Information Rights Management in Exchange Server

  • Articolo

Ogni giorno, la posta elettronica viene utilizzata per lo scambio di informazioni riservate, ad esempio informazioni sensibili o report. Poiché la posta elettronica è accessibile da qualsiasi luogo, le cassette postali si sono trasformate in depositi contenenti grandi quantità di informazioni potenzialmente sensibili. Di conseguenza, la perdita di informazioni può rappresentare una grave minaccia per le organizzazioni. Per evitare la perdita di informazioni, Exchange Server include le funzionalità di Information Rights Management (IRM), che forniscono protezione online e offline persistente per i messaggi di posta elettronica e gli allegati. Le funzionalità IRM sono fondamentalmente invariate rispetto a Exchange 2013.

Cosa si intende per perdita di informazioni

Per perdita di informazioni si intende la divulgazione di informazioni riservate a utenti non autorizzati. La perdita di informazioni può risultare costosa per un'organizzazione e può avere un impatto ad ampio raggio su organizzazione, attività, dipendenti, clienti e partner. Per non violare le normative vigenti, le organizzazioni devono proteggersi contro la perdita involontaria o accidentale di informazioni.

Di seguito vengono menzionate alcune conseguenze derivanti dalla perdita di informazioni:

  • Danni finanziari: l'organizzazione potrebbe subire una perdita di affari, multe o copertura mediatica negativa.

  • Danni all'immagine e alla credibilità: i messaggi di posta elettronica trapelati possono potenzialmente essere fonte di imbarazzo per il mittente e l'organizzazione.

  • Perdita di vantaggio competitivo: questa è una delle conseguenze più gravi. La divulgazione di piani di acquisizione e fusione o di strategie aziendali può comportare una perdita in termini di ricavi o capitalizzazione finanziaria per l'organizzazione. Altre minacce per il vantaggio competitivo comprendono la perdita di informazioni sulla ricerca, i dati analitici e altre proprietà intellettuali.

Soluzioni standard per affrontare la perdita di informazioni

Anche se le soluzioni standard alla perdita di informazioni possono proteggere l'accesso iniziale ai dati, spesso non offrono una protezione costante. Nella seguente tabella, vengono descritte alcune soluzioni tradizionali alla perdita di informazioni.

Soluzione Descrizione Limitazioni
Transport Layer Security (TLS) Il TLS è un protocollo Internet standard utilizzato per crittografare le comunicazioni in rete. In un ambiente di messaggistica, TLS viene utilizzato per crittografare le comunicazioni server-server e client-server.

Per impostazione predefinita, Exchange utilizza TLS per tutti i trasferimenti interni dei messaggi. TLS opportunistico è inoltre abilitato per impostazione predefinita per le sessioni SMTP con host esterni (viene tentata prima la crittografia TLS ma, se non è disponibile, sono consentite le comunicazioni non crittografate). È anche possibile configurare la protezione del dominio per attivare Mutual TLS con le organizzazioni esterne.

 Il TLS protegge solo la sessione SMTP tra due host SMTP. In altre parole, TLS protegge le informazioni in movimento, ma non fornisce protezione a livello di messaggio o per le informazioni statiche. A meno che non vengano crittografati utilizzando un altro metodo, i messaggi nelle cassette postali del mittente e dei destinatari non vengono protetti.

Per la posta elettronica inviata al di fuori dell'organizzazione, è possibile richiedere il protocollo TLS solo per il primo hop. Una volta che un host SMTP remoto ha ricevuto il messaggio, può inoltrarlo a un altro host SMTP con una sessione non crittografata.

Dal momento che TLS è una tecnologia di trasporto utilizzata nel flusso di posta, non è in grado di fornire un controllo su ciò che il destinatario fa con il messaggio.
Crittografia dei messaggi Gli utenti possono utilizzare tecnologie quali S/MIME per crittografare i messaggi. Sono gli utenti a decidere se crittografare un messaggio.

Esistono ulteriori costi legati alla distribuzione di una infrastruttura a chiave pubblica (PKI), con il conseguente sovraccarico della gestione dei certificati per gli utenti e la protezione delle chiavi private.

Dopo la decrittografia di un messaggio, non esiste alcun controllo sulle operazioni che il destinatario può eseguire con le informazioni. Le informazioni decrittografate possono essere copiate, stampate o inoltrate. Per impostazione predefinita, gli allegati salvati non sono protetti.

I server di messaggistica non possono aprire e analizzare i messaggi crittografati da S/MIME. Pertanto, i server di messaggistica non sono in grado di applicare criteri di messaggistica, analizzare i messaggi per individuare eventuali virus o eseguire altre azioni che richiedono l'accesso al contenuto dei messaggi.

Infine, le soluzioni standard spesso non dispongono di strumenti in grado di applicare i criteri di messaggistica uniformi per impedire la perdita di informazioni. Ad esempio, un utente contrassegna un messaggio come Materiale aziendale riservato e Non inoltrare. Una volta recapitato al destinatario, il mittente o l'organizzazione non ha più controllo sul messaggio. Il destinatario può volontariamente o involontariamente inoltrare il messaggio (utilizzando funzionalità quali le regole di inoltro automatico) ad account di posta elettronica esterni, sottoponendo l'organizzazione a sostanziali rischi di perdita delle informazioni.

IRM in Exchange

IRM in Exchange consente di prevenire la perdita di informazioni fornendo le seguenti funzionalità:

  • Impedire che un destinatario autorizzato di un contenuto protetto tramite IRM possa inoltrare, modificare, stampare, inviare tramite fax, salvare o tagliare e incollare tale contenuto.

  • Proteggere i formati file degli allegati supportati con lo stesso livello di protezione del messaggio.

  • Impostare una scadenza per i messaggi e gli allegati protetti tramite IRM, in modo che non possano più essere visualizzati dopo il periodo specificato.

  • Impedire che i contenuti protetti tramite IRM vengano copiati utilizzando lo Strumento di cattura in Windows.

Tuttavia, IRM in Exchange non è in grado di impedire la divulgazione di informazioni tramite questi metodi:

  • Applicazioni di acquisizione schermate di terzi.

  • Acquisizione di contenuti protetti da IRM visualizzati sullo schermo.

  • Memorizzazione o trascrizione manuale delle informazioni da parte degli utenti.

IRM utilizza Active Directory Rights Management Services (AD RMS), una tecnologia di protezione delle informazioni in Windows Server che si avvale di licenze e certificati basati su XrML (Extensible Rights Markup Language) per autenticare i computer e gli utenti e per proteggere i contenuti. Quando un documento o un messaggio sono protetti con AD RMS, viene allegata una licenza XrML contenente i diritti di cui dispongono gli utenti autorizzati sui contenuti. Per accedere ai contenuti protetti da IRM, le applicazioni con AD RMS devono procurarsi una licenza d'uso per l'utente autorizzato dal server AD RMS. Le applicazioni Office, come Word, Excel, PowerPoint e Outlook sono abilitate per RMS e possono essere utilizzate per creare e usare contenuti protetti.

Nota

L'agente di pre-licenza Exchange consente di allegare una licenza d'uso ai messaggi protetti dal server AD RMS dell'organizzazione. Per ulteriori informazioni, vedere la sezione Pre-licenza più avanti in questo argomento.

Per ulteriori informazioni su Active Directory Rights Management Services, vedere Active Directory Rights Management Services.

Modelli di criteri per i diritti di utilizzoActive Directory Rights Management Services

I server AD RMS forniscono un servizio Web che viene utilizzato per enumerare e acquisire i modelli di criteri per i diritti di utilizzo basati su impiegati per applicare la protezione IRM ai messaggi. Applicando il modello di criteri per i diritti di utilizzo appropriato, è possibile controllare se un destinatario è autorizzato a rispondere al mittente o a tutti, a inoltrare, estrarre informazioni da, salvare o stampare il messaggio.

Per impostazione predefinita, Exchange viene fornito con il modello Non inoltrare. Quando questo modello è applicato a un messaggio, solo i destinatari indicati nel messaggio possono decrittografare il messaggio. I destinatari non possono inoltrare il messaggio, copiarne i contenuti o stamparlo. È possibile creare modelli RMS aggiuntivi nei server AD RMS dell'organizzazione in base alle proprie esigenze.

Per ulteriori informazioni sui modelli di criteri per i diritti, vedere Considerazioni sui modelli di criteri AD RMS.

Per ulteriori informazioni sulla creazione dei modelli di criteri per i diritti AD RMS, vedere Guida dettagliata alla creazione e distribuzione dei modelli di criteri per i diritti di utilizzo di Active Directory Rights Management Services.

Applicazione della protezione IRM ai messaggi

Per impostazione predefinita, un'organizzazione Exchange è abilitata per IRM, ma per applicare la protezione IRM ai messaggi è necessario utilizzare uno o più dei metodi seguenti:

  • Manualmente dagli utenti di Outlook: gli utenti possono proteggere i messaggi in Outlook tramite i modelli di criteri per i diritti di AD RMS disponibili. Questo processo utilizza la funzionalità IRM in Outlook, non Exchange. Per ulteriori informazioni sull'utilizzo di IRM in Outlook, vedere Introduzione all'utilizzo di IRM per i messaggi di posta elettronica.

  • Manualmente dagli utenti in Outlook sul web: quando un amministratore abilita IRM in Outlook sul web (in precedenza noto come Outlook Web App), gli utenti possono proteggere i messaggi inviati da IRM e visualizzare i messaggi protetti da IRM ricevuti. Per altre informazioni su IRM in Outlook sul web, vedere Informazioni su IRM in Outlook Web App.

  • Manualmente dagli utenti in Exchange ActiveSync: quando un amministratore abilita IRM in Exchange ActiveSync gli utenti possono visualizzare, rispondere, inoltrare e creare messaggi protetti da IRM nei dispositivi ActiveSync. Per ulteriori informazioni, vedere Understanding Information Rights Management in Exchange ActiveSync.

  • Automaticamente in Outlook: gli amministratori possono creare regole di protezione di Outlook per proteggere automaticamente i messaggi IRM. Le regole di protezione di Outlook vengono distribuite automaticamente ai client di Outlook e la protezione tramite IRM viene applicata da Outlook quando l'utente sta componendo un messaggio. Per altre informazioni, vedere Regole di Protezione di Outlook.

  • Automaticamente nei server Cassette postali: gli amministratori possono creare regole del flusso di posta (note anche come regole di trasporto) per proteggere automaticamente i messaggi IRM che corrispondono alle condizioni specificate. Per ulteriori informazioni, vedere Understanding Transport Protection Rules.

    Nota

    La protezione IRM non viene applicata ai messaggi che sono già protetti tramite IRM. Ad esempio, se un utente protegge tramite IRM un messaggio in Outlook o Outlook sul Web, la protezione con IRM non viene applicata allo stesso messaggio utilizzando una regola di protezione del trasporto.

Scenari per la protezione IRM

Nella tabella seguente vengono descritti gli scenari per l'invio di messaggi e viene indicato se è disponibile la protezione IRM.

Scenario L'invio dei messaggi protetti tramite IRM è supportato? Requisiti
Invio di messaggi all'interno della stessa organizzazione di Exchange locale Sì Per i requisiti, vedere la sezione Requisiti IRM più avanti in questo argomento.
Invio di messaggi tra foreste Active Directory diverse di un'organizzazione locale. Sì Per i requisiti, vedere Configurazione di AD RMS per l'integrazione con Exchange Server 2010 tra più foreste.
Invio di messaggi tra un'organizzazione di Exchange locale e un'organizzazione di Microsoft 365 o Office 365 in una distribuzione ibrida. Sì Per altre informazioni, vedere IRM nelle distribuzioni ibride di Exchange.
Invio di messaggi agli utenti esterni No Exchange non comprende una soluzione per l'invio dei messaggi protetti tramite IRM ai destinatari esterni di organizzazioni non federative. Per creare un trust federato tra due foreste di Active Directory usando Active Directory Federation Services (AD FS), vedere Informazioni sui criteri di attendibilità di AD RMS.

Decrittografia dei messaggi protetti tramite IRM per l'applicazione dei criteri di messaggistica

Per l'applicazione dei criteri di messaggistica e delle regole di conformità, Exchange deve essere in grado di accedere al contenuto dei messaggi crittografati. Per soddisfare i requisiti di eDiscovery derivanti da contenziosi, verifiche normative o indagini interne, un revisore designato deve anche essere in grado di cercare i messaggi crittografati. Per consentire queste attività, Exchange include le seguenti funzionalità di decrittografia:

  • Decrittografia del trasporto: consente l'accesso al contenuto dei messaggi da parte degli agenti di trasporto installati nei server Exchange. Per ulteriori informazioni, vedere Understanding Transport Decryption.

  • Decrittografia del report del journal: consente al journaling standard o Premium di salvare una copia in testo non crittografati dei messaggi protetti da IRM nei report del journal. Per ulteriori informazioni, vedere Abilitare la decrittografia dei rapporti del journal.

  • Decrittografia IRM per Ricerca di Exchange: consente a Ricerca di Exchange di indicizzare il contenuto nei messaggi protetti da IRM. Quando un responsabile dell'individuazione utilizza la ricerca eDiscovery sul posto, i messaggi protetti tramite IRM che sono stati indicizzati vengono inclusi nei risultati della ricerca. Per ulteriori informazioni, vedere Configurare IRM per la ricerca di Exchange e In-Place eDiscovery.

Per abilitare queste caratteristiche di decrittografia, è necessario aggiungere la cassetta postale federata (una cassetta postale del sistema creata da Exchange) al gruppo di utenti con privilegi avanzati sul server AD RMS. Per istruzioni, vedere Aggiungere la cassetta postale di federazione per il gruppo di utenti con privilegi avanzati di AD RMS.

Pre-licenza

Per consentire agli utenti autorizzati di visualizzare i messaggi e gli allegati protetti tramite IRM, Exchange allega automaticamente una pre-licenza ai messaggi protetti. Questa operazione evita al client di doversi collegare ripetutamente al server AD RMS per recuperare una licenza d'uso e permette la visualizzazione offline dei messaggi protetti tramite IRM. La pre-licenza consente anche di visualizzare i messaggi protetti tramite IRM in Outlook sul Web. Quando si abilitano le funzionalità IRM, la pre-licenza viene abilitata per impostazione predefinita.

Agenti IRM

Le funzionalità IRM utilizzano gli agenti di trasporto integrati disponibili nel servizio di trasporto nei server Cassette postali. La maggior parte degli agenti di trasporto predefiniti è invisibile e non gestibile dai cmdlet di gestione dell'agente di trasporto in Exchange Management Shell (*-TransportAgent).

Gli agenti di trasporto integrati associati a IRM sono descritti in questa tabella:

Nome agente Gestibilità? SMTP o evento del classificatore Descrizione
Agente di decrittografia dei rapporti del journal No OnCategorizedMessage Fornisce una copia non crittografata dei messaggi protetti tramite IRM allegati ai report di journal.
Agente di pre-licenza No OnRoutedMessage Allega una pre-licenza ai messaggi protetti tramite IRM.
Agente di decrittografia RMS No OnSubmittedMessage, Consente di decrittografare i messaggi protetti tramite IRM per permettere agli agenti di trasporto di accedere al contenuto del messaggio.
Agente di crittografia RMS No OnRoutedMessage Applica la protezione IRM ai messaggi contrassegnati dall'agente di trasporto e crittografa nuovamente i messaggi decrittografati dal trasporto.
Agente di decrittografia del protocollo RMS No OnEndOfData Consente di decrittografare i messaggi protetti tramite IRM per permettere agli agenti di trasporto di accedere al contenuto del messaggio.
Agente della regola di trasporto Sì OnRoutedMessage Contrassegna i messaggi che soddisfano le condizioni di una regola di protezione del trasporto per essere protetti tramite IRM dall'agente di crittografia RMS.

Per altre informazioni sugli agenti di trasporto, vedere Agenti di trasporto in Exchange Server.

Requisiti IRM

Per impostazione predefinita, un'organizzazione Exchange è abilitata per IRM. Per implementare effettivamente IRM nell'organizzazione Exchange Server, la distribuzione deve soddisfare i requisiti descritti in questa tabella.

Server Requisiti
Cluster AD RMS Cluster AD RMS è il termine usato per qualsiasi distribuzione di AD RMS, incluso un singolo server AD RMS. AD RMS è un servizio Web, quindi non è necessario configurare un cluster di failover Windows Server. Per l'alta disponibilità e il bilanciamento del carico, è possibile distribuire più server AD RMS nel cluster e utilizzare Bilanciamento carico di rete.

Punto di connessione del servizio: le applicazioni compatibili con AD RMS come Exchange usano il punto di connessione del servizio registrato in Active Directory per individuare url e cluster AD RMS. Esiste un solo punto di connessione del servizio per AD RMS in una foresta di Active Directory. Durante l'installazione di AD RMS o al termine dell'installazione, è possibile registrare il punto di connessione del servizio.

Autorizzazioni: le autorizzazioni di lettura ed esecuzione per la pipeline di certificazione del server AD RMS (il ServerCertification.asmx file in \inetpub\wwwroot\_wmcs\certification\) devono essere assegnate a queste entità di sicurezza:

Utenti con privilegi avanzati di AD RMS: per abilitare la decrittografia del trasporto, la decrittografia del report journal, IRM in Outlook sul web e la decrittografia IRM per Ricerca di Exchange, è necessario aggiungere la cassetta postale della federazione al gruppo Utenti avanzati nel server AD RMS. Per i dettagli, vedere Aggiungere la cassetta postale di federazione per il gruppo di utenti con privilegi avanzati di AD RMS.
Exchange È richiesto Exchange 2010 o versioni successive.

In un ambiente di produzione, l'installazione di AD RMS e di Exchange sullo stesso server non è supportata.
Outlook In Outlook 2007 o versioni successive sono disponibili modelli di AD RMS per la protezione dei messaggi.

Le regole di protezione di Outlook in Exchange richiedono Outlook 2010 o versioni successive.
Exchange ActiveSync IRM è disponibile su dispositivi e applicazioni mobili che supportano il protocollo Exchange ActiveSync 14.1 o versione successiva e il contrassegno RightsManagementInformation incluso (entrambi introdotti in Exchange 2010 Service Pack 1). Gli utenti con i dispositivi supportati possono utilizzare ActiveSync per visualizzare, rispondere a, inoltrare e creare i messaggi protetti tramite IRM senza doversi connettere a un computer per attivare il dispositivo per IRM. Per ulteriori informazioni, vedere Understanding Information Rights Management in Exchange ActiveSync.

Le funzionalità IRM di Exchange supportano i formati file di Office. È possibile estendere la protezione IRM ad altri formati di file distribuendo strumenti di protezione personalizzati. Per altre informazioni sulle protezioni personalizzate, cercare Information Protection e i partner di controllo nella pagina Provider di soluzioni Microsoft.

Configurare e testare IRM

Utilizzare Exchange Management Shell per configurare le funzionalità di IRM in Exchange. Per le procedure, vedere Managing Rights Protection.

Una volta installato e configurato un server Cassette postali, è possibile utilizzare il cmdlet Test-IRMConfiguration per eseguire i test end-to-end della distribuzione di IRM. Il cmdlet consente di effettuare i seguenti test:

  • Controlla la configurazione di IRM per l'organizzazione Exchange.

  • Verifica le informazioni sulla versione e l'hotfix del server AD RMS.

  • Verifica se in un server Exchange può essere attivata la funzionalità RMS recuperando un certificato per account con diritti (RAC) e un certificato concessore di licenze client.

  • Acquisisce i modelli di criteri per i diritti AD RMS dal server AD RMS.

  • Verifica che il mittente specificato possa inviare i messaggi protetti tramite IRM.

  • Recupera una licenza d'uso degli utenti con privilegi avanzati per il destinatario specificato.

  • Acquisisce una pre-licenza per il destinatario specificato.

Per ulteriori informazioni, vedere Test-IRMConfiguration.

Estensione dei diritti di gestione con il connettore Rights Management

Il connettore Azure Rights Management (connettore RMS) è un'applicazione facoltativa che migliora la protezione dei dati per il server Exchange usando il servizio Azure Rights Management (Azure RMS) basato sul cloud. Una volta installato, il connettore RMS garantisce una protezione costante per l'intero ciclo di vita dei dati. I servizi sono personalizzabili, in modo da consentire agli utenti di definire il livello di protezione più adatto alle specifiche necessità. È possibile, ad esempio, limitare a specifici utenti l'accesso ai messaggi di posta elettronica o impostare i diritti di sola lettura per particolari messaggi.

Per ulteriori informazioni sul connettore RMS e sulla relativa installazione, vedere Distribuzione del connettore di Azure Rights Management.