Compartilhar via

Planejar o gerenciamento de riscos internos

  • Artigo

Importante

Gerenciamento de Risco Interno do Microsoft Purview correlaciona vários sinais para identificar potenciais riscos internos maliciosos ou inadvertidos, como roubo de IP, fuga de dados e violações de segurança. A gestão de riscos internos permite que os clientes criem políticas para gerir a segurança e a conformidade. Criados com privacidade por predefinição, os utilizadores são pseudonimizados por predefinição e os controlos de acesso baseados em funções e os registos de auditoria estão implementados para ajudar a garantir a privacidade ao nível do utilizador.

Antes de começar a utilizar a gestão de riscos internos na sua organização, existem importantes atividades de planeamento e considerações que devem ser revistas pelas suas equipas de gestão de conformidade e tecnologias de informação. Compreender e planear exaustivamente a implementação nas seguintes áreas ajudará a garantir que a sua implementação e utilização de funcionalidades de gestão de riscos internos corre sem problemas e está alinhada com as melhores práticas.

Para obter mais informações e uma descrição geral do processo de planeamento para lidar com atividades de risco na sua organização, consulte Iniciar um programa de gestão de riscos internos.

Veja o vídeo abaixo para saber como o fluxo de trabalho de gestão de riscos internos pode ajudar a sua organização a prevenir, detetar e conter riscos ao atribuir prioridades aos valores, cultura e experiência do utilizador da sua organização:

Veja o vídeo da Microsoft Mechanics sobre como a gestão de riscos internos e a conformidade de comunicação funcionam em conjunto para ajudar a minimizar os riscos de dados dos utilizadores na sua organização.

Dica

Se você não é um cliente E5, use a avaliação das soluções do Microsoft Purview de 90 dias para explorar como os recursos adicionais do Purview podem ajudar sua organização a gerenciar as necessidades de segurança e conformidade de dados. Comece agora no hub de avaliações do Microsoft Purview. Saiba mais detalhes sobre os termos de inscrição e avaliação.

Trabalhar com intervenientes na sua organização

Identifique os intervenientes adequados na sua organização para colaborar para efetuar ações em alertas e casos de gestão de riscos internos. Alguns intervenientes recomendados a considerar, incluindo no planeamento inicial e no fluxo de trabalho de gestão de riscos internos ponto a ponto, são pessoas das seguintes áreas da sua organização:

  • Tecnologias de informação
  • Conformidade
  • Privacidade
  • Segurança
  • Recursos humanos
  • Jurídico

Determinar quaisquer requisitos de conformidade regionais

Diferentes áreas geográficas e organizacionais podem ter requisitos de conformidade e privacidade diferentes das outras áreas da sua organização. Trabalhe com os intervenientes nestas áreas para garantir que compreendem os controlos de conformidade e privacidade na gestão de riscos internos e como devem ser utilizados em diferentes áreas da sua organização. Em alguns cenários, os requisitos de conformidade e privacidade podem exigir políticas que designem ou restringem alguns intervenientes de investigações e casos com base no caso de um utilizador ou requisitos regulamentares ou de política para a área.

Se tiver requisitos para que intervenientes específicos estejam envolvidos em investigações de casos que envolvam utilizadores em determinadas regiões, funções ou divisões, poderá querer implementar políticas de gestão de riscos internos separadas (mesmo que idênticas) direcionadas para as diferentes regiões e populações. Esta configuração torna mais fácil para os intervenientes certos fazerem a triagem e gerirem casos relevantes para as respetivas funções e regiões. Pode considerar criar processos e políticas para regiões onde os investigadores e revisores falam o mesmo idioma que os utilizadores, o que pode ajudar a simplificar o processo de escalamento para alertas e casos de gestão de riscos internos.

Planear permissões para suportar o fluxo de trabalho de revisão e investigação

Consoante a forma como pretende gerir alertas e políticas de gestão de riscos internos, terá de atribuir utilizadores a grupos de funções específicos para gerir diferentes conjuntos de funcionalidades de gestão de riscos internos. Tem a opção de atribuir utilizadores com diferentes responsabilidades de conformidade a grupos de funções específicos para gerir diferentes áreas de funcionalidades de gestão de riscos internos. Em alternativa, pode optar por atribuir todas as contas de utilizador para administradores designados, analistas, investigadores e visualizadores ao grupo de funções Gestão de Riscos Internos. Para obter mais informações, consulte Introdução ao gerenciamento de riscos internos.

Compreender os requisitos e as dependências

Consoante a forma como planeia implementar políticas de gestão de riscos internos, tem de ter as subscrições de licenciamento adequadas do Microsoft 365 e compreender e planear alguns pré-requisitos da solução.

Licenciamento: A gestão de riscos internos está disponível como parte de uma vasta seleção de subscrições de licenciamento do Microsoft 365. Para obter detalhes, veja o artigo Introdução à gestão de riscos internos .

Importante

Atualmente, a gestão de riscos internos está disponível em inquilinos alojados em regiões geográficas e países suportados pelas dependências de serviço do Azure. Para verificar se a gestão de riscos internos é suportada para a sua organização, veja Disponibilidade das dependências do Azure por país/região.

Se não tiver um plano Microsoft 365 Enterprise E5 existente e quiser experimentar a gestão de riscos internos, pode adicionar o Microsoft 365 à sua subscrição existente ou inscrever-se numa avaliação do Microsoft 365 Enterprise E5.

Requisitos do modelo de política: Consoante o modelo de política que escolher, tem de ter a certeza de que compreende os seguintes requisitos e planos em conformidade antes de configurar a gestão de riscos internos na sua organização:

  • Ao utilizar o modelo Roubo de dados ao partir do modelo de utilizadores , tem de configurar um conector de RH do Microsoft 365 para importar periodicamente informações de data de demissão e de cessação para os utilizadores na sua organização. Veja o artigo Importar dados com o conector de RH para obter orientações passo a passo para configurar o conector de RH do Microsoft 365.
  • Ao utilizar o modelo Fugas de dados, tem de configurar, pelo menos, uma política de Prevenção Contra Perda de Dados do Microsoft Purview (DLP) para definir informações confidenciais na sua organização e para receber alertas de risco interno para alertas de política DLP de Alta Gravidade. Veja o artigo Criar e Implementar políticas de prevenção de perda de dados para obter orientações passo a passo para configurar políticas DLP.
  • Ao utilizar o modelo violação da política de segurança, tem de ativar Microsoft Defender para Ponto de Extremidade para a integração da gestão de riscos internos no Centro de Segurança do Defender para importar alertas de violação de segurança. Para obter orientações passo a passo para ativar a integração do Defender para Endpoint com a gestão de riscos internos, veja Configurar funcionalidades avançadas no Microsoft Defender para Ponto de Extremidade.
  • Ao utilizar o modelo de utilizador De risco, tem de configurar um conector de RH do Microsoft 365 para importar periodicamente o desempenho ou despromoção status informações para os utilizadores na sua organização. Veja o artigo Importar dados com o conector de RH para obter orientações passo a passo para configurar o conector de RH do Microsoft 365.

Testar com um pequeno grupo de utilizadores num ambiente de produção

Antes de ativar esta solução amplamente no seu ambiente de produção, deve considerar testar as políticas com um pequeno conjunto de utilizadores de produção para as revisões legais, privacidade e conformidade necessárias na sua organização. Avaliar a gestão de riscos internos num ambiente de teste requer que gere ações simuladas do utilizador e outros sinais para criar alertas para triagem e casos para processamento. Esta abordagem pode não ser prática para muitas organizações, pelo que recomendamos que teste a gestão de riscos internos com um pequeno grupo de utilizadores num ambiente de produção.

Mantenha a funcionalidade de anonimização nas definições de política ativada para tornar anónimos os nomes a apresentar dos utilizadores no console de gerenciamento de risco interno durante este teste para manter a privacidade na ferramenta. Esta definição ajuda a proteger a privacidade dos utilizadores que têm correspondências de políticas e pode ajudar a promover a objectividade na investigação de dados e análises de alertas de risco interno.

Se não vir nenhum alerta imediatamente após configurar uma política de gestão de riscos internos, tal poderá significar que o limiar de risco mínimo ainda não foi atingido. Verifique a página Utilizadores para verificar se a política está acionada e a funcionar conforme esperado e para ver se os utilizadores estão no âmbito da política.

Migrar entre o Microsoft 365 US Government Cloud e a cloud comercial

Se migrar a sua organização da Cloud do Microsoft 365 US Government para a cloud comercial mundial ou da cloud comercial mundial para a Cloud governamental, os alertas e os casos ativos não serão migrados. Feche quaisquer alertas e casos antes de iniciar a migração.

Recursos para intervenientes

Partilhe a documentação de gestão de riscos internos com os intervenientes na sua organização que estão incluídos no fluxo de trabalho de gestão e remediação:

Pronto para começar?

Está pronto para configurar a gestão de riscos internos para a sua organização? Nós recomendamos que você leia os artigos a seguir: