Microsoft Purview Data Loss Prevention og Information Protection

Information Protection er klassificerings- og mærkningsmotoren. Den kan genkende indhold ud fra mønstre (regulære udtryk, ordlister, maskinlærte klassifikatorer) og påføre et følsomhedsmærke. Mærket er ikke bare et stempel – det bærer selve beskyttelsen med sig i form af kryptering og rettigheder, der følger filen ud af organisationen.

Data Loss Prevention er håndhævelsesmotoren. En DLP-politik består af lokationer (hvor gælder den), betingelser (hvad udløser den) og handlinger (hvad sker der så). Handlingerne spænder fra en diskret advarsel til hård blokering med krav om forretningsmæssig begrundelse.

De to spiller sammen: den mest robuste DLP-betingelse er ikke "indeholder et CPR-nummer", men "har label Fortroligt" – for så håndhæves alt det, der er klassificeret, uanset om mønstergenkendelsen fanger det i det konkrete dokument.

Microsoft har indbyggede følsomme informationstyper for danske CPR-numre og kontonumre, men de rammer ikke alt. Vi supplerer altid med:

• Egne informationstyper for jeres sagsnumre, journalnumre, medarbejder-id'er og kundenumre.
• Nøgleordslister med fagtermer fra jeres domæne – diagnosebetegnelser, sagstyper, kontraktbegreber – der hæver præcisionen markant.
• Trainable classifiers til dokumenttyper, der ikke kan beskrives med mønstre, f.eks. ansættelseskontrakter eller kliniske notater.
• Konfidensniveauer og tælleregler, så ét enkelt tal i et regneark ikke udløser samme reaktion som en liste med 400 CPR-numre.

Uden dette skridt bliver DLP støjende, brugerne lærer at klikke sig forbi advarslerne, og hele indsatsen mister troværdighed.

Exchange Online: Mails til eksterne modtagere med ét eller flere CPR-numre blokeres med en forklarende besked og et link til den sikre delingsmulighed. Interne mails med samme indhold får kun et policy tip.

SharePoint og OneDrive: Dokumenter med label Fortroligt kan ikke deles via "Alle med linket". Forsøg logges, og ejeren får en notifikation. Eksisterende anonyme links på mærket indhold udløber automatisk efter 30 dage.

Endpoints (sammen med Intune): Kopiering af mærkede filer til USB blokeres. Upload til ikke-godkendte cloud-lagre og browserbaserede AI-tjenester blokeres. Print af Strengt fortroligt materiale kræver begrundelse. Enhederne onboardes via Intune, hvilket typisk er den længste del af projektet.

Teams: Deling af følsomme oplysninger i chats med eksterne gæster blokeres, og kanalfiler arver sitets følsomhedsmærke.

1. Uge 1 – Dataindsigt. Vi aktiverer klassificering og kører content explorer, så vi ved hvilke datatyper der reelt findes, og i hvilket omfang.
2. Uge 2 – Design. Label-hierarki, informationstyper og et prioriteret politikkatalog. Vi vælger de 3–5 politikker med størst risikoreduktion og mindst brugerfriktion.
3. Uge 3 – Implementering i simulering. Politikkerne slås til uden håndhævelse. Ingen brugere mærker noget, men vi indsamler data om hvad der ville være sket.
4. Uge 4 – Tuning og beslutning. Vi gennemgår hits, fjerner falske positiver, justerer tærskler og leverer en anbefaling om, hvad der kan sættes i håndhævelse.

Derefter følger typisk et pilotforløb på 6–8 uger med håndhævelse i én afdeling, inden det rulles bredt ud.