Освоение предотвращения утечки данных: подробный разбор Microsoft Purview DLP

By Mirko Peters · 2026-09-15

Добро пожаловать обратно в наш подкаст и в сопутствующий блог! Если вы слушали наш последний эпизод, вы знаете, что значительную часть времени мы посвятили обсуждению постоянно меняющегося ландшафта…

Automatically translated with AI from the original post. Read the English original

Добро пожаловать обратно в подкаст и на наш сопутствующий блог! Если вы слушали наш последний выпуск, то знаете, что большую часть времени мы посвятили обсуждению постоянно меняющегося ландшафта безопасности корпоративных данных. Сегодня мы продолжаем этот разговор и подробно разбираем Microsoft Purview Data Loss Prevention, известный как DLP. В эпоху удалённой работы, повсеместного распространения инструментов для совместной работы и всё более изощрённых киберугроз защитить конфиденциальные данные вашей организации сложнее, чем когда-либо. Сотрудники делятся документами через множество платформ, отправляют письма с финансовыми отчётами и совместно работают в общих рабочих пространствах в режиме реального времени. Эта гибкость движет бизнес вперёд, но также заметно увеличивает риск случайных утечек данных, нарушений нормативных требований и злонамеренных угроз со стороны инсайдеров.

Встречайте Microsoft Purview DLP. Созданный, чтобы помогать организациям выявлять, контролировать и автоматически защищать конфиденциальную информацию во всей экосистеме Microsoft 365, Purview DLP — мощный инструмент безопасности. Работаете ли вы с персональными данными (PII), финансовой информацией или интеллектуальной собственностью, важно понимать, как эффективно внедрять и управлять Purview DLP. В этом подробном руководстве мы разберём основные компоненты Microsoft Purview DLP, пошагово рассмотрим настройку политик, изучим, как защищать данные в различных рабочих нагрузках, и поделимся лучшими отраслевыми практиками, которые помогут согласовать стратегию защиты данных с моделью Zero Trust. Давайте сразу приступим.

Введение в Microsoft Purview DLP

Предотвращение утечки данных не является новой концепцией в мире кибербезопасности, но подход к ней существенно изменился. Традиционные решения DLP в значительной степени опирались на периметровую безопасность и жёсткие сетевые границы. Однако по мере того, как организации переходят в облако и внедряют гибридные модели работы, традиционный периметр исчез. Данные теперь находятся повсюду: в электронной почте, облачных хранилищах, чат-приложениях, конечных устройствах и сторонних приложениях.

Microsoft Purview DLP решает эту современную задачу, встраивая защиту данных непосредственно в ткань вашей среды Microsoft 365. Вместо того чтобы пытаться защитить сеть, Purview фокусируется на защите самих данных независимо от того, куда они перемещаются и где хранятся. По сути, Microsoft Purview DLP работает за счёт сканирования, выявления и мониторинга конфиденциальной информации в Exchange Online, SharePoint Online, OneDrive для бизнеса, Microsoft Teams, конечных точках Windows 10 и 11, а также в облачных приложениях сторонних поставщиков через интеграцию с Microsoft Defender for Cloud Apps.

Когда пользователь пытается выполнить действие, которое нарушает определённую политику организации, например отправляет номер банковской карты внешнему получателю или загружает конфиденциальную интеллектуальную собственность на неуправляемое устройство, Purview DLP вмешивается. В зависимости от настроек политики он может заблокировать действие, зашифровать данные, уведомить пользователя с помощью подсказки о политике или создать оповещение для вашего центра операций безопасности. Выявляя такие инциденты в режиме реального времени, Purview DLP становится важной страховочной сеткой как против злонамеренной exfiltration данных, так и против повседневных человеческих ошибок.

Понимание типов сведений и классификаторов

Прежде чем защищать данные, нужно знать, что они собой представляют. Невозможно создать эффективную политику DLP, если система не может отличить обычную внутреннюю служебную записку от документа, содержащего тысячи номеров социального страхования или исходный код, составляющий коммерческую тайну. Именно здесь в игру вступают типы конфиденциальных сведений (SIT) Microsoft Purview и обучаемые классификаторы.

Sensitive Info Types (SIT, типы конфиденциальных сведений) — это встроенные или пользовательские правила, которые распознают определённые шаблоны информации. Microsoft предоставляет сотни готовых SIT, охватывающих общепризнанные стандарты данных, например номера кредитных карт, номера паспортов, идентификационные номера налогоплательщика и идентификаторы в сфере здравоохранения. Для распознавания эти SIT используют регулярные выражения (Regex) и проверку контрольной суммы, что обеспечивает высокую точность и минимизирует количество ложных срабатываний. Например, SIT для кредитных карт не просто ищет 16-значное число: он проверяет математическую структуру номера с помощью алгоритма Луна и ищет поблизости ключевые слова, подтверждающие контекст.

Однако готовые SIT — это только начало. Каждая организация уникальна, поэтому часто требуются пользовательские типы конфиденциальных сведений, адаптированные к конкретным потребностям бизнеса, например внутренние кодовые названия проектов, форматы идентификаторов сотрудников или серийные номера собственной продукции. Пользовательские SIT можно создать в портале соответствия Purview с помощью классификации точного совпадения данных (EDM). Она позволяет безопасно загрузить защищённую базу ваших реальных записей, например базу клиентов или сотрудников, для сопоставления.

Помимо традиционного сопоставления по шаблонам, Microsoft Purview предлагает обучаемые классификаторы. Традиционным SIT сложно работать с неструктурированными данными, такими как интеллектуальная собственность, договоры или исходный код, которые не следуют предсказуемому шаблону. Обучаемые классификаторы используют машинное обучение, чтобы понимать контекст документа. Вы передаёте классификатору набор положительных и отрицательных примеров, и он учится распознавать характерные признаки этого типа содержимого. Это позволяет без лишних усилий применять политики DLP к сложным и неоднозначным наборам данных.

Настройка первой политики DLP в M365

Имея представление о том, как Microsoft Purview определяет конфиденциальные данные, следующий шаг — превратить эти знания в действующие политики. Настройка первой политики DLP в портале соответствия Microsoft Purview — несложный процесс, но он требует тщательного планирования, чтобы найти правильный баланс между безопасностью и продуктивностью пользователей.

Чтобы начать, перейдите в портал соответствия Microsoft Purview, найдите раздел «Предотвращение утечки данных» (Data loss prevention) и выберите «Политики». Отсюда можно создать новую политику. Microsoft предоставляет удобный мастер, который проведёт вас через несколько ключевых этапов:

• Выбор шаблона: Можно начать с готовых шаблонов, сгруппированных по отраслевым нормативам (например, HIPAA, GDPR или PCI-DSS) или категориям «Финансы», «Медицина» или «Конфиденциальность». Кроме того, можно создать пользовательскую политику с нуля.
• Название и описание политики: Дайте политике понятное, описательное название и укажите её назначение, чтобы другие администраторы понимали её область действия.
• Назначение расположений: Выберите, где будет применяться политика. Можно указать конкретные рабочие нагрузки, включая почту Exchange, сайты SharePoint, учётные записи OneDrive, чаты и сообщения каналов Teams, а также устройства Windows.
• Настройки политики: Именно здесь происходит главное. Вы определяете, какие условия должны выполняться (например, содержимое включает определённый тип конфиденциальных сведений и предоставлено внешним пользователям), и какие действия должны быть предприняты.

При настройке действий у вас есть несколько вариантов. Можно ограничить доступ к содержимому, запретить людям делиться им или показывать пользователям подсказки политики. Подсказки политики незаменимы для обучения сотрудников: они появляются в реальном времени, когда пользователь собирается поделиться конфиденциальными данными, объясняют, почему действие заблокировано, и при необходимости дают возможность обойти блокировку с указанием деловой причины.

Важно: при развёртывании первой политики мы всегда рекомендуем начинать в тестовом режиме. Выбор «Сначала проверить параметры политики» позволяет увидеть, как политика работала бы в вашей среде, не блокируя действия пользователей. Вы можете просмотреть отчёты о совпадениях политики, точно настроить правила, снизить количество ложных срабатываний и набраться уверенности перед переводом политики в полностью действующий режим.

Защита данных в Teams, SharePoint и Exchange

Современная совместная работа происходит в множестве приложений, и ваша стратегия DLP должна следовать за пользователями, где бы они ни работали. Microsoft Purview DLP нативно интегрирован во всё продуктивное набор приложений Microsoft 365, обеспечивая единообразную защиту, будь то отправка электронного письма сотрудником, совместная работа в библиотеке документов SharePoint или общение в Microsoft Teams.

Давайте посмотрим, как DLP работает в этих ключевых рабочих нагрузках:

• Exchange Online: Электронная почта по-прежнему остаётся одним из основных каналов случайной утечки данных. Purview DLP проверяет исходящие и внутренние письма и вложения. Если пользователь пытается отправить чувствительную таблицу на внешний адрес, письмо может быть заблокировано, направлено на согласование или отправлено с автоматически применённым шифрованием.
• SharePoint и OneDrive: Облачное хранилище отлично подходит для совместной работы, но оно также создаёт риски чрезмерного открытия доступа. Политики DLP, применённые к SharePoint и OneDrive, постоянно отслеживают хранимые файлы. Если у файла, содержащего чувствительные данные, изменяются разрешения так, что открывается публичный доступ или внешний общий доступ для неавторизованных доменов, Purview может автоматически ограничить доступ к файлу и уведомить владельца сайта.
• Microsoft Teams: Сообщения в чатах и каналах отправляются быстро, и при этом легко случайно раскрыть лишнее. Purview DLP проверяет сообщения и вложения, которыми обмениваются в чатах Teams и в обсуждениях каналов, в режиме реального времени. Если пользователь вставит номер кредитной карты клиента в окно чата, сообщение может быть заблокировано мгновенно, ещё до того, как его увидят другие участники.

Применяя политики единообразно во всех этих рабочих нагрузках, вы устраняете слепые зоны в безопасности. Пользователи не могут обойти ограничение в почте, просто перетащив файл в общий канал Teams, потому что одни и те же правила чувствительности действуют везде.

Мониторинг и реагирование на оповещения DLP

Внедрение политики DLP — это не задача «настроил и забыл». Когда ваши политики работают и применяют ограничения, вам нужен надёжный процесс для мониторинга оповещений, расследования инцидентов и постоянного уточнения правил. Портал соответствия требованиям Microsoft Purview предоставляет централизованную панель для просмотра и управления оповещениями и событиями DLP.

Когда совпадение с политикой запускает инцидент, формируется подробное оповещение. Эти оповещения содержат важный контекст для групп безопасности и соответствия требованиям:

• Кто инициировал событие: Учётная запись пользователя, ответственного за действие.
• Какие данные были задействованы: Конкретный тип сведений (Sensitive Info Type) или классификатор, с которым произошло совпадение.
• Где это произошло: Рабочая нагрузка, путь к файлу, тема письма или контекст чата.
• Какое действие было выполнено: Было ли действие заблокировано, разрешено с предупреждением или успешно переопределено пользователем.

Инструменты расследования в Purview позволяют аналитикам просмотреть точное содержимое, которое вызвало совпадение (с помощью возможностей предварительного просмотра совпадений данных, с учётом средств контроля разрешений), и оценить серьёзность угрозы. Если пользователь при переопределении подсказки политики указал обоснование для бизнеса, специалисты по соответствию требованиям могут проверить, соответствует ли оно политике компании.

Кроме того, оповещения Microsoft Purview DLP можно интегрировать с Microsoft Sentinel или другими решениями SIEM (управление информацией и событиями безопасности). Это позволяет центру безопасности (SOC) сопоставлять инциденты DLP с более широкой информацией о угрозах и выявлять целевые атаки изнутри, скомпрометированные учётные записи или скоординированные попытки кражи данных по всему предприятию.

Лучшие практики стратегии защиты данных по модели Zero Trust

Завершая это подробное погружение в Microsoft Purview DLP, важно отойти на шаг и посмотреть на общую картину. Data Loss Prevention существует не в вакууме: это фундаментальный элемент современной архитектуры безопасности Zero Trust. Основной принцип Zero Trust — «никогда не доверяй, всегда проверяй». Применительно к защите данных это означает, что нужно исходить из возможности взлома, проверять явный контекст и во всех случаях применять доступ по принципу наименьших привилегий.

Чтобы максимально повысить эффективность внедрения Microsoft Purview DLP, рассмотрите следующие отраслевые лучшие практики:

1. Начинайте с малого и масштабируйте постепенно: Не пытайтесь охватить всё сразу в первый день. Начните с наиболее критичных активов данных, таких как данные PCI или PHI, и примените политики к небольшой пилотной группе, прежде чем развёртывать их во всей организации.
2. Используйте метки конфиденциальности в связке: Сочетайте политики DLP с метками конфиденциальности Microsoft Purview Information Protection (MPIP). Маркировка документов вручную или автоматически позволяет политикам DLP ссылаться на саму метку, что делает правила политик гораздо проще и надёжнее, чем полагаться только на сканирование содержимого.
3. Обучайте пользователей: Используйте подсказки политик DLP как удобный момент для обучения. Когда пользователь видит всплывающее предупреждение, оно должно работать как обучение безопасности в реальном времени. Формируйте культуру безопасности, в которой сотрудники понимают, *зачем* нужны эти меры, а не воспринимают их как ограничения.
4. Регулярно пересматривайте и уточняйте политики: Бизнес-потребности меняются, и требования к соответствию нормативам по данным тоже. Планируйте регулярный аудит журналов оповещений DLP, чтобы находить возможности для настройки, отсеивать ложные срабатывания, которые только мешают работе, и убеждаться, что политики по-прежнему соответствуют меняющимся условиям вашего бизнеса.

Благодарим вас за участие в этом подробном разборе Microsoft Purview Data Loss Prevention. Сочетая интеллектуальную классификацию данных, защиту во всех рабочих нагрузках, проактивный мониторинг и мышление по модели Zero Trust, вы сможете построить устойчивую защиту, которая охраняет самый ценный актив вашей организации: её данные. Не забудьте подписаться на подкаст, чтобы не пропустить новые выпуски, и заглядывайте в блог за новыми техническими разборами и стратегическими руководствами!