69. Параметри конфіденційності та телеметрії (Privacy)

Інженерні налаштування та рекомендації з посилення захисту (Hardening) робочих станцій Windows 11 через хмарну платформу Microsoft Intune.

Рекомендацій: 5

Windows 11 Intune v5.0.0

69.1 Переконайтеся, що для параметра «Дозволити буфер обміну між пристроями» встановлено значення «Блокувати»

Рівень 2 (L2)Автоматизовано

            Оригінал:
        

Цей параметр визначає, чи можна синхронізувати вміст буфера обміну пристроїв. Рекомендований стан для цього параметра: Блокувати.

💡 Обґрунтування безпеки:

У середовищах із високим рівнем безпеки дані буфера обміну мають залишатися локальними для системи, а не синхронізувати між пристроями, оскільки він може містити дуже конфіденційну інформацію, яка має бути обов’язковою міститься локально.

⚠️ Вплив на робочий процес (Impact):

Вміст буфера обміну не можна буде надати іншим пристроям.

🔍 Аудит (перевірка налаштувань)

Перейдіть до наступного розташування реєстру та зверніть увагу на GUID WinningProvider.
Це значення підтверджує, для якого GUID користувача встановлено політику.

HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\Privacy:AllowCrossDeviceClipboard_WinningProvider

Перейдіть до наступного розташування реєстру та переконайтеся, що значення встановлено на 0.

HKLM\SOFTWARE\Microsoft\PolicyManager\Providers\{GUID}\Default\Device\Privacy:AllowCrossDeviceClipboard

⚙️ Виправлення (Remediation / Налаштування)

Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях до каталогу налаштувань для блокування: Privacy\Allow Cross Device Clipboard

Значення за замовчуванням: Увімкнено. (Вміст буфера обміну можна синхронізувати між пристроями, на яких виконано вхід під тим самим обліковим записом Microsoft або обліковим записом Azure AD.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- privacy#allowcrossdeviceclipboard 2. GRID: MS-00000352 3. Minimum OS CSP: Windows 10, Version 1809 and later `

CIS Controls: `




                    CIS Controls V8: 4.8

                    IG 1, 2
                
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.




69.2 Переконайтеся, що для параметра «Дозволити персоналізацію введення» встановлено значення «Блокувати»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Ця політика вмикає компонент автоматичного навчання персоналізації введення, який включає мовлення, рукописне введення та введення. Автоматичне навчання дозволяє збирати мовлення і шаблони рукописного введення, історію введення, контакти та нещодавню інформацію календаря. Це так необхідні для використання Cortana. Частина цієї зібраної інформації може зберігатися на OneDrive користувача, у разі рукописного введення та набору тексту; частина інформації буде завантажено до Microsoft для персоналізації мовлення. Рекомендований стан для цього параметра: Блокувати.




                💡 Обґрунтування безпеки:
            
Якщо цей параметр увімкнено, конфіденційна інформація може зберігатися в хмарі або надсилатися Microsoft.




                ⚠️ Вплив на робочий процес (Impact):
            
Автоматичне вивчення мовлення, рукописного введення та друку припиняється, і користувачі не можуть змінити його значення через налаштування ПК.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD має значення 0.
HKLM\SOFTWARE\Policies\Microsoft\InputPersonalization:AllowInputPersonalization




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях до каталогу налаштувань для блокування: Конфіденційність\Дозволити персоналізацію введення


Значення за замовчуванням: Увімкнено. (Автоматичне вивчення мовлення, рукописного введення та введення ввімкнено, але користувачі можуть  змініть це значення в налаштуваннях ПК.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- privacy#allowinputpersonalization 2. Minimum OS CSP: Windows 10, Version 1507 and later 3. GRID: MS-00000233 `

CIS Controls: ` 



                    CIS Controls V8: 4.1

                    IG 1, 2, 3
                
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.



                    CIS Controls V7: 5.1

                    IG 1, 2, 3
                
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.






69.3 Переконайтеся, що для параметра «Вимкнути ідентифікатор реклами» встановлено значення «Увімкнено»
Рівень 2 (L2)Автоматизовано



            Оригінал:
        

Цей параметр політики вимикає рекламний ідентифікатор, не дозволяючи програмам використовувати ідентифікатор для досвід у різних програмах. Рекомендований стан для цього параметра: увімкнено.




                💡 Обґрунтування безпеки:
            
Відстеження активності користувачів у рекламних цілях, навіть анонімне, може бути конфіденційним заклопотаність. У корпоративному керованому середовищі додатки не потребують або вимагають відстеження для цільової реклами.




                ⚠️ Вплив на робочий процес (Impact):
            
Рекламний ідентифікатор вимкнено. Програми не можуть використовувати ідентифікатор для роботи в різних програмах.




                🔍 Аудит (перевірка налаштувань)
            
Перейдіть до шляху інтерфейсу користувача, зазначеного в розділі «Виправлення», і підтвердьте, що його встановлено як призначений. Цей параметр політики підтримується наступним розташуванням реєстру з a REG_DWORD значення 1.
HKLM\SOFTWARE\Policies\Microsoft\Windows\AdvertisingInfo:DisabledByGroupPolicy




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Enabled: Конфіденційність\Вимкнути ідентифікатор реклами


Значення за замовчуванням: Вимкнено. (Користувачі можуть контролювати, чи можуть програми використовувати рекламний ідентифікатор для досвіду  через програми.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- privacy#disableadvertisingid 2. Minimum OS CSP: Windows 10, Version 1607 and later 3. GRID: MS-00000366 `

CIS Controls: ` 



                    CIS Controls V8: 4.8

                    IG 1, 2
                
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.



                    CIS Controls V7: 9.2

                    IG 1, 2
                
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.






69.4 Переконайтеся, що для параметра «Дозволити програмам активувати голос над блокуванням» встановлено значення «Увімкнено: примусова заборона»
Рівень 1 (L1)Автоматизовано



            Оригінал:
        

Цей параметр політики визначає, чи можна активувати програми Windows голосом (програми та Cortana), коли систему заблоковано. Рекомендований стан для цього параметра: Enabled: Force Deny.




                💡 Обґрунтування безпеки:
            
Не можна дозволяти доступ до будь-яких ресурсів комп’ютера, коли пристрій заблоковано.




                ⚠️ Вплив на робочий процес (Impact):
            
Користувачі не зможуть активувати програми, коли комп’ютер заблоковано.




                🔍 Аудит (перевірка налаштувань)
            

Перейдіть до наступного розташування реєстру та зверніть увагу на GUID WinningProvider.
Це значення підтверджує, для якого GUID користувача встановлено політику.

HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\Privacy:LetAppsActivateWithVoiceAboveLock_WinningProvider

Перейдіть до наступного розташування реєстру та переконайтеся, що для значення встановлено значення 2.

HKLM\SOFTWARE\Microsoft\PolicyManager\Providers\{GUID}\Default\Device\Privacy:LetAppsActivateWithVoiceAboveLock




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне Шлях каталогу налаштувань до Enabled: Force Deny: Конфіденційність\Дозвольте програмам активуватись голосом над блокуванням


Значення за замовчуванням: Вимкнено. (Користувач може вирішити, чи можуть програми Windows взаємодіяти з програмами  використання мовлення, коли систему заблоковано, за допомогою меню «Налаштування» > «Конфіденційність» на пристрої.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- privacy#letappsactivatewithvoiceabovelock 2. GRID: MS-00000371 3. Minimum OS CSP: Windows 10, Version 1903 and later `

CIS Controls: ` 



                    CIS Controls V8: 0.0

                    IG 1
                
Explicitly Not Mapped Explicitly Not Mapped



                    CIS Controls V7: 9.2

                    IG 1, 2
                
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.






69.5 Переконайтеся, що для параметра «Завантажити дії користувача» встановлено значення «Вимкнено»
Рівень 2 (L2)Автоматизовано



            Оригінал:
        

Цей параметр політики визначає, чи можна завантажувати опубліковані дії користувача в хмара. Рекомендований стан для цього параметра: вимкнено.




                💡 Обґрунтування безпеки:
            
З міркувань конфіденційності дані ніколи не слід надсилати третім особам, оскільки ці дані може містити конфіденційну інформацію.




                ⚠️ Вплив на робочий процес (Impact):
            
Діяльність типу User Activity не можна завантажувати в хмару. Хронологія функція не працюватиме на різних пристроях.




                🔍 Аудит (перевірка налаштувань)
            

Перейдіть до наступного розташування реєстру та зверніть увагу на GUID WinningProvider.
Це значення підтверджує, для якого GUID користувача встановлено політику.

HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\Privacy:UploadUserActivities_WinningProvider

Перейдіть до наступного розташування реєстру та переконайтеся, що значення встановлено на 0.

HKLM\SOFTWARE\Microsoft\PolicyManager\Providers\{GUID}\Default\Device\Privacy:UploadUserActivities




                ⚙️ Виправлення (Remediation / Налаштування)
            
Щоб установити рекомендовану конфігурацію за допомогою профілів конфігурації, установіть наступне У Settings Catalog встановіть стан: Disabled: Конфіденційність\Завантаження дій користувача


Значення за замовчуванням: Увімкнено. (Дії типу User Activity можна завантажувати в хмару.)

📋 CIS Controls & Нормативні посилання

Посилання: “ 1. https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp- privacy#uploaduseractivities 2. GRID: MS-00000353 3. Minimum OS CSP: Windows 10, Version 1803 and later `

CIS Controls: ` 



                    CIS Controls V8: 0.0

                    IG 1
                
Explicitly Not Mapped Explicitly Not Mapped



                    CIS Controls V7: 9.2

                    IG 1, 2
                
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.


        


Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.
            

                До повного змісту CIS Microsoft Intune Benchmark →