Utiliser Network Data Security pour empêcher le partage d’informations sensibles avec l’IA non gérée

Cet article utilise le processus que vous avez appris dans Conception d’une stratégie de protection contre la perte de données pour vous montrer comment créer une stratégie de protection contre la perte de données (DLP) Microsoft Purview qui permet d’empêcher le partage d’informations sensibles avec des applications IA non gérées via la sécurité des données réseau à l’aide d’une solution SASE intégrée, telle que Microsoft Entra Global Secure Access ou une solution de navigateur non sécurisé Microsoft. Travaillez sur ce scénario dans votre environnement de test pour vous familiariser avec l’interface utilisateur de création de stratégie.

La façon dont vous déployez ce scénario de stratégie DLP est aussi importante que la conception de la stratégie. Créer et déployer une stratégie de protection contre la perte de données vous montre comment utiliser les options de déploiement afin que la stratégie atteigne votre intention tout en évitant des interruptions d’activité coûteuses.

Conditions préalables et hypothèses

Avant de commencer, assurez-vous que les conditions préalables et hypothèses suivantes sont remplies :

• Vous disposez d’une intégration SASE ou d’un navigateur d’entreprise sécurisé pris en charge. Pour plus d’informations sur les intégrations prises en charge, consultez le magasin de sécurité dans la section Protection contre la perte de données Microsoft Purview.
• Si vous utilisez l’accès sécurisé global de Microsoft Entra
  • L’appareil doit être joint à l’identifiant Entra.
  • Vous devez configurer une stratégie d’inspection de la couche Transport Security
  • Vous devez configurer une stratégie de contenu dans Microsoft Entra GSA Internet Access.
• Si vous utilisez un fournisseur de navigateur d’entreprise sécurisé ou SASE autre que Microsoft
  • Assurez-vous d’avoir configuré la facturation à l’utilisation de Purview. Pour plus d’informations, consultez Activer les fonctionnalités de paiement à l’utilisation de Microsoft Purview pour les nouveaux clients.
  • Assurez-vous d’avoir effectué les étapes d’intégration décrites dans la documentation de votre fournisseur.
• Cette procédure utilise des groupes de distribution hypothétiques, l’un nommé Équipe Finances et un autre groupe pour l’Équipe de sécurité. Vous devez créer ces groupes dans votre environnement ou vous substituer à vos propres groupes.

Énoncé d’intention de la stratégie et mise en correspondance

Nous voulons adopter une utilisation responsable de l’IA au sein de notre organisation tout en protégeant les données sensibles des clients et des organisations contre toute exposition intentionnelle ou accidentelle. Étant donné que le service financier traite régulièrement des informations très sensibles, nous devons créer une stratégie qui empêche les utilisateurs financiers de partager du contenu sensible avec toute application d’IA générative non approuvée. Étant donné que beaucoup de nos utilisateurs disposent d’une flexibilité dans le choix du navigateur qu’ils choisissent d’utiliser, ainsi que de la possibilité d’utiliser des applications IA installées localement et des compléments Office, nous devons garantir une couverture étendue des points de terminaison grâce à la protection de la sécurité des données réseau. Compte tenu de la sensibilité de l’accès du service financier aux données, nous devons empêcher le partage des données financières, des informations d’identification personnelle (PII) ou des documents confidentiels par le biais de requêtes textuelles ou de fichiers téléchargés. Ensuite, pour assurer une gestion efficace et rapide des incidents, nous devons générer des alertes et nous assurer que notre équipe de sécurité est avertie par e-mail chaque fois qu’un blocage se produit. Enfin, nous souhaitons que cette stratégie prenne effet immédiatement pour commencer à protéger les données de l’entreprise dès que possible.

Configurer l’intégration du fournisseur SASE

Pour intégrer votre fournisseur à Purview, procédez comme suit :

1. Connectez-vous au portail Microsoft Purview.
2. Ouvrez la solution Protection contre la perte de données , puis sélectionnez Banque de sécurité dans la barre de navigation gauche.
3. Sélectionnez Obtenir une solution pour le fournisseur que vous utilisez.
4. Suivez les étapes de configuration fournies par votre fournisseur de navigateur sécurisé ou SASE intégré.

Étapes de création de stratégie

Pour créer la stratégie DLP, procédez comme suit :

1. Connectez-vous au portail Microsoft Purview.
2. SélectionnezStratégies>de prévention de la perte de> données+ Créer une stratégie.
3. Sélectionnez le trafic web intégré.
4. Sélectionnez Personnalisé dans la liste Catégories , puis sélectionnez Stratégie personnalisée dans la liste Réglementations .
5. Cliquez sur Suivant.
6. Entrez un nom de stratégie et fournissez une description facultative. Vous pouvez utiliser la déclaration d’intention de la stratégie ici.
7. Cliquez sur Suivant.
8. Sélectionnez + Ajouter des applications cloud.
9. Sélectionnez l’onglet Étendues d’application adaptative, puis choisissez Toutes les applications IA non gérées et sélectionnez Ajouter (1).
10. Sélectionnez Modifier l’étendue sur toutes les applications IA non gérées.
11. Sélectionnez l’option Inclure uniquement un spécifique dans la zone Ajouter ou modifier l’étendue pour toutes les applications IA non gérées.
12. Sélectionnez + Ajouter des inclusions.
13. Sélectionnez des utilisateurs et des groupes spécifiques.
14. Recherchez et sélectionnez le groupe du service financier , puis sélectionnez Ajouter.
15. Sélectionnez Enregistrer et fermer.
16. Cliquez sur Suivant.
17. Sur la page Choisir l’emplacement d’application de la stratégie , vérifiez que les navigateurs sécurisés réseau et non Microsoft sont activés, puis sélectionnez Suivant.

18. Sur la page Définir les paramètres de stratégie , vérifiez que l’option Créer ou personnaliser des règles DLP avancées est sélectionnée, puis sélectionnez Suivant.
19. Sur la page Personnaliser les règles DLP avancées , sélectionnez + Créer une règle.
20. Donnez à la règle un nom unique et une description facultative.
21. Sous conditions
    1. Sélectionnez + Ajouter une condition , puis choisissez Le contenu contient.
    2. Sélectionnez Ajouter et choisissez Types d’informations sensibles.
    3. Choisissez Numéro de routage ABA, Numéro de compte bancaire américain, Numéro de carte de crédit, Numéro de sécurité sociale américain (SSN) et sélectionnez Ajouter.
    4. Sélectionnez Ajouter et choisissez Étiquettes de confidentialité
    5. Choisissez Confidentiel et sélectionnez Ajouter.
    6. Assurez-vous que l’opérateur Groupe est défini sur L’une de ces valeurs pour le groupe Contenu contient.
22. Sous Actions
    1. Sélectionnez + Ajouter une action , puis choisissez Restreindre les activités du navigateur et du réseau.
    2. Sélectionnez Texte envoyé ou partagé avec des applications cloud ou IA et Fichier téléchargé ou partagé avec des applications cloud ou IA.
    3. Sélectionnez Bloquer pour les deux.
23. Sous Rapport d’incident
    1. Définir le niveau de gravité dans les alertes et les rapports d’administration sur Élevé
    2. Assurez-vous que l’option Envoyer une alerte aux administrateurs lorsqu’une correspondance de règle se produit est activée
    3. Sélectionnez + Ajouter ou supprimer des utilisateurs et choisissez le groupe de distribution SecurityOps
    4. Veillez à ce que l’option Envoyer une alerte chaque fois qu’une activité correspond à la règle soit sélectionnée
24. Sélectionnez Enregistrer.
25. Examinez la configuration de la règle, assurez-vous que son status est activé, puis sélectionnez Suivant.
26. Dans la page Mode stratégie , choisissez Activer la stratégie immédiatement , puis sélectionnez Suivant.
27. Passez en revue les informations de stratégie, puis sélectionnez Envoyer pour créer la stratégie.