Pianificazione dell'implementazione di Power BI: Defender for Cloud Apps per Power BI

Questo articolo descrive le attività di pianificazione correlate all'implementazione di Defender for Cloud Apps in relazione al monitoraggio di Power BI. È destinato a:

• Amministratori Power BI: amministratori responsabili della supervisione di Power BI nell'organizzazione. Gli amministratori di Power BI devono collaborare con i team di sicurezza delle informazioni e altri team pertinenti.
• Center of Excellence, team IT e BI: altri responsabili della supervisione di Power BI nell'organizzazione. Potrebbe essere necessario collaborare con gli amministratori di Power BI, i team di sicurezza delle informazioni e altri team pertinenti.

È consigliabile seguire un approccio graduale e progressivo verso l'implementazione di Defender for Cloud Apps per il monitoraggio di Power BI. Per una descrizione dei tipi di fasi di implementazione da considerare, vedere Protezione delle informazioni per Power BI (fasi di implementazione).

Scopo del monitoraggio

Microsoft Defender for Cloud Apps (noto in precedenza come Microsoft Cloud App Security) è un Cloud Access Security Broker (CASB) che supporta varie modalità di distribuzione. Include un'ampia gamma di funzionalità che si estendono ben oltre l'ambito di questo articolo. Alcune funzionalità sono in tempo reale mentre altre non lo sono.

Ecco alcuni esempi di monitoraggio in tempo reale che è possibile implementare.

• Bloccare i download dal servizio Power BI: è possibile creare criteri di sessione per bloccare determinate tipologie di attività dell'utente. Ad esempio, quando un utente tenta di scaricare un report dal servizio Power BI a cui è stata assegnata un'etichetta di riservatezza con elevate restrizioni, l'azione di download può essere bloccata in tempo reale.
• Bloccare l'accesso al servizio Power BI da un dispositivo non gestito: è possibile creare criteri di accesso per impedire agli utenti di accedere a determinate applicazioni, a meno che non usino un dispositivo gestito. Ad esempio, quando un utente tenta di accedere al servizio Power BI dal telefono cellulare personale, questa azione può essere bloccata.

Ecco alcuni esempi di altre funzionalità che non sono in tempo reale.

• Rilevare e notificare determinate attività nel servizio Power BI: è possibile creare criteri di attività per generare un avviso quando si verificano determinati tipi di attività. Ad esempio, quando si verifica un'attività amministrativa nel servizio Power BI (che indica che un'impostazione del tenant è stata modificata), è possibile ricevere un avviso tramite e-mail.
• Monitorare le attività di sicurezza avanzate: è possibile visualizzare e monitorare gli accessi e le attività di sicurezza, le anomalie e le violazioni. Le notifiche possono essere generate per situazioni come attività sospette, posizioni impreviste o una nuova posizione.
• Monitorare le attività degli utenti: è possibile visualizzare e monitorare le attività degli utenti. Ad esempio, è possibile assegnare a un amministratore di Power BI l'autorizzazione per visualizzare il log attività di Power BI, oltre alla frequenza di accesso dell'utente all'interno di Defender for Cloud Apps.
• Rilevare e segnalare comportamenti anomali nel servizio Power BI: sono disponibili criteri predefiniti per il rilevamento delle anomalie. Ad esempio, quando un utente scarica o esporta contenuto dal servizio Power BI molto più spesso della normale consuetudine, è possibile ricevere un avviso tramite e-mail.
• Trovare applicazioni non approvate: è possibile trovare applicazioni non approvate in uso all'interno dell'organizzazione. Ad esempio, ci si potrebbe preoccupare per gli utenti che condividono file (come ad esempio file Power BI Desktop o file Excel) in un sistema di condivisione file di terze parti. È possibile bloccare l'utilizzo di un'applicazione non approvata e poi contattare gli utenti per informarli sulle modalità appropriate per condividere e collaborare con altri utenti.

Power BI è uno dei numerosi servizi e applicazioni che possono essere integrati con Defender for Cloud Apps. Se si usa già Defender for Cloud Apps per altri scopi, lo si può utilizzare anche per monitorare Power BI.

I criteri creati in Defender for Cloud Apps sono una forma di prevenzione della perdita dei dati (DLP). L'articolo Prevenzione della perdita dei dati per Power BI illustra i criteri di prevenzione della perdita dei dati per Power BI configurati nel portale di conformità di Microsoft Purview. È consigliabile utilizzare i criteri di prevenzione della perdita dei dati per Power BI con le funzionalità descritte in questo articolo. Anche se ci sono alcune sovrapposizioni concettuali, le funzionalità sono differenti.

Prerequisiti per Defender for Cloud Apps per Power BI

A questo scopo, è necessario aver completato i passaggi di pianificazione a livello di organizzazione descritti nell'articolo Prevenzione della perdita dei dati per Power BI. Prima di procedere, è necessario avere chiarezza su:

• Stato corrente: lo stato corrente della prevenzione della perdita dei dati nell'organizzazione. È necessario avere una conoscenza della misura in cui la prevenzione della perdita dei dati è già in uso e di chi sia il responsabile della relativa gestione.
• Obiettivi e requisiti: gli obiettivi strategici per l'implementazione della prevenzione della perdita dei dati nell'organizzazione. Comprendere gli obiettivi e i requisiti permetterà di seguire le attività di implementazione.

In genere, la protezione delle informazioni è già implementata prima dell'implementazione della prevenzione della perdita dei dati. Se le etichette di riservatezza vengono pubblicate (come descritto nell'articolo Protezione delle informazioni per Power BI), possono essere usate in determinati criteri all'interno di Defender for Cloud Apps.

È possibile che sia già stata implementata la prevenzione della perdita dei dati per Power BI (descritta nell'articolo Prevenzione della perdita dei dati per Power BI). Queste funzionalità di prevenzione della perdita dei dati sono diverse dalle funzionalità gestite nel portale di conformità di Microsoft Purview. Tutte le funzionalità DLP descritte in questo articolo vengono gestite nel portale di Defender for Cloud Apps.

Decisioni e azioni chiave

È necessario prendere alcune decisioni chiave prima di essere pronti per configurare i criteri in Defender for Cloud Apps.

Le decisioni relative ai criteri di Defender for Cloud Apps devono supportare direttamente gli obiettivi e i requisiti per la protezione dei dati identificati in precedenza.

Tipo di criteri e attività

È necessario considerare le attività utente che si intendono monitorare, bloccare o controllare. Il tipo di criterio in Defender for Cloud Apps influenza:

• Quello che si è in grado di realizzare.
• Quali attività possono essere incluse nella configurazione.
• Se i controlli verranno eseguiti in tempo reale o meno.

Criteri in tempo reale

I criteri di accesso e i criteri di sessione creati in Defender for Cloud Apps consentono di monitorare, bloccare o controllare le sessioni utente in tempo reale.

I criteri di accesso e i criteri di sessione consentono di:

• Rispondere a livello di programmazione in tempo reale: rilevare, informare e bloccare la condivisione rischiosa, accidentale o inappropriata di dati sensibili. Queste azioni consentono di:
  • Migliorare la configurazione complessiva della sicurezza del tenant di Power BI, con automazione e informazioni.
  • Abilitare i casi d'uso analitici che coinvolgono dati sensibili in modo da poter essere controllati.
• Fornire agli utenti notifiche contestuali: questa funzionalità consente di:
  • Assistere gli utenti nel prendere le giuste decisioni durante il normale flusso di lavoro.
  • Fare in modo che gli utenti seguano i criteri di classificazione e di protezione dei dati, senza influire sulla produttività.

Per fornire controlli in tempo reale, i criteri di accesso e i criteri di sessione funzionano con Microsoft Entra ID, basandosi sulle funzionalità del proxy inverso di Controllo app per l'accesso condizionale. Le richieste e le risposte degli utenti, anziché passare attraverso l'app (in questo caso il servizio Power BI), passano attraverso un proxy inverso (Defender for Cloud Apps).

Il reindirizzamento non influisce sull'esperienza utente. Tuttavia, l'URL per il servizio Power BI passerà a https://app.powerbi.com.mcas.ms dopo aver configurato Microsoft Entra ID per il controllo app per l'accesso condizionale con Power BI. Inoltre, quando accedono al servizio Power BI, gli utenti ricevono un avviso che annuncia che l'app viene monitorata da Defender for Cloud Apps.

Criteri di accesso

Un criterio di accesso creato in Defender for Cloud Apps controlla se un utente può accedere a un'applicazione cloud come il servizio Power BI. Le organizzazioni che operano in settori altamente regolamentati dovranno occuparsi dei criteri di accesso.

Ecco alcuni esempi di come usare i criteri di accesso per bloccare l'accesso al servizio Power BI.

• Utente imprevisto: è possibile bloccare l'accesso di un utente che non è membro di un gruppo di sicurezza specifico. Ad esempio, questo criterio può essere utile quando si dispone di un processo interno importante che monitora gli utenti approvati da Power BI tramite un gruppo specifico.
• Dispositivo non gestito: è possibile bloccare l'accesso di un dispositivo personale non gestito dall'organizzazione.
• Aggiornamenti necessari: è possibile bloccare l'accesso di un utente che usa un browser o un sistema operativo obsoleto.
• Posizione: è possibile bloccare l'accesso proveniente da una località in cui non si dispone di uffici o di utenti nonché da un indirizzo IP sconosciuto.

Criteri di sessione

Un criterio di sessione è utile quando non si vuole consentire o bloccare completamente l'accesso (operazione che può essere eseguita con un criterio di accesso secondo la modalità descritta in precedenza). In particolare, tale modalità consiste nel consentire l'accesso all'utente durante il monitoraggio o limitando ciò che si verifica attivamente durante la sessione.

Ecco alcuni esempi di modi in cui è possibile usare i criteri della sessione per monitorare, bloccare o controllare le sessioni utente nel servizio Power BI.

• Bloccare i download: bloccare i download e le esportazioni quando un'etichetta di riservatezza specifica, come ad esempio con elevate restrizioni, viene assegnata all'elemento nel servizio Power BI.
• Monitorare gli accessi: monitorare quando un utente, che soddisfa determinate condizioni, esegue l'accesso. Ad esempio, l'utente potrebbe essere membro di un gruppo di sicurezza specifico o utilizzare un dispositivo personale non gestito dall'organizzazione.

Con i criteri di sessione è possibile controllare anche i caricamenti di file. Tuttavia, in genere si vuole incoraggiare gli utenti di BI in modalità self-service a caricare il contenuto nel servizio Power BI (anziché condividere i file di Power BI Desktop). Pertanto, considerare attentamente il blocco dei caricamenti di file.

Elenco di controllo: quando si pianificano criteri in tempo reale in Defender for Cloud Apps, le decisioni chiave e le azioni includono:

Criteri attività

I criteri attività in Defender for Cloud Apps non operano in tempo reale.

È possibile configurare un criterio attività per controllare gli eventi registrati nel log attività di Power BI. Il criterio può agire su una singola attività oppure su attività ripetute da parte di un singolo utente (quando si verifica un'attività specifica più di un determinato numero di volte entro un determinato numero di minuti).

È possibile utilizzare i criteri di attività per monitorare l'attività nel servizio Power BI in modi differenti. Ecco alcuni esempi di ciò che è possibile ottenere.

• Contenuto con privilegi di visualizzazioni utente non autorizzate o impreviste: un utente che non è membro di un gruppo di sicurezza specifico (o un utente esterno) ha visualizzato un report con privilegi elevati fornito al consiglio di amministrazione.
• Impostazioni aggiornamenti al tenant da parte di un utente non autorizzate o impreviste: un utente che non è membro di un gruppo di sicurezza specifico, come ad esempio il gruppo amministratori di Power BI, ha aggiornato le impostazioni del tenant nel servizio Power BI. È anche possibile scegliere di ricevere una notifica ogni volta che viene aggiornata un'impostazione del tenant.
• Numero elevato di eliminazioni: un utente ha eliminato più di 20 aree di lavoro o di report in un periodo di tempo inferiore a 10 minuti.
• Numero elevato di download: un utente ha scaricato più di 30 report in un periodo di tempo inferiore a cinque minuti.

Le tipologie di avvisi dei criteri di attività descritti in questa sezione vengono comunemente gestiti dagli amministratori di Power BI nell'ambito della supervisione di Power BI. Quando si configurano avvisi all'interno di Defender for Cloud Apps, è consigliabile concentrarsi su situazioni che rappresentano un rischio significativo per l'organizzazione. Questo perché ogni avviso deve essere esaminato e chiuso da un amministratore.

Elenco di controllo: quando si pianificano i criteri di attività, le decisioni chiave e le azioni includono:

Utenti interessati

Uno dei motivi interessanti per cui integrare Power BI con Defender for Cloud Apps consiste nel beneficiare dei controlli in tempo reale quando gli utenti interagiscono con il servizio Power BI. Questo tipo di integrazione richiede il controllo app per l'accesso condizionale in Microsoft Entra ID.

Prima di configurare il controllo app per l'accesso condizionale in Microsoft Entra ID, è necessario considerare quali utenti verranno inclusi. In genere, tutti gli utenti sono inclusi. Tuttavia, potrebbero esserci motivi per cui escludere utenti specifici.

Alcuni tipi di criteri in Defender for Cloud Apps possono essere applicati a determinati utenti e gruppi. Nella maggior parte dei casi, questi tipi di criteri sono applicabili a tutti gli utenti. Tuttavia, è possibile che si verifichi una situazione in cui sia necessario escludere di proposito determinati utenti.

Elenco di controllo: quando si considerano quali utenti sono interessati, le decisioni chiave e le azioni includono:

Messaggistica utente

Dopo aver identificato i casi d'uso, è necessario considerare cosa deve accadere quando è presente un'attività utente che corrisponde ai criteri.

Quando un'attività viene bloccata in tempo reale, è importante fornire all'utente un messaggio personalizzato. Il messaggio è utile quando si desidera fornire maggiori indicazioni e consapevolezza agli utenti durante il normale flusso di lavoro. È più probabile che gli utenti leggano e assorbano le notifiche utente quando sono:

• Specifiche: correlare il messaggio ai criteri semplifica la comprensione.
• Attuabili: offrire un suggerimento per le operazioni da eseguire o su come trovare altre informazioni.

Alcuni tipi di criteri in Defender for Cloud Apps possono avere un messaggio personalizzato. Ecco due esempi di notifiche utente.

Esempio 1: è possibile definire un criterio di controllo della sessione in tempo reale che impedisce tutte le esportazioni e i download quando l'etichetta di riservatezza per l'elemento di Power BI (ad esempio un report o un modello semantico) è impostata su con restrizioni elevate. Il messaggio di blocco personalizzato in Defender for Cloud Apps indica: i file con un'etichetta con restrizioni elevate non possono essere scaricati dal servizio Power BI. Visualizzare il contenuto online nel servizio Power BI. Per eventuali domande, contattare il team di supporto di Power BI.

Esempio 2: è possibile definire un criterio di accesso in tempo reale che impedisca a un utente di accedere al servizio Power BI quando non usa un computer gestito dall'organizzazione. Il messaggio di blocco personalizzato in Defender for Cloud Apps indica: il servizio Power BI potrebbe non essere accessibile da un dispositivo personale. Si prega di usare il dispositivo fornito dall'organizzazione. Per eventuali domande, contattare il team di supporto di Power BI.

Elenco di controllo: quando si considerano i messaggi utente in Defender for Cloud Apps, le decisioni chiave e le azioni includono:

Avvisi dell'amministratore

L'invio di avvisi è utile quando si vuole comunicare agli amministratori della sicurezza e della conformità che si è verificata una violazione di un criterio. Quando si definiscono i criteri in Defender for Cloud Apps, valutare se devono essere generati avvisi. Per ulteriori informazioni, vedere tipi di avviso in Defender for Cloud Apps.

Facoltativamente, è possibile configurare un avviso per inviare un'e-mail a più amministratori. Quando è necessaria un'e-mail di avviso, è consigliabile usare un gruppo di sicurezza abilitato alla posta elettronica. Ad esempio, è possibile usare un gruppo denominato Avvisi amministratori di sicurezza e conformità.

Per situazioni con priorità elevata, è possibile inviare avvisi tramite SMS. È anche possibile creare un'automazione personalizzata degli avvisi e flussi di lavoro tramite l'integrazione con Power Automate.

È possibile configurare ogni avviso con gravità bassa, media o alta. Il livello di gravità è utile nell'assegnazione della priorità alla visualizzazione degli avvisi aperti. Un amministratore dovrà visualizzare ogni avviso e intervenire di conseguenza. Un avviso può essere chiuso come vero positivo, falso positivo o benigno.

Ecco due esempi di avvisi amministratore.

Esempio 1: è possibile definire un criterio di controllo della sessione in tempo reale che impedisce tutte le esportazioni e i download quando l'etichetta di riservatezza per l'elemento di Power BI (ad esempio un report o un modello semantico) è impostata su con restrizioni elevate. È previsto un messaggio di blocco personalizzato utile per l'utente. Tuttavia, in questa situazione non è necessario generare un avviso.

Esempio 2: è possibile definire un criterio di attività che tenga traccia del fatto che un utente esterno abbia visualizzato un report con privilegi elevati fornito al consiglio di amministrazione. È possibile configurare un avviso di gravità elevata per accertarsi che l'attività venga esaminata tempestivamente.

Elenco di controllo: quando si valuta l'invio di avvisi agli amministratori in Defender for Cloud Apps, le decisioni e le azioni principali includono:

Convenzione di denominazione dei criteri

Prima di creare criteri in Defender for Cloud Apps, è consigliabile creare una convenzione di denominazione. Una convenzione di denominazione è utile quando sono presenti molte tipologie di criteri per molte tipologie di applicazioni. È utile anche quando gli amministratori di Power BI vengono coinvolti nel monitoraggio.

Considerare un modello di convenzione di denominazione che includa i segnaposto dei componenti: <Applicazione> - <Descrizione> - <Azione> - <Tipo di criterio>

Ecco alcuni esempi di convenzioni di denominazione.

I componenti della convenzione di denominazione includono:

• Applicazione: il nome dell'applicazione. Il prefisso di Power BI consente di raggruppare tutti i criteri specifici di Power BI quando vengono ordinati. Tuttavia, alcuni criteri verranno applicati a tutte le app cloud anziché solo al servizio Power BI.
• Descrizione: la parte descrittiva del nome è quella che varia di più. Può includere le etichette di riservatezza interessate o il tipo di attività monitorata.
• Azione: (facoltativo) Negli esempi, un criterio di sessione porta a Bloccare i download. In genere, un'azione è necessaria solo quando si applicano criteri in tempo reale.
• Tipo di criterio: (facoltativo) Nell'esempio, il suffisso TR indica che si tratta di un criterio in tempo reale. Designare se è in tempo reale o meno aiuta a gestire le aspettative.

Esistono altri attributi che non devono essere inclusi nel nome del criterio. Questi attributi includono il livello di gravità (basso, medio o alto) e la categoria (come ad esempio il rilevamento delle minacce o la prevenzione della perdita dei dati). Entrambi gli attributi possono essere filtrati nella pagina degli avvisi.

Elenco di controllo: quando si considera la convenzione di denominazione dei criteri, le decisioni chiave e le azioni includono:

Requisiti di licenza

Per monitorare un tenant di Power BI, è necessario disporre di licenze specifiche. Gli amministratori devono avere una delle licenze seguenti.

• Microsoft Defender for Cloud Apps: fornisce le funzionalità di Defender for Cloud Apps per tutte le applicazioni supportate (incluso il servizio Power BI).
• Office 365 Cloud App Security: fornisce funzionalità di Defender for Cloud Apps per le app di Office 365 che fanno parte della famiglia di prodotti Office 365 E5 (incluso il servizio Power BI).

Inoltre, se gli utenti devono usare criteri di accesso in tempo reale o criteri di sessione in Defender for Cloud Apps, avranno bisogno di una licenza Microsoft Entra ID P1.

Elenco di controllo: quando si valutano i requisiti di licenza, le decisioni chiave e le azioni includono:

Documentazione e formazione degli utenti

Prima di implementare Defender for Cloud Apps, è consigliabile creare e pubblicare la documentazione degli utenti. Una pagina di SharePoint o una pagina wiki nel portale centralizzato possono essere ideali in quanto sono facili da gestire. Anche un documento caricato in una raccolta condivisa o in un sito di Teams è un buon approccio.

L'obiettivo della documentazione è quello di fornire un'esperienza utente senza problemi. La preparazione della documentazione utente consentirà anche di accertarsi di aver preso in considerazione tutti gli elementi.

Includere informazioni su chi contattare quando gli utenti hanno domande o problemi tecnici.

Le domande frequenti e gli esempi sono particolarmente utili per la documentazione degli utenti.

Elenco di controllo: quando si preparano la documentazione e il training degli utenti, le decisioni e le azioni principali includono:

Supporto per gli utenti

È importante verificare chi sarà responsabile del supporto utente. È comune che l'uso di Defender for Cloud Apps per monitorare Power BI venga eseguito da un help desk IT centralizzato.

Potrebbe essere necessario creare la documentazione per l'help desk e condurre alcune sessioni di trasferimento delle conoscenze per garantirei che l'help desk sia preparato a rispondere alle richieste di supporto.

Elenco di controllo: quando ci si prepara per la funzione di supporto degli utenti, le decisioni e le azioni principali includono:

Riepilogo dell'implementazione

Dopo aver preso le decisioni e aver preparato un piano di implementazione, è il momento di avviare l'implementazione.

Se si intende usare criteri in tempo reale (criteri di sessione o criteri di accesso), la prima operazione consiste nel configurare il controllo app per l'accesso condizionale di Microsoft Entra. È necessario configurare il servizio Power BI come app di catalogo che verrà controllata da Defender for Cloud Apps.

Quando viene configurato e testato il controllo app per l'accesso condizionale di Microsoft Entra, è possibile creare criteri in Defender for Cloud Apps.

L'elenco di controllo seguente include un elenco riepilogato dei passaggi di implementazione end-to-end. Molti dei passaggi includono altri dettagli illustrati nelle sezioni precedenti di questo articolo.

Elenco di controllo: quando si implementa Defender for Cloud Apps con Power BI, le decisioni chiave e le azioni includono:

Per informazioni più specifiche sulla distribuzione di Power BI come applicazione di catalogo in Defender for Cloud Apps, vedere la procedura per distribuire le app di catalogo.

Monitoraggio continuo

Dopo aver completato l'implementazione, è necessario indirizzare l'attenzione al monitoraggio, all'applicazione e alla modifica dei criteri di Defender for Cloud Apps in base all'utilizzo.

Gli amministratori e gli amministratori di sicurezza e conformità di Power BI dovranno collaborare occasionalmente. Per il contenuto di Power BI sono disponibili due gruppi di destinatari per il monitoraggio.

• Amministratori di Power BI: oltre agli avvisi generati da Defender for Cloud Apps, le attività del log attività di Power BI vengono visualizzate anche nel portale di Defender for Cloud Apps.
• Amministratori di sicurezza e conformità: gli amministratori di sicurezza e conformità dell'organizzazione useranno in genere gli avvisi di Defender for Cloud Apps.

È possibile fornire agli amministratori di Power BI una visualizzazione limitata in Defender for Cloud Apps. Usa un ruolo con ambito per visualizzare il log attività, gli eventi di accesso e gli eventi correlati al servizio Power BI. Questa funzionalità è utile per gli amministratori di Power BI.

Elenco di controllo: quando si monitora Defender for Cloud Apps, le decisioni e le azioni principali includono:

Contenuto correlato

Nell'articolo successivo di questa serie saranno fornite informazioni sul controllo per la protezione delle informazioni e la prevenzione della perdita dei dati per Power BI.