Prevención del derrame de datos para el Gobierno australiano

En este artículo se proporcionan instrucciones para las organizaciones gubernamentales australianas sobre las configuraciones para reducir el riesgo de derrame de datos evitando que se reciban clasificaciones de seguridad de mayor confidencialidad en entornos de menor confidencialidad. Su propósito es ayudar a las organizaciones a mejorar su posición de seguridad de la información. Las instrucciones de este artículo están diseñadas para adaptarse a los requisitos descritos en el Marco de directivas de seguridad de protección (PSPF) y el Manual de seguridad de la información (ISM).

Para reducir la probabilidad y el posible daño del derrame de datos, los entornos de Microsoft 365 deben configurarse para:

• Evalúe las marcas de protección en los elementos entrantes y bloquee su recibo si es necesario.
• Evalúe las marcas de protección en los elementos que ya se han recibido y evite cualquier divulgación adicional si es necesario.
• Desencadenar alertas e informes adecuados.
• Proporcione un método de comprobación de elementos con clasificaciones superiores a las permitidas dentro de un entorno.

Evaluación de las marcas protectoras

Cuando se aplican clasificaciones de seguridad a elementos, como mediante la aplicación de una etiqueta de confidencialidad, también se aplican marcas protectoras. Las marcas de protección incluyen marcas de contenido, como encabezados y pies de página dicusussed en el marcado de contenido de etiquetas de confidencialidad. En el caso del correo electrónico, las marcas de protección también incluyen encabezados x de marcado de protección x y marcas basadas en asuntos. Para proporcionar la mejor cobertura posible, se deben aplicar enfoques que utilicen varios métodos de identificación de clasificaciones no emitidas. Los enfoques para identificar las clasificaciones de seguridad deben incluir la evaluación de:

1. X-protective-marking x-headers Las organizaciones gubernamentales deben marcar los metadatos de correo electrónico, en forma de encabezados x, para generar correo electrónico que identifique su clasificación de seguridad. Un x-protective-marking x-header including SEC=SECRET denota un elemento con una clasificación de seguridad SECRET.
2. Marcas de asunto Las organizaciones gubernamentales normalmente aplicarán marcas de asunto al correo electrónico. Las marcas de sujeto son más propensas a la manipulación, ya que son accesibles para el usuario final, pero siguen proporcionando una buena indicación de la clasificación de seguridad. Un marcado de asunto que incluye [SEC=SECRET] denota un elemento secreto.
3. Tipo de información confidencial (SIT) Los tipos de información confidencial (SIT) son identificadores basados en palabras clave o patrones que se pueden usar para buscar contenido dentro de elementos, incluidas las marcas de protección. Se puede configurar una SIT para identificar un marcado de contenido en SECRET el encabezado o pie de página de un correo electrónico o documento. Una palabra clave de SECRET es más propensa a falsos positivos que se recomienda una palabra clave de SECRET CABINET Personal Privacy tal discreción con esta técnica.
4. Etiqueta de confidencialidad Los usuarios no deben tener la capacidad de aplicar etiquetas de confidencialidad más allá de la clasificación de seguridad permitida para un entorno. Sin embargo, la configuración de etiquetas no publicadas para clasificaciones superiores a las permitidas puede ser útil cuando se empareja con configuraciones de etiquetado automático. Por ejemplo, una directiva de etiquetado automático que busque un marcado SECRET y aplique una etiqueta SECRET podría cifrar los elementos de alineación, lo que impediría cualquier divulgación adicional mientras intervienen los equipos de seguridad. Para obtener más información, consulte etiquetas para obtener información que supere el nivel PROTEGIDO.

Los enfoques usados en este artículo usan uno o varios de estos métodos para identificar las clasificaciones de seguridad.

Bloqueo de la recepción de correo electrónico con clasificaciones no emitidas

ISM-0565 define medidas para protegerse de los derrames de datos a través del correo electrónico recibido:

Dentro de este requisito, el término marcas protectoras inapropiadas se usa normalmente para definir clasificaciones superiores a las permitidas para un entorno. Para cumplir este requisito, se deben configurar directivas de prevención de pérdida de datos (DLP) para evitar la transmisión, recepción y distribución adicional de elementos con clasificaciones no emitidas.

Regla DLP de ejemplo: Bloquear correo electrónico SECRET

La siguiente regla evalúa el correo electrónico en función del encabezado X, el marcado de asunto y la etiqueta de confidencialidad. No se ha agregado una condición que evalúe los SIT a esta regla debido al riesgo de falsos positivos, pero esto se podría agregar después de las pruebas si se considera adecuado. Esta regla se podría denominar EXO: bloquear el correo electrónico SECRETO y agregarse a una directiva denominada EXO: bloquear correo electrónico de clasificación no emitido.

Bloqueo del uso compartido de elementos con clasificaciones no emitidas

Normalmente, hay muchas vías diferentes para que la información se mueva a un entorno. Email es una vía importante que se debe tratar, pero también debemos tener en cuenta las muchas otras formas en que se podrían recibir los archivos y el riesgo de que los elementos con clasificaciones no emitidas ya existan en un entorno.

Las clasificaciones de seguridad se pueden identificar a través de tipos de información confidencial personalizados, como los que se detallan en sintaxis sit de ejemplo para detectar marcas de protección.

Una vez configurados los SIT, SharePoint trabaja para indexar elementos activos para la alineación de SIT. Las directivas DLP se pueden crear para proteger los elementos que se consideran alineados con una SIT.

Se podría crear el siguiente conjunto de SIT de ejemplo para intentar identificar marcas SECRET. Los niveles de confianza variarán para estos SIT, ya que cuanto más sencillos sean los marcados, mayor será la probabilidad de falsos positivos.

Regla DLP de ejemplo: Bloquear el uso compartido de elementos SECRET

La siguiente regla DLP se podría denominar SPOD - Bloquear el uso compartido de SECRETOS y agregarse a una directiva denominada SPOD : bloquear el uso compartido de clasificación no emitido.

Etiquetado automático de elementos con clasificaciones no emitidas

Las directivas DLP mostradas anteriormente hacen uso de condiciones de contenido que contienen la etiqueta de confidencialidad. Para utilizar estas condiciones, se requiere un método de etiquetado de elementos sospechosos de tener una clasificación no emitida. Esto se logra mediante el uso de directivas de etiquetado automático basadas en servicios para comprobar los elementos en reposo en las ubicaciones de SharePoint para la alineación de SIT. Si se detecta un elemento que contiene una clasificación de seguridad no emitida, el elemento se puede etiquetar y proteger. Esta configuración requiere que se creen etiquetas y no se publiquen directamente para los usuarios finales. En su lugar, deben publicarse en un servicio o tener una cuenta de interrupción para incluirlas en el ámbito del servicio de etiquetado automático. Puede encontrar más información sobre cómo expandir taxonomías de etiquetas a clasificaciones no emitidas en Etiquetas para obtener información más allá del nivel PROTEGIDO.

La configuración de etiquetado automático necesaria para lograr esto se ajustaría a los ejemplos proporcionados en la configuración de directiva basada en SharePoint. A continuación se proporciona otra configuración de ejemplo. Las reglas siguientes se pueden agregar a una directiva denominada SPOD - Etiquetar elementos SECRET:

Una ventaja de ese etiquetado automático proporciona más allá de los métodos de detección basados en SIT es que el etiquetado habilitará las alertas de datos fuera de lugar. Esto se desencadena cada vez que se mueve un elemento de mayor confidencialidad a una ubicación de menor confidencialidad, alertando a los propietarios de la ubicación y a los usuarios que completan la actividad de movimiento. Otras alertas se pueden lograr mediante el uso de reglas de flujo de correo.

Las etiquetas de confidencialidad creadas para detectar y proteger las clasificaciones no emitidas también se pueden configurar con el cifrado de etiquetas de confidencialidad. Esta configuración de cifrado podría configurarse de forma que solo los equipos necesarios para investigar posibles derrames de datos tengan acceso a elementos etiquetados, lo que reduce considerablemente el impacto de posibles derrames. Esta configuración ayudaría a las organizaciones a cumplir los requisitos de restricción de datos de ISM-0133:

Identificación de datos derramados

El Explorador de contenido es una funcionalidad de Microsoft Purview que permite a los administradores examinar un patrimonio de datos de Microsoft 365 de las organizaciones por tipo de información confidencial, etiqueta de confidencialidad, clasificador entrenable o etiqueta de retención. Una vez que se hayan creado los SIT para identificar las clasificaciones no emitidas o las etiquetas de confidencialidad con las directivas de etiquetado automático asociadas implementadas, los administradores podrán buscar elementos alineados en SharePoint, OneDrive, Exchange y Teams.

Microsoft Purview eDiscovery proporciona un método alternativo para buscar elementos con clasificaciones no emitidas. Se puede crear un caso de exhibición de documentos electrónicos con criterios de búsqueda que busquen una etiqueta de confidencialidad o SIT. Para obtener más información sobre el uso de eDiscovery para buscar contenido, vea Buscar contenido en sitios en eDiscovery.

Protección de elementos sin etiquetar

PSPF requiere que la información evaluada por cualquier riesgo o daño potencial que pueda deberse a su divulgación:

Cuando se ha evaluado la información, su nivel de riesgo considerado se registra mediante la aplicación de una clasificación de seguridad. Microsoft 365 proporciona esto a través del etiquetado de confidencialidad. Configuraciones como el etiquetado obligatorio garantizan que todos los elementos, como documentos o correos electrónicos, tengan una etiqueta aplicada.

Si un usuario no ha aplicado una clasificación de seguridad a un elemento, es probable que no se haya considerado el riesgo de divulgación inapropiada. La distribución de la información contenida debe considerarse un riesgo. Las estrategias para estos escenarios deben tenerse en cuenta e incorporarse en una configuración dlp de organizaciones.

Muchas organizaciones gubernamentales australianas también consideran que los elementos no etiquetados son inadecuados según ISM-0565:

Bloqueo de la transmisión de correo electrónico sin etiquetar

Para bloquear la transmisión de correo electrónico sin etiquetar, se puede configurar una directiva DLP en función de la plantilla de directiva personalizada y aplicarla al servicio Exchange.

Una transmisión de bloqueo de la directiva de correo electrónico sin etiquetar requiere dos reglas:

1. La primera regla para los elementos salientes a través del contenido que se comparte desde Microsoft 365, con personas fuera de la condición de mi organización .
2. Una segunda regla que se aplica al contenido que se comparte desde Microsoft 365, solo con personas de mi organización.

Las reglas necesitan una excepción, que se aplica a través de un grupo de condiciones con el operando NOT habilitado. El grupo de condiciones incluye una condición de contenido que contieneetiquetas de confidencialidad y tiene todas las etiquetas disponibles en el entorno seleccionado.

Las aplicaciones y servicios que generan correo electrónico están fuera de la configuración de etiquetado obligatorio que se aplica a Aplicaciones Microsoft 365 clientes. Por lo tanto, esta directiva DLP se desencadena cada vez que se envía correo electrónico no generado por el usuario. Se desencadena contra las alertas de seguridad generadas por los servicios de Microsoft, el correo electrónico de escáneres y dispositivos multifunción (MFP) y el correo electrónico de aplicaciones como recursos humanos o sistemas de nómina. Para asegurarse de que la directiva no bloquea los procesos empresariales esenciales, las excepciones deben incluirse en el grupo NOT. Por ejemplo:

• Eldominio de remitente OR esmicrosoft.com, que captura las alertas de seguridad y SharePoint.
• El remitente ORes miembro del grupo, con un grupo que contiene cuentas autorizadas para omitir este requisito.
• Ladirección IP del remitente OR es, junto con las direcciones de los MFP de la oficina.

La regla se desencadena cada vez que se envía un correo electrónico que no contiene una de las etiquetas de confidencialidad enumeradas a menos que el remitente esté exento a través de una de las excepciones configuradas.

Estas reglas DLP deben tener una acción de bloquear a todos junto con la gravedad adecuada y las acciones de informes.

El siguiente requisito de alerta es relevante para la regla DLP que se aplica a los elementos salientes:

Para cumplir este requisito, la regla DLP que se aplica a los elementos salientes está configurada para notificar al usuario que intentó enviar el elemento.

Ejemplo de directiva DLP que bloquea el correo electrónico sin etiquetar

La siguiente directiva DLP se aplica al servicio Exchange y evita la pérdida de información por correo electrónico sin etiquetar:

Nombre de directiva: EXO: bloquear el correo electrónico sin etiquetar