De behoeften op het gebied van gegevensbescherming en beveiliging zijn geëvolueerd, vooral door het werken op afstand, het groeiende aantal medewerkers in de frontlinie, de snelle adoptie van BYOD en een werkcultuur zonder grenzen. Windows-laptops en -desktops genieten een enorme populariteit in zowel de zakelijke als persoonlijke gebruiksruimte.
De veiligheid van bedrijfsgegevens op de BYO-pc's (Windows-computers en laptops van werknemers) komt in gevaar wanneer deze apparaten buiten de bedrijfsnetwerken en -infrastructuur werken.
Dit is waar het Microsoft Windows Information Protection Policy een rol speelt bij het beveiligen van bedrijfsgegevens.
Laten we in dit artikel een diepgaand inzicht krijgen in Windows Information Protection-WIP voor Enterprise Data Protection.
Wat is Microsoft Windows Informatiebeveiliging (WIP)?
Windows Information Protection is een reeks beleidsregels die organisaties en hun daaropvolgende IT-teams helpen bij het beveiligen van bedrijfsgegevens op apparaten die voornamelijk eigendom zijn van werknemers, zonder de algehele gebruikerservaring te belemmeren, wat de belangrijkste reden is voor de grootschalige adoptie van Windows in de bedrijfsomgeving.
De Microsoft Windows Information Protection (WIP), voorheen Enterprise Data Protection (EDP) genoemd, werd samen met de Windows 10-jubileumupdate geïntroduceerd in een poging de Windows 10 modern beheer.
Wanneer we de betekenis van Windows Information Protection of WIP definiëren, wordt dit meestal geassocieerd met Windows-desktops en -laptops die eigendom zijn van werknemers.
Maar het is belangrijk om te begrijpen dat Windows een eigendomsonafhankelijk besturingssysteem is, wat betekent dat Windows Information Protection (WIP) ook kan worden gebruikt om beveiligde bedrijfsgegevens op 100% bedrijfseigen, volledig beheerde apparaten.
Waarom WIP gebruiken – Windows-informatiebescherming?
Het aantal persoonlijke Windows-apparaten dat voor zakelijke doeleinden wordt gebruikt, neemt exponentieel toe. Hoewel sommige organisaties er volledig op vertrouwen dat werknemers hun persoonlijke apparaten voor hun werk gebruiken, staan veel organisaties gedeeltelijk gebruik van de apparaten van werknemers toe. Dit kan zijn om een taak in het weekend uit te voeren, een noodgeval te verhelpen of terwijl ze op afstand werken.
De toegenomen toename van het aantal apparaten dat eigendom is van werknemers op de werkplek (op locatie of op afstand) heeft geresulteerd in extra zorgen rond de beveiliging van bedrijfsgegevens.
Het toenemende risico dat gegevens per ongeluk lekken via een van de vele websites of apps waartoe werknemers toegang hebben op hun pc, is de belangrijkste reden waarom bedrijven WIP nodig hebben.
Ook beveiligt de bedrijfsgegevens tegen opzettelijke inbreuken geprobeerd door de werknemers terwijl ze toegang kregen tot bedrijfsgegevens op het apparaat, waar ze ook toegang hebben tot sociale media, delen en openbare cloudopslag.
Het voordeel van het WIP-beleid is dat het de gebruikerservaring van de computer niet inhaalt of overlapt. In tegenstelling tot een volledig beheerd apparaat dat wordt bestuurd via een bedrijfsmobiliteitsbeheer tool waarbij IT-beheerders de toegang tot niet-zakelijke en ongeautoriseerde apps blokkeren/beperken, werkt het Windows Information Protection-beleid synchroon met de controle en privacy van de werknemers op hun persoonlijke apparaten.
Wat zijn de voordelen van Windows Information Protection (WIP)?
- Beveiliging van bedrijfsgegevens op apparaten van werknemers
- Ervoor zorgen dat er geen wijzigingen plaatsvinden in de bestaande bedrijfsomgeving en apps
- Faciliteer de originele Windows-gebruikerservaring
Enterprise Data Protection met behulp van Windows Information Protection (WIP)
Het primaire idee van WIP is om niet alleen de bedrijfsgegevens op de apparaten van werknemers te beschermen, maar ook om de bedrijfsgegevens en de persoonlijke gegevens op de apparaten van werknemers te splitsen en selectief gegevensbeschermingsbeleid toe te passen op de bedrijfsgegevens.
Dit zorgt ervoor dat, hoewel de bedrijfsgegevens beschermd zijn en de beveiligingspositie van de onderneming behouden blijft, de persoonlijke gegevens van de werknemer onaangetast blijven.
Laten we eens kijken welke impact WIP heeft:
Bedrijfsgegevens
WIP voegt een bedrijfstag of identiteit toe aan de bedrijfsgegevens op de apparaten van de werknemers en codeert de gegevens automatisch wanneer deze worden gedownload, opgeslagen of verkregen uit de vooraf gedefinieerde bedrijfsbronnen.
Deze bronnen omvatten bedrijfsapps, bedrijfsnetwerken en beschermde bedrijfsdomeinen. Alle gegevens die vanuit deze bronnen binnenkomen, worden gecodeerd met behulp van WIP.
IT-beheerders kunnen het WIP-beleid definiëren en het kopiëren van de bedrijfsgegevens en plak het in de persoonlijke apps/gegevens. De bedrijfsgegevensbestanden zijn alleen toegankelijk via beveiligde apps en niet via onbeveiligde apps.
Persoonsgegevens
Persoonlijke gegevens van de werknemer blijven onverschrokken en worden niet beïnvloed door de toepassing van het Windows Information Protection (WIP)-beleid.
Wanneer de organisaties het WIP-beleid uitschakelen op de buiten gebruik gestelde apparaten of apparaten van werknemers die niet langer aan de organisatie zijn gekoppeld, blijven de persoonlijke gegevens zoals ze zijn.
Zelfs wanneer op deze apparaten een verwijdering op afstand wordt uitgevoerd met behulp van een MDM, blijven de persoonlijke gegevens intact. Dit is een van de belangrijkste voordelen van WIP.
Verlichte toepassingen versus onverlichte toepassingen
We moeten de twee basistypen apps en hun terminologie begrijpen die wordt gebruikt in overeenstemming met Windows Information Protection. De twee soorten apps die vaak worden genoemd met betrekking tot WIP zijn: Verlichte applicaties en Niet-verlichte applicaties.
Verlichte apps:
Dit zijn de apps die onderscheid kunnen maken tussen bedrijfsgegevens en persoonlijke gegevens. Microsoft Office 365 ProPlus-apps zoals MS Word, MS Excel, MS PowerPoint, MS OneNote en MSOutlook zijn verlichte apps.
Onverlichte apps:
Dit zijn de apps die geen onderscheid kunnen maken tussen bedrijfsgegevens en persoonlijke gegevens. Veel voorkomende voorbeelden van onverlichte apps zijn Gmail en Google Chrome-browser.
Terwijl de IT-beheerders WIP-beleid opstellen, kiezen ze onverlichte apps als toegestane apps. Bedrijfsgegevens zijn toegankelijk via deze apps. De onverlichte apps behandelen alle gegevens op het apparaat als bedrijfsgegevens en versleutelen deze.
Hieronder vallen ook de persoonsgegevens van een medewerker. Het Windows Information Protection (WIP)-beleid zorgt ervoor dat wanneer een onverlichte app nodig is voor de bedrijfsvoering, de gegevens altijd worden gecodeerd.
Het wordt aanbevolen om alleen verlichte apps toe te staan, terwijl de WIP-instellingen ervoor zorgen dat alleen bedrijfsgegevens worden gecodeerd. Dit lost de algemene zorg op over het beschermen van klantinformatie in Windows 10 of het beschermen van vertrouwelijke informatie in Windows.
Beheerde apps:
Dit zijn de apps die op de apparaten in de bedrijfscontext draaien. Dit zijn geen persoonlijke apps die door de medewerker worden ingeschakeld en moeten worden toegestaan door de IT-beheerders. Deze apps worden ook wel bedrijfsapps of enterprise-apps genoemd.
Gebruiksscenario voor Windows-informatiebeveiliging
De meest voorkomende gebruikssituatie van Windows Information Protection is voor BYOD-apparaten. Een gebruiker heeft bijvoorbeeld toegang tot verschillende bedrijfsdocumenten en afbeeldingen.
Op dezelfde pc kan hij/zij het bedrijfsdocument uploaden naar zijn persoonlijke cloudopslag of delen via sociale media zonder Windows Information Protection (WIP).
Of de werknemers kunnen gevoelige bedrijfsinformatie delen via hun persoonlijke e-mail, waardoor dataaanvallers worden uitgenodigd. Op dezelfde manier kunnen gebruikers een persoonlijk bestand openen met behulp van een bedrijfsapplicatie.
WIP instellen voor Windows 10-apparaten met Scalefusion MDM
In deze sectie leren we stap voor stap hoe u WIP kunt configureren op Scalefusion Windows 10 MDM. maar laten we beginnen met de Windows Information Protection-vereisten.
Vereisten voor Windows Information Protection (WIP).
- Windows 10, versie 1607 en hoger
- Windows 10 Mobile, versie 1607 en hoger
- Scalefusion MDM-oplossing voor WIP-installatie
Stapsgewijze handleiding voor het instellen van WIP
Stap 1: Ga aan de slag met Scalefusion
Om WIP in te schakelen op Windows 10-apparaten: aanmelden en inloggen op het Scalefusion MDM-platform. U kunt uw bedrijfs-ID gebruiken om u aan te melden of u aan te melden met Azure AD-referenties om de instellingen die bij Azure AD horen verder te benutten.
Door u aan te melden met Azure AD, kunt u tegelijkertijd gebruikers naadloos toevoegen aan het MDM-dashboard en hen een uitnodiging sturen inschrijven hun BYO-apparaten in beheer.
Zodra u de apparaten bij het MDM-platform heeft ingeschreven, kunt u beginnen met het configureren van het gebruiksbeleid van de Windows 10-apparaten voor uw werk.
Stap 2: Apparaatprofiel/beleid definiëren
Navigeer naar het gedeelte Apparaatbeheer van het dashboard. Maak een profiel aan of bewerk het bestaande apparaatprofiel dat op de BYO-pc's moet worden toegepast. Schakelt apps en websites op de witte lijst toegankelijk zijn op het apparaat.
Stap 3: Maak een Windows Information Protection (WIP)-beleid
In het instellingengedeelte kunt u Windows Information Protection activeren. Als u de instellingen overslaat, kunt u deze niet afdwingen op de BYOD-apparaten. Laten we eens kijken naar de gedetailleerde instellingen die beschikbaar zijn voor het inschakelen van de WIP-modus.
- Basisinstellingen
Het configureren van deze instellingen is verplicht.
1.1 U kunt het beveiligingsniveau van de Windows Information Protection-modus selecteren.
- Als u dit uitschakelt, is het kopiëren van gegevens tussen beheerde en onbeheerde apps toegestaan.
- In de instelling Acties toestaan en loggen worden de kopieeracties vastgelegd. Deze gegevens kunnen worden verkregen uit de WIP-auditlogboeken
- In de instelling Overschrijvingen en logboekactie toestaan krijgen gebruikers eenvoudigweg een waarschuwing te zien tijdens het kopiëren van de gegevens en kan de gebruiker de instellingen overschrijven.
- Voor volledige bescherming van bedrijfsgegevens wordt aanbevolen om de blokkeerinstelling te selecteren, waardoor elke kopie van gegevens tussen beschermde en onbeveiligde apps wordt voorkomen.
1.2 Definieer de bedrijfsidentiteit die het primaire domein is. De gegevens die vanuit dit domein worden verzonden, worden altijd gecodeerd met behulp van het door Windows geleverde Encrypting File System (EFS).
1.3 U kunt ervoor kiezen om het WIP-koffertjepictogram dat verschijnt in beveiligde apps en gegevensbestanden te verbergen of weer te geven. Als de medewerkers willen weten hoe ze kunnen controleren of Windows Information Protection is ingeschakeld voor een bepaald bestand/app, kunnen ze het kofferpictogram in de rechterbovenhoek bekijken.
1.4 Als u deze instelling inschakelt, worden de bedrijfsgegevensbestanden leesbaar als het IP-adres van de apparaten is uitgeschakeld of als de apparaten niet langer zijn ingeschreven bij Scalefusion MDM.
- Doelinstellingen voor toepassing:
Dit zijn ook verplichte instellingen.
2.1 Selecteer hier de UWP- of Win32-apps die toegang hebben tot de bedrijfsgegevens. Kies de gegevens waarvan apps worden beschermd en welke apps worden vrijgesteld. U moet minimaal één applicatie selecteren. Als u bijvoorbeeld WIP voor de Chrome-browser wilt inschakelen, kunt u de Chrome-browser selecteren in de lijst met apps.
2.2 Als u voor een app de beveiligingsoptie selecteert, heeft de app toegang tot de bedrijfsgegevens terwijl het beleid voor automatische codering/tagging wordt nageleefd. De gegevens in beweging van deze apps, bestanden gedownload van deze apps, worden gecodeerd op de schijf.
2.3 De vrijgestelde optie is geschikt voor apps die niet compatibel zijn met WIP maar toch toegang moeten hebben tot de bedrijfsgegevens. Als u deze optie selecteert, heeft de app toegang tot de bedrijfsgegevens, maar worden de gegevens niet gecodeerd en kunnen er lekken ontstaan.
We raden aan om alle apps te beschermen voor de beveiliging van bedrijfsgegevens. Als een van de apps de bedrijfsgegevensbestanden niet kan verwerken, raden we u aan de vrijgestelde instellingen te selecteren in plaats van wissen.
- Geavanceerde instellingen: Algemeen
3.1 De lijst met Enterprise Proxy Servers is gezaghebbend (niet automatisch detecteren): Als u deze instelling inschakelt, kunnen gebruikers de automatische detectie van proxyservers door Windows overschrijven.
3.2 De lijst met Enterprise IP-bereiken is gezaghebbend (niet automatisch detecteren: nadat deze instelling is ingeschakeld, kunnen gebruikers de automatische detectie van IP-bereiken in Windows overschrijven.
3.3 Gecodeerde bestandsextensies: Definieer de bestandsextensies die altijd gecodeerd moeten worden. Als er geen bestandsextensies zijn gedefinieerd, wordt automatische codering ingeschakeld. U kunt meerdere typen bestandsextensies toevoegen met behulp van een komma.
Als u bijvoorbeeld geen enkel videobestandstype op het apparaat hoeft te coderen, wordt dit altijd vrijgesteld van codering.
3.4 Beschermde domeinnamen: Selecteer en voeg de lijst met andere domeinen dan uw hoofddomein toe waarvoor de codering wordt geautomatiseerd. Dit kunnen uw e-maildomeinen enz. zijn. U kunt meerdere domeinen toevoegen, gescheiden door het pijpsymbool.
- Geavanceerde instellingen: Netwerkperimeter
Kies waar de beschermde apps toegang hebben tot bedrijfsgegevens. Selecteer de bedrijfsnetwerklocatie en voeg netwerkbronnen toe voor codering. Voor medewerkers die op afstand werken wordt aanbevolen om alle netwerkbronnen op te geven. Windows Information Protection blokkeert internetverbindingen die niet identificeerbaar zijn, zodat ze via deze instellingen toegang krijgen tot bedrijfsgegevens.
4.1 Enterprise Cloud-bronnen: Selecteer de cloudbronnen die als beschermd moeten worden behandeld.
4.2 Enterprise Protected Domains: Selecteer de DNS-namen die uw bedrijfsnetwerk vormen. Dit zal helpen bij het definiëren van de netwerkperimeter samen met de IP-bereiken.
4.3 Enterprise IP-bereiken: Voeg de IP-bereiken voor het bedrijfsnetwerk toe. U kunt meerdere waarden toevoegen.
4.4 Interne proxyservers: Geef de proxy op waarmee het verkeer naar de bedrijfscloud moet worden gerouteerd.
4.5 Externe proxyservers: Voeg de lijst toe met uw externe proxyservers waarlangs het verkeer moet worden toegestaan en beschermd.
4.6 Neutrale bronnen: Voeg de geverifieerde omleidingseindpunten voor uw onderneming toe.
Stap 4: Profiel bijwerken
Sla de profielinstellingen op en pas ze toe op het apparaat. Alle apparaten met dit beleid worden nu ingeschakeld met deze instellingen voor WIP. U kunt het profiel toepassen op een apparaat of een apparaatgroep.
Als u wilt weten hoe u de Windows Information Protection-status kunt controleren, kunt u eenvoudig naar het profiel op het Scalefusion Dashboard gaan en zien voor welke profielen dit is ingeschakeld.
Beperkingen van Windows Information Protection (WIP)
Het afwegen van de voor- en nadelen van Windows Information Protection (WIP) is belangrijk voordat u de instellingen op bedrijfsniveau configureert. Hoewel WIP een van de belangrijkste functies voor gegevensbeveiliging is die door Windows 10 wordt aangeboden, zijn er enkele beperkingen van WIP, zoals:
- Eenmaal gedefinieerd, kan de primaire bedrijfsidentiteit niet meer worden gewijzigd.
- De bedrijfsgegevens op de USB-stations moeten mogelijk worden gekoppeld aan de beveiligde apparaten op basis van de Azure Information Protection Client voor Windows (Azure RMS)-configuratie voor versleuteling.
- Directe toegang is niet compatibel met WIP
- De NetworkIsolation Group Policy-instelling kan de MDM WIP-beleidsinstellingen overschrijven.
- Als Cortana (virtuele assistentie voor Windows 10) wordt toegevoegd als beveiligde app, kan dit nog steeds gegevenslekken veroorzaken.
- WIP werkt het beste voor één gebruiker per apparaat. Bij instellingen voor meerdere gebruikers kan de tweede gebruiker app-compatibiliteitsproblemen ondervinden.
- App-installatiebestanden die zijn gedownload van het bedrijfsnetwerk werken mogelijk niet zoals verwacht.
- Mappen met caching aan de clientzijde zijn niet beveiligd met WIP
- Remote Desktop Protocol (RDP) kan worden gebruikt om verbinding te maken met een WIP-beheerd apparaat.
- Het uploaden van een bedrijfsbestand naar een persoonlijke locatie met behulp van Microsoft Edge of Internet Explorer is niet mogelijk.
- Resilient File System (ReFS) wordt niet ondersteund door WIP.
- Webpagina's die ActiveX-besturingselementen gebruiken, worden niet beschermd door WIP.
- Mappen waarbij de optie MakeFolderAvailableOfflineDisabled is ingesteld op False, worden niet beschermd door WIP
- Bestanden in de Windows-map kunnen niet worden gecodeerd
- Offlinegegevensbestanden van Microsoft Office Outlook worden niet beschermd door WIP
- Zonder MDM-inschrijving kunnen alleen verlichte apps worden beheerd onder WIP. Daarom wordt aanbevolen om WIP te gebruiken in combinatie met Scalefusion MDM.
Scalefusion MDM maakt de encryptie en bescherming van bedrijfsgegevens mogelijk door gebruik te maken van de combinatie van toegangscontrole-instellingen, WIP en Bitlocker.
Windows Information Protection versus Azure Information Protection (WIP versus AIP)
We hebben de lijst met functies en beveiligingsinstellingen voor de Windows MDM-beleid, met name de Work In Progress (WIP)-container. De Azure Information Protection (AIP), voorheen bekend als Azure RMS, is ook een functie die door Windows 10 is geïntroduceerd om het lekken van bedrijfsgegevens te voorkomen.
Maar er is een verschil tussen Windows Information Protection en Azure Information Protection.
Azure Information Protection AIP is een cloudgebaseerde set instellingen waarmee IT-beheerders documenten en berichten kunnen labelen, classificeren en beveiligen voor lokale apparaten die deel uitmaken van Office 365 AD.
Hoewel de documenten en berichten kunnen worden beschermd met behulp van de Office-web- en desktopapplicaties op Office 365, helpt het AD RMS bij het beveiligen van de documenten en berichten door gebruik te maken van de mogelijkheden van lokale hardware.
Het grootste verschil tussen WIP en AIP is dat het het data-encryptieprobleem van gemengde apparaten of BYOD niet kan oplossen. Bij AIP worden de volledige dataset en apps versleuteld, terwijl bij WIP alleen de geselecteerde apps (enterprise-apps) en de gegevens die daardoorheen bewegen, worden versleuteld.
In WIP worden de werkgegevens automatisch gecodeerd nadat de profielinstellingen zijn gedefinieerd. Bovendien tagt WIP de gegevens op basis van de bron en alle gegevens die vanuit de bedrijfsgegevensbronnen binnenkomen, worden gecodeerd. Hierdoor hebben de werknemers, die de apparaateigenaren zijn, volledige controle over hun persoonlijke gegevens, zoals bestanden en apps.
Een ander groot verschil tussen AIP en WIP is dat WIP een MDM-oplossing voor het definiëren van beleid en werkt alleen op Windows 10 Anniversary Edition of hoger.
Samengevat
Deze uitgebreide Windows Information Protection-handleiding kan IT-teams van ondernemingen helpen de WIP-instellingen optimaal te benutten om bedrijfsgegevens eenvoudig te beschermen Scalefusion MDM.
Scalefusion MDM voor Windows 10 heeft een breed scala aan beveiligingsfuncties en instellingen voor toegangscontrole die het werken op BYO-pc's voor de werknemers een fluitje van een cent maken, wat bijdraagt aan hun productiviteit en tegelijkertijd het beheer voor de IT-teams vereenvoudigt.
Veelgestelde vragen
1. Wat zijn de voordelen van Microsoft Windows-informatiebescherming?
Microsoft Windows Information Protection (WIP) biedt robuuste gegevensbeveiliging door gevoelige informatie te coderen en classificeren. Het stelt organisaties in staat de toegang tot gegevens te controleren, gegevenslekken te voorkomen en ervoor te zorgen dat de regelgeving wordt nageleefd. WIP beschermt vertrouwelijke gegevens, verbetert de productiviteit en beperkt de risico's van ongeautoriseerde toegang of datalekken.
2. Hoe schakel ik Windows-informatiebeveiliging in?
Om Windows Information Protection te activeren, navigeert u naar Instellingen > Update en beveiliging > Windows-beveiliging > Virus- en bedreigingsbeveiliging. Klik op ‘Instellingen beheren’ onder ‘Instellingen voor virus- en bedreigingsbeveiliging’ en schakel ‘Verdacht gedrag blokkeren’ in.
3. Wat zijn de voordelen van Windows Information Protection (WIP)?
Windows Information Protection (WIP) biedt verschillende voordelen, waaronder gegevensbescherming door gevoelige informatie te versleutelen, scheiding van persoonlijke en zakelijke gegevens, controle over app-toegang tot bedrijfsgegevens en flexibele beleidshandhaving om datalekken te voorkomen, waardoor de algehele beveiligings- en nalevingsmaatregelen binnen organisaties worden verbeterd. .
4. Hoe werkt WIP?
Windows Information Protection (WIP) helpt gevoelige gegevens te beschermen door persoonlijke en bedrijfsinformatie te scheiden. Het classificeert en codeert gegevens op basis van beleid, zodat alleen geautoriseerde gebruikers en apps toegang hebben tot bedrijfsgegevens. Het biedt naadloze bescherming op verschillende apparaten en kan worden geïntegreerd met MDM-oplossingen voor beheer.
5. Hoe gebruik ik Windows-informatiebeveiliging?
Als u Windows Information Protection wilt gebruiken, moet u er eerst voor zorgen dat dit is ingeschakeld in uw Windows-instellingen. Definieer vervolgens het gegevensbeschermingsbeleid van uw organisatie. Eenmaal geconfigureerd, past WIP dit beleid automatisch toe om gevoelige gegevens op Windows-apparaten te beschermen, waardoor gegevenslekken en ongeautoriseerde toegang worden voorkomen.
