Compartilhar via

Planejamento de implementação do Power BI: auditoria de proteção de informações e prevenção contra perda de dados para o Power BI

  • Artigo

Observação

Este artigo faz parte da série de artigos sobre o Planejamento de implantação do Power BI. Essa série se concentra principalmente na experiência do Power BI dentro do Microsoft Fabric. Para ter uma introdução a essa série, confira Planejamento de implementação do Power BI.

Este artigo descreve o tipo de auditoria que você pode fazer depois de implementar a proteção de informações e a DLP (prevenção contra perda de dados). Ele destina-se a:

  • Administradores do Power BI: os administradores responsáveis por supervisionar o Power BI na organização. Os administradores do Power BI precisam de colaborar com equipes de segurança da informação e outras equipes relevantes.
  • Equipe do Centro de Excelência, de TI e do BI: Outros que também são responsáveis por supervisionar o Power BI na organização. Talvez seja necessário colaborar com administradores do Power BI, equipes de segurança da informação e outras equipes relevantes.

É importante entender como a proteção de informações e a prevenção contra perda de dados são usadas em sua organização. Você pode fazer isso executando a auditoria, que pode:

  • Acompanhar padrões de uso, atividade e adoção
  • Dar suporte a requisitos de governança e segurança
  • Encontrar problemas de não conformidade com requisitos específicos
  • Documentar a configuração atual
  • Identificar oportunidades de treinamento e educação do usuário

Lista de verificação – Ao considerar a auditoria para proteção de informações e DLP, as principais decisões e ações incluem:

  • Decidir o que é mais importante para auditar: considere o que é mais importante de uma perspectiva de auditoria. Priorize as áreas de risco, as principais ineficiências ou a não conformidade com requisitos regulatórios. Quando surge uma situação que pode ser melhorada, instrua os usuários sobre as maneiras adequadas de fazer as coisas.
  • Implementar processos de auditoria relevantes: coloque os processos em vigor para extrair, integrar, modelar e criar relatórios para que a auditoria possa ser realizada.
  • Tomar as medidas adequadas: usando as informações obtidas dos processos de auditoria, verifique se alguém tem autoridade e tempo para tomar as medidas adequadas. Dependendo da situação, pode envolver o ajuste de quais rótulos de confidencialidade são atribuídos ao conteúdo. Outras situações podem envolver a instrução ou treinamento do usuário.

O restante deste artigo descreve processos e sugestões úteis de auditoria.

Log de atividades Power BI

Para ajudar na proteção de informações, você pode usar o log de atividades do Power BI para acompanhar atividades relacionadas a rótulos de confidencialidade.

Quando você implementa a DLP para o Power BI, o log de atividades acompanha quando há uma correspondência de regra DLP.

  • O que procurar: você pode determinar quando atividades específicas ocorrem, como:
    • Os rótulos de confidencialidade que foram aplicados, alterados, excluídos e por quais usuários
    • Se os rótulos foram aplicados manualmente
    • Se os rótulos foram aplicados automaticamente (por exemplo, por herança ou um pipeline de implantação)
    • Se um rótulo alterado passou por upgrade (para um rótulo mais confidencial) ou downgrade (para um rótulo menos confidencial)
    • Com que frequência os eventos DLP são disparados, onde e por quais usuários
  • Ações a serem tomadas: verifique se os dados do log de atividades são extraídos regularmente por um administrador que tem permissão para extrair metadados no nível do locatário. Determine como classificar atividades para dar suporte às suas necessidades de auditoria. Algumas atividades podem justificar a revisão por um administrador ou proprietário do conteúdo (por exemplo, quando um rótulo é excluído). Outras atividades podem justificar a inclusão em revisões de auditoria regulares (por exemplo, quando os rótulos passam por downgrade ou quando ocorrem correspondências de regra DLP).
  • Onde encontrar esses dados: os administradores do Power BI podem usar o log de atividades do Power BI para exibir atividades relacionadas ao conteúdo do Power BI. Como alternativa, no Defender for Cloud Apps, você pode conceder aos administradores do Power BI uma exibição limitada para que eles possam ver eventos de log de atividades, eventos de entrada e outros eventos relacionados ao serviço do Power BI.

Métricas de proteção do Power BI

O relatório de métricas de proteção de dados é um relatório dedicado no portal de administração do Power BI. Ele resume como os rótulos de confidencialidade são atribuídos ao conteúdo em seu locatário do Power BI.

  • O que procurar: você pode entender rapidamente a frequência com que os rótulos de confidencialidade são aplicados a cada tipo de item (por exemplo, modelo semântico ou relatório) no serviço do Power BI.
  • Ações a serem tomadas: examine este relatório para se familiarizar com a quantidade de conteúdo que não tem um rótulo aplicado.
  • Onde encontrar esses dados: os administradores do Power BI podem encontrar o relatório de métricas de proteção de dados no portal de administração do Power BI.

Dica

O relatório de métricas de proteção de dados é um relatório de resumo. Você também pode usar as APIs do verificador, que são descritas na próxima seção, para executar uma análise mais profunda.

APIs do verificador do Power BI

As APIs do verificador do Power BI permitem que você verifique os metadados no seu locatário do Power BI. Os metadados dos itens do Power BI, como modelos semânticos e relatórios, podem ajudá-lo a monitorar e revisar a atividade do usuário de autoatendimento.

Por exemplo, você pode descobrir que o conteúdo em um espaço de trabalho financeiro foi atribuído a três rótulos de confidencialidade diferentes. Se algum desse rótulos não for apropriado para dados financeiros, você poderá aplicar rótulos mais adequados.

  • O que procurar: você pode criar um inventário de itens do Power BI em seu locatário, incluindo o rótulo de confidencialidade de cada item.
  • Ações a serem tomadas: crie um processo para verificar seu locatário semanalmente ou mensalmente. Use os metadados recuperados pelas APIs do verificador para entender como o conteúdo do Power BI foi rotulado. Investigue mais se você descobrir que alguns rótulos não atendem às expectativas para o espaço de trabalho. Correlacione metadados das APIs do verificador com eventos do log de atividades do Power BI para determinar quando um rótulo de confidencialidade foi aplicado, alterado, excluído e por qual usuário.
  • Onde encontrar esses dados: administradores do Power BI podem usar as APIs do verificador do Power BI para recuperar um instantâneo dos rótulos de confidencialidade aplicados a todo o conteúdo do Power BI. Se você preferir criar seus próprios relatórios de inventário, poderá usar as APIs diretamente gravando scripts. Como alternativa, você pode usar as APIs indiretamente registrando o Power BI no Mapa de Dados do Microsoft Purview (que usa as APIs do verificador do Power BI para verificar o locatário do Power BI).

Gerenciador de atividades do Microsoft Purview

O gerenciador de atividades no portal de conformidade do Microsoft Purview agrega dados de auditoria úteis. Esses dados podem ajudá-lo a entender as atividades entre aplicativos e serviços.

Dica

O gerenciador de atividades expõe apenas determinados tipos de eventos do Power BI. Planeje usar o log de atividades do Power BI e o gerenciador de atividades para ver eventos de exibição.

  • O que procurar: você pode usar o gerenciador de atividades para exibir a atividade do rótulo de confidencialidade a partir de vários aplicativos, incluindo Teams, SharePoint Online, OneDrive, Exchange Online e Power BI. Também é possível ver quando um arquivo foi lido, onde e por qual usuário. Determinados tipos de eventos de política DLP também são mostrados no gerenciador de atividades. Quando uma justificativa é fornecida para explicar uma alteração do rótulo de confidencialidade, você pode ver o motivo no gerenciador de atividades.
  • Ações a serem tomadas: examine regularmente os eventos do gerenciador de atividades para identificar se há áreas de interesse ou eventos que justificam uma investigação mais aprofundada. Alguns eventos podem justificar a revisão por um administrador ou proprietário do conteúdo (por exemplo, quando um rótulo é removido). Outros eventos podem justificar a inclusão em revisões de auditoria regulares (por exemplo, quando os rótulos passam por downgrade).
  • Onde encontrar esses dados: os administradores do Microsoft 365 podem usar o gerenciador de atividades no portal de conformidade do Microsoft Purview para exibir todas as atividades de rótulo de confidencialidade.

Gerenciador de conteúdo do Microsoft Purview

O gerenciador de conteúdo no portal de conformidade do Microsoft Purview fornece um instantâneo da localização das informações confidenciais em um amplo espectro de aplicativos e serviços.

Dica

Não é possível ver arquivos do Power BI Desktop (.pbix) no gerenciador de conteúdo. No entanto, você pode usar o gerenciador de conteúdo para ver determinados tipos de arquivos com suporte exportados do serviço do Power BI, como arquivos do Excel.

  • O que procurar: você pode usar o gerenciador de conteúdo para determinar quais dados confidenciais são encontrados em vários locais, como Teams, SharePoint Online, OneDrive e Exchange Online.
  • Ações a serem tomadas: examine o gerenciador de conteúdo quando precisar entender qual conteúdo existe e onde ele reside. Use essas informações para avaliar as decisões tomadas e se outras ações devem ser tomadas.
  • Onde encontrar esses dados: os administradores do Microsoft 365 podem usar o gerenciador de conteúdo no portal de conformidade do Microsoft Purview para localizar onde os dados confidenciais residem atualmente.

Conteúdo relacionado

Para obter mais considerações, ações, critérios de tomada de decisão e recomendações para ajudar você com decisões de implementação do Power BI, veja as áreas de atuação do planejamento de implementação do Power BI.