Zero Trust-Bereitstellungsansatz mit Microsoft Intune

Microsoft Intune ist eine Lösung für die Verwaltung mobiler Geräte, die Ihre Organization auf ihrem Weg zu Zero Trust unterstützt.

Zero Trust ist kein Produkt oder Dienst. Stattdessen handelt es sich um eine moderne Cybersicherheitsstrategie, die kein implizites Vertrauen voraussetzt, auch nicht innerhalb des Unternehmensnetzwerks. Anstatt Benutzern, Geräten oder Anwendungen standardmäßig zu vertrauen, überprüft ein Zero Trust-Ansatz explizit jede Zugriffsanfrage, bewertet kontinuierlich das Risiko und erzwingt den Zugriff mit den geringsten Rechten über den gesamten digitalen Bestand.

Zu den Kernprinzipien von Zero Trust gehören:

Explizit verifizieren Verwenden Sie den Zugriff mit den geringsten Rechten Gehe von einem Verstoß aus
Authentifizieren und autorisieren Sie immer basierend auf allen verfügbaren Datenpunkten. Beschränken Sie den Benutzerzugriff mit Just-In-Time und Just-Enough-Access (JIT/JEA), risikobasierten adaptiven Richtlinien und Datenschutz. Minimieren Sie Denkradius und Segmentzugriff. Überprüfen Sie die End-to-End-Verschlüsselung, und nutzen Sie Analysen, um einen Überblick zu erhalten, die Erkennung von Bedrohungen voranzutreiben und den Schutz zu verbessern.

Warum Endpunkte für Zero Trust verwalten?

Das moderne Unternehmen verfügt über eine unglaubliche Vielfalt an Endpunkten, die auf Unternehmensdaten zugreifen. Benutzer arbeiten von überall und von jedem Gerät aus mehr als jemals zuvor in der Geschichte. Dadurch entsteht eine massive Angriffsfläche, und Endpunkte können leicht zum schwächsten Glied in Ihrer Zero Trust-Sicherheitsstrategie werden.

Während Organisationen in der Regel proaktiv sind, um PCs vor Sicherheitslücken und Angriffen zu schützen, bleiben mobile Geräte oft unüberwacht und ohne Schutz. Der erste Schritt in Ihrer Strategie für Zero Trust-Geräte ist der Einblick in Endpunkte, die auf Ihre Unternehmensressourcen zugreifen.

Um zu vermeiden, dass Ihre Daten einem Risiko ausgesetzt werden, müssen Sie jeden Endpunkt auf Risiken überwachen und granulare Zugriffskontrollen einsetzen, um basierend auf den Unternehmensrichtlinien die geeignete Zugriffsebene bereitzustellen. Wenn beispielsweise ein persönliches Gerät einen Jailbreak hat, können Sie seinen Zugriff blockieren, um zu verhindern, dass Unternehmensanwendungen bekannten Sicherheitsrisiken ausgesetzt sind.

Eine Übersicht darüber, wie Intune Zero Trust-Prinzipien unterstützt (explizit überprüfen, Zugriff mit den geringsten Berechtigungen verwenden und von einer Verletzung ausgehen), finden Sie unter Zero Trust mit Microsoft Intune.

Siebenschichtiger Zero Trust-Bereitstellungsfortschritt

Der Aufbau eines umfassenden Zero Trust-Sicherheitsstatus für Geräte erfordert schrittweise die Implementierung von Schutzebenen. Jede Schicht baut auf der vorherigen auf, beginnend mit dem grundlegenden Datenschutz bis hin zur ausgefeilten Erkennung von Bedrohungen und der Verhinderung von Datenverlust.

Die folgende Tabelle zeigt den empfohlenen Bereitstellungsfortschritt für Zero Trust-Gerätesicherheit:

Ebene Schutzfunktion Was Sie erreichen Voraussetzungen Lizenzanforderungen
1 App-Schutzrichtlinien Schützen Sie Organisationsdaten in Apps, ohne dass eine Geräteregistrierung erforderlich ist. Schafft eine Grundlage für BYOD-Szenarien (Bring-Your-Own-Device). Unterstützte Apps (Microsoft 365-Apps, richtlinienfähige Apps) Microsoft 365 E3, E5, F1, F3, F5
2 Registrieren von Geräten Beziehung zwischen Benutzer, Gerät und Intune herstellen. Ermöglichen Sie die Geräteverwaltung und die Einsicht in Endpunkte, die auf Ressourcen zugreifen. Plattformspezifische Voraussetzungen (MDM-Autorität, Zertifikate) Microsoft 365 E3, E5, F1, F3, F5
3 Compliancerichtlinien Definieren Sie Mindestanforderungen, die Geräte erfüllen müssen (Kennwortschutz, Betriebssystemversion, Verschlüsselung). Markieren Sie Geräte als kompatibel oder nicht kompatibel. In Layer 2 registrierte Geräte Microsoft 365 E3, E5, F3, F5
4 Anfordern fehlerfreier und konformer Geräte Implementieren Sie Enterprise Zero Trust-Identitäts- und Gerätezugriffsrichtlinien. Arbeiten mit dem Identitätsteam zusammen, um die Compliance durch bedingten Zugriff durchzusetzen und den Zugriff von Geräten zu blockieren, die die Sicherheitsanforderungen nicht erfüllen. Konformitätsrichtlinien von Layer 3, Abstimmung mit Identitätsadministratoren Microsoft 365 E3, E5, F3, F5
5 Konfigurationsprofile Konfigurieren Sie Geräteeinstellungen, um die Sicherheit zu erhöhen. Stellen Sie Sicherheitsbaselines bereit. Verschieben Sie Sicherheitskontrollen von Gruppenrichtlinien in Cloudrichtlinien. Registrierte Geräte aus Layer 2 Microsoft 365 E3, E5, F3, F5
6 Überwachung des Geräterisikos Integrieren Sie eine Integration mit Microsoft Defender for Endpoint, um Geräterisiken zu überwachen, Bedrohungen zu erkennen und den Zugriff basierend auf der Risikostufe zu blockieren. Stellen Sie Sicherheitsbaselines bereit. Setup von Microsoft Defender für Endpunkt, Koordination mit dem Threat Protection-Team Microsoft 365 E5, F5
7 Endpunkt-DLP Schützen Sie vertrauliche Daten auf Endpunkten mit Microsoft Purview Data Loss Prevention. Überwachen und steuern Sie Dateivorgänge basierend auf Vertraulichkeitsbezeichnungen. Microsoft Purview-Konfiguration, Geräte, die in Layer 6 in MDE eingebunden sind Microsoft 365 E5, E5-Compliance-Add-On, F5-Compliance-Add-On

Grundlegendes zu den sieben Bereitstellungsebenen

In diesem Abschnitt werden die einzelnen Ebenen im Fortschritt der Zero Trust-Bereitstellung erläutert. Während die siebenschichtige Tabelle zeigt, was jede Ebene erreicht, bieten diese Beschreibungen Kontext, Beispiele und Erläuterungen der wichtigsten Konzepte.

App-Schutz ohne Registrierung (Layer 1)

Richtlinien zum App-Schutz schützen Organisationsdaten innerhalb von Apps und steuern, wie Benutzer auf Arbeitsdaten zugreifen und diese freigeben. Ebene 1 konzentriert sich auf den Schutz von Daten auf nicht verwalteten persönlichen Geräten , ohne dass eine Registrierung erforderlich ist. App-Schutzrichtlinien können jedoch auch auf registrierte Geräte angewendet werden, um einen umfassenden Schutz zu ermöglichen.

Benutzer installieren Apps wie Outlook oder Teams aus dem Store, melden sich mit ihrem Geschäftskonto an, und die Datenschutzrichtlinien gelten automatisch. Dieser Ansatz wird häufig als MAM ohne Registrierung oder BYOD (Bring-Your-Own-Device) bezeichnet.

Beispiel: Auf dem persönlichen iPhone eines Benutzers ist Outlook installiert. Ihre App-Schutzrichtlinie erfordert eine PIN für den Zugriff auf geschäftliche E-Mails und verhindert das Kopieren von Geschäftsdaten in persönliche Apps und blockiert das Speichern von E-Mail-Anlagen im persönlichen Cloudspeicher. Der Benutzer behält die vollständige Kontrolle über sein Gerät, während die Unternehmensdaten geschützt bleiben.

Tipp

Richtlinien zum App-Schutz können sowohl auf nicht registrierten Geräten (Layer 1) als auch auf registrierten Geräten (Layer 2+) bereitgestellt werden, um zusätzlichen Schutz auf App-Ebene über die Geräteverwaltung hinaus zu bieten.

Ausführliche Informationen finden Sie in den Bereitstellungshandbüchern: Richtlinien zum App-Schutz.

Geräteregistrierung (Layer 2)

Die Registrierung registriert Geräte bei Intune und ermöglicht eine umfassende Geräteverwaltung. Intune stellt Apps bereit, konfiguriert Einstellungen, erzwingt Konformitätsrichtlinien und bietet vollständige Transparenz über den Gerätestatus.

Beispiel: Ein Unternehmenslaptop wird während des Windows Autopilot-Setups in Intune registriert. Intune konfiguriert WLAN, stellt Zertifikate bereit, installiert Sicherheitsbaselines, erzwingt die BitLocker-Verschlüsselung und überwacht die Einhaltung Ihrer Kennwortrichtlinie.

Ausführliche Informationen finden Sie unter Bereitstellungsleitfaden: Registrieren von Geräten.

Konformitätsrichtlinien (Layer 3)

Konformitätsrichtlinien definieren Sicherheitsanforderungen, die Geräte erfüllen müssen, um auf Organisationsressourcen zugreifen zu können. Diese Richtlinien bewerten die Geräteintegrität und markieren Geräte als konform oder nicht kompatibel, basierend auf den von Ihnen konfigurierten Einstellungen wie Kennwortanforderungen, Betriebssystemversionen, Verschlüsselungs status und Jailbreak-Erkennung.

Beispiel: Ihre Konformitätsrichtlinie erfordert, dass auf Windows-Geräten BitLocker aktiviert ist, eine Mindestversion des Betriebssystems ausgeführt wird und ein Kennwort mit mindestens acht Zeichen verwendet wird. Der Laptop eines Benutzers mit fehlendem BitLocker wird als nicht kompatibel gekennzeichnet. Der Benutzer erhält Benachrichtigungen über die Anforderung und hat Zeit zur Behebung, bevor der Zugriff blockiert wird (wenn Sie Layer 4 erzwingen).

Tipp

Konformitätsrichtlinien bewerten den Gerätestatus, blockieren jedoch nicht automatisch den Zugriff. Sie arbeiten mit bedingtem Zugriff (Layer 4), um Compliance-Anforderungen durchzusetzen.

Ausführliche Informationen finden Sie unter Bereitstellungsleitfäden: Konformitätsrichtlinien.

Fehlerfreie und konforme Geräte erforderlich (Layer 4)

Diese Ebene implementiert Zero Trust-Identitäts- und Gerätezugriffsrichtlinien auf Unternehmensebene, indem Geräte fehlerfrei und konform sein müssen, bevor der Zugriff auf Organisationsressourcen gewährt wird. Sie arbeiten mit Ihrem Identitätsteam zusammen, um Richtlinien für bedingten Zugriff in Microsoft Entra ID zu erstellen, die die Complianceentscheidungen von Layer 3 erzwingen.

Diese Ebene repräsentiert den Übergang von der Bewertung zur Durchsetzung. Nachdem Konformitätsrichtlinien Geräte als konform oder nicht kompatibel markiert haben, verwenden Richtlinien für bedingten Zugriff dieses Signal, um Zugriff auf E-Mail, SharePoint, Teams und andere geschützte Ressourcen zu gewähren oder zu blockieren.

Beispiel: Ihr Identitätsteam konfiguriert eine Richtlinie für bedingten Zugriff, die erfordert, dass Geräte als kompatibel gekennzeichnet werden müssen, bevor Benutzer auf Microsoft 365 Apps zugreifen können. Ein Benutzer versucht, von einem Windows-Gerät, das von Intune verwaltet wird, auf Outlook zuzugreifen. Das Gerät ist nicht konform, da es eine Intune-Complianceanforderung nicht erfüllt, und die Datenträgerverschlüsselung (BitLocker) nicht aktiviert ist. Da das Gerät nicht als kompatibel markiert ist, blockiert der bedingte Zugriff den Zugriff auf Outlook und fordert den Benutzer auf, das Problem zu beheben. Nachdem der Benutzer BitLocker aktiviert hat, meldet das Gerät seinen aktualisierten Konformitätsstatus an Intune. Sobald das Gerät als kompatibel ausgewertet wird, wertet der bedingte Zugriff die Anmeldung erneut aus, und der Zugriff auf Outlook wird wiederhergestellt.

Hinweis

Diese Ebene erfordert die Koordination mit Ihrem Identitätsteam. Während das Intune Admin Center den Knoten für bedingten Zugriff von Microsoft Entra ID präsentiert, werden Richtlinien für bedingten Zugriff in Entra ID und nicht in Intune erstellt. Informationen zum Workflow finden Sie im Abschnitt Koordination des Identitätsteams .

Weitere Informationen finden Sie unter Erfordern für verwaltete Geräte mit bedingtem Zugriff.

Konfigurationsprofile (Layer 5)

Konfigurationsprofile konfigurieren Geräteeinstellungen, um die Sicherheit zu verstärken, Funktionen zu aktivieren und konsistente Konfigurationen für Ihre gesamte Flotte zu erstellen. Während Konformitätsrichtlinien (Layer 3) bewerten, ob Geräte die Anforderungen erfüllen, stellen Konfigurationsprofile proaktiv Einstellungen bereit, um sicherzustellen, dass Geräte ordnungsgemäß konfiguriert sind.

Sie können Einstellungen über Gerätekonfigurationsprofile oder Endpunktsicherheitsrichtlinien bereitstellen. Gerätekonfigurationsprofile unterstützen umfassende Szenarien, einschließlich Wi-Fi- und VPN-Profile, Zertifikatbereitstellung, Kennwortrichtlinien, Datenträgerverschlüsselungseinstellungen und Gruppenrichtlinie Äquivalente. Endpunktsicherheitsrichtlinien bieten optimierte Benutzererfahrungen, die speziell auf Sicherheitseinstellungen wie Antivirensoftware, Datenträgerverschlüsselung, Firewall, Reduzierung der Angriffsfläche sowie Endpunkterkennung und -reaktion ausgerichtet sind.

Beispiel: Sie stellen eine Windows-Sicherheitsbaseline auf Unternehmenslaptops bereit. Die Baseline aktiviert die Windows-Firewall, konfiguriert die BitLocker-Verschlüsselung, deaktiviert Legacyprotokolle, aktiviert Regeln zur Reduzierung der Angriffsfläche und konfiguriert Dutzende anderer Sicherheitseinstellungen. Benutzer müssen keine dieser Einstellungen manuell konfigurieren – Intune wendet sie automatisch an.

Tipp

Sicherheitsbaselines sind vorkonfigurierte Profile, die die von Microsoft empfohlenen Sicherheitseinstellungen enthalten. Verwenden Sie sie als Ausgangspunkt, und passen Sie sie dann entsprechend den Anforderungen Ihrer Organization an.

Weitere Informationen finden Sie unter Bereitstellen von Konfigurationsprofilen.

Überwachung des Geräterisikos (Layer 6)

Die Geräterisikoüberwachung integriert Microsoft Defender für Endpunkt in Intune, um eine kontinuierliche Erkennung von Bedrohungen, eine Geräterisikobewertung und risikobasierte Zugriffssteuerungen hinzuzufügen. Diese Ebene verlagert sich von statischen Compliance-Prüfungen zu dynamischer Sicherheitsüberwachung, die in Echtzeit auf aktive Bedrohungen reagiert.

Wenn Sie Geräte in Microsoft Defender für Endpunkt integrieren, beginnen sie mit der Berichterstellung von Sicherheitstelemetrie und Threat Intelligence. Defender weist jedem Gerät eine Risikostufe (gesichert, niedrig, mittel, hoch oder nicht verfügbar) zu, die auf erkannten Bedrohungen, Sicherheitsrisiken und dem Sicherheitsstatus basiert. Sie können diese Risikostufe in Konformitätsrichtlinien verwenden, um den Zugriff von Geräten mit hohem Risiko zu blockieren oder Korrekturaktionen auszulösen.

Beispiel: Der Laptop eines Benutzers wird mit Schadsoftware infiziert. Microsoft Defender for Endpoint erkennt die Bedrohung und kennzeichnet das Gerät als hohes Risiko. Ihre Konformitätsrichtlinie zur Bewertung des Geräterisikos kennzeichnet das Gerät sofort als nicht konform. Der bedingte Zugriff blockiert den Zugriff des Benutzers auf Organisationsressourcen, bis die Bedrohung behoben ist und das Geräterisiko auf ein akzeptables Niveau zurückkehrt.

Tipp

Durch die Integration von Defender für Endpunkt in Intune können Sie auch umfassendere Sicherheitskonfigurationen bereitstellen, einschließlich der Microsoft Defender für Endpunkt-Sicherheitsbaseline und erweiterter Bedrohungsschutzeinstellungen wie Regeln zur Verringerung der Angriffsfläche, kontrolliertem Ordnerzugriff und Netzwerkschutz.

Weitere Informationen finden Sie unter Microsoft Defender for Endpoint-Integration.

Verhinderung von Endpunkt Datenverlust (Layer 7)

Die Verhinderung von Endpunktdatenverlust verwendet Microsoft Purview, um zu verhindern, dass vertrauliche Daten verwaltete Endpunkte durch Kopier-, Druck-, Upload- oder Übertragungsvorgänge verlassen. Während frühere Schichten den Zugriff auf Ressourcen schützen, schützt diese Schicht die Daten selbst, indem sie überwacht und steuert, wie Benutzer mit vertraulichen Dateien interagieren.

Geräte, die in Microsoft Defender für Endpunkt in Layer 6 integriert sind, werden automatisch ohne zusätzliche Intune-Konfiguration für Endpunkt-DLP integriert. Ihr Complianceteam erstellt DLP-Richtlinien im Microsoft Purview-Portal, in denen definiert wird, welche Vertraulichkeitsbezeichnungen, Dateitypen oder Inhaltsmuster Schutzaktionen auslösen.

Beispiel: Ihr Compliance-Team erstellt eine DLP-Richtlinie, die verhindert, dass Dateien mit der Bezeichnung "Vertraulich" auf USB-Laufwerke kopiert oder in persönlichen Cloudspeicher hochgeladen werden. Ein Benutzer versucht, einen vertraulichen Finanzbericht auf ein USB-Laufwerk zu kopieren. Endpunkt-DLP blockiert den Vorgang und zeigt eine Benachrichtigung an, in der die Einschränkung erläutert wird. Je nachdem, wie das Compliance-Team die Richtlinie konfiguriert hat, kann die Blockierung absolut sein oder es dem Benutzer ermöglichen, eine geschäftliche Begründung anzugeben und fortzufahren. Alle Aktivitäten werden für die Konformitätsberichterstattung protokolliert.

Hinweis

Als Intune-Administrator ist Ihre Rolle für Endpunkt-DLP darauf beschränkt, sicherzustellen, dass Geräte in Microsoft Defender for Endpoint (Ebene 6) integriert werden. Die gesamte Erstellung und Verwaltung von DLP-Richtlinien erfolgt im Microsoft Purview-Portal durch Ihr Complianceteam.

Weitere Informationen finden Sie unter Informationen zu Endpunkt-DLP und Erste Schritte mit Endpunkt-DLP.

Registrierung vs. Onboarding

Während Sie diese Ebenen implementieren, arbeiten Sie mit zwei verwandten, aber unterschiedlichen Konzepten: Registrierung und Onboarding. Wenn Sie den Unterschied verstehen, können Sie verdeutlichen, was auf jeder Ebene passiert.

Die Registrierung (Layer 2) registriert Geräte bei Intune für eine umfassende Geräteverwaltung. Beim Onboarding (Ebenen 6-7) werden Geräte so konfiguriert, dass Informationen an bestimmte Dienste wie Microsoft Defender for Endpoint oder Microsoft Purview gemeldet werden.

Registrierung Onboarding
Funktion der Einstellung Registriert Geräte für die Verwaltung mit Intune. Intune verwaltet das gesamte Gerät, einschließlich Apps, Einstellungen und Richtlinien. Konfiguriert Geräte für die Freigabe von Informationen für bestimmte Microsoft 365-Dienste (derzeit Microsoft Defender for Endpoint und Microsoft Purview).
Scope Vollständige Geräteverwaltung: Einstellungen konfigurieren, Apps bereitstellen, Compliance erzwingen, Geräteintegrität überwachen. Nur dienstspezifische Funktionen. Das Onboarding in MDE ermöglicht beispielsweise die Bedrohungserkennung, das Onboarding in Purview ermöglicht DLP.
Inhalt dieser Bereitstellung Ebene 2: Sie registrieren Geräte bei der Intune-Verwaltung. Ebene 6: Sie integrieren Geräte mithilfe von Intune in Microsoft Defender für Endpunkt.
Ebene 7: Geräte, die in MDE integriert sind, werden automatisch für Microsoft Purview Endpoint DLP integriert.
Wie geht das? Plattformspezifische Registrierungsmethoden: Microsoft Entra Join (automatische Registrierung), Windows Autopilot, Apple Automated Device Enrollment, manuelle Registrierung. Verwenden Sie Intune, um die Onboardingkonfiguration auf registrierten Geräten bereitzustellen. Geräte müssen in Intune registriert sein, bevor Sie sie in MDE oder Purview integrieren können.

Hinweis

Durch das Onboarding in Microsoft Defender für Endpunkt werden Geräte automatisch für Microsoft Purview-Funktionen einschließlich Endpunkt-DLP eingebunden. Es ist keine zusätzliche Intune-Konfiguration erforderlich.

Koordinieren mit Microsoft 365-Teams

Die Implementierung von Zero Trust-Gerätesicherheit erfordert die Koordination mehrerer Teams in Ihrer organization. Während Sie Intune-Richtlinien verwalten, verwalten andere Teams ergänzende Dienste, die zusammenarbeiten, um den Schutz durchzusetzen.

Identitätsteam (Microsoft Entra ID)

Ihre Verantwortung: Verwalten Sie Richtlinien für bedingten Zugriff, konfigurieren Sie Authentifizierungsanforderungen und verwalten Sie den Microsoft Entra ID-Mandanten.

Ihre Koordination:

  • Nachdem Sie App-Schutzrichtlinien (Ebene 1) erstellt haben, arbeiten Sie mit dem Identitätsteam zusammen, um eine Richtlinie für bedingten Zugriff zu erstellen, die genehmigte Apps erfordert.
  • Koordinieren Sie nach dem Erstellen von Konformitätsrichtlinien (Layer 3) die Richtlinie für bedingten Zugriff, die konforme Geräte erfordert:
    1. Sie erstellen und weisen Konformitätsrichtlinien in Intune zu, um Geräteanforderungen zu definieren.
    2. Das Identitätsteam erstellt eine Richtlinie für bedingten Zugriff im Microsoft Entra Admin Center.
    3. Die Richtlinie für bedingten Zugriff verwendet die Option "Markieren des Geräts als kompatibel erforderlich".
    4. Stellen Sie sicher, dass beide Richtlinien auf dieselben Benutzergruppen ausgerichtet sind.
    5. Testen Sie gemeinsam mit dem Was-wäre-wenn-Tool für bedingten Zugriff, bevor Sie die Erzwingung aktivieren.
  • Ausführliche Abläufe finden Sie unter Allgemeine Verwendungsmöglichkeiten für den bedingten Zugriff.
  • Informationen zur Richtlinienerstellung finden Sie unter Erfordern verwalteter Geräte mit bedingtem Zugriff.

Zugehöriger Leitfaden:Bedingter Zugriff mit Intune

Team für Bedrohungsschutz (Microsoft Defender)

Ihre Verantwortung: Richten Sie den Microsoft Defender for Endpoint-Dienst ein und verwalten Sie ihn, untersuchen Sie Bedrohungen und verwalten Sie SOC-Workflows (Security Operations Center).

Ihre Koordination:

  • Verwenden von Intune zum Onboarding von Geräten in Microsoft Defender for Endpoint (Ebene 6)
  • Bereitstellen der Windows-Sicherheitsbaseline und der Defender für Endpunkt-Sicherheitsbaseline auf verwalteten Geräten
  • Empfangen von Geräterisikosignalen von Defender, die in Compliancerichtlinien einfließen
  • Reagieren auf Intune-Sicherheitsaufgaben, die von Defender-Sicherheitsadministratoren erstellt werden, um erkannte Sicherheitsrisiken und Fehlkonfigurationen zu beheben
  • Koordinieren der Reaktion auf Vorfälle, wenn Bedrohungen auf verwalteten Geräten erkannt werden

Zugehörige Anleitungen:

Datensicherheits- und Datenschutzteam (Microsoft Purview)

Ihre Verantwortung: Definieren Sie ein Datenvertraulichkeitsschema, erstellen Sie DLP-Richtlinien, und verwalten Sie Complianceanforderungen in Microsoft Purview.

Ihre Koordination:

  • Sicherstellen, dass Geräte zur Unterstützung von Endpunkt-DLP integriert sind (automatisch mit MDE-Onboarding in Layer 6)
  • Identifizieren, welche Benutzergruppen in DLP-Richtlinien einbezogen bzw. ausgeschlossen werden sollen
  • Überprüfen der Gerätesichtbarkeit im Microsoft Purview-Portal
  • Unterstützung der Benutzerschulung, wenn DLP-Richtlinien Datenvorgänge blockieren oder davor warnen

Hinweis

Als Intune-Administrator ist Ihre Rolle für Endpunkt-DLP darauf beschränkt, sicherzustellen, dass Geräte in Microsoft Defender for Endpoint integriert werden. Geräte, die in MDE integriert sind, werden automatisch DLP-fähig, ohne dass zusätzliche Intune-Konfigurationen erforderlich sind. Die gesamte Erstellung und Verwaltung von DLP-Richtlinien erfolgt im Microsoft Purview-Portal durch Ihr Complianceteam.

Zugehörige Anleitungen:

Bewährte Methoden für die teamübergreifende Koordination

  • Richten Sie regelmäßige Koordinierungstreffen während der ersten Bereitstellung jeder Schicht ein.
  • Dokumentbesitz: Seien Sie sich darüber im Klaren, welches Team welche Richtlinien verwaltet.
  • Gemeinsam testen : Verwenden Sie vor der Erzwingung den Überwachungsmodus und die Tools "Was wäre wenn".
  • Ausrichtung auf Benutzergruppen – Stellen Sie konsistente Gruppenzuweisungen in allen Diensten sicher.
  • Kommunikation planen : Koordinieren Sie Benutzerbenachrichtigungen, wenn Richtlinien die Benutzererfahrung beeinträchtigen könnten.
  • Teilen Sie sich die Überwachungsverantwortlichkeiten : Jedes Team überwacht seinen Dienst, teilt jedoch Erkenntnisse über die Auswirkungen auf die Benutzer.

Nächste Schritte

Erste Schritte mit Zero Trust-Gerätesicherheit:

Erfahren Sie mehr über Zero Trust:

Erkunden Sie erweiterte Schutzebenen:

  • Last updated on