本文为澳大利亚政府组织提供有关与数据安全分类保持一致的所需敏感度标签的指导。 其目的是帮助组织决定适当的敏感度标签分类，以部署到其Microsoft 365 环境。 本文中的指南与 PSPF) 2024 (PSPF 保护性安全策略框架保持一致。
澳大利亚政府组织需要在部署该功能之前确定适当的敏感度标签分类。 所需标签因组织使用的信息类型而异。
Standard配置
典型的标签要求包括安全分类的组合，通常与信息管理标记 (IMM) 和/或警告结合使用。 具有高合规性成熟度的组织也可能包含标签，以满足各种数据安全要求。 例如，应用 Azure Rights Management 加密以确保只有授权用户才能访问项的标签。
以下示例演示澳大利亚政府组织的基本标记：
| 标记或分类 | 信息管理标记 | 警告 |
|---|---|---|
| 非官方 官方 官方：敏感 保护 |
个人隐私 法律特权 立法保密 |
内阁 |
注意
PSPF 包括一些其他注意事项，以满足不同的情况，例如特殊处理要求。 本指南中未讨论这些内容。 需要利用这些注意事项的组织需要将它们添加到此基本配置中。
标签是单一的，只能将一个标签应用于项目或位置。 这三个项的任何必需组合都需要组合成单一标签以满足要求。 例如，如果需要将某个项分类为 PROTECTED，并且它还包含 CABINET 信息，则需要提供包含这些元素的单个标签：受保护的内阁。
以下示例演示澳大利亚政府组织的基本标签。 此列表结合使用父标签 (类别) 和子标签：
- 非官方
- 官方
- 官方敏感 (类别)
- 官方敏感
- 官方敏感个人隐私
- 官方敏感法律特权
- 官方敏感立法保密
- 官方敏感国家内阁
- 受保护的 (类别)
- 保护
- 受保护的个人隐私
- 受保护的法律特权
- 受保护的立法保密性
- 受保护的 CABINET
注意
PSPF 2024年发布指南 指出，“国家内阁的安全警告正在逐步取消，因为国家内阁不再是内阁委员会。 建议实体删除此安全注意事项。”新部署 Microsoft Purview 的组织可能会省略此敏感度标签。 对于当前已将其应用于信息的用户，建议保留标签，但将其从敏感度标签策略中删除。 这允许维护 DLP 和其他数据安全控制。
具有更复杂要求的政府组织需要额外的标签。 与技术限制相比，组织想要部署的最大标签数更与可用性约束相关。 但是，每个组织只能创建 500 个标签。
使用上一个列表中的子标签是为了改善用户体验，但对标签行为也有一些有益的影响。 例如，当用户在子标签之间更改时，不会触发标签 更改理由 。 这允许用户应用不同的 IMM、警告或安全控制措施，并且仅在他们尝试通过移出标签类别来降低应用的安全分类时触发理由。
有关 PROTECTED 标记的注意事项
澳大利亚政府组织能够配置其Microsoft 365 环境，以将信息存储到 PROTECTED 级别。 Microsoft在此级别存储信息的能力作为信息安全注册评估程序计划 (IRAP) 的一部分进行独立评估。 Microsoft 365 云安全评估通过 Microsoft 服务信任门户公开提供。
澳大利亚信号局 (ASD) 维护信息安全 手册 (ISM) ，这是一个网络安全风险管理框架，有助于保护信息技术系统免受网络威胁。 本手册包括许多要求以及适用性标记，这些标记指定了适用的控制措施的清除级别。
重要
将 PROTECTED 标签部署到 Microsoft 365 环境不足以满足 PROTECTED 数据安全要求。 若要确保数据安全，应考虑完整的 ISM 和其他安全要求。
ASD 维护 ASD 的安全云蓝图，这是有关如何安全配置 Microsoft 365 环境的指南的绝佳资源。 此蓝图中的指导与本 Microsoft Purview 指南中提供的指南一致，应遵循该指南来帮助降低数据安全事件的风险。
责任材料
责任材料是需要对其访问和移动进行最严格控制的信息。 使用或接收可适应材料的组织应考虑创建一个或多个敏感度标签以与信息保持一致。 此敏感度标签可与数据丢失防护 (DLP) 、加密和其他基于标签的控制结合使用，以帮助保护封闭的信息。 责任材料的敏感度标签可以配置为 PROTECTED 标签的子标签。
使用多个 IMM
一些澳大利亚政府组织利用分类分类，允许对每个项目应用多个信息管理标记 (IMM) 。 例如，“官方：敏感立法保密个人隐私”。 虽然可以实现这种类型的配置，但应考虑要求，特别是：
- IMM 派生自澳大利亚政府记录保留元数据Standard (AGRkMS) ，其中它指定可以应用单个 IMM 值。
- 保护性安全策略框架 (PSPF) 策略 8 指出 IMM 是 可选的。
Microsoft的建议是尽可能简单。 只有部署组织实际需要的标签才能改善用户体验，因为用户需要导航的标签更少。 使用较小的分类也简化了管理，因为要维护的配置较少，尤其是在数据丢失保护 (DLP) 和自动标记策略中。
考虑使用多个 IMM 组合的组织应考虑以下潜在并发症：
- 自动标记复杂：应用了多个 IMM 的项目更难通过自动标记进行匹配，因为用于解释主题标记的表达式或 x 标头需要能够通过 基于服务的自动标记建议中讨论的策略来适应它们。
- 主题长度：Email客户端通常会截断或难以查看较长的电子邮件主题。 在对单个电子邮件应用了多个标记的情况下，用户可能不知道 IMM 或警告标记，因为它们不可见。
- X 标头长度：标记 策略 中讨论的 X-Protected-标记 x 标头用于将分类元数据应用于电子邮件。 应用于电子邮件的元数据量取决于几个因素，包括使用的电子邮件客户端。 将多个 IMM 应用于电子邮件的组织可能会超过允许的 x 标头长度，从而导致某些分类元数据被截断。
如果需要多个标签，请确保对组织而言从最低到最重要的元素进行排序。 例如：
- 安全分类
- 如有必要) (警告
- 最敏感的 IMM
- 不太敏感的 IMM
超出受保护级别的信息的标签
保存 SECRET 及更高数据的组织需要利用安全的 enclave。 组织必须实施网络隔离和各种其他措施，以阻止此信息离开 enclave。 如果包含 SECRET 标记的项目出现在 Microsoft 365 位置，则此事件要求组织 IT 安全顾问 (ITSA) 来执行数据溢出管理。 ASD 提供了有关如何管理修正活动的指南，请参阅 ASD 数据溢出管理指南。
政府组织应考虑对其Microsoft 365 服务中不应驻留的信息实施标签。 这些标签不会直接发布给用户，而是用于帮助自动识别不应在平台上的项目。 此类配置可帮助安全团队执行识别和修正活动。
此类用途的标签因组织而异，但可能包括：
- 适用于在官方工作的组织的受保护 (：敏感或低于)
- 秘密
- 绝密
根据 ISM-0272，这些标签不应发布给用户，就像服务无权托管此类信息一样，用户不应将这些标签应用于项目：
| 要求 | 详情 |
|---|---|
| ISM-0272 (2025 年 3 月) | 保护性标记工具不允许用户选择系统无权处理、存储或通信的保护性标记。 |
注意
*未发布的标签是指未发布到最终用户的标签。 若要使标签被自动标记服务考虑，需要将其发布到单个用户，例如管理帐户或防故障帐户。
为了帮助防止数据泄漏，组织应考虑通过以下未发布的标签应用以下控件：
- 自动标记策略，用于通过传入电子邮件 x 标头或主题标记标识项目 (与 传输) 期间标记电子邮件 时讨论的类似。
- 用于跨 SharePoint、OneDrive 和 Teams 位置标识静态项的自动标记策略 (类似于 标记现有静态项目) 。
- DLP 策略，用于阻止共享或电子邮件分发已标识的内容 (类似于 防止安全机密信息) 不当分发 。
- 阻止初始接收和/或任何进一步分发内容 (的 DLP 策略，如 防止数据溢出) 中所述。
- 报告功能，用于识别何时将高度敏感项移动到较低敏感度位置 (，如 数据不就位警报) 。
- Defender for Cloud Apps防止将识别项上传到非Microsoft云服务的功能 (，如防止将安全分类项上传到非托管位置) 中所述。
具有不同标签分类的组织标签
一些澳大利亚州政府，如新南威尔士州和昆士兰州，利用与PSPF不完全一致的分类。 这可能会给联邦政府组织如何解释它们从州政府收到的信息的敏感性带来一些挑战。 与外国政府相对应的联邦政府组织也面临着类似的挑战，因为分类不太可能一致。
组织与之通信的外部组织应用的数据安全框架和标准与标签分类高度相关。 可以通过以下方法使用外部标记：
外部组织应用的标记可以转换为租户等效项
例如，如果某个项应用了“QLD 政府敏感”标记，则联邦政府组织收到该项目，则标记提供有关该项目敏感度的有用信息。 用户可以对项目应用“官方敏感”标签，使其进入租户基于标签的保护范围。 或者，可以将自动标记配置为自动将此 QLD 标记映射到官方敏感标签。
组织可以维护外部分类，并在信息是信息的保管人时对其进行适当的保护
Microsoft Purview 可以配置一组与外部分类保持一致的“未发布标签”，而不是重新分类不符合环境的敏感度标签的项。 标签感知客户端中的用户无需选择这些标签。 相反，他们可以应用基于服务的自动标记。 标记收到的项目后，系统不会提示用户对其应用标签。 标签还可以与一组 DLP 和其他控件保持一致，以确保包含的信息不会不当披露。
对齐的组织之间的标签命名和标记方法的一致性提供了最佳结果，因为它允许更简单的配置。 如果无法实现一致性，则就分类等效性达成一致提供了下一个最佳替代方案。 应避免的情况是完全忽略外部标记，因为它可能会导致数据安全事件，例如数据泄漏。
- 推荐的分类对齐 (最佳做法)
- 如果不能) 选项 1，则建议 (分类等效性
- 分类忽略 (不建议这样做，这会增加数据溢出)
注意
在政府组织与外国政府互动的情况下，PSPF第12节-信息共享提供了详细的指导。 有关详细信息，请参阅 PSPF 版本 2024。
分类对齐方法
如果组织决定将外部分类转换为租户等效项，则需要：
- 确定如何识别分类。 例如，通过电子邮件主题标记、电子邮件 x 标头、关键字或文档属性。
- 配置基于服务的自动标签，以在标识项目时应用相关的内部敏感度标签，如 基于服务的自动标记建议中所述。
此方法的优点是，配置为帮助保护内部安全分类的所有数据安全控件也适用于一致的外部信息。
分类等效性方法
如果组织决定在其环境中维护外部分类，则需要：
- 为外部分类配置敏感度标签。
- 将标签发布到非用户帐户，使其在自动标记服务范围内。
- 确定如何对项标识外部分类。 例如，通过电子邮件主题标记、电子邮件 x 标头、关键字或文档属性。
- 配置基于服务的自动标记，以在标识项目时应用 隐藏 的敏感度标签，如 基于服务的自动标记建议中所述。
- 配置一组 DLP 策略来保护应用了敏感度标签的项目，如 防止安全机密信息不当分发中所述。
下表是如何使用自动标记实现未发布的标签以维护外部组织应用的标记的示例。 该示例显示了一组 PSPF 标签，其中大部分标签显示为官方敏感父标签的子标签。 在此父标签下，用户可以选择包含与 NSW 和 QLD 等效信息管理标记一致的标签， (IMM) ：
| PSPF 标签 (发布到所有用户) |
新南威尔士州政府 (未发布的标签) |
QLD 政府 (未发布的标签) |
|---|---|---|
| 非官方 | ||
| 官方 | ||
| 官方：敏感 | ||
| - 官方：敏感 - 官方：敏感个人隐私 - 官方：敏感法律特权 - 官方：敏感立法保密 - 官方：敏感国家内阁 |
- 官方敏感新南威尔士州内阁 - 官方敏感法律 - 官方敏感执法 - 官方敏感运行状况信息 - 官方敏感个人 - 官方敏感新南威尔士州政府 |
-灵敏 |
这种方法的优点如下：
- 联邦政府Microsoft 365 租户中的信息登陆（已标有新南威尔士州或 QLD 标签）将受益于官方：敏感数据就地警报 (在 数据异地警报) 中进一步解释，该警报有助于防止数据移动到可能不恰当披露的位置。
- 数据标识服务（如 内容资源管理器）可用于确定国有或生成的敏感信息可能位于 Microsoft 365 服务中的位置。
注意
如果不决定识别和保护使用外部分类标记的信息的方法，接收的信息很可能不在基于分类的数据安全控制范围内。 但是，基于内容的控件（例如 面向敏感信息的 DLP 策略）仍将适用。
Azure Rights Management 加密
Azure Rights Management 可用于确保只有经过授权的用户才能访问应用了标签的内容。 有关设置 Azure Rights Management 加密的信息，请参阅 如何设置消息加密。
Azure Rights Management 通常通过敏感度标记应用。 可以对标签或标签集进行配置，以便在将标签应用于某个项时，使用一组权限对其进行加密，这些权限控制谁可以访问该项目及其使用方式。
以下示例演示了如何扩展组织标签分类以向用户提供加密选项：
- 标记为 “仅限内部” 的子标签可用于允许用户将项目限制为仅内部用户。
- “仅收件人”的子标签可用于确保电子邮件无法转发给未经授权的收件人。
- 仅项目 Budgerigar 的子标签可用于确保只有需要了解 Project Budgerigar 和相关信息的用户子集可以访问项。
将这些标签和关联的控件与一组基本的 OFFICIAL：敏感标签一起使用，拓扑结果是：
- 官方：敏感
- 官方：仅限敏感内部
- 官方：仅限敏感收件人
- 官方：仅敏感项目布杰里加
- 官方：敏感 (无保护)
- 官方：敏感个人隐私
- 官方：敏感法律特权
- 官方：敏感立法保密
- 官方：敏感国家内阁
前面的示例存在一些明显的挑战，包括：
- 标签列表要长得多，这可能会影响可用性。
- 前面的一组标签选项要求用户决定是应用 IMM、CAVEAT 还是加密配置，这会带来问题。
在这种情况下，应将数据保护视为至高无上的。 IMM 被视为可选，不应以牺牲加密等数据安全措施为代价包含在内。 如果需要缩短标签分类，请考虑先删除 IMM，或者可能修改标签策略，以确保它们仅发布给需要它们的用户。 内阁和国家内阁等注意事项可能比 IMM 更重要，不应省略。
注意
随着组织数据安全成熟度的提高，他们很可能发现需要保护的新方案。 因此，随着添加标签以满足新的要求，标签分类可能会随着时间的推移而扩展。
Microsoft建议将已发布的标签限制为用户所需的核心集，并省略组织不太可能需要的任何 IMM 和注意事项组合。 请考虑通过内容资源管理器等工具进行报告，以识别未使用的标签，并从已发布的集中删除它们，以便在不影响可用性或复杂性的情况下为配置留出空间。