開始使用測試人員風險管理

使用內部風險管理原則來識別具風險的活動和管理工具，以處理組織中的風險警示。 完成下列步驟來設定必要條件，並設定測試人員風險管理原則。

如需有關內部風險原則如何協助您管理組織中風險的詳細資訊，請參閱 瞭解內部風險管理。

訂用帳戶和授權

開始使用內部風險管理之前，您應該先確認您的 Microsoft 365 訂閱 和任何附加元件。 若要存取和使用測試人員風險管理，系統管理員必須確認其組織具有支援的訂用帳戶，並將適當的授權指派給使用者。 如需訂用帳戶和授權的詳細資訊，請參閱內部風險管理的 訂 用帳戶需求。

如果您沒有現有的 Microsoft 365 企業版 E5 方案，而且想要嘗試內部風險管理，您可以將 Microsoft 365 新增至現有的訂用帳戶，或註冊 Microsoft 365 企業版 E5 試用版。

預覽 (建議的動作)

建議的動作可協助您的組織快速取得內部風險管理。 [概 觀 ] 頁面上包含的建議動作，可協助引導您完成設定和部署原則的步驟。

下列建議可協助您開始使用或最大化測試人員風險管理設定：

• 開啟稽核：開啟時，組織中的用戶和系統管理員活動會記錄到 Microsoft 365 稽核記錄檔。 測試人員風險原則和分析掃描會使用此記錄來偵測風險活動。
• 取得使用測試人員風險管理的許可權：您對內部風險管理功能的存取層級取決於您獲指派的角色群組。 若要存取和設定建議的動作，必須將使用者指派給 測試人員風險管理 或 測試人員風險管理系統管理員 角色群組。
• 選擇原則指標：指標基本上是您想要偵測和調查的風險管理活動。 您可以選擇指標來偵測跨數個 Microsoft 365 位置和服務的活動。
• 掃描潛在的測試人員風險：執行分析掃描，以探索組織中發生的潛在內部風險。評估結果之後，請檢閱要設定的建議原則。
• 將許可權指派給其他人：如果有其他小組成員負責管理內部風險功能，您必須將這些許可權指派給適當的角色群組。
• 建立您的第一個原則：若要接收潛在風險活動的警示，您必須根據預先定義的範本來設定原則，以定義您想要偵測和調查的用戶活動。

此體驗中包含的每個建議動作都有四個屬性：

• 動作：建議動作的名稱和描述。
• 狀態：建議動作的狀態。 值為 [未啟動]、[進行中]、[儲存供稍後使用] 或 [已完成]。
• 必要或選擇性：測試人員風險管理功能是否需要或選擇性建議的動作，才能如預期般運作。
• 預估完成時間：以分鐘為單位完成建議動作的預估時間。

從清單中選擇建議，以開始設定內部風險管理。 每個建議的動作都會引導您完成建議的必要動作，包括任何需求、預期的情況，以及在組織中設定功能的影響。 每個建議的動作在設定時都會自動標示為完成，或者您必須在設定時手動選取動作為完成。

步驟 1 (必要)：為測試人員風險管理啟用權限

有六個角色群組可用來設定測試人員風險管理功能。 若要讓 測試人員風險管理 成為 Microsoft Purview 中的功能表選項，並繼續進行這些設定步驟，您必須指派給下列其中一個角色或角色群組：

• Microsoft Entra ID 全域管理員角色
• Microsoft Entra ID 合規性系統管理員角色
• Microsoft Purview 組織管理 角色群組
• Microsoft Purview 合規性系統管理員 角色群組
• 測試人員風險管理 角色群組
• 測試人員風險管理系統管理員 角色群組

根據您想要管理內部風險管理原則和警示的方式，您必須將使用者指派給特定的角色群組，以管理不同組的內部風險管理功能。 您可以將具有不同合規性責任的使用者指派給特定角色群組，以管理內部風險管理功能的不同區域。 或者，您可以決定將指定的系統管理員、分析師、調查人員和檢視者的所有用戶帳戶指派給 測試人員風險管理 角色群組。 使用單一角色群組或多個角色群組，以最符合您的合規性管理需求。

使用內部風險管理時，請從這些角色群組選項和解決方案動作中選擇：

下列角色的成員可以將使用者指派給測試人員風險管理角色群組，並具有與 測試人員風險管理系統管理員 角色群組包含的相同解決方案許可權：

• Microsoft Entra ID 全域管理員
• Microsoft Entra ID 合規性系統管理員
• Microsoft Purview 組織管理
• Microsoft Purview 合規性系統管理員

將使用者新增至測試人員風險管理角色群組

針對您使用的入口網站選取適當的索引標籤。 若要深入瞭解 Microsoft Purview 入口網站，請參閱 Microsoft Purview 入口網站。 若要深入瞭解合規性入口網站，請參閱 Microsoft Purview 合規性入口網站。

如果您想要將用戶權力限定在區域或部門，請考慮管理單位

您可以在測試人員風險管理 (預覽) 中使用管理單位，將用戶權力限定在特定地理位置或部門。 例如，在全球有子公司的全球公司可能會想要建立一個系統管理單位，為調查人員提供德文範圍，讓他們只看到德國用戶的用戶活動。

若要在內部風險管理中使用系統管理單位，您必須先建立系統管理 單位 (如果尚未建立) ，然後將系統管理單位指派給角色群組的成員。 將系統管理單位指派給角色群組的成員之後，這些成員會變成 受限制的系統管理員 ，且對組織中的內部風險管理設定、原則和用戶數據的存取權有限。 未指派管理單位的成員是 不受限制的系統管理員 ，而且可以存取所有設定、原則和用戶數據。

系統管理單位的範圍對內部風險管理角色的影響

下表顯示系統管理員單位在強制執行時如何影響測試人員風險管理工作/角色的每個組合。

步驟 2 (必要) ：啟用 Microsoft 365 稽核記錄

測試人員風險管理會使用 Microsoft 365 稽核記錄來取得原則和分析深入解析中識別的使用者深入解析和風險管理活動。 Microsoft 365 稽核記錄是組織內所有活動的摘要，而內部風險管理原則可能會使用這些活動來產生原則深入解析。

預設會針對 Microsoft 365 組織啟用稽核。 某些組織可能因為特定原因停用稽核。 如果已為組織停用稽核，這可能是因為另一個系統管理員已將其關閉。 建議您在完成此步驟時，確認可以重新開啟稽核。

如需開啟稽核的逐步指示，請參閱開啟或關閉稽核記錄搜尋。 開啟稽核後，就會顯示一則訊息，表示正在準備稽核記錄，而您可以在準備完成 (約幾小時) 後執行搜尋。 您只須執行此動作一次。 如需使用 Microsoft 365 稽核記錄的詳細資訊，請參閱搜尋稽核記錄。

步驟 3 (選擇性) ：啟用和檢視測試人員風險分析深入解析

如果您啟用測試人員風險管理分析，您可以：

• 在建立原則之前，請先掃描潛在內部風險。 您可以在不設定任何內部風險原則的情況下，對組織中的潛在內部風險進行評估。 這項評估可協助您的組織找出用戶風險較高的潛在區域，並協助判斷您可能想要設定的內部風險管理原則類型和範圍。 這項評估也可協助您判斷對現有原則進行額外授權或未來優化的需求。 分析掃描結果最多可能需要 48 小時的時間，深入解析才能以報告形式提供檢閱。 若要深入瞭解分析深入解析，請參閱 測試人員風險管理設定：分析 並查看 測試人員風險管理分析影片 ，以協助瞭解分析如何協助加速識別潛在的內部風險，並協助您快速採取行動。
• 接收指標閾值設定的實時建議。 手動調整原則以減少「雜訊」可能是非常耗時的體驗，需要您進行大量的試用和錯誤，以判斷您原則所需的設定。 如果開啟分析，內部風險管理可以提供指標閾值的實時建議。 您也可以手動調整所提供的建議，並根據您所做的變更，即時查看有多少用戶會進入原則範圍。 深入了解即時指標閾值建議

啟用測試人員風險分析

針對您使用的入口網站選取適當的索引標籤。 若要深入瞭解 Microsoft Purview 入口網站，請參閱 Microsoft Purview 入口網站。 若要深入瞭解合規性入口網站，請參閱 Microsoft Purview 合規性入口網站。

檢閱分析深入解析之後，請選擇內部風險原則，並設定最符合貴組織內部風險降低策略的相關必要條件。

步驟 4 (建議) ：設定原則的必要條件

大部分的內部風險管理原則都有必要條件，必須針對原則指標進行設定，才能產生相關的活動警示。 根據您計劃為組織設定的原則，設定適當的必要條件。

線上到 Microsoft Defender中的雲端應用程式

測試人員風險管理包含下列雲端指標 (預覽) ：

• 雲端記憶體指標，包括Google雲端硬碟、Box和Dropbox
• 雲端服務指標，包括 Amazon S3 和 Azure (記憶體和 SQL Server)

雲端記憶體指標

使用雲端記憶體指標偵測 Google 雲端硬碟、Box 和 Dropbox 中的下列活動：

• 發現： 用來找出環境的技術
• 收集： 用來收集感興趣數據的技術
• 外流： 用來竊取數據的技術，例如敏感性檔
• 刪除 (影響) ： 用來中斷可用性或危害系統完整性的技術

雲端服務指標

使用雲端服務指標偵測 Amazon S3 和 Azure 中的下列活動：

• 防禦規避：用來透過停用追蹤記錄或更新或刪除防火牆規則 SQL Server 來避免偵測有風險活動的技術
• 外流： 用來竊取數據的技術，例如敏感性檔
• 刪除 (影響) ： 用來中斷可用性或危害系統完整性的技術
• 許可權提升： 用來取得系統和數據更高層級許可權的技術

存取雲端指標的必要條件

若要從內部風險管理設定和原則中的雲端指標中選取，如果您尚未這麼做，則必須先連線到相關雲端應用程式 (Microsoft Defender 中的) 。

線上到應用程式 () 之後，指標將可從 [原則 指標設定 ] 頁面和個別原則取得。

設定測試人員風險指標 (預覽) 連接器

您可以藉由匯入非 Microsoft (第三方) 工作負載的偵測，來擴充測試人員風險管理。 例如，您可能想要擴充偵測以包含 Salesforce 和 Dropbox 活動，並將其與內部風險管理解決方案所提供的內建偵測搭配使用，其著重於 SharePoint Online 和 Exchange Online 等 Microsoft 服務。

若要將您自己的偵測帶入內部風險管理解決方案，您可以從安全性資訊和事件管理匯入前置處理的匯總偵測， (SIEM) 解決方案，例如 Microsoft Sentinel 或 Splunk。 若要這麼做，請將範例檔案匯入測試人員風險指標連接器精靈。 連接器精靈會分析範例檔案，並設定必要的架構。

您可以使用自訂指標作為：

• 用來將使用者帶入原則範圍的觸發程式。
• 用來為用戶評分風險的原則指標。

如需為組織設定測試 人員風險指標連接器 的逐步指引，請參閱測試人員風險指標連接器一文。 設定連接器之後，請返回這些設定步驟。

設定 Microsoft 365 HR 連接器

測試人員風險管理支援從協力廠商風險管理和人力資源平台匯入使用者和記錄資料。 Microsoft 365 人力資源 (人力資源) 數據連接器可讓您從 CSV 檔案提取人力資源數據，包括用戶終止日期、上次僱用日期、效能改進計劃通知、效能檢閱動作，以及作業層級變更狀態。 此資料可協助推動測試人員風險管理原則中的警示指標，且是在組織中設定完整風險管理覆蓋範圍的重要部分。 如果您為組織設定多個 HR 連接器，內部風險管理會自動從所有 HR 連接器提取指標。

使用下列原則範本時，需要 Microsoft 365 HR 連接器：

• 有風險用戶的數據外洩
• 離職用戶數據竊取
• 病患數據誤用
• 離職使用者造成的安全性原則違規
• 有風險的用戶違反安全策略

如需為組織設定 Microsoft 365 HR 連接器的逐步指引，請參閱設定 連接器以匯入 HR 數據 一文。 設定 HR 連接器之後，請返回這些設定步驟。

設定醫療保健特定的數據連接器

測試人員風險管理支援匯入從現有電子醫療記錄 (EMR) 系統上第三方匯入的使用者和記錄數據。 Microsoft Healthcare 和 Epic 數據連接器可讓您使用 CSV 檔案從 EMR 系統提取活動數據，包括不當的病患記錄存取、可疑的磁碟區活動，以及編輯和導出活動。 此資料可協助推動測試人員風險管理原則中的警示指標，且是在組織中設定完整風險管理覆蓋範圍的重要部分。

如果您為組織設定多個 Healthcare 或 Epic 連接器，內部風險管理會自動支援來自所有 Healthcare 和 Epic 連接器的事件和活動訊號。 使用下列原則範本時，需要 Microsoft 365 Healthcare 或 Epic 連接器：

• 病患數據誤用

如需為貴組織設定醫療保健特定連接器的逐步指引，請參閱 設定連接器以匯入醫療保健數據 或 設定連接器以匯入 Epic EHR 數據 一文。 設定連接器之後，請返回這些設定步驟。

設定數據外洩防護 (DLP) 原則

內部風險管理支援使用 DLP 原則，協助識別針對高嚴重性層級 DLP 警示，刻意或意外將敏感性資訊暴露給不想要的一方。 使用任何 數據外 泄範本設定內部風險管理原則時，您可以針對這些類型的警示，將特定 DLP 原則指派給原則。

數據遺失原則可協助識別使用者在內部風險管理中啟用風險評分，以取得敏感性資訊的高嚴重性 DLP 警示，也是在組織中設定完整風險管理涵蓋範圍的重要部分。 如需內部風險管理和 DLP 原則整合和規劃考慮的詳細資訊，請參閱 測試人員風險管理原則。

使用下列原則範本時，DLP 原則是選擇性的：

• 資料外洩
• 優先使用者造成的資料外洩

如需為組織設定 DLP 原則的逐步指引，請參閱 建立和部署數據外洩防護 原則一文。 設定 DLP 原則後，請返回這些設定步驟。

使用 Microsoft Defender 和 DLP 警示設定用戶風險嚴重性層級的共用

您可以從內部風險管理 (預覽) 共用用戶風險嚴重性層級，以將唯一的用戶內容帶入 Microsoft Defender 和 DLP 警示。 測試人員風險管理會分析 90-120 天內的用戶活動，並尋找該期間內的異常行為。 將此數據新增至 Microsoft Defender 和 DLP 警示可增強這些解決方案中可用的數據，以協助分析師排定警示的優先順序。 深入瞭解如何使用 Microsoft Defender 和 DLP 警示共用用戶風險嚴重性層級

共用內部風險管理用戶風險嚴重性層級也會增強 Microsoft Copilot for Security。 例如，在 Copilot for Security 中，您可能想要從要求 Copilot 摘要 DLP 警示開始，然後要求 Copilot 顯示與警示中標幟的使用者相關聯的用戶風險層級。 或者，您可能想要詢問為何會將用戶視為高風險使用者。 在此案例中，用戶風險資訊來自內部風險管理。 Copilot for Security 順暢地整合內部風險管理與 DLP，以協助調查。 深入瞭解如何使用獨立版本的 Copilot 進行合併的 DLP/內部風險管理調查

設定優先順序使用者群組

測試人員風險管理支援將優先使用者群組指派給原則，以協助識別具有重要位置、高數據層級和網路存取，或過去風險行為歷程記錄之使用者的唯一風險活動。 建立優先順序使用者群組，並將使用者指派給群組說明範圍原則，以瞭解這些使用者所呈現的唯一情況。

您可以建立優先順序使用者群組，並將使用者指派給群組，以協助您將原則限定於這些已識別使用者所呈現的唯一情況。 若要啟用 優先順序使用者群組 風險分數提升器，請移至 [ 測試人員風險管理設定 ] 頁面，然後選取 [ 原則指標 ] 和 [ 風險分數提升器]。 這些識別的使用者較可能收到 警示，因此分析師和調查人員可以檢閱這些用戶的風險嚴重性並設定其優先順序，以協助根據貴組織的風險原則和標準來分級警示。

使用下列原則範本時，需要優先順序使用者群組：

• 優先使用者的安全性原則違規
• 優先使用者造成的資料外洩

如需逐步設定指引，請參閱 開始使用內部風險管理設定 一文。

設定實體徽章連接器

內部風險管理支援從實體控制和存取平臺匯入用戶和記錄數據。 實體徽章連接器可讓您從 JSON 檔案提取存取數據，包括使用者識別碼、存取點標識碼、存取時間和日期，以及存取狀態。 此資料可協助推動測試人員風險管理原則中的警示指標，且是在組織中設定完整風險管理覆蓋範圍的重要部分。 如果您為組織設定多個實體錯誤連接器，內部風險管理會自動從所有實體徽章連接器提取指標。 實體徽章連接器的資訊可在使用所有內部風險原則範本時，補充其他內部風險訊號。

如需為組織設定實體徽章連接器的逐步指引，請參閱 設定連接器以匯入實體徽章數據 一文。 設定連接器之後，請返回這些設定步驟。

設定 適用於端點的 Microsoft Defender

適用於端點的 Microsoft Defender 是一個企業端點安全性平臺，其設計目的是要協助企業網路預防、偵測、調查及回應進階威脅。 若要更清楚地了解組織中的安全性違規，您可以匯入並篩選適用於端點的 Defender 警示，以瞭解從內部風險管理安全性違規原則範本建立之原則中所使用的活動。

如果您建立安全性違規原則，您必須在組織中設定 適用於端點的 Microsoft Defender，並在Defender資訊安全中心啟用適用於端點的Defender內部風險管理整合，以匯入安全性違規警示。 如需需求的詳細資訊，請參閱 適用於端點的 Microsoft Defender 的最低需求一文。

如需設定適用於端點的 Defender 以進行內部風險管理整合的逐步指引，請參閱在 適用於端點的 Defender 中設定進階功能一文。 設定 適用於端點的 Microsoft Defender 之後，請返回這些設定步驟。

設定鑑識辨識項

在鑑識調查期間，擁有可視化內容對於安全性小組而言非常重要，以深入瞭解可能導致安全性事件的風險性用戶活動。 透過可自定義的事件觸發程式和內建的使用者隱私權保護控制，鑑識辨識項可讓您跨裝置自定義擷取，以協助貴組織進一步減輕、瞭解及回應潛在的數據風險，例如未經授權的數據外流敏感數據。

如需為組織設定鑑識辨識項的逐步指引，請參閱 開始使用內部風險管理鑑識辨識 項一文。

設定光學字元識別

Microsoft Purview 可以掃描檔中的敏感性內容，以協助保護這些檔免於不當曝光。 當您在 Microsoft Purview 中啟用 OCR (OCR) 的光學字元辨識時，敏感性資訊類型和可訓練分類器等數據分類器也可以偵測獨立影像中的字元。 在預覽) (設定 OCR 設定之後，您現有的內部風險原則將會同時套用至影像和檔。

針對 OCR 預覽版，內部風險管理支援在下列位置進行掃描：Windows 端點裝置、SharePoint Online 和 Teams。 預覽版不支援 Exchange Online和 OneDrive。

OCR 設定不適用於內部風險管理中的鑑識辨識項剪輯。

深入瞭解如何設定 OCR 掃描和隨用隨付計費。

步驟 5 (必要) ：設定測試人員風險設定

不論您在建立原則時選擇的範本為何，測試人員風險設定都適用於所有內部風險管理原則。 設定是使用位於內部風險管理頁面頂端的 [ 設定 ] 按鈕來設定。 這些設定可控制隱私權、指標、智慧型偵測等等。 深入瞭解建立原則之前要考慮的設定。

步驟 6 (必要) ：建立內部風險管理原則

測試人員風險管理原則包括指派的使用者，並定義針對警示設定的風險指標類型。 在有潛在風險的活動可以觸發警示之前，必須先設定原則。 使用原則精靈來建立新的內部風險管理原則。

建立原則

針對您使用的入口網站選取適當的索引標籤。 若要深入瞭解 Microsoft Purview 入口網站，請參閱 Microsoft Purview 入口網站。 若要深入瞭解合規性入口網站，請參閱 Microsoft Purview 合規性入口網站。

後續步驟

完成這些步驟以建立第一個測試人員風險管理原則後，您會在大約 24 小時後開始從活動指標收到警示。 使用本文步驟 4 中的指引或建立 新的內部風險原則中的步驟，視需要設定其他原則。

若要深入瞭解調查測試人員風險警示和 警示儀錶板，請參閱 測試人員風險管理活動。