くすべてのユーザーの場合、ファイルはOffice 365エンタープライズ内でのみ共有されます。ファイル共有によるリスクは企業全体に及ぶだろう。
- グループと共有: 特定の名前付きグループと直接共有されたファイル。共有グループは、内部ユーザーと外部ユーザーの組み合わせで構成できます。このリストは、Microsoft Office 365 管理センターのGroups > Active Groupsから取得されます。サポートされているのは、Microsoft 365、メールが有効になっているセキュリティ、およびセキュリティグループの種類のみです。
  注記
  選択したグループ内の個々のユーザーとファイルを共有した場合、API データ保護はそれを一致とはみなしません。
コンテンツ共有がポリシー違反を引き起こすしきい値を設定するには、 Advanced Optionsを選択し、ポリシー違反が発生するために検出する必要のある内部、地域間、または外部の協力者の数を入力します。Microsoft 365 グループとファイルを共有する場合、API データ保護はグループを拡張し、ユーザー数を識別して、しきい値制限を適用できます。しかし、いくつか重要な注意点があります。
- APIデータ保護機能は、配布グループの拡張をサポートしていません。
- APIデータ保護機能は、サブグループの拡張をサポートしていません。 Microsoft 365 グループにサブグループ (グループ内のグループ) が含まれている場合、API データ保護はサブグループを展開しません。サブグループは、単一の内部ユーザーまたは外部ユーザーとして扱われます。
- グループの所有者は、グループに共有されたファイルにアクセスできないため、APIデータ保護では所有者はメンバーとしてカウントされません。
- ファイルが2つのグループで共有されていて、ユーザー「x」が両方のグループに属している場合、APIデータ保護ではこのユーザーは1人としてカウントされます。
- いずれのグループにおいても、地域をまたいで利用するユーザーは内部ユーザーとして扱われます。Microsoft 365 グループにクロスジオユーザー (別のサテライト拠点にいるユーザー) が含まれている場合、API データ保護は、グループ展開時にそのようなユーザーを内部ユーザーとして扱います。

スキャン対象ファイルの種類

All File Types またはSpecific File Typesでスキャンします。

Microsoft Office 365 は、リンク共有アクティビティに関するイベント通知をトリガーしません。Netskopeは、後続のイベント発生後にポーリングメカニズムを介してこれらの情報を取得します。これにより、OneDrive/SharePoint での共有リンクの処理に遅延が生じる可能性があります。

Salesforceの場合、以下のいずれかのオプションを選択できます。

All Sharing Optionsプライベート、パブリック、内部共有など、すべての共有オプションをスキャンします。
Specific Sharing Options特定の共有オプションを使用すると、すべての共有タイプ、またはプライベート、パブリック、内部共有などの特定の共有タイプを選択できます。
コンテンツ共有がポリシー違反を引き起こすしきい値を設定するには、 Advanced Optionsを選択し、ポリシー違反が発生するために検出する必要のある内部協力者の数を入力します。
All File Types またはSpecific File Typesでスキャンします。

ServiceNowの場合は、 SELECT OBJECTSをクリックしてスキャンするServiceNowテーブルを選択してください。次に、データ型を選択します。 Fieldsおよび/またはAttachment 。以下の表は、DLPでサポートされているフィールドの一覧です。

ServiceNow Table	DLPでサポートされているフィールド
ベスト構成アイテム	NetskopeがServiceNowからAPIレスポンスを受け取るすべてのフィールド^* 。
Catalog Task
変更フェーズ
変更依頼
変更タスク
機能タスク
グループ承認
IMAC（インストール、移動、変更）
Incident
インシデントタスク
KB提出
Knowledge
Problem
問題課題
リリースフェーズ
Request
リクエストアイテム
Task
Ticket
<ユーザーが作成したカスタムテーブル>

^*Netskopeは ServiceNowから作業ノート や 追加コメント 欄に対してAPI応答を受け取らないことが観察されています。この制限により、Netskopeはこれら2つのフィールドでDLPスキャンを行うことができません。

注記

Netskopeは、上記にリストされているServiceNowのデフォルトテーブルおよびカスタムテーブルに添付されているファイルに対してDLPスキャンを実行できます。

Slackの場合は、以下のいずれかのオプションを選択できます。

All Sharing Optionsプライベート、パブリック（ファイルのみ）、内部共有、外部共有など、すべての共有オプションをスキャンします。
Specific Sharing Options特定の共有オプションを使用すると、プライベート、パブリック（ファイルのみ）、内部共有、外部共有（すべての外部ドメイン）など、すべての共有タイプまたは特定の共有タイプを選択できます。
Content Typeの下で、 Messagesおよび/またはFilesを選択してください。Filesオプションを選択した場合、 All File TypesまたはSpecific File Typesを選択してスキャンできます。

Slack for Enterpriseでは、以下のいずれかのオプションを選択できます。

All Sharing Optionsプライベート、パブリック（ファイルのみ）、内部共有、外部共有など、すべての共有オプションをスキャンします。
Specific Sharing Options特定の共有オプションを使用すると、プライベート、パブリック（ファイルのみ）、内部共有、外部共有（すべての外部ドメイン）など、すべての共有タイプまたは特定の共有タイプを選択できます。
Content Typeの下で、 Messagesおよび/またはFilesを選択してください。Filesオプションを選択した場合、 All File TypesまたはSpecific File Typesを選択してスキャンできます。

Egnyteのフォルダベースポリシーをサポートする

Egnyteでは、共有フォルダやチームフォルダは管理者のみが作成できます。管理者はフォルダに共同作業者を追加できます。フォルダは2つのカテゴリに分類されます。

チームフォルダ：管理者のみが作成できます。
個人用フォルダ：ユーザーが作成できます。このフォルダはユーザーのプライベートフォルダです。

この機能を使用すると、管理者はチーム、個人フォルダ、またはその両方を処理するポリシーを作成できます。

注記

APIデータ保護において、共有フォルダ（Egnyteの場合）はチームフォルダと呼ばれます。

Egnyte の使用ケースは次のとおりです。

ポリシーは、すべてのユーザー、すべてのフォルダー、特定のチーム、またはすべての個人フォルダーに適用できます。
ポリシーは、ユーザーのサブセットとすべてのチームフォルダー、またはフォルダーのサブセットに適用できます。フォルダのサブセットを選択すると、チームフォルダと個人フォルダが別々に表示されます。チームフォルダの一覧には、選択されたユーザーに関係なくすべてのチームフォルダが表示されます。個人フォルダの場合は、選択されたユーザーのフォルダのみが表示されます。
フォルダ名が一致するかどうかに基づいてポリシーを適用できます。一致する文字列を入力できます。文字列がフォルダ名と一致する場合、ポリシーがトリガーされます。たとえば、ユーザーが「」という名前のフォルダーにポリシーを適用した場合、そのポリシーは Egnyte アプリ内の「ケース」という名前のフォルダーすべてに対してトリガーされます。フォルダー名が「機密」の場合、ポリシーはトリガーされません。

リリース48より前は、フォルダの選択は「ユーザー」＞「ユーザーのサブセット」ポリシーワークフローの一部でした。リリース48では、フォルダ選択機能がユーザーから分離されました。スキャン対象フォルダのオプションは、コンテンツポリシーのワークフローの一部です。このオプションには以下の選択肢があります。

すべてのフォルダ：このオプションを選択すると、チームフォルダか個人フォルダかを問わず、すべてのフォルダがスキャンされます。
フォルダーのSelect ：このオプションを選択すると、チームフォルダーと個人フォルダーといった追加オプションが利用可能になります。スキャン対象として、チームフォルダ、個人フォルダ、またはその両方を選択できます。
注記
ユーザーポリシーワークフローでAll Users 、 User Profiles 、またはUser Groupsを選択した場合、個人用フォルダーのみを選択できます。個人用フォルダの一部を選択することはできません。
フォルダ名を一致させる: このオプションを使用すると、Egnyteアプリのフォルダ名に一致する文字列を入力できます。この文字列は、すべてのフォルダ、すべてのチームフォルダ、またはすべての個人フォルダのいずれかにおいて、フォルダ名と照合されます。フォルダ名が一致すると、ポリシーがトリガーされます。

完了したら、 Nextをクリックし、新しい API データ保護ポリシーのページで設定しているセクションに一致するこのガイドのトピックに移動してください。

DLP

API データ保護ポリシーページのこのセクションでは、ポリシー違反を引き起こす DLP プロファイルのタイプを指定します。

注記

APIデータ保護機能は、DLPおよび脅威対策のために最大128MBまでのファイルのスキャンをサポートするようになりました。デフォルトのファイルサイズは32MBです。テナント用に大きなファイルサイズを構成するには、 Netskopeサポートまたは営業担当者にお問い合わせください。この機能強化を有効にする前に考慮すべき点がいくつかあります。

ファイルサイズが大きい場合、ポリシー処理におけるエンドツーエンドの遅延が増加する可能性があります。
鑑識／隔離／法的保留のためのデータ保存容量の増加を計画する。

暗号化ポリシーアクションは現在、32MBを超えるファイルをサポートしていません。したがって、この操作は32MBを超えるファイルには適用されません。

使うデータ損失防止(DLP)プロファイルを作成するには、 DLP を選択して Select Profileをクリックします。 DLPプロファイルを検索するか、定義済みプロファイルとカスタムプロファイルの両方を含むリストから選択してください。DLPプロファイルを選択したら、 Saveをクリックします。
完了したら、 Nextをクリックしてください。

注記

DLPを有効にすると、ファイルのみが評価されます。このポリシーでは、すべての構造化データは無視されます。すべての構造化データを評価するには、DLPを無効にしてください。

注記

Microsoft は、Microsoft Teams のファイルと Wiki タブからアップロードされたファイルに関する Webhook 通知を提供していません。この制限のため、Netskopeはこのようなファイルアップロードに対するDLPスキャンをサポートしていません。しかし、Netskopeはチャンネルのチャットウィンドウから添付ファイルとして送信されたファイルを検出します。

注記

Netskope 、削除済み/ゴミ箱フォルダー内の電子メールをスキャンしません。 Netskope 、送信済みフォルダー内の電子メールのスキャンを続行します。

アクション

API データ保護ポリシーページのこのセクションでは、ポリシー違反が発生した場合に取られるアクションを指定します。操作方法は、選択したアプリによって異なります。アプリによっては、アラート通知しか機能しないものもあります。同様に、アクセス制限オプションは選択したアプリによって異なります。

ドロップダウンリストから、アラート、ブロック、所有権の変更、アクセス制限、、削除、隔離、法的保留、共有の表示制限、Azure RMS テンプレートの適用、データ分類、印刷とダウンロードのSelect化、または IRM 保護などのアクションを選択してください。
注記
- 暗号化ポリシーアクションを使用する場合は、 Netskopeリアルタイム展開、つまりリバースプロキシまたはフォワードプロキシがあることを確認してください。ファイルの復号化には、Netskopeのリアルタイム展開が必要です。
- Disable Print and Downloadアクションは、コメントとファイルの閲覧権限を持つGoogleユーザーに適用されます。ファイルに対する編集権限を持つユーザーは、引き続きファイルを印刷およびダウンロードできます。
- Slack for Enterpriseでは、アラート、削除、法的保留、隔離といったアクションが利用可能です。
  外部ユーザーがSlack Connectチャンネルにファイルをアップロードした場合、Netskopeはそのファイルに対して削除（書き込み）操作を実行できません。これは、そのファイルが別の組織に属しているためです。
  Netskopeがファイルの削除操作を実行した後でも、Netskopeテナント管理者はIncidents > DLPページから削除されたファイルにアクセスできる場合があります。これは、Slackのエンタープライズアカウントにファイルを保持するポリシーが設定されている場合、発生する可能性があります。NetskopeはSlackチャンネルからファイルを削除しますが、Netskopeテナントからは引き続きダウンロードできる可能性があります。Slackサポートに連絡して、データ保持ポリシーを確認してください。
- アラート機能はServiceNowで利用可能です。
- FacebookのWorkplaceの場合、 Deleteアクションは投稿/コメントにのみ適用されます。
- Data Classificationオプションはデフォルトでは無効になっています。このオプションを有効にするには、 Netskopeサポートにお問い合わせください。このオプションの詳細については、下記のSecurity Classification on Boxセクションを参照してください。
- クラウドアプリごとにサポートされているアクションのリストについては、「API データ保護ポリシークラウドアプリごとのアクション」を参照してください。
アクセス制限などの一部の操作では、隣接するドロップダウンリストから追加オプションを選択できます。例えば、「コンテンツ」セクションで「特定の共有オプション」と「外部共有」を選択した場合、ドロップダウンリストに外部ドメインを許可リストに追加またはブロックリストに追加するオプションが表示されます。
注記
共同作業者が1000人以上いるフォルダの場合、Boxは共同作業者のリストをNetskopeに送信しません。このため、 NetskopeのAPIデータ保護機能は、共同作業者の数をゼロに切り上げます。このようなフォルダーに対しては、アクセス制限などの API データ保護ポリシーは機能しません。これはBoxアプリの制限事項です。
Microsoft Office 365 OneDrive for Business および SharePoint Sites アプリの場合は、隣接するドロップダウンリストからRestrict Accessオプションを選択できます。Restrict Access Levelsは、所有者、内部ユーザー、公開リンクの削除、個々のユーザーの削除、組織全体のリンクの削除です。
- 所有者：ファイル共有へのアクセスを所有者のみに制限します。
- 内部ユーザー：ファイル共有へのアクセスを内部ユーザーのみに制限します。この操作により、ファイルへのアクセス権を持つ外部ユーザーがすべて削除され、ファイル上の公開リンクもすべて削除されます。
- 公開リンクの削除：ファイル/フォルダから公開リンクを削除します。
- 個別ユーザーの削除：個々の内部ユーザーおよび外部ユーザーがファイル/フォルダにアクセスできないようにします。このオプションでは、配布リストなどの AD グループの電子メールアドレスは削除されません。
- 組織ワイドリンクの削除: 組織内で共有されているファイル/フォルダのリンクを削除します。
注記
SharePoint では、 Restrict Access to Ownerアクションはサイト所有者とサイトメンバーのアクセス権を保持します。その他の訪問者および共有ユーザー／グループのアクセス権はすべて取り消されます。
ドロップダウンリストからアクションとしてIRM Protect Select 、IRMベンダーとしてVeraまたはMIPを選択してください。 Microsoft Information Protection (MIP) を選択する場合は、 MIP Profileを選択する必要があります。
注記
- IRMポリシーを作成する前に、VeraまたはMIPインスタンスを作成するべきです。詳細については、「Vera との IRM 統合」または「Microsoft Information Protect との IRM 統合」を参照してください。
- ドロップダウンリストにMIPプロファイルが表示されない場合は、Microsoft 365管理センターにログインし、コンプライアンスセクションに移動してください。情報保護の設定において、MIPラベルが「すべての」グループ、またはグローバル管理者アカウントを含むグループに公開されていることを確認してください。
- Microsoft では、MIP 暗号化ファイルに対する暗号化の削除アクションを使用してポリシーを作成することを許可していません。許可されていないファイルの種類は、Office 365のファイル拡張子です。この制限のため、NetskopeのユーザーインターフェースでMIPラベルを適用するポリシーを設定しても、Office 365のファイルタイプではポリシーはトリガーされません。これは、 Netskope MIP- ファイル内のラベルを他のラベルに置き換えることができないためです。この問題は、Adobe PDF、および.jpeg 、 .png 、 .tiff形式の画像ファイルでは発生しません。
利用可能なアクションSelect 、 Nextをクリックしてください。
隔離設定については、リストから既存の隔離プロファイルを選択するか、新しいプロファイルを作成してください。ドロップダウンリストからNew Quarantine Profileをクリックして、このポリシーの新しい隔離プロファイルを作成します。DLPプロファイルは、セクションで選択する必要があります。隔離。隔離プロファイル作成ウィザードで、「設定」、「カスタマイズ」、「プロファイルの設定」の各ページを完了します。完了したら、 Create Quarantine Profileをクリックしてください。完了したら、 Nextをクリックしてください。
重要
Microsoft Office 365 SharePoint の最新の更新ファイルのチェックアウトが必要– この設定が SharePoint サイトで有効になっている場合、 Netskope API データ保護はファイルを隔離できますが、元のファイルをツームストーンフィアルで上書きすることはできません。このようなシナリオを適切に処理するために、API データ保護機能は、管理者がIncidentsおよびAlerts UI ページ内でそのようなファイルを識別できるようにします。 NetskopeテナントUIに以下の2つの変更が追加されました。
- Incidents > DLPの下でインシデントをクリックすると、UI に新しいトゥームストーンの失敗メッセージが表示されます。
- Skope IT > EVENTS > Alertsの下では、検疫措置のための新しいアラートタイプTombstone Failedが導入されます。
注記
- 隔離フォルダに送信される暗号化ファイルのサイズは20MBに制限されています。
- 外部ユーザーがSlack Connectチャンネルにファイルをアップロードした場合、Netskopeはそのファイルに対して隔離措置を実行できません。これは、そのファイルが別の組織に属しているためです。
電子メール通知をトリガーするには、いくつかのことを設定する必要があります。
1. 通知の下で、 Send to custodian and to users in profileを選択します。
2. Policies > PROFILES > Quarantineの下で、新しいプロフィールを作成するか、既存のプロフィールを編集します。NOTIFICATION EMAILSでは、電子メール通知がこの電子メールアドレスに送信されます。
法的保留の場合は、ドロップダウンリストから既存のプロファイルを選択するか、 Create Newをクリックしてください。CREATE LEGAL HOLD PROFILEウィザードが開きます。詳細については、プロファイルの「法的保留」セクションを参照してください。ファイルが法的保留状態に置かれると、電子メールは管理者およびファイル作成者に送信されます。完了したら、 Nextをクリックしてください。

箱のセキュリティ分類

Boxのセキュリティ分類機能は、顧客がファイルの機密性に基づいてファイルを分類し、その機密性レベルに関連付けられたセキュリティポリシーを適用できるようにする機能です。これは、組織が機密情報を保護し、ユーザーがそのコンテンツを扱う際に、より賢明な行動をとるよう促すのに役立ちます。

API データ保護は、組織のコンテンツ分類の自動化に役立ちます。この機能は、NetskopeのDLPエンジンを活用して機密データを識別し、ユーザーのコンテンツを自動的に分類します。NetskopeはData Classificationと呼ばれる新しいポリシーアクションを導入します。他のポリシー設定と同様に、ユーザーはデータ分類を設定し、機密ファイルを分類することができます。ファイル分類には、「機密」、「内部限定」、「制限なし」の3つのオプションがあります。さらに詳細な設定を行い、ファイル分類の優先順位を設定することもできます。優先順位にはP0、P1、P2の3種類があります。優先順位は重要度順に設定でき、P0が最も優先度が高く、次にP1、P2の順になります。このオプションは、APIデータ保護機能がファイル分類ごとにBoxへの追加のAPI呼び出しを行う必要があるため、デフォルトでは無効になっています。この機能を有効にするには、次の2つの手順が必要です。

Boxアカウントでファイル分類機能を有効にしてください。Boxでこの機能を有効にするには、こちらの記事を参照してください。 Boxガバナンスによるセキュリティ分類
Box アカウントでアクティブ化されると、 NetskopeテナントでコンタクトNetskopeサポートが有効になります。

Boxでのファイルコラボレーション

コラボレーションを向上させるため、Boxは共同作業者を招待して個々のファイルを編集する機能をサポートしています。以前は、単一のファイルを編集するために、ユーザーはファイルの親フォルダに招待される必要がありました。ファイルレベルで、共同作業者を招待／追加する新しいオプションが追加されました。招待された共同作業者は、編集者または閲覧者に対する許可を得ている。コラボレーションに関連するすべての企業レベルおよびフォルダーレベルの設定は、ファイルレベルのコラボレーションに継承されます。

ファイルに内部の共同作業者がいる場合、Boxはそのファイルを内部共有ファイルとしてタグ付けします。同様に、ファイルに外部の共同作業者（つまり、Boxエンタープライズ外のユーザー）がいる場合、Boxはそのファイルを外部共有ファイルとしてタグ付けします。Netskopeは、ファイルレベルおよび親ファイルレベルでのコラボレーションに基づいて、ファイルの露出度を計算します。

アクセス制限ポリシーアクションへの影響

管理者がアクセス制限ポリシーアクションを適用すると、Netskope はフォルダーおよびファイルレベルの共同作業者を削除します。

閲覧制限ポリシーアクションへの影響

管理者が「閲覧のみに制限する」ポリシーアクションを適用すると、Netskope はファイルの共同作業者および親フォルダーから継承された共同作業者のアクセスレベルを閲覧のみに制限します。

ドメインおよびユーザープロファイルへのアクセスを制限する

リリース47までは、「アクセス制限」の下にある許可リストとブロックリストのドメインプロファイルは、 Content > File Sharing Options to Scanポリシーワークフローの下にあるドメインプロファイルにリンクされていました。この二つは互いに独立している。ドメインプロファイルに基づいた管理者アクセス権限。さらに、管理者は特定のユーザー（ユーザープロファイル）によるファイルやフォルダへのアクセスを許可（許可リスト）または拒否（ブロックリスト）できるようになりました。

ドメインまたはユーザープロファイルへのアクセスを制限する前に、 Policies > Profilesページからプロファイルを作成する必要があります。プロファイルが作成されると、それらは「アクセス制限」アクションの一部としてリストされます。アクセス制限は、アクションポリシーのワークフローの一部として利用できます。「アクセス制限レベル」ドロップダウンリストからAllowlist Domains 、 Blocklist Domains 、 Allowlist User 、またはBlocklist User を選択するには、 Restrict選択する必要があります。選択内容に応じて、ドメインプロファイルまたはユーザープロファイルのドロップダウンリストが表示されます。

注記

Contents > File Sharing Options to ScanでSpecific Sharing Options > Privateを選択した場合、 Actionsの下ではRestrict Accessオプションは利用できません。

Azure RMS Template

Policies > API Data Protectionに移動し、 SaaSタブの下にあるNew Policyをクリックします。
DLPに至るまでのポリシーワークフローを設定します。
Action セクションで、[アクション] ドロップダウンリストから Apply Azure RMS Template を選択し、[Azure RMS テンプレート] ドロップダウンリストから RMS template 選択します。
注記
Azure では、スコープを指定してテンプレートを作成する場合、RMS スーパーユーザーがスコープに含まれている必要があります。含まれていない場合、RMS テンプレートは Azure RMS テンプレートのドロップダウンリストに表示されません。
Next をクリックし、 API Data Protectionポリシーページで設定しているセクションに一致するこのガイドのトピックに移動してください。

Egnyte ポリシーアクション

管理者とパワーユーザーは 1つまたは複数のファイルをユーザーと共有するためのリンク。 Egnyteでファイルリンクを共有すると、受信者はファイルのURLを含むリンクを受け取ります。URLをクリックするとファイルがダウンロードされます。Egnyteユーザーである必要はありません。ユーザーがブロックリストのユーザープロファイルに属している場合、Netskopeはユーザー/ドメインプロファイルに関係なく、すべてのユーザーに対して共有リンクを削除します。注意すべきいくつかの使用ケース:

ユーザーがa.comドメインのユーザーとファイルを共有し、その後時間差を置いてb.comドメインのユーザーと共有した場合、blocklista.comドメインへのアクセスを制限すると、a.comドメインのユーザーのみがアクセスを拒否されます。B.comドメインのユーザーは引き続きファイルにアクセスできます。
ユーザーがa.comとb.comドメインのユーザーと同時にファイルを共有した場合単一のURLで、blocklista.comドメインへのアクセスを制限すると、a.comとb.comドメインの両方のユーザーからのアクセスが拒否されます。 Netskopeはファイルの公開範囲を非公開に変更します。

Googleドライブ接続アプリ/プラグイン

接続済みアプリ/プラグインのスキャンにGoogleドライブアプリケーションを選択した場合、利用できるアクションは「警告」と「取り消し」の2つのみです。

Alertポリシーがトリガーされた場合、ポリシー定義に基づいてアラートが生成されます。
Revokeポリシーがトリガーされた場合、ポリシー定義に基づいて、選択された Google アプリ/プラグインは取り消されます。
注記
- 利用停止になったアプリは、ユーザーが再インストールできます。ただし、ポリシーが有効な場合は、アプリは再び取り消されます。
- アプリの無効化に関するポリシーがユーザーAに適用される場合でも、ユーザーBは引き続きアプリをインストールできます。
- 取り消し後も、アプリはGoogleドライブアカウントに表示されます。しかし、アプリを実行する際には、ユーザーは再度アクセス許可を与える必要がある。

SharePoint 所有者の行動に対するアクセス制限

SharePointでは、サイト所有者はサイト内のファイルとフォルダーの所有者です。これはデフォルトの動作です。以下のシナリオでは、サイトの所有者がデフォルトでアップロードされたファイルの所有者になります。

このサイトは管理者とその他の団体によって所有されています。
このサイトは一部のユーザーと共有されています。
サイトのメンバーユーザーのいずれかが、サイトにフォルダまたはファイルをアップロードします。

そのようなファイルの所有者に対してアクセス制限が設定されている場合、共有リストからアクセスできるのは、ファイルの作成者とサイトの所有者のみに制限されます。

通知

API データ保護ポリシーページのこのセクションでは、ポリシー違反についてユーザーにいつ誰に通知するかを指定します。

Slack for Enterprise を使用すると、ダイレクトメッセージングを通じて所有者またはユーザーに通知を送信できます。 Netskopeボット。

通知を送信したくない場合は、 None Select 。
Select 受信者に通知する頻度や誰に通知するかを指定する Notify once every オプションがあります。隣接するトグルをクリックして間隔を指定するか、 Notify after each eventを選択してください。
複数の通知を送信するには、通知する受信者を選択し、使用する電子メールテンプレートを選択して、受信者の電子メールアドレスを入力します。受信者ごとにカスタムのテンプレートを作成するには、受信者タイプのチェックボックスをオンにしてから、ドロップダウンリストからCreate New選択します。 Create Email Notification Templateウィンドウに必要な情報を入力し、電子メールに含めるコンポーネントを選択します。完了したら、 Saveをクリックしてください。
注記
Create New電子メールテンプレートは GitHub では使用できません。
オプションで、電子メールアドレスを入力すると、受信者がこのポリシーを設定した人を知ることができます。
Notify once everyとNotify after each eventについては、さらに選択肢があります。
- 管理者とプロフィールに登録されているユーザーに送信する。
- 所有者: メッセージまたはファイルの作成者に電子メール通知を送信します。
- 管理者: インスタンスのセットアップの一部として指定された管理者の電子メールに電子メール通知を送信します。
- 共同作業者: メッセージ/ファイルが投稿されたチャンネルに参加しているすべてのユーザーに通知を送信します。
- ユーザーのSelect : 編集ボックスに電子メールアドレスが追加されている選択したユーザーに電子メール通知を送信します。
注記
Slack for Enterprise の場合、 Notify after each eventを選択すると、アプリ経由で通知を送信するためのオプションがNotify byセクションに表示されます。
注記
Cisco Webex Teamsの場合、 Notify after each event選択すると、アプリ経由で通知を送信するためのオプションがNotify byセクションに表示されます。
注記
GitHub では、管理者に電子メールで通知する必要がある場合、明示的にSelect Users – Email Templateオプションを使用して電子メールアドレスを指定する必要があります。
完了したら、 Nextをクリックしてください。

ポリシーを設定する

API データ保護ポリシーページのこのセクションでは、ポリシーの名前を指定し、必要に応じてデスクリプションを追加できます。

ポリシーの名前を入力します。
オプションで、ポリシーの短いデスクリプションを入力できます。

完了したら、 SaveクリックしてからApply Changesをクリックしてください。先ほど作成したポリシーは、選択した内容に基づいて指定されたファイルとフォルダをスキャンし、ポリシー違反が発生した場合に選択されたアクションを実行します。