Empfehlungen zur clientbasierten automatischen Bezeichnung für die australische Regierung

Dieser Artikel enthält Anleitungen für organisationen der australischen Regierung zu clientbasierten Funktionen für die automatische Vertraulichkeitsbezeichnung. Sie soll veranschaulichen, wie die automatische Bezeichnung dazu beitragen kann, den Datenschutzstatus zu verbessern. Die Anleitung ist für die Einhaltung des Schutzsicherheitsrichtlinien-Frameworks (PSPF) und des Handbuchs zur Informationssicherheit (ISM) vorgesehen.

Übersicht über automatische Bezeichnungen , bei denen die automatische Bezeichnung in einer modernen Regierungsarbeitsumgebung geeignet ist und Sicherheitsrisiken reduziert.

Im Kontext der australischen Regierung ist die clientbasierte automatische Bezeichnung nützlich, um Bezeichnungen basierend auf folgenden Gründen zu empfehlen:

• Erkennung vertraulicher Inhalte
• Von externen Organisationen angewendete Markierungen
• Markierungen, die von Nicht-Microsoft-Tools angewendet werden
• Historische Markierungen
• Absatzmarkierungen

Die clientbasierte automatische Bezeichnung wird direkt in der Konfiguration einer Vertraulichkeitsbezeichnung konfiguriert. Diese Methode der automatischen Bezeichnung gilt für Office- oder Onlineclients und identifiziert vertraulichen Inhalt interaktiv, benachrichtigt den Benutzer und dann folgendes:

• Wendet automatisch die Vertraulichkeitsbezeichnung an, die für die empfindlichsten Inhalte relevant ist, die in einem Element erkannt wurden. oder
• Empfiehlt dem Benutzer, die Bezeichnung anzuwenden.

PsPF 2024 Anforderung 59 und ISM 0271 machen deutlich, dass ein Benutzer für die Anwendung von Klassifizierungen auf Elemente und nicht für einen automatisierten Dienst verantwortlich sein sollte. Aus diesem Grund sollte die clientbasierte automatische Bezeichnung so konfiguriert werden, dass nur Benutzerempfehlungen bereitgestellt werden:

Im folgenden Beispiel begann der Benutzer mit dem Schreiben über Project Budgerigar. Die clientbasierte automatische Bezeichnungsaktion hat die Erkennung des Typs vertraulicher Informationen (Sensitive Information Type, SIT) ausgelöst. Das Ergebnis war eine clientbasierte Empfehlung zur automatischen Bezeichnung, die oben in der E-Mail angezeigt wurde:

Clientbasierte automatische Bezeichnungsaktionen können basierend auf der Erkennung vertraulicher Informationstypen (SENSITIVE Information Types, SITs) ausgelöst werden, einschließlich Exact Data Match-SITs und trainierbarer Klassifizierer. Es kann auch eine Kombination aus SITs und Klassifizierern verwendet werden.

Informationen zu SITs, die für die australische Regierung von größter Relevanz sind, finden Sie unter Identifizieren vertraulicher und sicherheitsrelevanter Informationen für die australische Regierung, die Informationen zum Erstellen von SITs zum Erkennen von Sicherheitsklassifizierungen enthält.

Szenarien für clientbasierte automatische Bezeichnungen für die australische Regierung

Die clientbasierte automatische Bezeichnung trägt zum Schutz vertraulicher Informationen bei, indem Elemente identifiziert werden, die unterklassiert sind. Unterklassifizierungsinformationen stellen ein erhebliches Risiko für die australische Regierung dar. Durch die clientbasierte automatische Bezeichnung kann sichergestellt werden, dass die richtige Bezeichnungsanwendung und Elemente entsprechend gekennzeichnet und geschützt werden. Die richtige Bezeichnung stellt sicher, dass nur eine angemessene Verteilung von Informationen als Steuerelemente, Verhinderung von Datenverlust (Data Loss Prevention, DLP) und ähnliche Steuerelemente basierend auf der Bezeichnung eines Elements zulässig ist.

Eine genaue Klassifizierung trägt dazu bei, dass die Prinzipien der Notwendigkeit des Wissens beibehalten werden und der Zugriff auf Informationen eingeschränkt wird. Diese Konzepte beziehen sich auf DIE PSPF 2024-Anforderung 131:

Empfehlen von Bezeichnungen basierend auf der Erkennung vertraulicher Inhalte

Die Erkennung vertraulicher Inhalte und die Empfehlung, dass Benutzer eine geeignete Bezeichnung anwenden, trägt dazu bei, Informationen zu schützen und sicherzustellen, dass sie wissen müssen. Die für die clientbasierte automatische Bezeichnung verfügbaren Bezeichnungsoptionen ermöglichen es uns auch, sicherzustellen, dass ein Benutzer für Klassifizierungsentscheidungen und nicht für ein automatisiertes System verantwortlich ist.

Die clientbasierte automatische Bezeichnung wird verwendet, um die Empfindlichkeit von Elementen zu erhöhen, sofern dies angebracht ist. Für die australische Regierung werden die Vorteile insbesondere am hohen Ende der Vertraulichkeitstaxonomie gesehen. Die Empfehlung einer Erhöhung der Klassifizierung von INOFFIZIELLEN zu OFFICIAL hat wenig Bedeutung für die Datensicherheit. Die Erkennung eines unterklassifizierten PROTECTED-Elements kann jedoch eine Datenverletzung verhindern.

Organisationen sollten eine Liste von SITs und Klassifizierern kompilieren und an den entsprechenden Vertraulichkeitsbezeichnungen ausrichten. Zum Beispiel:

Die in der vorherigen Tabelle beschriebenen Strategien können auch verwendet werden, um vertrauliche Informationen über andere Microsoft 365-Funktionen zu finden und darauf zu reagieren, z. B.:

• Verhinderung von Datenverlust
• Inhaltsexplorer
• Kommunikationscompliance
• Insider-Risikomanagement

Empfehlungen auf Der Grundlage von Kennzeichnungen externer Behörden

Viele der in diesem Dokument erläuterten Steuerelemente werden basierend auf den Bezeichnungen eingeführt, die auf Elemente angewendet werden. Viele der extern generierten Informationen verfügen über textbasierte Schutzmarkierungen, aber standardmäßig werden keine Vertraulichkeitsbezeichnungen angewendet, die für Ihre organization relevant sind. Dies führt dazu, dass solche Elemente nicht vor bezeichnungsbasierten DLP-Richtlinien geschützt sind. Warnungen werden auch nicht ausgelöst, wenn diese Elemente an Speicherorten mit niedrigerer Vertraulichkeit gespeichert werden.

Zu den Situationen, in denen dieses Szenario auftreten kann, gehören:

• Wenn Elemente von anderen Regierungsorganisationen erstellt wurden, die PSPF einhalten. In diesen Situationen sind Schutzmarkierungen vorhanden, aber Metadaten von Vertraulichkeitsbezeichnungen, z. B. GUIDs (Globally Unique Identifiers), stimmen nicht mit Ihrer eigenen Konfiguration für Vertraulichkeitsbezeichnungen überein. Elemente werden mit Sicherheitsklassifizierungen, aber nicht mit einer Vertraulichkeitsbezeichnung gekennzeichnet.
• Bei Elementen, die von anderen Regierungsorganisationen erstellt wurden, die nicht oder nur teilweise mit dem PSPF-Framework übereinstimmen (z. B. Regierungsorganisationen in New South Wales (NSW).
• Wenn Elemente, die von ausländischen Regierungen erstellt und klassifiziert wurden, mit australischen Regierungsorganisationen geteilt werden.

Um Informationen zu schützen, die Ihr organization erhalten hat und die ein Verwahrer von ist, kann die clientbasierte automatische Bezeichnung verwendet werden, um zu empfehlen, dass gleichwertige Bezeichnungen auf Elemente angewendet werden, damit sie geschützt sind.

Solche Konfigurationen verwenden SITs, um extern angewendete Kennzeichnungen oder Klassifizierungen zu identifizieren. Diese SITs müssen dann der Automatischen Bezeichnungskonfiguration der relevanten Vertraulichkeitsbezeichnungen hinzugefügt werden.

Einige Beispiele dafür, wo SITs verwendet werden können, um Etiketten basierend auf extern angebrachten Markierungen zu empfehlen:

Empfehlungen basierend auf Markierungen, die von Nicht-Microsoft-Tools angewendet werden

Viele Regierungsorganisationen haben derzeit oder zuvor Nicht-Microsoft-Tools verwendet, um Markierungen auf Dateien und E-Mails anzuwenden. Diese Tools sind so konfiguriert, dass sie eines oder mehrere der folgenden Elemente anwenden:

• X-Protective-Marking x-header to email
• Textbasierte Kopf- und Fußzeilen zu E-Mails und Dokumenten
• Betreffbasierte E-Mail-Markierungen
• Dateimetadaten über Dokumenteigenschaften

Für Organisationen, die von Nicht-Microsoft-Tools zu nativen Microsoft Purview-Funktionen wechseln, können diese vorhandenen Eigenschaften oder Markierungen verwendet werden, um zu bestimmen, welche Vertraulichkeitsbezeichnung angewendet werden soll.

Die dienstbasierte automatische Bezeichnung kann keine Inhalte erkennen oder E-Mails bezeichnen, die sich in Benutzerpostfächern befinden. Um sicherzustellen, dass Legacy-E-Mails geschützt sind, wird die clientbasierte automatische Bezeichnung verwendet, um sicherzustellen, dass Markierungen, die auf bereits vorhandene Elemente angewendet werden, in Bezeichnungen konvertiert werden, wenn E-Mails weitergeleitet oder beantwortet werden. Stellen Sie sich beispielsweise eine bereits vorhandene PROTECTED-E-Mail mit einer textbasierten PROTECTED-Kennzeichnung vor, auf die aber keine Vertraulichkeitsbezeichnung angewendet wird. Wenn ein Benutzer versucht, es weiterzuleiten oder darauf zu antworten, kann die clientbasierte automatische Bezeichnung das Element PROTECTED basierend auf den vorhandenen Markierungen identifizieren und dann empfehlen, dass der Benutzer die PROTECTED-Bezeichnung auf das Element anwendet.

Die folgenden clientbasierten Beispielkonfigurationen für automatische Bezeichnungen stellen sicher, dass für Elemente, die eine vorhandene Markierung enthalten, die richtige Vertraulichkeitsbezeichnung angewendet wird. Diese Konfigurationen identifizieren auch Markierungen, die zuvor von älteren Nicht-Microsoft-Klassifizierungstools angewendet wurden, und Markierungen für Elemente, die von externen PSPF-kompatiblen Organisationen generiert wurden:

Empfehlungen basierend auf Verlaufsmarkierungen

Behördliche Kennzeichnungsanforderungen ändern sich in regelmäßigen Abständen, wie im Oktober 2018, als Kennzeichnungen (z. B. CONFIDENTIAL und For Official Use Only (FOUO)) aus der Richtlinie entfernt wurden. Regierungsorganisationen verfügen wahrscheinlich über eine beträchtliche Menge an Informationen, die auf ihren Systemen mit diesen historischen Markierungen vorhanden sind.

Die Behandlung dieser Verlaufsmarkierungen liegt in der Regel außerhalb des Bereichs neuer Microsoft Purview-Bereitstellungen. Wenn Ihr organization jedoch historische Markierungen in den Bereich bringen möchte, können historische Markierungen in zwei Kategorien unterteilt werden: historische Markierungen, die eine moderne Entsprechung aufweisen, und Markierungen, die nicht. Die PSPF 2024-Richtlinien enthalten eine Liste der historischen Klassifizierungen und Markierungen sowie deren aktuellen Verarbeitungsanforderungen.

Eine einfache Option für Verlaufsmarkierungen, die an einem modernen Äquivalent ausgerichtet sind, besteht darin, die automatische Bezeichnung zu konfigurieren, um die Anwendung der entsprechenden Bezeichnung zu empfehlen, wenn diese Elemente geöffnet werden. Mit dieser Konfiguration sieht die Benutzererfahrung wie folgt aus:

• Wenn der Benutzer öffnet und versucht, eine Ältere-E-Mail zu beantworten oder weiterzuleiten , wird die Verlaufsmarkierung erkannt. Dem Benutzer wird eine Bezeichnungsempfehlung für die neue E-Mail bereitgestellt.
• Wenn eine Legacydatei von einem Benutzer geöffnet, geändert und gespeichert wird, erkennt der Office-Client die vorherige Markierung und fordert den Benutzer auf, vor dem Speichern eine moderne Entsprechung auf das Element anzuwenden.

Die vorherigen Aktionen tragen dazu bei, sicherzustellen, dass geeignete Steuerelemente auf Historische Elemente angewendet werden.

Im Folgenden finden Sie Beispiele dafür, wie SITs, die auf historischen Markierungen basieren, konfiguriert und mit der clientbasierten automatischen Bezeichnung verwendet werden können, um basierend auf einer historischen Kennzeichnung eine neue Bezeichnung vorzuschlagen:

SITs und DLP-Richtlinien sollten so konfiguriert werden, dass sie auf Verlaufsmarkierungen überprüfen und sicherstellen, dass relevante Kontrollen angewendet werden. Diese Konfigurationen stellen sicher, dass für Elemente mit Verlaufsmarkierungen, die extern per E-Mail gesendet werden, moderne Bezeichnungen und zugehörige Steuerelemente angewendet werden.

Empfehlen von Bezeichnungen basierend auf Absatzmarkierungen

Einige Regierungsorganisationen verwenden Absatzmarkierungen in Dokumenten. Empfehlungen für Absätze werden mit einer Reihe von SITs erstellt, um die Vertraulichkeit zu identifizieren, die auf ein Element basierend auf den enthaltenen Absatzmarkierungen angewendet werden kann. Die Dokumentbezeichnung wird jedoch zur höchsten Markierung aggregiert.

Um dies zu erreichen, könnten wir Folgendes verwenden:

• Eine OFFICIAL Schlüsselwort (keyword) SIT, die die (O) Absatzmarkierung erkennt und empfiehlt, dass die Bezeichnung OFFICIAL angewendet wird, wenn sie erkannt wird.
• Ein OFFICIAL Sensitive Schlüsselwort (keyword) SIT, der die (O:S) Absatzmarkierung erkennt und empfiehlt, dass die Bezeichnung OFFICIAL angewendet wird, wenn sie erkannt wird.
• Ein PROTECTED Schlüsselwort (keyword) SIT, der die (P) Absatzmarkierung erkennt und empfiehlt, dass die PROTECTED-Bezeichnung angewendet wird, wenn sie erkannt wird.
• Ein SECRET-Schlüsselwort (keyword) SIT, der die (S) Absatzmarkierung erkennt und empfiehlt, dass die Bezeichnung SECRET angewendet wird, wenn sie erkannt wird.

Die SECRET-Kennzeichnung SIT kann nützlich sein, um Informationen zu identifizieren, die nicht auf der Plattform gespeichert werden sollten. Die Überprüfung auf Elemente, die solche Markierungen enthalten, kann übergelaufene Daten identifizieren und ihnen ermöglichen, weitere Datenschutzverletzungen zu verhindern. Weitere Informationen finden Sie unter Bezeichnungen für Informationen, die nicht in Microsoft 365 platziert werden sollten.

Beispiel für eine clientbasierte automatische Bezeichnungskonfiguration

Diese Beispiele basieren auf der Verwendung von SITs und Klassifizierern, um Schutzmarkierungen oder vertrauliche Informationen zu identifizieren. Nach der Identifizierung wird dem Benutzer eine entsprechende Bezeichnung empfohlen. Diese Beispiele sind Beispiele für die australische Regierung, und Organisationen sollten daran arbeiten, ihre eigenen SITs zu entwickeln, um organization spezifischen Informationen zu identifizieren.