Etykiety poufności pozwalają automatycznie oznaczać i chronić wrażliwe dokumenty firmy, ograniczając ryzyko ich niekontrolowanego rozpowszechnienia.

Na czym polega ta usługa

Usługa obejmuje skonfigurowanie etykiet poufności w Microsoft Purview oraz zasad ich automatycznego stosowania do dokumentów.

Dla kogo ma sens

Usługa jest przydatna dla firm przetwarzających wrażliwe dokumenty, którym zależy na dodatkowej ochronie przed ich wyciekiem.

Ile to trwa

Konfiguracja etykiet poufności mieści się z reguły w standardowym czasie do 3 dni.

Warunki

Diagnoza wstępna i wycena są bezpłatne, a usługa objęta jest gwarancją do 12 miesięcy.

Warianty konfiguracji etykiet poufności

Etykiety poufności w Microsoft Purview można wdrożyć na kilka sposobów, w zależności od tego, jak bardzo złożona jest struktura dokumentów w firmie. Najprostszy wariant to zestaw etykiet ręcznych, widocznych w Wordzie, Excelu, PowerPoincie i Outlooku jako pozycje do wyboru z paska narzędzi (na przykład „Publiczne", „Wewnętrzne", „Poufne", „Ściśle poufne"). Użytkownik sam wybiera etykietę przy zapisie lub wysyłce dokumentu.

Drugi wariant to etykiety z automatycznym sugerowaniem — system, na podstawie wykrytych wzorców w treści (na przykład numeru PESEL, numeru karty płatniczej czy numeru rachunku bankowego), proponuje użytkownikowi odpowiednią etykietę, ale ostateczna decyzja nadal należy do niego. Trzeci wariant to etykiety automatyczne, nakładane bez udziału użytkownika, gdy zawartość dokumentu jednoznacznie wskazuje na dane wrażliwe. Ten wariant wymaga dokładniejszego strojenia reguł wykrywania, bo błędnie skonfigurowany może oznaczać jako poufne dokumenty, które takie nie są, albo pomijać rzeczywiście wrażliwe pliki.

Możliwa jest też konfiguracja mieszana — część etykiet ustawiona jako obowiązkowa (dokument nie da się zapisać bez wybrania etykiety), część jako opcjonalna. W praktyce firmy zaczynają zwykle od wariantu ręcznego z niewielką liczbą etykiet, a dopiero po okresie testowym rozszerzają konfigurację o reguły automatyczne, gdy widać, jak pracownicy faktycznie korzystają z etykietowania.

Błędy przy samodzielnej konfiguracji

Konfiguracja etykiet poufności bywa podejmowana samodzielnie przez administratora IT w firmie, często bez wcześniejszego doświadczenia z Microsoft Purview. Najczęstszym błędem jest utworzenie zbyt wielu etykiet naraz — gdy do wyboru jest osiem czy dziesięć pozycji, pracownicy zaczynają wybierać je losowo albo pomijają etykietowanie w ogóle, bo nie rozumieją różnic między nimi. Skuteczniejsze jest wdrożenie kilku podstawowych poziomów i dopiero później rozbudowanie ich o podetykiety.

Drugi typowy błąd to pominięcie etapu publikacji zasad (label policy) po utworzeniu samych etykiet. Sama etykieta istnieje w systemie, ale bez przypisania jej do konkretnych użytkowników lub grup w ramach zasady nie pojawi się w aplikacjach pakietu Office — administrator widzi wtedy pustą listę etykiet i błędnie zakłada, że konfiguracja się nie powiodła.

Trzeci błąd dotyczy etykiet z szyfrowaniem — administratorzy włączają szyfrowanie dokumentu bez wcześniejszego przetestowania, czy uprawnieni odbiorcy spoza organizacji (na przykład kontrahenci) w ogóle mają możliwość otworzenia takiego pliku. Efektem bywa sytuacja, w której zaszyfrowany dokument trafia do klienta, a ten nie może go odczytać, bo nie ma konta w usłudze Microsoft 365 powiązanego z domeną nadawcy. Czwarty częsty problem to brak wcześniejszego zmapowania istniejących typów danych wrażliwych w firmie — konfiguracja etykiet „na wyczucie", bez analizy tego, jakie dokumenty faktycznie krążą w organizacji, prowadzi do reguł, które w praktyce nie obejmują realnych przypadków.

Kiedy to nie jest rozwiązanie właściwego problemu

Etykiety poufności w Microsoft Purview nie są tym samym co ochrona przed utratą danych (DLP — data loss prevention). Etykieta oznacza dokument i może go zaszyfrować lub ograniczyć uprawnienia, natomiast to reguły DLP decydują, czy na przykład zablokować wysyłkę takiego dokumentu mailem na zewnątrz organizacji. Firmy, które chcą fizycznie zablokować wyciek danych, a nie tylko go oznaczyć, potrzebują dodatkowo skonfigurowanych zasad DLP — to osobny, choć powiązany element konfiguracji.

Etykiety poufności to również nie to samo co uprawnienia do plików i folderów ustawiane na poziomie SharePoint czy udziału sieciowego. Jeśli problemem zgłaszanym przez firmę jest to, że pracownicy mają dostęp do folderów, do których nie powinni mieć dostępu, rozwiązaniem jest przegląd i korekta uprawnień, a nie etykietowanie dokumentów — etykieta nie ograniczy dostępu do folderu, w którym plik jest przechowywany.

Warto też odróżnić etykietowanie poufności od starszej usługi Azure Information Protection (AIP), która historycznie pełniła podobną funkcję jako osobny produkt. Obecnie funkcjonalność AIP została włączona do Microsoft Purview i nowe wdrożenia powinny opierać się na etykietach Purview, a nie na wygaszanym, samodzielnym kliencie AIP — jeśli w firmie funkcjonuje jeszcze stara konfiguracja AIP, sensowne jest jej przeniesienie w ramach tej samej usługi.

Dodatkowe pytania klientów

Czy etykieta poufności zadziała też na dokumentach już istniejących na dyskach firmowych?

Domyślnie etykietowanie ręczne dotyczy dokumentów otwieranych i zapisywanych od momentu wdrożenia zasad. Objęcie etykietami plików archiwalnych, które już leżą na dyskach sieciowych czy w usłudze SharePoint, wymaga dodatkowego uruchomienia skanowania (tak zwanego skanera Purview) i osobnej konfiguracji reguł dla plików istniejących — jest to możliwe, ale traktowane jako rozszerzenie podstawowego wdrożenia.

Czy etykiety poufności działają też w plikach PDF i dokumentach spoza pakietu Office?

Etykiety najpełniej działają w dokumentach Office (Word, Excel, PowerPoint) oraz w wiadomościach Outlook. Obsługa plików PDF i innych formatów zależy od konfiguracji i wersji licencji Microsoft 365 w firmie — w części przypadków etykieta i szyfrowanie przenoszą się też na eksport do PDF, ale to element, który warto zweryfikować podczas wdrożenia dla konkretnego środowiska.

Czy każdy pracownik musi ręcznie wybierać etykietę przy każdym dokumencie?

Nie musi — zależy to od przyjętego wariantu konfiguracji. Przy etykietach automatycznych lub sugerowanych obciążenie pracownika jest mniejsze, bo system sam proponuje lub nakłada odpowiednią etykietę na podstawie wykrytej zawartości. Wariant w pełni ręczny wymaga świadomego wyboru za każdym razem, dlatego wiąże się też z krótkim wprowadzeniem dla zespołu, jak i kiedy z etykiet korzystać.

Co się dzieje, gdy dokument z etykietą poufności zostanie wysłany do osoby spoza firmy?

Zależy to od uprawnień przypisanych do danej etykiety. Jeśli etykieta obejmuje szyfrowanie z ograniczeniem odbiorców do domeny firmowej, osoba z zewnątrz nie otworzy dokumentu bez dodatkowego uwierzytelnienia lub w ogóle nie uzyska dostępu. Jeśli etykieta jedynie oznacza dokument bez szyfrowania, plik otworzy się normalnie, a etykieta pełni funkcję informacyjną i porządkującą, a nie blokującą.

Czy trzeba mieć wykupioną konkretną licencję Microsoft 365, żeby korzystać z etykiet poufności?

Podstawowe etykietowanie ręczne dostępne jest w części planów Microsoft 365, natomiast funkcje automatycznego wykrywania danych wrażliwych i bardziej zaawansowane reguły wymagają wyższych poziomów licencji (na przykład planów z pakietu zgodności lub bezpieczeństwa). Weryfikacja, jaka licencja obowiązuje w danej firmie i które funkcje są w niej dostępne, to jeden z pierwszych kroków przy konfiguracji.

Etapy wdrożenia u klienta

Wdrożenie etykiet poufności zaczyna się od rozmowy o tym, jakie kategorie danych faktycznie występują w danej firmie — inaczej wygląda to w kancelarii prawnej, gdzie dominują umowy i dane osobowe klientów, a inaczej w firmie produkcyjnej, gdzie kluczowe są specyfikacje techniczne i dokumentacja przetargowa. Na tym etapie ustalana jest wstępna lista etykiet, dopasowana do realnych typów dokumentów, a nie kopiowana z ogólnego szablonu.

Kolejnym krokiem jest konfiguracja samych etykiet i zasad ich publikacji w panelu administracyjnym Microsoft Purview, wraz z ustaleniem, dla których grup użytkowników dana zasada obowiązuje. Jeśli w zakresie wdrożenia znajduje się też szyfrowanie, na tym etapie testowane jest otwieranie zaszyfrowanych dokumentów zarówno wewnątrz organizacji, jak i przez wybranych odbiorców zewnętrznych, żeby uniknąć sytuacji, w której kontrahent nie może odczytać przesłanego pliku.

Ostatni etap to krótkie wdrożenie wśród pracowników — pokazanie, gdzie w Wordzie, Excelu czy Outlooku pojawia się wybór etykiety i jak interpretować poszczególne poziomy. Bez tego kroku nawet poprawnie skonfigurowane etykiety bywają pomijane, bo użytkownicy nie wiedzą, kiedy i po co z nich korzystać. Po wdrożeniu warto też ustalić, kto w firmie odpowiada za późniejsze modyfikacje zasad, gdy pojawią się nowe typy dokumentów wymagające ochrony.

Powiązanie z pozostałą ochroną środowiska IT

Etykiety poufności najlepiej sprawdzają się jako element szerszego przeglądu środowiska IT w firmie, a nie jako pojedyncze, izolowane działanie. Konfiguracja kont w usłudze Active Directory, uprawnień w Microsoft 365 oraz zasad dostępu do udziałów sieciowych ma bezpośredni wpływ na to, czy etykietowanie dokumentów w ogóle spełni swoją funkcję — jeśli dostęp do zasobów firmowych jest źle poukładany, samo oznaczenie dokumentu jako poufny nie zastąpi porządku w uprawnieniach.

Z tego względu konfigurację etykiet poufności warto łączyć z przeglądem środowiska IT dla firm, obejmującym sprawdzenie kont, uprawnień i podstawowych zasad bezpieczeństwa w organizacji. Taki przegląd pozwala też wychwycić przypadki, w których dane wrażliwe krążą poza kontrolowanymi kanałami — na przykład w prywatnej poczcie pracowników czy na niezabezpieczonych nośnikach zewnętrznych — zanim jeszcze zostanie ustalony ostateczny zestaw etykiet.

Podsumowanie wdrożenia etykiet poufności

Skuteczne wdrożenie etykiet poufności w Microsoft Purview rzadko kończy się na jednorazowym ustawieniu kilku pozycji w panelu administracyjnym. W praktyce to proces złożony z doboru odpowiedniego wariantu (ręczny, sugerowany, automatyczny), przetestowania reguł szyfrowania na realnych scenariuszach wymiany dokumentów z kontrahentami oraz krótkiego wprowadzenia zespołu do nowych oznaczeń. Firmy, które traktują to jako element szerszej ochrony danych, zyskują najwięcej, łącząc etykietowanie z odrębnie skonfigurowanymi zasadami DLP i regularnym przeglądem uprawnień do zasobów firmowych.

22 378 48 09

Microsoft Purview — konfiguracja etykiet poufności (sensitivity labels)