共用方式為

澳大利亞政府與 PSPF 合規性的敏感度標籤分類法

  • 發行項

本文為澳大利亞政府組織提供符合數據安全性分類所需敏感度標籤的指引。 其目的是協助組織決定適當的敏感度標籤分類法，以部署到其Microsoft 365環境。 本文中的建議已撰寫成與保護安全策略架構 (PSPF) 原則 8：機密和分類資訊一致。

澳大利亞政府組織必須先判斷適當的敏感度標籤分類法，才能部署功能。 必要的標籤會根據組織所使用的資訊類型而有所不同。

標準組態

一般標籤需求包含安全性分類的組合，通常會結合資訊管理標記 (IMM) 和/或注意事項。 具有高合規性成熟度的組織也可能會包含標籤，以滿足各種數據安全性需求。 例如，套用 Azure Rights Management 加密的標籤，以確保只有授權的使用者可以存取專案。

下列範例示範澳大利亞政府組織的基本標記：

標記或分類 資訊管理標記 警告
非官方
官方
OFFICIAL：敏感性
保護		 個人隱私權
法律許可權
秘密		 內閣
國家封包

標籤是單數的，而且只能將一個標籤套用至專案或位置。 這三個專案的任何必要組合都必須組合成單一標籤，以符合需求。 例如，如果專案必須分類為 PROTECTED，而且它也包含 CABINET 資訊，則必須提供包含這些元素的單一卷標;PROTECTED CABINET。

下列範例示範澳大利亞政府組織的基本標籤。 此清單會使用父標籤 (類別) 和子捲標的組合：

  • 非官方
  • 官方
  • OFFICIAL 機密 (類別目錄)
    • 官方敏感性
    • 官方敏感性個人隱私權
    • 官方敏感性法律許可權
    • 官方機密機密機密密碼
    • 官方機密國家封包
  • protected (Category)
    • 保護
    • 受保護的個人隱私權
    • PROTECTED Legal Privilege
    • 受保護的機密
    • PROTECTED CABINET

具有更複雜需求的政府組織需要額外的標籤。 組織想要部署的標籤數目上限與可用性限制比技術限制更相關。 不過，每個組織只能建立500個標籤。

在上一個清單中使用子捲標的目的在於改善用戶體驗，但也對卷標行為有一些好處。 例如，當使用者在子捲標之間變更時，不會觸發 標籤變更理由 。 這可讓使用者套用不同的 IMM、注意事項或安全性控件，而且只有在使用者嘗試透過移出卷標類別來降低套用的安全性分類時，才會觸發理由。

在 OFFICIAL 工作的組織

澳大利亞政府組織能夠設定其Microsoft 365環境，以儲存高達 PROTECTED 的資訊。

如需Microsoft IRAP) (Infosec Registered Assessors 計劃檔，請參 閱 Microsoft 服務信任入口網站。

許多澳大利亞政府組織有目的地限制允許儲存在租用內之數據的最大敏感度層級，進而降低其他需求。 例如，員工的許可可以維持在較低層級，足以供保留的數據使用。

使用多個 IMM

有些澳大利亞政府機關會利用分類分類，以允許將多個資訊管理標記 (IMM) 套用至每個專案。 例如：'OFFICIAL：敏感性機密機密密碼個人隱私權。' 雖然可以達成這種類型的設定，但應特別考慮需求：

  • IMM 衍生自澳大利亞政府記錄保存元數據標準 (AGRkMS) ，其中指定可以套用 單 一 IMM 值。
  • 保護安全策略架構 (PSPF) 原則 8 指出 IMM 是 選擇性的。

Microsoft的建議是盡可能保持簡單。 只有部署貴組織實際需要的標籤，才能改善使用者體驗，因為使用者的瀏覽標籤較少。 擁有較小的分類法也可簡化系統管理，因為維護的設定較少，特別是跨 DLP 和自動套用標籤原則。

考慮使用多個 IMM 組合的組織應該考慮下列潛在的複雜性：

  • 自動套用標籤複雜性：套用多個 IMM 的專案較難以透過自動套用標籤作為表達式進行比對，以解譯主體標記，或 x 標頭必須能夠透過 服務型自動套用標籤建議中討論的原則來容納它們。
  • 主旨長度：Email 用戶端通常會截斷或難以檢視長電子郵件主旨。 在已將多個標記套用至單一電子郵件的情況下，使用者可能不知道IMM或警告標記，因為他們看不到。
  • X 標頭長度：標記 策略 中討論的 X-保護標記 x 標頭會用來將分類元數據套用至電子郵件。 要套用至電子郵件的元數據數量取決於數個因素，包括所使用的電子郵件用戶端。 將多個 IMM 套用至電子郵件的組織可能會超過允許的 x 標頭長度，導致某些分類元數據被截斷。

如果需要多個標籤，請確定元素的排序從最小到最重要的組織。 例如：

  1. 安全性分類
  2. 必要時請注意 ()
  3. 最敏感的 IMM
  4. 較不敏感的 IMM

在 PROTECTED 工作的組織

Microsoft 365 會評等為能夠保存數據並包含 PROTECTED。

如需Microsoft IRAP) 檔 (資訊註冊評估人員計劃，請參 閱 Microsoft 服務信任入口網站。

超過受保護層級的信息標籤

保存 SECRET 和以上數據的組織必須利用內部部署記憶體保護區。 組織必須實作網路隔離和各種其他措施，以防止此資訊離開記憶體保護區。 如果包含 SECRET 標記的項目出現在 Microsoft 365 位置，則發生此情況需要 IT 資訊安全顧問 (ITSA) 執行數據外洩管理。 ASD 提供如何管理補救活動的指引，請參閱 ASD 數據外洩管理指南

政府組織應該針對不應位於其Microsoft 365服務中的資訊實作標籤。 不過，使用者不會直接套用這些標籤，而是用來協助自動識別不應該在平臺上的專案。 這可協助安全性小組進行識別和補救活動。

標籤會因這種類型的使用方式而有所不同，但應包括：

  • 受保護 (適用於在其租使用者中使用最高數據為 OFFICIAL 的組織)
  • 秘密
  • 最高密碼

根據 ISM-0272，這些標籤不應該發佈給使用者，就像服務未獲授權裝載這類資訊一樣，使用者應該無法將標籤套用至專案：

需求 詳細資料
ISM-0272 (2024 年 6 月) 保護標記工具不允許使用者選取系統尚未獲得處理、儲存或通訊授權的保護標記。

注意事項

未發佈的標籤 是指未發佈給使用者的標籤。 若要讓自動套用標籤服務考慮標籤，必須將標籤發佈給單一使用者，例如 系統管理帳戶。

在 Microsoft 365 平臺中需要高敏感性數據之進階 DLP 的組織，例如透過電子郵件或共用，可以使用「未發佈的標籤」來分層額外的安全性措施，包括：

具有不同標籤分類法之組織的標籤

一些澳大利亞州政府，例如新南加羅和德羅，會使用與 PSPF 原則 8 不完全一致的分類法。 這可能會對聯邦政府組織如何解譯其從州政府接收的資訊敏感度，造成一些挑戰。 與外部政府對應的聯邦政府組織也面臨類似的挑戰，因為分類不太可能對齊。

組織與之通訊的外部組織所套用的數據安全性架構和標準，與您的標籤分類法高度相關。 外部標記可以搭配下列方法使用：

  • 外部組織所套用的標記可以轉換成對等租使用者

    例如，如果已套用「QLD Government 敏感性」標記的專案由聯邦政府組織接收，則標記會提供專案的敏感度相關實用資訊。 用戶可以將「官方敏感性」標籤套用至專案，使其進入租用戶標籤保護的範圍。 或者，自動套用標籤設定為自動將此 QLD 標記對應至 OFFICIAL 敏感性標籤。

  • 組織在做為其監管人時，可以維護外部分類和資訊的適當保護

    您可以使用一組與外部分類一致的「未發佈的標籤」來設定 Purview，而不是重新分類不符合您環境敏感度標籤的專案Microsoft。 標籤感知用戶端內的使用者不需要選取這些標籤。 相反地，他們可以套用服務型自動套用標籤。 一旦收到的專案加上標籤，系統就不會提示使用者將標籤套用至它們。 卷標也可以與一組 DLP 和其他控件對齊，以確保包含的資訊不會不當揭露。

卷標設定應該與組織進行，而組織會與分類術語中的一致性目標互動，因為這可讓設定更簡單。 如果無法達成，分類等價的合約會提供下一個最佳結果。 應該避免的情況是完全忽略外部標記，因為這可能會導致數據洩漏等數據安全性事件。

  1. 分類 對齊 (建議的最佳做法)
  2. 如果無法 ( 選項，則建議使用分類等價)
  3. 分類 不 建議 (，會增加數據外泄 的風險)

注意事項

當政府機關與外部政府互動時， PSPF 原則 7 – 國際共用的安全性治理 提供詳細指引。

下表說明如何使用自動套用標籤來實作未發佈的標籤，以維護外部組織所套用的標記。 此範例顯示一組 PSPF 標籤，其中大部分會顯示為 OFFICIAL 敏感性父卷標的子捲標。 在這個父標籤，使用者可以選擇包含與對齊的標籤，以及與 (IMM 對應的 QLD 對等資訊管理標記) ：

PSPF 標籤
(發佈給所有使用者) 		美國政府機關
(未發佈的標籤) 		QLD Government
(未發佈的標籤)
非官方
官方
OFFICIAL：敏感性
- OFFICIAL：敏感性
- OFFICIAL：敏感性個人隱私權
- OFFICIAL：敏感性法律許可權
- OFFICIAL：敏感性機密機密
- 官方：機密國家封包		 - 官方機密的外部文件櫃
- 官方敏感性法律
- 官方敏感性執法機關
- OFFICIAL 敏感性健康情況資訊
- 官方敏感性個人
- 官方敏感性機關		 -靈敏

先前方法的優點如下：

  • 標示為[所有數據] 或 [QLD 卷標] 的資訊受益於 OFFICIAL：敏感數據就地警示 (進一步說明於 數據就地警示) 中，這會警示並協助防止數據移至可能不當揭露的位置。
  • OFFICIAL：敏感性 DLP 和 Defender for Cloud Apps 原則中包含了BEL 或 QLD 子捲標，如防止安全性分類資訊) 的不當散佈所導入，透過您的組織 (防止不當洩漏。
  • 數據識別服務，例如 內容總管，可用來識別Microsoft 365服務 1 中狀態擁有或產生的敏感性資訊所在位置。

注意事項

1 此設定是進階的，建議熟悉 Purview Microsoft組織使用。

Azure Rights Management 加密

Azure Rights Management 可用來確保只有授權的使用者可以存取已套用標籤的內容。

如需設定 Azure Rights Management 加密的資訊，請參閱 如何設定訊息加密

下列範例適用於澳大利亞政府。

  • 標示為 [僅限內部] 的 子捲標可用來允許使用者將專案限制為僅限內部使用者。
  • [僅收件者] 的子捲標可用來確保電子郵件無法轉寄給未經授權的收件者。
  • 只有 Project Budgerigar 的子捲標可用來確保只有需要知道 Project Budgerigar 及相關信息的使用者子集才能存取專案。

使用這些標籤和相關聯的控件搭配一組基本的 OFFICIAL：敏感性標籤，拓撲結果為：

  • OFFICIAL：敏感性
    • OFFICIAL：僅限機密內部
    • OFFICIAL：僅限敏感性收件者
    • OFFICIAL：僅限敏感性項目預算
    • OFFICIAL：敏感性 (沒有保護)
    • OFFICIAL：敏感性個人隱私權
    • OFFICIAL：敏感性法律許可權
    • 官方：機密機密機密密碼
    • 官方：敏感性國家封包

上一個範例有一些明顯的挑戰，包括：

  • 卷標清單的時間要長很多，這可能會影響可用性。
  • 額外的標籤會在相關聯的服務中產生更多設定需求，例如 DLP，增加複雜度。
  • 先前的一組標籤選項需要使用者決定是否要套用 IMM、CAVEAT 或加密設定，這會造成問題。

在這種情況下，加密所提供的保護應該是最高優先順序。 根據 PSPF，IMM 會視為選擇性，因此應視為較低優先順序。 注意事項，例如 NATIONAL CABINET，可能比 IMM 更重要，不應省略。 這可能會導致額外的標籤需求，因為組織會尋求將較新的保護套用至專案。

此範例示範標籤需求可能會隨著時間成長。 從一組大型標籤開始，未來會產生更複雜的複雜度。 Microsoft建議將已發佈的標籤限製為使用者所需的核心集合，並省略貴組織不太可能需要的任何 IMM 和警告組合。 藉由將使用者限制為核心集合，可讓設定擴大的空間，而不會影響可用性或複雜性。