Lösungsübersicht für Sammlungsrichtlinien

Sammlungsrichtlinien sind ein Ereignissammlungs- und -filtertool in Microsoft Purview, das die Überwachung und Klassifizierung von Ereignissen von Apps und Standorten innerhalb und außerhalb der Vertrauensstellungsgrenzen Ihrer Organisation ermöglicht. Mit ihnen können Sie filtern, welche Ereignisse aus nicht vertrauenswürdigen und vertrauenswürdigen Quellen in Purview aufgenommen werden. Nach der Erfassung können diese Daten klassifiziert und von verschiedenen Microsoft Purview-Signalverbrauchslösungen verwendet werden, z. B. Microsoft Purview Activity Explorer, Microsoft Purview Insider Risk Management, Microsoft Purview-eDiscovery, Microsoft Purview-Datenlebenszyklusverwaltung.

Mithilfe von Sammlungsrichtlinien können Sie diese Datensicherheitsergebnisse erzielen:

Nehmen Sie nur die gewünschten Ereignisse auf

Der Hauptzweck von Sammlungsrichtlinien besteht darin, Ihnen zu ermöglichen, die Ereignisse zu definieren, die Ihre organization in Microsoft Purview bringen möchte, damit Sie sich auf die Daten konzentrieren können, die Ihnen wichtig sind. Hier sind einige Beispiele dafür, wie diese Funktion Ihnen helfen kann.

Einhaltung gesetzlicher Vorschriften nach geopolitischem Standort

Ihre organization kann geopolitische und regulatorische Grenzen überschreiten, mit verschiedenen Regionen mit unterschiedlichen Datensicherheits- und Datenschutzanforderungen. Eine kann erfordern, dass alle Ereignisse in Purview aufgenommen werden, während in einem anderen Bereich Einschränkungen hinsichtlich der zu sammelnden Ereignisse gelten können. Mit Sammlungsrichtlinien können Sie die Ereignisse definieren, die für jede Region gesammelt werden. Auf diese Weise können Sie die Datensicherheits- und Datenschutzanforderungen jeder Region erfüllen und gleichzeitig eine einzige konsolidierte Ansicht der vertraulichen Informationen Ihrer organization erhalten.

Unnötige Ereignisse herausfiltern

In Ihrer organization werden möglicherweise viele Ereignisse gesammelt, Sie möchten jedoch nur die Ereignisse sehen, die für Ihre Anforderungen relevant sind. Angenommen, Ihre organization hat alle Geräte integriert und die Dateiaktivität für Geräte in den Endpunkt-DLP-Einstellungen immer überwachen aktiviert. Dies bedeutet, dass alle Dateiaktivitäten gesammelt und im Aktivitäts-Explorer platziert werden. Das Durchsuchen aller Ereignisse kann die Ereignisuntersuchung verlangsamen, während Sie die unerwünschten Daten aussortieren, um zu den benötigten Daten zu gelangen. Mit Sammlungsrichtlinien können Sie die Ereignisse herausfiltern, die Sie nicht sehen möchten, bevor sie in den Aktivitäts-Explorer gelangen. Dies kann dazu beitragen, Rauschen zu reduzieren und die Suche nach Ereignissen zu vereinfachen, die für Ihre organization relevant sind.

Funktionsweise von Sammlungsrichtlinien

Der Schlüssel zum Verständnis von Sammlungsrichtlinien liegt darin, zu wissen, was ein Ereignis ist.

Ein Ereignis besteht aus zwei Dingen:

• Eine Bedingung, wie Inhalt enthält, oder Dateierweiterung ist. Dies erfordert die Verwendung von Klassifizierern, wie beispielsweise vertrauliche Informationstypen. Eine Bedingung könnte z. B. Inhalt enthält einen vertraulichen Informationstyp, wie beispielsweise US-Sozialversicherungsnummer oder Dateierweiterung ist>.docx.
• Eine Aktivität , die ein Benutzer für ein vertrauliches Element ausführen kann, wie z. B. Datei auf Wechselmedium kopiert

Sammlungsrichtlinien filtern Ereignisse basierend auf:

• Eine Übereinstimmung mit einer oder mehreren im Ereignis definierten Bedingungen und Aktivitäten.
• Eine Übereinstimmung mit der Datenquelle oder dem Speicherort, an dem das Ereignis stattfindet. Eine Sammlungsrichtlinie kann beispielsweise so festgelegt werden, dass nur Ereignisse von Geräten oder nur Ereignisse von Copilot in Fabric erfasst werden.

Eine Richtlinie gilt als übereinstimmend, wenn mindestens eine der Bedingungen erfüllt ist (es sei denn, Sie UND die Bedingungen) und die Aktivität in der Datenquelle abgeglichen wird.

Mehrere Sammlungsrichtlinien für eine einzelne Datenquelle

Es ist möglich, dass Ihre organization mehrere Sammlungsrichtlinien für eine bestimmte Datenquelle erstellen muss. Sammlungsrichtlinien behandeln das Szenario mit mehreren Richtlinien anders als DLP- oder andere Purview-Richtlinien, die der Richtlinienauswertung basierend auf der Reihenfolge, in der die Richtlinien erstellt werden, Priorität zuweisen.

Auf der Seite "Sammlungsrichtlinien" werden alle einzelnen Richtlinien angezeigt, die erstellt wurden. Im Backend kombiniert Microsoft Purview während der Richtlinienauswertung jedoch alle Sammlungsrichtlinien für eine Datenquelle in einer einzigen Sammlungsrichtlinie für diese Datenquelle. Daher werden alle Bedingungen für eine Datenquelle beim Identifizieren von Übereinstimmungen verwendet.

Zugriff auf Sammlungsrichtlinien

Sammlungsrichtlinien sind eine Komponente des Klassifizierungsfeatures des Microsoft Purview-Portals. Sie können von überall im Purview-Portal darauf zugreifen, wo das Feature "Klassifizierer" verfügbar ist. Beispiel:

• Wählen Sie im Microsoft Purview-Portal Lösungen> für die Richtlinienfür die Sammlung von DataLoss>Prevention-Klassifizierern> aus.

• Alternativ können Sie über Solutions,Information>ProtectionClassifiers>>Collection policies im Microsoft Purview-Portal auf Sammlungsrichtlinien zugreifen.

Übersicht über die Konfiguration von Sammlungsrichtlinien

Sie sind flexibel bei der Erstellung und Konfiguration Ihrer Erfassungsrichtlinien. Alle Erfassungsrichtlinien erfordern die gleichen Informationen von Ihnen. Sie müssen diese Informationen kennen , bevor Sie mit dem Erstellen einer Erfassungsrichtlinie beginnen. Weitere Details zu jedem Schritt, einschließlich der unterstützten Konfiguration, finden Sie in der Richtlinienreferenz für Sammlungsrichtlinien.

1. Definieren Sie die zu erkennenden Daten, indem Sie die für eine Richtlinienübereinstimmung erforderlichen Bedingungen konfigurieren. Es gibt fünf unterstützte Bedingungen:

   • Der Inhalt enthält Klassifizierungen, die vertrauliche Informationstypen und trainierbare Klassifizierer verwenden. Der Bereich kann auf alle Klassifizierer, alle Klassifizierungen außer ausgewählten oder nur auf bestimmte Klassifizierer beschränkt werden.

     Hinweis

     Der Gerätestandort unterstützt die Verwendung von trainierbaren Klassifizierern nicht.

   • Inhalte enthalten Vertraulichkeitsbezeichnungen, die Vertraulichkeitsbezeichnungen verwenden. Kann auf bestimmte Vertraulichkeitsbezeichnungen eingegrenzt werden. Nur mit Browser- und Cloud-App-Erkennung unterstützt.
   • Die Dokumentgröße ist gleich oder größer als die Größe in Bytes, Kilobytes (KB), Megabytes (MB), Gigabytes (GB) oder Terabyte (TB).
   • Das Dokument ist gleich oder kleiner als gemessen in Bytes, Kilobytes (KB), Megabytes (MB), Gigabytes (GB) oder Terabyte (TB).
   • Dateierweiterung ist, die Dateierweiterungen verwendet.

2. Wählen Sie die Aktivitäten aus, die für eine Richtlinienübereinstimmung erforderlich sind: Die unterstützten Aktivitäten sind spezifisch für die Datenquelle. Für Geräte gibt es 19 unterstützte Aktivitäten, z. B. "Auf Wechselmedien kopierte Datei", "Datei gedruckt" und "In die Cloud hochgeladene Datei". Eine vollständige Liste der unterstützten Aktivitäten finden Sie in der Richtlinienreferenz für Sammlungsrichtlinien.

3. Wählen Sie aus , wo die Richtlinie angewendet werden soll, indem Sie eine Datenquelle auswählen.

4. Abhängig von den von Ihnen ausgewählten Richtlinieneinstellungen müssen Sie möglicherweise zusätzliche Einstellungen konfigurieren, z. B. ob die Inhaltserfassung für KI-Interaktionen und die Erkennungsmethode für Cloud-Apps aktiviert werden soll oder nicht.

Inhaltserfassung für KI-Interaktionen

Um die Einhaltung gesetzlicher Vorschriften zu erleichtern, können Sie entscheiden, ob Sie alle erkannten Eingabeaufforderungen und Antworten aus beliebigen generativen KI-Datenquellen, die der Richtlinie hinzugefügt wurden, erfassen und speichern möchten. Dies erleichtert das spätere Auffinden und Schützen der erfassten Inhalte mit zusätzlichen Microsoft Purview-Richtlinien und -Lösungen. Diese Funktion umfasst keine Inhalte in Dateien, die mit generativer KI geteilt werden, und gilt nur für:

• Copilot-Erfahrungen
• KI für Unternehmen
• Nicht verwaltete Cloud-Apps, die als generative KI kategorisiert sind
• Alle nicht verwalteten KI-Apps Adaptiver App-Bereich

Wenn die Einstellung nicht aktiviert ist, sind Inhalte, die in Prompts und Antworten erkannt werden, nur auf vertrauliche Informationen beschränkt.

Sammlungsrichtlinien und Microsoft Purview Insider Risk Management

Je nach Konfiguration kann das Richtlinienverhalten von Microsoft Purview Insider Risk Management durch Sammlungsrichtlinien beeinflusst werden. Wenn eine Insider-Risikorichtlinie konfiguriert ist, überwacht sie Dienst- und Drittanbieterindikatoren, um Ihnen zu helfen, Risikoaktivitäten schnell zu identifizieren, zu selektieren und darauf zu reagieren. Mithilfe von Protokollen von Microsoft 365 und Microsoft Graph können Sie mit Insider Risk Management spezifische Richtlinien definieren, um Risikoindikatoren zu identifizieren. Diese Richtlinien ermöglichen es Ihnen, riskante Aktivitäten zu identifizieren und Maßnahmen zur Reduzierung dieser Risiken zu ergreifen.

Sammlungsrichtlinien und Verhinderung von Endpunkt Datenverlust

Wenn "Dateiaktivität für Geräte immer überwachen " aktiviert ist, werden alle Aktivitäten für Office-, PDF- und CSV-Dateien standardmäßig erfasst. Wenn Sie ändern möchten, welche Aktivitäten in diesem Fall für Geräte erfasst werden, können Sie eine auf Geräte ausgerichtete Sammlungsrichtlinie konfigurieren. Wenn "Dateiaktivität für Geräte immer überwachen " nicht aktiviert ist, werden Aktivitäten nicht von Geräten erfasst, auch wenn eine auf Geräte beschränkte Sammlungsrichtlinie erstellt wurde.

Sammlungsrichtlinien können sich nicht auf das Verhalten von DLP-Richtlinien auswirken, sondern nur auf das, was für Audit-Dateiereignisse auf Geräten gesammelt und aufgezeichnet wird.

Sammlungsrichtlinien und Microsoft Purview Datensicherheitsstatus-Management und Purview-Datensicherheitsstatus-Management für KI

Wenn Sie Ein-Klick-Richtlinien in Microsoft Datensicherheitsstatus-Management oder Microsoft Datensicherheitsstatus-Management für KI (DSSM für KI) verwenden, können Sie auf Empfehlungen reagieren, die automatisch Sammlungsrichtlinien in Ihrem Namen erstellen.

Sie können die Ergebnisse dieser Richtlinien in maßgeschneiderten Oberflächen in DSSM und DSSM for AI sowie im Aktivitätsexplorer anzeigen und überwachen. Diese Richtlinien werden automatisch von der Richtlinienoberfläche Quick benannt. Nach der Erstellung können diese Sammlungsrichtlinien auf die gleiche Weise angezeigt und bearbeitet werden wie Sammlungsrichtlinien, die mit dem Workflow erstellt wurden.