网站搜索

Office 365 数据丢失防护：指南和最佳实践

在过去的十五年里，我们看到每年数据泄露的数量相对持续增加。我们还看到全球范围内出台的严格数据隐私法数量有所增加，不遵守这些法律可能会导致不合规组织被处以巨额罚款。

尽管如此，2020 年数据泄露数量有所减少，这可能会让一些人感到惊讶。由于大流行，越来越多的员工在家工作，我们可能预计随着攻击面的扩大，安全事件的数量也会增加。

但幸运的是，公司保持高度警惕，并采取措施保护自己免受网络钓鱼诈骗和其他形式的攻击。不仅如此，越来越多的组织开始采用基于云的协作工具，例如 Office 365，这在许多情况下改善了他们的安全状况。

向更加分布式的 IT 环境的转变迫使公司采用更加以数据为中心的网络安全方法，这实际上比传统的基于边界的方法更有意义，因为大多数数据泄露都是在某种程度上或另一种是内部人员疏忽或恶意的结果。

然而，在我们举杯庆祝网络犯罪可能短暂下降之前，我们必须保持警惕，并尽一切努力防止我们的敏感数据落入坏人之手，这就是数据丢失预防的目的代入方程。

Office 365 中的数据丢失防护是什么？

简单来说，数据丢失防护 (DLP) 的目的是防止未经授权共享敏感数据。市场上有许多 DLP 解决方案可以自动发现敏感数据并对其进行分类，并使用规则和策略来防止这些数据离开网络。

例如，如果敏感信息发送到公司域之外的电子邮件地址或存储位置，它将被自动阻止或隔离。管理员将能够查看通过集中仪表板标记的所有文件共享，并在必要时采取进一步行动。

Microsoft Office 365 中的 DLP 如何工作

Microsoft Purview 合规门户为用户提供了许多可以帮助他们改善安全状况的功能，其中包括专用于数据丢失防护的功能。

Office 365 DLP 功能允许您设置规则和策略，以确定应保护哪些数据、应如何处理数据以及如果以违反规则和策略的方式共享数据，应通知谁。

DLP 策略详细说明了在强制执行规则之前内容必须匹配的条件，以及在发现与条件匹配的内容时您希望规则自动执行的操作。

DLP 策略可应用于多种 Microsoft 产品，例如 Exchange Online、SharePoint 网站、OneDrive 帐户等。

O365 DLP 工具还可以动态识别敏感数据，并对数据进行相应分类，以帮助防止数据被共享到未经授权的位置。

Microsoft Office 365 DLP 策略

Microsoft Office 365 DLP 策略是预配置的规则，允许您监视用户活动并根据组织设置的规则和策略采取适当的操作。实施这些策略和应用保护措施的目标是防止无意中共享关键文件和随后的数据丢失。 Office 365 提供了许多围绕不同数据类别和地理区域设计的预填充 DLP 策略模板。例如，有英国财务数据、美国财务数据、英国医疗报告获取法案、美国健康保险法案（HIPAA）增强版等的模板。

Microsoft Office 365 DLP 允许您：

  • 当用户尝试不恰当地共享敏感信息时，通过显示弹出策略提示来警告用户
  • 阻止用户共享敏感项目，或者通过自定义选项，您可以通过覆盖权限来允许访问并记录理由
  • 阻止不包含“覆盖权限”选项的数据共享
  • 锁定敏感项目（静态数据）并将其移动到安全位置
  • 隐藏敏感信息

Microsoft 365 DLP 策略允许您识别、监控和保护以下方面的关键数据：

  • Microsoft 365 服务，例如 Teams、Exchange、SharePoint 和 OneDrive
  • Office 应用程序，例如 Microsoft Word、Excel 和 PowerPoint
  • Windows 10 端点
  • 非 Microsoft 云应用程序
  • 本地文件共享和本地 SharePoint

如何在 Office 365 中设置 DLP

在 Microsoft Office 365 中设置 DLP 时，您需要做的第一件事是在 Microsoft Purview 合规门户中创建一组 DLP 策略。您需要指定如何以及在何处应用这些策略。您可以根据需要自定义适用于您的数据的规则。例如，您可以指定在触发警报之前可以共享特定信息的次数。

您还可以自定义向用户显示的提示，以帮助他们了解可以共享哪些数据、如何共享以及为何共享。创建策略后，可以禁用或启用它，因此可以立即激活它。

以下步骤说明如何在 Microsoft Office 365 中设置 DLP：

  1. 转至 Microsoft Purview 合规门户
  2. 单击左侧的数据丢失防护，然后选择策略：

  3. 从屏幕的主要部分，选择创建策略

    4. Office 365 提供了许多预先填充的 DLP 策略模板。例如，对于英国组织，有用于检测以下内容的模板：

    • 数据须遵守 PCI 数据安全标准 (PCI DSS)
    • 数据受英国医疗报告获取法约束
    • 数据受英国数据保护法约束

    美国公司的模板包括：

    • 数据受 Gramm-Leach-Bliley 法案 (GLBA) 约束
    • 数据须遵守支付卡行业数据安全标准 (PCI-DSS)
    • 美国个人身份信息 (U.S. PII)
    • 数据受 1996 年健康保险流通和责任法案 (HIPAA) 约束
  4. 对于我们的示例，点击财务，然后点击财务数据。点击下一步

  5. 为策略指定名称和描述。点击下一步

  6. 将显示分配管理单位屏幕：
    7. >

  7. 点击下一步

  8. 从选择应用策略的位置页面中，选择将在 Office 365 服务的哪些部分强制执行此数据丢失防护策略。在本例中，我们选择“所有位置”。然后点击下一步。
  9. 在下一个屏幕上，您可以自定义此策略将应用的信息类型。在大多数情况下，您需要接受默认值。在此示例中，我们正在查找信用卡号、欧盟借记卡号和 SWIFT 代码等财务信息。我们想知道何时有人试图与我们公司以外的人分享此内容。单击下一步。

  10. 您可以在此处选择要保护的信息：

  11. 单击编辑更改选项，然后显示以下屏幕：

  12. 单击保存以保存任何更改
  13. 点击下一步

  14. 在这里，系统会询问您想要使用什么强制执行方法。

    15. 您可以选择仅向用户显示策略提示，这只会通知用户他们正在处理敏感信息。或者，您可以选择通知某些人或阻止操作。点击下一步

    在下一页上，您可以选择阻止某些人访问 SharePoint、OneDrive 和 Teams 文件，以及用户是否以及如何覆盖 DLP 策略。点击下一步

  15. 最后，您可以选择是在测试模式下运行策略还是立即开始强制执行。建议您使用测试模式一段时间，以确保不会对用户工作流程产生不利影响。
  16. 测试模式标记策略匹配，但实际上并不阻止发送任何内容。它类似于假设模式，向您显示哪些内容会触发策略。点击下一步

  17. 检查您的策略，然后单击提交以创建它。

Microsoft Office 365 中的 DLP 最佳实践

尽管本文以 Office 365 数据丢失防护为中心，但以下提示也适用于您用于存储和处理敏感数据的任何技术。

数据分类

如前所述，Office 365 具有可以自动识别和分类敏感数据的功能。然而，值得注意的是，有许多第三方数据分类工具可以提供额外的功能。

此类工具能够自动扫描您的文档（和电子邮件）以获取信用卡号、社会保障号、护照号、受保护的健康信息等。为了减少误报数量，O365 DLP 工具使用多种方法来识别敏感数据。例如，要查找信用卡号码，它将使用正则表达式来查找模式匹配、验证校验和并检查其他相关内容，以确定数据的上下文。

删除冗余数据

一旦您知道自己拥有哪些数据及其所在位置，下一步就是删除您并不真正需要的任何数据，因为这将有助于简化您的 DLP 策略。

限制对敏感数据的访问

为了确保您的数据丢失防护策略有效，您必须遵守最小权限原则 (PoLP)，该原则规定员工只能被授予访问他们充分履行职责所需的数据的权限。

监控对敏感数据的访问

预防数据丢失的一个关键部分是能够确定谁可以在何时访问哪些数据。您可以使用 Microsoft 365 管理员帐户在 Microsoft Purview 合规门户中启用审核，这使您可以查看各种活动，例如上传到 OneDrive 或 SharePoint Online 或用户密码重置。您还可以启用邮箱审核。

当然，有专门的第三方审核解决方案，可以提供原生 O365 审核工具所不具备的功能。如果您使用多个云平台或混合解决方案（包括本地环境），您可能需要考虑使用第三方解决方案。

相关文章