9 Fakta Mengejutkan tentang Data Loss Prevention di Power Platform

By Mirko Peters · 2026-08-11

Selamat datang kembali di podcast dan blog pendamping kami! Jika Anda pernah merasa bahwa mengelola keamanan di lingkungan low-code adalah sasaran yang terus berpindah, Anda tidak sendirian. Seiring …

Automatically translated with AI from the original post. Read the English original

Selamat datang kembali di podcast dan blog pendamping kami! Jika Anda pernah merasa bahwa mengelola keamanan di lingkungan low-code adalah sasaran yang selalu bergerak, Anda tidak sendirian. Seiring pesatnya adopsi low-code, organisasi menghadapi tantangan ganda, yaitu memberdayakan pengembang sekaligus menjaga keamanan data perusahaan. Untuk mendalami topik ini, pastikan Anda mendengarkan episode terkait kami tentang Kebijakan DLP Power Platform untuk Pengembang.

Kebijakan Data Loss Prevention (DLP) sering disalahpahami sebagai alat yang kasar, yang hanya dirancang untuk mencegah pengguna terhubung ke alat favorit mereka. Padahal, DLP modern adalah arsitektur yang kompleks dan menyeimbangkan tata kelola, konteks, dan produktivitas. Mari kita bahas sembilan fakta mengejutkan tentang Data Loss Prevention di Power Platform dan lihat bagaimana Anda dapat menguasainya.

Ikhtisar Kebijakan DLP Power Platform

Apa Itu Kebijakan DLP

Ketika Anda menggunakan Microsoft Power Platform, Anda bekerja dengan banyak konektor yang memindahkan data antar aplikasi dan layanan. Kebijakan DLP Power Platform membantu Anda mengontrol cara konektor ini berinteraksi. Kebijakan ini berfungsi sebagai aturan yang mengizinkan atau mencegah konektor berbagi data dalam alur kerja yang sama. Anda dapat mengelompokkan konektor ke dalam kategori seperti hanya data bisnis, tidak ada data bisnis yang diizinkan, atau diblokir. Struktur ini memungkinkan Anda memutuskan konektor mana yang boleh bekerja bersama dan mana yang harus tetap terpisah.

• Kebijakan DLP Power Platform mencakup:
  • Aturan yang mengontrol interaksi konektor dalam alur dan aplikasi.
  • Dua grup data utama: Hanya data bisnis dan Tidak ada data bisnis yang diizinkan.
  • Opsi untuk memblokir konektor tertentu sepenuhnya.
  • Kemampuan untuk menerapkan kebijakan ke seluruh penyewa atau hanya lingkungan tertentu.
  • Alat seperti DLP Editor untuk meninjau dampak perubahan terhadap aplikasi dan alur Anda.

Anda sebaiknya selalu memilih grup data default dan terus memantau konektor baru. Hal ini membantu memastikan setiap konektor sesuai dengan kebutuhan keamanan organisasi Anda.

Mengapa DLP Penting untuk Keamanan

Pengaturan kebijakan DLP Power Platform sangat penting untuk melindungi data Anda. Dengan mengelompokkan konektor, Anda mencegah informasi sensitif berpindah ke tempat yang seharusnya tidak dituju. Kebijakan data loss prevention berfungsi sebagai pagar pengaman. Kebijakan ini memastikan konektor dalam grup bisnis tidak dapat berbagi data dengan konektor dalam grup non-bisnis atau dengan konektor yang diblokir. Pengaturan ini mencegah kebocoran yang tidak disengaja dan menjaga keamanan data organisasi Anda.

Ketika Anda menerapkan kebijakan DLP Power Platform, Anda membantu tim menyeimbangkan keamanan dan produktivitas. Anda memungkinkan pengguna membangun alur kerja yang canggih sambil memastikan mereka tidak membocorkan data penting. Kebijakan data loss prevention juga membantu Anda memenuhi kebutuhan kepatuhan. Misalnya, Anda dapat mengisolasi data kesehatan untuk HIPAA, mencatat aktivitas untuk SOC 2, atau membatasi akses untuk standar pemerintah seperti FedRAMP.

Tips: Memahami data Anda adalah langkah pertama. Pindai dan beri tag pada informasi sensitif, lalu terapkan penegakan kebijakan yang konsisten untuk menghentikan data berpindah dengan cara yang melanggar aturan Anda.

Kebijakan Tingkat Penyewa vs. Lingkungan

Anda dapat menerapkan aturan kebijakan DLP Power Platform pada tingkat yang berbeda. Kebijakan tingkat penyewa mencakup semua lingkungan atau sekelompok lingkungan yang dipilih. Kebijakan tingkat lingkungan hanya berfokus pada satu lingkungan dalam satu waktu. Fleksibilitas ini memungkinkan Anda menyesuaikan pendekatan keamanan dengan struktur organisasi Anda.

Saat merancang kebijakan DLP Power Platform, pikirkan di mana Anda paling membutuhkan kontrol. Gunakan kebijakan tingkat penyewa untuk perlindungan yang luas. Gunakan kebijakan tingkat lingkungan untuk kasus khusus atau proyek sensitif. Selalu perlakukan keputusan kebijakan DLP Power Platform sebagai bagian dari arsitektur Anda, bukan sekadar pemikiran belakangan. Pola pikir ini membantu Anda membangun alur kerja yang aman dan andal sejak awal.

Kesalahan Umum tentang Kebijakan DLP Power Platform

Daftar ini mencakup kesalahpahaman dan kesalahan yang sering dilakukan organisasi saat menerapkan kebijakan DLP Power Platform, dengan penjelasan singkat dan panduan perbaikan.

• Menganggap DLP hanya soal konektor — Banyak yang mengira DLP hanya memblokir konektor. Meskipun pembatasan konektor memegang peranan utama, DLP juga memengaruhi klasifikasi data, desain lingkungan, dan proses tata kelola. Tinjau lingkungan, peran maker, dan alur aplikasi bersama aturan konektor.
• Kebijakan yang terlalu luas — Membuat aturan yang sangat ketat (misalnya, memblokir kategori konektor yang besar) dapat mengganggu skenario bisnis yang sah. Gunakan kebijakan yang dibatasi cakupannya, uji coba percontohan, dan penerapan bertahap untuk menyeimbangkan perlindungan dan produktivitas.
• Tidak menggunakan pembatasan cakupan di tingkat lingkungan — Menerapkan satu kebijakan untuk seluruh penyewa mengabaikan profil risiko yang berbeda antara pengembangan, pengujian, dan produksi. Gunakan kebijakan yang dibatasi per lingkungan untuk menyesuaikan kontrol berdasarkan risiko dan fungsinya.
• Mengabaikan alur pengecualian — Organisasi sering kali tidak memiliki proses yang jelas untuk menangani pengecualian yang diperlukan. Tetapkan proses permintaan dan persetujuan pengecualian dengan pencatatan log serta tinjauan berkala.
• Gagal mengklasifikasikan konektor dan data — Tanpa pemetaan konektor mana yang bersifat bisnis, non-bisnis, atau terbatas, kebijakan hanya menjadi tebakan. Pelihara inventaris konektor dan model klasifikasi data yang mutakhir serta terkait dengan aturan DLP.
• Hanya mengandalkan kebijakan default — Pengaturan DLP default adalah dasar, bukan solusi tata kelola yang lengkap. Sesuaikan kebijakan dengan kebutuhan kepatuhan, hukum, dan bisnis Anda.
• Tidak memantau atau mengaudit dampak kebijakan — Menerapkan kebijakan tanpa pemantauan dapat menyebabkan gangguan yang tidak disadari atau cara kerja terselubung. Gunakan analitik admin Power Platform, log audit, dan umpan balik dari maker untuk mengukur dampak dan melakukan penyesuaian.
• Mengabaikan edukasi maker — Kebijakan saja tidak akan mencegah perilaku berisiko jika maker tidak memahaminya. Sediakan pelatihan, dokumentasi, dan panduan yang jelas tentang pola yang diizinkan beserta alternatifnya.
• Mencampur konektor bisnis dan non-bisnis dalam lingkungan yang sama — Berbagi lingkungan untuk beban kerja dengan tingkat kepercayaan tinggi dan rendah melemahkan kontrol DLP. Pisahkan lingkungan berdasarkan tingkat sensitivitas dan tetapkan kebijakan yang sesuai.
• Manajemen perubahan yang buruk untuk pembaruan kebijakan — Perubahan kebijakan yang mendadak dan tidak terdokumentasi menyebabkan gangguan. Komunikasikan perubahan lebih awal, kelola versinya, dan koordinasikan dengan para pemangku kepentingan.
• Meremehkan konektor dan API kustom — Konektor kustom atau API yang tidak diatur dapat melewati pembatasan. Sertakan konektor kustom dalam inventaris Anda, klasifikasikan, dan terapkan kebijakan atau kontrol jaringan sesuai kebutuhan.
• Menganggap DLP menggantikan kontrol keamanan yang lebih luas — DLP hanyalah salah satu lapisan. Kombinasikan dengan kontrol identitas, akses bersyarat, CASB, segmentasi jaringan, dan mekanisme perlindungan data untuk keamanan yang menyeluruh.
• Tidak meninjau kebijakan secara berkala — Kebutuhan bisnis, konektor, dan risiko terus berkembang. Jadwalkan tinjauan berkala untuk memperbarui klasifikasi, cakupan kebijakan, dan tingkat penegakannya.

Mengakses Pusat Admin

Menavigasi ke Pengelolaan DLP

Anda perlu memulai dari pusat admin Power Platform untuk mengelola kebijakan Data Loss Prevention (DLP). Portal ini menjadi tempat terpusat untuk mengendalikan pengaturan keamanan organisasi Anda. Anda dapat melihat semua lingkungan, meninjau kebijakan DLP yang ada, dan membuat kebijakan baru. Antarmukanya mudah digunakan, tetapi Anda mungkin menghadapi sejumlah tantangan saat mempelajarinya.

Banyak administrator menghadapi masalah umum saat bekerja di pusat admin Power Platform:

1. Anda mungkin perlu memahami bagaimana pembatasan kebijakan DLP memengaruhi alur kerja Anda.
2. Anda mungkin harus menangani penangguhan alur yang terjadi akibat pelanggaran DLP.
3. Anda sering mencari solusi sementara agar alur kerja tetap berjalan sambil tetap mematuhi kebijakan DLP.

Anda dapat menghindari kebingungan dengan menjelajahi bagian pengelolaan DLP secara bertahap. Mulailah dengan memilih opsi "Kebijakan data" dari menu kiri. Bagian ini menampilkan semua kebijakan yang berlaku dan memungkinkan Anda mengedit atau membuat kebijakan baru. Anda juga dapat memfilter kebijakan berdasarkan lingkungan atau mencari konektor tertentu. Jika ingin melihat bagaimana kebijakan memengaruhi alur Anda, gunakan DLP Editor. Alat ini membantu Anda melihat pratinjau perubahan sebelum menerapkannya.

Tips: Tandai halaman pengelolaan DLP di peramban Anda. Pintasan ini menghemat waktu dan membantu Anda merespons pembaruan kebijakan atau insiden dengan cepat.

Izin yang Diperlukan

Anda memerlukan izin yang tepat untuk mengelola kebijakan DLP di pusat admin. Tidak semua pengguna dapat mengakses pengaturan ini. Hanya peran tertentu yang memiliki wewenang untuk membuat, mengedit, atau menghapus kebijakan DLP. Tabel di bawah ini menunjukkan peran mana yang memiliki izin yang diperlukan:

Periksa peran Anda sebelum mencoba mengubah pengaturan DLP apa pun. Jika Anda tidak memiliki izin yang tepat, minta akses kepada global admin organisasi Anda. Langkah ini mencegah keterlambatan dan memastikan Anda dapat mengelola kebijakan tanpa gangguan.

Catatan: Selalu ikuti panduan keamanan organisasi Anda saat menetapkan peran admin. Membatasi akses kepada pengguna tepercaya membantu melindungi data Anda dan menjaga alur kerja tetap aman.

Langkah Klasifikasi Konektor

Anda memerlukan proses yang jelas untuk mengklasifikasikan konektor dalam alur kerja Power Platform Anda. Langkah ini membantu Anda melindungi data dan menjaga alur kerja tetap berjalan lancar. Dengan mengelompokkan konektor sejak awal, Anda menetapkan batasan yang kuat untuk pergerakan data dan mengurangi risiko masalah kepatuhan.

Daftar Periksa untuk Mengklasifikasikan Konektor

Ikuti daftar periksa ini untuk mengatur konektor Anda:

1. Daftarkan semua konektor yang digunakan dalam alur kerja Anda.
2. Tentukan tujuan setiap konektor: apakah menangani data bisnis, data pribadi, atau hal lain?
3. Klasifikasikan setiap konektor ke dalam salah satu dari tiga kelompok:
   • Business
   • Non-Business
   • Blocked
4. Tinjau pengaturan default. Kebijakan baru menempatkan semua konektor di kelompok Non-Business secara default.
5. Petakan konektor sejak dini dalam proses pengembangan Anda untuk menghindari kejutan saat penerapan.
6. Dokumentasikan pilihan Anda untuk audit dan tinjauan di masa mendatang.

Tips: Pemetaan konektor sejak dini dapat menghemat waktu dan tenaga Anda. Tim yang memetakan konektor sejak awal melihat triase dan deteksi yang lebih cepat, dengan waktu tinjauan untuk masalah kritis turun hingga 88 jam per bulan.

Konektor Business

Konektor business menangani data sensitif atau data kritis bagi misi organisasi Anda. Anda sebaiknya menempatkan konektor di kelompok ini jika berinteraksi dengan data untuk penggunaan bisnis, seperti catatan pelanggan, informasi keuangan, atau file rahasia.

Ketika Anda mengklasifikasikan konektor sebagai business, Anda membuat batas yang aman. Konektor business hanya dapat berbagi data dengan konektor business lainnya. Aturan ini membantu Anda memenuhi standar kepatuhan dan mencegah data sensitif bocor ke area yang kurang aman.

Catatan: Gunakan konektor business untuk aplikasi dan alur yang memerlukan tata kelola ketat. Pendekatan ini mendukung kepatuhan terhadap regulasi seperti HIPAA atau SOC 2.

Konektor Non-business

Konektor non-business bekerja dengan data untuk penggunaan pribadi atau layanan umum. Konektor ini tidak menangani informasi bisnis yang sensitif. Anda mungkin menggunakannya untuk alat produktivitas, media sosial, atau penyimpanan pribadi.

Konektor non-business dapat berinteraksi satu sama lain, tetapi tidak dapat berbagi data dengan konektor business. Pemisahan ini menjaga keamanan data bisnis Anda dan memberikan fleksibilitas lebih untuk alur kerja yang kurang sensitif.

Perhatian: Secara default, Power Platform menempatkan semua konektor di kelompok Non-Business saat Anda membuat kebijakan baru. Selalu tinjau dan perbarui pengaturan ini agar sesuai dengan kebutuhan organisasi Anda.

Konektor Blocked

Konektor blocked sepenuhnya dibatasi. Gunakan kelompok ini untuk konektor yang menimbulkan risiko kepatuhan atau tidak memenuhi standar keamanan organisasi Anda. Memblokir konektor mencegah siapa pun menggunakannya dalam alur kerja apa pun.

Memblokir konektor melindungi organisasi Anda dari kebocoran data yang tidak disengaja dan memastikan Anda mengikuti persyaratan regulasi. Anda mungkin memblokir konektor yang terhubung ke layanan cloud yang tidak didukung atau platform eksternal dengan keamanan yang lemah.

Peringatan: Memblokir connector adalah tindakan yang tegas. Gunakan tindakan ini untuk connector yang tidak ingin Anda lihat muncul di alur kerja Anda.

Mengapa Pemetaan Dini Itu Penting

Memetakan connector sejak awal dalam proses pengembangan Anda memberikan manfaat besar. Anda dapat mengurangi beban kerja bernilai rendah lebih dari 60%. Anda juga dapat mempercepat triase dan deteksi sekitar 70%. Selain itu, Anda menghemat waktu untuk pekerjaan aset manual dan peninjauan isu kritis. Pemetaan dini membantu Anda menghindari kejutan di menit-menit terakhir dan menjaga alur kerja Anda tetap aman sejak awal.

Tips Pro: Jadikan pemetaan connector sebagai bagian standar dari desain alur kerja Anda. Kebiasaan ini membangun fondasi yang kuat untuk keamanan dan kepatuhan.

Mengelola Connector Baru dan Kustom

Saat Anda menambahkan connector baru atau membangun connector kustom di Microsoft Power Platform, Anda harus mengontrol aksesnya untuk melindungi data Anda. Anda dapat melakukannya dengan menetapkan pengaturan grup default yang ketat dan mengikuti proses tinjauan yang jelas. Langkah-langkah ini membantu Anda menjaga alur kerja tetap aman dan patuh.

Pengaturan Grup Default

Anda sebaiknya selalu menetapkan grup default untuk connector baru ke "Blocked." Tindakan ini mencegah siapa pun menggunakan connector baru sebelum Anda meninjaunya. Pengaturan default di Power Platform adalah "non-business," tetapi mengubahnya menjadi "Blocked" memberi Anda kendali yang lebih besar. Anda kemudian dapat memindahkan connector ke grup yang tepat setelah memeriksa keamanan dan kepatuhannya.

Tips: Menetapkan grup Blocked sebagai default untuk connector baru membantu Anda menghindari kebocoran data yang tidak disengaja.

Anda juga perlu memastikan setiap lingkungan memiliki kebijakan DLP yang ketat sebelum siapa pun mulai membangun alur kerja. Kebijakan ini berfungsi sebagai jaring pengaman, dengan menghentikan penggunaan connector yang belum disetujui. Untuk lingkungan baru, pindahkan semua connector yang tidak dapat diblokir ke kategori business. Bekerja sama dengan pemilik lingkungan untuk mengidentifikasi connector lain yang diperlukan dan menempatkannya di grup yang tepat.

Berikut adalah praktik terbaik untuk mengelola connector baru:

Anda juga dapat menetapkan grup default untuk lingkungan baru menjadi blocked. Langkah ini mencegah akses yang belum ditinjau dan menjaga data Anda tetap aman.

Menangani Connector Kustom

Connector kustom memungkinkan Anda terhubung ke sumber data atau API yang unik. Anda harus menangani connector ini dengan kehati-hatian ekstra. Mulailah dengan menetapkan kategori Blocked sebagai default untuk setiap connector kustom baru. Tindakan ini memastikan bahwa tidak ada seorang pun yang dapat menggunakan connector sebelum Anda meninjaunya.

Anda sebaiknya meminta komite Corporate Governance meninjau setiap connector kustom baru. Grup ini memutuskan apakah connector tersebut memenuhi standar keamanan dan kepatuhan Anda. Setelah disetujui, Anda dapat memindahkan connector ke grup business atau non-business sesuai kebutuhan.

Peringatan: Selalu gunakan kebijakan DLP yang ketat untuk connector kustom. Kebijakan ini membatasi akses dan membantu Anda menghindari risiko.

Anda juga sebaiknya menerapkan prinsip dual control. Artinya, dua orang harus menyetujui setiap perubahan pada kebijakan DLP. Langkah ini menambah pengawasan dan mengurangi kesalahan.

Kebijakan DLP untuk seluruh penyewa membantu Anda mengelola connector kustom di semua lingkungan. Anda dapat menetapkan aturan yang berlaku di mana saja, sehingga lebih mudah menjaga keamanan data Anda. Anda sebaiknya selalu meninjau dan memperbarui kebijakan DLP untuk seluruh penyewa setiap kali Anda menambahkan connector baru atau kustom.

Singkatnya, Anda sebaiknya:

• Menetapkan grup Blocked sebagai default untuk semua connector baru dan kustom.
• Meninjau setiap connector bersama komite Corporate Governance.
• Menerapkan kebijakan DLP yang ketat di setiap lingkungan.
• Menggunakan kebijakan DLP untuk seluruh penyewa guna perlindungan yang luas.
• Mewajibkan persetujuan ganda untuk setiap perubahan kebijakan DLP.

Dengan mengikuti langkah-langkah ini, Anda menjaga lingkungan Power Platform tetap aman dan patuh, bahkan saat Anda menambahkan connector baru atau kustom.

Menerapkan dan Menguji Kebijakan DLP

Menguji kebijakan DLP Power Platform Anda sebelum menerapkannya di produksi adalah langkah yang cerdas. Anda ingin memastikan alur kerja tetap aman dan pengguna Anda tidak mengalami masalah yang tidak terduga. Anda dapat mengikuti beberapa langkah untuk memeriksa dampak kebijakan Anda dan menangkap masalah sejak dini.

Dampak Kebijakan pada Alur Kerja

Saat Anda menerapkan kebijakan DLP Power Platform, Anda menetapkan aturan yang mengontrol konektor mana yang boleh digunakan oleh alur kerja Anda. Aturan ini melindungi data Anda, tetapi juga dapat memengaruhi cara kerja alur dan aplikasi Anda. Anda mungkin melihat kesalahan jika mencoba menggunakan konektor yang diblokir atau mencampur konektor bisnis dan non-bisnis dalam alur kerja yang sama.

Berikut beberapa cara kebijakan DLP dapat memengaruhi alur kerja Anda:

• Anda mungkin melihat kesalahan saat membuat atau mengedit alur kerja yang menggunakan konektor terbatas.
• Alur yang melanggar aturan akan ditandai sebagai Ditangguhkan hingga Anda memperbaiki masalahnya.
• Anda melindungi data sensitif, tetapi Anda perlu mengelola pembatasan ini agar tidak memblokir pekerjaan penting.

Anda sebaiknya selalu meninjau dampak kebijakan DLP Power Platform sebelum menerapkannya. Langkah ini membantu Anda menemukan masalah dan menyesuaikan alur kerja sesuai kebutuhan.

Pengujian Negatif

Pengujian negatif membantu Anda menemukan titik lemah dalam konfigurasi DLP. Anda sengaja mencoba melanggar aturan untuk melihat bagaimana kebijakan Anda merespons. Proses ini membantu Anda menemukan kesalahan konfigurasi dan memastikan kebijakan Anda berfungsi sebagaimana mestinya.

Kesalahan umum yang mungkin Anda temukan selama pengujian negatif meliputi:

• Menetapkan lokasi kebijakan secara tidak tepat, yang dapat memblokir atau mengizinkan konektor secara keliru.
• Membuat kebijakan yang terlalu luas, yang menyebabkan positif palsu dan memblokir alur kerja yang aman.
• Log tidak tercatat saat pengguna mencoba mengabaikan kebijakan, yang dapat menyulitkan pelacakan kepatuhan.

Anda sebaiknya menerapkan praktik terbaik kebijakan DLP saat menguji. Mulailah dengan mode simulasi untuk melihat cara kerja kebijakan Anda tanpa menghentikan alur apa pun. Anda dapat menambahkan notifikasi dan Policy Tips untuk mengedukasi pengguna tentang kepatuhan. Saat Anda sudah yakin, aktifkan penegakan penuh untuk melindungi data Anda.

Langkah untuk menguji kebijakan DLP Anda:

1. Jalankan kebijakan dalam mode simulasi tanpa Policy Tips. Periksa laporan DLP untuk melihat dampaknya.
2. Tambahkan notifikasi dan Policy Tips untuk mengedukasi pengguna.
3. Beralih ke penegakan penuh untuk menerapkan aturan dan mengamankan alur kerja Anda.

Tips: Selalu dokumentasikan hasil pengujian Anda. Kebiasaan ini membantu Anda meningkatkan praktik terbaik kebijakan DLP dari waktu ke waktu.

Mencerminkan Lingkungan

Anda ingin lingkungan pengujian Anda semirip mungkin dengan pengaturan produksi Anda. Mencerminkan lingkungan memungkinkan Anda melihat bagaimana kebijakan DLP Power Platform akan berperilaku dalam kondisi nyata. Pendekatan ini membantu Anda menemukan masalah sebelum memengaruhi pengguna.

Ikuti praktik terbaik kebijakan DLP berikut untuk mencerminkan lingkungan:

• Salin kebijakan DLP produksi Anda ke lingkungan pengujian.
• Gunakan konektor dan sumber data yang sama di kedua lingkungan.
• Uji semua alur kerja penting untuk memastikan semuanya berfungsi sebagaimana mestinya.

Jika Anda menemukan kesalahan, sesuaikan kebijakan dan uji ulang. Proses ini membantu Anda yakin bahwa alur kerja akan tetap aman dan andal saat dipindahkan ke produksi.

Catatan: Mencerminkan lingkungan mengurangi kejutan dan menjaga data Anda tetap aman.

Daftar Periksa Kebijakan DLP Power Platform — Penerapan dan Pengujian

Gunakan daftar periksa ini untuk menerapkan dan menguji kebijakan DLP Power Platform secara terkendali dan dapat diaudit.

Persiapan

• Identifikasi tujuan bisnis dan keamanan untuk kebijakan DLP Power Platform
• Inventarisasi lingkungan, konektor, aplikasi, alur, dan sumber data
• Klasifikasikan konektor dan jenis data (bisnis, non-bisnis, terbatas)
• Tentukan cakupan kebijakan (penyewa, lingkungan, atau grup lingkungan)
• Tetapkan pemangku kepentingan dan pemilik untuk penegakan dan perbaikan
• Cadangkan aplikasi dan alur yang mungkin terdampak
• Siapkan rencana komunikasi untuk pengguna dan tim yang terdampak

Pembuatan Kebijakan

• Buat draf kebijakan DLP di Power Platform Admin Center
• Atur klasifikasi konektor dan aturan yang selaras dengan matriks klasifikasi
• Konfigurasikan grup konektor yang diizinkan dan diblokir beserta pengecualiannya
• Tentukan tindakan penegakan (blokir, peringatan, atau mode audit)
• Atur target cakupan (lingkungan tertentu atau semua)
• Tambahkan deskripsi kebijakan, alasan, dan metadata kontrol perubahan

Validasi Pra-Penerapan

• Validasi sintaksis kebijakan dan konsistensi aturan
• Tinjau potensi dampak menggunakan inventaris dan masukan pemangku kepentingan
• Identifikasi aplikasi/alur kritis untuk dikecualikan atau diuji secara bertahap
• Jadwalkan penerapan pada jendela pemeliharaan atau saat penggunaan rendah

Penerapan

• Terapkan kebijakan DLP ke lingkungan percobaan terlebih dahulu
• Pantau log dan notifikasi segera setelah penerapan
• Eskalasi insiden ke pemilik jika tindakan yang diblokir memengaruhi proses bisnis
• Perluas cakupan secara bertahap ke lingkungan tambahan berdasarkan hasil percobaan

Pengujian dan Verifikasi

• Buat rencana pengujian untuk skenario yang diizinkan, diberi peringatan, dan diblokir
• Uji aplikasi dan alur yang menggunakan konektor di setiap klasifikasi
• Pastikan connector yang diblokir menampilkan pesan error yang sesuai
• Pastikan connector yang diberi peringatan menampilkan panduan yang tepat kepada pengguna tanpa mengganggu proses
• Pastikan audit mode mencatat peristiwa di log aktivitas dan memicu alert
• Uji pengecualian connector dan pastikan perilakunya sesuai konfigurasi
• Validasi bahwa jalur eksfiltrasi data dicegah sesuai kebijakan

Pemantauan dan Remediasi

• Pantau alert DLP, log audit, dan tren penggunaan connector
• Lakukan triase dan investigasi terhadap operasi yang diblokir atau ditandai
• Bekerja sama dengan pemilik aplikasi untuk memperbaiki atau merancang ulang alur yang tidak sesuai
• Terapkan pengecualian yang ditargetkan hanya jika ada justifikasi bisnis yang terdokumentasi
• Perbarui aturan kebijakan berdasarkan temuan dan ulangi pengujian

Dokumentasi dan Pelatihan

• Dokumentasikan pengaturan kebijakan final, cakupan, dan riwayat perubahan
• Publikasikan panduan pengguna dan Pertanyaan Umum tentang perilaku dan error yang diharapkan
• Latih admin, developer, dan power user tentang dampak kebijakan DLP
• Pertahankan rencana rollback dan langkah pemulihan untuk kegagalan kritis

Peninjauan dan Peningkatan Berkelanjutan

• Jadwalkan peninjauan kebijakan dan penilaian ulang risiko secara berkala
• Perbarui klasifikasi connector seiring diadopsinya layanan baru
• Ukur efektivitas kebijakan dengan metrik utama (tindakan yang diblokir, insiden, false positive)
• Masukkan umpan balik dari pengguna dan tim keamanan ke dalam revisi

Tata Kelola dan Praktik Terbaik

Peninjauan Kebijakan Secara Berkala

Anda perlu meninjau kebijakan DLP Power Platform secara berkala sesuai jadwal. Microsoft menambahkan 10 hingga 15 connector baru setiap kuartal. Jika Anda tidak memeriksa kebijakan, Anda mungkin melewatkan risiko baru atau kehilangan kendali atas pergerakan data. Anda sebaiknya meninjau kebijakan setidaknya setiap tiga bulan. Langkah ini membantu Anda mengikuti perubahan teknologi dan kebutuhan bisnis.

• Tinjau kebijakan DLP Power Platform Anda setiap kuartal.
• Perbarui kebijakan Anda ketika connector baru muncul.
• Sesuaikan aturan Anda dengan praktik bisnis atau skenario risiko yang baru.

Anda dapat mengotomatisasi pengingat untuk peninjauan ini menggunakan Power Automate. Cara ini membuat tim Anda tetap on track dan memastikan kebijakan DLP Power Platform bersama tetap efektif.

Menggunakan CoE Toolkit

Center of Excellence (CoE) Toolkit menyediakan alat untuk mengelola dan meningkatkan tata kelola Anda. Anda dapat menggunakan DLP Editor untuk melihat aplikasi dan alur mana yang terdampak oleh kebijakan Anda. Toolkit ini memungkinkan Anda meninjau kebijakan yang ada, mengubah grup connector, dan menilai dampaknya sebelum menyimpan perubahan. Anda juga dapat memberi tahu pemilik aplikasi tentang perubahan yang akan datang melalui email.

Kebijakan DLP Power Platform bersama bekerja paling baik ketika Anda menggunakan CoE Toolkit. Anda dapat mengotomatisasi tugas tata kelola, membersihkan aplikasi yang tidak terpakai, dan memastikan kebijakan Anda sesuai dengan penggunaan di dunia nyata. CoE membantu membangun budaya di mana semua orang memandang DLP sebagai bagian penting dari desain alur kerja.

Alert dan Auditing

Anda harus memantau lingkungan Anda agar masalah dapat terdeteksi sejak dini. Power Automate memungkinkan Anda membuat alur kerja yang mengirim alert ketika seseorang melanggar kebijakan. Anda dapat melacak flow yang gagal, mengenali pola yang tidak biasa, dan mendokumentasikan setiap tindakan untuk keperluan audit.

Salah satu fitur terbaik Power Automate adalah kemampuannya mengotomatisasi proses audit dan alert Anda. Anda dapat membuat alur kerja menggunakan management connector yang mengizinkan atau membatasi perilaku berdasarkan kebijakan DLP organisasi Anda.

Anda juga sebaiknya menggunakan alat seperti Azure Monitor dan Microsoft Sentinel. Alat-alat ini memberi Anda visibilitas tingkat enterprise terhadap penggunaan, performa, dan keamanan. Anda dapat mengatur notifikasi untuk pelanggaran kebijakan DLP dan menyimpan log untuk pemeriksaan kepatuhan.

Berikut beberapa taktik tata kelola terbaik untuk alur kerja yang aman:

Dengan memadukan tinjauan rutin, CoE Toolkit, dan peringatan otomatis, Anda membangun fondasi yang kuat untuk kebijakan DLP Power Platform Anda. Pendekatan ini membantu Anda tetap patuh, mengurangi risiko, dan mendukung inovasi.

Kelebihan dan Kekurangan Kebijakan DLP Power Platform

Kelebihan

• Perlindungan data dan kepatuhan: Kebijakan DLP Power Platform membantu menegakkan aturan organisasi untuk mencegah data sensitif dibagikan atau digunakan di konektor dan alur yang tidak sah, sehingga mendukung kepatuhan terhadap regulasi.
• Kontrol terpusat: Administrator dapat mengelola pengaturan pencegahan kehilangan data di seluruh lingkungan secara terpusat, sehingga lebih mudah menjaga postur keamanan yang konsisten.
• Opsi kebijakan yang granular: Kebijakan dapat diterapkan di tingkat lingkungan dan dikonfigurasi untuk mengizinkan, memblokir, atau membatasi konektor dan tindakan, sehingga memungkinkan manajemen risiko yang disesuaikan.
• Pengurangan risiko: Memblokir atau membatasi konektor berisiko tinggi mengurangi kemungkinan kebocoran data yang tidak disengaja dari aplikasi, alur, dan konektor dalam ekosistem Power Platform.
• Visibilitas dan tata kelola: Kebijakan DLP meningkatkan visibilitas penggunaan konektor dan membantu mengatur aktivitas citizen developer tanpa sepenuhnya menghalangi inovasi berisiko rendah.
• Integrasi dengan tumpukan keamanan Microsoft: Kebijakan DLP Power Platform bekerja sama dengan alat keamanan dan kepatuhan Microsoft lainnya, sehingga memperkuat strategi keamanan perusahaan secara keseluruhan.
• Skalabilitas: Kebijakan dapat diterapkan di banyak lingkungan dan penyewa, sehingga cocok untuk organisasi dengan berbagai ukuran.

Kekurangan

• Potensi dampak pada produktivitas: Kebijakan DLP Power Platform yang ketat dapat memblokir konektor atau tindakan yang berguna, sehingga menghambat citizen developer dan pengguna bisnis yang mengandalkan integrasi tertentu.
• Pengelolaan kebijakan yang kompleks: Organisasi besar dengan banyak lingkungan dan kebutuhan bisnis yang beragam mungkin kesulitan merancang dan menjaga keseimbangan kebijakan yang tepat.
• Granularitas terbatas untuk beberapa skenario: Meskipun kebijakan berbasis lingkungan, ada situasi di mana kontrol yang lebih rinci (per aplikasi atau per klasifikasi data alur) diinginkan tetapi terbatas.
• Hasil positif palsu dan gesekan pengguna: Kasus penggunaan yang sah dapat terblokir, menimbulkan gesekan dan peningkatan permintaan dukungan untuk meminta pengecualian kebijakan atau solusi alternatif.
• Beban pemeliharaan: Seiring berkembangnya konektor dan kebutuhan bisnis, kebijakan DLP memerlukan tinjauan dan penyesuaian berkelanjutan, yang menyita sumber daya administratif.
• Kurva pembelajaran bagi administrator: Tim yang baru mengenal tata kelola Power Platform mungkin memerlukan waktu dan pelatihan untuk menerapkan dan menyetel kebijakan DLP secara efektif.
• Komplikasi konektor pihak ketiga: Mengelola risiko untuk konektor kustom atau pihak ketiga lebih sulit dievaluasi, sehingga berpotensi menghasilkan aturan yang terlalu longgar atau terlalu ketat.

Pertanyaan Umum: Kebijakan pencegahan kehilangan data untuk Power Apps dan Power Automate

Apa itu kebijakan DLP Power Platform dan apa tujuannya?

Kebijakan DLP Power Platform adalah aturan yang ditetapkan oleh administrator untuk mengontrol cara konektor data digunakan di Power Apps dan Power Automate. Tujuannya adalah mencegah pengungkapan data organisasi yang tidak disengaja, menegakkan tata kelola data, dan mengurangi kebocoran dengan memblokir atau membatasi tindakan konektor yang dapat membuat alur atau aplikasi memindahkan informasi sensitif ke luar batas yang disetujui.

Bagaimana kebijakan DLP mencegah alur membagikan data sensitif?

Kebijakan DLP mengelompokkan konektor ke dalam grup (misalnya, Business dan Non-Business) dan mencegah alur yang menggabungkan konektor dari grup yang berbeda. Ketika alur melanggar aturan kehilangan data organisasi Anda, seperti mencoba mengirim data dari konektor bisnis ke konektor non-bisnis, kebijakan akan memblokir tindakan tersebut dan alur tidak dapat dijalankan, sehingga mencegah potensi kebocoran data.

Konektor mana yang dianggap berisiko dan bagaimana saya dapat menyesuaikan kebijakan?

Konektor yang memindahkan data ke luar organisasi, seperti media sosial, penyimpanan cloud pribadi, atau beberapa konektor Microsoft 365, sering ditandai sebagai berisiko lebih tinggi. Anda dapat menyesuaikan kebijakan dengan memilih kebijakan data yang menetapkan konektor ke kategori, mengatur tindakan konektor tertentu untuk diizinkan atau diblokir, dan membuat kebijakan yang ketat untuk lingkungan sensitif. Dengan begitu, Anda dapat mengontrol konektor mana yang boleh digunakan bersama dan tindakan konektor mana yang diizinkan.

Dapatkah kebijakan DLP memblokir tindakan tertentu dalam sebuah konektor?

Ya, administrator dapat memblokir tindakan tertentu di banyak konektor, tidak hanya seluruh konektor, sehingga memungkinkan kontrol yang terperinci atas apa yang dapat dilakukan alur dan aplikasi. Hal ini membantu mencegah operasi data tertentu, seperti membuat, menghapus, atau membagikan data baru, tanpa menonaktifkan seluruh fungsi konektor.

Bagaimana kebijakan DLP memengaruhi alur Power Automate yang dibuat oleh pengguna?

Saat kebijakan DLP diterapkan, setiap alur Power Automate yang menggunakan konektor dari grup kebijakan yang bertentangan akan diblokir dan tidak dapat dijalankan, serta mungkin menampilkan kesalahan di portal pembuat. Pembuat akan menerima notifikasi bahwa alur mereka melanggar kebijakan pencegahan kehilangan data organisasi Anda di Power Platform, dan harus menyesuaikan konektor atau meminta perubahan kebijakan dari admin agar sesuai.

Apa yang terjadi jika aplikasi Power Apps melanggar kebijakan DLP?

Jika aplikasi Power Apps menggunakan konektor dengan cara yang melanggar kebijakan DLP Anda, pengguna mungkin mengalami fungsi yang diblokir atau kegagalan saat aplikasi mencoba memanggil tindakan konektor yang dibatasi. Administrator dapat memantau insiden ini untuk mengidentifikasi pola yang tidak sah, lalu memperbarui kebijakan DLP atau desain aplikasi sesuai kebutuhan.

Bagaimana cara membuat atau mengubah kebijakan DLP menggunakan pusat admin Power Platform atau PowerShell?

Anda dapat membuat atau memperbarui kebijakan DLP di pusat admin Power Platform dengan menentukan grup konektor dan cakupannya. Untuk otomatisasi, cmdlet PowerShell tersedia untuk mengelola kebijakan secara terprogram, memungkinkan pembaruan massal, penerapan di berbagai lingkungan, dan integrasi dengan alur kerja CI/CD untuk menegakkan kebijakan data yang konsisten.

Di mana sebaiknya perubahan kebijakan DLP dan prosedur tata kelola didokumentasikan?

Dokumentasikan perubahan kebijakan DLP di repositori tata kelola data atau center of excellence Anda, dan lacak riwayat perubahan di Microsoft 365 atau sistem kepatuhan Anda. Menyimpan catatan yang jelas tentang perubahan kebijakan, alasannya, dan penilaian risiko membantu menjelaskan keputusan kepada pemangku kepentingan serta mendukung audit dan strategi DLP.

Bagaimana saya dapat menguji apakah kebijakan DLP memblokir alur atau aplikasi sesuai rencana?

Uji kebijakan dengan membuat alur dan aplikasi contoh yang menggunakan konektor dan tindakan tertentu. Pantau apakah alur melanggar aturan kehilangan data organisasi Anda, memicu pemblokiran kebijakan, atau mencatat peristiwa. Gunakan lingkungan staging dan praktik pengujian center of excellence Power Platform untuk memvalidasi kebijakan sebelum menerapkannya secara luas.

Apa saja penyebab umum alur diblokir dan bagaimana pembuat dapat menyelesaikan masalahnya?

Penyebab umum meliputi penggabungan konektor dari grup kebijakan yang berbeda, penggunaan tindakan konektor yang diblokir, atau koneksi ke layanan yang tidak disetujui. Pembuat dapat menyelesaikan masalah dengan mengganti konektor dengan alternatif yang disetujui, memisahkan fungsi ke dalam alur terpisah, atau meminta pengecualian kebijakan atau kebijakan khusus dari admin.

Bagaimana kebijakan DLP terintegrasi dengan sumber data Microsoft 365 dan SharePoint?

Kebijakan DLP mengenali konektor Microsoft 365 dan konektor SharePoint sebagai potensi sumber data. Administrator dapat mengklasifikasikan konektor ini dengan tepat untuk mencegah alur atau aplikasi memindahkan konten SharePoint atau data Microsoft 365 ke layanan yang tidak disetujui, sehingga membantu melindungi informasi organisasi di seluruh platform.

Alat pelaporan dan pemantauan apa yang tersedia untuk melacak kepatuhan kebijakan?

Pusat admin Power Platform menyediakan log dan analitik untuk melihat pelanggaran kebijakan, alur yang diblokir, dan penggunaan konektor. Dikombinasikan dengan log audit Microsoft 365 dan dasbor center of excellence Anda, alat ini memungkinkan pemantauan berkelanjutan terhadap kebijakan di seluruh lingkungan serta membantu menyempurnakan kebijakan pencegahan di Power Platform berdasarkan penggunaan nyata.

Bagaimana organisasi sebaiknya menyeimbangkan kebijakan DLP yang ketat dengan produktivitas pengembang?

Organisasi sebaiknya menerapkan pendekatan berbasis risiko: terapkan kebijakan ketat untuk lingkungan sensitif dan kebijakan yang lebih longgar untuk lingkungan sandbox. Sediakan konektor data yang disetujui, buat templat, dan dokumentasikan strategi DLP agar pembuat dapat membangun alur Power Automate dan aplikasi Power Apps yang patuh tanpa hambatan yang tidak perlu bagi inovasi.

Apakah kebijakan DLP dapat dibatasi untuk lingkungan atau pengguna tertentu?

Ya, Anda dapat membatasi kebijakan DLP ke lingkungan tertentu, seluruh penyewa, atau koneksi dan grup pengguna tertentu. Pembatasan ini memungkinkan penegakan yang fleksibel: lingkungan produksi menerapkan kebijakan pencegahan yang ketat, sementara lingkungan pengembangan tetap lebih terbuka untuk pengujian dan otomatisasi.

Di mana saya dapat menemukan panduan dan contoh resmi untuk mengonfigurasi kebijakan DLP?

Panduan resmi dan contoh langkah demi langkah tersedia di Microsoft Learn dan dokumentasi Power Platform. Sumber-sumber ini membahas cara membuat kebijakan data, menggunakan PowerShell untuk mengelola kebijakan, dan menerapkan praktik terbaik untuk keamanan dan tata kelola data.

Anda memperkuat keamanan Power Platform saat Anda mengklasifikasikan konektor dan menegakkan kebijakan DLP. Mengelompokkan konektor mencegah pergerakan data yang tidak sah dan mengontrol aliran data sensitif. Tata kelola yang proaktif menciptakan pagar pengaman yang terstruktur dan mengurangi integrasi berisiko. Tinjauan berkala membantu Anda beradaptasi dengan konektor dan ancaman baru. Banyak organisasi, termasuk di sektor kesehatan, telah mengurangi penggunaan konektor berisiko tinggi dengan kebijakan berbasis lingkungan dan kebijakan DLP menyeluruh.

Untuk meningkatkan kepatuhan dan keamanan, ikuti langkah-langkah berikut:

1. Nilai kebijakan tata kelola Anda saat ini.
2. Tentukan tujuan tata kelola yang jelas.
3. Kembangkan dan otomatiskan kebijakan tata kelola.
4. Latih tim Anda tentang praktik terbaik.

Untuk strategi ahli lainnya dalam mengamankan siklus hidup pengembangan warga tanpa menghambat inovasi, jangan lewatkan episode podcast lengkap kami tentang Power Platform DLP Policies for Developers!