Distribuzioni sicure
Un elemento chiave dell'amministrazione di una distribuzione Power Platform è la valutazione della sicurezza. La sicurezza è fondamentale per garantire che ogni utente abbia accesso esclusivamente ai dati di cui ha bisogno, ma anche per garantire che i dati aziendali non siano accessibili a persone o applicazioni che non dovrebbero accedervi.
Definizione di una strategia DLP
Uno dei primi aspetti da considerare quando si distribuisce una soluzione Power Platform è definire una strategia di prevenzione della perdita di dati (DLP). I criteri DLP sono progettati per evitare che gli utenti espongano involontariamente i dati dell'organizzazione e per proteggere la sicurezza delle informazioni nel tenant. I criteri DLP applicano le regole che determinano quali connettori sono abilitati per ogni ambiente e quali possono essere usati contemporaneamente. I connettori sono classificati in base alle seguenti categorie: solo dati aziendali, dati aziendali non consentiti o bloccato. Un connettore nel gruppo dei soli dati aziendali può essere usato esclusivamente con altri connettori dello stesso gruppo nella stessa app o nello stesso flusso. Ad esempio, un utente potrebbe voler creare un'applicazione che applica il connettore Microsoft Dataverse e un connettore di terze parti. Se si classifica il connettore Microsoft Dataverse come connettore di dati aziendali, sarà possibile applicare il connettore di terze parti solo se è anch'esso classificato come connettore di dati aziendali.
La definizione dei criteri DLP procede di pari passo con la strategia aziendale.
Classificazione dei connettori
Le classificazioni aziendale e non aziendale pongono limiti sui connettori che possono essere usati insieme in una determinata app o in un determinato flusso. I connettori possono essere classificati nei seguenti gruppi mediante i criteri DLP:
Aziendale: una determinata risorsa Power Automate o Power App può usare uno o più connettori di un gruppo aziendale. Se una risorsa Power Automate o Power App usa un connettore aziendale, non può usare alcun connettore non aziendale.
Non aziendale: una determinata risorsa Power Automate o Power App può usare uno o più connettori di un gruppo non aziendale. Se una risorsa Power Automate o Power App usa un connettore non aziendale, non può usare alcun connettore aziendale.
Bloccato: nessuna risorsa Power Automate o Power App può usare un connettore di un gruppo bloccato. Tutti i connettori premium di proprietà di Microsoft e i connettori di terze parti (standard e premium) possono essere bloccati. Tutti i connettori standard di proprietà di Microsoft e i connettori Common Data Service non possono essere bloccati.
Strategie per la creazione di criteri DLP
Come indicato in precedenza, quando un amministratore assume la gestione di un ambiente o inizia a supportare l'uso di Power Apps e Power Automate, i criteri DLP dovrebbero essere uno dei primi elementi da impostare. In questo modo, sarà disponibile un set di base di criteri e sarà possibile concentrarsi sulla gestione delle eccezioni e la creazione di criteri DLP mirati che implementino queste eccezioni, una volta approvate.
Si consiglia il seguente punto di partenza per i criteri DLP per gli ambienti di produttività condivisi di utenti e team:
Creare criteri che coprano tutti gli ambienti, tranne quelli selezionati (ad esempio, gli ambienti di produzione), fare in modo che i connettori disponibili in questi criteri siano limitati a Office 365 e ad altri microservizi standard e bloccare l'accesso a tutto il resto. Questi criteri si applicheranno all'ambiente predefinito e agli ambienti di formazione disponibili per lo svolgimento di eventi di formazione interni. Questi criteri si applicheranno inoltre a qualsiasi nuovo ambiente che verrà creato.
Creare criteri DLP appropriati e più permissivi per gli ambienti di produttività condivisi di utenti e team. Questi criteri potrebbero consentire ai creatori di usare connettori quali i servizi di Azure in aggiunta ai servizi Office 365. I connettori disponibili in questi ambienti dipenderanno dall'organizzazione e dalla posizione in cui l'organizzazione archivia i dati aziendali.
Si consiglia il seguente punto di partenza per i criteri DLP per gli ambienti di produzione (Business Unit e progetto):
Escludere questi ambienti dai criteri di produttività condivisi di utenti e team.
Consultare Business Unit e progetto per stabilire quali connettori e quali combinazioni di connettori useranno e creare criteri tenant per includere solo gli ambienti selezionati.
Gli amministratori di questi ambienti possono usare i criteri dell'ambiente per classificare i connettori personalizzati come solo dati aziendali, se necessario.
In aggiunta a quanto sopra, si consiglia anche di:
Creare un numero minimo di criteri per ambiente. Non esiste una gerarchia rigida tra i criteri tenant e ambiente e, in fase di progettazione ed esecuzione, tutti i criteri applicabili all'ambiente in cui risiede l'app o il flusso vengono valutati insieme per decidere se la risorsa rispetta o viola i criteri DLP. La presenza di più criteri DLP applicati a un solo ambiente frammenta e complica lo spazio dei connettori e potrebbe rendere difficoltosa la comprensione dei problemi affrontati dai creatori.
Gestire in modo centralizzato i criteri DLP usando criteri a livello di tenant e usando i criteri di ambiente solo per classificare i connettori personalizzati o per eccezioni.
Dopo aver definito questi criteri, pianificare come gestire le eccezioni. È possibile:
Rifiutare la richiesta.
Aggiungere il connettore ai criteri DLP predefiniti.
Aggiungere gli ambienti all'elenco Tutto tranne per i criteri DLP predefiniti globali e creare criteri DLP specifici del caso d'uso con l'eccezione inclusa.
Esempio: strategia DLP di Contoso
Vediamo come Contoso Corporation, la nostra organizzazione di esempio per queste linee guida, imposta i propri criteri DLP. L'impostazione dei criteri DLP è strettamente legata alla strategia ambientale. Gli amministratori di Contoso desiderano supportare gli scenari di produttività di utenti e team e le applicazioni aziendali, oltre alla gestione delle attività del centro di eccellenza (CoE).
L'ambiente e la strategia DLP impiegati dagli amministratori di Contoso sono costituiti da:
Criteri DLP restrittivi a livello di tenant che si applicano a tutti gli ambienti nel tenant, ad eccezione di alcuni ambienti specifici che sono stati esclusi dall'ambito dei criteri. Gli amministratori intendono fare sì i connettori disponibili in questi criteri siano limitati a Office 365 e ad altri microservizi standard bloccando l'accesso a tutto il resto. Questi criteri si applicano anche all'ambiente predefinito.
Gli amministratori di Contoso hanno creato un altro ambiente condiviso in cui gli utenti possono creare app per i casi d'uso di produttività di utenti e team. Questo ambiente presenta criteri DLP a livello di tenant associati non avversi al rischio come i criteri predefiniti e consente ai creatori di usare connettori quali i servizi di Azure in aggiunta ai servizi di Office 365. Poiché si tratta di un ambiente non predefinito, gli amministratori possono controllare attivamente l'elenco degli autori dell'ambiente a esso relativo. Si tratta di un approccio a più livelli all'ambiente di produttività condiviso di utenti e team e alle impostazioni DLP associate.
Inoltre, affinché le Business Unit possano creare applicazioni line-of-business, sono stati creati ambienti di sviluppo, test e produzione per le affiliate fiscali e di revisione in vari Paesi. L'accesso dell'autore dell'ambiente a questi ambienti viene gestito con attenzione e vengono resi disponibili connettori proprietari e di terze parti appropriati usando criteri DLP a livello di tenant in consultazione con le parti interessate della Business Unit.
Allo stesso modo, gli ambienti di sviluppo/test/produzione vengono creati per l'uso da parte dell'IT centrale per sviluppare e implementare applicazioni pertinenti o corrette. Questi scenari di applicazioni aziendali in genere hanno un set ben definito di connettori che devono essere resi disponibili a creatori, tester e utenti di questi ambienti. L'accesso a questi connettori viene gestito usando criteri a livello di tenant dedicati.
Contoso ha anche un ambiente per scopi speciali dedicato alle attività del centro di eccellenza. In Contoso, i criteri DLP per l'ambiente per scopi speciali rimarrà high-touch data la natura sperimentale del libro dei team teorici. In questo caso, gli amministratori di tenant hanno delegato la gestione DLP per questo ambiente direttamente a un amministratore dell'ambiente affidabile del team CoE e l'hanno escluso da un gruppo di tutti i criteri a livello di tenant. Questo ambiente è gestito solo dai criteri DLP a livello di ambiente, che rappresentano un'eccezione rispetto alla regola in Contoso.
Come previsto, tutti i nuovi ambienti creati in Contoso verranno mappati ai criteri originali per tutti gli ambienti.
Questa impostazione dei criteri DLP incentrati sul tenant non impedisce agli amministratori dell'ambiente di elaborare i propri criteri DLP a livello di ambiente, se desiderano introdurre altre limitazioni o classificare connettori personalizzati.
Per altre informazioni sulla creazione di criteri DLP, consultare Pianificazione e gestione di un ambiente Microsoft Power Platform.