Étape 3 : Étendez à l’ensemble de votre patrimoine de données Microsoft 365

Ce guide est divisé en quatre étapes :

Sécurisé par défaut avec Microsoft Purview - Blueprint

Dans les étapes précédentes, nous avons posé les bases de la sécurité et discuté des sites prioritaires. Les fonctionnalités d’étiquetage automatique côté client et côté service ont été couvertes. Pour obtenir un tableau comparatif, voir Appliquer automatiquement une étiquette de confidentialité dans Microsoft 365.

Dans cette étape, nous expliquons les options permettant d’adresser de manière itérative l’ensemble de votre patrimoine de données Microsoft 365.

Précédemment, nous avons recommandé des stratégies initiales pour familiariser les utilisateurs. Au cours de cette étape, vous êtes prêt à les utiliser progressivement dans les scénarios. L’étiquetage automatique est idéal pour les scénarios où vous avez besoin d’une sensibilité plus élevée que votre étiquette par défaut.

Nous abordons également la façon d’étiqueter rétroactivement des sites existants et de définir des étiquettes de bibliothèque par défaut.

Étiquetage automatique des fichiers sensibles sur les clients (seuils bas)

L’étiquetage automatique côté client donne aux utilisateurs la possibilité de décider d’appliquer une étiquette recommandée ou de signaler un faux positif. Vous pouvez mettre en œuvre ce processus à l’aide des 300+ types d’informations sensibles (SIT) et des classificateurs pouvant être formés.

À un niveau élevé, suivez cette approche. Les seuils ne sont que des exemples.

  • Identifiez le SIT approprié pour votre secteur d’activité.
  • Recommandez une étiquette avec des seuils de TIS plus bas (1-9).
  • Appliquez automatiquement une étiquette avec des seuils plus élevés (10+) et/ou des classifieurs pouvant être formés.

L’étiquette par défaut de votre client affecte votre stratégie d’étiquetage automatique. Bien que ce guide recommande de définir cette étiquette sur Confidentiel\Tous les employés, il propose également des alternatives lorsque le client Office est défini par défaut sur Général, puis sur Confidentiel\Tous les employés lors de l’enregistrement dans SharePoint.

Conseil

Si vous définissez par défaut sur Confidentiel\Tous les employés, votre stratégie d’étiquetage automatique est moins complexe et axée sur les étiquettes hautement confidentielles .

Vous pouvez déployer progressivement cette stratégie avec plus de SIT et de classifieurs pouvant être formés au fil du temps, à mesure que vous identifiez d’autres scénarios métier. En utilisant les valeurs par défaut et l’étiquetage automatique côté client, vous traitez tout le contenu nouveau et mis à jour.

Simuler l’étiquetage automatique des fichiers sensibles au repos

L’étiquetage automatique côté service étiquette les fichiers au repos dans SharePoint et OneDrive, et fournit plus de conditions. Il prend actuellement en charge l’étiquetage automatique, jusqu’à 500 000 fichiers par jour dans votre organisation et jusqu’à 20 000 000 de fichiers correspondants dans une simulation de stratégie.

Alors que l’étiquetage automatique côté client est limité au contenu sensible, l’étiquetage automatique côté service ajoute une prise en charge des conditions contextuelles telles que :

  • Le contenu est partagé
  • L’extension de fichier est
  • Le nom du document contient des mots ou des expressions
  • La propriété du document est
  • La taille du document est égale ou supérieure à
  • Document créé par

Ces conditions, associées à la sélection de sites spécifiques et du OneDrive de l’utilisateur, permettent à votre organisation de hiérarchiser le contenu à étiqueter en premier.

Par exemple, si votre organisation utilise des modèles avec des propriétés de document ou des préfixes de nom de document, vous pouvez exécuter une stratégie sur tous les sites SharePoint et OneDrive. Vous pouvez également établir des priorités en fonction de la taille du fichier ou des documents créés par vos équipes de direction.

Vous pouvez finaliser l’étiquetage de tous les documents à l’aide d’extensions de fichiers Office/PDF dans des lots de sites SharePoint et les définir pour qu’ils correspondent à l’étiquette de leur site respectif, en commençant par les sites de sensibilité plus élevée, en interceptant progressivement les sites Général .

Enfin, vous pouvez implémenter davantage d’étiquetage automatique côté service pour le contenu hautement confidentiel , souvent avec des seuils plus élevés que ceux utilisés dans l’étiquetage automatique côté client afin de réduire les faux positifs potentiels.

Réduire les faux positifs grâce à des classifieurs avancés

Cette section explique les principes de base des classifieurs avancés et quand les utiliser.

Dans le contexte de ce blueprint sécurisé par défaut, concentrez-vous sur l’utilisation de classifieurs avec étiquetage automatique pour le contenu hautement confidentiel. Les classificateurs avancés sont limités aux classificateurs pouvant être formés. Dans la plupart des cas, les types d’informations sensibles (SIT) sont un mélange de modèles et de mots clés. Les modèles tels que Informations d’intégrité protégées (PHI) et Informations d’identification personnelle (PII) peuvent retourner de nombreux faux positifs, car ils ne peuvent pas déterminer le contexte ou peuvent être des faux positifs pour votre organisation.

Les administrateurs Microsoft Purview peuvent réduire les faux positifs en :

Les classificateurs pouvant être formés utilisent le Machine Learning pour identifier les modèles de document. Microsoft Purview fournit plusieurs classifieurs pré-entraînés tels que des documents juridiques, des documents commerciaux stratégiques et des informations financières. Vous pouvez également créer et entraîner des classifieurs personnalisés à partir d’une bibliothèque de documents SharePoint.

En utilisant à la fois des TIS et des classifieurs pouvant être formés, vous pouvez affiner votre étendue – par exemple, contient des SIT de cartes de crédit et des classificateurs pouvant être formés à l’information financière.

La correspondance exacte des données et l’empreinte des documents ne sont actuellement pas disponibles pour l’étiquetage automatique, mais doivent être prises en compte dans votre stratégie globale de protection contre la perte de données (DLP) Microsoft Purview. À l’instar des classificateurs pouvant être formés, ils peuvent tous deux contribuer à réduire les faux positifs. En utilisant EDM, vous pouvez, par exemple, rechercher contient un SSN prêt à l’emploi, puis le vérifier par rapport à votre SIT EDM pour vérifier qu’il s’agit d’un SSN d’un de vos clients ou employés. L’EDM vous permet de stocker en toute sécurité un hachage d’informations à rechercher.

L’empreinte digitale des documents fonctionne différemment des classificateurs pouvant être formés en identifiant les modèles de document et en les utilisant dans les stratégies DLP. Cette méthode est particulièrement utile si votre organisation utilise des modèles standardisés. Vous pouvez utiliser ces modèles pour créer une empreinte digitale précise.

Automatiser et améliorer la protection Microsoft 365 des données historiques et en cours d’utilisation

Dans la dernière partie de cette étape, passez en revue les options permettant d’appliquer rétroactivement des étiquettes sur vos sites SharePoint existants et d’appliquer les étiquettes de bibliothèque par défaut en conséquence.

À ce stade, vous avez configuré les valeurs par défaut dans tout l’environnement et arrêté la prolifération des sites et des documents non étiquetés. Vous avez commencé à traiter les sites et bibliothèques d’étiquetage manuellement sur les sites prioritaires et vous envisagez de mettre à l’échelle ce processus dans l’ensemble de votre patrimoine de contenu Microsoft 365.

Envisagez quelques stratégies :

  • Utiliser les propriétaires de sites – Communiquez aux propriétaires de sites qu’ils doivent configurer une étiquette sur leur site et leur bibliothèque par défaut. Si vous envisagez d’utiliser la deuxième option, incluez des mentions indiquant qu’elle reçoit automatiquement une nouvelle valeur par défaut à une date cible.
  • Exécutez des scripts d’automatisation sur les sites non étiquetés restants : utilisez l’API Graph pour identifier les sites non étiquetés et configurez l’étiquette du conteneur et l’étiquette de bibliothèque par défaut sur « Confidentiel\Tous les employés ».
  • Si vous le souhaitez, empêcher le partage de fichiers non étiquetés uniquement : en utilisant des mesures précédentes telles que la protection contre la perte de données sur le contenu non étiqueté et l’étiquetage automatique des fichiers, vous pouvez choisir de laisser les sites expirer naturellement plutôt que de scripter des actions rétroactives pour tous les sites.
  • Capturer une chronologie des sites non étiquetés : si vous envisagez d’utiliser l’étiquetage automatique côté service pour toutes vos données historiques en fonction des étiquettes de conteneur, capturez le moment où les étiquettes de conteneur sont ajoutées et ajoutez progressivement de nouveaux sites étiquetés dans vos stratégies d’étiquetage automatique.

Votre posture de risque définit la meilleure façon d’aborder toutes les stratégies, ou éventuellement de les utiliser progressivement. Bien que la sécurisation de votre patrimoine de données soit importante, cela peut s’avérer une tâche complexe en fonction de sa taille. Commencez petit et itérez souvent.

Vous pouvez écrire des étiquettes de confidentialité sur des sites SharePoint à l’aide Set-PnPTenantSite du paramètre et .SensitivityLabel

Pour l’étiquette de bibliothèque par défaut, définissez le paramètre à l’aide de l’API DefaultSensitivityLabelForLibrary REST sur une bibliothèque. Un exemple est fourni dans cet article.

Résumé

Étape suivante

Étape 4 : Exploiter, étendre et rétroactivement les actions

  • Dernière mise à jour :