Оповещения и политики оповещений диспетчера соответствия требованиям Microsoft Purview

Совет

Если вы не являетесь клиентом E5, используйте 90-дневную пробную версию решений Microsoft Purview, чтобы узнать, как дополнительные возможности Purview могут помочь вашей организации управлять безопасностью данных и соответствием требованиям. Начните сейчас в центре пробных версий Microsoft Purview. Сведения о регистрации и условиях пробной версии.

Обзор

Диспетчер соответствия требованиям может оповещать вас об изменениях, как только они произойдут, чтобы вы могли следить за своими целями соответствия. Например, можно настроить оповещения, информирующие вас о том, что значение оценки действия по улучшению увеличилось или уменьшилось из-за изменения конфигурации в клиенте или когда пользователю было назначено действие по улучшению для выполнения работы по реализации или тестированию. Просмотрите типы событий , для которых можно создавать оповещения.

Для создания оповещений необходимо сначала настроить политику оповещений, чтобы указать условия, которые активируют оповещение, и частоту уведомлений. Когда мы обнаруживаем соответствие условиям вашей политики, вы получите по электронной почте уведомление с подробными сведениями, чтобы определить, следует ли исследовать или предпринять дальнейшие действия.

Все оповещения отображаются на странице Оповещения в диспетчере соответствия требованиям, а все политики оповещений — на странице Политики (в классическом Портал соответствия требованиям Microsoft Purview эта страница называется политиками оповещений). Для всех организаций уже настроена политика изменения оценки по умолчанию .

Основные сведения о политиках и страницах оповещений

Важно!

Чтобы получить доступ к страницам политики и оповещения, пользователи должны иметь роль читателя безопасности в Microsoft Entra ID. Для работы с оповещениями и политиками оповещений требуются дополнительные роли диспетчера безопасности и соответствия требованиям. Дополнительные сведения см. в разделе Разрешения политики оповещений.

Страница "Политики"

Выберите Политики (или Политики оповещений при использовании классического портала) в диспетчере соответствия требованиям для просмотра политик оповещений и управления ими. Страница Политики содержит таблицу со всеми политиками, созданными вашей организацией. На этой странице можно создавать новые политики, изменять существующие политики, изменять состояние активации и удалять политики.

В столбце Состояниезначение Активно означает, что политика действует и активирует оповещения при выполнении условий. Неактивно означает, что политика существует, но не создает оповещения. В таблице политик также показаны серьезность политики и дата последнего изменения политики.

Чтобы просмотреть сведения об отдельной политике, выберите ее строку в таблице. Откроется всплывающий элемент со всеми сведениями. Нажмите кнопку Действие в нижней части панели и выберите один из вариантов, чтобы изменить политику, просмотреть ее оповещения или удалить ее. Команды для добавления, изменения, удаления, активации и отключения также доступны в верхней части таблицы над фильтрами.

Чтобы приступить к созданию политики оповещений, см. статью Создание политики генерации оповещений.

Страница оповещений

Выберите Оповещения в диспетчере соответствия требованиям для просмотра оповещений и управления ими. Страница Оповещения содержит таблицу, в которой перечислены каждое оповещение, созданное политикой оповещений, а также его серьезность и событие триггера (например, изменение оценки действия) и дата оповещения.

Чтобы просмотреть отдельное оповещение, выберите его строку в таблице. Откроется всплывающий элемент со всеми сведениями на вкладке Обзор области. На вкладке Журнал событий отображаются действия, выполненные пользователями, которые активировали оповещение.

Кнопка Действия в нижней части панели позволяет назначить пользователю оповещение для дальнейших действий, отправить электронное письмо пользователю, действия которого создали оповещение, или просмотреть сведения о политике, создающей оповещение. Вы также можете выполнить те же действия, щелкнув круглую кнопку, которая отображается слева от имени оповещения при наведении указателя мыши на его строку, а затем щелкнув одну из кнопок в верхней части таблицы над фильтрами.

Сведения о начале работы с оповещениями см. в статье Просмотр оповещений и управление ими.

Разрешения политики оповещений

В приведенной ниже таблице показано, какие пользователи могут создавать и изменять оповещения и политики оповещений в зависимости от типа роли. Помимо роли диспетчера соответствия требованиям пользователям также требуется роль Microsoft Entra следующим образом:

• Чтобы просмотреть оповещения и политики оповещений: роль читателя безопасности в Microsoft Entra ID.
• Создание или обновление политик оповещений: роль "Администратор соответствия требованиям", "Администратор данных соответствия", "Администратор безопасности" или "Оператор безопасности" в Microsoft Entra ID.

Дополнительные сведения о ролях Azure в Портал соответствия требованиям Microsoft Purview.

Важно!

Microsoft рекомендует использовать роли с наименьшим количеством разрешений. Минимизация числа пользователей с ролью глобального администратора помогает повысить безопасность организации. Дополнительные сведения о ролях и разрешениях Microsoft Purview.

Role	Может создавать и изменять политики	Может изменять оповещения
Администрирование диспетчера соответствия требованиям	Да	Да
Аудитор в диспетчере соответствия требованиям	Да	Да
Участник в диспетчере соответствия требованиям	Да	Да
Читатель в диспетчере соответствия требованиям	Нет	Нет
Глобальный администратор	Да	Да

Узнайте, как задать разрешения пользователей и назначить роли для диспетчера соответствия требованиям.

Создание политики оповещений

Вы можете создавать политики, чтобы оповещать вас об определенных изменениях или событиях, связанных с действиями по улучшению. Ниже перечислены типы событий.

Типы событий оповещений

• Изменение оценки: увеличение или уменьшение баллов, начисленных за действие по улучшению из-за изменений конфигурации, внесенных кем-либо в вашей организации. Например, если ваша организация создает политику управления внутренними рисками, это может увеличить ваши баллы за определенное действие на определенную сумму.
• Изменение назначения: действие по улучшению назначено пользователю, переназначено другому пользователю или не назначено пользователем.
• Изменение состояния реализации: пользователь изменил состояние реализации действия по улучшению.
• Изменение состояния теста: пользователь изменил состояние тестирования действия по улучшению.
• Изменение доказательств: пользователь загрузил или удалил документ доказательства на вкладке Документы действия по улучшению.

Политика изменения оценки по умолчанию

Диспетчер соответствия требованиям настраивает политику оповещений по умолчанию для отслеживания изменений оценки в действиях по улучшению. Политика по умолчанию создает оповещение при изменении оценки действия по улучшению. Большинство параметров политики по умолчанию изменить невозможно. Но вы можете добавить других пользователей в качестве получателей оповещений, что рекомендуется.

Ниже приведены параметры политики по умолчанию.

• Все совпадения, обнаруженные в течение 60 минут, будут сгруппированы в одно оповещение, чтобы уменьшить чрезмерное количество уведомлений. Например, если пять действий по улучшению изменяют оценку в течение одного часа, создается одно оповещение.

• Уровень серьезности для этих оповещений — средний.

• Глобальный Администратор для вашей организации является получателем уведомлений об оповещениях по умолчанию.

• Вы можете добавить дополнительных получателей оповещений, выполнив следующие действия.

  • На странице Политики найдите политику оповещений диспетчера соответствия требованиям по умолчанию.
  • Установите флажок слева от его имени и нажмите кнопку Изменить вверху над фильтрами.
  • Нажимайте кнопку Далее , пока не перейдете на страницу Получатели оповещений .
  • Выберите +Выбрать получателей и проверка поля рядом с именами пользователей на всплывающей панели, которым вы хотите получить уведомление по электронной почте. По завершении выберите Добавить получателя, а затем нажмите кнопку Далее.
  • На странице Проверка и завершение выберите Обновить , чтобы сохранить изменения.

• Политику по умолчанию нельзя удалить, но ее можно отключить, выполнив описанные ниже действия.

Действия по созданию политики

Чтобы создать политику для создания оповещений на основе одного или нескольких событий, выполните следующие действия.

1. В диспетчере соответствия требованиям перейдите на страницу Политики и нажмите кнопку Добавить , чтобы запустить мастер создания политик.

   Совет

   На новом портале Microsoft Purview эта страница называется Политики и находится в области навигации слева, а не в виде вкладки вверху.

2. На странице Имя и описание введите имя политики и необязательное описание, а затем нажмите кнопку Далее.

3. На странице Условия выберите одно или несколько событий, которые активируют оповещение. В заголовке действия "Улучшение" выберите Добавить вложенные условия и проверка поле, которое появляется при наведении указателя мыши слева от имени каждого условия. Для политики можно выбрать одно или несколько условий: изменение назначения, изменение доказательства, изменение состояния реализации, изменение оценки, изменение состояния теста. По завершении нажмите кнопку Далее.

4. На странице Результаты выберите, что происходит при обнаружении соответствия политике:

   • Выберите уровень серьезности для оповещения при обнаружении совпадения: низкий, средний или высокий.
   • Укажите, как часто вы хотите получать уведомления по электронной почте при обнаружении совпадения. Вы можете получать уведомления о каждом совпадении или выбрать пороговое значение для определенного количества совпадений выше трех.
   • Если вы хотите получать уведомления после трех или более совпадений, вы назначите количество минут, в течение которых это пороговое значение должно быть достигнуто (например, 4 совпадения в течение 90 минут).

   Когда все будет готово, нажмите кнопку Далее.

5. На странице Получатель оповещений выберите дополнительных пользователей в вашей организации, чтобы получать электронное письмо при соблюдении условий политики. Пользователь, создающий политику, является получателем по умолчанию. Выберите +Выбрать получателей и проверка поля рядом с именами пользователей на всплывающей панели, которым вы хотите получить уведомление по электронной почте. По завершении выберите Добавить получателей, а затем нажмите кнопку Далее.

6. Просмотрите все выбранные элементы и внесите изменения в каждый раздел, выбрав Изменить. По завершении проверки выберите Создать политику.

7. После создания политики нажмите кнопку Готово. Вы откроете страницу Политики с всплывающей областью для уже открытой политики.

Политика активна после ее создания, что означает, что она начинает обнаруживать совпадения и создавать оповещения. Инструкции по инактивации или удалению политик см. в разделе Управление политиками ниже.

После создания или обновления политики может потребоваться до 24 часов, прежде чем эта политика создает оповещения. Сведения о активации событий и агрегации оповещений см. в разделе Просмотр сведений об оповещении ниже.

Управление политиками

На странице Политики содержится таблица со списком всех политик. Дополнительные сведения о ней см. на странице Политики . Любой пользователь в вашей организации может просматривать политики, но некоторые действия ограничены определенными ролями; См . раздел Разрешения политики оповещений.

Совет

На новом портале Microsoft Purview эта страница называется Политики и находится в области навигации слева, а не в виде вкладки вверху.

Просмотр сведений о политике

Выберите политику из строки на странице Политики , чтобы открыть всплывающую панель с подробными сведениями о политике, включая условия соответствия, время и время отправки оповещений, а также уровень серьезности.

Кнопка Действия в нижней части панели позволяет изменить политику, удалить политику или просмотреть оповещения.

Просмотр оповещений политики

На всплывающей панели политики выберите Действия , а затем — Просмотр оповещений. Вы перейдете непосредственно на страницу Оповещения с отфильтрованным представлением всех оповещений, созданных этой политикой. Узнайте, как работать с оповещениями.

Изменить политику

Вы можете изменить любой аспект политики, кроме ее имени. Если вы хотите изменить его имя, необходимо создать новую политику с новым именем.

Чтобы изменить политику, нажмите круглую кнопку, которая отображается слева от ее имени при наведении указателя мыши на ее строку на странице Политики и нажмите кнопку Изменить вверху над фильтрами.

Вы перейдете к мастеру создания политик, где можно вносить и сохранять изменения в политике. Вы также можете выбрать политику, чтобы открыть панель сведений о ней, и на кнопке Действия выберите Изменить политику. После повторной работы с мастером просмотрите выбранные параметры и на последнем шаге нажмите кнопку Обновить , чтобы сохранить изменения.

Для создания оповещений обновленной политикой может потребоваться до 24 часов.

Активация или активация политики

Политики активируются по умолчанию сразу после их создания. При активном выполнении условий политика создаст оповещение (отображается на странице Оповещения) и отправит уведомление указанным получателям по электронной почте.

Чтобы изменить политику на неактивное состояние, что означает, что она не будет создавать оповещения, нажмите круглую кнопку, которая отображается слева от имени политики при наведении указателя мыши на ее строку. Затем выберите команду Отключить над таблицей. Состояние политики теперь будет отображаться как Неактивно. Чтобы повторно активировать политику, выполните ту же процедуру и нажмите кнопку Активировать над фильтрами.

Удаление политики

Чтобы удалить политику, нажмите кнопку рядом с ее именем на странице Политики и выберите Удалить в верхней части страницы. Вы также можете выбрать политику, чтобы открыть панель сведений о ней, и на кнопке Действия выберите Удалить политику.

Удаление является постоянным. После удаления политики она больше не будет создавать оповещения или Уведомления по электронной почте. Дополнительные сведения об оповещениях, подключенных к удаленным политикам.

Просмотр оповещений и управление ими

На странице Оповещения отображается таблица со всеми оповещениями, созданными всеми политиками. Оповещения создаются почти сразу после возникновения события, соответствующего условиям политики. Имя оповещения совпадает с именем политики, создающей оповещение.

Оповещение можно создать только из активной политики. После создания оповещения оно остается в списке на странице Оповещения независимо от того, является ли политика активной или неактивной.

Фильтрация представления оповещений

Чтобы отфильтровать представление оповещений, выберите команду Фильтр над таблицей на странице Оповещения . Во всплывающей области Фильтр выберите один из следующих параметров фильтра:

• Тип события
• Severity
• Состояние
• Пользователь, назначенный
• Дата обнаружения
• Имя политики

После выбора выберите Применить. Всплывающий элемент закроется, а обновленная страница "Оповещения " отображает отфильтрованное представление. Фильтры отображаются в верхней части таблицы, хотя не все столбцы фильтра могут отображаться в таблице.

Просмотр сведений об оповещении

Чтобы просмотреть все сведения об оповещении, включая события, которые его активировали, выберите его строку в таблице. На всплывающей панели отображаются сведения об оповещении на вкладке Обзор панели.

На вкладке Журнал событий всплывающей панели отображаются действия, создающие оповещение, например изменение оценки или изменение назначения, а также имя пользователя, связанного с каждым действием, и дата обнаружения.

События оповещений

Столбец Событие на странице Оповещения указывает условия политики, которые были обнаружены. иными словами, действие, создающее оповещение. На вкладке Журнал событий на панели сведений оповещений перечислены каждый экземпляр события, связанный пользователь и дата обнаружения. Ниже перечислены значения событий.

• Изменение оценки: показывает количество увеличения или уменьшения баллов
• Изменение назначения: действие по улучшению назначено пользователю, переназначено другому пользователю или не назначено пользователем.
• Изменение состояния реализации: пользователь изменил состояние реализации действия по улучшению
• Изменение состояния теста: пользователь изменил состояние тестирования действия по улучшению.
• Изменение доказательств: пользователь загрузил или удалил документ доказательства на вкладке Документы действия по улучшению
• Несколько событий: обнаружено несколько экземпляров события одного типа; например, одно действие по улучшению, которое было переназначено несколько раз
• Несколько условий: обнаружено несколько условий в одной политике.

Агрегирование оповещений для нескольких событий в течение одной минуты

Если в течение одной минуты происходит несколько событий, соответствующих условиям политики генерации оповещений, они добавляются в существующее оповещение процессом, называемым агрегированием оповещений.

Например, при возникновении одного события, соответствующего политике, создается оповещение , которое отображается на странице Оповещения и отправляется уведомление. Если в течение одной минуты после первого события возникает другое событие, соответствующее той же политике, диспетчер соответствия требованиям добавляет сведения о другом событии на вкладку Журнал событий существующего оповещения, а не активирует новое оповещение. Цель агрегирования оповещений — помочь уменьшить "усталость" оповещений и позволить сосредоточиться на меньшем количестве оповещений и принять меры.

Принятие мер для оповещений

Когда одна из ваших политик создает оповещение, можно просмотреть события, вызвавшие оповещение, и определить, нужно ли проверять или дополнительно исследовать события.

Чтобы выполнить действие с оповещением , выберите его строку на странице Оповещения, чтобы открыть всплывающий элемент с его сведениями, нажмите кнопку Действия и выберите один из перечисленных ниже вариантов. Вы также можете выполнить действия, нажав круглую кнопку, которая отображается слева от имени оповещения при наведении указателя мыши на его строку, и щелкнув одну из кнопок действий в верхней части страницы над фильтрами.

Назначение оповещения. Может потребоваться назначить оповещение пользователю для изучения или проверки событий, вызвавших оповещение. При выборе этого параметра откроется панель, на которой можно выбрать пользователя в организации и назначить ему оповещение. Вы можете отфильтровать представление оповещений, выбрав Фильтры на странице Оповещения и введя имя пользователя в поле Назначено .

Email оповещение: может потребоваться отправить пользователю сообщение электронной почты, связанное с действием оповещения, чтобы подтвердить, что он выполнил это действие. При выборе этого параметра откроется шаблон электронной почты с основными сведениями об оповещении, который можно настроить с помощью дальнейших инструкций и отправить пользователю.

Просмотр сведений о политике. Может потребоваться просмотреть параметры политики, которая активирует оповещение. При выборе этого параметра вы перейдете непосредственно на страницу Политики с уже открытой панелью сведений о политике. Когда вы закроете панель сведений о политике, вы больше не будете на странице "Оповещения ".

Состояние изменения. Состояние оповещения можно обновить на основе проверки его влияния и необходимости его изучения. Дополнительные сведения о состоянии оповещений см. в следующем разделе.

Состояние оповещений

При создании оповещения его состояние активно. Просмотря сведения о каждом оповещении, вы можете обновить его состояние до любого из перечисленных ниже состояний:

• Активно: состояние оповещения по умолчанию, пока его состояние не изменится.
• Исследование: оповещение изучается
• Устранено: оповещение не требует дальнейшего изучения или дальнейших действий
• Отклонено: оповещение не относится к делу или не нуждается в исследовании

Чтобы назначить или изменить состояние оповещения, выберите оповещение из его строки в таблице, а затем щелкните Изменить состояние в верхней части страницы над фильтрами. Во всплывающей области Состояние обновления оповещения выберите состояние в раскрывающемся меню, а затем выберите Обновить оповещение.

После создания оповещения его состояние не зависит от состояния политики, создающей оповещение. Например, можно иметь активное оповещение, связанное с неактивной политикой, и можно иметь состояние исследования для оповещения, созданного политикой, которая была позже активирована или удалена.

Удаление политик

При удалении политики все оповещения, созданные этой политикой, остаются на странице Оповещения , но новые оповещения не создаются.

Email уведомления об оповещениях

При создании политики пользователю, создавшему политику, отправляется сообщение электронной почты с предупреждением об обнаружении совпадения. Вы можете отправить эти Уведомления по электронной почте нескольким пользователям в организации. Оповещения происходят почти в режиме реального времени, и Уведомления по электронной почте отправляются сразу после создания оповещения. Сообщение электронной почты содержит имя события, серьезность, время обнаружения и ссылку для просмотра оповещения в диспетчере соответствия требованиям.

Удаление пользователей от получения оповещений

Если вы назначите получателей оповещений, а затем решите удалить их, выполните следующие действия. При обнаружении совпадений политики создатель политики по-прежнему будет получать Уведомления по электронной почте.

1. Начните действия по изменению политики.
2. При появлении на экране Получатели оповещений выберите +Выбрать получателей.
3. На всплывающей панели Выбор получателей найдите пользователя, которого вы хотите удалить из уведомлений, и снимите флажок слева от его имени, а затем нажмите кнопку Добавить получателей (что позволяет сохранить выбранный элемент).
4. Продолжите работу мастера и убедитесь, что пользователь не отображается в разделе Получатели на странице Проверка и завершение. Выберите Обновить , чтобы сохранить параметры и завершить работу.