En savoir plus sur la sécurité des données réseau Microsoft Purview

La sécurité des données réseau Microsoft Purview aide les organisations à surveiller, classifier et appliquer des protections au trafic d’applications cloud non managées et non approuvées, y compris les applications d’IA générative. Purview fournit ces fonctionnalités par le biais d’intégrations avec une ou plusieurs solutions SASE (Secure Access Service Edge) ou des solutions de navigateur sécurisées :

La sécurité des données réseau utilise les mêmes classifieurs déjà configurés dans d’autres stratégies Microsoft Purview, en étendant la découverte et la protection à la couche réseau via des stratégies de collecte pour la découverte des données, des stratégies de protection contre la perte de données pour la protection, ou les deux, en fonction des besoins de votre organization.

Avec la sécurité des données réseau, vous pouvez identifier, bloquer et alerter sur le contenu sensible partagé par le biais de ces interactions :

  • Interactions avec l’IA générative par le biais de navigateurs, d’applications et de compléments, tels que ChatGPT, Gemini et Claude.
  • Files chargés vers des fournisseurs de stockage cloud non approuvés, notamment Dropbox, Box et Google Drive.
  • E-mails et pièces jointes partagés avec des fournisseurs de messagerie cloud, tels que Gmail.
  • Envoi de formulaires par le biais de services de formulaires en ligne, y compris Google Forms.
  • Publications sur les réseaux sociaux sur des services courants comme Facebook et X.

Avant de commencer

Si vous débutez avec les stratégies de collecte Microsoft Purview, les modèles de facturation de paiement à l’utilisation Microsoft Purview ou microsoft Purview DLP, vous devez vous familiariser avec les informations contenues dans ces articles :

Licences

Pour plus d’informations sur les licences, consultez

  • La sécurité des données réseau avec Entra accès sécurisé global nécessite l’une des combinaisons de licences suivantes (et le paiement à l’utilisation doit être configuré comme indiqué ci-dessous) :

    • Microsoft 365 E7 licences par siège
    • Licences Purview E5 (ou équivalent) par siège et licences Entra Accès à Internet (ou équivalent)

  • La sécurité des données réseau avec des solutions de navigateur non-Microsoft SASE et sécurisées nécessite les éléments suivants :

Remarque

Vous devez configurer le paiement à l’utilisation pour votre client Microsoft 365 avant de créer des stratégies de sécurité des données réseau. Pour plus d’informations sur la configuration du modèle de facturation de paiement à l’utilisation, consultez Activer les fonctionnalités de paiement à l’utilisation de Microsoft Purview pour les nouveaux clients.

Bien que le paiement à l’utilisation soit requis pour configurer les stratégies de sécurité des données réseau, les stratégies appliquées via Entra Accès sécurisé global n’entraînent pas de frais supplémentaires pendant la période de préversion publique.

Fonctionnement de la sécurité des données réseau

D’un point de vue général, la solution de sécurité des données réseau Microsoft Purview combine deux composants :

Solution de sécurité réseau

La solution de sécurité des données réseau intègre des solutions SASE (Secure Access Service Edge) et des solutions de navigateur sécurisé non-Microsoft directement dans Microsoft Purview. Les solutions intégrées surveillent le trafic réseau et envoient les données à Microsoft Purview à des fins de classification et d’évaluation de stratégie. Lorsque vous appliquez des protections via l’utilisation de stratégies DLP, la communication entre la solution intégrée et Microsoft Purview est en temps réel. Si vous utilisez la sécurité des données réseau pour la surveillance uniquement via des stratégies de regroupement, la communication est asynchrone.

Pour plus d’informations sur les intégrations prises en charge, consultez magasin de sécurité dans Protection contre la perte de données Microsoft Purview.

Importante

Si vous choisissez d’intégrer des partenaires non-Microsoft, ceux-ci pourront accéder à et éventuellement stocker une configuration de stratégie, y compris des identificateurs d’utilisateur. Leurs conditions générales et leur politique de confidentialité régissent l’utilisation et le stockage de ces données.

Microsoft Purview

Vous configurez l’intégration entre Microsoft Purview et la solution de sécurité réseau à l’aide du magasin de sécurité. Cette intégration établit le canal de communication bidirectionnel entre la solution de sécurité réseau et Microsoft Purview.

Ensuite, configurez une stratégie de collecte ou de protection contre la perte de données qui définit les conditions, les activités et les applications cloud que vous souhaitez que la solution de sécurité réseau collecte et envoie à Microsoft Purview.

Microsoft Purview envoie les valeurs de configuration de stratégie DLP et de collecte appropriées à votre solution de sécurité réseau intégrée, et la solution envoie toutes les données réseau correspondantes à Microsoft Purview pour la classification et l’évaluation de la stratégie. Si vous configurez la capture de contenu dans la stratégie de collecte, la conversation complète qui se produit entre l’utilisateur et l’application IA est également capturée et envoyée à Microsoft Purview.

Une fois les données classifiées, elles sont disponibles dans l’Explorateur d’activités et l’Explorateur d’activités dans DSPM pour l’IA. Si une stratégie de protection contre la perte de données est mise en correspondance et que vous avez configuré des alertes, elles sont disponibles dans les alertes DLP.

Après avoir configuré l’intégration entre Microsoft Purview et votre solution de sécurité réseau, prévoyez jusqu’à 24 heures pour que vos stratégies soient distribuées à la solution de sécurité réseau et que les premières données s’affichent. Une fois que les deux services communiquent pleinement entre eux, l’affichage des données relatives à une demande d’un client vers un site web ou une application cloud peut prendre jusqu’à 30 minutes.

Importante

Les stratégies de sécurité des données réseau Purview ne s’appliquent pas aux utilisateurs invités B2B.

Configuration de la stratégie de collecte de données réseau prise en charge

Le côté Microsoft Purview de la configuration s’effectue via une stratégie de regroupement. Voici les options de configuration prises en charge :

  • Conditions : les conditions que vous pouvez utiliser dans une stratégie de collecte de données réseau sont les mêmes que celles que vous pouvez utiliser dans d’autres stratégies Microsoft Purview. Par exemple, vous pouvez utiliser la condition Content contains>Sensitive information types (Types d’informations sensibles) pour classifier les éléments sensibles qui sont partagés avec l’IA générative et d’autres applications cloud non managées.

  • Activités : la sécurité des données réseau prend en charge quatre activités :

    • Texte envoyé ou partagé avec une application cloud ou IA.
    • Fichier chargé ou partagé avec une application cloud ou IA.
    • Texte reçu à partir d’une application cloud ou IA.
    • Fichier téléchargé à partir d’une application cloud ou IA.

Remarque

Les activités prises en charge peuvent varier en fonction de la solution SASE intégrée. Contactez votre fournisseur de solutions SASE pour plus d’informations sur les activités prises en charge.

  • Sources de données : il s’agit des emplacements avec ux auxquels l’appareil de point de terminaison communique.
    • Applications cloud non managées : les stratégies de collecte de données réseau prennent en charge toutes les sources figurant dans le catalogue d’applications cloud Microsoft Defender for Cloud Apps, qui comprend plus de 35 000 applications cloud détectables.
    • Étendues d’application adaptatives : toutes les applications dans plusieurs catégories, notamment l’IA générative, le stockage cloud, la collaboration, le réseau social et la messagerie web.

Considérations relatives aux stratégies d’applications cloud non managées

Passez en revue ces informations lorsque vous configurez des stratégies qui incluent des applications cloud non managées, ou lorsque vous résolvez les problèmes de comportement de stratégie inattendu :

  • Lorsqu’il existe plusieurs entrées de catalogue pour la même application avec des différences dans le nom de l’entrée (par exemple, QwenAI et Qwen Chat), incluez toutes les entrées pour l’application afin d’éviter les écarts de couverture involontaires.
  • Certaines applications IA non managées telles que Runway et Meta AI peuvent envoyer par intermittence du contenu sous forme codée à des points de terminaison générés dynamiquement, ce qui peut avoir un impact sur l’application de la stratégie.
  • Les stratégies qui ciblent les applications non managées peuvent capturer des interactions à partir des versions grand public et entreprise d’une application lorsque l’URL de l’application est partagée entre des instances (par exemple, ChatGPT consommateur et ChatGPT entreprise).

Remarque

Les fonctionnalités d’application cloud non managées s’appliquent uniquement à la version grand public de Microsoft 365 Copilot. Pour plus d’informations sur la version entreprise et les fonctionnalités purview disponibles, consultez En savoir plus sur les protections Microsoft 365 Copilot Entreprise.

Configuration de la stratégie de protection contre la perte de données réseau prise en charge

Le côté Microsoft Purview de la configuration s’effectue via une stratégie de protection contre la perte de données. Voici les options de configuration prises en charge :

  • Sources de données : il s’agit des emplacements avec ux auxquels l’appareil de point de terminaison communique.

    • Applications cloud non managées : les stratégies de collecte de données réseau prennent en charge toutes les sources figurant dans le catalogue d’applications cloud Microsoft Defender for Cloud Apps, qui comprend plus de 35 000 applications cloud détectables.
    • Étendues d’application adaptatives : toutes les applications dans plusieurs catégories, notamment l’IA générative, le stockage cloud, la collaboration, le réseau social et la messagerie web.

  • Conditions : les conditions que vous pouvez utiliser dans une stratégie de collecte de données réseau sont les mêmes que celles que vous pouvez utiliser dans d’autres stratégies Microsoft Purview. Par exemple, vous pouvez utiliser la condition Content contains>Sensitive information types (Types d’informations sensibles) pour classifier les éléments sensibles qui sont partagés avec l’IA générative et d’autres applications cloud non managées.

  • Actions - La sécurité des données réseau prend en charge les actions Audit uniquement et Bloquer pour les activités suivantes :

    • Texte envoyé ou partagé avec une application cloud ou IA.
    • Fichier chargé ou partagé avec une application cloud ou IA.
    • Texte reçu à partir d’une application cloud ou IA.
    • Fichier téléchargé à partir d’une application cloud ou IA.

Remarque

Les activités et actions prises en charge peuvent varier en fonction de la solution intégrée. Contactez votre fournisseur de solutions pour plus d’informations sur les activités prises en charge.

Stratégie par défaut de Gestion de la posture de sécurité des données Microsoft Purview pour l’IA

Gestion de la posture de sécurité des données Microsoft Purview pour l’IA (DSPM pour l’IA) propose des recommandations pour surveiller les communications avec les applications d’IA génératives. Sélectionnez la recommandation Étendre les insights aux données sensibles dans les interactions d’application IA pour créer une stratégie en un clic nommée DSPM pour IA - Détecter les informations sensibles partagées avec l’IA via le réseau. Une fois créée, vous pouvez modifier cette stratégie par défaut pour la sécurité des données réseau comme vous le feriez pour toute stratégie de collecte.

Protocoles réseau pris en charge

En préversion, la sécurité des données réseau prend en charge la classification du trafic envoyé à partir d’un appareil de point de terminaison via des protocoles HTTP et HTTPS vers des sites web, des applications cloud et des services d’IA générative.

Accès aux données de sécurité des données réseau

Les données de la sécurité des données réseau apparaissent dans l’Explorateur d’activités, Gestion de la posture de sécurité des données pour l’IA les événements de l’Explorateur d’activités et, si les alertes sont activées, les alertes DLP.

Explorateur d’activités

Dans l’Explorateur d’activités, vous pouvez filtrer sur le plan d’application défini sur réseau. Ce filtre affiche les événements de classification générés par les stratégies de collecte de données réseau.

Modèle de facturation

La sécurité des données réseau utilise la requête comme unité de mesure pour la facturation du paiement à l’utilisation. Une requête correspond à chaque appel réseau effectué à partir d’un appareil ou d’un navigateur vers un site web ou une API. Cette définition n’inclut pas les réponses aux demandes. Pour plus d’informations sur la facturation avec paiement à l’utilisation pour la sécurité des données réseau, consultez Autres solutions Microsoft Purview qui utilisent la tarification et les demandes de paiement à l’utilisation.

Voici quelques exemples :

Activité Type de données Exemple
Texte envoyé ou partagé avec une application cloud ou IA Chaînes lisibles par l’homme transmises inline - envoi d’un formulaire avec des informations
textuelles - envoi de texte brut ou d’une invite à une IA
générative - corps d’un e-mail
- envoi de données JSON à une API
Fichier chargé ou partagé avec une application cloud ou IA Flux d’octets, y compris les fichiers texte, fichiers binaires, fichiers txt, code source, documents, images, vidéos, .exe, .pdf, fichiers d’archivage - Chargement d’une image de profil sur les réseaux
sociaux - envoi d’un document ou d’un fichier .pdf sous forme de pièce jointe
à un e-mail - partage d’un document avec l’IA
générative - transfert d’un document ou d’un .zip fichiers vers une solution de stockage cloud

Étapes suivantes

  • Last updated on