Implementando Prevenção Contra Perda de Dados com Microsoft Purview

Quando Usar

• Implantar políticas de DLP para impedir que dados confidenciais (PII, PHI, PCI, propriedade intelectual) saiam da organização por e-mail, armazenamento em nuvem, chat ou operações de arquivo em endpoints.
• Configurar rótulos de confidencialidade com criptografia, marcação de conteúdo e rotulagem automática para classificar documentos e e-mails por nível de confidencialidade.
• Criar tipos de informações confidenciais personalizados com padrões regex para detectar formatos de dados específicos da organização (IDs de funcionários, códigos de projeto, números de conta internos).
• Implantar DLP de endpoint para controlar ações de cópia para USB, impressão, upload para nuvem e cópia para área de transferência para conteúdo rotulado ou confidencial em dispositivos gerenciados.
• Investigar incidentes de DLP por meio do Explorador de Atividade para analisar eventos de correspondência de políticas, padrões de atividade do usuário e taxas de falsos positivos para ajuste de políticas.

Não use sem licenciamento apropriado do Microsoft 365 E5, E5 Compliance ou E5 Information Protection. Não implante políticas de DLP diretamente no modo de imposição de produção sem um período de simulação. Não configure DLP de endpoint sem coordenar com a equipe de gerenciamento de endpoint responsável pela integração de dispositivos.

Pré-requisitos

• Licença adicional do Microsoft 365 E5 ou E5 Compliance / E5 Information Protection atribuída aos usuários-alvo.
• Função de Administrador Global, Administrador de Conformidade ou Administrador de Dados de Conformidade no portal do Microsoft Purview.
• Módulo Exchange Online PowerShell (ExchangeOnlineManagement v3.x) e PowerShell de Segurança e Conformidade para automação de políticas.
• Dispositivos integrados ao DLP de endpoint do Microsoft Purview por meio do Microsoft Intune ou Configuration Manager (Windows 10/11 21H2+, macOS 12+).
• Análise de classificação de dados concluída ou explorador de conteúdo populado para entender a distribuição de dados confidenciais existentes.
• Acordo das partes interessadas sobre a taxonomia de rótulos de confidencialidade (níveis de classificação, requisitos de criptografia, escopo).

Fluxo de Trabalho

Etapa 1: Projetar a Taxonomia de Rótulos de Confidencialidade

Defina a hierarquia de classificação que corresponde aos requisitos de manuseio de dados da organização:

• Estabelecer níveis de rótulos: Crie uma hierarquia de rótulos que reflita os níveis de sensibilidade dos dados. Uma taxonomia corporativa padrão inclui:

  Public           -> No protection, external sharing allowed
  General          -> No encryption, internal watermark "GENERAL"
  Confidential     -> Encryption (all employees), header/footer marking
    ├─ Confidential - All Employees
    ├─ Confidential - Finance
    └─ Confidential - HR
  Highly Confidential -> Encryption (specific users/groups), watermark, no forwarding
    ├─ Highly Confidential - Project X
    └─ Highly Confidential - Board Only
  

• Definir configurações de proteção por rótulo: Para cada rótulo, configure o escopo da criptografia (todos os funcionários, grupos específicos ou permissões personalizadas), marcação de conteúdo (cabeçalhos, rodapés, marcas d'água) e condições de rotulagem automática:

  # Connect to Security & Compliance PowerShell
  Connect-IPPSSession -UserPrincipalName admin@contoso.com
  
  # Create parent label
  New-Label -DisplayName "Confidential" `
    -Name "Confidential" `
    -Tooltip "Business data that could cause damage if disclosed to unauthorized parties" `
    -Comment "Apply to internal business documents, financial reports, and customer data"
  
  # Create sub-label with encryption
  New-Label -DisplayName "Confidential - Finance" `
    -Name "Confidential-Finance" `
    -ParentId (Get-Label -Identity "Confidential").Guid `
    -Tooltip "Financial data restricted to Finance department" `
    -EncryptionEnabled $true `
    -EncryptionProtectionType "Template" `
    -EncryptionRightsDefinitions "finance-group@contoso.com:VIEW,VIEWRIGHTSDATA,DOCEDIT,EDIT,PRINT,EXTRACT,OBJMODEL" `
    -ContentType "File, Email"
  

• Configurar marcação de conteúdo: Aplique indicadores visuais que persistem com o documento:

  Set-Label -Identity "Confidential-Finance" `
    -HeaderEnabled $true `
    -HeaderText "CONFIDENTIAL - FINANCE" `
    -HeaderFontSize 10 `
    -HeaderFontColor "#FF0000" `
    -HeaderAlignment "Center" `
    -FooterEnabled $true `
    -FooterText "This document contains confidential financial information" `
    -WatermarkEnabled $true `
    -WatermarkText "CONFIDENTIAL" `
    -WatermarkFontSize 36
  

…