Microsoft Information Protection – O que é e como funciona

Descubra suas informações confidenciais em seus repositórios existentes. Este é o primeiro passo que recomendamos como parte de nossa abordagem de práticas recomendadas para detectar os dados que você possui e estar pronto para configurá-los como parte de suas configurações de rótulo de sensibilidade, bem como políticas de prevenção de perda de dados;

• Microsoft 365 Cloud: use o Content Explorer no centro de conformidade Microsoft 365 para descobrir dados armazenados no Microsoft 365 (SharePoint, OneDrive);
• Repositórios de nuvem não-Microsoft: Use o Microsoft Cloud App Security para conectar aplicativos não-Microsoft e descobrir informações confidenciais além dos serviços da Microsoft 365;
• Repositórios no local: Use o Azure Information Protection Scanner para descobrir dados armazenados em seus compartilhamentos de arquivos no local;
• Recursos do Azure: Use o Azure Purview para identificar informações confidenciais armazenadas nos Repositórios do Azure;

Use nomes de rótulos para que seus rótulos que ressoem intuitivamente com seus usuários. Usar o jargão da empresa que está bem enraizado na cultura do colaborador é uma abordagem válida, embora o cuidado deva ser tomado para garantir que os rótulos também sejam significativos para os novos funcionários. Por exemplo, usar siglas em nomes de rótulos não é ideal devido à opacidade aos novos funcionários e à dificuldade de reconhecê-los visualmente. Usar palavras curtas e significativas, como “Confidencial” ou “Segredo” geralmente funciona melhor.

Considere a ordem da etiqueta. Os rótulos são classificados da menor sensibilidade à maior sensibilidade, o que significa que os rótulos de maior sensibilidade representam um “upgrade” na confidencialidade das informações e geralmente têm medidas de proteção mais fortes. Esta ordem pode ser aplicada impedindo que os usuários rebaixem a sensibilidade de um documento, a menos que tenham os privilégios certos, e há vários cenários em que é importante que a ordem dos rótulos seja clara. É importante que os nomes que você usa reflitam esta ordem, anúncio que você deve evitar usar termos que não têm hierarquia clara. Por exemplo, nem todos os usuários podem concordar se “Confidencial” ou “Secreto” é o rótulo mais sensível, portanto, usar algo como “Confidencial” vs. “Altamente confidencial” pode ser preferível.

Os rótulos são geralmente usados para representar a sensibilidade real do conteúdo que é rotulado, enquanto as tags são normalmente usados para representar variações na proteção ou no escopo do conteúdo. Por exemplo, você pode ter uma taxonomia de rótulos que inclui “General Business”, “Confidential” e “Highly Confidential” como rótulos de alto nível. Marque como “Interno” ou “Externo” designam tipos específicos de dados em algumas dessas categorias de alto nível que precisam ser controladas de maneiras específicas. Você também pode ter tags específicos de projeto/equipe para atender a requisitos especiais, como excluir a aplicação de marcações de conteúdo para conteúdo que não deve ser modificado.

Mantenha-o simples com não mais do que cinco rótulos de nível superior e cinco tags. A pesquisa de experiência do usuário mostra que, com cinco ou menos rótulos, os usuários podem direcionar o rótulo desejado diretamente em um único movimento, enquanto se houver mais elementos na lista, o usuário normalmente terá que ler através deles cada vez, cometendo erros mais prováveis. A abordagem 5×5 é comprovadamente para manter as coisas simples e ajudar os usuários a escolher os rótulos certos, mas se você pode manter rótulos abaixo desses números, ainda melhor.

Defina rótulos que durarão muito tempo. Uma vez que os rótulos muitas vezes se tornam parte da cultura e linguagem de uma empresa, é fundamental que eles não sejam frequentemente alterados, especialmente quando se trata dos nomes e significados dos rótulos de alto nível. A abordagem mencionada no ponto anterior facilita isso: usar etiquetas de alto nível para representar a sensibilidade do documento significa que eles não mudarão com frequência. As tags, por outro lado, podem ser mais dinâmicos, e embora seja preferível enquadrá-los de uma maneira que siga um padrão claro que raramente muda, adicionando ou mudando tags à medida que requisitos adicionais, como novos projetos ou divisões surgem, geralmente não é um problema se você seguir um padrão consistente.

Não coloque informações confidenciais no nome ou descrição de um rótulo. Isso pode parecer óbvio, mas é comum que os departamentos de TI sejam solicitados a criar um selo para proteger informações para uma fusão ou aquisição ou um rótulo para um projeto secreto que não é conhecido pela população em geral na empresa. Colocar o nome da empresa ou uma palavra que revele mais sobre o projeto do que o que é público em nome do rótulo pode revelar tais dados a todos os usuários, mesmo que o rótulo seja escopo para uma pequena equipe. Embora as etiquetas escopo não sejam disponibilizadas a todos os usuários, os metadados sobre a existência de tais rótulos são transportados dentro das políticas que todos os usuários obtêm, por isso é importante que codinomes ou outras palavras-chave não divulgadas sejam usados em tais rótulos.

As políticas de rotulagem automática do lado do serviço devem ser usadas para dados em repouso no SharePoint Online e no OneDrive for Business e dados em trânsito para o Exchange Online quando sites específicos precisam ser detectados e rótulos aplicados automaticamente. Isso pode ser especialmente útil quando a fonte de dados não é controlada e pode ser que os dados sejam armazenados ou enviados sem serem rotulados pela solução do cliente. Além disso, é uma ótima opção para rotular dados que já estão armazenados no SharePoint Online e no OneDrive for Business.

Rotulagem do lado do cliente quando os usuários editam documentos ou compõem (também respondem ou encaminham) e-mails: Use um rótulo configurado para rotulagem automática de arquivos e e-mails (inclui Word, Excel, PowerPoint e Outlook). Este método suporta recomendar um rótulo a um usuário, bem como aplicar automaticamente uma etiqueta. Mas em ambos os casos, o usuário decide se aceita ou rejeita o rótulo, para ajudar a garantir a rotulagem correta do conteúdo. Essa rotulagem do lado do cliente tem um atraso mínimo para documentos, pois a etiqueta pode ser aplicada antes mesmo do documento ser salvo. No entanto, nem todos os aplicativos do cliente suportam rotulagem automática. Esse recurso é suportado pelo cliente de rotulagem unificada Azure Information Protection e algumas versões do Office.

Se sua organização opera em vários idiomas, trabalhe com suas equipes de localização para garantir que os nomes escolhidos para os rótulos possam ser facilmente localizados e sejam significativos em todos os idiomas necessários. Considere palavras que têm um significado claro em uma língua pode ser mais difícil de localização ou ser ambígua quando traduzida. Exemplos dessas palavras são “Público” que pode ter significados nuances em algumas línguas, e “Pessoal” que pode ser facilmente confundido em significado para se referir a informações privadas.

Considere o impacto na usabilidade. Forçar os usuários a selecionar rótulos com muita frequência pode levar os usuários a fazê-lo reflexivamente sem pensar no rótulo que devem aplicar. Usar um rótulo padrão predefinido é uma boa prática em cenários onde rotular manualmente tudo pode ser um fardo – e onde há algum nível de sensibilidade “seguro” que se aplica à maioria dos conteúdos. Um desses casos é o e-mail, onde para a maioria dos usuários na maioria das organizações rotular e-mails como “Internos” por padrão deve ser uma opção segura e reduzir consideravelmente o esforço do usuário. Os usuários podem rotular e-mails como “externos”, “públicos” ou “confidenciais” conforme necessário. Ao mesmo tempo, a maioria dos usuários não cria dezenas de novos documentos por dia, portanto, pedir-lhes para rotular individualmente cada documento sem fornecer um padrão é um requisito aceitável na maioria dos casos. O MIP permite que você faça isso usando um rótulo padrão diferente para e-mails e documentos usando a opção avançada chamada “OutlookDefaultLabel” que especifica um rótulo padrão para o Outlook independentemente do que está definido para documentos.

Compartimentar dados com moderação. A compartimentação de dados é essencial em muitas empresas e usar tag em um escopo que são mostrados e dão direitos a pessoas em departamentos específicos é uma boa prática, mas você deve usar esse recurso com moderação. Se você tem uma dúzia de projetos críticos que precisam conter seus dados de serem acessados pela população geral de funcionários, criar tags especificamente para eles é benéfico. Mas se você tem mil projetos que exigem o mesmo tratamento, a carga administrativa imposta por essa taxonomia de rótulo seria grande e você provavelmente acabará atingindo um limite prático. A melhor prática é definir uma regra clara para quais tipos de equipes, projetos, divisões ou grupos obtêm suas próprias tags, o que garante que apenas um pequeno número de tag precisam ser criadas (algumas dúzias) – e ficar com ela.

Considere quais ameaças você está tentando evitar – não o que os usuários farão com o conteúdo. Ao definir políticas de proteção, algumas organizações começam pensando no que os usuários precisam fazer com seu conteúdo e definem direitos com base nisso. Isso muitas vezes leva à frustração, já que a TI raramente saberá tudo o que todo funcionário precisa fazer com o conteúdo. Também pode levar a mais proteção do que o necessário, e uma vez que há uma pequena sobrecarga (para os computadores e os humanos) envolvida sempre que acessar algo é protegido através de criptografia e aplicação de direitos, isso é indesejável. Comece em vez disso com as ameaças que você está tentando evitar: você pode querer impedir que seus concorrentes acessem seus planos confidenciais, ou de usuários acidentalmente colocando dados confidenciais onde pessoas não autorizadas podem vê-los. Com base nesses requisitos, defina os controles mínimos que devem estar lá para garantir que esses cenários não aconteçam e implementá-los. Com o tempo, à medida que você ganha mais confiança em entender o que os usuários precisam fazer, você pode ajustar as configurações para implementar restrições mais rígidas conforme necessário.

Envolva diferentes equipes na revisão de sua taxonomia de rótulos proposto, incluindo conformidade, jurídico, relações públicas, educação final do usuário etc. Definir rótulos não é apenas uma tarefa de segurança de TI, e seu feedback inicial ajudará você a definir uma taxonomia de rótulo que funcionará por muito tempo e não precisará ser revisada após a implantação quando essas equipes observarem os rótulos definidos não atenderem às suas necessidades ou abordarem seus cenários.