At a minimum, the DLP solution SHALL restrict sharing credit card numbers, U.S. Individual Taxpayer Identification Numbers (ITIN), and U.S. Social Security numbers (SSN) via email.

Varför detta är viktigt

E-post är en primär vektor för dataexfiltrering, och känslig information som kreditkortsnummer, personnummer (Social Security numbers) och individuella skattebetalaridentifieringsnummer (ITIN) är ofta måltavlor för angripare eller delas av misstag av anställda. Utan en Data Loss Prevention (DLP)-policy som begränsar dessa datatyper riskerar din organisation regelefterlevnadsöverträdelser, ekonomiska sanktioner och anseendeskador enligt regleringar som GDPR eller HIPAA. Att tillämpa DLP-begränsningar på dessa vanliga känsliga datatyper är en grundläggande säkerhetskontroll som rekommenderas av CISA och CIS.

Vad Aether365 kontrollerar

Denna kontroll verifierar att din Microsoft 365 Data Loss Prevention (DLP)-lösning innehåller policyer som begränsar delning av kreditkortsnummer, U.S. Individual Taxpayer Identification Numbers (ITIN) och U.S. Social Security numbers (SSN) via e-post. Den visas i Aether365-instrumentpanelen under kategorin microsoft-365-tjänst och flaggar icke-kompatibla klientorganisationer för medelhög risk.

Hur du åtgärdar

1. Logga in på Microsoft Purview compliance portal (https://compliance.microsoft.com) och navigera till Data loss prevention och sedan Policies.
2. Klicka på Create policy och välj Custom för att skapa en ny DLP-policy. Alternativt kan du redigera en befintlig policy som täcker e-post.
3. Tilldela ett namn åt policyn, till exempel "CISA Email DLP for Sensitive Data".
4. Under Locations väljer du Exchange email och säkerställ att alla brevlådor är inkluderade.
5. Under Define policy settings väljer du Create or customize advanced DLP rules.
6. Klicka på Create rule och namnge den "Restrict PII Sharing via Email". Klicka på Add condition och sedan Content contains. Välj Sensitive info types och lägg till följande typer:
   • U.S. Social Security Number (SSN)
   • Credit Card Number
   • U.S. Individual Taxpayer Identification Number (ITIN)
7. Under Actions väljer du Restrict access or encrypt the content in Microsoft 365 locations och sedan Block users from receiving the email samt eventuellt meddela avsändaren.
8. Ställ in regelprioritet och testa den med Test mode innan du tillämpar den. När den är validerad ställer du in läget på Enforce.
9. Klicka på Save och sedan Create för att slutföra policyn. Det kan ta upp till 24 timmar att tillämpa i hela din klientorganisation.

Regelefterlevnad

• CIS (Center for Internet Security): CISA.MS.EXO.8.4
• CISA (Cybersecurity and Infrastructure Security Agency): Obligatorisk grundläggande kontroll
• Ramverk: EIDSCA (Exchange Online Data Security Controls Assessment)

Relaterade resurser

• Learn about data loss prevention in Microsoft Purview
• Get started with Data Loss Prevention policies
• Sensitive information type entity definitions