Criptografia de rótulo de confidencialidade para o governo australiano

Este artigo fornece diretrizes para organizações governamentais australianas sobre o uso da criptografia de rótulo de confidencialidade. Sua intenção é ajudar as organizações do governo australiano a fortalecer suas abordagens à segurança de dados. As recomendações neste guia estão estreitamente alinhadas com os requisitos descritos na PSPF (Estrutura de Política de Segurança de Proteção) e no Manual de Segurança da Informação (ISM).

O Microsoft Purview fornece a opção de criptografar itens com um rótulo de confidencialidade aplicado por meio do Azure Rights Management. O Azure Rights Management é usado para confirmar a autenticação e a autorização do usuário para acesso ao conteúdo. Para que um usuário acesse um item criptografado, ele precisa se autenticar no serviço do Microsoft 365 e receber permissão para acessar o item. O Azure Rights Management é usado para aplicar restrições de uso a itens. Essas restrições podem impedir que os usuários executem ações como editar conteúdo, salvar itens, imprimir, copiar conteúdo ou encaminhá-lo para outros usuários.

Cenários relevantes para a criptografia de rótulos

As organizações governamentais devem usar a criptografia de rótulo de acordo com os requisitos de acesso e transmissão resumidos na visão geral da criptografia. Esses requisitos afirmam que a criptografia é necessária para a transmissão de informações OFICIAIS: confidenciais ou PROTEGIDAS em redes públicas ou não protegidas. Embora os recursos inatos do Microsoft 365, como a criptografia TLS para comunicações entre cliente e servidores, ajudem a atender a esses requisitos, há determinados cenários em que o uso da criptografia do Azure Rights Management pode fortalecer a proteção.

Exemplos de cenários em que a habilitação da criptografia do Azure Rights Management baseada em rótulos pode fortalecer os controles incluem situações em que os itens classificados de segurança são:

• Copiado para o armazenamento USB.
• Carregado em serviços de nuvem que não são da Microsoft, incluindo serviços de armazenamento em nuvem.
• Salvo em dispositivos potencialmente não seguros (por exemplo, dispositivos sem criptografia BitLocker).
• Enviado por email para destinatários externos que podem violar a necessidade de conhecimento ao distribuir ainda mais as informações.

As organizações do governo australiano geralmente implementam estratégias e soluções extras para lidar com esses vetores de risco. Por exemplo, o uso de unidades USB criptografadas, soluções de Agente de Segurança de Acesso à Nuvem (CASB) e plataformas de gerenciamento de dispositivos. A criptografia baseada em rótulo não se destina a substituir essas soluções. No entanto, ele é usado para complementar essas soluções, fornecendo proteção extra contra uso indevido acidental e pessoas mal-intencionadas.

Considerações sobre criptografia de rótulo

A criptografia do Azure Rights Management não é um requisito rígido para a implantação do Microsoft Purview ou para a proteção de informações nos serviços do Microsoft 365. No entanto, a criptografia baseada em rótulos é considerada um dos métodos mais eficazes para garantir que os dados originários ou residentes em ambientes Microsoft 365 sejam protegidos contra acesso não autorizado, especialmente depois de saírem da organização.

Para obter informações sobre as considerações padrão e os possíveis impactos da habilitação da criptografia de rótulo de confidencialidade, consulte considerações sobre conteúdo criptografado.

Existem outras considerações mais específicas para as organizações governamentais australianas. Isso inclui alterações nos metadados do documento e requisitos relacionados ao compartilhamento de informações.

Alterações de coautoria criptografadas

O Microsoft 365 é compatível com a coautoria em documentos criptografados.

A habilitação da coautoria criptografada introduz alterações na forma como os metadados do rótulo de confidencialidade são aplicados ao documento do Office e no uso de MSIP_labels propriedades do documento. Após a habilitação da coautoria criptografada, os metadados em itens criptografados são movidos do local tradicional da propriedade do documento para o XML interno de um documento. Para obter mais informações, consulte alterações de metadados para rótulos de confidencialidade.

As organizações do governo australiano que aplicam regras sobre gateways de e-mail que marcam a classificação de anexos por meio de propriedades do documento precisam estar cientes das alterações de metadados para que suas configurações sejam alinhadas. Os administradores do Microsoft Exchange devem:

1. Leia e entenda 2.6.3 LabelInfo versus Propriedades de Documento Personalizadas.
2. Avalie suas organizações Prevenção contra Perda de Dados (DLP), regra de fluxo de email ou sintaxe de regra de transporte em gateways de email que não são da Microsoft para possíveis problemas.

Um exemplo de por que isso é importante é uma regra de fluxo ou transporte de emails que verifica se há anexos PROTEGIDOS por meio do GUID do rótulo em uma propriedade do documento não funciona corretamente depois que os metadados do documento são movidos da propriedade do documento para o local LabelInfo.

Como alternativas às abordagens baseadas em propriedades de documentos:

• ClassificationContentMarkingHeaderText e ClassificationContentMarkingFooterText as propriedades do documento são usadas. Essas propriedades aparecem após a ativação da coautoria criptografada e são preenchidas com o texto de marcação visual aplicado aos documentos do Office.
• Os métodos de fluxo de emails são transferidos para uma abordagem mais recente baseada em DLP, em que os rótulos de confidencialidade podem ser consultados nativamente como parte de uma política DLP.

Acesso de usuário externo a itens criptografados

Dentro do governo australiano, os requisitos de colaboração e distribuição de informações variam dependendo do tipo de organização. Algumas organizações trabalham em grande parte isoladamente, tornando a configuração de criptografia simples. Outros têm requisitos para compartilhar continuamente informações confidenciais com outras organizações e precisam planejar adequadamente.

As organizações governamentais australianas que usam criptografia baseada em rótulos devem usar esse recurso para garantir o alinhamento com os requisitos 77 e 133 do PSPF 2024:

Para garantir que somente usuários de organizações externas autorizadas possam acessar itens criptografados, as seguintes abordagens podem ser usadas:

• Listas de domínios externos aprovados podem ser adicionadas às permissões do Azure Rights Management, de forma semelhante às abordagens DLP descritas em impedir a distribuição de email de informações classificadas para organizações não autorizadas.
• Os grupos que contêm contas de convidado podem ser usados para conceder permissões apenas a um conjunto autorizado de usuários de domínios externos aprovados. Essa abordagem é semelhante a permitir a distribuição por e-mail de informações classificadas para hóspedes autorizados.

Habilitar a criptografia de rótulo

Para obter informações sobre os pré-requisitos e as etapas necessárias para habilitar a criptografia de rótulo de confidencialidade, consulte Restringir o acesso ao conteúdo usando rótulos de confidencialidade para aplicar criptografia.

As configurações de criptografia de rótulo a seguir têm relevância especial para os requisitos do governo australiano e são discutidas em detalhes.

Atribuir permissões agora

Atribuir permissões agora fornece controle consistente de acesso a itens rotulados em um ambiente inteiro. Por meio dessa configuração, quando um rótulo com configurações de criptografia é aplicado a um item, a criptografia do conteúdo é acionada imediatamente.

Quando a opção atribuir permissões agora está selecionada, os administradores precisam configurar as permissões a serem aplicadas aos itens rotulados. As opções disponíveis são:

• Todos os usuários e grupos em sua organização: essa opção adiciona permissão para todos os usuários no ambiente, excluindo contas de convidado. Este é um bom ponto introdutório para organizações que desejam restringir o acesso a itens rotulados apenas para usuários internos.

  Essa é uma boa opção para organizações que desejam criptografar informações "OFICIAIS: confidenciais" e garantir que elas possam ser abertas por toda a organização. Lembre-se de que a criptografia é apenas uma camada de proteção que pode ser complementada com DLP para ajudar a garantir a necessidade de conhecimento.

• Qualquer usuário autenticado: essa opção permite o acesso a qualquer usuário autenticado no Microsoft 365 por meio de uma conta, como uma conta do Microsoft 365, um provedor social federado ou um endereço de email externo, registrado como uma Conta Microsoft (MSA). Essa opção garante que os itens sejam enviados e armazenados em formato criptografado, mas é a mais aberta em termos de acesso aos itens. Essa opção não é adequada para garantir a necessidade de saber e o alinhamento do PSPF no governo australiano.

• Adicionar usuários ou grupos: essa opção permite que usuários individuais (por exemplo, usuários organizacionais individuais ou convidados) sejam especificados. Ele permite que as permissões sejam alocadas a grupos.

  Existem vários usos dessa opção para organizações governamentais. Por exemplo:

  • Essa opção é usada para garantir a necessidade de conhecimento, limitando o acesso ao conteúdo rotulado a um subconjunto de usuários internos que atendem a um requisito. Por exemplo, usuários autorizados com liberação de linha de base são agrupados em um grupo de usuários protegidos , que concede permissões ao conteúdo PROTEGIDO. Os usuários fora do grupo são impedidos de acessar qualquer item PROTEGIDO.
  • Para organizações com alto controle de colaboração externa (conforme discutido em alto controle de colaboração externa), um grupo dinâmico pode ser criado que contém todas as contas de convidado. Esse grupo pode receber permissões para itens criptografados, permitindo que itens sejam distribuídos externamente com risco reduzido de acesso por entidades fora do grupo. Essa configuração também precisa estar alinhada com os controles DLP discutidos ao permitir a distribuição por e-mail de informações classificadas para convidados autorizados.
    • Para organizações com controle de colaboração externa relativamente baixo (conforme discutido em baixo controle de colaboração externa), um grupo de segurança pode ser mantido contendo convidados autorizados para acesso ao conteúdo criptografado.
    • Para organizações que desejam fornecer acesso de convidado ao conteúdo sem tornar o conteúdo de um rótulo acessível a um domínio inteiro, um grupo dinâmico pode ser criado para conceder acesso a convidados de uma organização, por exemplo, 'Convidados departamentais'. Essa abordagem é discutida em permitir a distribuição por e-mail de informações classificadas para hóspedes autorizados.

• Adicionar endereços de email ou domínios específicos Essa opção permite que os endereços de email individuais de usuários externos, que podem ou não ser convidados, recebam permissões. Ela também pode ser usada para conceder permissão a um domínio inteiro. Por exemplo, Contoso.com. As organizações que têm requisitos complexos de colaboração e distribuição de informações ou que precisam distribuir informações OFICIAIS: confidenciais ou PROTEGIDAS para outras organizações governamentais podem considerar a adição de uma lista dos domínios de todas as organizações para as quais estão distribuindo essas informações. Essa lista deve estar alinhada aos domínios com os quais sua organização formalizou acordos para compartilhar informações e recursos, conforme definido no Requisito 77 da Política PSPF 2024.

Vários conjuntos de permissões podem ser adicionados à configuração de um rótulo para alcançar o resultado desejado. Por exemplo, Todos os usuários e grupos podem ser usados em combinação com um conjunto de grupos dinâmicos contendo convidados de outras organizações, além de uma lista de domínios de departamento autorizados com os quais sua organização colabora regularmente.

Atribuir permissões a usuários, grupos ou domínios

Para cada usuário, grupo de usuários ou domínio que recebe acesso, permissões específicas também precisam ser selecionadas. Essas permissões são agrupadas em conjuntos típicos, como Coproprietário, Coautor ou Revisor. Conjuntos personalizados de permissões também podem ser definidos.

As permissões de criptografia são granulares, portanto, as organizações precisam concluir suas próprias análises de negócios e avaliações de risco para determinar a abordagem mais válida. Veja a seguir um exemplo de abordagem:

Permitir que os usuários decidam

Uma abordagem da criptografia é permitir que os usuários escolham quais permissões aplicar ao selecionar um rótulo.

O comportamento dos itens rotulados por meio desse método varia dependendo do aplicativo. Para o Outlook, as opções disponíveis são:

1. Não encaminhar: Quando essa opção é selecionada, os emails são criptografados. A criptografia aplica restrições de acesso para que os destinatários possam responder ao email, mas as opções para encaminhar, imprimir ou copiar informações não estão disponíveis. As permissões do Azure Rights Management são aplicadas a todos os documentos desprotegidos do Office anexados ao email. Essa opção garante a necessidade de saber, impedindo que os destinatários de email encaminhem itens para aqueles que não foram especificados no email original.
2. Criptografar apenas: Essa opção criptografa itens e concede aos destinatários todos os direitos de uso, exceto salvar como, exportar e controle total. É útil para atender aos requisitos de transmissão criptografada, mas não aplica nenhuma restrição de acesso (o resultado é que os controles necessários não são aplicados).

Essas opções fornecem uma grande granularidade. No entanto, como as permissões são aplicadas no nível do item, essas opções podem resultar em uma configuração inconsistente, pois as opções selecionadas por diferentes usuários variam.

Ao fornecer opções para não encaminhar ou criptografar apenas para os usuários como sub-rótulos, uma organização pode fornecer aos usuários um método para proteger a comunicação quando necessário. Por exemplo:

• NÃO OFICIAL
• OFICIAL
• OFICIAL Confidencial (Categoria)
  • OFICIAL Confidencial
  • OFICIAL Somente destinatários confidenciais

Rótulos com essas configurações aplicadas devem ser publicados somente para usuários que precisam desses recursos.

O Microsoft Purview é capaz de se alinhar com o PSPF com o requisito de incluir Marcadores de Gerenciamento de Informações (IMMs) e Advertências e adição de sub-Rótulos para atender a requisitos organizacionais específicos. Por exemplo, um grupo de usuários que precisa comunicar informações 'OFICIAL: Privacidade Pessoal Confidencial' com usuários externos pode ter um rótulo 'OFICIAL: Privacidade Pessoal Confidencial SOMENTE CRIPTOGRAFAR' publicado para eles.

Expiração de Acesso ao Conteúdo

As opções de expiração de conteúdo permitem que a permissão para acessar itens criptografados com o rótulo aplicado seja negada em uma data ou após um período de tempo. Esse recurso é usado para garantir que os itens não estejam mais acessíveis a partir de um momento, independentemente de onde residam ou das permissões que foram aplicadas a eles.

Essa opção é útil para atender aos requisitos de acesso limitado por tempo às informações, em que as organizações governamentais precisam fornecer acesso temporário a informações ou recursos. Essas situações são cobertas pela Seção 17 do PSPF 2024. Acesso aos recursos:

Essa abordagem garante a necessidade de supervisão do acesso temporário e garante que o usuário temporário só tenha acesso ao que foi permitido e apenas pelo tempo necessário.

A criptografia do Azure Rights Management aplicada por meio de rótulo e com configuração de expiração de acesso permite que itens confidenciais sejam compartilhados com indivíduos ou organizações sem a necessidade de criar contas completas.

Um exemplo disso é que uma organização governamental tem um conjunto de documentos de design que precisam ser disponibilizados para uma organização contratante governamental fictícia, chamada Contoso. Um rótulo chamado 'OFICIAL Confidencial - Acesso Temporário da Contoso' é criado e publicado com permissões que concedem acesso a uma lista aprovada de endereços de email da Contoso. Uma cópia dos documentos de design tem esse rótulo aplicado, o que inicia um temporizador de acesso de 30 dias. Os documentos são então compartilhados com a Contoso, que pode acessar os itens em seus próprios sistemas até que o temporizador expire e o acesso seja revogado, independentemente de onde os itens residem.

Como a expiração do conteúdo é aplicada a um rótulo e não a permissões, rótulos dedicados são necessários para fazer isso. Este e outros cenários de expiração de acesso são de nicho e não são aplicáveis na maioria das organizações governamentais. Este exemplo se baseia e estende a configuração fundamental de Proteção de Informações do Microsoft Purview PSPF que está sendo aplicada conforme recomendado neste guia.

Acesso offline

As opções de acesso offline permitem configurar um período de tempo em que os usuários podem acessar itens sem a necessidade de reautenticar ou reautorizar suas permissões do Azure Rights Management. O acesso offline é útil para garantir que, por exemplo, arquivos offline possam ser acessados se houver uma interrupção de rede ou serviço. Quando essa opção é configurada, os itens ainda são criptografados e suas permissões são armazenadas em cache em dispositivos cliente.

As organizações governamentais que implantam criptografia geralmente optam por um período de acesso offline de três a sete dias para garantir que os usuários possam trabalhar offline e como medida de mitigação de desastres.

Uma avaliação de risco do acesso em cache a itens em relação ao impacto na usabilidade da falta de acesso quando os usuários estão trabalhando sem acesso à rede por uma organização governamental deve ser concluída ao considerar essa abordagem.

Exemplo de configuração de criptografia de rótulo