关于 insider-risk-baseline
为组织建立 Microsoft Purview Insider Risk Management 内部风险计划提供操作指导，涵盖离职员工数据窃取、数据泄漏和策略违规。重点是隐私保护、审查流程和信号调优。
主要功能
- 01选择内部风险策略模板
- 02连接 HR 数据并配置指标
- 03通过假名化和 RBAC 保护隐私
- 04审查警报、调查案例并升级
- 05调整阈值并接入 Adaptive Protection
适用场景
- 01部署离职员工数据窃取检测
- 02调查敏感数据泄漏或策略违规
- 03为内部风险审查设置隐私控制
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/insider-risk-baseline确认已加载。
详细介绍
Microsoft Purview Insider Risk Management（基线）
Insider Risk Management（IRM）利用 Microsoft 365 和已连接来源中的信号，检测、调查并处理高风险内部人员活动——数据盗窃、泄露和策略违规——并通过隐私保护设计控制措施（假名化、RBAC、职责分离）保障隐私。
适用场景
建立内部人员风险计划：应对离职员工盗窃数据、敏感数据泄露和违反安全策略等情况，并确保获得法务、人力资源和隐私团队的支持。
IRM 运行后，不要将此技能用于风险自适应 DLP 设计（请使用 purview-advanced-dlp），也不要用于一般通信合规（如有，请使用 purview-communication-compliance）。
选择合适的起始策略模板
| 关注事项 | 模板 |
|---|---|
| 员工离职时带走数据 | 离职用户数据盗窃（需要用于处理辞职/解雇事件的人力资源连接器） |
| 向未经授权的收件人泄露敏感内容 | 数据泄露（一般 / 按优先用户 / 按不满用户） |
| 违反安全策略（恶意软件、禁用防病毒软件等） | 安全策略违规 |
| 高风险 AI 使用 | 高风险 AI 使用（视预览版/正式版的可用情况而定） |
| 患者数据 / 医疗保健场景 | 患者数据泄露（行业专用） |
经验法则：每季度选择一个模板，将其调整到可接受的信噪比，然后再添加下一个模板。未经调整便同时启用多个模板，会使审核人员不堪重负。
方法
- 与利益相关者协作——邀请法务、人力资源、隐私团队以及（如适用）员工委员会参与设计；记录监控的合法依据。 验证：已签字批准的范围文档，明确列出数据来源、保留期限和审核人员角色。
- 配置先决条件——设置 IRM，启用所需的指标（Office、设备、通过连接器接入的实体门禁记录），并通过 Microsoft 365 HR connector 连接人力资源数据，以获取辞职/解雇等事件。 验证：人力资源连接器状态正常，且测试辞职事件在 24 小时内出现。
- 选择策略模板——从以下模板开始：离职用户数据盗窃、数据泄露、安全策略违规和高风险 AI 使用；配置范围。 验证：策略已就绪，用户范围（先从试点开始）和指标集已明确定义。
- 隐私保护设计——启用用户名的假名化，严格限定分析人员/审核人员角色（RBAC、职责分离），并根据法律/员工委员会的要求配置匿名化。 验证：审核人员默认看到的是假名化标识符；取消匿名化需要更高权限角色。
- 分流与调查——审核警报、创建案例、检查用户活动时间线，并按照文档所述工作流升级处理（例如转交给 eDiscovery / 人力资源团队）。 验证：案例管理工作流已建立，包含各阶段、负责人和 SLA。
- 调整指标和阈值——将阈值调整至可接受的信噪比；记录调整决定以供审计。 验证：每位审核人员每周收到的警报数量在约定范围内。
- 自适应保护——将 IRM 风险等级传入 Adaptive Protection，以便对高风险用户动态收紧 DLP/Conditional Access。 验证：高风险测试用户会触发更严格的 DLP 分支。
防护措施
- 部署前应让法务、人力资源和隐私相关方参与；内部人员风险监控较为敏感，治理不当会损害员工信任并带来法律风险。
- 默认采用假名化，并遵循最小权限原则配置审核人员；将 IRM 分析师与调查员角色分开。
- 调整指标阈值以避免警报过载；先从小范围开始（一个 BU 或优先用户组），再扩展到整个租户。
- 检测离职用户必须使用人力资源连接器——辞职／解雇事件能提供置信度最高的信号；没有该连接器，此模板就无法全面发挥作用。
- 根据法律／监管要求，记录 IRM 信号／案例的保留期限；保留时间不得超过合理需要。
常见反模式
- 第一天就为整个租户启用所有模板——审核人员一周内就会疲于应对。
- 没有人力资源连接器——离职用户模板会因弱信号触发，并漏掉真实案例。
- 因为“我们信任分析师”而关闭假名化——之后员工委员会和法务部门会提出异议。
- 单一角色组拥有全部 IRM 权限——缺乏职责分离。
- 没有明确的升级至人力资源／法务部门的路径——案例会在队列中被搁置。
示例提示词
为窃取数据的离职员工建立 Insider Risk Management 策略。如何在 IRM 中配置假名化和遵循最小权限原则的审核人员？连接人力资源数据，以便在辞职／解雇事件发生时触发 IRM 信号。将 IRM 风险级别纳入 Adaptive Protection。调整 IRM 指标阈值以减少警报过载。
Microsoft Learn
- IRM 概述：https://learn.microsoft.com/purview/insider-risk-management
- 规划和配置 IRM：https://learn.microsoft.com/purview/insider-risk-management-configure
- 策略模板：https://learn.microsoft.com/purview/insider-risk-management-policies
- Adaptive Protection：https://learn.microsoft.com/purview/insider-risk-management-adaptive-protection
- 人力资源连接器：https://learn.microsoft.com/purview/import-hr-data
- 权限和角色组：https://learn.microsoft.com/purview/insider-risk-management-permissions
评论
支持 Markdown