Schritt 3: Erweitern auf Ihren gesamten Microsoft 365-Datenbestand

Dieser Leitfaden ist in vier Schritte unterteilt:

Standardmäßige Sicherheit mit Microsoft Purview – Blaupause

In den vorangegangenen Schritten haben wir die Sicherheitsgrundlagen gelegt und die prioritären Standorte besprochen. Es wurden sowohl clientseitige als auch dienstseitige Auto-Labeling-Funktionen behandelt. Eine Vergleichstabelle finden Sie unter Automatisches Anwenden einer Vertraulichkeitsbezeichnung in Microsoft 365.

In diesem Schritt erläutern wir Optionen, mit denen Sie Ihren gesamten Microsoft 365-Datenbestand iterativ adressieren können.

Zuvor haben wir anfängliche Richtlinien empfohlen, um die Benutzer vertraut zu machen. In diesem Schritt können Sie sie schrittweise in Szenarien verwenden. Die automatische Bezeichnung eignet sich am besten für Szenarien, in denen Sie eine höhere Vertraulichkeit als Ihre Standardbezeichnung benötigen.

Außerdem wird erläutert, wie vorhandene Websites rückwirkend bezeichnet und Standardbibliotheksbezeichnungen festgelegt werden.

Automatische Bezeichnung für vertrauliche Dateien auf Clients (niedrige Schwellenwerte)

Durch die clientseitige automatische Bezeichnung können Benutzer entscheiden, ob sie eine empfohlene Bezeichnung anwenden oder ein falsch positives Ergebnis melden möchten. Sie können diesen Prozess mithilfe der 300+ SITs (Sensitive Information Types) und trainierbaren Klassifizierer implementieren.

Verfolgen Sie auf hoher Ebene diesen Ansatz. Die Schwellenwerte dienen nur Beispielen.

  • Identifizieren Sie das relevante SIT für Ihre Branche.
  • Empfehlen Sie eine Bezeichnung mit niedrigeren SIT-Schwellenwerten (1-9).
  • Wenden Sie automatisch eine Bezeichnung mit höheren Schwellenwerten (10+) und/oder trainierbaren Klassifizierern an.

Die Standardbezeichnung Ihres Clients wirkt sich auf Ihre Strategie für die automatische Bezeichnung aus. Dieser Leitfaden empfiehlt zwar, diese Bezeichnung auf "Vertraulich\Alle Mitarbeiter" festzulegen, bietet aber auch Alternativen, wenn der Office-Client standardmäßig auf "Allgemein" und dann auf "Vertraulich\Alle Mitarbeiter " festgelegt ist, wenn er in SharePoint gespeichert wird.

Tipp

Wenn Sie den Standardwert auf "Vertraulich\Alle Mitarbeiter" festlegen, ist Ihre Strategie für die automatische Bezeichnung weniger komplex und auf streng vertrauliche Bezeichnungen ausgerichtet.

Sie können diese Strategie im Laufe der Zeit schrittweise mit mehr SITs und trainierbaren Klassifizierern implementieren, wenn Sie mehr Geschäftsszenarien identifizieren. Mithilfe von Standardwerten und clientseitigen automatischen Bezeichnungen adressieren Sie alle neuen und aktualisierten Inhalte.

Simulieren der automatischen Bezeichnung vertraulicher ruhender Dateien

Dienstseitige automatische Bezeichnungen kennzeichnen ruhende Dateien in SharePoint und OneDrive und bieten weitere Bedingungen. Derzeit unterstützt sie die automatische Bezeichnung von bis zu 500.000 Dateien pro Tag in Ihrer organization und bis zu 20.000.000 übereinstimmende Dateien in einer Richtliniensimulation.

Während die clientseitige automatische Bezeichnung auf vertrauliche Inhalte beschränkt ist, fügt die dienstseitige automatische Bezeichnung Unterstützung für kontextbezogene Bedingungen hinzu, wie z. B.:

  • Inhalt ist freigegeben
  • File extension is
  • Dokumentname enthält Wörter oder Ausdrücke
  • Dokumenteigenschaft lautet
  • Dokumentgröße ist gleich oder größer als
  • Dokument erstellt von

Diese Bedingungen in Verbindung mit der Auswahl bestimmter Websites und des OneDrive des Benutzers ermöglichen es Ihrer Organisation, Prioritäten zu setzen, welche Inhalte zuerst gekennzeichnet werden sollen.

Wenn Ihre Organization beispielsweise Vorlagen mit Dokumenteigenschaften oder Dokumentnamenpräfixen verwendet, können Sie eine Richtlinie für alle SharePoint-Websites und OneDrive ausführen. Sie können Prioritäten auch basierend auf der Dateigröße oder den Dokumenten setzen, die von Ihren Führungsteams erstellt wurden.

Sie können die Bezeichnung aller Dokumente abschließen, indem Sie Office-/PDF-Dateierweiterungen in Batches von SharePoint-Websites verwenden und festlegen, dass sie der jeweiligen Websitebezeichnung entsprechen, beginnend mit Websites mit höherer Vertraulichkeit, wobei nach und nach allgemeine Websites erfasst werden.

Schließlich können Sie mehr dienstseitige automatische Bezeichnungen für streng vertrauliche Inhalte implementieren, häufig mit höheren Schwellenwerten als bei der clientseitigen automatischen Bezeichnung, um potenzielle Fehlalarme zu reduzieren.

Falsch positive Ergebnisse mit erweiterten Klassifizierern reduzieren

In diesem Abschnitt werden die Grundlagen erweiterter Klassifizierer und deren Verwendung erläutert.

Konzentrieren Sie sich im Zusammenhang mit dieser standardmäßigen Sicherung auf die Verwendung von Klassifizierern mit automatischer Bezeichnung für streng vertrauliche Inhalte. Erweiterte Klassifizierer sind auf trainierbare Klassifizierer beschränkt. In den meisten Fällen handelt es sich bei SITs (Sensitive Information Types) um eine Mischung aus Mustern und Schlüsselwörtern. Vorlagen wie geschützte Gesundheitsinformationen (PHI) und personenbezogene Informationen (Personally Identifiable Information, PII) können viele falsch positive Ergebnisse zurückgeben, da sie keinen Kontext bestimmen können oder falsch positive Ergebnisse für Ihre organization darstellen können.

Microsoft Purview-Administratoren können falsch positive Ergebnisse folgendermaßen reduzieren:

  • Erhöhung des erforderlichen Vertrauens und der Schwellenwerte.
  • Suche nach mehreren SITs mit dem UND-Operator anstelle des ODER-Operators.
  • Klonen einer SIT in eine benutzerdefinierte SIT und Feinabstimmung der Anforderungen.
  • Verwenden mehrerer Regex-Ausdrücke anstelle eines einzelnen, aber weitreichenden Ausdrucks.
  • Erzwingen eines Wortabgleichs.
  • Verwenden von trainierbaren Klassifizierern, EDM (Exact Data Match) und Dokumentenfingerabdrücken.

Trainierbare Klassifizierer nutzen maschinelles Lernen, um Dokumentmuster zu identifizieren. Microsoft Purview bietet mehrere vortrainierte Klassifizierer, z. B. rechtliche Dokumente, strategische Geschäftsdokumente und Finanzinformationen. Sie können auch benutzerdefinierte Klassifizierer aus einer SharePoint-Dokumentbibliothek erstellen und trainieren.

Durch die Verwendung von SITs und trainierbaren Klassifizierern können Sie Ihren Umfang eingrenzen – zum Beispiel mit Kreditkarten-SITs und trainierbaren Klassifizierern für Finanzinformationen.

Exakter Datenabgleich und Dokumentenfingerabdrücke sind derzeit nicht für die automatische Bezeichnung verfügbar, sollten jedoch in Ihrer allgemeinen Strategie zur Microsoft Purview Data Loss Prevention (DLP) berücksichtigt werden. Ähnlich wie trainierbare Klassifizierer können beide dazu beitragen, falsch positive Ergebnisse zu reduzieren. Mithilfe von EDM können Sie z. B. " Enthält SSN" aus der Box finden SIT und dann anhand Ihres EDM-SIT überprüfen, um sicherzustellen, dass es sich um eine SSN eines Ihrer Kunden oder Mitarbeiter handelt. Mit EDM können Sie eine Reihe von Informationen, nach denen Sie suchen möchten, sicher speichern.

Der Dokumentenfingerabdruck funktioniert anders als trainierbare Klassifizierer, indem er Dokumentvorlagen identifiziert und in DLP-Richtlinien verwendet. Diese Methode ist besonders nützlich, wenn Ihre Organization über standardisierte Vorlagen verfügt. Sie können diese Vorlagen verwenden, um präzise Fingerabdrücke zu erstellen.

Automatisieren und Verbessern des Microsoft 365-Schutzes für historische und verwendete Daten

Überprüfen Sie im letzten Teil dieses Schritts die Optionen zum rückwirkenden Anwenden von Bezeichnungen auf Ihren vorhandenen SharePoint-Websites und zum entsprechenden Anwenden von Standardbibliotheksbezeichnungen.

An diesem Punkt haben Sie Standardwerte in der gesamten Umgebung konfiguriert und die Verbreitung von nicht bezeichneten Websites und Dokumenten gestoppt. Sie haben damit begonnen, Bezeichnungswebsites und Bibliotheken auf Prioritätswebsites manuell zu beschriften, und Sie planen, diesen Prozess auf Ihren gesamten Microsoft 365-Inhaltsbestand zu skalieren.

Betrachten Sie einige Strategien:

  • Websitebesitzer verwenden – Informieren Sie Websitebesitzer, dass sie eine Bezeichnung auf ihrer Website und ihrer Standardbibliothek konfigurieren müssen. Wenn Sie die zweite Option verwenden möchten, erwähnen Sie, dass sie zu einem Zieldatum automatisch einen neuen Standardwert erhält.
  • Ausführen von Automatisierungsskripts auf verbleibenden Websites ohne Bezeichnung: Verwenden Sie die Graph-API, um unbeschriftete Websites zu identifizieren, und konfigurieren Sie die Containerbezeichnung und die Standardbibliotheksbezeichnung auf "Vertraulich\Alle Mitarbeiter".
  • Optional nur die Freigabe von Dateien ohne Bezeichnungen verhindern – Durch die Verwendung früherer Maßnahmen wie DLP für nicht bezeichnete Inhalte und automatische Dateibezeichnungen können Sie festlegen, dass Websites auf natürliche Weise ablaufen, anstatt Skripts für rückwirkende Aktionen für alle Websites zu erstellen.
  • Mitschreiben einer Zeitleiste unbeschrifteter Websites – Wenn Sie planen, die dienstseitige automatische Bezeichnung für alle Ihre Verlaufsdaten basierend auf Containerbezeichnungen zu verwenden, erfassen Sie, wann Containerbezeichnungen hinzugefügt werden, und fügen Sie schrittweise neu bezeichnete Websites in Ihren Richtlinien für automatische Bezeichnungen hinzu.

Ihre Risikolage definiert, wie Sie alle Strategien am besten angehen oder möglicherweise schrittweise anwenden. Die Sicherung Ihres Datenbestands ist zwar wichtig, kann aber je nach Größe eine komplexe Aufgabe sein. Beginnen Sie klein und wiederholen Sie häufig.

Sie können Vertraulichkeitsbezeichnungen für SharePoint-Websites skripten Set-PnPTenantSite , indem Sie den Parameter and verwenden SensitivityLabel .

Legen Sie den DefaultSensitivityLabelForLibrary Parameter für die Standardbibliotheksbezeichnung mithilfe der REST-API für eine Bibliothek fest. Ein Beispiel finden Sie in diesem Artikel.

Zusammenfassung

Nächster Schritt

Schritt 4: Ausführen, Erweitern und rückwirkende Aktionen

  • Zuletzt aktualisiert um