Guide de confidentialité Gestion des risques internes Microsoft Purview et de conformité des communications

Les solutions de risque interne Microsoft Purview fournissent aux organisations les outils nécessaires pour détecter et réduire les risques potentiels et les violations de stratégie. Les solutions de risque interne Microsoft Purview sont les suivantes :

• Gestion des risques internes Microsoft Purview utilise différents signaux pour détecter les risques internes potentiels malveillants ou accidentels, tels que le vol de propriété intellectuelle, la fuite de données et les violations de sécurité. La gestion des risques internes permet aux clients de créer des stratégies pour gérer la sécurité et la conformité.
• Conformité des communications Microsoft Purview fournit des outils pour aider les organisations à détecter les problèmes potentiels de conformité réglementaire (par exemple SEC ou FINRA) et les violations de conduite commerciale, telles que des informations sensibles ou confidentielles, des propos harcelants ou menaçants, et le partage de contenu pour adultes.

La gestion des risques internes et la conformité des communications sont conçues avec la confidentialité par conception et équilibrent la confidentialité des utilisateurs avec des outils qui aident à détecter et à réduire les risques organisationnels. Nous nous engageons à protéger la confiance des utilisateurs et à maintenir la confidentialité au niveau de l’utilisateur par le biais de nos principes de confidentialité de base :

• Pseudonymisation
• Contrôles d’accès en fonction du rôle
• Administration l’option d’adhésion explicite
• Journaux d’audit

Pseudonymisation

Le pseudonyme permet de protéger la confidentialité de l’utilisateur final en supprimant les détails identifiables de l’utilisateur, tels que le nom d’utilisateur ou l’adresse e-mail. Le pseudonyme permet également d’éviter les préjugés et les conflits d’intérêt potentiels en supprimant les informations identifiables de l’utilisateur (nom, e-mail) et les données personnelles (titre, service ou emplacement) exposées dans la solution. Par exemple, un utilisateur nommé John Smith est pseudonymisé dans un identificateur non personnel tel que ANON2340. Les pseudonymes sont activés par défaut pour des rôles spécifiques tels que les analystes de gestion des risques internes et les enquêteurs en gestion des risques internes (examiner les alertes et prendre des mesures respectivement) et les analystes de conformité des communications (passer en revue les alertes de stratégie).

Contrôles d’accès en fonction du rôle

Nous vous recommandons d’utiliser des contrôles d’accès stricts en fonction du rôle afin que seuls les rôles autorisés de gestion des risques internes et de conformité des communications puissent utiliser et accéder aux alertes et aux insights sur les violations de stratégie potentielles. Par défaut, les administrateurs généraux n’ont pas accès aux fonctionnalités de gestion des risques internes et de conformité des communications. Ce paramètre par défaut permet de s’assurer que seules les parties prenantes appropriées peuvent accéder à la solution et aux détails propres à leurs autorisations de rôle. Les organisations peuvent affecter des utilisateurs à des groupes de rôles spécifiques pour gérer différents ensembles de fonctionnalités en fonction de leurs responsabilités. Par exemple, les administrateurs de gestion des risques internes et de conformité des communications peuvent créer, configurer et supprimer des stratégies, mais ils ne peuvent pas accéder aux alertes ou aux cas ni les examiner. En revanche, les enquêteurs de gestion des risques internes et de conformité des communications peuvent accéder aux alertes et aux cas et les examiner, mais ils ne peuvent pas configurer les stratégies.

Que votre organization choisisse un seul groupe de rôles ou plusieurs groupes de rôles pour répondre aux exigences de conformité et de confidentialité de votre organization, la gestion des risques internes et la conformité de la communication permettent aux administrateurs de choisir parmi les options de groupe de rôles prédéfinies au sein de chaque solution.

En savoir plus sur les options de groupe de rôles pour chaque solution :

• Prise en main de la gestion des risques internes
• Prise en main de la conformité des communications

Administration l’option d’adhésion explicite

Les stratégies de gestion des risques internes et de conformité des communications détectent les activités et communications à risque et les violations de stratégie potentielles susceptibles d’entraîner un incident de sécurité. Un administrateur disposant des autorisations appropriées peut explicitement étendre les employés à une stratégie.

En outre, par défaut, les indicateurs de gestion des risques internes et de conformité des communications qui aident à détecter les activités et communications à risque susceptibles d’entraîner des incidents potentiels de sécurité des données sont désactivés. Par exemple, les indicateurs tels que « téléchargement de contenu à partir de OneDrive », « partage de fichiers SharePoint avec des personnes extérieures au organization » ou « envoi d’informations sensibles ou de messages harcelants » sont désactivés par défaut. La gestion des risques internes et la conformité des communications ne détectent pas ces activités sans l’adhésion explicite d’un administrateur. Les administrateurs disposant des autorisations appropriées doivent sélectionner et accepter explicitement un ou plusieurs indicateurs dans les paramètres avant qu’une stratégie puisse détecter ces activités.

Administration contrôles d’adhésion explicites aident à protéger la confidentialité des utilisateurs finaux en garantissant que les solutions signalent uniquement les alertes et les violations de stratégie pour les utilisateurs et les indicateurs spécifiés dans les stratégies.

Journaux d’audit

Les journaux d’audit des solutions de risque interne Microsoft Purview enregistrent toutes les actions de l’administrateur. Avec ces journaux, les organisations peuvent rester informées de toutes les actions effectuées dans les solutions à risque interne Microsoft Purview, notamment lorsqu’un administrateur crée ou modifie une stratégie, ajoute un utilisateur, affiche des insights d’activité utilisateur ou ajoute des indicateurs.

Les journaux d’audit sont activés par défaut pour toutes les organisations Microsoft 365. Avec ces journaux, les organisations peuvent auditer les actions des administrateurs privilégiés et répondre aux exigences de conformité et de confidentialité.

Pour plus d’informations sur les fonctionnalités des journaux d’audit pour chaque solution, consultez :

• Passer en revue les activités avec le journal d’audit de gestion des risques internes
• Utiliser des rapports et des audits de conformité des communications

Protéger la confiance des utilisateurs et créer un programme holistique de risque interne

La confidentialité et la confiance des utilisateurs sont essentielles pour que les organisations établissent un programme holistique de risque interne. L’ensemble d’outils approprié peut vous aider à gérer les risques d’une manière qui répond aux besoins de sécurité. Découvrez comment créer un programme holistique de gestion des risques internes avec cinq éléments qui aident les entreprises à renforcer la protection des données tout en garantissant la confiance des utilisateurs.