Защита данных для Windows MAM

Вы можете включить защищенный доступ к данным организации с помощью управления мобильными приложениями (MAM) на личных устройствах Windows. Эта возможность использует следующие функции:

• Intune политик конфигурации приложений (ACP) для настройки пользовательского интерфейса организации
• Intune политики защиты приложений (APP) для защиты данных организации и обеспечения работоспособности клиентского устройства
• Безопасность Windows Center защита от угроз клиента, интегрированная с приложением Intune для обнаружения локальных угроз работоспособности на личных устройствах Windows
• Условный доступ защиты приложений, чтобы обеспечить защиту и работоспособность устройства перед предоставлением защищенного доступа к службе через Microsoft Entra ID

Как конечные пользователи, так и организации должны иметь защищенный доступ организации с личных устройств. Организациям необходимо обеспечить защиту корпоративных данных на личных неуправляемых устройствах. Как администратор Intune вы несете ответственность за определение того, как члены (конечные пользователи) вашей организации получают защищенный доступ к корпоративным ресурсам с неуправляемого устройства. При доступе к данным организации необходимо убедиться, что неуправляемые устройства работоспособны, приложения соответствуют политикам защиты данных организации и что политики вашей организации не влияют на неуправляемые ресурсы конечного пользователя на своем устройстве.

Администратор Intune должен иметь следующие функции управления приложениями:

• Возможность развертывания политик защиты приложений для приложений или пользователей, защищенных пакетом SDK для Intune APP, включая следующие:
  • Параметры защиты данных
  • Параметры проверок работоспособности (или условного запуска)
• Возможность требовать политики защиты приложений с помощью условного доступа
• Возможность выполнить дополнительную проверку работоспособности клиента через центр Безопасность Windows, выполнив следующие действия:
  • Назначение уровня риска центра Безопасность Windows для предоставления конечным пользователям доступа к корпоративным ресурсам
  • Настройка соединителя на основе клиента для Microsoft Intune для Безопасность Windows Center
• Возможность развертывания команды выборочной очистки в защищенных приложениях

Члены вашей организации (конечные пользователи) должны иметь следующие функции для своих учетных записей:

• Возможность входа в Microsoft Entra ID для доступа к сайтам, защищенным условным доступом
• Возможность проверки состояния работоспособности клиентского устройства в случае, если устройство считается неработоспособным
• Возможность отзыва доступа к ресурсам, когда устройство остается неработоспособным
• Возможность получать информацию с четкими шагами по исправлению, когда доступ контролируется политикой администратора

Соответствие требованиям условного доступа

Предотвращение потери данных является частью защиты данных организации. Защита от потери данных (DLP) действует только в том случае, если к данным организации невозможно получить доступ из любой незащищенной системы или устройства. Условный доступ защиты приложений использует условный доступ (ЦС) для обеспечения поддержки и применения политик защиты приложений (APP) в клиентском приложении перед предоставлением доступа к защищенным ресурсам (например, данным организации). ЦС APP позволит конечным пользователям с личными устройствами Windows использовать приложения, управляемые приложением, включая Microsoft Edge, доступ к ресурсам Microsoft Entra без полного управления личным устройством.

Эта служба MAM синхронизирует состояние соответствия для каждого пользователя, приложения и устройства со службой ЦС Microsoft Entra. Сюда входит информация об угрозах, полученная от поставщиков Mobile Threat Defense (MTD), начиная с Безопасность Windows Center.

При обнаружении изменения служба MAM немедленно обновляет состояние соответствия устройств. Служба также включает состояние работоспособности MTD как часть состояния соответствия.

Клиент MAM сообщает о состоянии клиента (или метаданных работоспособности) службе MAM после проверка. Состояние работоспособности включает любой сбой проверки работоспособности приложения для условий блокировки или очистки . Кроме того, Microsoft Entra ID помогает конечным пользователям выполнять действия по исправлению при попытке получить доступ к заблокированным ресурсам ЦС.

Соответствие требованиям условного доступа

Организации могут использовать политики условного доступа Microsoft Entra, чтобы пользователи могли получать доступ только к рабочему или учебному содержимому с помощью приложений, управляемых политикой, в Windows. Для этого потребуется политика условного доступа, распространяющаяся на всех потенциальных пользователей. Выполните действия, описанные в разделе Требовать политику защиты приложений на устройствах Windows, которая позволяет Microsoft Edge для Windows, но блокирует подключение других веб-браузеров к конечным точкам Microsoft 365.

С помощью условного доступа вы также можете настроить таргетинг на локальные сайты, которые вы открыли для внешних пользователей через прокси-сервер приложения Microsoft Entra .

Работоспособности защиты от угроз

Состояние работоспособности личного устройства проверяется перед предоставлением доступа к данным организации. Обнаружение угроз MAM можно подключить к центру Безопасность Windows. центр Безопасность Windows предоставляет оценку работоспособности клиентских устройств для Intune APP через соединитель "служба — служба". Эта оценка поддерживает поток и доступ к данным организации на личных неуправляемых устройствах.

Состояние работоспособности включает в себя следующие сведения:

• Идентификаторы пользователей, приложений и устройств
• Предопределенное состояние работоспособности
• Время последнего обновления состояния работоспособности

Состояние работоспособности отправляется только пользователям, зарегистрированным в MAM. Конечные пользователи могут прекратить отправку данных, выйдя из учетной записи организации в защищенных приложениях. Администраторы могут прекратить отправку данных, удалив соединитель Безопасность Windows из Microsoft Intune.

Дополнительные сведения см. в статье Создание политики защиты приложений MTD для Windows.

Создание политик защиты приложений Intune

Политики защиты приложений (APP) указывают, какие приложения разрешены и какие действия эти приложения могут выполнять над данными вашей организации. Доступные в APP параметры позволяют организациям адаптировать систему безопасности в соответствии с конкретными потребностями. Однако они могут затруднить выбор параметров политик, необходимых для реализации полного сценария.

Администратор может настроить защиту данных с помощью ПРИЛОЖЕНИЯ. Эта конфигурация применяется к взаимодействию собственного приложения Windows с данными. Параметры приложения делятся на три категории:

• Защита данных . Эти параметры определяют, как данные могут перемещаться в контекст организации (учетная запись, документ, расположение, службы) для пользователя и из него.

• Проверки работоспособности (условный запуск). Эти параметры управляют условиями устройства, необходимыми для доступа к данным организации, и действиями по исправлению, если условия не выполняются.

Чтобы помочь организациям определить приоритеты защиты конечных точек клиентов, корпорация Майкрософт представила таксономию для своей платформы защиты данных APP для управления мобильными приложениями.

Конкретные рекомендации для каждого уровня конфигурации и минимальный список приложений, защиту которых необходимо обеспечить, см. в статье Использование политик защиты приложений на платформе защиты данных.

Дополнительные сведения о доступных параметрах см. в разделе Параметры политики защиты приложений Windows.

Дальнейшие действия

• Что такое политики защиты приложений?
• Политики конфигурации приложений в Microsoft Intune