Chrome e ChromeOS management

Chrome offre piani di policy distinti, ed è un classico punto di confusione. Le Chrome user policy seguono l’utente Google Workspace ovunque faccia sign-in a Chrome e si assegnano per organizational unit (OU) dell’utente. Le ChromeOS device policy valgono per il dispositivo ChromeOS enrolled e si assegnano per OU del device, indipendentemente da chi lo usa (utile per kiosk, guest, aule). Per i browser Chrome su Windows/macOS/Linux non-ChromeOS si usa Chrome Browser Cloud Management (CBCM): enrolli il browser (non l’utente), applichi le browser policy per OU e ottieni inventario, estensioni forzate e reporting anche senza login.

GCPW (Google Credential Provider for Windows) porta le credenziali Google Workspace nella login screen di Windows: l’utente accede al PC con l’identità Workspace, ottiene SSO alle app Google e il device viene associato all’organizzazione, abilitando Endpoint Verification e la gestione. GCPW è la risposta quando lo scenario chiede “login a Windows con l’account Workspace”, non un SSO SAML generico verso app web.

Endpoint e mobile management

L’endpoint management fundamental (basic) è agentless e attivo di default: inventario dei device, richiesta di screen lock e possibilità di fare account wipe (rimuovere solo i dati aziendali dall’account), senza installare app.

L’advanced management aggiunge controllo reale su Android e iOS tramite l’app di gestione (Google Device Policy): password imposte, blocco di device non conformi o compromessi, gestione delle app e full device wipe. È il requisito quando serve forzare requisiti di sicurezza o cancellare l’intero dispositivo. I company-owned device si registrano in anticipo (serial number/IMEI) per applicare controlli più stringenti e distinguerli dai BYOD.

Context-Aware Access ed Endpoint Verification

Context-Aware Access (CAA) implementa il modello BeyondCorp (zero-trust): l’accesso alle app non dipende solo dall’identità ma da access level costruiti su attributi di contesto — device policy conforme, storage cifrato, versione OS minima, IP/geolocalizzazione. Gli attributi del device provengono da Endpoint Verification, l’estensione/agent Chrome che raccoglie lo stato dell’endpoint. Le policy CAA si applicano per utente/OU e per singola app (Gmail, Drive, ecc.), consentendo l’accesso solo da device gestiti e cifrati senza usare una VPN.

Gmail DLP e Drive DLP

Le DLP rule individuano dati sensibili con detector predefiniti (numeri di carta, codici fiscali) o custom (regex, word list) e scattano azioni. In Gmail DLP, sui messaggi in uscita puoi bloccare l’invio, avvisare l’utente o mettere in admin quarantine per revisione. In Drive DLP l’azione tipica è bloccare la condivisione esterna o disabilitare il download quando un file contiene dati sensibili; la data classification via Drive labels può essere condizione della regola, evitando l’over-sharing in modo automatico.

A monte, i sharing settings per OU limitano la condivisione esterna: puoi vietarla del tutto, consentirla solo verso domini in allowlist (trusted domains) o solo con warning. La client-side encryption (CSE) cifra il contenuto lato client con chiavi che controlli tu (external key service + identity provider): Google non può leggere i dati. Attenzione al trade-off, perché ciò che è cifrato con CSE non è ispezionabile dai content scanner della DLP.

Trappole tipiche d’esame

  • Login a Windows con account Workspace → GCPW: non un SSO SAML; GCPW porta le credenziali Google nella schermata di login Windows e associa il device.
  • Wipe solo dei dati aziendali → account wipe (fundamental); wipe intero device → advanced management: l’account wipe non cancella il telefono, serve advanced per il full device wipe.
  • Policy legata al device ChromeOS vs all’utente → ChromeOS device policy vs Chrome user policy: la device policy vale per chiunque usi quel device; la user policy segue l’utente ovunque.
  • Consentire l’accesso solo da device gestiti/cifrati → Context-Aware Access + Endpoint Verification: non è una regola DLP; la DLP protegge i contenuti, CAA governa le condizioni di accesso.
  • Impedire l’over-sharing di file sensibili → Drive DLP (con Drive labels); limitare lo sharing esterno in generale → sharing settings/allowlist: distingui la regola sul contenuto dall’impostazione di sharing per OU.
  • Google non deve poter leggere i dati → client-side encryption: ma CSE rende i contenuti non scansionabili dalla DLP; è un trade-off, non un’aggiunta gratuita.