Prevenção de derramamento de dados para o governo australiano

Este artigo fornece orientação para organizações governamentais australianas sobre configurações para reduzir o risco de derramamento de dados, impedindo que classificações de segurança de maior confidencialidade sejam recebidas em ambientes de menor sensibilidade. Seu objetivo é ajudar as organizações a melhorar sua postura de segurança da informação. As diretrizes neste artigo destinam-se a se alinhar aos requisitos descritos na PSPF (Estrutura de Política de Segurança de Proteção) e no ISM (Manual de Segurança da Informação).

Para reduzir a probabilidade e os danos potenciais do derramamento de dados, os ambientes do Microsoft 365 devem ser configurados para:

• Avalie as marcações de proteção nos itens recebidos e bloqueie seu recebimento, se necessário.
• Avalie as marcações de proteção em itens que já foram recebidos e evite qualquer divulgação adicional, se necessário.
• Dispare alertas e relatórios apropriados.
• Forneça um método de verificação de itens com classificações mais altas do que as permitidas em um ambiente.

Avaliação das marcações de proteção

Quando as classificações de segurança são aplicadas a itens, como por meio da aplicação de um rótulo de confidencialidade, as marcações de proteção também são aplicadas. As marcações de proteção incluem marcações de conteúdo, como cabeçalhos e rodapés difundidos na marcação de conteúdo do rótulo de confidencialidade. Para email, as marcações de proteção também incluem marcações de proteção x, cabeçalhos x e marcações baseadas em assunto. Para fornecer a melhor cobertura possível, devem ser aplicadas abordagens que utilizam vários métodos de identificação de classificações não premitidas. As abordagens para identificar classificações de segurança devem incluir a avaliação de:

1. Cabeçalhos X de marcação de proteção X As organizações governamentais são obrigadas a carimbar metadados de email, na forma de cabeçalhos x, para emails gerados que identificam sua classificação de segurança. Um cabeçalho x de marcação x de proteção x incluindo SEC=SECRET denota um item com uma classificação de segurança SECRETA.
2. Marcações do assunto As organizações governamentais normalmente aplicam marcações de assunto ao email. As marcações de assunto são mais propensas a adulterações, pois são acessíveis ao usuário final, mas ainda fornecem uma boa indicação da classificação de segurança. Uma marcação de assunto, incluindo [SEC=SECRET], denota um item secreto.
3. Tipo de Informações Confidenciais (SIT) Os SITs (Tipos de Informações Confidenciais) são identificadores baseados em padrão ou palavra-chave que podem ser usados para localizar conteúdo dentro de itens, incluindo marcações de proteção. Um SIT pode ser configurado para identificar uma marcação de conteúdo em SECRET um email ou no cabeçalho ou rodapé de um documento ou email. Uma palavra-chave de SECRET é mais propensa a falsos positivos do que uma palavra-chave de SECRET CABINET Personal Privacy então alguma discrição com essa técnica é recomendada.
4. Rótulo de confidencialidade Os usuários não devem ter a capacidade de aplicar rótulos de confidencialidade além da classificação de segurança permitida para um ambiente. No entanto, configurar rótulos não publicados para classificações mais altas do que as permitidas pode ser útil quando combinado com configurações de rotulagem automática. Por exemplo, uma política de rotulagem automática procurando uma marcação SECRET e aplicando um rótulo SECRET pode criptografar todos os itens de alinhamento, evitando qualquer divulgação adicional enquanto as equipes de segurança intervêm. Para obter mais informações, consulte os rótulos para obter informações que estão além do nível PROTECTED.

As abordagens usadas neste artigo utilizam um ou mais desses métodos para identificar classificações de segurança.

Bloquear o recebimento de emails com classificações não interrompidas

O ISM-0565 define medidas para proteger contra derramamentos de dados por e-mail recebido:

Dentro deste requisito, o termo marcações de proteção inadequadas é normalmente usado para definir classificações mais altas do que as permitidas para um ambiente. Para atender a esse requisito, as políticas DLP (Prevenção contra Perda de Dados) devem ser configuradas para impedir a transmissão, o recebimento e a distribuição adicional de itens com classificações não permitidas.

Exemplo de regra DLP: bloquear email SECRETO

A regra a seguir avalia o email com base no cabeçalho x, na marcação do assunto e no rótulo de confidencialidade. Uma condição que avalia os SITs não foi adicionada a esta regra devido ao risco de falsos positivos, mas isso pode ser adicionado após o teste, se considerado apropriado. Essa regra poderia ser denominada EXO - Bloquear email SECRETO e adicionada a uma política chamada EXO - Bloquear email de classificação não permitido.

Bloquear o compartilhamento de itens com classificações não permitidas

Geralmente, há muitos caminhos diferentes para que as informações se movam para um ambiente. O Email é um caminho importante a ser abordado, mas também devemos considerar as muitas outras maneiras pelas quais os arquivos podem ser recebidos e o risco de que itens com classificações não permitidas já existam em um ambiente.

As classificações de segurança podem ser identificadas por meio de Tipos de Informações Confidenciais Personalizados, como aqueles detalhados no Exemplo de sintaxe SIT para detectar marcações de proteção.

Depois que os SITs forem configurados, o SharePoint trabalhará para indexar itens ativos para alinhamento SIT. As políticas DLP podem ser criadas para proteger itens considerados alinhados a um SIT.

O seguinte conjunto de exemplos de SITs pode ser criado para tentar identificar marcações SECRETAS. Os níveis de confiança variam para esses SITs, pois quanto mais diretas as marcações, maior a probabilidade de falsos positivos.

Exemplo de regra DLP: bloquear o compartilhamento de itens SECRET

A regra DLP a seguir poderia ser denominada SPOD - Bloquear compartilhamento SECRETO e adicionada a uma política chamada SPOD - Bloquear compartilhamento de classificação não permitido.

Rotulagem automática de itens com classificações não permitidas

As políticas DLP demonstradas acima fazem uso das condições de conteúdo contém rótulo de confidencialidade. Para utilizar essas condições, exigimos um método de rotulagem de itens suspeitos de terem uma classificação não permitida. Isso é obtido usando políticas de rotulagem automática baseadas em serviço para marcar itens em repouso em locais do SharePoint para alinhamento SIT. Se for detectado um item que contenha uma classificação de segurança não permitida, ele poderá ser rotulado e protegido. Essa configuração requer que os rótulos sejam criados e não publicados diretamente para os usuários finais. Em vez disso, eles precisam ser publicados em um serviço ou em uma conta de quebra de vidro para colocá-los no escopo do serviço de rotulagem automática. Mais informações sobre a expansão de taxonomias de rótulos para classificações não permitidas podem ser encontradas em Rótulos para obter informações além do nível PROTEGIDO.

A configuração de rotulagem automática necessária para conseguir isso estaria de acordo com os exemplos fornecidos na configuração de política baseada no SharePoint. Outro exemplo de configuração é fornecido abaixo. As seguintes regras podem ser adicionadas a uma política chamada SPOD - Label SECRET items:

Uma vantagem dessa rotulagem automática além dos métodos de detecção baseados em SIT é que a rotulagem habilitará o alerta de dados fora do lugar. Isso é acionado sempre que um item de maior confidencialidade é movido para um local de menor sensibilidade, alertando os proprietários do local e os usuários que concluem a atividade de movimentação. Outros alertas podem ser obtidos por meio do uso de regras de fluxo de emails.

Os rótulos de confidencialidade criados para capturar e proteger classificações não permitidas também podem ser configurados com a criptografia de rótulo de confidencialidade. Essas configurações de criptografia podem ser definidas de forma que somente as equipes necessárias para investigar possíveis vazamentos de dados tenham acesso aos itens rotulados, reduzindo consideravelmente o impacto de possíveis vazamentos. Essa configuração ajudaria as organizações a atender aos requisitos de restrição de dados do ISM-0133:

Identificação de dados despejados

O Content Explorer é um recurso do Microsoft Purview que permite que os administradores naveguem pelos ativos de dados do Microsoft 365 de uma organização por tipo de informações confidenciais, rótulo de confidencialidade, classificador treinável ou rótulo de retenção. Depois que os SITs para identificar classificações não permitidas tiverem sido criados e/ou os rótulos de confidencialidade com as políticas de rotulagem automática associadas forem implantados, os administradores poderão procurar itens de alinhamento no SharePoint, no OneDrive, no Exchange e no Teams.

A Descoberta Eletrônica do Microsoft Purview fornece um método alternativo para pesquisar itens com classificações não permitidas. Um caso de Descoberta Eletrônica pode ser criado com critérios de pesquisa procurando por rótulo de confidencialidade ou SIT. Para obter mais informações sobre como usar a Descoberta Eletrônica para localizar conteúdo, consulte Localizar conteúdo em sites na Descoberta Eletrônica.

Proteção de itens não rotulados

A PSPF exige que as informações avaliadas quanto a qualquer risco ou dano potencial que possa ser causado por sua divulgação:

Quando as informações são avaliadas, seu nível considerado de risco é registrado pela aplicação de uma classificação de segurança. O Microsoft 365 prevê isso por meio da rotulagem de confidencialidade. Configurações como rotulagem obrigatória garantem que todos os itens, como documentos ou emails, tenham um rótulo aplicado.

Se um usuário não aplicou uma classificação de segurança a um item, há uma boa chance de que o risco de divulgação inadequada não tenha sido considerado. A distribuição das informações contidas deve então ser considerada um risco. As estratégias para esses cenários devem ser consideradas e incorporadas à configuração de DLP de uma organização.

Muitas organizações do governo australiano também consideram itens não rotulados inadequados de acordo com o ISM-0565:

Bloquear a transmissão de emails não rotulados

Para bloquear a transmissão de emails não rotulados, uma política DLP pode ser configurada com base no modelo de política personalizada e aplicada ao serviço do Exchange.

Uma transmissão de bloqueio de política de email não rotulado requer duas regras:

1. A primeira regra para itens de saída por meio do conteúdo compartilhado do Microsoft 365, com pessoas fora da minha condição de organização .
2. Uma segunda regra que se aplica ao conteúdo compartilhado do Microsoft 365, somente com pessoas da minha organização.

As regras precisam de uma exceção, que é aplicada por meio de um grupo de condições com o operando NOT habilitado. O grupo de condições inclui uma condição de conteúdo contém, rótulos de confidencialidade e tem todos os rótulos disponíveis no ambiente selecionado.

Os aplicativos e serviços que geram email estão fora da configuração de rotulagem obrigatória que se aplica aos clientes do Microsoft 365 Apps. Portanto, essa política DLP é disparada sempre que um email gerado por não usuário é enviado. Ele é acionado contra alertas de segurança gerados por serviços Microsoft, email de scanners e dispositivos multifuncionais (MFDs) e email de aplicativos como recursos humanos ou sistemas de folha de pagamento. Para garantir que a política não bloqueie processos de negócios essenciais, exceções precisam ser incluídas no grupo NOT. Por exemplo:

• OU domínio do remetente émicrosoft.com, o que captura alertas de segurança e do SharePoint.
• OUo remetente é membro de um grupo, com um grupo contendo contas autorizadas a ignorar esse requisito.
• OUo endereço IP do remetente é, juntamente com os endereços dos MFDs do escritório.

A regra é disparada sempre que um email é enviado que não contém um dos rótulos de confidencialidade listados, a menos que o remetente seja isento por meio de uma das exceções configuradas.

Essas regras DLP devem ter uma ação de bloquear todos , juntamente com a gravidade apropriada e as ações de relatório.

O seguinte requisito de alerta é relevante para a regra DLP que se aplica a itens de saída:

Para atender a esse requisito, a regra DLP que se aplica a itens de saída é configurada para notificar o usuário que tentou enviar o item.

Exemplo de política DLP bloqueando email não rotulado

A seguinte política DLP se aplica ao serviço Exchange e impede a perda de informações por email não rotulado:

Nome da política: EXO - Bloquear e-mail não rotulado