Vigtige overvejelser i forbindelse med overholdelse af angivne standarder og sikkerhed i forbindelse med banker og kapitalmarkeder i USA

Indførelsen

Finansielle institutioner overgår næsten alle kommercielle virksomheder i deres efterspørgsel efter strenge sikkerheds-, overholdelses- og styringskontrol. Beskyttelsen af data, identiteter, enheder og applikationer er ikke kun afgørende for deres virksomhed, den er underlagt overholdelseskrav og retningslinjer fra regulerende organer, f.eks. US Securities and Exchange Commission (SEC), Financial Industry Regulatory Authority (FINRA), Federal Financial Institutions Examination Council (FFIEC) og CFTC (Commodity Futures Trading Commission). Desuden er finansielle institutioner underlagt love som Dodd-Frank og Sarbanes-Oxley lov af 2002.

I nutidens klima med øget sikkerhedsovervågning, bekymringer om insiderrisiko og brud på offentlige data, kræver kunderne også et højt sikkerhedsniveau fra deres finansielle institutioner for at have tillid til dem med deres personlige data og bankaktiver.

Historisk set har behovet for omfattende kontroller direkte påvirket og begrænset de it-systemer og platforme, som finansielle institutioner bruger til at muliggøre samarbejde internt og eksternt. I dag har de finansielle medarbejdere brug for en moderne samarbejdsplatform, der er nem at anvende og nem at bruge. Men finansielle tjenester kan ikke handle med fleksibiliteten til at samarbejde mellem brugere, teams og afdelinger med sikkerheds- og overholdelseskontrol, der gennemtvinger politikker for at beskytte brugere og it-systemer mod trusler.

I sektoren for finansielle tjenesteydelser er det nødvendigt at være opmærksom på konfiguration og installation af samarbejdsværktøjer og sikkerhedskontroller, herunder:

• Risikovurdering af almindelige organisationssamarbejds- og forretningsprocesscenarier
• Krav til beskyttelse af oplysninger og datastyring
• Cybersikkerhed og insidertrusler
• Lovmæssige krav til overholdelse af angivne standarder
• Andre driftsmæssige risici

Microsoft 365 er et moderne cloudmiljø på arbejdspladsen, der kan håndtere de moderne udfordringer, som organisationer med finansielle tjenester står over for. Et sikkert og fleksibelt samarbejde på tværs af virksomheden kombineres med kontroller og håndhævelse af politikker for at overholde strenge lovgivningsmæssige rammer for overholdelse af angivne standarder. I denne artikel beskrives det, hvordan Microsoft 365-platformen hjælper finansielle tjenester med at flytte til en moderne samarbejdsplatform, samtidig med at data og systemer er sikre og overholder reglerne:

• Aktivér organisations- og medarbejderproduktivitet ved hjælp af Microsoft 365 og Microsoft Teams
• Beskyt moderne samarbejde ved hjælp af Microsoft 365
• Identificer følsomme data, og undgå tab af data
• Forsvar fæstningen
• Styr data, og overhold reglerne ved effektivt at administrere poster
• Etabler etiske vægge med informationsbarrierer
• Beskyt mod dataudfiltrering og insiderrisiko

Som Microsoft-partner har Protiviti bidraget til og leveret materialefeedback til denne artikel.

Følgende illustrationer, der kan downloades, supplerer denne artikel. Woodgrove Bank og Contoso bruges til at demonstrere, hvordan kapaciteter, der er beskrevet i denne artikel, kan anvendes til at håndtere fælles lovmæssige krav til finansielle tjenesteydelser. Du er velkommen til at tilpasse disse illustrationer til eget brug.

Illustrationer til beskyttelse af oplysninger og overholdelse af angivne standarder i Microsoft 365

Element	Beskrivelse
Engelsk: Download som en PDF-filDownload som En Visio-fil | Japansk: Download som en PDF-filDownload som en Visio-fil | Opdateret i november 2020	Omfatter: Microsoft Purview Information Protection og Microsoft Purview Forebyggelse af datatab Opbevaringspolitikker og opbevaringsmærkater Informationsbarrierer Kommunikationsoverholdelse Insiderrisiko Dataindtagelse fra tredjepart

Styrk virksomhedens og medarbejdernes produktivitet ved hjælp af Microsoft 365 og Teams

Samarbejde kræver typisk forskellige former for kommunikation, muligheden for at gemme og få adgang til dokumenter/data og muligheden for at integrere andre programmer efter behov. Medarbejdere i finansielle tjenester skal typisk samarbejde og kommunikere med medlemmer af andre afdelinger eller teams og nogle gange med eksterne enheder. Derfor er det uønsket at bruge systemer, der skaber siloer eller gør informationsdeling vanskelig. Det er i stedet at foretrække at bruge platforme og programmer, der gør det muligt for medarbejderne at kommunikere, samarbejde og dele oplysninger på en sikker måde og i henhold til virksomhedens politik.

Hvis medarbejderne får en moderne, cloudbaseret samarbejdsplatform, kan de vælge og integrere værktøjer, der gør dem mere produktive og giver dem mulighed for at finde fleksible måder at arbejde på. Brug af Teams sammen med sikkerhedskontroller og politikker for styring af oplysninger, der beskytter organisationen, kan hjælpe din arbejdsstyrke med at kommunikere og samarbejde effektivt.

Teams leverer et samarbejdshub til organisationen. Det hjælper med at få folk til at arbejde produktivt på fælles initiativer og projekter. Teams gør det muligt for teammedlemmer at føre 1:1- og chatsamtaler med flere parter, samarbejde og medforfattere af dokumenter samt gemme og dele filer. Teams faciliterer også onlinemøder via integreret virksomhedsstemme og video. Teams kan også tilpasses med Microsoft-apps, f.eks. Microsoft Planner, Microsoft Dynamics 365, Power Apps, Power BI og line of business-programmer fra tredjepart. Teams er udviklet til brug af både interne teammedlemmer og tilladt eksterne brugere, der kan deltage i teamkanaler, deltage i chatsamtaler, få adgang til gemte filer og bruge andre programmer

Alle Microsoft-team understøttes af en Microsoft 365-gruppe. Denne gruppe anses for medlemskabstjenesten for mange Office 365 tjenester, herunder Teams. Microsoft 365-grupper bruges til på en sikker måde at skelne mellem "ejere" og "medlemmer" og til at styre adgangen til forskellige funktioner i Teams. Når teams er kombineret med relevante styringskontrolelementer og regelmæssigt administrerede adgangsgennemgange, er det kun medlemmer og ejere, der kan bruge godkendte kanaler og egenskaber.

Et almindeligt scenarie, hvor Teams er til gavn for finansielle tjenester, er, når der køres interne projekter eller programmer. For eksempel er mange finansielle institutioner, herunder banker, formueforvaltning firmaer, kreditforeninger og forsikringsudbydere, forpligtet til at have bekæmpelse af hvidvaskning af penge og andre overholdelsesprogrammer på plads. Et tværfunktionelt team bestående af it, forretningsområder som detail- og formueforvaltning og en økonomisk kriminalitetsenhed kan være forpligtet til at dele data med hinanden og kommunikere om programmet eller specifikke undersøgelser. Disse programmer har traditionelt brugt delte netværksdrev, men denne fremgangsmåde kan give mange udfordringer, herunder:

• Kun én person kan redigere et dokument ad gangen.
• Administration af sikkerhed er tidskrævende, fordi tilføjelse/fjernelse af enkeltpersoner typisk involverer it.
• Data forbliver placeret på delte netværksdrev meget længere end påkrævet eller eftersøgt.

Teams kan give et samarbejdsområde til sikkert at gemme følsomme klientdata og føre samtaler mellem teammedlemmer, hvor følsomme emner kan diskuteres. Flere medlemmer af teamet kan redigere eller samarbejde om et enkelt dokument på samme tid. Programejeren eller -koordinatoren kan konfigureres som teamejer og derefter tilføje og fjerne medlemmer efter behov.

Et andet almindeligt scenarie er at bruge Teams som et "virtuelt datarum" til sikkert samarbejde, herunder lagring og administration af dokumenter. Teammedlemmer og syndikater inden for investment banking, asset management eller private equity virksomheder kan sikkert samarbejde om en aftale eller investering. Tværfunktionelle teams er ofte involveret i planlægning og opfyldelse af sådanne tilbud, og muligheden for sikkert at dele data og føre samtaler er et centralt krav. En sikker deling af relaterede dokumenter med eksterne investorer er også et vigtigt krav. Teams leverer en sikker og fuldt overvågelig placering, hvorfra investeringsdata kan gemmes, beskyttes og deles centralt.

Teams: Gør samarbejdet bedre, og reducer risikoen for overholdelse af angivne standarder

Microsoft 365 indeholder andre fælles politikfunktioner til Teams ved hjælp af Microsoft 365-grupper som en underliggende medlemskabstjeneste. Disse politikker kan hjælpe med at forbedre samarbejdet og opfylde behovet for overholdelse af angivne standarder.

Politikker for navngivning af Microsoft 365-grupper hjælper med at sikre, at Microsoft 365-grupper og derfor teams navngives i henhold til virksomhedens politik. Navne kan være problematiske, hvis de ikke er relevante. Medarbejderne ved måske ikke, hvilke teams de skal arbejde med eller dele oplysninger med, hvis navne ikke anvendes korrekt. Gruppe navngivningspolitikker (herunder understøttelse af præfiks-/suffiksbaserede politikker og brugerdefinerede blokerede ord) kan gennemtvinge god "hygiejne" og forhindre brug af bestemte ord, f.eks. reserverede ord eller upassende terminologi.

Politikker for udløb af Microsoft 365-grupper hjælper med at sikre, at Microsoft 365-grupper og derfor teams ikke bevares i længere tid, end organisationen ønsker eller har brug for. Denne funktion hjælper med at forhindre to vigtige problemer med administration af oplysninger:

• Spredning af teams, der ikke er nødvendige eller bruges.
• Overopbevaring af data, der ikke længere kræves eller bruges af organisationen (undtagen i tilfælde af juridisk bevarelse).

Administratorer kan angive en udløbsperiode for Microsoft 365-grupper, f.eks. 90, 180 eller 365 dage. Hvis en tjeneste, der understøttes af en Microsoft 365-gruppe, er inaktiv i udløbsperioden, får gruppeejere besked. Hvis der ikke udføres nogen handling, slettes Microsoft 365-gruppen og alle dens relaterede tjenester, herunder Teams.

Den overopbevaring af data, der er gemt i Teams og andre gruppebaserede tjenester, kan udgøre en risiko for organisationer for finansielle tjenester. Politikker for udløb af Microsoft 365-grupper er en anbefalet metode til at forhindre opbevaring af data, der ikke længere er nødvendige. Kombineret med indbyggede opbevaringsmærkater og politikker hjælper Microsoft 365 med at sikre, at organisationer kun bevarer de data, der kræves for at overholde virksomhedens politikker og lovmæssige overholdelsesforpligtelser.

Teams: Nemt integrere brugerdefinerede krav

Teams gør det som standard muligt at oprette teams via selvbetjening. Mange regulerede organisationer ønsker dog at styre og forstå, hvilke samarbejdskanaler der i øjeblikket bruges af deres medarbejdere, hvilke kanaler der kan indeholde følsomme data, og ejerskabet over organisatoriske kanaler. For at lette disse styringskontrolelementer kan organisationen i Microsoft 365 deaktivere oprettelse af selvbetjeningsteams. Ved hjælp af værktøjer til automatisering af forretningsprocesser, f.eks. Microsoft Power Apps og Power Automate, kan organisationer oprette og udrulle simple formularer og godkendelsesprocesser, så medarbejderne kan anmode om oprettelse af et nyt team. Når teamet godkendes, kan det klargøres automatisk, og der sendes et link til anmoderen. På denne måde kan organisationer designe og integrere deres kontrolelementer til overholdelse af angivne standarder og brugerdefinerede krav i teamoprettelsesprocessen.

Acceptable digitale kommunikationskanaler

FINRA understreger, at regulerede virksomheders digitale kommunikation opfylder kravene til registrering i Exchange Act rules 17a-3 og 17a-4 samt FINRA Rule Series 4510. FINRA udgiver en årlig rapport, der indeholder vigtige resultater, observationer og effektive fremgangsmåder for at hjælpe organisationer med at forbedre overholdelse af angivne standarder og risikostyring. I sin rapport fra 2019 om undersøgelsesresultater og observationer identificerede FINRA digital kommunikation som et centralt område, hvor virksomheder står over for udfordringer med at overholde tilsyns- og registreringskravene.

Hvis en organisation tillader sine medarbejdere at bruge en bestemt applikation, f.eks. en appbaseret meddelelsestjeneste eller samarbejdsplatform, skal virksomheden arkivere forretningsposter og overvåge disse medarbejderes aktiviteter og kommunikation i det pågældende program. Organisationer er ansvarlige for due diligence for at overholde FINRA-regler og værdipapirlove og for at følge op på potentielle overtrædelser af disse regler i forbindelse med medarbejderanvendelse af sådanne apps.

De effektive fremgangsmåder, som FINRA anbefaler, omfatter følgende:

• Etabler et omfattende styringsprogram for digitale kommunikationskanaler. Administrer organisationens beslutninger om, hvilke digitale kommunikationskanaler der er tilladt, og definer overholdelsesprocesser for hver digital kanal. Hold nøje øje med det hurtigt foranderlige landskab af digitale kommunikationskanaler, og hold overholdelsesprocesserne opdateret.
• Klart definere og styre tilladte digitale kanaler. Definer både godkendte og forbudte digitale kanaler. Bloker eller begræns brugen af forbudte digitale kanaler eller forbudte funktioner i digitale kanaler, der begrænser organisationens evne til at overholde kravene til datastyring og tilsyn.
• Tilbyde uddannelse i digital kommunikation. Implementer obligatoriske uddannelsesprogrammer, før registrerede repræsentanter får adgang til godkendte digitale kanaler. Oplæring hjælper med at tydeliggøre en organisations forventninger til forretningsmæssig og personlig digital kommunikation, og den guider medarbejderne gennem brug af tilladte funktioner i hver kanal på en kompatibel måde.

FINRA's resultater og bemærkninger vedrørende digital kommunikation vedrører direkte en organisations evne til at overholde SEC-regel 17a-4 om bevarelse af al forretningsrelateret kommunikation, FINRA-regler 3110 og 3120 for tilsyn og revision af kommunikation og Regelserie 4510 for registrering. CfTC (Commodity Futures Trading Commission) udsteder lignende krav i henhold til 17 CFR 131. Disse forordninger gennemgås indgående senere i denne artikel.

Teams leverer sammen med den omfattende pakke med Microsoft 365-tilbud om sikkerhed og overholdelse af angivne standarder en digital kommunikationskanal til finansielle institutioner, der effektivt kan drive forretning og overholde regler. Resten af denne artikel beskriver, hvordan indbyggede funktioner i Microsoft 365 til datastyring, informationsbeskyttelse, informationsbarrierer og tilsynskontrol giver Teams et robust værktøjssæt, der kan hjælpe med at opfylde disse lovmæssige forpligtelser.

Beskyt moderne samarbejde med Microsoft 365

Sikker brugeridentiteter og kontroladgang

Beskyttelse af adgang til kundeoplysninger, finansielle dokumenter og programmer begynder med en stærk sikring af brugeridentiteter. Dette kræver en sikker platform, så virksomheden kan gemme og administrere identiteter, hvilket giver en pålidelig metode til godkendelse og dynamisk styring af adgangen til disse programmer.

Når medarbejderne arbejder, kan de flytte fra program til program eller mellem flere placeringer og enheder. Adgang til data skal godkendes på hvert trin undervejs. Godkendelsesprocessen skal understøtte en stærk protokol og flere godkendelsesfaktorer (f.eks. engangs-SMS-adgangskode, godkenderapp og certifikat) for at sikre, at identiteter ikke kompromitteres. Gennemtvingelse af risikobaserede adgangspolitikker er afgørende for at beskytte finansielle data og programmer mod insidertrusler, utilsigtede datalækager og dataudfiltrering.

Microsoft 365 leverer en sikker identitetsplatform i Microsoft Entra ID, hvor identiteter gemmes centralt og administreres sikkert. Microsoft Entra ID danner sammen med et væld af relaterede Microsoft 365-sikkerhedstjenester grundlaget for at give medarbejderne den adgang, de har brug for til at arbejde sikkert, samtidig med at organisationen beskyttes mod trusler.

Microsoft Entra multifaktorgodkendelse er indbygget i platformen og giver et ekstra bevis for godkendelse, der kan hjælpe med at bekræfte brugerens identitet, når brugeren får adgang til følsomme økonomiske data og programmer. Azure MFA kræver mindst to former for godkendelse, f.eks. en adgangskode plus en kendt mobilenhed. Den understøtter flere indstillinger for andenfaktorgodkendelse, herunder:

• Microsoft Authenticator-appen
• En engangs-adgangskode, der leveres via sms
• Et telefonopkald, hvor en bruger skal angive en pinkode

Hvis adgangskoden på en eller anden måde kompromitteres, vil en potentiel hacker stadig have brug for brugerens telefon for at få adgang til organisationsdata. Derudover bruger Microsoft 365 moderne godkendelse som en nøgleprotokol, hvilket giver den samme stærke og omfattende godkendelsesoplevelse fra webbrowsere til de samarbejdsværktøjer, som medarbejderne bruger fra dag til dag, herunder Microsoft Outlook og de andre Microsoft Office-programmer.

Uden adgangskode

Adgangskoder er det svageste link i en sikkerhedskæde. De kan være et enkelt fejlpunkt, hvis der ikke er nogen yderligere bekræftelse. Microsoft understøtter en lang række godkendelsesmuligheder, så de passer til de finansielle institutioners behov.

Metoder uden adgangskode hjælper med at gøre MFA mere praktisk for brugerne. Selvom det ikke er alle MFA'er uden adgangskode, anvender teknologier uden adgangskode multifaktorgodkendelse. Microsoft, Google og andre brancheledere har udviklet standarder for at give en enklere og stærkere godkendelsesoplevelse på tværs af internettet og mobilenheder i en gruppe kaldet Fido (Fast IDentity Online). Den nyligt udviklede FIDO2-standard giver brugerne mulighed for nemt og sikkert at godkende uden at kræve en adgangskode for at fjerne phishing.

Microsoft MFA-metoder, der er uden adgangskode, omfatter:

• Microsoft Authenticator: Af hensyn til fleksibilitet, bekvemmelighed og omkostninger anbefaler vi, at du bruger Microsoft Authenticator-mobilappen. Microsoft Authenticator understøtter biometriske data, pushmeddelelser og engangstilladelser til alle Microsoft Entra tilsluttede apps. Den er tilgængelig fra Apple- og Android-appbutikkerne.
• Windows Hello: Hvis du vil have en indbygget oplevelse på pc'en, anbefaler vi, at du bruger Windows Hello. Den bruger biometriske oplysninger (f.eks. ansigt eller fingeraftryk) til at logge på automatisk.
• FIDO2 Sikkerhedsnøgler er nu tilgængelige fra flere Microsoft-partnere: Yubico, Feitian Technologies og HID Global i et BADGE MED USB, NFC-aktiveret eller biometrisk nøgle.

Microsoft Entra Betinget adgang giver en robust løsning til automatisering af beslutninger om adgangskontrol og håndhævelse af organisatoriske politikker for at beskytte virksomhedens aktiver. Et klassisk eksempel er, når en økonomisk planlægning ønsker at få adgang til et program, der har følsomme kundedata. De skal automatisk udføre en multifaktorgodkendelse for specifikt at få adgang til dette program, og adgangen skal være fra en virksomhedsadministrerede enhed. Betinget adgang i Azure samler signaler om en brugers anmodning om adgang, f.eks. egenskaber for brugeren, enheden, placeringen og netværket og det program, som brugeren forsøger at få adgang til. Den evaluerer dynamisk forsøg på at få adgang til programmet i forhold til konfigurerede politikker. Hvis bruger- eller enhedsrisikoen er øget, eller andre betingelser ikke er opfyldt, kan Microsoft Entra ID automatisk gennemtvinge politikker, f.eks. kræve MFA, kræve en sikker nulstilling af adgangskode eller begrænse eller blokere adgang. Dette hjælper med at sikre, at følsomme organisationsaktiver beskyttes i miljøer, der ændrer sig dynamisk.

Microsoft Entra ID og de relaterede Microsoft 365-sikkerhedstjenester udgør grundlaget for, hvordan en moderne cloudsamarbejdsplatform kan udrulles til finansielle institutioner, så adgang til data og programmer kan sikres, og overholdelse af regler og standarder for regulatorer. Disse værktøjer indeholder følgende vigtige funktioner:

• Gem og administrer brugeridentiteter centralt og sikkert.
• Brug en stærk godkendelsesprotokol, herunder multifaktorgodkendelse, til at godkende brugere på adgangsanmodninger og give en ensartet og robust godkendelsesoplevelse på tværs af alle programmer.
• Valider dynamisk politikker for alle adgangsanmodninger, så der inkorporeres flere signaler i politikbeslutningsprocessen, herunder identitet, bruger-/gruppemedlemskab, program, enhed, netværk, placering og risikoscore i realtid.
• Valider detaljerede politikker baseret på brugerfunktionsmåde og filegenskaber, og gennemtving dynamisk yderligere sikkerhedsforanstaltninger, når det er nødvendigt.
• Identificer "skygge-it" i organisationen, og giv InfoSec-teams tilladelse til at sanktionere eller blokere cloudprogrammer.
• Overvåg og styr adgangen til Microsoft- og ikke-Microsoft-cloudprogrammer.
• Proaktivt beskytte mod phishing- og ransomware-angreb via mail.

Microsoft Entra ID-beskyttelse

Betinget adgang beskytter ressourcer mod mistænkelige anmodninger, men identitetsbeskyttelse går længere ved at levere løbende risikoregistrering og afhjælpning af mistænkelige brugerkonti. Identity Protection holder dig informeret om mistænkelig brugers og logonadfærd i dit miljø døgnet rundt. Dens automatiske svar forhindrer proaktivt kompromitterede identiteter i at blive misbrugt.

Identitetsbeskyttelse er et værktøj, der giver organisationer mulighed for at udføre tre vigtige opgaver:

• Automatiser registrering og afhjælpning af identitetsbaserede risici.
• Undersøg risici ved hjælp af data på portalen.
• Eksportér data til risikoregistrering til tredjepartsværktøjer til yderligere analyse.

Identity Protection bruger viden, som Microsoft har erhvervet fra sin stilling i organisationer med Microsoft Entra ID, på forbrugerområdet med Microsoft-konti og i spil med Xbox for at beskytte dine brugere. Microsoft analyserer 65 billioner signaler pr. dag for at identificere og beskytte kunder mod trusler. De signaler, der genereres af og overføres til Identity Protection, kan føres videre til værktøjer som Betinget adgang til at træffe adgangsbeslutninger. De kan også føres tilbage til et SIEM-værktøj (Security Information and Event Management) til yderligere undersøgelse baseret på organisationens gennemtvungne politikker.

Identity Protection hjælper organisationer med automatisk at beskytte sig mod identitets kompromitteret ved at drage fordel af cloudintelligens baseret på avanceret registrering baseret på heuristik, UEBA (user and entity behavior analytics) og machine learning (ML) på tværs af Microsofts økosystem.

Identificer følsomme data, og undgå tab af data

Microsoft 365 giver alle organisationer mulighed for at identificere følsomme data i organisationen via en kombination af effektive funktioner, herunder:

• Microsoft Purview Information Protection for både brugerbaseret klassificering og automatisk klassificering af følsomme data.
• Microsoft Purview Forebyggelse af datatab (DLP) til automatisk identifikation af følsomme data ved hjælp af følsomme datatyper (med andre ord regulære udtryk) og nøgleord og håndhævelse af politikker.

Microsoft Purview Information Protection gør det muligt for organisationer at klassificere dokumenter og mails på en intelligent måde ved hjælp af følsomhedsmærkater. Brugerne kan anvende følsomhedsmærkater manuelt på dokumenter i Microsoft Office-programmer og på mails i Outlook. Mærkaterne kan automatisk anvende dokumentmarkeringer, beskyttelse via kryptering og håndhævelse af rettighedsstyring. Følsomhedsmærkater kan også anvendes automatisk ved at konfigurere politikker, der bruger nøgleord og følsomme datatyper (f.eks. kreditkortnumre, cpr-numre og identitetsnumre), til automatisk at finde og klassificere følsomme data.

Derudover leverer Microsoft "klassificeringsmaskiner, der kan oplæres", og som bruger modeller til maskinel indlæring til at identificere følsomme data, der er baseret på indholdet, i modsætning til blot gennem mønstermatch eller af elementerne i indholdet. En klassificering lærer, hvordan du identificerer en type indhold ved at se på mange eksempler på det indhold, der skal klassificeres. Oplæring af en klassificering starter med at give den eksempler på indhold i en bestemt kategori. Når modellen er blevet lært af disse eksempler, testes den ved at give den en blanding af matchende og ikke-matchende eksempler. Klassificeringen forudsiger, om et givet eksempel falder ind under kategorien eller ej. En person bekræfter derefter resultaterne og sorterer positive, negativer, falske positiver og falske negative for at øge nøjagtigheden af klassificeringens forudsigelser. Når den oplærte klassificering er publiceret, behandler den indhold i Microsoft Office SharePoint Online, Exchange Online og OneDrive for Business og klassificerer automatisk indholdet.

Anvendelse af følsomhedsmærkater på dokumenter og mails integrerer metadata, der identificerer den valgte følsomhed i objektet. Følsomheden følger derefter dataene. Så selvom et navngivet dokument er gemt på en brugers skrivebord eller i et lokalt system, er det stadig beskyttet. Denne funktionalitet gør det muligt for andre Microsoft 365-løsninger, f.eks. Microsoft Defender for Cloud Apps- eller netværksenheder, at identificere følsomme data og automatisk gennemtvinge sikkerhedskontroller. Følsomhedsmærkater har den ekstra fordel, at medarbejderne uddannes i, hvilke data i en organisation der betragtes som følsomme, og hvordan de håndterer disse data, når de modtager dem.

Microsoft Purview Forebyggelse af datatab (DLP) identificerer automatisk dokumenter, mails og samtaler, der indeholder følsomme data, ved at scanne dem for følsomme data og derefter gennemtvinge politikken for disse objekter. Politikker gennemtvinges på dokumenter i SharePoint og OneDrive for Business. De gennemtvinges også, når brugerne sender mail og i Teams-chats og kanalsamtaler. Politikker kan konfigureres til at søge efter nøgleord, følsomme datatyper, opbevaringsmærkater, og om data deles i organisationen eller eksternt. Der leveres kontrolelementer, der hjælper organisationer med at finjustere DLP-politikker for at reducere falske positiver. Når der findes følsomme data, kan politiktip, der kan tilpasses, vises for brugerne i Microsoft 365-programmer for at informere dem om, at deres indhold indeholder følsomme data og derefter foreslå korrigerende handlinger. Politikker kan også forhindre brugerne i at få adgang til dokumenter, dele dokumenter eller sende mails, der indeholder visse typer følsomme data. Microsoft 365 understøtter mere end 100 indbyggede følsomme datatyper. Organisationer kan konfigurere brugerdefinerede følsomme datatyper, så de opfylder deres politikker.

Udrulning af Microsoft Purview Information Protection- og DLP-politikker til organisationer kræver omhyggelig planlægning og et brugeruddannelsesprogram, så medarbejderne forstår organisationens dataklassificeringsskema, og hvilke typer data der anses for følsomme. At give medarbejderne værktøjer og uddannelsesprogrammer, der hjælper dem med at identificere følsomme data og forstå, hvordan de håndterer dem, gør dem til en del af løsningen til afhjælpning af sikkerhedsrisici for oplysninger.

De signaler, der genereres af og overføres til Identity Protection, kan også overføres til værktøjer som Betinget adgang til at træffe adgangsbeslutninger eller til et SIEM-værktøj (Security Information And Event Management) til undersøgelse baseret på en organisations gennemtvungne politikker.

Identity Protection hjælper organisationer med automatisk at beskytte sig mod identitets kompromitteret ved at drage fordel af cloudintelligens baseret på avancerede registreringer baseret på heuristik, analyse af bruger- og objektadfærd og maskinel indlæring på tværs af Microsofts økosystem.

Forsvar fæstningen

Microsoft har for nylig lanceret Microsoft Defender XDR-løsningen, som er designet til at sikre den moderne organisation mod det voksende trusselslandskab. Ved at bruge Intelligent Security Graph tilbyder Threat Protection-løsningen omfattende, integreret sikkerhed mod flere angrebsvektorer.

Grafen intelligent sikkerhed

Sikkerhedstjenester fra Microsoft 365 leveres af Intelligent Security Graph. Til at bekæmpe cybertrusler bruger Intelligent Security Graph avancerede analyser til at linke trusselsintelligens og sikkerhedssignaler fra Microsoft og microsofts partnere. Microsoft driver globale tjenester i stor skala og indsamler billioner af sikkerhedssignaler, der styrer beskyttelseslag på tværs af stakken. Modeller til maskinel indlæring vurderer denne intelligens, og signal- og trusselsindsigt deles bredt på tværs af vores produkter og tjenester. Dette giver os mulighed for hurtigt at registrere og reagere på trusler og sende handlingsbare beskeder og oplysninger til kunder med henblik på afhjælpning. Vores modeller til maskinel indlæring oplæres løbende og opdateres med ny indsigt, hvilket hjælper os med at opbygge mere sikre produkter og give mere proaktiv sikkerhed.

Microsoft Defender for Office 365 leverer en integreret Microsoft 365-tjeneste, der beskytter organisationer mod skadelige links og malware, der leveres via mail og Office-dokumenter. En af de mest almindelige angrebsvektorer, der påvirker brugere i dag, er mail phishing-angreb. Disse angreb kan målrettes mod bestemte brugere og kan være meget overbevisende, med nogle opfordring til handling, der beder brugeren om at vælge et ondsindet link eller åbne en vedhæftet fil, der indeholder malware. Når en computer er inficeret, kan hackeren enten stjæle brugerens legitimationsoplysninger og flytte tværgående på tværs af organisationen eller exfiltrate mails og data for at søge efter følsomme oplysninger. Defender for Office 365 understøtter sikre vedhæftede filer og sikre links ved at evaluere dokumenter og links på kliktidspunktet for potentielt ondsindede hensigter og blokerer adgangen. Vedhæftede filer i mails åbnes i en beskyttet sandkasse, før de leveres til en brugers postkasse. Den evaluerer også links i Office-dokumenter for skadelige URL-adresser. Defender for Office 365 beskytter også links og filer i SharePoint Online, OneDrive for Business og Teams. Hvis der registreres en skadelig fil, låser Defender for Office 365 automatisk filen for at reducere den potentielle skade.

Microsoft Defender for Endpoint er en samlet slutpunktssikkerhedsplatform til forebyggende beskyttelse, registrering efter sikkerhedsbrud og automatiseret undersøgelse og svar. Defender for Endpoint indeholder indbyggede funktioner til registrering og beskyttelse af følsomme data på virksomhedsslutpunkter.

Microsoft Defender for Cloud Apps gør det muligt for organisationer at gennemtvinge politikker på et detaljeret niveau og registrere uregelmæssigheder i funktionsmåden baseret på individuelle brugerprofiler, der automatisk defineres ved hjælp af maskinel indlæring. Defender for Cloud Apps-politikker kan bygge på politikker for betinget adgang i Azure for at beskytte følsomme virksomhedsaktiver ved at evaluere yderligere signaler, der er relateret til brugeradfærd og egenskaber for de dokumenter, der tilgås. Med tiden lærer Defender for Cloud Apps, hvad der er typisk for hver medarbejder med hensyn til de data, de får adgang til, og de programmer, de bruger. Baseret på lærte adfærdsmønstre kan politikker derefter automatisk gennemtvinge sikkerhedskontroller, hvis en medarbejder handler uden for den pågældende adfærdsprofil. Hvis en medarbejder f.eks. typisk tilgår et regnskabsprogram fra kl. 09.00 til 17.00 mandag til fredag, men pludselig begynder at få adgang til programmet kraftigt søndag aften, kan Defender for Cloud Apps dynamisk gennemtvinge politikker for at kræve, at brugeren skal godkende igen. Dette hjælper med at sikre, at brugerens legitimationsoplysninger ikke er blevet kompromitteret. Defender for Cloud Apps kan også hjælpe med at identificere "skygge-it" i organisationen, hvilket hjælper informationssikkerhedsteams med at sikre, at medarbejderne bruger sanktionerede værktøjer, når de arbejder med følsomme data. Til sidst kan Defender for Cloud Apps beskytte følsomme data overalt i cloudmiljøet, selv uden for Microsoft 365-platformen. Det giver organisationer mulighed for at sanktionere (eller fjernesanktion) bestemte eksterne Cloud-apps, styre adgang og overvåge forbrug.

Microsoft Defender for Identity er en cloudbaseret sikkerhedsløsning, der bruger dine Active Directory i det lokale miljø signaler til at identificere, registrere og undersøge avancerede trusler, kompromitterede identiteter og skadelige insiderhandlinger, der er rettet mod din organisation. AATP gør det muligt for SecOp-analytikere og sikkerhedseksperter at registrere avancerede angreb i hybridmiljøer for at:

• Overvåg brugere, objektadfærd og aktiviteter ved hjælp af læringsbaseret analyse.
• Beskyt brugeridentiteter og legitimationsoplysninger, der er gemt i Active Directory.
• Identificer og undersøg mistænkelige brugeraktiviteter og avancerede angreb i hele drabskæden.
• Angiv tydelige hændelsesoplysninger på en enkel tidslinje for hurtig triage.

Styr data, og administrer poster

Finansielle institutioner skal opbevare deres registre og oplysninger i henhold til deres lovmæssige, juridiske og forretningsmæssige forpligtelser som repræsenteret i deres virksomheds opbevaringsplan. SEC giver f.eks . opbevaringsperioder på tre til seks år baseret på posttypen med øjeblikkelig adgang for de første to år. Organisationer står over for juridiske og lovmæssige risici for overholdelse af angivne standarder, hvis data opbevares for lidt (kasseres for tidligt), og de administrerer nu også regler, der giver mandat til bortskaffelse, når oplysninger ikke længere er påkrævet. Effektive datastyringsstrategier lægger vægt på en praktisk og ensartet tilgang, så oplysninger bortskaffes korrekt, samtidig med at omkostninger og risici minimeres for organisationen.

Derudover kræver myndighedsmandater fra New York State Department of Financial Services, at dækkede enheder vedligeholder politikker og procedurer for bortskaffelse af ikke-offentlige oplysninger. 23 NYCRR 500, section 500.13, Begrænsninger for dataopbevaring kræver, at "Som en del af sit cybersikkerhedsprogram skal hver dækket enhed indeholde politikker og procedurer for sikker bortskaffelse på periodisk basis af ikke-offentlige oplysninger, der er identificeret i afsnit 500.01(g)(2)-(3) i denne del, som ikke længere er nødvendige til forretningsaktiviteter eller til andre legitime forretningsmæssige formål for den dækkede enhed, medmindre det på anden måde kræves, at sådanne oplysninger opbevares ved lov eller forordning."

Finansielle institutioner administrerer store mængder data. Og nogle opbevaringsperioder udløses af hændelser, f.eks. en kontrakt, der udløber, eller en medarbejder, der forlader organisationen. I denne atmosfære kan det være en udfordring at anvende politikker for opbevaring af poster. Tilgange til tildeling af opbevaringsperioder for poster nøjagtigt på tværs af organisationsdokumenter kan variere. Nogle anvender opbevaringspolitikker bredt eller bruger teknikker til automatisk klassificering og maskinel indlæring. Andre identificerer en tilgang, der kræver en mere detaljeret proces, der tildeler opbevaringsperioder entydigt til individuelle dokumenter.

Microsoft 365 indeholder fleksible funktioner til at definere opbevaringsmærkater og politikker til intelligent implementering af krav til datastyring. En postadministrator definerer en opbevaringsmærkat, som repræsenterer en "posttype" i en traditionel opbevaringsplan. Opbevaringsmærkaten indeholder indstillinger, der definerer disse oplysninger:

• Hvor længe en post bevares
• Hvad sker der, når opbevaringsperioden udløber (slet dokumentet, start en gennemgang af dispositionen, eller udfør ingen handling)
• Det, der udløser opbevaringsperioden til at starte (oprettelsesdato, dato for seneste ændring, markeret dato eller en hændelse) og markerer dokumentet eller mailen som en post (hvilket betyder, at den ikke kan redigeres eller slettes)

Opbevaringsbeskrivelserne publiceres derefter til SharePoint- eller OneDrive-websteder, Exchange-postkasser og Microsoft 365-grupper. Brugerne kan anvende opbevaringsmærkater manuelt på dokumenter og mails. Postadministratorer kan bruge intelligens til automatisk at anvende mærkaterne. Intelligente funktioner kan være baseret på halvfems plus indbyggede følsomme informationstyper (f.eks. ABA-udrulningsnummer, US-bankkontonummer eller US Social Security Number). De kan også tilpasses på baggrund af nøgleord eller følsomme data, der findes i dokumenter eller mails, f.eks. kreditkortnumre eller andre personligt identificerbare oplysninger eller baseret på SharePoint-metadata. For data, der ikke nemt identificeres via manuel eller automatiseret mønstermatchning, kan klassificeringer, der kan oplæres, bruges til at klassificere dokumenter på en intelligent måde baseret på teknikker til maskinel indlæring.

Værdipapir- og valutakommissionen (SEC) kræver, at mæglerhandlere og andre regulerede finansielle institutioner bevarer al forretningsrelateret kommunikation. Disse krav gælder for mange typer kommunikation og data, herunder mails, dokumenter, chatbeskeder, fax og meget mere. SEC-regel 17a-4 definerer de kriterier, som disse organisationer skal opfylde for at gemme poster i et elektronisk datalagersystem. I 2003 udsendte SEC en udgivelse, der afklarede disse krav. Den indeholdt følgende kriterier:

• Data, der bevares af et elektronisk lagersystem, skal være ikke-omskrivelige og ikke-slettelige. Dette kaldes et WORM-krav (skriv én gang, læs mange).
• Lagringssystemet skal kunne gemme data ud over den opbevaringsperiode, der kræves i henhold til reglen, hvis der er tale om en stævning eller en anden retsorden.
• En organisation overtræder ikke kravet i reglens afsnit (f)(2)(ii)(A), hvis den brugte et elektronisk lagersystem, der forhindrer overskrivning, sletning eller på anden måde ændring af en post i løbet af den påkrævede opbevaringsperiode ved hjælp af integrerede hardware- og softwarekontrolkoder.
• Elektroniske lagersystemer, der blot "afhjælper" risikoen for, at en post overskrives eller slettes, f.eks. ved at være afhængig af adgangskontrol, opfylder ikke kravene i reglen.

For at hjælpe finansielle institutioner med at opfylde kravene i SEC-regel 17a-4 indeholder Microsoft 365 en kombination af funktioner, der er relateret til, hvordan data bevares, politikker konfigureres, og data gemmes i tjenesten. Disse omfatter:

• Bevarelse af data (regel 17a-4(a), (b)(4)) – opbevaringsmærkater og politikker er fleksible til at imødekomme organisationens behov og kan anvendes automatisk eller manuelt på forskellige typer data, dokumenter og oplysninger. En lang række datatyper og kommunikation understøttes, herunder dokumenter i SharePoint og OneDrive for Business, data i Exchange Online postkasser og data i Teams.

• Format, der ikke kan omskrives, kan ikke slettes (regel 17a-4(f)(2)(ii)(A)) – funktionen Bevarelseslås for opbevaringspolitikker gør det muligt for dataadministratorer og administratorer at konfigurere opbevaringspolitikker for at være restriktive, så de ikke længere kan ændres. Dette forhindrer alle i på nogen måde at fjerne, deaktivere eller ændre opbevaringspolitikken. Det betyder, at når Bevarelseslås er aktiveret, kan den ikke deaktiveres, og der er ingen metode til, at data, som opbevaringspolitikken er blevet anvendt på, kan overskrives, ændres eller slettes i løbet af opbevaringsperioden. Derudover kan opbevaringsperioden ikke forkortes. Opbevaringsperioden kan dog forlænges, når der er et juridisk krav om at fortsætte opbevaringen af data.
  
  Når der anvendes en bevarelseslås på en opbevaringspolitik, begrænses følgende handlinger:

  • Opbevaringsperioden for politikken kan kun øges. Det kan ikke forkortes.
  • Brugere kan føjes til politikken, men eksisterende brugere, der er konfigureret i politikken, kan ikke fjernes.
  • Opbevaringspolitikken kan ikke slettes af nogen administrator i organisationen.

  Bevarelseslås hjælper med at sikre, at ingen bruger, ikke engang administratorer med de højeste niveauer af privilegeret adgang, kan ændre indstillingerne, ændre, overskrive eller slette de data, der er blevet gemt, hvilket bringer arkivering i Microsoft 365 i overensstemmelse med vejledningen i SEC 2003-versionen.

• Kvalitet, nøjagtighed og bekræftelse af lagring/serialisering og indeksering af data (Regel 17a-4(f)(2) (ii)(B) og (C)) – Office 365 arbejdsbelastninger indeholder hver især funktioner til automatisk kontrol af kvaliteten og nøjagtigheden af processen til registrering af data på lagermedier. Derudover gemmes data ved hjælp af metadata og tidsstempler for at sikre tilstrækkelig indeksering til at muliggøre effektiv søgning efter og hentning af data.

• Separat lager til kopier af dubletter (Regel 17a-4(f)(3(iii)) – Cloudtjenesten Office 365 gemmer dubletter af data som et centralt aspekt af dens høje tilgængelighed. Dette opnås ved at implementere redundans på alle niveauer af tjenesten, herunder på det fysiske niveau på alle servere, på serverniveau i datacenteret og på tjenesteniveau for geografisk spredte datacentre.

• Data, der kan downloades og er tilgængelige (Regel 17a-4(f)(2)(ii)(D)) – Office 365 tillader generelt, at data, der er mærket til opbevaring, søges efter, tilgås og downloades på stedet. Og det gør det muligt at søge efter data i Exchange Online-arkiver ved hjælp af indbyggede eDiscovery-funktioner. Data kan derefter downloades efter behov i standardformater, herunder EDRML og PST.

• Overvågningskrav (Regel 17a-4(f)(3)(v)) – Office 365 giver overvågningslogføring for alle administrative handlinger og brugerhandlinger, der ændrer dataobjekter, konfigurerer eller ændrer opbevaringspolitikker, udfører eDiscovery-søgninger eller ændrer adgangstilladelser. Office 365 vedligeholder et omfattende revisionsspor, herunder data om, hvem der udførte en handling, hvornår den blev udført, oplysninger om handlingen og de kommandoer, der blev udført. Overvågningsloggen kan derefter udskrives og inkluderes som en del af formelle overvågningsprocesser efter behov.

Endelig kræver Regel 17a-4, at organisationer opbevarer poster for mange typer transaktioner, så de er umiddelbart tilgængelige i to år. Poster skal opbevares yderligere i tre til seks år med ikke-umiddelbar adgang. Dubletposter skal også opbevares i samme periode på en placering uden for stedet. Funktioner til administration af microsoft 365-poster gør det muligt at bevare poster, så de ikke kan redigeres eller slettes, men du kan nemt få adgang til dem i en tidsperiode, der styres af postadministratoren. Disse perioder kan strække sig over dage, måneder eller år afhængigt af organisationens overholdelse af angivne standarder.

Efter anmodning leverer Microsoft en bekræftelseserklæring om overholdelse af SEC 17a-4, hvis det kræves af en organisation.

Derudover hjælper disse funktioner også Microsoft 365 med at opfylde lagerkrav til CFTC Rule 1.31(c)-(d) fra U.S. Commodity Futures Trading Commission og FINRA Rule Series 4510 fra den finansielle branchetilsynsmyndighed. Samlet repræsenterer disse regler den mest præskriptive vejledning globalt, så finansielle institutioner kan opbevare poster.

Du kan finde flere oplysninger om, hvordan Microsoft 365 overholder SEC-regel 17a-4 og andre bestemmelser, i downloaddokumentet Office 365 – Cohasset Assessment – SEC Rule 17a-4(f) – Immutable Storage til SharePoint, OneDrive, Exchange, Teams og Viva Engage (2022).

Etabler etiske vægge med informationsbarrierer

Finansielle institutioner kan være underlagt regler, der forhindrer medarbejdere i visse roller i at udveksle oplysninger eller samarbejde med andre roller. FINRA har f.eks. offentliggjort regler 2241(b)(2)(G), 2242(b)(2) (D), (b)(2)(H)(ii) og (b)(2)(H)(iii), som kræver, at medlemmerne skal:

"(G) etablere informationsbarrierer eller andre institutionelle sikkerhedsforanstaltninger, der med rimelighed har til formål at sikre, at forskningsanalytikere er isoleret fra gennemgang, pres eller tilsyn af personer, der udfører aktiviteter inden for investeringsbanktjenester, eller andre personer, herunder salgs- og handelspersonale, som kan være forudindtaget i deres vurdering eller tilsyn", og "(H) etablere informationsbarrierer eller andre institutionelle sikkerhedsforanstaltninger, der med rimelighed har til formål at sikre, at analytikere af gældsforskning isoleres fra gennemgang, pres eller tilsyn foretaget af personer, der er beskæftiget med: i) investeringsbanktjenester ii) hovedvirksomhed i forbindelse med handel eller salg og handel og (iii) andre personer, der kan være forudindtaget i deres dom eller tilsyn;"

I sidste ende kræver disse regler, at organisationer etablerer politikker og implementerer informationsbarrierer mellem roller, der er involveret i banktjenester, salg eller handel fra udveksling af oplysninger og kommunikation med analytikere.

Informationsbarrierer giver mulighed for at etablere etiske vægge i dit Office 365 miljø, så administratorer af overholdelse af angivne standarder eller andre godkendte administratorer kan definere politikker, der tillader eller forhindrer kommunikation mellem grupper af brugere i Teams. Informationsbarrierer kontrollerer specifikke handlinger for at forhindre uautoriseret kommunikation. Informationsbarrierer kan også begrænse kommunikationen i scenarier, hvor interne teams arbejder med fusioner/opkøb eller følsomme handler eller arbejder med følsomme interne oplysninger, der skal begrænses meget.

Informationsbarrierer understøtter samtaler og filer i Teams. De kan forhindre følgende typer kommunikationsrelaterede handlinger for at hjælpe med at overholde FINRA-forskrifterne:

• Søg efter en bruger
• Føj et medlem til et team, eller fortsæt med at deltage med et andet medlem i et team
• Start eller fortsæt en chatsession
• Start eller fortsæt en gruppechat
• Inviter en person til at deltage i et møde
• Del en skærm
• Foretag et opkald

Implementer tilsynskontrol

Finansielle institutioner er typisk forpligtet til at etablere og vedligeholde en tilsynsfunktion i deres organisationer for at overvåge de ansattes aktiviteter og hjælpe den med at opnå overholdelse af gældende værdipapirlovgivning. FINRA har specifikt fastlagt disse tilsynskrav:

• FINRA-regel 3110 (tilsyn) kræver, at virksomhederne skal have skriftlige tilsynsprocedurer (WSP'er) til at føre tilsyn med sine medarbejderes og virksomhedstyper. Ud over andre krav skal procedurerne omfatte:

  • Tilsyn med tilsynspersonale
  • Gennemgang af en virksomheds investeringsbank, værdipapirforretning, intern kommunikation og interne undersøgelser
  • Gennemgang af transaktioner for insiderhandel
  • Gennemgang af korrespondance og klager

  Procedurerne skal beskrive de personer, der er ansvarlige for gennemgange, tilsynsaktiviteter, som hver enkelt person skal udføre, hyppigheden af gennemgangen og typerne af dokumentation eller kommunikation, der undersøges.

• FINRA-regel 3120 (Tilsynskontrolsystem) kræver, at virksomhederne har et system med tilsynspolitikker og -procedurer, der validerer deres skriftlige tilsynsprocedurer som defineret i regel 3110. Virksomhederne skal ikke blot have WSP'er, men også have politikker, der tester disse procedurer årligt for at validere deres evne til at sikre overholdelse af gældende love og bestemmelser om sikkerhedsstillelse. Risikobaserede metoder og stikprøvetagning kan bruges til at definere omfanget af test. Denne regel kræver blandt andet, at virksomhederne skal forelægge en årlig rapport til den øverste ledelse, der indeholder en oversigt over testresultaterne og eventuelle væsentlige undtagelser eller ændrede procedurer som svar på testresultaterne.

Kommunikationsoverholdelse

Microsoft Purview Kommunikationsoverholdelse er en løsning til overholdelse af angivne standarder, der hjælper dig med at minimere kommunikationsrisici ved at hjælpe dig med at registrere, undersøge og reagere på upassende meddelelser i din organisation. Foruddefinerede og brugerdefinerede politikker giver dig mulighed for at scanne intern og ekstern kommunikation for politikkampe, så de kan undersøges af udpegede korrekturlæsere. Korrekturlæsere kan undersøge scannede mails, Microsoft Teams, Viva Engage eller tredjepartskommunikation i din organisation og udføre de nødvendige handlinger for at sikre, at de overholder organisationens meddelelsesstandarder.

Kommunikation med overholdelse af angivne standarder indeholder rapporter, der gør det muligt at overvåge aktiviteter for politikgennemsyn baseret på politikken og korrekturlæseren. Rapporter er tilgængelige til at validere, at politikker fungerer som defineret af en organisations skrevne politikker. De kan også bruges til at identificere kommunikation, der kræver gennemgang, og dem, der ikke overholder virksomhedens politik. Endelig overvåges alle aktiviteter i forbindelse med konfiguration af politikker og gennemgang af kommunikation i Office 365 samlede overvågningslog. Derfor hjælper overholdelse af kommunikation også finansielle institutioner med at overholde FINRA-regel 3120.

Ud over at overholde FINRA-regler giver overholdelse af angivne standarder for kommunikation organisationer mulighed for at registrere og reagere på kommunikation, der kan blive påvirket af andre juridiske krav, virksomhedspolitikker og etiske standarder. Kommunikation med overholdelse af angivne standarder giver indbyggede trussels-, chikane- og bandeordsklassifikationer, der hjælper med at reducere falske positiver, når de gennemgår kommunikation, hvilket sparer korrekturlæsere tid under undersøgelsen og afhjælpningsprocessen. Det giver også organisationer mulighed for at reducere risikoen ved at registrere kommunikation, når de undergår følsomme organisatoriske ændringer, f.eks. fusioner og opkøb eller lederændringer.

Beskyt mod dataudfiltrering og insiderrisiko

En almindelig trussel mod virksomheder er dataudfiltrering eller udtrækning af data fra en organisation. Denne risiko kan være et betydeligt problem for finansielle institutioner på grund af den følsomme karakter af de oplysninger, der kan tilgås dag for dag. Med det stigende antal tilgængelige kommunikationskanaler og udbredelsen af værktøjer til flytning af data kræves der typisk avancerede funktioner for at afhjælpe risikoen for datalækager, politikovertrædelser og insiderrisiko.

Styring af insider-risiko

Aktivering af medarbejdere med online samarbejdsværktøjer, der kan tilgås overalt, udgør en risiko for organisationen. Medarbejdere kan utilsigtet eller ondsindet lække data til angribere eller konkurrenter. Alternativt kan de exfiltrate data til personlig brug eller tage data med dem til en fremtidig arbejdsgiver. Disse scenarier udgør alvorlige risici for finansielle institutioner både set fra et sikkerheds- og overholdelses synspunkt. Identificering af disse risici, når de opstår, og hurtig afhjælpning af dem kræver både intelligente værktøjer til dataindsamling og samarbejde på tværs af afdelinger, f.eks. juridiske, personale og informationssikkerhed.

Microsoft Purview Styring af insider-risiko er en løsning til overholdelse af angivne standarder, der hjælper med at minimere interne risici ved at gøre det muligt for dig at registrere, undersøge og reagere på skadelige og utilsigtede aktiviteter i din organisation. Politikker for insiderrisiko giver dig mulighed for at definere de typer risici, der skal identificeres og registreres i din organisation, herunder at reagere på sager og eskalere sager til Microsoft eDiscovery (Premium), hvis det er nødvendigt. Risikoanalytikere i din organisation kan hurtigt udføre de nødvendige handlinger for at sikre, at brugerne overholder organisationens standarder for overholdelse af angivne standarder.

Styring af insiderrisiko kan f.eks. korrelere signaler fra en brugers enheder, f.eks. kopiering af filer til et USB-drev eller mailing af en personlig mailkonto, med aktiviteter fra onlinetjenester f.eks. Office 365 mail, SharePoint Online, Microsoft Teams eller OneDrive for Business for at identificere dataudfyldningsmønstre. Det kan også korrelere disse aktiviteter med medarbejdere, der forlader en organisation, hvilket er et almindeligt dataudfiltreringsmønster. Det kan registrere flere potentielt risikable aktiviteter og funktionsmåde over tid. Når der opstår almindelige mønstre, kan det udløse beskeder og hjælpe efterforskerne med at fokusere på vigtige aktiviteter for at bekræfte en politikovertrædelse med en høj grad af tillid. Styring af insiderrisiko kan pseudo-anonymisere data fra efterforskere for at hjælpe med at overholde reglerne for beskyttelse af personlige oplysninger, mens de stadig indeholder vigtige aktiviteter, der hjælper dem med at udføre undersøgelser effektivt. Det giver efterforskerne mulighed for at pakke og sikkert sende vigtige aktivitetsdata til hr- og juridiske afdelinger efter almindelige eskaleringsarbejdsprocesser for at rejse sager til afhjælpningshandling.

Styring af insiderrisiko øger funktionaliteten i organisationer betydeligt til at registrere og undersøge insiderrisici, samtidig med at organisationer stadig kan overholde reglerne for beskyttelse af personlige oplysninger og følge etablerede eskaleringsstier, når sager kræver handling på højere niveau.

Lejerbegrænsninger

Organisationer, der behandler følsomme data og lægger stor vægt på sikkerhed, vil typisk styre de onlineressourcer, som brugerne kan få adgang til. Samtidig vil de muliggøre et sikkert samarbejde via onlinetjenester som f.eks. Office 365. Derfor bliver det en udfordring at styre de Office 365 miljøer, som brugerne kan få adgang til, fordi ikke-virksomheds-Office 365 miljøer kan bruges til at eksfiltrere data fra virksomhedens enheder enten ondsindet eller utilsigtet. Organisationer begrænser traditionelt de domæner eller IP-adresser, som brugerne kan få adgang til fra virksomhedens enheder. Men det fungerer ikke i en verden, hvor brugerne har brug for lovligt at få adgang til Office 365 tjenester.

Microsoft 365 indeholder lejerbegrænsninger , som gør det muligt at håndtere denne udfordring. Lejerbegrænsninger kan konfigureres til at begrænse medarbejderadgang til eksterne Office 365 virksomhedslejere ved hjælp af rogue-identiteter (identiteter, der ikke er en del af din virksomhedsmappe). I dag gælder der lejerbegrænsninger på tværs af lejeren, hvilket kun giver adgang til de lejere, der vises på den liste, du konfigurerer. Microsoft fortsætter med at udvikle denne løsning for at øge granulariteten af kontrollen og forbedre den beskyttelse, den giver.

Konklusion

Microsoft 365 og Teams leverer en integreret og omfattende løsning til finansielle servicevirksomheder, der muliggør enkle, men effektive cloudbaserede samarbejds- og kommunikationsfunktioner på tværs af virksomheden. Ved hjælp af teknologier til sikkerhed og overholdelse af angivne standarder fra Microsoft 365 kan institutioner arbejde på en mere sikker og kompatibel måde med robuste sikkerhedskontroller for at beskytte data, identiteter, enheder og programmer mod forskellige driftsrisici, herunder cybersikkerhed og insiderrisici. Microsoft 365 indeholder en grundlæggende sikker platform, som organisationer for finansielle tjenester kan opnå mere på, samtidig med at de beskytter deres virksomhed, medarbejdere og kunder.