Information Rights Management
Si applica a: Exchange Server 2013
Ogni giorno, gli information worker usano la posta elettronica per scambiare informazioni sensibili come report e dati finanziari, contratti legali, informazioni riservate sui prodotti, report e proiezioni di vendita, analisi competitiva, informazioni di ricerca e brevetti e informazioni su clienti e dipendenti. Poiché gli utenti possono ora accedere alla posta elettronica da qualsiasi posizione, le cassette postali si sono trasformate in repository contenenti grandi quantità di informazioni potenzialmente sensibili. Di conseguenza, la perdita di informazioni può rappresentare una grave minaccia per le organizzazioni. Per evitare la perdita di informazioni, Microsoft Exchange Server 2013 include le funzionalità di Information Rights Management (IRM), che forniscono protezione online e offline persistente di messaggi e allegati di posta elettronica.
Cosa si intende per perdita di informazioni
La perdita di informazioni potenzialmente sensibili può essere costosa per un'organizzazione e avere un impatto di ampia portata sull'organizzazione e sulla sua azienda, sui dipendenti, sui clienti e sui partner. Le normative locali e di settore regolano sempre più il modo in cui determinati tipi di informazioni vengono archiviati, trasmessi e protetti. Per evitare di violare le normative applicabili, le organizzazioni devono proteggersi da perdite di informazioni intenzionali, involontarie o accidentali.
Di seguito sono riportate alcune conseguenze derivanti dalla perdita di informazioni:
Danni finanziari: a seconda delle dimensioni, dell'industria e delle normative locali, la perdita di informazioni può comportare un impatto finanziario a causa della perdita di attività o a causa di multe e danni punitivi imposti da tribunali o autorità di regolamentazione. Le società pubbliche possono anche rischiare di perdere la capitalizzazione di mercato a causa di una copertura mediatica negativa.
Danni all'immagine e alla credibilità: la perdita di informazioni può danneggiare l'immagine e la credibilità di un'organizzazione con i clienti. Inoltre, a seconda della natura della comunicazione, i messaggi di posta elettronica trapelati possono potenzialmente essere fonte di imbarazzo per il mittente e l'organizzazione.
Perdita di vantaggio competitivo: una delle minacce più gravi derivanti dalla perdita di informazioni è la perdita di vantaggio competitivo nelle aziende. La divulgazione di piani strategici o la divulgazione di informazioni sulle fusioni e sulle acquisizioni può potenzialmente comportare una perdita di entrate o di capitalizzazione di mercato. Altre minacce includono la perdita di informazioni di ricerca, dati analitici e altre proprietà intellettuali.
Soluzioni standard per affrontare la perdita di informazioni
Anche se le soluzioni tradizionali alla perdita di informazioni possono proteggere l'accesso iniziale ai dati, spesso non forniscono una protezione costante. Nella tabella seguente sono elencate alcune soluzioni tradizionali e le relative limitazioni.
Soluzioni tradizionali
| Soluzione | Descrizione | Limitazioni |
|---|---|---|
| Transport Layer Security (TLS) | TLS è un protocollo standard Internet usato per proteggere le comunicazioni su una rete tramite crittografia. In un ambiente di messaggistica, TLS viene usato per proteggere le comunicazioni server/server e client/server. Per impostazione predefinita, Exchange 2010 usa TLS per tutti i trasferimenti di messaggi interni. La funzionalità TLS opportunistica è abilitata per impostazione predefinita anche per le sessioni con host esterni. Exchange tenta innanzitutto di usare la crittografia TLS per la sessione, ma se non è possibile stabilire una connessione TLS con il server di destinazione, Exchange usa SMTP. È anche possibile configurare la protezione del dominio per attivare Mutual TLS con le organizzazioni esterne. |
Il TLS protegge solo la sessione SMTP tra due host SMTP. In altre parole, TLS protegge le informazioni in movimento, ma non fornisce protezione a livello di messaggio o per le informazioni statiche. A meno che i messaggi non vengano crittografati usando un altro metodo, i messaggi nelle cassette postali del mittente e dei destinatari rimangono non protetti. Per i messaggi di posta elettronica inviati all'esterno dell'organizzazione, è possibile richiedere TLS solo per il primo hop. Dopo che un host SMTP remoto all'esterno dell'organizzazione riceve il messaggio, può inoltrarlo a un altro host SMTP tramite una sessione non crittografata. Poiché TLS è una tecnologia a livello di trasporto, non può fornire il controllo sulle operazioni del destinatario con il messaggio. |
| Crittografia della posta elettronica | Gli utenti possono utilizzare tecnologie quali S/MIME per crittografare i messaggi. | Sono gli utenti a decidere se crittografare un messaggio. Esistono ulteriori costi legati alla distribuzione di una infrastruttura a chiave pubblica (PKI), con il conseguente sovraccarico della gestione dei certificati per gli utenti e la protezione delle chiavi private. Dopo la decrittografia di un messaggio, non esiste alcun controllo sulle operazioni che il destinatario può eseguire con le informazioni. Le informazioni decrittografate possono essere copiate, stampate o inoltrate. Per impostazione predefinita, gli allegati salvati non sono protetti. I messaggi crittografati con tecnologie come S/MIME non sono accessibili dall'organizzazione. L'organizzazione non può esaminare il contenuto dei messaggi e pertanto non può applicare criteri di messaggistica, analizzare i messaggi alla ricerca di virus o contenuto dannoso o eseguire altre azioni che richiedono l'accesso al contenuto. |
Infine, le soluzioni standard spesso non dispongono di strumenti in grado di applicare i criteri di messaggistica uniformi per impedire la perdita di informazioni. Ad esempio, un utente invia un messaggio contenente informazioni riservate e lo contrassegna come Riservato aziendale e Non inoltrare. Dopo che il messaggio è stato recapitato al destinatario, il mittente o l'organizzazione non ha più il controllo sulle informazioni. Il destinatario può inoltrare intenzionalmente o inavvertitamente il messaggio (usando funzionalità come le regole di inoltro automatico) agli account di posta elettronica esterni, sottoponendo l'organizzazione a rischi di perdita di informazioni sostanziali.
IRM in Exchange 2013
In Exchange 2013 è possibile usare le funzionalità IRM per applicare la protezione permanente a messaggi e allegati. IRM usa Active Directory Rights Management Services (AD RMS), una tecnologia di protezione delle informazioni in Windows Server 2008 e versioni successive. Con le funzionalità IRM in Exchange 2013, l'organizzazione e gli utenti possono controllare i diritti dei destinatari per la posta elettronica. IRM consente inoltre di consentire o limitare le azioni dei destinatari, ad esempio l'inoltro di un messaggio ad altri destinatari, la stampa di un messaggio o un allegato o l'estrazione del contenuto del messaggio o dell'allegato tramite copia e incolla. La protezione IRM può essere applicata dagli utenti in Microsoft Outlook o Microsoft Office Outlook Web App oppure può essere basata sui criteri di messaggistica dell'organizzazione e applicata usando le regole di protezione del trasporto o le regole di protezione di Outlook. A differenza di altre soluzioni di crittografia della posta elettronica, IRM consente anche all'organizzazione di decrittografare il contenuto protetto per applicare la conformità ai criteri.
AD RMS usa certificati e licenze basati su XrML (Extensible Rights Markup Language) per certificare computer e utenti e per proteggere il contenuto. Quando il contenuto, ad esempio un documento o un messaggio, è protetto tramite AD RMS, viene allegata una licenza XrML contenente i diritti che gli utenti autorizzati hanno per il contenuto. Per accedere al contenuto protetto da IRM, le applicazioni abilitate per AD RMS devono ottenere una licenza d'uso per l'utente autorizzato dal cluster AD RMS.
Nota
In Exchange 2013 l'agente di prelicensing collega una licenza d'uso ai messaggi protetti tramite il cluster AD RMS nell'organizzazione. Per altri dettagli, vedere Prelicensing più avanti in questo argomento.
Le applicazioni usate per creare contenuto devono essere abilitate per RMS per applicare la protezione permanente al contenuto usando AD RMS. Le applicazioni di Microsoft Office, ad esempio Word, Excel, PowerPoint e Outlook, sono abilitate per RMS e possono essere usate per creare e utilizzare contenuto protetto.
IRM consente di eseguire le operazioni seguenti:
- Impedire che un destinatario autorizzato di un contenuto protetto tramite IRM possa inoltrare, modificare, stampare, inviare tramite fax, salvare o tagliare e incollare tale contenuto.
- Proteggere i formati file degli allegati supportati con lo stesso livello di protezione del messaggio.
- Impostare una scadenza per i messaggi e gli allegati protetti tramite IRM, in modo che non possano più essere visualizzati dopo il periodo specificato.
- Impedire che il contenuto protetto da IRM venga copiato usando lo strumento di cattura in Microsoft Windows.
Tuttavia, IRM non può impedire la copia delle informazioni usando i metodi seguenti:
- Programmi di acquisizione dello schermo di terze parti
- Uso di dispositivi di imaging come fotocamere per fotografare i contenuti protetti da IRM visualizzati sullo schermo
- Utenti che memorizzano o trascriveno manualmente le informazioni
Per altre informazioni su AD RMS, vedere Active Directory Rights Management Services.
Modelli di criteri per i diritti di AD RMS
AD RMS usa modelli di criteri per i diritti basati su XrML per consentire alle applicazioni compatibili abilitate per IRM di applicare criteri di protezione coerenti. In Windows Server 2008 e versioni successive, il server AD RMS presenta un servizio Web utilizzabile per enumerare e acquisire i modelli. Exchange 2013 viene fornito con il modello Non inoltrare. Quando il modello Non inoltrare viene applicato a un messaggio, solo i destinatari specificati nel messaggio possono decrittografare il messaggio. I destinatari non possono inoltrare il messaggio, copiarne i contenuti o stamparlo. È possibile creare modelli RMS aggiuntivi nel server AD RMS nell'organizzazione per soddisfare i requisiti di protezione IRM.
La protezione IRM viene applicata applicando un modello di criteri per i diritti di AD RMS. Usando i modelli di criteri, è possibile controllare le autorizzazioni dei destinatari in un messaggio. Le azioni come la risposta, la risposta a tutti, l'inoltro, l'estrazione di informazioni da un messaggio, il salvataggio di un messaggio o la stampa di un messaggio possono essere controllate applicando il modello di criteri di diritti appropriato al messaggio.
Per ulteriori informazioni sui modelli di criteri per i diritti, vedere Considerazioni sui modelli di criteri AD RMS.
Per ulteriori informazioni sulla creazione dei modelli di criteri per i diritti AD RMS, vedere Guida dettagliata alla creazione e distribuzione dei modelli di criteri per i diritti di utilizzo di Active Directory Rights Management Services.
Applicazione della protezione IRM ai messaggi
In Exchange 2010 è possibile applicare la protezione IRM ai messaggi usando i metodi seguenti:
Manualmente dagli utenti di Outlook: gli utenti di Outlook possono proteggere i messaggi con i modelli di criteri per i diritti di AD RMS disponibili. Questo processo usa la funzionalità IRM in Outlook e non Exchange. Tuttavia, è possibile usare Exchange per accedere ai messaggi ed è possibile intraprendere azioni (ad esempio l'applicazione di regole di trasporto) per applicare i criteri di messaggistica dell'organizzazione. Per altre informazioni sull'uso di IRM in Outlook, vedere Introduzione a IRM per i messaggi di posta elettronica.
Manualmente dagli utenti di Outlook Web App: quando si abilita IRM in Outlook Web App, gli utenti possono proteggere i messaggi inviati tramite IRM e visualizzare i messaggi protetti da IRM ricevuti. In Exchange 2013 Cumulative Update 1 (CU1) gli utenti di Outlook Web App possono anche visualizzare gli allegati protetti da IRM usando Web-Ready Visualizzazione documenti. Per altre informazioni su IRM in Outlook Web App, vedere Information Rights Management in Outlook Web App.
Manualmente dagli utenti dei dispositivi Windows Mobile ed Exchange ActiveSync: nella versione rtm (release to manufacturing) di Exchange 2010, gli utenti dei dispositivi Windows Mobile possono visualizzare e creare messaggi protetti da IRM. Ciò richiede agli utenti di connettere i dispositivi Windows Mobile supportati a un computer e attivarli per IRM. In Exchange 2010 SP1 è possibile abilitare IRM in Microsoft Exchange ActiveSync per consentire agli utenti dei dispositivi Exchange ActiveSync (inclusi i dispositivi Windows Mobile) di visualizzare, rispondere, inoltrare e creare messaggi protetti da IRM. Per altre informazioni su IRM in Exchange ActiveSync, vedere Information Rights Management in Exchange ActiveSync.
Automaticamente in Outlook 2010 e versioni successive: è possibile creare regole di protezione di Outlook per proteggere automaticamente i messaggi IRM in Outlook 2010 e versioni successive. Le regole di protezione di Outlook vengono distribuite automaticamente ai client Outlook 2010 e la protezione IRM viene applicata da Outlook 2010 quando l'utente sta componendo un messaggio. Per altre informazioni sulle regole di protezione di Outlook, vedere Regole di protezione di Outlook.
Automaticamente nei server Cassette postali: è possibile creare regole di protezione del trasporto per proteggere automaticamente i messaggi IRM nei server Cassette postali di Exchange 2013. Per altre informazioni sulle regole di protezione del trasporto, vedere Regole di protezione del trasporto.
Nota
La protezione IRM non viene applicata ai messaggi che sono già protetti tramite IRM. Ad esempio, se un utente protegge da IRM un messaggio in Outlook o Outlook Web App, la protezione IRM non viene applicata al messaggio usando una regola di protezione del trasporto.
Scenari per la protezione IRM
Gli scenari per la protezione IRM sono descritti nella tabella seguente.
| Invio di messaggi protetti da IRM | Supportato | Requisiti |
|---|---|---|
| All'interno della stessa distribuzione locale di Exchange 2013 | Sì | Per i requisiti, vedere Requisiti IRM più avanti in questo argomento. |
| Tra foreste diverse in una distribuzione locale | Sì | Per i requisiti, vedere Configurazione di AD RMS per l'integrazione con Exchange Server 2010 in più foreste. |
| Tra una distribuzione locale di Exchange 2013 e un'organizzazione exchange basata sul cloud | Sì |
|
| Ai destinatari esterni | No | Exchange 2010 non include una soluzione per l'invio di messaggi protetti da IRM a destinatari esterni in un'organizzazione non federata. AD RMS offre soluzioni che usano criteri di attendibilità. È possibile configurare un criterio di attendibilità tra il cluster AD RMS e l'account Microsoft (in precedenza noto come Windows Live ID). Per i messaggi inviati tra due organizzazioni, è possibile creare un trust federativo tra le due foreste di Active Directory usando Active Directory Federation Services (AD FS). Per altre informazioni, vedere Informazioni sui criteri di attendibilità di AD RMS. |
Decrittografia dei messaggi protetti da IRM per applicare i criteri di messaggistica
Per applicare i criteri di messaggistica e per la conformità alle normative, è necessario essere in grado di accedere al contenuto crittografato dei messaggi. Per soddisfare i requisiti di eDiscovery dovuti a controversie legali, controlli normativi o indagini interne, è anche necessario essere in grado di eseguire ricerche nei messaggi crittografati. Per semplificare queste attività, Exchange 2013 include le funzionalità IRM seguenti:
Decrittografia del trasporto: per applicare i criteri di messaggistica, gli agenti di trasporto, ad esempio l'agente regole di trasporto, devono avere accesso al contenuto dei messaggi. La decrittografia del trasporto consente agli agenti di trasporto installati nei server Exchange 2013 di accedere al contenuto dei messaggi. Per ulteriori informazioni, vedere Decrittografia di trasporto.
Decrittografia del report del journal: per soddisfare i requisiti di conformità o aziendali, le organizzazioni possono usare il journaling per mantenere il contenuto della messaggistica. L'agente di inserimento nel journal crea un report journal per i messaggi soggetti al journaling e include i metadati relativi al messaggio nel report. Il messaggio originale viene collegato al report del journal. Se il messaggio in un report del journal è protetto da IRM, la decrittografia del report del journal collega una copia non crittografato del messaggio al report del journal. Per ulteriori informazioni, vedere Decrittografia dei rapporti del journal.
Decrittografia IRM per Ricerca di Exchange: con la decrittografia IRM per Ricerca di Exchange, Ricerca di Exchange può indicizzare il contenuto nei messaggi protetti da IRM. Quando un gestore di individuazione esegue una ricerca In-Place eDiscovery, i messaggi protetti da IRM indicizzati vengono restituiti nei risultati della ricerca. Per ulteriori informazioni, vedere eDiscovery in locale.
Nota
In Exchange 2010 SP1 e versioni successive, i membri del gruppo di ruoli Gestione individuazione possono accedere ai messaggi protetti da IRM restituiti da una ricerca di individuazione e che si trovano in una cassetta postale di individuazione. Per abilitare questa funzionalità, usare il parametro EDiscoverySuperUserEnabled con il cmdlet Set-IRMConfiguration . Per ulteriori informazioni, vedere Configurare IRM per la ricerca di Exchange e In-Place eDiscovery.
Per abilitare queste funzionalità di decrittografia, i server Exchange devono avere accesso al messaggio. A tale scopo, aggiungere la cassetta postale di federazione, una cassetta postale di sistema creata dal programma di installazione di Exchange, al gruppo di utenti con privilegi avanzati nel server AD RMS. Per i dettagli, vedere Aggiungere la cassetta postale di federazione per il gruppo di utenti con privilegi avanzati di AD RMS.
Pre-licenza
Per visualizzare i messaggi e gli allegati protetti da IRM, Exchange 2013 collega automaticamente un prelicense ai messaggi protetti. Ciò impedisce al client di dover effettuare viaggi ripetuti al server AD RMS per recuperare una licenza d'uso e consente la visualizzazione offline di messaggi e allegati protetti da IRM. La pre-licenza consente inoltre di visualizzare i messaggi protetti da IRM in Outlook Web App. Quando si abilitano le funzionalità IRM, la pre-licenza viene abilitata per impostazione predefinita.
Agenti IRM
In Exchange 2013 la funzionalità IRM è abilitata usando gli agenti di trasporto nel servizio Trasporto nei server Cassette postali. Gli agenti IRM vengono installati dal programma di installazione di Exchange in un server Cassette postali. Non è possibile controllare gli agenti IRM usando le attività di gestione per gli agenti di trasporto.
Nota
In Exchange 2013 gli agenti IRM sono agenti predefiniti. Gli agenti incorporati non sono inclusi nell'elenco degli agenti restituiti dal cmdlet Get-TransportAgent. Per altre informazioni, vedere Agenti di trasporto.
Nella tabella seguente sono elencati gli agenti IRM implementati nel servizio Trasporto nei server Cassette postali.
Agenti IRM nel servizio trasporto nei server Cassette postali
| Agente | Evento | Funzione |
|---|---|---|
| Agente di decrittografia RMS | OnEndOfData (SMTP) e OnSubmittedMessage | Decrittografa i messaggi per consentire l'accesso agli agenti di trasporto. |
| Agente regole di trasporto | OnRoutedMessage | Contrassegna i messaggi che corrispondono alle condizioni della regola in una regola di protezione del trasporto per essere protetti da IRM dall'agente di crittografia RMS. |
| Agente di crittografia RMS | OnRoutedMessage | Applica la protezione IRM ai messaggi contrassegnati dall'agente regole di trasporto e crittografa nuovamente i messaggi decrittografati dal trasporto. |
| Agente di pre-licenza | OnRoutedMessage | Allega una pre-licenza ai messaggi protetti tramite IRM. |
| Agente di decrittografia del report del journal | OnCategorizedMessage | Decrittografa i messaggi protetti da IRM collegati ai report del journal e incorpora versioni non crittografate insieme ai messaggi crittografati originali. |
Per ulteriori informazioni sugli agenti di trasporto, vedere Agenti di trasporto.
Requisiti IRM
Per implementare IRM nell'organizzazione di Exchange 2013, la distribuzione deve soddisfare i requisiti descritti nella tabella seguente.
| Server | Requisiti |
|---|---|
| Cluster AD RMS |
|
| Exchange |
|
| Outlook |
|
| Exchange ActiveSync |
|
Nota
Cluster AD RMSè il termine usato per una distribuzione AD RMS in un'organizzazione, inclusa una distribuzione a server singolo. AD RMS è un servizio Web. Non richiede la configurazione di un cluster di failover di Windows Server. Per la disponibilità elevata e il bilanciamento del carico, è possibile distribuire più server AD RMS nel cluster e usare bilanciamento del carico di rete.
Importante
In un ambiente di produzione, l'installazione di AD RMS e di Exchange sullo stesso server non è supportata.
Le funzionalità IRM di Exchange 2013 supportano i formati di file di Microsoft Office. È possibile estendere la protezione IRM ad altri formati di file distribuendo strumenti di protezione personalizzati. Per altre informazioni sulle protezioni personalizzate, vedere Information Protection and Control Partners nel Centro per i partner Microsoft.
Configurazione e verifica di IRM
È necessario usare Exchange Management Shell per configurare le funzionalità IRM in Exchange 2013. Per configurare le funzionalità IRM singole, utilizzare il cmdlet Set-IRMConfiguration . È possibile abilitare o disabilitare IRM per i messaggi interni, la decrittografia del trasporto, la decrittografia del report journal, Ricerca di Exchange e Outlook Web App. Per altre informazioni sulla configurazione delle funzionalità IRM, vedere Procedure di Information Rights Management.
Dopo aver configurato un server Exchange 2013, è possibile usare il cmdlet Test-IRMConfiguration per eseguire test end-to-end della distribuzione IRM. Questi test sono utili per verificare la funzionalità IRM immediatamente dopo la configurazione iniziale di IRM e su base continuativa. Il cmdlet esegue i test seguenti:
- Esamina la configurazione IRM per l'organizzazione di Exchange 2013.
- Verifica le informazioni sulla versione e l'hotfix del server AD RMS.
- Verifica se in un server Exchange può essere attivata la funzionalità RMS recuperando un certificato per account con diritti (RAC) e un certificato concessore di licenze client.
- Acquisisce i modelli di criteri per i diritti AD RMS dal server AD RMS.
- Verifica che il mittente specificato possa inviare i messaggi protetti tramite IRM.
- Recupera una licenza d'uso degli utenti con privilegi avanzati per il destinatario specificato.
- Acquisisce una pre-licenza per il destinatario specificato.
Estensione dei diritti di gestione con il connettore Rights Management
Il connettore Microsoft Rights Management (connettore RMS) è un'applicazione facoltativa che migliora la protezione dei dati per il server Exchange 2013 usando servizi Microsoft Rights Management basati sul cloud. Dopo aver installato il connettore RMS, offre una protezione continua dei dati durante la durata delle informazioni e, poiché questi servizi sono personalizzabili, è possibile definire il livello di protezione necessario. Ad esempio, è possibile limitare l'accesso ai messaggi di posta elettronica a utenti specifici o impostare diritti di sola visualizzazione per determinati messaggi.
Per altre informazioni sul connettore RMS e su come installarlo, vedere Connettore Rights Management.