Microsoft Purview und Data Governance

Microsoft Purview ist eine einheitliche Lösung für Data Governance und Compliance, die Funktionen für Datenkatalogisierung, Klassifizierung, Kennzeichnung und Schutz im gesamten Datenbestand einer Organisation zusammenführt. Sie deckt lokale Daten, Azure-Datendienste, Microsoft 365 und sogar Daten in anderen Clouds ab. Purview bietet Organisationen eine zentrale Übersicht darüber, wo sich sensible Daten befinden, und stellt sicher, dass diese geschützt sind.

Microsoft Purview entstand durch die Zusammenführung der früheren Produkte Azure Purview (Data Governance) und Microsoft Compliance Manager (Complianceverwaltung) in einem einheitlichen Portal. Das Ergebnis umfasst zwei Hauptbereiche:

• Purview Data Governance – Datenquellen durchsuchen und Daten klassifizieren
• Purview Risk & Compliance – Sensitivity Labels, DLP-Richtlinien und Verwaltung von Insider-Risiken

Die Purview Data Map bildet die Grundlage der Data Governance in Purview. Sie durchsucht automatisch registrierte Datenquellen – darunter Azure SQL, Blob Storage, ADLS, lokales SQL Server und Power BI – und erstellt einen Metadatenkatalog aller ermittelten Datenbestände. Jeder Datenbestand wird mit seinem Schema, seinen Datentypen, Klassifizierungsbezeichnungen und seiner Datenherkunft und -weiterleitung (woher die Daten stammen und wohin sie fließen) beschrieben.

Nachdem Sie eine Datenquelle registriert haben, konfigurieren Sie einen Scan – einen automatisierten Prozess, der eine Verbindung mit der Datenquelle herstellt, die Metadaten und eine Datenstichprobe liest und Klassifizierungsregeln anwendet, um sensible Inhalte zu identifizieren. Purview enthält mehr als 200 integrierte Klassifizierer für gängige Arten sensibler Daten, etwa Kreditkartennummern, Sozialversicherungsnummern, Passnummern und Gesundheitskennungen.

Sensitivity Labels sind Dokumenten, E-Mails und Datenbeständen zugewiesene Kennzeichnungen, die deren Sensibilitätsstufe angeben. Häufig verwendete Bezeichnungen sind Public, General, Confidential, Highly Confidential. Die Bezeichnungen werden im Purview-Complianceportal definiert und können von Benutzern manuell oder automatisch auf Grundlage der Inhaltsklassifizierung angewendet werden. Nach der Kennzeichnung bleibt das Label mit dem Dokument verbunden und steuert, welche Schutzmaßnahmen angewendet werden.

Richtlinien zur Verhinderung von Datenverlust (Data Loss Prevention, DLP) in Purview erkennen sensible Informationen automatisch und schützen sie davor, unangemessen geteilt zu werden. Beispielsweise kann eine DLP-Richtlinie verhindern, dass eine E-Mail mit einer Kreditkartennummer an eine externe Adresse gesendet wird, oder den Upload einer Datei mit dem Label „Highly Confidential“ auf ein persönliches OneDrive blockieren. DLP-Richtlinien gelten für Microsoft-365-Dienste, Teams, SharePoint und Azure-Dienste.

Die Datenherkunft verfolgt den Weg von Daten von ihrem Ursprung über Transformationen bis zu ihrem endgültigen Ziel. In Purview zeigen Herkunftsdiagramme, wie Daten durch Azure Data Factory-Pipelines, Azure Synapse Analytics und andere Dienste fließen. Dies ist für die Compliance wertvoll (um Auditoren die Herkunft der Daten nachzuweisen) und für die Ursachenanalyse (um Fehler bis zu Problemen in den Quelldaten zurückzuverfolgen).

Die Verwaltung von Insider-Risiken in Purview erkennt potenzielle Datenexfiltration durch Mitarbeiter anhand von Signalen aus Microsoft-365-Aktivitäten (Herunterladen großer Dateimengen, Senden sensibler Daten an persönliche E-Mail-Adressen, Zugriff auf Daten außerhalb der üblichen Arbeitszeiten). Mithilfe von Machine Learning werden Risikoprofile erstellt und Warnungen für die Untersuchung durch Sicherheitsteams generiert. Bei allen Analysen wird die Privatsphäre der Benutzer durch Pseudonymisierung geschützt, bis eine Untersuchung eröffnet wird.

Der Purview Data Catalog ist ein durchsuchbares Inventar aller in der Data Map ermittelten und registrierten Datenbestände. Dateningenieure, Analysten und Compliance-Beauftragte können Datenbestände nach Name, Typ, Klassifizierung oder Label durchsuchen. Auf jeder Seite eines Datenbestands werden dessen Schema, Beispieldaten, Klassifizierungsergebnisse, Sensitivity Label, Datenherkunft und Verantwortlicher angezeigt. Dadurch wird die Demokratisierung von Daten ermöglicht, während Governance-Kontrollen erhalten bleiben.

eDiscovery in Purview ermöglicht es Rechts- und Compliance-Teams, Inhalte aus Microsoft-365-Diensten für Gerichtsverfahren zu durchsuchen, aufzubewahren und zu exportieren. Die Funktion Audit stellt ein manipulationssicheres Protokoll von Benutzer- und Administratoraktivitäten in Microsoft 365 und Azure bereit und ermöglicht so die forensische Untersuchung von Sicherheitsvorfällen. Beide Funktionen sind für regulierte Branchen mit strengen Anforderungen an die Beweissicherung unverzichtbar.

Purview und Azure Policy ergänzen sich: Purview identifiziert, wo sich sensible Daten befinden, und klassifiziert sie, während Azure Policy technische Kontrollen durchsetzt – beispielsweise die Erstellung von Speicherkonten ohne Verschlüsselung verweigert oder verlangt, dass Diagnoseprotokolle für alle SQL-Datenbanken aktiviert sind. Gemeinsam bilden sie ein Governance-Framework, in dem sowohl die Datensensibilität als auch die Ressourcenkonfiguration aktiv verwaltet werden.

Testen Sie Ihr Verständnis der Konzepte von Microsoft Azure Fundamentals (AZ-900) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Microsoft Purview stellt eine einheitliche Plattform für Data Governance, Klassifizierung und Compliance bereit; die Data Map erkennt und klassifiziert sensible Daten automatisch in Ihrer gesamten Datenlandschaft; und DLP-Richtlinien sowie Sensitivitätsbezeichnungen verhindern, dass sensible Daten unangemessen freigegeben oder aufgerufen werden. Als Nächstes sehen wir uns den Microsoft Compliance Manager zur Bewertung und Nachverfolgung Ihres Compliance-Status an.