Microsoft 365 加密功能，确保澳大利亚政府符合 PSPF
本文概述了与澳大利亚政府组织相关的 Microsoft 365 加密功能。 其目的是帮助政府组织提高其数据安全成熟度，同时遵守保护 性安全策略框架 (PSPF) 和 信息安全手册 (ISM) 中所述的要求。
加密是文件保护和信息保护策略的重要组成部分，也是 保护安全策略框架 (PSPF) 策略 8 附件 A 的要求。
Microsoft 365 服务为静态数据和传输中的数据提供加密。 有关详细信息，请参阅 加密及其在 Microsoft 365 中的工作原理。
Microsoft 365 平台固有的加密功能（如 BitLocker 和 TLS 加密）应被视为与澳大利亚政府加密要求相关。 除了这些固有功能外，还可以将其他可选加密功能应用于项目，以确保只有授权用户才能访问它们。 与 PSPF 对齐相关的包括：
加密可以直接应用于组织内部。 与外部组织共享加密需要额外的考虑（本指南对此进行了介绍），以确保在澳大利亚政府和 PSPF 要求的范围内保持一致。
澳大利亚政府加密要求
PSPF 策略 8 附件 A 中详述了加密、传输和访问要求。
加密通常与传输要求相关，但不同类型的加密也与访问和需要知道相关，例如 Azure Rights Management。 Azure Rights Management 会在访问时确认访问项的权限。 Azure Rights Management 可确保未经授权的人员不会访问泄露或不当分发的信息。 下面是相关 PSPF 要求的摘录。
| 分类 | 要求 |
|---|---|
| 官方1 | 建议对通过公用网络基础结构通信的任何信息进行加密。 对于官方信息，建议使用需要知道原则。 访问官方信息没有安全许可要求。 |
| 官方：敏感 | 加密官方：通过公用网络基础结构或通过不安全空间 (包括区域 1 安全区域) 传输的敏感信息，除非实体已识别并接受未这样做的剩余安全风险。 需要知道的原则适用于所有官方：敏感信息。 访问官方：敏感信息没有安全许可要求。 |
| 保护 | 加密非受保护网络 (或分类) 网络的任何通信的 PROTECTED 信息。 需要知道的原则适用于所有 PROTECTED 信息。 持续访问 PROTECTED 信息需要基线安全许可或更高版本。 |
提示
1可选的 Microsoft 365 加密功能（如 Azure Rights Management）会影响从组织接收项目的内部用户和外部用户。 计划使用高级工具（如 Azure RightsManagment）时，建议采用分阶段方法，最初将可选的加密功能应用于敏感度较高的项。 组织在决定如何遵循 PSPF 建议的加密官方信息方法时，应考虑内部和外部用户用例。 此决定应仔细评估风险：平衡相对较低的敏感度项目的内容拦截风险与收件人未发送或无法访问项目对组织的影响。
下表描述了要求和实现要求的方法。
| 要求类别 | 实现的方法 |
|---|---|
| 传输过程中的加密 |
-
TLS 加密 通过在传输过程中加密文件和电子邮件以及客户端设备和 Microsoft 365 服务之间的交互来满足传输要求。 - 敏感度标签加密 适用于文件和电子邮件。 加密项目时，会在传输过程中对其进行加密，继续满足 PSPF 加密要求。 - Microsoft Purview 邮件加密创建规则，以在传输过程中对电子邮件和附件应用加密。 |
| 确保需要知道 |
-
敏感度标签加密 通过仅允许已获得项目权限的经过身份验证的用户才能打开它们，来确保需要知道。 - Microsoft Purview 邮件加密可确保只有指定的收件人能够打开加密的电子邮件及其附件。 |
| 确保安全许可 | - 敏感度标签加密 通过仅允许有权打开加密项的用户来确保用户具有适当的许可权。 |
澳大利亚政府加密注意事项
在澳大利亚政府内部，协作和信息分发要求因组织类型而异。 某些组织主要以隔离方式工作，使加密配置变得简单明了。 其他组织需要持续与其他组织共享敏感信息，并且需要进行相应的计划。
通过 PROTECTED 网络满足加密传输要求。 对于电子邮件，使用基于标签的 TLS 配置是有益的，如 要求对敏感电子邮件传输进行 TLS 加密 中所述。 或者，可以配置安全合作伙伴连接器，如Exchange Online中为合作伙伴组织设置安全邮件流的连接器中所述。
在传输过程中应用的加密控制不会保护单个项，例如使用 USB。 政府组织实施其他控制措施以缓解此类风险，这些风险可能因设备而异。 例如，使用 Microsoft Surface 笔记本电脑，在 UEFI 中禁用 USB 端口非常简单。 用于非Microsoft设备的其他选项包括粘附 USB 端口，以及强制使用加密 USB 驱动器的设备管理软件。 基于标签的加密提供了其中一些控件的替代方法，此外，如果项目被外泄，还可以保护项目免受未经授权的访问。
为了帮助导航选项，本指南讨论符合以下组织类别的加密选项：
具有简单信息协作和分发要求的组织
具有直接的敏感信息共享要求的组织从基于标签的加密和需要满足最基本的传输和访问要求的组织中获益匪浅。 这些组织：
- 需要确保其加密权限适合他们与之协作或向其发送加密信息的来宾或组织，
- 确保只有添加到其加密权限的人员才能访问加密项目，从而有助于确保遵守需要知道的原则。
提示
州政府组织更有可能属于此类别，因为其信息共享方案比联邦政府的信息共享方案更简单。
具有复杂信息协作和分发要求的组织
具有复杂需求的组织通常包括与其他组织共享大量信息的大型部门。 这些类型的组织可能已经建立了满足加密要求的流程，包括访问受保护网络进行部门间通信。 这些组织：
- 受益于基于云的 Microsoft 365 标签加密，尤其是在项目被外泄的情况下，因为加密可确保只有经过授权的用户才能访问项目，而不管他们位于何处。
- 应考虑使用更开放的加密配置，包括在其加密权限中使用政府域列表，以确保其他部门的用户可以访问发送给他们的项目。
- 需要测试Microsoft 365 加密不会干扰现有控制措施，包括当前使用连接器将Exchange Online生成的电子邮件路由回本地服务，以便通过受保护的网络发送。
注意
Azure Rights Management 加密不是部署 Microsoft Purview 或保护 Microsoft 365 服务中信息的硬性要求。 但是，基于标签的加密被认为是确保源自或驻留在 Microsoft 365 环境中的数据免受未经授权的访问的最有效方法之一，尤其是在数据离开组织后。