Guida di Microsoft Purview Information Protection per il governo australiano

Questa Microsoft Purview Information Protection Guide è stata preparata da Microsoft per l'uso da parte del governo australiano e di altre organizzazioni interessate. Il suo scopo è aiutare le organizzazioni governative australiane a migliorare il proprio livello di sicurezza dei dati, rispettando al contempo i requisiti di classificazione e protezione delle informazioni. Le indicazioni fornite in questa guida sono destinate ad allinearsi il più possibile ai requisiti stabiliti nel Protected Security Policy Framework (PSPF) e nell'Information Security Manual (ISM). Le indicazioni fornite in questa guida si allineeranno e supporteranno anche le configurazioni consigliate tramite il Blueprint for Secure Cloud di ASD.

Questa guida è rivolta a Chief Data Officer (CDO), Chief Technology Officer (CTO), Chief Security Officer (CSO), Chief Information Security Officer (CISO), responsabili del rischio o della conformità, privacy delle informazioni o altri ruoli di gestione delle informazioni.

Il modello di maturità di Microsoft Purview per il governo australiano è stato creato per aiutare le organizzazioni a capire da dove dovrebbe iniziare l'iniziativa Microsoft Purview e cosa devono fare per aumentare la maturità e il livello di conformità per la sicurezza dei dati.

Questa guida è scritta per una tipica organizzazione governativa, con esempi scritti applicabili a questo scopo. Tuttavia, ogni organizzazione governativa deve adattare la guida per soddisfare i propri requisiti unici.

La sezione della guida intitolata Mapping dei requisiti per le funzionalità del governo australiano include un elenco dei requisiti PSPF, insieme a una spiegazione di come le funzionalità di Microsoft Purview possono essere configurate per allinearsi a ogni requisito e un collegamento alle sezioni della guida corrispondenti. Vengono inoltre discussi i requisiti del Manuale di sicurezza delle informazioni (ISM) e dello Standard di metadati del governo australiano (AGRkMS).

Panoramica dell'architettura

Questa guida usa tre funzionalità chiave per soddisfare i requisiti di classificazione e protezione delle informazioni governative, vale a dire:

• Etichette sulla riservatezza
• Prevenzione della perdita dei dati (DLP)
• Etichettatura automatica della riservatezza

Il diagramma seguente offre una panoramica concettuale dell'interazione tra queste tre funzionalità di Microsoft 365, insieme ad esempi di utilizzo.

Etichette sulla riservatezza

Microsoft Purview Information Protection include una funzionalità denominata etichettatura di riservatezza. Le etichette sulla riservatezza consentono agli utenti di applicare etichette a elementi come file e messaggi di posta elettronica. Queste etichette possono essere allineate con i controlli di sicurezza dei dati per proteggere le informazioni raccolte. L'etichettatura di riservatezza può essere estesa anche ad altri servizi, ad esempio siti di SharePoint, team e riunioni.

Le etichette di riservatezza, se allineate ai requisiti di classificazione di un'organizzazione, come quelli definiti nel Protective Security Policy Framework (PSPF), consentono di gestire le etichette come classificazioni. Ci forniscono marcature visive tramite l'interfaccia utente e altre opzioni di marcatura. Ad esempio:

I controlli di sicurezza dei dati che possono essere applicati tramite etichette di riservatezza includono:

• La possibilità di crittografare gli elementi, impedendo l'accesso a utenti non autorizzati.
• La possibilità di fornire consigli sulle etichette agli utenti quando vengono rilevate informazioni sensibili.
• Controllo dell'accesso degli utenti esterni alle posizioni etichettate.
• Controllo delle impostazioni di sicurezza delle riunioni di Teams per le riunioni a cui sono applicate determinate etichette.

Etichettatura dell'esperienza client

Come illustrato nel supporto client di Microsoft Office, gli utenti interagiscono in genere con gli elementi etichettati tramite un client Office di Microsoft 365 Apps, un client basato sul Web o un dispositivo mobile equivalente. Questi client consentono agli utenti di applicare etichette agli elementi:

Se un utente dimentica di applicare un'etichetta a un elemento, il cliente chiede all'utente di applicare un'etichetta prima di salvare l'elemento o, se un'e-mail, prima di inviarlo.

Mentre un utente sta lavorando su un elemento, se non è ancora stata applicata un'etichetta e vengono rilevate informazioni allineate a una classificazione di sicurezza, è possibile fornire all'utente un suggerimento sull'etichetta . Se viene rilevato contenuto riservato allineato a una classificazione superiore rispetto a quella attualmente applicata, è possibile fornire all'utente un suggerimento per aumentare la riservatezza dell'elemento.

Tali raccomandazioni aiutano a garantire l'accuratezza dell'etichetta. L'accuratezza dell'etichetta è importante in quanto molti controlli che regolano il flusso di informazioni si basano sulla sensibilità dell'elemento.

Applicabilità a Copilot per Microsoft 365

Microsoft Copilot eredita le molteplici forme di protezione di Microsoft 365 contro la compromissione e l'accesso non autorizzato. Il modello di autorizzazione all'interno di Microsoft 365 garantisce che le informazioni non possano essere divulgate intenzionalmente tra utenti e gruppi.

Le mitigazioni dei rischi delle informazioni fornite da Microsoft Purview sono complementari a Copilot per Microsoft 365. L'esempio più semplice è attraverso l'ereditarietà delle etichette. Se Copilot viene usato per generare un elemento in base a un elemento di origine, ad esempio per generare un riepilogo di un documento di Word di origine, tutte le etichette di riservatezza applicate all'elemento di origine vengono ereditate dall'elemento generato. Ciò consente di garantire che le protezioni applicate alle informazioni vengano mantenute quando le informazioni vengono modificate.

Quando si valutano i potenziali problemi di sicurezza che potrebbero derivare dall'abilitazione di Copilot per Microsoft 365, i rischi possono essere raggruppati in tre categorie:

1. Fuga di dati dallo strumento di IA: il contenuto generato da Copilot potrebbe contenere informazioni sensibili.
2. Condivisione eccessiva dei dati: gli utenti potrebbero distribuire elementi generati da Copilot che contengono informazioni sensibili.
3. Fuga di dati nello strumento di intelligenza artificiale: gli utenti potrebbero inavvertitamente far trapelare dati sensibili in Copilot.

Le funzionalità seguenti, illustrate in questa guida, sono in grado di mitigare la perdita di dati da Copilot e i rischi di condivisione eccessiva dei dati:

• L'identificazione delle informazioni indica se il contenuto generato o il contenuto condiviso contiene informazioni sensibili o classificate di sicurezza. I controlli proteggono le informazioni automaticamente.
• L'etichettatura automatica basata sul client identifica quando un elemento generato contiene informazioni riservate e fornisce un suggerimento per l'etichetta all'utente. L'etichetta è soggetta a controlli basati su etichette.
• La configurazione di gruppi e siti di etichette applica i controlli di sicurezza alle posizioni, incluse restrizioni sulla condivisione e sull'accesso degli utenti esterni. Se un elemento generato da Copilot viene spostato in una posizione non ritenuta sicura per l'etichetta applicata all'elemento, vengono visualizzati avvisi per consentire la pulizia.
• Le regole DLP che proteggono le informazioni classificate, se abbinate alla configurazione obbligatoria dell'etichettatura, si applicano a tutti i documenti e i messaggi di posta elettronica di Office. A causa dell'ereditarietà delle etichette, il contenuto generato da Copilot eredita le etichette applicate alle informazioni di origine, il che significa che rientreranno anche nell'ambito dei criteri DLP basati su etichette pertinenti.
• Le regole DLP che proteggono le informazioni sensibili garantiscono che, indipendentemente dall'etichetta applicata a un elemento, vengano applicati i controlli di sicurezza corretti. In questo modo, nel caso in cui Copilot abbia utilizzato informazioni riservate in un elemento generato, le informazioni siano protette dalla condivisione eccessiva.
• La crittografia delle etichette di riservatezza impedisce la condivisione eccessiva, assicurando che solo gli utenti autorizzati possano accedere agli elementi classificati di sicurezza. Inoltre, le autorizzazioni di crittografia impediscono a Copilot di visualizzare elementi altamente sensibili, riducendo il rischio che le informazioni siano incluse nei contenuti generati.

Per ulteriori informazioni specifiche su Copilot per Microsoft 365 su questi controlli, vedere Considerazioni sulla protezione delle informazioni per Copilot.

Per quanto riguarda i rischi relativi alla perdita di dati negli strumenti di intelligenza artificiale, la crittografia delle etichette di riservatezza è rilevante a questo scopo. Altri controlli non sono specifici di Microsoft Purview e non sono trattati in questa guida. Tuttavia, i collegamenti seguenti forniscono informazioni rilevanti:

• La ricerca di SharePoint con restrizioni consente alle organizzazioni di limitare Copilot per Microsoft 365 solo all'accesso a un elenco approvato di un massimo di 100 siti. L'implementazione di questa funzionalità può contribuire a ridurre il rischio che Copilot indicizzi informazioni a cui le organizzazioni non sono preparate per l'accesso. Questa funzionalità consente di abilitare Copilot durante l'implementazione dell'elenco precedente di controlli di Microsoft Purview e la risoluzione di eventuali sovracondivisioni esistenti dovute ad autorizzazioni inappropriate. Una volta attenuato il potenziale rischio informativo, RSS viene disabilitato per consentire agli utenti di sfruttare appieno le funzionalità di Copilot.
• I report sulla governance dell'accesso ai dati, inclusi in SharePoint Premium, possono essere usati per individuare i siti con contenuti potenzialmente condivisi in eccesso o riservati in modo da poter essere risolti.
• La gestione del ciclo di vita dei siti, inclusa in SharePoint Premium, può essere usata per rilevare e agire automaticamente sui siti inattivi. La rimozione dei siti inattivi consente di garantire che le informazioni a cui Copilot ha accesso siano aggiornate e pertinenti.

Contattaci

Se desideri contattare i creatori di questa guida per discutere delle indicazioni fornite, non esitare a farlo tramite AUGovMPIPGuide@microsoft.com.