建立和部署數據外洩防護原則

Microsoft Purview 資料外洩防護 (DLP) 原則中有許多設定選項。 每個選項都會變更原則的行為。 本文針對您對應至組態選項的原則，提供一些常見的意圖案例。 然後，它會逐步引導您設定這些選項。 一旦您熟悉這些案例，您將具備使用 DLP 原則建立 UX 建立您自己的原則所需的基本技能。

您部署原則的作法與重要的原則設計一樣重要。 您有 多個選項可控制原則部署。 本文說明如何使用這些選項，讓原則達到您的意圖，同時避免昂貴的業務中斷。

如果您不熟悉 purview DLP Microsoft，以下是您在實作 DLP 時應該熟悉的核心文章清單：

1. 管理單位
2. 瞭解 Microsoft Purview 資料外洩防護 - 本文將介紹數據外泄防護專業領域和Microsoft的 DLP 實作。
3. 規劃數據外洩防護 (DLP) - 透過本文，您將：
   1. 識別專案關係人
   2. 描述要保護的敏感性資訊類型
   3. 設定目標和策略
4. 數據外洩防護原則參考 - 本文介紹 DLP 原則的所有元件，以及每個元件如何影響原則的行為。
5. 設計 DLP 原則 - 本文會逐步引導您建立原則意圖語句，並將它對應至特定的原則設定。
6. 建立和部署數據外洩防護原則 - 您正在閱讀的本文會呈現一些您對應至組態選項的常見原則意圖案例。 然後，它會逐步引導您設定這些選項，並提供部署原則的指引。
7. 瞭解如何調查數據外洩防護警示 - 本文將介紹從建立到最終補救和原則微調的警示生命週期。 它也會向您介紹用來調查警示的工具。

如需授權的相關信息，請參閱

• Microsoft 365 企業版 方案
• Microsoft 365 服務描述

您用來建立和部署原則的帳戶必須是其中一個角色群組的成員

• 合規性系統管理員
• 合規性資料管理員
• 資訊保護
• 資訊保護系統管理員
• 安全性系統管理員

您可以使用角色和角色群組來微調訪問控制。

以下是適用角色的清單。 若要深入瞭解，請參閱 Microsoft Purview 合規性入口網站 中的許可權。

• DLP 合規性管理
• 資訊保護系統管理員
• 資訊保護分析員
• 資訊保護調查人員
• 資訊保護讀者

以下是適用的角色群組清單。 若要深入瞭解，請參閱，請參閱 Microsoft Purview 合規性入口網站 中的許可權。

• 資訊保護
• 資訊保護系統管理員
• 資訊保護分析員
• 資訊保護調查人員
• 資訊保護讀者

上一篇文章 設計 DLP 原則 會介紹建立原則意圖語句，然後將該意圖語句對應至原則組態選項的方法。 本節將採用這些範例，再加上一些範例，並逐步引導您完成實際的原則建立程式。 您應該在測試環境中處理這些案例，以熟悉原則建立UI。

原則建立流程中有許多設定選項，因此無法涵蓋每個或甚至大部分的設定。 因此，本文涵蓋數個最常見的 DLP 原則案例。 進行這些作業可讓您在各種不同的設定中提供實際作體驗。

• 案例 1 封鎖具有信用卡號碼的電子郵件
• 案例 2 封鎖在 Microsoft 365 中透過 SharePoint 和 OneDrive 與外部使用者共用敏感性專案
• 案例 3 將控制項套用至掃描失敗的支援檔案
• 案例 4 設定原則動作
• 案例 5 將控件套用至一些不支援的檔案
• 案例6停用某些支援檔案的掃描並套用控件
• 案例 7 使用信用卡號碼封鎖 Power BI 報表

此案例使用 高度機密 敏感度標籤，因此您必須建立併發佈敏感度標籤。 若要深入了解，請參閱：

• 了解敏感度標籤
• 開始使用敏感度標籤
• 建立及設定敏感度標籤及其原則

此程式使用位於 Contoso.com 的假設通訊群組 財務小組 和假設的 SMTP 收件者 adele.vance@fabrikam.com。

此程式使用警示，請參閱： 開始使用數據外泄防護警示

我們需要封鎖電子郵件給所有包含信用卡號碼或已套用「高度機密」敏感度標籤的收件者，除非該電子郵件是從財務小組的某人傳送至 adele.vance@fabrikam.com。 我們想要在每次封鎖電子郵件時通知合規性系統管理員，並通知傳送項目的使用者，不允許任何人覆寫該區塊。 在記錄檔中追蹤此高風險事件的所有發生次數，而且我們希望擷取並可供調查的任何事件詳細數據

針對您使用的入口網站選取適當的索引標籤。 視您的Microsoft 365 方案而定，Microsoft Purview 合規性入口網站 即將淘汰或即將淘汰。

若要深入瞭解 Microsoft Purview 入口網站，請 參閱 Microsoft Purview 入口網站。 若要深入瞭解合規性入口網站，請參閱 Microsoft Purview 合規性入口網站。

針對 Microsoft 365 中的 SharePoint 和 OneDrive，您會建立原則來封鎖透過 SharePoint 和 OneDrive 與外部用戶共用敏感性專案。

此案例使用 機密 敏感度標籤，因此您必須建立併發佈敏感度標籤。 若要深入了解，請參閱：

• 了解敏感度標籤
• 開始使用敏感度標籤
• 建立及設定敏感度標籤及其原則

此程式會使用假設的通訊群組 人力資源 ，以及安全性小組在 Contoso.com 的通訊群組。

此程式使用警示，請參閱： 開始使用數據外泄防護警示

我們需要封鎖所有共用 SharePoint 和 OneDrive 專案的外部收件者，這些收件者包含社會安全號碼、信用卡數據或具有「機密」敏感度標籤。 我們不想要將此套用至人力資源小組的任何人。 我們也必須符合警示需求。 我們想要在每次共用檔案後封鎖時，使用電子郵件通知安全性小組。 此外，我們希望使用者盡可能透過電子郵件和介面內收到警示。 最後，我們不想要原則有任何例外狀況，而且需要能夠在系統內看到此活動。

設定條件時，摘要如下所示：

針對您使用的入口網站選取適當的索引標籤。 視您的Microsoft 365 方案而定，Microsoft Purview 合規性入口網站 即將淘汰或即將淘汰。

若要深入瞭解 Microsoft Purview 入口網站，請 參閱 Microsoft Purview 入口網站。 若要深入瞭解合規性入口網站，請參閱 Microsoft Purview 合規性入口網站。

當您想要針對 [ 受監視檔案 ] 清單上但端點 DLP 無法掃描的檔案，套用 [稽核]、[封鎖] 或 [封鎖] 以覆寫用戶活動的控件時，請使用此案例。

此案例會要求您已將裝置上線並報告至活動總管。 如果您還沒有上線裝置，請參閱 開始使用端點資料外洩防護。

有時候，端點 DLP 支援的檔案掃描會失敗。 這些檔案中可能有敏感性資訊，但我們不知道。 當掃描任何上線裝置上的檔案失敗時，我們想要防止使用者將該檔案複製到USB裝置或網路共用。

設定條件時，摘要如下所示：

針對您使用的入口網站選取適當的索引標籤。 視您的Microsoft 365 方案而定，Microsoft Purview 合規性入口網站 會淘汰或即將淘汰。

若要深入瞭解 Microsoft Purview 入口網站，請 參閱 Microsoft Purview 入口網站。 若要深入瞭解合規性入口網站，請參閱 Microsoft Purview 合規性入口網站。

當您想要對 不 在 [ 受監視檔案 ] 清單上的檔案套用 [稽核]、[封鎖] 或 [封鎖] 的用戶活動控件，而不需要透過擴展名來列舉所有擴展名 是 條件時，請使用此案例。 使用此設定來建立一個全面性原則，以在檔案上放置控件，例如 .mp3、.wav、.dat。

端點 DLP 不會掃描許多類型的檔案，超過我們所能追蹤的數目。我們不知道這些檔案中是否有敏感性資訊，因此我們想要在使用者嘗試將這些檔案複製到USB裝置或網路共用之前，先備妥檢查點。 我們不想要中斷 abc 檔類型的 使用者工作流程，這是我們熟知且不會造成數據外洩的威脅。

使用此設定可從原則中排除擴展名。

針對您使用的入口網站選取適當的索引標籤。 視您的Microsoft 365 方案而定，Microsoft Purview 合規性入口網站 即將淘汰或即將淘汰。

若要深入瞭解 Microsoft Purview 入口網站，請 參閱 Microsoft Purview 入口網站。 若要深入瞭解合規性入口網站，請參閱 Microsoft Purview 合規性入口網站。

針對您使用的入口網站選取適當的索引標籤。 視您的Microsoft 365 方案而定，Microsoft Purview 合規性入口網站 即將淘汰或即將淘汰。

若要深入瞭解 Microsoft Purview 入口網站，請 參閱 Microsoft Purview 入口網站。 若要深入瞭解合規性入口網站，請參閱 Microsoft Purview 合規性入口網站。

使用此設定可將 [稽核]、[含覆寫的封鎖] 或 [封鎖] 控件套用至您從 [受監視檔案] 清單上的所有檔案定義的檔類型清單。 例如，您可以將控件套用至視訊檔案，例如 .mp3 檔案 (，而這些檔案不會受到EDLP) 監視。

此組態會使用 擴展名群組 的組合，而且 無法掃描檔 條件。 它不會使用 擴展名是 條件。 這表示您包含在擴展 名群組 中的檔案內容不會由端點 DLP 掃描，而且您不會在原則相符專案所產生的事件或警示中看到 敏感性資訊類型的 值。

我們 Wingtip Toys 有想要套用控件之裝置上的檔案類型清單。 我們知道它們不在端點 DLP 的受監視檔案清單上。 我們想要防止使用者將這些檔案複製到USB裝置或網路共用。 當他們嘗試時，我們想要讓他們知道，為了教育他們，他們嘗試採取禁止的動作。

針對您使用的入口網站選取適當的索引標籤。 若要深入瞭解 Microsoft Purview 入口網站，請 參閱 Microsoft Purview 入口網站。 若要深入瞭解合規性入口網站，請參閱 Microsoft Purview 合規性入口網站。

針對您使用的入口網站選取適當的索引標籤。 視您的Microsoft 365 方案而定，Microsoft Purview 合規性入口網站 已淘汰或即將淘汰。

若要深入瞭解 Microsoft Purview 入口網站，請 參閱 Microsoft Purview 入口網站。 若要深入瞭解合規性入口網站，請參閱 Microsoft Purview 合規性入口網站。

針對您使用的入口網站選取適當的索引標籤。 視您的Microsoft 365 方案而定，Microsoft Purview 合規性入口網站 已淘汰或即將淘汰。

若要深入瞭解 Microsoft Purview 入口網站，請 參閱 Microsoft Purview 入口網站。 若要深入瞭解合規性入口網站，請參閱 Microsoft Purview 合規性入口網站。

使用此設定可藉由停用監視 檔案 清單上某些檔類型的掃描來節省本機資源耗用量。 您可以將具有覆寫控件的稽核、封鎖或封鎖套用至這些文件類型。

Bellows 大學需要節省所有使用者 Windows 裝置上的資源，而減少 DLP 掃描檔案會是一大説明。 我們有一份已知內容的檔類型清單，因為它們是自動產生的。 這些檔案類型位於支援的檔案類型清單中。 不需要掃描這些自動產生的檔案，但我們想要防止使用者將它們複製到USB裝置或網路共用。 當他們嘗試時，我們想要讓他們知道，為了教育他們，他們嘗試採取禁止的動作。

針對您使用的入口網站選取適當的索引標籤。 若要深入瞭解 Microsoft Purview 入口網站，請 參閱 Microsoft Purview 入口網站。 若要深入瞭解合規性入口網站，請參閱 Microsoft Purview 合規性入口網站。

針對您使用的入口網站選取適當的索引標籤。 視您的Microsoft 365 方案而定，Microsoft Purview 合規性入口網站 已淘汰或即將淘汰。

若要深入瞭解 Microsoft Purview 入口網站，請 參閱 Microsoft Purview 入口網站。 若要深入瞭解合規性入口網站，請參閱 Microsoft Purview 合規性入口網站。

使用此設定可從端點 DLP 分類中排除特定的擴展名。

針對您使用的入口網站選取適當的索引標籤。 視您的Microsoft 365 方案而定，Microsoft Purview 合規性入口網站 已淘汰或即將淘汰。

若要深入瞭解 Microsoft Purview 入口網站，請 參閱 Microsoft Purview 入口網站。 若要深入瞭解合規性入口網站，請參閱 Microsoft Purview 合規性入口網站。

針對您使用的入口網站選取適當的索引標籤。 視您的Microsoft 365 方案而定，Microsoft Purview 合規性入口網站 即將淘汰或即將淘汰。

若要深入瞭解 Microsoft Purview 入口網站，請 參閱 Microsoft Purview 入口網站。 若要深入瞭解合規性入口網站，請參閱 Microsoft Purview 合規性入口網站。

此案例使用 高度機密 - 內部 敏感度標籤，因此您必須建立併發佈敏感度標籤。 若要深入了解，請參閱：

• 了解敏感度標籤
• 開始使用敏感度標籤
• 建立及設定敏感度標籤及其原則

此程式使用警示，請參閱： 開始使用數據外泄防護警示

除非數據標示為「高度機密 - 內部」敏感度，否則我們需要封鎖外部使用者，防止其報告包含信用卡號碼，在此情況下，保護原則會限制選取安全組的存取權。 我們想要通知合規性系統管理員，每當語意模型遭到封鎖，且數據擁有者知道限制已發生時。 我們也希望內部使用者知道數據高度機密，而且不應該在組織外部共用。

針對您使用的入口網站選取適當的索引標籤。 視您的Microsoft 365 方案而定，Microsoft Purview 合規性入口網站 即將淘汰或即將淘汰。

若要深入瞭解 Microsoft Purview 入口網站，請 參閱 Microsoft Purview 入口網站。 若要深入瞭解合規性入口網站，請參閱 Microsoft Purview 合規性入口網站。

成功部署原則不只是讓原則進入您的環境，以強制執行用戶動作的控制。 隨機、混亂的部署可能會對商務程式造成負面影響，並讓您的使用者感到困擾。 這些結果會讓您組織中 DLP 技術的接受速度變慢，以及其提升的更安全行為。 最終讓您的敏感性項目長期較不安全。

開始部署之前，請確定您已閱讀原則 部署。 它提供原則部署程式和一般指引的廣泛概觀。

本節將深入探討您在生產環境中用來管理原則的三種控件類型。 請記住，您可以隨時變更其中任何一項，而不只是在原則建立期間。

您可以使用三個軸來控制原則部署程式、範圍、原則狀態和動作。 您應該一律採取累加方式來部署原則，從影響最小/模擬模式 到完全強制執行。

State 是您用來推出原則的主要控制件。 當您完成建立原則時，您會將原則的狀態設定為 [保持關閉]。 當您在處理原則設定時，以及在取得最終檢閱並註銷之前，您應該保持此狀態。 狀態可以設定為：

• 在模擬模式中執行原則：不會強制執行任何原則動作，系統會稽核事件。 處於此狀態時，您可以在 DLP 模擬模式概觀和 DLP 活動總 管控制台中監視原則的影響。
• 在模擬模式中執行原則，並在模擬模式中顯示原則提示：不會強制執行任何動作，但使用者會收到原則提示和通知電子郵件，以提高其認知並教育他們。
• 立即開啟：這是完整強制模式。
• 保持關閉：原則處於非作用中狀態。 在部署之前開發和檢閱原則時，請使用此狀態。

您可以隨時變更原則的狀態。

動作是原則在回應敏感性項目上用戶活動時所執行的動作。 因為您可以隨時變更這些專案，所以可以從影響最小的開始： [允許) 的裝置 (] 和 [僅 稽核 (其他所有位置) 、收集和檢閱稽核數據，然後使用它來微調原則，再移至更嚴格的動作。

• 允許：允許用戶活動發生，因此不會影響任何商務程式。 您會取得稽核數據，而且沒有任何使用者通知或警示。

  注意

  [ 允許 ] 動作僅適用於範圍為 [ 裝置 ] 位置的原則。

• 僅稽核：允許用戶活動發生，因此不會影響任何商務程式。 您會取得稽核數據，而且您可以新增通知和警示來提高認知並訓練使用者，讓他們知道他們的行為是有風險的行為。 如果您的組織想要在稍後強制執行更嚴格的動作，您也可以告訴使用者。

• 封鎖並覆寫：預設會封鎖用戶活動。 您可以稽核事件、引發警示和通知。 這會影響商務程式，但您的使用者可以選擇覆寫區塊，並提供覆寫的原因。 因為您會收到使用者的直接意見反應，所以此動作可協助您識別誤判相符專案，以供您進一步微調原則。

  注意

  針對 Microsoft 365 中的 Exchange Online 和 SharePoint，會在使用者通知區段中設定覆寫。

• 封鎖：無論發生什麼狀況，用戶活動都會遭到封鎖。 您可以稽核事件、引發警示和通知。

每個原則的範圍都是一或多個位置，例如 Exchange、Microsoft 365 中的 SharePoint、Teams 和裝置。 根據預設，當您選取某個位置時，該位置的所有實例都會落在範圍內，而且不會排除任何實例。 您可以設定位置的包含/排除選項，進一步精簡位置 (的實例，例如網站、群組、帳戶、通訊群組、信箱和裝置) 套用原則。 若要深入瞭解包含/排除範圍選項，請參閱 位置。

一般而言，當原則處於 模擬模式狀態執行 原則時，您在範圍設定方面會有更大的彈性，因為不會採取任何動作。 您可以從您為原則設計的範圍開始，或廣泛查看原則如何影響其他位置的敏感性專案。

然後，當您將狀態變更為 在模擬模式中執行原則並顯示原則秘訣時，您應該將範圍縮小為試驗群組，該試驗群組可提供您意見反應，並在其他人上線時成為其資源的早期採用者。

當您將原則移至 [立即開啟] 時，您會擴大範圍，以包含您在設計原則時想要的所有位置實例。

1. 建立原則並將其狀態設定為 [關閉] 之後，請與專案關係人進行最終檢閱。
2. 將狀態變更為 在模擬模式中執行原則。 此時位置範圍可能很廣泛，因此您可以跨多個位置收集原則行為的數據，或只從單一位置開始。
3. 根據行為數據調整原則，使其更符合商務意圖。
4. 將狀態變更為 在模擬模式中執行原則，並顯示原則提示。 視需要調整位置範圍以支持試驗群組，並使用包含/排除專案，以便先將原則推出至該試驗群組。
5. 視需要收集使用者意見反應、警示和事件數據，進一步微調原則和您的計劃。 請確定您已解決使用者所遇到的所有問題。 您的使用者很可能會遇到問題，並針對您在設計階段未想到的事項提出問題。 此時開發一組進階使用者。 它們可以是一項資源，可協助訓練其他使用者，因為原則的範圍已增加，且有更多用戶上線。 在您移至下一個部署階段之前，請確定原則已達成您的控制目標。
6. 將狀態變更為 立即開啟。 原則已完全部署。 監視 DLP 警示和 DLP 活動總管。 解決警示。