Planering av Power BI-implementering: Dataförlustskydd för Power BI

Den här artikeln beskriver planeringsaktiviteter som rör implementering av dataförlustskydd (DLP) i Power BI. Den riktar sig till:

• Power BI-administratörer: De administratörer som ansvarar för att övervaka Power BI i organisationen. Power BI-administratörer måste samarbeta med informationssäkerhetsteam och andra relevanta team.
• Center of Excellence-, IT- och BI-team: Andra som ansvarar för att övervaka Power BI i organisationen. De kan behöva samarbeta med Power BI-administratörer, informationssäkerhetsteam och andra relevanta team.

Vi rekommenderar att du följer en stegvis, stegvis metod för att distribuera DLP för Power BI. En beskrivning av de typer av distributionsfaser som du bör överväga finns i Information protection for Power BI (Distributionsfaser).

Syftet med DLP

Dataförlustskydd (DLP) avser aktiviteter och metoder som skyddar organisationens data. Målet för DLP är att minska risken för dataläckage, vilket kan inträffa när känsliga data delas med obehöriga personer. Även om ansvarsfullt användarbeteende är en viktig del av att skydda data refererar DLP vanligtvis till principer som är automatiserade.

Med DLP kan du:

• Identifiera och informera administratörer när riskfylld, oavsiktlig eller olämplig delning av känsliga data har inträffat. Mer specifikt kan du:
  • Förbättra den övergripande säkerhetskonfigurationen för din Power BI-klientorganisation med automatisering och information.
  • Aktivera analysanvändningsfall som omfattar känsliga data.
  • Ange granskningsinformation för säkerhetsadministratörer.
• Ge användarna sammanhangsbaserade meddelanden. Mer specifikt kan du:
  • Hjälp användarna att fatta rätt beslut under sitt normala arbetsflöde.
  • Vägleda användarna att följa din dataklassificerings- och skyddsprincip utan att påverka produktiviteten negativt.

DLP-tjänster

I stort sett finns det två olika tjänster som kan implementera dataförlustskydd.

• Microsoft Purview DLP-principer för Power BI
• Microsoft Defender for Cloud Apps

Microsoft Purview DLP-principer för Power BI

En DLP-princip för Power BI konfigureras i efterlevnadsportal i Microsoft Purview. Den kan identifiera känsliga data i en semantisk modell som har publicerats till en Premium-arbetsyta i Power BI-tjänst.

Målet med den här typen av DLP-princip är att öka användarnas medvetenhet och informera administratörer om var känsliga data lagras. DLP-principen kan generera användaraviseringar och administratörsaviseringar baserat på typer av känslig information eller känslighetsetiketter. Du kan till exempel avgöra om kreditkortsinformation eller personligt identifierbar information (PII) lagras i en semantisk modell.

Microsoft Defender for Cloud Apps

Microsoft Defender för molnet Apps är ett verktyg med många funktioner. Vissa principer som kan konfigureras i Microsoft Defender för molnet-appar (med integrering med Microsoft Entra-ID) inkluderar DLP. Dessa principer kan blockera, logga eller avisera när vissa användaraktiviteter inträffar. När en användare till exempel försöker ladda ned en rapport från Power BI-tjänst som har tilldelats en känslighetsetikett med hög begränsning blockeras nedladdningsåtgärden.

I artikeln Defender för molnet Apps for Power BI beskrivs hur du använder Defender för molnet-appar för övervakning av Power BI-tjänst. Resten av den här artikeln fokuserar på DLP för Power BI.

Krav för DLP för Power BI

Nu bör du ha slutfört planeringsstegen på organisationsnivå som beskrivs i artikeln Information protection for Power BI (Informationsskydd för Power BI ). Innan du fortsätter bör du ha klarhet om:

• Aktuellt tillstånd: Det aktuella tillståndet för DLP i din organisation. Du bör ha en förståelse för i vilken utsträckning DLP redan används och vem som ansvarar för att hantera den.
• Mål och krav: De strategiska målen för att implementera DLP i din organisation. Att förstå målen och kraven fungerar som en guide för ditt implementeringsarbete.

Vanligtvis implementerar du informationsskydd (beskrivs i artikeln Informationsskydd för Power BI ) innan du implementerar DLP. Det är dock inte en förutsättning för att använda DLP för Power BI. Om känslighetsetiketter publiceras kan de användas med DLP för Power BI. Du kan också använda typer av känslig information med DLP för Power BI. Båda typerna beskrivs i den här artikeln.

Viktiga beslut och åtgärder

Avsikten med en DLP-princip är att konfigurera en automatiserad åtgärd, baserat på regler och villkor, på det innehåll som du tänker skydda. Du måste fatta några beslut om de regler och villkor som stöder dina mål och krav.

Fördelen med att definiera separata regler i en enda DLP-princip är att du kan aktivera anpassade aviseringar eller användarmeddelanden.

Det finns en hierarkisk prioritet för listan över DLP-principer samt DLP-principregler att överväga. Prioriteten påverkar vilken princip som anropas när den först påträffas.

Typ av känsliga data

En DLP-princip för Power BI som har konfigurerats i efterlevnadsportal i Microsoft Purview kan baseras på antingen en känslighetsetikett eller en typ av känslig information.

Känslighetsmarkering

Du kan använda känslighetsetiketter för att klassificera innehåll, allt från mindre känsligt till känsligare.

När en DLP-princip för Power BI anropas kontrollerar en regel för känslighetsetiketter semantiska modeller (som publiceras till Power BI-tjänst) för förekomsten av en viss känslighetsetikett. Enligt beskrivningen i artikeln Informationsskydd för Power BI kan en etikett tilldelas antingen av en användare eller av en automatiserad process (till exempel en ärvd etikett eller en standardetikett).

Här följer några exempel på när du kan skapa en DLP-regel baserat på en känslighetsetikett.

• Regelefterlevnad: Du har en känslighetsetikett som är reserverad för data som omfattas av ett visst regelkrav. Du vill skapa en avisering för säkerhetsadministratörerna när användarna tilldelar känslighetsetiketten till en semantisk modell i Power BI-tjänst.
• Påminnelser för innehållsskapare om konfidentiella data: Du har en känslighetsetikett som används för konfidentiella data. Du vill generera ett användarmeddelande när en användare visar sidan semantisk modellinformation i datahubben i Power BI-tjänst. Du kan till exempel påminna användarna om hur de hanterar konfidentiella data på rätt sätt.

Andra överväganden om användarmeddelanden och aviseringar beskrivs i nästa avsnitt i den här artikeln.

Checklista – När du överväger behovet av regler för känslighetsetiketter omfattar viktiga beslut och åtgärder:

Mer information finns i Information protection for Power BI (Data classification and protection policy). Den beskriver en intern styrningsprincip som ger vägledning om vad användare kan och inte kan göra med innehåll som har tilldelats en viss känslighetsetikett.

Typer av känslig information

Alla typer av data är inte desamma. vissa typer av data är mer känsliga än andra. Det finns många olika typer av känslig information (SIT). Beroende på din bransch och efterlevnadskraven gäller endast vissa SIT:er för din organisation.

Några vanliga exempel på SIT:ar är:

• Pass, personnummer och körkortsnummer
• Bankkonto- och routningsnummer
• Kreditkorts- och debetkortsnummer
• Skatteidentifiering och nationella ID-nummer
• Hälso-ID-nummer och medicinsk information
• Fysiska adresser
• Kontonycklar, lösenord och databas anslutningssträng

SIT:er är mönsterbaserade klassificerare. De letar efter ett känt mönster i text med hjälp av reguljära uttryck.

Du hittar många förkonfigurerade SIT:er i efterlevnadsportal i Microsoft Purview. När de uppfyller dina krav bör du använda en förkonfigurerad SIT för att spara tid. Överväg kreditkortsnumret som är förkonfigurerat SIT: Det identifierar rätt mönster för alla större kort utfärdare, säkerställer checksummans giltighet och söker efter ett relevant nyckelord i närheten av kreditkortsnumret.

Om de förkonfigurerade SIT:erna inte uppfyller dina behov eller om du har egna datamönster kan du skapa en anpassad SIT. Du kan till exempel skapa en anpassad SIT för att matcha mönstret för ditt medarbetar-ID-nummer.

När SIT har konfigurerats anropas en DLP-princip för Power BI när en semantisk modell laddas upp eller uppdateras. Vid den tidpunkten kontrollerar en regel för typ av känslig information semantiska modeller (i Power BI-tjänst) om det finns typer av känslig information.

Här följer några exempel på när du kan skapa en DLP-regel baserat på en typ av känslig information.

• Regelefterlevnad: Du har en typ av känslig information som omfattas av regelkrav. Du vill generera en avisering för säkerhetsadministratörerna när den typen av data identifieras i en semantisk modell i Power BI-tjänst.
• Interna krav: Du har en typ av känslig information som behöver särskild hantering. För att uppfylla interna krav vill du generera ett användarmeddelande när en användare visar semantiska modellinställningar eller sidan med semantisk modellinformation i datahubben (i Power BI-tjänst).

Checklista – När du överväger behovet av typer av känslig information, omfattar viktiga beslut och åtgärder:

Användarmeddelanden

När du har identifierat användningsfall för DLP med känslighetsetiketter och SIT bör du tänka på vad som händer när en DLP-regelmatchning inträffar. Vanligtvis innebär det ett användarmeddelande.

Användarmeddelanden för DLP-principer kallas även för principtips. De är användbara när du vill ge användarna mer vägledning och medvetenhet under det normala arbetet. Det är mer troligt att användarna läser och absorberar användarmeddelanden om de gör följande:

• Specifikt: Om du korrelerar meddelandet till regeln blir det mycket enklare att förstå.
• Åtgärdsbar: Erbjuda ett förslag på vad användaren behöver göra eller hur du hittar mer information.

För DLP i Power BI visas användarmeddelanden i inställningarna för semantisk modell. De visas också överst på sidan med semantisk modellinformation i datahubben, enligt följande skärmbild. I det här fallet lyder meddelandet: Dessa data innehåller kreditkort. Den typen av data tillåts inte i Power BI enligt policyn för dataklassificering, skydd och användning.

Du kan definiera en eller flera regler för varje DLP-princip. Varje regel kan ha ett annat principtips som visas för användarna.

Tänk på följande exempel på hur du kan definiera en DLP-princip för att identifiera finansiella data som lagras i semantiska modeller i Power BI-tjänst. DLP-principen använder SIT och har två regler.

• Regel 1: Den första regeln identifierar kreditkortsnummer. Den anpassade principtipstexten lyder: Dessa data innehåller kreditkortsnummer. Den typen av data tillåts inte i Power BI enligt principen för dataklassificering och skydd.
• Regel 2: Den andra regeln identifierar finansiella konton. Den anpassade principtipstexten lyder: Dessa data innehåller känslig ekonomisk information. Den kräver användning av etiketten Strikt begränsad. Se dataklassificerings- och skyddspolicyn för krav vid lagring av finansiella data.

Regel 1 är mer brådskande än regel 2. Regel 1 är avsedd att meddela att det finns ett problem som kräver åtgärder. Den andra regeln är mer informationsbaserad. För brådskande problem är det en bra idé att konfigurera aviseringar. Aviseringar för administratörer beskrivs i nästa avsnitt.

När du bestämmer vilka meddelanden användarna ska få rekommenderar vi att du bara fokuserar på att visa mycket viktiga meddelanden. Om det finns för många principmeddelanden kan användarna bli överväldigade av dem. Resultatet är att vissa meddelanden kan förbises.

Användare kan vidta åtgärder genom att rapportera ett problem när de tror att det är en falsk positiv (felidentifierad). Det går också att tillåta att användaren åsidosätter principen. Dessa funktioner är avsedda att tillåta kommunikation mellan Power BI-användare och säkerhetsadministratörer som hanterar DLP för Power BI.

Checklista – När du överväger DLP-användarmeddelanden omfattar viktiga beslut och åtgärder:

Administratörsaviseringar

Aviseringar är användbara för vissa DLP-regler när du vill spåra incidenter när en principöverträdelse inträffade. När du definierar DLP-principregler bör du överväga om aviseringar ska genereras.

Aviseringar är användbara när du vill:

• Gör dina säkerhets- och efterlevnadsadministratörer medvetna om att något har inträffat via instrumentpanelen för DLP-aviseringshantering. Du kan också skicka ett e-postmeddelande till en viss uppsättning användare.
• Se mer information om en händelse som inträffade.
• Tilldela en händelse till någon för att undersöka den.
• Hantera status för en händelse eller lägg till kommentarer i den.
• Visa andra aviseringar som genererats för aktivitet av samma användare.

Varje avisering kan definieras av en allvarlighetsgrad, som kan vara låg, medel eller hög. Allvarlighetsgraden hjälper till att prioritera granskningen av öppna aviseringar.

Här är två exempel på hur aviseringar kan användas.

Exempel 1: Du har definierat en DLP-princip för att identifiera finansiella data som lagras i semantiska modeller i Power BI-tjänst. DLP-principen använder typer av känslig information. Den har två regler.

• Regel 1: Den här regeln identifierar kreditkortsnummer. Aviseringar är aktiverade med hög allvarlighetsgrad. Ett e-postmeddelande genereras också.
• Regel 2: Den här regeln identifierar finansiella konton. Aviseringar är aktiverade med hög allvarlighetsgrad.

Exempel 2: Du har definierat en DLP-princip som anropas när känslighetsetiketten Strikt begränsad\Verkställande kommitté och styrelseledamöter tilldelas till en semantisk modell i Power BI-tjänst. Det genererar inget användarmeddelande. I den här situationen kanske du inte vill generera en avisering eftersom du bara vill logga förekomsten. Om det behövs kan du hämta mer information från aktivitetsutforskaren.

När en e-postavisering krävs rekommenderar vi att du använder en e-postaktiverad säkerhetsgrupp. Du kan till exempel använda en grupp med namnet Säkerhets- och sekretessadministratörsaviseringar.

Checklista – När du överväger DLP-aviseringar för administratörer är viktiga beslut och åtgärder:

Arbetsytor i omfång

En DLP-princip för Power BI som har konfigurerats i efterlevnadsportal i Microsoft Purview är avsedd att rikta in sig på semantiska modeller. Mer specifikt stöder den genomsökning av semantiska modeller som har publicerats till en Premium-arbetsyta.

Du kan konfigurera DLP-principen för att genomsöka alla Premium-arbetsytor. Du kan också välja att inkludera eller exkludera specifika arbetsytor. Du kan till exempel undanta vissa utvecklings- eller testarbetsytor som anses vara lägre risk (särskilt om de inte innehåller verkliga produktionsdata). Du kan också skapa separata principer för vissa utvecklings- eller testarbetsytor.

Mer information om arbetsytan finns i planeringsartiklarna för arbetsytor .

Checklista – När du överväger vilka arbetsytor som ska ingå i omfånget för DLP, omfattar viktiga beslut och åtgärder:

Licensieringskrav

Det finns flera licenskrav för att använda DLP. En Microsoft Purview Information Protection-licens krävs för administratörer som ska konfigurera, hantera och övervaka DLP. Du kanske redan har dessa licenser eftersom de ingår i vissa licenspaket, till exempel Microsoft 365 E5. Alternativt kan Microsoft 365 E5 Efterlevnadsfunktioner köpas som en fristående licens.

Dessutom kräver DLP-principer för Power BI Power BI Premium. Det här licenskravet kan uppfyllas med en Premium-kapacitet eller en PPU-licens (Premium per användare).

Checklista – När du utvärderar DLP-licenskrav omfattar viktiga beslut och åtgärder:

Användardokumentation och utbildning

Innan du distribuerar DLP för Power BI rekommenderar vi att du skapar och publicerar användardokumentation. En SharePoint-sida eller en wiki-sida i den centraliserade portalen kan fungera bra eftersom den blir lätt att underhålla. Ett dokument som laddats upp till ett delat bibliotek eller en Teams-webbplats är också en bra lösning.

Målet med dokumentationen är att uppnå en smidig användarupplevelse. När du förbereder användardokumentationen ser du också till att du har övervägt allt.

Inkludera information om vem som ska kontaktas när användare har frågor eller tekniska problem. Eftersom informationsskydd är ett organisationsomfattande projekt tillhandahålls support ofta av IT.

Vanliga frågor och svar och exempel är särskilt användbara för användardokumentation.

Checklista – När du förbereder användardokumentation och utbildning är viktiga beslut och åtgärder:

Användarsupport

Det är viktigt att kontrollera vem som ansvarar för användarsupporten. Det är vanligt att DLP stöds av en centraliserad IT-supportavdelning.

Du kan behöva skapa vägledning för supportavdelningen (kallas ibland för en runbook). Du kan också behöva utföra kunskapsöverföringssessioner för att säkerställa att supportavdelningen är redo att svara på supportförfrågningar.

Checklista – När du förbereder dig för användarsupportfunktionen inkluderar viktiga beslut och åtgärder:

Sammanfattning av implementering och testning

När besluten har fattats och kraven har uppfyllts är det dags att börja implementera och testa DLP för Power BI.

DLP-principer för Power BI konfigureras i efterlevnadsportal i Microsoft Purview (kallades tidigare Microsoft 365 Efterlevnadscenter) i Administrationscenter för Microsoft 365.

Följande checklista innehåller en sammanfattad lista över implementeringsstegen från slutpunkt till slutpunkt. Många av stegen innehåller annan information som beskrivs i tidigare avsnitt i den här artikeln.

Checklista – När du implementerar DLP för Power BI är viktiga beslut och åtgärder:

Andra åtgärder som kan utföras utöver den första distributionen finns i Defender för molnet Appar med Power BI.

Löpande övervakning

När du har slutfört implementeringen bör du rikta din uppmärksamhet mot övervakning, framtvingande och justering av DLP-principer baserat på deras användning.

Power BI-administratörer och säkerhets- och efterlevnadsadministratörer måste samarbeta då och då. För Power BI-innehåll finns det två målgrupper för övervakning.

• Power BI-administratörer: En post i Power BI-aktivitetsloggen registreras varje gång det finns en DLP-regelmatchning. Inmatningen i Power BI-aktivitetsloggen innehåller information om DLP-händelsen, inklusive användare, datum och tid, objektnamn, arbetsyta och kapacitet. Den innehåller även information om principen, till exempel principnamn, regelnamn, allvarlighetsgrad och det matchade villkoret.
• Säkerhets- och efterlevnadsadministratörer: Organisationens säkerhets- och efterlevnadsadministratörer använder vanligtvis Microsoft Purview-rapporter, aviseringar och granskningsloggar.

Checklista – När du övervakar DLP för Power BI omfattar viktiga beslut och åtgärder:

Relaterat innehåll

I nästa artikel i den här serien får du lära dig mer om hur du använder Defender för molnet-appar med Power BI.