Verwenden Sie Network Data Security, um die Freigabe vertraulicher Informationen mit nicht verwalteter KI zu verhindern

In diesem Artikel wird der Prozess verwendet, den Sie unter Entwerfen einer Richtlinie zur Verhinderung von Datenverlust kennengelernt haben, um Ihnen zu zeigen, wie Sie eine Microsoft Purview-DLP-Richtlinie (Data Loss Prevention, Verhinderung von Datenverlust) erstellen, die die Freigabe vertraulicher Informationen mit nicht verwalteten KI-Apps über Netzwerkdatensicherheit mithilfe einer integrierten SASE-Lösung verhindert, z. B. Microsoft Entra Global Secure Access oder eine sichere Browserlösung, die nicht von Microsoft stammt. Gehen Sie dieses Szenario in Ihrer Testumgebung durch, um sich mit der Benutzeroberfläche für die Richtlinienerstellung vertraut zu machen.

Die Art und Weise, wie Sie dieses DLP-Richtlinienszenario bereitstellen, ist ebenso wichtig wie der Richtlinienentwurf. Erstellen und Bereitstellen einer Richtlinie zur Verhinderung von Datenverlust zeigen Ihnen, wie Sie die Bereitstellungsoptionen verwenden, damit die Richtlinie Ihre Absicht erreicht und gleichzeitig kostspielige Geschäftsunterbrechungen vermieden werden.

Voraussetzungen und Annahmen

Bevor Sie beginnen, stellen Sie sicher, dass die folgenden Voraussetzungen und Annahmen erfüllt sind:

• Sie verfügen über eine unterstützte SASE- oder sichere Enterprise-Browserintegration. Weitere Informationen dazu, welche Integrationen unterstützt werden, finden Sie unter Security Store in Microsoft Purview Data Loss Prevention.
• Wenn Sie Microsoft Entra Global Secure Access verwenden
  • Das Gerät muss mit der Entra-ID verknüpft sein.
  • Sie müssen eine Transport Layer Security-Inspektionsrichtlinie konfigurieren
  • Sie müssen in Microsoft Entra GSA Internet Access eine Inhaltsrichtlinie konfigurieren.
• Wenn Sie einen SASE- oder sicheren Unternehmensbrowser verwenden, der nicht von Microsoft stammt
  • Stellen Sie sicher, dass Sie die Purview-Pay-as-you-go-Abrechnung konfiguriert haben. Weitere Informationen finden Sie unter Aktivieren der Microsoft Purview-Bezahlung für neue Kunden.
  • Stellen Sie sicher, dass Sie die Integrationsschritte abgeschlossen haben, die in der Dokumentation Ihres Anbieters beschrieben sind.
• Bei diesem Verfahren werden hypothetische Verteilergruppen verwendet, von denen eine den Namen Finance Team und eine andere Gruppe für das Security Team hat. Sie müssen diese Gruppen in Ihrer Umgebung erstellen oder Ihre eigenen Gruppen ersetzen.

Erklärung und Zuordnung der Richtlinie

Wir möchten eine verantwortungsvolle Nutzung von KI in unserer Organization fördern und gleichzeitig vertrauliche Daten von Kunden und Organisationen vor absichtlicher oder versehentlicher Offenlegung schützen. Da die Finanzabteilung regelmäßig mit hochsensiblen Informationen umgeht, müssen wir eine Richtlinie erstellen, die Finanzbenutzer daran hindert, vertrauliche Inhalte mit nicht genehmigten generativen KI-Anwendungen zu teilen. Da viele unserer Benutzer flexibel entscheiden können, welchen Browser sie verwenden, sowie die Möglichkeit, lokal installierte KI-Apps und Office-Add-Ins zu verwenden, müssen wir eine breite Endpunktabdeckung durch Netzwerk-Datensicherheitsschutz sicherstellen. Angesichts der Sensibilität des Zugriffs der Finanzabteilung auf Daten müssen wir verhindern, dass Finanzdaten, personenbezogene Informationen (PII) oder vertrauliche Dokumente über Textprompts oder hochgeladene Dateien freigegeben werden. Um ein effizientes und schnelles Vorfallmanagement zu gewährleisten, müssen wir Warnungen generieren und sicherstellen, dass unser Sicherheitsteam jedes Mal per E-Mail benachrichtigt wird, wenn eine Sperre auftritt. Schließlich möchten wir, dass diese Richtlinie sofort in Kraft tritt, um so bald wie möglich mit dem Schutz von Unternehmensdaten zu beginnen.

Konfigurieren der Integration des SASE-Anbieters

Führen Sie die folgenden Schritte aus, um Ihren Anbieter in Purview zu integrieren:

1. Melden Sie sich beim Microsoft Purview-Portal an.
2. Öffnen Sie die Lösung zur Verhinderung von Datenverlust, und wählen Sie in der linken Navigationsleiste " Sicherheitsspeicher " aus.
3. Wählen Sie "Lösung für den von Ihnen verwendeten Anbieter abrufen" aus.
4. Führen Sie die Einrichtungsschritte aus, die von Ihrem integrierten SASE- oder sicheren Browseranbieter bereitgestellt werden.

Schritte zum Erstellen einer Richtlinie

Führen Sie zum Erstellen der DLP-Richtlinie die folgenden Schritte aus:

1. Melden Sie sich beim Microsoft Purview-Portal an.
2. Wählen SieRichtlinien>zur Verhinderung von> Datenverlust + Richtlinie erstellen aus.
3. Wählen Sie Inline-Webdatenverkehr aus.
4. Wählen Sie Benutzerdefiniert aus der Liste Kategorien und dann Benutzerdefinierte Richtlinie aus der Liste Bestimmungen .
5. Wählen Sie Weiter aus.
6. Geben Sie einen Richtliniennamen ein, und geben Sie optional eine Beschreibung an. Sie können die Absichtserklärung der Richtlinie hier verwenden.
7. Wählen Sie Weiter aus.
8. Wählen Sie "+ Cloud-Apps hinzufügen" aus.
9. Wählen Sie die Registerkarte Adaptive App-Bereiche , dann Alle nicht verwalteten KI-Apps und dann Hinzufügen (1) aus.
10. Wählen Sie Bereich bearbeiten für Alle nicht verwalteten KI-Apps aus.
11. Wählen Sie die Option Nur bestimmte einschließen auf der Seite Bereich für alle nicht verwalteten KI-Apps hinzufügen oder bearbeiten.
12. Wählen Sie + Einschlüsse hinzufügen.
13. Wählen Sie bestimmte Benutzer und Gruppen aus.
14. Suchen Sie nach der Gruppe Finanzabteilung, wählen Sie sie aus, und wählen Sie dann Hinzufügen aus.
15. Wählen Sie Speichern und Schließen aus.
16. Wählen Sie Weiter aus.
17. Stellen Sie auf der Seite Wählen Sie aus, wo die Richtlinie erzwungen werden sollaktiviert Vergewissern Sie sich, dass Netzwerk und sichere Browser von Nicht-Microsoft aktiviert sind, und wählen Sie dann Weiter aus.

18. Stellen Sie auf der Seite Richtlinieneinstellungen definieren sicher, dass Erweiterte DLP-Regeln erstellen oder anpassen ausgewählt ist, und wählen Sie Weiter aus.
19. Wählen Sie auf der Seite "Erweiterte DLP-Regeln anpassen " die Option + Regel erstellen aus.
20. Geben Sie der Regel einen eindeutigen Namen und optional eine Beschreibung.
21. Unter Bedingungen
    1. Wählen Sie "+ Bedingung hinzufügen " und dann " Inhalt enthält" aus.
    2. Wählen Sie Hinzufügen und dann Typen vertraulicher Informationen aus.
    3. Wählen Sie ABA-Routingnummer, US-Bankkontonummer, Kreditkartennummer, US-Sozialversicherungsnummer (SSN) und dann Hinzufügen aus.
    4. Wählen Sie "Hinzufügen" und "Vertraulichkeitsbezeichnungen" aus.
    5. Wählen Sie "Vertraulich" und dann "Hinzufügen" aus.
    6. Stellen Sie sicher, dass der Gruppenoperator für die Gruppe "Inhalt enthält" auf "Beliebige Optionen" festgelegt ist.
22. Unter "Aktionen"
    1. Wählen Sie + Aktion hinzufügen und dann Browser- und Netzwerkaktivitäten einschränken aus.
    2. Wählen Sie Text aus, der an Cloud- oder KI-Apps gesendet oder mit diesen geteilt wird, und Dateien, die in Cloud- oder KI-Apps hochgeladen oder für diese freigegeben wurden.
    3. Wählen Sie für beide "Block" aus.
23. Unter Incidentberichte
    1. Legen Sie den Schweregrad in Administratorwarnungen und -berichten auf "Hoch" fest.
    2. Ensure sure An alert to admins when a rule match (Warnung bei Auftreten einer Regelübereinstimmung an Administratoren senden)aktiviert ist
    3. Wählen Sie + Benutzer hinzufügen oder entfernen und wählen Sie die SecurityOps-Verteilergruppe
    4. Stellen Sie sicher , dass Sie immer Warnung senden, wenn ein Aktivität mit der Regel übereinstimmt ausgewählt wird.
24. Klicken Sie auf Speichern.
25. Überprüfen Sie die Regelkonfiguration, stellen Sie sicher, dass der Status "Ein" lautet, und wählen Sie "Weiter" aus.
26. Wählen Sie auf der Seite "Richtlinienmodus"die Option "Richtlinie sofort aktivieren " und dann "Weiter" aus.
27. Überprüfen Sie die Richtlinieninformationen, und wählen Sie dann "Senden" aus, um die Richtlinie zu erstellen.