At a minimum, the DLP solution SHALL restrict sharing credit card numbers, U.S. Individual Taxpayer Identification Numbers (ITIN), and U.S. Social Security numbers (SSN) via email.

Proč na tom záleží

E-mail je primárním vektorem pro únik dat a citlivé informace, jako jsou čísla kreditních karet, rodná čísla (Social Security numbers) a individuální daňová identifikační čísla (Individual Taxpayer Identification Numbers), jsou často terčem útočníků nebo je zaměstnanci neúmyslně sdílejí. Bez politiky Data Loss Prevention (DLP), která omezuje tyto datové typy, vaše organizace riskuje porušení shody, finanční sankce a poškození reputace podle předpisů, jako je GDPR nebo HIPAA. Vynucování omezení DLP u těchto běžných citlivých datových typů je základní bezpečnostní kontrolou doporučenou organizacemi CISA a CIS.

Co Aether365 kontroluje

Tato kontrola ověřuje, zda vaše řešení Data Loss Prevention (DLP) v Microsoft 365 zahrnuje politiky, které omezují sdílení čísel kreditních karet, amerických individuálních daňových identifikačních čísel (ITIN) a amerických rodných čísel (SSN) prostřednictvím e-mailu. Zobrazuje se na řídicím panelu Aether365 v kategorii služeb microsoft-365 a označuje nevyhovující tenanty jako středně závažné riziko.

Jak to opravit

1. Přihlaste se na portál Microsoft Purview compliance portal (https://compliance.microsoft.com) a přejděte na Data loss prevention a poté na Policies.
2. Klikněte na Create policy a vyberte Custom pro vytvoření nové politiky DLP. Případně můžete upravit stávající politiku, která pokrývá e-mail.
3. Přiřaďte politice název, například "CISA Email DLP for Sensitive Data".
4. V části Locations vyberte Exchange email a ujistěte se, že jsou zahrnuty všechny poštovní schránky.
5. V části Define policy settings zvolte Create or customize advanced DLP rules.
6. Klikněte na Create rule a pojmenujte ji "Restrict PII Sharing via Email". Klikněte na Add condition a poté na Content contains. Vyberte Sensitive info types a přidejte následující typy:
   • U.S. Social Security Number (SSN)
   • Credit Card Number
   • U.S. Individual Taxpayer Identification Number (ITIN)
7. V části Actions vyberte Restrict access or encrypt the content in Microsoft 365 locations, poté zvolte Block users from receiving the email a volitelně informujte odesílatele.
8. Nastavte prioritu pravidla a otestujte jej pomocí Test mode, než jej začnete vynucovat. Po ověření nastavte režim na Enforce.
9. Klikněte na Save a poté na Create pro dokončení politiky. Může trvat až 24 hodin, než se projeví v celém tenantovi.

Shoda s předpisy

• CIS (Center for Internet Security): CISA.MS.EXO.8.4
• CISA (Cybersecurity and Infrastructure Security Agency): Požadovaná základní kontrola
• Rámec: EIDSCA (Exchange Online Data Security Controls Assessment)

Související zdroje

• Learn about data loss prevention in Microsoft Purview
• Get started with Data Loss Prevention policies
• Sensitive information type entity definitions