Gestire i dati personali per Azure Information Protection

Nota

Si sta cercando Microsoft Purview Information Protection, in precedenza Microsoft Information Protection (MIP)?

Il client di etichettatura unificata di Azure Information Protection è ora in modalità di manutenzione. È consigliabile usare etichette predefinite per le app e i servizi Office 365. Ulteriori informazioni

Quando si configura e usa Azure Information Protection, gli indirizzi di posta elettronica e gli indirizzi IP vengono archiviati e usati dal servizio Azure Information Protection. Questi dati personali si trovano negli elementi seguenti:

  • Utenti con privilegi avanzati e amministratori delegati per il servizio protezione

  • Log di amministrazione per il servizio protezione

  • Log di utilizzo per il servizio protezione

  • Log di utilizzo per i client di Azure Information Protection e il client RMS

Nota

Questo articolo illustra la procedura di eliminazione dei dati personali dal dispositivo o servizio e può essere usato a supporto delle obbligazioni derivanti dal Regolamento generale sulla protezione dei dati (GDPR). Per informazioni sul Regolamento generale sulla protezione dei dati, vedere la sezione GDPR di Service Trust Portal.

Visualizzazione dei dati personali usati da Azure Information Protection

  • Client di etichettatura unificata:

    Per il client di etichettatura unificata, le etichette di riservatezza e i criteri di etichetta vengono configurati nel Portale di conformità di Microsoft Purview. Per altre informazioni, vedere la documentazione di Microsoft 365.

Nota

Quando si usa Azure Information Protection per classificare e proteggere documenti e messaggi di posta elettronica, è possibile che gli indirizzi di posta elettronica e gli indirizzi IP degli utenti vengano salvati in file di log.

Utenti con privilegi avanzati e amministratori delegati per il servizio protezione

Eseguire il cmdlet Get-AipServiceSuperUser e il cmdlet get-aipservicerolebasedadministrator per vedere quali utenti sono stati assegnati il ruolo utente con privilegi avanzati o il ruolo di amministratore globale per il servizio protezione (Azure Rights Management) da Azure Information Protection. Per gli utenti cui sono stati assegnati questi ruoli, vengono visualizzati i rispettivi indirizzi e-mail.

Log di amministrazione per il servizio protezione

Eseguire il cmdlet Get-AipServiceAdminLog per ottenere un log delle azioni di amministratore per il servizio protezione (Azure Rights Management) da Azure Information Protection. Questo log include dati personali sotto forma di indirizzi di posta elettronica e indirizzi IP. Il log è in testo normale e, una volta scaricato, è possibile cercare offline le informazioni su un amministratore specifico.

Ad esempio:

PS C:\Users> Get-AipServiceAdminLog -Path '.\Desktop\admin.log' -FromTime 4/1/2018 -ToTime 4/30/2018 -Verbose
The Rights Management administration log was successfully generated and can be found at .\Desktop\admin.log.

Log di utilizzo per il servizio protezione

Eseguire il cmdlet Get-AipServiceUserLog per recuperare un log di azioni dell'utente finale che usano il servizio di protezione da Azure Information Protection. Il log può includere dati personali sotto forma di indirizzi di posta elettronica e indirizzi IP. Il log è in testo normale e, una volta scaricato, è possibile cercare offline le informazioni su un amministratore specifico.

Ad esempio:

PS C:\Users> Get-AipServiceUserLog -Path '.\Desktop\' -FromDate 4/1/2018 -ToDate 4/30/2018 -NumberOfThreads 10
Acquiring access to your user log…
Downloading the log for 2018-04-01.
Downloading the log for 2018-04-03.
Downloading the log for 2018-04-06.
Downloading the log for 2018-04-09.
Downloading the log for 2018-04-10.
Downloaded the log for 2018-04-01. The log is available at .\Desktop\rmslog-2018-04-01.log.
Downloaded the log for 2018-04-03. The log is available at .\Desktop\rmslog-2018-04-03.log.
Downloaded the log for 2018-04-06. The log is available at .\Desktop\rmslog-2018-04-06.log.
Downloaded the log for 2018-04-09. The log is available at .\Desktop\rmslog-2018-04-09.log.
Downloaded the log for 2018-04-10. The log is available at .\Desktop\rmslog-2018-04-10.log.
Downloading the log for 2018-04-12.
Downloading the log for 2018-04-13.
Downloading the log for 2018-04-14.
Downloading the log for 2018-04-16.
Downloading the log for 2018-04-18.
Downloaded the log for 2018-04-12. The log is available at .\Desktop\rmslog-2018-04-12.log.
Downloaded the log for 2018-04-13. The log is available at .\Desktop\rmslog-2018-04-13.log.
Downloaded the log for 2018-04-14. The log is available at .\Desktop\rmslog-2018-04-14.log.
Downloaded the log for 2018-04-16. The log is available at .\Desktop\rmslog-2018-04-16.log.
Downloaded the log for 2018-04-18. The log is available at .\Desktop\rmslog-2018-04-18.log.
Downloading the log for 2018-04-24.
Downloaded the log for 2018-04-24. The log is available at .\Desktop\rmslog-2018-04-24.log.

Log di utilizzo per i client di Azure Information Protection e il client RMS

Quando vengono applicate etichette e protezione a documenti e messaggi di posta elettronica, gli indirizzi di posta elettronica e gli indirizzi IP possono essere archiviati nel computer di un utente nei percorsi seguenti:

  • Per il client di etichettatura unificata di Azure Information Protection: %localappdata%\Microsoft\MSIP\Logs

  • Per il client RMS: %localappdata%\Microsoft\MSIPC\msip\Logs

Inoltre, il client di Azure Information Protection registra questi dati personali nel registro eventi di Windows locale Registri applicazioni e servizi di>Azure Information Protection.

Quando il client di Azure Information Protection esegue lo scanner, i dati personali vengono salvati in %localappdata%\Microsoft\MSIP\Scanner\Reports nel computer Windows Server che esegue lo scanner.

È possibile disattivare la registrazione di informazioni per il client Azure Information Protection e lo scanner usando le configurazioni seguenti:

Nota

Se si è interessati a visualizzare o eliminare i dati personali, consultare le linee guida di Microsoft in Microsoft Purview Compliance Manager e nella sezione GDPR del sito di conformità Microsoft 365 Enterprise. Se si cercano le informazioni generali sull'RGPD, vedere la sezione sull'RGPD del portale del servizio attendibile.

Log di rilevamento dei documenti

Rilevante per: Protezione di Rights Management Service solo con il portale di rilevamento legacy

Eseguire il cmdlet Get-AipServiceDocumentLog per recuperare informazioni dal sito di rilevamento dei documenti su un utente specifico. Per ottenere informazioni di rilevamento associate ai log dei documenti, usare il cmdlet Get-AipServiceTrackingLog .

Ad esempio:

PS C:\Users> Get-AipServiceDocumentLog -UserEmail "admin@aip500.onmicrosoft.com"


ContentId             : 6326fcb2-c465-4c24-a7f6-1cace7a9cb6f
Issuer                : admin@aip500.onmicrosoft.com
Owner                 : admin@aip500.onmicrosoft.com
ContentName           :
CreatedTime           : 3/6/2018 10:24:00 PM
Recipients            : {
                        PrimaryEmail: johndoe@contoso.com
                        DisplayName: JOHNDOE@CONTOSO.COM
                        UserType: External,
                        PrimaryEmail: alice@contoso0110.onmicrosoft.com
                        DisplayName: ALICE@CONTOSO0110.ONMICROSOFT.COM
                        UserType: External
                        }
TemplateId            :
PolicyExpires         :
EULDuration           :
SendRegistrationEmail : True
NotificationInfo      : Enabled: False
                        DeniedOnly: False
                        Culture:
                        TimeZoneId:
                        TimeZoneOffset: 0
                        TimeZoneDaylightName:
                        TimeZoneStandardName:

RevocationInfo        : Revoked: False
                        RevokedTime:
                        RevokedBy:


PS C:\Users> Get-AipServiceTrackingLog -UserEmail "admin@aip500.onmicrosoft.com"

ContentId            : 6326fcb2-c465-4c24-a7f6-1cace7a9cb6f
Issuer               : admin@aip500.onmicrosoft.com
RequestTime          : 3/6/2018 10:45:57 PM
RequesterType        : External
RequesterEmail       : johndoe@contoso.com
RequesterDisplayName : johndoe@contoso.com
RequesterLocation    : IP: 167.220.1.54
                       Country: US
                       City: redmond
                       Position: 47.6812453974602,-122.120736471666

Rights               : {VIEW,OBJMODEL}
Successful           : False
IsHiddenInfo         : False

Non è possibile cercare per ObjectID. Tuttavia, il parametro -UserEmail non impone una restrizione e l'indirizzo di posta elettronica specificato non deve necessariamente fare parte del tenant. Se l'indirizzo di posta elettronica è archiviato in un punto qualsiasi nei log di rilevamento dei documenti, la voce di rilevamento dei documenti viene restituita nell'output del cmdlet.

Sicurezza e controllo dell'accesso alle informazioni personali

I dati personali visualizzati e specificati nel portale di Azure sono accessibili solo agli utenti cui è stato assegnato uno dei ruoli di amministratore di Azure Active Directory seguenti:

  • Amministratore di Azure Information Protection

  • Amministratore di conformità

  • Amministratore dati di conformità

  • Amministratore della sicurezza

  • Lettore di sicurezza

  • Amministratore globale

  • Ruolo con autorizzazioni di lettura globali

I dati personali visualizzati e specificati tramite il modulo AIPService (o il modulo precedente, AADRM) sono accessibili solo agli utenti a cui è stato assegnato l'amministratore di Azure Information Protection, l'amministratore della conformità, l'amministratore dei dati di conformità o i ruoli di amministratore globale di Azure Active Directory o il ruolo di amministratore globale per il servizio protezione.

Aggiornamento dei dati personali

Le etichette di riservatezza e i criteri di etichetta vengono configurati nel Portale di conformità di Microsoft Purview. Per altre informazioni, vedere la documentazione di Microsoft 365.

Per le impostazioni di protezione, è possibile aggiornare le stesse informazioni usando i cmdlet di PowerShell dal modulo AIPService.

Non è possibile aggiornare gli indirizzi di posta elettronica per gli utenti con privilegi avanzati e gli amministratori con delega. Rimuovere invece l'account utente specificato e aggiungere l'account utente con l'indirizzo di posta elettronica aggiornato.

Utenti con privilegi avanzati e amministratori delegati per il servizio protezione

Quando è necessario aggiornare un indirizzo di posta elettronica per un utente con privilegi avanzati:

  1. Usare Remove-AipServiceSuperUser per rimuovere l'utente e l'indirizzo di posta elettronica precedente.

  2. Usare Add-AipServiceSuperUser per aggiungere l'utente e il nuovo indirizzo di posta elettronica.

Quando è necessario aggiornare un indirizzo di posta elettronica per un amministratore con delega:

  1. Usare Remove-AipServiceRoleBasedAdministrator per rimuovere l'utente e l'indirizzo di posta elettronica precedente.

  2. Usare Add-AipServiceRoleBasedAdministrator per aggiungere l'utente e il nuovo indirizzo di posta elettronica.

Eliminazione dei dati personali

Le etichette di riservatezza e i criteri di etichetta vengono configurati nel Portale di conformità di Microsoft Purview. Per altre informazioni, vedere la documentazione di Microsoft 365.

Per le impostazioni di protezione, è possibile eliminare le stesse informazioni usando i cmdlet di PowerShell dal modulo AIPService.

Per eliminare gli indirizzi di posta elettronica per gli utenti con privilegi avanzati e gli amministratori delegati, rimuovere questi utenti usando il cmdlet Remove-AipServiceSuperUser e Remove-AipServiceRoleBasedAdministrator.

Per eliminare i dati personali nei log di rilevamento dei documenti, nei log di amministrazione o nei log di utilizzo per il servizio protezione, usare la sezione seguente per generare una richiesta con supporto tecnico Microsoft.

Per eliminare i dati personali nei file di log del client e nei log dello scanner archiviati nei computer, usare qualsiasi strumento standard di Windows per eliminare i file o i dati personali all'interno dei file.

Per eliminare dati personali con il supporto tecnico Microsoft

Usare i tre passaggi seguenti per richiedere a Microsoft di eliminare i dati personali nei log di rilevamento dei documenti, nei log di amministrazione o nei log di utilizzo per il servizio protezione.

Passaggio 1: Generare la richiesta di eliminazioneContattare il supporto tecnico Microsoft per aprire un caso di supporto per Azure Information Protection con una richiesta di eliminazione dei dati dal tenant. È necessario dimostrare di essere un amministratore del tenant di Azure Information Protection e tenere presente che la conferma di questo processo richiede diversi giorni. Nell'inviare la richiesta, è necessario fornire informazioni aggiuntive, a seconda dei dati che devono essere eliminati.

  • Per eliminare il log di amministrazione, specificare la data di fine. Verranno eliminati tutti i log di amministrazione fino alla data di fine specificata.
  • Per eliminare i log sull'utilizzo, specificare la data di fine. Verranno eliminati tutti i log sull'utilizzo fino alla data di fine specificata.
  • Per eliminare i log di rilevamento dei documenti, specificare la data di fine e UserEmail. Tutte le informazioni di rilevamento dei documenti relative a UserEmail fino alla data di fine verranno eliminate. L'espressione regolare (formato Perl) per UserEmail è supportata.

L'eliminazione di questi dati è un'operazione permanente. Al termine dell'elaborazione di una richiesta di eliminazione, non sarà possibile recuperare i dati in alcun modo. Si consiglia agli amministratori di esportare i dati necessari prima di inviare una richiesta di eliminazione.

Passaggio 2: Attendere la verifica Microsoft verificherà la legittimità della richiesta di eliminazione di uno o più log. Questo processo può richiedere fino a cinque giorni lavorativi.

Fase 3: Ottenere la conferma dell'eliminazione Il servizio di supporto tecnico Microsoft invierà un messaggio di posta elettronica di conferma dell'avvenuta eliminazione dei dati.

Esportazione dei dati personali

Quando si usano i cmdlet di PowerShell AIPService o AADRM, i dati personali vengono resi disponibili per la ricerca ed l'esportazione come oggetto PowerShell. L'oggetto di PowerShell può essere convertito in JSON e salvato tramite il cmdlet ConvertTo-Json.

Azure Information Protection segue l'condizioni per la privacy Microsoft per la profilatura e il marketing basati su dati personali.

Controllo e creazione di report

Solo gli utenti che sono stati assegnati autorizzazioni di amministratore possono usare il modulo AIPService o ADDRM per la ricerca e l'esportazione dei dati personali. Queste operazioni vengono registrate nel log di amministrazione che è possibile scaricare.

Per le azioni di eliminazione, la richiesta di supporto funge da audit trail e percorso di segnalazione per le azioni eseguite da Microsoft. Dopo l'eliminazione, i dati eliminati non saranno disponibili per la ricerca ed l'esportazione e l'amministratore può verificare questa operazione usando i cmdlet Get dal modulo AIPService.