Perguntas frequentes sobre a criptografia de mensagens

A Encriptação de Mensagens do Microsoft Purview combina funcionalidades de encriptação de e-mail e gestão de direitos. As capacidades de gestão de direitos são suportadas pelo Azure Information Protection.

Pode utilizar a Encriptação de Mensagens do Microsoft Purview nas seguintes condições:

• Se ainda não tiver configurado a Encriptação de Mensagens (OME) do Office 365 ou a Gestão de Direitos de Informação (IRM) para o Exchange.

• Se configurar o OME e a IRM, pode utilizar estes passos se também estiver a utilizar o serviço Azure Rights Management do Azure Information Protection.

• Se estiver a utilizar o Exchange com o serviço Active Directory Rights Management (AD RMS), não poderá ativar estas novas capacidades de imediato. Em vez disso, primeiro tem de migrar o AD RMS para o Azure Information Protection . Quando terminar a migração, pode configurar com êxito a Encriptação de Mensagens do Microsoft Purview.

  Se optar por continuar a utilizar o AD RMS no local com o Exchange em vez de migrar para o Azure Information Protection, não poderá utilizar a Encriptação de Mensagens do Microsoft Purview.

Para utilizar a Encriptação de Mensagens do Microsoft Purview, precisa de um dos seguintes planos:

• A Encriptação de Mensagens do Microsoft Purview é disponibilizada como parte do Office 365 Enterprise E3 e E5, Microsoft 365 Enterprise E3 e E5, Microsoft 365 Empresas Premium, Office 365 A1, A3 e A5 e Office 365 Administração Pública G3 e G5. Não precisa de licenças adicionais para receber as novas capacidades de proteção com tecnologia do Azure Information Protection.

• Também pode adicionar o Plano 1 do Azure Information Protection aos seguintes planos para receber a Encriptação de Mensagens do Microsoft Purview: Exchange Plano 1, Exchange Plano 2, Office 365 F3, Microsoft 365 Empresas Básica, Microsoft 365 Empresas Standard ou Office 365 Enterprise E1.

• Cada utilizador que beneficie da Encriptação de Mensagens do Microsoft Purview precisa de uma licença para utilizar a encriptação de mensagens.

• Para obter a lista completa, consulte as descrições do serviço Exchange para Encriptação de Mensagens do Microsoft Purview.

Sim! A Microsoft recomenda que conclua os passos para configurar o BYOK antes de configurar a Encriptação de Mensagens do Microsoft Purview.

Para obter mais informações sobre o BYOK, veja Planear e implementar a sua chave de inquilino do Azure Information Protection.

Não. A Encriptação de Mensagens do Microsoft Purview e a opção para fornecer e controlar as suas próprias chaves de encriptação, denominadas BYOK, do Azure Information Protection não foram concebidas para responder a intimações de aplicação da lei. O OME, com BYOK para o Azure Information Protection, foi concebido para organizações focadas na conformidade. A Microsoft leva a sério os pedidos de dados dos clientes. Enquanto fornecedor de serviços cloud, defendemos sempre a privacidade dos seus dados. Caso seja apresentada uma intimação, tentamos sempre redirecionar o pedido diretamente para si para obter as informações. (Leia o blogue de Brad Smith: Proteger os dados dos clientes contra a espionagem do governo). Publicamos periodicamente informações detalhadas do pedido que recebemos. Para obter mais informações sobre pedidos de dados não Microsoft, veja Responder a pedidos governamentais e de aplicação da lei para aceder aos dados dos clientes no Centro de Confiança da Microsoft. Além disso, consulte "Divulgação de Dados do Cliente" nos Termos dos Serviços Online (OST).

A Encriptação de Mensagens do Microsoft Purview é uma evolução das soluções de IRM e OME legadas existentes. A tabela seguinte fornece mais detalhes.

Comparação entre o OME legado, a IRM e a Encriptação de Mensagens do Microsoft Purview

Consulte Configurar a Encriptação de Mensagens do Microsoft Purview.

A Encriptação de Mensagens (OME) do Office 365 foi preterida a 1 de julho de 2023. Está a ser substituído automaticamente pela Encriptação de Mensagens do Microsoft Purview. Se tiver uma caixa de correio do remetente ativa, ainda pode ver o correio da OME.

Não. Se estiver a utilizar o Exchange Online com o Serviço de Gestão de Direitos do Active Directory (AD RMS), não poderá ativar estas novas capacidades de imediato. Em vez disso, primeiro tem de migrar o AD RMS para o Azure Information Protection .

Os utilizadores no local podem enviar correio encriptado através das regras de fluxo de correio do Exchange Online. Tem de encaminhar o e-mail através do Exchange. Para obter mais informações, consulte Parte 2: Configurar o correio para fluir do seu servidor de e-mail para o Microsoft 365.

Pode criar mensagens protegidas a partir do Outlook 2016, Outlook 2013 para Windows e Mac e do Outlook na Web. Para obter mais informações sobre como enviar mensagens encriptadas, consulte Enviar, ver e responder a mensagens encriptadas no Outlook para PC.

Os utilizadores do Microsoft 365 podem ler e responder a partir do Outlook para Windows e Mac (2013 e 2016), do Outlook na Web e do Outlook mobile (Android e iOS). Também pode utilizar o cliente de correio nativo do iOS se a sua organização o permitir. Se não for um utilizador do Microsoft 365, pode ler e responder a mensagens encriptadas na Web através do browser.

Os utilizadores do Microsoft 365 podem utilizar o Outlook para PC versões 2019 e Microsoft 365 para criar correio protegido com a política apenas de encriptação. As mensagens que têm a política apenas de encriptação aplicada podem ser lidas diretamente no Outlook na Web, no Outlook para iOS e Android e nas versões 2019 e Microsoft 365 do Outlook para PC.

Sim. O tamanho máximo da mensagem que pode enviar com a Encriptação de Mensagens do Microsoft Purview, incluindo anexos, é de 25 MB. Para obter mais informações, veja Limites de mensagens.

Sim. Em alguns casos que têm conectores configurados, como uma implementação Híbrida do Exchange, quando inclui destinatários na linha BCC , os destinatários BCC são removidos antes de o correio ser encriptado. A melhor prática é mudar para um Exchange Online ou colocar todos os destinatários nos campos Para: ou CC .

O portal de mensagens encriptadas só suporta correio. O portal não suporta outros tipos de mensagens, como o calendário ou o voice mail.

Pode anexar qualquer tipo de ficheiro a um e-mail protegido. As políticas de proteção são aplicadas apenas a um subconjunto dos formatos de ficheiro mencionados em Tipos de ficheiro suportados. A Encriptação de Mensagens do Microsoft Purview só suporta as seguintes extensões de ficheiros do Office:

• docx
• docm
• dotx
• dotm
• pptx
• pptm
• potx
• potm
• ppsx
• ppsm
• thmx
• xlsx
• xlsm
• xlsb
• xltx
• xltm
• xlam
• xps

A Encriptação de Mensagens do Microsoft Purview não suporta as versões 97-2003 dos seguintes programas do Office: Word (.doc), Excel (.xls) e PowerPoint (.ppt).

A proteção é herdada do correio apenas para anexos não encriptados. Se for suportado um formato de ficheiro, como um ficheiro do Word, Excel ou PowerPoint, o ficheiro estará sempre protegido, mesmo depois de o destinatário transferir o anexo. Por exemplo, digamos que um anexo está protegido por Não Reencaminhar. O destinatário original transfere o ficheiro, cria uma mensagem para um novo destinatário e anexa o ficheiro. Quando o novo destinatário recebe o ficheiro, não o consegue abrir.

A resposta curta é sim! Se estiver ativada no Exchange Online, a encriptação de PDF permite-lhe proteger documentos PDF confidenciais anexados a e-mails. Quando envia um e-mail, o serviço do Office 365 encripta anexos de ficheiros PDF para o Outlook na Web, Outlook para Mac, Outlook para iOS e Outlook para Android. Pode encriptar PDFs que enviar sem mais passos.

O Outlook de 64 bits suporta nativamente a encriptação de anexos de ficheiros PDF, enquanto o Outlook de 32 bits não. Se utilizar o Outlook de 32 bits, tem de configurar primeiro as regras de fluxo de correio do Exchange ou as políticas DLP para aplicar a encriptação a anexos PDF. Quando envia um e-mail não encriptado do Outlook para Ambiente de Trabalho com um anexo PDF, o cliente envia primeiro a mensagem com o anexo para o serviço. Quando o serviço recebe o e-mail não encriptado, o serviço aplica a proteção de Encriptação de Mensagens do Microsoft Purview através da política de prevenção de perda de dados (DLP) ou regra de fluxo de correio no Exchange Online. Em seguida, o Exchange Online encripta a mensagem e o anexo do ficheiro PDF.

Para ativar a encriptação para anexos PDF, execute o seguinte comando no PowerShell do Exchange Online:

Set-IRMConfiguration -EnablePdfEncryption $true

A encriptação de PDF permite-lhe proteger documentos PDF confidenciais através de comunicação segura ou colaboração segura. Para todos os clientes do Outlook, as mensagens e anexos PDF desprotegidos herdam a proteção de Encriptação de Mensagens do Microsoft Purview da política de prevenção de perda de dados (DLP) ou regra de fluxo de correio no Exchange Online. Além disso, se um utilizador do Outlook na Web anexar um documento PDF desprotegido e aplicar proteção à mensagem, a mensagem herda a proteção da mensagem. Os utilizadores só podem abrir os anexos encriptados em aplicações que suportem PDFs protegidos (por exemplo, o portal de mensagens encriptadas e o Visualizador do Azure Information Protection).

Not yet. Os anexos do SharePoint ou do OneDrive não são suportados. Pode encriptar uma mensagem de correio, mas não os anexos na nuvem.

Quando os anexos estão protegidos por um e-mail protegido, pode pré-visualizar documentos diretamente através de clientes do Outlook. O Outlook suporta a pré-visualização de documentos do Office (docx, xlsx, pptx, doc, xls, ppt). O Outlook na Web suporta a pré-visualização de documentos do Office (docx, xlsx, pptx) e PDF.

O Outlook na Web suporta a revogação de correio protegido. Veja Como revogar uma mensagem encriptada que enviou para obter detalhes.

O portal de mensagens encriptadas suporta a pré-visualização de quaisquer cópias de anexo encriptadas adicionadas ao correio encriptado. Os tipos de ficheiro de suporte incluem ficheiros Word, Excel, PowerPoint e PDF.

Sim. Utilize regras de fluxo de correio no Exchange Online para encriptar automaticamente uma mensagem com base em determinadas condições. Por exemplo, pode criar políticas baseadas no ID do destinatário, no domínio do destinatário ou no conteúdo no corpo ou assunto da mensagem. Consulte Definir regras de fluxo de correio para encriptar mensagens de e-mail no Office 365.

Os administradores podem configurar uma regra de fluxo de correio para remover a encriptação para envio de correio. Só pode configurar uma regra para remover a encriptação de correio recebido proveniente da sua organização do Exchange Online.

Para uma caixa de correio do Exchange Online, os administradores têm de ativar a desencriptação de diários e configurar uma regra de diário do Exchange Online para gerar uma cópia desencriptada do correio para a caixa de correio de diário. A regra de criação de diários utiliza qualquer correio ou anexo que tenha encriptação e envia o original mais uma cópia desencriptada para a caixa de correio de diário. Só pode configurar uma regra de criação de diários que possa desencriptar correio ou anexos quando o item encriptado tiver origem na sua organização.
Para ativar o diário do Exchange Online:

Set-IRMConfiguration -JournalReportDecryptionEnabled $true

Sim! Pode configurar regras de fluxo de correio no Exchange Online ou através do DLP no portal de conformidade do Microsoft Purview.

Sim, para e-mails enviados a partir de uma caixa de correio do Exchange Online na sua organização! Para obter informações sobre como personalizar mensagens de e-mail e o portal de mensagens encriptadas, consulte Adicionar a marca da sua organização às suas mensagens encriptadas.

Os registos de atividades do portal de mensagens encriptadas capturam apenas eventos para destinatários externos ao aceder aos portais de mensagens encriptadas. As atividades nos clientes de e-mail acionadas por destinatários externos não são registadas. Para destinatários internos, consulte a ação MailItemsAccessed mailbox-auditing em Auditoria do Purview (Premium) – Registos acedidos a itens de correio.

Existe um relatório de Encriptação no portal de conformidade do Microsoft Purview. Consulte Ver relatórios de segurança de e-mail no portal de conformidade do Microsoft Purview.

Sim, a maioria das mensagens protegidas pela Encriptação de Mensagens do Microsoft Purview são detetáveis. O e-mail protegido da Encriptação de Mensagens do Microsoft Purview que recebe de outra organização do Microsoft 365 que tenha a imagem corporativa personalizada aplicada através de uma regra de fluxo de correio não é detetável pelo seu serviço de Deteção de Dados Eletrónicos. Por outras palavras, se o e-mail não estiver acessível através da caixa de correio do utilizador, mas apenas for apresentado através de uma ligação para o portal de mensagens encriptadas, o e-mail não é pesquisável. Veja Atividades de Deteção de Dados Eletrónicos que suportam itens encriptados para obter detalhes.

Quando uma mensagem de e-mail corresponde a uma regra de fluxo de correio de encriptação, o Exchange encripta a mensagem que a envia.

Sim! Pode abrir mensagens encriptadas para uma caixa de correio partilhada. Quando o e-mail é enviado a partir da mesma organização, pode abrir o e-mail quando tiver sessão iniciada num cliente do Outlook suportado. Se o e-mail for enviado de uma organização externa, terá de utilizar o Outlook na Web.

• Os utilizadores podem abrir e-mails protegidos numa caixa de correio partilhada onde a caixa de correio partilhada recebeu um e-mail protegido como parte de um grupo de distribuição.

• Os utilizadores podem ver anexos que herdam a proteção do e-mail quando utilizam o Outlook para Windows, o Outlook para Mac, o Outlook para Android, o Outlook para iOS e o Outlook na Web.

A tabela seguinte lista os clientes suportados para caixas de correio partilhadas.

Existem atualmente duas limitações conhecidas:

• Não pode abrir anexos para e-mails que recebe em dispositivos móveis utilizando o Outlook Mobile.

• Existem duas formas de permitir que um utilizador veja o e-mail encriptado diretamente no Outlook de 32 bits:

  1. Atribua diretamente um utilizador à caixa de correio partilhada, com permissões de acesso total e mapeamento automático ativado. Para o Outlook de 64 bits, os utilizadores não precisam de ser diretamente atribuídos à caixa de correio. O mapeamento automático está ativado por predefinição para o Exchange.
  2. Atribua um grupo de segurança com capacidade de correio a uma caixa de correio partilhada. Este método requer a versão 2402 do Outlook e só suporta correio gerado após junho de 2024.

Para atribuir um utilizador a uma caixa de correio partilhada

1. Conectar-se ao Exchange Online PowerShell.

2. Execute o Add-MailboxPermission cmdlet com o Automapping parâmetro . Este exemplo dá permissão de acesso total ao Ayla para uma caixa de correio de suporte.

   Add-MailboxPermission -Identity support@contoso.onmicrosoft.com -User ayla@contoso.com -AccessRights FullAccess -AutoMapping $true
   

Para atribuir um grupo de segurança com capacidade de correio à caixa de correio partilhada

Para utilizar este método, tem de encriptar correio com as opções de proteção Não Reencaminhar ou Encriptar apenas . Só é possível abrir o correio iniciado pela caixa de correio partilhada ou pelo correio enviado numa organização.

1. Conectar-se ao Exchange Online PowerShell.

2. Execute o Add-MailboxPermission cmdlet para atribuir o grupo de segurança. O exemplo seguinte dá ao grupo de segurança de front-desk da Contoso permissão de acesso total a uma caixa de correio de suporte.

   Add-MailboxPermission -Identity support@contoso.onmicrosoft.com -User frontdesk@contoso.com -AccessRights FullAccess
   

Quando os delegados recebem permissão de acesso total à caixa de correio de um utilizador, o acesso delegado de correio encriptado é suportado no Outlook na Web, outlook para Mac, Outlook para iOS e Outlook para Android. O Outlook para Windows não suporta o acesso delegado.

Pode iniciar sessão no portal de mensagens encriptadas para obter correio, desde que a organização do remetente esteja ativa e o e-mail não esteja configurado para expirar.

Primeiro, verifique a pasta de lixo ou spam no seu cliente de e-mail. As definições de DKIM e DMARC para a sua organização podem fazer com que estes e-mails acabem por ser filtrados como spam.

Em seguida, verifique a quarentena no portal de conformidade. Muitas vezes, as mensagens que contêm um código de passagem único, especialmente as primeiras que a sua organização recebe, acabam em quarentena.