purview-dlp-policy

Microsoft Purview DLP 策略

Microsoft Purview 数据丢失防护（DLP）可检测并阻止在 Microsoft 365 服务和 Windows/macOS 终端之间存在风险的敏感数据共享、传输或使用，并以零信任 数据 支柱为核心。

适用场景

使用一套合理、可调整的策略，在电子邮件、协作工具和终端之间阻止外泄敏感内容（个人身份信息、财务信息、知识产权、受监管数据）。

请勿将此技能用于基于 Insider Risk 的风险自适应 DLP（请使用 purview-advanced-dlp），或用于 Copilot 专属排除（请使用 purview-copilot-oversharing）。

为各工作负载选择合适的起始策略

工作负载	起始策略	说明
Exchange Online	阻止向外部发送大量匹配 SIT 的内容	策略提示 + 覆盖 + 说明理由
SharePoint / OneDrive	对共享带标签内容的外部操作发出警告	服务端检测
Teams	对包含 SIT 的聊天/频道帖子发出警告	仅适用于创建后的帖子
终端（Windows/Mac）	先审核 USB 复制，再警告，最后阻止	需要已加入管理的设备 + E5 Compliance
全部	先使用模拟模式 7-14 天	不设例外

经验法则：每个工作负载使用一项策略，按严重程度分层设置操作，始终先模拟，并在启用阻止前定义例外。

方法

1. 位置 - 明确选择位置：Exchange、SharePoint、OneDrive、Teams 和 Endpoint（单项策略默认不会涵盖所有位置）。Endpoint DLP 需要已加入管理的设备和 E5 Compliance。 验证：每项策略仅列出预期涵盖的位置；Endpoint 显示已加入管理的设备数量 > 0。
2. 条件 - 匹配 SIT、敏感度标签、可训练分类器和内容数量阈值（例如，5 个或更多信用卡号码）；组合使用以提高精确度。 验证：测试文档以预期的置信度和数量匹配规则。
3. 按严重程度设置操作 - 低 = 仅审核；中 = 发出警告，并允许覆盖 + 要求说明理由；高 = 阻止 + 通知。配置策略提示和事件报告。 验证：在测试事件中，每个严重程度分支都会触发预期操作。
4. 先模拟 - 以 模拟模式运行（7-14 天），在 Activity Explorer 中查看匹配结果，调整误报，然后再切换到强制执行。 验证：强制执行前，模拟报告显示的匹配量和误报率均在目标范围内。
5. 例外 - 定义受信任的收件人/域名和业务理由覆盖机制，避免阻止合法流程。 验证：由数据负责人审核并记录例外列表；测试覆盖工作流。
6. Endpoint DLP 入驻 - 通过 Defender for Endpoint 或 Intune 将设备加入管理，确认策略已下发，并先从审核模式开始，再启用警告/阻止。 验证：终端策略状态显示每台设备均已成功同步。
7. 运营 - 将事件转交至共享合规邮箱；每周审核覆盖理由；每月调整策略。 验证：已制定并达到事件分流 SLA；维护调整日志。

防护原则

• 未设置例外处理并完成模拟期时，绝不要启用 阻止——没有例外的阻止会在数小时内引发业务升级处理。
• DLP 优先级：策略按优先级顺序评估；以限制最严格的操作为准——记录优先级，并在添加新策略时进行审核。
• 先完成数据分类——未分类就使用 DLP 会产生过多噪声，导致团队放弃调整。
• Teams DLP 仅适用于创建策略之后发布的消息（不追溯生效）——请据此设定预期。
• 每位用户都需要已加入管理的设备和 E5 Compliance 才能使用 Endpoint DLP——设计策略前请确认许可证。

常见反模式

• 为所有位置设置相同条件的单一租户级策略——要么在某些地方过于嘈杂， 要么在另一些地方范围过窄。
• 因为“规则很明显”而跳过模拟——结果在财务月末造成问题。
• 没有例外处理路径——业务部门通过将文件发送到个人账户来绕过策略。
• 在启用 Endpoint DLP 的第一天就阻止操作——用户抗议并禁用 Agent。
• 每月而非每周审核匹配项——误报不断增加，却无人处理。

示例提示词

• 帮助我构建 Purview DLP 策略，以保护 Exchange 和 SharePoint 中的财务数据。
• 如何配置 Endpoint DLP，以阻止将敏感文件复制到 USB？
• 在强制实施新策略之前，我应遵循哪些 DLP 模拟模式步骤？
• 设计一个符合 GDPR 的 DLP 策略，涵盖 Microsoft 365 中的个人数据。
• 如何使用数量阈值和 Activity Explorer 匹配项调整 DLP 规则，以减少信用卡号误报？

Microsoft Learn

• 创建并部署 DLP 策略：https://learn.microsoft.com/purview/dlp-create-deploy-policy
• Endpoint DLP：https://learn.microsoft.com/purview/endpoint-dlp-learn-about
• DLP 策略参考：https://learn.microsoft.com/purview/dlp-policy-reference
• 测试 DLP 策略（模拟）：https://learn.microsoft.com/purview/dlp-test-dlp-policies
• Activity Explorer：https://learn.microsoft.com/purview/data-classification-activity-explorer
• Microsoft Teams 的 DLP：https://learn.microsoft.com/purview/dlp-microsoft-teams