Microsoft 365 / Quando utilizzare criteri di conservazione e prevenzione della perdita di dati (DLP)

I criteri di conservazione di Microsoft 365 stabiliscono per quanto tempo conservare i contenuti e quando eliminarli. I criteri di prevenzione della perdita dei dati (Data Loss Prevention, DLP) rilevano e limitano la condivisione o la trasmissione inappropriata di informazioni sensibili. Le due protezioni rispondono a domande diverse: per quanto tempo conservare i contenuti e dove consentirne la condivisione o l’invio?

Differenze tra conservazione e DLP

Consultare la guida Microsoft ai criteri e alle etichette di conservazione per i requisiti del ciclo di vita dei contenuti e la panoramica della prevenzione della perdita dei dati per i controlli delle informazioni sensibili. Le posizioni e le condizioni supportate dipendono dalla licenza e dal tipo di criterio.

Ad esempio, se si desidera conservare i materiali contrattuali per un periodo definito dalla propria organizzazione impedendone la condivisione esterna, possono essere necessarie sia la conservazione sia il DLP. Applicare solo la conservazione non impedisce la trasmissione esterna, e applicare solo il DLP non garantisce che i documenti cancellati dagli utenti vengano preservati per il periodo richiesto.

Quando è necessaria una politica di conservazione?

Si considera quando i documenti contrattuali o i registri di lavoro devono essere conservati per un periodo specifico, oppure quando i dati non necessari devono essere eliminati dopo un certo tempo. Per prima cosa, determinare lo scopo della conservazione, dove sarà applicata (Exchange, SharePoint, OneDrive, ecc.), il momento di inizio, le eccezioni e i requisiti legali di conservazione. Quando una politica di conservazione è abilitata, il modo in cui vengono gestite le copie interne di conservazione può differire anche se gli utenti eliminano i file dalla loro visualizzazione. Non dovrebbe essere intesa semplicemente come una “funzione di utilizzare il cestino più a lungo”.

Per applicare un periodo comune a tutto il sito, utilizza una policy di conservazione; se il periodo o la classificazione differisce per ogni documento, rivedi le etichette di conservazione a livello di elemento. Le etichette non sono solo semplici nomi visualizzati, ma impostazioni collegate ad azioni di conservazione. Avere solo un'etichetta di riservatezza su un documento non significa che sia stata applicata anche un'etichetta di conservazione.

La conservazione è diversa da un backup operativo. Una copia conservata non offre un ripristino immediato dello stato della struttura delle cartelle di un utente. Consulta come funziona la conservazione in SharePoint e OneDrive. La loro libreria Preservation Hold è una posizione di sistema nascosta per i contenuti conservati, non una cartella ordinaria da modificare o pulire manualmente. Essa conta ai fini della quota di archiviazione del sito, quindi pianifica sia la durata della conservazione sia la capacità di archiviazione.

Quando è necessario DLP?

Si considera necessario quando si vuole ridurre il rischio che informazioni sensibili come numeri di identificazione nazionale, informazioni di pagamento e dati riservati interni lascino l'organizzazione tramite email o condivisione di file. È necessario verificare se le condizioni di rilevamento distinguono accuratamente i dati reali. Condizioni troppo generiche possono bloccare le normali attività aziendali, mentre condizioni troppo restrittive possono far sfuggire perdite importanti. È necessario progettare suggerimenti per le policy, avvisi e procedure di approvazione delle eccezioni per l'operatività.

Definire le esigenze prima della distribuzione

1. Controlla i dati da proteggere e le leggi e contratti applicabili. I periodi di conservazione legali non sono definiti arbitrariamente in questo documento.
2. Distinguere se la domanda da risolvere è relativa alla conservazione o al DLP. Se sono richieste entrambe, rivedere le loro interazioni.
3. Controllare le licenze disponibili e le posizioni attualmente supportate di Microsoft Purview.
4. Controllare i risultati delle policy e i falsi positivi su un piccolo numero di utenti o in un ambito di test, e ottenere feedback dal personale aziendale, di sicurezza e legale.
5. Preparare registri delle modifiche, notifiche, eccezioni e procedure di rollback prima della piena distribuzione.

Configurare un progetto pilota di conservazione

In Microsoft Purview, aprire Soluzioni → Gestione del ciclo di vita dei dati → Politiche → Criteri di conservazione e selezionare Nuovo criterio di conservazione. Verificare le licenze degli utenti interessati e le autorizzazioni dell’amministratore, ad esempio il ruolo Retention Management descritto nella guida Microsoft alla configurazione della gestione del ciclo di vita dei dati. Controllare l’ambito amministrativo delle posizioni scelte. Usare una posizione di test dedicata senza dati di produzione importanti; non provare l’eliminazione su documenti aziendali reali.

1. Documentare lo scopo della conservazione, il tipo di dati, il periodo di conservazione, la motivazione e le persone responsabili. Il periodo deve seguire gli standard organizzativi confermati dal personale aziendale e legale.
2. Scegliere Statico per un elenco fisso di posizioni oppure Adattivo per una selezione basata sugli attributi. Gli ambiti adattivi devono già esistere e soddisfare i requisiti di funzionalità e licenze. Scegliere in base agli ambiti predisposti e alle esigenze del progetto pilota; non selezionare Adattivo automaticamente solo perché disponibile.
3. Determina le effettive posizioni di archiviazione come Exchange, SharePoint, OneDrive e gruppi di Microsoft 365, e includi solo gli obiettivi di test necessari. Controlla sempre se il valore predefinito è impostato su tutti gli obiettivi.
4. Scegli il comportamento solo conserva, solo elimina o conserva e poi elimina e la regola di inizio periodo applicabile. Per i file di SharePoint e OneDrive, verifica se l'età è misurata dalla creazione o dall'ultima modifica; non è necessariamente misurata dal giorno in cui crei la policy. I file esistenti potrebbero essere già più vecchi del periodo configurato. Conferma attentamente l'azione finale se il tuo obiettivo è la conservazione continua piuttosto che l'eliminazione permanente.
5. Esamina le posizioni, i destinatari o siti inclusi, la durata, la regola di inizio e l'azione finale, quindi conferma solo le impostazioni approvate. Controlla la configurazione salvata e lo stato di implementazione prima di valutare i dati di test. Registra il risultato previsto e i tempi effettivi di implementazione e osservazione.

I messaggi di Teams e i file dei canali sono archiviati in posizioni diverse. Un criterio di conservazione dei messaggi non conserva automaticamente tutti i file SharePoint o OneDrive collegati. Quando si applicano più criteri o etichette, non presumere che il più recente determini da solo il risultato. Consultare i requisiti delle posizioni e i principi di conservazione nella guida Microsoft alla creazione dei criteri di conservazione. La simulazione DLP non simula la conservazione o l’eliminazione: verificare la conservazione separatamente con contenuti isolati e le condizioni di distribuzione pertinenti.

Come testare DLP su piccola scala

Considerare questo requisito ipotetico: rilevare la condivisione esterna di documenti di test sensibili e bloccare l’accesso esterno dopo la convalida. Usare dati sintetici approvati anziché informazioni personali reali. Verificare le autorizzazioni necessarie nella guida di riferimento Microsoft alle autorizzazioni e impostazioni DLP; le autorizzazioni di gestione della conservazione non concedono da sole l’accesso alla gestione DLP. Un’etichetta di riservatezza usata come condizione deve essere già creata, pubblicata e applicata al file di test.

1. Aprire Prevenzione della perdita dei dati → Criteri → Crea criterio → Applicazioni aziendali & dispositivi. Per questo scenario SharePoint e OneDrive, scegliere Personalizzato negli elenchi Categorie e Regolamenti, quindi assegnare un nome e una descrizione. Mantenere disattivata l’applicazione effettiva delle regole di questo progetto pilota durante la configurazione.
2. Includi solo i siti SharePoint pilota e gli account OneDrive ed escludi posizioni e destinatari non correlati. Su Definisci impostazioni criteri, scegli Crea o personalizza regole DLP avanzate, quindi seleziona Crea regola. Imposta il tipo di informazioni sensibili desiderato o l'etichetta di riservatezza preparata e richiedi anche la condivisione esterna. Nell'esempio basato sull'etichetta, combina Il contenuto contiene l'etichetta selezionata con Contenuto condiviso da Microsoft 365 → con persone al di fuori della mia organizzazione; verifica che entrambe le condizioni debbano essere soddisfatte.
3. Per questo esempio, configura Limita l'accesso o crittografa il contenuto nelle posizioni di Microsoft 365 → Blocca solo le persone esterne alla tua organizzazione. Decidi separatamente suggerimenti di policy e avvisi per l'amministratore. Lascia Sostituzioni utente disattivate in modo che gli utenti non possano bypassare il blocco degli accessi esterni di questo pilota. Una notifica da sola non costituisce un blocco.
4. In Modalità criteri, seleziona Esegui i criteri in modalità di simulazione. Scegli se abilitare Mostra suggerimenti per i criteri in modalità di simulazione, quindi seleziona Avanti → Invia. La simulazione non applica i blocchi configurati.
5. Controllare i file di test che corrispondono alle condizioni e i file che non corrispondono, dividendoli in casi di condivisione interna ed esterna. Dopo aver esaminato le corrispondenze, le notifiche, i falsi positivi e gli effettivi impatti sul business, passare alla modalità di applicazione entro l'ambito approvato.

Il risultato previsto è rilevare la condivisione esterna del documento di test sensibile senza limitare inutilmente i documenti che non soddisfano le condizioni. La simulazione non dimostra che l’accesso sia bloccato. Dopo aver attivato l’applicazione delle regole del progetto pilota approvato, verificare che l’account esterno non possa accedere e che quello interno mantenga l’accesso previsto. L’account esterno deve disporre di un’autorizzazione di condivisione valida, per distinguere un blocco DLP dalla mancanza di permessi. Confrontare i risultati con l’esempio di configurazione DLP per SharePoint e OneDrive di Microsoft; il numero di avvisi da solo non dimostra il successo del test.

Modifica o ripristina le impostazioni con attenzione

Se i risultati del test DLP differiscono, inizia controllando l'obiettivo, la classificazione effettiva del file, le condizioni e la modalità. Se la conservazione differisce dalle aspettative, indaga su altre politiche di conservazione, etichette, requisiti di eDiscovery o custodia legale e stato di distribuzione. Invece di rimuovere semplicemente la politica per nascondere il problema, registra le impostazioni che l'hanno causato e modificale nell'ambito necessario.

Rimuovere un criterio non ripristina i contenuti eliminati definitivamente e non garantisce il recupero immediato di un accesso bloccato. Altri criteri, obblighi di conservazione, autorizzazioni di condivisione e tempi di distribuzione possono ancora determinare il risultato. Conservare la configurazione precedente, l’ambito del progetto pilota e le osservazioni prima di effettuare modifiche. Non ridurre i periodi di conservazione obbligatori né revocare i vincoli di conservazione legali o di eDiscovery senza una decisione approvata dall’organizzazione e un piano di recupero.