Recomendaciones de etiquetado automático basadas en clientes para el Gobierno de Australia

En este artículo se proporcionan instrucciones para las organizaciones gubernamentales australianas sobre las funcionalidades de etiquetado automático de confidencialidad basadas en clientes. Su propósito es demostrar cómo el etiquetado automático puede ayudar a mejorar la posición de seguridad de los datos. La orientación está pensada para cumplir con el Marco de directivas de seguridad de protección (PSPF) y el Manual de seguridad de la información (ISM).

Detalles de información general sobre el etiquetado automático en los que el etiquetado automático es adecuado en un entorno de trabajo gubernamental moderno y reduce los riesgos de seguridad.

En el contexto del Gobierno de Australia, el etiquetado automático basado en cliente es útil para recomendar etiquetas basadas en:

• Detección de contenido confidencial
• Marcas aplicadas por organizaciones externas
• Marcas aplicadas por herramientas que no son de Microsoft
• Marcas históricas
• Marcas de párrafo

El etiquetado automático basado en cliente se configura directamente dentro de la configuración de una etiqueta de confidencialidad. Este método de etiquetado automático se aplica a los clientes de Office o en línea e identifica de forma interactiva el contenido confidencial, lo notifica al usuario y, a continuación,:

• Aplica automáticamente la etiqueta de confidencialidad pertinente al contenido más confidencial detectado en un elemento; o
• Recomienda al usuario que aplique la etiqueta.

El requisito 59 de PSPF 2024 e ISM 0271 dejó claro que un usuario debe ser responsable de aplicar las clasificaciones a los elementos en lugar de a un servicio automatizado. Por este motivo, el etiquetado automático basado en cliente debe configurarse para proporcionar solo recomendaciones de usuario:

Requisito	Detalles
PSPF 2024 - 09. Advertencias de clasificación &: requisito 59	El autor evalúa el valor, la importancia o la confidencialidad de la información oficial (destinada a su uso como registro oficial) teniendo en cuenta los posibles daños al gobierno, el interés nacional, las organizaciones o las personas que surgirían si la confidencialidad de la información estuviera en peligro.
Control de seguridad ism: 0271 (marzo de 2025)	Las herramientas de marcado de protección no insertan automáticamente marcas de protección en los correos electrónicos.

En el ejemplo siguiente, el usuario comenzó a escribir sobre Project Budgerigar. La acción de etiquetado automático basado en cliente desencadenó la detección del tipo de información confidencial (SIT). El resultado fue una recomendación de etiquetado automático basada en cliente que aparece en la parte superior del correo electrónico:

Las acciones de etiquetado automático basadas en cliente se pueden desencadenar en función de la detección de tipos de información confidencial (SIT), incluidos los SIT de coincidencia de datos exactos y clasificadores entrenables. También se puede usar una combinación de SIT y clasificadores.

Para obtener información sobre los SIT que son de mayor relevancia para el Gobierno de Australia, consulte Identificación de información confidencial y clasificada de seguridad para el Gobierno de Australia, que incluye información sobre la creación de SIT para detectar clasificaciones de seguridad.

Escenarios de etiquetado automático basado en cliente para el Gobierno de Australia

El etiquetado automático basado en cliente ayuda a proteger la información confidencial mediante la identificación de elementos, que están clasificados por debajo de la clasificación. La información de sub-clasificación representa un riesgo significativo para el Gobierno australiano. El etiquetado automático basado en cliente ayuda a garantizar que la aplicación de etiquetas correcta y los elementos se marcan y protegen correctamente. La etiqueta correcta garantiza que solo se permite la distribución adecuada de información, ya que se aplican controles, prevención de pérdida de datos (DLP) y controles similares en función de la etiqueta de un elemento.

Una clasificación precisa ayuda a garantizar que se mantengan los principios necesarios y que el acceso a la información esté restringido. Estos conceptos están relacionados con el requisito 131 de PSPF 2024:

Requisito	Detalles
PSPF 2024 - 17. Acceso a recursos: requisito 131	El acceso a la información o los recursos clasificados de seguridad solo se concede al personal de la entidad que necesita saber esa información.

Recomendación de etiquetas basadas en la detección de contenido confidencial

La detección de contenido confidencial y la recomendación de que los usuarios apliquen una etiqueta adecuada ayuda a proteger la información y garantizar la necesidad de conocerla. Las opciones de recomendación de etiquetas disponibles para el etiquetado automático basado en cliente también nos permiten garantizar que un usuario es responsable de las decisiones de clasificación en lugar de un sistema automatizado.

El etiquetado automático basado en cliente se usa para aumentar la confidencialidad de los elementos cuando corresponda. Para el Gobierno australiano, los beneficios se ven particularmente en el extremo superior de la taxonomía de confidencialidad. Recomendar un aumento de la clasificación de UNOFFICIAL a OFFICIAL tiene poca relevancia para la seguridad de los datos. Sin embargo, la detección de un elemento protegido con subclases podría evitar la vulneración de datos.

Las organizaciones deben compilar una lista de SIT y clasificadores y alinearlas con las etiquetas de confidencialidad adecuadas. Por ejemplo:

Etiqueta	SIT	Utilice
PRIVACIDAD PERSONAL CONFIDENCIAL OFICIAL	Ley australiana de registros de salud mejorada. Esta SIT precompilada busca identificar las repeticiones de: - Número de archivo de impuestos de Australia (TFN) - Mi registro de salud - Todos los nombres completos - Todos los términos y condiciones médicos - Direcciones físicas de Australia	La información de salud relacionada con una persona está protegida bajo la ley de privacidad y podría ser adecuada para el etiquetado como "PRIVACIDAD PERSONAL CONFIDENCIAL OFICIAL".
OFICIAL Confidencial Secreto Legislativo	Una sit personalizada de "palabras clave de secreto legislativo" que contiene palabras clave, como: - "Advertencia de secreto legislativo:"	Como se recomienda en las Directrices de la versión 2024 de PSPF, se debe colocar un aviso de advertencia basado en texto en la parte superior e inferior de los elementos relacionados con la información legislativa. Las organizaciones deben aplicar estos avisos a través de plantillas de documento o un medio similar. Estos avisos de advertencia podrían usarse para identificar elementos, que deben marcarse con la etiqueta "SECRETO LEGISLATIVO CONFIDENCIAL OFICIAL".
PROTEGIDO	Una palabra de código o una lista de palabras clave asociadas a iniciativas que deben tener su información clasificada como PROTEGIDA. Por ejemplo: - 'Project Budgerigar' Una lista de palabras clave relacionadas con los temas, que se pueden considerar altamente confidenciales y para las que la pérdida de información podría dar lugar a daños o pérdida de confianza en el Gobierno. Por ejemplo: - "vulneración de datos" - "altamente confidencial" - «contra la ley» - "código de práctica" - "vulneración de confianza"	Se podría usar una lista de palabras clave para detectar elementos que contienen información relacionada con un proyecto, iniciativa, sistema o aplicación clasificados. Agregar una lista de palabras clave consideradas confidenciales para una organización a una SIT permite a Microsoft 365 pedir a los usuarios que aumenten la confidencialidad de un elemento cuando se detectan las palabras clave. Esto ayuda al usuario a considerar la necesidad de conocer y a permitir que se apliquen protecciones a los elementos para evitar la distribución inapropiada de información (por ejemplo, DLP, cifrado y otros controles).

Las estrategias descritas en la tabla anterior también se pueden usar para buscar y actuar sobre información confidencial a través de otras funcionalidades de Microsoft 365, como:

• Data Loss Prevention (DLP)
• Explorador de contenido
• Cumplimiento de las comunicaciones
• Administración de riesgos internos

Recomendaciones basadas en marcas de agencias externas

Muchos de los controles descritos en este documento se implementan en función de las etiquetas aplicadas a los elementos. Gran parte de la información generada externamente tiene marcas de protección basadas en texto en su lugar, pero de forma predeterminada no se aplicarán etiquetas de confidencialidad relevantes para su organización. El resultado de esto es que estos elementos no están protegidos de directivas DLP basadas en etiquetas. Las alertas tampoco se desencadenarán cuando estos elementos se guarden en ubicaciones de confidencialidad inferiores.

Entre las situaciones en las que podría producirse este escenario se incluyen las siguientes:

• Cuando otros organismos gubernamentales que se adhieren a PSPF han creado elementos. En estas situaciones, las marcas de protección están en su lugar, pero los metadatos de etiquetas de confidencialidad, como los identificadores únicos globales (GUID), no se alinean con su propia configuración de etiqueta de confidencialidad. Los elementos se marcan con clasificaciones de seguridad, pero no se etiquetan con una etiqueta de confidencialidad.
• Cuando los elementos creados por otras organizaciones gubernamentales que no lo hacen o solo se alinean parcialmente con el marco pspf (por ejemplo, las organizaciones gubernamentales de Nueva Gales del Sur (NSW).
• Cuando los elementos creados y clasificados por gobiernos extranjeros se comparten con organizaciones gubernamentales australianas.

Para proteger la información que la organización ha recibido y de la que es custodio, se puede usar el etiquetado automático basado en cliente para recomendar que se apliquen etiquetas equivalentes a los elementos para que estén protegidos.

Estas configuraciones usan SIT para identificar las marcas o clasificaciones aplicadas externamente. A continuación, estos SIT deben agregarse a la configuración de etiquetado automático de las etiquetas de confidencialidad pertinentes.

Algunos ejemplos de dónde se pueden usar los SIT para recomendar etiquetas basadas en marcas aplicadas externamente incluyen:

Etiqueta	SIT	Utilice
Oficial confidencial	OFFICIAL Sensitive Regex SIT	Para identificar los elementos marcados como OFICIAL: confidencial , pero sin la etiqueta CONFIDENCIAL OFICIAL aplicada a ellos, incluidos los elementos generados por otras organizaciones.
PROTEGIDO	SIT de regex protegido	Para identificar elementos marcados como PROTEGIDOs , pero sin la etiqueta PROTECTED aplicada.
Oficial confidencial	Confidencial OFICIAL: NSW Government	La información marcada con CONFIDENCIAL OFICIAL : el gobierno de NSW y recibida por una organización del Gobierno Federal no está etiquetada de forma predeterminada y, por lo tanto, no tiene protecciones configuradas que se alineen con la clasificación de seguridad CONFIDENCIAL OFICIAL . Marcar estos elementos como CONFIDENCIAL OFICIAL cuando los usuarios lo modifican ayuda a proteger la información contenida. Las marcas visuales aplicadas por las agencias gubernamentales de NSW seguirían estando presentes en el elemento, dejando claro que el elemento se generó en otro lugar1.
Confidencial OFICIAL: privilegios legales	Confidencial OFICIAL – Legal (NSW Gov) OFICIAL Confidencial – Aplicación de la ley (NSW Gov)	Esta configuración garantizaría que la información marcada con cualquiera de las marcas relacionadas con la legislación de NSW State Government se trate de conformidad con OFFICIAL: Sensitive Legal Privilege mientras reside en un entorno del Gobierno Federal.
SECRETO	CONFIDENTIEL UE	CONFIDENTIEL UE es una clasificación utilizada por miembros de la Unión Europea. Anteriormente se proporcionaban ejemplos de asignaciones para clasificaciones gubernamentales extranjeras en la Política 7 de PSPF, pero se han incorporado al requisito 82. La guía anterior era alinear CONFIDENTIEL UE con una clasificación de seguridad SECRET . La detección de marcas confidenciales de UE y la aplicación de una etiqueta SECRET ayuda a garantizar que dicha información se pueda identificar y quitar potencialmente en línea con las etiquetas de información que no deben colocarse en Microsoft 365

Nota:

¹ Un enfoque alternativo podría ser incluir una etiqueta OFICIAL confidencial – NSW Government dentro de la taxonomía de etiquetas de las organizaciones. Esta etiqueta solo se podría publicar en una cuenta administrativa. Al hacerlo, se garantiza que está dentro del ámbito del servicio de etiquetado automático, pero no está disponible para que los usuarios se apliquen a los elementos. Esta idea se describe más adelante en etiquetas para organizaciones con taxonomías de etiquetas diferentes.

Requisito	Detalles
PSPF 2024 - 12. Uso compartido de información: requisito 82	Cuando se establece un acuerdo internacional o un acuerdo internacional, la información o los recursos de las entidades extranjeras clasificadas en materia de seguridad se protegen de conformidad con las disposiciones establecidas en el acuerdo o acuerdo.

Recomendaciones basadas en marcas aplicadas por herramientas que no son de Microsoft

Muchas organizaciones gubernamentales actualmente, o anteriormente, han hecho uso de herramientas que no son de Microsoft para aplicar marcas a archivos y correo electrónico. Estas herramientas están configuradas para aplicar una o varias de:

• X-Protective-Marking x-headers to email
• Encabezados y pies de página basados en texto para correo electrónico y documentos
• Marcas de correo electrónico basadas en asuntos
• Metadatos de archivo a través de propiedades de documento

En el caso de las organizaciones que pasan de herramientas que no son de Microsoft a funcionalidades nativas de Microsoft Purview, estas propiedades o marcas existentes se pueden usar para determinar qué etiqueta de confidencialidad se debe aplicar.

Importante

El etiquetado automático basado en cliente complementa el etiquetado automático basado en el servicio y ambos deben usarse juntos. Por ejemplo, considere las situaciones en las que el etiquetado automático basado en servicio aún no ha identificado y etiquetado un elemento confidencial en reposo. En tales situaciones, el etiquetado automático basado en cliente puede detectar y recomendar una etiqueta cuando un usuario abre el elemento.

El etiquetado automático basado en el servicio no puede detectar el contenido ni el correo electrónico de etiqueta que residen en los buzones de usuario. Para ayudar a garantizar que el correo electrónico heredado está protegido, se usa el etiquetado automático basado en cliente para asegurarse de que las marcas aplicadas a los elementos preexistentes se convierten en etiquetas cuando se reenvía o responde el correo electrónico. Por ejemplo, considere la posibilidad de usar un correo electrónico PROTEGIDO preexistente con un marcado PROTEGIDO basado en texto aplicado, pero sin etiqueta de confidencialidad. Cuando un usuario intenta reenviarlo o responder a él, el etiquetado automático basado en cliente puede identificar el elemento PROTEGIDO en función de las marcas existentes y, a continuación, recomendar que el usuario aplique la etiqueta PROTEGIDA al elemento.

Las siguientes configuraciones de ejemplo de etiquetado automático basadas en cliente garantizan que los elementos que contienen un marcado existente tengan aplicada la etiqueta de confidencialidad correcta. Estas configuraciones también identifican las marcas aplicadas anteriormente por las herramientas de clasificación heredadas que no son de Microsoft y las marcas en los elementos generados por organizaciones compatibles con PSPF externas:

Etiqueta	Requisito de SIT	Expresión regular
Oficial confidencial	SIT que detecta la siguiente sintaxis de marcado: - Oficial confidencial - OFFICIAL: Confidencial - OFFICIAL:Sensitive	\bOFFICIAL( \ | :\ | : )Sensitive(?!(\s\ | \/\/\ | \/\/ \ | , )(\bNATIONAL( \ | -)CABINET\b\ | [P,p]ersonal( \ | -)[P,p]rivacy\ | \b[L,l]egal( \ | -)[P,p]rivilege\b\ | [L,l]egislative( \ | -)[S,s]ecrecy))
PROTEGIDO	SIT que detecta la siguiente sintaxis de marcado: - PROTEGIDO	\bPROTECTED(?!(\s\ | \/\/\ | \/\/ \ | , )(CABINET\b\ | \bNATIONAL( \ | -)CABINET\b\ | [P,p]ersonal( \ | -)[P,p]rivacy\ | \b[L,l]egal( \ | -)[P,p]rivilege\b\ | [L,l]egislative( \ | -)[S,s]ecrecy))

Nota:

Estas expresiones del Registro están diseñadas para identificar elementos basados en la clasificación de seguridad, pero excluir marcas con marcadores de administración de información (IMM) adicionales o advertencias aplicadas. Se requieren más SIT para identificar elementos, incluidos estos marcadores adicionales. Para obtener una lista completa de la sintaxis sit para el Gobierno australiano, consulte la sintaxis sit de ejemplo para detectar marcas protectoras.

Recomendaciones basadas en marcas históricas

Los requisitos de marcado gubernamentales cambian periódicamente, como ocurrió en octubre de 2018 cuando se eliminaron de la política los marcados (por ejemplo, CONFIDENTIAL y For Official Use Only (FOUO)). Es probable que las organizaciones gubernamentales tengan una cantidad significativa de información que resida en sus sistemas con estas marcas históricas aplicadas.

El control de estos marcados históricos suele estar fuera del ámbito de las nuevas implementaciones de Microsoft Purview. Sin embargo, si su organización desea poner el marcado histórico en el ámbito, los marcados históricos podrían dividirse en dos categorías; marcas históricas que tienen un equivalente moderno y marcas que no. Las directrices de PSPF 2024 proporcionan una lista de clasificaciones y marcas históricas junto con sus requisitos de manejo actuales.

Una opción fácil para las marcas históricas que se alinean con un equivalente moderno es configurar el etiquetado automático para recomendar la aplicación de la etiqueta equivalente cuando se abren estos elementos. Con esta configuración, la experiencia del usuario es:

• Cuando el usuario se abre e intenta responder o reenviar un correo electrónico heredado, se detecta el marcado histórico. Se proporciona una recomendación de etiqueta al usuario para el nuevo correo electrónico.
• Cuando un usuario abre, modifica y guarda el archivo heredado, su cliente de Office detecta el marcado anterior y solicita al usuario que aplique un equivalente moderno al elemento antes de guardarlo.

Las acciones anteriores ayudan a garantizar que los controles adecuados se aplican a los elementos históricos.

Sugerencia

Los requisitos de administración de registros gubernamentales australianos son pertinentes al tratar con marcas históricas. Si un elemento se ha declarado como un registro mediante una etiqueta de retención de Microsoft 365 con la configuración de registros habilitada, se bloquea evitando modificaciones adicionales. El resultado es que la etiqueta de confidencialidad aplicada no se puede cambiar, ya que esto requiere un cambio en el elemento, lo que puede afectar a su período de retención. Sin embargo, si un elemento con un marcado histórico se guarda como un nuevo elemento (por ejemplo, se usa como plantilla), puede ser útil recomendar una etiqueta basada en el marcado histórico.

A continuación se muestran ejemplos de cómo los SIT basados en marcas históricas se podrían configurar y usar con el etiquetado automático basado en cliente para sugerir una nueva etiqueta basada en un marcado histórico:

Etiqueta	SIT	Utilice
Oficial confidencial	Para uso oficial, solo SIT que contiene las siguientes palabras clave: - Solo para uso oficial - Solo para uso oficial - FOUO X-IN-CONFIDENCE SIT contiene las palabras clave siguientes: - X-IN-CONFIDENCE	El etiquetado automático basado en cliente podría usarse para identificar el contenido heredado con estas marcas históricas aplicadas y sugerir una alternativa moderna en elementos nuevos o editados en función de los elementos heredados.

Los SIT y las directivas DLP deben configurarse para comprobar si hay marcas históricas y asegurarse de que se aplican los controles pertinentes. Estas configuraciones garantizan que los elementos con marcas históricas enviadas externamente por correo electrónico tengan etiquetas modernas y controles asociados aplicados.

Recomendación de etiquetas basadas en marcas de párrafo

Algunas organizaciones gubernamentales usan marcas de párrafo en los documentos. Las recomendaciones para párrafos se crean con un conjunto de SIT para ayudar a identificar la confidencialidad que se puede aplicar a un elemento en función de sus marcas de párrafo contenidas. Sin embargo, la etiqueta del documento se agrega al marcado más alto.

Para lograr esto, podríamos usar:

• Palabra clave OFFICIAL SIT que detecta el marcado de (O) párrafo y recomienda que se aplique la etiqueta OFFICIAL cuando se detecte.
• Una palabra clave SIT confidencial oficial que detecta el marcado de (O:S) párrafo y recomienda que se aplique la etiqueta OFFICIAL cuando se detecte.
• Una palabra clave PROTECTED SIT detecta el marcado de (P) párrafo y recomienda que se aplique la etiqueta PROTEGIDA cuando se detecte.
• Una palabra clave SECRET SIT detecta el marcado de (S) párrafo y recomienda que la etiqueta SECRET se aplique cuando se detecte.

El marcado SECRET SIT puede ser útil para identificar información que no se debe almacenar en la plataforma. La comprobación de los elementos que contienen estas marcas puede identificar los datos derramados y permitirle evitar más vulneraciones de datos. Para obtener más información, vea Etiquetas para información que no se debe colocar en Microsoft 365.

Nota:

Si los SIT de palabras clave sencillas, como las marcas de párrafo, pueden generar falsos positivos. Por ejemplo, si (P), apareciera en un documento o correo electrónico sin pretenderse como un marcado de párrafo, el servicio puede recomendar que el usuario marque el elemento como PROTEGIDO. Por este motivo, los SIT para identificar marcas de párrafo deben considerarse cuidadosamente antes de la implementación para determinar si es probable que se produzcan coincidencias de falsos positivos.

Configuración de etiquetado automático basada en cliente de ejemplo

Estos ejemplos se basan en el uso de SIT y clasificadores para identificar marcas de protección o información confidencial. Una vez identificado, se recomienda al usuario una etiqueta adecuada. Estos ejemplos son ejemplos reutilizables del Gobierno australiano y las organizaciones deben trabajar para desarrollar sus propios SIT con el fin de identificar información específica de la organización.

Etiqueta	SIT sugeridos
EXTRAOFICIAL	REGEX SIT NO OFICIAL diseñado para detectar una marca NO OFICIAL. Marcado de párrafo NO OFICIAL SIT diseñado para detectar (UO).
OFICIAL	OFFICIAL Regex SIT destinado a detectar una marca OFICIAL Marcado de párrafo OFICIAL SIT diseñado para detectar (O).
CONFIDENCIAL OFICIAL (categoría)	N/D
Oficial confidencial	OFICIAL: Regex SIT sensible diseñado para detectar variaciones de marcas confidenciales OFICIALES sin incluir marcadores de administración de información (IMM) o advertencias. SIT relacionados con información sobre procesos o sistemas en los que la divulgación de información podría dar lugar a daños. SIT precompilados de: - Todos los tipos de credencial - Número de tarjeta de crédito 'Marca oficial de párrafo confidencial' SIT diseñado para detectar (O:S)
PRIVACIDAD PERSONAL CONFIDENCIAL OFICIAL	OFICIAL: Confidencial Personal Privacidad Regex destinado a detectar el marcado. SIT precompilados de: - Número de cuenta bancaria de Australia - Licencia de conducir de Australia - Número de cuenta médica de Australia - Número de pasaporte de Australia - Número de archivo de impuestos de Australia
PRIVILEGIO LEGAL CONFIDENCIAL OFICIAL	OFICIAL: Regex de privilegios legales confidenciales SIT diseñado para detextar el marcado. Clasificador entrenable precompilado de: - Asuntos Jurídicos
OFICIAL Confidencial Secreto Legislativo	OFICIAL: Secreto legislativo confidencial Regex SIT diseñado para detectar el marcado.
GABINETE NACIONAL CONFIDENCIAL OFICIAL	OFICIAL: Regex de gabinete nacional confidencial SIT diseñado para detectar el marcado.
PROTECTED (categoría)	N/D
PROTEGIDO	Regex protegido SIT diseñado para detectar el marcado. Marcado de párrafo protegido SIT diseñado para detectar (P). Otros SIT de palabras clave relacionados con procesos o sistemas en los que la divulgación de información podría dar lugar a daños.
PRIVACIDAD PERSONAL PROTEGIDA	Protección de privacidad personal regex SIT diseñado para detectar el marcado.
Privilegios legales protegidos	Regex de privilegios legales protegidos SIT diseñado para detectar el marcado.
SECRETO LEGISLATIVO PROTEGIDO	Regex de secreto legislativo protegido SIT diseñado para detectar el marcado.
GABINETE NACIONAL PROTEGIDO	REGEX DE GABINETE NACIONAL PROTEGIDO SIT diseñado para detectar el marcado.
ARMARIO PROTEGIDO	REGEX DE GABINETE PROTEGIDO SIT diseñado para detectar el marcado.

Nota:

Para obtener una lista de expresiones del Registro (RegEx) que se usarán en SIT para identificar las clasificaciones de seguridad, consulte Identificación de información confidencial y clasificada de seguridad para el Gobierno australiano o los ejemplos de ASD en su Plano técnico para la nube segura.