Usare le barriere informative con OneDrive

Microsoft Purview Information Barriers è un criterio di Microsoft 365 che un amministratore della conformità può configurare per impedire agli utenti di comunicare e collaborare tra loro. Questa soluzione è utile se, ad esempio, una divisione gestisce informazioni che non devono essere condivise con altre divisioni specifiche o una divisione deve essere impedita o isolata dalla collaborazione con tutti gli utenti esterni alla divisione. Le barriere informative vengono spesso usate in settori altamente regolamentati e in quelle organizzazioni con requisiti di conformità, ad esempio finanza, legale e pubblica amministrazione.

Per OneDrive, le barriere informative possono determinare e impedire i tipi di collaborazioni non autorizzate seguenti:

• Accesso utente a OneDrive o contenuto archiviato
• Condivisione di OneDrive o contenuto archiviato con altri utenti

Modalità barriere informative e OneDrive

Quando le barriere informative sono abilitate in SharePoint e OneDrive, OneDrive degli utenti segmentati viene protetto automaticamente con i criteri IB. Le modalità barriere informative consentono di rafforzare l'accesso, la condivisione e l'appartenenza a un sito di OneDrive in base alla modalità IB e ai segmenti associati a OneDrive.

Quando si usano barriere informative con OneDrive, sono supportate le modalità IB seguenti:

Condivisione di file da OneDrive

Apri

Quando onedrive non ha segmenti e modalità IB come Open:

• L'utente può condividere file e cartelle in base ai criteri di barriera delle informazioni applicati all'utente e all'impostazione di condivisione per OneDrive.

Proprietario moderato

Quando un sito ha la modalità barriere informative è impostato su Proprietario moderato:

• L'opzione per la condivisione con chiunque abbia il collegamento è disabilitata.
• L'opzione per la condivisione con il collegamento a livello di azienda è disabilitata.
• Il sito e il relativo contenuto possono essere condivisi con i membri esistenti.
• Il sito e il relativo contenuto possono essere condivisi solo dal proprietario di OneDrive in base ai criteri IB.

Explicit

Quando un OneDrive ha segmenti di barriere informative e la modalità è impostata su Explicit:

• L'opzione per la condivisione con chiunque abbia il collegamento è disabilitata.
• L'opzione per la condivisione con il collegamento a livello di azienda è disabilitata.
• I file e le cartelle possono essere condivisi solo con gli utenti il cui segmento corrisponde a quello di OneDrive.

Misto

Quando un OneDrive ha segmenti di barriere informative e la modalità è impostata su Misto:

• L'opzione per la condivisione con chiunque abbia il collegamento è disabilitata.
• L'opzione per la condivisione con il collegamento a livello di azienda è disabilitata.
• I file e le cartelle possono essere condivisi con gli utenti il cui segmento corrisponde a quello di OneDrive e agli utenti non distribuiti nel tenant.

Accesso ai file condivisi da OneDrive

Modalità aperta

Per consentire a un utente di accedere al contenuto in un OneDrive senza segmenti associati e la modalità IB come Apri:

• I file devono essere condivisi con l'utente.

Modalità Moderated proprietario

Per consentire a un utente di accedere a un sito di SharePoint con la modalità barriere informative del sito, è impostato su Proprietario moderato:

• L'utente dispone delle autorizzazioni di accesso al sito.

Modalità esplicita

Per consentire a un utente di accedere al contenuto in un OneDrive con segmenti e la modalità IB impostata su Explicit:

1. Il segmento dell'utente deve corrispondere a un segmento associato a OneDrive.

   E

2. I file devono essere condivisi con l'utente.

Modalità mista

Per consentire a un utente segmentato di accedere al contenuto in un OneDrive con segmenti e la modalità IB impostata su Misto:

1. Il segmento dell'utente deve corrispondere a un segmento associato a OneDrive.

   E

2. I file devono essere condivisi con l'utente.

Per consentire a un utente non segmentato di accedere al contenuto in un OneDrive con segmenti e la modalità IB impostata come Mista:

• L'utente deve disporre delle autorizzazioni di accesso al sito.

Scenario di esempio

L'esempio seguente illustra tre segmenti in un'organizzazione: RISORSE umane, Vendite e Ricerca. È stato definito un criterio di barriera delle informazioni che blocca la comunicazione e la collaborazione tra i segmenti Vendite e Ricerca.

Con le barriere informative in OneDrive, quando un segmento viene applicato a un utente, entro 24 ore tale segmento viene associato automaticamente a OneDrive dell'utente. Anche altri segmenti compatibili con il segmento dell'utente e tra loro verranno associati a OneDrive. A OneDrive possono essere associati fino a 100 segmenti. Un amministratore globale o di SharePoint può gestire questi segmenti usando PowerShell, come descritto più avanti nella sezione Associare o rimuovere segmenti aggiuntivi in OneDrive di un utente.

La tabella seguente illustra gli effetti di questa configurazione di esempio:

Abilitare le barriere informative di SharePoint e OneDrive nell'organizzazione

L'abilitazione delle barriere informative per SharePoint e OneDrive viene configurata in una singola azione. Le barriere informative per i servizi non possono essere abilitate separatamente. Per abilitare le barriere informative per OneDrive, vedere Abilitare le barriere informative di SharePoint e OneDrive nell'organizzazione. Dopo aver abilitato le barriere informative per SharePoint e OneDrive, continuare con le indicazioni di OneDrive in questo articolo.

Prerequisiti

1. Assicurarsi di soddisfare i requisiti di licenza per le barriere informative.
2. Creare criteri di barriera delle informazioni che consentono o bloccano la comunicazione tra i segmenti e attivano i criteri. Creare segmenti e definire gli utenti in ognuno di essi.
3. Dopo aver configurato e attivato i criteri di barriera delle informazioni, attendere 24 ore per la propagazione delle modifiche nell'organizzazione.
4. Abilitare le barriere informative per OneDrive. L'abilitazione delle barriere informative per SharePoint e OneDrive viene configurata in un'unica azione e questi servizi non possono essere abilitati separatamente. Per abilitare le barriere informative per OneDrive, vedere le indicazioni e i passaggi nell'articolo Usare le barriere informative con SharePoint .
5. Completare i passaggi descritti nelle sezioni seguenti per personalizzare e gestire le barriere informative per OneDrive nell'organizzazione.

Usare PowerShell per visualizzare i segmenti associati a un OneDrive

Un amministratore globale o un amministratore di SharePoint può visualizzare e modificare i segmenti associati a OneDrive di un utente. L'organizzazione può avere fino a 5.000 segmenti e gli utenti possono essere assegnati a più segmenti.

1. Connettersi a PowerShell del Centro conformità & sicurezza come amministratore globale.

2. Eseguire il comando seguente per ottenere l'elenco dei segmenti e i relativi GUID.

   Get-OrganizationSegment | ft Name, EXOSegmentID
   

3. Salvare l'elenco di segmenti.

   Nome	EXOSegmentId
   Vendite	a9592060-c856-4301-b60f-bf9a04990d4d
   Ricerca	27d20a85-1c1b-4af2-bf45-a41093b5d111
   Risorse umane	a17efb47-e3c9-4d85-a188-1cd59c83de32

4. Se non è stato completato in precedenza, scaricare e installare l'SharePoint Online Management Shell più recente. Se è stata installata una versione precedente del SharePoint Online Management Shell, seguire le istruzioni nell'articolo Abilitare le barriere informative di SharePoint e OneDrive nell'organizzazione.

5. Connettiti a SharePoint come amministratore globale o amministratore di SharePoint in Microsoft 365. Per informazioni in merito, vedere Guida introduttiva a SharePoint Online Management Shell.

6. Eseguire il comando riportato di seguito:

   Get-SPOSite -Identity <site URL> | Select InformationSegment 
   

   Ad esempio:

   Get-SPOSite -Identity https://contoso-my.sharepoint.com/personal/John_contoso_onmicrosoft_com | Select InformationSegment
   

Gestire i segmenti in OneDrive di un utente

Per associare un segmento a onedrive, eseguire il comando seguente nel SharePoint Online Management Shell.

Set-SPOSite -Identity <site URL> -AddInformationSegment <segment GUID> 

Ad esempio:

Set-SPOSite -Identity https://contoso-my.sharepoint.com/personal/John_contoso_onmicrosoft_com -AddInformationSegment 27d20a85-1c1b-4af2-bf45-a41093b5d111

Quando si aggiungono segmenti a OneDrive, la modalità IB del sito viene aggiornata automaticamente a Explicit. Verrà visualizzato un errore se si tenta di associare un segmento non compatibile con i segmenti esistenti in OneDrive.

Per rimuovere un segmento da onedrive, eseguire il comando seguente.

Set-SPOSite -Identity <site URL> -RemoveInformationSegment <segment GUID>

Ad esempio:

Set-SPOSite -Identity https://contoso-my.sharepoint.com/personal/John_contoso_onmicrosoft_com -RemoveInformationSegment 27d20a85-1c1b-4af2-bf45-a41093b5d111

Se tutti i segmenti di un sito di OneDrive vengono rimossi, la modalità IB di OneDrive viene aggiornata automaticamente in Apri.

Gestire la modalità IB di OneDrive di un utente (anteprima)

Per visualizzare la modalità IB di un sito di OneDrive, eseguire il comando seguente nel SharePoint Online Management Shell come amministratore di SharePoint o amministratore globale:

Get-SPOSite -Identity <site URL> | Select InformationBarriersMode

Ad esempio:

Get-SPOSite -Identity https://contoso-my.sharepoint.com/personal/John_contoso_onmicrosoft_com | Select InformationBarriersMode

Un amministratore di SharePoint o un amministratore globale ha anche la possibilità di gestire la modalità IB di un sito di OneDrive per soddisfare le esigenze dell'organizzazione con nuove modalità IB:

Esempio di modalità Moderated proprietario

Consentire a un utente del segmento incompatibile l'accesso a onedrive. Ad esempio, si vuole consentire l'accesso a OneDrive dell'utente HR sia agli utenti del segmento Vendite che a Quello di Ricerca nel tenant.

Owner Moderated è una modalità applicabile al sito di OneDrive che consente agli utenti del segmento incompatibili di accedere a OneDrive in presenza di un moderatore/proprietario. Solo il proprietario del sito ha la possibilità di invitare utenti del segmento incompatibili nello stesso sito.

Per aggiornare una modalità IB del sito di OneDrive a Owner Moderated, eseguire il comando di PowerShell seguente:

Set-SPOSite -Identity <siteurl> -InformationBarriersMode OwnerModerated

La modalità IB moderata del proprietario non può essere impostata in un sito con segmenti. Rimuovere i segmenti prima di impostare la modalità IB come Owner Moderated. L'accesso a un sito moderato proprietario è consentito per gli utenti con autorizzazioni di accesso al sito. La condivisione di un OneDrive con moderatore proprietario e del relativo contenuto è consentita solo dal proprietario del sito in base ai criteri IB.

Esempio di modalità mista

Consentire agli utenti non segmentati di accedere a OneDrive associato ai segmenti. Ad esempio, si vuole consentire l'accesso a OneDrive dell'utente HR tramite il segmento HR e gli utenti non segmentati nel tenant. Modalità mista applicabile al sito di OneDrive che consente agli utenti segmentati e non segmentati di accedere a OneDrive.

Per aggiornare una modalità IB del sito di OneDrive a Mixed, eseguire il comando di PowerShell seguente:

Set-SPOSite -Identity <siteurl> -InformationBarriersMode Mixed

La modalità IB mista non può essere impostata in un sito senza segmenti. Aggiungere segmenti prima di impostare la modalità IB come Mista.

Effetti delle modifiche ai segmenti utente

Se il segmento di un utente cambia, il segmento di OneDrive e la modalità IB vengono aggiornati automaticamente entro 24 ore, come descritto nella sezione Barriere informative di OneDrive.

Esempio 1: il segmento dell'utente aggiornato da Ricerca a Vendite, OneDrive dell'utente viene aggiornato come segue entro 24 ore:

• Segmento: vendite, risorse umane
• Modalità IB: esplicita

Esempio 2: il segmento dell'utente aggiornato da HR a Nessuno, OneDrive dell'utente viene aggiornato come segue entro 24 ore:

• Segmento: Nessuno
• Modalità IB: Apri

Effetti delle modifiche ai criteri delle barriere informative

Se un amministratore della conformità modifica un criterio esistente, la modifica può influire sulla compatibilità dei segmenti associati a OneDrive.

Ad esempio, i segmenti che una volta erano compatibili potrebbero non essere più compatibili. Un amministratore di SharePoint deve modificare di conseguenza i segmenti associati a un sito interessato. Informazioni su come creare un report sulla conformità dei criteri sulle barriere informative in PowerShell.

Se un criterio cambia dopo la condivisione dei file, i collegamenti di condivisione funzioneranno solo se l'utente che tenta di accedere ai file condivisi ha applicato un segmento che corrisponde a un segmento associato a OneDrive.

Controllo

Gli eventi di controllo sono disponibili nel portale di Microsoft Purview e nella Portale di conformità di Microsoft Purview per monitorare le attività delle barriere informative. Gli eventi di controllo vengono registrati per le attività seguenti:

• Barriere informative abilitate per SharePoint e OneDrive
• Segmento applicato al sito
• Segmento del sito modificato
• Segmento rimosso del sito
• Modalità di barriere informative applicate al sito
• Modifica della modalità barriere informative del sito
• Barriere informative disabilitate per SharePoint e OneDrive

Per altre informazioni sul controllo dei segmenti di OneDrive in Office 365, vedere Cercare nel log di controllo.

Risorse

• Barriere informative in Microsoft Teams
• Barriere informative in SharePoint