original.pdf
0 recomendaciones29 vistas
Este documento describe las capacidades de gobernanza de datos, seguridad y privacidad de Microsoft Graph Data Connect. Ofrece acceso a grandes cantidades de datos de Microsoft 365 para su uso en análisis y modelos de IA/ML mientras mantiene la privacidad y seguridad de los datos. Incluye detalles sobre el consentimiento de los datos, linaje de datos, seguridad, privacidad y cumplimiento. Microsoft Graph Data Connect ahora está disponible en 14 regiones.
original.pdf
- 1. Gobernanza de datos, seguridad y privacidad con datos de Microsoft 365
- 2. Gobernanza de datos, seguridad y privacidad con datos de Microsoft 365 2 Tabla de contenido Microsoft Graph Data Connect – Introducción 3 Conclusión 19 Cumplimiento y gobernanza en Microsoft Graph Data Connect 5 Apéndice 1 – Consideraciones sobre la protección de datos 20 Experiencia de consentimiento en Microsoft Graph Data Connect 6 Roles y responsabilidades 20 Mejor experiencia de consentimiento(Disponibilidad prevista para la segunda mitad de 2023) 7 Determinar si es necesaria una Evaluación de impacto relativa a la protección de datos (DPIA) 23 Linaje de datos en Microsoft Graph Data Connect 8 Soporte para el manejo de solicitudes de interesados 24 Microsoft Graph Data Connect disponible en 14 regiones 9 Capacidades para la seguridad de datos en Microsoft Graph Data Connect 10 Seguridad de red 10 Cifrado 11 Aislamiento geográfico para el acceso a datos de forma predeterminada 11 Privacidad y acceso de los datos 12 Principios de privacidad de los datos 13 Recomendaciones para la privacidad de los datos 13 Capacidades de privacidad de datos en Microsoft Graph Data Connect 15 Eliminación por privacidad con listas para permitir y denegar 15 Alcance y filtrado 16 Ofuscación de datos 17
- 3. Microsoft Graph Data Connect – Introducción Gobernanza de datos, seguridad y privacidad con datos de Microsoft 365 3 Microsoft Graph Data Connect brinda una forma inteligente de acceder a datos enriquecidos de Microsoft 365 (datos de Microsoft 365) a escala. Los datos disponibles incluyen cómo los trabajadores se comunican y colaboran a lo largo de todas las aplicaciones y servicios de Microsoft 365. Microsoft Graph Data Connect, que es ideal para macrodatos y machine learning, le permite aprovechar los datos de Microsoft 365 para análisis, inteligencia y modelos de IA/ML extendiendo los datos de Microsoft 365 a Microsoft Azure y Microsoft Fabric. Al integrarse de esta manera, puede aprovechar el amplio conjunto de servicios de cómputo, almacenamiento, análisis y BI de Azure y Fabric, a la vez que cumple con los estándares de la industria y ayuda a mantener sus datos protegidos. Microsoft Fabric Unificado, abierto, gobernado Data Factory Integración de datos Synapse Transformación de datos Power BI Visualización de datos Aplicaciones de Microsoft 365 Outlook Teams SharePoint Viva Windows Edge Bing Microsoft Entra Seguridad de los datos Privacidad de datos Cifrado Seguridad de red Experiencia de consentimiento Registros de auditoría Ofuscación de datos Filtros de datos Control del alcance Agregación de datos Microsoft Graph Data Connect
- 4. Gobernanza de datos, seguridad y privacidad con datos de Microsoft 365 4 Acceso a los datos a escala Microsoft Graph Data Connect proporciona acceso a grandes cantidades de datos que suelen ser de muchos usuarios de su organización a la vez, donde accede a datos de forma masiva y copia datos de Microsoft 365 en su entorno de Azure. Microsoft Graph Data Connect también le permite elegir entre tener acceso a los datos de todas las personas de su organización o solo de grupos específicos de personas. Microsoft Graph Data Connect usa Azure Synapse o Azure Data Factory para copiar los datos de Microsoft 365 en su almacenamiento preferido a intervalos que puede configurar. También brinda un conjunto de herramientas para optimizar la entrega de estos datos a Microsoft Azure. • Azure Synapse es un servicio de análisis ilimitado que combina el almacenamiento de datos de carácter empresarial y el análisis de macrodatos. Le da la libertad de consultar datos en sus propios términos, usando recursos dedicados o sin servidor, a escala. • Azure Data Factory es un servicio en la nube administrado diseñado para proyectos híbridos complejos de extracción-transformación-carga (ETL), extracción-carga-transformación (ELT) e integración de datos. Suministra la capacidad de crear una canalización que llama a Microsoft Graph Data Connect para acceder a los datos de Microsoft 365. Microsoft Graph Data Connect admite una variedad de conjuntos de datos, regiones de datos y ubicaciones de almacenamiento de Microsoft 365 en Microsoft Azure. • Los conjuntos de datos incluyen Microsoft Entra, Outlook y Exchange Online, Microsoft Teams, Microsoft Groups, OneDrive y SharePoint Online, entre otros. Los detalles sobre estos conjuntos de datos, incluidos los esquemas y los datos de muestra, están publicados para su revisión en las ubicaciones vinculadas. • La lista actual de regiones admitidas está disponible como referencia. • Las ubicaciones de almacenamiento (o receptores) son la ubicación de salida que utiliza Azure (Synapse o Data Factory); los datos de M365 se entregan en formato JSON o Parquet. Para obtener más información, consulte la lista más actualizada de receptores compatibles que puede encontrar aquí. A continuación, puede ver algunos tipos de datos de Microsoft 365 que las organizaciones obtienen a través de Microsoft Graph Data Connect. Hay conjuntos de datos disponibles de una amplia variedad de orígenes de Microsoft 365, incluidos Microsoft Entra, Outlook, Teams, SharePoint, Ideas Viva y Microsoft Groups, y la lista sigue creciendo. Para obtener más información: Conjuntos de datos, regiones y receptores compatibles con Microsoft Graph Data Connect: Microsoft Graph | Microsoft Learn Disponible 2023 Más adelante Chats de reuniones Chats 1:1 y 1:n Mensajes del canal estándar Detalles del canal Grabaciones de llamadas Transcripciones Uso compartido/Permisos Grupos Sitio Uso de archivos Estado del archivo Actividad de reunión Actividad de correoelectrónico Actividad de la aplicación Office Actividad deTeams Conjuntos de datos disponibles en Microsoft Graph Data Connect Perfil de usuario Información del gerente Subordinados Miembros del grupo Detalles del grupo Propietarios del grupo Mensajes, enviados Contacto Vista de calendario Configuración del buzón Carpeta de correo Eventos Mensaje de grupo Bandeja de entrada Mensajes Tareas pendientes Listas/Tareas Salas de conferencias Informe de persona VI Mensajes de VE Análisis de la red organizativa Intercambio excesivo de información Eficacia del trabajo híbrido Minería del conocimiento Controles de seguridad Microsoft Entra Outlook Teams SharePoint Microsoft 365 Soluciones predefinidas Ideas Viva Microsoft 365 Microsoft Entra Outlook Teams SharePoint Expansión de los conjuntos de datos existentes Ideas Viva Windows Aprendi zaje Viva Bing Edge Temas Viva Nuevos conjuntos de datos
- 5. Cumplimiento y gobernanza en Microsoft Graph Data Connect Gobernanza de datos, seguridad y privacidad con datos de Microsoft 365 5 Microsoft facilita una comunicación enriquecida y conectada entre Microsoft Graph Data Connect y Azure que respeta los datos del cliente. Microsoft Graph Data Connect admite todas las funcionalidades de servicio nativas de Azure, como cifrado, geovallas, auditoría y aplicación de directivas. Para minimizar la sobrecarga de administración de la seguridad de los datos y el cumplimiento con Microsoft Graph Data Connect, los clientes pueden especificar un conjunto de directivas detalladas en sus recursos de Azure a través de Azure Policy. Con las directivas de Azure, los clientes pueden supervisar de manera continua sus recursos y servicios para velar por el cumplimiento de las directivas y configurar controles que limiten o detengan los flujos de datos si se observan infracciones de las directivas.
- 6. Gobernanza de datos, seguridad y privacidad con datos de Microsoft 365 6 Experiencia de consentimiento en Microsoft Graph Data Microsoft Graph Data Connect ofrece de forma nativa un modelo de control y consentimiento detallado: 1. Los administradores globales de Microsoft 365 tienen que optar explícitamente por habilitar el acceso a los datos de Microsoft 365 a través de Microsoft Graph Data Connect. 2. Los desarrolladores pueden solicitar acceso a entidades específicas. a. Los desarrolladores eligen solo las propiedades de la entidad que necesitan para su caso práctico. b. La solicitud especifica el alcance del acceso a los datos, la aplicación de la directiva de datos y el motivo para realizar la solicitud. 3. El administrador global de Microsoft 365 administra y audita este acceso a los datos. 4. Microsoft Graph Data Connect también permite filtrar los datos en esas entidades según alcance de la población, duración de tiempo y listas de exclusión dentro del conjunto de datos solicitado. Como resultado, solo se copian los datos necesarios y se excluye cualquier contenido no relacionado. El consentimiento de los datos se logra a través de la integración con Microsoft Privileged Access Management (PAM). PAM es una solución que ayuda a las organizaciones a restringir el acceso privilegiado para protegerlas contra las ciberamenazas mediante la supervisión, detección y prevención del acceso no autorizado a los recursos críticos. PAM funciona a través de una combinación de personas, procesos y tecnologías, y le ofrece visibilidad sobre quién está usando cuentas privilegiadas y qué están haciendo mientras están conectados. Para Microsoft Graph Data Connect, esto requiere la aprobación de las solicitudes de datos, y la persona que aprueba la solicitud y la que la solicita no pueden ser la misma. Cada solicitud siempre incluye los siguientes detalles sobre el conjunto de datos y los usuarios de los que se extraen los datos: • Solicitante: Es el usuario que solicitó la canalización. • Duración: Si se aprueba la solicitud, cuánto tiempo persiste la aprobación, que siempre es de 4320 horas (6 meses). • Motivo: Indica el motivo de la solicitud, que normalmente es: “Una aplicación instalada en su organización requiere la aprobación para acceder a los datos de Office 365”. • Solicitado en: Es la fecha y hora de la solicitud. • ID de la solicitud: Corresponde al ID de la solicitud, utilizado para fines de aprobación. • DataTable: Es el conjunto de datos que se va a extraer (por ejemplo, Elementos enviados). • Columnas: Es la lista de columnas que se extraen de la tabla de datos (por ejemplo, SentDateTime). • AllowedGroups: Es el grupo o los grupos de usuarios de los que la canalización extrae los datos. Si la lista de grupos está vacía, la canalización solicita acceso a los datos de todos los usuarios del inquilino. • User Scope Query: Es el predicado utilizado para filtrar usuarios. Esto solo se aplica si la solicitud es para todos los usuarios del inquilino. Si está vacío, no se aplica ningún filtro. • OutputUri: Es la ruta de salida en la que se almacenan los datos extraídos. • SourceTenantId: Es el ID de inquilino del que se extraen los datos. • InstallerIdentity: Es la identidad del instalador de la aplicación.
- 7. Gobernanza de datos, seguridad y privacidad con datos de Microsoft 365 7 Mejor experiencia de consentimiento La experiencia actual de consentimiento de PAM se basa en que el administrador de Microsoft habilita Microsoft Graph Data Connect y crea un grupo de aprobadores para solicitudes de canalización y extracción de datos. Este proceso involucra varios roles con roles globales de inquilino o administrador de aplicaciones que están involucrados en el uso del inquilino de Microsoft Graph Data Connect, lo que permite la rendición de cuentas en el uso de Microsoft Graph Data Connect. Las mejoras en nuestra experiencia de consentimiento permiten la administración del consentimiento a nivel de la aplicación. Microsoft Graph Data Connect tiene como objetivo proporcionar a los aprobadores el contexto completo sobre cómo se accede a los datos y por qué. El nuevo proceso de consentimiento optimizado también permite a los desarrolladores de aplicaciones solicitar el consentimiento antes de desarrollar las canalizaciones de acceso a los datos, lo que evita retrasos/errores en el tiempo de ejecución. Las simplificaciones clave incluirán: • Eliminación de los requisitos de licencia E5 para el aprobador • Activación del consentimiento antes de que se ejecute la canalización para simplificar la experiencia del desarrollador en el tiempo de ejecución • El consentimiento al nivel de la aplicación proporciona un mecanismo de consentimiento unificado (en lugar del consentimiento actual por conjunto de datos), lo que permite al administrador tener una vista integral de la aplicación de acceso a los datos. Esto ayuda al administrador a tener una imagen completa de todos los datos que la aplicación pretende usar y prever cualquier riesgo relacionado con el acceso a los datos.
- 8. Gobernanza de datos, seguridad y privacidad con datos de Microsoft 365 8 Linaje de datos en Microsoft Graph Data Connect Microsoft Graph Data Connect ofrece capacidades de linaje de datos y seguimiento a las que pueden acceder los administradores de inquilinos y desarrolladores autorizados a través del portal de cumplimiento. El seguimiento de datos puede ayudar a comprender cómo se mueven los datos junto con el registro de quién tiene acceso a ellos y qué aplicaciones han autorizado el uso de estos datos. Los clientes pueden realizar un seguimiento de los movimientos del linaje de datos para el análisis de la calidad de datos y la solución de problemas con Microsoft Purview Microsoft Graph Data Connect ofrece capacidades de gobernanza, como funciones de registro de auditoría, integradas con Microsoft Purview (portal de cumplimiento), que ayuda a los clientes a regir sus datos con controles detallados. Los administradores de inquilinos pueden autorizar a los desarrolladores en sus inquilinos a tener acceso a los registros de auditoría del portal de cumplimiento. Los desarrolladores pueden realizar un seguimiento de estos registros en tiempo real en el portal y también exportar los datos que allí se encuentran. Estos registros ayudan a los desarrolladores a entender las ejecuciones de consentimiento (quién autorizó las aprobaciones y cuándo) junto con detalles sobre las ejecuciones de la canalización, como los conjuntos de datos solicitados, el estado de las ejecuciones y el solicitante. Puede encontrar más funcionalidades e información para los registros de auditoría aquí y aquí. Los administradores pueden usar los registros de auditoría anteriores para registrar la creación de inquilinos y saber quién desencadena el movimiento de datos. Los clientes aprovechan los registros de auditoría para realizar un seguimiento de cómo se administran sus datos dentro de Microsoft Graph Data Connect y disfrutan de una funcionalidad de exportación de datos más sencilla para su privacidad y las auditorías de gobernanza.
- 9. Gobernanza de datos, seguridad y privacidad con datos de Microsoft 365 9 Microsoft Graph Data Connect disponible en 14 regiones Microsoft Graph Data Connect ahora está habilitado en 14 regiones (nueve regiones nuevas desde enero de 2023). La siguiente tabla indica cuáles regiones de Microsoft 365 son compatibles y las regiones de Azure correspondientes necesarias para el traslado de datos (ver más abajo). Haga clic aquí para obtener más información sobre las regiones habilitadas. Región de Office Asia Pacífico Región de Azure • Este de Asia • Sureste de Asia Australia • Este de Australia • Sureste de Australia Europa • Norte de Europa • Oeste de Europa América del Norte • Centro de EE. UU. • Este de EE. UU. • Este de EE. UU. 2 • Centro-norte de EE. UU. • Centro-sur de EE. UU. • Centro-oeste de EE. UU. • Oeste de EE. UU. • Oeste de EE. UU. 2 Reino Unido • Sur del Reino Unido • Oeste del Reino Unido Canadá (CAN) • Centro de Canadá • Este de Canadá Japón (JPN) • Oeste de Japón • Este de Japón India (IND) • Sur de la India • Centro de la India Corea (KOR) • Centro de Corea • Sur de Corea Suiza (CHE) • Norte de Suiza Alemania (DEU) • Centro de Alemania Occidental Noruega (NOR) • Este de Noruega Francia (FRA) • Centro de Francia Emiratos Árabes Unidos (UAE) • Norte de Emiratos Árabes Unidos Las regiones alternativas se pueden utilizar cuando los clientes tienen un requisito de seguridad de forma explícita para bloquear el acceso a la IP pública. Para obtener más información, consulte nuestra documentación sobre seguridad.
- 10. Capacidades para la seguridad de datos en Microsoft Graph Data Connect Gobernanza de datos, seguridad y privacidad con datos de Microsoft 365 10 Seguridad de red Nuestras inversiones en seguridad de red les brindan a los clientes la capacidad de rastrear y controlar cómo se administran y acceden sus datos, y cómo se mueven desde Microsoft Graph Data Connect a sus cuentas de almacenamiento. Los requisitos que tienen nuestros clientes de Microsoft Graph Data Connect continuarán dando forma a las capacidades de seguridad de la red. Agradecemos los comentarios de los clientes e influyen directamente en la hoja de ruta del producto. Estaremos encantados de también escuchar sus requisitos adicionales. 1. IR de red virtual: Los clientes pueden aprovechar sus capacidades de IR de red virtual de Azure con Microsoft Graph Data Connect. Esto se habilita en la capacidad de Asignación de flujo de datos de Microsoft Graph Data Connect (consulte MDF en ADF). La capacidad mejora la seguridad a nivel de red durante la salida de datos en Microsoft Graph Data Connect. Se espera que la disponibilidad proyectada esté en la primera mitad de 2023, sin embargo, los plazos están sujetos a cambios. Esto incluye la conectividad de punto de conexión privado y la eliminación del uso de IR público de Azure. Los clientes ya no necesitan permitir las IP públicas cuando configuran las canalizaciones de datos, lo que garantiza una mayor seguridad cuando los datos están en tránsito y reduce la sobrecarga o los riesgos asociados con la posible exposición pública de los datos. 2. Azure Key Vault: Microsoft Graph Data Connect está reduciendo los esfuerzos asociados con Entidades de servicio (SPN) con identidades administradas (MSI). Los clientes ya no tienen que administrar la propiedad y renovación de las credenciales cuando utilizan Microsoft Graph Data Connect. En su lugar, pueden aprovechar la administración de credenciales de Azure Key Vault (AKV). Con AKV, los clientes pueden almacenar las credenciales necesarias para que Microsoft Graph Data Connect autentique el movimiento de datos. El uso de AKV le da tranquilidad al desarrollador en el momento de administrar sus secretos y credenciales, ya que están seguros de manera colectiva en un solo lugar. Los desarrolladores pueden utilizar estos almacenes de credenciales en AKV sin correr el riesgo de exponer accidentalmente el contenido de los secretos a sí mismos o a otros.
- 11. Gobernanza de datos, seguridad y privacidad con datos de Microsoft 365 11 Cifrado Microsoft Graph Data Connect ofrece conjuntos de datos cifrados personalizados listos para usar junto con las capacidades de cifrado de Azure. Además, con Azure Key Vault, los clientes pueden almacenar sus claves públicas y privadas en AKV y actualizarlas cuando sea necesario. 1. Cifrado en tránsito: A través de un cifrado personalizado para los conjuntos de datos, Microsoft Graph Data Connect ofrece conjuntos de datos a aplicaciones multiinquilino para sus cuentas de almacenamiento cifradas de forma predeterminada con una clave privada del servicio. Luego, los desarrolladores de aplicaciones multiinquilino pueden solicitar el descifrado de los conjuntos de datos para su análisis. Esta característica les otorga a los clientes la opción de elegir la entrega de datos cifrados mientras les da control total sobre sus datos y les permite ser propietarios de la clave de cifrado. Además, las comunicaciones en solicitudes de datos entre Microsoft 365 y los recursos de Azure mientras se utiliza Microsoft Graph Data Connect se autentican de forma segura y utilizan estándares de servicio de aquí además de ser auditadas a través de SOC2. 2. Cifrado de datos en reposo: Los clientes pueden usar la función de cifrado de datos en reposo de Azure y las claves administradas por el cliente cuando configuran sus cuenta de almacenamiento de Azure de destino para Microsoft Graph Data Connect. Azure cifra los datos de forma predeterminada y permite tomar medidas de seguridad adicionales. Ahora los clientes pueden aprovechar las capacidades de conjuntos de datos cifrados para proteger sus datos, especialmente con la participación de proveedores de software independientes (ISV) externos. Esto ayuda a los clientes a lograr el equilibrio perfecto entre el uso de Microsoft Graph Data Connect y la protección de sus datos entre sus inquilinos e ISV contratados. Aislamiento geográfico para el acceso a datos de forma predeterminada Muchos clientes multigeográficos tienen sus datos de inquilino distribuidos en diferentes regiones de Microsoft 365 para alinearse con las ubicaciones de sus usuarios. Por lo tanto, Microsoft Graph Data Connect obliga a los clientes a cumplir con diferentes estándares regionales de seguridad y privacidad de datos, junto con administrar diferentes regiones de Azure y Microsoft 365. Microsoft Graph Data Connect respeta estos límites geográficos al exigir a los ingenieros de datos que configuren canalizaciones de datos separadas por región con los entornos de Azure correspondientes configurados en cada región. Toda la administración de datos que ocurre dentro de Microsoft Graph Data Connect se alinea con estos límites geográficos para garantizar el aislamiento geográfico de los datos. Puede encontrar más información sobre cómo funciona la compatibilidad geográfica al considerar las regiones de Azure y Microsoft 365 aquí.
- 12. Privacidad y acceso de los datos Gobernanza de datos, seguridad y privacidad con datos de Microsoft 365 12 Un componente clave para garantizar una plataforma exitosa con los datos de Microsoft 365 es conocer y planificar para cumplir los requisitos de privacidad que tienen nuestros clientes y sus directivas internas. Microsoft Graph Data Connect proporciona controles para configurar los datos y cumplir con los requisitos de privacidad. A continuación, se muestran los principios clave que se deben tener en cuenta cuando se manejan datos de empleados y Microsoft 365.
- 13. Principios y recomendaciones para la privacidad de los datos Gobernanza de datos, seguridad y privacidad con datos de Microsoft 365 13 Aclare los objetivos y el enfoque del análisis Existen muchos usos y elementos específicos de los datos en Microsoft 365. Antes de comenzar, se recomienda determinar el resultado específico que desea obtener. Un enfoque de análisis puede centrarse en un desafío específico que desea abordar o en una hipótesis clara basada en datos. Un enfoque de análisis claro es útil para determinar el alcance del empleado/buzón, los elementos de datos específicos que se usarán, otros orígenes de datos necesarios, quién manejará los datos y quién verá los resultados. También permitirá tener claridad sobre la inclusión de otras partes interesadas y los procesos de seguridad de la privacidad que su empresa haya implementado. Determine el alcance de los equipos involucrados Usted determina el alcance de los datos de Microsoft 365 de los empleados que se necesitan para el análisis. Puede limitar ese alcance a cualquier grupo específico que sea relevante para sus análisis. Microsoft Graph Data Connect le permite crear grupos de Microsoft Entra donde usted decide a quién incluir. Microsoft Graph Data Connect también le permite excluir a personas o equipos específicos que no deben ser parte del análisis a través de listas para permitir y denegar. Para un ejemplo de análisis de relaciones con el cliente, podría decidir incluir solo los datos de los equipos que tartan con el cliente. Para un caso de capacidad de SharePoint, podría optar por no incluir ningún otro dato confidencial de Microsoft 365. Limite los datos de Microsoft 365 que necesita En función del plan de análisis, puede determinar qué elementos de datos específicos de Microsoft 365 son relevantes. Microsoft Graph Data Connect le permite usar filtros para definir los buzones específicos dentro del alcance, el horizonte temporal de los datos y los elementos de datos específicos de la selección, al mismo tiempo que descarta lo que no necesita para informar el escenario de análisis. Para la mayoría de los casos de análisis, son suficientes los metadatos, como la información del remitente y del receptor. Para otros casos prácticos, como el análisis de sentimientos, es posible que se necesite el cuerpo del correo electrónico o los mensajes de chat. En función de sus consideraciones de privacidad y del resultado deseado, usted decide qué elementos específicos del correo electrónico, el calendario, los chats de Teams, las reuniones de Teams o SharePoint desea ingerir. Considere otros datos proporcionados por su organización También controla los orígenes de datos adicionales que podrían ser necesarios para los análisis. Algunos ejemplos pueden incluir datos adicionales de Recursos Humanos, datos de CRM o datos de LOB. Estos datos provendrán de otros sistemas respectivos y se pueden ingerir en su entorno de análisis y combinarse con los datos de Microsoft 365. La mayoría de los enfoques usan los datos mínimamente necesarios para lograr el objetivo del análisis. Puede considerar qué tipo de datos son necesarios y si se debe incluir información personal, o si existen otros enfoques que podrían evitar el uso de datos personales.
- 14. Gobernanza de datos, seguridad y privacidad con datos de Microsoft 365 14 Determine quién usará los datos Usted controla quién trabajará con los datos y los resultados del análisis. Al igual que cualquier otro dato confidencial en su organización, como los datos financieros o de Recursos Humanos, puede aplicar las mismas consideraciones. Los roles que habitualmente participan en los análisis incluyen desarrolladores y analistas de datos. Puede limitar el acceso a los datos. También puede limitar la exposición de la información a los grupos correctos a través de controles de acceso en servicios como Azure o PowerBI. Al igual que con cualquier otro dato confidencial, el manejo, el almacenamiento y el uso de Microsoft 365 deben seguir pautas y requisitos similares a los que estableció en su organización. Considere el uso de características y métodos de privacidad relevantes De acuerdo con el objetivo que desee cumplir con el análisis, podría considerar mecanismos adicionales para la protección de la privacidad de datos. Microsoft Graph Data Connect pronto permitirá ofuscar campos de datos y elementos (ver más abajo). Otras técnicas que puede considerar son agregar los datos a un determinado número de grupos y registrarlo en ese nivel de agregación. Estos son métodos de privacidad adicionales que puede considerar además del alcance de usuario correcto, el período de tiempo de los datos y los campos de datos específicos que se necesitan. Consulte con expertos en la materia Su organización puede tener equipos y procesos específicos para ayudar a guiar el manejo de datos confidenciales, incluidos los de Microsoft 365. Los expertos en Recursos Humanos, privacidad, TI, seguridad y asuntos jurídicos pueden ayudar a validar el enfoque del análisis y las necesidades de datos. Puede considerar los requisitos de diferentes países, normativas como el RGPD o los requisitos de privacidad, seguridad de datos y gobernanza de datos de su empresa. La debida diligencia es especialmente importante en jurisdicciones altamente reguladas, como la Unión Europea. Es posible que en su empresa se requieran evaluaciones internas, como una evaluación de impacto relativa a la protección de datos (DPIA) o un proceso similar, antes de manejar datos confidenciales.
- 15. Gobernanza de datos, seguridad y privacidad con datos de Microsoft 365 15 Capacidades de privacidad de datos en Microsoft Graph Data Connect Eliminación por privacidad con listas para permitir y denegar Microsoft Graph Data Connect ofrece eliminación por privacidad que permite a los clientes excluir grupos y elementos de datos específicos. Los clientes pueden utilizar las listas para permitir o denegar con el fin de proteger datos confidenciales, como correos electrónicos ejecutivos, calendarios y comunicaciones, y garantizar la privacidad de un grupo específico en el inquilino. Los clientes pueden usar esta capacidad para extraer los datos que necesitan y evitar extraer datos que incluyan el contenido que desean proteger. 1. Los clientes pueden usar las listas para permitir con el objetivo de configurar el alcance de empleados determinados y buzones relacionados con esos empleados, y pueden comprobar que los conjuntos de datos estén habilitados y sean compatibles para la eliminación por privacidad. 2. Los clientes pueden aprovechar la lista para denegar con el fin de excluir a ciertas personas o departamentos que podrían tener información confidencial. Por ejemplo, los clientes pueden usar esta característica para filtrar las comunicaciones confidenciales de sus equipos ejecutivos, jurídicos o de Recursos Humanos al agregar esos departamentos a la lista para denegar. Microsoft Graph Data Connect no extraerá datos de las personas incluidas en la lista para denegar durante la extracción o las ejecuciones de canalizaciones. En la siguiente tabla, se describe cómo funcionan las listas para permitir y denegar. Las listas para denegar no están disponibles actualmente para los chats de Teams. Opciones para excluir Correo electrónico – Conjunto de datos de mensajes Correo electrónico – Conjunto de SentbData Teams – Mensajes de chat Lista para permitir (Grupo de Microsoft Entra): excluye buzones de ejecutivos • No se extraerán los mensajes (enviados y recibidos) de los buzones excluidos. • Se incluirá el conjunto de datos de mensajes de los buzones incluidos. Esto puede incluir: – Correos electrónicos recibidos de buzones excluidos – Correos electrónicos enviados a buzones excluidos • No se extraerán los mensajes enviados de los buzones excluidos. – El conjunto de datos “Enviados” solo contiene correos electrónicos enviados. Por lo tanto, los correos electrónicos de buzones excluidos no aparecerán en el conjunto de datos del destinatario. • Se incluirán los mensajes enviados a buzones excluidos. • No se extraerá el conjunto de datos de chat (enviados y recibidos) de los usuarios excluidos de Teams. • Se incluirá el conjunto de datos de chat de usuarios de Teams incluidos. Esto puede incluir: – Chats recibidos de usuarios excluidos de Teams – Chats enviados a usuarios excluidos de Teams Lista para denegar: incluye buzones de ejecutivos en la lista para denegar del aprobador de canalización de Microsoft Graph Data Connect • Se excluyen los correos electrónicos enviados de ejecutivos. • Se excluyen los correos electrónicos con ejecutivos como destinatarios, cc y bcc. • No se extraerán los mensajes enviados de los buzones excluidos. – El conjunto de datos “Enviados” solo contiene correos electrónicos enviados. Por lo tanto, los correos electrónicos de buzones excluidos no aparecerán en el conjunto de datos del destinatario. • Se incluirán los mensajes enviados a buzones excluidos. • No está disponible para el chat de Teams.
- 16. Gobernanza de datos, seguridad y privacidad con datos de Microsoft 365 16 Alcance y filtrado Microsoft Graph Data Connect tiene capacidades de alcance y filtrado que limitan la cantidad de datos necesarios en los que se debe centrar para obtener información y llevar a cabo análisis. Por ejemplo, esto permite a los clientes centrarse solo en los metadatos necesarios, como el remitente o el receptor, y dejar de lado los datos confidenciales, como los cuerpos de los correos electrónicos, si no son necesarios. Las capacidades de filtrado ayudan al cliente a reducir el riesgo general de exposición de datos, a proteger los datos de los usuarios que están excluidos y a reducir el costo monetario de los datos. Nota: Los conjuntos de datos de SharePoint (ODSP) aún no están disponibles para el filtrado. Existen filtros de datos para Microsoft Entra, Outlook (correos electrónicos y reuniones) y conjuntos de datos de Teams. 1. Filtro de buzones y empleados: Se limita a los empleados correctos dentro del alcance creando un grupo de Microsoft Entra para los buzones dentro del alcance. 2. Elementos de datos: El filtro se centra en los elementos específicos de los conjuntos de datos de Microsoft 365. Solo los elementos de datos seleccionados se exportarán a través de Microsoft Graph Data Connect. Los clientes pueden reducir el alcance de los elementos de metadatos, como el contenido para el correo electrónico, las reuniones y los equipos. 3. Período de tiempo: Los clientes pueden seleccionar un intervalo de tiempo cuando solicitan los datos. Los clientes pueden aprovechar esto para obtener información que depende de datos históricos y exportaciones de datos, al referirse al rango de tiempo específico de la extracción. Los filtros de período de tiempo no están disponibles para los conjuntos de datos de SharePoint, ya que los conjuntos de datos de SPO conservan 21 días de historial, después de los cuales los datos se eliminan debido a las regulaciones de datos. Filtrado y selección de alcance para los datos de Microsoft 365 en Microsoft Graph Data Connect
- 17. Gobernanza de datos, seguridad y privacidad con datos de Microsoft 365 17 Además de las capacidades de filtrado en Microsoft Graph Data Connect, los clientes pueden utilizar el filtrado adicional una vez que los datos de Microsoft 365 han salido a Azure Synapse: 1. Filtrado de dominios: Filtre los datos de colaboración por dominio para excluir la comunicación externa. La función de la expresión “endsWith” de Synapse permite a los clientes implementar este enfoque según sea necesario. Tenga en cuenta que hacerlo impide la capacidad de cumplir en ciertos casos de uso (por ejemplo, análisis de relaciones con el cliente, optimización de la cadena de suministro, etc.). Esta funcionalidad está disponible en los datos de Microsoft Graph Data Connect mediante Synapse después de la extracción. 2. Filtrado basado en términos: El uso de funciones de expresión de Synapse como “contains” proporciona a los clientes un filtrado basado en términos y la eliminación de datos. Todos los mensajes y eventos se filtran en función de los términos presentes en el cuerpo del contenido, como “privado”, “Información privilegiada entre abogado-cliente”, etc. Esta funcionalidad está disponible en los datos de Microsoft Graph Data Connect mediante Synapse después de la extracción. Ofuscación de datos La ofuscación es una medida para ayudar a proteger cualquier dato identificable del usuario, incluida la información de identificación personal (PII) en todos los conjuntos de datos. La disponibilidad está prevista para la primera mitad de 2023, sin embargo, los plazos están sujetos a cambios. La ofuscación de datos en Microsoft Graph Data Connect permite a los clientes enmascarar los datos y mantener su privacidad. En este caso, Microsoft Graph Data Connect borra cualquier PII relacionada con el nombre y apellido que aparezca en campos como “dirección de correo electrónico”, “nombre”, “apellido”, etc. en los conjuntos de datos de Microsoft Graph Data Connect. Los clientes aún pueden obtener información valiosa mientras protegen la PII a través de la ofuscación.
- 18. Gobernanza de datos, seguridad y privacidad con datos de Microsoft 365 18 Microsoft Graph Data Connect solo brinda ofuscación de desidentificación unidireccional. Una vez que los desarrolladores y aprobadores habilitan la ofuscación de los conjuntos de datos para su aplicación, se les aplica hash a los datos de manera coherente en toda la aplicación. Sin embargo, no hay manera de revertir el hash, no solo para los datos una vez que llegan a la cuenta de almacenamiento del cliente, sino también para la ejecución de la canalización una vez que se aprueba la solicitud. 1. Microsoft Graph Data Connect ofrece al cliente la opción de elegir un enfoque de "todo o nada" para la ofuscación como la primera iteración de su lanzamiento. En este lanzamiento, el desarrollador y los aprobadores de la aplicación pueden optar por habilitar la ofuscación de sus conjuntos de datos en la aplicación durante el registro de la aplicación. Esto garantiza que todos los conjuntos de datos de la aplicación tengan un hash coherente y se puedan unir de forma simultánea sin correr el riesgo de perder privacidad. Microsoft Graph Data Connect llevará a cabo el procesamiento posterior para eliminar la PII básica, como los campos relacionados con el nombre y el apellido. Los datos ocultos se entregarán a la cuenta de almacenamiento de destino del cliente para su uso en ese escenario. Microsoft Graph Data Connect tiene como objetivo proporcionar capacidades listas para usar con ofuscación para aliviar la carga de trabajo de los clientes con respecto a cumplir con sus requisitos de privacidad internos, minimizando el riesgo y el costo de desarrollo para que el cliente cree estas capacidades por sí mismo. 2. Con el tiempo, planeamos extender esta capacidad a la ofuscación de columnas donde los desarrolladores pueden elegir por conjunto de datos qué columnas ocultar y cuáles permanecen como están, lo que permite un mejor equilibrio entre unir datos y limitar la pérdida de privacidad. Esto le ofrece un enfoque más flexible al desarrollador y al inquilino sobre cómo deciden implementar sus principios de privacidad. 3. Los ISV también pueden aprovechar la ofuscación en nombre de sus clientes, de manera similar al trabajo de cifrado personalizado habilitado en Microsoft Graph Data Connect, lo que permite obtener más seguridad y confianza entre los clientes, los ISV y Microsoft Graph Data Connect.
- 19. Conclusión Gobernanza de datos, seguridad y privacidad con datos de Microsoft 365 19 Las organizaciones actuales necesitan un nuevo conjunto de herramientas de seguridad para tomar el control de sus datos y obtener información organizacional para adaptarse de modo eficaz a la complejidad del entorno de trabajo moderno. Microsoft Graph Data Connect protege los datos confidenciales de Microsoft 365 a través de nuestras capacidades de seguridad, privacidad y gobernanza listas para usar. Microsoft garantiza que la confianza del cliente esté en el centro de todos nuestros productos y servicios. Para obtener información sobre el enfoque completo de Microsoft respecto de la seguridad integral, consulte los siguientes documentos relacionado con los datos de Microsoft 365 y la nube de Microsoft. Ampliamos constantemente nuestro portfolio de seguridad, privacidad y gobernanza en función de la retroalimentación de los clientes. Si tiene cualquier otra pregunta o comentario, póngase en contacto con nosotros en dataconnect@microsoft.com. Detección y automatización de procesos Malla de relación Buscador de habilidades y alineación de talentos Optimización de la cadena de suministro Intercambio excesivo de información Detección de fraudes Linaje de conversación Análisis de redes organizacionales Detección de amenazas y anomalías internas R e l a c i ó n c o n el cliente Proceso e m p r e s a r i a l P r o d u c t i v i d a d d e las personas Seguridad y c u m p l i m i e n t o R e l a c i ó n c o n el cliente Proceso e m p r e s a r i a l P r o d u c t i v i d a d d e las personas Seguridad y c u m p l i m i e n t o Datos de Microsoft 365 Eficacia del trabajo híbrido Compromiso y productividad de los empleados Transformación digital basada en la cultura Administración de reclamos de clientes Cliente 360 Escenarios de información de datos claves
- 20. Apéndice 1 Consideraciones sobre la protección de datos Gobernanza de datos, seguridad y privacidad con datos de Microsoft 365 20 El uso de datos generados a partir del trabajo diario en Microsoft 365 proporciona el conjunto de datos más grande sobre cómo se realiza realmente el trabajo en una organización al aprovechar los datos reales de colaboración que impulsan la productividad. A continuación, se incluye información general básica de los roles, las responsabilidades, los tipos de datos y recomendaciones para la privacidad de los datos. Las sugerencias generales que aquí se ofrecen son un punto de partida para planificar la estrategia y la implementación de la protección de datos. Su objetivo no es ser un reemplazo para abordar las necesidades únicas de su organización al interactuar con expertos en materia jurídica, de privacidad, de Recursos Humanos y de otro tipo dentro de su organización. Roles y responsabilidades Los conceptos de controlador de datos, procesador de datos e interesados se originaron en la ley de privacidad europea. Independientemente de la ubicación de su organización o de si se trata de datos personales de ciudadanos de la Unión Europea, estos conceptos brindan un marco útil para pensar en la protección de datos. En el siguiente gráfico, se muestra la posición central que ocupa el controlador de datos (su organización) entre el interesado (izquierda) y el procesador de datos, Microsoft (derecha): Interesado Controlador de datos Procesador de datos Antes de acceder a los datos de Microsoft 365, primero considere los respectivos roles y responsabilidades de su organización y de Microsoft para proteger los datos personales y respetar los derechos de los interesados.
- 21. Gobernanza de datos, seguridad y privacidad con datos de Microsoft 365 21 Controlador de datos El controlador de datos es una parte que determina los propósitos y medios para procesar los datos personales de un interesado. Como controlador de datos, su organización debe: • Determinar el alcance de los datos que se van a analizar y el propósito y los objetivos del análisis • Usar controles para dirigir qué datos se analizarán, cómo aparecerán los datos en los resultados y quién tendrá acceso a los datos sin procesar y a los resultados del análisis • Trabajar con los equipos jurídicos, de privacidad y de Recursos Humanos de su organización para llevar a cabo las siguientes tareas: – Determinar si debe obtener el consentimiento de los empleados de su empresa. – Determinar qué información proporciona a los empleados sobre cómo su organización procesará sus datos personales en los datos de Microsoft 365. – Tener en cuenta las consideraciones locales o específicas del país. Nota: Algunos países exigen que los empleadores consulten con los representantes de los empleados o soliciten la aprobación de un comité laboral antes de implementar cierta tecnología de la información en el lugar de trabajo, mientras que otros restringen cuándo y cómo los empleadores pueden procesar datos determinados de los empleados. Por ejemplo, si su empresa tiene empleados en Alemania o Países Bajos, entonces debería considerar si se requiere la participación o aprobación del comité laboral. Además, usted elige si los datos de Microsoft 365 incluyen comunicaciones de empleados, algo que podría considerarse “datos de comunicaciones” (incluidos “datos de tráfico”) en Finlandia. Por lo tanto, si su empresa tiene empleados en Finlandia, debería comprender cómo se aplican las leyes finlandesas al procesamiento de datos personales de los empleados y datos de comunicaciones o tráfico para determinar si su uso está permitido.
- 22. Gobernanza de datos, seguridad y privacidad con datos de Microsoft 365 22 Procesador de datos El procesador de datos es la parte que procesa los datos personales en nombre del controlador de datos. Cuando su organización utiliza Microsoft 365, Microsoft es el procesador de datos. Como procesador de los datos, Microsoft: • Procesa los datos personales de acuerdo con las instrucciones de su organización según los ajustes de la configuración. • Procesa todos los datos proporcionados a Microsoft (incluidos los datos personales) de acuerdo con los mismos términos generales de privacidad y seguridad en los Términos de los servicios en línea (OST) que Microsoft 365. • Como parte de los compromisos de Microsoft en función del OST, permanece certificado bajo el marco de Escudo de la privacidad entre la UE y EE. UU y Suiza y EE. UU, y los compromisos que estos marcos conllevan para legitimar las transferencias de datos personales desde la UE y Suiza a los Estados Unidos. • Se compromete contractualmente a cumplir con las disposiciones aplicables del Reglamento General de Protección de Datos (RGPD) de la Unión Europea, vigente desde el 25 de mayo de 2018. • Proporciona características que ayudan a las organizaciones a cumplir sus obligaciones de controlador de datos y respetar los derechos de los interesados en virtud del RGPD, incluido el derecho de excluir del procesamiento, el acceso y la eliminación, y el derecho a la transparencia con respecto a los métodos de procesamiento. • Implementa medidas de seguridad técnicas y organizativas para proteger la confidencialidad de los datos de su organización (y de los empleados). Además, Microsoft no utiliza los datos para publicidad, ni se ofrece voluntariamente para proporcionar datos a las fuerzas del orden público. Interesado Un interesado es una persona que se puede identificar a través de datos personales. El interesado es un empleado u otro usuario de su organización cuya información personal se está procesando. Los datos personales corresponden a cualquier información que identifica directa o indirectamente a una persona (el interesado).
- 23. Gobernanza de datos, seguridad y privacidad con datos de Microsoft 365 23 Determinar si es necesaria una Evaluación de impacto relativa a la protección de datos (DPIA) El grado de riesgo para la privacidad de los empleados y otros usuarios de su organización está en gran medida bajo su control. El riesgo depende principalmente de los datos de Microsoft 365 que se utilicen y de cómo se usen esos datos. Después de haber desarrollado un plan de análisis, pero antes de comenzar a procesar los datos, determine si necesita completar una DPIA. Si el uso propuesto implica procesar los datos personales de una manera que pueda suponer un alto riesgo para los derechos de los empleados y otros usuarios de su organización, podría estar justificado completar una DPIA. Si no sabe si se necesita una DPIA, consulte a los expertos en materia de privacidad de su organización, como el personal jurídico o de Recursos Humanos. Los datos de mayor riesgo incluyen datos demográficos confidenciales, como el origen racial o étnico, el sexo o el género y la afiliación sindical. Los usos de mayor riesgo incluyen el uso del servicio para generar perfiles o tomar decisiones o predicciones automatizadas sobre los empleados. Si determina que es necesaria una DPIA, deberá documentar diversos aspectos de cómo utilizará el servicio para procesar datos personales, incluida la forma en que se recopilarán los datos, cómo se procesarán, la necesidad del procesamiento en relación con el propósito, qué riesgos presenta el procesamiento para los empleados, los flujos de datos, los comentarios que recibió de los empleados con respecto al procesamiento de datos propuesto y cualquier otra información que el funcionario de protección de datos de su organización (o equivalente) considere necesaria para la DPIA. Como controlador de datos, su organización es totalmente responsable de determinar los propósitos de su organización para el uso de los datos de Microsoft 365. Como procesador de datos, Microsoft le informa cómo funciona el producto y procesa los datos de acuerdo con su configuración de los servicios. Nota: Microsoft ofrece más detalles sobre las DPIA, información relevante de Microsoft 365, incluida una matriz de elementos del servicio de DPIA y un documento de DPIA personalizable para ayudarlo a comenzar.
- 24. Gobernanza de datos, seguridad y privacidad con datos de Microsoft 365 24 Soporte para el manejo de solicitudes de interesados De acuerdo con el RGPD, la CCPA y otras leyes emergentes de los estados de EE. UU., los interesados pueden tener derecho a solicitar la exclusión del procesamiento y el acceso, la corrección o la eliminación de sus datos personales. El papel que desempeña su organización como controlador de datos es evaluar si una solicitud de un interesado específica es válida y, si corresponde, tomar medidas para cumplir con la solicitud. Como procesador de los datos, Microsoft proporciona mecanismos para su organización como controlador de datos para respetar los derechos de los interesados a través de controles. • Exclusión del procesamiento: Los interesados tienen derecho a que su información personal se excluya del procesamiento. • Acceso: Los interesados tienen derecho a exigir qué información personal se está procesando. Microsoft 365 le brinda la capacidad de exportar los datos sin procesar, que pueden contener datos personales. • Corrección: Los interesados tienen derecho a rectificar sus datos personales. Estos datos no se corrigen a través de los controles de datos de Microsoft 365. • Eliminación: Microsoft admite el Derecho a la eliminación del RGPD. Además, si es necesario, los propios clientes también pueden eliminar los informes que identifiquen al interesado. Nota: Más información disponible sobre las solicitudes de los interesados, incluidos los detalles específicos de Microsoft 365.
- 25. © 2023 Microsoft Corporation. Todos los derechos reservados. Este documento se entrega “tal cual”. La información y las opiniones expresadas en este documento, incluidas las direcciones URL y otras referencias a sitios web de Internet, están sujetas a cambios sin previo aviso. Usted asume el riesgo de usarlo. Este documento no le otorga derecho legal alguno sobre ninguna propiedad intelectual de ninguno de los productos de Microsoft. Puede copiar y usar este documento para uso interno como material de consulta.