Framework di protezione dei dati con i criteri di protezione delle app

Man mano che sempre più organizzazioni implementano strategie di dispositivi mobili per l'accesso ai dati aziendali o dell'istituto di istruzione, la protezione contro la perdita di dati diventa fondamentale. La soluzione di gestione delle applicazioni mobili di Intune per la protezione dalla perdita di dati sono i criteri di protezione delle app. Questi criteri sono regole che garantiscono che i dati di un'organizzazione rimangano al sicuro o contenuti in un'app gestita, indipendentemente dal fatto che il dispositivo sia registrato. Per altre informazioni, vedere Panoramica dei criteri di protezione di app.

Quando si configurano i criteri di protezione delle app, il numero di impostazioni e opzioni diverse consente alle organizzazioni di personalizzare la protezione in base alle proprie esigenze specifiche. Grazie a questa flessibilità, potrebbe non essere ovvio quale permutazione delle impostazioni dei criteri sia necessaria per implementare uno scenario completo. Per aiutare le organizzazioni a dare priorità alle attività di protezione avanzata degli endpoint client, Microsoft ha introdotto una nuova tassonomia per le configurazioni di sicurezza in Windows e Intune sta sfruttando una tassonomia simile per i suoi criteri di protezione delle app, framework di protezione dei dati per la gestione delle app mobili.

Il framework di configurazione della protezione dei dati dei criteri di protezione delle app è organizzato in tre scenari di configurazione distinti:

• Protezione dei dati di base aziendale di livello 1: Microsoft consiglia questa configurazione come configurazione minima per la protezione dei dati per un dispositivo aziendale.

• Protezione dei dati avanzata per le aziende di livello 2 – Microsoft consiglia questa configurazione per i dispositivi in cui gli utenti accedono a informazioni sensibili o riservate. Questa configurazione è applicabile alla maggior parte degli utenti mobili che accedono ai dati aziendali o dell'istituto di istruzione. Alcuni controlli possono influire sull'esperienza utente.

• Livello 3 protezione dei dati aziendali elevata: Microsoft consiglia questa configurazione per i dispositivi gestiti da un'organizzazione con un team di sicurezza più grande o più sofisticato o per utenti o gruppi specifici che sono a rischio elevato in modo univoco (utenti che gestiscono dati altamente sensibili in cui la divulgazione non autorizzata causa perdite materiali considerevoli per l'organizzazione). Un'organizzazione che potrebbe essere presa di mira da avversari sofisticati e ben finanziati dovrebbe aspirare a questa configurazione.

Criteri di protezione delle app Metodologia di distribuzione del framework di protezione dei dati

Come per qualsiasi distribuzione di nuovo software, funzionalità o impostazioni, Microsoft consiglia di investire in una metodologia ring per testare la convalida prima di distribuire il framework di protezione dei dati dei criteri di protezione delle app. La definizione degli anelli di distribuzione è in genere un evento una tantum (o almeno poco frequente), ma l'IT dovrebbe rivedere questi gruppi per assicurarsi che la sequenziazione sia ancora corretta.

Microsoft consiglia l'approccio dell'anello di distribuzione seguente per il framework di protezione dei dati dei criteri di protezione delle app:

Come indicato nella tabella precedente, tutte le modifiche ai criteri di protezione delle app devono essere prima eseguite in un ambiente di pre-produzione per comprendere le implicazioni per l'impostazione dei criteri. Una volta completato il test, le modifiche possono essere spostate in produzione e applicate a un sottoinsieme di utenti di produzione, in genere il reparto IT e altri gruppi applicabili. E infine, il rollout può essere completato per il resto della comunità di utenti mobili. L'implementazione in produzione potrebbe richiedere più tempo a seconda della portata dell'impatto relativo alla modifica. Se non c'è impatto sull'utente, la modifica dovrebbe essere implementata rapidamente, mentre, se la modifica comporta un impatto sull'utente, potrebbe essere necessario rallentare l'implementazione a causa della necessità di comunicare le modifiche alla popolazione di utenti.

Quando si testano le modifiche a un criterio di protezione delle app, tenere presente i tempi di recapito. È possibile monitorare lo stato di recapito dei criteri di protezione delle app per un determinato utente. Per altre informazioni, vedere Come monitorare i criteri di protezione delle app.

Le impostazioni specifiche dei criteri di protezione delle app per ogni app possono essere convalidate nei dispositivi usando Microsoft Edge e l'URL about:Intunehelp. Per altre informazioni, vedere Esaminare i log di protezione delle app client e Usare Microsoft Edge per iOS e Android per accedere ai log delle app gestite.

Criteri di protezione delle app Impostazioni del framework di protezione dei dati

Le impostazioni dei criteri di protezione delle app seguenti devono essere abilitate per le app applicabili e assegnate a tutti gli utenti mobili. Per altre informazioni su ogni impostazione dei criteri, vedere Impostazioni dei criteri di protezione delle app iOS e Impostazioni dei criteri di protezione delle app Android.

Microsoft consiglia di esaminare e classificare gli scenari di utilizzo e quindi di configurare gli utenti usando le indicazioni prescrittive per tale livello. Come per qualsiasi framework, potrebbe essere necessario adattare le impostazioni all'interno di un livello corrispondente in base alle esigenze dell'organizzazione perché la protezione dei dati deve valutare l'ambiente delle minacce, la propensione al rischio e l'impatto sull'usabilità.

Gli amministratori possono incorporare i livelli di configurazione seguenti all'interno della metodologia di distribuzione dell'anello per i test e l'uso in produzione importando i modelli JSON di esempio di Intune App Protection Policy Configuration Framework con gli script PowerShell di Intune.

Criteri di accesso condizionale

Per garantire che solo le app che supportano i criteri di protezione delle app accedano ai dati dell'account aziendale o dell'istituto di istruzione, sono necessari i criteri di accesso condizionale di Microsoft Entra. Questi criteri sono descritti in Accesso condizionale: Richiedere app client approvate o criteri di protezione delle app.

Vedere Richiedere app client approvate o criteri di protezione delle app con dispositivi mobili in Accesso condizionale: Richiedere app client approvate o criteri di protezione delle app per la procedura di implementazione dei criteri specifici. Infine, implementare i passaggi descritti in Blocca autenticazione legacy per bloccare le app iOS e Android che supportano l'autenticazione legacy.

App da includere nei criteri di protezione delle app

Per ogni criterio di protezione delle app, viene assegnato il gruppo Core di Microsoft Apps, che include le app seguenti:

• Microsoft Edge
• Excel
• Office
• OneDrive
• OneNote
• Outlook
• PowerPoint
• SharePoint
• Teams
• To Do
• Word

I criteri devono includere altre app Microsoft in base alle esigenze aziendali, app pubbliche di terze parti aggiuntive che hanno integrato l'SDK di Intune utilizzato all'interno dell'organizzazione, nonché app line-of-business che hanno integrato l'SDK di Intune (o che sono state di cui è stato eseguito il wrapping).

Protezione dei dati di base dell'organizzazione di livello 1

Il livello 1 è la configurazione minima di protezione dei dati per un dispositivo mobile aziendale. Questa configurazione sostituisce la necessità di criteri di accesso ai dispositivi di Exchange Online di base, richiedendo un PIN per accedere ai dati aziendali, crittografando i dati dell'account aziendale o dell'istituto di istruzione e fornendo la possibilità di cancellare selettivamente i dati dell'istituto o dell'azienda. Tuttavia, a differenza dei criteri di accesso dei dispositivi di Exchange Online, le impostazioni dei criteri di protezione delle app seguenti si applicano a tutte le app selezionate nel criterio, garantendo così che l'accesso ai dati sia protetto oltre gli scenari di messaggistica mobile.

I criteri di livello 1 applicano un livello ragionevole di accesso ai dati, riducendo al minimo l'impatto sugli utenti e rispecchiano le impostazioni predefinite dei requisiti di protezione e accesso dei dati quando si creano criteri di protezione delle app all'interno di Microsoft Intune.

Protezione dei dati

Requisiti di accesso

Avvio condizionale

Protezione dei dati avanzata per le aziende di livello 2

Il livello 2 è la configurazione della protezione dei dati consigliata come standard per i dispositivi in cui gli utenti accedono a informazioni più sensibili. Questi dispositivi sono un obiettivo naturale nelle aziende di oggi. Queste raccomandazioni non presuppongono un ampio staff di professionisti della sicurezza altamente qualificati e pertanto dovrebbero essere accessibili alla maggior parte delle organizzazioni aziendali. Questa configurazione espande la configurazione del livello 1. Limita gli scenari di trasferimento dei dati e richiede una versione minima del sistema operativo.

Protezione dei dati

Avvio condizionale

Elevata protezione dei dati aziendali di livello 3

Il livello 3 è la configurazione della protezione dei dati consigliata come standard per le organizzazioni con organizzazioni di sicurezza grandi e sofisticate o per utenti e gruppi specifici che saranno presi di mira in modo univoco dagli avversari. Tali organizzazioni sono in genere prese di mira da avversari sofisticati e ben finanziati e, come tali, meritano i vincoli e i controlli aggiuntivi descritti. Questa configurazione espande la configurazione nel livello 2 limitando scenari di trasferimento dati aggiuntivi, aumentando la complessità della configurazione del PIN e aggiungendo il rilevamento delle minacce per dispositivi mobili.

Protezione dei dati

Requisiti di accesso

Avvio condizionale

Passaggi successivi

Gli amministratori possono incorporare i livelli di configurazione precedenti all'interno della metodologia di distribuzione dell'anello per l'uso in testing e produzione importando i modelli JSON di esempio di Intune App Protection Policy Configuration Framework con gli script PowerShell di Intune.

Vedere anche

• Come creare e distribuire criteri di protezione delle app con Microsoft Intune
• Impostazioni dei criteri di protezione delle app Android disponibili con Microsoft Intune
• Impostazioni dei criteri di protezione delle app iOS/iPadOS disponibili con Microsoft Intune