Impedir a distribuição inadequada de informações confidenciais para o Governo australiano

O objetivo deste artigo é ajudar as organizações do Governo Australiano a melhorar a sua postura de segurança de informações. As orientações neste artigo foram escritas para melhor se alinharem com os requisitos descritos no PSPF (Protective Security Policy Framework) e no Manual de Segurança de Informações (ISM).

Este artigo fornece orientações para organizações do Governo Australiano sobre configurações para reduzir o risco de divulgação inadequada de informações confidenciais através dos serviços do Microsoft 365. Este artigo explora as configurações que devem ser implementadas para além das abordadas em Impedir uma distribuição inadequada de informações classificadas de segurança.

As organizações do Governo Australiano devem garantir que as configurações DLP incluem:

• A utilização de modelos de política DLP fornecidos pela Microsoft para deteção de informações confidenciais relevantes para tipos de dados australianos.
• A utilização de Tipos de Informações Confidenciais (SITs) para detetar itens que são potencialmente classificados com segurança através das marcas de proteção.
• A utilização de SITs e classificadores personalizados para detetar informações confidenciais relacionadas com iniciativas ou serviços governamentais australianos.

Uma configuração DLP abrangente que protege as informações com base no contexto (etiqueta de confidencialidade) e no conteúdo reduzirá consideravelmente o risco de perda de informações. Os métodos de deteção baseados em conteúdo também reduzem a dependência das organizações nas classificações de segurança como o único ponto de âncora para controlos de segurança de dados.

Exemplos de como as abordagens baseadas em conteúdo (em vez de baseadas em etiquetas) ajudam a resolver este problema, incluindo situações em que:

• Um utilizador altera maliciosamente a etiqueta de confidencialidade aplicada a um item (conforme discutido em considerações de reclassificação) e, em seguida, tenta exfiltrar.
• Um utilizador copia informações confidenciais de um documento classificado e cola-as num e-mail ou chat do Teams.
• Um adversário que tenha acesso através de uma conta comprometida fornece informações em massa de um serviço interno e tenta exfiltrar através de e-mail.

Em cada um destes cenários, as abordagens que avaliam o conteúdo real em vez da etiqueta aplicada aos itens são utilizadas para ajudar a evitar e limitar a violação de dados.

Em termos de necessidade de saber, a aprovação de uma organização externa para acesso a informações classificadas de segurança não sugere automaticamente que todos os utilizadores na organização possam aceder a informações confidenciais. As organizações governamentais devem aplicar configurações que forneçam visibilidade granular e controlo sobre o fluxo de informações confidenciais, independentemente dos controlos focados em etiquetas ou classificações de confidencialidade. Estes controlos estão alinhados com o Requisito 75 do Protection Security Policy Framework (PSPF ).

Controlar o e-mail de informações confidenciais

As configurações DLP do Microsoft Purview devem incluir políticas para:

• Identificar e proteger o e-mail que contém informações confidenciais
• Identificar e proteger itens que contenham marcas de proteção em conformidade com a classificação de segurança correspondente
• Identificar e proteger itens que contenham palavras-código, termos confidenciais ou conteúdos considerados confidenciais para a organização

Utilizar modelos de política DLP para controlar o e-mail de informações confidenciais

Todas as organizações mantêm alguma medida de informações confidenciais. Estas informações podem ser informações sobre utilizadores, clientes ou membros do público. A Microsoft fornece modelos de política de Tipos de Informações Confidenciais (SITs) e DLP pré-criados para ajudar na identificação e proteção de informações que normalmente precisam de ser protegidas.

As informações de estado de funcionamento são um exemplo de informações confidenciais que as organizações precisam de proteger. Na Austrália, temos a My Health Records Act , que inclui um quadro de privacidade que especifica como as informações de saúde podem ser recolhidas e utilizadas, e sanções por recolha ou divulgação imprópria.

Para identificar com precisão informações de estado de funcionamento, podemos utilizar abordagens abordadas em Tipos de informações confidenciais de entidades nomeadas.

As informações de estado de funcionamento podem ser etiquetadas adequadamente e controlos baseados em etiquetas, como os incluídos na prevenção de uma distribuição inadequada de informações classificadas de segurança aplicadas às mesmas. No entanto, a necessidade de saber ainda se aplica. As organizações externas, independentemente de serem aprovadas para acesso a informações classificadas, não devem ter a capacidade de receber ou aceder a essas informações sem que seja necessário fazê-lo. A granularidade adicional é essencial para ajudar a resolver a necessidade de saber.

A seguinte regra DLP de exemplo é utilizada para impedir a distribuição externa de registos de estado de funcionamento. Esta política de exemplo utiliza o modelo de política pré-estruturado Australia Health Records Act (HRIP Act) Melhorado, modificado para ser aplicado apenas ao serviço Exchange para que as restrições baseadas no destinatário sejam impostas.

Este modelo de política, em vez de apenas procurar informações de estado de funcionamento, procura identificar combinações de informações de estado de funcionamento com outros tipos de informações. Outros tipos de informações que são susceptíveis de significar um registo de estado de funcionamento incluem o nome, o endereço e outros identificadores pessoais.

Os modelos de política fornecidos pela Microsoft permitem a definição de ações de política de baixo e elevado volume. Por predefinição, o volume baixo está configurado como 1 a 9 ocorrências e o volume elevado é superior a 10 ocorrências. Estes limiares podem ser ainda mais personalizados.

As organizações externas que precisam de saber para as informações podem ser adicionadas a uma lista de domínios aprovados através da lista DE EXCEÇÕES DA regra.

Uma vantagem significativa de tal regra DLP é que, se um utilizador malicioso ou uma conta comprometida tentar exfiltrar uma quantidade em massa de registos de estado de funcionamento para um domínio de e-mail não aprovado, a ação é bloqueada e os administradores notificados. A organização pode expandir estes controlos aos utilizadores internos para ajudar a garantir que os utilizadores externos envolvidos em funções empresariais não relacionadas não podem receber este tipo de informações de estado de funcionamento. Também podem ser criadas outras regras que aplicam os mesmos controlos a pessoas dentro da minha organização. Estas regras podem utilizar um grupo interno para exceções em vez de uma lista de domínios externos.

A Microsoft forneceu modelos de política DLP pré-criados que devem ser considerados pelas organizações do Governo Australiano para implementação:

• Australia Privacy Act Enhanced
• Australia Health Record Act Melhorado
• Dados Financeiros da Austrália
• PCI Data Security Standard - PCI DSS
• Dados de Informações Identificáveis Pessoalmente (PII) da Austrália

Controlar o e-mail de informações marcadas

As etiquetas de confidencialidade devem ser utilizadas como uma indicação chave da confidencialidade do item. Na maioria dos casos, os métodos de proteção de informações com base em etiquetas aplicadas, conforme abrangido na prevenção de uma distribuição inadequada de informações classificadas de segurança, fornecem proteção adequada. No entanto, devemos também considerar situações em que:

• O conteúdo é copiado de um item classificado.
• Os itens são recebidos de organizações governamentais externas e estão marcados, mas ainda não foram identificados.
• Os itens foram criados antes da implementação da etiqueta de confidencialidade e ainda não têm etiquetas aplicadas aos mesmos.

Em situações em que os itens ainda não foram etiquetados, pode ser utilizada uma combinação de etiquetagem automática baseada no cliente e etiquetagem automática baseada no serviço para aplicar etiquetas a itens. As recomendações baseadas no cliente são aplicadas quando um utilizador abre um ficheiro. Índices de etiquetagem automática com base no serviço e etiquetas itens inativos ou em trânsito para e-mail.

Para melhorar a proteção, os métodos de identificação de conteúdos, conforme demonstrado por exemplo, sintaxe SIT para detetar marcas de proteção, podem ser utilizados para localizar marcas de proteção. Depois de identificadas, as proteções podem ser aplicadas a itens alinhados com as marcas associadas à classificação de segurança. Isto permite que os itens sejam protegidos em situações em que os utilizadores ignoram recomendações de etiquetas de cliente ou a etiquetagem automática baseada no serviço ainda não processou itens.

Por exemplo, a seguinte regra DLP aplica-se apenas ao serviço Exchange. A regra identifica as marcas PROTECTED no e-mail e, em seguida, impede que todas as organizações aprovadas as recebam.

Proteger itens com classificações reduzidas

A confiança da Microsoft , mas verificar a abordagem à classificação de segurança, permite que os utilizadores alterem a etiqueta de confidencialidade aplicada aos itens. Isto é discutido em considerações de reclassificação.

Email conversações em que os representantes do governo australiano participam têm peças de protecção aplicadas às mesmas. Estes estão presentes nos cabeçalhos x de e-mail, mas também em marcas de assunto e marcas visuais baseadas em texto ao longo do histórico de conversações.

Se uma classificação aplicada a uma conversação de e-mail for reduzida para uma versão anterior, por exemplo, de "Privacidade Pessoal PROTEGIDA" para "NÃO OFICIAL", aciona a justificação da alteração da etiqueta, gera eventos auditáveis e é ainda mais responsável pela Gestão de Riscos Internos. Após esta ocorrência, as marcas de assunto anteriormente aplicadas e as marcas visuais baseadas em texto são identificáveis nos e-mails de respostas anteriores através do SIT. Por exemplo, um SIT com o seguinte RegEx identifica "PROTECTED // Personal Privacy" num cabeçalho de e-mail e [SEC=PROTECTED, Access=Personal-Privacy] numa marcação de assunto:

PROTECTED(?:\s\|\/\/\|\s\/\/\s\|,\sACCESS=)Personal[ -]Privacy

As regras DLP de exemplo fornecidas na secção anterior (que controlam o e-mail de informações marcadas) identificarão os itens como PROTEGIDOs através das marcas de proteção e bloquearão a exfiltração, independentemente da etiqueta de confidencialidade aplicada. A ordenação cuidadosa da política DLP, juntamente com as ações de relatório adequadas, também permite situações em que um e-mail é bloqueado devido ao SIT em vez de a etiqueta ser sinalizada com as equipas de segurança como um incidente prioritário.

Um método alternativo de endereçamento para uma mudança para uma versão anterior seria implementar uma política, que verifica a etiqueta aplicada em relação às marcas que podem ser detetadas no corpo do e-mail. Por exemplo, Contém a etiqueta de confidencialidade OFFICIAL, OFFICIAL, OFFICIAL: SensitiveANDContém o tipo de informações confidenciais PROTECTED. Tais ocorrências incrementais de mudança para uma versão anterior fornecem uma forte indicação de uma mudança inadequada da etiqueta e garantem uma investigação mais aprofundada. As políticas DLP que utilizam essas condições também fornecem um método de aderindo ao ISM-1089:

As políticas configuradas para identificar e proteger itens com classificações reduzidas são boas candidatas para alinhamento com as políticas de Gestão de Riscos Internos. As políticas podem ser integradas para que, quando um utilizador aciona a política DLP, seja tida em conta nas classificações de risco do utilizador da Gestão de Riscos Internos, aumentando a simpatia dos utilizadores que concluem estas atividades para serem sinalizados como de risco e as suas ações serem restringidas através da Proteção Adaptável.

Para obter mais informações sobre este cenário, consulte [Insider Risk Management Scenario 2: Malicious label downgrade](pspf-insider-risk.md#Insider Risk Management-scenario-2-malicious-label-downgrade).

Controlar o e-mail de SITs personalizados

Os métodos de identificação de informações, como tipos de informações confidenciais personalizados e outras funcionalidades abordadas na identificação de informações confidenciais, fornecem um meio para detetar informações confidenciais relevantes para uma organização individual. Os SITs e os classificadores treináveis são criados para abordar requisitos específicos de proteção de informações do Governo australiano. Em seguida, estes SITs são utilizados em políticas DLP que controlam a distribuição de itens que contêm as informações identificadas.

Um exemplo de um requisito que é comum em todas as organizações governamentais australianas é a necessidade de proteger material responsável, como informações relacionadas com palavras de código confidenciais ou iniciativas. Para tal, pode ser criado um SIT ou conjunto de SITs com uma lista de palavras-chave ou termos. Em seguida, este SIT pode ser utilizado numa política DLP para avisar os utilizadores, potencialmente exigindo que introduzam justificação comercial antes de enviarem ou bloqueiem totalmente a comunicação.

O seguinte exemplo de regra DLP aplica-se ao serviço Exchange. Deteta e-mails com palavras de código confidenciais e, quando detetado, apresenta uma sugestão de política aos utilizadores. Os utilizadores têm de fornecer uma justificação comercial e reconhecer avisos antes de enviar o e-mail.

Limitar o chat externo que contém conteúdo confidencial

As políticas DLP podem ser configuradas para se aplicarem a mensagens de chat e de canal do Teams. Esta configuração é mais relevante para as organizações que implementaram opções de colaboração flexíveis, como a capacidade de conversar por chat com utilizadores externos. Estas organizações desejam um aumento da produtividade através da colaboração, mas estão preocupadas com a perda de informações confidenciais através de vias de colaboração, como o chat do Teams e as mensagens de canal.

As abordagens DLP para o Teams devem:

• Utilize os modelos de política DLP fornecidos pela Microsoft para deteção de informações confidenciais relevantes para os tipos de dados australianos.

  Os modelos de política DLP fornecidos pela Microsoft, conforme demonstrado na utilização de modelos de política DLP para controlar o e-mail de informações confidenciais, devem ser utilizados para identificar e proteger as informações confidenciais de serem comunicadas através do Teams.

• Inclua a utilização de SITs para detetar marcas de proteção que possam ter sido coladas de itens classificados na aplicação Teams.

  A presença de uma marcação protetora no chat do Teams fornece uma indicação de divulgação inadequada. A política demonstrada no controlo de e-mails de informações marcadas identifica informações confidenciais através de marcas de proteção. Se tiver sido aplicada uma configuração de política semelhante ao Teams, poderá identificar as marcas que foram coladas no chat do Teams. Por exemplo, conteúdo de um debate de e-mail classificado identificado através dos cabeçalhos, rodapés ou marcas de assunto que podem estar presentes nestes dados baseados em texto.

• Utilize SITs e classificadores personalizados para detetar informações confidenciais relacionadas com iniciativas ou serviços governamentais australianos.

  Os SITs personalizados são utilizados para identificar palavras-chave ou termos confidenciais que estão a ser utilizados nas mensagens de chat ou de canal do Teams. O exemplo fornecido para controlar o e-mail de SITs personalizados pode ser aplicado ao serviço Teams.

Exemplo de política DLP que restringe as informações de estado de funcionamento através do chat do Teams

O exemplo seguinte de política DLP aplica-se ao serviço Teams e utiliza o modelo de política Australian Health Records. Esta política é acionada quando um utilizador partilha informações de estado de funcionamento através do chat do Teams. Avisa o utilizador que partilha as informações se o destinatário estiver fora de uma lista aprovada de organizações. As regras podem ser modificadas para bloquear mensagens de chat, se forem consideradas adequadas.

Monitorizar conversas externas através da Conformidade de Comunicações

A Conformidade de Comunicações oferece uma abordagem alternativa ao DLP em que os eventos não são necessariamente bloqueados, mas as violações de políticas são sinalizadas para revisão. Os administradores podem então ver as correspondências de políticas para compreender melhor o contexto completo da situação e analisar a adequação de acordo com as políticas organizacionais.

As políticas de Conformidade de Comunicação podem ser configuradas para rever o chat de saída que contém combinações de SITs. Estas políticas podem replicar as combinações SIT relevantes para os tipos de dados australianos utilizados na utilização de modelos de política DLP para controlar o e-mail de informações confidenciais.

Controlar a partilha de informações confidenciais

As etiquetas de confidencialidade são o método principal de identificação de informações confidenciais. Os controlos DLP baseados em etiquetas, conforme abordado na prevenção da partilha de informações classificadas de segurança, devem ser considerados o nosso principal método de prevenção de perda de dados para atividades de partilha. Na abordagem em camadas do Microsoft Purview, as políticas DLP podem ser configuradas para identificar conteúdos confidenciais dentro dos itens. Assim que o conteúdo for identificado, podemos aplicar restrições de partilha independentemente da etiqueta de confidencialidade de um item. Ao fazê-lo, aborda situações em que:

• Os itens foram etiquetados incorretamente.
• Os itens foram recebidos de organizações governamentais externas e estão marcados, mas ainda não foram identificados.
• Itens criados antes da implementação da etiqueta de confidencialidade e que ainda não têm etiquetas aplicadas aos mesmos.

As organizações do Governo Australiano devem considerar as políticas DLP que se aplicam aos serviços do SharePoint e do OneDrive que:

• Inclua a utilização de SITs para detetar itens que contenham marcas de proteção.

  As marcas de proteção fornecem um método de cópia de segurança para identificação da confidencialidade dos itens. As políticas DLP são configuradas com SITs fornecidos por exemplo sintaxe SIT para detetar marcas de proteção alinhadas com classificações de segurança (OFICIAL: Confidencial e PROTEGIDO). Os itens que contêm estas marcas têm restrições de partilha aplicadas.

• Utilize os modelos de política DLP fornecidos pela Microsoft para deteção de informações confidenciais relevantes para os tipos de dados australianos.

  A Microsoft forneceu modelos de política DLP, conforme demonstrado na utilização de modelos de política DLP para controlar o e-mail de informações confidenciais, identifica e protege as informações confidenciais que estão a ser partilhadas a partir de localizações do SharePoint ou do OneDrive. Os modelos de política relevantes para o Governo australiano incluem:

  • Australia Privacy Act Enhanced
  • Australia Health Record Act Melhorado
  • Dados Financeiros da Austrália
  • PCI Data Security Standard - PCI DSS
  • Dados de Informações Identificáveis Pessoalmente (PII) da Austrália

• Utilize SITs e classificadores personalizados para detetar informações confidenciais relacionadas com iniciativas ou serviços governamentais australianos.

  Os SITs personalizados são utilizados para identificar palavras-chave ou termos confidenciais incluídos em itens que estão a ser partilhados através do SharePoint ou do OneDrive. O exemplo fornecido para controlar o e-mail de SITs personalizados através de DLP poderia ser aplicado aos serviços sharePoint e OneDrive.

Melhoria contínua da política DLP através da Análise de DLP

A Análise de DLP é uma solução que pode:

• Analisar as atividades de partilha de informações da sua organização,
• Identifique os maiores riscos de partilha da sua organização e
• Gere novas políticas DLP ou atualizações para políticas existentes para ajudar a mitigar os riscos.

Quando ativada, a Análise de DLP valida a configuração do DLP e oferece sugestões sobre como as políticas podem ser melhoradas. Para organizações do Governo Australiano, as configurações DLP para itens classificados e etiquetados de segurança podem ser consideradas bastante fixas. No entanto, a verificação de políticas para informações confidenciais beneficiará de melhorias ao longo do tempo.

Um exemplo de uma recomendação que a Análise de DLP pode fornecer é a adição de um classificador treinável a uma política que protege as informações pessoais. A análise pode determinar que uma política está a gerar demasiados falsos positivos, pelo que pode sugerir que um classificador seja adicionado como uma exceção às condições da política. Desta forma, a Análise de DLP consegue validar continuamente e/ou sugerir melhorias à configuração de DLP.

Para obter mais informações sobre a Análise de DLP, veja Introdução à análise de prevenção de perda de dados.

Monitorizar a partilha de informações confidenciais com Defender para Aplicativos de Nuvem

Microsoft Defender para Aplicativos de Nuvem fornece proteção para aplicações De Software como Serviço (SaaS), incluindo aplicações online e serviços de armazenamento online.

A configuração de partilha do SharePoint permite a configuração de uma lista de domínios aprovados para a receção de ligações de partilha e está configurado para alinhar com o Requisito PSPF 77:

Com Defender para Aplicativos de Nuvem, podemos expandir as nossas capacidades de monitorização DLP. Por exemplo, é criada uma política para marcar para a partilha de itens que incluem uma combinação de SITs para endereços de e-mail anónimos. Os administradores podem remover permissões de partilha para os utilizadores externos e concluir várias ações de relatórios.

Defender para Aplicativos de Nuvem também fornece alguns relatórios agregados, alertando as equipas de administração para os utilizadores com violações de política anormalmente elevadas.

Para obter mais informações sobre a utilização de Defender para Aplicativos de Nuvem para monitorizar ou controlar atividades de partilha, veja políticas de ficheiros no Microsoft Defender para Aplicativos de Nuvem.

Monitorizar informações confidenciais com a Gestão de Riscos Internos

A Gestão de Riscos Internos fornece um método de utilização de sinais de política DLP para determinar o risco do utilizador. A Gestão de Riscos Internos fornece relatórios sobre utilizadores potencialmente maliciosos e oferece mitigação automatizada através da Proteção Adaptável.

As políticas DLP que protegem informações confidenciais devem estar alinhadas com a configuração adequada da Gestão de Riscos Internos. Estes conceitos são explorados em Gerir riscos internos.