Kluczowe zagadnienia dotyczące zgodności i bezpieczeństwa dla przemysłu energetycznego

Wprowadzenie

Przemysł energetyczny zapewnia społeczeństwu paliwo i infrastrukturę krytyczną, na których ludzie polegają każdego dnia. Aby zapewnić niezawodność infrastruktury związanej z systemami zasilania masowego, organy regulacyjne nakładają surowe standardy na organizacje przemysłu energetycznego. Te standardy regulacyjne odnoszą się nie tylko do wytwarzania i przekazywania energii, ale także do danych i komunikacji, które mają kluczowe znaczenie dla codziennej działalności przedsiębiorstw energetycznych.

Organizacje w branży energetycznej współpracują z wieloma rodzajami informacji i wymieniają się nimi w ramach swojej regularnej działalności. Te informacje obejmują dane klientów, dokumentację projektu inżynierii kapitałowej, mapy lokalizacji zasobów, artefakty zarządzania projektami, metryki wydajności, raporty usługi terenowej, dane środowiskowe i metryki wydajności. Ponieważ te organizacje chcą przekształcić swoje systemy operacji i współpracy w nowoczesne platformy cyfrowe, szukają firmy Microsoft jako zaufanego dostawcy usług w chmurze (CSP) i platformy Microsoft 365 jako najlepszej platformy do współpracy. Ponieważ platforma Microsoft 365 jest oparta na platformie Microsoft Azure, organizacje powinny sprawdzać obie platformy, rozważając ich zgodność i mechanizmy kontroli zabezpieczeń podczas przenoszenia do chmury.

W Ameryka Północna firma Ameryka Północna Electric Reliability Corporation (NERC) wymusza standardy niezawodności określane jako standardy cip (Critical Infrastructure Protection). NERC podlega nadzorowi Amerykańskiej Federalnej Komisji Regulacji Energetyki (FERC) i władz rządowych w Kanadzie. Wszyscy właściciele, operatorzy i użytkownicy systemu zasilania zbiorczego muszą zarejestrować się w NERC i muszą być zgodni ze standardami CIP NERC. Dostawcy usług w chmurze i zewnętrzni dostawcy, tacy jak firma Microsoft, nie podlegają standardom CIP NERC. Jednak standardy CIP obejmują cele, które powinny być brane pod uwagę, gdy zarejestrowane jednostki używają dostawców w działaniu systemu elektrycznego luzem (BES). Klienci firmy Microsoft korzystający z systemów bulk electric są całkowicie odpowiedzialni za zapewnienie własnej zgodności ze standardami CIP NERC.

Aby uzyskać informacje o usługach w chmurze firmy Microsoft i NERC, zobacz następujące zasoby:

• Standardy CIP NERC i przetwarzanie w chmurze
• Przewodnik implementacji chmury dla inspekcji NERC

Standardy regulacyjne, które są zalecane do rozważenia przez organizacje energetyczne obejmują FedRAMP (US Federal Risk and Authorization Management Program), który jest oparty na i rozszerza NIST SP 800-53 Rev 4 standard (National Institute of Standards and Technology).

• Microsoft Office 365 i Office 365 rządowi USA przyznano fedramp ato (autoryzacja do działania) na umiarkowanym poziomie wpływu.
• Platforma Azure i Azure Government otrzymały certyfikat FedRAMP High P-ATO (tymczasowe zezwolenie na działanie), który reprezentuje najwyższy poziom autoryzacji FedRAMP.

Aby uzyskać informacje o usługach firmy Microsoft w chmurze i FedRAMP, zobacz następujące zasoby:

• Microsoft FedRAMP — omówienie
• Office 365 raporty FedRAMP

Osiągnięcia te są istotne dla branży energetycznej, ponieważ porównanie zestawu kontroli FedRAMP Moderate i wymagań NERC CIP pokazuje, że kontrolki FedRAMP Moderate obejmują wszystkie wymagania dotyczące cip NERC. Aby uzyskać dodatkowe informacje, firma Microsoft opracowała przewodnik implementacji chmury dla inspekcji NERC , który zawiera mapowanie kontrolek między bieżącym zestawem standardów CIP NERC i zestawem sterowania FedRAMP Moderate zgodnie z dokumentem W NIST 800-53 Rev 4.

Ponieważ branża energetyczna chce zmodernizować swoje platformy współpracy, należy dokładnie rozważyć konfigurację i wdrożenie narzędzi współpracy i mechanizmów kontroli zabezpieczeń, w tym:

• Ocena typowych scenariuszy współpracy
• Dostęp do danych wymaganych przez pracowników do produktywności
• Wymagania dotyczące zgodności z przepisami
• Skojarzone zagrożenia dla danych, klientów i organizacji

Microsoft 365 to nowoczesne środowisko chmury w miejscu pracy. Zapewnia bezpieczną i elastyczną współpracę w całym przedsiębiorstwie, w tym mechanizmy kontroli i wymuszanie zasad w celu przestrzegania najbardziej rygorystycznych ram zgodności z przepisami. W poniższych artykułach w tym artykule opisano, w jaki sposób platforma Microsoft 365 pomaga branży energetycznej przejść na nowoczesną platformę współpracy, jednocześnie pomagając zapewnić bezpieczeństwo danych i systemów oraz zapewnić zgodność z przepisami:

• Zapewnianie kompleksowej platformy współpracy w usłudze Microsoft Teams
• Zapewnianie bezpiecznej i zgodnej współpracy w branży energetycznej
• Identyfikowanie poufnych danych i zapobieganie utracie danych
• Zarządzanie danymi przez efektywne zarządzanie rekordami
• Zgodność z przepisami FERC i FTC dla rynków energii
• Ochrona przed eksfiltracją danych i ryzykiem niejawnych testerów

Jako partner firmy Microsoft firma Protiviti przyczyniła się do tego artykułu i przekazała do tego artykułu istotne opinie.

Zapewnianie kompleksowej platformy współpracy w usłudze Microsoft Teams

Współpraca zwykle wymaga wielu form komunikacji, możliwości przechowywania dokumentów i uzyskiwania do nich dostępu oraz możliwości integracji innych aplikacji w razie potrzeby. Niezależnie od tego, czy są to przedsiębiorstwa globalne, czy lokalne firmy, pracownicy w sektorze energetycznym zazwyczaj muszą współpracować i komunikować się z członkami innych działów lub zespołów. Często muszą również komunikować się z partnerami zewnętrznymi, dostawcami lub klientami. W związku z tym zazwyczaj nie zaleca się używania systemów, które tworzą silosy lub utrudniają udostępnianie informacji. Mimo to nadal chcemy zapewnić, że pracownicy bezpiecznie i zgodnie z zasadami udostępniają informacje.

Zapewnienie pracownikom nowoczesnej i opartej na chmurze platformy współpracy, która umożliwia im wybór i łatwą integrację narzędzi, które czynią ich najbardziej produktywnymi, umożliwia im znalezienie najlepszych sposobów pracy i współpracy. Korzystanie z usługi Microsoft Teams wraz z mechanizmami kontroli zabezpieczeń i zasadami ładu w celu ochrony organizacji może ułatwić pracownikom łatwą współpracę w chmurze.

Usługa Microsoft Teams udostępnia centrum współpracy dla Twojej organizacji, które pozwala łączyć osoby w celu współpracy nad typowymi inicjatywami lub projektami. Umożliwia ona członkom zespołu prowadzenie konwersacji, współpracę i współtworzynie dokumentów. Umożliwia ona użytkownikom przechowywanie i udostępnianie plików członkom zespołu lub osobom spoza zespołu. Umożliwia również organizowanie spotkań na żywo ze zintegrowanym głosem i wideo w przedsiębiorstwie. Usługę Microsoft Teams można dostosować przy użyciu łatwego dostępu do aplikacji firmy Microsoft, takich jak Planner, Dynamics 365, Power BI i innych firm. Usługa Teams upraszcza dostęp do usług Office 365 i aplikacji innych firm w celu scentralizowania potrzeb w zakresie współpracy i komunikacji w organizacji.

Każdy zespół firmy Microsoft jest wspierany przez grupę Office 365. Grupa Office 365 jest uważana za dostawcę członkostwa w usługach Office 365, w tym w usłudze Microsoft Teams. Office 365 grupy są używane do bezpiecznego kontrolowania, którzy użytkownicy są uważane za członków i którzy są właścicielami grupy. Ten projekt pozwala nam łatwo kontrolować, którzy użytkownicy mają dostęp do różnych możliwości w usłudze Teams. W związku z tym członkowie zespołu i właściciele mogą uzyskiwać dostęp tylko do możliwości, z których mogą korzystać.

Typowy scenariusz, w którym usługa Microsoft Teams może przynieść korzyści organizacjom energetycznym, współpracuje z wykonawcami lub firmami zewnętrznymi w ramach programu usług terenowych, takiego jak zarządzanie roślinnością. Wykonawcy są zazwyczaj zaangażowani w zarządzanie roślinnością lub usuwanie drzew wokół instalacji systemu energetycznego. Często muszą otrzymywać instrukcje dotyczące pracy, komunikować się z dyspozytorami i innymi pracownikami służb terenowych, robić i udostępniać zdjęcia otoczenia zewnętrznego, wylogowywać się po zakończeniu pracy i udostępniać dane z powrotem do siedziby firmy. Tradycyjnie te programy są uruchamiane przy użyciu telefonów, tekstu, papierowych zamówień pracy lub aplikacji niestandardowych. Ta metoda może stanowić wiele wyzwań. Przykład:

• Procesy są ręczne lub analogowe, co utrudnia śledzenie metryk
• Komunikacja nie jest przechwytywane w jednym miejscu
• Dane są silosowane i niekoniecznie są udostępniane wszystkim pracownikom, którzy ich potrzebują
• Praca może nie być wykonywana spójnie lub wydajnie
• Aplikacje niestandardowe nie są zintegrowane z narzędziami do współpracy, co utrudnia wyodrębnianie i udostępnianie danych ani mierzenie wydajności

Usługa Microsoft Teams może zapewnić łatwe w użyciu miejsce do współpracy w celu bezpiecznego udostępniania informacji i prowadzenia konwersacji między członkami zespołu a zewnętrznymi wykonawcami usług terenowych. Zespoły mogą służyć do przeprowadzania spotkań, nawiązywania połączeń głosowych, centralnego przechowywania i udostępniania zamówień pracy, zbierania danych terenowych, przekazywania zdjęć, integracji z rozwiązaniami procesów biznesowych (skompilowanych za pomocą usług Power Apps i Power Automate) oraz integrowania aplikacji biznesowych. Ten typ danych usługi terenowej można uznać za niski wpływ; Jednak efektywność można uzyskać dzięki scentralizowaniu komunikacji i uzyskiwaniu dostępu do danych między pracownikami i pracownikami usług terenowych w tych scenariuszach.

Innym przykładem, w którym usługa Microsoft Teams może przynieść korzyści branży energetycznej, jest sytuacja, w której pracownicy służb terenowych pracują nad przywróceniem usługi podczas awarii. Personel terenowy często wymaga szybkiego dostępu do danych schematu dla podstacji, stacji generujących lub niebieskich wydruków dla zasobów w terenie. Dane te są uważane za mające duży wpływ i muszą być chronione zgodnie z przepisami NERC CIP. Praca w terenie podczas przestojów wymaga komunikacji między pracownikami terenowymi i pracownikami biur, a z kolei z klientami końcowymi. Scentralizacja komunikacji i udostępniania danych w usłudze Microsoft Teams zapewnia pracownikom terenowym łatwą metodę uzyskiwania dostępu do krytycznych danych i przekazywania informacji lub stanu z powrotem do siedziby głównej firmy. Na przykład usługa Microsoft Teams umożliwia pracownikom terenowym dołączanie do połączeń konferencyjnych w drodze do awarii. Pracownicy terenowi mogą również robić zdjęcia lub wideo ze swojego środowiska i udostępniać je centrali, co jest szczególnie ważne, gdy sprzęt terenowy nie pasuje do schematów. Dane i stan zebrane z pola można następnie wyświetlić pracownikom biura i kierownictwu za pośrednictwem narzędzi do wizualizacji danych, takich jak Power BI. Ostatecznie usługa Microsoft Teams może sprawić, że pracownicy terenowi będą wydajniejsi i wydajniejsi w tych krytycznych sytuacjach.

Zespoły: Zwiększanie współpracy i zmniejszanie ryzyka zgodności

Platforma Microsoft 365 udostępnia typowe możliwości zasad dla usługi Microsoft Teams dzięki wykorzystaniu grup Office 365 jako podstawowego dostawcy członkostwa. Te zasady mogą pomóc w usprawnianiu współpracy i spełnianiu wymagań dotyczących zgodności.

Office 365 zasady nazewnictwa grup pomagają zagwarantować, że grupy Office 365, a w związku z tym microsoft teams, są nazwane zgodnie z zasadami firmy. Nazwa zespołu może stanowić wyzwanie, jeśli nie zostanie odpowiednio nazwana. Na przykład pracownicy mogą nie wiedzieć, w których zespołach pracować lub udostępniać informacje, jeśli są niepoprawnie nazwani. Zasady nazewnictwa grup pomagają wymusić dobrą higienę i mogą również uniemożliwić użycie określonych słów, takich jak słowa zarezerwowane lub nieodpowiednia terminologia.

Office 365 zasady wygasania grup pomagają zagwarantować, że Office 365 grupy, a w związku z tym usługa Microsoft Teams, nie są zachowywane przez dłuższy czas niż jest to wymagane przez organizację. Ta funkcja pomaga zapobiegać dwóm kluczowym problemom z zarządzaniem informacjami:

• Rozprzestrzenianie się aplikacji Microsoft Teams, które nie są konieczne ani używane
• Nadmierne przechowywanie danych, które nie są już wymagane przez organizację

Administratorzy mogą określić okres wygaśnięcia w dniach dla grup Office 365 (na przykład 90, 180 lub 365 dni). Jeśli usługa wspierana przez grupę Office 365 jest nieaktywna w okresie wygaśnięcia, właściciele grupy są powiadamiani. Jeśli nie zostanie podjęta żadna akcja, grupa Office 365 i wszystkie powiązane z nią usługi, w tym usługa Microsoft Teams, zostaną usunięte.

Nadmierne przechowywanie danych w zespole firmy Microsoft może stanowić zagrożenie dla organizacji. Stosowanie zasad wygasania jest zalecaną metodą ochrony organizacji. W połączeniu z wbudowanymi etykietami i zasadami przechowywania platforma Microsoft 365 pomaga zagwarantować, że organizacje przechowują tylko dane wymagane do spełnienia zobowiązań w zakresie zgodności z przepisami.

Teams: łatwe integrowanie wymagań niestandardowych

Usługa Microsoft Teams domyślnie umożliwia samoobsługowe tworzenie aplikacji Teams. Jednak wiele regulowanych organizacji chce kontrolować i zrozumieć, które przestrzenie współpracy są obecnie używane przez pracowników, które przestrzenie zawierają poufne dane i kim są właściciele przestrzeni w całej organizacji. Aby ułatwić te kontrolki, platforma Microsoft 365 umożliwia organizacjom wyłączenie samoobsługowego tworzenia aplikacji Teams. Ponadto użycie wbudowanych narzędzi automatyzacji procesów biznesowych platformy Microsoft 365, takich jak Power Apps i Power Automate, umożliwia organizacjom tworzenie prostych procesów w celu żądania nowego zespołu. Wypełniając łatwy w użyciu formularz, menedżer może automatycznie zażądać zatwierdzenia. Po zatwierdzeniu zespół może zostać automatycznie zainicjowany, a osoba żądająca otrzyma link do nowego zespołu. Tworząc takie procesy, organizacje mogą również zintegrować wymagania niestandardowe w celu ułatwienia innych procesów biznesowych.

Zapewnianie bezpiecznej i zgodnej współpracy w branży energetycznej

Jak wspomniano, Microsoft Office 365 i Office 365 rząd USA osiągnęły FedRAMP ATO na umiarkowanym poziomie wpływu. Platforma Azure i Azure Government osiągnęły wysoki poziom P-ATO FedRAMP, który reprezentuje najwyższy poziom autoryzacji FedRAMP. Ponadto umiarkowany zestaw kontroli FedRAMP obejmuje wszystkie wymagania cip NERC, dzięki czemu organizacje branży energetycznej ("zarejestrowane jednostki") mogą korzystać z istniejących autoryzacji FedRAMP jako skalowalnego i wydajnego podejścia do spełniania wymagań inspekcji NERC. Należy jednak pamiętać, że FedRAMP nie jest certyfikatem do punktu w czasie, ale programem oceny i autoryzacji, który zawiera przepisy dotyczące ciągłego monitorowania. Mimo że ten przepis ma zastosowanie głównie do dostawcy CSP, klienci firmy Microsoft korzystający z systemów bulk electric są odpowiedzialni za zapewnienie własnej zgodności ze standardami CIP NERC. Ogólnie zalecanym rozwiązaniem jest ciągłe monitorowanie stanu zgodności organizacji w celu zapewnienia ciągłej zgodności z przepisami.

Firma Microsoft udostępnia kluczowe narzędzie ułatwiające monitorowanie zgodności z przepisami w czasie:

• Menedżer zgodności usługi Microsoft Purview pomaga organizacji zrozumieć jej aktualną postawę zgodności i działania, które może podjąć, aby poprawić tę postawę. Menedżer zgodności oblicza wynik oparty na ryzyku, mierzący postęp w wykonywaniu akcji, które pomagają zmniejszyć ryzyko związane z ochroną danych i normami prawnymi. Menedżer zgodności zapewnia wstępny wynik na podstawie punktu odniesienia ochrony danych platformy Microsoft 365. Ten punkt odniesienia to zestaw mechanizmów kontroli, które obejmują wspólne przepisy i standardy branżowe. Chociaż ten wynik jest dobrym punktem wyjścia, menedżer zgodności staje się bardziej wydajny, gdy organizacja dodaje oceny, które są bardziej istotne dla ich branży. Menedżer zgodności obsługuje szereg standardów regulacyjnych, które są istotne dla obowiązków zgodności cip NERC, w tym FedRAMP Moderate Control Set, NIST 800-53 Rev. 4 i AICPA SOC 2. Organizacje branży energetycznej mogą również w razie potrzeby tworzyć lub importować niestandardowe zestawy kontroli.

Możliwości przepływu pracy wbudowane w program Compliance Manager umożliwiają organizacjom energetycznym przekształcanie i digitalizację procesów zgodności z przepisami. Tradycyjnie zespoły ds. zgodności w branży energetycznej stoją przed następującymi wyzwaniami:

• Niespójne raportowanie lub śledzenie postępu akcji korygowania
• Nieefektywne lub nieskuteczne procesy
• Niewystarczające zasoby lub brak własności
• Brak informacji w czasie rzeczywistym i błąd ludzki

Automatyzując aspekty procesów zgodności z przepisami za pomocą menedżera zgodności, organizacje mogą zmniejszyć obciążenia administracyjne związane z funkcjami prawnymi i zgodności. To narzędzie może pomóc w sprostaniu tym wyzwaniom, udostępniając bardziej aktualne informacje na temat działań korygujących, bardziej spójnych raportów i udokumentowanej własności akcji (związanych z implementacją akcji). Organizacje mogą automatycznie śledzić akcje korygowania w czasie i zobaczyć ogólny wzrost wydajności. Ta funkcja umożliwia pracownikom skoncentrowanie większego wysiłku na uzyskiwaniu szczegółowych informacji i opracowywaniu strategii ułatwiających efektywniejsze poruszanie się po ryzyku.

Menedżer zgodności nie wyraża bezwzględnej miary zgodności organizacji z żadnym konkretnym standardem lub regulacją. Wyraża ona zakres, w jakim użytkownik wdrożył mechanizmy kontroli, co może ograniczyć ryzyko dla danych osobowych i prywatności osób. Zalecenia menedżera zgodności nie powinny być interpretowane jako gwarancja zgodności. Akcje klienta podane w Menedżerze zgodności to rekomendacje. Do każdej organizacji należy ocena skuteczności tych zaleceń w celu spełnienia ich zobowiązań regulacyjnych przed wdrożeniem. Zalecenia znalezione w Menedżerze zgodności nie powinny być interpretowane jako gwarancja zgodności.

Wiele mechanizmów kontroli związanych z bezpieczeństwem cybernetycznym jest uwzględnionych w standardach FedRAMP Moderate Control Set i NERC CIP. Jednak kluczowe mechanizmy kontroli związane z platformą Microsoft 365 obejmują mechanizmy kontroli zarządzania zabezpieczeniami (CIP-003-6), zarządzanie kontami i dostępem/odwoływanie dostępu (CIP-004-6), elektroniczny obwód zabezpieczeń (CIP-005-5), monitorowanie zdarzeń zabezpieczeń i reagowanie na zdarzenia (CIP-008-5). Poniższe podstawowe możliwości platformy Microsoft 365 pomagają sprostać zagrożeniom i wymaganiom zawartym w tych artykułach.

Zabezpieczanie tożsamości użytkowników i kontrola dostępu

Ochrona dostępu do dokumentów i aplikacji rozpoczyna się od silnego zabezpieczania tożsamości użytkowników. Jako podstawa ta akcja wymaga zapewnienia bezpiecznej platformy dla przedsiębiorstwa do przechowywania tożsamości i zarządzania nimi oraz zapewniania zaufanych środków uwierzytelniania. Wymaga to również dynamicznego kontrolowania dostępu do tych aplikacji. Gdy pracownicy pracują, mogą przechodzić z aplikacji do aplikacji lub w wielu lokalizacjach i urządzeniach. W związku z tym dostęp do danych musi być uwierzytelniony na każdym kroku. Ponadto proces uwierzytelniania musi obsługiwać silny protokół i wiele czynników uwierzytelniania (jednorazowy kod dostępu SMS, aplikacja wystawcy uwierzytelniania, certyfikat itp.), aby upewnić się, że tożsamości nie zostały naruszone. Na koniec wymuszanie zasad dostępu opartych na ryzyku to kluczowe zalecenie dotyczące ochrony danych i aplikacji przed zagrożeniami wewnętrznymi, niezamierzonymi wyciekami danych i eksfiltracją danych.

Platforma Microsoft 365 zapewnia bezpieczną platformę identyfikacji z Tożsamość Microsoft Entra gdzie tożsamości są centralnie przechowywane i bezpiecznie zarządzane. Tożsamość Microsoft Entra wraz z szeregiem powiązanych usług zabezpieczeń platformy Microsoft 365 stanowi podstawę do zapewnienia pracownikom dostępu, którego potrzebują do bezpiecznej pracy, jednocześnie chroniąc organizację przed zagrożeniami.

Microsoft Entra uwierzytelnianie wieloskładnikowe (MFA) jest wbudowane w platformę i zapewnia dodatkową warstwę ochrony, aby zapewnić użytkownikom, kim mówią, że są podczas uzyskiwania dostępu do poufnych danych i aplikacji. Microsoft Entra uwierzytelnianie wieloskładnikowe wymaga co najmniej dwóch form uwierzytelniania, takich jak hasło i znane urządzenie przenośne. Obsługuje ona kilka opcji uwierzytelniania drugiego czynnika, w tym: aplikację Microsoft Authenticator, jednorazowy kod dostępu dostarczany za pośrednictwem wiadomości SMS, odbieranie połączenia telefonicznego, w którym użytkownik musi wprowadzić numer PIN, karty inteligentne lub uwierzytelnianie oparte na certyfikatach. W przypadku naruszenia hasła potencjalny haker nadal potrzebuje telefonu użytkownika, aby uzyskać dostęp do danych organizacji. Ponadto platforma Microsoft 365 używa nowoczesnego uwierzytelniania jako protokołu klucza, zapewniając takie samo silne środowisko uwierzytelniania z przeglądarek internetowych do narzędzi do współpracy, w tym aplikacji Microsoft Outlook i Microsoft Office.

Microsoft Entra dostęp warunkowy zapewnia niezawodne rozwiązanie do automatyzowania decyzji dotyczących kontroli dostępu i wymuszania zasad ochrony zasobów firmy. Typowym przykładem jest to, że pracownik próbuje uzyskać dostęp do aplikacji zawierającej poufne dane klienta i jest automatycznie wymagany do przeprowadzenia uwierzytelniania wieloskładnikowego. Dostęp warunkowy platformy Azure łączy sygnały z żądania dostępu użytkownika (takie jak właściwości użytkownika, jego urządzenia, lokalizacji, sieci oraz aplikacji lub repozytorium, do których próbuje uzyskać dostęp). Dynamicznie ocenia każdą próbę uzyskania dostępu do aplikacji pod kątem skonfigurowanych zasad. Jeśli ryzyko związane z użytkownikiem lub urządzeniem jest podwyższone lub jeśli inne warunki nie zostaną spełnione, Tożsamość Microsoft Entra automatycznie wymusza zasady (takie jak dynamiczne wymaganie uwierzytelniania wieloskładnikowego, ograniczanie lub nawet blokowanie dostępu). Ten projekt pomaga zapewnić ochronę poufnych zasobów w dynamicznie zmieniających się środowiskach.

Ochrona usługi Office 365 w usłudze Microsoft Defender udostępnia zintegrowaną usługę chroniącą organizacje przed złośliwymi linkami i złośliwym oprogramowaniem dostarczanym za pośrednictwem poczty e-mail. Jednym z najczęstszych wektorów ataków mających wpływ na użytkowników jest wyłudzanie informacji za pomocą poczty e-mail. Ataki te mogą być starannie ukierunkowane na konkretnych pracowników o wysokim profilu i mogą być spreparowane tak, aby były bardzo przekonujące. Zazwyczaj zawierają one wywołanie akcji wymagające od użytkownika wybrania złośliwego linku lub otwarcia załącznika ze złośliwym oprogramowaniem. Po zainfekowaniu osoba atakująca może ukraść poświadczenia użytkownika i przenieść się później w całej organizacji. Mogą również eksfiltrować wiadomości e-mail i dane w poszukiwaniu informacji poufnych. Ochrona usługi Office 365 w usłudze Microsoft Defender ocenia linki w czasie klikania potencjalnie złośliwych witryn i blokuje je. Email załączniki są otwierane w chronionej piaskownicy przed dostarczeniem ich do skrzynki pocztowej użytkownika.

Microsoft Defender for Cloud Apps zapewnia organizacjom możliwość wymuszania zasad na poziomie szczegółowym. Ten projekt obejmuje wykrywanie anomalii behawioralnych na podstawie profilów poszczególnych użytkowników, które są automatycznie definiowane przy użyciu usługi Machine Learning. Usługa Defender for Cloud Apps bazuje na zasadach dostępu warunkowego platformy Azure, oceniając dodatkowe sygnały związane z zachowaniem użytkowników i właściwościami dokumentów, do których uzyskuje się dostęp. Z biegiem czasu usługa Defender for Cloud Apps poznaje typowe zachowanie każdego pracownika (dane, do których uzyskuje dostęp, oraz używane aplikacje). Na podstawie poznanych wzorców behawioralnych zasady mogą automatycznie wymuszać mechanizmy kontroli zabezpieczeń, jeśli pracownik wykracza poza ten profil behawioralny. Jeśli na przykład pracownik zwykle uzyskuje dostęp do aplikacji księgowej od 9:00 do 17:00, od poniedziałku do piątku, ale ten sam użytkownik zaczyna intensywnie uzyskiwać dostęp do tej aplikacji w niedzielę wieczorem, usługa Defender for Cloud Apps może dynamicznie wymuszać zasady, aby wymagać ponownego uwierzytelnienia użytkownika. To wymaganie pomaga zapewnić, że poświadczenia nie zostały naruszone. Ponadto usługa Defender for Cloud Apps może pomóc odnajdywać i identyfikować dział IT w tle w organizacji. Ta funkcja pomaga zespołom InfoSec zapewnić, że pracownicy używają zaakceptowanych narzędzi podczas pracy z poufnymi danymi. Na koniec usługa Defender for Cloud Apps może chronić poufne dane w dowolnym miejscu w chmurze, nawet poza platformą Microsoft 365. Umożliwia to organizacjom nakładanie sankcji (lub usuwanie sankcji) określonych zewnętrznych aplikacji w chmurze, kontrolowanie dostępu i monitorowania, gdy użytkownicy pracują w tych aplikacjach.

Tożsamość Microsoft Entra i powiązane usługi zabezpieczeń platformy Microsoft 365 stanowią podstawę, na której można wdrożyć nowoczesną platformę współpracy w chmurze dla organizacji branży energetycznej. Tożsamość Microsoft Entra obejmuje mechanizmy kontroli w celu ochrony dostępu do danych i aplikacji. Oprócz zapewnienia silnego bezpieczeństwa te mechanizmy kontroli ułatwiają organizacjom spełnienie zobowiązań w zakresie zgodności z przepisami.

usługi Tożsamość Microsoft Entra i Microsoft 365 oraz są głęboko zintegrowane i zapewniają następujące ważne możliwości:

• Centralne przechowywanie tożsamości użytkowników i bezpieczne zarządzanie nimi
• Używanie silnego protokołu uwierzytelniania, w tym uwierzytelniania wieloskładnikowego, do uwierzytelniania użytkowników na żądaniach dostępu
• Zapewnianie spójnego i niezawodnego środowiska uwierzytelniania w dowolnej aplikacji
• Dynamiczne weryfikowanie zasad we wszystkich żądaniach dostępu, dołączanie wielu sygnałów do procesu podejmowania decyzji dotyczących zasad (w tym tożsamości, członkostwa użytkowników/grup, aplikacji, urządzenia, sieci, lokalizacji i oceny ryzyka w czasie rzeczywistym)
• Weryfikowanie szczegółowych zasad na podstawie zachowania użytkownika i właściwości pliku oraz dynamiczne wymuszanie dodatkowych środków zabezpieczeń w razie potrzeby
• Identyfikowanie w tle it w organizacji i zezwalanie zespołom InfoSec na nakładanie sankcji lub blokowanie aplikacji w chmurze
• Monitorowanie i kontrolowanie dostępu do aplikacji firmy Microsoft i aplikacji w chmurze innych niż Microsoft
• Proaktywna ochrona przed wyłudzaniem informacji pocztą e-mail i atakami ransomware

Identyfikowanie poufnych danych i zapobieganie utracie danych

Standardy FedRAMP Moderate Control Set i NERC CIP obejmują również ochronę informacji jako wymóg kontroli klucza (CIP-011-2). Wymagania te dotyczą w szczególności konieczności identyfikowania informacji związanych z informacjami o systemie cybersystemu bes (bulk electric system) oraz ochrony i bezpiecznej obsługi tych informacji (w tym przechowywania, tranzytu i używania). Konkretne przykłady informacji o systemie cybernetycznym BES mogą obejmować procedury zabezpieczeń lub informacje o zabezpieczeniach dotyczące systemów, które mają podstawowe znaczenie dla obsługi zbiorczego systemu elektrycznego (BES Cyber Systems, Physical Access Control Systems oraz elektronicznych systemów Access Control lub monitorowania), które nie są publicznie dostępne i mogą być używane do zezwalania na nieautoryzowany dostęp lub nieautoryzowaną dystrybucję. Istnieje jednak taka sama potrzeba identyfikowania i ochrony informacji o klientach, które mają kluczowe znaczenie dla codziennej działalności organizacji energetycznych.

Platforma Microsoft 365 umożliwia identyfikowanie i ochronę poufnych danych w organizacji za pomocą kombinacji zaawansowanych możliwości, w tym:

• Microsoft Purview Information Protection klasyfikacji opartej na użytkownikach i zautomatyzowanej klasyfikacji danych poufnych

• Ochrona przed utratą danych w Microsoft Purview (DLP) do automatycznej identyfikacji danych poufnych przy użyciu poufnych typów danych (czyli wyrażeń regularnych) i słów kluczowych oraz wymuszania zasad

Microsoft Purview Information Protection umożliwia pracownikom klasyfikowanie dokumentów i wiadomości e-mail z etykietami poufności. Etykiety poufności mogą być stosowane ręcznie przez użytkowników do dokumentów w aplikacjach pakietu Microsoft Office i do wiadomości e-mail w programie Microsoft Outlook. Etykiety poufności mogą automatycznie stosować oznaczenia dokumentów, chronić za pomocą szyfrowania i wymuszać zarządzanie prawami. Etykiety poufności można również stosować automatycznie, konfigurując zasady używające słów kluczowych i poufnych typów danych (numerów kart kredytowych, numerów ubezpieczenia społecznego, numerów tożsamości itp.).

Firma Microsoft udostępnia również klasyfikatory z możliwością trenowania. Używają one modeli uczenia maszynowego do identyfikowania poufnych danych na podstawie zawartości, w przeciwieństwie do po prostu dopasowania wzorca lub elementów w zawartości. Klasyfikator uczy się, jak zidentyfikować typ zawartości, przeglądając wiele przykładów zawartości, która ma zostać sklasyfikowana. Trenowanie klasyfikatora rozpoczyna się od udostępnienia jej przykładów zawartości w określonej kategorii. Po przeliczeniu przykładów model jest testowany przez udostępnienie mu kombinacji przykładów dopasowania i niezgodności. Klasyfikator następnie przewiduje, czy dany przykład należy do kategorii, czy nie. Następnie osoba potwierdza wyniki, sortując wyniki dodatnie, ujemne, fałszywie dodatnie i fałszywie ujemne, aby zwiększyć dokładność przewidywań klasyfikatora. Po opublikowaniu wytrenowanego klasyfikatora przetwarza i automatycznie klasyfikuje zawartość w usłudze SharePoint Online, Exchange Online i OneDrive.

Zastosowanie etykiet poufności do dokumentów i wiadomości e-mail osadza metadane w obiekcie, który identyfikuje wybraną czułość, umożliwiając tym samym przenoszenie poufności z danymi. W związku z tym nawet jeśli dokument z etykietą jest przechowywany na pulpicie użytkownika lub w systemie lokalnym, nadal jest chroniony. Ten projekt umożliwia innym rozwiązaniu platformy Microsoft 365, takim jak Microsoft Defender for Cloud Apps lub urządzenia brzegowe sieci, identyfikowanie poufnych danych i automatyczne wymuszanie mechanizmów kontroli zabezpieczeń. Etykiety poufności mają dodatkową zaletę informowania pracowników o tym, które dane w organizacji są uważane za poufne i jak obsługiwać te dane.

Ochrona przed utratą danych w Microsoft Purview (DLP) automatycznie identyfikuje dokumenty, wiadomości e-mail i konwersacje zawierające dane poufne, skanując te elementy pod kątem poufnych typów danych, a następnie wymuszając zasady dotyczące tych obiektów. Zasady są wymuszane w dokumentach w programie SharePoint i OneDrive dla Firm. Zasady są również wymuszane, gdy użytkownicy wysyłają wiadomości e-mail i w usłudze Microsoft Teams w ramach czatu i konwersacji kanału. Zasady można skonfigurować do wyszukiwania słów kluczowych, poufnych typów danych, etykiet przechowywania oraz tego, czy dane są współużytkowane w organizacji, czy na zewnątrz. Dostępne są mechanizmy kontroli ułatwiające organizacjom dostosowywanie zasad DLP w celu lepszego uniknięcia wyników fałszywie dodatnich. Po znalezieniu poufnych danych można wyświetlić użytkownikom w aplikacjach platformy Microsoft 365 porady dotyczące konfigurowalnych zasad. Porady dotyczące zasad informują użytkowników, że ich zawartość zawiera poufne dane i mogą proponować działania naprawcze. Zasady mogą również uniemożliwiać użytkownikom dostęp do dokumentów, udostępnianie dokumentów lub wysyłanie wiadomości e-mail zawierających określone typy danych poufnych. Platforma Microsoft 365 obsługuje ponad 100 wbudowanych poufnych typów danych. Organizacje mogą konfigurować niestandardowe typy danych poufnych w celu spełnienia ich zasad.

Wdrażanie zasad Microsoft Purview Information Protection i DLP dla organizacji wymaga starannego planowania. Wymaga to również edukacji użytkowników, aby pracownicy zrozumieli schemat klasyfikacji danych organizacji i typy danych, które są poufne. Zapewnienie pracownikom narzędzi i programów edukacyjnych, które ułatwiają im identyfikowanie poufnych danych i pomagają im zrozumieć, jak sobie z nimi radzić, czynią ich częścią rozwiązania w celu ograniczenia zagrożeń bezpieczeństwa informacji.

Zarządzanie danymi przez efektywne zarządzanie rekordami

Przepisy wymagają, aby wiele organizacji zarządzało przechowywaniem kluczowych dokumentów organizacyjnych zgodnie z zarządzanym harmonogramem przechowywania w firmie. Organizacje stoją w obliczu ryzyka zgodności z przepisami, jeśli dane są niedostatecznie przechowywane (zbyt wcześnie usunięte) lub ryzyko prawne, jeśli dane są nadmiernie przechowywane (przechowywane zbyt długo). Efektywne strategie zarządzania rekordami pomagają zapewnić przechowywanie dokumentów organizacji zgodnie ze wstępnie określonymi okresami przechowywania, które mają na celu zminimalizowanie ryzyka dla organizacji. Okresy przechowywania są określone w centralnie zarządzanym harmonogramie przechowywania rekordów organizacyjnych. Okresy przechowywania są oparte na charakterze każdego typu dokumentu, wymaganiach dotyczących zgodności z przepisami dotyczącymi przechowywania określonych typów danych oraz zdefiniowanych zasadach organizacji.

Dokładne przypisywanie okresów przechowywania rekordów w dokumentach organizacyjnych może wymagać szczegółowego procesu, który unikatowo przypisuje okresy przechowywania do poszczególnych dokumentów. Stosowanie zasad przechowywania rekordów na dużą skalę może być trudne z wielu powodów. Przyczyny te obejmują ogromną liczbę dokumentów w organizacjach branży energetycznej oraz fakt, że w wielu przypadkach okresy przechowywania mogą być wyzwalane przez zdarzenia organizacyjne (takie jak wygaśnięcie umów lub opuszczenie organizacji przez pracownika).

Platforma Microsoft 365 oferuje możliwości definiowania etykiet i zasad przechowywania w celu łatwego wdrożenia wymagań dotyczących zarządzania rekordami. Menedżer rekordów definiuje etykietę przechowywania, która reprezentuje "typ rekordu" w tradycyjnym harmonogramie przechowywania. Etykieta przechowywania zawiera ustawienia, które definiują:

• Jak długo rekord jest zachowywany
• Wymagania dotyczące współbieżności lub to, co dzieje się po upływie okresu przechowywania (usuń dokument, rozpocznij przegląd dyspozycji lub nie podejmij żadnych działań)
• Co wyzwala rozpoczęcie okresu przechowywania (data utworzenia, data ostatniej modyfikacji, data oznaczona etykietą lub zdarzenie) i
• Jeśli dokument lub wiadomość e-mail jest rekordem (co oznacza, że nie można go edytować ani usunąć)

Etykiety przechowywania są następnie publikowane w witrynach programu SharePoint lub OneDrive, skrzynkach pocztowych programu Exchange i grupach Office 365. Użytkownicy mogą następnie ręcznie stosować etykiety przechowywania do dokumentów i wiadomości e-mail. Menedżerowie rekordów mogą też używać reguł do automatycznego stosowania etykiet przechowywania. Reguły automatycznego stosowania mogą być oparte na słowach kluczowych lub poufnych danych znalezionych w dokumentach lub wiadomościach e-mail, takich jak numery kart kredytowych, numery ubezpieczenia społecznego lub inne dane osobowe. Reguły automatycznego stosowania mogą być również oparte na metadanych programu SharePoint.

Standardy FedRAMP Moderate Control Set i NERC CIP obejmują również ponowne użycie i usuwanie zasobów jako wymóg kontroli klucza (CIP-011-2). Te wymagania po raz kolejny dotyczą informacji o systemie cybernetycznym bes (bulk electric system). Jednak inne przepisy jurysdykcyjne wymagają od organizacji przemysłu energetycznego skutecznego zarządzania i usuwania rekordów dla wielu rodzajów informacji. Informacje te obejmują sprawozdania finansowe, informacje o projekcie kapitałowym, budżety, dane klientów itp. We wszystkich przypadkach organizacje energetyczne są zobowiązane do utrzymywania niezawodnych programów zarządzania rekordami i dowodów związanych z obronną dyspozycją dokumentacji firmowej.

Dzięki każdej etykiecie przechowywania platforma Microsoft 365 umożliwia menedżerom rekordów określenie, czy jest wymagany przegląd dyspozycji. Następnie, gdy te typy rekordów pojawią się w celu dyspozycji, po upływie ich okresu przechowywania, przed usunięciem zawartości należy przeprowadzić przegląd przez wyznaczonych recenzentów dyspozycji. Po zatwierdzeniu przeglądu dyspozycji trwa usuwanie zawartości. Jednak dowody usunięcia (użytkownika, który wykonał usunięcie i daty/godziny, w którym wystąpił) są nadal przechowywane przez wiele lat jako certyfikat zniszczenia. Jeśli organizacje wymagają dłuższego lub trwałego przechowywania certyfikatów zniszczenia, mogą używać usługi Microsoft Sentinel do długoterminowego przechowywania danych dzienników i inspekcji opartych na chmurze. Usługa Microsoft Sentinel zapewnia organizacjom pełną kontrolę nad długoterminowym przechowywaniem i przechowywaniem danych aktywności, danych dziennika oraz danych przechowywania/dyspozycji.

Zgodność z przepisami FERC i FTC dla rynków energii

Amerykańska Federalna Komisja Regulacji Energii (FERC) nadzoruje przepisy związane z rynkami energii i handlem na rynkach energii elektrycznej i gazu ziemnego. Amerykańska Federalna Komisja Handlu (FTC) nadzoruje podobne przepisy na rynku ropy naftowej. W obu przypadkach te organy regulacyjne ustalają zasady i wytyczne zakazujące manipulowania rynkami energii. Firma FERC zaleca na przykład, aby organizacje energetyczne inwestować w zasoby technologiczne w celu monitorowania handlu, komunikacji z przedsiębiorcami i zgodności z kontrolami wewnętrznymi. Organy regulacyjne zalecają również, aby organizacje energetyczne regularnie oceniać bieżącą skuteczność programu zgodności organizacji.

Tradycyjnie rozwiązania do monitorowania komunikacji są kosztowne i mogą być skomplikowane do konfigurowania i zarządzania. Ponadto organizacje mogą doświadczać wyzwań związanych z monitorowaniem wielu różnych kanałów komunikacji dostępnych dla pracowników. Platforma Microsoft 365 oferuje kilka wbudowanych, niezawodnych możliwości monitorowania komunikacji pracowników, nadzorowania działań pracowników oraz zapewniania zgodności z przepisami FERC dotyczącymi rynków energii.

Implementowanie kontroli nadzoru

Platforma Microsoft 365 umożliwia organizacjom konfigurowanie zasad nadzoru, które przechwytują komunikację pracowników (na podstawie skonfigurowanych warunków) i umożliwiają ich przeglądanie przez wyznaczonych przełożonych. Zasady nadzoru mogą przechwytywać wewnętrzne/zewnętrzne wiadomości e-mail i załączniki, czat i kanał w usłudze Microsoft Teams, Skype dla firm wiadomości czatu online i załączniki oraz komunikację za pośrednictwem usług innych firm (takich jak Facebook lub Dropbox).

Kompleksowy charakter komunikacji, które mogą być przechwytywane i przeglądane w organizacji, oraz rozległe warunki, z którymi można skonfigurować zasady, umożliwiają zasadom nadzoru platformy Microsoft 365 pomoc organizacjom w przestrzeganiu przepisów dotyczących rynku energii FERC. Zasady nadzoru można skonfigurować do przeglądania komunikacji dla użytkowników indywidualnych lub grup. Ponadto nadzorcy mogą być konfigurowane jako osoby lub grupy. Kompleksowe warunki można skonfigurować do przechwytywania komunikacji na podstawie komunikatów przychodzących lub wychodzących, domen, etykiet przechowywania, słów kluczowych lub fraz, słowników słów kluczowych, poufnych typów danych, załączników, rozmiaru wiadomości lub rozmiaru załącznika. Recenzenci otrzymują pulpit nawigacyjny, na którym mogą przeglądać oflagowane komunikaty, wykonywać działania w komunikacji, które mogą naruszać zasady, lub oznaczać oflagowane elementy jako rozwiązane. Mogą również przejrzeć wyniki poprzednich przeglądów i elementów, które zostały rozwiązane.

Platforma Microsoft 365 udostępnia raporty, które umożliwiają inspekcję działań przeglądu zasad nadzoru na podstawie zasad i recenzenta. Dostępne raporty mogą służyć do sprawdzania, czy zasady nadzoru działają zgodnie z definicją zasad nadzoru pisemnego organizacji. Raporty mogą również służyć do identyfikowania komunikacji wymagającej przeglądu, w tym komunikacji, które nie są zgodne z zasadami firmy. Na koniec wszystkie działania związane z konfigurowaniem zasad nadzoru i przeglądaniem komunikacji są poddawane inspekcji w Office 365 ujednoliconego dziennika inspekcji.

Zasady nadzoru platformy Microsoft 365 umożliwiają organizacjom monitorowanie komunikacji pod kątem zgodności z zasadami firmy, takimi jak naruszenia nękania zasobów ludzkich i obraźliwy język w komunikacji firmowej. Umożliwia również organizacjom zmniejszenie ryzyka poprzez monitorowanie komunikacji, gdy organizacje przechodzą poufne zmiany organizacyjne, takie jak fuzje i przejęcia lub zmiany kierownictwa.

Zgodność w komunikacji

Dzięki wielu kanałom komunikacyjnym dostępnym dla pracowników organizacje coraz częściej wymagają skutecznych rozwiązań do wykrywania i badania komunikacji w branżach regulowanych, takich jak rynki handlu energią. Wyzwania te mogą obejmować rosnącą liczbę kanałów komunikacyjnych i ilości komunikatów oraz ryzyko potencjalnych kar za naruszenia zasad.

Zgodność w komunikacji w Microsoft Purview jest rozwiązaniem do zapewniania zgodności, które pomaga zminimalizować ryzyko związane z komunikacją, pomagając wykrywać, badać i działać na nieodpowiednich komunikatach w organizacji. Wstępnie zdefiniowane i niestandardowe zasady umożliwiają skanowanie komunikacji wewnętrznej i zewnętrznej pod kątem dopasowań zasad, aby mogły zostać zbadane przez wyznaczonych recenzentów. Recenzenci mogą badać zeskanowaną pocztę e-mail, usługę Microsoft Teams, Viva Engage lub komunikację innych firm w organizacji i podejmować odpowiednie działania, aby upewnić się, że są one zgodne ze standardami wiadomości organizacji.

Zgodność z komunikacją pomaga zespołom ds. zgodności efektywnie i efektywnie przeglądać komunikaty pod kątem potencjalnych naruszeń:

• zasady firmowe, takie jak akceptowalne użycie, standardy etyczne i zasady specyficzne dla firmy
• poufności lub poufnych informacji biznesowych, takich jak nieautoryzowana komunikacja na temat poufnych projektów, takich jak nadchodzące przejęcia, fuzje, ujawnianie zarobków, reorganizacje lub zmiany zespołu kierowniczego
• wymagania dotyczące zgodności z przepisami, takie jak komunikacja pracowników dotycząca typów przedsiębiorstw lub transakcji, w których organizacja angażuje się w zgodność z przepisami FERC dotyczącymi rynków energii

Zgodność z komunikacją zapewnia wbudowane klasyfikatory zagrożeń, nękania i wulgaryzmów, które pomagają zmniejszyć liczbę wyników fałszywie dodatnich podczas przeglądania komunikacji. Ta klasyfikacja pozwala zaoszczędzić czas recenzentów podczas procesu badania i korygowania. Pomaga recenzentom skupić się na określonych komunikatach w długich wątkach, które zostały wyróżnione przez alerty zasad. Ten wynik pomaga zespołom ds. zgodności szybciej identyfikować i korygować zagrożenia. Zapewnia zespołom ds. zgodności możliwość łatwego konfigurowania i dostosowywania zasad, dostosowywania rozwiązania do konkretnych potrzeb organizacji i zmniejszania liczby wyników fałszywie dodatnich. Zgodność z komunikacją może również pomóc w zidentyfikowaniu potencjalnie ryzykownych zachowań użytkowników w czasie, wyróżniając potencjalne wzorce w ryzykownych zachowaniach lub naruszeniach zasad. Ponadto zapewnia elastyczne, wbudowane przepływy pracy korygowania. Te przepływy pracy pomagają recenzentom szybko podjąć działania w celu eskalowania do zespołów prawnych lub ludzkich zgodnie ze zdefiniowanymi procesami firmowymi.

Ochrona przed eksfiltracją danych i ryzykiem wewnętrznym

Typowym zagrożeniem dla przedsiębiorstw jest eksfiltracja danych lub działanie wyodrębniania danych z organizacji. Ta akcja może być istotnym problemem dla organizacji energetycznych ze względu na poufny charakter informacji, do których mogą na co dzień uzyskiwać dostęp pracownicy lub pracownicy służb terenowych. Dane te obejmują zarówno informacje o systemie cybernetycznym BES (Bulk Electric System), jak i informacje związane z działalnością biznesową i dane klientów. Wraz z coraz większymi dostępnymi metodami komunikacji i wieloma narzędziami do przenoszenia danych zaawansowane narzędzia są zwykle wymagane w celu ograniczenia ryzyka wycieków danych, naruszeń zasad i ryzyka związanego z wewnętrznymi informacjami.

Zarządzanie ryzykiem wewnętrznym

Włączenie pracowników za pomocą narzędzi do współpracy online, do których można uzyskiwać dostęp w dowolnym miejscu, z natury niesie ze sobą ryzyko dla organizacji. Pracownicy mogą przypadkowo lub złośliwie wyciekać dane do osób atakujących lub konkurentów. Alternatywnie mogą eksfiltrować dane do użytku osobistego lub pobierać dane z nimi do przyszłego pracodawcy. Te scenariusze stanowią poważne zagrożenie dla organizacji z punktu widzenia zabezpieczeń i zgodności. Zidentyfikowanie tych zagrożeń w przypadku ich wystąpienia i ich szybkie ograniczenie wymaga zarówno inteligentnych narzędzi do zbierania danych, jak i współpracy między działami, takimi jak działy prawne, kadrowe i bezpieczeństwo informacji.

Zarządzanie ryzykiem wewnętrznym w Microsoft Purview to rozwiązanie do zapewniania zgodności, które pomaga zminimalizować ryzyko wewnętrzne, umożliwiając wykrywanie, badanie i działanie na złośliwych i niezamierzonych działaniach w organizacji. Zasady ryzyka dotyczącego informacji poufnych umożliwiają definiowanie typów zagrożeń do identyfikowania i wykrywania w organizacji, w tym działania w sprawach i eskalowanie spraw do usługi Microsoft eDiscovery (Premium) w razie potrzeby. Analitycy ryzyka w organizacji mogą szybko podjąć odpowiednie działania, aby upewnić się, że użytkownicy są zgodni ze standardami zgodności organizacji.

Na przykład zarządzanie ryzykiem wewnętrznym może skorelować sygnały z urządzeń użytkownika (na przykład kopiowanie plików na dysk USB lub wysyłanie wiadomości e-mail do osobistego konta e-mail) z działaniami z Usługi online (takimi jak Office 365 poczty e-mail, sharepoint online, microsoft teams, OneDrive dla Firm) w celu zidentyfikowania wzorców eksfiltracji danych. Może również skorelować te działania z pracownikami opuszczającym organizację, co jest typowym wzorcem behawioralnym skojarzonym z eksfiltracją danych. Może wykrywać wiele potencjalnie ryzykownych działań i zachowań w czasie. Gdy pojawiają się typowe wzorce, może ono zgłaszać alerty i pomagać badaczom skupić się na kluczowych działaniach w celu zweryfikowania naruszenia zasad z wysokim poziomem zaufania. Zarządzanie ryzykiem wewnętrznym może również zaciemniać dane od badaczy, aby pomóc w spełnieniu przepisów dotyczących prywatności danych, jednocześnie udostępniając kluczowe działania, które pomagają im skutecznie przeprowadzać badania. Gdy wszystko jest gotowe, umożliwia badaczom pakowanie i bezpieczne wysyłanie kluczowych danych dotyczących działań do działów działu kadr i prawnych po typowych przepływach pracy eskalacji w celu zgłoszenia spraw dotyczących działań naprawczych.

Zarządzanie ryzykiem wewnętrznym to znaczny wzrost możliwości w usłudze Microsoft 365 do wykrywania i badania ryzyka związanego z informacjami poufnymi, jednocześnie umożliwiając organizacjom zachowanie zgodności z przepisami dotyczącymi prywatności danych i podążanie ustalonymi ścieżkami eskalacji, gdy przypadki wymagają działania wyższego poziomu.

Wniosku

Platforma Microsoft 365 oferuje zintegrowane i kompleksowe rozwiązanie, które umożliwia łatwą w użyciu współpracę opartą na chmurze w całym przedsiębiorstwie przy użyciu usługi Microsoft Teams. Usługa Microsoft Teams umożliwia również lepszą komunikację i współpracę z pracownikami obsługi terenowej, pomagając organizacjom energetycznym w zapewnieniu większej wydajności i skuteczności. Lepsza współpraca w całym przedsiębiorstwie i z pracownikami terenowymi może ostatecznie pomóc organizacjom energetycznym w lepszym obsłudze klientów.

Organizacje branży energetycznej muszą przestrzegać rygorystycznych przepisów związanych ze sposobem przechowywania, zabezpieczania i przechowywania informacji związanych z ich działalnością i klientami oraz zarządzania nimi. Muszą one również być zgodne z przepisami dotyczącymi sposobu monitorowania i zapobiegania manipulowaniu rynkami energii. Platforma Microsoft 365 zapewnia niezawodne mechanizmy kontroli zabezpieczeń chroniące dane, tożsamości, urządzenia i aplikacje przed zagrożeniami oraz zgodne z rygorystycznymi przepisami dotyczącymi branży energetycznej. Dostępne są wbudowane narzędzia ułatwiające organizacjom energetycznym ocenę ich zgodności, a także podjęcie działań i śledzenie działań korygowania w czasie. Te narzędzia zapewniają również łatwe w użyciu metody monitorowania i nadzorowania komunikacji. Platforma Microsoft 365 jest oparta na podstawowych składnikach, takich jak Platforma Microsoft Azure i Tożsamość Microsoft Entra, pomagając zabezpieczyć ogólną platformę i pomagając organizacji spełnić wymagania dotyczące zgodności dla zestawów kontroli FedRAMP Moderate i High. Ten projekt z kolei przyczynia się do zdolności organizacji energetycznej do spełniania standardów cip NERC.

Ogólnie rzecz biorąc, platforma Microsoft 365 pomaga organizacjom energetycznym lepiej chronić organizację, mieć bardziej niezawodne programy zgodności i umożliwić pracownikom skupienie się na uzyskaniu lepszych szczegółowych informacji i wdrażaniu strategii w celu lepszego zmniejszenia ryzyka.