Gestire i dati personali per Azure Information Protection

  • Articolo

Nota

Si sta cercando Microsoft Purview Information Protection, in precedenza Microsoft Information Protection (MIP)?

Il componente aggiuntivo Azure Information Protection viene ritirato e sostituito con le etichette integrate nelle app e nei servizi di Microsoft 365. Altre informazioni sullo stato di supporto di altri componenti di Azure Information Protection.

Il nuovo client Microsoft Information Protection (senza il componente aggiuntivo) è attualmente in anteprima e pianificato per la disponibilità generale.

Quando si configura e si usa Azure Information Protection, gli indirizzi di posta elettronica e gli indirizzi IP vengono archiviati e usati dal servizio Azure Information Protection. Questi dati personali sono disponibili negli elementi seguenti:

  • Utenti con privilegi avanzati e amministratori delegati per il servizio protezione

  • log di Amministrazione istration per il servizio di protezione

  • Log di utilizzo per il servizio di protezione

  • Log di utilizzo per i client di Azure Information Protection e il client RMS

Nota

In questo articolo vengono illustrate le procedure per eliminare i dati personali dal dispositivo o dal servizio ed è possibile usare queste informazioni a supporto degli obblighi previsti dal Regolamento generale sulla protezione dei dati (GDPR). Se si stanno cercando informazioni generati su GDPR, vedere la sezione dedicata a GDPR del portale Service Trust.

Visualizzazione dei dati personali usati da Azure Information Protection

  • Client di etichettatura unificata:

    Per il client di etichettatura unificata, le etichette di riservatezza e i criteri di etichetta vengono configurati nel Portale di conformità di Microsoft Purview. Per altre informazioni, vedere la documentazione di Microsoft 365.

Nota

Quando Azure Information Protection viene usato per classificare e proteggere documenti e messaggi di posta elettronica, gli indirizzi di posta elettronica e gli indirizzi IP degli utenti potrebbero essere salvati nei file di log.

Utenti con privilegi avanzati e amministratori delegati per il servizio protezione

Eseguire il cmdlet Get-AipServiceSuperUser e il cmdlet get-aipservicerolebasedadministrator per verificare quali utenti sono stati assegnati al ruolo utente con privilegi avanzati o al ruolo di amministratore globale per il servizio protezione (Azure Rights Management) da Azure Information Protection. Per gli utenti a cui è stato assegnato uno di questi ruoli, vengono visualizzati gli indirizzi di posta elettronica.

log di Amministrazione istration per il servizio di protezione

Eseguire il cmdlet Get-AipService Amministrazione Log per ottenere un log delle azioni di amministratore per il servizio di protezione (Azure Rights Management) da Azure Information Protection. Questo log include i dati personali sotto forma di indirizzi di posta elettronica e indirizzi IP. Il log è in testo non crittografato e, dopo il download, i dettagli di un amministratore specifico possono essere cercati offline.

Ad esempio:

PS C:\Users> Get-AipServiceAdminLog -Path '.\Desktop\admin.log' -FromTime 4/1/2018 -ToTime 4/30/2018 -Verbose
The Rights Management administration log was successfully generated and can be found at .\Desktop\admin.log.

Log di utilizzo per il servizio di protezione

Eseguire il cmdlet Get-AipServiceUserLog per recuperare un log di azioni dell'utente finale che usano il servizio di protezione da Azure Information Protection. Il log può includere dati personali sotto forma di indirizzi di posta elettronica e indirizzi IP. Il log è in testo non crittografato e, dopo il download, i dettagli di un amministratore specifico possono essere cercati offline.

Ad esempio:

PS C:\Users> Get-AipServiceUserLog -Path '.\Desktop\' -FromDate 4/1/2018 -ToDate 4/30/2018 -NumberOfThreads 10
Acquiring access to your user log…
Downloading the log for 2018-04-01.
Downloading the log for 2018-04-03.
Downloading the log for 2018-04-06.
Downloading the log for 2018-04-09.
Downloading the log for 2018-04-10.
Downloaded the log for 2018-04-01. The log is available at .\Desktop\rmslog-2018-04-01.log.
Downloaded the log for 2018-04-03. The log is available at .\Desktop\rmslog-2018-04-03.log.
Downloaded the log for 2018-04-06. The log is available at .\Desktop\rmslog-2018-04-06.log.
Downloaded the log for 2018-04-09. The log is available at .\Desktop\rmslog-2018-04-09.log.
Downloaded the log for 2018-04-10. The log is available at .\Desktop\rmslog-2018-04-10.log.
Downloading the log for 2018-04-12.
Downloading the log for 2018-04-13.
Downloading the log for 2018-04-14.
Downloading the log for 2018-04-16.
Downloading the log for 2018-04-18.
Downloaded the log for 2018-04-12. The log is available at .\Desktop\rmslog-2018-04-12.log.
Downloaded the log for 2018-04-13. The log is available at .\Desktop\rmslog-2018-04-13.log.
Downloaded the log for 2018-04-14. The log is available at .\Desktop\rmslog-2018-04-14.log.
Downloaded the log for 2018-04-16. The log is available at .\Desktop\rmslog-2018-04-16.log.
Downloaded the log for 2018-04-18. The log is available at .\Desktop\rmslog-2018-04-18.log.
Downloading the log for 2018-04-24.
Downloaded the log for 2018-04-24. The log is available at .\Desktop\rmslog-2018-04-24.log.

Log di utilizzo per i client di Azure Information Protection e il client RMS

Quando le etichette e la protezione vengono applicate a documenti e messaggi di posta elettronica, gli indirizzi di posta elettronica e gli indirizzi IP possono essere archiviati nei file di log del computer di un utente nei percorsi seguenti:

  • Per il client di etichettatura unificata di Azure Information Protection: %localappdata%\Microsoft\MSIP\Logs

  • Per il client RMS: %localappdata%\Microsoft\MSIPC\msip\Logs

Inoltre, il client Azure Information Protection registra questi dati personali nel registro eventi di Windows locale Applicazioni e servizi Log>di Azure Information Protection.

Quando il client Azure Information Protection esegue lo scanner, i dati personali vengono salvati in %localappdata%\Microsoft\MSIP\Scanner\Reports nel computer Windows Server che esegue lo scanner.

È possibile disattivare le informazioni di registrazione per il client Azure Information Protection e lo scanner usando le configurazioni seguenti:

  • Per il client Azure Information Protection: creare un'impostazione client avanzata che configura LogLevel su Off.

  • Per lo scanner di Azure Information Protection: usare il cmdlet Set-AIPScannerConfiguration per impostare il parametro ReportLevel su Off.

Nota

Se si è interessati a visualizzare o eliminare i dati personali, consultare le indicazioni di Microsoft in Microsoft Purview Compliance Manager e nella sezione GDPR del sito Microsoft 365 Enterprise Compliance . Se si cercano le informazioni generali sull'RGPD, vedere la sezione sull'RGPD del portale del servizio attendibile.

Log di rilevamento dei documenti

Rilevante per: protezione di Rights Management Service solo con il portale di rilevamento legacy

Eseguire il cmdlet Get-AipServiceDocumentLog per recuperare informazioni dal sito di rilevamento dei documenti su un utente specifico. Per ottenere informazioni di rilevamento associate ai log dei documenti, usare il cmdlet Get-AipServiceTrackingLog .

Ad esempio:

PS C:\Users> Get-AipServiceDocumentLog -UserEmail "admin@aip500.onmicrosoft.com"


ContentId             : 6326fcb2-c465-4c24-a7f6-1cace7a9cb6f
Issuer                : admin@aip500.onmicrosoft.com
Owner                 : admin@aip500.onmicrosoft.com
ContentName           :
CreatedTime           : 3/6/2018 10:24:00 PM
Recipients            : {
                        PrimaryEmail: johndoe@contoso.com
                        DisplayName: JOHNDOE@CONTOSO.COM
                        UserType: External,
                        PrimaryEmail: alice@contoso0110.onmicrosoft.com
                        DisplayName: ALICE@CONTOSO0110.ONMICROSOFT.COM
                        UserType: External
                        }
TemplateId            :
PolicyExpires         :
EULDuration           :
SendRegistrationEmail : True
NotificationInfo      : Enabled: False
                        DeniedOnly: False
                        Culture:
                        TimeZoneId:
                        TimeZoneOffset: 0
                        TimeZoneDaylightName:
                        TimeZoneStandardName:

RevocationInfo        : Revoked: False
                        RevokedTime:
                        RevokedBy:


PS C:\Users> Get-AipServiceTrackingLog -UserEmail "admin@aip500.onmicrosoft.com"

ContentId            : 6326fcb2-c465-4c24-a7f6-1cace7a9cb6f
Issuer               : admin@aip500.onmicrosoft.com
RequestTime          : 3/6/2018 10:45:57 PM
RequesterType        : External
RequesterEmail       : johndoe@contoso.com
RequesterDisplayName : johndoe@contoso.com
RequesterLocation    : IP: 167.220.1.54
                       Country: US
                       City: redmond
                       Position: 47.6812453974602,-122.120736471666

Rights               : {VIEW,OBJMODEL}
Successful           : False
IsHiddenInfo         : False

Non esiste alcuna ricerca in base a ObjectID. Tuttavia, non si è limitati dal -UserEmail parametro e l'indirizzo di posta elettronica specificato non deve far parte del tenant. Se l'indirizzo di posta elettronica fornito viene archiviato in qualsiasi punto dei log di rilevamento dei documenti, l'immissione di rilevamento dei documenti viene restituita nell'output del cmdlet.

Protezione e controllo dell'accesso ai dati personali

I dati personali visualizzati e specificati nella portale di Azure sono accessibili solo agli utenti a cui è stato assegnato uno dei ruoli di amministratore seguenti da Microsoft Entra ID:

  • Amministratore di Azure Information Protection

  • Amministratore della conformità

  • Amministratore dei dati di conformità

  • Amministratore della sicurezza

  • Lettore di sicurezza

  • Amministratore globale

  • Lettore globale

I dati personali visualizzati e specificati tramite il modulo AIPService (o il modulo precedente, AADRM) sono accessibili solo agli utenti a cui è stato assegnato l'amministratore di Azure Information Protection, l'amministratore della conformità, l'amministratore dei dati di conformità o i ruoli di Amministrazione istrator di Microsoft Entra ID o il ruolo di amministratore globale per il servizio protezione.

Aggiornamento dei dati personali

Le etichette di riservatezza e i criteri di etichetta vengono configurati nella Portale di conformità di Microsoft Purview. Per altre informazioni, vedere la documentazione di Microsoft 365.

Per le impostazioni di protezione, è possibile aggiornare le stesse informazioni usando i cmdlet di PowerShell del modulo AIPService.

Non è possibile aggiornare gli indirizzi di posta elettronica per gli utenti con privilegi avanzati e gli amministratori delegati. Rimuovere invece l'account utente specificato e aggiungere l'account utente con l'indirizzo di posta elettronica aggiornato.

Utenti con privilegi avanzati e amministratori delegati per il servizio protezione

Quando è necessario aggiornare un indirizzo di posta elettronica per un utente con privilegi avanzati:

  1. Usare Remove-AipServiceSuperUser per rimuovere l'utente e l'indirizzo di posta elettronica precedente.

  2. Usare Add-AipServiceSuperUser per aggiungere l'utente e il nuovo indirizzo di posta elettronica.

Quando è necessario aggiornare un indirizzo di posta elettronica per un amministratore delegato:

  1. Usare Remove-AipServiceRoleBased Amministrazione istrator per rimuovere l'utente e l'indirizzo di posta elettronica precedente.

  2. Usare Add-AipServiceRoleBased Amministrazione istrator per aggiungere l'utente e il nuovo indirizzo di posta elettronica.

Eliminazione dei dati personali

Le etichette di riservatezza e i criteri di etichetta vengono configurati nella Portale di conformità di Microsoft Purview. Per altre informazioni, vedere la documentazione di Microsoft 365.

Per le impostazioni di protezione, è possibile eliminare le stesse informazioni usando i cmdlet di PowerShell dal modulo AIPService.

Per eliminare gli indirizzi di posta elettronica per utenti con privilegi avanzati e amministratori delegati, rimuovere questi utenti usando il cmdlet Remove-AipServiceSuperUser e Remove-AipServiceRoleBased Amministrazione istrator.

Per eliminare i dati personali nei log di rilevamento dei documenti, nei log di amministrazione o nei log di utilizzo per il servizio di protezione, usare la sezione seguente per generare una richiesta con supporto tecnico Microsoft.

Per eliminare i dati personali nei file di log client e nei log dello scanner archiviati nei computer, usare qualsiasi strumento standard di Windows per eliminare i file o i dati personali all'interno dei file.

Per eliminare i dati personali con supporto tecnico Microsoft

Usare i tre passaggi seguenti per richiedere che Microsoft elimini i dati personali nei log di rilevamento dei documenti, nei log di amministrazione o nei log di utilizzo per il servizio di protezione.

Passaggio 1: Avviare la richiestadi eliminazione Contattare supporto tecnico Microsoft per aprire un caso di supporto di Azure Information Protection con una richiesta di eliminazione dei dati dal tenant. È necessario dimostrare di essere un amministratore per il tenant di Azure Information Protection e comprendere che questo processo richiede diversi giorni per confermare. Durante l'invio della richiesta, è necessario fornire informazioni aggiuntive, a seconda dei dati che devono essere eliminati.

  • Per eliminare il log di amministrazione, specificare la data di fine. Tutti i log di amministratore fino alla data di fine verranno eliminati.
  • Per eliminare i log di utilizzo, specificare la data di fine. Tutti i log di utilizzo fino alla data di fine verranno eliminati.
  • Per eliminare i log di rilevamento dei documenti, specificare la data di fine e UserEmail. Tutte le informazioni di rilevamento dei documenti relative a UserEmail fino alla data di fine verranno eliminate. L'espressione regolare (formato Perl) per UserEmail è supportata.

L'eliminazione di questi dati è un'azione permanente. Non è possibile recuperare i dati dopo l'elaborazione di una richiesta di eliminazione. È consigliabile che gli amministratori esportino i dati necessari prima di inviare una richiesta di eliminazione.

Passaggio 2: Attendere la verifica Microsoft verificherà che la richiesta di eliminazione di uno o più log sia legittima. Questo processo può richiedere fino a cinque giorni lavorativi.

Passaggio 3: Ottenere la conferma dell'eliminazione microsoft Customer Support Services (CSS) invierà un messaggio di posta elettronica di conferma che i dati sono stati eliminati.

Esportazione dei dati personali

Quando si usano i cmdlet di PowerShell AIPService o AADRM, i dati personali vengono resi disponibili per la ricerca e l'esportazione come oggetto PowerShell. L'oggetto PowerShell può essere convertito in JSON e salvato usando il ConvertTo-Json cmdlet .

Azure Information Protection segue le condizioni di privacy di Microsoft per la profilatura o il marketing in base ai dati personali.

Controllo e creazione di report

Solo gli utenti a cui sono state assegnate autorizzazioni di amministratore possono usare il modulo AIPService o ADDRM per la ricerca e l'esportazione dei dati personali. Queste operazioni vengono registrate nel log di amministrazione che è possibile scaricare.

Per le azioni di eliminazione, la richiesta di supporto funge da auditing e reporting trail per le azioni eseguite da Microsoft. Dopo l'eliminazione, i dati eliminati non saranno disponibili per la ricerca e l'esportazione e l'amministratore può verificarlo usando i cmdlet Get dal modulo AIPService.