Schnelle Aufgaben für die ersten Schritte mit Compliance in Microsoft Purview

  • Artikel

Wenn Sie noch nicht mit Microsoft Purview vertraut sind und sich fragen, wo Sie anfangen sollen, enthält dieser Artikel Anleitungen zu den Grundlagen und priorisiert wichtige Complianceaufgaben. Dieser Artikel hilft Ihnen bei den ersten Schritten mit der Verwaltung und Überwachung Ihrer Daten, dem Schutz von Informationen und der Minimierung von Insider-Risiken.

Dieser Artikel ist auch hilfreich, wenn Sie herausfinden, wie Sie Risiken am besten verwalten, Ihre Daten schützen und mit neuen Remotemitarbeitern mit Vorschriften und Standards konform bleiben. Mitarbeiter arbeiten jetzt zusammen und verbinden sich auf neue Weise miteinander, und diese Änderung bedeutet, dass Ihre vorhandenen Complianceprozesse und -kontrollen möglicherweise angepasst werden müssen. Das Identifizieren und Verwalten dieser neuen Compliancerisiken innerhalb Ihres organization ist entscheidend für den Schutz Ihrer Daten und die Minimierung von Bedrohungen und Risiken.

Nachdem Sie diese grundlegenden Complianceaufgaben abgeschlossen haben, sollten Sie die Complianceabdeckung in Ihrem organization erweitern, indem Sie zusätzliche Microsoft Purview-Lösungen implementieren.

Tipp

Wenn Sie kein E5-Kunde sind, verwenden Sie die 90-tägige Testversion von Microsoft Purview-Lösungen, um zu erfahren, wie zusätzliche Purview-Funktionen Ihre Organisation bei der Verwaltung von Datensicherheits- und Complianceanforderungen unterstützen können. Starten Sie jetzt im Testhub für Microsoft Purview-Complianceportal. Erfahren Sie mehr über Anmelde- und Testbedingungen.

Aufgabe 1: Konfigurieren von Konformitätsberechtigungen

Es ist wichtig zu verwalten, wer in Ihrem organization Zugriff auf die Microsoft Purview-Complianceportal hat, um Inhalte anzuzeigen und Verwaltungsaufgaben auszuführen. Microsoft 365 bietet spezifische Administratorrollen für Compliance und für die Verwendung der tools, die im Microsoft Purview-Complianceportal enthalten sind.

Beginnen Sie damit, den Personen in Ihrem organization Complianceberechtigungen zuzuweisen, damit sie diese Aufgaben ausführen können und um zu verhindern, dass nicht autorisierte Personen Zugriff auf Bereiche haben, die außerhalb ihrer Zuständigkeiten liegen. Sie sollten sicherstellen, dass Sie die richtigen Personen den Rollen Compliancedatenadministrator und Complianceadministrator zugewiesen haben, bevor Sie mit der Konfiguration und Implementierung von Compliancelösungen beginnen, die in Microsoft 365 enthalten sind. Außerdem müssen Sie Benutzer der rolle "Microsoft Entra globalen Leser" zuweisen, um Daten im Compliance-Manager anzuzeigen.

Eine schritt-für-Schritt-Anleitung zum Konfigurieren von Berechtigungen und Zuweisen von Personen zu Administratorrollen finden Sie unter Berechtigungen im Microsoft Purview-Complianceportal.

Aufgabe 2: Kenntnis des Konformitätsstatus

Es ist schwierig zu wissen, wohin sie gehen sollen, wenn Sie nicht wissen, wo Sie sich befinden. Die Erfüllung Ihrer Complianceanforderungen umfasst das Verständnis Ihres aktuellen Risikoniveaus und der erforderlichen Updates in diesen sich ständig ändernden Zeiten. Unabhängig davon, ob Ihr organization mit Compliance-Anforderungen neu ist oder über umfassende Erfahrung mit Standards und Vorschriften verfügt, die Ihre Branche regeln, ist das beste, was Sie tun können, um die Compliance zu verbessern, darin, zu verstehen, wo Ihre organization steht.

Microsoft Purview Compliance Manager kann Ihnen helfen, den Compliancestatus Ihrer organization zu verstehen und Bereiche hervorzuheben, die möglicherweise verbessert werden müssen. Compliance-Manager verwendet einen zentralisierten Dashboard, um eine risikobasierte Bewertung zu berechnen und Ihren Fortschritt bei der Durchführung von Maßnahmen zu messen, die dazu beitragen, Risiken in Bezug auf Datenschutz und gesetzliche Standards zu reduzieren. Sie können auch den Compliance-Manager als Tool verwenden, um alle Ihre Risikobewertungen nachzuverfolgen. Es bietet Workflowfunktionen, um Ihre Risikobewertungen mithilfe eines zentralen Tools effizient durchzuführen.

Eine schritt-für-Schritt-Anleitung für die ersten Schritte mit Compliance Manager finden Sie unter Erste Schritte mit Compliance Manager.

Wichtig

Sicherheit und Compliance sind für die meisten Organisationen eng integriert. Es ist wichtig, dass Ihr organization sich mit grundlegenden Sicherheits-, Bedrohungsschutz- und Identitäts- und Zugriffsverwaltungsbereichen befasst, um einen umfassenden Sicherheits- und Complianceansatz zu bieten.

Überprüfen Sie Ihre Microsoft 365-Sicherheitsbewertung im Microsoft Defender-Portal, und führen Sie die in den folgenden Artikeln beschriebenen Aufgaben aus:

Aufgabe 3: Aktivieren der Überwachung für Ihre organization

Nachdem Sie den aktuellen Status Ihrer organization ermittelt haben und wer Compliancefunktionen verwalten kann, besteht der nächste Schritt darin, sicherzustellen, dass Sie über die Daten verfügen, um Complianceuntersuchungen durchzuführen und Berichte für Netzwerk- und Benutzeraktivitäten in Ihrem organization zu generieren. Das Aktivieren der Überwachung ist auch eine wichtige Voraussetzung für Compliancelösungen, die weiter unten in diesem Artikel behandelt werden.

Die vom Überwachungsprotokoll bereitgestellten Erkenntnisse sind ein wertvolles Tool, um Ihre Complianceanforderungen an Lösungen zu erfüllen, die Ihnen helfen können, Compliancebereiche zu verwalten und zu überwachen, die verbesserungswürdig sind. Die Überwachungsprotokollierung muss aktiviert werden, bevor Aktivitäten aufgezeichnet werden und bevor Sie das Überwachungsprotokoll durchsuchen können. Wenn diese Option aktiviert ist, werden Benutzer- und Administratoraktivitäten aus Ihrem organization im Überwachungsprotokoll aufgezeichnet und 90 Tage lang und je nach zugewiesener Lizenz bis zu einem Jahr aufbewahrt.

Schrittweise Anleitungen zum Aktivieren der Überwachung finden Sie unter Aktivieren oder Deaktivieren der Überwachungsprotokollsuche.

Aufgabe 4: Erstellen von Richtlinien, um Sie bei potenziellen Konformitätsproblemen zu benachrichtigen

Microsoft bietet mehrere integrierte Warnungsrichtlinien, die dabei helfen, Missbrauch von Administratorberechtigungen, Schadsoftwareaktivitäten, potenzielle externe und interne Bedrohungen sowie Risiken für die Datenlebenszyklusverwaltung zu identifizieren. Diese Richtlinien sind standardmäßig aktiviert, aber Sie müssen möglicherweise benutzerdefinierte Warnungen konfigurieren, um Complianceanforderungen speziell für Ihre organization zu verwalten.

Verwenden Sie Warnungsrichtlinien- und Warnungs-Dashboard-Tools, um benutzerdefinierte Warnungsrichtlinien zu erstellen und die Warnungen anzuzeigen, die generiert werden, wenn Benutzer Aktivitäten ausführen, die den Richtlinienbedingungen entsprechen. Einige Beispiele wären die Verwendung von Warnungsrichtlinien, um Benutzer- und Administratoraktivitäten nachzuverfolgen, die sich auf Complianceanforderungen, Berechtigungen und Datenverlustvorfälle in Ihrem organization auswirken.

Eine schrittweise Anleitung zum Erstellen benutzerdefinierter Warnungsrichtlinien finden Sie unter Warnungsrichtlinien in Microsoft 365.

Aufgabe 5: Klassifizieren und Schützen vertraulicher Daten

Um ihre Arbeit zu erledigen, arbeiten Personen in Ihrem organization mit anderen innerhalb und außerhalb der organization zusammen. Dies bedeutet, dass Inhalte nicht mehr hinter einer Firewall verbleiben, sie können sich überall, auf Geräten, Apps und Diensten bewegen. Beim Roaming soll dies auf sichere, geschützte Weise durchgeführt werden, die den Geschäfts- und Konformitätsrichtlinien Ihres organization entspricht.

Mit Vertraulichkeitsbezeichnungen können Sie die Daten Ihrer organization klassifizieren und schützen und gleichzeitig sicherstellen, dass die Produktivität der Benutzer und ihre Fähigkeit zur Zusammenarbeit nicht beeinträchtigt werden. Verwenden Sie Vertraulichkeitsbezeichnungen, um Verschlüsselungs- und Nutzungseinschränkungen zu erzwingen, um visuelle Markierungen anzuwenden und Informationen plattform- und geräteübergreifend, lokal und in der Cloud zu schützen.

Eine schrittweise Anleitung zum Konfigurieren und Verwenden von Vertraulichkeitsbezeichnungen finden Sie unter Erste Schritte mit Vertraulichkeitsbezeichnungen.

Aufgabe 6: Konfigurieren von Aufbewahrungsrichtlinien

Mit einer Aufbewahrungsrichtlinie können Sie proaktiv entscheiden, ob Inhalte beibehalten, Inhalte gelöscht oder beides aufbewahrt und dann am Ende eines angegebenen Aufbewahrungszeitraums gelöscht werden sollen. Diese Maßnahmen können erforderlich sein, um branchenspezifische Vorschriften und interne Richtlinien einzuhalten und ihr Risiko im Falle eines Rechtsstreits oder einer Sicherheitsverletzung zu verringern.

Wenn Inhalte einer Aufbewahrungsrichtlinie unterliegen, können Benutzer den Inhalt weiterhin bearbeiten und damit arbeiten, als ob nichts geändert würde. Der Inhalt wird an seinem ursprünglichen Speicherort aufbewahrt. Wenn jemand jedoch Inhalte bearbeitet oder löscht, die der Aufbewahrungsrichtlinie unterliegen, wird eine Kopie des ursprünglichen Inhalts an einem sicheren Speicherort gespeichert, an dem er aufbewahrt wird, während die Aufbewahrungsrichtlinie für diesen Inhalt gültig ist.

Sie können schnell Aufbewahrungsrichtlinien für mehrere Dienste in Ihrer Microsoft 365-Umgebung einrichten, die Teams und Viva Engage Nachrichten, Exchange-E-Mail, SharePoint-Websites und OneDrive-Konten umfassen. Es gibt keine Grenzwerte für die Anzahl von Benutzern, Postfächern oder Websites, die eine Aufbewahrungsrichtlinie automatisch einschließen kann. Wenn Sie jedoch selektiver werden müssen, können Sie dies tun, indem Sie entweder einen adaptiven Bereich konfigurieren, der abfragebasiert ist, um bestimmte Instanzen dynamisch als Ziel zu verwenden, oder einen statischen Bereich, der bestimmte Instanzen angibt, die immer eingeschlossen oder immer ausgeschlossen werden sollen.

Eine schrittweise Anleitung zum Konfigurieren von Aufbewahrungsrichtlinien finden Sie unter Erstellen und Konfigurieren von Aufbewahrungsrichtlinien. Da Aufbewahrungsrichtlinien den Eckpfeiler einer Strategie für die Datenlebenszyklusverwaltung für Microsoft 365-Apps und -Dienste bilden, lesen Sie auch Erste Schritte mit der Datenlebenszyklusverwaltung.

Aufgabe 7: Konfigurieren vertraulicher Informationen und unangemessener Sprachrichtlinien

Der Schutz vertraulicher Informationen sowie das Erkennen und Reagieren auf Belästigungen am Arbeitsplatz ist ein wichtiger Bestandteil der Einhaltung interner Richtlinien und Standards. Die Kommunikationscompliance in Microsoft Purview trägt dazu bei, diese Risiken zu minimieren, indem Sie schnell Erkennen, Erfassen und Durchführen von Abhilfemaßnahmen für E-Mail- und Microsoft Teams-Kommunikationen unterstützen. Dazu gehören unangemessene Mitteilungen mit Anstößigkeiten, Bedrohungen und Belästigungen sowie Kommunikationen, die vertrauliche Informationen innerhalb und außerhalb Ihrer organization.

Mit einer vordefinierten Richtlinienvorlage "Unangemessenen Text erkennen " können Sie interne und externe Kommunikationen auf Richtlinienbesprechung überprüfen, damit sie von bestimmten Prüfern untersucht werden können. Prüfer können E-Mails, Microsoft Teams, Viva Engage oder Kommunikationen von Drittanbietern in Ihrem organization untersuchen und geeignete Abhilfemaßnahmen ergreifen, um sicherzustellen, dass sie mit den Standards Ihrer organization konform sind.

Mit der vordefinierten Richtlinienvorlage Vertrauliche Informationen erkennen können Sie schnell eine Richtlinie erstellen, um E-Mails und Microsoft Teams-Kommunikationen zu überprüfen, die definierte Typen vertraulicher Informationen oder Schlüsselwörter enthalten, um sicherzustellen, dass wichtige Daten nicht für Personen freigegeben werden, die keinen Zugriff haben sollten. Diese Aktivitäten können die nicht autorisierte Kommunikation über vertrauliche Projekte oder branchenspezifische Regeln für Insiderhandel oder andere Kollusionsaktivitäten umfassen.

Eine schritt-für-Schritt-Anleitung zum Planen und Konfigurieren der Kommunikationskonformität finden Sie unter Planen der Kommunikationscompliance und Erste Schritte mit der Kommunikationskonformität. Informationen zur Lizenzierung der Kommunikationscompliance finden Sie im Microsoft 365-Lizenzierungsleitfaden für Sicherheit & Compliance.

Aufgabe 8: Sehen Sie, was mit Ihren vertraulichen Elementen geschieht.

Vertraulichkeitsbezeichnungen, Typen vertraulicher Informationen, Aufbewahrungsbezeichnungen und Richtlinien sowie trainierbare Klassifizierer können verwendet werden, um vertrauliche Elemente in Exchange, SharePoint und OneDrive zu klassifizieren und zu bezeichnen, wie Sie es in den vorherigen Aufgaben gesehen haben. Der letzte Schritt in Ihrer schnellen Aufgabenreise besteht darin, zu sehen, welche Elemente bezeichnet wurden und welche Aktionen Ihre Benutzer für diese vertraulichen Elemente ausführen. Inhalts-Explorer und Aktivitäts-Explorer bieten diese Sichtbarkeit.

Inhalts-Explorer

Mit dem Inhalts-Explorer können Sie alle Elemente, die als vertraulicher Informationstyp klassifiziert wurden oder zu einer bestimmten Klassifizierung gehören, von einem trainierbaren Klassifizierer in ihrem nativen Format sowie alle Elemente anzeigen, auf die vertraulichkeits- oder aufbewahrungsbezeichnungen angewendet wurden.

Eine schritt-für-Schritt-Anleitung zur Verwendung des Inhalts-Explorers finden Sie unter Kennen Ihrer Daten – Datenklassifizierungsübersicht und Erste Schritte mit dem Inhalts-Explorer.

Aktivitäten-Explorer

Mit dem Aktivitäts-Explorer können Sie überwachen, was mit Ihren klassifizierten und bezeichneten vertraulichen Elementen ausgeführt wird:

  • SharePoint
  • Exchange
  • OneDrive

Es stehen über 30 verschiedene Filter zur Verfügung, einschließlich:

  • Zeitraum:
  • Aktivitätstyp
  • Speicherort
  • Benutzer
  • Vertraulichkeitsbezeichnung
  • Aufbewahrungsbezeichnung
  • Dateipfad
  • DLP-Richtlinie

Eine schritt-für-Schritt-Anleitung zur Verwendung des Aktivitäts-Explorers finden Sie unter Erste Schritte mit dem Aktivitäts-Explorer.

Nächste Schritte

Nachdem Sie nun die Grundlagen für die Complianceverwaltung für Ihre organization konfiguriert haben, sollten Sie die folgenden Compliancelösungen in Microsoft Purview in Betracht ziehen, damit Sie vertrauliche Informationen schützen und zusätzliche Insiderrisiken erkennen und darauf reagieren können.

Konfigurieren von Aufbewahrungsbezeichnungen

Während Aufbewahrungsrichtlinien automatisch für alle Elemente auf Containerebene gelten (z. B. SharePoint-Websites, Benutzerpostfächer usw.), gelten Aufbewahrungsbezeichnungen für einzelne Elemente, z. B. ein SharePoint-Dokument oder eine E-Mail-Nachricht. Sie können diese Bezeichnungen manuell oder automatisch anwenden.

Aufbewahrungsbezeichnungen können als Teil Ihrer Data Governance-Strategie verwendet werden, um die benötigten Elemente beizubehalten und nicht benötigte Elemente zu löschen. Verwenden Sie diese Bezeichnungen, wenn Sie Ausnahmen von Ihren Aufbewahrungsrichtlinien benötigen, wenn bestimmte Dokumente oder E-Mails unterschiedliche Aufbewahrungs- oder Löscheinstellungen benötigen. Ihre SharePoint-Richtlinie speichert beispielsweise alle Dokumente drei Jahre lang, aber bestimmte Geschäftsdokumente müssen fünf Jahre lang aufbewahrt werden. Weitere Informationen finden Sie unter Erstellen von Aufbewahrungsbezeichnungen für Ausnahmen von Ihren Aufbewahrungsrichtlinien.

Aufbewahrungsbezeichnungen bieten jedoch bei Verwendung mit der Datensatzverwaltung viele weitere Verwaltungsoptionen zur Unterstützung von Dokumenten und E-Mails auf Elementebene. Dieses Maß an Datenverwaltung eignet sich gut für hochwertige Elemente für geschäftliche, rechtliche oder behördliche Aufzeichnungsanforderungen. Weitere Informationen finden Sie unter Erste Schritte mit der Datensatzverwaltung.

Identifizieren und Definieren vertraulicher Informationstypen

Definieren Sie Typen vertraulicher Informationen basierend auf dem Muster, das in Den Daten Ihrer organization enthalten ist. Verwenden Sie integrierte Typen vertraulicher Informationen, um Guthaben Karte Nummern, Bankkontonummern, Reisepassnummern und vieles mehr zu identifizieren und zu schützen. Oder erstellen Sie benutzerdefinierte Typen vertraulicher Informationen, die für Ihre organization spezifisch sind.

Eine schritt-für-Schritt-Anleitung zum Definieren benutzerdefinierter Typen vertraulicher Informationen finden Sie unter Erstellen von benutzerdefinierten Typen vertraulicher Informationen.

Datenverlust verhindern

Microsoft Purview Data Loss Prevention -Richtlinien (DLP) ermöglichen es Ihnen, vertrauliche Informationen in Ihren Microsoft 365-organization zu identifizieren, zu überwachen und automatisch zu schützen. Verwenden Sie DLP-Richtlinien, um vertrauliche Elemente in Microsoft-Diensten zu identifizieren, die versehentliche Freigabe vertraulicher Elemente zu verhindern und Benutzern zu helfen, die Konformität zu gewährleisten, ohne ihren Workflow zu unterbrechen.

Eine schritt-für-Schritt-Anleitung zum Konfigurieren von DLP-Richtlinien finden Sie unter Erstellen und Bereitstellen von Richtlinien zur Verhinderung von Datenverlust. Informationen zur Lizenzierung der Verwaltung von Datenverlust finden Sie im Microsoft 365-Lizenzierungsleitfaden für Sicherheit & Compliance.

Erkennen und Reagieren auf Insider-Risiken

Mitarbeiter haben immer mehr Zugriff auf das Erstellen, Verwalten und Freigeben von Daten in einem breiten Spektrum von Plattformen und Diensten. In den meisten Fällen verfügen Organisationen über begrenzte Ressourcen und Tools, um organization risiken zu identifizieren und zu mindern und gleichzeitig Complianceanforderungen und Datenschutzstandards der Mitarbeiter zu erfüllen. Zu diesen Risiken können Datendiebstahl durch ausscheidende Mitarbeiter und Datenlecks von Informationen außerhalb Ihrer organization durch versehentliche Überteilung oder böswillige Absicht gehören.

Das Insider-Risikomanagement nutzt die gesamte Bandbreite von Service- und Drittanbieterindikatoren, um Riskante Benutzeraktivitäten schnell zu identifizieren, zu selektieren und darauf zu reagieren. Dank der Nutzung von Protokollen aus Microsoft 365 und Microsoft Graph können Sie mithilfe des Insider-Risikomanagements spezifische Richtlinien definieren, um Risikoindikatoren zu identifizieren und Maßnahmen zur Verringerung dieser Risiken zu ergreifen.

Eine schritt-für-Schritt-Anleitung zum Planen und Konfigurieren von Richtlinien für das Insider-Risikomanagement finden Sie unter Planen des Insider-Risikomanagements und Erste Schritte mit dem Insider-Risikomanagement. Informationen zur Lizenzierung des Insider-Risikomanagements finden Sie im Microsoft 365-Lizenzierungsleitfaden für Sicherheits- & Compliance.