Suojausta ei voi kohdistaa dataan, jota ei ole luokiteltu. Aloitamme siitä, mitä dataa teillä on ja kuka siihen pääsee käsiksi.
Kaikki palvelutUseimmissa organisaatioissa arkaluontoinen data on levinnyt laajemmalle kuin kukaan uskoisi. Tekoälyn käyttöönotto tekee tästä nopeasti näkyvän ongelman: Copilot löytää kaiken, mihin käyttäjällä on pääsy.
Aloitamme kartoituksesta: mitä dataa teillä on, missä ja kuka siihen pääsee käsiksi. Sen jälkeen rakennamme Purview'n päälle luokittelun, joka on riittävän yksinkertainen, että se toimii arjessa. Liian monimutkainen malli jää helposti käyttämättä, ja käyttämätön merkintä ei suojaa mitään.
Nämä ovat yleisimpiä tilanteita, joissa tiedon suojaus tulee ajankohtaiseksi.
Copilot tai tekoälyagentit ovat tulossa käyttöön. Käyttöönotto on suunnitelmissa, mutta kukaan ei osaa sanoa mihin dataan tekoälyllä on pääsy. Agentti löytää kaiken, mihin sen valtuuttanut käyttäjä pääsee. Kartoitus kertoo mitä se tarkoittaa juuri teidän ympäristössänne.
Luottamuksellista tietoa ei ole merkitty mitenkään. Kaikki data on samanarvoista, koska mitään ei ole luokiteltu. Suojausta ei voida kohdistaa tässä tapauksessa, joten se kohdistetaan kaikkeen tai ei mihinkään. Kumpikaan ei toimi.
Tietovuotojen esto on päällä, mutta vain seurantatilassa. Säännöt on tehty joskus ja havainnoista tulee mahdollisesti raportti, jota kukaan ei lue. Käymme läpi mitkä säännöt kannattaa kytkeä päälle.
SharePointiin ja Teamsiin on kertynyt hallitsematon määrä sisältöä. Erilaisia kanavia ja kansioita on perustettu vuosien varrella, eikä kukaan tiedä mitä missäkin on ja kuka pääsee mihin tiedostoihin käsiksi.
Tiedostoja jaetaan ilman, että kukaan seuraa mihin ja miten. Linkkejä lähtee kumppaneille ja asiakkaille, eikä niiden voimassaoloa ole rajattu. Jaettu linkki ei vanhene itsestään.
Sääntely tai asiakas kysyy, miten tieto on suojattu. Vaatimus tulee ulkopuolelta, ja vastaus pitäisi pystyä näyttämään.
Aloitetaan työpajalla, jossa käydään läpi mitä dataa teillä on, mitkä ovat suurimmat riskit ja mistä kannattaa aloittaa. Tämä tehdään, ennen kuin mitään luokitellaan, sillä muuten luokittelu perustuu oletuksiin.
Rakennamme luokittelun, joka on riittävän selkeä käytettäväksi: kolme tai neljä tasoa, ymmärrettävät nimet ja ohje siitä milloin mitäkin käytetään. Luottamuksellisuusmerkinnät (sensitivity labels) viedään käyttöön Microsoft Purview'lla.
Tietovuotojen esto (DLP) otetaan käyttöön niin, että se estää eikä vain raportoi. Säännöt ajetaan ensin seurantatilassa, jotta nähdään mitä ne estävät, ennen kuin niitä kytketään päälle.
Kuka voi jakaa, mitä ja kenelle, kuinka kauan tietoa säilytetään ja milloin jaettu linkki lakkaa toimimasta. Käytännöt kirjataan ja otetaan käyttöön.
Rajataan halutut tiedot niin, että tekoäly ei pääse niihin käsiksi.
Luokittelu ja merkinnät viedään käyttöön vaiheittain. Tyypillinen kesto on 4–8 viikkoa ympäristön koosta ja datan määrästä riippuen.
Mitä dataa on, missä se sijaitsee ja kuka siihen pääsee käsiksi. Ilman tätä luokittelu perustuu oletuksiin.
Sovimme montako luokittelutasoa käytetään, mitä ne tarkoittavat ja mihin dataan luokittelu yltää.
Merkinnät ensin pilottiryhmälle ja tietovuotojen esto seurantatilaan. Estäminen kytketään päälle vasta kun tiedetään mitä se estäisi.
Milloin mitä merkintää käytetään ja mitä tehdään, kun sääntö estää jotain. Kirjalliset ohjeet käyttäjille.
Yleensä kolme tai neljä riittää. Jokainen lisätaso kasvattaa väärin merkityn datan määrää enemmän kuin se lisää suojaa.
Osin. Automaattinen merkintä hoitaa selkeät tapaukset, ja käyttäjä päättää loput. Suositusmerkinnät ovat hyvä välivaihe ennen pakottavia sääntöjä.
Läheisesti. Merkinnät ja DLP ovat se mekanismi, jolla luottamuksellinen sisältö rajataan Copilotin ulottumattomiin. Sama työ palvelee molempia.
Tietosuoja tarkoittaa suomeksi yksityisyyden suojaa: henkilötietojen käsittelyn lainmukaisuutta, tietosuojaselosteita ja rekisterinpitäjän velvoitteita. Se on juristin ja tietosuojavastaavan aluetta. Tiedon suojaus on tekninen työ: luokittelu, merkinnät, pääsyoikeudet ja tietovuotojen esto. Me teemme jälkimmäistä, ja se tukee ensimmäistä.
Osa Purview'n kyvykkyyksistä sisältyy E3:een, mutta automaattinen luokittelu ja laajempi tietovuotojen esto vaativat E5:n tai erillisen lisäosan. Käymme läpi mitä nykyisellä lisenssillä saa ja tarvitaanko uutta lisenssiä.
Aloitetaan kartoituksella ja rakennetaan luokittelu, jota oikeasti käytetään.