Zero Trustを使用してデータをセキュリティで保護する

経歴

Zero Trustは、組織のセキュリティ原則を設計するために使用されるセキュリティ戦略です。 Zero Trustは、次のセキュリティ原則を実装することで、企業リソースをセキュリティで保護するのに役立ちます。

明示的に確認します。ユーザー ID、位置情報、デバイスの正常性、サービスまたはワークロード、データ分類、異常など、入手可能なすべてのデータポイントに基づいて、常に認証と承認を行います。
最小限の特権アクセスを使用します。ユーザーアクセスを限定するために、ジャストインタイム (JIT) の必要十分なアクセス権 (JEA)、リスクベースの適応型ポリシー、データ保護を使用して、データと生産性の両方を安全に守ります。
侵害を想定します。影響範囲を最小限に抑えるために、アクセスをセグメント化します。エンドツーエンドで暗号化されていることを確認し、分析を使用して可視化し、脅威検出を推進し、防御を強化します。

Microsoft Purviewでは、データの多層防御戦略とデータのZero Trust実装のための 5 つのコア要素を提案しています。

データ分類とラベル付け
オンプレミスとクラウドサービスにある機密データを把握していなければ、それを十分に保護することはできません。組織全体のデータを検出し、秘密度レベルに基づいて分類します。
Information Protection
機密データへの条件付きアクセスと最低特権アクセスにより、データのセキュリティリスクが軽減されます。環境制御が不十分な場合は、機密度ベースのアクセス制御ガードレール、権限管理、暗号化を適用します。情報の機密度のマーキングを使用して、認識とセキュリティポリシーのコンプライアンスを高めます。
データ損失の防止
アクセス制御で解決できるのは、問題の一部のみです。データセキュリティまたはコンプライアンスのインシデントにつながるおそれのあるリスクの高いデータアクティビティや移動を確認して制御すると、組織は機密データの過剰共有を防ぐことができます。
内部リスク管理
データアクセスは、常にストーリー全体を提供するとは限りません。さまざまなシグナルからの動作検出を有効にし、データ侵害の先駆け、もしくは前兆となる可能性のある組織内の悪意のある不注意なアクティビティに対処することで、データに対するリスクを最小限に抑えます。
''データ管理''
機密データのライフサイクルを事前に管理すると、その露出が減少します。機密データのコピー数または伝達数を制限し、不要になったデータを削除することで、データ侵害のリスクを最小限に抑えます。

データのゼロトラスト展開の目標

データのエンドツーエンドのZero Trust フレームワークを実装する場合は、これらの初期デプロイ目標に焦点を当てることをお勧めします。
	I.データの分類とラベル付け。データを可能な限り自動的に分類してラベル付けします。そうでない場合は手動で適用します。 Ii。暗号化、アクセス制御、およびコンテンツマーキングを適用します。保護とアクセス制御が不十分な場合は、暗号化を適用します。 Iii。データへのアクセスを制御します。機密データの保護が強化されるように、機密データへのアクセスを制御します。アクセスポリシーと利用ポリシーの決定がデータの機密性を含むものであることを確認します。
上記の目標の達成を進める際に、次の追加の展開目標を追加します。
	Iv。データ漏えいを防止します。危険なシグナルとデータの機密性によって駆動される DLP ポリシーを使用します。 V.リスクの管理。リスクの高いセキュリティ関連のユーザーアクティビティと、データセキュリティまたはコンプライアンスインシデントにつながる可能性のあるデータアクティビティパターンを確認して、データセキュリティインシデントにつながる可能性があるリスクを管理します。 Vi。データの露出を減らします。データガバナンスと継続的なデータ最小化を通じてデータの露出を減らす

データのZero Trust展開ガイド

このガイドでは、データ保護に対するZero Trustアプローチについて順を追って説明します。これらは、情報の機密性および組織の規模と複雑性により大きく異なることにご注意ください。

Microsoft では、データセキュリティ実装の前に、データセキュリティリスクの高レベルのカテゴリを定義するデータ分類フレームワークと秘密度ラベル分類を作成することをお勧めします。この分類は、データインベントリやアクティビティの分析情報からポリシー管理、調査の優先度付けまで、すべてを簡略化するために使用されます。

詳細については、以下を参照してください:

適切に設計されたデータ分類フレームワークを作成する

初期のデプロイの目的

I. 機密データを分類、ラベル付け、検出する

情報保護戦略は、組織のデジタルコンテンツ全体をカバーしている必要があります。

分類と秘密度ラベルを使用すると、機密データが配置されている場所、その移動方法を理解し、ゼロトラスト原則と一致する適切なアクセスと使用制御を実装できます。

自動分類とラベル付けを使用して機密情報を検出し、データ資産全体の検出をスケーリングします。
ドキュメントとコンテナーに手動でラベルを付け、知識豊富なユーザーによって分類と秘密度が最適に確立されている分析で使用するデータセットを手動でキュレーションします。

次のステップを実行します。

分類とラベル付けを構成してテストしたら、データ資産全体でデータ検出をスケールアップします。

Microsoft 365 サービスを超えて検出を拡張するには、次の手順に従います。

データを検出、分類、ラベル付けするときは、これらの分析情報を使用してリスクを修復し、ポリシー管理イニシアティブに通知します。

次のステップを実行します。

II. 暗号化、アクセス制御、コンテンツマーキングの適用

秘密度ラベルを使用して、暗号化とアクセス制御を使用して最も機密性の高いデータを保護することで、最小限の特権の実装を簡略化します。コンテンツマーキングを使用して、ユーザーの認識と追跡可能性を高めます。

ドキュメントとメールを保護する

Microsoft Purview Information Protectionでは、秘密度ラベルまたはドキュメントと電子メールのユーザー定義のアクセス許可に基づいて、アクセスと使用状況の制御を有効にします。また、必要に応じてマーキングを適用し、組織の内部または外部の信頼の低い環境に存在または流出する情報を暗号化することもできます。これは、保存時、移動中、そして高度なアプリケーションにおける使用時に保護を提供します。

次のステップを実行します。