Bereitstellen von Vertraulichkeitsbezeichnungen mit Bezeichnungsrichtlinien für die australische Regierung

Dieser Artikel enthält Anleitungen für australische Regierungsbehörden zur Microsoft Purview-Richtlinienkonfiguration für Vertraulichkeitsbezeichnungen. Sie soll veranschaulichen, wie Bezeichnungsrichtlinien so konfiguriert werden können, dass sie den Anforderungen des Schutzsicherheitsrichtlinien-Frameworks (PSPF) und des Handbuchs zur Informationssicherheit (Information Security Security Manual, ISM) am besten entsprechen.

Damit Vertraulichkeitsbezeichnungen von Benutzern für Die Anwendung auf Elemente ausgewählt werden können, müssen sie über Bezeichnungsrichtlinien veröffentlicht werden. Bezeichnungsrichtlinien werden im Microsoft Purview-Portal unter dem Informationsschutzmenü konfiguriert.

Schritt-für-Schritt-Anweisungen zum Standardprozess zum Erstellen einer Vertraulichkeitsbezeichnung finden Sie unter Erstellen einer Vertraulichkeitsbezeichnung. In diesem Artikel wird dieser Leitfaden erweitert, indem Konfigurationen bereitgestellt werden, die den Anforderungen der australischen Regierung entsprechen.

Bezeichnungsrichtlinieneinstellungen

Vertraulichkeitsbezeichnungsrichtlinien enthalten verschiedene Richtlinieneinstellungen, die das Verhalten der Clients steuern, die Vertraulichkeitsbezeichnungen unterstützen. Diese Einstellungen sind wichtig, damit organisationen der australischen Regierung einige wichtige Anforderungen erfüllen können.

Standardbezeichnung

Die Option Standardbezeichnung weist Microsoft 365 an, die ausgewählte Bezeichnung automatisch auf Elemente anzuwenden. Um die PSPF- und ISM-Anforderungen der australischen Regierung zu erfüllen, werden die Standardbezeichnungseinstellungen auf keine festgelegt. Ohne die Standardanwendung von Bezeichnungen zu verhindern, besteht das Risiko, dass Sicherheitsklassifizierungen nicht ordnungsgemäß festgelegt wurden.

Begründung für Bezeichnungsänderungen

Für Organisationen der australischen Regierung empfiehlt Microsoft, dass die Begründung für Bezeichnungsänderungen aktiviert ist.

Bei vielen Organisationen wird sich die Vertraulichkeit von Informationen wahrscheinlich im Laufe der Zeit ändern. Beispiele hierfür sind Embargos für Informationen und Medienmitteilungen, bei denen informationen nach der Veröffentlichung nicht mehr als vertraulich angesehen werden müssen. Bezeichnungsänderungsauslöser für den Fall, dass ein Benutzer versucht, eine angewendete Vertraulichkeitsbezeichnung zu entfernen oder zu verringern. Die Option fordert an, dass der Benutzer einen Grund für die Änderung angibt:

Überwachung von Bezeichnungsänderungen

Alle Bezeichnungsänderungen und ihre Begründungsantworten werden im Überwachungsprotokoll aufgezeichnet und sind für Administratoren in Microsoft Purview Activity Explorer sichtbar.

Überwachungsprotokollinformationen, einschließlich Ereignisse im Hinblick auf Bezeichnungsänderungen, können in Microsoft Sentinel oder einer entsprechenden SIEM-Lösung (Security Information and Event Management) erfasst werden. Diese Lösungen können so konfiguriert werden, dass sie Warnungen oder Berichte zu Bezeichnungsänderungen erstellen.

Änderungen an Vertraulichkeitsbezeichnungen sind auch für das Insider-Risikomanagement sichtbar, das so konfiguriert werden kann, dass Bezeichnungs-Downgrades als Zeichen des Benutzerrisikos betrachtet werden, wodurch Benutzer möglicherweise daran gehindert werden, Daten über adaptiven Schutz freizugeben, wenn ihre Risikostufe einen konfigurierten Schwellenwert erreicht.

Die Bezeichnungsänderungsbegründung wird nicht für Änderungen zwischen Untergeordneten Bezeichnungen ausgelöst. Wenn Sie eine Bezeichnungstaxonomie mit IMMs unter einer übergeordneten Bezeichnung verwenden, können Benutzer einen Information Management Marker (IMM) hinzufügen oder entfernen, ohne die Aktion rechtfertigen zu müssen. Dies funktioniert zu unseren Gunsten, da das Entfernen oder Hinzufügen eines IMM keine Änderung der Sicherheitsklassifizierung darstellt. Beachten Sie jedoch, dass diese Bezeichnungsänderungen im Microsoft 365-Überwachungsprotokoll aufgezeichnet werden.

Regierungsorganisationen sollten auch die Beibehaltung von Antworten zur Begründung von Bezeichnungsänderungen in Betracht ziehen. Aufbewahrungsrichtlinien für Überwachungsprotokolle können verwendet werden, um die Aufbewahrung dieser Protokollinformationen zu erweitern. Weitere Informationen zum Überwachungsprotokoll und den Optionen für die Protokollaufbewahrung finden Sie im Überwachungsprotokoll.

Überlegungen zur Neuklassifizierung

Die Bezeichnungsänderungsbegründung ist ein Feature, bei dem sich die verfügbaren Optionen von der Absicht der Behördlichen Anforderungen unterscheiden. PSPF gibt an, dass der Absender eines Elements, das als die Entität definiert ist, die die Informationen ursprünglich generiert oder empfangen hat, für die Kontrolle seiner Deklassifizierung oder Neuklassifizierung verantwortlich bleiben muss:

Darüber hinaus besagt die ISM-1089 Folgendes:

Der in Microsoft Purview verwendete Ansatz ist "vertrauen, aber überprüfen", der Benutzern mit der Berechtigung ermöglicht, Elemente zu bearbeiten und die Bezeichnung anzupassen, die auf diese Elemente angewendet wird. Die Begründung für Bezeichnungsänderungen bietet Überwachung und Verantwortlichkeit für alle Änderungen.

Personen, die die PSPF-Neuklassifizierungsanforderungen im Einklang mit dem Microsoft-Ansatz "trust but verify" in Betracht ziehen, sollten eine Kombination der folgenden Optionen in Betracht ziehen, um Die Entklassifizierungsrisiken zu verringern.

Blockieren von neu klassifizierten E-Mails

DLP kann verwendet werden, um die Deklassifizierung zu identifizieren und zu beheben. Stellen Sie sich eine E-Mail-Unterhaltung vor, die als GESCHÜTZT bezeichnet wurde. Diese Unterhaltung enthält eine oder mehrere Schutzmarkierungen, z. B. eine Betreffkennzeichnung von [SEC=PROTECTED] im Text der E-Mail. Eine DLP-Richtlinie kann mit folgenden Bedingungen erstellt werden:

• Inhalt enthält Vertraulichkeitsbezeichnungen: UNOFFICIAL, OFFICIAL oder OFFICIAL: Vertraulich, und
• Inhalt enthält Schlüsselwort (keyword) "SEC=PROTECTED".

Die oben genannten Bedingungen geben einen eindeutigen Hinweis darauf, dass das Element mit einer niedrigeren Vertraulichkeitsbezeichnung neu klassifiziert wurde. Blockierungs- und Berichterstellungsaktionen können so konfiguriert werden, dass sie das Vorkommen ausführen. Ein Beispiel für einen Ansatz, bei dem Markierungen bewertet werden, die auf Elemente anstelle einer Vertraulichkeitsbezeichnung angewendet werden, finden Sie unter Steuern von E-Mails mit markierten Informationen über DLP.

Insider-Risikomanagement-Kontrollen

Insider-Risikomanagement enthält eine lange Liste von Risikoindikatoren , die bei der Bestimmung der Risikostufe eines Benutzers berücksichtigt werden können. Dies schließt Indikatoren für die Verringerung einer angewendeten Vertraulichkeitsbezeichnung ein. Insider-Risikomanagement versteht auch böswillige Verwendungsmuster, z. B. das Herabsetzen der Klassifizierung, die auf ein Element angewendet wird, gefolgt von der Exfiltration.

Insider-Risikomanagement warnt Administratoren, die wiederholt versuchen, Informationen als "riskant" zu exfiltrieren, und ermöglicht es Sicherheitsteams, einzugreifen. Dieses Tool hat die Möglichkeit, HR-Datenfeeds zu erfassen und Datenexfiltrationsaktivitäten mit HR-Signalen zu korrelieren, z. B. das ausstehende Vertragsenddatum. Diese Funktion signalisiert Administratoren, dass Benutzer mit böswilligen Absichten identifiziert und umgehend behandelt werden können, wodurch das Risiko einer böswilligen Deklassifizierung und Exfiltration beseitigt wird.

Um noch weiter darauf aufzubauen, können die Features des adaptiven Schutzes im Insider-Risikomanagement aktiviert werden, wodurch der Zugriff riskanter Benutzer und die Möglichkeit, bezeichnete Informationen nach einem Risikoereignis zu exfiltrieren, automatisch eingeschränkt werden können. Dies kann dazu beitragen, Informationen zu schützen, indem Kontrollen sofort implementiert werden, anstatt darauf zu warten, dass Sicherheitsteams auf Warnungen reagieren.

Layering von DLP-Steuerelementen

Herkömmliche DLP-Ansätze konzentrierten sich auf einen einzelnen Bezeichner der Elementempfindlichkeit, bei dem es sich um die Sicherheitsklassifizierung eines Elements handelte. Moderne Datenklassifizierungstechniken ermöglichen das Scannen und Identifizieren vertraulicher Inhalte in Elementen. Wenn vertrauliche Informationen in einem Element identifiziert werden, können sie unabhängig von der Vertraulichkeitsbezeichnung geschützt werden, die auf das Element angewendet werden kann. Die Überschichtung von DLP-Richtlinien, um Schutz basierend auf Vertraulichkeitsbezeichnungen (Elementkontext) und den eingeschlossenen Informationen des Elements (Elementinhalt) bereitzustellen, bietet eine Tiefe des Schutzes, die herkömmlichen Ansätzen mit nur classificaiton überlegen ist.

Im Anschluss an die DLP-Konfigurationsanleitungen, die sowohl zur Verhinderung unangemessener Verteilung von sicherheitsgesicherten Informationen als auch zur Einschränkung der Verteilung vertraulicher Informationen bereitgestellt werden, wird ein mehrstufiger Ansatz für die Datensicherheit bereitgestellt, der nicht von der Klassifizierung allein abhängig ist.

Organisationsrichtlinie

Microsoft empfiehlt australischen Behörden, organisationsrichtlinienbasierte Kontrollen als Methode zur Erfüllung von Deklassifizierungsanforderungen zu implementieren. Dieser Ansatz sollte durch Benutzerschulungen und Wissensdatenbank Artikel verstärkt werden, die benutzern über Links zu weiteren Informationen zur Verfügung gestellt werden können.

Verhindern der Neuklassifizierung

Für diejenigen, die die Neuklassifizierung verhindern möchten, gibt es zwei nativ verfügbare Optionen in Microsoft 365. Diese Optionen wirken sich auf die Benutzerfreundlichkeit aus, sodass Microsoft empfiehlt, zunächst DLP, Insider-Risikomanagement und organisationsrichtlinienbasierte Ansätze zu untersuchen.

Verschlüsselungsbasierter Ansatz

Die Verschlüsselung von Vertraulichkeitsbezeichnungen kann mit Berechtigungen konfiguriert werden, die die Fähigkeit des Benutzers zum Ändern von Elementeigenschaften einschränken. Mitbesitzerberechtigungen lassen Eigenschaftsänderungen zu, einschließlich der angewendeten Bezeichnung, während die Berechtigungen der mitverfasserten Elemente bearbeiten, aber nicht deren Eigenschaften zulassen. Eine solche Konfiguration müsste durch eine Gruppenstruktur unterstützt werden, um die Zuweisung solcher Berechtigungen an diejenigen zu unterstützen, die sie benötigen. Bei dieser Konfiguration müssen auch die anderen Aspekte der Verschlüsselung berücksichtigt werden, die in der Verschlüsselung von Vertraulichkeitsbezeichnungen erläutert werden.

Die Verschlüsselung auf Elementebene, die zweifellos die Zukunft für die Datensicherheit ist, kann einige Auswirkungen auf vorhandene Dienste haben, z. B. Datensatzverwaltungssysteme, die elemente in ihrem verschlüsselten Format möglicherweise nicht indizieren können. Es gibt wahrscheinlich auch Auswirkungen, wenn Elemente an externe Stellen wie Nationalarchive weitergegeben werden müssen, die möglicherweise ihre eigene Indizierung durchführen müssen.

Weitere Informationen zu den erforderlichen Azure Rights Management-Berechtigungen zur Unterstützung finden Sie unter Konfigurieren von Nutzungsrechten für Azure Information Protection (AIP).For more information on the required Azure Rights Management permissions to support this, see Configure usage rights for Azure Information Protection (AIP).

Bezeichnung "lock"-Ansatz

Abschnitt 24 und Abschnitt 26 des Archivgesetzes verbieten die Entsorgung oder Änderung bestimmter Arten von Commonwealth-Aufzeichnungen. Bezeichnungsänderungen sind Metadaten für einen Datensatz und können eine Änderung dieses Datensatzes darstellen. Um Bezeichnungsänderungen zu verhindern, können Organisationen Aufbewahrungsbezeichnungen implementieren, die Microsoft Purview-Datensatzverwaltung Features verwenden, um Elemente in einem Zustand zu "sperren". Nach der Sperrung können Elemente und die zugehörige Vertraulichkeitsbezeichnung nicht mehr geändert werden, wodurch eine erneute Klassifizierung verhindert wird. Wenn Sie Microsoft 365 auf diese Weise konfigurieren, können Organisationen sowohl PSPF- als auch Archiv Act-Anforderungen für diese Commonwealth-Datensatztypen erfüllen.

Weitere Informationen zum Verhindern von Änderungen an Elementen über Datensatzbezeichnungen finden Sie unter Deklarieren von Datensätzen mithilfe von Aufbewahrungsbezeichnungen.

Verbindliche Bezeichnung

Bezeichnungsrichtlinien bieten die Möglichkeit, Benutzer aufzufordern, eine Bezeichnung für Dokumente und E-Mails auszuwählen. Diese Einstellung fordert Benutzer auf, eine Bezeichnung auszuwählen, wenn sie:

• Speichern eines neuen Elements (Datei oder E-Mail),
• Versuchen Sie, eine E-Mail ohne Bezeichnung zu senden, oder
• Ändern eines Elements, für das noch keine Bezeichnung angewendet wurde.

Diese Einstellung stellt sicher, dass für alle Elemente Schutzmarkierungen und andere zugeordnete Steuerelemente angewendet werden.

Bezeichnungsvererbung

Die Einstellung für die Bezeichnungsvererbung ermöglicht es E-Mails, die Vertraulichkeit ihrer Anlagen zu erben. Dies wird wirksam, wenn ein Element mit einer höheren Vertraulichkeit an eine E-Mail mit einer niedrigeren Vertraulichkeitsbezeichnung angefügt wird. Diese Einstellung trägt dazu bei, dass hochsensible Elemente nicht unangemessen über E-Mails mit geringerer Vertraulichkeit offengelegt werden.

Wie bei allen automatischen Bezeichnungsprozessen setzt die Automatisierung eine manuell angewendete Bezeichnung nicht außer Kraft. Um den größten Vorteil zu erhalten, sollten australische Regierungsbehörden beide Optionen auswählen. Wenn Sie beide Optionen auswählen, können neu erstellte Elemente die Vertraulichkeit von Anlagen erben. In Situationen, in denen ein Benutzer bereits eine Bezeichnung angewendet hat, tritt die zweite Option in Kraft und empfiehlt, die Vertraulichkeit der E-Mail entsprechend zu erhöhen.

Diese Einstellung entspricht den folgenden Anforderungen:

Die Bezeichnungsvererbung trägt dazu bei, Folgendes sicherzustellen:

• Alle E-Mail-Fluss- oder DLP-bezogenen Steuerelemente, die an die E-Mail-Bezeichnung gebunden sind (z. B. diejenigen, die unter Verhindern der E-Mail-Verteilung von klassifizierten Informationen erläutert werden), werden basierend auf den Anlagen der E-Mail angewendet.
• Wenn die geerbte Bezeichnung erweiterte Steuerelemente wie die Bezeichnungsverschlüsselung enthält, werden diese Steuerelemente auf die E-Mail angewendet (wie unter Verschlüsselung von Vertraulichkeitsbezeichnungen erläutert).

Benutzerdefinierte Hilfeseite

Mit der Option "Benutzerdefinierte Hilfeseite" können Organisationen einen Link über die Option "Weitere Informationen" bereitstellen, die unten im Bezeichnungsmenü angezeigt wird. Der Benutzer wird an die URL einer Website weitergeleitet, die Informationen darüber bereitstellt, wie Vertraulichkeitsbezeichnungen korrekt angewendet und die Benutzer über ihre Kennzeichnungs- oder Klassifizierungspflichten informiert werden.

Zusammen mit QuickInfos für Bezeichnungen wird die "Learn More"-Website von Mitarbeitern verwendet, um zu bestimmen, welches Etikett für ein Element am besten geeignet ist. Dies entspricht der PSPF 2024-Anforderung 60, da sie Benutzern bei der Bewertung vertraulicher und sicherheitsrelevanter Informationen hilft.

Organisationen verwenden in der Regel ein Mitarbeiterintranet oder einen ähnlichen Ort, um Inhalte zu veröffentlichen, die für Klassifizierungsanforderungen und -prozesse relevant sind. Dieselbe Website kann ein geeignetes Ziel für diesen Link "Weitere Informationen" sein. Es gibt weitere Verwendungsmöglichkeiten für eine solche Website, die unter Out-of-Place-Warnungen für Daten weiter erläutert wird.

Mehrere Richtlinien

Viele Organisationen können ihre Bezeichnungsanforderungen mit einer einzigen Richtlinie erfüllen. Organisationen mit präziseren Anforderungen benötigen zusätzliche Richtlinien. Beispielsweise erfordert ein organization, der seine PROTECTED-Bezeichnung und zugehörige Unterbezeichnungen für eine Teilmenge von Benutzern veröffentlichen möchte, eine andere Richtlinie, um dies zu erreichen. Eine Richtlinie mit dem Namen geschützte Bezeichnungsrichtlinie konnte erstellt werden, für die nur die PROTECTED-Bezeichnungen ausgewählt sind. Die Richtlinie kann dann in einer geschützten Benutzergruppe veröffentlicht werden.

Die Blaupause für sichere Cloud von ASD empfiehlt zwei Richtlinien: eine für Benutzer bis OFFICIAL: Vertraulich und eine für bis zu PROTECTED. Dies ist wahrscheinlich ein guter Ansatz für viele Organisationen.

Richtlinienreihenfolge

Mehrere Bezeichnungsrichtlinien können so konfiguriert werden, dass unterschiedliche Bezeichnungen oder richtlinienoptionen für Benutzergruppen bereitgestellt werden. In diesen Szenarien ist die Richtlinienreihenfolge wichtig. Benutzer im Bereich mehrerer Richtlinien erhalten alle Bezeichnungen, die ihnen über die verschiedenen Richtlinien zugewiesen wurden, aber sie erhalten nur Einstellungen von der Richtlinie in der höchsten Reihenfolge.

Beispiel für Bezeichnungsrichtlinien

Das folgende Bezeichnungsbeispiel veranschaulicht eine typische Richtlinienkonfiguration für organisationen der australischen Regierung. Die folgende geschützte Richtlinie soll veranschaulichen, wie eine Gruppe von Bezeichnungen nur für eine Teilmenge von Benutzern veröffentlicht werden kann und nicht für jede organization erforderlich ist:

Diese Richtlinien können mit den folgenden Einstellungen konfiguriert werden, die den Anforderungen der australischen Regierung am besten entsprechen:

Bezeichnungsrichtlinienänderungen

Mitarbeiter, die für die Verwaltung von Änderungen an der Konfiguration von Bezeichnungs- oder Bezeichnungsrichtlinien verantwortlich sind, sollten beachten, dass es maximal 24 Stunden dauert, bis Änderungen für Benutzer bereitgestellt und mit Clientgeräten synchronisiert werden. Dies sollte in test- und technische Änderungsfenster berücksichtigt werden.