Proteggere messaggi e documenti riservati tramite Information Rights Management (IRM) in Office 2016

Riepilogo: Usare Information Rights Management (IRM) in Office 2016 per specificare l'autorizzazione per l'accesso e l'uso di documenti e messaggi sensibili.

IRM consente a utenti e amministratori di definire chi può accedere a documenti, cartelle di lavoro e presentazioni. Questa funzionalità protegge le informazioni riservate dalla stampa, dall'inoltro o dalla copia non autorizzate. Questo articolo offre una panoramica della tecnologia Information Rights Management (IRM) nelle applicazioni di Office. Include indicazioni sulla configurazione e l'installazione del software necessario per l'implementazione di IRM in Office 2016, oltre a collegamenti ad altre informazioni.

Panoramica di IRM

Azure Rights Management e Active Directory Rights Management sono tecnologie di protezione permanente delle informazioni a livello di documento offerte da Microsoft. Implementano le autorizzazioni e l'autorizzazione per proteggere le informazioni riservate. La limitazione dell'autorizzazione per un documento o un messaggio con IRM garantisce che gli utenti non autorizzati non possano stamparlo, inoltrarlo o copiarlo. Le restrizioni di utilizzo sono incorporate all'interno del documento o del messaggio di posta elettronica, viaggiando con il file ovunque vada. Microsoft Office implementa il supporto per queste tecnologie usando le caratteristiche di IRM (Information Rights Management).

"È possibile creare documenti o messaggi di posta elettronica con autorizzazioni limitate in Office Professional Plus 2016 e Microsoft 365 Apps for enterprise. Questa funzionalità è disponibile anche nelle versioni autonome di Excel 2016, Outlook 2016, PowerPoint 2016, InfoPath 2016 e Word 2016. Il contenuto IRM creato in Office 2016 può essere visualizzato in Office 2007, Office 2010, Office 2013 o Office 2016.

Per altre informazioni sulle funzionalità di IRM e Active Directory Rights Management Services (AD RMS) supportate in Office 2016, Office 2013, Office 2010 e Office 2007, vedere Considerazioni sulla distribuzione di AD RMS e Microsoft Office. Per informazioni su IRM e Azure RMS, vedere Come le applicazioni supportano Azure Rights Management e Che cos'è Azure Rights Management.

Il supporto IRM in Office 2016 consente alle organizzazioni e ai knowledge worker di soddisfare due esigenze fondamentali:

• Autorizzazioni limitate per le informazioni riservate IRM consente di proteggere le informazioni sensibili da accessi non autorizzati e riutilizzo. Le organizzazioni si basano su firewall, misure relative alla sicurezza di accesso e altre tecnologie di rete per proteggere la proprietà intellettuale sensibile. Tuttavia, una limitazione chiave con queste tecnologie è che gli utenti autorizzati possono condividere informazioni con utenti non autorizzati, causando una potenziale violazione dei criteri di sicurezza.

• Privacy, controllo e integrità delle informazioni Gli information worker spesso lavorano con informazioni riservate o sensibili. Usando IRM, i dipendenti non devono dipendere dalla discrezione di altre persone per garantire che i materiali sensibili rimangano all'interno dell'azienda. IRM impedisce agli utenti di inoltrare, copiare o stampare le informazioni riservate disattivando tali funzioni nei documenti e nei messaggi con autorizzazioni limitate.

Per i responsabili IT, IRM agevola l'applicazione dei criteri aziendali esistenti riguardanti la riservatezza dei documenti, i flussi di lavoro e la conservazione della posta elettronica. IRM è uno strumento prezioso per dirigenti e funzionari della sicurezza. Riduce al minimo il rischio che le informazioni aziendali chiave raggiungano le persone sbagliate. Questa protezione copre perdite accidentali, errori disattenti e attacchi intenzionali.

Funzionamento di IRM in Office 2016

Gli utenti di Office applicano le autorizzazioni a messaggi o documenti usando le opzioni nel menu File; Ad esempio, usando l'opzione Limita accesso, in Info, Proteggi documento. Le opzioni di protezione disponibili dipendono dai modelli di criteri per i diritti di utilizzo che è possibile personalizzare per l'organizzazione. I modelli di criteri di diritti sono gruppi di diritti IRM che vengono raggruppati in un criterio predefinito che gli utenti possono applicare ai propri documenti. Office 2016 offre anche un'opzione predefinita Non inoltrare che concede diritti specifici ai destinatari di un messaggio di posta elettronica. Per altre informazioni sui modelli di criteri rights, vedere Configurazione e gestione dei modelli per Microsoft Purview Information Protection.

Per proteggere un documento in Office 2016 usando IRM, è necessario disporre di un'istanza locale di AD RMS o di una sottoscrizione di Azure RMS come parte di Office 365 o come servizio autonomo.

Uso di IRM con Active Directory Rights Management Services

L'abilitazione di IRM nell'organizzazione richiede l'accesso a un computer che esegue Active Directory Rights Management Services (AD RMS) per Windows Server 2012 o Windows Server 2012 R2 o a un tenant cloud con una sottoscrizione di Azure RMS. Le autorizzazioni vengono applicate tramite l'autenticazione, in genere usando Active Directory Domain Services (AD DS) o Microsoft Entra ID.

Le organizzazioni possono definire i criteri di autorizzazione visualizzati nelle applicazioni di Office creando modelli di criteri di diritti. Ad esempio, è possibile definire un modello di criteri di diritti denominato Marketing Confidential, che specifica che i documenti o i messaggi di posta elettronica che usano il criterio possono essere aperti solo dagli utenti all'interno di tale reparto. Anche se non esiste alcun limite al numero di criteri di autorizzazione che è possibile creare, Office può visualizzare solo fino a 20 modelli di criteri alla volta. Azure Rights Management offre due modelli predefiniti a livello di organizzazione. È possibile creare modelli personalizzati o disabilitare quelli esistenti, se necessario.

Con AD RMS in Windows Server 2012, gli utenti possono condividere documenti protetti da diritti tra aziende che hanno una relazione di trust federata. Per altre informazioni, vedere Panoramica di Active Directory Rights Management Services e Federazione di AD RMS. Con Azure RMS, la possibilità di collaborare in modo sicuro tra le organizzazioni è integrata e non richiede di completare alcuna configurazione speciale.

In Outlook 2016 è possibile creare e leggere messaggi di posta elettronica protetti senza impostazioni speciali del server di posta elettronica. Tuttavia, Exchange Server 2016 migliora questa funzionalità. Fornisce la protezione RMS per i messaggi vocali di messaggistica unificata e la protezione automatica IRM per i messaggi in Outlook 2016 tramite le regole di protezione di Microsoft Outlook. Inoltre, l'abilitazione dell'integrazione IRM in Exchange Server consente agli utenti di creare e utilizzare messaggi di posta elettronica protetti in Outlook Web App e in Exchange ActiveSync dispositivi mobili abilitati per IRM. Per altre informazioni, vedere Information Rights Management in Exchange 2016.

Configurazione di IRM per Office 2016

Per applicare le autorizzazioni IRM ai documenti o messaggi di posta elettronica, è necessario quanto segue:

• Accesso ad AD RMS per Windows Server 2012 o Windows Server 2012 R2 o ad Azure Rights Management per ottenere licenze per l'utilizzo del contenuto.

• Software client Rights Management. Il software client è incluso in Windows Vista e versioni successive. L'applicazione di condivisione Rights Management offre un componente aggiuntivo facoltativo che migliora la funzionalità IRM in Office.

• Microsoft Office 2007, Office 2010, Office 2013 o Office 2016. Solo le edizioni specifiche di Office consentono agli utenti di creare autorizzazioni IRM.

Impostazione dell'accesso al server RMS

AD RMS e Azure RMS gestiscono le licenze e altre funzioni server che usano IRM per fornire rights management ad applicazioni client come Office 2016. Un programma client con riconoscimento di RMS, ad esempio Office 2016, consente agli utenti di creare e visualizzare contenuti protetti da diritti.

Configurazione di Rights Management nel client

Windows Vista, Windows 7, Windows 8.1 e Windows 10 sono disponibili con il software client RMS. Per attivare le funzionalità IRM in Office con l'applicazione di condivisione RMS, gli utenti possono installarle autonomamente. In alternativa, gli amministratori possono distribuirlo automaticamente per gli utenti.

Definizione e distribuzione di modelli di criteri di diritti per Office 2016

Come in Office 2007, Office 2010 e Office 2013, Office 2016 include l'opzione per gli utenti di applicare diritti individuali a documenti e messaggi, ad esempio Lettura e modifica in Word 2016, Excel 2016, PowerPoint 2016 e Visio 2016. In Outlook è possibile usare l'opzione Non inoltrare che consente di condividere con sicurezza la posta elettronica, concedendo solo diritti limitati ai destinatari previsti del messaggio. È possibile creare modelli di criteri di diritti personalizzati per l'organizzazione. Questi modelli vengono distribuiti automaticamente ai client, consentendo agli utenti di applicarli senza sforzo.

È possibile creare e gestire modelli di criteri per i diritti tramite il sito di amministrazione sul server RMS o AD RMS. Per informazioni su come creare, configurare e pubblicare modelli di criteri personalizzati, vedere Guida dettagliata alla distribuzione dei modelli di criteri rights di AD RMS.

I diritti che è possibile includere nei modelli di criteri di autorizzazioni per Office 2016 sono elencati nelle sezioni seguenti.

Diritti IRM

Ogni diritto IRM elencato nella tabella seguente può essere applicato dalle applicazioni di Office 2016 configurate per l'uso con AD RMS o Azure RMS.

Diritti relativi alle autorizzazioni IRM

Gruppi predefiniti di autorizzazioni

Office 2016 offre i seguenti gruppi predefiniti di diritti tra cui gli utenti possono scegliere quando creano contenuto IRM. Le opzioni sono disponibili nella finestra di dialogo Autorizzazione per Word 2016, Excel 2016, PowerPoint 2016 e Visio 2016. Nell'applicazione di Office selezionare la scheda File , scegliere Info, scegliere il pulsante Proteggi documento , selezionare Limita accesso e quindi scegliere tra i modelli di criteri di diritti elencati oppure scegliere Accesso con restrizioni. Se si sceglie Accesso con restrizioni, si ha la possibilità di selezionare uno dei gruppi di autorizzazioni predefiniti per ogni singolo utente.

Gruppi predefiniti di autorizzazioni di lettura/modifica

In Outlook 2016, gli utenti possono selezionare il gruppo predefinito di diritti seguente quando creano un elemento di posta elettronica. Per accedere all'opzione dal messaggio di posta elettronica, fare clic su File, Informazioni e quindi Imposta autorizzazioni. Quindi, scegliere uno dei modelli di criteri per i diritti di utilizzo elencati, inseriti dal servizio o dal server Rights Management, oppure scegliere Non inoltrare, che implementa i diritti riportati di seguito.

Gruppo predefinito "Non inoltrare"

Autorizzazioni avanzate

In Word 2016 è possibile specificare altre autorizzazioni IRM per parti di un documento. Da Informazioni, Proteggi documento, selezionare Limita modifica e fare clic sull'opzione Altri utenti per aggiungere utenti con diritti di modifica per le sezioni indicate di un documento. Per ulteriori opzioni di limitazione, selezionare Limita autorizzazioni nella parte bassa del pannello Restrizioni alle modifiche. Ad esempio, gli utenti possono specificare una data di scadenza, limitare gli altri utenti nella stampa o copia del contenuto e così via.

Configurazione delle impostazioni IRM per Office 2016

È possibile bloccare molte impostazioni per personalizzare IRM usando il modello office Criteri di gruppo (Office). Usare questo modello Criteri di gruppo per configurare oggetti Criteri di gruppo in Active Directory e non deve essere confuso con i modelli di criteri di diritti. Esistono inoltre opzioni di configurazione IRM che è possibile configurare solo mediante le impostazioni delle chiavi del Registro di sistema.

Impostazioni IRM di Office 2016

Le impostazioni che è possibile configurare per IRM in Criteri di gruppo sono elencate nella tabella seguente. In Criteri di gruppo queste impostazioni si trovano in Configurazione utente\Criteri\Modelli amministrativi\Microsoft Office 2016\Gestisci autorizzazioni limitate.

Impostazioni IRM per Criteri di gruppo

Opzioni della chiave del Registro di sistema IRM di Office 2016

Le impostazioni che è possibile configurare per IRM nel Registro di sistema sono elencate nelle tabelle seguenti.

Le impostazioni del Registro di sistema IRM seguenti si trovano in HKCU\Software\Microsoft\Office\16.0\Common\DRM.

Opzioni delle chiavi del Registro di sistema IRM

L'impostazione del Registro di sistema IRM seguente si trova in HKCU\Software\Microsoft\Office\16.0\Common\DRM\LicenseServers. Non esiste alcuna impostazione di Criteri di gruppo corrispondente.

Impostazioni IRM del Registro di sistema per i server licenze

L'impostazione del Registro di sistema IRM seguente si trova in HKCU\Software\Microsoft\Office\16.0\Common\Security. Non esiste alcuna impostazione di Criteri di gruppo corrispondente.

Impostazioni IRM del Registro di sistema per la sicurezza

I metadati crittografati non sono compatibili con le etichette Microsoft Purview Information Protection. Se si usano queste etichette, non impostare il valore su 1.

In formati Open XML come docx, xlsx, pptx e così via, gli utenti possono crittografare i metadati di Office all'interno di un file rights-managed. In alternativa, possono lasciare i metadati non crittografati, consentendo ad altre applicazioni, ad esempio la funzionalità fci nei file server windows, di accedere ai dati.

Gli utenti possono scegliere di crittografare i metadati impostando una chiave del Registro di sistema. È possibile impostare un'opzione predefinita per gli utenti distribuendo l'impostazione del Registro di sistema. Non è possibile crittografare alcuni metadati: tutti i metadati sono crittografati o nessuno è crittografato.

Inoltre, l'impostazione del Registro di sistema DRMEncryptProperty non determina se l'archiviazione dei metadati client non Office, ad esempio i metadati creati da SharePoint Server 2016, è crittografata.

Configurazione delle impostazioni IRM per Outlook 2016

In Outlook 2016, gli utenti possono creare e inviare messaggi di posta elettronica con autorizzazioni limitate per impedire che i messaggi vengano inoltrati, stampati o copiati. I documenti, le cartelle di lavoro e le presentazioni di Office 2016 collegati a messaggi con autorizzazioni limitate vengono automaticamente limitati.

Gli amministratori di Microsoft Outlook possono configurare diverse opzioni per la posta elettronica IRM, ad esempio disabilitare IRM o configurare la memorizzazione nella cache delle licenze locali.

Le impostazioni e caratteristiche di IRM seguenti possono risultare utili quando si configura la messaggistica di posta elettronica protetta da Microsoft Rights Management:

• Configurazione della memorizzazione automatica delle licenze nella cache per IRM.

• Impostazione di un periodo di scadenza per un messaggio di posta elettronica.

• Non usare Outlook per convalidare gli indirizzi di posta elettronica per le autorizzazioni IRM.

Impostazioni IRM di Outlook

È possibile bloccare la maggior parte delle impostazioni per personalizzare IRM per Microsoft Outlook usando il modello Criteri di gruppo di Microsoft Outlook (Outlk) o il modello office Criteri di gruppo (Office). In alternativa, è possibile configurare le impostazioni predefinite per la maggior parte delle opzioni usando lo Strumento di personalizzazione di Office, che consente agli utenti di configurare le impostazioni. Le impostazioni dello Strumento di personalizzazione di Office si trovano nelle posizioni corrispondenti della pagina Modifica impostazioni utente dello strumento stesso.

Opzioni IRM per Outlook

Outlook 2016 opzioni della chiave del Registro di sistema IRM

La finestra di dialogo Autorizzazione usa Microsoft Outlook per convalidare gli indirizzi di posta elettronica immessi in tale finestra di dialogo. In questo modo, un'istanza di Microsoft Outlook viene avviata quando le autorizzazioni sono limitate. È possibile disattivare questa opzione utilizzando la chiave del Registro di sistema elencata nella tabella seguente. Per questa opzione non è disponibile alcuna Criteri di gruppo o impostazione dello Strumento di personalizzazione di Office corrispondente.

L'impostazione del Registro di sistema IRM seguente si trova in HKEY_CURRENT_USER\Software\Microsoft\Office\15.0\Common\DRM.

Opzioni delle chiavi del Registro di sistema IRM per Outlook

Panoramica della configurazione di IRM in Office 2016

È possibile bloccare molte impostazioni per personalizzare IRM usando i file del modello amministrativo di Office 2016 (Office16.admx) e il modello di Criteri di gruppo di Microsoft Outlook (Outlk16.admx). Sono anche disponibili opzioni di configurazione di IRM configurabili solo tramite l'utilizzo di impostazioni delle chiavi del Registro di sistema.

In Outlook 2016, gli utenti possono creare e inviare messaggi di posta elettronica con autorizzazioni limitate per impedire che i messaggi vengano inoltrati, stampati o copiati e incollati. Anche i documenti, le cartelle di lavoro e le presentazioni di Office 2016 collegati a messaggi con autorizzazioni limitate vengono automaticamente limitati.

Gli amministratori di Microsoft Outlook possono configurare diverse opzioni per la posta elettronica IRM, ad esempio disabilitare IRM o configurare la memorizzazione nella cache delle licenze locali. È inoltre possibile progettare autorizzazioni IRM personalizzate per gli utenti, oltre al gruppo di autorizzazioni predefinito Non inoltrare.

Prima di iniziare

Prima di iniziare la distribuzione, determinare le impostazioni che potrebbe essere necessario configurare per IRM.

È possibile scaricare i modelli di Office 2016 e Outlook 2016 dall'Area download Microsoft, file di modelli amministrativi (ADMX/ADML) per Office.

Disattivare Information Rights Management in Office 2016

È possibile disattivare IRM per tutte le applicazioni di Office. Per disattivare IRM in Outlook 2016, è necessario disattivare IRM per tutte le applicazioni di Office. Non è disponibile alcuna opzione separata per disattivare IRM solo in Microsoft Outlook.

Per disattivare IRM in Office 2016 usando Criteri di gruppo

1. In Criteri di gruppo caricare il modello di Office 2016 (Office) e individuare Configurazione utente\Criteri\Modelli amministrativi\Microsoft Office 2016\Gestisci autorizzazioni limitate.

2. Scegliere Disattiva interfaccia utente di Information Rights Management.

3. Scegliere Attivata.

4. Scegliere OK.

Configurare la memorizzazione nella cache automatica delle licenze per Outlook 2016

Per impostazione predefinita, Outlook 2016 scarica automaticamente la licenza IRM per la posta elettronica gestita con diritti quando Outlook si sincronizza con Exchange Server. È possibile configurare Outlook 2016 per impedire che le informazioni sulle licenze vengano memorizzate nella cache in locale. Gli utenti dovranno quindi connettersi alla rete per recuperare le informazioni sulla licenza prima di potere aprire i messaggi di posta elettronica protetti da Microsoft Rights Management.

Per disattivare la memorizzazione automatica delle licenze nella cache per IRM usando Criteri di gruppo

1. In Criteri di gruppo caricare il modello di Outlook 2016 (Outlk) e individuare Configurazione utente\Criteri\Modelli amministrativi\Microsoft Outlook 2016\Varie.

2. Scegliere Non scaricare informazioni sulla licenza con concessione dei diritti per un messaggio di posta elettronica IRM durante la sincronizzazione della cartella Exchange.

3. Scegliere Attivata.

4. Scegliere OK.