As informações corporativas circulam por diferentes ambientes. Um conteúdo pode ser criado em um documento, enviado por e-mail, utilizado em um relatório do Power BI ou discutido em uma reunião do Microsoft Teams.
Por isso, proteger somente o local onde o arquivo está armazenado nem sempre é suficiente. É necessário associar à informação uma classificação que indique seu nível de sensibilidade e, quando necessário, aplique regras de proteção.
Os rótulos de confidencialidade do Microsoft Purview, conhecidos como sensitivity labels, permitem classificar informações e configurar controles para diferentes tipos de conteúdo. Dependendo da carga de trabalho e da configuração adotada, o rótulo pode ser utilizado em arquivos, documentos, e-mails, dados analíticos e reuniões.
Neste post, voce vai aprender:
O conteúdo deve ser adaptado à política de segurança da organização. Os nomes dos menus podem apresentar pequenas diferenças conforme a versão do portal, o idioma e as permissões da conta utilizada.
O objetivo deste procedimento é criar um rótulo de confidencialidade que possa ser disponibilizado nos ambientes necessários para a organização.
Como exemplo, considere um rótulo chamado Confidencial, destinado a informações que não devem ser compartilhadas livremente.
Esse rótulo poderá ser planejado para trabalhar com:
O escopo deve ser definido com cuidado. Não é recomendável habilitar todos os ambientes apenas porque eles estão disponíveis. Quanto maior o escopo, maior será a necessidade de treinamento, testes e suporte aos usuários.
Ao final do procedimento, o administrador deverá ter:
Antes de abrir o assistente de criação, defina as informações abaixo.
O nome do rótulo deve ser simples e fácil de compreender. A descrição para os usuários deve explicar quando o rótulo deve ser utilizado, enquanto a descrição administrativa pode registrar o motivo da criação, o proprietário do processo e as regras associadas.
Também é importante decidir se o mesmo rótulo será utilizado em documentos, mensagens e reuniões ou se a organização terá rótulos específicos para cada cenário.
Na criação, serão solicitadas informações como:
Use uma descrição objetiva. O usuário precisa entender rapidamente a diferença entre aquele rótulo e os demais disponíveis.
Por exemplo:
Confidencial: utilize para informações internas que contenham dados comerciais, financeiros, contratuais, estratégicos ou pessoais.
Depois de preencher as informações básicas, avance para a etapa de definição do escopo.
O escopo determina em quais tipos de conteúdo o rótulo poderá ser utilizado.
Ele não deve ser confundido com uma permissão de acesso. A seleção do escopo apenas disponibiliza o rótulo para determinados ambientes. As regras de proteção serão configuradas nas etapas seguintes.
Na etapa de escopo, selecione a opção correspondente a arquivos, documentos ou outros itens de dados compatíveis.
Esse escopo é utilizado para disponibilizar o rótulo em documentos de produtividade e outros formatos suportados pela organização.
Entre os exemplos apresentados estão:
Ao habilitar esse escopo, verifique se as aplicações e os formatos utilizados pela organização são realmente compatíveis. O comportamento de um rótulo pode variar conforme o tipo de arquivo, o aplicativo e a forma como o conteúdo é compartilhado.
O escopo apresentado no procedimento também contempla ambientes analíticos, como Power BI e Microsoft Fabric.
Essa possibilidade é importante porque as informações sensíveis também podem ser utilizadas em:
No assistente, localize a categoria correspondente aos conteúdos de dados e verifique quais opções estão disponíveis no seu ambiente.
Se Power BI e Fabric aparecerem como opções independentes, selecione somente aquelas que fazem parte do objetivo do rótulo. Se estiverem agrupados em uma categoria maior, confirme na documentação do ambiente quais recursos serão contemplados pela seleção.
Não presuma que o rótulo terá exatamente o mesmo comportamento em todos os objetos analíticos. Faça testes com os tipos de conteúdo realmente utilizados pela empresa.
Para utilizar o rótulo em mensagens, habilite o escopo correspondente a e-mails.
A classificação poderá ser utilizada nas experiências compatíveis do Outlook, incluindo o cliente instalado e a versão web.
Essa configuração permite que o usuário classifique a mensagem antes do envio, de acordo com a sensibilidade da informação.
A classificação de e-mails deve ser avaliada junto com outros controles, como prevenção contra perda de dados, regras de compartilhamento, proteção de identidade e políticas contra phishing.
Se o objetivo for controlar reuniões do Microsoft Teams, habilite o escopo correspondente a reuniões.
Essa seleção é necessária para que o rótulo possa ser utilizado durante a criação ou configuração de uma reunião e para que sejam definidos controles específicos de participação e colaboração.
Depois de selecionar os escopos necessários, avance para as configurações de proteção.
Quando o escopo de reuniões estiver habilitado, o assistente apresentará as opções disponíveis para controlar a colaboração durante o encontro.
A finalidade não é controlar quem será convidado. O objetivo é estabelecer quais regras serão aplicadas à reunião quando o rótulo for utilizado.
A disponibilidade dos controles pode variar conforme o ambiente, a versão do Teams, o licenciamento e as políticas da organização.
Para uma reunião destinada exclusivamente ao público interno, selecione a opção equivalente a impedir ou restringir a participação de pessoas externas, caso ela esteja disponível no ambiente.
Essa configuração é adequada para cenários como:
Se a reunião precisar receber convidados externos, não aplique uma configuração que impeça esse tipo de participação. Nesse caso, utilize uma regra adequada ao cenário e controle o acesso por meio das políticas do Teams e das configurações de identidade.
O rótulo não substitui:
Ele deve ser utilizado como uma camada adicional de proteção.
Configure quais grupos de participantes poderão entrar diretamente na reunião e quais deverão aguardar aprovação no lobby.
Um exemplo de configuração para uma reunião confidencial é:
O comportamento deve ser alinhado ao risco da reunião. Uma reunião operacional pode permitir uma entrada mais simples, enquanto uma reunião estratégica pode exigir validação manual.
Defina se a reunião poderá ser gravada.
Para reuniões que tratam de informações restritas, a gravação pode ser desabilitada. Para reuniões que precisam gerar uma evidência, uma ata ou um treinamento, a gravação pode ser permitida conforme a política interna.
Antes de habilitar esse recurso, verifique:
Defina se o chat estará disponível para os participantes.
O chat pode ser útil para colaboração, compartilhamento de links e registro de decisões. Entretanto, em reuniões com informações muito sensíveis, ele pode aumentar o risco de distribuição não autorizada de conteúdo.
As opções devem considerar:
No procedimento apresentado, o chat pode ser habilitado ou bloqueado conforme o nível de proteção desejado.
Defina se os participantes poderão compartilhar a tela.
Para uma reunião confidencial, uma configuração comum é permitir o compartilhamento somente ao organizador, aos coorganizadores ou aos apresentadores autorizados.
Essa medida ajuda a reduzir o risco de que um participante compartilhe acidentalmente:
Quando a opção estiver disponível, configure a restrição para impedir a cópia do conteúdo disponibilizado durante a reunião.
Essa configuração deve ser interpretada com cuidado. Ela pode estar relacionada ao conteúdo textual do chat ou a outros elementos compatíveis da experiência da reunião. Ela não impede, necessariamente:
Por isso, a restrição de cópia deve ser combinada com conscientização dos usuários, controles de identidade, políticas de acesso e monitoramento.
Antes de concluir, revise todos os campos configurados:
Se alguma configuração estiver incorreta, volte à etapa correspondente e faça o ajuste antes de salvar.
Depois da revisão, conclua a criação do rótulo.
A criação, porém, não significa necessariamente que todos os usuários já conseguirão utilizá-lo. Em geral, o rótulo precisa ser associado a uma política de publicação.
A publicação deve ser feita inicialmente para um grupo de teste.
Procedimento recomendado:
Evite publicar imediatamente para toda a organização. A etapa-piloto permite identificar problemas de compreensão, restrições excessivas e incompatibilidades com os aplicativos utilizados.
Após a publicação, execute testes em cada ambiente selecionado.
Documente os testes realizados. Registre:
As capturas de tela utilizadas como evidência devem ser anonimizadas antes de serem armazenadas ou publicadas.
Selecionar um escopo não determina, sozinho, quais usuários poderão utilizar o rótulo. É necessário publicar o rótulo para usuários ou grupos por meio da política adequada.
A publicação ampla pode causar problemas para equipes que ainda não conhecem a classificação ou que dependem de compartilhamento externo.
Rótulos com descrições semelhantes dificultam a escolha correta. Use nomes objetivos e explique claramente a finalidade de cada classificação.
As configurações do rótulo devem trabalhar junto com as políticas de acesso externo, identidade, convidados e lobby do Microsoft Teams.
A restrição de cópia atua apenas nos recursos compatíveis. Ela não elimina riscos como fotografias, gravações externas ou divulgação verbal.
O comportamento pode variar entre aplicativo instalado, navegador, dispositivo móvel e diferentes tipos de conteúdo. Teste os ambientes realmente utilizados pela organização.
Rótulos de confidencialidade protegem e classificam informações. Rótulos de retenção controlam o ciclo de vida e o tempo de preservação dos dados. São recursos diferentes e devem ser planejados separadamente.
A criação de um rótulo de confidencialidade no Microsoft Purview deve ser tratada como um processo de governança, e não apenas como uma configuração técnica.
O procedimento pode ser resumido em cinco etapas:
Nas reuniões do Microsoft Teams, o rótulo pode controlar participação externa, lobby, gravação, chat, compartilhamento de tela e cópia de conteúdo compatível. No entanto, ele não substitui os controles de identidade, as políticas de acesso externo ou a conscientização dos usuários.
Uma implantação eficiente começa com poucos rótulos, descrições claras e cenários bem definidos. Depois do piloto, a organização pode ajustar a taxonomia, ampliar os escopos e publicar as políticas para outros grupos.
Mais de 25 anos de experiência, atuando com foco em infraestrutura, segurança da informação e ambientes Microsoft.
contato@alcifell.com
