למה DLP לא עובד ב-Exchange: סיבות ופתרונות

By Mirko Peters · 2026-04-20

אם הגעתם לכאן, אתם כבר מכירים את האתגר של שמירה על מידע רגיש תחת בקרה הדוקה ב-Microsoft Exchange Online. מניעת אובדן נתונים (DLP) אמורה לשמש כרשת ביטחון אוטומטית, שתופסת דליפות לפני שהמשתמשים לוחצים על שליחה. אבל מה קורה כשהכללים לא מופעלים כמו שצריך, או כש-DLP פשוט לא שם לב?

Automatically translated with AI from the original post. Read the English original

Titelbild: DLP Not Working in Exchange: Causes and Solutions

המדריך הזה חותך דרך הרעש ומגיע ללב העניין: למה מדיניות DLP נכשלת ב-Exchange Online. כאן תמצאו את מה שהתיעוד של Microsoft לרוב לא מסביר בפשטות: הסיבות האמיתיות לכשלי DLP, מכשולי רישוי שנפלו בין הכיסאות, מלכודות ב-Outlook שנעלמות מהעין, והבנה לא נכונה של הגדרות מדיניות. בעוד שמאמרי עזרה רבים חוזרים על צעדים כלליים, אנחנו נכנסים לפרטים כדי לעזור לכם לסגור באמת דליפות מידע ולהשיג את יעדי הציות שלכם.

בין אם אתם מנהלי Microsoft 365 מנוסים ובין אם אתם רק מנסים להבין למה ההתראה "DLP mismatch" לא נעלמת, זהו מדריך פתרון תקלות מעשי וללא פילוסופיה מיותרת.

הבנה של הסיבות לכשל מדיניות DLP ב-Exchange Online

מניעת אובדן נתונים אמורה לפעול כמעקה בטיחות שקט, שמתערב אוטומטית ועוצר שיתוף של מידע רגיש בדואר אלקטרוני. אבל לעיתים קרובות מדי, המנגנון הזה לא מופיע בדיוק כשצריך אותו. לפני שצוללים ליומנים או נאבקים ב-PowerShell, כדאי להבין את הסיבות העיקריות לכשל של DLP.

נקודת המוצא החשובה ביותר היא הרישוי. DLP אינו מתג שמדליקים ומכבים: נדרשות תוכניות ושירותים מתאימים של Microsoft 365 שמופעלים בדייר שלכם. התעלמות מתוספת נדרשת או קריאה שגויה של מטריצת המוצרים? זו מתכונת בטוחה לדליפות שלא מזוהות וכשלים שקטים.

מעבר לרישוי, גם יצירת מדיניות DLP מציבה מלכודות משלה. מדיניות עלולה להיווצר במהירות אך לא נכון, למשל כשחסרה קבוצת נמענים מרכזית, כשנעשה שימוש בתבנית ברירת המחדל, או כשהיא לא מתאימה לנתונים ולתהליכי העבודה הייחודיים של הארגון. אפילו תנאי אחד שגוי יכול לשבור את הכיסוי.

בחלק הזה תקבלו מבט על פני הדברים על מכשולי היסוד של DLP: פערי רישוי, דרישות טכניות מוקדמות, והדברים שחייבים לעשות ושאסור לעשות בזמן יצירת המדיניות. הבנה ברורה של היסודות האלה תעניק לכם יתרון על רוב מנהלי המערכות, ותכין אתכם לפתרון תקלות אמיתי ולא לניחושים.

אם אתם רוצים מבוא מפורט או נקודת מבט נוספת, כדאי לעיין במדריך מעמיק על הגדרת DLP ב-Microsoft 365, שמציג גישה מעשית וצעד אחר צעד.

בדיקת רישוי ודרישות מוקדמות למדיניות DLP של Microsoft 365

ודאו שיש לכם רישיונות Microsoft 365 נתמכים: DLP ב-Exchange Online אינו כלול בכל התוכניות. תזדקקו ל-Microsoft 365 E3, E5, A3, A5, F5 Compliance, או לרישיונות עצמאיים שקולים. אם המשתמשים שלכם נמצאים ב-Business Premium, ב-Essentials או בדרגים נמוכים יותר, DLP עשוי לא לפעול, גם אם אתם רואים את אפשרויות התפריט.
ודאו ש-Exchange Online Protection (EOP) מופעל: EOP הוא שירות עמוד השדרה של DLP ב-Exchange. אם דואר נכנס ויוצא אינו עובר דרך EOP, כללי DLP לא יכולים לבדוק או לחסום הודעות.
בדקו תלויות כמו Azure Information Protection: אם אתם משתמשים בפעולות DLP מתקדמות (כמו הצפנה אוטומטית של הודעות או שילוב עם תוויות רגישות), יש להגדיר את Azure Information Protection ואת Microsoft Purview (לשעבר Compliance Center) וכן לוודא שיש להם רישוי מתאים.
הפעלת תכונות בדייר (המיקום חשוב): חלק מתכונות DLP נכנסות לתוקף רק כשנתוני תיבת הדואר שלכם מאוחסנים באזור הנכון, או כשתכונות חדשות הופצו לאחר שדרוגי דייר.
הגדרת אחסון מדיניות וחיבורים: אל תשכחו את דרישות DLP של Power Platform אם הארגון שלכם משתמש בעיבוד מבוסס זרימות. לפרטים נוספים ראו המדריך הזה, שמיועד לקהל מתקדם.

שיטות עבודה מומלצות ביצירה ופריסה של מדיניות DLP

התחילו בבדיקות בהיקף קטן: פרסו מדיניות DLP חדשה לקבוצת בדיקה לפני שאתם מרחיבים אותה לכל בסיס המשתמשים. כך מצמצמים הפרעות בלתי צפויות והפתרון של תקלות נשאר ניתן לניהול.
התאמה אישית של סוגי מידע רגיש: אל תסתמכו רק על ברירות המחדל של Microsoft. שנו או צרו סוגי מידע חדשים שמתאימים באמת לדפוסי הנתונים של הארגון שלכם.
הגדרת היקף ותנאים ברורים: ודאו שהמדיניות מכוונת למקבלים ולשירותים הנכונים (דואר, SharePoint, OneDrive), וששהתנאים מדויקים – לא עמומים או חופפים.
בדיקה סדירה של יעילות המדיניות: עקבו אחרי מספר ההתאמות, שיעורי העקיפה ומשוב המשתמשים, כדי לדעת אם המדיניות מחמירה מדי, רופפת מדי, או פשוט מחטיאה את המטרה.
תעדו הכול: עקבו אחרי שינויים במדיניות, מי ביקש אותם ומדוע. זה חיוני אם תצטרכו לבצע ביקורת או לאתר לאחור אירועים עתידיים.

מעוניינים בסקירה מעשית של פריסת DLP? פרק הפודקאסט הזה עוסק בהגדרת DLP, במלכודות הנפוצות ובגישות שמשפרות יחד את הפרודוקטיביות והאבטחה.

אבחון שגיאות תצורה והגדרות Outlook שאינן נתמכות

כשלונות רבים של DLP אינם נובעים מחוסר בתכונות, אלא מאופן ההגדרה, במיוחד כשמדובר בגרסאות Outlook שונות והגדרות מדיניות. גם עם הרישוי הנכון, תצורה שגויה אחת עלולה לפתוח פרצות גדולות מאוד.

לקוחות Outlook מביאים עימם אתגרים משלהם. חלק מתכונות DLP פועלות בצורה מושלמת ב-Outlook Web App (OWA), אך נתקלות בבעיות ב-Outlook לשולחן העבודה, במיוחד בגרסאות ישנות או בהתקנות מיוחדות של מערכת הקבצים. הגדרות לא נתמכות ומדיניות מיושנת הם לרוב הגורם כשאתם תוהים מדוע חלק מהמשתמשים רואים אכיפת DLP ואחרים לא.

סעיף זה מפרט את סוגי שגיאות התצורה ונקודות העיוורון בצד הלקוח שרוב מנהלי ה-IT נתקלים בהן בסופו של דבר. הכרה מוקדמת של הבעיות האלה יכולה לחסוך שעות של פתרון תקלות והאשמות הדדיות, כך שתוכלו לתקן את DLP במקום שבו זה באמת חשוב – בעולם האמיתי.

שגיאות תצורה נפוצות שגורמות לכשלי DLP

תנאים וכללי לוגיקה שגויים: כשלונות רבים של DLP מתרחשים כי התנאים במדיניות רחבים מדי, צרים מדי או מכילים שגיאות לוגיות. לדוגמה, שילוב של "השולח הוא" ו"המקבל הוא" בצורה שאף משתמש אמיתי לא עונה לה, או שימוש בתנאים שמוציאים זה את זה.
היקף מדיניות לא נכון: לפעמים כללי DLP מוגדרים לחול רק על תת-קבוצה קטנה של משתמשים, תיבות דואר או שירותים, ומותירים חלקים גדולים מהסביבה ללא הגנה. אם "דואר Exchange" לא מסומן בפורטל הציות של Microsoft Purview, המדיניות שלכם לא תבדוק הודעות יוצאות בכלל.
סוגי מידע מותאמים אישית לא תקינים: הגדרות מותאמות אישית עלולות לגרום לתקלות במדיניות אם לא יושמו או נבדקו כראוי. אי-התאמה בין הגדרות הישויות (לדוגמה, דפוסי כרטיסי אשראי) לבין הנתונים בפועל מובילה להחמצת התראות או לזיהויים שגויים.
פעולות חסרות או מוגדרות לא נכון: פעולות כמו "חסום", "הצפן" או "הודע" עלולות להישאר ריקות, להפנות לתבנית שגויה, או להיכשל בשל הרשאות חסרות. פערים אלה גורמים לכך שהמדיניות נראית קיימת, אך בפועל אינה מתערבת.
מדיניות ישנה או חופפת: הוספת כללים חדשים מעל כללים ישנים עלולה ליצור התנגשויות במדיניות, עקיפות או עקיפה שקטה, במיוחד בסביבות Exchange היברידיות או מרובות אזורים גאוגרפיים. בדקו תמיד את סדר העדיפויות של הכללים ואם מדיניות חדשה מבטלת פעולות אכיפה קודמות.

לצלילה עמוקה יותר בשאלה מדוע כשלי ממשל נובעים לרוב מתצורה לקויה, ראו את הניתוח הזה ברמת המערכת של כשלי ממשל ב-Microsoft 365.

תצורות DLP שאינן נתמכות בגרסאות Outlook

לא כל תכונות DLP פועלות באותה מידה בכל מקום. Outlook 2013 (וגם חלק מלקוחות שולחן העבודה החדשים יותר) אינם תומכים במלואם בפעולות מסוימות של מדיניות DLP, כגון טיפים למדיניות בזמן אמת, חסימה דינמית או אזהרות MailTip מיידיות. תכונות שמסתמכות על רכיבי ממשק מבוססי ענן או מודרניים עשויות להיות חסרות או לא עקביות.

אם משתמשים נמצאים בגרסאות Outlook מעורבות, זו תופעה נפוצה שטיפי מדיניות מופיעים ב-OWA ובגרסאות Outlook חדשות, אך הם חלקיים או בלתי נראים בלקוחות ישנים. כמו כן, מצב לא מקוון והגדרות Exchange שנשמרו במטמון יכולים לעכב – ולעיתים אף לשבור – את תהליך הערכת המדיניות. בדקו תמיד את התמיכה בתכונה לפני שאתם מניחים שמדיניות ה-DLP נאכפת במלואה בכל מכשיר.

פתרון בעיות בטיפים של מדיניות DLP ו-MailTips ב-Exchange Online

מדיניות DLP שימושית רק כשהמשתמשים באמת יודעים מתי משהו לא בסדר. טיפים למדיניות ו-MailTips הם אותן התראות בתוך האפליקציה, או הודעות, שמזכירות למשתמש לחשוב פעמיים לפני שליחה, העברה או חשיפה של מידע רגיש. אבל לא נדיר שהטיפים האלה מפסיקים לעבוד: לפעמים הם אינם מופיעים כלל, ולפעמים הם מופיעים רק אצל חלק מהמשתמשים ולא אצל אחרים.

הקטע הזה עוסק בשורש הבעיה, כלומר מדוע טיפים של מדיניות DLP נעלמים (או לא מופיעים מלכתחילה) ב-Outlook וב-Outlook Web App. לאורך הדרך נראה כיצד הגדרות Exchange בצד השרת והגדרות הלקוח ממלאות תפקיד. הפעלה מחדש של התכונות האלה לא רק עוזרת לעמידה בדרישות הציות, אלא גם מחזירה את המשתמשים לצד שלנו, ומראה להם בדיוק מה עומד על הכף לפני ששולחים משהו מסוכן.

תמצאו כאן הנחיות שלב אחר שלב לפתרון בעיות ושיטות עבודה מומלצות, כדי שההתראות האלה יישארו בולטות ובמקום הנכון.

טיפים של DLP לא מופיעים ב-Outlook וב-OWA

MailTips מכובים בלקוח: משתמשים יכולים לכבות את MailTips באפשרויות Outlook שלהם, או שמדיניות קבוצה (Group Policy) עשויה לכבות אותם. ללא MailTips, אזהרות DLP לא יוכלו להופיע בזמן כתיבת הודעה.
קריאת GetDLPPolicyTip אינה מתבצעת: לקוחות Outlook צריכים לתקשר עם Exchange Online כדי לשלוף טיפים של מדיניות DLP. אם קריאת ה-API בשם "GetDLPPolicyTip" אינה יוצאת לדרך, לעיתים קרובות בשל חומות אש, הגדרות פרוקסי או מצב לא מקוון, לא יישלפו טיפים ולא יוצגו.
גרסת Outlook לא נתמכת או מיושנת: טיפים למדיניות דורשים בדרך כלל את Outlook 2016 ומעלה, או את הגרסה לדפדפן (OWA). Outlook 2013 וחלק מהלקוחות לנייד עשויים לא להציג אותם כלל. משתמשים שעובדים בסביבות ישנות או שלא עודכנו לא יראו אזהרות DLP.
תיבת הדואר לא מופעלת עבור MailTips: גם אם ההגדרה הופעלה גלובלית, ייתכן שחלק מתיבות הדואר מוחרגות מ-MailTips או שירושת המאפיינים שבורה, וכתוצאה מכך טיפים הקשורים ל-DLP לא יופיעו.
סנכרון איטי ו-Caching בלקוח: במצב Cache, עדכוני מדיניות או טיפים חדשים עשויים להתעכב בזמן ש-Outlook ממתין למחזור הסנכרון הבא. הפיגור הזה יכול לגרום להרגשה ש-DLP לא עובד, בעוד שבפועל הוא פשוט מאחר.

כיצד להפעיל ולהגדיר MailTips עבור DLP ב-Exchange Online

כדי לוודא שטיפים של DLP מוצגים כראוי, יש לוודא קודם שה-MailTips מופעלים הן ברמת הדייר והן בתיבות הדואר הרלוונטיות. במרכז הניהול של Exchange, עברו אל MailFlow > MailTips. ודאו שהטיפים הרלוונטיים, במיוחד אלה של הפרות מדיניות, מסומנים ומופעלים.

מנהלים יכולים לחלופין להשתמש ב-PowerShell: הריצו את Set-Mailbox -Identity "user" -MailTip "enabled", או בדקו את הגדרות הארגון באמצעות Get-OrganizationConfig | fl MailTips. כוונו את MailTips בפורטל הציות כדי לשלוט באילו טיפים מוצגים ומתי. להדרכות מפורטות יותר, הפודקאסט על הגדרת DLP ב-Microsoft 365 מציג שלבים מפורטים ואסטרטגיות מעשיות.

פתרון בעיות מתקדם לכשלי DLP ב-Exchange Online

לפעמים מתקנים את הדברים הברורים, וה-DLP עדיין מסרב לשתף פעולה. כאן כדאי להיעזר בכלים מתקדמים: מעקב רשת, שינויים ברג'יסטרי וכלי אבחון בצד השרת, שמעמיקים יותר מלחיצות במרכז הניהול. אלה האסטרטגיות לאיתור כשלי DLP עקשניים, לסירוגין או בלתי מוסברים שממשיכים לחמוק.

Fiddler הוא הכלי הטוב ביותר כאן, שמאפשר לצפות בתעבורת HTTP בין Outlook לבין Exchange Online. הוא עוזר לזהות אם קריאות שירות, כמו GetDLPPolicyTip, אכן מבוצעות או נתקלות בשגיאות שקטות. אבל החקירה הטכנית לא נעצרת ברשת: לפעמים הגורם נמצא במחשב המקומי. הגדרות רג'יסטרי עלולות לגרום לעיכובים בהערכת DLP, או לשבש את תזמון אכיפת המדיניות.

הקטע הזה מספק תוכנית עבודה לשימוש בכלים מקצועיים לאימות קריאות שירות, לאיתור שגיאות תקשורת ולהחלקת צווארי בקבוק נסתרים בהערכה, כדי ש-DLP יתחיל לפעול מתי ובאיזה מקום שצריך.

שימוש במעקבי Fiddler לאימות קריאות GetDLPPolicyTip

Fiddler הוא כלי לניפוי שגיאות ברשת שלוכד תעבורת HTTP/HTTPS בין לקוחות Outlook לבין Exchange Online. השתמשו בו כדי לוודא אם בקשות "GetDLPPolicyTip" נשלחות בהצלחה בעת כתיבת הודעה שחשודה כמכילה מידע רגיש. במעקב תקין תראו בקשות לנקודת הקצה של Exchange Online, ותקבלו בתשובה נתוני טיפים של המדיניות במבנה מסודר.

אם ה-trace מראה קריאות חסרות, אימותים שנכשלו או שגיאות HTTP בלתי צפויות, מדובר בבעיית תקשורת, לרוב כתוצאה מפילטרים ברשת, מהמרות לקוח חסרות או סטייה באימות. זיהוי החריגות האלה עוזר לאתר היכן טיפים של מדיניות הולכים לאיבוד במהלך השידור.

התאמות רישום ועיכובים בהערכת תוכן DLP

התאמת המפתח PolicyEvaluationDelay: אם טיפים של DLP מגיעים באיחור או אחרי שהמשתמש כבר שלח את ההודעה, הגדילו את הערך PolicyEvaluationDelay תחת HKEY_CURRENT_USER\Software\Microsoft\Office\<version>\Outlook\Security. כך Outlook מקבל זמן נוסף לקבל את נתוני התגובה של DLP לפני שהוא ממשיך.
איפוס מרווחי סנכרון המדיניות: כוונו את קצב הרענון של המדיניות עבור Outlook באמצעות המפתח DlpPolicyRefreshInterval, שקובע באיזו תדירות המטמון המקומי מתעדכן במדיניות חדשה או שהשתנתה.
החזרה או הסרה של עקיפות מדור קודם: הסירו התאמות רישום שאינן נתמכות או שהוצאו משימוש, ושנותרו מניסיונות איתור תקלות קודמים, כדי למנוע אכיפה בלתי צפויה של DLP.
תמיד גבו את הרישום לפני שינויים: עריכת הרישום עלולה להיות בעלת השפעות לא מתוכננות. צרו נקודות שחזור ותעדו את ההגדרות הנוכחיות לפני החלת השינויים.

פתרון בעיות DLP עם כללי הובלה של Exchange ופריסות היברידיות

DLP אינו היחיד שמנהל את זרימת ההודעות. כללי הובלה של Exchange (ETR) פועלים לרוב בו-זמנית, במיוחד בסביבות מורכבות או היברידיות. לפעמים, היררכיית מדיניות או תנאים מתנגשים בין DLP בענן לבין ETR מקומיים גורמים לכך שאף כלל אינו מופעל, או שכלל שגוי גובר.

בפריסות היברידיות, ניתוב הדואר עלול לעקוף לגמרי את סריקת DLP אם המחברים אינם מוגדרים נכון. חשוב להבין ש-DLP ו-ETR מעריכים הודעות לפי סדר קבוע. יש לפתור כללים חופפים או מתנגשים כדי לוודא שהנתונים אינם עוקפים את הבקרות. למידע נוסף על אמון במדיניות מרובת שכבות ועל דו-קיום, כדאי לעיין בדיון זה על גישה מותנית ואמון במדיניות בסביבות היברידיות.

אימות פתרון מדיניות DLP והבטחת תאימות

אז שיניתם, בדקתם, ומקווים שתיקנתם את בעיות ה-DLP. אל תעצרו כאן. לוודא שהתיקונים מחזיקים מעמד חשוב לא פחות מעצם פתרון הבעיה. התחילו במעקב אחר משוב של משתמשים ובדיקה האם המשתמשים רואים כעת אזהרות וחסימות מתאימות בתרחישי בדיקה אמיתיים בכל תיבות הדואר שהוגדרו.

בדקו לעומק יומני ביקורת ויומני אירועי תאימות, וחפשו רשומות הקשורות ל-DLP, דפוסים של נתונים לא תקינים, עקיפות מדיניות או תקלות חוזרות. אם מדיניות ה-DLP שלכם כוללת דיווח, השתמשו בפורטל התאימות של Microsoft 365 כדי לבדוק אילו הודעות סומנו, נחסמו או הותרו לעבור.

אל תסתמכו רק על "אין חדשות, זו חדשות טובות". פנו לבעלי העניין העסקיים, הריצו תרגילי דליפת נתונים מדומים, ושימו לב גם לכשלים טכניים וגם לעקיפות שמבצעים אנשים. שילוב של אסטרטגיה ברמת הסביבה, כפי שנדון במדריכים כמו פרק זה על DLP אדפטיבי, יכול לחשוף סיכונים סמויים שהכלים לבדם אינם מזהים.

לסיום, יש לזכור ש-DLP משפיע מעבר ליומנים ולחלונות הקופצים של הטיפים. מדיניות יעילה רק כמו הנכונות של המשתמשים לכבד ולפעול לפיה. שלבו ניטור טכני עם הדרכות קבועות ותקשורת פנימית כדי לשמור על נושא התאימות בראש סדר העדיפויות. לדיון מעמיק יותר על ההתנהגות בפועל מול לוחות מחוונים של תאימות, ראו ניתוח זה על סטיית תאימות ב-Microsoft 365.

סיכום ורשימת בדיקה שוטפת לתאימות של DLP ב-Microsoft 365

בדקו היקף מדיניות ורישוי באופן קבוע: בדקו מחדש עובדים חדשים והעברות תיבות דואר, כדי לוודא שכללי DLP תמיד חלים על המשתמשים ועל שירותי העבודה הנכונים.
נטרו את האפקטיביות של המדיניות: השתמשו ביומני ביקורת, במעקב אחר טיפים ובמשוב ישיר ממשתמשים כדי לבדוק באופן מתמיד שפונקציות החסימה, האזהרה והניטור פועלות כפי שנועדו.
עדכנו ותעדו שינויים בתצורה: רשמו כל שינוי הקשור ל-DLP כדי להישאר מוכנים לביקורת, למנוע פערים שנוצרים מחילופי צוות, ולייעל פתרון תקלות עתידי.
הפעל הדרכה והעלאת מודעות באופן שוטף: סבב את הדרכות הציות, שלח תזכורות והתאם את תוכן הטיפים אישית, כדי להפחית עייפות מהתראות ומכך שהצוות יסגור טיפים בלי לקרוא אותם.
תאם בין הצוותים: עודד את צוותי אבטחה, משאבי אנוש ומשפטים לעבוד יחד על מחזורי הסקירה של מדיניות מניעת אובדן מידע (DLP) ועל תגובה לאירועים, בעזרת כלים כמו Microsoft Purview – ראו שיטות עבודה מומלצות לניהול מסמכים וציות כאן.

בדיקות תקופתיות, הן טכניות והן ארגוניות, חיוניות כדי שמדיניות ה-DLP שלכם תישאר רלוונטית ואמינה ככל ש-Microsoft 365 מתפתח. הישארו ערניים, הישארו מאובטחים, ואל תניחו לעולם שסיפור הציות שלכם כותב את עצמו.