Email 使用 Microsoft Purview 來標示策略,以符合 PSPF 的澳大利亞政府合規性
本文提供有關使用 Microsoft Purview 標記電子郵件的澳大利亞政府組織指引。 其目的是要示範 Microsoft Purview 可以與 Microsoft Exchange 整合,以套用與 PSPF 一致的保護標記,保護安全策略架構 (PSPF) ,包括 PSPF 原則 8 附錄 F:澳大利亞政府 Email 保護標記 Standard。 本指引的目的是協助澳大利亞政府組織保護資訊,並提升其資訊安全性成熟度。
保護安全策略架構 (PSPF) 原則 8 需求 4 指出必須使用適當的保護標記清楚識別資訊,包括電子郵件:
需求 | 詳細資料 |
---|---|
PSPF 原則 8 需求 4:標示資訊 (v2018.6) | 原始程式必須使用文字型保護標記,將敏感性和安全性分類資訊 (與相關聯的元數據標示為) ,否則必須使用適用的保護標記來識別敏感性和安全性分類資訊,包括電子郵件,除非基於操作原因而不切實際。 |
保護標記可以透過許多方式套用,例如透過標籤內容標記,在 敏感度標籤內容標記中討論。 不過,收件者可以在回復電子郵件中修改文字型保護標記。 PSPF 原則 8 附錄 F:澳大利亞政府 Email 保護標記 Standard 提供有關電子郵件標記的額外指引。 附錄 F 包含可套用至電子郵件主旨或電子郵件元數據的標記語法,格式為 x 標頭。
下圖示範本文中可用和討論的各種標記方法:
根據預設,在一個環境中設定的敏感度標籤,以及針對它設定的一組控件來保護相關聯的資訊,並不會自動套用在外部環境中。 傳送至外部組織的專案已套用元數據和視覺標記。 然後由接收組織決定,以確保所包含的資訊受到充分保護。
為了確保接收組織會適當地處理資訊,請務必使用指標標記專案,以協助解譯其安全性分類。 解譯之後,專案就會帶入第二個組織安全性控制的範圍。 使用 Microsoft Purview 資料外洩防護 (DLP) 和服務型自動套用標籤來轉譯組織之間的分類。 DLP 會使用服務型自動套用標籤 (或對等服務) 在接收端解譯的標記來戳記電子郵件:
Email x 標頭提供標記方法,其與用戶可見度比較少,而更適用於確保系統可以解譯套用至電子郵件的標記。 從電子郵件平台的觀點來看,x 標頭是有關項目分類的最可靠資訊來源,因為使用者無法輕易地操作它們。
為確保電子郵件型資訊在政府組織之間移動時受到適當控制和保護,會使用 PSPF x-protection-Marking x 標頭。 這個 x 標頭是由電子郵件平臺針對進入政府環境的所有電子郵件讀取和解譯,並用來套用適用於所包含資訊敏感度的控件。
重要
一致使用 x 標頭是此程式成功的關鍵,因為接收組織會使用 x 標頭來解譯標記並套用相關的控件。
為確保組織之間的 x 標頭一致,PSPF 原則 8 附錄 F:澳大利亞政府 Email 保護標記 Standard 定義下列 x 標頭組態:
需求 | 詳細資料 |
---|---|
PSPF 原則 8 附錄 F X-保護標記語法 |
X-Protective-Marking: VER=[version], NS=gov.au, SEC=[SecurityClassification], CAVEAT=[CaveatType]:[CaveatValue], EXPIRES=[genDate]\|[event], DOWNTO=[SecurityClassification], ACCESS=[InformationManagementMarker], NOTE=[comment], ORIGIN=[authorEmail] |
通常設定的元件如下:
-
VER
,其中列出系統設定為目前 v2018.6 () 的標準版本。 -
NS
,這是標記與使用本指南之 State Government 組織相關的網域,其設定不同。 例如, (VPDSF (保護資料安全性架構) 說明此處使用 vic.gov.au 網域。) 。 -
SEC
與標記或分類 (、OFFICIAL、OFFICIAL 機密或 PROTECTED) 一致。 -
CAVEAT
如果將 [警告] 例如 [封包] 套用至內容,就會填入 。 -
ACCESS
如果將資訊管理標記 (IMM) 套用至內容,就會填入 。
PSPF 原則 8 附錄 F 指出字 ORIGIN
段:「擷 取作者的電子郵件位址,讓原本分類電子郵件訊息的人員一律為已知。這不一定與欄位RFC5322中的相同。」
重要
常見的錯誤是透過 ORIGIN
郵件流程規則來設定 欄位,以將寄件者的位址戳記到外寄電子郵件的來源字段。 每次發生回復或轉寄活動時,此設定會導致欄位變更。 此設定不符合 PSPF 需求,因為設定 ORIGIN
後字段不應變更。
欄位最重要的元素 ORIGIN
是 原始實體。 PSPF 原則 8 會將來源定義為 「最初產生資訊或從澳大利亞政府外部接收資訊的實體。」 為了在欄位中 ORIGIN
擷取原始實體資訊,我們可以使用一般電子郵件位址。 例如,info@entity.gov.au。 此電子郵件位址會在組織所產生之所有電子郵件的原始欄位中加上戳記,以便符合需求的意圖。
如果需要電子郵件特定資訊的詳細資訊,例如原始寄件者、收件者或轉寄電子郵件的人員,則可以在 Exchange Online 中使用郵件追蹤和電子檔探索內容搜尋等服務來呈現這類資訊。
RFC 5322:因特網訊息格式和 RFC 822:#D17F7CF2477A24618B4CAC443FE9EB3E2 ARPA 因特網文字訊息標準格式的狀態,即冒號特殊字元會當做 x 標頭功能變數名稱和域主體之間的分隔符使用。
Microsoft 365 服務內的 Microsoft Purview 介面遵守 RFC 標準,並允許冒號 :
,並依照澳大利亞客戶的用途進行處理。
當澳大利亞政府組織使用非企業電子郵件平臺和用戶端時,其他組織的系統可能會從回復電子郵件中移除 x 標頭。 企業電子郵件平臺,例如 Exchange Online 和 Outlook 等客戶端,確保當使用者回覆電子郵件時,會維護重要的電子郵件元數據,包括 x 標頭。 其他用戶端,包括匿名電子郵件平臺和原生行動裝置電子郵件用戶端,可能會移除他們不知道的任何電子郵件元數據。 除非納入設計,否則這會影響電子郵件安全性和用戶體驗。
從一般澳大利亞政府組織傳送給非Microsoft 365 使用者的電子郵件,將會套用 x-保護標記標頭和其他Microsoft特定標籤標元數據 (,例如msip_labels標頭) 套用。 此元數據可用來確保交談中的每個電子郵件都會繼承套用至先前郵件的標籤。 當非Microsoft 365用戶回復已標示的電子郵件時,可以將其回復移回僅限必要的電子郵件元數據。 其結果是,當您組織的電子郵件平臺收到回復電子郵件時,將不會標示回復電子郵件。 接著,用戶必須在回復上選取並套用新的標籤,並手動對齊原始項目的標記。 這種方法會產生譯碼風險。
雖然 x 標頭是標記電子郵件的理想方法,因為收件者無法輕鬆修改電子郵件,Microsoft建議在澳洲政府自動套用標籤標原則中設定及使用多個標記方法:
- 主要方法 (X-保護標記 x 標頭)
- 以主體為基礎的標記 (輔助方法 1)
- 要由 SIT 解譯的標籤標記 (輔助方法 2)
套用多個標記和自動套用標籤方法時,在套用至專案的專案中偵測到的最高敏感度標籤,以及/或建議使用者使用。 這可減少由於收件者操作或標頭等量,而導致內容標記錯誤的可能性。
針對澳大利亞政府的用戶端式自動套用標籤 建議和澳大利亞政府 服務 型自動套用標籤建議中,會進一步討論自動套用標籤方法,以協助降低標頭等量刪除的相關風險。
DLP 原則可用來將 x-保護標記標頭套用至電子郵件。
您可以從 Microsoft Purview 合規性入口網站 內建立新的 DLP 原則。 這類原則應從自定義原則範本建立,且只應套用至 Exchange 服務。 僅選取此服務可讓您看到所有交換特定條件。 如果選取其他服務,清單只會顯示所有選取服務通用的條件。
原則應該包含發行給使用者之每個敏感度標籤的規則。
重要
建議使用單一 DLP 原則,其中包含套用 x 標頭和主體標記的多個規則,而不是多個 DLP 原則。 套用 x 標頭和主旨標記的範例 DLP 原則中包含了針對所有必要標籤達成這些動作的原則。
每個規則都應該根據其用途來命名。 例如,一個規則名稱[套用一個' SNO-Header\]。 對於包含標記組合的規則,標籤名稱可能會超過 DLP 規則名稱允許的長度。 基於這個理由,需要截斷。 在 套用 x 標頭和主旨標記的範例 DLP 原則 中,已縮短警告或 IMM 來考慮此問題。
規則應該具有 包含>敏感度標籤 的內容條件,然後選取與規則相關的標籤。
應選取評估郵件或附件述詞的選項,因為這有助於確保套用至電子郵件的 x 標頭會針對較高敏感度附件進行帳戶,並擴充 卷標繼承中討論的功能。
系統管理員應該留意 x-保護標記 x 標頭可能包含其他數據的事實,例如 或DOWNTO
的EXPIRES
值。 此資訊在許多組織中不太可能存在,因為其使用量有限,但如果數據存在,則應加以維護。 若要達到此目的,請使用NOT 操作數建立條件群組。 這可確保如果標頭已經存在於專案上,就不會被覆寫:
規則動作會設定為 設定標頭。 標頭值接著應該與套用標籤的 x-保護標記值一致。
提示
如果從格式化檔案複製 x 標頭值,例如 Word 檔,某些特殊字元可能已被對等專案取代。 可能因為格式設定而取代的字元範例包括反轉逗號或連字元。 Microsoft Purview 介面可確保透過窗體驗證來設定連字元。 這可能會導致表單不接受某些貼上的文字值。 如果發生問題,請使用鍵盤重新輸入特殊字元,而不是根據貼上的值。
本文中概述的 DLP 原則應該在測試環境中進行測試,以確保正確性和與 PSPF 架構一致。 Email x 標頭可以透過大部分的電子郵件客戶端來檢視。 在 Outlook 中,根據用戶端版本,可以開啟電子郵件並選取 [檔案>屬性],或開啟訊息並選取 [檢視訊息屬性],來檢視>標頭。
Microsoft訊息標頭分析器用來檢視位於 https://mha.azurewebsites.net/的標頭資訊。
PSPF 原則 8 附錄 F 提供範例,您可以將其與您自己的設定進行比較。
電子郵件標記的替代方法仰賴電子郵件主旨欄位,可修改為在電子郵件主旨結尾包含標記。 例如,'Test email subject [SEC=PROTECTED]'。
如 PSPF 原則 8 附錄 F 中所述,主體型標記可以在電子郵件產生或傳輸期間輕鬆地操作。 不過,為了降低 x 標頭等量風險,主體型標記有助於電子郵件平臺或用戶端已移除電子郵件元數據的情況。 因此,主體型標記應該作為 x 標頭的輔助方法。
需求 | 詳細資料 |
---|---|
PSPF 原則 8 - 透過元數據套用保護標記 | 針對電子郵件,慣用的方法是讓實體根據附錄 G 的 Email 保護標記 Standard,將保護標記套用至因特網訊息標頭擴充功能。這有助於透過電子郵件閘道和伺服器進行建構和剖析,並允許根據保護標記來處理資訊。 在無法擴充因特網訊息標頭的情況下,保護標記會放置在電子郵件的主旨欄位中。 |
注意
雖然主體型標記的技術性不如以 x 標頭為基礎的方法,但它仍然是將標記套用至電子郵件的完全有效方法。
如同 x 標頭,主體型標記會透過 DLP 原則套用。 原則應該從 自定義原則範本 建立,並僅套用至 Exchange 服務。
確定原則包含每個敏感度標籤的規則。 適當的規則名稱範例是 [套用][非索引標籤]。 如同以 x 標頭為基礎的規則,使用標記的組合時,規則名稱可能會超過允許的值。 基於這個理由,範 例 DLP 原則中套用 x 標頭和主體標記的 範例會將截斷套用至注意事項或 IMM 名稱。
這些規則需要 內容包含 的條件,以及規則的相關敏感度標籤。 套用主體標記的規則不需要套用例外狀況。
規則動作應設定為 修改主旨。
修改主旨動作應該設定為 正則表達式 (RegEx) 。\s*?\[SEC=.*?\]
此 RegEx 會檢查並移除以 開頭 [SEC=
之方括弧內的數據值。 它也會在標記之前移除空格符。
使用這個以 RegEx 為基礎的方法來重新套用主體標記,可確保不會發生標記重複 (例如 [SEC=CATALOG] [SEC=CATALOG]) 。 DLP 原則可以藉由移除主旨標記,並以事實來源的值取代主旨標記,在此案例中是電子郵件的標籤。
在 [ 插入這個取代文字 ] 字段中,輸入做為主體標記的文字。 建議您在透過取代文字套用的標記前面加上空格符 (例如 『
[SEC=) 』,因為它可確保在電子郵件主旨結尾和標記之前有空格。 請確定您的 RegEx 在修改主旨模式中包含偵測空格 (\s*?
) ,讓體驗保持一致。 如果沒有 RegEx,空格可以輕鬆地堆疊在標記之前。
取代文字的位置應設定為 移除相符專案,並將取代文字附加至主體。
重要
建議使用單一 DLP 原則,其中包含套用 x 標頭和主體標記的多個規則,而不是多個 DLP 原則。 套用 x 標頭和主旨標記的範例 DLP 原則中包含了針對所有必要標籤達成這些動作的原則。
下列 DLP 原則旨在將 x-保護標記 x 標頭和主旨標記套用至電子郵件。
原則名稱: 新增 PSPF x 標頭和主旨標記
適用的服務: 交換
規則 | 條件 | 動作 |
---|---|---|
UNOFFICIAL append subject |
內容包含敏感度標籤:非索引標籤 | 修改主旨,移除符合下列專案的文字: \s*?\[SEC=.*?\] 插入此取代文字:
[SEC=UNOFFICIAL]
位置:移除相符專案並附加 |
UNOFFICIAL add x-header |
內容包含敏感度標籤:非索引標籤 | 設定標頭:X-Protective-Marking:VER=2018.6, NS=gov.au, SEC=UNOFFICIAL 除了標頭符合模式之外: X-Protective-Marking:SEC=UNOFFICIAL |
OFFICIAL append subject |
內容包含敏感度標籤:OFFICIAL | 修改主旨,移除符合下列專案的文字: \s*?\[SEC=.*?\] 插入此取代文字:
[SEC=OFFICIAL]
位置:移除相符專案並附加 |
OFFICIAL add x-header |
內容包含敏感度標籤:OFFICIAL | 設定標頭: X-Protective-Marking:VER=2018.6, NS=gov.au, SEC=OFFICIAL 除了標頭符合模式之外: X-Protective-Marking:SEC=OFFICIAL |
OFFICIAL Sensitive append subject |
內容包含敏感度標籤:官方敏感性 | 修改主旨,移除符合下列專案的文字: \s*?\[SEC=.*?\] 插入此取代文字:
[SEC=OFFICIAL:Sensitive]
位置:移除相符專案並附加 |
OFFICIAL Sensitive add x-header |
內容包含敏感度標籤:官方敏感性 | 設定標頭: X-Protective-Marking:VER=2018.6, NS=gov.au, SEC=OFFICIAL:Sensitive 除了標頭符合模式之外: X-Protective-Marking:SEC=OFFICIAL[-: ]Sensitive |
OFFICIAL Sensitive PP append subject |
內容包含敏感度標籤:官方敏感性個人隱私權 | 修改主旨,移除符合下列專案的文字: \s*?\[SEC=.*?\] 插入此取代文字:
[SEC=OFFICIAL:Sensitive, ACCESS=Personal-Privacy]
位置:移除相符專案並附加 |
OFFICIAL Sensitive PP add x-header |
內容包含敏感度標籤:官方敏感性個人隱私權 | 設定標頭:X-Protective-Marking:VER=2018.6, NS=gov.au, SEC=OFFICIAL:Sensitive, ACCESS=Personal-Privacy 除了標頭符合模式之外: X-Protective-Marking:SEC=OFFICIAL[-: ]Sensitive, ACCESS=Personal-Privacy |
OFFICIAL Sensitive LP append subject |
內容包含敏感度標籤:官方敏感性法律許可權 | 修改主旨,移除符合下列專案的文字: \s*?\[SEC=.*?\] 插入此取代文字:
[SEC=OFFICIAL:Sensitive, ACCESS=Legal-Privilege]
位置:移除相符專案並附加 |
OFFICIAL Sensitive LP add x-header |
內容包含敏感度標籤:官方敏感性法律許可權 | 設定標頭: X-Protective-Marking:VER=2018.6, NS=gov.au, SEC=OFFICIAL:Sensitive, ACCESS=Legal-Privilege 除了標頭符合模式之外: X-Protective-Marking:SEC=OFFICIAL[-: ]Sensitive, ACCESS=Legal-Privilege |
OFFICIAL Sensitive LS append subject |
內容包含敏感度標籤:官方機密機密機密密碼 | 修改主旨,移除符合下列專案的文字: \s*?\[SEC=.*?\] 插入此取代文字:
[SEC=OFFICIAL:Sensitive, ACCESS=Legislative-Secrecy]
位置:移除相符專案並附加 |
OFFICIAL Sensitive LS adds x-header |
內容包含敏感度標籤:官方機密機密機密密碼 | 設定標頭: X-Protective-Marking:VER=2018.6, NS=gov.au, SEC=OFFICIAL:Sensitive, ACCESS=Legislative-Secrecy 除了標頭符合模式之外: X-Protective-Marking: SEC=OFFICIAL[-: ]Sensitive, ACCESS=Legislative-Secrecy |
OFFICIAL Sensitive NC append subject |
內容包含敏感度標籤:官方敏感性國家封包 | 修改主旨,移除符合下列專案的文字: \s*?\[SEC=.*?\] 插入此取代文字:
[SEC=OFFICIAL:Sensitive, CAVEAT=SH:NATIONAL-CABINET]
位置:移除相符專案並附加 |
OFFICIAL Sensitive NC add x-header |
內容包含敏感度標籤:官方敏感性國家封包 | 設定標頭: X-Protective-Marking:VER=2018.6, NS=gov.au, SEC=OFFICIAL:Sensitive, CAVEAT=SH:NATIONAL-CABINET 除了標頭符合模式之外: X-Protective-Marking:SEC=OFFICIAL[-: ]Sensitive, CAVEAT=SH[-: ]NATIONAL-CABINET |
PROTECTED append subject |
內容包含敏感度標籤:PROTECTED | 修改主旨,移除符合下列專案的文字: \s*?\[SEC=.*?\] 插入此取代文字:
[SEC=PROTECTED]
位置:移除相符專案並附加 |
PROTECTED add x-header |
內容包含敏感度標籤:PROTECTED | 設定標頭: X-Protective-Marking:VER=2018.6, NS=gov.au, SEC=PROTECTED 除了標頭符合模式之外: X-Protective-Marking:SEC=PROTECTED |
PROTECTED PP append subject |
內容包含敏感度標籤:受保護的個人隱私權 | 修改主旨,移除符合下列專案的文字: \s*?\[SEC=.*?\] 插入此取代文字:
[SEC=PROTECTED, ACCESS=Personal-Privacy]
位置:移除相符專案並附加 |
PROTECTED PP add x-header |
內容包含敏感度標籤:受保護的個人隱私權 | 設定標頭: X-Protective-Marking:VER=2018.6, NS=gov.au, SEC=PROTECTED, ACCESS=Personal-Privacy 除了標頭符合模式之外: X-Protective-Marking:SEC=PROTECTED, ACCESS=Personal-Privacy |
PROTECTED LP append subject |
內容包含敏感度標籤:受保護的法律許可權 | 修改主旨,移除符合下列專案的文字: \s*?\[SEC=.*?\] 插入此取代文字:
[SEC=PROTECTED, ACCESS=Legal-Privilege]
位置:移除相符專案並附加 |
PROTECTED LP add x-header |
內容包含敏感度標籤:受保護的法律許可權 | 設定標頭: X-Protective-Marking:VER=2018.6, NS=gov.au, SEC=PROTECTED, ACCESS=Legal-Privilege 除了標頭符合模式之外: X-Protective-Marking:SEC=PROTECTED, ACCESS=Legal-Privilege |
PROTECTED LS append subject |
內容包含敏感度標籤:受保護的保密 | 修改主旨,移除符合下列專案的文字: \s*?\[SEC=.*?\] 插入此取代文字:
[SEC=PROTECTED, ACCESS=Legislative-Secrecy]
位置:移除相符專案並附加 |
PROTECTED LS add x-header |
內容包含敏感度標籤:受保護的保密 | 設定標頭: X-Protective-Marking:VER=2018.6, NS=gov.au, SEC=PROTECTED, ACCESS=Legislative-Secrecy 除了標頭符合模式之外: X-保護標記: SEC=PROTECTED, ACCESS=Legislative-Secrecy |
PROTECTED CABINET append subject |
內容包含敏感度標籤:PROTECTED CABINET | 修改主旨,移除符合下列專案的文字: \s*?\[SEC=.*?\] 插入此取代文字:
[SEC=PROTECTED, CAVEAT=SH:CABINET]
位置:移除相符專案並附加 |
PROTECTED CABINET add x-header |
內容包含敏感度標籤:PROTECTED CABINET | 設定標頭: X-Protective-Marking:VER=2018.6, NS=gov.au, SEC=PROTECTED, CAVEAT=SH:CABINET 除了標頭符合模式之外: X-Protective-Marking:SEC=PROTECTED, CAVEAT=SH[-: ]CABINET |
PROTECTED NC append subject |
內容包含敏感度標籤:PROTECTED NATIONAL CABINET | 修改主旨,移除符合下列專案的文字: \s*?\[SEC=.*?\] 插入此取代文字:
[SEC=PROTECTED, CAVEAT=SH:NATIONAL-CABINET]
位置:移除相符專案並附加 |
PROTECTED NC add x-header |
內容包含敏感度標籤:PROTECTED NATIONAL CABINET | 設定標頭: X-Protective-Marking:VER=2018.6, NS=gov.au, SEC=PROTECTED, CAVEAT=SH:NATIONAL-CABINET 除了標頭符合模式之外: X-Protective-Marking:SEC=PROTECTED, CAVEAT=SH[-: ]NATIONAL-CABINET |
注意
先前的 DLP 規則會在 RegEx 中使用 [-: ]
,可讓您比對連字元、冒號或空格。 這是為了配合組織傳送資訊給您,但由於合規性成熟度較低或設定過期,無法將冒號字元套用至 x 標頭。