Le organizzazioni gestiscono ogni giorno enormi volumi di dati, ma non tutti hanno lo stesso valore o la stessa sensibilità. Microsoft Purview offre gli strumenti di information protection e data loss prevention (DLP) per classificare, etichettare, proteggere e governare le informazioni lungo tutto il loro ciclo di vita, indipendentemente da dove risiedono o vengano condivise.

Classificazione dei dati e sensitivity label

Il primo passo per proteggere i dati è sapere quali dati si possiedono. La classificazione permette di identificare informazioni sensibili tramite:

  • Sensitive information types (SIT): pattern predefiniti o personalizzati che riconoscono dati come numeri di carta di credito, codici fiscali o passaporti.
  • Trainable classifiers: modelli di machine learning che riconoscono categorie di contenuto (es. curriculum, contratti) sulla base di esempi.

Le sensitivity label (etichette di riservatezza) sono il cuore dell’information protection. Un’etichetta come Public, General, Confidential o Highly Confidential viene applicata a documenti ed email e trasporta con sé le regole di protezione. I punti chiave da ricordare:

  • La protezione è persistente e viaggia con il file: se un documento etichettato Confidential viene copiato, inviato o scaricato, le protezioni restano attaccate al contenuto.
  • Le etichette possono applicare crittografia, watermarking, header/footer e restrizioni d’uso (es. impedire stampa, copia o inoltro).
  • L’applicazione può essere manuale (l’utente sceglie), automatica (in base al contenuto rilevato) o consigliata (l’app suggerisce l’etichetta all’utente).

Le etichette si estendono anche ai container (siti SharePoint, team, gruppi) e ad asset dati in Microsoft Fabric e nei database, garantendo coerenza tra contenuti non strutturati e strutturati.

Data Loss Prevention (DLP)

Mentre le sensitivity label proteggono il contenuto in sé, le policy DLP controllano come e dove le informazioni sensibili possono essere condivise. Una policy DLP monitora attività su email (Exchange), documenti (SharePoint, OneDrive), chat e canali (Teams) ed endpoint (dispositivi Windows/macOS).

Quando un utente tenta un’azione a rischio — ad esempio inviare un’email con numeri di carta di credito a un destinatario esterno — la policy DLP può:

  • Bloccare l’azione impedendo la condivisione.
  • Mostrare un policy tip che avvisa l’utente e ne spiega il motivo.
  • Consentire un override con giustificazione, oppure generare un report/alert per gli amministratori.

Le policy DLP possono basarsi sui sensitive information types o direttamente sulle sensitivity label, combinando così i due approcci. Endpoint DLP estende questi controlli alle azioni locali sui dispositivi, come la copia su chiavette USB o l’upload verso siti non autorizzati.

Data lifecycle e records management

La protezione include anche il governare quanto a lungo conservare i dati. In Microsoft Purview:

  • Data lifecycle management usa retention policy e retention label per conservare i dati per un periodo definito e poi cancellarli automaticamente (o l’inverso: cancellare dopo un tempo prestabilito).
  • Records management consente di dichiarare contenuti come record, applicando controlli più rigorosi (immutabilità, blocco della modifica/cancellazione) per soddisfare requisiti normativi e legali.

L’obiettivo è duplice: conservare ciò che serve per compliance e eliminare ciò che non serve più per ridurre rischi e superficie di esposizione.

Sensitivity label vs DLP: quando usare cosa

La distinzione è ricorrente all’esame:

  • Usa una sensitivity label quando vuoi proteggere il contenuto in modo persistente — crittografia, restrizioni d’uso e watermark che restano attaccati al file ovunque vada.
  • Usa una policy DLP quando vuoi impedire la condivisione o la fuoriuscita di dati sensibili verso destinazioni non autorizzate.

I due strumenti sono complementari: si etichetta il contenuto per proteggerlo e si usa la DLP per controllarne il movimento.

Trappole tipiche d’esame

  • Scenario: vuoi che un documento Confidential resti crittografato anche dopo essere stato inviato fuori dall’organizzazione → risposta giusta: sensitivity label (protezione persistente che viaggia col file), non la DLP.
  • Scenario: vuoi bloccare l’invio di email contenenti numeri di carta di credito a destinatari esterni → risposta giusta: policy DLP, non una retention label.
  • Scenario: devi conservare i contratti per 7 anni e poi cancellarli automaticamente → risposta giusta: retention label / data lifecycle management in Microsoft Purview.
  • Scenario: devi identificare dove risiedono dati sensibili come codici fiscali prima di proteggerli → risposta giusta: classificazione dei dati tramite sensitive information types o trainable classifiers.
  • Scenario: vuoi applicare controlli di immutabilità per requisiti legali su documenti dichiarati ufficiali → risposta giusta: records management, non una semplice retention policy.