At a minimum, the DLP solution SHALL restrict sharing credit card numbers, U.S. Individual Taxpayer Identification Numbers (ITIN), and U.S. Social Security numbers (SSN) via email.

Por que Isso é Importante

O e-mail é um vetor primário para exfiltração de dados, e informações confidenciais, como números de cartão de crédito, números de Seguro Social e Números de Identificação do Contribuinte Individual (ITIN), são frequentemente alvos de invasores ou compartilhadas acidentalmente por funcionários. Sem uma política de Data Loss Prevention (DLP) que restrinja esses tipos de dados, sua organização corre riscos de violações de conformidade, penalidades financeiras e danos à reputação sob regulamentações como GDPR ou HIPAA. Aplicar restrições de DLP sobre esses tipos comuns de dados confidenciais é um controle de segurança básico recomendado pela CISA e pelo CIS.

O Que o Aether365 Verifica

Esta verificação confirma se sua solução de Data Loss Prevention (DLP) do Microsoft 365 inclui políticas que restrinjam o compartilhamento de números de cartão de crédito, Números de Identificação do Contribuinte Individual dos EUA (ITIN) e Números de Seguro Social dos EUA (SSN) por e-mail. Ela aparece no painel do Aether365 sob a categoria de serviço microsoft-365 e sinaliza locatários não conformes para risco de gravidade média.

Como Corrigir

1. Faça login no Microsoft Purview compliance portal (https://compliance.microsoft.com) e navegue até Data loss prevention e depois Policies.
2. Clique em Create policy e selecione Custom para criar uma nova política de DLP. Como alternativa, edite uma política existente que cubra e-mail.
3. Atribua um nome à política, por exemplo, "CISA Email DLP for Sensitive Data".
4. Em Locations, selecione Exchange email e garanta que todas as caixas de correio estejam incluídas.
5. Em Define policy settings, escolha Create or customize advanced DLP rules.
6. Clique em Create rule e nomeie-a como "Restrict PII Sharing via Email". Clique em Add condition e depois Content contains. Selecione Sensitive info types e adicione os seguintes tipos:
   • U.S. Social Security Number (SSN)
   • Credit Card Number
   • U.S. Individual Taxpayer Identification Number (ITIN)
7. Em Actions, selecione Restrict access or encrypt the content in Microsoft 365 locations e depois escolha Block users from receiving the email e, opcionalmente, notifique o remetente.
8. Defina a prioridade da regra e teste-a com Test mode antes de aplicá-la. Após a validação, defina o modo para Enforce.
9. Clique em Save e depois Create para finalizar a política. Pode levar até 24 horas para ser aplicada em todo o seu locatário.

Conformidade

• CIS (Center for Internet Security): CISA.MS.EXO.8.4
• CISA (Cybersecurity and Infrastructure Security Agency): Controle de segurança básico obrigatório
• Framework: EIDSCA (Exchange Online Data Security Controls Assessment)

Recursos Relacionados

• Learn about data loss prevention in Microsoft Purview
• Get started with Data Loss Prevention policies
• Sensitive information type entity definitions