Dataskyddsramverk med appskyddsprinciper

I takt med att fler organisationer implementerar strategier för mobila enheter för att komma åt arbets- eller skoldata blir det allt viktigare att skydda mot dataläckage. Intunes hanteringslösning för mobilprogram för skydd mot dataläckage är appskyddsprinciper. Dessa principer är regler som säkerställer att en organisations data förblir säkra eller finns i en hanterad app, oavsett om enheten är registrerad eller inte. Mer information finns i Översikt över principer för Appskydd.

När du konfigurerar appskyddsprinciper gör antalet olika inställningar och alternativ det möjligt för organisationer att skräddarsy skyddet efter sina specifika behov. På grund av den här flexibiliteten kanske det inte är uppenbart vilken permutation av principinställningar som krävs för att implementera ett fullständigt scenario. För att hjälpa organisationer att prioritera härdning av klientslutpunkter har Microsoft introducerat en ny taxonomi för säkerhetskonfigurationer i Windows, och Intune använder en liknande taxonomi för sina appskyddsprinciper dataskyddsramverk för hantering av mobilappar.

Konfigurationsramverket för dataskydd för appskyddsprinciper är indelat i tre olika konfigurationsscenarier:

• Nivå 1 grundläggande dataskydd för företag – Microsoft rekommenderar den här konfigurationen som minsta dataskyddskonfiguration för en företagsenhet.

• Förbättrat dataskydd på nivå 2 för företag – Microsoft rekommenderar den här konfigurationen för enheter där användare kommer åt känslig eller konfidentiell information. Den här konfigurationen gäller för de flesta mobila användare med åtkomst till arbets- eller skoldata. Vissa av kontrollerna kan påverka användarupplevelsen.

• Företagsnivå 3 högt dataskydd för företag – Microsoft rekommenderar den här konfigurationen för enheter som körs av en organisation med ett större eller mer avancerat säkerhetsteam, eller för specifika användare eller grupper som löper unikt hög risk (användare som hanterar väldigt känsliga data där obehörigt avslöjande orsakar betydande materiell förlust för organisationen). En organisation som sannolikt kommer att bli måltavla för välfinansierade och sofistikerade angripare bör sträva efter den här konfigurationen.

Appskydd principer, distributionsmetod för ramverk för dataskydd

Precis som med alla distributioner av ny programvara, funktioner eller inställningar rekommenderar Microsoft att du investerar i en ringmetod för testningsvalidering innan du distribuerar dataskyddsramverket för appskyddsprinciper. Att definiera distributionsringar är vanligtvis en engångshändelse (eller åtminstone sällan), men IT-avdelningen bör gå tillbaka till dessa grupper för att säkerställa att sekvenseringen fortfarande är korrekt.

Microsoft rekommenderar följande distributionsringsmetod för dataskyddsramverket för appskyddsprinciper:

Som tabellen ovan anger bör alla ändringar av appskyddsprinciperna först utföras i en förproduktionsmiljö för att förstå konsekvenserna av principinställningen. När testningen är klar kan ändringarna flyttas till produktion och tillämpas på en delmängd av produktionsanvändarna, vanligtvis IT-avdelningen och andra tillämpliga grupper. Och slutligen kan lanseringen slutföras till resten av mobilanvändarcommunityn. Distributionen till produktion kan ta längre tid beroende på hur stor påverkan ändringen har. Om det inte finns någon användarpåverkan bör ändringen distribueras snabbt, men om ändringen resulterar i användarpåverkan kan implementeringen behöva gå långsammare på grund av behovet av att kommunicera ändringar till användarpopulationen.

När du testar ändringar av en appskyddsprincip bör du vara medveten om leveranstidpunkten. Status för leverans av appskyddsprincip för en viss användare kan övervakas. Mer information finns i Övervaka appskyddsprinciper.

Enskilda inställningar för appskyddsprinciper för varje app kan verifieras på enheter med hjälp av Microsoft Edge och URL:en about:Intunehelp. Mer information finns i Granska klientappskyddsloggar och Använda Microsoft Edge för iOS och Android för att komma åt hanterade apploggar.

Inställningar för Appskydd ramverk för dataskydd

Följande inställningar för appskyddsprinciper ska aktiveras för tillämpliga appar och tilldelas till alla mobila användare. Mer information om varje principinställning finns i Inställningar för iOS-appskyddsprinciper och Inställningar för Android-appskyddsprinciper.

Microsoft rekommenderar att du granskar och kategoriserar användningsscenarier och sedan konfigurerar användare med hjälp av den föreskrivande vägledningen för den nivån. Som med alla ramverk kan inställningar inom en motsvarande nivå behöva justeras baserat på organisationens behov eftersom dataskydd måste utvärdera hotmiljön, riskaptiten och påverkan på användbarheten.

Administratörer kan införliva konfigurationsnivåerna nedan i sin ringdistributionsmetodik för testning och produktionsanvändning genom att importera exemplen på JSON-mallarna för Intune appskyddsprincipkonfiguration med Intunes PowerShell-skript.

Principer för villkorsstyrd åtkomst

För att säkerställa att endast appar som stöder appskyddsprinciper får åtkomst till arbets- eller skolkontodata krävs villkorsstyrda åtkomstprinciper för Microsoft Entra. Dessa principer beskrivs i villkorsstyrd åtkomst: Kräv godkända klientappar eller appskyddsprincip.

Se Kräv godkända klientappar eller appskyddsprincip med mobila enheter i Villkorsstyrd åtkomst: Kräv godkända klientappar eller appskyddsprincip för steg för att implementera de specifika principerna. Slutligen implementerar du stegen i Blockera äldre autentisering för att blockera äldre autentiseringskompatibla iOS- och Android-appar.

Appar som ska ingå i appskyddsprinciperna

För varje appskyddsprincip riktas gruppen Core Microsoft Apps, som innehåller följande appar:

• Microsoft Edge
• Excel
• Office
• OneDrive
• OneNote
• Outlook
• PowerPoint
• SharePoint
• Teams
• Att göra
• Word

Policyerna bör omfatta andra Microsoft-appar baserat på affärsbehov, ytterligare offentliga appar från tredje part som har integrerat Intune SDK som används inom organisationen, samt verksamhetsspecifika appar som har integrerat Intune SDK (eller har omslutits).

Grundläggande dataskydd för företag nivå 1

Nivå 1 är den lägsta dataskyddskonfigurationen för en mobil företagsenhet. Den här konfigurationen ersätter behovet av grundläggande Exchange Online enhetsåtkomstprinciper genom att kräva en PIN-kod för att komma åt arbets- eller skoldata, kryptera arbets- eller skolkontodata och tillhandahålla möjligheten att selektivt rensa skol- eller arbetsdata. Till skillnad från Exchange Online enhetsåtkomstprinciper gäller dock nedanstående inställningar för appskyddsprinciper för alla appar som markerats i principen, vilket säkerställer att dataåtkomsten skyddas bortom mobila meddelandescenarier.

Principerna på nivå 1 tillämpar en rimlig dataåtkomstnivå samtidigt som påverkan på användarna minimeras och speglar standardinställningarna för dataskydd och åtkomstkrav när du skapar en appskyddsprincip i Microsoft Intune.

Dataskydd

Åtkomstkrav

Villkorsstyrd start

Förbättrat dataskydd för företag på nivå 2

Nivå 2 är den dataskyddskonfiguration som rekommenderas som standard för enheter där användare får åtkomst till känsligare information. Dessa enheter är ett naturligt mål i företag idag. Dessa rekommendationer förutsätter inte en stor personalstyrka med högkvalificerade säkerhetsutövare och bör därför vara tillgängliga för de flesta företagsorganisationer. Den här konfigurationen utökar konfigurationen på nivå 1. Det begränsar dataöverföringsscenarier och kräver en lägsta operativsystemversion.

Dataskydd

Villkorsstyrd start

Högt dataskydd för företag nivå 3

Nivå 3 är den dataskyddskonfiguration som rekommenderas som standard för organisationer med stora och avancerade säkerhetsorganisationer, eller för specifika användare och grupper som kommer att vara unika mål för angripare. Sådana organisationer är vanligtvis måltavlor för välfinansierade och sofistikerade motståndare, och som sådana förtjänar de ytterligare begränsningar och kontroller som beskrivs. Den här konfigurationen utökar konfigurationen på nivå 2 genom att begränsa ytterligare dataöverföringsscenarier, öka komplexiteten i PIN-kodskonfigurationen och lägga till identifiering av mobila hot.

Dataskydd

Åtkomstkrav

Villkorsstyrd start

Nästa steg

Administratörer kan införliva ovanstående konfigurationsnivåer i sin ringdistributionsmetodik för testning och produktionsanvändning genom att importera exemplet Intune App Protection Policy Configuration Framework JSON-mallar med Intune PowerShell-skript.

Se även

• Skapa och distribuera appskyddsprinciper med Microsoft Intune
• Tillgängliga principinställningar för Android-appskydd med Microsoft Intune
• Tillgängliga principinställningar för iOS/iPadOS-appskydd med Microsoft Intune