建立和管理測試人員風險管理原則

內部風險管理原則會判斷涉入的使用者，以及針對警示設定的風險指標類型。 您可以快速建立適用於組織中所有使用者的安全策略，或定義個別使用者或群組以在原則中進行管理。 原則支援內容優先順序，以著重於多個或特定 Microsoft Teams、SharePoint 網站、資料敏感度類型和資料標籤上的原則條件。 您可以使用範本，以選取特定風險指標，並自訂原則指標的事件閾值，有效地自訂風險分數，以及警示等級和頻率。

您也可以藉由離開會根據最新分析結果自動定義原則條件的用戶原則，來設定快速的數據外泄和數據竊取原則。 此外，風險分數提升器和異常偵測有助於識別具有較高重要性或不尋常的潛在風險用戶活動。 原則視窗允許您定義時間範圍，以將原則適用于警示活動，並用來判斷原則啟用後的時間長度。

如需使用內建原則範本建立的原則如何協助您快速處理潛在風險的概觀，請參閱 測試人員風險管理 原則設定影片。

原則儀表板

原則 儀錶板 可讓您快速查看組織中的原則、原則的健康情況、手動將使用者新增至安全策略，以及檢視與每個原則相關聯的警示狀態。

• 原則名稱：指派給原則精靈中原則的名稱。
• 狀態：每個原則的健全狀態。 顯示原則警示和建議的數量或沒有問題的原則之健康狀態。 您可以選取原則，以查看任何警告或建議的健康狀態詳細數據。
• 作用中警示：每個原則的作用中警示數目。
• 已確認的警示：過去 365 天內從原則產生案例的警示總數。
• 對警示採取的動作：過去 365 天內已確認或關閉的警示總數。
• 原則警示有效性：確認的警示總數除以警示 (的動作總數所決定的百分比，也就是過去一年中確認或關閉的警示) 。

來自分析的原則建議

測試人員風險分析可讓您匯總與安全性與合規性相關的匿名用戶活動，讓您評估組織中的潛在內部風險，而不需要設定任何內部風險原則。 這項評估可協助您的組織找出風險較高的潛在區域，並協助判斷您可能會考慮設定的內部風險管理原則類型和範圍。 如果您決定對數據 外泄 或 數據竊取 的分析掃描結果採取動作，您甚至可以選擇根據這些結果來設定快速原則。

若要深入瞭解內部風險分析和原則建議，請參閱 測試人員風險管理設定：分析。

來自建議動作 (預覽) 的快速原則

對於許多組織來說，開始使用初始原則可能是一項挑戰。 如果您不熟悉內部風險管理，並使用建議的動作來開始使用，您可以設定快速原則，以加速離職用戶原則的一 般數據外泄 或 數據竊取 。 快速原則設定會根據組織中最新分析掃描的結果自動填入。 例如，如果檢查偵測到潛在的數據外泄活動，則快速原則會包含用來偵測這些活動的指標。

若要開始使用，請檢閱快速原則設定，並使用單一選取來設定原則。 如果您需要自定義快速原則，您可以在初始設定期間或建立原則之後變更條件。 此外，您可以在每次有原則警告或每次原則產生高嚴重性警示時設定電子郵件通知，以掌握快速原則的偵測結果。

在原則中設定內容的優先順序

內部風險管理原則支持根據內容的儲存位置、內容類型或分類方式，指定較高的內容優先順序。 您也可以選擇將風險分數指派給原則所偵測到的所有活動，還是只指派包含優先順序內容的活動。 將內容指定為優先順序會增加任何相關活動的風險分數，進而增加產生高嚴重性警示的可能性。 不過，某些活動將不會產生警示，除非相關內容包含內建或自訂敏感性資訊類型，或是在原則中指定為優先順序。

例如，貴組織擁有高度機密專案的專用 SharePoint 網站。 此 SharePoint 網站中資訊的資料外洩可能會危害該專案，並對專案是否能夠成功具有重大影響。 在資料外洩原則中排定此 SharePoint 網站優先順序，就會自動提高合格活動的風險分數。 此優先順序會增加這些活動產生內部風險警示的可能性，並提升警示的嚴重性層級。

此外，您可以選擇將此原則聚焦於只包含此項目優先順序內容的 SharePoint 網站活動。 系統會指派風險分數，而且只有在指定的活動包含優先順序內容時，才會產生警示。 沒有優先順序內容的活動將不會進行評分，但如果產生警示，您仍然可以檢閱這些活動。

當您在原則精靈中建立內部風險管理原則時，您可以選擇下列優先順序：

• SharePoint 網站：任何與已定義 SharePoint 網站中所有檔案類型相關聯的活動，會指派較高的風險分數。 設定原則並選取優先順序 SharePoint 網站的使用者可以選取有權存取的 SharePoint 網站。 如果目前使用者無法在原則中選取 SharePoint 網站，則具有必要許可權的另一位使用者稍後可以選取原則的網站，或是目前使用者應獲得必要網站的存取權。
• 敏感性資訊類型：任何與包含 敏感性資訊類型 之內容相關的活動都會獲指派較高的風險分數。
• 敏感度標籤：任何與已套用這些特定 敏感度標籤 的內容相關的活動，都會指派較高的風險分數。
• 擴展名：與具有特定擴展名之內容相關聯的任何活動。 用戶設定數據竊取/洩漏原則，選取 [擴展名] 以在原則精靈中 設定優先順序 ，最多可以定義 50 個擴展名，以在原則中設定優先順序。 輸入的延伸模組可以包含或省略 『.』 作為優先順序延伸模組的第一個字元。
• 可訓練分類器：任何與 可訓練分類器中包含的內容相關聯的活動。 用戶設定原則以在原則精靈中選取可訓練分類器的原則，最多可以選取 5 個可訓練分類器來套用至原則。 這些分類器可以是現有的分類器，可識別敏感性資訊的模式，例如社會安全、信用卡或銀行帳戶號碼，或在組織中建立的自定義分類器。

順序偵測

風險管理活動可能不會以隔離事件的方式發生。 這些風險通常是較大事件序列的一部分。 序列是一組兩個或多個可能具風險的活動，一個接一個執行，可能建議提高風險。 識別這些相關的用戶活動是評估整體風險的重要部分。 針對數據竊取或數據外泄原則選取順序偵測時，序列信息活動的深入解析會顯示在內部風險管理案例的 [ 用戶活動 ] 索引卷標上。 下列原則範本支援順序偵測：

• 離職使用者竊取的資料
• 資料外洩
• 優先使用者造成的資料外洩
• 有風險用戶的數據外洩

這些內部風險管理原則可以使用特定指標及其發生順序，以對一系列風險中的每個步驟進行偵測。 針對優先用戶範本從 數據外泄 和 數據外洩 建立的原則，您也可以選取觸發原則的順序。 將活動跨序列進行對應時，會使用檔案名稱。 這些風險分為四個主要的活動類別：

• 集合：偵測範圍內原則用戶的下載活動。 範例風險管理活動包括從 SharePoint 網站下載檔、第三方雲端服務、不允許的網域，或將檔案移至壓縮資料夾。
• 外流：偵測範圍內原則使用者對內部和外部來源的共用或擷取活動。 風險管理活動的範例包括將附件的電子郵件從組織傳送給外部收件者。
• 模糊化：偵測範圍內原則使用者可能具風險的活動遮罩。 風險管理活動的範例包括重新命名裝置上的檔案。
• 清除：偵測範圍內原則使用者的刪除活動。 風險管理活動的範例包括從裝置刪除檔案。

您可以在原則中進行設定時，自訂每個序列偵測類型的個別閾值設定。 這些閾值設定會根據與順序類型相關聯的檔案數量來調整警示。

若要深入瞭解 使用者活動 檢視中的順序偵測管理，請參閱 內部風險管理案例：使用者活動。

累積外洩偵測

根據預設，針對內部風險原則範圍內的用戶進行每日評估時，內部風險指標可協助識別不尋常的風險活動層級。 累積外洩偵測會使用機器學習模型來協助您識別使用者在特定時間執行的外泄活動，是否超過貴組織中使用者在過去 30 天內在多個外泄活動類型上執行的一般數量。 例如，如果使用者在過去一個月共用的檔案比大部分使用者多，則會偵測到此活動並分類為累計外泄活動。

內部風險管理分析師和調查人員可能會使用累積的外洩偵測深入解析，協助識別通常不會產生 警示 ，但高於其組織一般情況的外泄活動。 有些範例可能會讓離職用戶在數天內緩慢地外流數據，或使用者在多個通道之間重複共享數據，比平常多為貴組織的數據共用，或與其對等群組相較之下。

使用下列原則範本時，根據預設，會啟用累積外洩偵測：

• 離職使用者竊取的資料
• 資料外洩
• 優先使用者造成的資料外洩
• 有風險用戶的數據外洩

累積外洩偵測的對等群組

測試人員風險管理會識別三種類型的對等群組，以分析使用者所執行的外泄活動。 為使用者定義的對等群組是以下列準則為基礎：

SharePoint 網站：測試人員風險管理會根據存取類似SharePoint網站的用戶來識別對等群組。

類似的組織：具有以組織階層為基礎的報表和小組成員的使用者。 此選項需要您的組織使用 Microsoft Entra ID 來維護組織階層。

類似的職稱：具有組織距離和類似職稱組合的使用者。 例如，具有資深銷售經理職稱且與相同組織中潛在客戶銷售經理具有類似角色指定的使用者，會被識別為類似的職稱。 此選項需要您的組織使用 Microsoft Entra ID 來維護組織階層、角色指定和職稱。 如果您尚未針對組織結構和職稱設定 Microsoft Entra ID，則內部風險管理會根據一般 SharePoint 網站來識別對等群組。

如果您啟用累積外洩偵測，您的組織會同意與合規性入口網站共用 Microsoft Entra 數據，包括組織階層和職稱。 如果您的組織未使用 Microsoft Entra ID 來維護此資訊，則偵測可能較不精確。

針對資料竊取或資料外洩原則啟用累積外洩偵測時，來自累積外洩活動的深入解析會顯示在內部風險管理案例內的 [使用者活動] 索引標籤上。 若要深入瞭解用戶活動管理，請參閱 測試人員風險管理案例：用戶活動。

原則健康情況

此原則健康狀態讓您深入瞭解內部風險管理原則的潛在問題。 [ 原則 ] 索引 標籤上的 [狀態] 資料行可以警示您可能無法回報使用者活動的原則問題，或是活動警示數目不尋常的原因。 此原則健康狀態也可用以確認該原則狀況良好，且不需要注意或變更設定原則。

如果原則有問題，則原則健康狀態會顯示通知警告和建議，協助您採取動作，解決原則問題。 這些通知可協助解決下列問題：

• 設定不完整的原則。 這些問題可能包括在策略或其他不完整的設定原則步驟中遺失使用者或群組。
• 具有指標設定問題的原則。 指標是每個原則的重要部分。 如果未設定指標，或選取的指標太少，則此原則可能無法如預期般針對危險活動進行評估。
• 原則觸發程式無法運作，或未正確設定原則觸發程式需求。 原則功能可能依賴其他服務或設定要求，才能有效地偵測觸發事件，以啟動原則中為使用者指派的風險評分。 這些相依性可能包括連接器設定、適用於端點的Microsoft Defender 警示共用，或資料外洩防護原則設定的設定問題。
• 磁碟區限制接近或超過限制。 內部風險管理原則使用許多 Microsoft 365 服務和端點來匯總風險活動訊號。 依據您原則中的使用者數量，數量限制可能會延遲識別及回報風險活動。 在本文的 [原則範本限制] 一節中深入瞭解這些限制。

若要快速檢視原則的健康情況狀態，請 瀏覽 [原則 ] 索引標籤和 [ 狀態] 數據行 。 在這裡，您會看到每個原則的下列原則健全狀態選項：

• 狀況良好：原則未發現任何問題。
• 建議：原則問題，可能會使原則無法如預期般運作。
• 警告：原則的問題，可能會導致無法識別潛在風險的活動。

如需任何建議或警告的相關詳細資訊，請在 [原則] 索引標籤中選取原則，以開啟該原則的詳細資料卡。 詳細數據卡片的 [ 通知 ] 區段會顯示建議和警告的詳細資訊，包括如何解決這些問題的指引。

通知訊息

使用下表深入瞭解建議和警告通知，以及解決潛在問題時需採取的動作。

建立新的原則

若要建立新的測試人員風險管理原則，您通常會在 Microsoft Purview 合規性入口網站 的測試人員風險管理解決方案中使用原則精靈。 您也可以從分析中離職的使用者檢查是否適用，為一般數據外泄和數據竊取建立快速原則。

完成 步驟 6：建立測試人員風險管理原則 ，以設定新的內部風險原則。

更新原則

針對您使用的入口網站選取適當的索引標籤。 若要深入瞭解 Microsoft Purview 入口網站，請參閱 Microsoft Purview 入口網站。 若要深入瞭解合規性入口網站，請參閱 Microsoft Purview 合規性入口網站。

複製原則

您可能需要建立類似于現有原則的新原則，但只需要進行一些設定原則變更即可。 您可以複製現有的原則，然後修改需要新原則中更新的區域，而無須從頭開始建立新原則。

針對您使用的入口網站選取適當的索引標籤。 若要深入瞭解 Microsoft Purview 入口網站，請參閱 Microsoft Purview 入口網站。 若要深入瞭解合規性入口網站，請參閱 Microsoft Purview 合規性入口網站。

立即開始為使用者活動進行評分

在某些情況下，您可能需要在內部風險管理觸發事件工作流程之外，開始將風險分數指派給具有內部風險原則的使用者。 使用 [原則] 索引標籤上使用者的 [開始評分活動] 手動將使用者 (或使用者) 到一或多個內部風險原則一段特定時間、開始將風險分數指派給其活動，以及略過要求讓使用者擁有觸發指標 (，例如 DLP 原則相符專案或 HR 連接器) 的僱用結束日期。

[ 評分活動原因 ] 欄位中的值會出現在使用者的啟用時間軸上。 手動新增至原則的用戶會顯示在 [使用者 ] 儀錶板中，如果活動符合原則警示閾值，就會建立警示。 在任何指定時間，您最多可以有 4,000 位使用者在使用 使用者開始評分活動 功能手動新增的範圍內。

您可能想要立即開始評分使用者活動的一些案例包括：

• 當用戶發現有風險考慮，而且您想要立即開始為一或多個原則將風險分數指派給其活動時。
• 發生事件時，您可能需要立即開始為一或多個原則的相關用戶活動指派風險分數。
• 當您尚未設定 HR 連接器，但想要上傳 .csv 檔案，開始將風險分數指派給 HR 事件的用戶活動。

在一或多個測試人員風險管理原則中手動啟動用戶評分活動

針對您使用的入口網站選取適當的索引標籤。 若要深入瞭解 Microsoft Purview 入口網站，請參閱 Microsoft Purview 入口網站。 若要深入瞭解合規性入口網站，請參閱 Microsoft Purview 合規性入口網站。

停止在原則中為使用者評分

若要停止在一個原則中為使用者評分，請參閱 [內部風險管理使用者：將使用者從範圍內指派移除至原則] 一文。

刪除原則

針對您使用的入口網站選取適當的索引標籤。 若要深入瞭解 Microsoft Purview 入口網站，請參閱 Microsoft Purview 入口網站。 若要深入瞭解合規性入口網站，請參閱 Microsoft Purview 合規性入口網站。