Privacy e protezione dei dati : proteggere e gestire i dati

Introduzione al passaggio 2 della gestione della privacy dei dati e della protezione dei dati con Microsoft Priva e Microsoft Purview: Proteggere e gestire i dati.

Quando si conoscono i dati personali, dove si trova e i requisiti normativi, è il momento di mettere in atto le cose per proteggere tali dati. Microsoft offre funzionalità complete e affidabili che consentono di proteggere i dati personali in due modi:

1. Funzionalità configurate da amministratori IT per classificare gli elementi sensibili e intraprendere azioni di protezione e
2. Funzionalità che consentono ai dipendenti di individuare e risolvere rapidamente i problemi di privacy dei dati e di essere sottoposti a training sulle procedure di gestione dei dati audio.

Azioni da eseguire

Azione	Descrizione	Ottenere i dettagli
Identificare i tipi di informazioni sensibili in modo da sapere cosa deve essere protetto.	Identificare e classificare gli elementi sensibili gestiti dall'organizzazione è il primo passaggio della disciplina Information Protection. Microsoft Purview offre tre modi per identificare gli elementi in modo che possano essere categorizzati a) manualmente dagli utenti, b) riconoscimento automatico dei modelli, ad esempio i tipi di informazioni sensibili e c) Machine Learning. I tipi di informazioni riservate (SIT) sono classificatori basati su pattern. Rilevano informazioni sensibili come la previdenza sociale, la carta di credito o i numeri di conto bancario per identificare gli elementi sensibili.	Altre informazioni sui tipi di informazioni riservate Visualizzare l'elenco completo dei tipi di informazioni riservate
Classificare ed etichettare il contenuto in modo da poter applicare funzionalità per proteggerlo.	La categorizzazione e l'etichettatura del contenuto in modo che possa essere protetto e gestito correttamente è il punto di partenza per la disciplina di protezione delle informazioni. Microsoft 365 offre tre modi per classificare il contenuto.	Altre informazioni sui classificatori sottoponibili a training
Applicare etichette di riservatezza per proteggere i dati, anche in caso di roaming.	Dopo aver identificato i dati sensibili, è consigliabile proteggerli. Questo è spesso difficile quando le persone collaborano con altri sia all'interno che all'esterno dell'organizzazione. Tali dati possono essere trasferiti ovunque, tra dispositivi, app e servizi. E quando viene eseguito il roaming, si vuole che lo faccia in modo sicuro e protetto che soddisfi i criteri aziendali e di conformità dell'organizzazione. Le etichette di riservatezza di Microsoft Purview Information Protection consentono di classificare e proteggere i dati dell'organizzazione, garantendo al contempo che la produttività degli utenti e la loro capacità di collaborare non vengano ostacolate.	Altre informazioni sulle etichette di riservatezza
Usare i criteri di prevenzione della perdita dei dati per impedire la condivisione dei dati personali.	Le organizzazioni dispongono di informazioni sensibili sotto il loro controllo, ad esempio dati finanziari, dati proprietari, numeri di carta di credito, cartelle cliniche o numeri di previdenza sociale. Per proteggere le informazioni sensibili e ridurre i rischi, è necessario un modo per impedire agli utenti di condividerle in modo inappropriato con persone che non dovrebbero averlo. Questa procedura è denominata prevenzione della perdita dei dati (DLP). Usando Prevenzione della perdita dei dati Microsoft Purview, è possibile implementare la prevenzione della perdita dei dati definendo e applicando criteri DLP per identificare, monitorare e proteggere automaticamente gli elementi sensibili nei servizi di Microsoft 365, ad esempio Teams, Exchange, SharePoint e OneDrive; Applicazioni di Office come Word, Excel e PowerPoint; Windows 10, Windows 11 e macOS (la versione corrente e le due versioni precedenti di macOS), app cloud non Microsoft, condivisioni file locali e SharePoint locale. Questa soluzione DLP rileva gli elementi sensibili usando un'analisi approfondita del contenuto, non solo tramite una semplice analisi del testo. Il contenuto viene analizzato per individuare le corrispondenze dei dati primari alle parole chiave, dalla valutazione delle espressioni regolari, dalla convalida interna della funzione e dalle corrispondenze di dati secondarie che si trovano in prossimità della corrispondenza dei dati primari. Oltre a questo, la prevenzione della perdita dei dati usa anche algoritmi di Machine Learning e altri metodi per rilevare il contenuto corrispondente ai criteri DLP.	Altre informazioni sulla prevenzione della perdita di dati
Gestire i dati di Microsoft 365 per la conformità o i requisiti normativi	I controlli di governance delle informazioni possono essere usati nell'ambiente per soddisfare le esigenze di conformità alla privacy dei dati, tra cui un numero specifico del Regolamento generale sulla protezione dei dati (GDPR), HIPAA-HITECH (il Stati Uniti health care privacy act), California Consumer Protection Act (CCPA) e Brazil Data Protection Act (LGPD). Gestione del ciclo di vita dei dati di Microsoft Purview e Gestione record Microsoft Purview fornire questi controlli sotto forma di criteri di conservazione, etichette di conservazione e funzionalità di gestione dei record.	Informazioni su come distribuire una soluzione di governance dei dati con Microsoft Purview
Configurare l'archiviazione sicura dei dati personali in Microsoft Teams.	Se si prevede di archiviare dati personali altamente sensibili in Teams, è possibile configurare un team privato e usare un'etichetta di riservatezza configurata in modo specifico per proteggere l'accesso al team e ai file al suo interno.	Altre informazioni sulla configurazione di un team con isolamento della sicurezza
Consentire agli utenti di individuare potenziali rischi e risolvere i problemi.	Creare criteri di gestione dei dati in Gestione dei rischi per la privacy Priva in modo che gli utenti possano identificare immediatamente i rischi nei dati creati e gestiti. I messaggi di posta elettronica di notifica avvisano gli utenti quando trasferiscono elementi con dati personali all'esterno dell'organizzazione, rendono i contenuti troppo accessibili o mantengono i dati personali per troppo tempo. Le notifiche richiedono agli utenti di adottare misure immediate di correzione per proteggere i dati personali e contengono collegamenti alla formazione sulla privacy preferita dell'organizzazione.	Altre informazioni sulla gestione dei rischi per la privacy Creare un criterio per impedire trasferimenti di dati, sovraesposizione o accaparramento Configurare le notifiche per gli utenti per risolvere i problemi relativi al contenuto gestito
Usare la gestione dei record per gli elementi di valore elevato che devono essere gestiti per i requisiti aziendali, legali o normativi di conservazione dei record.	Un sistema di gestione dei record è una soluzione per consentire alle organizzazioni di gestire record normativi, legali e aziendali critici. Gestione record Microsoft Purview aiuta un'organizzazione a gestire i propri obblighi legali, offre la possibilità di dimostrare la conformità alle normative e aumenta l'efficienza con l'eliminazione regolare di elementi che non sono più necessari per essere conservati, non più di valore o non più necessari per scopi aziendali.	Altre informazioni sulla gestione dei record

Configurazione della strategia per il successo

L'identificazione dei tipi di informazioni sensibili (SIT), la categorizzazione e l'etichettatura del contenuto e la distribuzione dei criteri di prevenzione della perdita dei dati (DLP) sono passaggi chiave in una strategia di protezione delle informazioni. I collegamenti nella tabella precedente consentono di ottenere indicazioni dettagliate per l'esecuzione di queste attività essenziali.

La protezione dei dati è anche responsabilità di ogni utente dell'organizzazione che visualizza, crea e gestisce i dati personali nel corso dei compiti di lavoro. Ogni utente deve conoscere e rispettare le responsabilità interne e normative dell'organizzazione per proteggere i dati personali ovunque si trovino nell'organizzazione. A tale scopo, Priva consente agli utenti di conoscere le proprie responsabilità, di essere informati quando gestiscono i dati in modi rischiosi e di intraprendere azioni immediate per ridurre al minimo i rischi per la privacy per l'organizzazione.

I tre criteri di gestione dei dati disponibili in Gestione dei rischi per la privacy Priva consentono agli utenti di svolgere un ruolo proattivo nella strategia di protezione dei dati dell'organizzazione. Email notifiche con azioni correttive predefinite richiedono agli utenti di applicare le protezioni necessarie e di eseguire una formazione sulla privacy designata dall'organizzazione. Questa consapevolezza e capacità di agire può aiutare a coltivare abitudini migliori per prevenire futuri problemi di privacy.

Raccomandazioni per il primo criterio di gestione dei dati Priva

È consigliabile distribuire i criteri in un approccio in più fasi in modo da poter conoscere il comportamento e ottimizzarli in base alle proprie esigenze. Per la prima fase, è consigliabile creare un criterio personalizzato per fungere da base per la comprensione. Si userebbe l'esempio di creazione di un criterio di sovraesposizione dei dati, che identifica gli elementi di contenuto contenenti dati personali che potrebbero essere troppo accessibili da altre persone. È possibile trovare istruzioni dettagliate per la creazione di criteri a partire da qui.

• Quando si accede al passaggio Scegliere i dati per monitorare il passaggio della creazione guidata dei criteri, è consigliabile selezionare l'opzione Singoli tipi di informazioni sensibili e scegliere i SIT più rilevanti per l'organizzazione. Ad esempio, se si è una società di servizi finanziari con clienti in Europa, è probabile che si voglia includere il numero di carta di debito ue come uno dei SIT. Trovare l'elenco delle definizioni SIT qui.

• Nel passaggio Scegliere utenti e gruppi coperti da questo criterio è consigliabile selezionare Utenti o gruppi specifici e scegliere un piccolo cerchio interno di utenti nell'ambito di questo criterio.

• Nel passaggio Scegliere le condizioni per il criterio è consigliabile selezionare solo Esterno in modo da tenere traccia dei dati che è possibile considerare più a rischio mantenendo al tempo stesso la quantità totale di dati da monitorare a livelli più gestibili.

• Nel passaggio Specificare avvisi e soglie è consigliabileattivare gli avvisi e selezionare l'opzione frequenzaavviso quando viene soddisfatta una delle condizioni seguenti. L'attivazione degli avvisi consente agli amministratori di valutare se la gravità e la frequenza degli avvisi soddisfano le proprie esigenze. Si noti che i criteri non funzionano in modo retrospettivo, quindi se si decide di mantenere gli avvisi disattivati all'inizio e successivamente attivarli, non verranno visualizzati avvisi per le corrispondenze che si sono verificate prima di attivare gli avvisi.

• Allo stato Decide policy mode (Decidere la modalità criterio ) è consigliabile mantenere i criteri in modalità test e monitorarne le prestazioni per almeno cinque giorni. In questo modo è possibile vedere il tipo di corrispondenze che le condizioni dei criteri stanno raccogliendo, come verranno attivati gli avvisi.

Configurazione graduale di più criteri e ottimizzazione delle prestazioni

Dopo aver configurato ed eseguito il primo criterio, è possibile eseguire la stessa operazione con gli altri due tipi di criteri. Questa può essere la seconda fase, in cui si aumenta gradualmente l'uso delle funzionalità man mano che si procede e si ottimizzano le impostazioni. Ad esempio, è possibile scegliere di non inviare notifiche tramite posta elettronica utente all'inizio , mentre si nota quante corrispondenze rilevate dai criteri. Alla fine, è possibile decidere di attivare le notifiche tramite posta elettronica mentre i criteri sono ancora in modalità di test (nella fase Definisci risultati delle impostazioni dei criteri). Se gli utenti ricevono troppi messaggi di posta elettronica, tornare alle impostazioni dei risultati dei criteri per modificare la frequenza delle notifiche. Tutte queste ottimizzazioni consentono di misurare l'impatto desiderato sugli utenti prima di distribuire i criteri in modo più ampio nell'intera organizzazione.

Impostazioni consigliate per gli altri due tipi di criteri

Di seguito sono riportati consigli specifici per le impostazioni chiave durante la creazione dei primi criteri di trasferimento dei dati e sovraesposizione dei dati .

Trasferimento dei dati:

• In Data to monitor (Dati da monitorare) selezionare SIT specifici.
• In Scegliere utenti e gruppi coperti da questo criterio selezionare un anello interno di utenti.
• In Scegliere le condizioni per il criterio scegliere la condizione più importante.
• Per Definire i risultati quando viene rilevata una corrispondenza dei criteri, attivare le notifiche tramite posta elettronica.
• Per Specificare avvisi e soglie, attivare gli avvisi per ogni volta che si verifica un'attività.
• Per Decidere la modalità criterio, attivare la modalità dei criteri (che disattiva la modalità di test).

Minimizzazione dei dati:

• Per Il monitoraggio dei dati, scegliere SIT o gruppi di classificazione specifici.
• In Scegliere utenti e gruppi coperti da questo criterio selezionare un anello interno di utenti.
• In Scegliere le condizioni per il criterio scegliere 30, 60, 90 o 120 giorni.
• Per Decidere la modalità criterio, mantenere i criteri in modalità di test.

Ottimizzazione delle prestazioni dei criteri per ridurre al minimo i rischi per la privacy

Consentire l'esecuzione dei criteri per almeno due o quattro settimane. Durante questo periodo, è necessario esaminare e documentare i risultati seguenti:

• Corrispondenze generate da ogni tipo di criterio e istanze di falsi positivi e falsi negativi
• L'impatto e il feedback di utenti finali e amministratori

In base ai risultati, è ora possibile ottimizzare le prestazioni dei criteri eseguendo le operazioni seguenti:

• Inclusione o esclusione di SIT o gruppi di classificazione predefiniti e personalizzati
• Creazione di versioni dei criteri con condizioni e gruppi di utenti per rendere più efficiente la destinazione
• Modifica delle soglie dei criteri, inclusa la frequenza dei messaggi di posta elettronica per gli utenti, il numero di giorni da monitorare e così via.

Pensate a questo come alla terza fase. È possibile creare più versioni di ogni tipo di criterio e distribuirle all'intera organizzazione in due turni: un primo round che copre il 50% degli utenti e un secondo round che copre il 100% degli utenti.

Questa è anche la fase in cui si accumulano le conoscenze in base al comportamento degli utenti come indicato in Priva e si crea una formazione sulla privacy specifica per gli utenti, che è possibile includere nelle notifiche di posta elettronica degli utenti dei criteri.

Passaggio successivo

Visitare il passaggio 3. Restate in pista con le normative sulla privacy.