Защита данных в Microsoft 365: контроль приватности без скуки

Дата публикации: .

С ростом использования облачных сервисов Microsoft 365 (ранее Office 365) организации сталкиваются с необходимостью не только обеспечить продуктивную работу сотрудников, но и защитить их персональные и корпоративные данные. Microsoft предоставляет широкий набор средств управления конфиденциальностью, которые позволяют:

контролировать сбор и использование диагностических данных;
настраивать доступ приложений к личной информации;
соответствовать требованиям GDPR и другим нормативным актам;
централизованно управлять политиками безопасности через Microsoft 365 admin центр и связанные службы (Intune, Purview, Azure AD).

В данной статье подробно рассмотрены основные элементы управления конфиденциальностью в Microsoft 365, а также практические рекомендации по их настройке.

Где находятся параметры конфиденциальности в продуктах Майкрософт

В Windows 10/11

Параметры конфиденциальности Windows доступны через:

Пуск → Параметры → Конфиденциальность;
раздел Диагностика и обратная связь – здесь можно выбрать уровень отправляемых данных (Основной, Полный, Пользовательский);
раздел Разрешения приложений – управление доступом к микрофону, камере, местоположению, контактам и другим ресурсам.

В Microsoft 365 Apps для предприятий

Настройки конфиденциальности Office‑приложений находятся в:

Файл → Параметры → Центр управления безопасностью → Параметры центра управления безопасностью → Параметры конфиденциальности;
в Outlook для Android/iOS: Настройки → Общие → Параметры конфиденциальности;
в Teams: Профиль → Настройки → Конфиденциальность (управление видимостью присутствия, данными о звонках и т.д.).

В веб‑портале Microsoft 365

Администраторы могут управлять глобальными политиками через:

Центр администрирования Microsoft 365 → Настройки → Организационный профиль → Конфиденциальность;
Портал соответствия Microsoft Purview → Управление данными → Конфиденциальность;
Панель мониторинга конфиденциальности Microsoft (https://account.microsoft.com/privacy) – личный кабинет пользователя для просмотра и экспорта собранных данных.

Ключевые элементы управления конфиденциальностью

Диагностические данные Windows

Уровни сбора данных:

Основной – минимальный набор сведений о работе системы;
Полный – включает данные о производительности, надежности и использовании приложений;
Пользовательский – администратор может включать/исключать конкретные категории (например, данные о браузере, о приложениях Office).

Настройка выполняется через Параметры → Конфиденциальность → Диагностика и обратная связь либо через политики Intune (Конфигурация устройства → Политики соответствия → Диагностические данные).

Метки конфиденциальности (Sensitivity labels)

Microsoft Purview Information Protection позволяет:

классифицировать документы и письма (например, «Общедоступно», «Внутреннее», «Строго конфиденциально»);
автоматически применять защиту (шифрование, водяные знаки, ограничения копирования);
отслеживать использование помеченного контента в журнале аудита.

Для включения меток необходимо:

В центре соответствия Purview создать метки и политики их публикации;
Опубликовать метки для нужных групп пользователей или всей организации;
Убедиться, что клиентские приложения (Word, Excel, PowerPoint, Outlook) обновлены до версии, поддерживающей метки.

Защита от потери данных (DLP)

Политики DLP в Microsoft 365 помогают предотвратить несанкционированную передачу конфиденциальной информации (например, номеров кредитных карт, персональных данных).

Основные шаги настройки:

Перейти в Соответствие → Политики DLP → Политика;
Выбрать шаблон (например, «Финансовые данные», «Медицинская информация») или создать собственное условие;
Определить расположения (Exchange, SharePoint, OneDrive, Teams) и действия (блокировка, предупреждение, журнал);
Протестировать политику в режиме Только аудит перед включением принудительного применения.

Шифрование данных

Microsoft 365 использует несколько уровней шифрования:

Сервер‑стороннее шифрование (SSE) – данные в покое в Exchange Online, SharePoint Online и OneDrive for Business шифруются ключами, управляемыми Microsoft;
Клиент‑стороннее шифрование (CSE) – через Azure Information Protection или собственный ключ (BYOK) в Purview;
Транспортное шифрование (TLS 1.2+) – защита данных в transit между клиентом и сервисами.

Для дополнительного контроля можно включить Double Key Encryption (DKE) в Purview, где один ключ хранится в организации, а второй – в Microsoft.

Управление доступом и условный доступ

Azure AD Conditional Access позволяет задавать правила, основанные на:

состоянии устройства (соответствие Intune, присоединение к домену);
геолокации или IP‑диапазоне;
уровне риска (входы с подозрительной активностью);
приложении или клиентском браузере.

Пример политики: блокировать доступ к Exchange Online с несоответствующих устройств, требовать MFA для всех входов из вне корпоративной сети.

Соответствие GDPR и другим нормативным актам

Microsoft предоставляет следующие инструменты для обеспечения соответствия:

Менеджер соответствия Microsoft Purview – центральная панель для оценки рисков, управления данными и создания отчетов;
Запросы субъекта данных (DSR) – возможность экспортировать, удалять или передавать персональные данные по запросу пользователя через портал учетной записи Microsoft;
Журнал аудита – запись всех действий с конфиденциальными метками, DLP‑политиками и доступом к данным;
Шаблоны политик соответствия – готовые настройки для GDPR, CCPA, HIPAA и других стандартов.

Для выполнения требований GDPR рекомендуется:

Провести инвентаризацию персональных данных в Microsoft 365 (используя Content search и Data classification);
Применить метки конфиденциальности к документам, содержащим ПДн;
Настроить DLP‑политики, блокирующие передачу ПДн за пределы организации без шифрования;
Включить ведение журнала аудита и настроить оповещения о подозрительных операциях;
Обеспечить возможность выполнения запросов на доступ, исправление и удаление данных через DSR‑портал.

Практическое руководство: пошаговая настройка конфиденциальности в организации

Шаг 1. Подготовка администраторских ролей

Назначьте следующие роли в центре администрирования Microsoft 365:

Глобальный администратор – для общего доступа;
Администратор соответствия – для работы с Purview, DLP, метками;
Администратор Intune – для управления устройствами и политиками конфиденциальности Windows;
Администратор Exchange – для настройки политик транспорта и защиты почты.

Шаг 2. Настройка уровня диагностических данных Windows

Откройте Центр администрирования Microsoft Endpoint Manager;
Перейдите в Устройства → Политики конфигурации → Создать профиль;
Выберите платформу Windows 10 и позже, тип профиля Пользовательские настройки;
Добавьте OURI-значение: ./Device/VendorMSFT/Policy/Config/DataCollection/DiagnosticDataSubmissionMode со значением 1 (Основной) или 2 (Полный) согласно политике;
Назначьте профиль нужным группам устройств и сохраните.

Шаг 3. Внедрение меток конфиденциальности

В Портале соответствия Microsoft Purview выберите Информационная защита → Метки;
Создайте метки (например, «Общедоступно», «Внутреннее», «Строго конфиденциально») и задайте для них действия (шифрование, водяные знаки);
Опубликуйте метки через Политики публикации меток, выбрав пользователей или группы;
Проверьте, что клиентские приложения Office отображают панель меток и позволяют их применять.

Шаг 4. Настройка DLP‑политик

В Purview перейдите в Защита от потери данных → Политики;
Нажмите Создать политику и выберите подходящий шаблон (например, «Финансовые данные»);
Определите расположения: Exchange email, SharePoint sites, OneDrive accounts, Teams чат и каналы;
Настройте правила: условие (обнаружение номера кредитной карты) → действие (Блокировать отправку + показать подсказку пользователю);
Выберите режим тестирования (Только аудит) на 7‑10 дней, затем переключите на Блокировать;
Настройте уведомления для администраторов и конечных пользователей.

Шаг 5. Включение шифрования и управления ключами

В Purview выберите Информационная защита → Шифрование;
Если требуется BYOK, импортируйте свой ключ RSA в Azure Key Vault и свяжите его с меткой конфиденциальности;
Для Double Key Encryption активируйте функцию в том же разделе и следуйте мастеру настройки.

Шаг 6. Настройка условного доступа и MFA

В Azure AD перейдите в Безопасность → Условный доступ → Новая политика;
Назначьте политику на облачные приложения Microsoft 365;
Условия: Состояние устройства – Требуется соответствие Intune; Расположение – Все рованные сети исключены;
Управление доступом: Требовать многофакторную аутентификацию, Требовать утвержденное клиентское приложение;
Включите политику в режиме Только отчет для проверки, затем переключите на Включить.

Шаг 7. Мониторинг и отчетность

В Purview используйте Модуль отчетов соответствия для просмотра количества сработавших DLP‑правил, примененных меток и запросов DSR;
Настройте оповещения по электронной почте или через Microsoft Teams при превышении пороговых значений (например, более 10 попыток отправки конфиденциальных данных наружу);
Периодически (раз в квартал) проводите аудит прав доступа к сайтам SharePoint и почтовым ящикам через Журнал аудита.

Часто задаваемые вопросы (FAQ)

Как пользователь может посмотреть свои собранные данные?: Перейдите на Панель мониторинга конфиденциальности Microsoft, войдите под своей рабочей или личной учетной записью и выберите раздел Данные → Скачать данные.
Можно ли отключить сбор диагностических данных полностью?: В корпоративной среде минимально допустимый уровень – Основной. Полное отключение недоступно, так как оно может повлиять на работу обновлений и средств диагностики.
Как проверить, что метка конфиденциальности применила шифрование?: Откройте документ в Word/Excel/PowerPoint, посмотрите строку состояния: если отображается значок Замок и указано Шифровано, значит метка сработала. Также можно проверить через Файл → Сведения → Защитить документ → Шифровать паролем – поле будет недоступно для изменения, если защита применяется меткой.
Что делать, если политика DLP блокирует легитимный обмен данными?: Сначала переключите политику в режим Только аудит, просмотрите журнал срабатываний, уточните условие (например, слишком широкий шаблон поиска номера карты). Затем уточните правило, добавив исключения для доверенных доменов или групп пользователей, и повторно протестируйте.

Безопасность данных в Microsoft 365 достигается сочетания встроенных средств управления конфиденциальностью и гибкой политики администрирования. Правильная настройка диагностических данных Windows, использование меток конфиденциальности, DLP‑политик, шифрования и условного доступа позволяет организациям не только защитить информацию от утечек, но и соответствовать требованиям GDPR и других нормативных актов.

Регулярный мониторинг, обучение пользователей и периодический пересмотр политик помогут поддерживать высокий уровень защиты данных в динамично меняющейся облачной среде.

Статья подготовлена на основе официальной документации Microsoft и публичных источников, актуальна на .

Где находятся параметры конфиденциальности в продуктах Майкрософт

В Windows 10/11

В Microsoft 365 Apps для предприятий

В веб‑портале Microsoft 365