Conditions requises pour le mappage des fonctionnalités Microsoft 365 pour la conformité du gouvernement australien avec PSPF
Cet article est un élément clé du guide de Information Protection du gouvernement australien. Il répertorie les exigences du Framework de stratégie de sécurité de protection, du Manuel de sécurité des informations (ISM) etde la norme de métadonnées de conservation des enregistrements du gouvernement australien (AGRkMS). Il fournit également des conseils sur la façon dont Microsoft Purview et d’autres fonctionnalités de Microsoft 365 peuvent répondre aux exigences indiquées et fournit des liens vers d’autres sections du guide où ces fonctionnalités sont abordées plus en détail. L’article fournit également des conseils sur les infrastructures gouvernementales des États, telles que le Victorian Government Victorian Protective Data Security Framework (VPDSF).
Infrastructure de stratégie de sécurité de protection
Le Protective Security Policy Framework (PSPF) est un ensemble de stratégies conçues pour aider les entités gouvernementales australiennes à protéger leurs personnes, leurs informations et leurs biens. Le F PSPF décrit les exigences pour que les entités atteignent les résultats de protection souhaités du gouvernement en matière de sécurité.
Pour plus d’informations sur PSPF, consultez Protection Security Policy Framework.
Les stratégies PSPF qui sont étroitement liées aux configurations Protection des données Microsoft Purview sont les suivantes :
La clé pour comprendre l’application PSPF aux services de messagerie est politique PSPF 8 Annexe F : Australian Government Email Protective Marquage Standard, qui est référencée dans ce document.
Le FSPP comprend un mécanisme de création de rapports qui permet aux organisations de rendre compte de leur niveau de maturité dans les différentes politiques du FSPP. L’objectif est que ce guide permet aux organisations ayant de faibles niveaux de maturité d’améliorer leur maturité politique 8 et stratégie 9 en niveaux « Gestion » ou « Incorporé » avec un effort réduit. Pour plus d’informations sur les niveaux de maturité du PSPF, consultez : Rapport d’évaluation du framework de stratégie de sécurité de protection 2022-2023
Politique 8 du PSPF : informations sensibles et classifiées
Les exigences sont basées sur les exigences de la stratégie 8 du PSPF V2018.8 (mise à jour le 30 août 2023).
La politique 8 du PSPF explique comment les entités évaluent correctement la confidentialité ou la classification de sécurité de leurs informations et adoptent des dispositions de marquage, de traitement, de stockage et d’élimination qui protègent contre la compromission de l’information.
Cette stratégie est divisée en exigences principales et de prise en charge. Les commentaires sur les fonctionnalités de Microsoft 365 qui s’alignent sur les exigences et les liens vers les instructions pertinentes sur ce site sont fournis dans le tableau suivant. La stratégie peut également être lue dans son intégralité dans la stratégie 8 du PSPF : Informations sensibles et classifiées.
Exigence de base A et exigence de soutien 1 : Identification des fonds d’information
| Fonctionnalité de la solution | Section |
|---|---|
| Exiger que les utilisateurs identifient la sensibilité des éléments (fichiers et e-mails) via des étiquettes de confidentialité. |
Étiquetage de l’expérience cliente Étiquetage par défaut Intégration pdf de l’étiquetage de confidentialité |
| Appliquez des marquages de protection aux emplacements (Sites et Teams) et appliquez des protections aux emplacements marqués. | Configuration des sites et des groupes d’étiquettes de confidentialité |
| Définissez la sensibilité des réunions et implémentez les contrôles opérationnels associés. | Étiquetage de confidentialité pour les éléments de calendrier et les réunions d’équipe |
| Exiger que les utilisateurs identifient la sensibilité des espaces de travail Power BI via des étiquettes de confidentialité. | Intégration de power BI et de données |
| Appliquez des étiquettes aux informations sensibles résidant dans les systèmes de base de données. | Ressources de données schématisées |
| Appliquez des en-têtes d’e-mail, qui peuvent être utilisés pour identifier la sensibilité des éléments entrants et appliquer les contrôles appropriés. | Étiquetage des e-mails pendant le transport |
Exigence de base B et exigence de prise en charge 2 : évaluation des informations sensibles et classifiées de sécurité
| Fonctionnalité de la solution | Section |
|---|---|
| Donnez aux utilisateurs la possibilité d’évaluer la valeur, l’importance et la sensibilité des éléments lors de la sélection d’une étiquette de confidentialité. | Étiquetage par défaut |
| Guidez les utilisateurs dans l’évaluation de la sensibilité des éléments par le biais de boîtes de dialogue contextuelles contenant des descriptions d’étiquette, visibles lors de la sélection de l’étiquette. | Description de l'étiquette pour les utilisateurs |
| Permet de configurer un organization lien En savoir plus spécifique accessible à partir du menu de sélection des étiquettes et peut fournir aux utilisateurs des conseils supplémentaires sur les étiquettes appropriées pour les types d’informations. | Page d’aide personnalisée |
| Aide les utilisateurs à évaluer les fonds d’information en détectant les éléments sous-classifiés et en recommandant une réévaluation, le cas échéant. | Recommandations d’étiquettes en fonction de la détection de contenu sensible |
| Aide à l’évaluation des informations en identifiant les données sensibles qui sont extraites ou qui existent dans des applications de base de données ou des plateformes similaires. | Correspondance exacte des données entre les types d’informations sensibles |
| Aidez à l’évaluation des informations en utilisant le Machine Learning pour identifier les éléments qui seraient généralement considérés comme sensibles. | Classifieurs avec capacité d’apprentissage |
| Aider les utilisateurs à évaluer les fonds d’informations en recommandant des étiquettes qui s’alignent sur les marquages appliqués par des organisations externes. | Recommandations basées sur les marquages des agences externes |
| Aider les utilisateurs à évaluer les fonds d’information en recommandant des étiquettes qui s’alignent sur les marquages historiques. |
Recommandations basées sur les marquages historiques Étiquetage automatique des éléments avec des classifications de sécurité historiques |
| Aider les utilisateurs à évaluer les fonds d’informations en recommandant des étiquettes qui s’alignent sur les marquages appliqués par des solutions de classification non-Microsoft. | Recommandations basées sur les marquages appliqués par des outils non-Microsoft |
| Aide à l’évaluation des informations en fournissant des notifications visuelles aux utilisateurs via un conseil de stratégie DLP lorsque des informations sensibles sont détectées dans un élément. | Conseils de stratégie DLP avant la violation |
| Identifiez les informations sensibles résidant dans les systèmes de base de données, étiquetez les informations en place et autorisez l’héritage de l’étiquette sur les systèmes en aval. |
Power BI et Azure Purview Carte de données Microsoft Purview |
Exigence de base C : Mettre en œuvre des contrôles opérationnels pour ces fonds d’information proportionnels à leur valeur, à leur importance et à leur sensibilité
| Fonctionnalité de la solution | Section |
|---|---|
| Empêchez la distribution inappropriée d’informations classifiées de sécurité à l’aide de stratégies de protection contre la perte de données (DLP) basées sur des étiquettes de confidentialité. | Protection des informations classifiées |
| Empêchez la distribution inappropriée d’informations sensibles à l’aide de stratégies de protection contre la perte de données (DLP) ciblant le contenu sensible. | Protection des informations sensibles |
| Fournissez des marquages visuels sur des éléments individuels qui reflètent la classification de sécurité appliquée aux informations au sein de l’élément. | Marquage du contenu de l’étiquette de confidentialité |
| Fournissez des marquages visuels qui reflètent le niveau de sensibilité le plus élevé qui doit exister dans un emplacement (site ou équipe). | Emplacement sharepoint et sensibilité des éléments |
| Configurez les paramètres de confidentialité de l’emplacement en fonction de la sensibilité appliquée à l’emplacement. | Paramètres de confidentialité des étiquettes |
| Activez ou désactivez l’accès invité à un emplacement et aux éléments d’un emplacement en fonction de l’étiquette des emplacements appliqués. | Configuration de l’accès invité |
| Contrôlez la configuration du partage Microsoft 365 pour un emplacement sharePoint (site ou équipe) en fonction de l’étiquette appliquée à l’emplacement. | Configuration du partage d’étiquettes |
| Fournir des notifications et des alertes à l’utilisateur pour les éléments hautement sensibles situés dans des emplacements moins sensibles. | Alertes de données non locales |
| Configurez d’autres exigences pour l’accès à des emplacements hautement sensibles (sites ou Teams). Par exemple, à partir d’appareils non gérés, d’appareils non sécurisés ou d’emplacements inconnus. |
Accès conditionnel Contexte d’authentification Protection des informations classifiées Contrôle du partage par le biais d’une protection adaptative |
| Chiffrez les éléments hautement sensibles pour empêcher l’accès des utilisateurs non autorisés, quel que soit l’emplacement d’un élément. | Chiffrement des étiquettes de confidentialité |
| Configurez des restrictions d’accès et d’utilisation pour des groupes d’utilisateurs internes ou d’invités. | Allocation d’autorisations de chiffrement d’étiquette |
| Limiter le déplacement des éléments classifiés de sécurité et/ou de leurs informations contenues aux emplacements où l’accès ou la distribution supplémentaire de leurs informations jointes ne peuvent pas être contrôlés. |
Empêcher le téléchargement ou l’impression d’éléments classifiés de sécurité Empêcher le chargement d’éléments classifiés de sécurité vers des emplacements non gérés |
Exigences de prise en charge
Exigence 1 : Identification des avoirs d’information
Il n’existe aucune exigence de prise en charge supplémentaire au-delà des exigences de base.
Condition 2 : Évaluation des informations sensibles et classifiées de sécurité
Il n’existe aucune exigence de prise en charge supplémentaire au-delà des exigences de base.
Condition requise 3 : Déclassification
| Fonctionnalité de la solution | Section |
|---|---|
| Enregistrez une piste auditable de toutes les activités liées aux étiquettes, y compris la suppression ou l’abaissement des étiquettes de confidentialité appliquées. Enregistrer les activités de modification de l’étiquette, y compris l’utilisateur qui a apporté la modification et sa justification. |
Justification du changement d’étiquette Journal d’audit |
| Appliquez le chiffrement aux éléments qui limitent la capacité interne ou invité à modifier des éléments, en conservant l’élément et en appliquant le marquage/la classification. | Allocation d’autorisations de chiffrement d’étiquette |
| Verrouillage des éléments en place pour empêcher toute modification d’élément, y compris la possibilité de modifier l’étiquette de confidentialité appliquée. | Approche « verrou » de l’étiquette |
| Signaler les utilisateurs qui effectuent des activités considérées comme risquées pour la sécurité de l’information, y compris les séquences de rétrogradation et d’exfiltration des étiquettes. |
Approche basée sur les risques de l’utilisateur Surveillance du partage par le biais de la gestion des risques internes Contrôle du partage par le biais d’une protection adaptative |
| Implémentez des stratégies DLP pour détecter les marquages de protection dans les éléments alerte si l’étiquette actuellement appliquée est inférieure au marquage identifié. | Implications sur la rétrogradation des étiquettes malveillantes |
Condition requise 4 : Informations de marquage
| Fonctionnalité de la solution | Section |
|---|---|
| Les clients Office fournissent une identification claire de la sensibilité d’un élément par le biais de marquages d’étiquettes basés sur le client. | Étiquetage de l’expérience cliente |
| Appliquez des marquages de protection textuels pour marquer les informations sensibles et classifiées en matière de sécurité. |
Marquage du contenu de l’étiquette de confidentialité Stratégies de marquage des informations |
| Appliquer des marquages codés en couleur pour aider les utilisateurs à identifier la sensibilité. | Couleur de l’étiquette |
| Appliquer des marquages de protection par le biais de métadonnées d’e-mail (x-headers). | Application d’en-têtes x-protective-marking via une stratégie DLP |
| Appliquer des marquages de protection via l’objet de l’e-mail. | Application de marquages d’e-mail basés sur l’objet |
| Appliquez des marquages à des emplacements, tels que des sites ou Teams. Ces marquages identifient le niveau de sensibilité d’élément le plus élevé qui doit exister à l’emplacement/conteneur. | Alertes de données hors site |
| Identifiez clairement la sensibilité des éléments aux utilisateurs lorsqu’ils travaillent dans des répertoires SharePoint (sites, Teams ou OneDrive). | Emplacement SharePoint et sensibilité des éléments |
Condition requise 5 : Utilisation de métadonnées pour marquer des informations
| Fonctionnalité de la solution | Section |
|---|---|
| Indexer les propriétés classification de sécurité et mise en garde de sécurité et limitation de la diffusion par le biais de la recherche SharePoint, en s’alignant sur les exigences AGRkMS. | Gestion des métadonnées de classification et de mise en garde |
| Appliquez des en-têtes X-Protective-Marking pour répondre aux exigences de métadonnées d’e-mail conformément à la stratégie PSPF 8 Annexe F. | Application d’en-têtes x-protective-marking via une stratégie DLP |
| Appliquez des métadonnées aux colonnes de base de données contenant des informations sensibles dans des systèmes de base de données connectés. | Intégration de power BI et de données |
Condition 6 : Avertissements et éléments comptables
| Fonctionnalité de la solution | Section |
|---|---|
| Marquez les informations mises en réserve et les marqueurs de limitation de diffusion (DML) associés ou la classification via une structure d’étiquette de confidentialité. | Taxonomie des étiquettes de confidentialité requises |
| Marquer les mises en garde sur les éléments associés via du texte. |
Marquage du contenu de l’étiquette de confidentialité Marquages basés sur l’objet |
| Enregistrez tous les transferts de matériaux entrants et sortants. | Journal d’audit |
| Appliquez des restrictions d’accès et/ou de distribution de mise en garde. |
Limitation de la distribution des informations sensibles Chiffrement des étiquettes de confidentialité |
Condition requise 7 : Protections minimales et exigences de gestion
| Fonctionnalité de la solution | Section |
|---|---|
| Les informations stockées dans les centres de données Microsoft 365 sont chiffrées au repos via le chiffrement BitLocker. | Vue d’ensemble du chiffrement |
| Exiger le chiffrement TLS pour la transmission par e-mail d’éléments sensibles, en veillant à ce qu’ils soient chiffrés lorsqu’ils sont transférés via des réseaux publics. | Exiger le chiffrement TLS pour la transmission d’e-mails sensibles |
| Configurez un contrôle d’accès granulaire aux emplacements marqués (sites ou Teams) et bloquez les utilisateurs, les appareils ou les emplacements qui ne répondent pas aux exigences d’accès ou à l’autorisation. |
Restrictions d’appareil non managées Contexte d’authentification |
| Maintenez les principes du besoin de connaître en limitant le partage, l’accès invité et en contrôlant la configuration de confidentialité des emplacements marqués. | Configuration des sites et des groupes d’étiquettes de confidentialité |
| Appliquez des stratégies DLP pour garantir le besoin de connaître et restreindre la distribution des éléments aux utilisateurs internes et aux organisations externes non autorisés ou non autorisés. | Limitation de la distribution des informations sensibles |
| Chiffrez les éléments sensibles ou classifiés de sécurité, en fournissant un contrôle d’accès et en veillant à ce que seuls les utilisateurs autorisés aient accès aux informations contenues, quel que soit l’emplacement de l’élément. | Chiffrement des étiquettes de confidentialité |
| Appliquez des protections, notamment le chiffrement, le partage et les contrôles liés à la protection contre la perte de données aux exportations ou aux fichiers PDF générés à partir de systèmes sources étiquetés. | Intégration de power BI et de données |
| Identifiez les éléments marqués avec des classifications de sécurité historiques et s’alignent automatiquement avec des marquages modernes ou conservez l’étiquette historique avec les contrôles requis. | Recommandations basées sur les marquages historiques |
Condition 8 : Élimination
| Fonctionnalité de la solution |
|---|
| Implémentez des stratégies de rétention, l’étiquetage de rétention, le cycle de vie des données et des configurations de gestion des enregistrements, y compris la révision de destruction, pour prendre en charge les exigences d’archivage et d’enregistrement. |
| Alignez le marquage de sécurité, l’étiquette/la stratégie de rétention et la disposition associée si nécessaire (en notant que la sécurité et l’archivage s’alignent rarement). |
| Implémentez des stratégies de rétention qui suppriment définitivement les informations une fois que les exigences de rétention des éléments sont remplies, ou fournissent aux équipes de gestion des enregistrements des fonctionnalités de révision de destruction qui permettent le filtrage des éléments avant leur suppression définitive. |
Ces articles concernent Gestion du cycle de vie des données Microsoft Purview puis Information Protection et ne sont pas concernés par ces conseils. Pour obtenir des conseils sur Gestion du cycle de vie des données Microsoft Purview, consultez Gestion du cycle de vie.
Condition requise 9 : Discussions sensibles et classifiées de sécurité
| Fonctionnalité de la solution | Section |
|---|---|
| Appliquez des marquages de protection aux invitations aux réunions Teams et aux éléments de calendrier Outlook. Appliquez des contrôles aux éléments de calendrier, tels que le chiffrement des pièces jointes de réunion. |
Étiquetage des éléments de calendrier |
| Appliquez des marquages de protection aux réunions Teams et configurez des contrôles avancés pour protéger les conversations classifiées, y compris les techniques de chiffrement avancées et les filigranes de réunion. Chiffrement de bout en bout des conversations Teams, fournissant aux utilisateurs l’assurance que les discussions sensibles ou classifiées de sécurité ne peuvent pas être interceptées. |
Teams Premium la configuration des étiquettes |
Politique 9 du PSPF : Accès à l’information
L’accès à l’information est basé sur les exigences de la politique 9 du PSPF V2018.6 (mise à jour le 16 août 2022).
La politique 9 du PSPF porte sur l’accès rapide, fiable et approprié à l’information officielle.
Comme avec la stratégie 8, la stratégie 9 est divisée en exigences de base et de prise en charge.
Les commentaires sur les fonctionnalités de Microsoft 365 qui s’alignent sur les exigences et les liens vers les sections pertinentes de ce document sont fournis dans le tableau suivant.
Pour plus d’informations sur la source de la stratégie PSPF, consultez : Stratégie PSPF 9 : Accès à l’information.
Exigence de base A : Activer l’accès approprié lors du partage d’informations au sein de l’entité et avec d’autres parties prenantes pertinentes
| Fonctionnalité de la solution | Section |
|---|---|
| Restreindre le partage, la confidentialité et/ou l’accès invité en fonction de l’étiquette de confidentialité appliquée à un emplacement d’équipe ou SharePoint. | Configuration des sites et des groupes d’étiquettes de confidentialité |
| Restreindre le partage ou avertir les utilisateurs lorsqu’ils tentent de partager du contenu étiqueté avec des groupes internes ou externes non autorisés. |
Prévention de la distribution inappropriée d’informations classifiées en matière de sécurité Limitation de la distribution des informations sensibles |
| Empêcher la remise d’e-mails étiquetés ou de pièces jointes à des destinataires non autorisés. |
Empêcher la distribution par e-mail d’informations classifiées à des organisations non autorisées Empêcher la distribution par e-mail d’informations classifiées à des utilisateurs non autorisés |
| Limitez le chargement de contenu étiqueté aux services cloud non approuvés ou aux emplacements où il peut être distribué ou accessible par des utilisateurs non autorisés. | Empêcher le chargement d’éléments classifiés de sécurité vers des emplacements non gérés |
| Empêcher l’accès aux éléments étiquetés (fichiers ou e-mails) par des utilisateurs non autorisés dans des situations où ils ont été partagés de manière inappropriée. | Chiffrement des étiquettes de confidentialité |
| Empêcher le chargement d’éléments étiquetés vers des services cloud non approuvés. Empêchez-les d’être imprimés, copiés sur USB, transférés via Bluetooth ou une application non autorisée. |
Empêcher le partage d’informations classifiées de sécurité Empêcher le téléchargement ou l’impression d’éléments classifiés de sécurité |
Exigence de base B : S’assurer que les personnes qui accèdent à des informations sensibles ou classifiées en matière de sécurité disposent d’une autorisation de sécurité appropriée et doivent connaître ces informations
| Fonctionnalité de la solution | Sections |
|---|---|
| Restreindre l’accès aux emplacements qui contiennent des informations sensibles ou classifiées aux seuls utilisateurs autorisés. | Contexte d’authentification |
| Intégrez l’étiquetage de confidentialité et la DLP. Les stratégies peuvent être construites pour empêcher le partage (par e-mail ou action de partage) d’éléments avec certains marquages avec des utilisateurs non autorisés. |
Empêcher la distribution par e-mail d’informations classifiées à des organisations non autorisées Empêcher la distribution par e-mail d’informations classifiées à des utilisateurs non autorisés Empêcher le partage d’informations classifiées de sécurité |
| Fournissez des conseils de stratégie DLP, qui avertissent les utilisateurs contre le partage d’informations avant la violation de la stratégie, ce qui réduit la probabilité de divulgation d’informations en raison de situations telles que l’identité erronée. | Conseils de stratégie DLP avant la violation |
| Surveillez, alertez et/ou bloquez les tentatives de partage ou d’envoi par e-mail d’éléments étiquetés aux utilisateurs qui ne disposent pas de l’autorisation de sécurité appropriée. | Gestion des événements DLP |
| Configurez les options de confidentialité pour les sites ou Teams en fonction du marquage d’un emplacement. Cela permet d’empêcher l’accès ouvert aux emplacements pour les utilisateurs qui n’ont pas besoin de connaître et permet aux propriétaires d’équipe ou de localisation de contrôler l’accès à ces emplacements. Il permet également de répondre à l’exigence de prise en charge 2 en ne fournissant pas automatiquement l’accès en fonction de l’status, du classement ou de la commodité. | Paramètres de confidentialité des étiquettes |
| Configurez des restrictions de partage pour un site ou une équipe, ce qui garantit que les éléments dans les emplacements marqués ne peuvent être partagés qu’avec des utilisateurs internes. | Configuration du partage d’étiquettes |
| Utilisez le chiffrement d’étiquette pour contrôler l’accès au contenu étiqueté, en veillant à ce que seuls les utilisateurs autorisés aient la possibilité d’y accéder. | Activation du chiffrement des étiquettes |
| Alerte sur les informations de sécurité classifiées ou marquées d’être déplacées vers des emplacements moins sensibles où elles sont plus facilement accessibles par des utilisateurs non autorisés. | Alertes de données hors site |
Exigence de base C : Contrôle de l’accès (y compris l’accès à distance) aux systèmes, réseaux, infrastructures, appareils et applications TIC pris en charge
| Fonctionnalité de la solution | Sections |
|---|---|
| Autorise l’utilisation de l’accès conditionnel (CA) pour restreindre l’accès à l’application Microsoft 365 aux utilisateurs, appareils et emplacements approuvés, uniquement lorsque les exigences d’authentification appropriées sont remplies. | Accès conditionnel |
| Fournir un contrôle d’accès granulaire aux emplacements étiquetés sensibles ou classifiés de sécurité. | Contexte d’authentification |
| Évaluez l’authentification et l’autorisation des utilisateurs au moment de l’accès aux éléments chiffrés (fichiers ou e-mails). | Chiffrement des étiquettes de confidentialité |
Exigences de prise en charge
Exigence 1 à l’appui : Accords formalisés pour le partage d’informations et de ressources
| Fonctionnalité de la solution | Sections |
|---|---|
| Configurez les conditions d’utilisation dans le cadre d’une stratégie d’accès conditionnel, afin que les invités soient tenus d’accepter les conditions avant d’autoriser l’accès aux éléments. Cela complète les accords écrits entre les organisations. | Microsoft Entra configuration B2B (Business to Business) n’entre pas dans le cadre de ce guide1. Les concepts sont introduits sous l’accès conditionnel. |
| Implémentez des restrictions pour empêcher le partage non seulement d’informations de sécurité marquées ou classifiées, mais également d’autres types d’informations sensibles avec des organisations externes. Des exceptions peuvent être appliquées à ces stratégies afin que le partage soit autorisé à une liste approuvée d’organisations pour lesquelles des accords formels sont établis. | Limitation de la distribution des informations sensibles |
| Configurez le chiffrement pour restreindre l’accès aux informations (fichiers ou e-mails) aux invités, à l’exception des utilisateurs ou des organisations pour lesquels les autorisations sont configurées. | Chiffrement des étiquettes de confidentialité |
| Configurez l’accès invité pour autoriser les activités de collaboration (y compris le partage, la coédit, la conversation et l’appartenance à Teams) uniquement avec les organisations approuvées avec lesquelles des accords formels existent. | Microsoft Entra configuration B2B est hors du cadre de ce guide1. Les concepts ou la restriction de l’accès invité aux éléments étiquetés sont introduits sous la configuration de l’accès invité |
| Auditez l’accès et l’appartenance aux invités, en invitant les propriétaires de ressources à supprimer les invités lorsqu’ils ne sont plus nécessaires et en recommandant la suppression lorsque les ressources ne sont pas accessibles. | Microsoft Entra configuration B2B n’est pas comprise dans ce guide1, 2. |
Remarque
1 Pour plus d’informations sur Microsoft Entra configuration B2B, consultez Microsoft Cloud Settings for B2B Collaboration.
2 Pour plus d’informations sur les révisions d’accès, consultez révisions d’accès
Exigence 2 de prise en charge : Limitation de l’accès aux informations et ressources sensibles et classifiées
Il n’existe aucune exigence supplémentaire au-delà de l’exigence de base B.
Exigence 3 de prise en charge : Accès continu aux informations et aux ressources classifiées de sécurité
| Fonctionnalité de la solution | Sections |
|---|---|
| Configurez des stratégies DLP pour empêcher la distribution d’informations classifiées de sécurité aux utilisateurs qui ne sont pas autorisés au niveau approprié. | Empêcher la distribution par e-mail d’informations classifiées à des organisations non autorisées |
| Limitez l’accès aux emplacements contenant des informations de sécurité classifiées (ou mises en réserve) aux personnes autorisées au niveau approprié. | Contexte d’authentification |
| Empêchez les informations classifiées ou marquées de sécurité d’être déplacées vers des emplacements moins sensibles où elles sont facilement accessibles par des utilisateurs non autorisés. | Alertes de données hors site |
| Configurez le chiffrement pour vous assurer que les utilisateurs qui quittent le organization n’ont plus accès aux éléments sensibles. | Chiffrement des étiquettes de confidentialité |
Exigence 4 de prise en charge : accès temporaire aux informations et ressources classifiées
| Fonctionnalité de la solution | Sections |
|---|---|
| Configurez le chiffrement des étiquettes pour accorder un accès temporaire aux éléments sensibles et révoquer l’accès après un certain temps, ce qui rend les éléments illisibles par leur destinataire. | Expiration de l’accès au contenu |
Exigence 5 de prise en charge : gestion de l’accès aux systèmes d’information
| Fonctionnalité de la solution | Sections |
|---|---|
| Configurez des stratégies d’accès conditionnel (CA) pour exiger l’identification de l’utilisateur, l’authentification, y compris d’autres facteurs d'« authentification moderne », tels que l’authentification multifacteur, l’appareil géré ou l’emplacement connu, avant d’accorder l’accès aux services. | Accès conditionnel |
| Appliquez d’autres exigences d’accès conditionnel aux utilisateurs lorsqu’ils accèdent à des emplacements marqués avec certaines étiquettes. | Contexte d’authentification |
| Configurez le chiffrement des étiquettes, qui confirme l’identité, l’authentification et l’autorisation chaque fois qu’un utilisateur accède à un élément chiffré. | Chiffrement des étiquettes de confidentialité |
Manuel de sécurité des informations (ISM)
L’objectif du Manuel de sécurité des informations (ISM) est de décrire un cadre de cybersécurité que les organisations peuvent appliquer, à l’aide de leur infrastructure de gestion des risques, pour protéger leurs informations et leurs systèmes contre les menaces. Le manuel contient des contrôles que les organisations gouvernementales et d’autres personnes qui travaillent dans le cadre du PSPF pour les gouvernements fédéraux, étatiques et locaux australiens doivent mettre en œuvre, et au niveau approprié associé à la classification des données qu’elles gèrent.
L’objectif de ce guide de Protection des données Microsoft Purview n’est pas de remplacer un travail détaillé que les organisations doivent effectuer pour évaluer leur alignement avec l’ISM. Il est destiné à guider les organisations sur la configuration Microsoft 365 qui s’aligne sur les contrôles ISM.
Pour obtenir des conseils plus généraux sur la configuration appropriée de Microsoft 365, nous vous recommandons le Blueprint for Secure Cloud d’ASD.
Les exigences ISM décrites dans cette section font référence à la version d’ISM - mars 2023.
Les exigences ISM suivantes s’appliquent à une configuration d’organisations gouvernementales Protection des données Microsoft Purview :
ISM-0270 : les marquages de protection sont appliqués aux e-mails et reflètent la plus grande sensibilité ou classification du sujet, du corps et des pièces jointes
| Fonctionnalité de la solution | Sections |
|---|---|
| L’héritage des étiquettes garantit qu’un e-mail est marqué selon la sensibilité la plus élevée appliquée à l’élément ou à la pièce jointe. | Héritage d’étiquette |
| Identifier les informations sensibles et recommander qu’un marquage de sensibilité plus élevée soit appliqué si un élément est sous classifié. |
Étiquetage automatique basé sur le client Identification des informations sensibles |
ISM-0271 : Les outils de marquage de protection n’insèrent pas automatiquement des marquages de protection dans les e-mails
| Fonctionnalité de la solution | Sections |
|---|---|
| Demandez aux utilisateurs de sélectionner une étiquette de confidentialité appropriée pour chaque élément (fichier ou adresse e-mail) et de leur demander une étiquette s’ils n’en ont pas appliqué. | Étiquetage par défaut |
| Configurez les recommandations d’étiquette pour suggérer qu’une étiquette est appliquée après la détection de contenu sensible, tout en laissant la détermination à l’utilisateur. | Recommandations d’étiquetage automatique basées sur le client |
ISM-0272 : Les outils de marquage de protection ne permettent pas aux utilisateurs de sélectionner des marquages de protection qu’un système n’est pas autorisé à traiter, stocker ou communiquer
| Fonctionnalité de la solution | Sections |
|---|---|
| Les utilisateurs peuvent uniquement sélectionner et appliquer des étiquettes de confidentialité aux éléments qui leur sont publiés via une stratégie d’étiquetage. |
Stratégies d’étiquette de confidentialité Étiquettes pour les informations au-delà du niveau protégé Blocage de la transmission des classifications non émises |
ISM-1089 : Les outils de marquage de protection n’autorisent pas les utilisateurs qui répondent aux e-mails ou les transfèrent à sélectionner des marquages de protection inférieurs à ceux utilisés précédemment
| Fonctionnalité de la solution | Sections |
|---|---|
| En notant les différences entre ce contrôle et l’approche Microsoft 365, Purview peut être configuré pour exiger une justification métier afin de supprimer ou de réduire une étiquette de confidentialité. Ces informations sont conservées dans le journal d’audit, affichées via les portails de classification des données et peuvent être exportées via des solutions SIEM (Security Information and Event Management) telles que Sentinel. Ces informations sont également prises en compte dans les métriques de gestion des risques internes (IRM), qui peuvent être utilisées pour identifier les utilisateurs à risque et les empêcher d’entreprendre des activités néfastes. |
Contrôle des e-mails d’informations marquées via DLP Implications sur la rétrogradation des étiquettes malveillantes Justification du changement d’étiquette Journal d’audit Empêcher le partage d’informations classifiées de sécurité |
| Configurez le chiffrement basé sur les étiquettes et la gestion des droits pour empêcher les modifications apportées aux éléments étiquetés pour les utilisateurs qui ne disposent pas des autorisations suffisantes, ce qui empêche les modifications des étiquettes. | Chiffrement des étiquettes de confidentialité |
ISM-0565 : les serveurs Email sont configurés pour bloquer, journaliser et signaler les e-mails avec des marquages de protection inappropriés
| Fonctionnalité de la solution | Sections |
|---|---|
| Implémentez des stratégies DLP pour empêcher la réception et la distribution ultérieure d’éléments avec des classifications qui ne sont pas autorisées dans la plateforme. | Blocage de la transmission des classifications non émises |
| Configurez des stratégies DLP ou des règles de flux de messagerie Exchange pour bloquer, journaliser et signaler les e-mails avec des marquages manquants. |
Étiquetage par défaut Blocage de la transmission d’e-mails sans étiquette |
ISM-1023 : les destinataires prévus des e-mails entrants bloqués et les expéditeurs d’e-mails sortants bloqués sont avertis
| Fonctionnalité de la solution | Sections |
|---|---|
| Configurez des stratégies DLP ou des règles de flux de messagerie Exchange avec différentes options de notification en fonction du destinataire. | Blocage de la transmission d’e-mails sans étiquette |
ISM-0572 : Le chiffrement TLS opportuniste est activé sur les serveurs de messagerie qui effectuent des connexions de messagerie entrantes ou sortantes sur l’infrastructure réseau publique
| Fonctionnalité de la solution | Sections |
|---|---|
| Tls (Transport Layer Security) opportuniste est configuré par défaut dans Exchange Online. Configurez les connecteurs de messagerie pour définir le chiffrement TLS comme obligatoire pour la transmission d’e-mails sensibles, sans avoir à appliquer ces exigences aux éléments moins sensibles. |
Exiger le chiffrement TLS pour la transmission d’e-mails sensibles |
ISM-1405 : une installation de journalisation des événements centralisée est implémentée et les systèmes sont configurés pour enregistrer les journaux des événements dans l’installation dès que possible après chaque événement
| Fonctionnalité de la solution | Sections |
|---|---|
| Le journal d’audit unifié fournit une journalisation centralisée des événements pour tous les services Microsoft 365. | Journal d’audit |
ISM-0859 : Les journaux des événements, à l’exception de ceux des services de système de noms de domaine et des proxys web, sont conservés pendant au moins sept ans
| Fonctionnalité de la solution | Sections |
|---|---|
| Les journaux d’audit peuvent être conservés jusqu’à 10 ans via des stratégies de rétention des journaux d’audit. Cette période peut être prolongée via l’intégration de Microsoft 365 à une solution SIEM telle que Sentinel. | Journal d’audit |
ISM-0585 : pour chaque événement journalisé, la date et l’heure de l’événement, l’utilisateur ou le processus approprié, le nom de fichier approprié, la description de l’événement et l’équipement TIC impliqué sont enregistrés
| Fonctionnalité de la solution | Sections |
|---|---|
| Le journal d’audit Microsoft 365 capture les détails des événements utilisateur et administratif. Pour chaque événement, des détails pertinents tels que l’élément, l’utilisateur, l’activité terminée et l’heure de l’événement sont tous enregistrés. Les journaux d’audit capturent des événements pour les activités liées aux étiquettes, telles que l’application d’étiquette et les modifications. |
Journal d’audit |
ISM-0133 : Lorsqu’un déversement de données se produit, les propriétaires de données sont avertis et l’accès aux données est restreint
| Fonctionnalité de la solution | Sections |
|---|---|
| Configurez des stratégies DLP pour détecter les déversements de données et informez les parties appropriées lors de la détection. | Blocage de la transmission des classifications non émises |
Australian Government Recordkeeping Metadata Standard
La version des exigences AGRkMS mentionnée dans ce guide est AGRkMS V2.2 (juin 2015).
La norme de métadonnées de conservation des enregistrements du gouvernement australien (AGRkMS) et le guide AGRkMS associé définissent le type de métadonnées que les agences gouvernementales australiennes doivent inclure dans leurs systèmes d’entreprise et spécifient les exigences obligatoires minimales.
Parmi ces exigences figurent les propriétés de métadonnées pour « Classification de sécurité » et « Mise en garde de sécurité », qui s’alignent sur la stratégie PSPF 8.
La norme inclut une déclaration d’objectif pour l’inclusion de ces propriétés de métadonnées. Comme pour les exigences mentionnées dans les sections précédentes, l’objectif de l’inclusion de ces propriétés agRkMS dans cette norme s’aligne sur les fonctionnalités fournies par Protection des données Microsoft Purview et les outils Microsoft 365 associés :
| Conditions requises | Sections |
|---|---|
| 1. Faciliter ou restreindre l’accès aux enregistrements, ou à des fonctions, activités ou transactions commerciales particulières, par le personnel de l’agence ou le public (classification et mise en garde). 2. Pour empêcher l’accès à des enregistrements, ou à des fonctions, activités ou transactions métier particulières, par des utilisateurs disposant d’autorisations de sécurité insuffisantes (classification). 3. Pour activer la restriction de l’accès aux enregistrements par les personnes disposant d’autorisations de sécurité insuffisantes (Mise en garde). |
Prévention de la distribution inappropriée d’informations classifiées en matière de sécurité Étiqueter les paramètres d’accès invité Configuration du partage d’étiquettes Contexte d’authentification Alertes de données non locales |
| 4. Pour permettre l’identification et la gestion appropriées des enregistrements, des fonctions métier, des activités ou des transactions et des mandats présentant des sensibilités en matière de sécurité (classification et mise en garde). |
Étiquetage de l’expérience cliente Marquage du contenu d’étiquette Emplacement SharePoint et sensibilité des éléments |
| 5. Pour alerter les utilisateurs des restrictions de sécurité sur l’accès aux enregistrements et aux mandats (classification et mise en garde). |
Empêcher la distribution par e-mail d’informations classifiées à des organisations non autorisées Empêcher le partage d’informations classifiées de sécurité |
| 6. Empêcher la découverte de la nature de l’information ou de l’activité couverte par des compartiments de sécurité particuliers (classification et mise en garde). | Limites de conformité |
Ces exigences de métadonnées peuvent être satisfaites sur la plateforme Microsoft 365 sans manipulation avancée des métadonnées. Toutefois, les organisations gouvernementales qui souhaitent utiliser Microsoft 365 pour la gestion des enregistrements sur place et qui souhaitent répondre aux exigences agRkMS dans leur intégralité doivent prendre en compte les conseils fournis dans la section gestion des métadonnées de classification et de mise en garde de ce guide.
Exigences du gouvernement de l’État
La section suivante fournit des références aux exigences du gouvernement des États et quelques remarques générales sur la façon dont leurs cadres diffèrent de ceux du gouvernement fédéral.
Territoire de la capitale australienne
Le gouvernement du Territoire de la capitale australienne (ACT) utilise l’ACT Government Protective Security Policy Framework (PSPF), qui est similaire à la norme du gouvernement fédéral dans l’intention, les étiquettes requises et les marqueurs de gestion de l’information (IMMs). Par conséquent, les conseils de ce guide s’appliquent directement à ACT Government.
Nouvelle-Galles du Sud
Le gouvernement de l’État de Nouvelle-Galles du Sud (NSW) utilise les directives de classification, d’étiquetage et de gestion des informations du gouvernement de la NSW.
Ces exigences s’alignent sur la norme fédérale PSPF à un niveau élevé, car les deux ensembles d’exigences utilisent des étiquettes NON OFFICIELLES à PROTECTED. Toutefois, la norme NSW utilise un ensemble différent de marqueurs de limitation de diffusion (DML) qui ne s’alignent pas sur les étiquettes fédérales :
« L’étiquette OFFICIELLE : Sensible est appliquée par le gouvernement australien, ainsi que par d’autres États et territoires. Le gouvernement NSW n’applique pas cette étiquette à ses informations, car les six DLMs utilisés dans NSW avec le préfixe OFFICIAL : Sensitive autorisent la spécificité requise dans NSW. Cela signifie que les informations étiquetées OFFICIAL : Sensible sont considérées comme provenant de l’extérieur du gouvernement de la NSW. »
Cela signifie que les informations sensibles du gouvernement NSW ne sont pas marquées avec des étiquettes fédérales, mais qu’elles sont traitées séparément. Par exemple, l’étiquette « OFFICIAL Sensitive - NSW Government » n’a pas d’équivalent PSPF. La traduction en étiquette PSPF n’est donc pas appropriée.
Il existe trois options que les organisations gouvernementales fédérales qui collaborent avec nSW Government doivent prendre en compte lors de la conception de leur configuration MPIP :
- Utilisation d’étiquettes masquées dans lesquelles l’administrateur implémente un ensemble d’étiquettes qui ne sont pas publiées pour les utilisateurs, mais disponibles pour le service d’étiquetage automatique. Les étiquettes masquées permettent aux informations générées par les organisations gouvernementales d’État de recevoir des protections similaires aux informations internes sans avoir à réétiqueter les éléments avec des marquages PSPF. Pour plus d’informations, consultez Étiquettes pour les organisations avec différentes taxonomies d’étiquettes.
- Utilisation de types d’informations sensibles (SIT) où les organisations implémentent un ensemble de SIT, qui identifient les informations marquées avec des étiquettes NSW Government. Ces SIT sont utilisés dans DLP et d’autres types de stratégies pour garantir que les informations sont traitées de manière appropriée. Pour plus d’informations, consultez Types d’informations sensibles personnalisés.
- Utilisation d’étiquettes alignées NSW où les organisations choisissent d’appliquer des étiquettes aux informations reçues qui s’alignent le plus sur les marquages NSW Government. Cela peut être actionné manuellement par les utilisateurs, éventuellement avec l’aide de l’étiquetage automatique pour suggérer le plus approprié (OFFICIAL : Sensible dans la plupart des cas). Avec cette approche, le marquage visuel NSW s’applique toujours aux éléments et est complété par des équivalents fédéraux sur les e-mails de réponse. Cela permet de s’assurer que les informations sont protégées conformément aux configurations de locataire lorsqu’elles résident dans l’environnement. Pour plus d’informations, consultez les recommandations basées sur les marquages d’agences externes.
Ces options sont également pertinentes pour les organisations gouvernementales de la NSW qui réfléchissent à la meilleure façon de gérer les informations reçues avec les marquages FÉDÉRAUX PSPF, ou les marquages appliqués par les gouvernements d’autres États.
Territoire du Nord
Le gouvernement du Territoire du Nord (NT) utilise l’Organisation du secteur public du Territoire du Nord (NTG PSO) : Système de classification de sécurité.
Ce système est partiellement aligné sur le PSPF fédéral, car les étiquettes UNCLASSIFIED et PROTECTED existent dans l’infrastructure. Toutefois, elle utilise également les étiquettes CONFIDENTIAL et PUBLIC, ce qui signifie que les organisations qui collaborent avec NT Government doivent envisager des méthodes de traduction d’étiquettes ou d’identification des informations confidentielles NT Government via les méthodes mentionnées précédemment dans la section NSW government afin de s’assurer que les informations sont sécurisées lorsqu’elles résident dans des environnements Microsoft 365 du gouvernement fédéral.
Les organisations gouvernementales NT doivent prendre en compte les conseils de ce document, mais ajouter une étiquette PUBLIC et remplacer OFFICIAL : Sensitive par les étiquettes CONFIDENTIAL. Les points ci-dessus concernant la protection des informations provenant d’autres juridictions sont également pertinents. Par conséquent, NT doit implémenter des types d’informations sensibles, des étiquettes non publiées ou des recommandations d’étiquetage basées sur les clients, comme indiqué dans la section NSW.
Queensland
Les organisations gouvernementales du Queensland sont tenues d’adhérer au Queensland Government Information Security Classification Framework (QGISCF)
Comme NSW et NT, les exigences du gouvernement du Queensland diffèrent de PSPF , mais QGISCF utilise une topologie similaire d’étiquettes OFFICIAL, SENSITIVE et PROTECTED, et les informations fournies dans ce document sont pertinentes.
Le QGISCF est destiné à être compatible avec le cadre de politique de sécurité de protection du gouvernement australien et le manuel de sécurité de l’information du gouvernement australien. Pour cette raison, les organisations gouvernementales fédérales doivent utiliser l’étiquetage automatique pour traduire les informations qu’elles reçoivent des organisations gouvernementales du Queensland en étiquettes PSPF équivalentes (SENSIBLE à OFFICIAL : Sensible par exemple) pour s’assurer que ces informations sont comprises dans le cadre de la protection contre la perte de données et d’autres protections lorsqu’elles résident dans des environnements Microsoft 365 du gouvernement fédéral. L’inverse s’applique aux organisations gouvernementales du Queensland qui reçoivent des informations du gouvernement fédéral.
Australie-Sud
Le Framework de sécurité de protection de l’Australie du Sud (SAPSF) comprend une stratégie nommée « INFOCEC1 : Protection des informations officielles ». Cette politique s’aligne sur la norme fédérale à un niveau élevé, notant certaines variations en termes de marqueurs de gestion de l’information et mises en garde (par exemple, SA CABINET et Medical in Confidence). En raison de cet alignement, les organisations du gouvernement fédéral doivent être en mesure d’identifier et de protéger les éléments SA Government sensibles sans variation significative de leurs configurations. Les conseils fournis dans ce document sont pertinents pour le gouvernement sa sans qu’il soit nécessaire de les traduire en marquages locaux.
Les organisations gouvernementales fédérales qui reçoivent des informations des agences du secteur public sa doivent prendre en compte la façon dont les informations du gouvernement sa sont protégées dans leur environnement. Établissement de SITs ou d’étiquettes de confidentialité non publiées pour capturer des marquages spécifiques à sa et des stratégies DLP afin d’appliquer les protections appropriées (telles que couvertes sous les étiquettes pour les organisations avec différentes taxonomies d’étiquettes), le cas échéant.
Les organisations SA Government qui utilisent ce guide doivent tenir compte du fait que l’infrastructure SAPSF ne spécifie pas d’exigences de métadonnées de messagerie telles que X-Headers. Il s’agit d’un écart, car sans la spécification, les organisations SA Government peuvent avoir des difficultés à gérer les classifications et les protections associées, car les informations sont transmises entre les organisations. L’utilisation de la norme FÉDÉRALE PSPF à cet effet est appropriée pour obtenir la traduction d’étiquettes de courrier électronique (comme indiqué dans l’étiquetage des e-mails pendant le transport).
L’approche utilisée dans les en-têtes PSPF X-Protective-Marking peut être adaptée pour couvrir des étiquettes spécifiques à SA, telles que SA CABINET et Medical in Confidence. Certaines organisations SA Government ont implémenté des métadonnées de style PSPF, même si elles ne sont pas incluses dans SAPSF. Par exemple, vous pouvez définir un en-tête X-Protective-Marking de « VER=2018.6, NS=sa.gov.au, SEC=OFFICIAL ». Cette approche atténue les risques associés au partage d’informations entre les organisations gouvernementales sa et fournit un marquage que d’autres États et organisations fédérales peuvent utiliser pour déterminer les protections requises des informations jointes.
Tasmanie
La Norme de classification de la sécurité de l’information pour le gouvernement de Tasmanie (TAS) est un projet et est en cours d’examen.
Pour plus d’informations sur les marquages actuellement utilisés par TAS Government, consultez Classification de sécurité des informations TAS
Les organisations gouvernementales fédérales qui souhaitent s’assurer qu’elles protègent les informations reçues de TAS Government doivent utiliser des contrôles qui sont en place pour aider à protéger les informations héritées sous la version précédente du PSPF. Pour plus d’informations, consultez Recommandations basées sur les marquages historiques.
Victoria
Le framework victorian (VIC) State Government est le Victorian Protective Data Security Framework (VPDSF) est similaire à SA, mais s’aligne toujours étroitement avec le PSPF fédéral.
Les organisations du gouvernement de l’État de Victoria doivent tenir compte des conseils fournis dans ce guide comme pertinents pour leur propre environnement.
Pour l’infrastructure VIC, la différence par rapport aux marquages appliqués par e-mail x-headers pour les valeurs de domaine et de version. Les marques du cabinet du gouvernement victorien diffèrent également de celles du gouvernement fédéral, de sorte que les organisations du gouvernement victorien doivent noter qu’un en-tête x de gestion spécial de « SH :CABINET-IN-CONFIDENCE » est requis à la place de « SH :NATIONAL-CABINET ». Pour plus d’informations sur la gestion spéciale, consultez Application d’en-têtes x-protective-marking via une stratégie DLP.
Australie occidentale
Le gouvernement de l’Australie occidentale (WA) a une politique de classification de l’information, utilise des étiquettes NON OFFICIELLES, OFFICIELLES et OFFICIAL : Sensible, qui s’alignent étroitement sur les classifications du gouvernement fédéral PSPF. Toutefois, l’accès et les autres exigences diffèrent.
La politique stipule que « Pour la protection de l’information classifiée sur la sécurité du Commonwealth, les organismes sont tenus de se conformer aux dispositions des accords inter-juridictions pertinents ». Cela signifie que les exigences du gouvernement fédéral doivent être prises en compte par les agences gouvernementales wa.
Les clients WA Government doivent prendre en compte les conseils fournis dans ce document pour leur pertinence par rapport à leurs propres configurations.
Pour les organisations gouvernementales fédérales qui reçoivent des informations des organisations wa Government, comme l’approche WA s’aligne sur federal, l’étiquetage automatique et d’autres configurations abordées dans ce guide permettent de s’assurer que ces informations sont protégées lorsqu’elles résident dans des environnements Microsoft 365 fédéraux.