Implementando Controles de DLP de Endpoint

Quando Usar

Use esta habilidade quando:

• Implementar DLP de endpoint para evitar que dados confidenciais (PII, PHI, PCI) saiam da organização
• Configurar regras de inspeção de conteúdo para anexos de e-mail, transferências USB e uploads na nuvem
• Implementar políticas de DLP de endpoint do Microsoft Purview ou Symantec DLP
• Atender aos requisitos de conformidade para proteção de dados (GDPR, HIPAA, PCI DSS)

Não use para DLP de rede (baseado em proxy inline) ou DLP apenas na nuvem (CASB).

Pré-requisitos

• Licença do Microsoft 365 E5 ou Microsoft Purview DLP autônomo
• Acesso ao portal de conformidade do Microsoft Purview (compliance.microsoft.com)
• Tipos de Informações Confidenciais (SITs) definidos para os dados da organização
• Endpoint integrado ao Microsoft Purview (via Intune ou SCCM)

Fluxo de Trabalho

Etapa 1: Definir Tipos de Informações Confidenciais

Microsoft Purview → Data Classification → Sensitive info types

Built-in SITs for common data:
- Credit card number (PCI)
- Social Security Number (PII)
- Health records (HIPAA)
- Passport number
- Bank account number

Custom SIT example (Employee ID):
  Pattern: EMP-[0-9]{6}
  Confidence: High
  Keywords: "employee id", "emp id", "staff number"

Etapa 2: Criar Política de DLP

Microsoft Purview → Data loss prevention → Policies → Create policy

Policy Configuration:
1. Template: Financial / Medical / PII (or custom)
2. Locations: Devices (endpoint DLP)
3. Conditions:
   - Content contains: Credit card numbers (min 5 instances)
   - OR Content contains: SSN (min 1 instance)
4. Actions:
   - Block: Prevent copy to USB, cloud, email
   - Audit: Log but allow (for initial deployment)
   - Notify: Show user notification with policy tip
5. User notifications:
   - "This file contains sensitive data and cannot be copied to this location"
   - Allow override with business justification (optional)

Etapa 3: Configurar Atividades de DLP de Endpoint

Monitored endpoint activities:
- Upload to cloud service (OneDrive, Dropbox, Google Drive)
- Copy to removable media (USB drives)
- Copy to network share
- Print document
- Copy to clipboard
- Access by unallowed browser (non-managed browser)
- Access by unallowed app
- Copy to Remote Desktop session

For each activity, configure:
- Audit only (log the action)
- Block with override (user can justify and proceed)
- Block (prevent action entirely)

Etapa 4: Implantar em Modo de Auditoria

Deploy DLP policy in "Test mode with notifications" first:
1. Policy runs in audit mode for 2-4 weeks
2. Review DLP alerts in Activity Explorer
3. Identify false positives
4. Tune SIT patterns and conditions
5. Add exclusions for legitimate workflows
6. Switch to "Turn on the policy" (enforcement)

Etapa 5: Monitorar e Responder

Purview → Data loss prevention → Activity explorer

Key metrics:
- DLP policy matches per day/week
- Top matched sensitive info types
- Top users triggering DLP
- Top activities blocked (USB, cloud, email)
- Override rate (percentage of blocks overridden)

DLP incident response:
1. Review DLP alert with matched content
2. Verify sensitivity of detected data
3. Assess intent (accidental vs. intentional)
4. If intentional exfiltration → escalate to security incident
5. If accidental → educate user, refine policy

Conceitos Chave

Ferramentas e Sistemas

• Microsoft Purview DLP: DLP de endpoint gerenciado na nuvem incluído no M365 E5
• Symantec DLP (Broadcom): DLP corporativo com módulos de endpoint, rede e nuvem
• Digital Guardian: DLP de endpoint com classificação e proteção de dados
• Forcepoint DLP: Plataforma DLP unificada com agente de endpoint
• Code42 Incydr: Detecção de risco interno com monitoramento de exfiltração de arquivos

Armadilhas Comuns

• Bloqueio excessivo em modo de imposição: Implante o DLP em modo de auditoria primeiro. Bloquear fluxos de trabalho comuns sem aviso causa perda de produtividade.

…