Prerequisiti per Microsoft Purview Information Protection per il governo australiano

Questo articolo fornisce indicazioni per le organizzazioni governative australiane sui servizi e sui componenti che devono essere distribuiti in un'organizzazione per usare al meglio l'etichettatura di riservatezza e altre funzionalità di Microsoft Purview. Il suo scopo è aiutare le organizzazioni a comprendere i prerequisiti tecnici per la distribuzione di Microsoft Purview Information Protection per soddisfare i requisiti delineati nel Protective Security Policy Framework (PSPF) e nel Manuale sulla sicurezza delle informazioni (ISM).

Per usare al meglio le configurazioni descritte in questa guida, le organizzazioni devono implementare il seguente set di base di servizi Microsoft 365:

• Exchange Online
• Microsoft Office Online o Microsoft 365 Apps Client di Office
• SharePoint Online
• Microsoft Teams

Le configurazioni discusse in questa guida si riferiscono a contrassegni e classificazioni fino a PROTECTED incluso, le organizzazioni dovrebbero utilizzare anche i requisiti dell'ambiente PROTECTED al di fuori dello scopo di questa guida.

Allineamento del progetto ASD

  Il progetto di ASD per Secure Cloud fornisce indicazioni dettagliate sulla configurazione per Microsoft Purview Information Protection e i relativi servizi Microsoft 365. Le organizzazioni dovrebbero esaminare le linee guida del Blueprint insieme a questo articolo, in particolare:

• Microsoft Purview Design
• Tassonomie delle etichette di riservatezza
• Criteri di pubblicazione delle etichette
• Criteri di prevenzione della perdita dei dati (DLP)
• Criteri di etichetta automatica 

Le raccomandazioni in questo articolo hanno lo scopo di integrare e sviluppare le linee guida del progetto ASD. Il progetto ASD fornisce una configurazione standard appropriata per la maggior parte degli enti governativi, mentre il contenuto incluso in questo e negli articoli associati si basa sullo standard e presenta opzioni per un ulteriore miglioramento delle configurazioni di sicurezza dei dati.

Supporto client Microsoft Office

Il supporto client è fondamentale per un'implementazione corretta delle funzionalità di Microsoft Purview Information Protection. Per facilitare l'applicazione delle etichette, i client usati dagli utenti per interagire con i file di Office, la posta elettronica e altri servizi devono essere compatibili con le etichette e Microsoft 365. Funzionalità, ad esempio i suggerimenti per le etichette (forniti tramite l'etichettatura automatica basata sul client) e le funzionalità DLP all'interno del client, ad esempio i suggerimenti per i criteri, dipendono dalla versione del client di Office. Questa sezione illustra le versioni client di Microsoft Office che supportano questa integrazione e cerca di identificare eventuali prerequisiti necessari prima della distribuzione di Purview.

Microsoft 365 Apps for Enterprise

Microsoft 365 Apps è una versione di Microsoft Office che consente l'integrazione con la famiglia di servizi Microsoft 365. Poiché Microsoft 365 è un servizio basato sul cloud in continua evoluzione, la versione Microsoft 365 Apps del client di Office riceve un'elevata frequenza di aggiornamenti per tenere il passo con la piattaforma cloud. Questa integrazione tra il client di Office e i servizi cloud Microsoft 365 consente di rendere disponibile agli utenti un set di funzionalità più ampio rispetto a quello ottenibile con i client di Office autonomi. I client tradizionali offrono un set di funzionalità statiche e ricevono gli aggiornamenti della sicurezza, ma in genere non ricevono le funzionalità appena rilasciate o l'accesso alle funzionalità incentrate sul cloud.

Per altre informazioni sui canali di aggiornamento disponibili per Microsoft 365 Apps, vedere Panoramica dei canali di aggiornamento per Microsoft 365 Apps.

Supporto client per Mac, iOS e Android

Le nuove funzionalità di Purview vengono in genere rese disponibili prima per la versione di Office di Microsoft 365 Apps basata su Windows e quindi per altre versioni di Office. Per lo stato delle funzionalità delle versioni client, vedere le versioni minime per le etichette di riservatezza in client diversi. Le organizzazioni che distribuiscono Microsoft 365 devono esaminare queste informazioni per assicurarsi che tutte le funzionalità desiderate siano disponibili nelle versioni usate dall'organizzazione.

Client Web di Microsoft 365

Versioni minime per le etichette di riservatezza in Microsoft 365 Apps include anche informazioni sulle funzionalità supportate dai client Web di Microsoft 365. Queste informazioni devono essere esaminate per assicurarsi che tutte le funzionalità di etichette di riservatezza richieste dall'organizzazione siano disponibili per i client Web.

Vale anche la pena notare che Microsoft Edge Chromium include funzionalità di prevenzione della perdita dei dati Microsoft. Tali funzionalità possono essere aggiunte ad altri browser come Chrome e Firefox tramite estensioni. Ad esempio, l'estensione Microsoft Purview per Chrome e l'estensione Microsoft Purview per Firefox. Queste funzionalità DLP possono aiutare a prevenire l'esfiltrazione di elementi classificati per la sicurezza o altrimenti sensibili, quindi dovrebbero essere prese in considerazione per la distribuzione se questi browser vengono utilizzati nell'organizzazione.

Richiesta dei requisiti del cliente

Le applicazioni client che comprendono il requisito di un utente di applicare classificazioni di sicurezza agli elementi consentono di fornire un aiuto costringendo gli utenti ad applicare le classificazioni al momento della creazione degli elementi. Una volta che gli articoli sono classificati e contrassegnati, è possibile applicare controlli operativi per proteggere il contenuto incluso dell'elemento. Tale configurazione viene spesso definita "etichettatura obbligatoria". All'interno di Microsoft 365, ciò si ottiene principalmente tramite un'opzione dei criteri di etichetta, descritta nell'etichettatura obbligatoria. L'etichettatura obbligatoria ci consente di soddisfare il requisito della versione 2026 59:

Per dimostrare l'importanza dell'etichettatura obbligatoria, considera un messaggio di posta elettronica inviato senza prima applicare un contrassegno protettivo, che potrebbe verificarsi a causa della mancanza di assistenza clienti. In tali situazioni, si deve presumere che l'utente non abbia avuto l'opportunità di valutare la riservatezza delle informazioni allegate. Dobbiamo quindi presumere che la distribuzione dell'articolo sia ad alto rischio. Le opzioni per applicare l'etichettatura obbligatoria possono essere applicate solo dai client che sono a conoscenza della configurazione di Microsoft Purview di un'organizzazione. Per questo motivo, le organizzazioni dovrebbero considerare di garantire che gli utenti possano accedere ai servizi di Microsoft 365 solo tramite client che supportano tale integrazione di Microsoft Purview.

La limitazione dell'accesso ai servizi di Microsoft 365 tramite client con riconoscimento delle etichette consente alle organizzazioni di raggiungere gli obiettivi di classificazione e controllo degli accessi. La sezione 9 del PSPF richiede che la sensibilità delle informazioni sia valutata e classificata in modo appropriato, mentre la sezione 17 del PSPF richiede che l'accesso alle informazioni sia limitato in base alle esigenze aziendali e alla sensibilità delle informazioni. Le funzionalità di controllo degli accessi di Microsoft 365, tra cui la prevenzione della perdita dei dati (DLP), la crittografia delle etichette di riservatezza, si basano su etichette di riservatezza accurate applicate agli elementi.

L'applicazione dell'uso di client con riconoscimento delle etichette può essere ottenuta tramite criteri di accesso condizionale che richiedono app client approvate. Per altre informazioni su queste funzionalità, vedere Richiedere app client approvate o criteri di protezione delle app.

Integrazione PDF

I client di Microsoft 365 Apps basati su Windows includono la possibilità di mantenere le etichette applicate ai documenti di Office quando vengono esportati come file PDF. Questi PDF mantengono le impostazioni di protezione applicate ai file di Office di origine, inclusa la crittografia.

I documenti PDF protetti possono essere letti in lettori PDF sensibili alle etichette, tra cui Microsoft Edge, Chrome, Foxit Reader, Nitro PDF, Gaaiho Doc e Adobe Reader.

Le organizzazioni governative dovrebbero distribuire e usare client PDF o plug-in client con riconoscimento delle etichette. Tali client consentono di mantenere una chiara identificazione delle informazioni riservate e l'applicazione dei controlli quando gli elementi vengono esportati in PDF.

Riconoscimento ottico dei caratteri

Il riconoscimento ottico dei caratteri (OCR) può essere utilizzato per scansionare il contenuto di immagini e PDF basati su immagini. Una volta analizzate, possono essere applicate le funzionalità di Microsoft Purview, ad esempio la prevenzione della perdita di dati (DLP). OCR può anche migliorare l'efficacia dell'individuazione del contenuto, dell'etichettatura automatica e di altre funzionalità di classificazione di Microsoft Purview quando le informazioni riservate sono archiviate in contenuti basati su immagini. L'OCR può essere particolarmente efficace se usato per identificare i contrassegni del contenuto tramite tipi di informazioni sensibili. I SIT per identificare i contrassegni di protezione includono un elenco di SIT che possono essere configurati e usati per identificare i contrassegni di protezione. Dopo la configurazione di questi SIT e l'abilitazione dell'OCR, SharePoint indicizzerà il testo dal contenuto basato su immagini e identificherà se contengono un contrassegno protettivo. Se viene identificata una marcatura protettiva, l'elemento basato su immagini può essere protetto tramite qualsiasi criterio DLP destinato al SIT associato. Esempi di criteri DLP basati su SIT che si applicano al contenuto indicizzato basato su immagini sono disponibili in Controllo della posta elettronica delle informazioni contrassegnate.

Per altre informazioni sulla configurazione e l'uso di OCR, vedere Informazioni sul riconoscimento ottico dei caratteri in Microsoft Purview.

Licenze necessarie

L'uso entry level delle funzionalità di Purview Information Protection richiede una licenza E3. Tuttavia, la maggior parte delle organizzazioni governative dovrebbe prendere in considerazione l'uso di Microsoft 365 E5 (o componenti aggiuntivi equivalenti della famiglia di prodotti Microsoft Purview) per soddisfare meglio i requisiti di sicurezza dei dati.

La tabella seguente include un sottoinsieme di casi d'uso comuni da parte del governo e la relativa licenza minima richiesta per eseguire tale caso d'uso.

Le funzionalità di conformità incluse in Microsoft 365 E5 offrono automazione e controlli avanzati che possono aiutare le organizzazioni a raggiungere livelli più elevati di maturità per la conformità e la sicurezza dei dati.

Un fattore importante per raggiungere livelli più elevati di maturità della conformità è l'uso dell'etichettatura automatica della sensibilità. L'etichettatura automatica consente alle organizzazioni governative di rispettare le classificazioni applicate esternamente. Se un messaggio di posta elettronica è classificato e contrassegnato da un'entità, quando inviato a una seconda entità l'elemento rimane contrassegnato ma, per impostazione predefinita, non viene etichettato. Poiché il messaggio di posta elettronica non ha un'etichetta, non rientra nell'ambito di una serie di controlli di sicurezza dei dati basati su etichette, come i criteri DLP. L'etichettatura automatica consente di interpretare i contrassegni di protezione (come definito in Australian Government Email Protective Marking Standard) nei messaggi di posta elettronica al momento della ricezione. Una volta interpretata, viene applicata un'etichetta di corrispondenza durante la trasmissione, assicurando che tutti i controlli pertinenti si applichino all'elemento da quel punto in poi. Ciò includerà criteri DLP che impediscono a Copilot di accedere agli elementi con determinate etichette di riservatezza applicate.