Utiliser Network Data Security pour empêcher le partage d’informations sensibles avec une IA non managée

Cet article utilise le processus que vous avez appris dans Concevoir une stratégie de protection contre la perte de données pour vous montrer comment créer une stratégie de protection contre la perte de données (DLP) Microsoft Purview qui permet d’empêcher le partage d’informations sensibles avec des applications IA non managées via la sécurité des données réseau à l’aide d’une solution SASE intégrée, telle que Microsoft Entra accès Internet GSA. Utilisez ce scénario dans votre environnement de test pour vous familiariser avec l’interface utilisateur de création de stratégie.

La façon dont vous déployez une stratégie est aussi importante que la conception de stratégie. Cet article explique comment utiliser les options de déploiement afin que la stratégie atteigne votre objectif tout en évitant les interruptions coûteuses de l’activité.

Conditions préalables et hypothèses

• Pour Microsoft Entra applications GSA Internet Access, l’appareil doit être joint à l’ID Entra.
• Pour Microsoft Entra applications GSA Internet Access, vous avez configuré une stratégie de fichier pour le filtrage de contenu réseau dans Microsoft Entra accès Internet GSA.
• Pour les fournisseurs SASE tiers, vérifiez que vous avez effectué les étapes d’intégration décrites dans la documentation de votre fournisseur.
• Cette procédure utilise des groupes de distribution hypothétiques, l’un nommé Équipe finance et un autre groupe pour l’équipe de sécurité. Vous devez créer ces groupes dans votre environnement ou remplacer vos propres groupes.

Mappage et instruction d’intention de stratégie

Nous voulons adopter une utilisation responsable de l’IA au sein de notre organization tout en protégeant les données sensibles des clients et de l’organisation contre toute exposition intentionnelle ou accidentelle. Étant donné que le service Finance gère régulièrement des informations hautement sensibles, nous devons créer une stratégie qui empêche les utilisateurs finance de partager du contenu sensible avec toute application d’IA générative non approuvée. Étant donné que bon nombre de nos utilisateurs disposent de la flexibilité dans le navigateur qu’ils choisissent d’utiliser, ainsi que de la possibilité d’utiliser des applications IA installées localement et des compléments Office, nous devons garantir une large couverture des points de terminaison grâce à la protection de la sécurité des données réseau. Compte tenu de la sensibilité de l’accès aux données du service Finance, nous devons empêcher les données financières, les informations d’identification personnelle (PII) ou les documents confidentiels d’être partagés via des invites texte ou des fichiers chargés. Ensuite, pour garantir une gestion efficace et rapide des incidents, nous devons générer des alertes et nous assurer que notre équipe de sécurité est avertie par e-mail chaque fois qu’un blocage se produit. Enfin, nous voulons que cette stratégie prenne effet immédiatement pour commencer à protéger les données de l’entreprise dès que possible.

Intégration du fournisseur SASE

1. Connectez-vous au portail Microsoft Purview.
2. Ouvrir les paramètres (dans le coin supérieur droit) >Intégrations de protection contre la> perte de données
3. Sélectionnez Prise en main de Microsoft Global Secure Access (préversion) .
4. Effectuez les étapes fournies dans l’Assistant Intégration.

Étapes de création d’une stratégie

1. Connectez-vous au portail Microsoft Purview.
2. Sélectionnez Stratégies de protection contre la>> perte de données + Créer une stratégie.
3. Sélectionnez Trafic web inline.
4. Sélectionnez Personnalisé dans la liste Catégories , puis stratégie personnalisée dans la liste Réglementations .
5. Cliquez sur Suivant.
6. Entrez un nom de stratégie et fournissez une description facultative. Vous pouvez utiliser l’instruction d’intention de stratégie ici.
7. Cliquez sur Suivant.
8. Sélectionnez + Ajouter des applications cloud.
9. Sélectionnez l’onglet Étendues d’application adaptatives , puis choisissez Toutes les applications IA non managées et sélectionnez Ajouter (1) .
10. Sélectionnez Modifier l’étendue sur Toutes les applications IA non managées.
11. Sélectionnez l’option Inclure uniquement surAjouter ou modifier l’étendue de Toutes les applications IA non managées.
12. Sélectionnez + Ajouter des inclusions.
13. Sélectionnez Utilisateurs et groupes spécifiques.
14. Recherchez et sélectionnez le groupe De services financiers , puis sélectionnez Ajouter.
15. Sélectionnez Enregistrer et fermer.
16. Cliquez sur Suivant.
17. Dans la page Choisir où appliquer la stratégie , vérifiez que Réseau est Activé, puis sélectionnez Suivant.

1. Dans la page Définir les paramètres de stratégie, vérifiez que Créer ou personnaliser des règles DLP avancées est sélectionné, puis sélectionnez Suivant.
2. Dans la page Personnaliser les règles DLP avancées , sélectionnez + Créer une règle.
3. Donnez à la règle un nom unique et une description facultative.
4. Sous conditions
   1. Sélectionnez + Ajouter une condition , puis choisissez Contenu contient.
   2. Sélectionnez Ajouter et choisissez Types d’informations sensibles.
   3. Choisissez Aba Routing Number, U.S. Bank Account Number, Credit Card Number, U.S. Social Security Number (SSN) et sélectionnez Ajouter.
   4. Sélectionnez Ajouter et choisissez Étiquettes de confidentialité.
   5. Choisissez Confidentiel , puis sélectionnez Ajouter.
   6. Vérifiez que l’opérateur Group est défini sur L’un de ces éléments pour le groupe Contenu contient.
5. Sous Actions
   1. Sélectionnez + Ajouter une action et choisissez Restreindre les activités du navigateur et du réseau.
   2. Sélectionnez Texte envoyé à ou partagé avec des applications cloud ou IA et **Fichier chargé ou partagé avec des applications cloud ou IA.
   3. Sélectionnez Bloquer pour les deux.

1. Sous Rapports d’incidents
   1. Définissez le niveau de gravité dans les alertes et rapports d’administration sur Élevé
   2. Vérifiez que l’option Envoyer une alerte aux administrateurs lorsqu’une correspondance de règle se produit est Activée
   3. Sélectionnez + Ajouter ou supprimer des utilisateurs, puis choisissez le groupe de distribution SecurityOps.
   4. Vérifiez que l’option Envoyer une alerte chaque fois qu’une activité correspond à la règle est sélectionnée
2. Sélectionnez Enregistrer.
3. Passez en revue la configuration de la règle, vérifiez qu’elle est status est Activée, puis sélectionnez Suivant.
4. Dans la page Mode stratégie , choisissez Activer immédiatement la stratégie , puis sélectionnez Suivant.
5. Passez en revue les informations de stratégie, puis sélectionnez Envoyer pour créer la stratégie.