Microsoft Purview atbilstība ISO audita sagatavošanai

Ievads

ISO audits parasti neizkrīt dēļ viena trūkuma — problēma rodas tad, kad pierādījumi ir izkaisīti pa Microsoft 365 vidi, bet piekļuves tiesības, saglabāšanas termiņi un izmeklēšanas žurnāli nav sasieti vienā pārskatāmā modelī. Tieši tur Microsoft Purview atbilstība kļūst praktiska: tā savieno saziņas uzraudzību, audita pēdas un datu aizsardzības mehānismus ar konkrētām pārvaldības darbībām, lai IT komanda sagatavo dokumentētu pierādījumu kopu, nevis manuāli meklē ekrānšāviņus un sarakstes fragmentus. Microsoft Purview saziņas atbilstība izmanto mašīnmācīšanos, lai atklātu pārkāpumus programmās Microsoft Teams, Exchange Online un avotos, kas nav Microsoft avoti [1]. Savukārt Microsoft Purview Audit nodrošina kriminālistiskās un atbilstības izmeklēšanas iespējas [2]. Šis raksts fokusējas uz septiņām konfigurācijām, kas ISO audita sagatavošanā dod skaidru darba secību: kur ieslēgt uzraudzību, kā ierobežot piekļuvi, kā saglabāt ierakstus un kā sagatavot pierādījumus tā, lai tos var droši parādīt auditoram bez liekas manuālas ķemmēšanas. Raksta ietvarā atsevišķi iziesim cauri arī tam, kā Microsoft Purview atbilstība sasaista komunikāciju risku atklāšanu ar audita pierakstiem un lietotāju konfidencialitāti [1].

1. Kāpēc ISO auditoram vajag vienotu pierādījumu modeli, nevis atsevišķus ekrānšāviņus

ISO auditā atsevišķi ekrānšāviņi rada vienu un to pašu problēmu: tie rāda stāvokli brīdī, bet nesasaista, kurš lietotājs, kurš dokuments un kura darbība veido pierādījumu ķēdi. Auditoram nepietiek ar attēlu no SharePoint vai Teams; viņam vajag atkārtojamu modeli, kur redzams, kā policy, audits un izmeklēšanas pieraksti sasaistās vienā procesā. Tieši tāpēc Microsoft Purview atbilstība jāskatās kā pierādījumu sistēma, nevis kā atsevišķu logu kopums. Microsoft Purview Audit nodrošina kriminālistiskās un atbilstības izmeklēšanas iespējas [2].

Tipiskā kļūda praksē rodas tad, kad IT komanda sagatavo failu mapi ar ekrānšāviņiem, bet nepievieno audita notikumu secību un lomu sadalījumu. Tad auditoram jāmin, vai redzamais stāvoklis ir nejaušs vai tieši saistīts ar politiku. Pareizais piegājiens sākas ar to, ka nosaki, kur pierādījums dzīvo: audits, saziņas pārbaude vai datu aizsardzības iestatījumi. Pēc tam šos elementus sasaisti ar vienu dokumentētu scenāriju: kas tika konstatēts, kurā vietā, kā to pārbaudīja un kādu labojumu ieviesti. Praktiskais darba modelis izskatās šādi:

• atver Microsoft Purview portal un identificē, kurš kontroles punkts attiecas uz konkrēto ISO prasību;
• Microsoft Purview Audit sadaļā nofiksē notikumu secību, nevis tikai vienu ierakstu;
• pieraksti, kura loma skatīja datus un kura loma veica korekciju;
• glabā vienu kartētu scenāriju katram kontroles punktam, nevis atsevišķu attēlu arhīvu.

Kā pārbaudīt, ka modelis strādā: auditoram jāspēj no viena scenārija saprast, kurš konstatēja risku, kāds pierādījums to apstiprina un kurš to apstrādāja. Ja šī ķēde ir atrodama bez papildu skaidrojumiem, tad dokumentācija ir auditējama, nevis dekoratīva. Nākamais solis ir iestatīt komunikācijas risku noteikšanu tā, lai pārkāpumi parādās pirms audita jautājuma, nevis pēc tā.

2. Microsoft Purview atbilstība komunikācijas risku noteikšanai pirms audita

Praksē biežākā kļūda ir atstāt Teams un Exchange sarunas bez vadītas pārbaudes un cerēt, ka audits neko neprasīs. Tas rada situāciju, kur atbilstības komanda redz problēmu tikai tad, kad auditoram jau ir jautājumi par uzmākšanos, draudiem vai sensitīvas informācijas koplietošanu. Microsoft Purview saziņas atbilstība uzlabo atbilstību, atklājot potenciāli neatbilstošu saturu saziņas kanālos [3]. Tā izmanto mašīnmācīšanos, lai atklātu pārkāpumus Microsoft Teams, Exchange Online un avotos, kas nav Microsoft avoti [1].

Kāpēc šī kļūda rodas: organizācijas bieži testē tikai e-pasta filtrus, bet ignorē iekšējo saziņu, kur riski rodas ātrāk un saturu ietekmē darba ritms, nevis dokumentu pārvaldība. Tāpēc konfigurācijai jābūt balstītai uz konkrētiem riska scenārijiem, nevis uz vispārīgu “uzraudzības” ideju. Atver Microsoft Purview portal → Solutions → Communication compliance un izveido politiku pa scenārijiem, nevis pēc nodaļu saraksta. Ieteicamā pieeja ir šāda:

1. izvēlies kontroles mērķi: uzmākšanās, draudi vai sensitīvas informācijas koplietošana;
2. norādi saziņas kanālus, kuros meklēšanas loģika attiecas uz Teams, Exchange Online un piesaistītiem ārējiem avotiem;
3. pievieno pārskata un izmeklēšanas lomas, lai saturs tiktu pārbaudīts bez liekas piekļuves paplašināšanas;
4. iestati koriģēšanas darbplūsmu, lai inkriminējoši ziņojumi Teams vidē tiktu noņemti vai eskalēti atbilstoši procesam [1].

Ja šo soli neizlabo, audits kļūst reaktīvs: komanda ķer pierādījumus pēc fakta, nevis pirms tā, un izmeklēšanas laikā jāatgriežas pie dažādām platformām. Microsoft Purview saziņas atbilstībā ir iebūvēta pseidonimizācija, lomu piekļuves vadība, tieša administratora piekrišana lietotājiem un auditēšanas pieraksti [1], tāpēc pareizi konfigurēta politika uzreiz samazina manuālu skaidrošanu. Nākamajā sadaļā tas pāriet no saziņas riska uz audita pierakstu saglabāšanu, jo bez pareizas saglabāšanas arī labs noteikums pazūd no pierādījumu kopas.

3. Audita žurnālu saglabāšanas politika: ko ieslēgt pirms dokumentu pieprasījuma

Pirms dokumentu pieprasījuma jāizšķir divas pieejas: minimālā saglabāšana un paplašināta saglabāšana. Minimālā pieeja der tikai tad, ja interešu periods ir īss, un izmeklēšana notiek nekavējoties. Paplašinātā pieeja der situācijām, kur audits atgriežas pie notikumiem pēc ilgāka laika un vajadzīga sakārtota pierādījumu vēsture. Microsoft Purview Audit saglabā audita ierakstus uz vienu gadu ar iespēju saglabāt līdz pat 10 gadiem [2]. Microsoft Purview Audit (Premium) pēc noklusējuma saglabā vienu gadu funkcionalitātes Audit (Premium) lietotāju Exchange, SharePoint, OneDrive un Microsoft Entra ID audita žurnāla ierakstus [2].

Kurš variants der kādā situācijā: ja organizācija regulāri saņem iekšējas izmeklēšanas vai klientu atbilstības pārbaudes, viengadīga noklusējuma saglabāšana bez papildu politikas kļūst par šauru. Ja jāuztur ilgāka pierādījumu pēctecība, Microsoft Purview Audit (Premium) ļauj veidot pielāgotas audita žurnālu saglabāšanas politikas [2]. Tas nozīmē, ka saglabāšanas stratēģiju nosaki pirms dokumentu pieprasījuma, nevis pēc tam, kad ieraksti jau pārrakstīti. Ieteikums ir šāds:

• pārbaudi, kuras darbības ir kritiskas ISO kontrolei: SharePoint labošana, OneDrive piekļuve, Teams mijiedarbība, Microsoft Entra ID izmaiņas;
• izvērtē, vai pietiek ar noklusējuma saglabāšanas režīmu vai nepieciešama pielāgota politika;
• ja izmeklēšanas cikls ir garāks, piesaisti papildinājuma licenci, jo Audit (Premium) audita žurnāla ierakstus var saglabāt līdz pat 10 gadiem [2];
• dokumentē, kurš process pieprasa, apstiprina un pārskata saglabāšanas izmaiņas.

Praktiskā atšķirība ir skaidra: ar pareizi ieslēgtu politiku IT komanda nevis meklē pazudušus notikumus, bet atver nepieciešamo periodu un rāda secīgu notikumu ķēdi. Pie tam Microsoft Purview Audit organizācijām sākotnēji piešķir 2000 pieprasījumu minūtē bāzes limitu Office 365 pārvaldības darbību API [2], tāpēc apjomīgās izmeklēšanās jāplāno arī piekļuves intensitāte. Nākamais jautājums ir, kurš drīkst redzēt ko, un kā saglabāt lietotāju konfidencialitāti, kamēr notiek izmeklēšana.

4. Piekļuves lomas, pseidonimizācija un piekrišanas mehānisms izmeklēšanas laikā

Izmeklēšanas laikā trīs kļūdas atkārtojas visbiežāk: pārāk plašas lomas, tieša piekļuve personu datiem un nekorekti pārvaldīta piekrišana. Microsoft Purview saziņas atbilstībā šīs problēmas risina ar pseidonimizāciju, lomu piekļuves vadību, tiešu administratora piekrišanu lietotājiem un auditēšanas pierakstiem [1]. Tieši šī kombinācija ļauj pētīt risku, neizceļot personas identitāti plašākam lokam, nekā vajadzīgs. Sāk ar lomas definēšanu, tad ar piekrišanas apjomu un tikai pēc tam ar izmeklēšanas kontu piekļuvi.

Precīzs darbību ceļš Microsoft 365 vidē ir šāds:

1. Microsoft Purview portal → Settings → Role groups: piešķir tikai izmeklēšanai nepieciešamo lomu grupu, nevis vispārēju administratora kontu;
2. Communication compliance sadaļā pārbaudi, ka ieslēgta pseidonimizācija, lai sākotnējā pārskatā personas netiktu atklātas plašāk nekā nepieciešams;
3. lietotāju piekrišanas pārvaldībā apstiprini tiešu administratora piekrišanu tikai tām darbplūsmām, kuras to prasa;
4. Audit sadaļā piesaisti pierakstus, lai redzams, kurš skatīja, filtrēja vai koriģēja saturu [1][2].

Biežākā kļūme katrā solī ir atšķirīga. Role groups kļūst pārāk plašas, ja tajās ieliek visu IT komandu. Pseidonimizācija zaudē jēgu, ja izmeklēšanas komanda saņem personu vārdus pa neoficiāliem kanāliem. Piekrišanas mehānisms kļūst par risku, ja to apstiprina bez skaidra darbplūsmas mērķa. Audit pieraksti palīdz izsekot, kurš un kad piekļuva datiem, un Microsoft Purview Audit palīdz noteikt apdraudējuma tvērumu un piekļūt audita žurnāliem, lai atbalstītu izmeklēšanu [2]. Praktiskajā darbā tas nozīmē vienu lietu: izmeklēšana notiek kontrolētā telpā, kur identitāte, piekļuve un lēmumi ir dokumentēti. Ar to pabeidzas tehniskā sagatavošana, un nākamais fokuss ir šo iestatījumu sasaistīt ar formālu atbilstības pārvaldību, lai audits redzētu nevis atsevišķas funkcijas, bet konsekventu sistēmu.

5. DLP un datu klasifikācijas sasaiste ar ISO kontrolēm Microsoft 365 vidē

ISO audita kontekstā DLP un datu klasifikācija nav atsevišķi tehniski slāņi — tie veido vienu pierādījumu ķēdi: dati tiek atpazīti, klasificēti, aizsargāti un pēc tam auditējami. Microsoft Purview komplekts palīdz atklāt, klasificēt un aizsargāt sensitīvus datus, lai mazinātu datu zuduma risku Microsoft 365 vidē [3]. Tieši šis mehānisms auditoram parāda, ka uzņēmums nav balstījies uz manuālu disciplīnu vien, bet ir ielicis kontroles vietās, kur dati reāli kustas: SharePoint, OneDrive, Exchange un Teams. Microsoft Purview datu zuduma novēršana novērš sensitīvu datu zudumu galapunkta ierīcēs un Microsoft 365 programmās un pakalpojumos, piemēram, SharePoint, OneDrive, Exchange un Teams [3].

Ikdienā problēma parādās ļoti konkrēti: dokuments ar sensitīvu saturu tiek koplietots Teams tērzēšanā, pēc tam pārsūtīts e-pastā un glabāts SharePoint vietnē bez vienotas klasifikācijas loģikas. Audita laikā tas izskatās kā nekontrolēta datu plūsma, pat ja katrs atsevišķais solis nav apzināti ļaunprātīgs. Tāpēc konfigurācija sākas ar klasifikāciju, nevis ar bloķēšanu. Vispirms jāizdomā, kādi datu tipi uzņēmumā ir jāatzīmē kā sensitīvi, pēc tam jāsaista tie ar DLP darbībām un beidzot jāpārbauda, kur šie dati parādās lietotāju ikdienas darbā. Microsoft Purview komplekts palīdz iegūt redzamību par sensitīviem datiem un datu riskiem, piemēram, pārlieku plašu koplietošanu AI programmās un aģentos [3].

Praktiskā konfigurācijas secība Microsoft 365 vidē ir šāda:

• Microsoft Purview portal → Information protection → Labels: izveido klasifikācijas etiķetes sensitīvam saturam.
• Microsoft Purview portal → Data loss prevention → Policies: piesaisti etiķetēm DLP noteikumus, kas atpazīst noteiktus datu tipus un reaģē uz koplietošanu.
• SharePoint admin center → Active sites → Policies: pārskati, kur sensitīvs saturs glabājas un vai vietnēm ir korekta koplietošanas kontrole.
• Microsoft Purview portal → Reports: pārliecinies, ka pārkāpumi un bloķētās darbības ir atrodami pārskatāmi, nevis tikai lietotāju e-pasta paziņojumos.

Ja šo sasaisti uzbūvē pareizi, ISO auditā vairs nav jāmeklē izolēti pierādījumi katrai sistēmai atsevišķi. Parādās vienots stāsts: saturs tika identificēts, noteikums to novērtēja, un sistēma dokumentēja darbību. Tas būtiski samazina situācijas, kur audita komanda prasa ekrānšāviņus no dažādām konsolēm, jo kontroles jau ir sasaistītas darbplūsmā. Tālāk ir jāskatās, kā šī pati loģika strādā saziņas risku un Teams pārkāpumu gadījumos, jo tie bieži kļūst par pirmo audita jautājumu [3].

6. Microsoft Purview atbilstība: kā konfigurēt koriģēšanas darbplūsmas Teams pārkāpumiem

Praksē biežākais scenārijs izskatās vienkārši: Teams kanālā nonāk saturs, kas atbilst iekšējā kodeksa pārkāpumam, bet neviens to nepamana līdz brīdim, kad sākas audits vai sūdzība. Microsoft Purview saziņas atbilstība izmanto mašīnmācīšanos, lai atklātu pārkāpumus programmās Microsoft Teams, Exchange Online un avotos, kas nav Microsoft avoti [1]. Tieši tāpēc konfigurācijai jābūt vērstai ne tikai uz noteikšanu, bet uz koriģēšanu. Microsoft Purview saziņas atbilstība ļauj ātri rīkoties saistībā ar pārkāpumiem un noņemt inkriminējošus ziņojumus programmā Teams, izmantojot koriģēšanas darbplūsmas [1].

Kas tiek mainīts konfigurācijā? Nevis tikai “ieslēgt pārbaudi”, bet definēt skaidru darbību ķēdi: kas saņem trauksmi, kurš pārskata saturu, kā tiek dokumentēts lēmums un kas notiek pēc apstiprinājuma. Microsoft Purview saziņas atbilstībā ieteicamās politikas darbības palīdz atklāt saziņas riskus, piemēram, uzmākšanos, draudus vai sensitīvas informācijas koplietošanu [1]. Tas nozīmē, ka politika netiek veidota abstrakti — tā tiek sasaistīta ar reālu pārkāpuma tipu un reaģēšanas soli. Microsoft Purview saziņas atbilstība palīdz identificēt un izmeklēt saziņas riskus, vienlaikus saglabājot lietotāju konfidencialitāti [1].

Konfigurēšanas secība Microsoft 365 vidē:

1. Microsoft Purview portal → Communication compliance → Policies: izveido politiku Teams un Exchange Online saziņai.
2. Policy settings: izvēlies signālus, kas attiecas uz pārkāpuma tipu, piemēram, uzmākšanos, draudiem vai sensitīvas informācijas koplietošanu.
3. Reviewers: piešķir konkrētas pārskatīšanas lomas, lai izmeklēšana nepaliek vienam administratoram.
4. Actions: definē koriģēšanas darbplūsmu, kas ļauj noņemt inkriminējošu ziņojumu programmā Teams pēc apstiprinājuma.
5. Audit trail: pārbaudi, ka katrs lēmums ir ierakstīts un vēlāk izmantojams audita pierādījumos.

Rezultātā Teams saturs nepaliek kā “nenoslēgts risks”. Tas nonāk vadītā darbplūsmā ar skaidru atbildību, pārskatīšanu un ierakstu. ISO auditā šāds process nozīmē, ka uzņēmums spēj parādīt ne tikai noteikšanas punktu, bet arī korekcijas mehānismu. Saziņas atbilstības pārbaude labi pāriet uz nākamo slāni — auditējamu notikumu vēsturi, e-datu atklāšanu un oficiālu atbilstības pārvaldību [1].

7. Audit, e-datu atklāšana un atbilstības pārvaldnieks kā audita pierādījumu ķēde

Audita laikā visbiežāk izgāžas nevis pats kontroles mehānisms, bet pierādījumu ķēde. Vienā sistēmā redzams notikums, citā — lietotāja darbība, trešajā — atbilstības uzdevums, bet starp tiem nav vienotas saites. Microsoft Purview Audit nodrošina kriminālistiskās un atbilstības izmeklēšanas iespējas [2]. Tas nozīmē, ka audita vajadzībām notikums nav jāuztver kā izolēts ieraksts; tas ir izmeklēšanas sākumpunkts, kuru pēc tam sasaista ar datu atrašanās vietu un atbilstības uzdevumiem. Microsoft Purview Audit palīdz noteikt apdraudējuma tvērumu un piekļūt audita žurnāliem, lai atbalstītu izmeklēšanu [2].

Cēlonis, kāpēc uzņēmumi zaudē laiku audita sagatavošanā, parasti ir vienkāršs: nav iepriekš definēts, kurš pierādījums pieder kuram kontroles punktam. Tāpēc e-datu atklāšana un atbilstības pārvaldnieks jālieto kā strukturēts savienojums starp notikumu, dokumentu un prasību. Microsoft Purview atbilstības pārvaldnieks racionalizē normatīvo atbilstību, izmantojot veidnes, detalizētas norādes un ieskatus [3]. Tas dod praktisku ietvaru, kur audita prasība tiek pārvērsta konkrētos darbos, nevis atstāta kā brīva interpretācija. Microsoft Purview komplekts palīdz izmeklēt, mazināt un reaģēt, lai ievērotu uzņēmuma un normatīvās prasības [3].

Lai šo ķēdi saliktu kopā, jāstrādā šādā secībā:

• Microsoft Purview portal → Audit: atrod notikumu un fiksē laika logu, lietotāju un darbību.
• Microsoft Purview portal → eDiscovery: sasaisti notikumu ar dokumentiem, sarakstiem vai saziņu, kas apliecina kontekstu.
• Microsoft Purview portal → Compliance Manager: piesaisti pierādījumu kontroles uzdevumam vai prasībai.
• Review evidence: pārliecinies, ka vienam kontroles punktam ir viens skaidrs pierādījuma avots, nevis vairāki pretrunīgi ekrānšāviņi.

Pārbaude ir vienkārša: ja auditors prasa pierādīt, kas notika ar konkrētu ziņojumu vai dokumentu, jāspēj izsekot no audita notikuma līdz izmeklēšanai un līdz kontroles izpildei. Ja šī ķēde strādā, uzņēmums vairs nepārraksta stāstu audita nedēļā — tas to iegūst no sistēmas. Tālāk paliek pēdējais solis: praktiskā pirmsaudita pārbaude, kur vadītājs skatās tieši uz to, kas visbiežāk paliek nepārbaudīts [3][2].

8. Praktiska pārbaudes secība pirms ISO audita: ko IT vadītājs pārskata pēdējo

Tipiskā kļūda pirms ISO audita ir pārbaudīt tikai to, kas jau ir zināms un ērti pieejams: licences, politikas nosaukumus un dažus veiksmīgus testus. Pēc tam atklājas, ka audita žurnāli nav pietiekami ilgi saglabāti, pārkāpumu pārskatīšanas darbplūsma nav noslēgta vai atbilstības uzdevumi nav sasaistīti ar pierādījumiem. Microsoft Purview Audit saglabā audita ierakstus uz vienu gadu ar iespēju saglabāt līdz pat 10 gadiem [2]. Tāpēc pēdējā pārbaude nav dekoratīva — tā nosaka, vai audita dienā vispār būs pieejams pierādījumu pamats. Microsoft Purview Audit (Premium) ļauj veidot pielāgotas audita žurnālu saglabāšanas politikas [2].

Kāpēc šī kļūda rodas? Parasti tāpēc, ka konfigurācija tiek veikta pa funkcijām, nevis pa audita scenāriju. Vienā vietā ir DLP, citā — saziņas atbilstība, trešajā — auditēšana, bet neviens nav pārliecinājies, ka visi trīs slāņi sarunājas savā starpā. Microsoft Purview Audit (Premium) pēc noklusējuma saglabā vienu gadu funkcionalitātes Audit (Premium) lietotāju Exchange, SharePoint, OneDrive un Microsoft Entra ID audita žurnāla ierakstus [2]. Microsoft Purview Audit (Premium) pēc noklusējuma saglabā 180 dienas visu pārējo darbību ierakstus [2]. Šie divi uzvedības modeļi ir jāpārskata tieši pirms audita, lai nebūtu pārsteiguma, ka konkrētai darbībai vēsture vairs nav pieejama.

IT vadītāja pēdējās pārbaudes secība:

1. Microsoft Purview portal → Audit: pārbaudi, ka nepieciešamie notikumi tiešām ienāk žurnālā.
2. Microsoft Purview portal → Communication compliance: pārliecinies, ka pārkāpumu politika nav tikai aktīva, bet arī dod saprotamu pārskatīšanas ceļu.
3. Microsoft Purview portal → Compliance Manager: skaties, vai audita pierādījumi ir piesaistīti kontroles uzdevumiem.
4. Microsoft Purview portal → Reports: pārbaudi, ka pierādījumu eksporti un pārskati atbilst tam pašam laika periodam.

Ja šie soļi nav izdarīti, sekas parādās vienā brīdī: audits prasa saiti starp kontroli un notikumu, bet sistēma rāda tikai daļēju attēlu. Ja pārbaude ir veikta līdz galam, IT vadītājs uz auditu dodas ar skaidru struktūru, nevis ar steidzamu meklēšanu dažādās konsolēs. Microsoft Purview Audit organizācijām sākotnēji piešķir 2000 pieprasījumu minūtē bāzes limitu Office 365 pārvaldības darbību API [2]. Ja jāstrādā ar lielāku notikumu apjomu, šī robeža jāpatur prātā pirms pēdējās verifikācijas. Nākamais loģiskais solis ir salikt šo pašu modeli vienā iekšējā darba kārtībā, lai audits nekļūst par izņēmumu, bet par atkārtojamu procesu [2].

Avoti

Kā KSJ var palīdzēt