Configurazione dell'etichetta di riservatezza per la conformità del governo australiano con PSPF

Questo articolo fornisce indicazioni per le organizzazioni governative australiane sulla configurazione dell'etichettatura di riservatezza di Microsoft Purview. Lo scopo è aiutare le organizzazioni a rafforzare i propri approcci alla sicurezza dei dati e a semplificare la distribuzione delle funzionalità di Microsoft Purview. Le raccomandazioni contenute in questa guida sono strettamente allineate ai requisiti descritti in Protective Security Policy Framework (PSPF) e Information Security Manual (ISM).Recommendations in this guide closely align with requirements outlined in the Protective Security Policy Framework (PSPF) and Information Security Manual (ISM).

Le etichette di riservatezza vengono create dal portale di Microsoft Purview, nel menu Information Protection.

Per creare un'etichetta di riservatezza, gli amministratori devono fornire un nome di etichetta, una descrizione per gli utenti e altri elementi di configurazione, descritti in questo articolo.

Denominazione delle etichette

Il nome dell'etichetta è un identificatore univoco per un'etichetta di riservatezza. Questo campo non è visibile agli utenti, ma è visibile agli amministratori durante la configurazione delle etichette.

I nomi delle etichette non possono contenere caratteri speciali. Ciò può significare che gli amministratori devono omettere determinati caratteri, ad : esempio in 'OFFICIAL: Sensitive'. Alcuni caratteri speciali come i due punti sono consentiti altrove, ad esempio nel contrassegno del contenuto dell'etichetta di riservatezza. Quando si contrassegnano gli elementi, è il contrassegno del contenuto che si applica, quindi la mancanza di due caratteri nei nomi di etichetta non ha alcun effetto sulla conformità PSPF.

Il nome visualizzato dell'etichetta è visibile agli utenti quando si seleziona un'etichetta di riservatezza. Non deve essere univoco e può contenere alcuni caratteri speciali. Come per il nome dell'etichetta, il nome visualizzato non può contenere i due punti : , ma è possibile visualizzare i contrassegni visivi (illustrati a breve).

La configurazione suggerita in questa guida usa una tassonomia delle etichette a livelli che include le etichette secondarie definite sottoetichetta. Un'etichetta secondaria è un'etichetta che si trova sotto un'altra etichetta. Le etichette con etichette secondarie vengono definite "etichette padre". In una configurazione allineata a PSPF, può esserci una interferenza nelle etichette, come illustrato nel diagramma.

Conflitti di denominazione delle etichette

Per evitare conflitti di denominazione delle etichette, i nomi delle etichette devono essere univoci. A tale scopo, è necessario assegnare all'etichetta o all'etichetta secondaria un nome che non sia allineato al nome visualizzato dell'etichetta. L'etichetta padre viene usata solo per l'interfaccia utente. L'etichetta secondaria viene applicata agli elementi effettivi e visualizzata dagli utenti. Per semplicità, Microsoft consiglia di mantenere il nome dell'etichetta secondaria in linea con il nome visualizzato dell'etichetta e di assegnare un nome diverso all'etichetta padre. Ad esempio, applicare un prefisso al nome dell'etichetta padre, ad esempio "cat_" per la categoria, per indicare che è l'elemento padre. Ad esempio:

Descrizioni delle etichette per gli utenti

Le descrizioni delle etichette per gli utenti vengono visualizzate come descrizioni comando per gli utenti, per facilitarne la selezione. Ad esempio:

Le descrizioni delle etichette devono includere informazioni su tutti gli elementi inclusi in un'etichetta, ad esempio (ma non solo):

• Classificazioni
• Avvertenze
• Indicatori di gestione delle informazioni (IMMs)

Ad esempio, se contrassegna un elemento come "OFFICIAL: Sensitive NATIONAL CABINET", assicurati di includere descrizioni sia per i contrassegni "OFFICIAL: Sensitive" che per "NATIONAL CABINET". Senza entrambi i contrassegni, quando un utente riceve un elemento e sposta il mouse sull'etichetta applicata, non visualizza la descrizione per entrambi gli elementi. Entrambe le descrizioni delle etichette degli elementi sono necessarie per consentire a un utente di comprendere i propri obblighi completi con tali dati.

Esempi di descrizioni di etichette

La tabella seguente è un estratto del criterio PSPF 8 e fornisce suggerimenti di base sulle descrizioni delle etichette, che possono essere adattati ai requisiti di un'organizzazione governativa:

Colore dell'etichetta di riservatezza

Le opzioni di colore delle etichette consentono di migliorare la consapevolezza dell'utente in merito alla riservatezza degli elementi e migliorare l'interfaccia utente dei client con riconoscimento delle etichette. Questa operazione viene eseguita codificando a colori l'icona dello scudo visualizzata insieme alle etichette di riservatezza.

Criterio PSPF 8 Requisito 4 indica che i colori possono essere usati come alternativa ai contrassegni basati su testo per le situazioni in cui tali funzionalità non sono disponibili.

I criteri PSPF 8 forniscono anche dettagli sui colori che possono essere usati per ogni contrassegno.

Anche se non la finalità indicata, questi colori possono essere usati facoltativamente per integrare altre funzionalità di contrassegno visivo. I colori delle etichette sono stati suggeriti per ogni etichetta negli esempi di configurazione.

I criteri PSPF 8 non definiscono i colori per i contrassegni NON UFFICIALI e UFFICIALI. Tuttavia, la maggior parte delle organizzazioni sembra usare il grigio per il colore di queste etichette.

Ambito dell'etichetta

L'ambito dell'etichetta viene usato per abilitare opzioni di configurazione specifiche per un'etichetta di riservatezza. Le opzioni di ambito includono:

• File che consentono l'applicazione di questa etichetta ai file (documenti di Office & PDF).
• Messaggi di posta elettronica che consentono di contrassegnare i messaggi di posta elettronica tramite Outlook o altri client di posta elettronica in grado di riconoscere l'etichetta.
• Riunioni che consentono di etichettare le riunioni di Teams o gli elementi del calendario di Outlook.
• Gruppi e siti che consentono l'applicazione dell'etichetta ai siti di SharePoint, ai gruppi di Microsoft 365 e a Teams.
• Asset di dati schematizzati (anteprima) che consentono l'applicazione di etichette alle colonne del database.

I gruppi e i siti e le opzioni degli asset di dati schematizzati richiedono l'abilitazione prima che siano disponibili nel tenant. I passaggi di configurazione per gruppi e siti sono descritti in Abilitazione dell'integrazione di gruppi e siti.

Le opzioni degli asset di dati schematizzati non rientrano nell'ambito di questa guida perché la maggior parte delle organizzazioni governative australiane è più interessata al contrassegno di file e messaggi di posta elettronica a questo punto. Per altre informazioni su queste funzionalità, vedere Etichettatura nel Microsoft Purview Data Map.

Per continuare con la creazione dell'etichetta, è necessario selezionare una delle opzioni di ambito disponibili. Le opzioni relative all'ambito di file e posta elettronica sono selezionate per impostazione predefinita.

È consigliabile abilitare ogni configurazione in un approccio a fasi, come indicato di seguito:

• È meno probabile che l'opzione gruppi e siti sia rilevante per le etichette contenenti IMM. L'uso tipico di questa opzione di ambito sembra essere che un'etichetta contenente un IMM (ad esempio, 'OFFICIAL Sensitive Personal Privacy'), si applicherebbe più spesso ai singoli elementi, ad esempio i documenti. In alcune organizzazioni può essere applicato a siti di SharePoint specifici. Un esempio è costituito da etichette CABINET, quindi le organizzazioni devono pianificare e personalizzare di conseguenza.

• La configurazione suggerita in questa guida usa le etichette secondarie, fornendo una gerarchia di etichette e semplificando la selezione delle etichette per gli utenti. L'uso di etichette secondarie raggruppa le etichette in categorie. Ad esempio, una categoria di "OFFICIAL Sensitive" con etichette secondarie di tutte le combinazioni necessarie di 'OFFICIAL Sensitive', avvertenze e IMM. L'etichettatura secondaria influisce su altre opzioni di configurazione, ad esempio la giustificazione delle modifiche delle etichette e l'avviso out-of-place dei dati. Microsoft consiglia di pianificare queste configurazioni prima della distribuzione.

Crittografia delle etichette

Le opzioni dell'ambito di crittografia delle etichette consentono ad Azure Rights Management di applicare la crittografia agli elementi quando vengono etichettati. La crittografia di Azure Rights Management garantisce quindi che gli elementi siano accessibili solo agli utenti autorizzati.

Per i nuovi utenti di Microsoft Purview, è consigliabile disabilitare la crittografia durante la compilazione e il completamento dei test iniziali. Questa funzionalità può influire sull'usabilità e l'integrazione con altri servizi e spesso richiede un livello più elevato di maturità delle funzionalità per un'abilitazione riuscita. Altre informazioni sulla configurazione della crittografia sono disponibili nella crittografia delle etichette di riservatezza.

Contrassegno del contenuto dell'etichetta di riservatezza

Questo set di opzioni consente l'applicazione di contrassegni visivi basati su testo a documenti e messaggi di posta elettronica. Le opzioni disponibili sono intestazione, piè di pagina e filigrana. Queste opzioni di configurazione sono allineate ai requisiti di contrassegno PSPF.

Le configurazioni dei contrassegni visivi delle etichette, del tipo di carattere e delle dimensioni in grassetto possono essere regolate con PowerShell. Ad esempio, per modificare il tipo di carattere applicato agli elementi nel tipo di carattere 'Franklin Gothic Medium', dimensione 12, insieme al testo rosso, è possibile usare lo script di PowerShell seguente.

`Set-Label -Identity UNOFFICIAL -ApplyContentMarkingHeaderFontName "Franklin Gothic Medium"

Questo script fornisce il contrassegno visivo seguente, che si allinea strettamente con gli esempi forniti in Criteri PSPF 8:

Variabili di contenuto

Le variabili di contenuto modificano i contrassegni in base all'applicazione in uso; Word, Excel, PowerPoint o Outlook.

Per implementare le variabili di contenuto, è possibile specificare l'applicazione a cui viene applicato un contrassegno tramite i codici immessi nei campi di testo intestazione, piè di pagina o filigrana. Ad esempio, la configurazione di un piè di pagina usando la sintassi seguente fa sì che il contrassegno venga visualizzato nei documenti Word ma lo ometta dai messaggi di posta elettronica di Outlook, PowerPoint ed Excel:

${If.App.Word}UNOFFICIAL ${If.End}

Per altre informazioni sulle variabili di contenuto ed esempi di sintassi di contrassegno, vedere Contrassegni di contenuto con variabili.

Importanza del contrassegno del contenuto

Le applicazioni client, ad esempio Microsoft 365 Apps, forniscono agli utenti indicatori di etichetta incorporati. Microsoft consiglia l'uso di questi contrassegni visivi importanti perché:

• I contrassegni basati su etichetta vengono forniti da un'etichetta di riservatezza. Le etichette esistono solo all'interno di un ambiente interno dell'organizzazione. Se un elemento etichettato doveva essere inviato a un'organizzazione esterna, tali indicatori non sono visibili, a meno che non vengano affrontati tramite approcci trattati nell'applicazione automatica delle etichette di riservatezza.

• I contrassegni basati su testo sono incorporati in documenti e/o messaggi di posta elettronica e sono visibili indipendentemente dal client usato per aprire o modificare gli elementi. Contrassegni visibili significa che un destinatario esterno che potrebbe non usare un client Microsoft 365 Apps può comunque visualizzare i contrassegni basati su testo applicati. I contrassegni sono visibili anche negli elementi esportati in PDF o stampati.

• I contrassegni basati su testo forniscono indicatori utili di riservatezza degli elementi e possono essere utili in situazioni in cui gli indicatori standard, ad esempio le intestazioni x della posta elettronica, vengono rimossi dai client o dai servizi di posta elettronica. In tali situazioni il contrassegno può fungere da identificatore di riservatezza del backup e può essere usato dall'etichettatura automatica per riapplicare l'etichetta di riservatezza richiesta. Per altre informazioni, vedere Etichettatura automatica basata sul servizio.

Etichettatura automatica

Le opzioni di etichettatura automatica configurate come parte della configurazione di un'etichetta di riservatezza vengono definite etichettatura automatica basata su client. Questa funzionalità può fornire consigli sulle etichette agli utenti che lavorano nei client Outlook o Office, che richiedono agli utenti di aumentare l'etichetta di riservatezza in base al rilevamento del contenuto sensibile. Ad esempio, a un utente che redige un messaggio di posta elettronica NON UFFICIALE che contiene una parola chiave sensibile o modelli allineati alle informazioni PROTETTE, potrebbe essere richiesto di aumentare la sensibilità dell'elemento a PROTECTED. Questa funzionalità:

• Consente di garantire la correttezza dell'etichetta.
• Consente di garantire che le etichette applicate vengano mantenute in tutti gli elementi downstream, ad esempio i messaggi di posta elettronica di risposta o il contenuto generato da Copilot per Microsoft 365.
• Consente di informare gli utenti sull'applicazione di etichette corretta.

L'etichettatura automatica basata sul client è una funzionalità più avanzata, che richiede una certa considerazione per essere usata in modo efficace. Le organizzazioni potrebbero voler mantenere disabilitate queste opzioni nella configurazione iniziale, ma abilitarle man mano che aumenta la maturità della conformità.

Per ulteriori consigli sulla configurazione dell'etichettatura automatica basata su client in linea con i requisiti del governo australiano, vedere raccomandazioni sull'etichettatura automatica basata sul client.

Esempi di configurazione

La tabella seguente fornisce la configurazione di esempio, allineata ai requisiti PSPF: