Richtlinie für den Scan sensibler Inhalte

Für Ping64 gilt: Der Scan sensibler Inhalte erkennt anhand konfigurierter Datenklassifizierungen relevante Inhalte in Dateien auf Endpunkten. Die Ergebnisseite zeigt bereits erzeugte und übertragene Aufzeichnungen; sie startet keinen Scan. Der Endpunktscan und ausgeschlossene Pfade werden hier am Beispiel von Windows beschrieben. Andere Plattformen und Dateitypen müssen separat geprüft werden.

Ein Treffer ist ein Untersuchungshinweis und bedeutet nicht automatisch einen Datenabfluss. Ein fehlender Treffer beweist weder, dass alle Dateien gescannt wurden, noch dass keine sensiblen Informationen enthalten sind. Berücksichtigen Sie Richtlinie, Endpunktstatus, Scanbereich und geschäftlichen Kontext.

Die Schritte verwenden die englischen Bezeichnungen der Verwaltungskonsole.

Scan konfigurieren

Datenklassifikation vorbereiten: Wenn eine inhaltsbasierte Erkennung benötigt wird und keine passende Klassifikation existiert, öffnen Sie mit einem zur Objektverwaltung berechtigten Konto Objects & Templates > Data Classification und wählen New. Geben Sie unter General Settings Typ und Name ein und wählen Sie die Sensibilität. Öffnen Sie Data Conditions, wählen Sie Add Rule, geben Sie einen Regelnamen ein, wählen Sie Keyword und geben Sie freigegebenen Testtext ein. Setzen Sie die Bedingung auf Required und die Anzahl auf 1 und speichern Sie die Regel. Prüfen Sie Optional Condition Threshold auf 0, speichern Sie die gesamte Klassifikation und prüfen Sie sie in der Liste. Bereiten Sie zwei nicht vertrauliche Dateien mit und ohne den Text vor. Testen Sie sie getrennt, nachdem die nachstehende Richtlinie gespeichert und auf dem Endpunkt angewendet wurde. Dies ist ein Pilotbeispiel, keine Standardregel für alle Einsätze. Wählen Sie die Klassifikation anschließend in der Richtlinie dieser Funktion aus; ihr Speichern allein aktiviert weder Scan, Druckkontrolle noch Verschlüsselung.

1. Verwenden Sie ein Konto mit Verwaltungs- und Leseberechtigung für DLP-Richtlinien. Prüfen Sie Anbindung und Lizenzierung der Zielendpunkte. Bereiten Sie Datenklassifizierungen und Testdateien ohne sensible Inhalte vor, die jeweils zu den Bedingungen passen beziehungsweise nicht passen.
2. Öffnen Sie unter DLP die Richtlinien und erstellen oder bearbeiten Sie eine Richtlinie. Prüfen Sie Namen, Gültigkeitszeit und Endpunktbereich. Prüfen Sie vor Änderungen einer bestehenden Richtlinie deren andere Einstellungen und Auswirkungen.
3. Aktivieren Sie Sensitive Content Scanning, wählen Sie Configure und wählen Sie unter Data Classification mindestens eine zu scannende Klassifizierung aus.
4. Legen Sie bei Bedarf ausgeschlossene Pfade fest, speichern Sie die Scaneinstellungen und anschließend die gesamte Richtlinie. Prüfen Sie Zielbereich und Status in der Liste.
5. Warten Sie auf Empfang und Anwendung am Endpunkt und testen Sie passende und nicht passende Dateien. Speicherung, Empfang, Scan und Übertragung des Ergebnisses sind getrennte Schritte. Eine erfolgreiche Speicherung bedeutet nicht, dass alle Dateien bereits gescannt wurden.

Klären Sie Untersuchungszweck, Zugriffsberechtigung und Datenschutzvorgaben Ihrer Organisation, bevor Sie Dateipfade oder Trefferinhalte ansehen oder verarbeiten.

Pfade ausschließen

Fügen Sie unter Exclude Paths einen Eintrag hinzu und wählen Sie Typ und Wert.

Typ	Eingabe und Prüfung
Umgebungsvariable	Geben Sie die Variable mit Prozentzeichen an beiden Enden ein, etwa %SystemRoot%. Die Oberfläche prüft das Format; Existenz und zugehöriger Ort hängen vom Zielendpunkt ab. Das Beispiel empfiehlt nicht den Ausschluss dieses Ortes.
Pfad	Geben Sie den auszuschließenden Pfad oder Abgleichswert ein. Das Feld darf nicht leer sein. Prüfen Sie den tatsächlichen Bereich am Endpunkt und nehmen Sie nicht allein aufgrund des Verzeichnisnamens an, dass alle Unterverzeichnisse ausgeschlossen sind.

Prüfen Sie, ob der Eintrag in der Liste steht, und speichern Sie die Scaneinstellungen und die gesamte Richtlinie. Doppelte Einträge desselben Typs und Werts werden verhindert. Windows-Endpunkte ergänzen für direkt eingegebene Pfade nicht automatisch eine Regel zum Abgleich von Unterpfaden. Testen Sie Dateien innerhalb und außerhalb des vorgesehenen Ausschlussbereichs. Die Annahme einer Eingabe beweist weder die Existenz des Pfads noch die Wirksamkeit des Ausschlusses.

Nach einer Änderung der Richtlinie oder Datenklassifizierung können bereits erfasste Dateien erneut geprüft werden; neue Treffer erfordern die Verarbeitung und Meldung durch den Endpunkt. Ein neuer Ausschlusspfad bedeutet nicht, dass bereits gemeldete historische Einträge gelöscht werden; gehen Sie auch nicht davon aus, dass die Änderung bereits laufende Prüfungen sofort erfasst. Verwalten Sie Altbestände nach Organisationsvorgaben und testen Sie auf Pilotendpunkten vor und nach der Änderung innerhalb und außerhalb des Ausschlusses.

• Scanergebnisse für sensible Inhalte