En savoir plus sur le workflow des Enquêtes sur la sécurité des données

Le workflow des Enquêtes sur la sécurité des données vous permet d’identifier, d’examiner et de prendre rapidement des mesures sur les données associées aux incidents de sécurité et de violation de données. Ce flux de travail n’est pas un processus linéaire. Il inclut des exigences d’itération importantes pour plusieurs des étapes afin d’affiner les recherches, la collecte de preuves, la classification et l’enquête à l’aide de l’IA et des activités.

L’identification et l’action sur les données et l’accès utilisent le workflow suivant :

Étape 1 : Identifier et faire remonter les incidents

Identifier un incident de sécurité des données

Les violations de données et autres incidents de sécurité des données nécessitent une action rapide pour identifier et contenir les risques potentiels pour votre organisation. Vous devez identifier rapidement ces incidents et rationaliser une réponse intégrée. Enquêter sur un incident de sécurité des données peut être intimidant. Il peut s’agir de flux de travail inefficaces sur plusieurs outils, de travail manuel et d’une complexité accrue à mesure que l’enquête prend de l’ampleur. Vous risquez d’être confronté à des examens laborieux des données impactées et à une augmentation des coûts.

Les enquêtes sur la sécurité des données vous aident à examiner et à atténuer les incidents de sécurité des données et accélèrent le délai de résolution. Après avoir identifié un incident de sécurité des données, créez une nouvelle enquête pour permettre à votre équipe de sécurité des données d’identifier les données liées aux incidents, d’effectuer une analyse approfondie du contenu et d’atténuer les risques au sein d’une solution unifiée.

Faire remonter un incident de sécurité des données à partir de Microsoft Defender XDR

Si vous utilisez déjà Microsoft Defender XDR dans votre organisation, l’intégration à Enquêtes sur la sécurité des données vous permet de créer rapidement et facilement une nouvelle enquête. L’enquête inclut automatiquement tous les éléments de données liés à l’incident à partir du nœud d’incident Defender XDR.

Faire remonter un incident de sécurité des données à partir de la gestion des risques internes

Si vous utilisez déjà la gestion des risques internes dans votre organization, l’intégration à Enquêtes sur la sécurité des données vous permet de créer rapidement une nouvelle investigation pour les activités utilisateur à risque identifiées.

Réaffecter à partir d’un insight dans Gestion de la posture de sécurité des données

Si vous utilisez déjà Gestion de la posture de sécurité des données dans votre organization, l’intégration à Enquêtes sur la sécurité des données vous permet de créer rapidement une nouvelle investigation à partir d’une éventuelle exfiltration de données des résultats et des informations.

Étape 2 : Créer une enquête et trouver les données impactées

La création d’une enquête dans Enquêtes sur la sécurité des données est rapide et facile. Selon votre cas, vous pouvez créer des enquêtes à partir de :

• Incidents Microsoft Defender XDR : créez une enquête à partir d’un incident Defender XDR.
• Gestion des risques internes Microsoft Purview Cas : Créer une enquête à partir de la Gestion des risques internes.
• Gestion de la posture de sécurité des données Insights : créez une enquête à partir des résultats de l’exfiltration de la Gestion de la posture de sécurité des données ou activez des insights d’IA proactifs qui créent automatiquement une enquête.
• Manuellement à l’aide du mode Brouillon complet : créez une enquête à l’aide de l’option du mode Brouillon complet pour configurer des sources de données et des conditions de recherche spécifiques.

Étape 3 : Rechercher, évaluer les résultats et les examiner

Après avoir créé une enquête, vous pouvez examiner et mettre à jour les sources de données. Utilisez des outils de recherche pour identifier les éléments liés à l’incident de sécurité des données. Cette revue comprend des éléments des services Microsoft 365 suivants :

Source de données	Type de contenu recherché	Exemples de contenu risqué
Protection contre la perte de données (DLP) de point de terminaison	Files capturés par le point de terminaison Collecte de preuves DLP	Files copiées sur une clé USB, imprimées, téléchargées dans le cloud ou accessibles par des applications non autorisées sur les appareils intégrés.
Exchange Online	Courriers électroniques et pièces jointes dans les boîtes aux lettres des utilisateurs	Informations d’identification ou secrets envoyés par e-mail, fichiers sensibles partagés en externe.
Microsoft Copilot	Invites et réponses de l’IA	Données sensibles dans les invites Copilot ou IA.
Microsoft Teams	Messages de chat (conversations individuelles et de groupe) et messages de canal	Secrets inclus dans les conversations, informations confidentielles dans les conversations Teams.
OneDrive	Fichiers utilisateur	Fichiers utilisateur avec des clés d’accès sécurisées, exportation de bases de données, etc.
SharePoint	Documents et fichiers dans des sites	Documents contenant des mots de passe, des données client ou des plans confidentiels.

Vous pouvez créer et exécuter différentes recherches associées à une enquête. Utilisez des conditions telles que des mots clés, des types de fichiers, des incidents, etc. dans le générateur de requêtes pour créer des requêtes de recherche personnalisées. Ces requêtes renvoient des résultats avec les données les plus probablement pertinentes pour l’incident de sécurité des données. Vous pouvez également utiliser la recherche d’audit pour identifier le contenu en fonction des activités utilisateur enregistrées dans le journal d’audit unifié, telles que les fichiers consultés, les téléchargements et les modifications apportées aux étiquettes de confidentialité. En outre, vous pouvez utiliser la collecte de preuves DLP de point de terminaison pour interroger les données capturées par les stratégies DLP de point de terminaison sur les appareils intégrés.

Étape 4 : Ajouter des données à la portée de l’investigation

Après avoir examiné et affiné votre requête de recherche, ajoutez tous les éléments de données pertinents à l’étendue de l’enquête. Au cours de cette étape, vous filtrez et passez en revue des éléments de données spécifiques. Vous identifiez également les éléments que vous ne souhaitez pas examiner à l’aide d’outils d’IA dans les Enquêtes sur la sécurité des données .

Étape 5(a) : Examiner les éléments

Après avoir ajouté des éléments de données à l’étendue de l’enquête, commencez à affiner et à limiter les données aux éléments les plus pertinents pour votre enquête. Limiter les éléments à la plus petite quantité de données applicables permet d’augmenter la vitesse et de réduire les coûts associés au traitement de l’IA.

Au cours de cette étape, effectuez les actions suivantes :

• Sélectionnez des éléments spécifiques à ajouter directement à votre plan d’atténuation , le cas échéant.
• Identifiez ou excluez des éléments spécifiques du traitement de l’IA.

Une fois les données ajoutées à la portée de l’enquête, le système prépare automatiquement tous les éléments. Cette vectorisation automatique permet des recherches sémantiques et la catégorisation des données.

Étape 5(b) : Étudier avec l’IA

Une fois l’étendue Ajouter aux éléments de données de l’enquête terminée, commencez à utiliser des outils liés à l’IA pour limiter l’objectif de votre enquête aux éléments les plus importants et les plus critiques.

Utilisez les outils et actions suivants dans votre examen pour identifier et prendre des mesures sur des éléments de données spécifiques :

• Utilisez la recherche vectorielle pour les requêtes en langage naturel afin d’identifier les éléments à examiner.
• Utilisez la fonction de recherche avec IA (préversion) avec des requêtes en langage naturel et des mots clés pour résumer les résultats de la recherche à des fins de révision.
• Définissez et configurez des catégories basées sur l’IA pour le contenu.
• Utilisez des zones d’examen intégrées et personnalisées pour les éléments sélectionnés.
• Sélectionnez les éléments à ajouter au plan d’atténuation.

Importante

Les considérations relatives au coût du stockage et de la capacité d’IA sont associées à l’utilisation de chacun des outils d’IA dans les Enquêtes sur la sécurité des données . Pour plus d’informations, consultez Modèles de facturation dans les Enquêtes sur la sécurité des données et Utiliser l’analyse de l’IA dans les Enquêtes sur la sécurité des données .

Étape 6 : Prendre des mesures pour atténuer les risques

Après avoir identifié les éléments les plus pertinents et les plus percutants associés à l’incident de sécurité des données, prenez des mesures spécifiques pour atténuer les risques.

• Examiner les recommandations d’atténuation : lorsque vous sélectionnez les éléments à examiner et choisissez l’atténuation comme domaine d’intérêt, la solution crée des recommandations d’atténuation. Le traitement automatisé de l’IA identifie les menaces associées et recommande des mesures d’atténuation.
• Examen des titres de compétences : Lorsque vous sélectionnez les éléments à examiner et que vous choisissez les titres de compétences comme domaine d’intérêt, la solution identifie les titres de compétences et les autres examens des ressources d’accès. Le traitement de l’analyse de l’IA identifie et génère automatiquement les détails des informations d’identification, le type et les recommandations spécifiques.
• Examiner les examens des risques : Lorsque vous sélectionnez les éléments à examiner et que vous choisissez les risques comme domaine d’intérêt, la solution crée automatiquement un score de risque de sécurité et un examen. Le score de risque vous aide à hiérarchiser les actions d’atténuation pour les éléments de données les plus impactants et les plus risqués.
• Examen des examens des données personnelles : Lorsque vous sélectionnez les éléments à examiner et que vous choisissez les données personnelles comme domaine d’intérêt, la solution identifie et extrait les données personnelles des éléments sélectionnés. Le traitement de l’analyse de l’IA identifie automatiquement les types PII, extrait les valeurs et fournit le contexte environnant.
• Utilisez le plan d’atténuation : Après avoir examiné les examens et les recommandations, ajoutez des éléments de données spécifiques de la portée de l’enquête au plan d’atténuation. Ce plan vous permet de gérer et de suivre le status d’atténuation de chaque élément de données.
• Purger les éléments si nécessaire : créez une requête de recherche et enregistrez-la en tant que requête de purge pour vous aider à identifier et à supprimer des éléments dans votre organisation. Vous pouvez effectuer une purge réversible des éléments pour les déplacer vers le dossier des éléments récupérables ou une purge matérielle des éléments pour les supprimer définitivement.

Meilleures pratiques

• Itérer et utiliser l’analyse de l’IA à bon escient : Les enquêtes se terminent rarement en une seule étape. Utilisez les suggestions de l’IA dans la catégorisation et la recherche vectorielle pour découvrir les problèmes cachés. Validez toujours les résultats critiques en utilisant le jugement humain. Le jugement de l’enquêteur est essentiel dans la prise de décision critique.
• Concentrez l’étendue de l’enquête : il est facile d’être submergé lorsque vous découvrez plus de données. Utilisez la catégorisation pour exclure les informations non pertinentes et concentrez-vous principalement sur les éléments à risque.
• Engagez rapidement les bonnes équipes au sein de votre organisation : les incidents de sécurité des données couvrent souvent plusieurs domaines. Ces domaines peuvent inclure la sécurité, l’informatique et la conformité dans votre organisation. Partagez avec les équipes partenaires dès que vous identifiez les domaines nécessitant une action.
• Utiliser les services Microsoft intégrés : Les enquêtes sur la sécurité des données font partie de l’écosystème plus large Microsoft Purview et Defender. Si votre enquête suggère un risque interne, ouvrez un dossier de gestion du risque interne . S’il a démarré à partir d’une alerte Microsoft Defender XDR, mettez à jour cet incident avec vos résultats. L’objectif est d’obtenir une vue de bout en bout de l’incident dans votre organisation.

Notifications par email et portail

Enquêtes sur la sécurité des données envoie des notifications pour informer les enquêteurs des status de configuration et les tenir informés de l’avancement de l’enquête. Les notifications sont envoyées par le biais du centre de notifications Microsoft Purview (icône en forme de cloche dans le portail Microsoft Purview) et par courrier électronique. Les notifications par email incluent le nom de l’enquête comme en-tête et un bouton qui renvoie directement à la page appropriée dans le portail Microsoft Purview.

Le tableau suivant décrit les notifications associées à l’installation et à l’intégration :

Notification	Déclencher	Recipients	Description
Installation terminée	La configuration initiale est terminée	Tous les utilisateurs avec des rôles d’Enquêtes sur la sécurité des données	Informe tous les utilisateurs affectés que les Enquêtes sur la sécurité des données sont configurées et prêtes à être utilisées.
Prêt pour l’investigation d’intégration	La configuration initiale est terminée et l’utilisateur a déjà créé des enquêtes à partir de Microsoft Defender XDR, Gestion des risques internes ou Gestion de la posture de sécurité des données	Utilisateurs qui ont créé des enquêtes avant la fin de l’installation	Redirige les utilisateurs vers leur enquête préexistante pour commencer l’analyse de l’IA.
Rappel d’installation	L’utilisateur a créé une enquête, mais la configuration initiale n’est pas terminée au bout de 7 jours	Utilisateur à l’origine de l’enquête	Rappelle à l’utilisateur ou à son administrateur de terminer l’installation afin que l’enquête puisse se poursuivre.
Provisionnement des autorisations terminé	1 heure après l’attribution des autorisations lorsque l’étape finale d’intégration n’est pas terminée	Utilisateur terminant l’intégration	Rappelle à l’utilisateur de terminer la dernière étape d’intégration une fois les autorisations provisionnées.

Remarque

Les paramètres de préférence de notification ne sont actuellement pas disponibles. Tous les utilisateurs ayant des rôles d’Enquêtes sur la sécurité des données reçoivent des notifications pour les scénarios répertoriés dans cette section.

Vous êtes prêt ?

• Prise en main de Enquêtes sur la sécurité des données