Perguntas frequentes sobre a criptografia de mensagens

Criptografia de Mensagens do Microsoft Purview combina funcionalidades de encriptação de e-mail e gestão de direitos. As capacidades de gestão de direitos são suportadas pelo Azure Proteção de Informações.

Pode utilizar Criptografia de Mensagens do Microsoft Purview nas seguintes condições:

• Se ainda não tiver configurado Office 365 Encriptação de Mensagens (OME) ou Gestão de Direitos de Informação (IRM) para o Exchange.

• Se configurar o OME e o IRM, pode utilizar estes passos se também estiver a utilizar o serviço Azure Rights Management do Azure Proteção de Informações.

• Se estiver a utilizar o Exchange com o serviço Active Directory Rights Management (AD RMS), não poderá ativar estas novas capacidades de imediato. Em vez disso, primeiro tem de migrar o AD RMS para o Azure Proteção de Informações. Quando terminar a migração, pode configurar Criptografia de Mensagens do Microsoft Purview com êxito.

  Se optar por continuar a utilizar o AD RMS no local com o Exchange em vez de migrar para o Azure Proteção de Informações, não poderá utilizar Criptografia de Mensagens do Microsoft Purview.

Para utilizar Criptografia de Mensagens do Microsoft Purview, precisa de um dos seguintes planos:

• Criptografia de Mensagens do Microsoft Purview é oferecido como parte do Office 365 Enterprise E3 e E5, Microsoft 365 Enterprise E3 e E5, Microsoft 365 Business Premium, Office 365 A1, A3 e A5 e Office 365 para o Governo G3 e G5. Não precisa de licenças adicionais para receber as novas capacidades de proteção com tecnologia do Azure Proteção de Informações.

• Também pode adicionar o Azure Proteção de Informações Plano 1 aos seguintes planos para receber Criptografia de Mensagens do Microsoft Purview: Exchange Plano 1, Exchange Plano 2, Office 365 F3, Microsoft 365 Business Basic, Microsoft 365 Business Standard ou Office 365 Enterprise E1.

• Cada utilizador que beneficie de Criptografia de Mensagens do Microsoft Purview precisa de uma licença para utilizar a encriptação de mensagens.

• Para obter a lista completa, consulte as descrições do serviço Exchange para Criptografia de Mensagens do Microsoft Purview.

Sim! A Microsoft recomenda que conclua os passos para configurar o BYOK antes de configurar Criptografia de Mensagens do Microsoft Purview.

Para obter mais informações sobre o BYOK, veja Planear e implementar a chave de inquilino do Azure Proteção de Informações.

Não. Criptografia de Mensagens do Microsoft Purview e a opção para fornecer e controlar as suas próprias chaves de encriptação, denominadas BYOK, do Azure Proteção de Informações não foram concebidas para responder a intimações da aplicação da lei. O OME, com BYOK para o Azure Proteção de Informações, foi concebido para organizações focadas na conformidade. A Microsoft leva a sério os pedidos de dados dos clientes. Enquanto fornecedor de serviços cloud, defendemos sempre a privacidade dos seus dados. Caso seja apresentada uma intimação, tentamos sempre redirecionar o pedido diretamente para si para obter as informações. (Leia o blogue de Brad Smith: Proteger os dados dos clientes contra a espionagem do governo). Publicamos periodicamente informações detalhadas do pedido que recebemos. Para obter mais informações sobre pedidos de dados não Microsoft, veja Responder a pedidos governamentais e de aplicação da lei para aceder aos dados dos clientes no Centro de Confiança da Microsoft. Além disso, consulte "Divulgação de Dados do Cliente" nos Termos dos Serviços Online (OST).

Criptografia de Mensagens do Microsoft Purview é uma evolução das soluções de IRM e OME legadas existentes. A tabela seguinte fornece mais detalhes.

Comparação de OME, IRM e Criptografia de Mensagens do Microsoft Purview legados

Consulte Configurar Criptografia de Mensagens do Microsoft Purview.

Office 365 a Encriptação de Mensagens (OME) foi preterida a 1 de julho de 2023. Está a ser substituído automaticamente por Criptografia de Mensagens do Microsoft Purview. Se tiver uma caixa de correio do remetente ativa, ainda pode ver o correio da OME.

Não. Se estiver a utilizar Exchange Online com o serviço Active Directory Rights Management (AD RMS), não poderá ativar estas novas capacidades de imediato. Em vez disso, primeiro tem de migrar o AD RMS para o Azure Proteção de Informações.

Os utilizadores no local podem enviar correio encriptado com Exchange Online regras de fluxo de correio. Tem de encaminhar o e-mail através do Exchange. Para obter mais informações, consulte Parte 2: Configurar o correio para fluir do seu servidor de e-mail para o Microsoft 365.

Pode criar mensagens protegidas a partir de Outlook 2016, Outlook 2013 para Windows e Mac e a partir de Outlook na Web. Para obter mais informações sobre como enviar mensagens encriptadas, consulte Enviar, ver e responder a mensagens encriptadas no Outlook para PC.

Os utilizadores do Microsoft 365 podem ler e responder a partir do Outlook para Windows e Mac (2013 e 2016), Outlook na Web e outlook mobile (Android e iOS). Também pode utilizar o cliente de correio nativo do iOS se a sua organização o permitir. Se não for um utilizador do Microsoft 365, pode ler e responder a mensagens encriptadas na Web através do browser.

Os utilizadores do Microsoft 365 podem utilizar o Outlook para PC versões 2019 e Microsoft 365 para criar correio protegido com a política apenas de encriptação. As mensagens que têm a política só de encriptação aplicada podem ser lidas diretamente no Outlook na Web, no Outlook para iOS e Android e nas versões 2019 e Microsoft 365 do Outlook para PC.

Sim. O tamanho máximo da mensagem que pode enviar com Criptografia de Mensagens do Microsoft Purview, incluindo anexos, é de 25 MB. Para obter mais informações, veja Limites de mensagens.

Sim. Em alguns casos que têm conectores configurados, como uma implementação Híbrida do Exchange, quando inclui destinatários na linha BCC , os destinatários BCC são removidos antes de o correio ser encriptado. A melhor prática é mover para um Exchange Online ou colocar todos os destinatários nos campos Para: ou CC.

O portal de mensagens encriptadas só suporta correio. O portal não suporta outros tipos de mensagens, como o calendário ou o voice mail.

Pode anexar qualquer tipo de ficheiro a um e-mail protegido. As políticas de proteção são aplicadas apenas a um subconjunto dos formatos de ficheiro mencionados em Tipos de ficheiro suportados. Por predefinição, Criptografia de Mensagens do Microsoft Purview encripta as seguintes extensões de ficheiros do Office:

• docx
• docm
• dotx
• dotm
• pptx
• pptm
• potx
• potm
• ppsx
• ppsm
• thmx
• xlsx
• xlsm
• xlsb
• xltx
• xltm
• xlam
• xps

Criptografia de Mensagens do Microsoft Purview não suporta as versões 97-2003 dos seguintes programas do Office: Word (.doc), Excel (.xls) e PowerPoint (.ppt).

Além disso, se estiver ativada no Exchange Online, a encriptação de PDF permite-lhe proteger documentos PDF confidenciais anexados a e-mails. Quando envia um e-mail, o serviço Office 365 encripta anexos de ficheiro PDF para as versões mais recentes do Outlook, incluindo:

• Outlook (novo) Ambiente de Trabalho
• Outlook na Web
• Outlook para Mac
• Outlook para iOS
• Outlook para Android

Para ativar a encriptação para anexos PDF, utilizando uma conta escolar ou profissional que tenha a função Gestão de Direitos de Informação no mínimo no seu inquilino, execute o seguinte comando no Exchange Online PowerShell:

   Set-IRMConfiguration -EnablePdfEncryption $true

A proteção é herdada do correio apenas para anexos não encriptados. Se for suportado um formato de ficheiro, como um ficheiro Word, Excel ou PowerPoint, o ficheiro é sempre protegido, mesmo depois de o destinatário transferir o anexo.

Por exemplo, digamos que um anexo está protegido por Não Reencaminhar. O destinatário original transfere o ficheiro, cria uma mensagem para um novo destinatário e anexa o ficheiro. Quando o novo destinatário recebe o ficheiro, não o consegue abrir.

Not yet. Os anexos do SharePoint ou do OneDrive não são suportados. Pode encriptar uma mensagem de correio, mas não os anexos na nuvem.

Quando os anexos estão protegidos por um e-mail protegido, pode pré-visualizar documentos diretamente através de clientes do Outlook. O Outlook suporta a pré-visualização de documentos do Office (docx, xlsx, pptx, doc, xls, ppt). Outlook na Web suporta a pré-visualização de documentos do Office (docx, xlsx, pptx) e PDF.

Outlook na Web suporta a revogação de correio protegido. Veja Como revogar uma mensagem encriptada que enviou para obter detalhes.

O portal de mensagens encriptadas suporta a pré-visualização de quaisquer cópias de anexo encriptadas adicionadas ao correio encriptado. Os tipos de ficheiro de suporte incluem ficheiros Word, Excel, PowerPoint e PDF.

Sim. Utilize regras de fluxo de correio no Exchange Online para encriptar automaticamente uma mensagem com base em determinadas condições. Por exemplo, pode criar políticas baseadas no ID do destinatário, no domínio do destinatário ou no conteúdo no corpo ou assunto da mensagem. Consulte Definir regras de fluxo de correio para encriptar mensagens de e-mail no Office 365.

Os administradores podem configurar uma regra de fluxo de correio para remover a encriptação para envio de correio. Só pode configurar uma regra para remover a encriptação de correio recebido proveniente da sua organização Exchange Online.

Para uma caixa de correio Exchange Online, os administradores têm de ativar a desencriptação de diários e configurar uma regra de diário Exchange Online para gerar uma cópia desencriptada do correio para a caixa de correio de diário. A regra de criação de diários utiliza qualquer correio ou anexo que tenha encriptação e envia o original mais uma cópia desencriptada para a caixa de correio de diário. Só pode configurar uma regra de criação de diários que possa desencriptar correio ou anexos quando o item encriptado tiver origem na sua organização.
Para ativar Exchange Online diário:

Set-IRMConfiguration -JournalReportDecryptionEnabled $true

Sim! Pode configurar regras de fluxo de correio no Exchange Online ou através do DLP no portal de conformidade do Microsoft Purview.

Sim, para e-mails enviados a partir de uma caixa de correio Exchange Online na sua organização! Para obter informações sobre como personalizar mensagens de e-mail e o portal de mensagens encriptadas, consulte Adicionar a marca da sua organização às suas mensagens encriptadas.

Os registos de atividades do portal de mensagens encriptadas capturam apenas eventos para destinatários externos ao aceder aos portais de mensagens encriptadas. As atividades nos clientes de e-mail acionadas por destinatários externos não são registadas. Para destinatários internos, consulte a ação MailItemsAccessed mailbox-auditing em Auditoria do Purview (Premium) – Registos acedidos a itens de correio.

Existe um relatório de Encriptação no portal de conformidade do Microsoft Purview. Consulte Ver relatórios de segurança de e-mail no portal de conformidade do Microsoft Purview.

Sim, a maioria das mensagens protegidas por Criptografia de Mensagens do Microsoft Purview são detetáveis. Criptografia de Mensagens do Microsoft Purview correio protegido que recebe de outra organização do Microsoft 365 que tenha a imagem corporativa personalizada aplicada através de uma regra de fluxo de correio não é detetável pelo seu serviço de Deteção de Dados Eletrónicos. Por outras palavras, se o e-mail não estiver acessível através da caixa de correio do utilizador, mas apenas for apresentado através de uma ligação para o portal de mensagens encriptadas, o e-mail não é pesquisável. Veja Atividades de Deteção de Dados Eletrónicos que suportam itens encriptados para obter detalhes.

Quando uma mensagem de e-mail corresponde a uma regra de fluxo de correio de encriptação, o Exchange encripta a mensagem que a envia.

Sim! Pode abrir mensagens encriptadas para uma caixa de correio partilhada. Quando o e-mail é enviado a partir da mesma organização, pode abrir o e-mail quando tiver sessão iniciada num cliente do Outlook suportado. Se o e-mail for enviado de uma organização externa, terá de utilizar Outlook na Web.

• Os utilizadores podem abrir e-mails protegidos numa caixa de correio partilhada onde a caixa de correio partilhada recebeu um e-mail protegido como parte de um grupo de distribuição.

• Os utilizadores podem ver anexos que herdam a proteção do e-mail quando utilizam o Outlook para Windows, Outlook para Mac, Outlook para Android, Outlook para iOS e Outlook na Web.

A tabela seguinte lista os clientes suportados para caixas de correio partilhadas.

Existem atualmente duas limitações conhecidas:

• Não pode abrir anexos para e-mails que recebe em dispositivos móveis utilizando o Outlook Mobile.

• Existem duas formas de permitir que um utilizador veja o e-mail encriptado diretamente no Outlook para Windows:

  1. Atribua diretamente um utilizador à caixa de correio partilhada, com permissões de acesso total e mapeamento automático ativado. Para o Outlook de 64 bits, os utilizadores não precisam de ser diretamente atribuídos à caixa de correio. O mapeamento automático está ativado por predefinição para o Exchange.
  2. Atribua um grupo de segurança com capacidade de correio a uma caixa de correio partilhada. Este método requer a versão 2402 do Outlook e só suporta correio gerado após junho de 2024.

Para atribuir um utilizador a uma caixa de correio partilhada

1. Conectar-se ao Exchange Online PowerShell.

2. Execute o Add-MailboxPermission cmdlet com o Automapping parâmetro . Este exemplo dá permissão de acesso total ao Ayla para uma caixa de correio de suporte.

   Add-MailboxPermission -Identity support@contoso.onmicrosoft.com -User ayla@contoso.com -AccessRights FullAccess -AutoMapping $true
   

Para atribuir um grupo de segurança com capacidade de correio à caixa de correio partilhada

Para utilizar este método, tem de encriptar correio com as opções de proteção Não Reencaminhar ou Encriptar apenas . Só é possível abrir o correio iniciado pela caixa de correio partilhada ou pelo correio enviado numa organização.

1. Conectar-se ao Exchange Online PowerShell.

2. Execute o Add-MailboxPermission cmdlet para atribuir o grupo de segurança. O exemplo seguinte dá ao grupo de segurança de front-desk da Contoso permissão de acesso total a uma caixa de correio de suporte.

   Add-MailboxPermission -Identity support@contoso.onmicrosoft.com -User frontdesk@contoso.com -AccessRights FullAccess
   

Quando os delegados recebem permissão de acesso total à caixa de correio de um utilizador, o acesso delegado de correio encriptado é suportado em Outlook na Web, Outlook para Mac, Outlook para iOS e Outlook para Android. O Outlook para Windows não suporta o acesso delegado.

Pode iniciar sessão no portal de mensagens encriptadas para obter correio, desde que a organização do remetente esteja ativa e o e-mail não esteja configurado para expirar.

Primeiro, marcar a pasta de lixo ou spam no seu cliente de e-mail. As definições de DKIM e DMARC para a sua organização podem fazer com que estes e-mails acabem por ser filtrados como spam.

Em seguida, marcar quarentena no portal de conformidade. Muitas vezes, as mensagens que contêm um código de passagem único, especialmente as primeiras que a sua organização recebe, acabam em quarentena.