Creación de una directiva para administrar las actividades de archivo mediante la implementación de excepciones de red

En este escenario se muestra cómo usar condiciones basadas en red en DLP de Microsoft Purview para aplicar distintas protecciones en función de dónde acceden los usuarios datos confidenciales. Al definir conexiones VPN y configurar excepciones de red, la directiva ajusta las acciones (como auditar o bloquear la actividad del Portapapeles) en función del contexto de red, lo que permite un control más preciso para entornos de trabajo híbridos sin restringir uniformemente la actividad del usuario.

Este escenario es para un administrador sin restricciones que crea una directiva de directorio completa.

Requisitos previos y supuestos

Este escenario requiere que ya tenga dispositivos incorporados e informes en el Explorador de actividad. Si todavía no ha incorporado sus dispositivos, consulte Introducción a la prevención de pérdida de datos de los puntos de conexión.

En este escenario, definimos una lista de VPN que los trabajadores híbridos usan para acceder a los recursos de la organización.

En este artículo se usa el proceso que aprendió en Diseño de una directiva de prevención de pérdida de datos para mostrar cómo crear una directiva de Prevención de pérdida de datos de Microsoft Purview (DLP). Trabaje en estos escenarios en el entorno de prueba para familiarizarse con la interfaz de usuario de creación de directivas.

La implementación de una directiva es tan importante como el diseño de directivas. En este artículo se muestra cómo usar las opciones de implementación para que la directiva alcance su intención y evitar interrupciones empresariales costosas.

En este escenario se usa la etiqueta Confidencialidad confidencial, por lo que es necesario crear y publicar etiquetas de confidencialidad. Para más información, vea:

• Información sobre las etiquetas de confidencialidad
• Introducción a las etiquetas de confidencialidad
• Crear y configurar etiquetas de confidencialidad y sus directivas

Este procedimiento usa un grupo de distribución hipotético Recursos humanos y un grupo de distribución para el equipo de seguridad de Contoso.com.

Este procedimiento usa alertas, consulte Introducción a las alertas de prevención de pérdida de datos.

Asignación y instrucción de intención de directiva

Nosotros, Contoso, queremos controlar cómo se controla el contenido legal confidencial en función del contexto de red en el que operan los usuarios. En concreto, queremos aplicar diferentes niveles de restricción en función de si los usuarios están conectados a través de redes corporativas de confianza o conexiones VPN usadas por los trabajadores híbridos.

Para ello, definiremos las conexiones VPN conocidas y las usaremos en las reglas de excepción de red dentro de una directiva DLP. Esto nos permite aplicar controles más estrictos(como bloquear la actividad del Portapapeles con invalidación) cuando los usuarios están conectados a través de VPN específicas, a la vez que se mantiene un comportamiento menos restrictivo (solo auditoría) en otros contextos. Este enfoque permite la protección de datos contextual que se adapta a cómo y dónde acceden los usuarios a datos confidenciales.

Pasos para crear la directiva

Creación y uso de una excepción de red

Las excepciones de red permiten configurar las acciones Permitir, Solo auditoría, Bloquear con invalidación y Bloquear en las actividades de archivo en función de la red desde la que los usuarios acceden al archivo. Puede seleccionar en la lista de configuración de VPN que ha definido y usar la opción Red corporativa . Las acciones se pueden aplicar individual o colectivamente a estas actividades de usuario:

• Copiar en el portapapeles
• Copia en un dispositivo extraíble USB
• Copiar en un recurso compartido de red
• Imprimir
• Copiar o mover mediante una aplicación Bluetooth no permitida
• Copia o movimiento mediante RDP

Obtener la dirección del servidor o la dirección de red

1. En un dispositivo Windows supervisado por DLP, abra una ventana de Windows PowerShell como administrador.

2. Ejecute este cmdlet:

   Get-VpnConnection
   

3. La ejecución de este cmdlet devuelve varios campos y valores.

4. Busque el campo ServerAddress y registre ese valor. Esto se usa al crear una entrada VPN en la lista de VPN.

5. Busque el campo Nombre y registre ese valor. El campo Nombre se asigna al campo Dirección de red al crear una entrada VPN en la lista VPN.

Determinar si el dispositivo está conectado a través de una red corporativa

1. En un dispositivo Windows supervisado por DLP, abra una ventana de Windows PowerShell como administrador.

2. Ejecute este cmdlet:

   Get-NetConnectionProfile
   

3. Si el campo NetworkCategory es DomainAuthenticated, el dispositivo se conecta a una red corporativa. Si es cualquier otra cosa, la conexión del dispositivo no se realiza a través de una red corporativa.

Adición de una VPN

1. Inicie sesión en el portal de Microsoft Purview.

2. Abra Configuración> del punto de conexión deprevención> de pérdida de datosConfiguración de>VPN.

3. Seleccione Agregar o editar direcciones VPN.

4. Proporcione la dirección del servidor o la dirección de red de la ejecución de Get-VpnConnection.

5. Haga clic en Guardar.

6. Cierre el elemento.

Configuración de acciones de directiva

1. Inicie sesión en el portal de Microsoft Purview.

2. Abra directivas de prevención> de pérdida de datos.

3. Seleccione Crear directiva.

4. Datos almacenados en orígenes conectados.

5. Seleccione Custom (Personalizado ) en Categories ( Categorías ) y , después, Custom policy template (Directiva personalizada ) en Regulations (Regulaciones).

6. Asigne un nombre a la nueva directiva y proporcione una descripción.

7. Seleccione Directorio completo en unidades Administración.

8. Establezca el ámbito de la ubicación solo en Dispositivos .

9. Cree una regla en la que:

   1. El contenido contiene = Clasificadores entrenables, Asuntos Jurídicos
   2. Acciones = Auditoría o restricción de actividades en dispositivos
   3. A continuación, elija Actividades de archivo en todas las aplicaciones.
   4. Seleccione Aplicar restricciones a una actividad específica.
   5. Seleccione las acciones para las que desea configurar excepciones de red .

10. Seleccione Copiar en el Portapapeles y la acción Solo auditoría .

11. Seleccione Elegir distintas restricciones de copia en el Portapapeles.

12. Seleccione VPN y establezca la acción en Bloquear con invalidación.

    Importante

    Si desea controlar las actividades de un usuario cuando está conectado a través de una VPN , debe seleccionar la VPN y convertirla en la prioridad principal en la configuración Excepciones de red. De lo contrario, si se selecciona la opción Red corporativa , se aplicará esa acción definida para la entrada de red corporativa .

    Precaución

    La opción Aplicar a todas las actividades copiará las excepciones de red que se definen aquí y las aplicará a todas las demás actividades específicas configuradas, como Imprimir y Copiar en un recurso compartido de red. Esto sobrescribirá las excepciones de red en las otras actividades La última configuración guardada gana.

13. Guardar.

14. Acepte el valor predeterminado Ejecutar la directiva en modo de simulación y elija Mostrar sugerencias de directiva mientras está en modo de simulación. Elija Siguiente.

15. Revise la configuración y elija Enviar y, a continuación, Listo.

16. La nueva directiva DLP aparece en la lista de directivas.