[Video] Microsoft Purview-Vertraulichkeitsbezeichnungen verstehen: Q&A mit MVP Jasper Oosterveld

Da Sicherheit oberste Priorität hat und KI nun im Spiel ist, wird es immer schwieriger, sensible Informationen von Copilot-Antworten, Gast-Postfächern und den falschen Händen fernzuhalten. Microsoft MVP Jasper Oosterveld beantwortet Ihre brennenden Fragen zu Vertraulichkeitsbezeichnungen in Microsoft Purview und deren Verwendung zur Absicherung Ihrer M365-Umgebung.

Sie haben wahrscheinlich schon alles gehört, wenn es um die Absicherung von Microsoft 365 geht: Aktivieren Sie dies. Konfigurieren Sie das. Wenden Sie hier Bezeichnungen an – ach ja, und machen Sie es Copilot-sicher.

‍Aber wie machen Sie das eigentlich alles – ohne etwas zu beschädigen oder in Komplexität zu ertrinken?

Wir haben uns mit Jasper Oosterveld, Microsoft MVP und Datensicherheitsberater, zusammengetan, um ein Webinar zu veranstalten über die Umwandlung von Vertraulichkeitsbezeichnungen in Microsoft 365 in eines Ihrer stärksten Tools für Sicherheit, Compliance und Copilot-Bereitschaft.

Während unseres Webinars hatten wir viele Fragen von unserem Publikum über die Verwaltung von Vertraulichkeitsbezeichnungen in realen Szenarien – wie der Umgang mit internen und externen Mitarbeitern, was zu tun ist, wenn generative KI-Tools wie Copilot ins Spiel kommen, und wie sichergestellt werden kann, dass Bezeichnungen die Produktivität nicht beeinträchtigen, während sie trotzdem sensible Daten schützen.

Schauen Sie sich Jaspers Ratschläge an!

F: Was sind Microsoft Purview-Vertraulichkeitsbezeichnungen und warum sollten Organisationen sie verwenden?

A: Sie können Microsoft Purview-Vertraulichkeitsbezeichnungen für mehrere Anwendungsfälle verwenden.

Einerseits helfen sie Ihnen dabei, Daten in Microsoft 365 zu klassifizieren und zu schützen – wie E-Mails, Office-Dokumente und sogar PDFs. Wenn Sie eine Klassifizierung anwenden, können Sie auch Schutz mittels Verschlüsselung durchsetzen. Dies hilft dabei, unbefugten Zugriff auf Ihre Daten zu verhindern.

Andererseits können Vertraulichkeitsbezeichnungen zur Klassifizierung von Websites und Teams verwendet werden. Dies unterstützt Ihre Governance-Bemühungen durch die Durchsetzung von Einstellungen wie externem Zugriff oder Freigabebeschränkungen.

Und nicht zuletzt können Vertraulichkeitsbezeichnungen auch auf Meetings angewendet werden. Dies ermöglicht es Ihnen, spezifische Einstellungen durchzusetzen – wie automatische Aufzeichnung oder die Verhinderung, dass Benutzer sensible Informationen aus dem Meeting-Chat kopieren.

F: Wie werden Vertraulichkeitsbezeichnungen angewendet – manuell, automatisch oder beides – und welche Faktoren beeinflussen den richtigen Ansatz?

A: Sie können manuell eine Bezeichnung auf eine E-Mail, ein Dokument oder sogar eine PDF-Datei anwenden. Das ist sehr einfach zu machen. Der Nachteil – oder vielmehr die Herausforderung – ist, dass nicht jeder immer weiß, welche Bezeichnung in welcher Situation anzuwenden ist.

Wenn Sie täglich mit sensiblen Informationen arbeiten, sind Sie wahrscheinlich darüber informiert, dass Sie eine spezifische Bezeichnung anwenden müssen, die Schutz durchsetzt.

Aber andere Mitarbeiter bemerken das möglicherweise nicht immer. Hier kann automatische Bezeichnung wirklich helfen. Sie können sensible Informationen erkennen – wie eine Passnummer, medizinische Daten oder andere Informationen in Bezug auf Ihre Organisation – und dann entweder automatisch eine Bezeichnung anwenden oder eine empfehlen.

Dies erleichtert Ihren Mitarbeitern das Leben und erhöht den Erfolg Ihrer Implementierung von Vertraulichkeitsbezeichnungen.

Wie helfen Vertraulichkeitsbezeichnungen Organisationen dabei, Daten in einer Welt der hybriden Zusammenarbeit und generativen KI-Tools zu schützen?

A: Vertraulichkeitsbezeichnungen sind in diesen Szenarien unglaublich mächtig, weil, wenn Sie Schutz mittels Verschlüsselung auf eine E-Mail oder ein Dokument anwenden, dieser Schutz bei der Datei bleibt. Selbst wenn sie Ihre Microsoft 365-Umgebung verlässt, gelten die Verschlüsselung und der Schutz weiterhin.

Wenn es um KI-Tools geht, können Sie beispielsweise Endpoint-Data Loss Prevention (DLP) verwenden, um das Kopieren und Einfügen sensibler Informationen in Tools wie ChatGPT oder andere externe generative KI-Lösungen zu verhindern.

Es gibt auch eine Vorschaufunktion in DLP, die es Ihnen ermöglicht, zu verhindern, dass Informationen mit einer spezifischen Vertraulichkeitsbezeichnung von Copilot verarbeitet werden. Das bedeutet nicht, dass das Dokument versteckt ist – es stellt einfach sicher, dass der bezeichnete Inhalt nicht in Prompt-Antworten verwendet wird. Das ist unglaublich hilfreich. Denken Sie nur daran: Zum Zeitpunkt dieser Aufzeichnung ist diese Funktion noch in der Vorschau. Testen Sie sie also mit einigen Dokumenten oder Benutzern, bevor Sie sie organisationsweit einführen. Warten Sie, bis Microsoft sie allgemein verfügbar macht.

F: Was ist der erste Schritt, den eine Organisation unternehmen sollte, wenn sie mit Microsoft Purview und Vertraulichkeitsbezeichnungen beginnt?

A: Alles beginnt mit der Richtlinie. Ein wichtiger Teil dieser Richtlinie ist die Einrichtung Ihrer Klassifizierungs- und Schutzrichtlinien.

Zum Beispiel möchten Sie vielleicht Dokumente oder E-Mails als „Öffentlich", „Intern", „Geheim" oder „Streng Geheim" bezeichnen. Das ist Schritt eins: Definieren Sie Ihre Klassifizierungen. Verknüpfen Sie dann Schutzeinstellungen mit diesen Bezeichnungen. Wenn also etwas als „Streng Geheim" klassifiziert ist, können Sie automatisch den Zugriff so beschränken, dass nur Personen innerhalb Ihrer Organisation es einsehen können.

Der zweite Schritt ist die Definition dessen, was in Ihrer Organisation als sensible Information gilt. Vielleicht arbeiten Sie mit medizinischen Aufzeichnungen. In diesem Fall sind diese Aufzeichnungen Ihre sensiblen Informationen – und Sie müssen entscheiden, welche Klassifizierung auf sie zutrifft. Von dort aus können Sie automatisch eine Vertraulichkeitsbezeichnung anwenden, wenn diese Informationen erkannt werden.

F: Bei der Einführung von Microsoft 365 in der gesamten Organisation – sollten wir Vertraulichkeitsbezeichnungen für jede Benutzergruppe implementieren, während sie migriert, oder warten, bis die vollständige Migration abgeschlossen ist?

A: Leider ist das eine dieser „es kommt darauf an"-Antworten. Es hängt wirklich von Ihrem Migrationszeitplan ab – wie ob Sie auf eine Frist hinarbeiten – und vom Reifegrad Ihrer Organisation in Bezug auf Compliance, Risiko und Microsoft Purview.

In einer idealen Welt würde ich empfehlen, Ihre Klassifizierungs- und Schutzrichtlinien einzurichten