Gobierno de datos. Como crear etiquetas de confidencialidad en Microsoft Purview

¡Bienvenidos al mundo del gobierno de los datos!

Si alguna vez has perdido el sueño pensando en la seguridad y el manejo de los datos de tu organización, ¡no te preocupes! La tecnología ha avanzado y ahora existen herramientas como Microsoft Purview y sus etiquetas de confidencialidad para hacerte la vida más fácil. En el artículo de esta semana, agruparé los conceptos que me hubiera gustado tener a mano cuando empecé a preocuparme por todo este tema. Veremos de manera rápida y sencilla qué es el gobierno de los datos, cómo funciona Microsoft Purview y cómo puedes crear y gestionar etiquetas de confidencialidad en esta plataforma.

GIF Material clasificado

¿Qué es la gobernanza de datos?

Principales puntos que incluye el gobierno de datos

La gobernanza de datos es el conjunto de políticas, procesos y medidas que una organización implementa para garantizar la gestión eficaz, segura y responsable de los datos que maneja. Esta práctica se refiere a la gestión del ciclo de vida completo de los datos, desde su recolección hasta su almacenamiento, procesamiento, análisis y eliminación.

La gobernanza de datos también implica establecer roles y responsabilidades claras para los diferentes actores que intervienen en el manejo de los datos, así como la definición de estándares y procedimientos para garantizar la calidad, integridad, disponibilidad y confidencialidad de los mismos.

Microsoft Purview

Microsoft Purview

Microsoft Purview es una plataforma que ayuda a las organizaciones a gestionar y proteger sus datos de manera efectiva en diferentes entornos. Utilizando tecnologías de inteligencia artificial y aprendizaje automático, la plataforma automatiza el descubrimiento de datos, proporcionando una vista unificada de los mismos para facilitar la colaboración entre equipos y cumplir con las normas y regulaciones de privacidad y protección de datos.

Microsoft Purview permite:

Obtener visibilidad de los activos de datos en toda su organización.
Permitir el acceso a sus soluciones de datos, seguridad y riesgo.
Proteger y gestionar datos confidenciales en nubes, aplicaciones y puntos finales.
Gestionar los riesgos de datos de extremo a extremo y el cumplimiento normativo.
Capacitar a su organización para gobernar, proteger y gestionar los datos de formas nuevas y completas.

En este caso nos centraremos en la creación y uso de etiquetas de confidencialidad para clasificar y proteger los datos, lo que permite opciones de configuración de protección y etiquetado de contenido. Y lo que más nos interesa, se pueden extender las etiquetas de confidencialidad a Power BI, asignación de datos, servicios y aplicaciones de terceros.

Como crear etiquetas de confidencialidad

Requisitos previos.

Una cuenta en Azure
Una licencia Enterprise Mobility + Security ES
Una cuenta de Azure Purview

1. Crear una cuenta en Azure Purview

El primer paso para poder trabajar con las etiquetas de confidencialidad es crear una cuenta en Microsoft Purview. Para ello nos dirigiremos al portal de Azure.

Accede a Microsoft Purview

Una vez dentro le daremos a crear y configuraremos nuestra cuenta:

Será necesario asignarle una subscripción y un grupo de recursos. Este último se puede crear desde este mismo punto.
Deberemos asignarle un nombre a nuestra cuenta de Purview
Asignaremos una localización.

El resto de opciones dejaremos las que vienen por defecto.

2. Crear las etiquetas de confidencialidad

Azure Purview ofrece la función de etiquetas de confidencialidad que permiten a las organizaciones clasificar y proteger sus datos según su nivel de confidencialidad mediante metadatos aplicados a los activos de datos. Permiten establecer políticas de seguridad y protección de datos para diferentes niveles de confidencialidad.

Para empezar a crear nuestras etiquetas nos dirigiremos al Portal de cumplimiento de Microsoft Purview.
Desde la columna de navegación que aparece a la derecha nos dirigiremos a Information protection > Labels

Information protection > Labels

3. ¡Ya podemos empezar a crear etiquetas! Ya veréis que el proceso es súper sencillo.

4. La primera ventana que nos aparece una vez empezamos a crear nuestras etiquetas incluye:

Name : Este será el nombre que verán los administradores en el portal de cumplimiento cuando configuren o gestionen la etiqueta.
Display name : Este es el nombre que verán los usuarios en las aplicaciones en las que se publique. Aquí hay que buscar un nombre que ayude a entender para qué se utiliza.
Description for users : Esta información aparecerá cuando los usuarios apliquen la etiquetas en las aplicaciones.
Descripcion for admins : Esta descripción solo será visible para los administradores que gestionen el portal
Label color : Color con el que se mostrará la etiqueta en el caso que la aplicación lo permita.

Nueva etiqueta. Name and tooltip.

5. En el apartado Define the scope for this label podremos definir sobre qué elementos deseamos aplicar la etiqueta que estamos creando. Para ello se nos muestran las siguientes opciones:

—Items : Elementos y aplicaciones sobre los que se desea que se aplique la configuración. Dentro de esta opción encontramos:

Files : Esta opción protege los archivos creados. Incluido los de Power BI.
Emails : Incluye la opción de etiquetas a tus correos electrónicos enviados desde Outlook.
Groups & sites : Si las aplicamos a Teams, los grupos de M365 y Sharepoint. Veréis que para activar esta opción es necesaria una configuración previa en la que en este artículo no entraremos.
Schematized data assets (preview) : Permite aplicar las etiquetas en activos de datos esquematizados (Synapse, Cosmos,…). Para esta opción también es necesaria una configuración previa.

Nueva etiqueta. Define scope for this label

6. En el siguiente apartado, Choose protection settings for labeled items podremos configurar los ajustes de cifrado.

Apply or remove encryption : Activa quién puede acceder a los archivos o elementos que hayamos configurado previamente con esa etiqueta
Apply content marking : Añade a los elementos con esta etiqueta encabezados, pies de página y marcas de agua personalizados

Elija la configuración de protección para los elementos etiquetados

Una vez hayamos decidido sobre que elementos queremos que aplique la configuración, nos aparecerán dos pasos más:

6.1. Encryption

Permite configurar quién puede acceder a los elementos con la etiqueta aplicada.

La primera opción a decidir es entre escoger:

— Si el usuario tiene permiso para ello eliminar el cifrado existente

— Proceder a la configuración de la encriptación.

Si elegimos esta última nos aparecen otras posibilidades

Assign permissions now or let user decide? Establece la configuración del los permisos , ya decidas aplicarlo ahora o dejar que los usuarios decidan a quién asignan los permisos cuando apliquen la etiqueta.

Si decides asignar los permisos ahora te aparecerán nuevas opciones de configuración:

User access to content expires. Configura el tiempo límite al que los usuarios podrán acceder a la información. Puedes seleccionar entre que no expire nunca, que expire en una fecha determinada o pasados un número de días.

Una vez trascurrido el tiempo, los usuarios no podrán abrir el documento con esta etiqueta.

Access expires this many days after the label is applied / Access expires. Nos permite configurar la fecha de fin de una etiqueta el número de días que queremos que se permita el acceso cuando se marquen esas opciones en la casilla anterior.

En una fecha concreta

Pasados un número determinado de días

Allow offline access. Permite especificar si se desea que el contenido esté accesible sin conexión a internet o establecer un periodo de días.

Assign permissions to specific users and groups (Aquí es dónde está la chicha)

Panel de asignación de permisos

Todos los miembros de la organización. Esta configuración excluye las cuentas de invitado.

Todos los usuarios autenticados.

Todos los usuarios de la organización y Cualquier usuario autenticado

Añadir usuarios o grupos. Cualquier usuario específico o grupo de seguridad habilitado para correo electrónico, grupo de distribución o grupo de Azure Active Directory.

Usuarios o grupos específicos

Usuarios concretos desde una cuenta de mail o dominio. Cualquier dirección de correo electrónico o dominio. Use esta opción para especificar todos los usuarios de otra organización que usan Azure AD, escribiendo un nombre de dominio de dicha organización.

Una vez configurada la asignación de permisos, estos aparecerán listados en parte inferior.

Use Double key Encryption. Permite el uso de dos claves para proteger los documentos más confidenciales

6.2. Content marking.

Esta opción aparece si hemos marcado Apply content marking a inicios del punto 6 y permite configurar el texto que aparece en la marca de agua, la cabecera o el pie de página.

Configuración de la marca de agua, la cabecera y el pie de página

6.3. Auto-labeling for files and emails.

Permite agregar etiquetas que cumplan determinadas condiciones.

7. Define protection settings for groups and sites. Esta configuración aplica a equipos, grupos y sitios.

8. Finish y Create label

¡Una vez llegado este punto a mi me dio un pete!

No me dejaba crear las etiquetas al no tener una licencia con Azure RMS. Para solucionarlo, me dirigí al portal de Azure y activé el Free trial de la licencia Enterprise Mobility + Security ES

Una vez activada…

¡TADAAÁ!¡Etiqueta creada con éxito!

Ahora en el apartado de labels nos aparecerán todas las que hayamos creado. Yo me he entretenido y he ido probando diferentes configuraciones a ver cómo se comportaban sobre los diferentes grupos de Azure Active Directory que tengo creados.

3. Desplegar la política de privacidad

Una vez creadas todas las etiquetas con las diferentes configuraciones y desde el apartado Labels podremos:

Seleccionado una etiqueta proceder a editarla:

Editar una etiqueta

Proceder a su despliegue para que se puedan empezar a usar.

3.1. Publish labels. Mediante la opción indicada se nos abrirá un cuadro nuevo donde podremos empezar la publicación de nuestras etiquetas.

Publish labels

3.2. Choose sensitivity labels to publish. Desde aquí podrás elegir entre el conjuntos de tus etiquetas, cuales quieres hacer accesible.

Selecciona que etiquetas quieres publicar.

3.3. Assign admin units (preview). Esta parte de la configuración aplica a las unidades administrativas que puedes crear en Azure Active Directory y restringen la política a un conjunto específico de usuarios o grupos.

Asignar a unidades administrativas

3.4. Publish to users and groups . Desde esta configuración determinaremos quien puede ver y aplicar este conjunto de etiquetas.

Publicar para usuarios o grupos

3.5. Policicy settings. Configura las opciones de las etiquetas incluidas en esta política.

Configuración de la política

Users must provide a justification to remove a label or lower its classification. Hace obligatorio proporcionar una justificación por parte del usuario para el cambio de etiqueta de confidencialidad.
Require users to apply a label to their emails and documents. La aplicación de etiquetas será obligatoria antes de guardar documentos o enviar mails siempre que no tengan ya una etiqueta.
Require users to apply a label to their Power BI content. Habilita una directiva de etiquetas obligatorias para Power BI.
Provide users with a link to a custom help page. Aquí puedes poner una página web a la que los usuarios se puedan dirigir para entender el funcionamiento de las etiquetas, yo, como no tengo, he enlazado este post.

3.5.1. Default settings for documents. Desde esta ventana podremos configurar la etiqueta que se aplique por defecto a los documentos, los usuarios podrán modificarla. En el desplegable aparecerán las etiquetas que tengamos en nuestra política.

Configuración por defecto en los documentos

3.5.2. Default setting for emails.

Apply a default labels to emails. Etiqueta que se aplicará por defecto en los correos electrónicos.
Inherit labels from attachments. La etiqueta de mayor prioridad sustituye a la existente al adjuntar un archivo. Si se adjuntan varios archivos, se aplica la etiqueta con la prioridad más alta. Si el correo no está etiquetado, hereda la etiqueta del archivo adjunto de mayor prioridad.

Configuración por defecto para los emails

3.5.3. Default settings for meetings and calendar events. La etiqueta seleccionada se aplicará automáticamente a todas las reuniones y eventos del calendario, tanto nuevos como existentes, que no tengan etiqueta. Los usuarios tienen la opción de modificar la etiqueta predeterminada antes de crear el evento o la reunión.

Configuración por defecto de las etiquetas de reuniones y eventos en el calendario.

3.5.4. Default settings for Power BI content. La elección de la etiqueta resultará en su aplicación automática a los informes, cuadros de mando y conjuntos de datos nuevos de Power BI. Los usuarios tienen la libertad de modificar la etiqueta predeterminada si no es la adecuada. En el desplegable aparecerán las etiquetas que tengamos en nuestra política.

Configuración por defecto del contenido de Power BI

3.5.5. Name. En esta pantalla podremos dar un nombre y una descripción a nuestra política.

3.5.6. Review and finish. Desde esta ventana vemos un resumen de la configuración que hemos aplicado.

¡Ya tenemos nuestra política de confidencialidad creada!

Una vez creada podremos acceder a ella en el panel desde Information protection > Label policies, desde allí podremos proceder a cualquier modificación.

Política de etiquetas

Conclusiones

El uso de etiquetas de confidencialidad en herramientas cómo Microsoft Purview demuestra ser una estrategia efectiva para salvaguardar los datos y cumplir con las regulaciones de privacidad y seguridad. Estas etiquetas se complementan con otras métodos como RLS (Row-Level Security), OLS (Object-Level Security) y las configuraciones del tenant de Power BI, lo que brinda una protección integral de los datos.

La combinación de estas herramientas permite a las organizaciones garantizar la seguridad de los datos en todos los niveles y etapas de su ciclo de vida. Esto se traduce en una gestión más eficiente de los datos y un mejor cumplimiento normativo.

Al implementar estas soluciones de protección de datos de manera integral, las organizaciones pueden minimizar los riesgos de brechas de seguridad y filtraciones de información confidencial. Además, la gestión efectiva de los datos y el cumplimiento normativo adecuado pueden generar ventajas competitivas.

En resumen, la combinación de etiquetas de confidencialidad, RLS, OLS y las configuraciones del tenant de Power BI en herramientas como Microsoft Purview proporciona una protección integral de los datos, mejora el cumplimiento normativo, fortaleciendo la confianza de las organizaciones en el mercado.