ความปลอดภัยของ Google Workspace: แนวทางปฏิบัติที่ดีที่สุดสำหรับปี 2026

Google Workspace คือหัวใจสำคัญด้านประสิทธิภาพการทำงานขององค์กรนับล้านแห่ง โดยมีทั้งอีเมล เอกสาร ปฏิทิน การประชุมทางวิดีโอ และการจัดการงานที่ทำงานอยู่บนแพลตฟอร์มเดียว การรวมศูนย์ดังกล่าวสร้างความสะดวกสบายอย่างมหาศาล แต่ในขณะเดียวกันก็กลายเป็นเป้าหมายที่ชัดเจนสำหรับผู้โจมตี การเปิดเผยข้อมูลโดยไม่ตั้งใจ และความเสี่ยงจากคนในองค์กร

ความปลอดภัยของ Google Workspace ไม่ใช่การตั้งค่าเพียงครั้งเดียวจบ แต่เป็นแนวทางปฏิบัติที่ต้องทำอย่างต่อเนื่อง ซึ่งครอบคลุมถึงการควบคุมของผู้ดูแลระบบ พฤติกรรมของผู้ใช้ปลายทาง การเชื่อมต่อกับบุคคลที่สาม และนโยบายขององค์กร คู่มือนี้จะครอบคลุมแนวทางปฏิบัติเพื่อความปลอดภัยที่สำคัญที่สุดสำหรับปี 2026 โดยจัดแบ่งตามชั้นการควบคุมที่เกี่ยวข้อง

ทำไมความปลอดภัยของ Google Workspace จึงควรได้รับความสำคัญอย่างจริงจัง

Google ลงทุนมหาศาลในด้านความปลอดภัยของโครงสร้างพื้นฐาน รวมถึงการเข้ารหัสข้อมูลระหว่างรับส่งและข้อมูลที่จัดเก็บ ศูนย์ข้อมูลที่มีความปลอดภัยทางกายภาพ และการตรวจจับภัยคุกคามอย่างต่อเนื่อง สิ่งที่ Google ไม่สามารถป้องกันได้อย่างเต็มที่คือวิธีการที่องค์กรของคุณกำหนดค่าและใช้งานแพลตฟอร์มนี้

เหตุการณ์ด้านความปลอดภัยที่พบบ่อยที่สุดใน Google Workspace ไม่ใช่การเจาะระบบโครงสร้างพื้นฐานของ Google แต่เป็น:

การยึดบัญชีผ่านฟิชชิง (Phishing): ผู้โจมตีหลอกให้พนักงานกรอกข้อมูลประจำตัวบนหน้าเข้าสู่ระบบปลอม
แอป OAuth ที่ได้รับสิทธิ์มากเกินไป: แอปของบุคคลที่สามที่ได้รับสิทธิ์เข้าถึง Google Drive หรือ Gmail ซึ่งอาจกลายเป็นอันตรายในภายหลัง หรือถูกซื้อกิจการโดยบริษัทที่ไม่น่าเชื่อถือ
การแชร์ไฟล์โดยไม่ตั้งใจ: เอกสารที่มีความละเอียดอ่อนถูกแชร์แบบ “ทุกคนที่มีลิงก์” แทนที่จะแชร์ให้เฉพาะบุคคล
รหัสผ่านที่อ่อนแอหรือใช้ซ้ำ: โดยเฉพาะในบัญชีที่ไม่มีการยืนยันตัวตนแบบ 2 ขั้นตอน
บัญชีผู้ดูแลระบบถูกบุกรุก: ประเภทบัญชีที่มีความเสี่ยงสูงสุดในองค์กร Google Workspace ใดๆ

แต่ละประเด็นมีวิธีบรรเทาความเสี่ยงที่ชัดเจน ความท้าทายคือการนำวิธีเหล่านั้นไปปฏิบัติอย่างสม่ำเสมอ

Admin Console: รากฐานของความปลอดภัยใน Google Workspace

Google Admin Console คือจุดที่ใช้กำหนดค่าความปลอดภัยขององค์กร แนวทางปฏิบัติเพื่อความปลอดภัยทุกข้อที่อธิบายไว้ที่นี่จำเป็นต้องใช้สิทธิ์ผู้ดูแลระบบในการดำเนินการ

บังคับใช้การยืนยันตัวตนแบบ 2 ขั้นตอน

การยืนยันตัวตนแบบ 2 ขั้นตอน (2-Step Verification หรือ 2SV) คือการควบคุมความปลอดภัยที่มีประสิทธิภาพสูงสุดใน Google Workspace โดยต้องใช้ปัจจัยที่สอง (รหัส, กุญแจความปลอดภัย หรือข้อมูลชีวมิติ) นอกเหนือจากรหัสผ่าน แม้ว่าผู้โจมตีจะได้รับรหัสผ่านของผู้ใช้ไป แต่ก็ไม่สามารถเข้าถึงบัญชีได้หากไม่มีปัจจัยที่สอง

วิธีบังคับใช้:

ใน Admin Console ไปที่ Security > Authentication > 2-step verification
เปิดใช้งานการบังคับใช้สำหรับผู้ใช้ทุกคน (ไม่ใช่แค่ตัวเลือกเสริม)
กำหนดระยะเวลาผ่อนผัน (7-30 วัน) เพื่อให้ผู้ใช้ลงทะเบียนก่อนที่นโยบายจะมีผล
พิจารณาบังคับใช้กุญแจความปลอดภัยฮาร์ดแวร์ (FIDO2/WebAuthn) สำหรับบัญชีที่มีสิทธิ์สูง เช่น ผู้ดูแลระบบ

เพื่อการป้องกันสูงสุด กุญแจความปลอดภัยฮาร์ดแวร์สามารถต้านทานฟิชชิงได้ดีกว่ารหัส SMS หรือแอปยืนยันตัวตนอย่างมาก งานวิจัยของ Google พบว่ากุญแจฮาร์ดแวร์สามารถป้องกันการโจมตีจากบอทอัตโนมัติได้ 100%, ป้องกันฟิชชิงแบบหว่านแหได้ 99% และป้องกันการโจมตีแบบเจาะจงเป้าหมายได้ 90%

กำหนดรหัสผ่านที่รัดกุม

กำหนดความยาวรหัสผ่านขั้นต่ำอย่างน้อย 12 ตัวอักษร และบังคับใช้การป้องกันการใช้รหัสผ่านซ้ำ (บล็อกรหัสผ่าน 10 ครั้งล่าสุด) ควบคู่ไปกับการตรวจจับข้อมูลประจำตัวที่รั่วไหลในรูปแบบเดียวกับ Have I Been Pwned ซึ่ง Google ได้รวมไว้ใน Security Center แล้ว

ตรวจสอบบัญชี Super Admin

บัญชี Super Admin มีสิทธิ์เข้าถึงข้อมูลและการตั้งค่าทั้งหมดในองค์กร Google Workspace ของคุณโดยไม่มีข้อจำกัด แนวทางปฏิบัติที่ดีที่สุดคือ:

รักษาจำนวนบัญชี Super Admin ไว้ไม่เกิน 2-4 บัญชี
ห้ามใช้บัญชี Super Admin สำหรับการทำงานประจำวัน ให้สร้างบัญชีผู้ดูแลระบบแยกต่างหากสำหรับงานธุรการทั่วไป
เปิดใช้งานการตรวจสอบสิทธิ์ขณะเข้าสู่ระบบและบังคับใช้กุญแจความปลอดภัยฮาร์ดแวร์สำหรับบัญชี Super Admin ทั้งหมด
ตรวจสอบรายชื่อ Super Admin เป็นรายไตรมาส

การปกป้องข้อมูลผู้ใช้: การแชร์ไฟล์และ DLP

ตรวจสอบการตั้งค่าการแชร์ภายนอก

การตั้งค่าการแชร์เริ่มต้นของ Google Drive อนุญาตให้ผู้ใช้แชร์ไฟล์กับใครก็ได้ที่มีลิงก์ รวมถึงบุคคลภายนอกองค์กร สำหรับองค์กรส่วนใหญ่แล้ว นี่ถือว่าเปิดกว้างเกินไป

ใน Admin Console ให้ตรวจสอบ:

Drive and Docs > Sharing settings > Sharing outside [your domain]: จำกัดเฉพาะโดเมนที่เชื่อถือได้ หรือปิดการแชร์ภายนอกทั้งหมดสำหรับหน่วยงานที่มีข้อมูลละเอียดอ่อน
ปิดการแชร์ลิงก์แบบ “ทุกคน” สำหรับหน่วยงานที่จัดการข้อมูลละเอียดอ่อน

การป้องกันการสูญหายของข้อมูล (Data Loss Prevention หรือ DLP)

กฎ DLP ของ Google Workspace จะสแกนอีเมลขาออกและการแชร์ไฟล์ใน Drive โดยอัตโนมัติเพื่อหาแพทเทิร์นของข้อมูลที่ละเอียดอ่อน เช่น หมายเลขบัตรเครดิต หมายเลขประกันสังคม หมายเลขประจำตัวประชาชน และแพทเทิร์นที่คุณกำหนดเอง

เมื่อ DLP ตรวจพบแพทเทิร์นที่ละเอียดอ่อน ระบบสามารถบล็อกการแชร์ แจ้งเตือนผู้ใช้ หรือแจ้งเตือนผู้ดูแลระบบได้ DLP มีให้บริการในแผน Business Plus, Enterprise และ Education Plus

กฎ DLP สำคัญที่ควรตั้งค่า:

บล็อกไฟล์ใน Drive ที่มีหมายเลขบัตรเครดิตไม่ให้แชร์ออกภายนอก
แจ้งเตือนก่อนส่งอีเมลที่มีคำสำคัญบางอย่าง (เช่น ความลับ, ข้อมูลภายใน, PII)
กักกันข้อความ Gmail ที่มีประเภทไฟล์แนบที่น่าสงสัย

Vault สำหรับการเก็บรักษาข้อมูลและการค้นหาข้อมูลทางกฎหมาย (eDiscovery)

Google Vault ช่วยให้ผู้ดูแลระบบกำหนดกฎการเก็บรักษาข้อมูลสำหรับ Gmail, Drive, Chat และ Meet เพื่อให้มั่นใจว่าข้อมูลจะถูกเก็บรักษาไว้ตามระยะเวลาที่กำหนด แม้ว่าผู้ใช้จะลบไปแล้วก็ตาม ซึ่งสำคัญต่อข้อกำหนดทางกฎหมายและการปฏิบัติตามกฎระเบียบ

สำหรับองค์กรที่อยู่ภายใต้กฎหมาย GDPR, HIPAA หรือกฎระเบียบทางการเงิน Vault ถือเป็นโครงสร้างพื้นฐานที่จำเป็น ไม่ใช่ส่วนเสริมทางเลือก

การจัดการการเข้าถึงของแอปบุคคลที่สาม

แอปบุคคลที่สามที่เชื่อมต่อกับ Google Workspace ผ่าน OAuth เป็นหนึ่งในความเสี่ยงด้านความปลอดภัยที่ถูกมองข้ามมากที่สุด ทุกครั้งที่ผู้ใช้คลิก “ลงชื่อเข้าใช้ด้วย Google” และให้สิทธิ์แก่แอป แอปนั้นจะได้รับสิทธิ์เข้าถึงข้อมูลที่ได้รับอนุญาตอย่างต่อเนื่องจนกว่าผู้ใช้จะเพิกถอนสิทธิ์ด้วยตนเอง

ตรวจสอบแอปที่เชื่อมต่อ

ใน Admin Console ไปที่ Security > Access and data control > API controls > App access control เพื่อดูแอปบุคคลที่สามทั้งหมดที่ได้รับสิทธิ์ OAuth ในการเข้าถึงข้อมูล Google Workspace ขององค์กรคุณ

ตรวจสอบรายการนี้เพื่อหา:

แอปที่ขอสิทธิ์กว้างเกินกว่าที่ฟังก์ชันการทำงานจำเป็นต้องใช้
แอปจากผู้ให้บริการที่องค์กรของคุณไม่ได้ใช้งานแล้ว
แอปที่ไม่มีผู้ใช้ใช้งานอยู่ในปัจจุบัน
แอปที่ถูกยกเลิกการสนับสนุนหรือผู้ให้บริการถูกซื้อกิจการไปแล้ว

จำกัดการเข้าถึงของแอปบุคคลที่สาม

สำหรับองค์กรที่มีความปลอดภัยสูง คุณสามารถจำกัดแอปบุคคลที่สามที่ได้รับอนุญาตให้เชื่อมต่อกับ Google Workspace ได้ โดยมีสองทางเลือก:

โหมด Allowlist: เฉพาะแอปที่ผู้ดูแลระบบอนุมัติอย่างชัดเจนเท่านั้นที่สามารถเชื่อมต่อได้
จำกัดแอปที่ไม่ผ่านการตรวจสอบ: เฉพาะแอปที่ผ่านกระบวนการตรวจสอบ OAuth ของ Google แล้วเท่านั้นที่สามารถขอสิทธิ์เข้าถึงข้อมูลที่ละเอียดอ่อนได้

แนวทาง Allowlist ให้การป้องกันที่แข็งแกร่งที่สุด แต่ต้องมีการดูแลรักษาอย่างต่อเนื่องเมื่อองค์กรนำเครื่องมือใหม่ๆ มาใช้

TasksBoard และความปลอดภัยของ OAuth

TasksBoard ใช้ Google Tasks API อย่างเป็นทางการผ่าน OAuth โดยขอสิทธิ์เข้าถึงเฉพาะข้อมูล Google Tasks เท่านั้น ไม่ได้ขอสิทธิ์เข้าถึงเนื้อหาใน Gmail, Drive หรือ Calendar เมื่อคุณให้สิทธิ์ TasksBoard แอปจะสามารถอ่านและเขียนข้อมูล Google Tasks ของคุณได้เท่านั้น ขอบเขตสิทธิ์ที่จำกัดนี้เป็นไปตามหลักการสิทธิ์ขั้นต่ำ (Principle of Least Privilege)

เมื่อประเมินแอป Google Workspace ของบุคคลที่สาม ให้ตรวจสอบขอบเขตสิทธิ์ที่ร้องขอก่อนให้สิทธิ์ แอปที่ขอสิทธิ์เข้าถึงข้อมูล Gmail ทั้งหมดเพื่อ “ปรับปรุงประสิทธิภาพการทำงาน” ถือเป็นสัญญาณเตือนที่อันตราย

ความปลอดภัยของอีเมล: การป้องกันของ Gmail

Gmail มีชั้นความปลอดภัยหลายชั้นที่ผู้ดูแลระบบสามารถกำหนดค่าและเสริมความแข็งแกร่งได้

การป้องกันฟิชชิงและมัลแวร์

ใน Admin Console ภายใต้ Apps > Google Workspace > Gmail > Safety ให้เปิดใช้งาน:

Enhanced pre-delivery message scanning: การสแกนเพิ่มเติมด้วย AI ก่อนที่ข้อความจะถึงกล่องจดหมายของผู้ใช้
Attachments: ป้องกันไฟล์แนบจากผู้ส่งที่ไม่น่าเชื่อถือ
Links and external images: ระบุลิงก์ที่ซ่อนอยู่หลัง URL ย่อ
Spoofing and authentication: ป้องกันอีเมลที่ไม่มีการยืนยันตัวตน

กำหนดค่า SPF, DKIM และ DMARC

มาตรฐานการยืนยันตัวตนทางอีเมลเหล่านี้ช่วยตรวจสอบว่าอีเมลที่ส่งจากโดเมนของคุณมาจากเซิร์ฟเวอร์อีเมลที่ได้รับอนุญาตจริง

SPF (Sender Policy Framework): ระบุรายการ IP แอดเดรสที่ได้รับอนุญาตให้ส่งอีเมลใน DNS ของคุณ
DKIM (DomainKeys Identified Mail): เพิ่มลายเซ็นดิจิทัลให้กับอีเมลขาออก
DMARC: บอกเซิร์ฟเวอร์อีเมลปลายทางว่าต้องทำอย่างไรกับอีเมลที่ไม่ผ่านการตรวจสอบ SPF/DKIM

Google Workspace ทำให้การกำหนดค่า DKIM เป็นเรื่องง่ายผ่าน Admin Console ส่วน DMARC จำเป็นต้องใช้ระเบียน DNS ให้เริ่มจากนโยบาย p=none เพื่อตรวจสอบก่อน จากนั้นจึงเปลี่ยนเป็น p=quarantine และ p=reject หลังจากตรวจสอบแล้วว่าอีเมลที่ถูกต้องผ่านการยืนยันตัวตนทั้งหมด

Secure LDAP และ SSO

สำหรับองค์กรที่ใช้ Secure LDAP หรือ Single Sign-On (SSO) แบบ SAML ต้องตรวจสอบให้แน่ใจว่าผู้ให้บริการ SSO ของคุณบังคับใช้นโยบาย 2SV เดียวกับ Google Workspace การข้าม 2SV ที่ชั้น SSO จะทำให้การป้องกัน 2SV ของ Google Workspace ของคุณไร้ผล

การจัดการอุปกรณ์ปลายทางและอุปกรณ์เคลื่อนที่

ทุกอุปกรณ์ที่เข้าถึง Google Workspace คือช่องทางโจมตีที่อาจเกิดขึ้นได้ การจัดการอุปกรณ์เคลื่อนที่ (MDM) ช่วยให้ผู้ดูแลระบบสามารถควบคุมและล้างข้อมูลในอุปกรณ์ที่เข้าถึงข้อมูลขององค์กรได้

การจัดการอุปกรณ์แบบพื้นฐานเทียบกับขั้นสูง

Google Workspace มีการจัดการอุปกรณ์แบบพื้นฐานโดยไม่มีค่าใช้จ่ายเพิ่มเติม ส่วนการจัดการอุปกรณ์ปลายทางขั้นสูงจะมีในแผนระดับสูงขึ้น ความสามารถหลักประกอบด้วย:

พื้นฐาน (ฟรี):

บังคับใช้การล็อกหน้าจอบนอุปกรณ์เคลื่อนที่
ล้างข้อมูลบัญชีจากระยะไกล (ลบข้อมูล Google Workspace โดยไม่ต้องล้างข้อมูลทั้งเครื่อง)
รายการอุปกรณ์

ขั้นสูง (แผนชำระเงิน):

อนุญาตเฉพาะแอปที่ผ่านการอนุมัติเท่านั้น
บล็อกการเข้าถึงจากอุปกรณ์ที่ถูกบุกรุก
ความสามารถในการล้างข้อมูลอุปกรณ์ทั้งหมด
บังคับใช้ข้อกำหนดการอัปเดต OS

การจัดการ Chromebook

องค์กรที่ใช้ Chromebook สามารถจัดการผ่าน Google Admin ด้วยการควบคุมนโยบายที่ละเอียด รวมถึงการบล็อกที่เก็บข้อมูล USB, การบังคับใช้ Verified Boot, การจำกัดการติดตั้งแอป และการตั้งค่านโยบายการเข้าถึงเครือข่าย

การตรวจสอบความปลอดภัยและการตอบสนองต่อเหตุการณ์

Security Center

Google Workspace Security Center (มีในแผน Business Plus และ Enterprise) มีแดชบอร์ดแสดงตัวชี้วัดสุขภาพความปลอดภัย การแจ้งเตือน และเครื่องมือตรวจสอบ สิ่งที่ควรติดตาม:

ความพยายามเข้าสู่ระบบที่ล้มเหลวและการเข้าสู่ระบบที่น่าสงสัย
ความผิดปกติของกิจกรรมในอีเมลและ Drive
การให้สิทธิ์ OAuth ของแอปบุคคลที่สาม
ตัวบ่งชี้การรั่วไหลของข้อมูล

ตั้งค่าการแจ้งเตือนทางอีเมลสำหรับเหตุการณ์ความปลอดภัยที่มีความสำคัญสูง เพื่อให้ทีมผู้ดูแลระบบได้รับทราบทันที

Alert Center

Alert Center ใน Admin Console จะรวบรวมการแจ้งเตือนความปลอดภัยจากทั่วทั้ง Google Workspace รวมถึงคำเตือนการบุกรุกบัญชี การแจ้งเตือนการโจมตีที่ได้รับการสนับสนุนจากรัฐบาล กิจกรรมเข้าสู่ระบบที่น่าสงสัย และแคมเปญฟิชชิงที่มุ่งเป้ามายังโดเมนของคุณ

ตรวจสอบ Alert Center เป็นประจำและสร้างขั้นตอนการตอบสนองต่อเหตุการณ์สำหรับประเภทการแจ้งเตือนที่พบบ่อย

การเก็บรักษาบันทึกและบันทึกการตรวจสอบ (Audit Logs)

Google Workspace สร้างบันทึกการตรวจสอบสำหรับการดำเนินการของผู้ดูแลระบบ กิจกรรมใน Drive, Gmail และอื่นๆ บันทึกเหล่านี้คือรากฐานของการตรวจสอบความปลอดภัยทุกประเภท

สำหรับแผนส่วนใหญ่ บันทึกการตรวจสอบจะถูกเก็บไว้เป็นเวลา 180 วัน องค์กรที่ต้องการการเก็บรักษาที่นานกว่านั้นควรตั้งค่าการส่งออกไปยัง Google Cloud Storage หรือการเชื่อมต่อกับ SIEM

แนวทางปฏิบัติเพื่อความปลอดภัยสำหรับผู้ใช้ปลายทาง

การควบคุมของผู้ดูแลระบบทำได้เพียงระดับหนึ่ง พฤติกรรมความปลอดภัยของพนักงานคืออีกครึ่งหนึ่งของสมการ

การฝึกอบรมด้านความปลอดภัยเป็นประจำ

การฝึกอบรมด้านความปลอดภัยประจำปีเป็นข้อกำหนดขั้นต่ำสำหรับหลายอุตสาหกรรม แต่โปรแกรมที่มีประสิทธิภาพที่สุดคือการฝึกอบรมที่เน้นสถานการณ์จริงอย่างต่อเนื่อง โดยเน้นที่การจดจำฟิชชิง แนวทางการแชร์ไฟล์ที่ปลอดภัย และสุขอนามัยของรหัสผ่าน

Google มีแหล่งข้อมูลการฝึกอบรมด้านความปลอดภัยฟรีผ่าน Google Workspace learning center ที่ผู้ดูแลระบบสามารถแชร์ให้กับพนักงานได้

การจำลองฟิชชิง

การจำลองฟิชชิงเป็นประจำ (ส่งอีเมลฟิชชิงปลอมให้พนักงานเพื่อดูว่าใครคลิก) จะให้ข้อมูลว่าพนักงานหรือทีมใดต้องการการฝึกอบรมเพิ่มเติม ซึ่งวิธีนี้จะมีประสิทธิภาพที่สุดในฐานะเครื่องมือการเรียนรู้ ไม่ใช่มาตรการลงโทษ

นโยบายการจัดการข้อมูลที่ชัดเจน

จัดทำเอกสารและสื่อสารให้ชัดเจนว่าข้อมูลประเภทใดที่สามารถแชร์ออกภายนอกได้ ข้อมูลใดที่ต้องเข้าถึงภายในเท่านั้น และข้อมูลใดที่ต้องมีการเข้ารหัสหรือการควบคุมเพิ่มเติม หากไม่มีนโยบายที่ชัดเจน พนักงานจะตัดสินใจอย่างไม่สอดคล้องกัน ซึ่งนำไปสู่ความเสี่ยง

คำถามที่พบบ่อย

การตั้งค่าความปลอดภัยของ Google Workspace ที่สำคัญที่สุดคืออะไร?

การบังคับใช้การยืนยันตัวตนแบบ 2 ขั้นตอน (2SV) สำหรับผู้ใช้ทุกคนคือการควบคุมความปลอดภัยที่มีประสิทธิภาพสูงสุด การยึดบัญชีเป็นเหตุการณ์ความปลอดภัยที่ร้ายแรงและพบบ่อยที่สุดในสภาพแวดล้อม Google Workspace และ 2SV สามารถป้องกันการโจมตีที่ใช้ข้อมูลประจำตัวได้เกือบทั้งหมด

ฉันจะดูได้อย่างไรว่าแอปใดบ้างที่เข้าถึง Google Workspace ของฉันได้?

ใน Admin Console ให้ไปที่ Security > Access and data control > API controls > App access control ซึ่งจะแสดงแอปบุคคลที่สามทั้งหมดที่มีสิทธิ์ OAuth ในการเข้าถึงข้อมูลขององค์กรคุณ ผู้ใช้แต่ละคนยังสามารถดูแอปที่เชื่อมต่อส่วนตัวได้ที่ myaccount.google.com/permissions

Google Workspace สามารถปฏิบัติตามมาตรฐาน HIPAA ได้หรือไม่?

ได้ หากมีการกำหนดค่าที่เหมาะสม Google มีข้อตกลง Business Associate Agreement (BAA) สำหรับลูกค้า Google Workspace ซึ่งครอบคลุม Gmail, Drive, Calendar และบริการหลักอื่นๆ คุณต้องทำ BAA กับ Google และกำหนดค่าการควบคุมที่เหมาะสม (การเข้ารหัส, การควบคุมการเข้าถึง, การบันทึกการตรวจสอบ) เพื่อให้เป็นไปตามข้อกำหนดของ HIPAA

Google Workspace มีแนวทางในการเข้ารหัสข้อมูลอย่างไร?

Google เข้ารหัสข้อมูลระหว่างรับส่ง (TLS) และข้อมูลที่จัดเก็บ (AES 256-bit) สำหรับองค์กรที่ต้องการกุญแจเข้ารหัสที่จัดการโดยลูกค้า Google Workspace มีบริการ Client-side encryption (CSE) ในแผน Enterprise และ Education Plus ซึ่งช่วยให้คุณเข้ารหัสข้อมูลด้วยกุญแจที่คุณควบคุมเองก่อนที่ข้อมูลจะถึงเซิร์ฟเวอร์ของ Google

ฉันจะป้องกันการรั่วไหลของข้อมูลโดยไม่ตั้งใจใน Google Drive ได้อย่างไร?

การควบคุมหลักคือ: การจำกัดการตั้งค่าการแชร์ภายนอกใน Admin Console, การใช้กฎ DLP เพื่อระบุแพทเทิร์นของข้อมูลที่ละเอียดอ่อน และการฝึกอบรมผู้ใช้เกี่ยวกับแนวทางปฏิบัติที่ดีที่สุดในการแชร์ สำหรับองค์กรที่มีความละเอียดอ่อนสูง การกำหนดให้การแชร์ลิงก์ต้องระบุเฉพาะบุคคลแทนที่จะเป็น “ทุกคนที่มีลิงก์” จะช่วยขจัดช่องทางที่พบบ่อยที่สุดของการเปิดเผยข้อมูลโดยไม่ตั้งใจ

TasksBoard จัดการความปลอดภัยของ Google Workspace อย่างไร?

TasksBoard เข้าถึงเฉพาะ Google Tasks เท่านั้น ไม่ได้ขอสิทธิ์เข้าถึง Gmail, Google Drive หรือบริการอื่นใดของ Google Workspace นอกเหนือจากงาน TasksBoard ใช้ OAuth 2.0 สำหรับการยืนยันตัวตน ซึ่งหมายความว่าแอปจะไม่ได้รับหรือจัดเก็บรหัสผ่าน Google ของคุณ คุณสามารถตรวจสอบและเพิกถอนสิทธิ์ของ TasksBoard ได้ตลอดเวลาผ่านการตั้งค่าความปลอดภัยของบัญชี Google ของคุณที่ myaccount.google.com/permissions

การสร้างโปรแกรมความปลอดภัย ไม่ใช่แค่การตั้งค่า

สถานะความปลอดภัยของ Google Workspace ที่ยืดหยุ่นที่สุดไม่ใช่การตั้งค่าเพียงครั้งเดียว แต่เป็นโปรแกรมที่มีชีวิตซึ่งมีการตรวจสอบเป็นประจำ การให้ความรู้แก่ผู้ใช้อย่างต่อเนื่อง และกระบวนการตอบสนองต่อเหตุการณ์ที่ชัดเจน

เริ่มต้นด้วยการควบคุมที่มีความสำคัญสูง ได้แก่ การบังคับใช้ 2SV, การตรวจสอบบัญชี Super Admin, การทบทวนการตั้งค่าการแชร์ภายนอก และการกำหนดค่าการยืนยันตัวตนของ Gmail (SPF/DKIM/DMARC) จากนั้นจึงดำเนินการตามการควบคุมที่มีความสำคัญรองลงมาอย่างเป็นระบบ

ความปลอดภัยจะมีประสิทธิภาพสูงสุดเมื่อมีความเหมาะสมกับโปรไฟล์ความเสี่ยงขององค์กรคุณ สตาร์ทอัพขนาดสิบคนย่อมมีความต้องการที่แตกต่างจากผู้ให้บริการด้านสุขภาพหรือบริษัทบริการทางการเงิน ใช้คู่มือนี้เป็นกรอบการทำงานและปรับความเข้มงวดของการควบคุมแต่ละข้อให้ตรงกับสิ่งที่องค์กรของคุณต้องเผชิญจริงๆ

สำหรับคำแนะนำเพิ่มเติมเกี่ยวกับฟีเจอร์และความสามารถของ Google Workspace โปรดดู Google Workspace tutorial