Planeación de la implementación de Power BI: auditoría de la protección de la información y la prevención de pérdida de datos para Power BI

Nota

Este artículo forma parte de la serie de artículos sobre el planeamiento de la implementación de Power BI. Esta serie se centra principalmente en la experiencia de Power BI en Microsoft Fabric. Para obtener una introducción a la serie, consulte el planeamiento de la implementación de Power BI.

En este artículo se describe el tipo de auditoría que puede hacer después de implementar la protección de la información y la prevención de pérdida de datos (DLP). Dirigido a:

• Administradores de Power BI: los administradores responsables de supervisar Power BI en la organización. Los administradores de Power BI necesitan colaborar con el equipo de seguridad de la información y otros equipos relevantes.
• Centro de excelencia, equipos de TI y BI: otros equipos que son responsables de supervisar Power BI en la organización. Es posible que necesiten colaborar con administradores de Power BI, equipos de seguridad de la información y otros equipos pertinentes.

Es importante comprender cómo se usa la protección de la información y la prevención de pérdida de datos en su organización. Para ello, haga la auditoría, lo que puede hacer lo siguiente:

• Seguimiento de patrones de uso, actividades y adopción
• Compatibilidad con los requisitos de la gobernanza y la seguridad
• Búsqueda de problemas de incumplimiento con los requisitos específicos
• Documentación de la configuración actual
• Identificar las oportunidades de aprendizaje y educación de los usuarios

Lista de comprobación: al considerar la auditoría de la protección de la información y la prevención de pérdida de datos, entre las decisiones clave y las acciones se incluye lo siguiente:

• Decidir qué es lo más importante que auditar: tenga en cuenta qué es lo más importante desde una perspectiva de auditoría. Priorice las áreas de riesgo, las principales ineficiencias o el incumplimiento de los requisitos normativos. Cuando surge una situación que podría mejorarse, instruya a los usuarios sobre las maneras adecuadas de realizar acciones.
• Implementar los procesos de auditoría pertinentes: implemente los procesos para extraer, integrar, modelar y crear informes para que se pueda hacer la auditoría.
• Tomar las medidas adecuadas: con la información obtenida de los procesos de auditoría, asegúrese de que alguien tiene la autoridad y el tiempo necesarios para tomar las medidas adecuadas. En función de la situación, podría implicar ajustar qué etiquetas de confidencialidad se asignan al contenido. Otras situaciones pueden implicar la formación o educación del usuario.

En el resto de este artículo se describen sugerencias y procesos de auditoría útiles.

Registro de actividad de Power BI

Para ayudar con la protección de la información, puede usar el registro de actividad de Power BI para hacer un seguimiento de las actividades relacionadas con las etiquetas de confidencialidad.

Una vez implementado DLP para Power BI, el registro de actividad hace un seguimiento cuando hay una coincidencia de la regla de DLP.

• Qué buscar: puede determinar cuándo se producen actividades específicas, como:
  • Las etiquetas de confidencialidad se aplicaron, cambiaron, eliminaron y qué usuarios lo hicieron
  • Si las etiquetas se aplicaron manualmente
  • Si las etiquetas se aplicaron automáticamente (por ejemplo, por herencia o una canalización de implementación)
  • Si se actualizó una etiqueta modificada (a una etiqueta más confidencial) o se cambió (a una etiqueta menos confidencial)
  • La frecuencia con la que se desencadenan los eventos de DLP, dónde y qué usuarios lo hacen
• Medidas que tomar: asegúrese de que un administrador extraiga periódicamente los datos del registro de actividad que tenga permiso para extraer los metadatos del inquilino. Determine cómo clasificar las actividades para satisfacer sus necesidades de auditoría. Algunas actividades podrían justificar la revisión por parte de un administrador o propietario de contenido (por ejemplo, cuando se elimina una etiqueta). Otras actividades podrían justificar la inclusión en revisiones de auditoría periódicas (por ejemplo, cuando se degradan las etiquetas o cuando se producen coincidencias de las reglas de DLP).
• Ubicación de estos datos: los administradores de Power BI pueden usar el registro de actividad de Power BI para ver las actividades relacionadas con el contenido de Power BI. Como alternativa, en Defender for Cloud Apps, puede conceder a los administradores de Power BI una vista limitada para que puedan ver eventos de registro de actividad, eventos de inicio de sesión y otros eventos relacionados con el servicio Power BI.

Métricas de protección de Power BI

El informe de métricas de protección de datos es un informe dedicado en el portal de administración de Power BI. Resume cómo se asignan las etiquetas de confidencialidad al contenido del inquilino de Power BI.

• Qué buscar: puede hacerse una idea rápidamente de la frecuencia con la que se aplican las etiquetas de confidencialidad a cada tipo de elemento (por ejemplo, modelo semántico o informe) en el servicio Power BI.
• Medidas que tomar: revise este informe para familiarizarse con la cantidad de contenido a la que no se le ha aplicado una etiqueta.
• Ubicación de estos datos: los administradores de Power BI pueden encontrar el informe de métricas de protección de datos en el portal de administración de Power BI.

Sugerencia

El informe de métricas de protección de datos es un informe de resumen. También puede usar las API del examinador, que se describen en la sección siguiente, para hacer un análisis más profundo.

API del examinador de Power BI

Las API del examinador de Power BI permiten examinar los metadatos del inquilino de Power BI. Los metadatos de los elementos de Power BI, como los modelos semántico y los informes, pueden ayudar a supervisar y revisar la actividad del usuario de autoservicio.

Por ejemplo, podría detectar que el contenido de un área de trabajo financiera se ha asignado a tres etiquetas de confidencialidad diferentes. Si alguna de estas etiquetas no es adecuada para los datos financieros, puede aplicar etiquetas más adecuadas.

• Qué buscar: puede crear un inventario de elementos de Power BI en el inquilino, incluida la etiqueta de confidencialidad de cada elemento.
• Medidas que tomar: cree un proceso para examinar el inquilino de manera semanal o mensual. Use los metadatos recuperados por las API del examinador para comprender cómo se ha etiquetado el contenido de Power BI. Investigue de manera más exhaustiva si observa que algunas etiquetas no cumplen las expectativas del área de trabajo. Correlacione los metadatos de las API del examinador con eventos del registro de actividad de Power BI para determinar cuándo se aplicó, cambió o eliminó una etiqueta de confidencialidad y qué usuario lo hizo.
• Ubicación de estos datos: los administradores de Power BI pueden usar las API del examinador de Power BI para recuperar una instantánea de las etiquetas de confidencialidad aplicadas a todo el contenido de Power BI. Si prefiere crear sus propios informes de inventario, escriba scripts para poder usar las API directamente. Como alternativa, puede usar las API indirectamente mediante el registro de Power BI en el Mapa de datos de Microsoft Purview (que usa las API del examinador de Power BI para examinar el inquilino de Power BI).

Explorador de actividades de Microsoft Purview

El explorador de actividades del portal de cumplimiento de Microsoft Purview agrega datos de auditoría útiles. Estos datos pueden ayudar a comprender las actividades en las aplicaciones y los servicios.

Sugerencia

El explorador de actividades expone solo determinados tipos de eventos de Power BI. Planee usar tanto el registro de actividad de Power BI como el explorador de actividades para ver los eventos.

• Qué buscar: puede usar el explorador de actividades para ver la actividad de etiquetas de confidencialidad de varias aplicaciones, como Teams, SharePoint Online, OneDrive, Exchange Online y Power BI. También es posible ver qué usuario leyó un archivo, cuándo y dónde lo leyó. Determinados tipos de eventos de la directiva de DLP también se muestran en el explorador de actividades. Cuando se ofrece una justificación para explicar un cambio de etiqueta de confidencialidad, puede ver el motivo en el explorador de actividades.
• Medidas que tomar: revise periódicamente los eventos del explorador de actividades para identificar si hay áreas de preocupación o eventos que justifican una investigación más exhaustiva. Algunos eventos podrían justificar la revisión por parte de un administrador o propietario de contenido (por ejemplo, cuando se quita una etiqueta). Otros eventos podrían justificar la inclusión en las revisiones de auditoría periódicas (por ejemplo, cuando las etiquetas se degradan).
• Ubicación de estos datos: los administradores de Microsoft 365 pueden usar el explorador de actividades en el portal de cumplimiento de Microsoft Purview para ver todas las actividades de etiquetas de confidencialidad.

Explorador de contenido de Microsoft Purview

El explorador de contenido del portal de cumplimiento de Microsoft Purview proporciona una instantánea de dónde se encuentra información confidencial en un amplio espectro de aplicaciones y servicios.

Sugerencia

No es posible ver archivos (.pbix) de Power BI Desktop en el explorador de contenido. Sin embargo, puede usar el explorador de contenido para ver determinados tipos de archivos admitidos que se exportaron desde el servicio Power BI, como archivos de Excel.

• Qué buscar: puede usar el explorador de contenido para determinar qué datos confidenciales se encuentran en varias ubicaciones, como Teams, SharePoint Online, OneDrive y Exchange Online.
• Medidas que tomar: revise el explorador de contenido cuando necesite comprender qué contenido existe y dónde reside. Use esta información para evaluar las decisiones que ha tomado y si se deben tomar otras medidas.
• Ubicación de estos datos: los administradores de Microsoft 365 pueden usar el explorador de contenido en el portal de cumplimiento de Microsoft Purview para buscar dónde residen los datos confidenciales actualmente.

Contenido relacionado

Para más consideraciones, acciones, criterios de toma de decisiones y recomendaciones para ayudarle con las decisiones de implementación de Power BI, consulte las áreas temáticas de planificación de la implementación de Power BI.