Dataskyddsramverk med appskyddsprinciper

I takt med att fler organisationer implementerar strategier för mobila enheter för åtkomst till arbets- eller skoldata blir det av största vikt att skydda mot dataläckage. Intune hanteringslösning för mobilprogram för att skydda mot dataläckage är appskyddsprinciper (APP). APP är regler som säkerställer att en organisations data förblir säkra eller finns i en hanterad app, oavsett om enheten har registrerats. Mer information finns i översikten över Appskydd principer.

När du konfigurerar appskyddsprinciper gör antalet olika inställningar och alternativ det möjligt för organisationer att anpassa skyddet efter deras specifika behov. På grund av den här flexibiliteten kanske det inte är uppenbart vilken permutation av principinställningar som krävs för att implementera ett fullständigt scenario. För att hjälpa organisationer att prioritera klientslutpunktshärdning har Microsoft introducerat en ny taxonomi för säkerhetskonfigurationer i Windows 10, och Intune använder en liknande taxonomi för sitt ramverk för APP-dataskydd för hantering av mobilappar.

Konfigurationsramverket för APP-dataskydd är indelat i tre olika konfigurationsscenarier:

• Grundläggande dataskydd på nivå 1 för företag – Microsoft rekommenderar den här konfigurationen som den minsta dataskyddskonfigurationen för en företagsenhet.

• Förbättrat dataskydd på nivå 2 för företag – Microsoft rekommenderar den här konfigurationen för enheter där användare får åtkomst till känslig eller konfidentiell information. Den här konfigurationen gäller för de flesta mobila användare som har åtkomst till arbets- eller skoldata. Vissa kontroller kan påverka användarupplevelsen.

• Hög dataskyddsnivå 3 för företag – Microsoft rekommenderar den här konfigurationen för enheter som körs av en organisation med ett större eller mer avancerat säkerhetsteam, eller för specifika användare eller grupper som löper unikt hög risk (användare som hanterar mycket känsliga data där obehörigt avslöjande orsakar betydande väsentlig förlust för organisationen). En organisation som sannolikt kommer att bli måltavla för välfinansierade och sofistikerade angripare bör sträva efter den här konfigurationen.

Distributionsmetod för APP Data Protection Framework

Precis som med all distribution av ny programvara, funktioner eller inställningar rekommenderar Microsoft att du investerar i en ringmetod för att testa valideringen innan du distribuerar APP-dataskyddsramverket. Att definiera distributionsringar är vanligtvis en engångshändelse (eller åtminstone sällan), men IT bör gå tillbaka till dessa grupper för att säkerställa att sekvenseringen fortfarande är korrekt.

Microsoft rekommenderar följande distributionsringsmetod för APP-dataskyddsramverket:

Som anges i tabellen ovan bör alla ändringar av appskyddsprinciperna först utföras i en förproduktionsmiljö för att förstå konsekvenserna för principinställningen. När testningen är klar kan ändringarna flyttas till produktion och tillämpas på en delmängd av produktionsanvändare, vanligtvis IT-avdelningen och andra tillämpliga grupper. Slutligen kan distributionen slutföras till resten av communityn för mobila användare. Distributionen till produktion kan ta längre tid beroende på hur stor påverkan ändringen har. Om det inte finns någon användarpåverkan bör ändringen distribueras snabbt, medan distributionen kan behöva gå långsammare om ändringen resulterar i användarpåverkan på grund av behovet av att kommunicera ändringar i användarpopulationen.

När du testar ändringar i en APP bör du vara medveten om leveranstidsinställningen. Status för APP-leverans för en viss användare kan övervakas. Mer information finns i Övervaka appskyddsprinciper.

Enskilda APP-inställningar för varje app kan verifieras på enheter som använder Microsoft Edge och URL:en om:Intunehelp. Mer information finns i Granska klientappskyddsloggar och Använda Microsoft Edge för iOS och Android för att komma åt loggar för hanterade appar.

Inställningar för APP Data Protection Framework

Följande inställningar för appskyddsprinciper bör vara aktiverade för tillämpliga appar och tilldelas till alla mobila användare. Mer information om varje principinställning finns i inställningar för iOS-appskyddsprinciper och Inställningar för Android-appskyddsprinciper.

Microsoft rekommenderar att du granskar och kategoriserar användningsscenarier och sedan konfigurerar användare med hjälp av den normativa vägledningen för den nivån. Precis som med alla ramverk kan inställningar inom motsvarande nivå behöva justeras baserat på organisationens behov eftersom dataskyddet måste utvärdera hotmiljön, riskaptiten och påverkan på användbarheten.

Administratörer kan införliva konfigurationsnivåerna nedan i sin ringdistributionsmetodik för testning och produktionsanvändning genom att importera JSON-mallarna Intune App Protection Policy Configuration Framework med Intune PowerShell-skript.

Principer för villkorsstyrd åtkomst

För att säkerställa att endast appar som stöder appskyddsprinciper får åtkomst till arbets- eller skolkontodata krävs Microsoft Entra principer för villkorsstyrd åtkomst. Dessa principer beskrivs i villkorsstyrd åtkomst: Kräv godkända klientappar eller appskyddsprincip.

Se Kräv godkända klientappar eller appskyddsprinciper med mobila enheter i Villkorsstyrd åtkomst: Kräv godkända klientappar eller appskyddsprinciper för steg för att implementera de specifika principerna. Implementera slutligen stegen i Blockera äldre autentisering för att blockera äldre autentiseringskompatibla iOS- och Android-appar.

Appar som ska ingå i appskyddsprinciperna

För varje appskyddsprincip är gruppen Core Microsoft Apps riktad, som innehåller följande appar:

• Microsoft Edge
• Excel
• Office
• OneDrive
• OneNote
• Outlook
• PowerPoint
• SharePoint
• Teams
• Att göra
• Word

Principerna bör omfatta andra Microsoft-appar baserat på affärsbehov, ytterligare offentliga appar från tredje part som har integrerat Intune SDK som används i organisationen samt verksamhetsspecifika appar som har integrerat Intune SDK (eller har omslutits).

Grundläggande dataskydd på nivå 1 för företag

Nivå 1 är den minsta dataskyddskonfigurationen för en mobil företagsenhet. Den här konfigurationen ersätter behovet av grundläggande Exchange Online principer för enhetsåtkomst genom att kräva en PIN-kod för åtkomst till arbets- eller skoldata, kryptera arbets- eller skolkontodata och tillhandahålla möjligheten att selektivt rensa skol- eller arbetsdata. Men till skillnad från Exchange Online principer för enhetsåtkomst gäller nedanstående inställningar för appskyddsprinciper för alla appar som valts i principen, vilket säkerställer att dataåtkomst skyddas utanför scenarier för mobila meddelanden.

Principerna på nivå 1 tillämpar en rimlig dataåtkomstnivå samtidigt som påverkan på användarna minimeras och speglar standardinställningarna för dataskydd och åtkomstkrav när du skapar en appskyddsprincip inom Microsoft Intune.

Dataskydd

Åtkomstkrav

Villkorlig start

Förbättrat dataskydd på nivå 2 för företag

Nivå 2 är den dataskyddskonfiguration som rekommenderas som standard för enheter där användarna får åtkomst till mer känslig information. Dessa enheter är ett naturligt mål i företag idag. Dessa rekommendationer förutsätter inte en stor personal med högkvalificerade säkerhetspersonal och bör därför vara tillgängliga för de flesta företagsorganisationer. Den här konfigurationen utökar konfigurationen på nivå 1 genom att begränsa dataöverföringsscenarier och kräva en lägsta version av operativsystemet.

Dataskydd

Villkorlig start

Hög dataskyddsnivå 3 för företag

Nivå 3 är den dataskyddskonfiguration som rekommenderas som standard för organisationer med stora och sofistikerade säkerhetsorganisationer, eller för specifika användare och grupper som kommer att vara unikt riktade mot angripare. Sådana organisationer är vanligtvis mål för välfinansierade och sofistikerade angripare, och därför förtjänar de ytterligare begränsningar och kontroller som beskrivs. Den här konfigurationen utökar konfigurationen på nivå 2 genom att begränsa ytterligare dataöverföringsscenarier, öka komplexiteten i PIN-konfigurationen och lägga till identifiering av mobilhot.

Dataskydd

Åtkomstkrav

Villkorlig start

Nästa steg

Administratörer kan införliva ovanstående konfigurationsnivåer i sin ringdistributionsmetodik för testning och produktionsanvändning genom att importera JSON-mallarna Intune App Protection Policy Configuration Framework med Intune PowerShell-skript.

Se även

• Så här skapar och distribuerar du appskyddsprinciper med Microsoft Intune
• Tillgängliga inställningar för Android-appskyddsprinciper med Microsoft Intune
• Tillgängliga inställningar för iOS/iPadOS-appskyddsprinciper med Microsoft Intune