Criar uma política de prevenção de perda de dados

A criação de uma política antes de a implementar permite-lhe obter os resultados pretendidos mais rapidamente, com menos problemas inesperados do que criá-la e, em seguida, otimizar apenas por tentativa e erro. Ter os designs de política documentados também o ajudará em comunicações, revisões de políticas, resolução de problemas e otimização adicional.

Se não estiver familiarizado com o DLP do Microsoft Purview, é útil trabalhar nestes artigos antes de começar a estruturar uma política:

Antes de começar

Se não estiver familiarizado com o DLP do Microsoft Purview, eis uma lista dos artigos principais de que precisa à medida que implementa o DLP:

1. Unidades administrativas
2. Saiba mais sobre a Prevenção de Perda de Dados do Microsoft Purview – este artigo apresenta-lhe a disciplina de prevenção de perda de dados e a implementação do DLP pela Microsoft
3. Planear a prevenção de perda de dados (DLP) – ao trabalhar neste artigo, irá:
   1. Identificar intervenientes
   2. Descrever as categorias de informações confidenciais a proteger
   3. Definir objetivos e estratégia
4. Referência da política de Prevenção de Perda de Dados – este artigo apresenta todos os componentes de uma política DLP e como cada um influencia o comportamento de uma política
5. Estruturar uma política DLP – este artigo (o que está a ler agora) explica-lhe como criar uma instrução de intenção de política e mapeá-la para uma configuração de política específica.
6. Criar e Implementar políticas de prevenção de perda de dados – este artigo apresenta alguns cenários de intenções de política comuns que mapeia às opções de configuração e, em seguida, orienta-o ao longo da configuração dessas opções.
7. Saiba mais sobre como investigar alertas de prevenção de perda de dados – este artigo apresenta o ciclo de vida dos alertas desde a criação até à remediação final e à otimização de políticas. Também apresenta as ferramentas que utiliza para investigar alertas.

Descrição geral da conceção de políticas

Estruturar uma política consiste principalmente em definir claramente as suas necessidades empresariais, documentá-las numa declaração de intenções de política e, em seguida, mapear essas necessidades para a configuração de políticas. Utilize as decisões que tomou na fase de planeamento para informar algumas das suas decisões de conceção de políticas.

Definir a intenção para a política

Deverá conseguir resumir, numa única declaração, a intenção de negócio para cada política que tiver. Desenvolver esta declaração orienta as conversações na sua organização e, quando for completada, esta declaração liga diretamente a política a uma finalidade empresarial e fornece um mapa de objetivos para a conceção de políticas. Os passos no artigo Planear a prevenção de perda de dados (DLP) ajudam-no a começar a utilizar a sua declaração de intenção de política.

Lembre-se de que, conforme descrito na descrição geral da configuração da política DLP, todas as políticas DLP requerem que:

• Escolha o que pretende monitorizar
• Selecione o Âmbito da Política.
• Escolha onde pretende monitorizar .
• Escolha as condições que têm de ser correspondidas para que uma política seja aplicada a um item.
• Escolha a ação a tomar quando as condições da política forem cumpridas.

Por exemplo, eis um primeiro rascunho fictício de uma instrução de intenção que fornece respostas a todas as cinco perguntas:

"Somos uma organização sediada nos E.U.A. e precisamos de detetar documentos do Office que contenham informações confidenciais sobre cuidados de saúde abrangidas pela HIPAA armazenadas no OneDrive/SharePoint e proteger contra essas informações que estão a ser partilhadas em mensagens de chat e de canal do Teams e impedir que todos os utilizadores as partilhem com terceiros não autorizados".

À medida que desenvolve uma estrutura de política, é provável que modifique e expanda a instrução.

Mapear as necessidades empresariais para a configuração de políticas

Vamos dividir a instrução de rascunho de exemplo e mapeá-la para pontos de configuração da política DLP. Este exemplo pressupõe que está a utilizar uma conta de administrador DLP sem restrições e que as unidades administrativas não estão configuradas.

Este exemplo não abrange todos os pontos de configuração de uma política DLP; teria de ser expandido. No entanto, deve fazê-lo pensar na direção certa à medida que desenvolve as suas próprias declarações de intenções de política DLP.

Estrutura de regras complexas

O conteúdo HIPAA acima no SharePoint e no OneDrive é um exemplo simples de uma política DLP. O construtor de regras DLP suporta lógica booleana (E, OU, NÃO) e grupos aninhados.

• Exemplo 1 Precisamos de bloquear e-mails para todos os destinatários que contenham números de cartão de crédito ou que tenham a etiqueta de confidencialidade "altamente confidencial" aplicada, mas NÃO bloquear o e-mail se for enviado de alguém da equipa financeira para adele.vance@contoso.com

• Exemplo 2 A Contoso precisa de bloquear todos os e-mails que contenham um ficheiro protegido por palavra-passe OU uma extensão de ficheiro de documento zip ('zip' ou '7z'), mas não bloquear o e-mail se o destinatário estiver no domínio contoso.com OU no domínio fabrikam.com ou se o remetente for membro do grupo DE RH da Contoso.

Processo de Conceção de Políticas

1. Conclua os passos em Planear a prevenção de perda de dados (DLP) – ao trabalhar neste artigo, irá:

   1. Identificar os participantes
   2. Descrever as categorias de informações confidenciais a proteger
   3. Definir objetivos e estratégia
   4. Definir o plano de implementação de políticas

2. Familiarize-se com a referência da política de Prevenção de Perda de Dados para que compreenda todos os componentes de uma política DLP e como cada um influencia o comportamento de uma política.

3. Familiarize-se com o que os modelos de política DLP incluem.

4. Desenvolva a sua declaração de intenções de política com os principais intervenientes. Veja o exemplo anterior neste artigo.

5. Determine como esta política se enquadra na sua estratégia de política DLP global.

   Importante

   Não é possível mudar o nome das políticas depois de serem criadas. Se tiver de mudar o nome de uma política, terá de criar uma nova com o nome pretendido e extinguir a antiga. Assim, desde o início, decida sobre a estrutura de nomenclatura que todas as suas políticas irão utilizar.

6. Mapeie os itens na instrução de intenção da política para as opções de configuração.

7. Decida a partir de que modelo de política vai começar: predefinido ou personalizado.

8. Percorra o modelo e reúna todas as informações necessárias antes de criar a política. É provável que descubra que existem alguns pontos de configuração que não estão abrangidos na declaração de intenção da política. Tudo bem. Regresse aos intervenientes para resolver os requisitos de quaisquer pontos de configuração em falta.

9. Documente a configuração de todas as definições de política e reveja-as com os intervenientes. Pode reutilizar o mapeamento da instrução de intenção de política para pontos de configuração, que está agora totalmente integrado.

10. Crie um rascunho de política e consulte o seu plano de implementação de políticas .

Confira também

• Saiba mais sobre prevenção contra perda de dados
• Planear a prevenção de perda de dados (DLP)
• Referência da política de Prevenção de Perda de Dados
• Referência de dicas de política de Prevenção contra Perda de Dados
• Criar e Implementar políticas de prevenção de perda de dados