9 עובדות מפתיעות על מניעת אובדן נתונים (DLP) ב-Power Platform

By Mirko Peters · 2026-08-11

ברוכים השבים לפודקאסט ולבלוג הנלווה שלנו! אם אי פעם הרגשתם שניהול אבטחה בסביבות low-code הוא מטרה נעה, אתם לא לבד. כפי ש…

Automatically translated with AI from the original post. Read the English original

ברוכים השבים לפודקאסט ולבלוג המלווה! אם אי פעם הרגשתם שניהול האבטחה בסביבות קוד נמוך הוא יעד נע, אתם לא לבד. ככל שאימוץ הפתרונות של קוד נמוך גובר, ארגונים נדרשים לאתגר כפול: לאפשר למפתחים לפעול בחופשיות, ולשמור על אבטחת הנתונים הארגוניים. כדי להעמיק בנושא, כדאי להאזין לפרק הקשור שלנו: Power Platform DLP Policies for Developers.

מדיניות Data Loss Prevention (DLP) נתפסת לעיתים קרובות ככלי גס שנועד רק למנוע ממשתמשים להתחבר לכלים המועדפים עליהם. אולם DLP מודרני הוא ארכיטקטורה מדויקת, שמאזנת בין ממשל, הקשר ופרודוקטיביות. בואו נפרק יחד תשע עובדות מפתיעות על Data Loss Prevention ב-Power Platform, ונבין כיצד אפשר לשלוט בהן.

סקירת מדיניות DLP של Power Platform

מהן מדיניות DLP

כאשר אתם עובדים עם Microsoft Power Platform, אתם משתמשים בקישורי מחבר רבים שמעבירים נתונים בין אפליקציות ושירותים. מדיניות DLP של Power Platform עוזרת לכם לשלוט באופן שבו הקישורים האלה פועלים זה עם זה. המדיניות פועלת ככללים שמתירים או מונעים מקישורים לשתף נתונים באותו תהליך עבודה. אפשר לקבץ מחברים לקטגוריות כמו: נתונים עסקיים בלבד, אין להשתמש בנתונים עסקיים, או חסום. מבנה זה מאפשר לכם להחליט אילו מחברים יכולים לעבוד יחד ואילו צריכים להישאר נפרדים.

• מדיניות DLP של Power Platform כוללת:
  • כללים השולטים באינטראקציות בין מחברים בתהליכי עבודה ובאפליקציות.
  • שתי קבוצות נתונים עיקריות: נתונים עסקיים בלבד ואין להשתמש בנתונים עסקיים.
  • האפשרות לחסום מחברים מסוימים לחלוטין.
  • האפשרות להחיל מדיניות על כל הדייר, או רק על סביבות מסוימות.
  • כלים כמו DLP Editor לבדיקת השפעת השינויים על האפליקציות ותהליכי העבודה.

כדאי תמיד לבחור קבוצת נתונים ברירת מחדל, ולעקוב אחר מחברים חדשים. כך תוודאו שכל מחבר עומד בדרישות האבטחה של הארגון.

מדוע DLP חשוב לאבטחה

הגדרות מדיניות DLP של Power Platform הן חיוניות להגנה על הנתונים שלכם. באמצעות קיבוץ מחברים, אתם מונעים מידע רגיש לעבור למקומות שלא נועד להם. מדיניות מניעת אובדן נתונים פועלת כמעקות בטיחות. היא מבטיחה שמחברים בקבוצה העסקית לא יוכלו לשתף נתונים עם מחברים בקבוצה הלא-עסקית או עם מחברים חסומים. מבנה כזה מונע דליפות מקריות ושומר על הנתונים הארגוניים.

כאשר אתם אוכפים מדיניות DLP של Power Platform, אתם עוזרים לצוות שלכם לאזן בין אבטחה לפרודוקטיביות. אתם מאפשרים למשתמשים לבנות תהליכי עבודה עוצמתיים, ובמקביל מוודאים שהם לא חושפים נתונים חשובים. מדיניות מניעת אובדן נתונים עוזרת גם לעמוד בדרישות תאימות. לדוגמה, אפשר לבודד נתוני בריאות לצורך HIPAA, לתעד פעולות לצורך SOC 2, או להגביל גישה לצורך תקני ממשל כמו FedRAMP.

טיפ: הבנת הנתונים שלכם היא הצעד הראשון. סרקו ותייגו מידע רגיש, ולאחר מכן החילו אכיפת מדיניות עקבית כדי למנוע מהנתונים לזוז בדרכים שמפרות את הכללים שלכם.

מדיניות ברמת הדייר לעומת מדיניות ברמת הסביבה

ניתן להחיל כללי מדיניות DLP של Power Platform ברמות שונות. מדיניות ברמת הדייר חלה על כל הסביבות או על קבוצה נבחרת מהן. מדיניות ברמת הסביבה מתמקדת בסביבה אחת בכל פעם. גמישות זו מאפשרת להתאים את גישת האבטחה למבנה הארגון.

כאשר אתם מתכננים את מדיניות DLP של Power Platform, חשבו איפה אתם צריכים את מירב השליטה. השתמשו במדיניות ברמת הדייר להגנה רחבה, ובמדיניות ברמת הסביבה למקרים מיוחדים או לפרויקטים רגישים. תמיד התייחסו להחלטות מדיניות DLP של Power Platform כחלק מהארכיטקטורה, ולא כמחשבה מאוחרת. גישה זו עוזרת לכם לבנות תהליכי עבודה מאובטחים ואמינים מההתחלה.

טעויות נפוצות לגבי מדיניות DLP של Power Platform

רשימה זו מכילה תפיסות מוטעות וטעויות נפוצות שארגונים עושים בעת יישום מדיניות DLP של Power Platform, יחד עם הסברים קצרים והנחיות לתיקון.

• ההנחה ש-DLP עוסק רק במחברים — רבים סבורים ש-DLP חוסם מחברים בלבד. למרות שהגבלות מחברים הן מרכזיות, DLP משפיע גם על סיווג נתונים, על תכנון סביבות ועל תהליכי ממשל. סקרו סביבות, תפקידי יוצרים ותהליכי אפליקציה יחד עם כללי המחברים.
• מדיניות רחבה מדי — יצירת כללים מגבילים מאוד (למשל חסימת קטגוריות גדולות של מחברים) עלולה לשבש תרחישי עסק לגיטימיים. השתמשו במדיניות ממוקדת, בבדיקות פיילוט ובפריסה הדרגתית כדי לאזן בין הגנה לפרודוקטיביות.
• אי-שימוש בהיקף ברמת סביבה — החלת מדיניות אחת לכל הדייר מתעלמת מפרופילי סיכון שונים בפיתוח, בבדיקות ובייצור. השתמשו במדיניות ברמת סביבה כדי להתאים בקרות לפי סיכון ותפקיד.
• הזנחת תהליכי חריגים — ארגונים רבים אינם מגדירים תהליך ברור לטיפול בחריגים הנחוצים. הקימו תהליך לבקשה ואישור של חריגים, עם תיעוד ובדיקה תקופתית.
• כישלון בסיווג מחברים ונתונים — ללא מיפוי של המחברים לעסקיים, לא-עסקיים ומוגבלים, המדיניות הופכת להשערות. נהלו מלאי מחברים מעודכן ומודל סיווג נתונים המקושר לכללי DLP.
• הסתמכות על מדיניות ברירת מחדל — הגדרות DLP ברירת מחדל הן בסיס, לא פתרון ממשל מלא. התאימו את המדיניות לצרכי הציות, המשפט והעסק שלכם.
• אי-ניטור או ביקורת של השפעת המדיניות — הטמעת מדיניות ללא ניטור מובילה לשיבושים שלא מזוהים או לעקיפות מחוץ לבקרה. השתמשו באנליטיקה של מנהל Power Platform, ביומני ביקורת ובמשוב מיוצרים כדי למדוד את ההשפעה ולכוונן.
• התעלמות מהדרכת יוצרים — מדיניות לבדה לא תמנע התנהגות מסוכנת אם היוצרים אינם מבינים אותה. ספקו הדרכה, תיעוד והנחיות ברורות לגבי דפוסים מותרים וחלופות.
• ערבוב מחברים עסקיים ולא-עסקיים באותה סביבה — שיתוף סביבות לעומסי עבודה בעלי אמון גבוה ונמוך מערער את בקרות DLP. הפרידו סביבות לפי רגישות והקצו להן מדיניות מתאימה.
• ניהול שינויים לקוי בעדכוני מדיניות — שינויים פתאומיים ולא מתועדים במדיניות גורמים לתקלות. הודיעו על שינויים מראש, נהלו גרסאות ותאמו עם בעלי העניין.
• המעטה בחשיבות מחברים מותאמים אישית ו-API — מחברים מותאמים אישית או API שאינם מנוהלים עלולים לעקוף הגבלות. כללו מחברים מותאמים אישית במלאי, סווגו אותם והחילו מדיניות או בקרות רשת לפי הצורך.
• הנחה ש-DLP מחליף בקרות אבטחה רחבות יותר — DLP הוא שכבה אחת. שלבו אותו עם בקרות זהות, גישה מותנית, CASB, הפרדת רשתות ומנגנוני הגנה על נתונים לקבלת אבטחה מקיפה.
• אי-סקירה סדירה של המדיניות — צרכי העסק, המחברים והסיכונים מתפתחים. קבעו סקירות תקופתיות לעדכון הסיווגים, היקפי המדיניות ורמות האכיפה.

כניסה למרכז הניהול

ניווט לניהול DLP

כדי לנהל מדיניות Data Loss Prevention (DLP) צריך להתחיל במרכז הניהול של Power Platform. הפורטל מספק מקום מרכזי לשליטה בהגדרות האבטחה של הארגון. ניתן לצפות בכל הסביבות, לבדוק מדיניות DLP קיימת וליצור מדיניות חדשה. הממשק ידידותי למשתמש, אך ייתכן שתיתקלו באתגרים בזמן הלימוד.

מנהלים רבים נתקלים בבעיות נפוצות בעבודה מול מרכז הניהול של Power Platform:

1. ייתכן שתצטרכו להבין כיצד מגבלות מדיניות DLP משפיעות על תהליכי העבודה שלכם.
2. ייתכן שתצטרכו לנהל השעיות של זרימות שמתרחשות עקב הפרות DLP.
3. לעיתים קרובות מחפשים פתרונות עוקפים כדי לשמור על הזרימות פעילות תוך עמידה במדיניות DLP.

ניתן להימנע מבלבול על ידי חקירת מקטע ניהול DLP שלב אחר שלב. התחילו בבחירת האפשרות "Data policies" מהתפריט השמאלי. מקטע זה מציג את כל המדיניות הקיימת ומאפשר לערוך או ליצור מדיניות חדשה. ניתן גם לסנן מדיניות לפי סביבה או לחפש מחברים ספציפיים. כדי לראות כיצד מדיניות משפיעה על הזרימות שלכם, השתמשו ב-DLP Editor. הכלי מאפשר לתצוגה מקדימה של שינויים לפני שמחילים אותם.

טיפ: שמרו את עמוד ניהול DLP ברשימת המועדפים בדפדפן. קיצור דרך זה חוסך זמן ומאפשר להגיב מהר יותר לעדכוני מדיניות או לאירועים.

הרשאות נדרשות

כדי לנהל מדיניות DLP במרכז הניהול, נדרשות לכם הרשאות מתאימות. לא כל משתמש יכול לגשת להגדרות אלה. רק תפקידים מסוימים מורשים ליצור, לערוך או למחוק מדיניות DLP. הטבלה שלהלן מציגה אילו תפקידים מחזיקים בהרשאות הנדרשות:

כדאי לבדוק את התפקיד שלכם לפני שתנסו לשנות הגדרות DLP כלשהן. אם אין לכם את ההרשאות הנכונות, בקשו גישה מהמנהל הכללי של הארגון. שלב זה מונע עיכובים ומאפשר לכם לנהל מדיניות ללא הפרעות.

הערה: יש לפעול תמיד לפי הנחיות האבטחה של הארגון בעת הקצאת תפקידי ניהול. הגבלת הגישה למשתמשים מהימנים עוזרת להגן על המידע שלכם ושומרת על תהליכי העבודה מאובטחים.

שלבי סיווג מחברים

נדרש תהליך ברור לסיווג מחברים בתהליכי העבודה שלכם ב-Power Platform. שלב זה עוזר להגן על המידע שלכם ולשמור על תהליכי העבודה פועלים בצורה חלקה. על ידי קיבוץ מחברים מוקדם, אתם קובעים גבולות ברורים להעברת נתונים ומפחיתים את הסיכון לבעיות תאימות.

רשימת בדיקה לסיווג מחברים

פעלו לפי רשימת הבדיקה הבאה כדי לארגן את המחברים שלכם:

1. רשמו את כל המחברים שבהם משתמש תהליך העבודה שלכם.
2. זהו את המטרה של כל מחבר – האם הוא מטפל בנתונים עסקיים, בנתונים אישיים או במשהו אחר?
3. סווגו כל מחבר לאחת משלוש קבוצות:
   • עסקי
   • לא עסקי
   • חסום
4. בדקו את ברירות המחדל – מדיניות חדשה מציבה את כל המחברים בקבוצה Non-Business כברירת מחדל.
5. מפו את המחברים מוקדם בתהליך הפיתוח שלכם כדי להימנע מהפתעות בזמן הפריסה.
6. תעדו את הבחירות שלכם לצורך ביקורות ובדיקות עתידיות.

טיפ: מיפוי מוקדם של מחברים יכול לחסוך לכם זמן ומאמץ. צוותים שממפים מחברים מוקדם מזהים ומטפלים באירועים מהר יותר, וזמני הבדיקה של בעיות קריטיות יורדים בעד 88 שעות בחודש.

מחברים עסקיים

מחברים עסקיים מטפלים במידע רגיש או קריטי לארגון. כדאי להציב מחברים בקבוצה זו אם הם פועלים עם נתונים לשימוש עסקי, כגון רשומות לקוחות, מידע פיננסי או קבצים סודיים.

כאשר מסווגים מחבר כעסקי, יוצרים גבול מאובטח. מחברים עסקיים יכולים לשתף נתונים רק עם מחברים עסקיים אחרים. כלל זה עוזר לעמוד בתקני תאימות ומונע מנתונים רגישים לדלוף לאזורים פחות מאובטחים.

הערה: השתמשו במחברים עסקיים עבור אפליקציות וזרימות הדורשות ממשל הדוק. גישה זו תומכת בעמידה בתקנות כמו HIPAA או SOC 2.

מחברים לא עסקיים

מחברים לא עסקיים פועלים עם נתונים לשימוש אישי או עם שירותים כלליים. מחברים אלה אינם מטפלים במידע עסקי רגיש. ייתכן שתשתמשו בהם עבור כלי פרודוקטיביות, רשתות חברתיות או אחסון אישי.

מחברים לא עסקיים יכולים לפעול זה מול זה, אך לא יכולים לשתף נתונים עם מחברים עסקיים. הפרדה זו שומרת על נתונים עסקיים בטוחים ומאפשרת גמישות רבה יותר לתהליכי עבודה פחות רגישים.

הערת מידע: כברירת מחדל, Power Platform מציבה את כל המחברים בקבוצה Non-Business כאשר יוצרים מדיניות חדשה. יש לבדוק ולעדכן הגדרות אלה תמיד כך שיתאימו לצרכי הארגון.

מחברים חסומים

מחברים חסומים מוגבלים לחלוטין. יש להשתמש בקבוצה זו עבור מחברים שמהווים סיכוני תאימות או שאינם עומדים בתקני האבטחה של הארגון. חסימת מחבר מונעת מכל אדם להשתמש בו בכל תהליך עבודה.

חסימת מחברים מגנה על הארגון מפני דליפות נתונים מקריות ומבטיחה עמידה בדרישות רגולטוריות. ייתכן שתחסמו מחברים המתחברים לשירותי ענן שאינם נתמכים או לפלטפורמות חיצוניות עם אבטחה חלשה.

אזהרה: חסימת מחבר היא פעולה חזקה. השתמשו בה עבור מחברים שאתם לא רוצים שיופיעו בתהליכי העבודה שלכם לעולם.

למה מיפוי מוקדם חשוב

מיפוי מחברים בתחילת תהליך הפיתוח מביא תועלת רבה. אתם מפחיתים עומס עבודה בעל ערך נמוך ביותר מ-60%. אתם מזרזים את המיון והזיהוי בכ-70%. בנוסף, אתם חוסכים זמן בעבודה ידנית על נכסים ובבדיקות של בעיות קריטיות. מיפוי מוקדם עוזר לכם להימנע מהפתעות של הרגע האחרון ושומר על תהליכי העבודה שלכם מאובטחים מההתחלה.

טיפ מקצועי: הפכו את מיפוי המחברים לחלק סטנדרטי מתכנון תהליכי העבודה שלכם. הרגל זה בונה בסיס חזק לאבטחה ולציות.

ניהול מחברים חדשים ומותאמים אישית

כאשר אתם מוסיפים מחברים חדשים או בונים מחברים מותאמים אישית ב-Microsoft Power Platform, עליכם לשלוט בגישה שלהם כדי להגן על הנתונים שלכם. ניתן לעשות זאת באמצעות הגדרות קבוצת ברירת מחדל מחמירות ותהליך בדיקה ברור. צעדים אלה עוזרים לכם לשמור על תהליכי העבודה מאובטחים ועומדים בדרישות הציות.

הגדרות קבוצת ברירת מחדל

עליכם תמיד להגדיר את קבוצת ברירת המחדל עבור מחברים חדשים לערך "חסום". פעולה זו מונעת מכל אדם להשתמש במחבר חדש לפני שבדקתם אותו. ברירת המחדל ב-Power Platform היא "לא עסקי", אך שינויה ל"חסום" מעניק לכם שליטה רבה יותר. לאחר מכן תוכלו להעביר את המחברים לקבוצה המתאימה לאחר שבדקתם את האבטחה והציות שלהם.

טיפ: הגדרת קבוצת "חסום" כברירת מחדל למחברים חדשים עוזרת למנוע דליפות נתונים בשוגג.

עליכם גם לוודא שלכל סביבה יש מדיניות DLP מגבילה לפני שמישהו מתחיל לבנות תהליכי עבודה. מדיניות זו פועלת כרשת ביטחון ומונעת שימוש במחברים שלא אושרו. עבור סביבות חדשות, העבירו את כל המחברים שאי אפשר לחסום לקטגוריה העסקית. עבדו עם בעל הסביבה כדי לזהות מחברים נוספים הנדרשים והציבו אותם בקבוצה המתאימה.

להלן שיטות עבודה מומלצות לניהול מחברים חדשים:

ניתן גם להגדיר את קבוצת ברירת המחדל עבור סביבות חדשות לחסומה. צעד זה מונע גישה לא נבדקת ושומר על הנתונים שלכם בטוחים.

טיפול במחברים מותאמים אישית

מחברים מותאמים אישית מאפשרים לכם להתחבר למקורות נתונים או ל-APIs ייחודיים. יש לטפל במחברים אלה בזהירות מיוחדת. התחילו בהגדרת הקטגוריה "חסום" כברירת מחדל לכל מחבר מותאם אישית חדש. פעולה זו מבטיחה שאיש לא יוכל להשתמש במחבר עד שתבדקו אותו.

כדאי שוועדת Corporate Governance תבדוק כל מחבר מותאם אישית חדש. קבוצה זו מחליטה אם המחבר עומד בדרישות האבטחה והציות שלכם. לאחר האישור, ניתן להעביר את המחבר לקבוצה העסקית או הלא עסקית לפי הצורך.

אזהרה: השתמשו תמיד במדיניות DLP מגבילה עבור מחברים מותאמים אישית. מדיניות זו מגבילה את הגישה ועוזרת לכם להימנע מסיכונים.

עליכם גם להשתמש בעיקרון של בקרה כפולה. משמעות הדבר היא ששני אנשים חייבים לאשר שינויים במדיניות DLP. צעד זה מוסיף פיקוח ומפחית טעויות.

מדיניות DLP ברמת הדייר עוזרת לנהל מחברים מותאמים אישית בכל הסביבות. ניתן להגדיר כללים החלים בכל מקום, מה שמקל על שמירת הנתונים שלכם בטוחים. עליכם תמיד לבדוק ולעדכן את מדיניות ה-DLP ברמת הדייר כאשר מוסיפים מחברים חדשים או מותאמים אישית.

לסיכום, עליכם:

• להגדיר את קבוצת "חסום" כברירת מחדל לכל המחברים החדשים והמותאמים אישית.
• לבדוק כל מחבר עם ועדת Corporate Governance.
• להחיל מדיניות DLP מגבילה על כל סביבה.
• להשתמש במדיניות DLP ברמת הדייר להגנה רחבה.
• לדרוש אישור כפול לשינויים במדיניות DLP.

על ידי ביצוע צעדים אלה, אתם שומרים על סביבת Power Platform שלכם מאובטחת ועומדת בדרישות הציות, גם כאשר מוסיפים מחברים חדשים או מותאמים אישית.

החלת בדיקת מדיניות DLP

בדיקת מדיניות DLP של Power Platform לפני פריסתה בסביבת ייצור היא מהלך חכם. אתם רוצים לוודא שתהליכי העבודה שלכם נשארים מאובטחים והמשתמשים שלכם לא נתקלים בבעיות בלתי צפויות. ניתן לבצע כמה צעדים כדי לבדוק את ההשפעה של המדיניות שלכם ולאתר בעיות בשלב מוקדם.

השפעת המדיניות על תהליכי העבודה

כאשר אתם מחילים מדיניות DLP של Power Platform, אתם מגדירים כללים שקובעים אילו מחברים יכולים להשתמש בזרימות העבודה שלכם. כללים אלה מגנים על הנתונים שלכם, אך הם עלולים גם להשפיע על אופן פעולתן של הזרימות והאפליקציות. ייתכן שתופיע שגיאה אם תנסו להשתמש במחבר חסום, או לשלב מחברים עסקיים ולא-עסקיים באותה זרימת עבודה.

להלן כמה דרכים שבהן מדיניות DLP עשויה להשפיע על זרימות העבודה שלכם:

• ייתכן שתופיע שגיאה כאשר אתם יוצרים או עורכים זרימת עבודה שמשתמשת במחברים מוגבלים.
• זרימות שמפרות את הכללים מסומנות כ-Suspended עד שתתקנו את הבעיות.
• אתם מגנים על נתונים רגישים, אך עליכם לנהל את ההגבלות האלה כדי להימנע from חסימת עבודה חשובה.

כדאי תמיד לבחון את ההשפעה של מדיניות DLP של Power Platform לפני שאתם אוכפים אותה. שלב זה עוזר לזהות בעיות ולהתאים את זרימות העבודה לפי הצורך.

בדיקה שלילית

בדיקה שלילית עוזרת לאתר נקודות חולשה בהגדרות DLP שלכם. מנסים במכוון לשבור את הכללים כדי לראות כיצד המדיניות שלכם מגיבה. התהליך עוזר לזהות תצורות שגויות ולוודא שהמדיניות פועלת כצפוי.

שגיאות נפוצות שאולי תמצאו במהלך בדיקה שלילית כוללות:

• הגדרת מיקומי מדיניות בצורה שגויה, מה שעלול לחסום או לאפשר מחברים בטעות.
• יצירת מדיניות רחבה מדי, שגורמת לתוצאות חיוביות שגויות וחוסמת זרימות תקינות.
• היעדר רישומים (לוגים) כאשר משתמשים מנסים לעקוף מדיניות, מה שעלול להקשות על מעקב אחר הציות.

כדאי להשתמש בשיטות העבודה המומלצות למדיניות DLP בזמן הבדיקות. התחילו עם מצב סימולציה כדי לראות כיצד המדיניות פועלת בלי לעצור זרימות כלשהן. ניתן להוסיף התראות ו-Policy Tips כדי ללמד את המשתמשים על הציות. כשתרגישו בטוחים, הפעילו אכיפה מלאה כדי להגן על הנתונים שלכם.

שלבים לבדיקת מדיניות ה-DLP שלכם:

1. הריצו את המדיניות במצב סימולציה ללא Policy Tips. בדקו את דוחות ה-DLP כדי לזהות השפעה.
2. הוסיפו התראות ו-Policy Tips כדי לחנך את המשתמשים.
3. עברו לאכיפה מלאה כדי להחיל את הכללים ולאבטח את זרימות העבודה שלכם.

טיפ: תעדו תמיד את תוצאות הבדיקות. הרגל זה יעזור לכם לשפר את שיטות העבודה המומלצות למדיניות DLP לאורך זמן.

שיקוף סביבות

אתם רוצים שסביבת הבדיקות שלכם תהיה דומה ככל האפשר להגדרות הייצור. שיקוף סביבות מאפשר לכם לראות כיצד מדיניות DLP של Power Platform תתנהג בתנאים אמיתיים. גישה זו עוזרת לאתר בעיות לפני שהן משפיעות על המשתמשים.

יש לפעול לפי שיטות העבודה המומלצות למדיניות DLP הבאות לשיקוף סביבות:

• העתיקו את מדיניות ה-DLP של הייצור לסביבת הבדיקות.
• השתמשו באותם מחברים ומקורות נתונים בשני המקומות.
• בדקו את כל זרימות העבודה הקריטיות כדי לוודא שהן פועלות כצפוי.

אם תמצאו שגיאות, התאימו את המדיניות והריצו שוב את הבדיקות. תהליך זה עוזר לכם לבנות ביטחון שזרימות העבודה ישארו מאובטחות ואמינות כשתעברו לייצור.

הערה: שיקוף סביבות מפחית הפתעות ושומר על הנתונים שלכם.

מדיניות DLP של Power Platform — רשימת בדיקה להחלה ולבדיקה

השתמשו ברשימת בדיקה זו כדי להחיל ולבדוק מדיניות DLP של Power Platform בצורה מבוקרת וניתנת לביקורת.

הכנה

• זהו את יעדי המדיניות העסקיים והאבטחתיים של מדיניות DLP של Power Platform
• בצעו מלאי של סביבות, מחברים, אפליקציות, זרימות ומקורות נתונים
• סווגו מחברים וסוגי נתונים (עסקיים, לא-עסקיים, מוגבלים)
• הגדירו היקפי מדיניות (דייר, סביבה או קבוצות סביבות)
• הקצו בעלי עניין ואחראים לאכיפה ולתיקון
• גבו אפליקציות וזרימות קיימות שעלולות להיפגע
• הכינו תוכנית תקשורת למשתמשים וצוותים מושפעים

יצירת מדיניות

• צרו טיוטת מדיניות DLP ב-Power Platform Admin Center
• הגדירו סיווגי מחברים וכללים בהתאם למטריצת הסיווג
• הגדירו קבוצות מחברים מותרות וחסומות, והחריגים להן
• הגדירו פעולות אכיפה (חסימה, אזהרה או מצב ביקורת)
• הגדירו מיקוד היקף (סביבות ספציפיות או כולן)
• הוסיפו תיאור מדיניות, נימוק ונתוני מטא לניהול שינויים

אימות לפני פריסה

• אמתו את התחביר של המדיניות ואת עקביות הכללים
• בחנו השפעות אפשריות באמצעות המלאי והמשוב מבעלי העניין
• זהו אפליקציות וזרימות קריטיות שיש להחריג או לבדוק בשלבים
• תזמנו את הפריסה בחלון תחזוקה או בזמן עומס נמוך

פריסה

• החילו תחילה את מדיניות ה-DLP על סביבת פיילוט
• עקבו אחר הרישומים וההתראות מיד לאחר הפריסה
• העבירו אירועים לבעלים כאשר פעולות חסומות פוגעות בתהליכים עסקיים
• הרחיבו בהדרגה את ההיקף לסביבות נוספות בהתאם לתוצאות הפיילוט

בדיקה ואימות

• צרו תוכניות בדיקה לתרחישים מותרים, מזוהרים וחסומים
• בדקו אפליקציות וזרימות שמשתמשות במחברים מכל סיווג
• ודא שחיבורים חסומים מציגים הודעות שגיאה צפויות
• אשר שחיבורים שמוצגת להם אזהרה מציגים למשתמש הנחיה נכונה, מבלי לשבש תהליכים
• ודא שמצב ביקורת (audit mode) לוכד אירועים ביומני הפעילות ובהתראות
• בדוק חריגים לחיבורים וודא שהם פועלים כפי שהוגדר
• אמת שנתיבי הדלפת נתונים נחסמים בהתאם למדיניות

ניטור ותיקון

• נטר התראות DLP, יומני ביקורת ומגמות שימוש בחיבורים
• מיין וחקור פעולות שנחסמו או סומנו
• עבוד עם בעלי האפליקציות כדי לתקן או לתכנן מחדש זרימות שאינן עומדות בדרישות
• החל חריגים ממוקדים רק כאשר קיים נימוק עסקי מתועד
• עדכן כללי מדיניות על בסיס הממצאים וחזור על הבדיקות

תיעוד והדרכה

• תעד את הגדרות המדיניות הסופיות, את היקף החלתן ואת היסטוריית השינויים
• פרסם הנחיות למשתמשים ושאלות נפוצות לגבי ההתנהגות הצפויה והשגיאות
• הדרך מנהלים, מפתחים ומשתמשים מתקדמים על השפעות מדיניות DLP
• תחזק תוכנית החזרה לאחור ושלבי שחזור לכשלים קריטיים

סקירה ושיפור מתמיד

• תזמן סקירות מדיניות תקופתיות והערכות סיכון מחדש
• עדכן את סיווג החיבורים ככל שנאמצים שירותים חדשים
• מדוד את יעילות המדיניות באמצעות מדדי מפתח (פעולות חסומות, אירועי אבטחה וזיהויים שגויים)
• שלב משוב ממשתמשים וצוותי אבטחה בעדכונים

ממשל ושיטות עבודה מומלצות

סקירות מדיניות שוטפות

עליך לסקור את מדיניות ה-DLP של Power Platform בלוח זמנים קבוע. Microsoft מוסיפה 10 עד 15 חיבורים חדשים בכל רבעון. אם אינך בודק את המדיניות שלך, ייתכן שתחמיץ סיכונים חדשים או תאבד שליטה על תנועת הנתונים. מומלץ לסקור את המדיניות לפחות אחת לשלושה חודשים. כך תוכל להתעדכן בשינויים הטכנולוגיים ובצרכים העסקיים.

• סקור את מדיניות ה-DLP של Power Platform אחת לרבעון.
• עדכן את המדיניות שלך כאשר מופיעים חיבורים חדשים.
• התאם את הכללים לפרקטיקות עסקיות חדשות או לתרחישי סיכון חדשים.

ניתן להפעיל תזכורות אוטומטיות לסקירות אלה באמצעות Power Automate. כך הצוות שלך נשאר במסלול ומדיניות ה-DLP המשותפת של Power Platform ממשיכה להיות אפקטיבית.

שימוש ב-CoE Toolkit

ערכת הכלים של מרכז המצוינות (CoE) מספקת לך כלים לניהול ולשיפור הממשל. ניתן להשתמש ב-DLP Editor כדי לראות אילו אפליקציות וזרימות מושפעות מהמדיניות שלך. הערכה מאפשרת לסקור מדיניות קיימת, לשנות קבוצות חיבורים ולבחון את ההשפעה לפני שמירת שינויים. ניתן גם להזהיר בעלי אפליקציות על שינויים עתידיים באמצעות דוא"ל.

מדיניות DLP משותפת של Power Platform עובדת הכי טוב כשמשתמשים ב-CoE Toolkit. ניתן לאוטומט משימות ממשל, לנקות אפליקציות שאינן בשימוש ולוודא שהמדיניות שלך תואמת את השימוש בפועל. ה-CoE עוזר לבנות תרבות שבה כולם רואים ב-DLP חלק מרכזי בתכנון זרימות העבודה.

התראות וביקורת

עליך לנטר את הסביבה שלך כדי לזהות בעיות מוקדם. Power Automate מאפשר להגדיר זרימות עבודה ששולחות התראות כאשר מישהו מפר מדיניות. ניתן לעקוב אחר זרימות שנכשלו, לזהות דפוסים חריגים ולתעד כל פעולה לצורך ביקורות.

אחת התכונות הטובות ביותר של Power Automate היא היכולת לאוטומט את תהליך הביקורת וההתראות. ניתן ליצור זרימות עבודה באמצעות מחברי ניהול שמתירים או מגבילים התנהגות בהתאם למדיניות ה-DLP של הארגון.

כדאי גם להשתמש בכלים כמו Azure Monitor ו-Microsoft Sentinel. כלים אלה מספקים נראות ברמת הארגון לשימוש, לביצועים ולאבטחה. ניתן להגדיר התראות על הפרות של מדיניות DLP ולשמור יומנים לצורך בדיקות ציות.

להלן כמה טקטיקות ממשל מובילות לזרימות עבודה מאובטחות:

כאשר אתם משלבים סקירות קבועות, ערכת הכלים CoE Toolkit והתראות אוטומטיות, אתם יוצרים בסיס חזק למדיניות DLP של Power Platform. גישה זו עוזרת לכם לשמור על ציות, לצמצם סיכונים ולתמוך בחדשנות.

יתרונות וחסרונות של מדיניות DLP ב-Power Platform

יתרונות

• הגנת נתונים וציות: מדיניות DLP של Power Platform עוזרות לאכוף כללים ארגוניים שמונעים שיתוף של נתונים רגישים או שימוש בהם במחברים וזרימות לא מורשים, ותומכות בציות לרגולציה.
• שליטה מרוכזת: מנהלים יכולים לנהל הגדרות מניעת אובדן נתונים בין סביבות באופן מרוכז, וזה מקל על שמירה על תצורת אבטחה עקבית.
• אפשרויות מדיניות גמישות: ניתן להחיל מדיניות ברמת הסביבה ולהגדיר אותה כך שתאפשר, תחסום או תגביל מחברים ופעולות, מה שמאפשר ניהול סיכונים מותאם אישית.
• צמצום סיכונים: חסימה או הגבלה של מחברים בסיכון גבוה מפחיתות את הסבירות להוצאה מקרית של נתונים מאפליקציות, מזרימות ומחברים בתוך מערכת Power Platform.
• נראות וממשל: מדיניות DLP מגדילה את הנראות של השימוש במחברים ועוזרת לנהל את פעילות המפתחים האזרחיים (citizen developers), מבלי למנוע לחלוטין חדשנות בסיכון נמוך.
• שילוב עם מחסנית האבטחה של Microsoft: מדיניות DLP של Power Platform פועלת לצד כלי אבטחה וציות אחרים של Microsoft, ומעצימה את אסטרטגיית האבטחה הארגונית הכוללת.
• מדרגיות: ניתן להרחיב מדיניות על פני סביבות ודיירים רבים, והיא מתאימה לארגונים בגדלים שונים.

חסרונות

• השפעה פוטנציאלית על הפרודוקטיביות: מדיניות DLP מחמירה של Power Platform עלולה לחסום מחברים או פעולות שימושיים, ולפגוע במפתחים אזרחיים ובמשתמשי עסקים שמסתמכים על אינטגרציות מסוימות.
• ניהול מדיניות מורכב: בארגונים גדולים עם סביבות רבות ודרישות עסקיות מגוונות, קשה לתכנן ולתחזק את האיזון הנכון בין המדיניות השונות.
• גרעיניות מוגבלת בחלק מהתרחישים: למרות שהמדיניות מבוססת סביבה, יש מצבים שבהם רצוי לקבל בקרות מדויקות יותר (לפי אפליקציה או לפי סיווג נתוני זרימה), אך האפשרויות בנושא מוגבלות.
• תוצאות חיוביות שגויות וחיכוך למשתמשים: מקרי שימוש לגיטימיים עלולים להיחסם, מה שגורם לחיכוך ולעלייה בפניות לתמיכה לבקשת חריגים או פתרונות עוקפים.
• תקורה תחזוקתית: ככל שהמחברים וצורכי העסק מתפתחים, מדיניות DLP דורשת סקירה והתאמה מתמשכות, וזה צורך משאבי ניהול.
• עקומת למידה למנהלים: צוותים שחדשים בממשל של Power Platform עשויים להזדקק לזמן ולהכשרה כדי ליישם ולכוונן מדיניות DLP ביעילות.
• סיבוכים במחברים של צד שלישי: ניהול סיכונים במחברים מותאמים אישית או של צד שלישי קשה יותר להערכה, ועלול להוביל לכללים מתירניים מדי או מגבילים מדי.

שאלות נפוצות: מדיניות מניעת אובדן נתונים עבור Power Apps ו-Power Automate

מהן מדיניות DLP של Power Platform ומה מטרתן?

מדיניות DLP של Power Platform הן כללים שמוגדרים על ידי מנהלים לשליטה באופן השימוש במחברי נתונים ב-Power Apps וב-Power Automate. מטרתן למנוע חשיפה בלתי מכוונת של נתוני הארגון, לאכוף ממשל נתונים ולצמצם דליפה, באמצעות חסימה או הגבלה של פעולות מחברים שעלולות לגרום לזרימות או לאפליקציות להעביר מידע רגיש מחוץ לגבולות המאושרים.

כיצד מדיניות DLP מונעת מזרימה לשתף נתונים רגישים?

מדיניות DLP מסווגת מחברים לקבוצות (למשל Business ו-Non-Business) ומונעת זרימות שמשלבות מחברים מקבוצות שונות. כאשר זרימה מפרה את כללי מניעת אובדן הנתונים של הארגון, למשל ניסיון לשלוח נתונים ממחבר Business למחבר Non-Business, המדיניות חוסמת את הפעולה והזרימה נמנעת מלפעול, וכך נמנעת דליפת נתונים אפשרית.

אילו מחברים נחשבים מסוכנים, וכיצד ניתן להתאים מדיניות?

מחברים שמעבירים נתונים החוצה, כמו רשתות חברתיות, שירותי אחסון ענן אישיים או חלק ממחברי Microsoft 365, מסומנים לעיתים קרובות כבעלי סיכון גבוה יותר. ניתן להתאים מדיניות על ידי בחירת מדיניות נתונים שמשייכת מחברים לקטגוריות, הגדרת פעולות ספציפיות של מחברים כמותרות או חסומות, ויצירת מדיניות מחמירה לסביבות רגישות. כך ניתן לשלוט באילו מחברים מותר לשלב יחד ובאילו פעולות מחברים מותר להשתמש.

האם מדיניות DLP יכולה לחסום פעולה מסוימת בתוך מחבר?

כן, מנהלים יכולים לחסום פעולות מסוימות בחיבורים רבים, ולא רק את החיבור כולו, וכך לשלוט בדיוק במה שזרימות ואפליקציות יכולות לעשות. הדבר עוזר למנוע פעולות נתונים מסוימות, כמו יצירה, מחיקה או שיתוף של נתונים חדשים, בלי לנטרל את כל הפונקציונליות של החיבור.

כיצד מדיניות DLP משפיעה על זרימות של Power Automate שנוצרו על ידי משתמשים?

כאשר מוחלת מדיניות DLP, כל זרימה של Power Automate שמשתמשת במחברים מקבוצות מדיניות מתנגשות תיחסם מלרוץ, ועשויה להציג שגיאות בפורטל היוצרים. היוצרים מקבלים הודעות לפיהן הזרימה שלהם מפרה את מדיניות מניעת אובדן הנתונים של הארגון ב-Power Platform, ועליהם לשנות את המחברים או לבקש ממנהלים שינויים במדיניות כדי לעמוד בדרישות.

מה קורה אם אפליקציה של Power Apps מפרה מדיניות DLP?

אם אפליקציה של Power Apps משתמשת במחברים בדרך שמפרה את מדיניות ה-DLP, המשתמשים עלולים להיתקל בפונקציונליות חסומה או בכשלים כאשר האפליקציה מנסה להפעיל פעולות מוגבלות של מחבר. מנהלים יכולים לנטר אירועים כאלה כדי לזהות דפוסים לא מורשים, ולעדכן בהתאם את מדיניות ה-DLP או את תכנון האפליקציה.

כיצד ניתן ליצור או לשנות מדיניות DLP באמצעות מרכז הניהול של Power Platform או PowerShell?

ניתן ליצור או לעדכן מדיניות DLP במרכז הניהול של Power Platform, תוך הגדרת קבוצות מחברים והיקף המדיניות. לצורך אוטומציה, קיימים cmdlets של PowerShell לניהול המדיניות באופן תכנותי, המאפשרים עדכונים בכמות גדולה, פריסה בין סביבות ושילוב עם תהליכי CI/CD, כדי לאכוף מדיניות נתונים אחידה.

היכן כדאי לתעד שינויים במדיניות DLP ונהלי ממשל?

יש לתעד שינויים במדיניות DLP במאגר ממשל הנתונים או במרכז המצוינות שלכם, ולעקוב אחר היסטוריית השינויים ב-Microsoft 365 או במערכת הציות שלכם. שמירה על תיעוד ברור של שינויים במדיניות, הנימוקים להם והערכות הסיכון עוזרת להסביר החלטות לבעלי העניין ותומכת בביקורות ובאסטרטגיות DLP.

כיצד אפשר לבדוק אם מדיניות DLP חוסמת זרימה או אפליקציה כפי שתוכנן?

בדקו את המדיניות על ידי יצירת זרימות ואפליקציות לדוגמה שמשתמשות במחברים ובפעולות ספציפיים. עקבו אחר המקרים שבהם הזרימה מפרה את כללי מניעת אובדן הנתונים של הארגון, מפעילה חסימה לפי המדיניות או רושמת אירועים ביומן. השתמשו בסביבות staging ובשיטות הבדיקה של מרכז המצוינות של Power Platform כדי לאמת את המדיניות לפני יישומה באופן נרחב.

מהן הסיבות הנפוצות לחסימת זרימה, וכיצד יוצרים יכולים לפתור את הבעיות?

הסיבות הנפוצות כוללות שילוב של מחברים מקבוצות מדיניות שונות, שימוש בפעולת מחבר חסומה, או חיבור לשירות שאינו מאושר. יוצרים יכולים לפתור את הבעיות על ידי החלפת מחברים במחברים מאושרים, פיצול הפונקציונליות לזרימות נפרדות, או בקשת חריגה ממדיניות או מדיניות מותאמת אישית ממנהלים.

כיצד מדיניות DLP משתלבת עם מקורות הנתונים של Microsoft 365 ו-SharePoint?

מדיניות DLP מזהה מחברים של Microsoft 365 ומחברים של SharePoint כמקורות נתונים פוטנציאליים. מנהלים יכולים לסווג מחברים אלה באופן מתאים, כדי למנוע מזרימות או מאפליקציות להעביר תוכן מ-SharePoint או נתונים מ-Microsoft 365 לשירותים שאינם מאושרים, וכך לעזור להגן על המידע הארגוני בין הפלטפורמות.

אילו כלי דיווח וניטור זמינים למעקב אחר עמידה במדיניות?

מרכז הניהול של Power Platform מספק יומנים וניתוחים לצפייה בהפרות מדיניות, בזרימות שנחסמו ובשימוש במחברים. בשילוב יומני הביקורת של Microsoft 365 ולוחות הבקרה של מרכז המצוינות, הכלים האלה מאפשרים ניטור מתמשך של המדיניות בין הסביבות ועוזרים לחדד את מדיניות המניעה ב-Power Platform על בסיס שימוש בפועל.

כיצד על ארגונים לאזן בין מדיניות DLP מחמירה לבין פרודוקטיביות של מפתחים?

מומלץ לאמץ גישה מבוססת סיכון: לאכוף מדיניות מחמירה בסביבות רגישות, ולהתאים מדיניות מתירנית יותר לסביבות sandbox. ספקו מחברי נתונים מאושרים, צרו תבניות ותעדו אסטרטגיות DLP, כדי לסייע ליוצרים לבנות זרימות של Power Automate ואפליקציות של Power Apps התואמות את הדרישות, בלי מכשולים מיותרים לחדשנות.

האם ניתן להגביל את מדיניות DLP לסביבות או למשתמשים ספציפיים?

כן, ניתן להגביל את מדיניות DLP לסביבות מסוימות, לכלל הדייר, או לחיבורים ספציפיים וקבוצות משתמשים. הגבלת ההיקף מאפשרת אכיפה גמישה, כך שסביבות ייצור יקבלו מדיניות מניעה מחמירה, בעוד שסביבות פיתוח יישארו פתוחות יותר לבדיקות ולאוטומציה.

היכן ניתן למצוא הנחיות רשמיות ודוגמאות להגדרת מדיניות DLP?

מסמכי התמיכה הרשמיים ודוגמאות צעד-אחר-צעד זמינים ב-Microsoft Learn ובתיעוד של Power Platform. משאבים אלה מסבירים כיצד ליצור מדיניות DLP, כיצד להשתמש ב-PowerShell לניהול מדיניות, וכיצד ליישם שיטות עבודה מומלצות לאבטחת נתונים ולממשל.

אתם מחזקים את האבטחה של Power Platform כשאתם מסווגים מחברים ואוכפים מדיניות DLP. קיבוץ מחברים מונע העברת נתונים לא מורשית ושולט בזרימת מידע רגיש. ממשל פרואקטיבי יוצר מסגרת של מעקות בטיחות ומפחית אינטגרציות מסוכנות. סקירות קבועות עוזרות להתאים את עצמכם למחברים ולאיומים חדשים. ארגונים רבים, כולל ארגונים בתחום הבריאות, צמצמו את השימוש במחברים בסיכון גבוה באמצעות מדיניות ברמת הסביבה ומדיניות DLP גורפת.

כדי לשפר את הציות והאבטחה, בצעו את השלבים הבאים:

1. הערכו את מדיניות הממשל הנוכחית שלכם.
2. הגדירו יעדי ממשל ברורים.
3. פתחו מדיניות ממשל והפכו אותה לאוטומטית.
4. הדרכו את הצוות שלכם בשיטות עבודה מומלצות.

לאסטרטגיות מתקדמות נוספות לביסוס מחזור החיים של פיתוח האזרחים (citizen development) מבלי לחנוק חדשנות, אל תשכחו לצפות בפרק הפודקאסט המלא שלנו בנושא Power Platform DLP Policies for Developers!