Requisitos para o mapeamento de capacidade do Microsoft 365 para a conformidade do Governo Australiano com o PSPF
Este artigo é um componente fundamental do Guia de Proteção de Informações do Governo Australiano. Lista os requisitos framework de políticas de segurança de proteção, manual de segurança de informações (ISM) e requisitosdo Australian Government Recordkeeping Metadata Standard (AGRkMS ). Também fornece conselhos sobre como o Microsoft Purview e outras capacidades do Microsoft 365 podem cumprir os requisitos indicados e fornece ligações para outras secções do guia onde estas capacidades são abordadas. O artigo também fornece orientações sobre estruturas governamentais estatais, como o Victorian Government Victorian Protective Data Security Framework (VPDSF).
Estrutura de Política de Segurança Protetora
O Protective Security Policy Framework (PSPF) é um conjunto de políticas destinadas a apoiar entidades do Governo australiano para proteger as suas pessoas, informações e recursos. O PSPF descreve os requisitos para que as entidades alcancem os resultados de segurança protetores pretendidos pelo Governo.
Para obter mais informações sobre o PSPF, veja Protection Security Policy Framework (Estrutura de Políticas de Segurança De Proteção).
As políticas PSPF relacionadas com Proteção de Informações do Microsoft Purview configurações são:
A chave para compreender a aplicação PSPF para serviços de e-mail é o Anexo F do PSPF Policy 8: Australian Government Email Protective Marking Standard, que é referenciado neste documento.
O PSPF inclui um mecanismo de relatórios que permite que as organizações comuniquem o seu nível de maturidade nas várias políticas PSPF. A intenção é que este guia permita que as organizações com baixos níveis de maturidade melhorem o respetivo vencimento de Política 8 e Política 9 de PSPF para os níveis "Managing" ou "Embedded" com esforço reduzido. Para obter mais informações sobre os níveis de maturidade do PSPF, veja: Protective Security Policy Framework Assessment Report 2022-23
Política PSPF 8: informações confidenciais e confidenciais
Os requisitos baseiam-se nos requisitos do PSPF Policy 8 V2018.8 (atualizado a 30 de agosto de 2023).
A Política PSPF 8 detalha a forma como as entidades avaliam corretamente a confidencialidade ou classificação de segurança das informações e adotam disposições de marcação, processamento, armazenamento e eliminação que protege contra o comprometimento de informações.
Esta política é dividida em requisitos principais e de suporte. Os comentários sobre as capacidades do Microsoft 365 que se alinham com os requisitos e ligações para a documentação de orientação relevante neste site são fornecidos na tabela seguinte. A política também pode ser lida na íntegra na política PSPF 8: informações confidenciais e classificadas.
Requisito principal A e requisito de suporte 1: Identificar propriedades de informações
| Capacidade de solução | Seção |
|---|---|
| Exigir que os utilizadores identifiquem a confidencialidade dos itens (Ficheiros e E-mails) através de etiquetas de confidencialidade. |
Experiência de cliente de etiquetagem Rotulagem obrigatória Integração de PDF de etiquetagem de confidencialidade |
| Aplique marcas de proteção a localizações (Sites e Equipas) e aplique proteções a localizações marcadas. | Configuração de sites e grupos de etiquetas de confidencialidade |
| Defina a sensibilidade das reuniões e implemente os controlos operacionais associados. | Etiquetagem de confidencialidade para itens de calendário e reuniões de equipas |
| Exigir que os utilizadores identifiquem a sensibilidade das áreas de trabalho do Power BI através de etiquetas de confidencialidade. | Power BI e integração de dados |
| Aplicar etiquetas a informações confidenciais que residem em sistemas de bases de dados. | Recursos de dados esquematizados |
| Aplique cabeçalhos de e-mail, que podem ser utilizados para identificar a sensibilidade dos itens recebidos e aplicar os controlos adequados. | Etiquetagem de e-mail durante o transporte |
Requisito principal B e requisito de suporte 2: Avaliar informações confidenciais e classificadas de segurança
| Capacidade de solução | Seção |
|---|---|
| Dê aos utilizadores a oportunidade de avaliar o valor, a importância e a sensibilidade dos itens ao selecionar uma etiqueta de confidencialidade. | Rotulagem obrigatória |
| Oriente os utilizadores na avaliação da confidencialidade dos itens através de caixas de diálogo pop-up de etiquetas que contêm descrições de etiquetas, visíveis durante a seleção da etiqueta. | Descrição do rótulo para usuários |
| Fornece a capacidade de configurar uma ligação do Learn more específica da organização que é acessível a partir do menu de seleção de etiquetas e pode fornecer aos utilizadores mais conselhos sobre etiquetas adequadas para tipos de informações. | Página de ajuda personalizada |
| Ajuda os utilizadores na avaliação das participações de informações ao detetar itens sub-classificados e ao recomendar a reavaliação, se adequado. | Recomendar etiquetas com base na deteção de conteúdo confidencial |
| Ajuda na avaliação de informações ao identificar dados confidenciais retirados ou que existem em aplicações de base de dados ou plataformas semelhantes. | Os dados exatos correspondem a tipos de informações confidenciais |
| Ajude na avaliação de informações ao utilizar machine learning para identificar itens que normalmente seriam considerados confidenciais. | Classificadores treináveis |
| Ajude os utilizadores na avaliação das participações de informações ao recomendar etiquetas alinhadas com as marcas aplicadas por organizações externas. | Recomendações baseadas em marcações de agências externas |
| Ajude os utilizadores na avaliação de retenção de informações ao recomendar etiquetas alinhadas com marcas históricas. |
Recomendações baseadas em marcas históricas Itens de etiquetagem automática com classificações de segurança históricas |
| Ajude os utilizadores na avaliação de retenção de informações ao recomendar etiquetas alinhadas com marcas que tenham sido aplicadas por soluções de classificação não Microsoft. | Recomendações baseadas em marcas aplicadas por ferramentas não Microsoft |
| Auxiliar na avaliação de informações ao fornecer notificações visuais aos utilizadores através da Sugestão de Política DLP quando são detetadas informações confidenciais num item. | Sugestões de política DLP antes da violação |
| Identifique informações confidenciais que residem nos sistemas de bases de dados, identifique as informações no local e permita que a etiqueta seja herdada em sistemas a jusante. |
Power BI e Azure Purview Mapa de Dados do Microsoft Purview |
Requisito Principal C: implementar controlos operacionais para estas informações é proporcional ao seu valor, importância e sensibilidade
| Capacidade de solução | Seção |
|---|---|
| Impeça a distribuição inadequada de informações classificadas de segurança através de políticas de Prevenção de Perda de Dados (DLP) com base em etiquetas de confidencialidade. | Proteger informações classificadas |
| Impedir a distribuição inadequada de informações confidenciais através de políticas de Prevenção de Perda de Dados (DLP) direcionadas para conteúdo confidencial. | Proteger informações confidenciais |
| Forneça marcas visuais em itens individuais que refletem a classificação de segurança aplicada às informações no item. | Marcação de conteúdo da etiqueta de confidencialidade |
| Forneça marcas visuais que refletem o nível mais elevado de confidencialidade que deve existir numa localização (site ou equipa). | Confidencialidade da localização e do item do SharePoint |
| Configure as definições de privacidade da localização com base na confidencialidade aplicada à localização. | Definições de privacidade de etiquetas |
| Ativar ou desativar o acesso de convidado a uma localização e a itens numa localização com base na etiqueta aplicada às localizações. | Configuração de acesso de convidado |
| Controle a configuração de partilha do Microsoft 365 para uma localização baseada no SharePoint (site ou Equipa), consoante a etiqueta aplicada à localização. | Configuração da partilha de etiquetas |
| Forneça notificações e alertas do utilizador para itens altamente confidenciais localizados em localizações de menor confidencialidade. | Alertas de dados fora do local |
| Configure outros requisitos de acesso a localizações altamente confidenciais (sites ou Teams). Por exemplo, a partir de dispositivos não geridos, dispositivos não seguros ou localizações desconhecidas. |
Acesso condicional Contexto de autenticação Proteger informações classificadas Controlar a partilha através da proteção adaptável |
| Encriptar itens altamente confidenciais para impedir o acesso de utilizadores não autorizados, independentemente da localização de um item. | Encriptação de etiquetas de confidencialidade |
| Configurar restrições de acesso e utilização para grupos de utilizadores internos ou convidados. | Alocar permissões de encriptação de etiquetas |
| Restrinja a movimentação de itens classificados de segurança e/ou as respetivas informações contidas para localizações onde o acesso ou a distribuição adicional das informações incluídas não podem ser controlados. |
Impedir a transferência ou impressão de itens classificados de segurança Impedir o carregamento de itens classificados de segurança para localizações não geridas |
Requisitos de suporte
Requisito 1: identificar as propriedades de informações
Não existem requisitos de suporte adicionais para além dos requisitos principais.
Requisito 2: Avaliar informações confidenciais e classificadas de segurança
Não existem requisitos de suporte adicionais para além dos requisitos principais.
Requisito 3: Desclassificação
| Capacidade de solução | Seção |
|---|---|
| Registe um registo auditável de todas as atividades relacionadas com etiquetas, incluindo a remoção ou a redução das etiquetas de confidencialidade aplicadas. Registe as atividades de alteração da etiqueta, incluindo o utilizador que efetuou a alteração e a respetiva justificação para o fazer. |
Justificação da alteração da etiqueta Registo de auditoria |
| Aplicar encriptação a itens que restringem a capacidade interna ou de convidados de modificar itens, preservando o item e marcação/classificação aplicada. | Alocar permissões de encriptação de etiquetas |
| Bloquear itens no local para impedir alterações de itens, incluindo a capacidade de alterar a etiqueta de confidencialidade aplicada. | Abordagem "bloquear" da etiqueta |
| Relatório sobre os utilizadores que estão a realizar atividades consideradas arriscadas para a segurança de informações, incluindo sequências de mudança para uma versão anterior da etiqueta e exfiltração. |
Abordagem baseada no risco do utilizador Monitorizar a Partilha através da Gestão de Riscos Internos Controlar a partilha através da proteção adaptável |
| Implemente políticas DLP para detetar marcas de proteção no alerta de itens se a etiqueta atualmente aplicada for inferior à marcação identificada. | Implicações para uma mudança para uma versão anterior da etiqueta maliciosa |
Requisito 4: marcar informações
| Capacidade de solução | Seção |
|---|---|
| Os clientes do Office fornecem uma identificação clara da confidencialidade de um item através de marcas de etiqueta baseadas no cliente. | Experiência de cliente de etiquetagem |
| Aplique marcas de proteção baseadas em texto para marcar informações confidenciais e confidenciais de segurança. |
Marcação de conteúdo da etiqueta de confidencialidade Estratégias de marcação de informações |
| Aplique marcas com códigos de cor para ajudar os utilizadores com identificação de confidencialidade. | Cor da etiqueta |
| Aplicar marcas de proteção através de metadados de e-mail (cabeçalhos x). | Aplicar cabeçalhos de marcação protetora de x através da política DLP |
| Aplicar marcas de proteção através do assunto do e-mail. | Aplicar marcações de e-mail baseadas no assunto |
| Aplicar marcas a localizações, como sites ou Teams. Estas marcas identificam o nível mais elevado de confidencialidade do item que deve existir na localização/contentor. | Alertas de dados fora do local |
| Identifique claramente a sensibilidade dos itens aos utilizadores ao trabalhar em diretórios baseados no SharePoint (sites, Teams ou OneDrive). | Localização e confidencialidade de itens do SharePoint |
Requisito 5: Utilizar metadados para marcar informações
| Capacidade de solução | Seção |
|---|---|
| Indexar propriedades de Marcador de Limitação e Limitação de Segurança de Segurança e Classificação de Segurança através da pesquisa do SharePoint, em conformidade com os requisitos do AGRkMS. | Gerir metadados de classificação e aviso |
| Aplique cabeçalhos x de marcação de proteção x para cumprir os requisitos de metadados de e-mail de acordo com o Anexo F da Política PSPF 8. | Aplicar cabeçalhos de marcação protetora de x através da política DLP |
| Aplique metadados a colunas de bases de dados que contenham informações confidenciais em sistemas de bases de dados ligados. | Power BI e integração de dados |
Requisito 6: Avisos e material responsável
| Capacidade de solução | Seção |
|---|---|
| Marcar informações com aviso e Marcadores de Limitação de Disseminação (DLMs) associados ou classificação através da estrutura de etiquetas de confidencialidade. | Taxonomia necessária da etiqueta de confidencialidade |
| Marcar avisos nos itens associados através de texto. |
Marcação de conteúdo da etiqueta de confidencialidade Marcações baseadas no assunto |
| Registe todas as transferências de material de entrada e saída. | Registo de auditoria |
| Aplicar restrições de distribuição e/ou acesso do Caveat. |
Limitar a distribuição de informações confidenciais Encriptação de etiquetas de confidencialidade |
Requisito 7: Requisitos mínimos de proteção e processamento
| Capacidade de solução | Seção |
|---|---|
| As informações armazenadas nos datacenters do Microsoft 365 são encriptadas inativamente através da encriptação BitLocker. | Descrição geral da encriptação |
| Exigir encriptação TLS para transmissão baseada em e-mail de itens confidenciais, garantindo que são encriptados quando transferidos através de redes públicas. | Exigir encriptação TLS para transmissão de e-mail confidencial |
| Configure o controlo de acesso granular para localizações marcadas (sites ou Teams) e bloqueie utilizadores, dispositivos ou localizações que não cumpram os requisitos de acesso ou autorização. |
Restrições de dispositivos não geridos Contexto de autenticação |
| Mantenha os princípios necessários ao restringir a partilha, o acesso de convidado e o controlo da configuração de privacidade de localizações marcadas. | Configuração de sites e grupos de etiquetas de confidencialidade |
| Aplique políticas DLP para ajudar a garantir a necessidade de saber e restringir a distribuição de itens a utilizadores internos e organizações externas não autorizados ou pouco claros. | Limitar a distribuição de informações confidenciais |
| Encripte itens confidenciais ou classificados de segurança, fornecendo controlo de acesso e garantindo que apenas os utilizadores autorizados têm acesso às informações contidas, independentemente da localização do item. | Encriptação de etiquetas de confidencialidade |
| Aplique proteções, incluindo controlos relacionados com encriptação, partilha e DLP a exportações ou PDFs gerados a partir de sistemas de origem etiquetados. | Power BI e integração de dados |
| Identifique itens marcados com classificações de segurança históricas e aninhamento automático com marcas modernas ou mantenha a etiqueta histórica juntamente com os controlos necessários. | Recomendações baseadas em marcas históricas |
Requisito 8: Eliminação
| Capacidade de solução |
|---|
| Implemente políticas de retenção, etiquetagem de retenção, ciclo de vida de dados e configurações de gestão de registos, incluindo a revisão de eliminação, para suportar requisitos de arquivo e registos. |
| Alinhe a marcação de segurança, a etiqueta/política de retenção e a disposição associada sempre que necessário (tenha em atenção que a segurança e o arquivo raramente estão alinhados). |
| Implemente políticas de retenção que removam permanentemente as informações assim que os requisitos de retenção de itens são cumpridos ou fornecem às equipas de gestão de registos a capacidade de revisão de eliminação que permitem a filtragem de itens antes da eliminação permanente. |
Estes artigos estão relacionados com Gerenciamento do Ciclo de Vida dos Dados do Microsoft Purview Proteção de Informações e estão fora do âmbito desta documentação de orientação. Para obter orientações sobre Gerenciamento do Ciclo de Vida dos Dados do Microsoft Purview, veja Gestão do ciclo de vida.
Requisito 9: debates confidenciais e classificados de segurança
| Capacidade de solução | Seção |
|---|---|
| Aplicar marcas de proteção a convites de reunião do Teams e itens de calendário do Outlook. Aplicar controlos a itens de calendário, como encriptação de anexos de reunião. |
Etiquetagem de itens de calendário |
| Aplique marcas de proteção a reuniões do Teams e configure controlos avançados para proteger conversações classificadas, incluindo técnicas de encriptação avançadas e marcas d'água de reunião. Encriptação ponto a ponto das conversações do Teams, fornecendo aos utilizadores a garantia de que os debates confidenciais ou confidenciais não podem ser intercetados. |
configuração da etiqueta Teams Premium |
Política PSPF 9: Acesso às informações
O acesso às informações baseia-se nos requisitos da Política PSPF 9 V2018.6 (atualizado a 16 de agosto de 2022).
A Política 9 do PSPF diz respeito ao acesso oportuno, fiável e adequado às informações oficiais.
Tal como acontece com a Política 8, a Política 9 é dividida em requisitos principais e de suporte.
Os comentários sobre as capacidades do Microsoft 365 que se alinham com os requisitos e ligações para as secções relevantes neste documento são fornecidos na tabela seguinte.
Para obter informações sobre a origem da política PSPF, consulte: Política PSPF 9: Acesso às informações.
Requisito Principal A: Ativar o acesso adequado ao partilhar informações na entidade e com outros intervenientes relevantes
| Capacidade de solução | Seção |
|---|---|
| Restrinja a partilha, privacidade e/ou acesso de convidado com base na etiqueta de confidencialidade aplicada a uma localização do SharePoint ou equipa. | Configuração de sites e grupos de etiquetas de confidencialidade |
| Restrinja a partilha ou atenção dos utilizadores quando tentam partilhar conteúdo etiquetado com grupos internos ou externos não autorizados. |
Impedir uma distribuição inadequada de informações classificadas de segurança Limitar a distribuição de informações confidenciais |
| Impedir a entrega de e-mails etiquetados ou anexos de e-mail a destinatários não autorizados. |
Impedir a distribuição de e-mail de informações classificadas para organizações não autorizadas Impedir a distribuição de e-mail de informações classificadas a utilizadores não autorizados |
| Restrinja o carregamento de conteúdo etiquetado para serviços cloud não aprovados ou localizações onde possam ser distribuídos ou acedidos por utilizadores não autorizados. | Impedir o carregamento de itens classificados de segurança para localizações não geridas |
| Impedir o acesso a itens etiquetados (ficheiros ou e-mails) por utilizadores não autorizados em situações em que foram partilhados de forma inadequada. | Encriptação de etiquetas de confidencialidade |
| Impedir que os itens etiquetados sejam carregados para serviços cloud não aprovados. Impedir que sejam impressos, copiados para USB, transferidos através de Bluetooth ou de aplicações não permitidas. |
Impedir a partilha de informações classificadas de segurança Impedir a transferência ou impressão de itens classificados de segurança |
Requisito Principal B: certifique-se de que as pessoas que acedem a informações confidenciais ou classificadas de segurança têm autorização de segurança adequada e precisam de saber essas informações
| Capacidade de solução | Seções |
|---|---|
| Restringir o acesso a localizações que contenham informações confidenciais ou classificadas apenas aos utilizadores autorizados. | Contexto de autenticação |
| Integrar etiquetagem de confidencialidade e DLP. As políticas podem ser criadas para impedir a partilha (por e-mail ou ação de partilha) de itens com determinadas marcas com utilizadores não autorizados. |
Impedir a distribuição de e-mail de informações classificadas para organizações não autorizadas Impedir a distribuição de e-mail de informações classificadas a utilizadores não autorizados Impedir a partilha de informações classificadas de segurança |
| Forneça sugestões de política DLP, que alertam os utilizadores contra a partilha de informações antes da violação da política, reduzindo a probabilidade de divulgação de informações devido a situações como identidade errada. | Sugestões de política DLP antes da violação |
| Monitorize, alerte e/ou bloqueie tentativas de partilha ou e-mail de itens etiquetados para utilizadores que não tenham autorização de segurança adequada. | Gestão de eventos DLP |
| Configure opções de Privacidade para sites ou Teams com base na marcação de uma localização. Isto ajuda a impedir o acesso aberto a localizações para utilizadores que não têm necessidade de saber e coloca os proprietários da equipa ou da localização no controlo do acesso a estas localizações. Também ajuda a cumprir o Requisito de Suporte 2 ao não fornecer automaticamente acesso com base em status, classificação ou conveniência. | Definições de privacidade de etiquetas |
| Configure Restrições de Partilha para um site ou Equipa, que garante que os itens em localizações marcadas só podem ser partilhados com utilizadores internos. | Configuração da partilha de etiquetas |
| Utilize a encriptação de etiquetas para controlar o acesso ao conteúdo etiquetado, garantindo que apenas os utilizadores autorizados têm a capacidade de aceder ao mesmo. | Ativar a encriptação de etiquetas |
| Alertar sobre informações classificadas de segurança ou marcadas de serem movidas para localizações de menor confidencialidade onde são acedidas mais facilmente por utilizadores não autorizados. | Alertas de dados fora do local |
Requisito Principal C: Controlar o acesso (incluindo o acesso remoto) a sistemas de TIC de suporte, redes, infraestrutura, dispositivos e aplicações
| Capacidade de solução | Seções |
|---|---|
| Permite a utilização do Acesso Condicional (AC) para restringir o acesso à aplicação do Microsoft 365 a utilizadores, dispositivos e localizações aprovados, apenas quando forem cumpridos os requisitos de autenticação adequados. | Acesso condicional |
| Fornecer controlo de acesso granular a localizações confidenciais ou classificadas de segurança. | Contexto de autenticação |
| Avalie a autenticação e autorização do utilizador no momento do acesso a itens encriptados (ficheiros ou e-mail). | Encriptação de etiquetas de confidencialidade |
Requisitos de suporte
Requisito de Suporte 1: Contratos formalizados para partilha de informações e recursos
| Capacidade de solução | Seções |
|---|---|
| Configure os Termos de Utilização como parte de uma política de Acesso Condicional, para que os convidados sejam obrigados a concordar com os termos antes de o acesso aos itens ser permitido. Isto complementa os contratos escritos entre organizações. | A configuração do Microsoft Entra Empresas para Empresas (B2B) está fora do âmbito deste guia1. Os conceitos são introduzidos no acesso condicional. |
| Implemente restrições para impedir a partilha de informações marcadas ou classificadas de segurança, mas também outros tipos de informações confidenciais com organizações externas. Podem ser aplicadas exceções a estas políticas para que a partilha seja permitida a uma lista aprovada de organizações para as quais são estabelecidos contratos formais. | Limitar a distribuição de informações confidenciais |
| Configure a encriptação para restringir o acesso a informações (ficheiros ou e-mail) a convidados, exceto para utilizadores ou organizações para os quais as permissões estão configuradas. | Encriptação de etiquetas de confidencialidade |
| Configure o acesso de convidado para permitir atividades de colaboração (incluindo partilha, coedit, chat e associação ao Teams) apenas com organizações aprovadas com as quais existem contratos formais. | Microsoft Entra configuração B2B está fora do âmbito deste guia1. Os conceitos ou a restrição do acesso de convidado a itens etiquetados são introduzidos na configuração de acesso de convidado |
| Audite o acesso e a associação de convidados, solicitando aos proprietários de recursos que removam os convidados quando já não forem necessários e recomendando a remoção quando os recursos não estão a ser acedidos. | Microsoft Entra configuração B2B está fora do âmbito deste guia1, 2. |
Observação
1 Para obter mais informações sobre Microsoft Entra configuração B2B, consulte Definições da Microsoft Cloud para colaboração B2B.
2 Para obter mais informações sobre revisões de acesso, veja revisões de acesso
Requisito de Suporte 2: Limitar o acesso a informações e recursos confidenciais e confidenciais
Não existem requisitos adicionais para além do Requisito Principal B.
Requisito de Suporte 3: Informações e recursos classificados de segurança de acesso contínuo
| Capacidade de solução | Seções |
|---|---|
| Configure políticas DLP para impedir a distribuição de informações classificadas de segurança aos utilizadores que não estão limpos para o nível adequado. | Impedir a distribuição de e-mail de informações classificadas para organizações não autorizadas |
| Limite o acesso a localizações que contenham informações classificadas de segurança (ou menos importantes) a indivíduos que sejam limpos para o nível adequado. | Contexto de autenticação |
| Ajudar a impedir que as informações classificadas ou marcadas de segurança sejam movidas para localizações de menor confidencialidade onde são facilmente acedidas por utilizadores não autorizados. | Alertas de dados fora do local |
| Configure a encriptação para garantir que os utilizadores que saem da organização já não têm acesso a material confidencial. | Encriptação de etiquetas de confidencialidade |
Requisito de Suporte 4: Acesso temporário a informações e recursos classificados
| Capacidade de solução | Seções |
|---|---|
| Configure a encriptação de etiquetas para conceder acesso temporário a itens confidenciais e revogar o acesso após um período de tempo, tornando os itens ilegíveis pelo destinatário. | Expiração do acesso ao conteúdo |
Requisito de Suporte 5: Gerir o acesso a sistemas de informação
| Capacidade de solução | Seções |
|---|---|
| Configure políticas de Acesso Condicional (AC) para exigir a identificação do utilizador, a autenticação, incluindo outros fatores de "autenticação moderna", como a MFA, o dispositivo gerido ou a localização conhecida, antes de conceder acesso aos serviços. | Acesso condicional |
| Aplique outros requisitos de acesso condicional aos utilizadores quando acederem a localizações, que estão marcadas com determinadas etiquetas. | Contexto de autenticação |
| Configure a encriptação de etiquetas, que confirma a identidade, a autenticação e a autorização sempre que um item encriptado é acedido por um utilizador. | Encriptação de etiquetas de confidencialidade |
Manual de Segurança de Informações (ISM)
O objetivo do Manual de Segurança de Informações (ISM) é delinear uma arquitetura de cibersegurança que as organizações podem aplicar, utilizando a respetiva arquitetura de gestão de riscos, para proteger as suas informações e sistemas contra ameaças. O manual contém controlos que as organizações governamentais e outros que trabalham sob o PSPF para governos federal australiano, estadual e local devem implementar, e ao nível adequado associado à classificação de dados que estão a gerir.
A intenção deste guia de Proteção de Informações do Microsoft Purview não é substituir qualquer trabalho detalhado que as organizações devam fazer para avaliar o seu alinhamento com o ISM. Destina-se a orientar as organizações na configuração do Microsoft 365 que se alinham com os controlos ISM.
Para obter orientações mais abrangentes sobre a configuração adequada do Microsoft 365, recomendamos o Esquema do ASD para a Cloud Segura.
Os requisitos do ISM abordados nesta secção referem-se à versão do ISM – março de 2023.
Os seguintes requisitos do ISM são relevantes para uma configuração de Proteção de Informações do Microsoft Purview organizações governamentais:
ISM-0270: As marcas de proteção são aplicadas a e-mails e refletem a mais alta sensibilidade ou classificação do assunto, corpo e anexos
| Capacidade de solução | Seções |
|---|---|
| A herança de etiquetas garante que um e-mail é marcado de acordo com a confidencialidade mais elevada aplicada ao item ou anexo. | Herança de etiquetas |
| Identifique informações confidenciais e recomende a aplicação de uma marcação de confidencialidade superior se um item estiver classificado. |
Etiquetagem automática baseada no cliente Identificar informações confidenciais |
ISM-0271: As ferramentas de marcação protetora não inserem automaticamente marcas de proteção em e-mails
| Capacidade de solução | Seções |
|---|---|
| Exigir que os utilizadores selecionem uma etiqueta de confidencialidade adequada para cada item (ficheiro ou e-mail) e peçam-lhes uma etiqueta caso não tenham aplicado uma. | Rotulagem obrigatória |
| Configure recomendações de etiquetas para sugerir que uma etiqueta é aplicada após a deteção de conteúdo confidencial, deixando a determinação até ao utilizador. | Recomendações de etiquetagem automática baseadas no cliente |
ISM-0272: As ferramentas de marcação protetora não permitem que os utilizadores selecionem marcas de proteção que um sistema não está autorizado a processar, armazenar ou comunicar
| Capacidade de solução | Seções |
|---|---|
| Os utilizadores só podem selecionar e aplicar etiquetas de confidencialidade aos itens que lhes são publicados através de uma política de etiquetagem. |
Políticas de etiquetas de confidencialidade Etiquetas para obter informações para além do nível protegido A bloquear a transmissão de classificações não autorizadas |
ISM-1089: As ferramentas de marcação protetora não permitem que os utilizadores que respondam ou reencaminham e-mails selecionem marcas de proteção inferiores às utilizadas anteriormente
| Capacidade de solução | Seções |
|---|---|
| Observando as diferenças entre este controlo e a abordagem do Microsoft 365, o Purview pode ser configurado para exigir justificação comercial para remover ou reduzir uma etiqueta de confidencialidade. Estas informações são mantidas no registo de auditoria, apresentadas através de portais de classificação de dados e podem ser exportadas através de soluções de Gestão de Informações e Eventos de Segurança (SIEM), como Sentinel. Estas informações também são consideradas nas métricas da Gestão de Riscos Internos (IRM), que podem ser utilizadas para identificar utilizadores de risco e impedi-los de realizar atividades nefastas. |
Controlar o e-mail de informações marcadas através de DLP Implicações para uma mudança para uma versão anterior da etiqueta maliciosa Justificação da alteração da etiqueta Registo de Auditoria Impedir a partilha de informações classificadas de segurança |
| Configure a gestão de direitos e encriptação baseada em etiquetas para impedir alterações a itens etiquetados para utilizadores que não tenham permissões suficientes, impedindo alterações de etiqueta. | Encriptação de etiquetas de confidencialidade |
ISM-0565: Email servidores estão configurados para bloquear, registar e reportar e-mails com marcas de proteção inadequadas
| Capacidade de solução | Seções |
|---|---|
| Implemente políticas DLP para impedir a receção e a distribuição adicional de itens com classificações que não são permitidas na plataforma. | A bloquear a transmissão de classificações não autorizadas |
| Configure políticas DLP ou Regras do Fluxo de Correio do Exchange para bloquear, registar e comunicar e-mails com marcas em falta. |
Rotulagem obrigatória A bloquear a transmissão de e-mails não etiquetados |
ISM-1023: Os destinatários pretendidos de e-mails de entrada bloqueados e os remetentes de e-mails de saída bloqueados são notificados
| Capacidade de solução | Seções |
|---|---|
| Configure políticas DLP ou regras de fluxo de Correio do Exchange com diferentes opções de notificação com base no destinatário. | A bloquear a transmissão de e-mails não etiquetados |
ISM-0572: A encriptação TLS oportunista está ativada em servidores de e-mail que fazem ligações de e-mail de entrada ou saída através da infraestrutura de rede pública
| Capacidade de solução | Seções |
|---|---|
| O Transport Layer Security (TLS) oportunista está configurado por predefinição no Exchange Online. Configure os conectores de e-mail para definir a encriptação TLS como obrigatória para a transmissão de e-mails confidenciais, sem a necessidade de impor estes requisitos em itens de menor confidencialidade. |
Exigir encriptação TLS para transmissão de e-mail confidencial |
ISM-1405: é implementada uma instalação de registo de eventos centralizada e os sistemas são configurados para guardar os registos de eventos na instalação assim que possível após cada evento ocorrer
| Capacidade de solução | Seções |
|---|---|
| O registo de auditoria unificado fornece o registo de eventos centralizado para todos os serviços do Microsoft 365. | Registo de auditoria |
ISM-0859: os registos de eventos, excluindo os dos serviços do Sistema de Nomes de Domínio e proxies Web, são retidos durante, pelo menos, sete anos
| Capacidade de solução | Seções |
|---|---|
| Os registos de auditoria podem ser retidos até 10 anos através de políticas de retenção de registos de auditoria. Este período pode ser alargado através da integração do Microsoft 365 com uma solução SIEM, como Sentinel. | Registo de auditoria |
ISM-0585: para cada evento registado, a data e hora do evento, o utilizador ou processo relevante, o nome de ficheiro relevante, a descrição do evento e o equipamento de TIC envolvido são registados
| Capacidade de solução | Seções |
|---|---|
| O registo de auditoria do Microsoft 365 captura os detalhes do evento administrativo e do utilizador. Para cada evento, são registados detalhes relevantes, como item, utilizador, atividade concluída e hora do evento. Os registos de auditoria capturam eventos para atividades relacionadas com etiquetas, tais como etiquetar aplicação e alterações. |
Registo de auditoria |
ISM-0133: quando ocorre um derrame de dados, os proprietários de dados são aconselhados e o acesso aos dados é restrito
| Capacidade de solução | Seções |
|---|---|
| Configure políticas DLP para detetar derrames de dados e notificar as partes apropriadas após a deteção. | A bloquear a transmissão de classificações não autorizadas |
Australian Government Recordkeeping Metadata Standard
A versão dos requisitos do AGRkMS referidos neste guia é AGRkMS V2.2 (junho de 2015).
O Australian Government Recordkeeping Metadata Standard (AGRkMS) e o guia agRkMS que o acompanha definem o tipo de metadados que as agências do Governo australiano devem incluir nos seus sistemas empresariais e especifica os requisitos mínimos obrigatórios.
Entre estes requisitos estão as propriedades de metadados para "Classificação de Segurança" e "Aviso de Segurança", que se alinham com a Política PSPF 8.
A norma inclui uma declaração de finalidade para a inclusão destas propriedades de metadados. Tal como acontece com os requisitos mencionados nas secções anteriores, o objetivo da inclusão destas propriedades do AGRkMS nesta norma está em conformidade com as capacidades fornecidas pelo Proteção de Informações do Microsoft Purview e ferramentas do Microsoft 365 associadas:
| Requisito | Seções |
|---|---|
| 1. Para facilitar ou restringir o acesso a registos ou a determinadas funções empresariais, atividades ou transações, por funcionários da agência ou pelo público (Classificação e Ressalva). 2. Para impedir o acesso a registos ou a determinadas funções empresariais, atividades ou transações, por utilizadores com permissões de segurança insuficientes (Classificação). 3. Para permitir a restrição de acesso a registos por parte de pessoas com permissões de segurança insuficientes (Caveat). |
Impedir uma distribuição inadequada de informações classificadas de segurança Etiquetar as definições de acesso de convidado Configuração da partilha de etiquetas Contexto de autenticação Alertas de dados fora do local |
| 4. Para ativar registos, funções empresariais, atividades ou transações e mandatos com sensibilidades de segurança para serem devidamente identificados e geridos (Classificação e Ressalva). |
Experiência de cliente de etiquetagem Etiquetar marcação de conteúdo Localização e confidencialidade de itens do SharePoint |
| 5. Para alertar os utilizadores para restrições de segurança no acesso a registos e mandatos (Classificação e Aviso). |
Impedir a distribuição de e-mail de informações classificadas para organizações não autorizadas Impedir a partilha de informações classificadas de segurança |
| 6. Para impedir a deteção da natureza das informações ou atividades abrangidas por compartimentos de segurança específicos (Classificação e Aviso). | Limites de conformidade |
Estes requisitos de metadados podem ser cumpridos na plataforma do Microsoft 365 sem qualquer manipulação avançada de metadados. No entanto, as organizações governamentais que aspiram a utilizar o Microsoft 365 para gestão de registos no local e que pretendem cumprir integralmente os requisitos do AGRkMS devem considerar os conselhos fornecidos na secção gerir metadados de classificação e ressalva deste guia.
Requisitos do Estado do Governo
A secção seguinte fornece referências aos requisitos do Governo do Estado e algumas notas de alto nível sobre como os seus quadros diferem do Governo Federal.
Território da Capital Australiana
O governo australiano do Território da Capital (ACT) utiliza o ACT Government Protective Security Policy Framework (PSPF), que é semelhante ao padrão do Governo Federal na intenção, etiquetas necessárias e Marcadores de Gestão de Informação (MI). Por conseguinte, o conselho neste guia é directamente aplicável ao ACT Government.
Nova Gales do Sul
O novo governo do Estado de Gales do Sul (NSW) utiliza as Diretrizes de Classificação, Etiquetagem e Processamento de Informações do Governo da NSW.
Estes requisitos alinham-se com o padrão PSPF Federal a um nível elevado, uma vez que ambos os conjuntos de requisitos utilizam etiquetas NÃO OFICIAIS para PROTEGIDOs. No entanto, a norma NSW utiliza um conjunto diferente de Marcadores de Limitação de Disseminação (DLMs) que não estão alinhados com as etiquetas Federais:
"O OFFICIAL: Sensitive label é aplicado pelo Governo australiano, e outros estados e territórios. O Nsw Government não aplicará esta etiqueta às suas informações porque os seis DLMs utilizados no NSW com o prefixo OFICIAL: Sensível permitem a especificidade necessária na NSW. Isto significa que as informações identificadas como OFICIAL: Confidencial são consideradas como estando originadas de fora do NSW Government."
Isto significa que as informações confidenciais do Nsw Government não estão marcadas com etiquetas federais, mas são tratadas separadamente. Por exemplo, a etiqueta "OFFICIAL Sensitive - NSW Government" não tem um equivalente PSPF, pelo que a tradução para uma etiqueta PSPF não é adequada.
Existem três opções que as organizações do Governo Federal que colaboram com o NSW Government devem considerar ao conceber a configuração do MPIP:
- Utilização de etiquetas ocultas em que o administrador implementa um conjunto de etiquetas que não são publicadas para os utilizadores, mas que estão disponíveis para o serviço de etiquetagem automática. As etiquetas ocultas permitem que as informações geradas pelas organizações do Governo do Estado recebam proteções semelhantes a informações internas sem a necessidade de voltar a etiquetar itens com marcas PSPF. Para obter mais informações, veja etiquetas para organizações com taxonomias de etiquetas diferentes.
- Utilização de Tipos de Informações Confidenciais (SIT) em que as organizações implementam um conjunto de SITs, que identificam informações marcadas com etiquetas do NSW Government. Estes SITs são utilizados no DLP e noutros tipos de política para garantir que as informações são tratadas adequadamente. Para obter mais informações, veja tipos de informações confidenciais personalizados.
- Utilização de etiquetas alinhadas com a NSW em que as organizações optam por aplicar etiquetas às informações recebidas que mais se alinham com as marcações do NSW Government. Isto pode ser acionado manualmente pelos utilizadores, potencialmente com a ajuda da etiquetagem automática para sugerir o mais adequado (OFICIAL: Sensível na maioria dos casos). Com esta abordagem, a marcação visual da NSW ainda se aplica aos itens e é complementada com equivalentes federais em e-mails de resposta. Isto ajudaria a garantir que as informações estão protegidas de acordo com as configurações do inquilino enquanto residem no ambiente. Para obter mais informações, veja recomendações baseadas em marcações de agências externas.
Estas opções também são relevantes para organizações governamentais da NSW que estão a considerar a melhor forma de lidar com informações recebidas com marcações PSPF Federais, ou marcas aplicadas por outros Governos do Estado.
Território do Norte
O governo do Território do Norte (NT) utiliza a Organização do Setor Público do Território do Norte (NTG PSO): Sistema de Classificação de Segurança.
Este sistema tem um alinhamento parcial com o PSPF Federal, uma vez que existem etiquetas NÃO CLASSIFICADAS e PROTEGIDAs na estrutura. No entanto, também utiliza etiquetas CONFIDENCIAIS e PÚBLICAs, o que significa que as organizações que colaboram com o NT Government devem considerar métodos de tradução de etiquetas ou identificação de informações CONFIDENCIAIS do Governo NT através dos métodos mencionados anteriormente na secção governamental da NSW, a fim de garantir que as informações são protegidas enquanto residem em ambientes do Microsoft 365 do Governo Federal.
As organizações do NT Government devem considerar os conselhos neste documento, mas adicionar uma etiqueta PÚBLICA e substituir OFICIAL: Confidencial para etiquetas CONFIDENCIAIS. Os pontos acima indicados em torno da proteção de informações de outras jurisdições também são relevantes, pelo que a NT deve implementar Tipos de Informações Confidenciais, etiquetas não publicadas ou recomendações de etiquetagem baseadas no cliente, conforme discutido na secção NSW.
Queensland
As organizações do Governo de Queensland são obrigadas a aderir ao Queensland Government Information Security Classification Framework (QGISCF)
Tal como a NSW e a NT, os requisitos do governo de Queensland diferem do PSPF - mas a QGISCF utiliza uma topologia semelhante de etiquetas OFICIAIS, CONFIDENCIAIS e PROTEGIDAs e as informações fornecidas neste documento são relevantes.
O QGISCF destina-se a ser compatível com o Australian Government Protective Security Policy Framework e o Australian Government Information Security Manual. Por este motivo, as organizações do Governo Federal devem utilizar a etiquetagem automática para traduzir as informações que recebem de organizações do Governo de Queensland em etiquetas PSPF equivalentes (SENSITIVE to OFFICIAL: Sensitive, por exemplo) para garantir que essas informações estão dentro do âmbito do DLP e de outras proteções enquanto residem em ambientes do Microsoft 365 do Governo Federal. O inverso aplica-se às organizações do Governo de Queensland que recebem informações do Governo Federal.
Sul da Austrália
O SapSF (South Australian Protection Security Framework) (SAPSF) inclui uma política chamada "INFOCEC1: Proteger informações oficiais". Esta política alinha-se com o padrão federal a um nível elevado, observando algumas variações em termos de marcadores de gestão de informações e ressalvas (por exemplo, SA CABINET e Medical in Confidence). Devido a este alinhamento, as organizações do Governo Federal devem ser capazes de identificar e proteger itens confidenciais da SA Government sem uma variação significativa das suas configurações. Os pareceres fornecidos neste documento são relevantes para o Governo da SA sem necessidade significativa de tradução para marcações locais.
As organizações do Governo Federal que recebem informações de agências do Governo da SA devem considerar a forma como as informações da SA Government são protegidas nos seus ambientes. Estabelecimento de SITs ou etiquetas de confidencialidade não publicadas para capturar marcas específicas de SA e políticas DLP para aplicar proteções adequadas (conforme abrangido por etiquetas para organizações com taxonomias de etiquetas diferentes), conforme adequado.
As organizações da SA Government que utilizam este guia devem considerar que a arquitetura SAPSF não especifica requisitos de metadados de e-mail, como cabeçalhos X. Esta é uma lacuna, uma vez que, sem a especificação, as organizações da SA Government podem ter dificuldade em manter as classificações e as proteções associadas à medida que as informações são transmitidas entre organizações. A utilização da norma PSPF Federal para este procedimento é adequada para obter a tradução de etiquetas de e-mail (conforme abrangido na etiquetagem de e-mail durante o transporte).
A abordagem utilizada nos cabeçalhos PSPF X-Protective-Marking pode ser adaptada para abranger etiquetas específicas da SA, como SA CABINET e Medical in Confidence. Algumas organizações da SA Government implementaram metadados de estilo PSPF, independentemente de não estarem incluídos no SAPSF. Um exemplo disto seria definir um cabeçalho de Marcação ProtetorA X de "VER=2018.6, NS=sa.gov.au, SEC=OFFICIAL". Esta abordagem mitiga os riscos associados à partilha de informações entre organizações governamentais da SA e fornece uma marcação que outros estados e organizações federais podem utilizar para determinar as proteções necessárias das informações incluídas.
Tasmânia
O Information Security Classification Standard para o Governo da Tasmânia (TAS) é um projecto e está a ser analisado.
Para obter informações sobre as marcações atualmente em utilização pelo TAS Government, veja Classificação de Segurança de Informações do TAS
As organizações do Governo Federal que pretendem garantir que protegem as informações recebidas do TAS Government devem utilizar controlos implementados para ajudar a proteger as informações legadas na versão anterior do PSPF. Para obter mais informações, veja Recomendações baseadas em marcas históricas.
Vitória
O quadro do Governo Vitoriano (VIC) é o Victorian Protective Data Security Framework (VPDSF) é semelhante à SA, mas ainda está estreitamente alinhado com o PSPF Federal.
As organizações do Governo Do Estado Vitoriano devem considerar os conselhos fornecidos neste guia como relevantes para os seus próprios ambientes.
Para a arquitetura VIC, a diferença para as marcas aplicadas através de cabeçalhos x de e-mail para valores de domínio e versão. As marcações do Gabinete do Governo Vitoriano também diferem das do Governo Federal, pelo que as organizações do Governo Vitoriano devem anotar um x-header especial de "SH:CABINET-IN-CONFIDENCE" é necessário em vez do "SH:NATIONAL-CABINET". Para obter mais informações sobre o processamento especial, veja Aplicar cabeçalhos de marcação de proteção x através da política DLP.
Austrália Ocidental
O Governo da Austrália Ocidental (WA) tem uma Política de Classificação de Informações, faz uso de etiquetas OFFICIAL, OFFICIAL e OFFICIAL: Sensitive, que se alinham estreitamente com as classificações PSPF do Governo Federal. No entanto, o acesso e outros requisitos diferem.
A política afirma que "Para a protecção das informações classificadas de segurança da Commonwealth, as agências são obrigadas a cumprir as disposições dos acordos inter-jurisdicionais relevantes.". Isto significa que os requisitos do Governo Federal têm de ser considerados pelas agências governamentais da WA.
Os clientes do WA Government devem considerar os conselhos fornecidos neste documento pela sua relevância para as suas próprias configurações.
Para organizações do Governo Federal que recebem informações de organizações do Wa Government, uma vez que a abordagem WA se alinha com a Federal, a etiquetagem automática e outras configurações abrangidas neste guia ajudam a garantir que essas informações são protegidas enquanto residem em ambientes federais do Microsoft 365.