Tre domande diverse finiscono spesso nella stessa risposta sbagliata: “come faccio uscire i dati da Workspace”, “dove risiedono fisicamente” e “come li riconosco quando sono sensibili”. Sono tre strumenti distinti, con requisiti e percorsi diversi, e l’esame li mette volentieri uno accanto all’altro per vedere se li confondi.

Google Takeout: che cosa può portarsi via il singolo utente

Takeout è l’esportazione individuale: la avvia l’utente, servizio per servizio, e produce una copia dei propri dati. L’amministratore non la lancia, ma decide quali servizi siano esportabili e per chi. Il controllo segue la struttura organizzativa: si imposta per organizational unit e, quando serve un’eccezione trasversale al reparto, tramite configuration group — Takeout è fra i servizi che accettano i gruppi di configurazione, e in quel caso l’impostazione del gruppo prevale su quella dell’unità organizzativa.

La domanda ricorrente suona così: il reparto legale non deve poter portare fuori i file di Drive, ma deve poter esportare la propria posta. La risposta non è spegnere Takeout in blocco, è restringere i servizi consentiti sull’unità organizzativa giusta. E attenzione al confine: Takeout serve l’utente, non l’organizzazione. Se ti serve una copia di tutto il tenant, lo strumento è un altro.

Data Export tool: l’archivio dell’intera organizzazione

Il Data Export tool vive in Menu > Data > Data import and export > Data export e produce un archivio completo dei dati dell’organizzazione. I prerequisiti sono espliciti e vengono chiesti: account di super administrator attivo da almeno 30 giorni, verifica in due passaggi attiva sull’account che avvia l’esportazione, accesso a Google Cloud abilitato per gli account amministrativi. Se l’organizzazione supera i 1000 utenti, o ha una FedRAMP Authorization, si passa prima dal supporto Google.

I tempi contano quanto i requisiti. C’è un’attesa minima di 48 ore prima che l’esportazione cominci; poi l’operazione richiede tipicamente 72 ore e può arrivare a 14 giorni a seconda del volume. L’archivio finisce in un bucket Cloud Storage: se è il bucket fornito da Google, viene eliminato automaticamente 60 giorni dopo l’inizio dell’esportazione, quindi scaricarlo entro quella finestra non è un dettaglio operativo ma parte della procedura. Con l’add-on Assured Controls si programma invece un incremental data export, che dopo la prima copia completa salva solo ciò che è stato creato o modificato dall’esecuzione precedente, su un bucket tuo.

Data regions: dove risiedono i dati coperti

La residenza dei dati si governa in Menu > Data > Compliance > Data regions, con tre scelte: No Preference, United States, Europe. La policy si applica per organizational unit oppure tramite configuration group, e anche qui il gruppo ha la meglio sull’unità.

Due limiti da ricordare. Primo, la copertura: le data regions valgono per i dati at rest — backup inclusi — dei servizi core elencati nella documentazione, da Gmail e Drive a Calendar, Chat, Meet, Keep e Tasks, ma non coprono log e contenuti in cache, né tipi di dato non elencati. Secondo, le prestazioni: scegliere una regione non rende il servizio più veloce, semmai un utente che lavora lontano dalla regione impostata sperimenterà più latenza. Lo stato del trasferimento si legge nei data regions status reports, che si aggiornano entro 24-48 ore da una modifica. Gli utenti su edizioni non supportate restano semplicemente fuori dalla policy: verifica l’edizione prima di promettere la residenza a un cliente.

Impostazioni legali e conformità di settore

Il modello da studiare è HIPAA, perché il flusso si ripete per gli altri regolamenti. Primo passo: stabilire se l’organizzazione è soggetta alla norma — è una decisione del cliente, non di Google. Secondo: accettare l’amendment, il Business Associate Amendment, dalla console, in Account settings > Legal and compliance. Terzo: confinare i dati regolati ai soli servizi che l’accordo copre, cioè quelli elencati come HIPAA Included Functionality. Quarto: spegnere, per le unità organizzative che trattano quei dati, gli additional Google services e le app di terze parti che restano fuori dall’accordo. Accettare il BAA e poi lasciare che i dati sanitari finiscano in un servizio non coperto vanifica il passaggio precedente.

Classification labels: riconoscere i dati prima di proteggerli

Le etichette si creano in Menu > Security > Access and data control > Label manager, con New label. Il tetto è di 150 etichette. Un’etichetta con badge può avere un solo campo badge list, fino a 200 opzioni; i campi options list si prestano ai valori di classificazione, mentre number, date, text e person funzionano solo su Drive e non su Gmail. Ogni etichetta nasce in draft e diventa utilizzabile solo dopo la pubblicazione.

I casi d’uso corrispondono ai quattro modi di applicarle: a mano da parte dell’utente, come default classification sui nuovi file in base all’unità organizzativa del proprietario, tramite regola DLP, oppure con l’AI classification, che dopo un periodo di addestramento etichetta file nuovi ed esistenti. Quando due meccanismi si contraddicono l’ordine di precedenza è netto: DLP batte AI classification, che batte la default classification. Il rapporto con DLP è bidirezionale — una regola può applicare un’etichetta, ma può anche usarla come condizione, verificando la presenza dell’etichetta o il valore di un options list a selezione singola.