Saiba mais sobre modelos de política de gerenciamento de risco interno

Artigo
10/30/2023

Importante

Gerenciamento de Risco Interno do Microsoft Purview correlaciona vários sinais para identificar possíveis riscos internos mal-intencionados ou inadvertidos, como roubo de IP, vazamento de dados e violações de segurança. O gerenciamento de risco interno permite que os clientes criem políticas para gerenciar a segurança e a conformidade. Criados com privacidade por design, os usuários são pseudônimos por padrão e os controles de acesso baseados em função e os logs de auditoria estão em vigor para ajudar a garantir a privacidade no nível do usuário.

Modelos de política

Modelos de gerenciamento de risco interno são condições de política pré-definidas que definem os tipos de indicadores de risco e o modelo de pontuação de risco utilizado pela política. Cada política deve ter um modelo atribuído no assistente de criação de políticas antes que a política seja criada. O gerenciamento de risco interno dá suporte a até vinte políticas para cada modelo de política. Ao criar uma nova política de risco interno com o assistente de política, escolha entre um dos seguintes modelos de política:

Dica

Se você não for um cliente E5, use a avaliação de soluções do Microsoft Purview de 90 dias para explorar como recursos adicionais do Purview podem ajudar sua organização a gerenciar as necessidades de segurança e conformidade de dados. Comece agora no hub de avaliações portal de conformidade do Microsoft Purview. Saiba mais sobre os termos de inscrição e avaliação.

Furto de dados por usuários em processo de desligamento

Quando os usuários deixam sua organização, há indicadores de risco específicos normalmente associados a possíveis roubos de dados por usuários que partem. Este modelo de política usa indicadores de exfiltração para pontuação de risco e se concentra na detecção e nos alertas nesta área de risco. O roubo de dados para usuários que partem pode incluir baixar arquivos do SharePoint Online, imprimir arquivos e copiar dados para serviços de armazenamento e mensagens de nuvem pessoais perto de suas datas de término e demissão de emprego. Quando você usa o conector de RH da Microsoft ou a opção de marcar automaticamente para a exclusão da conta de usuário em Microsoft Entra para sua organização, esse modelo começa a pontuar indicadores de risco relacionados a essas atividades e como eles se correlacionam com o emprego do usuário status. Isso pode incluir indicadores de nuvem para serviços como Box, Dropbox, Google Drive, Amazon S3 e Azure.

Importante

Ao usar este modelo, você pode configurar um conector de RH do Microsoft 365 para importar periodicamente informações de demissão e data de rescisão para os usuários na sua organização. Consulte o artigo Importar dados com o conector de RH para obter diretrizes passo a passo para configurar o conector de RH do Microsoft 365. Se você optar por não usar o conector de RH, deverá selecionar a conta de usuário excluída de Microsoft Entra opção ao configurar eventos de gatilho no assistente de política.

Vazamentos de dados

Proteger dados e evitar vazamentos de dados é um desafio constante para a maioria das organizações, especialmente com o rápido crescimento de novos dados criados por usuários, dispositivos e serviços. Os usuários podem criar, armazenar e compartilhar informações entre serviços e dispositivos que tornam o gerenciamento do vazamento de dados cada vez mais complexo e difícil. Os vazamento de dados podem incluir compartilhamento acidental de informações fora da sua organização ou furto de dados com intenção maliciosa. Este modelo pontua detecções em tempo real de downloads de dados suspeitos do SharePoint Online, compartilhamento de arquivos e pastas, impressão de arquivos e cópia de dados para serviços de armazenamento e mensagens de nuvem pessoais.

Ao usar um modelo de Vazamento de dados, você pode atribuir uma política DLP para acionar indicadores na política de risco interno para alertas de alta severidade na sua organização. Sempre que um alerta de alta severidade for gerado por uma regra de política DLP adicionada ao log de auditoria do Office 365, as políticas de risco interno criadas com este modelo examinarão automaticamente o alerta de DLP de alta gravidade. Se o alerta contiver um usuário dentro do escopo definido na política de risco interno, o alerta será processado pela política de risco interno como um novo alerta e será atribuído a severidade do risco interno e pontuação de risco. Você também pode optar por atribuir indicadores selecionados como disparando eventos para uma política. Essa flexibilidade e personalização ajudam a escopo da política apenas para as atividades abordadas pelos indicadores. Esta política lhe permite avaliar este alerta no contexto de outras atividades incluídas no caso.

Esse modelo também pode incluir indicadores de nuvem para serviços como Box, Dropbox, Google Drive, Amazon S3 e Azure.

Diretrizes da política de vazamento de dados

Ao criar ou modificar políticas de prevenção contra perda de dados para uso com políticas de gerenciamento de risco interno, considere as seguintes diretrizes:

Priorize os eventos de filtragem de dados e seja seletivo ao atribuir as configurações do Relatórios de incidentes para Alto ao configurar regras em suas políticas de DLP. Por exemplo, enviar documentos confidenciais por email para um concorrente conhecido deve ser um evento de exfiltração de nível de alerta Alto. A atribuição excessiva do nível Alto nas configurações de Relatórios de incidentes em outras regras de política DLP pode aumentar o ruído no fluxo de trabalho de alerta de gerenciamento de risco interno e tornar mais difícil para seus investigadores e analistas de dados avaliarem adequadamente esses alertas. Por exemplo, atribuir níveis Altos de alerta para acessar atividades de negação em políticas DLP torna mais desafiador avaliar atividades e comportamentos de usuários realmente arriscados.
Ao usar uma política DLP como o evento de gatilho, certifique-se de entender e configurar corretamente os usuários no escopo nas políticas de gerenciamento de risco do DLP e do insider. Somente usuários definidos como no escopo das políticas de gerenciamento de risco interno usando o modelo de Vazamento de dados terão alertas de política DLP de alta severidade processados. Além disso, somente usuários definidos como no escopo em uma regra para um alerta DLP de alta gravidade serão analisados pela política de gerenciamento de risco interno para consideração. É importante que você não configure, sem saber, usuários no escopo em suas políticas de risco de DLP e insider de maneira conflitante.

Por exemplo, se suas regras de política DLP forem escopo apenas para usuários na Equipe de Vendas e a política de risco interno criada a partir do modelo de vazamentos de dados tiver definido todos os usuários como no escopo, a política de risco interno só processará alertas DLP de alta gravidade para os usuários da Equipe de Vendas. A política de risco interno não receberá nenhum alerta de DLP de alta prioridade para que os usuários processem que não estejam definidos nas regras de DLP neste exemplo. Por outro lado, se sua política de gerenciamento de risco interno criada a partir dos modelos de Vazamento de dados tiver como escopo apenas usuários na equipe de vendas e a política de DLP atribuída tiver como escopo todos os usuários, a política de risco interno só processará alertas de DLP de alta severidade para membros da equipe de vendas. A política de gerenciamento de risco interno irá ignorar os alertas de DLP de alta severidade para todos os usuários que não fazem parte da equipe de vendas.
Certifique-se de que a configuração da regra Relatórios de incidentes na política DLP usada para este modelo de gerenciamento de risco interno esteja configurada para alertas de nível de Alta severidade. O nível de Alta severidade são os eventos de disparo e os alertas de gerenciamento de risco interno não serão gerados a partir das regras nas políticas DLP com o campo Relatórios de incidentes definido como Baixo ou Médio.

Observação

Ao criar uma nova política DLP usando os modelos internos, você precisará selecionar a opção Criar ou personalizar regras DLP avançadas para definir a configuração de Relatórios de incidentes para o nível de Alta severidade.

Cada política de gerenciamento de risco interno criada a partir do modelo de vazamentos de dados só pode ter uma política DLP atribuída ao usar essa opção de evento de gatilho. Considere criar uma política DLP dedicada que combine as diferentes atividades que você deseja detectar e agir como eventos de gatilho para políticas de risco interno que usam o modelo de vazamentos de dados .

Consulte o artigo Criar e Implantar políticas de prevenção contra perda de dados para obter diretrizes passo a passo para configurar políticas de DLP para sua organização.

Vazamento de dados por usuários prioritários (visualização)

Proteger dados e evitar vazamentos de dados para usuários em sua organização pode depender de sua posição, nível de acesso a informações confidenciais ou histórico de riscos. Os vazamento de dados podem incluir o compartilhamento acidental em excesso de informações altamente confidenciais fora de sua organização ou furto de dados com intenção maliciosa. Com uma política de DLP (prevenção contra perda de dados) atribuída como uma opção de evento de gatilho, este modelo inicia a pontuação de detecções em tempo real de atividade suspeita e resulta em uma maior probabilidade de alertas e alertas de risco interno com níveis de gravidade mais altos. Os usuários prioritários são definidos em grupos de usuários prioritários configurados na área de configurações de gerenciamento de risco interno.

Assim como acontece com o modelo de vazamentos de dados , você pode escolher uma política DLP para disparar indicadores na política de risco interno para alertas de alta gravidade em sua organização. Siga as diretrizes de política de vazamentos de dados para políticas DLP ao criar uma política com a opção DLP ao usar esse modelo. Você também pode optar por atribuir indicadores selecionados como disparando eventos para uma política. Essa flexibilidade e personalização ajudam a escopo da política apenas para as atividades abordadas pelos indicadores. Além disso, você precisa atribuir grupos de usuários prioritários criados no gerenciamento> de risco internoConfigurações Gruposde usuários prioritários> à política.

Vazamentos de dados por usuários arriscados (versão prévia)

Quando os usuários experimentam estressores de emprego, eles podem se tornar usuários arriscados, o que pode aumentar as chances de atividade de risco interno. Este modelo inicia a pontuação da atividade do usuário quando um indicador associado ao usuário de risco é identificado. Exemplos incluem notificações de melhoria de desempenho, avaliações de desempenho ruins, alterações no nível do trabalho status ou email e outras mensagens que podem sinalizar atividades de risco. Os vazamentos de dados para usuários arriscados podem incluir o download de arquivos do SharePoint Online e a cópia de dados para serviços de armazenamento e mensagens de nuvem pessoais.

Ao usar esse modelo, você deve configurar um conector de RH, selecionar a opção para integrar sinais de risco de conformidade de comunicação de mensagens de usuário ou fazer ambos. O conector de RH permite a importação periódica de notificações de melhoria de desempenho, status de revisão de desempenho ruim ou informações de alteração no nível do trabalho para usuários em sua organização. A integração de risco de conformidade de comunicação importa sinais para mensagens de usuário que podem conter conteúdo de texto potencialmente ameaçador, assediador ou discriminatório. Os alertas associados gerados na Conformidade de Comunicação não precisam ser triados, corrigidos ou alterados em status para serem integrados à política de gerenciamento de risco interno.

Para configurar um conector de RH, consulte o artigo Importar dados com o conector de RH . Para configurar a integração com a conformidade de comunicação, selecione essa opção no assistente ao configurar a política.

Violações da política de segurança (versão prévia)

Em muitas organizações, os usuários têm permissão para instalar o software em seus dispositivos ou modificar as configurações do dispositivo para ajudar nas suas tarefas. Inadvertidamente ou com intenção mal-intencionada, os usuários podem instalar malware ou desabilitar recursos de segurança importantes que ajudam a proteger informações em seu dispositivo ou em seus recursos de rede. Este modelo de diretiva usa alertas de segurança do Microsoft Defender para Ponto de Extremidade para começar a pontuar essas atividades e se concentar na detecção e alertas para essa área de risco. Use este modelo para fornecer insights sobre violações de política de segurança em cenários em que os usuários podem ter um histórico de violações de política de segurança que podem ser um indicador de risco interno.

Você precisa configurar Microsoft Defender para Ponto de Extremidade em sua organização e habilitar o Defender para Ponto de Extremidade para integração de gerenciamento de risco interno na Central de Segurança do Defender para importar alertas de violação de segurança. Para mais informações sobre a configuração do Defender para Ponto de extremidade para integração do gerenciamento de risco interno, consulte Configurar recursos avançados no Defender para Ponto de extremidade.

Uso indevido de dados do paciente (versão prévia)

Proteger dados de registros de saúde e evitar o uso indevido de dados pessoais de pacientes é uma preocupação significativa para as organizações do setor de saúde. Esse uso indevido pode incluir vazamentos de dados confidenciais para pessoas não autorizadas, modificação fraudulenta de registros de pacientes ou roubo de registros de saúde do paciente. A prevenção desse uso indevido de dados de pacientes ajuda a atender aos requisitos regulatórios da Lei de Portabilidade e Responsabilidade do Seguro de Saúde (HIPAA) e da Lei hitech (Health Information Technology for Economic and Clinical Health). Ambos os atos estabelecem os requisitos para proteger as informações de integridade protegidas pelo paciente (PHI).

Esse modelo de política permite a pontuação de risco para usuários internos que detectam atividades suspeitas associadas a registros hospedados em sistemas EMR (registro médico eletrônico) existentes. A detecção se concentra no acesso não autorizado, na exibição, na modificação e na exportação de dados do paciente. Você precisa configurar um conector do conector do Microsoft Healthcare ou conector Epic para dar suporte à detecção de atividades de acesso, exfiltração ou ofuscação no sistema EMR.

Ao usar esse modelo, você também deve configurar um conector de RH da Microsoft para importar periodicamente dados de perfil da organização para usuários em sua organização. Consulte o artigo Configurar um conector para importar dados de RH para obter diretrizes passo a passo para configurar o conector do Microsoft 365 HR.

Uso arriscado do navegador (versão prévia)

Identificar a visitação do usuário a sites potencialmente inadequados ou inaceitáveis em dispositivos e redes da organização é uma parte importante para minimizar os riscos de segurança, legais e regulatórios. Usuários que visitam inadvertidamente ou propositalmente esses tipos de sites podem expor a organização a ações legais de outros usuários, violar requisitos regulatórios, elevar riscos de segurança de rede ou comprometer operações e oportunidades de negócios atuais e futuras. Esse uso indevido geralmente é definido na política de uso aceitável de uma organização para dispositivos de usuário e recursos de rede da organização, mas muitas vezes é difícil identificar e agir rapidamente.

Para ajudar a proteger contra esses riscos, essa política pode ajudar a detectar e habilitar a pontuação de risco para navegação na Web que pode estar violando a política de uso aceitável da sua organização, como visitar sites que representam uma ameaça (sites de phishing, por exemplo) ou que contêm conteúdo adulto. Vários tipos de categorias estão disponíveis para categorização automática de atividades de navegação na Web por usuários no escopo.

Este modelo de política tem vários pré-requisitos. Para obter mais informações, consulte Saiba mais sobre e configure a detecção de sinal do navegador de gerenciamento de risco interno.

Violações da política de segurança por usuários em processo de desligamento (visualização)

Os usuários que partem, quer estejam saindo em termos positivos ou negativos, podem ser riscos maiores para violações de política de segurança. Para ajudar a proteger contra violações de segurança inadvertidas ou mal-intencionadas para usuários em processo de desligamento, este modelo de política usa alertas do Defender para Ponto de Extremidade para fornecer informações sobre atividades relacionadas à segurança. Estas atividades incluem o usuário instalando malware ou outras aplicações potencialmente prejudiciais e desativando os recursos de segurança em seus dispositivos. Quando você usa o conector de RH da Microsoft ou a opção para marcar automaticamente para a exclusão da conta de usuário em Microsoft Entra para sua organização, esse modelo começa a pontuar indicadores de risco relacionados a essas atividades de segurança e como eles se correlacionam com o emprego do usuário status.

Violações da política de segurança por usuários prioritários (visualização)

Proteger contra violações de segurança para usuários em sua organização pode depender de sua posição, nível de acesso a informações confidenciais ou histórico de riscos. Como as violações de segurança por usuários prioritários podem ter um impacto significativo nas áreas críticas da sua organização, esse modelo de política começa a pontuar nesses indicadores e usa Microsoft Defender para Ponto de Extremidade alertas para fornecer insights sobre atividades relacionadas à segurança para esses usuários. Essas atividades podem incluir os usuários prioritários instalando malware ou outros aplicativos potencialmente prejudiciais e desabilitando recursos de segurança em seus dispositivos. Os usuários prioritários são definidos em grupos de usuários prioritários configurados na área de configurações de gerenciamento de risco interno.

Violações de política de segurança por usuários arriscados (versão prévia)

Os usuários que experimentam estressores de emprego podem estar em maior risco para violações inadvertidas ou mal-intencionadas da política de segurança. Esses estressores podem incluir um usuário sendo colocado em um plano de melhoria de desempenho, tendo uma revisão de desempenho ruim ou experimentando um rebaixamento. Este modelo de política inicia a pontuação de risco com base nesses indicadores e atividades associadas a esses tipos de eventos.

Ao usar esse modelo, você deve configurar um conector de RH ou selecionar a opção para integrar sinais de risco de conformidade de comunicação de mensagens de usuário ou ambos. O conector de RH permite a importação periódica de notificações de melhoria de desempenho, status de revisão de desempenho ruim ou informações de alteração no nível do trabalho para usuários em sua organização. A integração de risco de conformidade de comunicação importa sinais para mensagens de usuário que podem conter conteúdo de texto potencialmente ameaçador, assediador ou discriminatório. Os alertas associados gerados na conformidade de comunicação não precisam ser triados, corrigidos ou alterados em status para serem integrados à política de gerenciamento de risco interno. Para configurar um conector de RH, consulte o artigo Importar dados com o conector de RH . Para configurar a integração com a conformidade de comunicação, selecione essa opção no assistente ao configurar a política.

Você também precisa configurar Microsoft Defender para Ponto de Extremidade em sua organização e habilitar o Defender para Ponto de Extremidade para integração de gerenciamento de risco interno na Central de Segurança do Defender para importar alertas de violação de segurança. Para mais informações sobre a configuração do Defender para Ponto de extremidade para integração do gerenciamento de risco interno, consulte Configurar recursos avançados no Defender para Ponto de extremidade.

Pré-requisitos do modelo de política e eventos de disparo

Dependendo do modelo que você escolher para uma política de gerenciamento de risco interno, os eventos de disparo e os pré-requisitos da política variam. Os eventos de disparo são pré-requisitos que determinam se um usuário está ativo para uma política de gerenciamento de risco interno. Se um usuário for adicionado a uma política de gerenciamento de risco interno, mas não tiver um evento de gatilho, a atividade do usuário não será avaliada pela política, a menos que seja adicionada manualmente nos Usuários dashboard. Os pré-requisitos da política são itens necessários para que a política receba os sinais ou atividades necessárias para avaliar o risco.

A tabela a seguir lista os eventos de disparo e os pré-requisitos para políticas criadas a partir de cada modelo de política de gerenciamento de risco interno:

Modelo de política	Eventos de disparo para políticas	Pré-requisitos
Furto de dados por usuários em processo de desligamento	Indicador de data de demissão ou término do conector de RH ou exclusão da conta Microsoft Entra	(opcional) O conector de RH do Microsoft 365 configurado para indicadores de data de rescisão e demissão
Vazamentos de dados	Atividade de política de vazamento de dados que cria um alerta de Alta severidade ou eventos de disparo de exfiltração internos	Política DLP configurada para alertas de alta gravidade OU Indicadores de gatilho personalizados
- Vazamento de dados por usuários prioritários	Atividade de política de vazamento de dados que cria um alerta de Alta severidade ou eventos de disparo de exfiltração internos	Política DLP configurada para alertas de alta gravidade OU Indicadores de gatilho personalizados Grupos de usuários prioritários definidos nas configurações de risco interno
Vazamentos de dados por usuários arriscados	– Melhoria de desempenho, desempenho ruim ou indicadores de alteração no nível do trabalho do conector de RH. - Mensagens que contêm linguagem potencialmente ameaçadora, assediadora ou discriminatória	Conector de RH do Microsoft 365 configurado para indicadores de descontentamento AND/OR Integração de conformidade de comunicação e política de descontentamento dedicada
Violações da política de segurança	Evasão de defesa de controles de segurança ou software indesejado detectado por Microsoft Defender para Ponto de Extremidade	Assinatura ativa do Microsoft Defender para Ponto de Extremidade Configuração da integração Microsoft Defender para Ponto de Extremidade com portal de conformidade do Microsoft Purview
Uso indevido de dados do paciente	Evasão de defesa de controles de segurança de sistemas EMR Indicadores de correspondência de endereço de usuário e paciente de sistemas de RH	Indicadores de acesso à saúde selecionados em configurações de risco interno ou de política Conector de RH do Microsoft 365 configurado para correspondência de endereços Microsoft Healthcare ou conector Epic configurado
Uso arriscado do navegador	Atividade de navegação do usuário relacionada à segurança que corresponde a pelo menos um indicador de navegação selecionado	Confira a lista completa de pré-requisitos no artigo de detecção de sinal do navegador
Violações da política de segurança por usuários em processo de desligamento	Indicadores de data de demissão ou término do conector de RH ou exclusão da conta Microsoft Entra	(opcional) O conector de RH do Microsoft 365 configurado para indicadores de data de rescisão e demissão Assinatura ativa do Microsoft Defender para Ponto de Extremidade Configuração da integração Microsoft Defender para Ponto de Extremidade com portal de conformidade do Microsoft Purview
Violações da política de segurança por usuários prioritários	Evasão de defesa de controles de segurança ou software indesejado detectado por Microsoft Defender para Ponto de Extremidade	Assinatura ativa do Microsoft Defender para Ponto de Extremidade Configuração da integração Microsoft Defender para Ponto de Extremidade com portal de conformidade do Microsoft Purview Grupos de usuários prioritários definidos nas configurações de risco interno
Violações de política de segurança por usuários arriscados	– Melhoria de desempenho, desempenho ruim ou indicadores de alteração no nível do trabalho do conector de RH. - Mensagens que contêm linguagem potencialmente ameaçadora, assediadora ou discriminatória	Conector de RH do Microsoft 365 configurado para indicadores de risco AND/OR Integração de conformidade de comunicação e política de usuário de risco dedicado E Assinatura ativa do Microsoft Defender para Ponto de Extremidade Configuração da integração Microsoft Defender para Ponto de Extremidade com portal de conformidade do Microsoft Purview

Limites do modelo de política

Modelos de política de gerenciamento de risco interno usam limites para gerenciar o volume e a taxa de processamento para atividades de risco de usuário no escopo e para integração com o suporte aos serviços do Microsoft 365. Cada modelo de política tem um número máximo de usuários que podem ser atribuídos ativamente pontuações de risco para a política que pode dar suporte e processar e relatar atividades potencialmente arriscadas. Os usuários no escopo são usuários com eventos de disparo para a política.

O limite para cada política é calculado com base no número total de usuários únicos que recebem pontuações de risco por tipo de modelo de política. Se o número de usuários para um tipo de modelo de política estiver próximo ou exceder o limite do usuário, o desempenho da política será reduzido. Para visualizar o número atual de usuários para uma política, navegue até a guia Política e os Usuários na coluna escopo. Você pode ter até cinco políticas para qualquer modelo de política. Estes limites máximos se aplicam aos usuários em todas as políticas usando um determinado modelo de política.

Você pode ter até 20 políticas para qualquer modelo de política.

Use a tabela a seguir para determinar o número máximo de usuários no escopo com suporte para cada modelo de política. Estes limites máximos se aplicam aos usuários em todas as políticas usando um determinado modelo de política.

Modelo de política	Máximo de usuário no escopo
Vazamento de dados gerais	15.000
Vazamento de dados por usuários arriscados	7.500
Vazamento de dados por usuários prioritários	1.000
Furto de dados por usuários em processo de desligamento	20,000
Violações da política de segurança	1.000
Uso indevido de dados do paciente	5.000
Uso arriscado do navegador	7,000
Violações da política de segurança por usuários prioritários	1.000
Violações da política de segurança por usuários em processo de desligamento	15.000
Violações de política de segurança por usuários arriscados	7.500
Evidência forense	Ilimitado

Observação

O número de usuários no escopo de uma política é exibido na coluna Usuários no escopo na guia Políticas .