Etiquetas de confidencialidad protegidas en Fabric y Power BI

Las etiquetas protegidas son etiquetas de confidencialidad que tienen directivas de protección de archivos asociadas y se pueden usar para proteger archivos y datos. Una directiva de protección de archivos para una etiqueta concede derechos de uso a los usuarios, como la capacidad de abrir un archivo, editar un archivo, copiar desde un archivo, etc. Cuando se aplica una etiqueta protegida a un archivo o elemento, los usuarios que se incluyen en la directiva pueden realizar las acciones para las que tienen los derechos de uso en la directiva de etiqueta. Una directiva de protección de archivos puede conceder diferentes conjuntos de usuarios diferentes conjuntos de derechos de uso. Por ejemplo, en la política, un conjunto de usuarios podría recibir control total sobre el archivo, mientras que a otro conjunto de usuarios solo se les permite abrir y ver el archivo.

Tener un conjunto de etiquetas y directivas de confidencialidad es un requisito previo para usar etiquetas de confidencialidad en Fabric y Power BI. Los administradores de seguridad definen las etiquetas y sus directivas de protección de archivos en el portal de cumplimiento de Microsoft Purview. Normalmente, se usa el mismo conjunto de etiquetas protegidas en una organización para aplicaciones de Office como Word, Excel y PowerPoint, así como para Fabric y Power BI.

Funcionamiento de las etiquetas protegidas en Fabric y Power BI

En Fabric y el servicio Power BI, las etiquetas protegidas solo controlan la capacidad de cambiar o quitar etiquetas en los elementos. No controlan el acceso al contenido; para el control de acceso a través de la etiqueta de confidencialidad, consulte Directivas de protección. Para que un usuario pueda cambiar o quitar una etiqueta protegida de un elemento, el usuario debe ser el usuario que aplicó la etiqueta de confidencialidad (el propietario de RMS) o tener al menos uno de los siguientes requisitos de derechos de uso para la etiqueta:

• DUEÑO
• Exportar
• EDITAR y EDITARRIGHTSDATA

Si la etiqueta del elemento se estableció a través de un proceso automatizado, como la herencia de orígenes de datos o la herencia descendente, la tercera opción, EDIT y EDITRIGHTSDATA, se reduce a solo EDIT. Consulte Flexibilizaciones para acomodar escenarios de etiquetado automático para más detalles.

En Power BI Desktop, las etiquetas protegidas controlan no solo la capacidad de cambiar o quitar la etiqueta protegida, sino también cifrar el contenido del archivo (ver, editar, exportar, etc.). Tener los derechos de uso descritos anteriormente es suficiente para descifrar el archivo y tener control total sobre él.

Los usuarios con los permisos siguientes pueden abrir, editar y volver a publicar archivos PBIX protegidos con restricciones.

Permisos:

• Ver contenido (VER)
• Editar contenido (DOCEDIT)
• Guardar (EDITAR)
• Copiar y extraer contenido (EXTRACT)
• Permitir macros (OBJMODEL)

Restricciones:

• No se pueden exportar a formatos que no admiten etiquetas de confidencialidad, como archivos CSV.
• No se pueden guardar como PBIP o PBIT.
• No pueden cambiar la etiqueta en el archivo PBIX.
• Solo pueden volver a publicar el archivo PBIX en el área de trabajo original del que procede el archivo.

Nota:

El archivo debe haberse publicado al menos una vez para que otros usuarios puedan volver a publicarlo en esa área de trabajo específica. Si el archivo aún no se ha publicado, el emisor de etiquetas más reciente (el que más recientemente estableció la etiqueta protegida) o un usuario con derechos de uso suficientes debe publicarlo y, a continuación, compartir el archivo con los demás editores.

Estas restricciones garantizan que la seguridad del contenido permanezca bajo el control de aquellos que tienen permisos suficientes para establecer la etiqueta.

Estos derechos de uso son un subconjunto de los permisos preestablecidos del editor (anteriormente conocido como coautor) en el portal de cumplimiento de Microsoft Purview.

Relajaciones para dar cabida a escenarios de etiquetado automático

Fabric y Power BI son compatibles con varias capacidades, como la herencia de etiquetas de orígenes de datos y la herencia descendente, que aplican automáticamente etiquetas de confidencialidad al contenido. Estos escenarios automatizados pueden dar lugar a situaciones en las que no se ha establecido ningún usuario como emisor de etiquetas RMS para una etiqueta en un elemento. Esto significa que no hay ningún usuario que esté garantizado que pueda cambiar o quitar la etiqueta.

En tales casos, los requisitos de derechos de uso para cambiar o quitar la etiqueta están relajados: un usuario solo necesita uno de los siguientes derechos de uso para poder cambiar o quitar la etiqueta:

• DUEÑO
• Exportar
• EDITAR

Si ningún usuario tiene incluso estos derechos de uso, nadie puede cambiar ni quitar la etiqueta del elemento y el acceso al elemento está potencialmente en peligro.

Para evitar esta situación, el administrador de Fabric puede permitir que los administradores del área de trabajo anulen las etiquetas de confidencialidad aplicadas automáticamente en la configuración del inquilino. Esto permite a los administradores del área de trabajo invalidar las etiquetas de confidencialidad aplicadas automáticamente sin tener en cuenta las reglas de cumplimiento de cambios de etiquetas.

Para habilitar esta configuración, vaya a: portal de administración > Configuración del inquilino > Protección de la información, y habilite el interruptor en permitir que los administradores del espacio de trabajo anulen las etiquetas de confidencialidad aplicadas automáticamente.

Contenido relacionado

• Protección de la información