Attività rapide per iniziare a usare la conformità in Microsoft Purview

  • Articolo

Se non si ha familiarità con Microsoft Purview e ci si chiede da dove iniziare, questo articolo fornisce indicazioni sulle nozioni di base e assegna priorità alle attività di conformità importanti. Questo articolo consente di iniziare rapidamente a gestire e monitorare i dati, proteggere le informazioni e ridurre al minimo i rischi insider.

Questo articolo è utile anche se si sta cercando di capire come gestire al meglio i rischi, proteggere i dati e rimanere conformi alle normative e agli standard con una nuova forza lavoro remota. I dipendenti ora collaborano e si connettono tra loro in modi nuovi e questo cambiamento significa che i processi e i controlli di conformità esistenti potrebbero dover adattarsi. Identificare e gestire questi nuovi rischi di conformità all'interno dell'organizzazione è fondamentale per proteggere i dati e ridurre al minimo le minacce e i rischi.

Dopo aver completato queste attività di conformità di base, è consigliabile espandere la copertura della conformità nell'organizzazione implementando soluzioni Microsoft Purview aggiuntive.

Consiglio

Se non si è un cliente E5, usare la versione di valutazione delle soluzioni Microsoft Purview di 90 giorni per esplorare in che modo funzionalità aggiuntive di Purview possono aiutare l'organizzazione a gestire le esigenze di sicurezza e conformità dei dati. Iniziare ora dall'hub delle versioni di valutazione Portale di conformità di Microsoft Purview. Informazioni dettagliate sull'iscrizione e le condizioni di valutazione.

Attività 1: Configurare le autorizzazioni di conformità

È importante gestire chi nell'organizzazione ha accesso alla Portale di conformità di Microsoft Purview per visualizzare il contenuto ed eseguire attività di gestione. Microsoft 365 fornisce ruoli amministrativi specifici per la conformità e per l'uso degli strumenti inclusi nella Portale di conformità di Microsoft Purview.

Per iniziare, assegnare le autorizzazioni di conformità agli utenti dell'organizzazione in modo che possano eseguire queste attività e impedire a persone non autorizzate di accedere ad aree esterne alle proprie responsabilità. Prima di iniziare a configurare e implementare le soluzioni di conformità incluse in Microsoft 365, è necessario assicurarsi di aver assegnato le persone appropriate all'amministratore dei dati di conformità e ai ruoli di amministratore amministratore della conformità. Sarà anche necessario assegnare gli utenti al ruolo di lettore globale Microsoft Entra per visualizzare i dati in Compliance Manager.

Per istruzioni dettagliate sulla configurazione delle autorizzazioni e l'assegnazione di persone ai ruoli di amministratore, vedere Autorizzazioni nel Portale di conformità di Microsoft Purview.

Attività 2: Conoscere lo stato di conformità

È difficile sapere dove andare se non sai dove sei. Soddisfare le esigenze di conformità include la comprensione del livello di rischio corrente e degli aggiornamenti che potrebbero essere necessari in questi tempi in continua evoluzione. Se l'organizzazione non ha familiarita' con i requisiti di conformità o ha una profonda esperienza con gli standard e le normative che regolano il settore, l'unica cosa migliore da fare per migliorare la conformità è capire dove si trova l'organizzazione.

Microsoft Purview Compliance Manager consente di comprendere il comportamento di conformità dell'organizzazione ed evidenziare le aree che potrebbero richiedere miglioramenti. Compliance Manager usa un dashboard centralizzato per calcolare un punteggio basato sui rischi, misurando i progressi nel completamento delle azioni che consentono di ridurre i rischi relativi alla protezione dei dati e agli standard normativi. È anche possibile usare Compliance Manager come strumento per tenere traccia di tutte le valutazioni dei rischi. Fornisce funzionalità del flusso di lavoro che consentono di completare in modo efficiente la valutazione dei rischi tramite uno strumento comune.

Per istruzioni dettagliate per iniziare a usare Compliance Manager, vedere Introduzione a Compliance Manager.

Importante

Sicurezza e conformità sono strettamente integrate per la maggior parte delle organizzazioni. È importante che l'organizzazione affronti le aree di sicurezza, protezione dalle minacce e gestione delle identità e degli accessi di base per fornire un approccio approfondito alla sicurezza e alla conformità.

Controllare il punteggio di sicurezza di Microsoft 365 nel portale di Microsoft Defender e completare le attività descritte negli articoli seguenti:

Attività 3: Abilitare il controllo per l'organizzazione

Ora che è stato determinato lo stato corrente dell'organizzazione e chi può gestire le funzioni di conformità, il passaggio successivo consiste nell'assicurarsi di disporre dei dati per condurre indagini sulla conformità e generare report per le attività di rete e utente nell'organizzazione. L'abilitazione del controllo è anche un prerequisito importante per le soluzioni di conformità descritte più avanti in questo articolo.

Le informazioni dettagliate fornite dal log di controllo sono uno strumento utile per soddisfare i requisiti di conformità alle soluzioni che consentono di gestire e monitorare le aree di conformità che necessitano di miglioramenti. La registrazione di controllo deve essere abilitata prima della registrazione delle attività e prima di poter eseguire ricerche nel log di controllo. Se abilitata, l'attività utente e amministratore dell'organizzazione viene registrata nel log di controllo e mantenuta per 90 giorni e fino a un anno a seconda della licenza assegnata agli utenti.

Per istruzioni dettagliate su come abilitare il controllo, vedere Abilitare o disabilitare le ricerca nel log di controllo.

Attività 4: Creare criteri per segnalare potenziali problemi di conformità

Microsoft offre diversi criteri di avviso predefiniti che consentono di identificare gli abusi delle autorizzazioni di amministratore, le attività di malware, le potenziali minacce esterne e interne e i rischi di gestione del ciclo di vita dei dati. Questi criteri sono attivati per impostazione predefinita, ma potrebbe essere necessario configurare avvisi personalizzati per gestire i requisiti di conformità specifici dell'organizzazione.

Usare gli strumenti del dashboard dei criteri di avviso e degli avvisi per creare criteri di avviso personalizzati e visualizzare gli avvisi generati quando gli utenti eseguono attività che corrispondono alle condizioni dei criteri. Alcuni esempi possono essere l'uso di criteri di avviso per tenere traccia delle attività degli utenti e degli amministratori che interessano i requisiti di conformità, le autorizzazioni e gli eventi imprevisti di perdita dei dati nell'organizzazione.

Per indicazioni dettagliate sulla creazione di criteri di avviso personalizzati, vedere Criteri di avviso in Microsoft 365.

Attività 5: Classificare e proteggere i dati sensibili

Per svolgere il proprio lavoro, gli utenti dell'organizzazione collaborano con altri utenti all'interno e all'esterno dell'organizzazione. Ciò significa che il contenuto non rimane più dietro un firewall, ma può eseguire il roaming ovunque, tra dispositivi, app e servizi. E quando viene eseguito il roaming, si vuole che lo faccia in modo sicuro e protetto che soddisfi i criteri aziendali e di conformità dell'organizzazione.

Le etichette di riservatezza consentono di classificare e proteggere i dati dell'organizzazione, assicurando al contempo che la produttività degli utenti e la loro capacità di collaborare non siano ostacolate. Usare le etichette di riservatezza per applicare la crittografia e le restrizioni di utilizzo applicare contrassegni visivi e proteggere le informazioni tra piattaforme e dispositivi, in locale e nel cloud.

Per istruzioni dettagliate su come configurare e usare le etichette di riservatezza, vedere Introduzione alle etichette di riservatezza.

Attività 6: Configurare i criteri di conservazione

Un criterio di conservazione consente di decidere in modo proattivo se conservare il contenuto, eliminarlo o entrambi, conservarlo ed eliminarlo alla fine di un periodo di conservazione specificato. Queste azioni potrebbero essere necessarie per rispettare le normative del settore e i criteri interni e ridurre il rischio in caso di controversia legale o violazione della sicurezza.

Quando il contenuto è soggetto a criteri di conservazione, gli utenti possono continuare a modificare e usare il contenuto come se nulla fosse cambiato. Il contenuto viene mantenuto in posizione, nella posizione originale. Tuttavia, se qualcuno modifica o elimina il contenuto soggetto ai criteri di conservazione, una copia del contenuto originale viene salvata in un percorso sicuro in cui viene conservato mentre i criteri di conservazione per tale contenuto sono in vigore.

È possibile applicare rapidamente criteri di conservazione per più servizi nell'ambiente Microsoft 365 che includono messaggi di Teams e Viva Engage, posta di Exchange, siti di SharePoint e account di OneDrive. Non esistono limiti al numero di utenti, cassette postali o siti che un criterio di conservazione può includere automaticamente. Tuttavia, se è necessario ottenere un livello più selettivo, è possibile configurare un ambito adattivo basato su query per indirizzare in modo dinamico istanze specifiche o un ambito statico che specifica istanze specifiche da includere o escludere sempre.

Per indicazioni dettagliate sulla configurazione dei criteri di conservazione, vedere Creare e configurare i criteri di conservazione. Poiché i criteri di conservazione costituiscono la pietra angolare di una strategia di gestione del ciclo di vita dei dati per le app e i servizi di Microsoft 365, vedere anche Introduzione alla gestione del ciclo di vita dei dati.

Attività 7: Configurare informazioni riservate e criteri linguistici inappropriati

Proteggere le informazioni sensibili e rilevare e agire in caso di incidenti di molestie sul posto di lavoro è una parte importante della conformità con le politiche e gli standard interni. La conformità delle comunicazioni in Microsoft Purview consente di ridurre al minimo questi rischi consentendo di rilevare, acquisire e adottare rapidamente azioni correttive per la posta elettronica e le comunicazioni di Microsoft Teams. Queste includono comunicazioni inappropriate contenenti volgarità, minacce e molestie e comunicazioni che condividono informazioni sensibili all'interno e all'esterno dell'organizzazione.

Un modello predefinito rileva criteri di testo inappropriati consente di controllare le comunicazioni interne ed esterne per individuare le corrispondenze dei criteri in modo che possano essere esaminate dai revisori designati. I revisori possono analizzare la posta elettronica, Microsoft Teams, Viva Engage o comunicazioni di terze parti nell'organizzazione e intraprendere azioni correttive appropriate per assicurarsi che siano conformi agli standard dell'organizzazione.

Il modello predefinito Rileva criteri informazioni sensibili consente di creare rapidamente un criterio per controllare la posta elettronica e le comunicazioni di Microsoft Teams contenenti tipi di informazioni sensibili definiti o parole chiave per assicurarsi che i dati importanti non vengano condivisi con utenti che non devono avere accesso. Queste attività potrebbero includere comunicazioni non autorizzate su progetti riservati o regole specifiche del settore sul insider trading o altre attività di complicita'.

Per indicazioni dettagliate per pianificare e configurare la conformità delle comunicazioni, vedere Pianificare la conformità delle comunicazioni e Introduzione alla conformità delle comunicazioni. Per informazioni sulle licenze per la conformità delle comunicazioni, vedere Linee guida sulle licenze di Microsoft 365 per la sicurezza & conformità.

Attività 8: Vedere cosa accade con gli elementi sensibili

Le etichette di riservatezza, i tipi di informazioni sensibili, le etichette di conservazione e i criteri e i classificatori sottoponibili a training possono essere usati per classificare ed etichettare gli elementi sensibili in Exchange, SharePoint e OneDrive come illustrato nelle attività precedenti. L'ultimo passaggio del percorso di attività rapido consiste nel vedere quali elementi sono stati etichettati e quali azioni gli utenti stanno eseguendo su tali elementi sensibili. Esplora contenuto ed Esplora attività offrono questa visibilità.

Esplora contenuto

Esplora contenuto consente di visualizzare, nel formato nativo, tutti gli elementi classificati come tipo di informazioni sensibili o appartenenti a una determinata classificazione da un classificatore sottoponibile a training e tutti gli elementi con etichetta di riservatezza o conservazione applicata.

Per indicazioni dettagliate sull'uso di Esplora contenuto, vedere Conoscere i dati - Panoramica della classificazione dei dati e Introduzione a Esplora contenuto.

Esplora attività

Esplora attività consente di monitorare le operazioni eseguite con gli elementi sensibili classificati ed etichettati in:

  • SharePoint
  • Exchange
  • OneDrive

Sono disponibili per l'uso oltre 30 filtri diversi, alcuni dei quali sono:

  • intervallo di date
  • tipo di attività
  • posizione
  • utente
  • etichetta di riservatezza
  • etichetta di conservazione
  • percorso file
  • Criteri DLP

Per indicazioni dettagliate sull'uso di Esplora attività, vedere Introduzione a Esplora attività.

Passaggi successivi

Ora che sono state configurate le nozioni di base per la gestione della conformità per l'organizzazione, prendere in considerazione le soluzioni di conformità seguenti in Microsoft Purview per proteggere le informazioni sensibili e rilevare e agire su rischi Insider aggiuntivi.

Configurare etichette di conservazione

Mentre i criteri di conservazione si applicano automaticamente a tutti gli elementi a livello di contenitore (ad esempio siti di SharePoint, cassette postali utente e così via), le etichette di conservazione si applicano a singoli elementi, ad esempio un documento di SharePoint o un messaggio di posta elettronica. È possibile applicare queste etichette manualmente o automaticamente.

Le etichette di conservazione possono essere usate come parte della strategia di governance dei dati per conservare ciò di cui si ha bisogno ed eliminare gli elementi non necessari. Usare queste etichette quando sono necessarie eccezioni ai criteri di conservazione quando documenti o messaggi di posta elettronica specifici richiedono impostazioni di conservazione o eliminazione diverse. Ad esempio, i criteri di SharePoint conservano tutti i documenti per tre anni, ma i documenti aziendali specifici devono essere conservati per cinque anni. Per altre informazioni, vedere Creare etichette di conservazione per le eccezioni ai criteri di conservazione.

Tuttavia, le etichette di conservazione, se usate con la gestione dei record, offrono molte più opzioni di gestione per supportare documenti e messaggi di posta elettronica a livello di elemento. Questo livello di gestione dei dati è particolarmente adatto per gli elementi di alto valore per i requisiti aziendali, legali o normativi di conservazione dei record. Per altre informazioni, vedere Introduzione alla gestione dei record.

Identificare e definire tipi di informazioni sensibili

Definire tipi di informazioni sensibili in base al modello contenuto nelle informazioni nei dati dell'organizzazione. L'uso di tipi di informazioni sensibili predefiniti consente di identificare e proteggere i numeri di carta di credito, i numeri di conto bancario, i numeri di passaporto e altro ancora. In alternativa, creare tipi di informazioni sensibili personalizzati specifici dell'organizzazione.

Per indicazioni dettagliate sulla definizione di tipi di informazioni sensibili personalizzati, vedere Creare tipi di informazioni sensibili personalizzati

Prevenire la perdita di dati

Prevenzione della perdita dei dati Microsoft Purview criteri (DLP) consentono di identificare, monitorare e proteggere automaticamente le informazioni sensibili nell'organizzazione di Microsoft 365. Usare i criteri DLP per identificare gli elementi sensibili nei servizi Microsoft, impedire la condivisione accidentale di elementi sensibili e aiutare gli utenti a imparare a rimanere conformi senza interrompere il flusso di lavoro.

Per istruzioni dettagliate sulla configurazione dei criteri di prevenzione della perdita dei dati, creare e distribuire criteri di prevenzione della perdita dei dati. Per informazioni sulle licenze per la gestione della perdita di dati, vedere Linee guida sulle licenze di Microsoft 365 per la sicurezza & la conformità.

Rilevare e agire sui rischi insider

Sempre più dipendenti hanno sempre più accesso per creare, gestire e condividere dati in un'ampia gamma di piattaforme e servizi. Nella maggior parte dei casi, le organizzazioni dispongono di risorse e strumenti limitati per identificare e mitigare i rischi a livello di organizzazione, rispettando al contempo i requisiti di conformità e gli standard di privacy dei dipendenti. Questi rischi possono includere il furto di dati da parte dei dipendenti in partenza e perdite di dati di informazioni all'esterno dell'organizzazione per oversharing accidentale o finalità dannose.

La gestione dei rischi Insider usa l'intera gamma di indicatori di servizio e di terze parti per identificare, valutare e agire rapidamente sulle attività degli utenti a rischio. Utilizzando i log di Microsoft 365 e Microsoft Graph, la gestione dei rischi insider consente di definire criteri specifici per identificare gli indicatori di rischio e di intervenire per mitigare questi rischi.

Per indicazioni dettagliate per pianificare e configurare i criteri di gestione dei rischi Insider, vedere Pianificare la gestione dei rischi Insider e Introduzione alla gestione dei rischi Insider. Per informazioni sulle licenze per la gestione dei rischi Insider, vedere Linee guida sulle licenze di Microsoft 365 per la sicurezza & la conformità.