Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
I criteri di raccolta di Microsoft Purview hanno molti componenti da configurare. Per creare un criterio efficace, è necessario comprendere lo scopo di ogni componente e in che modo la relativa configurazione influisce sul comportamento del criterio. Questo articolo fornisce un'anatomia dettagliata di un criterio di raccolta.
Prima di iniziare
Se non si ha familiarità con i criteri di raccolta, ecco un elenco degli articoli principali necessari per implementarli nell'organizzazione:
- Panoramica della soluzione Criteri di raccolta
- Informazioni di riferimento sui criteri di raccolta : questo articolo che si sta leggendo presenta tutti i componenti di un criterio di prevenzione della perdita dei dati e il modo in cui ciascuno di essi influisce sul comportamento di un criterio
- Creare e distribuire criteri di raccolta.
Condizioni
Specificare le condizioni per definire i dati da rilevare. Le condizioni sono facoltative, ma alcune potrebbero essere necessarie per altre impostazioni. Se non si aggiungono condizioni, ciò che viene rilevato dipende dalle origini dati selezionate in un secondo momento:
- Dispositivi: vengono rilevati tutti i dati, anche se non corrispondono ai classificatori dell'organizzazione.
- Tutte le altre origini dati: vengono rilevati solo i dati che corrispondono ai classificatori dell'organizzazione.
I criteri di raccolta supportano cinque condizioni:
| Condizione | Ulteriori informazioni |
|---|---|
| Il contenuto contiene classificatori | Tipi di informazioni sensibili e classificatori sottoponibili a training da rilevare. Può essere limitato a tutti i classificatori, a tutti i classificatori tranne quelli selezionati o a classificatori specifici. L'origine dati dei dispositivi non supporta i classificatori sottoponibili a training. Se ne selezioni una, viene ignorata. |
| Il contenuto contiene etichette di riservatezza | Etichette di riservatezza per il rilevamento dell'ambito di elementi con etichette di riservatezza specifiche applicate. Supportato solo con il rilevamento delle app cloud di browser e rete. |
| Le dimensioni del documento sono maggiori o uguali a | Rileva i file con dimensioni maggiori di un numero specificato di byte, kilobyte (KB), megabyte (MB), gigabyte (GB) o terabyte (TB). |
| Il documento è uguale o inferiore a | Rileva i file con un numero inferiore a un numero specificato di byte, kilobyte (KB), megabyte (MB), gigabyte (GB) o terabyte (TB). |
| L'estensione del file è | Rileva i file con le estensioni di file specificate. |
Attività
Scegliere le attività da rilevare. Le attività supportate sono specifiche delle origini dati che si desidera includere.
Consiglio
È possibile combinare attività che supportano origini dati diverse in un singolo criterio, ma è necessario aggiungere tutte le origini dati applicabili al criterio per supportare le attività selezionate.
| Attività | Descrizione | Origine dati |
|---|---|---|
| SMS inviato o condiviso con l'app cloud o di intelligenza artificiale | Quando il testo non elaborato viene caricato in un'app cloud, incluse richieste di intelligenza artificiale generativa, invii di moduli e messaggi | - App cloud - Intelligenza artificiale generativa |
| File caricato o condiviso con il cloud o l'app di intelligenza artificiale | Quando un file binario viene caricato in un'app cloud o in servizi di IA generativa | - App cloud - Intelligenza artificiale generativa |
| Testo ricevuto dal cloud o dall'app di intelligenza artificiale | Quando il testo non elaborato viene scaricato da un'app cloud, incluse le risposte generative dell'intelligenza artificiale | - App cloud - Intelligenza artificiale generativa |
| File scaricato dal cloud o dall'app IA | Quando un file binario viene scaricato da un'app cloud o da un servizio di IA generativa | - App cloud - Intelligenza artificiale generativa |
| Archivio creato | Quando viene creato un file di archivio in un dispositivo endpoint di cui è stato eseguito l'onboarding | Dispositivi |
| File utilizzato da un'app non consentita | Quando un'app o un gruppo di app con restrizioni accedono a un file in un dispositivo endpoint di cui è stato eseguito l'onboarding | Dispositivi |
| File archiviato | Quando un file viene aggiunto a un archivio in un dispositivo endpoint di cui è stato eseguito l'onboarding | Dispositivi |
| File copiato nella condivisione di rete | Quando un file viene copiato in una condivisione di rete in un dispositivo endpoint di cui è stato eseguito l'onboarding | Dispositivi |
| File copiato nella sessione desktop remoto | Quando un file viene copiato in un computer remoto tramite una sessione di desktop remoto in un dispositivo endpoint di cui è stato eseguito l'onboarding | Dispositivi |
| File copiato su supporto rimovibile | Quando un file viene copiato in un supporto rimovibile, ad esempio un'unità flash USB, in un dispositivo endpoint di cui è stato eseguito l'onboarding | Dispositivi |
| File creato | Quando viene creato un file in un dispositivo endpoint di cui è stato eseguito l'onboarding | Dispositivi |
| File creato in condivisione di rete | Quando viene creato un file in una condivisione di rete da un dispositivo endpoint di cui è stato eseguito l'onboarding | Dispositivi |
| File creato su supporto rimovibile | Quando un file viene creato su un supporto rimovibile, ad esempio un'unità flash USB, da un dispositivo endpoint di cui è stato eseguito l'onboarding | Dispositivi |
| File eliminato | Quando un file viene eliminato da un dispositivo endpoint di cui è stato eseguito l'onboarding | Dispositivi |
| File modificato | Quando un file viene modificato da un dispositivo endpoint di cui è stato eseguito l'onboarding | Dispositivi |
| File stampato | Quando un file viene stampato da un dispositivo endpoint di cui è stato eseguito l'onboarding | Dispositivi |
| File letto | Quando un file viene letto da un dispositivo endpoint di cui è stato eseguito l'onboarding | Dispositivi |
| File rinominato | Quando un file viene rinominato da un dispositivo endpoint di cui è stato eseguito l'onboarding | Dispositivi |
| File trasferito tramite Bluetooth | Quando un file viene trasferito tramite Bluetooth da un dispositivo endpoint di cui è stato eseguito l'onboarding | Dispositivi |
| File caricato nel cloud | Quando un file viene caricato nel cloud da un dispositivo endpoint di cui è stato eseguito l'onboarding | Dispositivi |
| Supporto per supporti rimovibili | Quando un supporto rimovibile, ad esempio un'unità flash USB, è montato su un dispositivo endpoint di cui è stato eseguito l'onboarding | Dispositivi |
| Smontaggio supporti rimovibili | Quando un supporto rimovibile, ad esempio un'unità flash USB, viene smontato in un dispositivo endpoint di cui è stato eseguito l'onboarding | Dispositivi |
Origini dati
Le origini dati definiscono dove applicare il criterio e sono direttamente correlate alle attività aggiunte al criterio.
Sono supportate le seguenti origini dati:
| Origine dati | Ulteriori informazioni | Attività supportate |
|---|---|---|
| Dispositivi | Dispositivi di cui è stato eseguito l'onboarding in Microsoft 365 e gestiti dall'organizzazione. | Dispositivi Windows inseriti in Microsoft 365. |
| Esperienze Copilot | Include Copilot solo in Microsoft Fabric e Microsoft Security Copilot, con supporto per altre esperienze in arrivo. | - Testo inviato o condiviso con il cloud o l'app AI - Testo ricevuto dal cloud o dall'app AI |
| Intelligenza artificiale aziendale | App di intelligenza artificiale non Copilot di cui è stato eseguito l'onboarding o sono connesse all'organizzazione usando metodi come la registrazione di Microsoft Entra, Microsoft Foundry o i connettori di Microsoft Purview Data Map. I criteri possono essere applicati a tutte le app IA aziendali o limitati ad app specifiche. | - Testo inviato o condiviso con il cloud o l'app AI - Testo ricevuto dal cloud o dall'app AI |
| App cloud non gestite | App cloud presenti nel catalogo di Defender for Cloud Apps che non sono configurate per Single Sign-On (SSO), consentendo agli utenti di accedere ai dati personali tramite un browser, un'app, un componente aggiuntivo o un'API. I criteri rilevano i dati solo quando sono condivisi o trasferiti (dati in movimento) tramite il rilevamento del browser e della rete. |
Browser & rete: - Testo inviato o condiviso con il cloud o l'app AI - File caricato o condiviso con il cloud o l'app AI Solo rete: - Testo ricevuto dal cloud o dall'app AI -File scaricato dal cloud o dall'app AI |
| Ambiti adattivi dell'app | Gruppi di app la cui appartenenza è determinata in base ai metadati dell'app, ad esempio la categoria. Al momento, solo "Tutte le app di intelligenza artificiale non gestite", ovvero le app cloud non gestite classificate come IA generativa, sono supportate tramite il rilevamento di browser e rete. |
Browser & rete: - Testo inviato o condiviso con il cloud o l'app AI - File caricato o condiviso con il cloud o l'app AI Solo rete: - Testo ricevuto dal cloud o dall'app AI -File scaricato dal cloud o dall'app AI |
Nota
Alcune app di intelligenza artificiale non gestite non sono supportate in Edge for Business. Gli ambiti delle app adattive si applicano solo alle app non gestite supportate in Edge for Business. Per altre informazioni, vedi Altre informazioni sulle app supportate.
Definizione dell'ambito delle origini dati per utenti e gruppi
Per ogni origine dati, è possibile scegliere l'ambito per:
- Tutti gli utenti e i gruppi (impostazione predefinita)
- Utenti e gruppi specifici
- Tutti tranne utenti e gruppi specifici
Nota
Gli utenti e i gruppi esclusi hanno la precedenza sugli utenti o i gruppi inclusi.
Altre impostazioni dei criteri di raccolta
A seconda delle condizioni, delle attività e delle origini dati specificate, potrebbe essere necessario configurare altre impostazioni dei criteri di raccolta. Quando queste impostazioni sono disabilitate o disattivate, la configurazione del criterio non è compatibile con l'impostazione.
Acquisizione di contenuti per le interazioni con l'IA
Per garantire la conformità ai requisiti normativi, è possibile decidere se acquisire e archiviare tutte le richieste e le risposte rilevate da qualsiasi origine dati di IA generativa aggiunta al criterio. Questa funzionalità è denominata acquisizione del contenuto. Usando questa funzionalità, è possibile individuare e proteggere facilmente il contenuto acquisito in un secondo momento usando altri criteri e soluzioni Microsoft Purview. Questa funzionalità non include contenuto nei file condivisi con l'intelligenza artificiale generativa e si applica solo alle origini dati seguenti:
- Esperienze Copilot
- Intelligenza artificiale aziendale
- App cloud non gestite classificate come IA generativa
- Tutte le app AI non gestite ambito dell'app adattiva
Se questa impostazione non è abilitata, il contenuto rilevato nelle richieste e nelle risposte è limitato alle sole informazioni riservate.
Nota
Per acquisire contenuti AI, è necessario impostare la condizione Content contains secretifiers su All.
Rilevamento delle app cloud
Se aggiungi al criterio origini dati di app cloud non gestite o ambiti app adattivi, inclusa l'intelligenza artificiale generativa, devi scegliere come rilevare questi dati. È possibile scegliere uno dei seguenti comandi:
Browser - Rileva dati sensibili condivisi con app cloud non gestite tramite il browser Microsoft Edge nei dispositivi di lavoro gestiti da Intune. Vedi le app non gestite supportate che possono essere mirate nei criteri, vedi le attività supportate per le attività utente che possono essere acquisite e vedi i browser supportati per confermare che la versione del browser Microsoft Edge supporti il rilevamento del browser.
Rete: rileva i dati sensibili condivisi con app cloud non gestite tramite browser, app, API e altro ancora, usando un provider Secure Service Edge (SSE) integrato e la sicurezza dei dati di rete Microsoft Purview.
Importante
I criteri di sicurezza dei dati del browser e di rete di Microsoft Purview non si applicano agli utenti guest B2B.
Considerazioni sui criteri per le app cloud non gestite
Esaminare queste informazioni quando si configurano criteri che includono app cloud non gestite o quando si risolve un comportamento imprevisto dei criteri:
-
- Quando esistono più voci di catalogo per la stessa app con differenze nel nome della voce (ad esempio, QwenAI e Qwen Chat), includi tutte le voci per l'app per evitare lacune di copertura indesiderate.
Alcune app di intelligenza artificiale non gestite come ChatGPT, Runway e Meta AI potrebbero inviare in modo intermittente contenuti in forma codificata o tramite endpoint generati dinamicamente, il che può influire sull'applicazione delle policy.
I criteri destinati alle app non gestite possono acquisire le interazioni delle versioni consumer ed enterprise di un'app quando l'URL dell'app viene condiviso tra istanze (ad esempio, ChatGPT consumer e ChatGPT enterprise).
Quando si usa come destinazione un'app cloud non gestita in un criterio del browser di Edge for Business, il rilevamento si basa sul traffico dell'app di destinazione, che non è sempre esattamente lo stesso dell'app di origine.
Limiti delle dimensioni della valutazione inline: Microsoft Purview valuta fino a 4 MB di contenuto per uploadText e downloadText e file fino a 3 MB per uploadFile e downloadFile.
Nota
Le funzionalità dell'app cloud non gestita si applicano solo alla versione consumer di Microsoft 365 Copilot. Per altre informazioni sulla versione Enterprise e sulle funzionalità Purview disponibili, vedere Altre informazioni sulle protezioni di Microsoft 365 Copilot Enterprise.
Passaggi successivi
Dopo aver creato un criterio di raccolta, potrebbe essere necessario eseguire ulteriori passaggi a seconda delle impostazioni configurate.
- Se si abilita il rilevamento del browser, il servizio di gestione Microsoft Edge crea automaticamente i criteri di configurazione necessari per attivare i criteri di raccolta in Edge for Business. Per altre informazioni, vedere Attivare i criteri di Microsoft Purview in Microsoft Edge.
- Se si abilita il rilevamento della rete , è necessario aggiungere e configurare una o più integrazioni SASE (Secure Access Service Edge) o di browser aziendali sicuri non Microsoft per iniziare a rilevare il traffico di rete. Per ulteriori informazioni, consulta Integrazioni dei provider SASE.
Importante
Se i comportamenti automatici non vengono sincronizzati per il rilevamento del browser, Microsoft Purview mostra un messaggio di errore e i criteri non vengono applicati in Edge for Business. Per risolvere l'errore, un amministratore con le autorizzazioni necessarie deve eseguire di nuovo la sincronizzazione. Per altre informazioni, vedere attivare i criteri di Microsoft Purview in Microsoft Edge.
Funzionalità di pagamento in base al consumo
Alcune origini dati e funzionalità dei criteri di raccolta sono con pagamento in base al consumo e richiedono il collegamento di una sottoscrizione di Azure prima della creazione di un criterio. Altre informazioni sulle funzionalità di Microsoft Purview che usano la fatturazione con pagamento in base al consumo sono disponibili qui.
- Esperienze Copilot
- Intelligenza artificiale aziendale
- Attività delle app cloud non gestite rilevate tramite SASE non Microsoft e integrazioni di browser aziendali sicure tramite sicurezza dei dati di rete Microsoft Purview
- L'integrazione di Microsoft Entra Global Secure Access con la sicurezza dei dati di rete Purview è concessa in licenza per postazione e non richiede pagamenti in base al consumo. Per altre informazioni, vedere Informazioni sulla sicurezza dei dati di rete di Microsoft Purview.
- Attività delle app cloud non gestite rilevata tramite i criteri di Microsoft Purview che usano protezioni dei dati inline per il browser.
Informativa sulla privacy per l'intelligenza artificiale aziendale e la sicurezza dei dati di rete
Le origini dati IA aziendali e le integrazioni di sicurezza dei dati di rete potrebbero richiedere l'integrazione con un'app o un provider di terze parti. Se si sceglie di abilitare un'integrazione di terze parti, questa ottiene l'accesso e potrebbe archiviare alcune configurazioni dei criteri, inclusi gli identificatori utente. In questo caso, i termini, le condizioni e l'informativa sulla privacy della terza parte regolano l'uso e l'archiviazione di questi dati.