Creare e distribuire criteri di prevenzione della perdita dei dati

Prevenzione della perdita dei dati Microsoft Purview I criteri di Microsoft Purview (DLP) includono molte opzioni di configurazione. Ogni opzione modifica il comportamento del criterio. Gli articoli di questa serie illustrano alcuni degli scenari più comuni dei criteri di prevenzione della perdita dei dati. Vengono fornite informazioni dettagliate sulla configurazione di queste opzioni per offrire un'esperienza pratica con il processo di creazione dei criteri di prevenzione della perdita dei dati. Quando si acquisisce familiarità con questi scenari, si acquisiscono le competenze fondamentali necessarie per usare l'esperienza utente di creazione di criteri DLP per creare criteri personalizzati.

La modalità di distribuzione di un criterio è importante quanto la progettazione dei criteri. Sono disponibili più opzioni per controllare la distribuzione dei criteri, tra cui lo stato, le azioni e l'ambito dei criteri, come descritto nella sezione Distribuire e gestire i criteri DLP di questo articolo. Questo articolo illustra come usare queste opzioni in modo che il criterio raggiunga il tuo scopo evitando costose interruzioni dell'attività.

In anteprima Puoi modificare il nome visualizzato dei criteri e delle regole di prevenzione della perdita dei dati. Dopo aver rinominato un criterio o una regola, tutti i record esistenti mantengono il nome precedente negli eventi di Esplora attività, negli avvisi e nei record di controllo. I nuovi record rifletteranno il nuovo nome negli eventi di Esplora attività, negli avvisi e nei record di controllo. Questi nomi rimarranno fino a quando gli elementi non usciranno dal sistema.

Orientarsi verso la prevenzione della perdita dei dati

1. Unità amministrative
2. Informazioni sulla prevenzione della perdita dei dati di Microsoft Purview
3. Pianificare la prevenzione della perdita dei dati (DLP): Lavorando su questo articolo, potrai:
   1. Identificare gli stakeholder
   2. Descrivere le categorie di informazioni sensibili da proteggere
   3. Definisci obiettivi e strategia
4. Panoramica della soluzione Criteri di raccolta
5. Informazioni di riferimento sui criteri di raccolta
6. Informazioni di riferimento sui criteri di prevenzione della perdita dei dati : questo articolo introduce tutti i componenti di un criterio di prevenzione della perdita dei dati e il modo in cui ciascuno di essi influisce sul comportamento di un criterio
7. Progettare un criterio di prevenzione della perdita dei dati : questo articolo illustra come creare una dichiarazione di intento del criterio e come eseguirne il mapping a una configurazione specifica del criterio.
8. Creare e distribuire criteri di prevenzione della perdita dei dati : questo articolo presenta alcuni scenari comuni di finalità dei criteri associati alle opzioni di configurazione e illustra come configurare tali opzioni.
9. Informazioni su come analizzare gli avvisi di prevenzione della perdita di dati : questo articolo illustra il ciclo di vita degli avvisi, dalla creazione alla correzione finale e all'ottimizzazione dei criteri. Vengono inoltre presentati gli strumenti usati per analizzare gli avvisi.

Licenze per SKU/abbonamenti

Per informazioni sulle licenze, vedere

• Piani di Microsoft 365 Enterprise
• Descrizioni dei servizi di Microsoft 365

Autorizzazioni

L'account usato per creare e distribuire i criteri deve essere membro di uno di questi gruppi di ruoli:

• Amministratore di conformità
• Amministratore dati di conformità
• Azure Information Protection
• Amministratore di Information Protection
• Amministratore della sicurezza

Importante

Prima di iniziare, assicurarsi di aver compreso la differenza tra un amministratore senza restrizioni e un amministratore con restrizioni di unità amministrative leggendo Unità amministrative.

Ruoli e gruppi di ruoli granulari

È possibile usare questi ruoli e gruppi di ruoli per ottimizzare i controlli di accesso.

Ecco un elenco dei ruoli applicabili. Per altre informazioni, vedere Autorizzazioni nel portale di Microsoft Purview.

• Gestione della conformità DLP
• Amministratore di Information Protection
• Analista di Information Protection
• Investigatore di Information Protection
• Lettore di Information Protection

Ecco un elenco dei gruppi di ruoli applicabili. Per altre informazioni, vedere Autorizzazioni nel portale di Microsoft Purview.

• Azure Information Protection
• Amministratori di Information Protection
• Analisti di Information Protection
• Investigatori di Information Protection
• Lettori di Information Protection

Scenari di creazione di criteri per applicazioni & dispositivi aziendali

L'articolo precedente, Progettare un criterio DLP, presenta la metodologia per creare una dichiarazione di intento del criterio e quindi mappare tale dichiarazione di intento alle opzioni di configurazione del criterio.

• Impedire la condivisione dei numeri delle carte di credito tramite posta elettronica
• Impedire la condivisione di elementi sensibili tramite SharePoint e OneDrive con utenti esterni
• Proteggere i file che Prevenzione perdita dati endpoint non riesce a analizzare
• Proteggere i file non analizzati da Prevenzione perdita dati endpoint
• Protezione dalla condivisione di un set definito di file non supportati
• Disabilitare l'analisi della prevenzione della perdita dei dati di Microsoft Purview per alcuni file supportati e applicare i controlli
• Impedire la condivisione dei report di Power BI con numeri di carta di credito

Scenari di creazione di criteri per il traffico Web inline

Gli scenari seguenti mostrano come creare criteri DLP per il traffico Web inline.

• Impedire la condivisione tramite Microsoft Edge for Business con app IA non gestite da dispositivi gestiti
• Impedire agli utenti di condividere informazioni sensibili con le app cloud in Edge for Business
• Evitare la condivisione di informazioni sensibili con app IA non gestite tramite la sicurezza dei dati di rete

Distribuire e gestire i criteri di prevenzione della perdita dei dati

Una distribuzione efficace dei criteri non consiste solo nell'inserire i criteri nell'ambiente per applicare controlli sulle azioni degli utenti. Una distribuzione casuale e affrettata può avere un impatto negativo sui processi aziendali e infastidire gli utenti. Queste conseguenze rallentano l'accettazione della tecnologia DLP nell'organizzazione e dei comportamenti più sicuri che promuove. In definitiva, queste conseguenze rendono i tuoi oggetti sensibili meno sicuri a lungo termine.

Prima di iniziare la distribuzione, assicurarsi di leggere la distribuzione dei criteri. Offre un'ampia panoramica del processo di distribuzione dei criteri e indicazioni generali.

Le linee guida seguenti illustrano i tre tipi di controlli di distribuzione, ovvero stato, azioni e ambito, che possono essere usati insieme per gestire i criteri in produzione. È possibile modificare uno qualsiasi di questi controlli in qualsiasi momento, non solo durante la creazione dei criteri.

Tre assi di gestione della distribuzione

Usare tre assi per controllare il processo di distribuzione dei criteri: ambito, stato e azioni. Adottare sempre un approccio incrementale alla distribuzione di un criterio, a partire dalla modalità di simulazione DLP meno efficace fino all'applicazione completa.

Configurazioni consigliate per i controlli di distribuzione

La tabella seguente riepiloga le combinazioni consigliate di stato dei criteri, ambito e impatto delle azioni durante la distribuzione.

Quando lo stato del criterio è	L'ambito dei criteri può essere	Impatto delle azioni politiche
Eseguire il criterio in modalità di simulazione	L'ambito dei criteri delle posizioni può essere ristretto o ampio	- È possibile configurare qualsiasi azione - Nessun impatto sull'utente dalle azioni configurate - L'Amministrazione visualizza gli avvisi e può tenere traccia delle attività
Eseguire il criterio in modalità di simulazione con suggerimenti per i criteri	L'ambito del criterio deve essere destinato a un gruppo pilota e quindi ampliarlo man mano che si ottimizza il criterio	- È possibile configurare qualsiasi azione - Nessun impatto sull'utente dalle azioni configurate - Gli utenti possono ricevere suggerimenti per i criteri e avvisi - L'Amministrazione visualizza gli avvisi e può tenere traccia delle attività
Attivarla	Tutte le istanze delle località di destinazione	- Tutte le azioni configurate vengono applicate alle attività degli utenti - L'Amministrazione visualizza gli avvisi e può tenere traccia delle attività
Non perdere	n/d	n/d

Stato dei criteri

Lo stato è il controllo primario usato per implementare un criterio. Al termine della creazione del criterio, impostare lo stato del criterio su Mantieni disattivato. Lasciarlo in questo stato mentre si lavora alla configurazione dei criteri e fino a quando non si ottiene una revisione finale e una firma. Imposta lo stato su:

• Eseguire il criterio in modalità di simulazione: non vengono applicate azioni del criterio, gli eventi vengono controllati. In questo stato, è possibile monitorare l'impatto del criterio nella panoramica della modalità di simulazione DLP e nella console di Esplora attività DLP.
• Eseguire i criteri in modalità di simulazione e visualizzare i suggerimenti per i criteri in modalità di simulazione: non vengono applicate azioni, ma gli utenti ricevono suggerimenti sui criteri e messaggi di posta elettronica di notifica per sensibilizzarli e istruirli.
• Attivala subito: questa è una modalità di applicazione completa.
• Non impostarlo: il criterio è inattivo. Usare questo stato durante lo sviluppo e la revisione dei criteri prima della distribuzione.

È possibile modificare lo stato di un criterio in qualsiasi momento.

Azioni dei criteri

Le azioni sono le azioni eseguite da un criterio in risposta alle attività degli utenti sugli elementi sensibili. Poiché è possibile modificare queste azioni in qualsiasi momento, è possibile iniziare con le meno impattive, Consenti (per i dispositivi) e Solo controllo (per tutte le altre posizioni), raccogliere ed esaminare i dati di controllo e usarli per ottimizzare i criteri prima di passare ad azioni più restrittive.

• Consenti: l'attività dell'utente è consentita, quindi nessun processo aziendale viene influenzato. Si ottengono i dati di controllo e non sono presenti notifiche o avvisi degli utenti.

  Nota

  L'azione Consenti è disponibile solo per i criteri che hanno come ambito la posizione dei dispositivi .

• Solo controllo: l'attività dell'utente è consentita, quindi nessun processo aziendale è interessato. Si ottengono dati di controllo e si possono aggiungere notifiche e avvisi per aumentare la consapevolezza e insegnare agli utenti a sapere che ciò che stanno facendo è un comportamento rischioso. Se l'organizzazione intende applicare azioni più restrittive in un secondo momento, è possibile comunicare anche questo agli utenti.

• Blocco con override: l'attività dell'utente è bloccata per impostazione predefinita. È possibile controllare l'evento, generare avvisi e notifiche. Questa azione influisce sul processo aziendale, ma agli utenti viene offerta la possibilità di ignorare il blocco e fornire un motivo per l'override. Poiché si riceve un feedback diretto dagli utenti, questa azione consente di identificare le corrispondenze false positive e può essere usato per ottimizzare ulteriormente il criterio.

  Nota

  Per Exchange Online e SharePoint in Microsoft 365, si configurano le sostituzioni nella sezione di notifica utente.

• Blocco: l'attività dell'utente è bloccata in ogni caso. È possibile controllare l'evento, generare avvisi e notifiche.

Definire l'ambito dei criteri

Ogni criterio ha come ambito una o più posizioni, ad esempio Exchange, SharePoint in Microsoft 365, Teams e Dispositivi. Per impostazione predefinita, quando si seleziona una posizione, tutte le istanze di tale posizione rientrano nell'ambito e nessuna viene esclusa. È possibile specificare ulteriormente le istanze della posizione a cui viene applicato il criterio, ad esempio siti, gruppi, account, gruppi di distribuzione, cassette postali e dispositivi, configurando le opzioni di inclusione/esclusione per la posizione. Per altre informazioni sulle opzioni di inclusione ed esclusione, vedere Percorsi dei criteri DLP.

In generale, si ha una maggiore flessibilità con l'ambito mentre il criterio è in stato Esegui il criterio in modalità di simulazione perché non vengono intraprese azioni. È possibile iniziare solo con l'ambito per cui è stato progettato il criterio o andare avanti per vedere in che modo il criterio influirebbe sugli elementi sensibili in altre posizioni.

Quando si modifica lo stato in Esegui il criterio in modalità di simulazione e mostra suggerimenti per i criteri, restringi l'ambito a un gruppo pilota che può fornire feedback ed essere uno early adopter che può essere una risorsa per altri quando salgono a bordo.

Quando si sposta il criterio per attivarlo immediatamente, si amplia l'ambito in modo da includere tutte le istanze di percorsi che intendevi quando il criterio è stato progettato.

Procedura di distribuzione dei criteri

Usare la procedura seguente per implementare un criterio di prevenzione della perdita dei dati in modo sicuro dalla revisione iniziale fino all'applicazione completa.

1. Dopo aver creato il criterio e aver impostato il relativo stato su Mantenelo disattivato, eseguire una revisione finale con gli stakeholder.
2. Modificare lo stato in Esegui il criterio in modalità di simulazione. L'ambito della posizione può essere ampio a questo punto, quindi è possibile raccogliere dati sul comportamento dei criteri in più posizioni o iniziare da una singola posizione.
3. Ottimizzare i criteri in base ai dati sul comportamento in modo che soddisfino meglio le finalità aziendali.
4. Modificare lo stato in Esegui il criterio in modalità di simulazione e mostra i suggerimenti per i criteri. Perfezionare l'ambito delle posizioni per supportare un gruppo pilota, se necessario, e usare le inclusioni/esclusioni in modo che il criterio venga prima implementato in tale gruppo pilota.
5. Raccogliere il feedback degli utenti e i dati relativi ad avvisi ed eventi. Se necessario, ottimizzare i criteri e i piani. Assicurarsi di risolvere tutti i problemi sollevati dagli utenti. È molto probabile che gli utenti riscontrino problemi e pongano domande su aspetti a cui non si è pensato durante la fase di progettazione. A questo punto, sviluppa un gruppo di utenti con privilegi avanzati. Possono essere una risorsa per la formazione di altri utenti man mano che l'ambito dei criteri aumenta e più utenti salgono a bordo. Prima di passare alla fase successiva della distribuzione, assicurarsi che il criterio abbia raggiunto gli obiettivi di controllo.
6. Cambia lo stato in Attivalo subito. Il criterio è completamente distribuito. Monitorare gli avvisi DLP e Esplora attività DLP. Avvisi relativi all'indirizzo.

Riordino dei criteri di prevenzione della perdita dei dati

Microsoft DLP Purview consente di riordinare i criteri per modificarne la priorità senza modificare le regole, le condizioni o le azioni.

DLP utilizza valori di ordinamento interni con spazi tra di essi per mantenere l'ordine di priorità visualizzato nel portale. Queste lacune consentono al servizio di spostare un criterio senza aggiornare tutti i criteri nell'elenco.

Dopo mosse ripetute, uno spazio può diventare troppo piccolo per adattarsi a un'altra mossa. In questo caso, il servizio ridistribuisce i valori di ordinamento interno per creare nuovi gap. In questo modo viene mantenuto l'ordine dei criteri scelto, ma può essere necessario aggiornare e sincronizzare altri criteri, inclusi quelli non spostati.

I criteri interessati potrebbero mostrare un nuovo timestamp dell'ultima modifica o una modifica dello stato di sincronizzazione dei criteri durante la distribuzione degli aggiornamenti. Queste modifiche riflettono gli aggiornamenti all'ordinamento dei criteri, non le modifiche alle regole, alle condizioni o alle azioni dei criteri. Non esiste un numero fisso di mosse che innesca questo processo; Dipende dall'ordine esistente e dai criteri che si spostano.