DLP: policy di prevenzione della perdita dei dati

Le policy DLP di Microsoft Purview intercettano i dati sensibili mentre si muovono: un’email in uscita, un file condiviso in SharePoint Online, un messaggio Teams, una copia su USB. Per MS-102 devi saper mappare un requisito di business su location + condizione + azione, e conoscere l’ordine corretto di rollout.

Anatomia di una policy

Una policy DLP si costruisce in quattro passaggi: location → regole → condizioni → azioni.

1. Location (dove si applica)

Ogni location si può includere o escludere per utente, gruppo o sito: è così che si costruisce un pilota su un reparto solo.

2. Condizioni

• Sensitive information type (SIT) — pattern predefiniti o custom (Codice fiscale, IBAN, Credit Card Number). Ogni SIT si configura con instance count (da quante occorrenze scatta) e confidence level (quanto è affidabile il match).
• Trainable classifier — classificazione semantica su categorie non regolari (Curriculum vitae, Contratti, Codice sorgente): usalo quando il dato non ha un formato riconoscibile.
• Sensitivity label — la condizione più pulita quando l’organizzazione ha già uno schema di etichette: “se il file è etichettato Highly Confidential, blocca la condivisione esterna”.
• Destinatario / condivisione — “condiviso con persone esterne all’organizzazione” vs “interne”.

3. Azioni

• Restrict access / block — blocco puro.
• Block with override — l’utente può procedere con giustificazione (o segnalando un falso positivo); l’override viene loggato.
• Notify users with policy tip / email — avviso in Outlook, SharePoint, Teams o sull’endpoint.
• Send incident report — alert all’amministratore, con severità e opzione di report per ogni corrispondenza.
• Azioni endpoint — blocca copia su rimovibile, stampa, upload verso servizi cloud non approvati, incolla nel browser.

Strategia di rollout in tre fasi

1. Simulation mode (senza policy tip) — la policy gira, non blocca nulla, e produce dati in Activity explorer e nei report DLP. Serve a tarare instance count e confidence prima di toccare l’utente.
2. Simulation mode con policy tip, o enforcement con sole notifiche — l’utente vede l’avviso ma il flusso non si ferma: fase di educazione e raccolta segnalazioni di falso positivo.
3. Enforcement — attivi blocco o blocco con override, tenendo l’incident report all’admin per monitorare l’impatto reale.

Salta la fase 1 e ti ritrovi con l’help desk sommerso di ticket per email legittime bloccate.

Trappole tipiche d’esame

• Scenario: troppe email legittime vengono bloccate perché contengono un singolo numero simile a una carta di credito. → Risposta giusta: alza l’instance count (es. da 1 a 10) e/o il confidence level della regola; non disattivare la policy né rimuovere il SIT.
• Scenario: i dipendenti devono poter condividere dati sensibili tra loro, ma non verso l’esterno. → Risposta giusta: nella condizione seleziona “content is shared from Microsoft 365 with people outside my organization”. Se non specifichi il tipo di condivisione, la regola colpisce anche il traffico interno e paralizza la collaborazione.
• Scenario: una policy ha più regole e il comportamento osservato non è quello atteso. → Risposta giusta: conta la priorità delle regole: vengono valutate in ordine e, per una data azione, prevale la regola corrispondente con priorità più alta (a parità di match si applica l’azione più restrittiva). Riordina le regole invece di crearne di nuove.
• Scenario: devi impedire la copia di file riservati su chiavette USB dai portatili aziendali. → Risposta giusta: Endpoint DLP, con device onboardati (via Microsoft Intune o Microsoft Defender) e licenza Microsoft 365 E5 o add-on E5 Compliance / Information Protection and Governance — non basta E3.
• Scenario: serve bloccare la condivisione ma consentire eccezioni motivate al team commerciale. → Risposta giusta: azione block with override con giustificazione obbligatoria, non una policy separata in sola notifica.