Sistema de Proteção de Dados do Cliente do Microsoft Purview

Este artigo fornece orientações de implementação e configuração para o Sistema de Proteção de Dados do Cliente. O Sistema de Proteção de Dados do Cliente suporta pedidos de acesso a dados no Exchange Online, SharePoint, OneDrive, Teams e Windows 365. Além disso, todas as interações Microsoft 365 Copilot são abrangidas pelo Sistema de Proteção de Dados do Cliente através do suporte disponível para Exchange Online. Para recomendar suporte para outros serviços, submeta um pedido no Portal de Comentários.

Para ver as opções de licenciamento dos seus utilizadores para beneficiar das ofertas do Microsoft Purview, consulte a documentação de orientação de licenciamento do Microsoft 365 para segurança & conformidade.

O Sistema de Proteção de Dados do Cliente garante que a Microsoft não consegue aceder aos seus conteúdos para realizar operações de serviço sem a sua aprovação explícita. O Sistema de Proteção de Dados do Cliente leva-o para o processo de fluxo de trabalho de aprovação que a Microsoft utiliza para garantir que apenas os pedidos autorizados permitem o acesso aos seus conteúdos. Para saber mais sobre o processo de fluxo de trabalho da Microsoft, veja Privileged access management (Gestão de acesso privilegiado).

Ocasionalmente, os engenheiros da Microsoft ajudam a resolver problemas que surgem com o serviço. Normalmente, os engenheiros corrijam problemas com a utilização de telemetria extensa e ferramentas de depuração que a Microsoft tem implementadas para os seus serviços. No entanto, alguns casos exigem que um engenheiro da Microsoft aceda aos seus conteúdos para determinar a causa e corrigir o problema. O Sistema de Proteção de Dados do Cliente requer que o engenheiro peça acesso a si como passo final no fluxo de trabalho de aprovação. Isto dá-lhe a opção de aprovar ou negar o pedido para a sua organização e fornecer controlo de acesso direto aos seus conteúdos.

Vídeo de descrição geral do Sistema de Proteção de Dados do Cliente

Fluxo de trabalho do Sistema de Proteção de Dados do Cliente

Estes passos descrevem o fluxo de trabalho típico quando um engenheiro da Microsoft inicia um pedido do Sistema de Proteção de Dados do Cliente:

1. Uma pessoa de uma organização tem um problema com a caixa de correio do Microsoft 365.

2. Depois de tentar solucionar o problema, mas não conseguir, será aberta uma solicitação de suporte junto à Microsoft.

3. Um engenheiro de suporte da Microsoft revê o pedido de serviço e determina a necessidade de aceder ao inquilino da organização para reparar o problema.

4. O engenheiro de suporte da Microsoft inicia sessão na ferramenta de pedidos do Sistema de Proteção de Dados do Cliente e faz um pedido de acesso a dados que inclui o nome do inquilino da organização, o número do pedido de serviço, a hora de início de acesso esperada (começa imediatamente após a aprovação, se não for especificado), a quantidade estimada de tempo que o engenheiro precisa de aceder aos dados e o serviço para o qual o pedido é enviado.

5. Depois que um gerente de Suporte da Microsoft aprovar a solicitação, o Sistema de Proteção de Dados do Cliente enviará ao aprovador designado na organização uma notificação por email sobre a solicitação de acesso pendente da Microsoft.

   

   Qualquer pessoa a quem seja atribuída a função de administrador do aprovador de acesso do Sistema de Proteção de Dados do Cliente no Centro de administração do Microsoft 365 pode aprovar pedidos do Sistema de Proteção de Dados do Cliente.

6. O aprovador inicia sessão no Centro de administração do Microsoft 365 e aprova o pedido. Esta etapa aciona a criação de um registro de auditoria disponível pesquisando o log de auditoria. Para obter mais informações, veja Auditar pedidos do Sistema de Proteção de Dados do Cliente.

   Se o cliente rejeitar o pedido ou não aprovar o pedido no prazo de 12 horas, o pedido expira e não é concedido acesso ao engenheiro da Microsoft.

   Importante

   A Microsoft não inclui ligações no Sistema de Proteção de Dados do Cliente notificações por email a exigir que inicie sessão no Office 365.

7. Depois de o aprovador da organização aprovar o pedido, o engenheiro da Microsoft recebe a mensagem de aprovação, inicia sessão no inquilino e corrige o problema do cliente. Os engenheiros da Microsoft têm o tempo solicitado para corrigir o problema, após o qual o acesso será revogado automaticamente.

Ativar ou desativar pedidos do Sistema de Proteção de Dados do Cliente

Você pode ativar os controles do Sistema de Proteção de Dados do Cliente no Centro de administração do Microsoft 365. Quando ativa o Sistema de Proteção de Dados do Cliente, a Microsoft tem de obter a aprovação da sua organização antes de aceder a qualquer conteúdo do seu inquilino.

1. Através de uma conta escolar ou profissional que tenha a função de aprovador de acesso do Sistema de Proteção de Dados do Cliente ou administrador global atribuída, aceda a https://admin.microsoft.com e inicie sessão.

2. Selecione Definições>Definições> da OrganizaçãoSegurança & Privacidade.

3. Selecione Segurança & Privacidade e, em seguida, selecione Sistema de Proteção de Dados do Cliente na coluna esquerda. Selecione a caixa de verificação Exigir aprovação para todos os pedidos de acesso a dados e guarde as alterações para ativar a funcionalidade.

   

Aprovar ou negar uma solicitação de Proteção de Dados do Cliente

1. Através de uma conta escolar ou profissional que tenha a função de aprovador de acesso do Sistema de Proteção de Dados do Cliente ou administrador global atribuída, aceda a https://admin.microsoft.com e inicie sessão.

2. Selecione Pedidos > de Suporte do Sistema de Proteção de Dados do Cliente.

   

   É apresentada uma lista de pedidos do Sistema de Proteção de Dados do Cliente.

   

3. Selecione um pedido do Sistema de Proteção de Dados do Cliente e, em seguida, selecione Aprovar ou Negar.

   

   É apresentada uma mensagem de confirmação sobre a aprovação do pedido do Sistema de Proteção de Dados do Cliente.

   

Auditoria de solicitações de Proteção de Dados do Cliente

Os registos de auditoria que correspondem aos pedidos do Sistema de Proteção de Dados do Cliente são registados no registo de auditoria do Microsoft 365. Pode aceder a estes registos com a ferramenta de pesquisa de registos de auditoria no portal de conformidade do Microsoft Purview. As ações relacionadas com a aceitação ou negação de um pedido do Sistema de Proteção de Dados do Cliente e as ações realizadas por engenheiros da Microsoft (quando os pedidos de acesso são aprovados) também são registadas no registo de auditoria. Você pode pesquisar e analisar esses registros de auditoria.

Procurar atividade no registo de auditoria relacionada com pedidos do Sistema de Proteção de Dados do Cliente

Antes de poder utilizar o registo de auditoria para controlar os pedidos do Sistema de Proteção de Dados do Cliente, existem alguns passos que tem de seguir para configurar o registo de auditoria, incluindo a atribuição de permissões para procurar no registo de auditoria. Para obter mais informações, veja Introdução às soluções de auditoria. Depois de concluir a configuração, utilize estes passos para criar uma consulta de pesquisa de registos de auditoria para devolver registos de auditoria relacionados com o Sistema de Proteção de Dados do Cliente:

1. Saiba mais em https://compliance.microsoft.com.

2. Inicie sessão com uma conta à qual foram atribuídas as permissões adequadas para procurar no registo de auditoria.

3. No painel esquerdo do centro de conformidade, selecione Auditoria.

   É apresentado o separador Procurar na página Auditoria .

   

4. Configure os seguintes critérios de pesquisa:

   1. Data de início e Data de fim. Selecione um intervalo de datas e horas para exibir os eventos ocorridos durante esse período.

   2. Atividades. Deixe este campo em branco para que a pesquisa devolva registos de auditoria para todas as atividades. Isto é necessário para devolver quaisquer registos de auditoria relacionados com pedidos do Sistema de Proteção de Dados do Cliente e a atividade correspondente realizada por engenheiros da Microsoft.

   3. Usuários. Deixe este campo em branco.

   4. Arquivo, pasta ou site. Deixe este campo em branco.

5. Clique em Pesquisar para executar a pesquisa usando seus critérios de pesquisa.

   Os resultados da pesquisa são apresentados após alguns momentos. Serão adicionados mais resultados de pesquisa à página até a pesquisa estar concluída.

6. Clique no cabeçalho na coluna Atividade para ordenar os resultados alfabeticamente com base nos valores na coluna Atividade .

7. Desloque-se para baixo e procure registos de auditoria com uma atividade de Set-AccessToCustomerDataRequest. Os registos com esta atividade estão relacionados com um aprovador na sua organização que aprova ou nega um pedido do Sistema de Proteção de Dados do Cliente.

8. Em alternativa, clique no cabeçalho na coluna Utilizador para ordenar os resultados alfabeticamente com os valores na coluna Utilizador . Procure o valor do Operador Microsoft, que indica atividades realizadas por um engenheiro da Microsoft em resposta a um pedido aprovado do Sistema de Proteção de Dados do Cliente. A coluna Atividade apresenta a ação executada pelo engenheiro.

   

9. Na lista de resultados, clique num registo de auditoria para o apresentar.

Exportar os resultados da pesquisa do registo de auditoria

Também pode exportar os resultados da pesquisa de registos de auditoria para um ficheiro CSV e, em seguida, abrir o ficheiro no Excel para utilizar as capacidades de filtragem e ordenação para facilitar a localização e visualização de registos de auditoria relacionados com um pedido de acesso ao Sistema de Proteção de Dados do Cliente.

Para exportar registos de auditoria, utilize os passos anteriores para procurar no registo de auditoria. Quando a pesquisa estiver concluída, selecione Exportar > Transferir todos os resultados na parte superior da página de resultados da pesquisa. Quando o processo de exportação estiver concluído, pode transferir o ficheiro CSV para o seu computador local. Para obter instruções mais detalhadas, veja Exportar, configurar e ver registos de auditoria.

Depois de transferir o ficheiro, pode abri-lo no Excel e, em seguida, filtrar na coluna Operações para apresentar registos de auditoria para atividades Set-AccessToCustomerDataRequest . Também pode filtrar na coluna UserIds (utilizando o valor Operador Microsoft) para apresentar registos de auditoria para atividades realizadas por engenheiros da Microsoft.

Utilizar o PowerShell para procurar e exportar registos de auditoria

Uma alternativa à utilização da ferramenta de pesquisa de auditoria no portal de conformidade do Microsoft Purview é executar o cmdlet Search-UnifiedAuditLog no Exchange Online PowerShell. Uma vantagem da utilização do PowerShell é que pode procurar especificamente atividades ou atividades Set-AccessToCustomerDataRequest ou atividades realizadas por engenheiros da Microsoft relacionadas com um pedido do Sistema de Proteção de Dados do Cliente.

Depois de ligar ao Exchange Online PowerShell, execute um dos seguintes comandos. Substitua os marcadores de posição por um intervalo de datas específico.

Set-AccessToCustomerDataRequest Procurar atividades

Search-UnifiedAuditLog -StartDate xx/xx/xxxx -EndDate xx/xx/xxxx -Operations Set-AccessToCustomerDataRequest

Procurar atividades realizadas por engenheiros da Microsoft

Search-UnifiedAuditLog -StartDate xx/xx/xxxx -EndDate xx/xx/xxxx -UserIds "Microsoft Operator"

Para obter mais informações e exemplos, veja Utilizar o PowerShell para procurar e exportar registos de auditoria.

Também fornecemos um script do PowerShell que pode utilizar para pesquisar o registo de auditoria e exportar os resultados para um ficheiro CSV. Para obter mais informações, veja Utilizar um script do PowerShell para procurar no registo de auditoria.

Registo de auditoria de um pedido do Sistema de Proteção de Dados do Cliente

Quando uma pessoa na sua organização aprova ou nega um pedido do Sistema de Proteção de Dados do Cliente, o registo de auditoria é registado no registo de auditoria com as seguintes informações.

A captura de ecrã seguinte mostra um exemplo de um registo de auditoria que corresponde a um pedido aprovado do Sistema de Proteção de Dados do Cliente. Se um pedido do Sistema de Proteção de Dados do Cliente tiver sido negado, o valor do ApprovalDecision parâmetro seria Deny.

Registro de auditoria para uma ação executada por um engenheiro da Microsoft

As ações executadas por um engenheiro da Microsoft após uma solicitação de Proteção de Dados do Cliente ser aprovada (e que podem resultar em acessar o conteúdo do cliente) são registradas no log de auditoria. Esses registros contêm as seguintes informações.

Perguntas frequentes

A que serviços do Microsoft 365 se aplica o Sistema de Proteção de Dados do Cliente?

O Sistema de Proteção de Dados do Cliente é atualmente suportado no Exchange Online, SharePoint Online, OneDrive for Business, Teams e Windows 365.

O Sistema de Proteção de Dados do Cliente está disponível para todos os clientes?

O Sistema de Proteção de Dados do Cliente está incluído nas subscrições do Microsoft 365 ou Office 365 E5 e pode ser adicionado a outros planos com um Proteção de Informações e Compatibilidade ou uma subscrição de suplemento de Conformidade Avançada. Para clientes governamentais, o Sistema de Proteção de Dados do Cliente está incluído na subscrição do Microsoft 365 ou Office 365 G5. Veja Planos e preços para obter mais informações.

O que é o conteúdo do cliente?

O conteúdo do cliente são os dados criados pelos utilizadores dos serviços e aplicações do Microsoft 365. Exemplos de conteúdo do cliente incluem:

• Corpo do e-mail ou anexos de e-mail

• Conteúdo do site do Microsoft Office SharePoint Online

• Informações no corpo de um arquivo do Microsoft Office SharePoint Online

• corpo do ficheiro de apresentação Skype for Business

• Mensagens instantâneas (IM) ou conversas de voz

• Texto introduzido em chats do Teams e canais do Teams, por exemplo, conversas 1:1, conversas de grupo, canais partilhados, canais privados e chat de reunião

• Outros dados colados em tópicos de chat do Teams, como fragmentos de código, imagens, mensagens de áudio e vídeo e ligações

• Dados de aplicações e bots em chats do Teams e canais do Teams

• Feed de atividades do Teams

• Gravações e transcrições de reuniões do Teams

• Caixa postal

• Ficheiros publicados em chats do Teams e canais do Teams

• interações Microsoft 365 Copilot

• Dados de blob gerados pelo cliente ou armazenamento estruturado (por exemplo, Contêiners SQL)

• Informações de segurança de propriedade do cliente (por exemplo, certificados, chaves de criptografia e senhas)

• Inferências e todas as inferências subsequentes, se o conteúdo do cliente permanecer

Para obter mais informações sobre o conteúdo do cliente no Office 365, consulte o Centro de Confiança do Office 365.

Quem é notificado quando existe um pedido para aceder ao meu conteúdo?

Os administradores globais e qualquer pessoa a quem tenha sido atribuída a função de administrador do aprovador de acesso do Sistema de Proteção de Dados do Cliente são notificados. Estes também são os mesmos utilizadores que podem aprovar os pedidos do Sistema de Proteção de Dados do Cliente.

Quem pode aprovar ou rejeitar estes pedidos na minha organização?

Os administradores globais e qualquer pessoa a quem tenha sido atribuída a função de administrador do Aprovador de Acesso do Sistema de Proteção de Dados do Cliente podem aprovar pedidos do Sistema de Proteção de Dados do Cliente. Os clientes controlam estas atribuições de funções nas suas organizações.

Como fazer optar ativamente por participar no Sistema de Proteção de Dados do Cliente?

Um administrador global pode ativar e configurar o Sistema de Proteção de Dados do Cliente no Centro de administração do Microsoft 365.

Se aprovar um pedido do Sistema de Proteção de Dados do Cliente, o que pode o engenheiro fazer e como posso saber o que fez o engenheiro da Microsoft?

Depois de aprovar um pedido do Sistema de Proteção de Dados do Cliente, o engenheiro da Microsoft concedeu estes privilégios necessários para aceder ao conteúdo do cliente através de cmdlets pré-aprovados. As ações tomadas por engenheiros da Microsoft em resposta aos pedidos do Sistema de Proteção de Dados do Cliente são registadas e acessíveis no registo de auditoria no Centro de Conformidade do & de Segurança.

Como fazer sabe que a Microsoft segue o processo de aprovação?

Pode fazer referência cruzada às notificações de aprovação de e-mail enviadas aos administradores e aprovadores na sua organização com o histórico de pedidos do Sistema de Proteção de Dados do Cliente no Centro de administração do Microsoft 365.

O Sistema de Proteção de Dados do Cliente está incluído no mais recente relatório de auditoria do SOC 1 SSAE 16. Para obter mais detalhes, pode encontrar os relatórios mais recentes no Portal de Confiança do Serviço Microsoft.

A Microsoft pode modificar a lista de aprovadores para o meu inquilino? Caso contrário, como é impedido?

Apenas um administrador global na sua organização pode especificar quem pode aprovar pedidos do Sistema de Proteção de Dados do Cliente. Isto significa que apenas os membros do grupo Administrador global no Microsoft Entra ID podem especificar quem pode aprovar o pedido. A associação ao grupo de Administrador global no Microsoft Entra ID é gerida apenas pela sua organização.

E se precisar de mais informações sobre um pedido de acesso a conteúdos para o aprovar?

Cada pedido do Sistema de Proteção de Dados do Cliente contém um número de pedido de serviço do Microsoft 365. Pode contactar Suporte da Microsoft e referenciar este número de serviço para obter mais informações sobre o pedido.

Quando um pedido do Sistema de Proteção de Dados do Cliente é aprovado, durante quanto tempo as permissões são válidas?

Atualmente, o período máximo para as permissões de acesso concedidas ao engenheiro da Microsoft é de quatro horas. O engenheiro da Microsoft também pode solicitar um período mais curto.

Como posso obter um histórico de todos os pedidos do Sistema de Proteção de Dados do Cliente?

Todos os pedidos do Sistema de Proteção de Dados do Cliente são visualizados no Centro de administração do Microsoft 365.

Como fazer correlacionar os pedidos de acesso ao conteúdo com os registos de auditoria relacionados?

O Feed de Atividades do Centro de Conformidade contém atividades de registo do Sistema de Proteção de Dados do Cliente. Os clientes podem fazer referência cruzada às atividades de registo do Sistema de Proteção de Dados do Cliente a partir do feed de atividades relativamente ao pedido de e-mail que recebem.

O que acontece quando um cliente não responde a um pedido do Sistema de Proteção de Dados do Cliente?

As solicitações de Sistema de Proteção de Dados do Cliente têm uma duração padrão de 12 horas. Se não responder a um pedido dentro de 12 horas, o pedido expira.

O que faz a Microsoft quando um cliente rejeita um pedido do Sistema de Proteção de Dados do Cliente?

Se um cliente rejeitar um pedido do Sistema de Proteção de Dados do Cliente, não ocorrerá qualquer acesso ao conteúdo do cliente. Se um utilizador na sua organização continuar a ter um problema de serviço que exige que a Microsoft aceda ao conteúdo do cliente para resolve o problema, o problema do serviço poderá persistir e a Microsoft informará o utilizador sobre este problema.

Como fazer configurar alertas sempre que um pedido for aprovado?

Não existe nenhuma opção incorporada para alertar os administradores. No entanto, os administradores podem configurar alertas com Microsoft Defender para Aplicativos de Nuvem.

O Sistema de Proteção de Dados do Cliente protege contra pedidos de dados de agências de aplicação da lei ou de outros terceiros?

Não. A Microsoft leva a sério os pedidos de dados de terceiros para os dados dos clientes. Enquanto fornecedor de serviços cloud, a Microsoft defende sempre a privacidade dos dados dos clientes. Caso seja apresentada uma intimação, a Microsoft tenta sempre redirecionar terceiros para o cliente para obter as informações. (Leia o blogue de Brad Smith: Proteger os dados dos clientes contra a espionagem do governo). Publicamos periodicamente informações detalhadas sobre os pedidos de aplicação da lei que a Microsoft recebe.

Consulte o Centro de Confiança da Microsoft sobre pedidos de dados de terceiros e a secção "Divulgação de Dados do Cliente" nos Termos dos Serviços Online para obter mais informações.

Como é que a Microsoft garante que um membro da sua equipa não tem acesso permanente aos conteúdos dos clientes nas aplicações Office 365?

A Microsoft implementa extensas medidas preventivas através de sistemas de controlo de acesso e medidas de investigação para identificar e resolver tentativas de contornar estes sistemas de controlo de acesso. O Microsoft 365 funciona com os princípios de menor privilégio e acesso just-in-time. Por conseguinte, nenhum pessoal da Microsoft tem permissão para aceder ao conteúdo do cliente de forma contínua. Se a permissão for concedida, será por uma duração limitada.

O Microsoft 365 utiliza um sistema de controlo de acesso denominado Lockbox para processar pedidos de permissões que concedem a capacidade de desempenhar funções operacionais e administrativas no serviço. Um operador tem de pedir acesso ao conteúdo do cliente através do Lockbox, que exige que uma segunda pessoa tome medidas no pedido (por exemplo, aprove-o) antes de ser concedido acesso. Essa segunda pessoa não pode ser o requerente e tem de ser designada para aprovar o acesso ao conteúdo do cliente. Só se o pedido for aprovado é que o operador adquire acesso temporário ao conteúdo do cliente. Após o período de elevação expirar, o Lockbox revoga o acesso.

Consulte os Termos dos Serviços Online para obter mais detalhes sobre as práticas gerais de segurança da Microsoft.

Em que circunstâncias os engenheiros da Microsoft precisam de acesso ao meu conteúdo?

O cenário mais comum em que os engenheiros da Microsoft precisam de aceder ao conteúdo do cliente é quando o cliente faz um pedido de suporte que requer acesso para resolução de problemas. Um princípio fundamental do Microsoft 365 é que o serviço funciona sem o acesso da Microsoft ao conteúdo do cliente. Quase todas as operações de serviço realizadas pela Microsoft são totalmente automatizadas e o envolvimento humano é altamente controlado e abstrato do conteúdo do cliente. O objetivo do Microsoft 365 é o acesso ao conteúdo do cliente para suportar o serviço não ser necessário até que o cliente aprove um pedido específico de acesso da Microsoft.

Já pensei que os meus dados estavam seguros com a cloud da Microsoft. Por que motivo preciso do Sistema de Proteção de Dados do Cliente?

O Sistema de Proteção de Dados do Cliente fornece uma camada adicional de controlo ao oferecer aos clientes a capacidade de conceder autorização de acesso explícita para operações de serviço. Ao demonstrar que estão em vigor procedimentos para autorização explícita de acesso a dados, o Customer Lockbox também ajuda os clientes a cumprir determinadas obrigações de conformidade, como HIPAA e FEDRAMP.