Dataskyddsramverk med appskyddsprinciper

I takt med att fler organisationer implementerar strategier med mobila enheter för åtkomst till arbets- eller skoldata blir det ytterst viktigt att skydda mot dataläckage. Intune-lösningen för hantering av mobilprogram som skyddar mot dataläckage är appskyddsprinciper (APP). APP är regler som säkerställer att organisationens data förblir säkra eller förvaras i en hanterad app. Mer information finns i översikten av Appskyddsprinciper.

När du konfigurerar appskyddsprinciper gör de olika inställningarna och alternativen att organisationer kan skräddarsy skyddet för efter sina särskilda behov. På grund av den här flexibiliteten är det inte alltid uppenbart vilken permutation av principinställningar som krävs för att implementera ett fullständigt scenario. I syfte att hjälpa organisationer att prioritera arbete med förstärkning av klientslutpunkter har Microsoft infört en ny taxonomi för säkerhetskonfigurationer i Windows 10, och Intune använder en liknande taxonomi för sitt APP-dataskyddsramverk för hantering av mobilappar.

Ramverket för APP-dataskyddskonfiguration är indelat i tre olika konfigurationsscenarier:

• Nivå 1: Grundläggande dataskydd för företag – Microsoft rekommenderar den här konfigurationen som lägsta dataskyddskonfiguration för företagsenheter.

• Nivå 2: Förbättrat dataskydd för företag – Microsoft rekommenderar den här konfigurationen för enheter vars användare får åtkomst till känslig eller konfidentiell information. Den här konfigurationen gäller för de flesta mobila användare som har åtkomst till arbets- eller skoldata. Vissa av kontrollerna kan påverka användarupplevelsen.

• Nivå 3: Starkt dataskydd för företag – Microsoft rekommenderar den här konfigurationen för enheter som körs av organisationer med ett större eller mer avancerat säkerhetsteam, eller för specifika användare eller grupper som utsätts för ovanligt hög risk (användare som hanterar mycket känsliga data, där otillåtet yppande skulle orsaka omfattande materiella förluster för organisationen). Organisationer som kan antas vara föremål för välfinansierade och avancerade angrepp bör eftersträva den här konfigurationen.

Distributionsmetod för ramverket för APP-dataskydd

Som med alla distributioner av ny programvara, funktioner eller inställningar överlag rekommenderar Microsoft att du investerar i en ringmetod för att testa validering innan du distribuerar ramverket för APP-dataskydd. Att definiera distributionsringar är vanligtvis en engångshändelse (eller åtminstone något som sker sällan), men IT-avdelningen bör kontrollera dessa grupper för att se till att sekvensen fortfarande är korrekt.

Microsoft rekommenderar följande distributionsringsmetod för ramverket för APP-dataskydd:

Som anges i tabellen ovan bör alla ändringar av appskyddsprinciper först utföras i en förproduktionsmiljö så att man förstår effekterna av principändringar. När testningen är klar kan ändringarna flyttas till produktion och tillämpas på en delmängd av produktionsanvändarna, vanligtvis IT-avdelningen och andra tillämpliga grupper. Slutligen kan distributionen slutföras till övriga mobilanvändare. Det kan ta längre tid att distribuera till produktion, beroende på hur stor påverkan ändringen medför. Om det inte finns någon användarpåverkan bör ändringen ske snabbt, men om ändringen resulterar i användarpåverkan kan distributionen behöva gå långsammare eftersom användarna behöver meddelas om ändringar.

När du testar ändringar i en APP bör du vara medveten om leveranstiming. Statusen för APP-leverans för en viss användare kan övervakas. Mer information finns i Så här övervakar du appskyddsprinciper.

Enskilda APP-inställningar för varje app kan valideras på enheter med hjälp av Edge och URL:en about:Intunehelp. Mer information finns i Granska säkerhetsloggar för klientappar och Använda Microsoft Edge för iOS och Android för att komma åt loggar för hanterade appar.

Inställningar för ramverket för APP-dataskydd

Följande inställningar för appskyddsprincip bör aktiveras för tillämpliga appar och tilldelas till alla mobilanvändare. Mer information om varje principinställning finns i Inställningar för iOS-appskyddsprinciper och Inställningar för Android-appskyddsprinciper.

Microsoft rekommenderar att du granskar och kategoriserar användningsscenarier och sedan konfigurerar användare med hjälp av de normativa riktlinjerna för den nivån. Precis som med alla ramverk kan inställningar inom en motsvarande nivå behöva justeras baserat på organisationens behov, eftersom dataskydd måste utvärdera hotmiljön, riskbenägenheten och påverkan på användbarheten.

Administratörer kan införliva nedanstående konfigurationsnivåer i sin ringdistributionsmetod för testning och produktionsanvändning genom att importera JSON-mallarna för konfigurationsramverket för Intune-appskydd-princip med Intunes PowerShell-skript.

Villkorliga åtkomstprinciper

För att säkerställa att endast appar som har stöd för appskyddsprinciper får åtkomst till arbets- eller skolkontodata, krävs principer för villkorsstyrd åtkomst för Azure Active Directory. Dessa principer beskrivs i Kräv appskyddsprincip för åtkomst till molnapp med villkorlig åtkomst.

Se Scenario 1: Office 365-appar kräver godkända appar med appskyddsprinciper och Scenario 2: Webbläsarappar kräver godkända appar med appskyddsprinciper i Kräv appskyddsprincip för åtkomst till molnappar med villkorsstyrd åtkomst för anvisningar om hur du implementerar de specifika principerna. Implementera slutligen stegen i Blockera äldre autentisering för att blockera äldre autentiserings-kompatibla iOS- och Android-appar.

Appar som ska ingå i appskyddsprinciperna

För varje appskyddsprincip bör följande centrala Microsoft-appar inkluderas:

• Edge
• Excel
• Kontor
• OneDrive
• OneNote
• Outlook
• PowerPoint
• Microsoft Teams
• Microsoft To Do
• Word
• Microsoft SharePoint

Principerna bör inkludera andra Microsoft-appar baserat på affärsbehov, ytterligare offentliga appar från tredje part som har integrerat den Intune SDK som används i organisationen samt verksamhetsspecifika appar som har integrerat Intune SDK (eller som har omslutits).

Nivå 1: Grundläggande dataskydd för företag

Nivå 1 är den lägsta dataskyddskonfigurationen för en mobil företagsenhet. Den här konfigurationen ersätter behovet av grundläggande Exchange Online-principer för enhetsåtkomst genom att kräva en PIN-kod för åtkomst till arbets- eller skoldata, kryptera data i arbets- eller skolkonton samt ge möjligheten att selektivt rensa skol- eller arbetsdata. Till skillnad från Exchange Online-principer för enhetsåtkomst gäller dock nedanstående inställningar för appskyddsprincip för alla appar som väljs i principen. Det säkerställer att dataåtkomst skyddas även utanför scenarier för mobila meddelanden.

Principerna på nivå 1 tillämpar en rimlig dataåtkomstnivå och minimerar samtidigt påverkan på användare. De speglar även de standardmässiga inställningarna för dataskydd och åtkomstkrav vid skapande av en appskyddsprincip i Microsoft Endpoint Manager.

Dataskydd

Åtkomstkrav

Villkorlig start

Nivå 2: Förbättrat dataskydd för företag

Nivå 2 är den dataskyddskonfiguration som rekommenderas som standard för enheter vars användare får åtkomst till mer känslig information. De här enheterna är ett naturligt mål för angripare i dagens företagsvärld. De här rekommendationerna förutsätter inte att det finns en stor personal med säkerhetsexperter och bör därför vara genomförbara för de flesta företagsorganisationer. Den här konfigurationen utökar konfigurationen på nivå 1 genom att begränsa dataöverföringsscenarier och kräva en lägsta operativsystemversion.

I policyinställningarna som tillämpas på nivå 2 ingår alla policyinställningar som rekommenderas för nivå 1, men nedan visas bara de inställningar som har lagts till eller ändrats för att implementera fler kontroller och en mer avancerad konfiguration än nivå 1. De här inställningarna kan ha en något högre påverkan på användare eller program, men de upprätthåller en nivå av dataskydd som bättre motsvarar riskerna för användare med åtkomst till känslig information på mobila enheter.

Dataskydd

Villkorlig start

Nivå 3: Starkt dataskydd för företag

Nivå 3 är den dataskyddskonfiguration som rekommenderas som standard för organisationer med stora och avancerade säkerhetsorganisationer, eller för specifika användare och grupper som utsätts för ovanligt hög risk från angrepp. Sådana organisationer är ofta föremål för välfinansierade och avancerade angrepp, vilket berättigar de ytterligare begränsningar och kontroller som beskrivs. Den här konfigurationen utökar konfigurationen på nivå 2 genom att begränsa ytterligare dataöverföringsscenarier, öka komplexiteten för PIN-konfigurationen samt lägga till identifiering av mobila hot.

I policyinställningarna som tillämpas på nivå 3 ingår alla policyinställningar som rekommenderas för nivå 2, men nedan visas bara de inställningar som lagts till eller ändrats för att implementera fler kontroller och en mer avancerad konfiguration än nivå 2. Dessa principinställningar har potentiellt stor påverkan på användare eller program, och ger därmed en säkerhetsnivå som är lämplig med tanke på de risker som gällande organisationer utsätts för.

Dataskydd

Åtkomstkrav

Villkorlig start

Nästa steg

Administratörer kan implementera ovanstående konfigurationsnivåer i sin ringdistributionsmetod för testning och produktionsanvändning genom att importera exemplet JSON-mallar för ramverket för konfiguration av Intune-appskyddsprinciper med PowerShell-skript i Intune.

Se även

• Skapa och distribuera appskyddsprinciper med Microsoft Intune
• Tillgängliga inställningar för Android-appskyddsprinciper med Microsoft Intune
• Tillgängliga inställningar för iOS/iPadOS-appskyddsprinciper med Microsoft Intune