Informazioni sul flusso di lavoro Indagini sulla sicurezza dei dati

Il flusso di lavoro Indagini sulla sicurezza dei dati consente di identificare, indagare e intervenire rapidamente sui dati associati a eventi imprevisti di sicurezza e violazione dei dati. Questo flusso di lavoro non è un processo lineare. Include requisiti di iterazione significativi per molti dei passaggi per ottimizzare le ricerche, la raccolta di prove, la classificazione e l'indagine usando l'intelligenza artificiale e le attività.

Per identificare e intervenire sui dati e sull'accesso viene usato il flusso di lavoro seguente:

Passaggio 1: identificare e inoltrare gli incidenti

Identificare un evento imprevisto di sicurezza dei dati

Le violazioni dei dati e altri eventi imprevisti di sicurezza dei dati richiedono un'azione rapida per identificare e contenere i potenziali rischi per l'organizzazione. È necessario identificare rapidamente questi incidenti e semplificare una risposta integrata. Indagare su un incidente di sicurezza dei dati può essere scoraggiante. Potrebbe includere flussi di lavoro inefficienti su più strumenti, lavoro manuale e complessità aggiuntiva man mano che l'indagine aumenta di dimensioni. Potresti dover affrontare revisioni laboriose dei dati interessati e dell'aumento dei costi.

Indagini sulla sicurezza dei dati consente di analizzare e ridurre gli incidenti di sicurezza dei dati e accelera i tempi di risoluzione. Dopo aver identificato un incidente di sicurezza dei dati, crea una nuova indagine per consentire al team di sicurezza dei dati di identificare i dati correlati all'incidente, condurre un'analisi approfondita del contenuto e ridurre i rischi all'interno di un'unica soluzione unificata.

Inoltrare un evento imprevisto di sicurezza dei dati da Microsoft Defender XDR

Se usi già Microsoft Defender XDR nella tua organizzazione, l'integrazione con Indagini sulla sicurezza dei dati ti consente di creare rapidamente e senza problemi una nuova indagine. L'indagine include automaticamente tutti gli elementi di dati correlati all'evento imprevisto dal nodo evento imprevisto di Defender XDR.

Inoltrare un incidente di sicurezza dei dati da Insider Risk Management

Se si usa già Gestione rischi Insider nell'organizzazione, l'integrazione con Indagini sulla sicurezza dei dati consente di creare rapidamente una nuova indagine per le attività rischiose identificate dagli utenti.

Escalation da un approfondimento in Gestione della postura di sicurezza dei dati

Se usi già la Gestione della postura di sicurezza dei dati nell'organizzazione, l'integrazione con Indagini sulla sicurezza dei dati ti consente di creare rapidamente una nuova indagine a partire da potenziali risultati e approfondimenti sull'esfiltrazione dei dati.

Passaggio 2: Creare un'indagine e trovare i dati interessati

La creazione di un'indagine in Indagini sulla sicurezza dei dati è semplice e veloce. A seconda dello scenario, è possibile creare indagini da:

• Eventi imprevisti di Microsoft Defender XDR: creare un'indagine da un evento imprevisto di Defender XDR.
• Gestione dei rischi Insider di Microsoft Purview: creare un'indagine da Insider Risk Management.
• Informazioni dettagliate sulla gestione della postura di sicurezza dei dati: crea un'indagine dai risultati dell'esfiltrazione della Gestione della postura di sicurezza dei dati o abilita informazioni dettagliate proattive sull'intelligenza artificiale che creano automaticamente un'indagine.
• Manualmente usando la modalità bozza completa: creare un'indagine usando l'opzione modalità bozza completa per configurare origini dati e condizioni di ricerca specifiche.

Passaggio 3: Cercare, valutare i risultati e rivedere

Dopo aver creato un'indagine, è possibile esaminare e aggiornare le origini dati. Usa gli strumenti di ricerca per identificare gli elementi correlati all'evento imprevisto di sicurezza dei dati. Questa recensione include elementi dei servizi Microsoft 365 seguenti:

È possibile creare ed eseguire diverse ricerche associate a un'indagine. Usare condizioni come parole chiave, tipi di file, eventi imprevisti e altro nel generatore di query per creare query di ricerca personalizzate. Queste query restituiscono risultati con i dati più probabilmente rilevanti per l'evento imprevisto di sicurezza dei dati. È anche possibile usare la ricerca di controllo per identificare il contenuto in base alle attività degli utenti registrate nel log di controllo unificato, ad esempio i file a cui si accede, i download e le modifiche alle etichette di riservatezza. Inoltre, è possibile usare la raccolta di prove sulla prevenzione della perdita dei dati degli endpoint per eseguire query sui dati acquisiti dai criteri di prevenzione della perdita dei dati degli endpoint nei dispositivi di cui è stato eseguito l'onboarding.

Passaggio 4: Aggiungere dati all'ambito dell'indagine

Dopo aver esaminato e perfezionato la query di ricerca, aggiungere tutti gli elementi di dati pertinenti all'ambito di indagine. In questo passaggio si filtrano ed esaminano elementi di dati specifici. È inoltre possibile identificare gli elementi che non si desidera esaminare usando gli strumenti di intelligenza artificiale nelle Indagini sulla sicurezza dei dati.

Passaggio 5(a): Analizzare gli elementi

Dopo aver aggiunto elementi di dati all'ambito dell'indagine, iniziare a perfezionare e limitare i dati agli elementi più rilevanti per l'indagine. Restringere gli elementi alla quantità minima di dati applicabili consente di aumentare la velocità e ridurre i costi associati all'elaborazione dell'intelligenza artificiale.

In questo passaggio eseguire le operazioni seguenti:

• Seleziona elementi specifici da aggiungere direttamente al piano di mitigazione , se applicabile.
• Identificare o escludere elementi specifici dall'elaborazione IA.

Dopo aver aggiunto elementi di dati all'ambito di indagine, il sistema prepara automaticamente tutti gli elementi. Questa vettorializzazione automatica consente ricerche semantiche e categorizzazione dei dati.

Passaggio 5(b): Investiga con l'intelligenza artificiale

Dopo il completamento dell'aggiungi all'ambito per gli elementi di dati nell'indagine, iniziare a usare strumenti correlati all'intelligenza artificiale per limitare l'ambito dell'indagine solo agli elementi più critici e di impatto.

Usare gli strumenti e le azioni seguenti nella revisione per identificare e intervenire su elementi di dati specifici:

• Usare la ricerca vettoriale per le query in linguaggio naturale per identificare gli elementi da revisionare.
• Usa Cerca con l'intelligenza artificiale (anteprima) con query e parole chiave in linguaggio naturale per riepilogare i risultati della ricerca per la revisione.
• Definire e configurare categorie basate sull'intelligenza artificiale per il contenuto.
• Usare aree di esame predefinite e personalizzate per gli elementi selezionati.
• Selezionare gli elementi da aggiungere al piano di mitigazione.

Passaggio 6: Intraprendere azioni per mitigare il problema

Dopo aver identificato gli elementi più rilevanti e di impatto associati all'evento imprevisto di sicurezza dei dati, intraprendere azioni specifiche per ridurre i rischi.

• Esaminare i suggerimenti per la mitigazione: quando si selezionano elementi per l'esame e si sceglie Mitigazione come area di interesse, la soluzione crea suggerimenti per la mitigazione. L'elaborazione automatizzata dell'IA identifica le minacce correlate e consiglia i passaggi di mitigazione.
• Esaminare gli esami delle credenziali: quando si selezionano gli elementi per l'esame e si sceglie Credenziali come area di interesse, la soluzione identifica le credenziali e altri esami delle risorse di accesso. L'elaborazione dell'analisi IA identifica e genera automaticamente i dettagli, il tipo e le raccomandazioni specifiche delle credenziali.
• Rivedere gli esami dei rischi: quando si selezionano gli elementi per l'esame e si sceglie Rischi come area di interesse, la soluzione crea automaticamente un punteggio e un esame dei rischi per la sicurezza. Il punteggio di rischio consente di definire le priorità delle azioni di mitigazione per gli elementi di dati più impattanti e rischiosi.
• Esaminare gli esami dei dati personali: quando si selezionano gli elementi per l'esame e si scelgono i dati personali come area di interesse, la soluzione identifica ed estrae i dati personali dagli elementi selezionati. L'elaborazione dell'analisi IA identifica automaticamente i tipi di informazioni personali, estrae i valori e fornisce il contesto circostante.
• Usa il piano di mitigazione: dopo aver esaminato gli esami e le raccomandazioni, aggiungi elementi di dati specifici dall'ambito dell'indagine al piano di mitigazione. Questo piano consente di gestire e tenere traccia dello stato di mitigazione per ogni elemento di dati.
• Eliminare gli elementi, se necessario: creare una query di ricerca e salvarla come query di eliminazione per identificare e rimuovere gli elementi nell'organizzazione. È possibile eliminare temporaneamente gli elementi per spostarli nella cartella degli elementi ripristinabili o eliminare definitivamente gli elementi.

Procedure consigliate

• Itera e usa l'analisi IA con saggezza: le indagini raramente vengono completate in un unico passaggio. Utilizza i suggerimenti IA nella categorizzazione e nella ricerca vettoriale per scoprire problemi nascosti. Convalida sempre qualsiasi risultato critico usando il giudizio umano. Il giudizio dell'investigatore è fondamentale nel processo decisionale critico.
• Mantieni focalizzato l'ambito dell'indagine: è facile essere sopraffatti man mano che si scoprono altri dati. Usa la categorizzazione per escludere informazioni irrilevanti e concentrarti principalmente su eventuali elementi rischiosi.
• Engage fin dall'inizio i team giusti dell'organizzazione: gli incidenti di sicurezza dei dati spesso abbracciano più aree. Queste aree possono includere la sicurezza, l'IT e la conformità nell'organizzazione. Condividere con i team partner non appena si identificano le aree che richiedono un intervento.
• Usa servizi Microsoft integrati: le indagini sulla sicurezza dei dati fanno parte del più ampio ecosistema Microsoft Purview e Defender. Se l'indagine suggerisce un rischio Insider, aprire un caso di gestione dei rischi Insider . Se è iniziato da un avviso di Microsoft Defender XDR, aggiornare l'evento imprevisto con i risultati trovati. L'obiettivo è una visualizzazione end-to-end dell'evento imprevisto nell'organizzazione.

Notifiche di Email e portale

Indagini sulla sicurezza dei dati invia notifiche per informare gli investigatori sullo stato di configurazione e tenerli aggiornati sull'avanzamento delle indagini. Le notifiche vengono recapitate tramite il Centro notifiche di Microsoft Purview (icona della campana nel portale Microsoft Purview) e la posta elettronica. Email notifiche includono il nome dell'indagine come intestazione e un pulsante che collega direttamente alla pagina pertinente nel portale di Microsoft Purview.

La tabella seguente descrive le notifiche associate alla configurazione e all'onboarding:

Pronti per iniziare?

• Introduzione alle Indagini sulla sicurezza dei dati