Saiba mais sobre a prevenção contra perda de dados do ponto de extremidade

As organizações controlam informações confidenciais como:

  • dados financeiros
  • dados proprietários
  • Números de Card de Crédito
  • Registros de integridade
  • Números da Previdência Social

Para ajudar a proteger esses dados confidenciais e reduzir o risco de compartilhamento excessivo, eles precisam de uma maneira de ajudar a impedir que seus usuários compartilhem dados confidenciais inadequadamente com pessoas que não deveriam tê-los. Essa prática é chamada de prevenção contra perda de dados (DLP).

No Microsoft Purview, você implementa a prevenção contra perda de dados definindo e aplicando políticas DLP. Uma política DLP pode ajudá-lo a identificar, monitorar e proteger automaticamente aplicativos & dispositivos confidenciais em aplicativos corporativos e dados de tráfego da Web embutidos . As políticas DLP atuam em vários locais, métodos de transmissão de dados e tipos de atividades do usuário.

A DLP usa análise profunda de conteúdo, não uma simples verificação de texto. Ele analisa o conteúdo:

Diagrama que mostra os canais de exfiltração que o Microsoft DLP do Purview monitora e protege em aplicativos, dispositivos e tráfego da Web.

Aplicativos e dispositivos empresariais

A DLP monitora e protege contra o compartilhamento excessivo em aplicativos corporativos e em dispositivos. Ele se destina a locais do Microsoft 365, como Exchange e SharePoint, e locais que você adiciona, como compartilhamentos de arquivos locais, dispositivos de ponto de extremidade e aplicativos de nuvem que não são da Microsoft. Esses locais e fontes incluem:

  • Serviços do Microsoft 365, como contas do Exchange, SharePoint, OneDrive e mensagens de canal e chat do Teams.
  • Aplicativos do Office, como o Word, o Excel e o PowerPoint.
  • Dispositivos que executam o Windows 10, o Windows 11 e as três versões mais recentes do macOS.
  • Aplicativos na nuvem que não são da Microsoft.
  • Aplicativos não conectados à Microsoft (atualmente em versão prévia), incluindo Box, Dropbox, Google Workspace e Salesforce.
  • Compartilhamentos de arquivos locais e SharePoint local.
  • Workspaces do Microsoft Fabric e do Power BI.
  • Microsoft 365 Copilot e Copilot chat (versão prévia).
  • Aplicativos de nuvem gerenciados.

Crie políticas DLP para aplicativos & dispositivos empresariais para cobrir esses locais.

Tráfego da Web embutido

A DLP, com políticas de coleção, monitora e protege contra o compartilhamento excessivo com aplicativos de nuvem não gerenciados, direcionando dados transmitidos em sua rede e no Microsoft Edge para Empresas. Crie políticas direcionadas ao tráfego da Web embutido (versão prévia) e à atividade de rede (versão prévia) para abranger locais como:

Antes de começar

  1. Unidades administrativas
  2. Saiba mais sobre a Prevenção Contra Perda de Dados do Microsoft Purview
  3. Planejar a prevenção contra perda de dados (DLP) – ao trabalhar neste artigo, você irá:
    1. Identificar os stakeholders
    2. Descreva as categorias de informações confidenciais a serem protegidas
    3. Defina metas e estratégia
  4. Visão geral da solução de Políticas de Coleção
  5. Referência da política de coleção
  6. Referência da política de prevenção contra perda de dados - Este artigo apresenta todos os componentes de uma política DLP e como cada um influencia o comportamento de uma política
  7. Criar uma política DLP - este artigo orienta você na criação de uma declaração de intenção de política e no mapeamento para uma configuração de política específica.
  8. Criar e implantar políticas de prevenção contra perda de dados – este artigo apresenta alguns cenários comuns de intenção de política que você mapeia para opções de configuração e, em seguida, orienta você na configuração dessas opções.
  9. Saiba mais sobre como investigar alertas de prevenção contra perda de dados – Este artigo apresenta o ciclo de vida dos alertas desde a criação, até a correção final e o ajuste da política. Ele também apresenta as ferramentas que você usa para investigar alertas.

Licenciamento do Microsoft Purview

Para obter informações sobre licenciamento, consulte

DLP no Microsoft Purview

A DLP é apenas uma das ferramentas do Microsoft Purview que você usa para ajudar a proteger seus itens confidenciais onde quer que eles morem ou viajem. Você deve entender as outras ferramentas do conjunto de ferramentas do Microsoft Purview, como elas se inter-relacionam e funcionam melhor juntas. Consulte as ferramentas do Microsoft Purview para saber mais sobre o processo de proteção de informações.

Ações de proteção de políticas DLP

As políticas DLP monitoram as atividades que os usuários realizam em itens confidenciais e, se as condições da política forem atendidas, executam ações de proteção. Por exemplo, quando um usuário tenta uma ação proibida, como copiar um item confidencial para um local não aprovado ou compartilhar informações médicas em um email, a DLP pode:

  • Mostre uma dica de política pop-up para o usuário que o avisa que ele pode estar tentando compartilhar um item confidencial de forma inadequada
  • Bloqueie o compartilhamento e, por meio de uma dica de política, permita que o usuário substitua o bloqueio e capture a justificativa dos usuários
  • Bloquear o compartilhamento sem a opção Substituir
  • Para dados em repouso, itens confidenciais podem ser bloqueados e movidos para um local de quarentena seguro
  • para o chat do Teams, as informações confidenciais não serão exibidas

Todas as atividades monitoradas pelo DLP são registradas no log de auditoria do Microsoft 365 por padrão e roteadas para o Gerenciador de atividades.

Ciclo de vida de DLP

Uma implementação de DLP normalmente segue essas fases principais.

Plano de Prevenção Contra Perda de Dados

O monitoramento e a proteção de DLP são nativos para os aplicativos que os usuários usam todos os dias. Isso ajuda a proteger os itens confidenciais da sua organização contra atividades arriscadas, mesmo que os usuários não estejam acostumados com as práticas e pensamentos de prevenção contra perda de dados. Se sua organização e seus usuários são novos nas práticas de prevenção contra perda de dados, a adoção da DLP pode exigir uma alteração em seus processos de negócios e haverá uma mudança de cultura para seus usuários. Mas, com planejamento, teste e ajuste adequados, suas políticas de DLP protegem seus itens confidenciais e minimizam possíveis interrupções no processo de negócios.

Planejamento de tecnologia para DLP

Tenha em mente que a DLP como uma tecnologia pode monitorar e proteger seus dados em repouso, dados em uso e dados em movimento nos serviços do Microsoft 365, dispositivos Windows 10, Windows 11 e macOS (três versões mais recentes lançadas), compartilhamentos de arquivos locais e SharePoint local. Há implicações de planejamento para os diferentes locais, o tipo de dados que você deseja monitorar e proteger e as ações a serem tomadas quando ocorre uma correspondência de política.

Planejamento de processos de negócios para DLP

As políticas DLP podem impedir que os usuários realizem atividades proibidas, como o compartilhamento inadequado de informações confidenciais por email. Ao planejar suas políticas de DLP, você deve identificar os processos de negócios que afetam seus itens confidenciais. Os proprietários do processo empresarial podem ajudá-lo a identificar comportamentos apropriados do usuário que devem ser permitidos e comportamentos inadequados do usuário contra os quais devem ser protegidos. Você deve planejar suas políticas e implantá-las no modo de simulação e avaliar seu impacto antes de executá-las em modos mais restritivos.

Planejamento da cultura organizacional para DLP

Uma implementação bem-sucedida de DLP depende tanto de treinar e acostumar seus usuários às práticas de prevenção contra perda de dados quanto de políticas bem planejadas e ajustadas. Como os usuários estão muito envolvidos, planeje o treinamento para eles também. Você pode usar estrategicamente dicas de política para aumentar a conscientização de seus usuários antes de alterar o status da política do modo de simulação para modos mais restritivos.

Preparar para DLP

Você pode aplicar políticas DLP a dados inativos, dados em uso e dados em movimento em locais como:

  • Email do Exchange Online
  • Sites do SharePoint
  • Contas OneDrive
  • Bater papo e canal de mensagens do Teams
  • Instâncias: Microsoft Defender para Aplicativos de Nuvem
  • Dispositivos: Windows 10, Windows 11 e macOS (três versões lançadas mais recentes)
  • Repositórios locais
  • Espaços de trabalho do Fabric e do Power BI
  • Microsoft 365 Copilot (versão prévia)

Cada um tem pré-requisitos diferentes. Itens confidenciais em alguns locais, como o Exchange online, podem ser colocados sob o guarda-chuva do DLP apenas configurando uma política que se aplique a eles. Outros, como repositórios de arquivos locais, exigem uma implantação do verificador de Proteção de Informações do Microsoft Purview. Você precisará preparar seu ambiente, criar rascunho de código de políticas e testá-las minuciosamente antes de ativar qualquer ação de bloqueio.

Implantar suas políticas na produção

Projetar suas políticas

Comece definindo seus objetivos de controle e como eles se aplicam a cada carga de trabalho. Elabore uma política que incorpore seus objetivos. Sinta-se à vontade para começar com uma carga de trabalho por vez ou em todas as cargas de trabalho - ainda não há impacto. Para obter mais informações, consulte Criar e implantar políticas de prevenção contra perda de dados.

Implementar política no modo de simulação

Avalie o impacto dos controles implementando-os com uma política DLP no modo de simulação. As ações definidas em uma política não são aplicadas enquanto a política está no modo de simulação. Não há problema em aplicar a política a todas as cargas de trabalho no modo de simulação, para que você possa obter toda a amplitude de resultados, mas você pode começar com uma carga de trabalho, se necessário. Para obter mais informações, consulte Implantação de Política.

Monitore os resultados e ajuste a política

Enquanto estiver no modo de simulação, monitore os resultados da política e ajuste-a para que ela atenda aos seus objetivos de controle, garantindo que você não esteja afetando adversamente ou inadvertidamente os fluxos de trabalho e a produtividade válidos do usuário. Aqui estão alguns exemplos de coisas que devem ser ajustadas:

  • Ajustar os locais e pessoas/locais que estão dentro ou fora do escopo
  • Ajustar as condições usadas para determinar se um item e o que está sendo feito com ele corresponde à política
  • Refinar as definições de informações confidenciais
  • Adicionar novos controles
  • Adicionar novas pessoas
  • Adicionar novos aplicativos restritos
  • Adicionar novos sites restritos

Observação

Parar de processar mais regras não funciona no modo de simulação, mesmo quando ele está ativado.

Habilite o controle e ajuste suas políticas

Depois que a política atender a todos os seus objetivos, ative-a. Continue monitorando os resultados da aplicação da política e ajuste conforme necessário.

Observação

Em geral, as políticas entram em vigor cerca de uma hora após serem ativadas.

Visão geral da configuração da política de DLP

Você tem flexibilidade na forma como cria e configura suas políticas de DLP. Você pode começar a partir de um modelo predefinido e criar uma política com apenas alguns cliques ou pode criar a sua própria desde o início. Não importa qual você escolha, todas as políticas de DLP exigem as mesmas informações de você.

  1. Escolha o que você deseja monitorar - a DLP vem com muitos modelos de política predefinidos para ajudá-lo a começar ou você pode criar uma política personalizada.

  2. Escolha o escopo administrativo: a DLP dá suporte à atribuição de unidades administrativas a algumas políticas de aplicativos & dispositivos corporativos . Os administradores atribuídos a uma unidade administrativa só podem criar e gerenciar políticas para os usuários, grupos, grupos de distribuição, contas e sites aos quais estão atribuídos. Portanto, as políticas podem ser aplicadas a todos os usuários, grupos e sites por um administrador irrestrito ou podem ter escopo em unidades administrativas. Consulte Escopo de política para obter mais detalhes específicos de DLP. Consulte Unidades administrativas para obter detalhes sobre unidades administrativas na Proteção de Informações do Microsoft Purview.

  3. Escolha onde você deseja monitorar - Escolha um ou mais locais que deseja que a DLP monitore para obter informações confidenciais. Você pode monitorar:

    localização incluir/excluir por
    Email do Exchange grupos de distribuição
    Sites do Microsoft Office SharePoint Online sites
    Contas do OneDrive contas ou grupos de distribuição
    Bater papo e canal de mensagens do Teams Conta ou grupo de distribuição
    Dispositivos Windows 10, Windows 11 e macOS (três versões mais recentes) Usuários e grupos + dispositivos e grupos de dispositivos
    Microsoft Cloud App Security instância
    Repositórios locais caminho do arquivo do repositório
    Malha e Power BI espaços de trabalho
    Microsoft 365 Copilot (versão prévia) Conta ou grupo de distribuição

Observação

Os usuários e grupos mencionados acima devem ser usuários online e grupos M365, Exchange online e Microsoft Entra

  1. Escolha as condições que devem ser correspondidas para que uma política seja aplicada a um item : você pode aceitar condições pré-configuradas ou definir condições personalizadas. Alguns exemplos:

    • O item contém um tipo especificado de informações confidenciais que estão sendo usadas em um determinado contexto. Por exemplo, 95 números de seguro social sendo enviados por email para destinatários fora de sua organização.
    • O item tem um rótulo de confidencialidade especificado
    • O item com informações confidenciais é compartilhado interna ou externamente

  2. Escolha a ação a ser executada quando as condições da política forem atendidas – as ações dependem do local em que a atividade está acontecendo. Alguns exemplos:

    • SharePoint/Exchange/OneDrive: Bloqueie o acesso ao conteúdo de pessoas de fora da sua organização. Mostre uma dica ao usuário e envie uma notificação por email de que ele está executando uma ação proibida pela política DLP.
    • Chat e canal do Teams: Bloqueie o compartilhamento de informações confidenciais no chat ou canal.
    • Windows 10, Windows 11 e macOS (três versões lançadas mais recentes) Dispositivos: audite ou restrinja a cópia de um item confidencial em um dispositivo USB removível.
    • Aplicativos do Office: Mostre um pop-up notificando o usuário de que ele está envolvido em um comportamento arriscado e bloqueie ou bloqueie, mas permita a substituição.
    • Compartilhamentos de arquivos locais: mova o arquivo de onde ele está armazenado para uma pasta de quarentena.

    Observação

    As condições e as ações a serem tomadas são definidas em um objeto chamado regra.

Criar e implantar uma política DLP

Todas as políticas DLP são criadas e mantidas no portal do Microsoft Purview. Consulte Criar e implantar políticas de prevenção contra perda de dados para obter mais informações.

Depois de criar uma política DLP, ela é armazenada em um repositório de políticas central e sincronizada com as várias fontes de conteúdo, incluindo:

  • Exchange e, de lá, para o Outlook na Web e Outlook
  • OneDrive
  • Sites do SharePoint
  • Programas da área de trabalho do Office (Excel, PowerPoint e Word)
  • Mensagens de canais e de chats do Microsoft Teams

Depois que a política é sincronizada com os locais corretos, ela começa a avaliar o conteúdo e a impor ações.

Exibindo os resultados do aplicativo de política

A DLP relata uma grande quantidade de informações ao Microsoft Purview, desde o monitoramento de correspondências e ações de política até atividades do usuário. Você precisa consumir e agir com base nessas informações para ajustar suas políticas e fazer a triagem das ações tomadas em itens confidenciais. A telemetria entra primeiro nos Logs de auditoria do Microsoft 365 , é processada e chega a diferentes ferramentas de relatórios. Cada ferramenta de relatório tem uma finalidade diferente.

Página Visão Geral

A página Visão Geral da DLP oferece acesso rápido a informações importantes sobre suas políticas de DLP, incluindo:

  • Status de sincronização de política
  • Status do dispositivo
  • Principais atividades detectadas
  • Integridade geral do dispositivo

Você pode investigar incidentes para Prevenção Contra Perda de Dados do Microsoft Purview (DLP) no portal do Microsoft Defender Incidentes & alertas>Incidentes. Consulte Investigar incidentes de perda de dados com o Microsoft Defender XDR e Investigar alertas no Microsoft Defender XDR.

Alertas DLP

A DLP pode gerar alertas quando um usuário executa uma atividade que atende aos critérios de uma regra em uma política DLP e você tem relatórios de incidentes configurados para gerar alertas. Dependendo do nível da assinatura, os alertas podem ser agregados em uma janela de tempo/regra ou em janelas de tempo/usuário (versão prévia).

A DLP posta o alerta para investigação no dashboard Alertas da DLP. Use o dashboard de alertas de DLP para exibir alertas, fazer a triagem, definir o status da investigação e controlar a resolução. Os alertas também são roteados para o portal do Microsoft Defender, onde você pode realizar todas as tarefas do dashboard de alertas e muito mais.

Os alertas DLP estão disponíveis no portal do Microsoft Defender por seis meses. Eles só estarão disponíveis no dashboard de alertas do Microsoft DLP do Purview por 30 dias.

Se você for um administrador restrito da unidade administrativa, verá apenas os alertas DLP para sua unidade administrativa.

Aqui está um exemplo de alertas gerados por correspondências de política e atividades de dispositivos Windows 10.

Informações de alerta.

Você também pode exibir detalhes do evento associado com metadados avançados no mesmo dashboard.

Informações do evento.

Observação

Os alertas são gerados de forma diferente para emails e para itens do SharePoint ou do OneDrive. No SharePoint e no OneDrive, a DLP verifica os itens existentes, bem como os novos, e gera um alerta sempre que uma correspondência é encontrada. No Exchange, novas mensagens de email são verificadas e um alerta é gerado se houver uma correspondência de política. A DLP não verifica nem corresponde a itens de email existentes anteriormente armazenados em uma caixa de correio ou arquivo morto.

Para obter mais informações sobre Alertas, confira:

Atividade de DLP Explorer e relatórios

A guia Gerenciador de atividades na página DLP tem vários filtros que você pode usar para exibir eventos DLP. Use essa ferramenta para analisar a atividade relacionada ao conteúdo que contém informações confidenciais ou rótulos aplicados, como quais rótulos foram alterados, os arquivos que foram modificados e corresponderam a uma regra.

Você pode exibir os últimos 30 dias de informações de DLP no Activity Explorer usando estes filtros pré-configurados:

  • Atividades de DLP do ponto de extremidade
  • Files contendo tipos de informações confidenciais
  • Atividades de saída
  • Políticas de DLP que detectaram atividades
  • Regras de política DLP que detectaram atividades
Para ver essas informações Selecionar esta atividade
Substituições do usuário Desfazer regra de DLP
Itens que correspondem a uma regra DLP Regra de DLP correspondida

Você também pode acessar o relatório DLP por meio desses cmdlets no PowerShell de Segurança & Conformidade.

  1. Conectar-se ao PowerShell de Segurança e Conformidade

Use estes cmdlets:

No entanto, os relatórios DLP precisam extrair dados do Microsoft 365, incluindo o Exchange. Por esse motivo, os seguintes cmdlets para relatórios DLP estão disponíveis no Exchange PowerShell. Para usar os cmdlets para esses relatórios DLP, execute as seguintes etapas:

  1. Conectar ao Exchange PowerShell

Use estes cmdlets:

Evento Desfazer Regra de DLP

Um evento Desfazer Regra DLP ocorre quando uma regra DLP correspondente anteriormente não se aplica mais a um documento, fazendo com que a regra seja efetivamente revertida. Isso pode acontecer em dois cenários principais: quando um usuário modifica o conteúdo para que ele não atenda mais às condições da regra ou quando uma política ou regra é alterada e dispara a reavaliação de conteúdo já classificado. Durante essa reavaliação, se um documento não atender mais aos critérios de regra, será gerado um evento Desfazer Regra DLP. Por exemplo, se uma política estiver configurada para detectar documentos que contenham pelo menos cinco números de Seguro Social e um usuário carregar um documento com dez, a regra corresponderá inicialmente. Se, posteriormente, o usuário remover os dados confidenciais de forma que o documento não atenda mais ao limite, a regra será desfeita. Da mesma forma, se um administrador atualizar a política para exigir quinze números de Seguro Social, o mesmo documento não atenderá mais aos critérios após a reavaliação, resultando em um evento Desfazer Regra DLP.

Resumo contextual

Você pode ver o texto que envolve o conteúdo correspondente, como um número de card de crédito em um evento DLPRuleMatch no Gerenciador de atividades.

Os eventos DLPRuleMatch são emparelhados com atividades de saída do usuário, como "CopyToClipboard" ou "CloudEgress". Eles devem estar bem próximos (ou pelo menos muito próximos) um do outro no Explorador de atividades. Você deseja examinar ambos porque a atividade do usuário contém detalhes sobre a política correspondida e o evento DLPRuleMatch contém os detalhes sobre o texto que envolve o conteúdo correspondente.

Para o ponto de extremidade, certifique-se de ter aplicado KB5016688 para dispositivos Windows 10 e KB5016691 para dispositivos Windows 11 ou superior.

Para obter mais informações, confira Introdução ao explorador de atividades.

Para saber mais sobre a DLP do Purview do Microsoft Purview, confira:

Para saber como usar a prevenção contra perda de dados para cumprir os regulamentos de privacidade de dados, consulte Implantar a proteção de informações para regulamentos de privacidade de dados com o Microsoft Purview (aka.ms/m365dataprivacy).

  • Last updated on