Recomendações de etiquetagem automática baseadas no cliente para conformidade do Governo Australiano com o PSPF

Este artigo fornece orientações para organizações do Governo Australiano sobre capacidades de etiquetagem automática de confidencialidade baseadas no cliente. O seu objetivo é demonstrar como a etiquetagem automática pode ajudar a melhorar a postura de segurança de dados, ao mesmo tempo que cumpre os requisitos descritos no Framework de Políticas de Segurança De Proteção (PSPF) e no Manual de Segurança de Informações (ISM).

Detalhes da descrição geral da etiquetagem automática em que a etiquetagem automática é adequada num ambiente de trabalho moderno do Governo e reduz os riscos de segurança.

No contexto do Governo australiano, a etiquetagem automática baseada no cliente é útil para recomendar etiquetas com base em:

• Deteção de conteúdo confidencial
• Marcações aplicadas por organizações externas
• Marcações aplicadas por ferramentas não Microsoft
• Marcações históricas
• Marcas de parágrafo

A etiquetagem automática baseada no cliente é configurada diretamente na configuração de uma etiqueta de confidencialidade. Este método de etiquetagem automática aplica-se aos clientes do Office ou online e identifica interativamente conteúdos confidenciais, notifica o utilizador e, em seguida:

• Aplica automaticamente a etiqueta de confidencialidade relevante para os conteúdos mais confidenciais detetados num item; ou
• Recomenda ao utilizador que aplique a etiqueta.

O PSPF Policy 8 Requirement 2 e o ISM 0271 deixam claro que um utilizador deve ser responsável por aplicar classificações a itens em vez de um serviço automatizado. Por este motivo, a etiquetagem automática baseada no cliente deve ser configurada para fornecer apenas recomendações de utilizador:

No exemplo seguinte, o utilizador começou a escrever sobre o Project Budgerigar. A ação de etiquetagem automática baseada no cliente acionou a deteção do Tipo de Informação Confidencial (SIT). O resultado foi uma recomendação de etiquetagem automática baseada no cliente apresentada na parte superior do e-mail:

As ações de etiquetagem automática baseadas no cliente podem ser acionadas com base na deteção de SITs (incluindo SITs exatos de correspondência de dados) e classificadores treináveis. Também pode ser utilizada uma combinação de SITs e classificadores.

Cenários de etiquetagem automática com base no cliente para o Governo Australiano

A etiquetagem automática baseada no cliente ajuda a proteger informações confidenciais ao identificar itens sub-classificados. As informações de subclassificação representam um risco significativo para o Governo australiano. A etiquetagem automática baseada no cliente ajuda a garantir que a aplicação de etiqueta correta e os itens são marcados e protegidos adequadamente. A etiqueta correta garante que apenas é permitida a distribuição adequada das informações.

A classificação precisa ajuda a garantir que os princípios de necessidade de saber são mantidos e que o acesso às informações é restrito. Estes conceitos estão relacionados com o Requisito 2 da Política PSPF (Protective Security Policy Framework):

Recomendar etiquetas com base na deteção de conteúdo confidencial

Detetar conteúdo confidencial dinamicamente e recomendar que os utilizadores apliquem uma etiqueta e marcação adequadas ajuda a garantir a necessidade de saber. Também garante que existem proteções adequadas relevantes para a confidencialidade de um item. As recomendações de etiquetas continuam a garantir que a agência é mantida com o utilizador para tomar a decisão.

A etiquetagem automática baseada no cliente é utilizada para aumentar a sensibilidade do item, se necessário. Para o Governo australiano, os benefícios são vistos particularmente no topo da taxonomia de sensibilidade. Para etiquetas OFICIAIS Confidenciais e PROTEGIDAs (incluindo sub-etiquetas), as organizações devem compilar uma lista de SITs e alinhá-las com etiquetas adequadas. Por exemplo:

As estratégias descritas na tabela anterior também podem ser utilizadas para localizar e agir sobre informações confidenciais através de outras capacidades do Microsoft 365, tais como:

• Data Loss Prevention (DLP)
• Explorador de conteúdo
• Conformidade em comunicações
• Gerenciamento de risco interno

Recomendações baseadas em marcações de agências externas

Muitos dos controlos abordados neste documento são decretados com base nas etiquetas aplicadas aos itens. As informações geradas externamente podem ter marcas de proteção baseadas em texto, mas podem não ter etiquetas de confidencialidade relevantes para a sua organização aplicadas. O impacto disto pode ser o facto de os itens não estarem protegidos contra a perda de dados através de políticas DLP e os alertas podem não ser gerados quando os itens são guardados em localizações de menor confidencialidade.

As situações em que isto pode ocorrer incluem:

• Quando os itens são gerados por outras organizações governamentais que aderem ao PSPF. Nestas situações, as marcas e/ou etiquetas de entidades não serão alinhadas com as suas sem configuração.
• Quando os itens são gerados por outra organização governamental que não alinha ou apenas parcialmente com a estrutura PSPF (por exemplo, NSW Government).
• Quando os itens são gerados e classificados por governos estrangeiros que podem ou não ter equivalência de classificação australiana.

Para evitar a perda de informações geradas noutro local, mas da qual a sua organização é depositária, a etiquetagem automática baseada no cliente é utilizada para recomendar que as etiquetas equivalentes sejam aplicadas aos itens.

Estas configurações utilizam SITs para identificar marcas ou classificações aplicadas externamente. Em seguida, estes SITs têm de ser adicionados à configuração de etiquetagem automática das etiquetas de confidencialidade relevantes.

Alguns exemplos de onde os SITs podem ser utilizados para recomendar etiquetas com base em marcas aplicadas externamente incluem:

Recomendações baseadas em marcas aplicadas por ferramentas não Microsoft

Muitas organizações governamentais utilizaram, atualmente ou anteriormente, ferramentas que não são da Microsoft para aplicar marcações a ficheiros e e-mails. Estas ferramentas estão configuradas para aplicar uma ou mais das seguintes:

• X-Protective-Marking x-headers to email,
• Cabeçalhos e rodapés baseados em texto para e-mail e documentos,
• Marcações de e-mail baseadas no assunto; e/ou
• Metadados de ficheiro através das propriedades do documento.

Para organizações que transitam de ferramentas não Microsoft para capacidades nativas do Microsoft Purview, estas propriedades ou marcas existentes podem ser utilizadas para determinar que etiqueta de confidencialidade deve ser aplicada a um item.

A etiquetagem automática baseada no serviço não deteta conteúdos ou e-mails de etiquetas que residem nas caixas de correio dos utilizadores. A etiquetagem automática baseada no cliente é utilizada para garantir que as marcas aplicadas a itens pré-existentes são mantidas quando são reencaminhadas ou respondidas. Por exemplo, considere um e-mail PROTEGIDO pré-existente com uma marcação PROTECTED baseada em texto aplicada à mesma, mas sem etiqueta de confidencialidade. Quando um utilizador tenta reencaminhá-lo ou responder à mesma, a etiquetagem automática baseada no cliente pode identificar o item PROTEGIDO com base nas marcas existentes e, em seguida, recomendar que o utilizador aplique a etiqueta PROTECTED ao item.

As seguintes configurações de exemplo de etiquetagem automática baseada no cliente garantem que os itens que contêm uma marcação existente têm a etiqueta de confidencialidade correta aplicada. Estas configurações também identificam as marcas aplicadas anteriormente por uma ferramenta de classificação não Microsoft legada e marcações em itens gerados por organizações externas compatíveis com PSPF:

Recomendações baseadas em marcas históricas

Os requisitos de marcação governamental mudam periodicamente, como ocorreu em outubro de 2018, quando as marcações (por exemplo, CONFIDENCIAL e Apenas Para Utilização Oficial (FOUO)) foram descontinuadas. É provável que as organizações governamentais tenham uma quantidade significativa de informação a residir nos seus sistemas com estas marcações históricas aplicadas.

Normalmente, o processamento destas marcas históricas está fora do âmbito de quaisquer novas implementações do Microsoft Purview. No entanto, se a sua organização quiser colocar a marcação histórica no âmbito, as marcas históricas podem ser divididas em duas categorias; aqueles que têm um equivalente moderno e aqueles que não têm. Política PSPF 8 O Anexo E fornece uma lista completa de classificações e marcações históricas, juntamente com os seus requisitos de processamento atuais.

Uma opção fácil para marcas históricas alinhadas com um equivalente moderno é configurar a etiquetagem automática para recomendar a aplicação da etiqueta equivalente quando estes itens são modificados. Com esta configuração, a experiência do utilizador é:

1. Quando o utilizador abre e tenta responder ou reencaminhar um e-mail legado, a marcação histórica é detetada. É fornecida uma recomendação de etiqueta ao utilizador para o novo e-mail.
2. Quando o ficheiro legado é aberto, modificado e guardado por um utilizador, os clientes do Office detetam a marcação anterior e solicitam ao utilizador que aplique um equivalente moderno ao item antes de guardar.

As ações anteriores ajudam a garantir que os controlos adequados são aplicados a itens históricos.

Seguem-se exemplos de como os SITs baseados em marcas históricas podem ser configurados e utilizados com a etiquetagem automática baseada no cliente para sugerir uma etiqueta com base numa marcação histórica:

Os SITs e as políticas DLP devem ser configurados para marcar para marcações históricas e garantir que os controlos relevantes são aplicados a estes itens. Isto garante que o item com uma marcação histórica anexada a um e-mail e enviado externamente tem etiquetas modernas e controlos associados aplicados ao mesmo.

Recomendar etiquetas com base em marcas de parágrafo

Algumas organizações governamentais utilizam marcas de parágrafo em documentos. As recomendações para parágrafos são criadas com um conjunto de SITs para ajudar a identificar a sensibilidade que pode ser aplicada a um item com base nas marcas de parágrafo contidas. No entanto, a etiqueta do documento é agregada para a marcação mais alta.

Para tal, poderíamos utilizar:

• Um PALAVRA-CHAVE SIT a detetar a marcação de (O) parágrafo e a recomendar que a etiqueta OFICIAL seja aplicada quando detetada.
• Um PALAVRA-CHAVE CONFIDENCIAL OFICIAL detetar a marcação de (O:S) parágrafo e recomendar que a etiqueta OFICIAL seja aplicada quando detetada.
• Uma palavra-chave SIT PROTEGIDA a detetar a marcação de (P) parágrafo e a recomendar que a etiqueta PROTECTED seja aplicada quando detetada.
• Um SEGREDO palavra-chave SIT detetar a marcação de (S) parágrafo e recomendar que a etiqueta SECRET seja aplicada quando detetada.

A marcação SECRET SIT é um exemplo útil para identificar informações que não devem ser armazenadas na plataforma. A verificação de itens que contenham essas marcas pode permitir-lhe identificar ou impedir a violação de dados. Para obter mais informações sobre este conceito, consulte etiquetas para Informações que não devem ser colocadas no Microsoft 365.

Exemplo de configuração de etiquetagem automática baseada no cliente

Estes exemplos baseiam-se na utilização de SITs e classificadores para identificar marcas de proteção ou informações confidenciais. Depois de identificada, é recomendada uma etiqueta adequada ao utilizador. Estes exemplos são exemplos automáticos do Governo Australiano e as organizações devem trabalhar para desenvolver os seus próprios SITs para identificar informações específicas da organização: