Pianificare l'implementazione di Microsoft Purview Data Loss Protection

Prevenzione della perdita dei dati Microsoft Purview (DLP) consente alle organizzazioni di mantenere la conformità ai requisiti normativi. Consente inoltre di proteggere i dati sensibili da potenziali violazioni dei dati, indipendentemente dal fatto che archivino i dati in locale, nel cloud o li condividano con fornitori di terze parti.

Per aiutare le organizzazioni a raggiungere questi obiettivi, Microsoft Purview DLP offre una gamma di funzionalità, tra cui:

• Individuazione e classificazione automatizzate dei dati sensibili.
• Monitoraggio e rilevamento continui dei dati sensibili.
• Integrazione con altri servizi Microsoft, ad esempio protezione Microsoft Entra e Microsoft Cloud App Security.
• Creazione di criteri personalizzabili per applicare misure di protezione dei dati.
• Avvisi e report in tempo reale su potenziali violazioni dei dati.

L'implementazione di queste funzionalità richiede un impegno di pianificazione coordinato. Questa unità di formazione è incentrata sul modo in cui le organizzazioni devono pianificare l'implementazione della prevenzione della perdita dei dati di Microsoft Purview.

Più punti di partenza

Ogni organizzazione pianifica e implementa microsoft Purview DLP in modo diverso. Perché? Poiché le esigenze aziendali, gli obiettivi, le risorse e la situazione di ogni organizzazione sono specifici di ogni organizzazione. Tuttavia, esistono elementi comuni a tutte le implementazioni DLP riuscite. Questa unità presenta le procedure consigliate usate dalle organizzazioni nella pianificazione della prevenzione della perdita dei dati.

Molte organizzazioni scelgono di implementare la prevenzione della perdita dei dati per rispettare varie normative governative o di settore. Le organizzazioni implementano anche la prevenzione della perdita di dati per proteggere la proprietà intellettuale. Ma il luogo di partenza e la destinazione finale nel percorso di prevenzione della perdita dei dati variano da un'organizzazione all'altra.

Le organizzazioni possono iniziare i loro percorsi di prevenzione della perdita dei dati in vari modi. Ad esempio:

• Da uno stato attivo della piattaforma, vogliono proteggere le informazioni nei messaggi di Chat e canale di Teams o nei dispositivi Windows.
• Sanno quali informazioni sensibili vogliono dare la priorità alla protezione, come i registri sanitari. Date queste informazioni, possono passare direttamente alla definizione di criteri per proteggerle.
• Potrebbero non sapere quali sono le loro informazioni sensibili, dove si trovano e chi sta facendo cosa con esso. Di conseguenza, iniziano con l'individuazione e la categorizzazione e hanno un approccio più metodico.
• Potrebbero non sapere quali sono le loro informazioni sensibili, dove si trovano o chi sta facendo cosa con esso. Anche senza queste informazioni, possono comunque passare direttamente alla definizione dei criteri. Da lì, usano questi risultati come punto di partenza e quindi affinano i loro criteri da lì.
• Vogliono implementare lo stack di Microsoft Purview Information Protection completo. Di conseguenza, intendono adottare un approccio più lungo e metodico all'implementazione della prevenzione della perdita dei dati.

Questi esempi sono solo alcuni modi in cui i clienti possono affrontare la prevenzione della perdita dei dati. Non importa da dove inizia un'organizzazione. Microsoft Purview DLP è sufficientemente flessibile da supportare vari tipi di percorsi di protezione delle informazioni, dall'inizio a una strategia di prevenzione della perdita dei dati completamente realizzata.

Panoramica del processo di pianificazione della prevenzione della perdita dei dati di Microsoft Purview

Esistono diversi aspetti del processo di pianificazione della prevenzione della perdita dei dati di Microsoft Purview. Le sezioni seguenti esaminano ognuna di queste considerazioni.

Identificare le parti interessate

Quando un'organizzazione implementa i criteri di prevenzione della perdita dei dati, può applicarli in grandi parti dell'azienda. In questo modo, è essenziale che il reparto IT non sviluppi autonomamente un piano di ampio respiro. In caso contrario, si verificano sempre conseguenze negative. Un'organizzazione deve invece identificare gli stakeholder tra i reparti che possono:

• Descrivere le normative, le leggi e gli standard di settore a cui l'organizzazione è soggetta.
• Determinare le categorie di elementi sensibili che richiedono protezione.
• Identificare i processi aziendali che richiedono un criterio DLP.
• Identificare il comportamento rischioso che l'azienda vuole limitare.
• Assegnare priorità ai dati da proteggere prima in base alla sensibilità degli elementi e al rischio coinvolti.
• Delineare ogni processo di verifica e correzione degli eventi di corrispondenza dei criteri DLP.

In generale, queste esigenze tendono a essere l'85% di protezione normativa e conformità e il 15% di protezione della proprietà intellettuale. Ecco alcuni suggerimenti sui ruoli da includere nel processo di pianificazione di un'organizzazione:

• Responsabili delle normative e della conformità
• Chief Risk Officer
• Ufficiali legali
• Responsabili della sicurezza e della conformità
• Proprietari di aziende per gli elementi di dati
• Utenti aziendali
• IT

Descrivere le categorie di informazioni riservate da proteggere

Una volta che un'organizzazione identifica gli stakeholder DLP, deve quindi descrivere:

• Categorie di informazioni riservate da proteggere.
• Processi aziendali che usano i dati trovati in queste categorie.

Ad esempio, la prevenzione della perdita dei dati può definire le categorie seguenti:

• Finanza
• Informazioni mediche e sanitarie
• Privacy
• Personalizzato

Impostare gli obiettivi e creare un piano di implementazione

Una volta che gli stakeholder definiscono quali informazioni sensibili necessitano di protezione e la posizione dei dati:

• Gli stakeholder possono definire gli obiettivi di protezione.
• Il reparto IT può sviluppare un piano di implementazione.

Il piano di implementazione di un'organizzazione deve includere:

• Mapping dello stato iniziale e dello stato finale desiderato e dei passaggi per ottenere da uno all'altro.
• Come risolve l'individuazione di elementi sensibili.
• Pianificazione dei criteri.
• Passaggi necessari per implementare il piano.
• Come vengono soddisfatti i prerequisiti.
• Come testa i criteri prima di passare all'imposizione.
• Come esegue il training degli utenti finali.
• Come testa e ottimizza i criteri.
• Il modo in cui esamina e aggiorna la strategia di prevenzione della perdita dei dati in base alle mutevoli esigenze normative, legali, di settore o di protezione della proprietà intellettuale e alle esigenze aziendali.

Eseguire il mapping del percorso dall'inizio allo stato finale desiderato

Perché è essenziale per un'organizzazione documentare come si passa dallo stato iniziale allo stato finale desiderato? Poiché la documentazione è fondamentale per comunicare con gli stakeholder e impostare l'ambito del progetto.

Il diagramma seguente mostra un set di passaggi che le organizzazioni usano comunemente per distribuire Microsoft Purview DLP. È possibile usare questa struttura per creare un frame del percorso di adozione della prevenzione della perdita dei dati e quindi compilare i dettagli.

Individuazione di elementi sensibili

Esistono diversi modi per scoprire quali sono gli elementi sensibili di un'organizzazione e la relativa posizione. Un'organizzazione potrebbe avere etichette di riservatezza già distribuite. In alternativa, ha deciso di distribuire un ampio criterio DLP in tutte le posizioni che individua e controlla solo gli elementi. Per altre informazioni, vedere Conoscere i dati.

Pianificazione dei criteri

Quando le organizzazioni iniziano l'adozione della prevenzione della perdita dei dati, possono usare le domande seguenti per concentrare le attività di progettazione e implementazione dei criteri.

Pianificazione dei prerequisiti

Prima che un'organizzazione possa monitorare le posizioni DLP, deve prima soddisfare i prerequisiti della prevenzione della perdita dei dati. Per altre informazioni, vedere la sezione Prima di iniziare negli articoli seguenti:

• Introduzione allo scanner locale per la prevenzione della perdita dei dati.
• Introduzione alla prevenzione della perdita di dati degli endpoint.
• Introduzione all'estensione di conformità Microsoft.
• Usare i criteri di prevenzione della perdita dei dati per le app cloud non Microsoft.

Distribuzione dei criteri

Quando un'organizzazione crea i propri criteri di prevenzione della perdita dei dati, è consigliabile distribuirli gradualmente per valutarne l'effetto. Dovrebbe anche testarne l'efficacia prima di applicarle completamente. Ad esempio, un'organizzazione non vuole che un nuovo criterio DLP blocchi involontariamente l'accesso a migliaia di documenti o interrompa un processo aziendale esistente.

Alcune organizzazioni creano criteri di prevenzione della perdita dei dati che possono influire in modo significativo sui processi aziendali. In queste situazioni, Microsoft consiglia alle organizzazioni di seguire questa sequenza:

1. Iniziare in modalità test senza suggerimenti per i criteri. In questo modo, l'organizzazione può valutare l'effetto usando i report DLP e i report sugli eventi imprevisti. Può usare i report DLP per visualizzare il numero, la posizione, il tipo e la gravità delle corrispondenze dei criteri. In base ai risultati, può ottimizzare i criteri in base alle esigenze. In modalità test. I criteri di prevenzione della perdita dei dati non influiscono sulla produttività delle persone che lavorano nell'organizzazione. Questa fase dovrebbe anche testare il flusso di lavoro dell'organizzazione per la revisione degli eventi DLP e la correzione dei problemi.

2. Passare alla modalità test con notifiche e suggerimenti per i criteri. In questo modo, un'organizzazione può iniziare a insegnare agli utenti i criteri di conformità. Li prepara anche per i criteri che verranno applicati. È utile avere un collegamento a una pagina dei criteri dell'organizzazione che fornisce altri dettagli sui criteri nel suggerimento per i criteri. In questa fase, l'organizzazione può anche chiedere agli utenti di segnalare falsi positivi in modo che possa perfezionare ulteriormente i criteri. Un'organizzazione deve passare a questa fase quando ha la certezza che i risultati dell'applicazione dei criteri corrispondano a quanto previsto dagli stakeholder.

3. Avviare l'applicazione completa dei criteri. In questo modo, il sistema applica le azioni nelle regole per proteggere il contenuto. Continuare a monitorare i report DLP e tutti i report o le notifiche degli eventi imprevisti. In questo caso, assicurarsi di visualizzare i risultati previsti.

   

   Un'organizzazione può disattivare un criterio DLP in qualsiasi momento, che influisce su tutte le regole nei criteri. Tuttavia, è possibile disattivare ogni regola singolarmente attivandone lo stato nell'editor delle regole.

   

   Un'organizzazione può anche modificare la priorità di più regole in un criterio. Per farlo, aprire un criterio per modificarlo. Nella riga di una regola selezionare la freccia su o giù appropriata per riorganizzare l'ordine delle regole.

   

Formazione per gli utenti finali

Un'organizzazione può configurare i criteri di prevenzione della perdita dei dati per inviare notifiche tramite posta elettronica e mostrare suggerimenti per i criteri di prevenzione della perdita dei dati agli amministratori e agli utenti finali. I criteri possono inviare notifiche e visualizzare suggerimenti sui criteri quando un'attività utente attiva un criterio DLP. I suggerimenti per i criteri sono modi utili per aumentare la consapevolezza dei comportamenti rischiosi sugli elementi sensibili e formare gli utenti per evitare tali comportamenti in futuro. Questa progettazione è particolarmente valida quando i criteri di un'organizzazione sono ancora in modalità di test e prima di applicare azioni di blocco.

Esaminare i requisiti di prevenzione della perdita dei dati e la strategia di aggiornamento

Le normative, le leggi e gli standard di settore che un'organizzazione è soggetta a modifiche nel tempo. Anche gli obiettivi aziendali di un'organizzazione per la prevenzione della perdita dei dati possono cambiare. Un'organizzazione deve includere revisioni regolari di tutte queste aree in modo che rimanga conforme e l'implementazione della prevenzione della perdita dei dati continui a soddisfare le proprie esigenze aziendali.

Approcci alla distribuzione

La tabella seguente identifica gli scenari di esempio per tre società fittizie. Gli scenari descrivono le esigenze aziendali per ogni azienda. Queste esigenze aziendali sono requisiti reali tratti da implementazioni reali. Per ogni azienda, la tabella identifica anche l'approccio che deve prendere in considerazione quando si implementa la prevenzione della perdita dei dati per soddisfare le proprie esigenze aziendali.

Verifica delle conoscenze

Scegliere la risposta migliore per ognuna di queste domande.