למה כללי DLP לא מופעלים ב-Microsoft 365

By Mirko Peters · 2026-04-20

אם אתם עובדים עם Microsoft 365 ושמתם לב שכללי מניעת אובדן נתונים (DLP) לא מבצעים את תפקידם, אתם לא היחידים. הכללים האלה אמורים לסמן, לחסום או להזהיר על חשיפה של מידע רגיש, ולכן כשהם לא מופעלים זו כאב ראש אמיתי למנהלים ולאנשי הציות. הגורמים הנפוצים הם שגיאות תצורה, לקוחות מיושנים או לא תואמים, התנהגויות ייחודיות של הפלטפורמה, ואפילו היעדר רישיונות Microsoft 365 מתאימים.

Automatically translated with AI from the original post. Read the English original

Titelbild: Why DLP Rules Are Not Triggering in Microsoft 365

מדיניות DLP אפקטיבית צריכה לזהות פעילות מסוכנת ברגע שהיא מתרחשת: הודעות קופצות מיידיות (טיפים מדיניות), התראות אוטומטיות או חסימת הודעות לפני שמידע רגיש יוצא מהארגון. אם זה לא קורה, סביר להניח שיש בעיה עמוקה יותר בהגדרות, בכיסוי או במסלול האכיפה. ההימורים גבוהים, במיוחד בכל הנוגע לממשל ולציות רגולטורי. מאמר זה יסביר מה נשבר, למה זה חשוב, וכיצד לגרום לכללי ה-DLP שלכם לפעול כצפוי. אם אתם רוצים קודם בסיס איתן, כדאי לעיין במדריך הגדרת Data Loss Prevention ב-Microsoft 365 להתחלה מודרכת שלב אחר שלב.

הבנת התנהגות כללי DLP ושגיאות תצורה נפוצות

כללי DLP ב-Microsoft 365 וב-Microsoft Purview נועדו לפקח בשקט על הנתונים שלכם ולהתערב כאשר משתמשים מדליפים מידע חסוי, בין אם בשוגג ובין אם בכוונה. בבסיס ה-DLP עומד תהליך הערכת המדיניות, שבמהותו בודק אם הודעות, קבצים או פעולות תואמים לתנאים שהגדרתם. כשיש התאמה, המשתמשים אמורים לראות התראות: אזהרה ב-Outlook, הורדה שנחסמה או הודעת ציות.

אבל כדי שהאוטומציה הזו תפעל, הרבה דברים צריכים להסתדר בהגדרות המדיניות. כל פרט חשוב: סוגי המידע שאתם מחפשים, המקומות שבהם אתם מפקחים (דואר, Teams, SharePoint וכדומה), והמשתמשים או הקבוצות הכלולים. קל לפספס הגדרת היקף או לדלג על שלב ברצף יצירת הכלל, וטעות קטנה אחת עלולה להשאיר את כללי ה-DLP על הספסל במקום לשמור על ההגנה.

מיקרוסופט מספקת את המסגרת, אבל האפקטיביות של המדיניות תלויה בתצורה שלכם. טעויות קטנות, כמו שכחה לפרסם מדיניות, שימוש בהגדרת סוג מידע רגיש שגויה או בחירה בפורמט קובץ שאינו נתמך, נפוצות מאוד. החדשות הטובות? לרוב לטעויות האלה יש סימנים מזהים ופתרונות פשוטים. נתייחס לנקודות הבעייתיות האלה בהמשך, אבל לטיפים בסיסיים נוספים שווה להקשיב להשקפות מעשיות כמו אלה שב-M365 FM, כדי ללמוד מדוגמאות ולהימנע מהמלכודות הגדולות ביותר.

אז בזמן הקריאה, התכוננו לזהות את שגיאות התצורה הנפוצות ביותר וללמוד כיצד טעויות קטנות יכולות לערער בשקט אפילו את המדיניות המתוחכמת ביותר. הבנת ה"למה" שמאחורי הכללים היא קו ההגנה הראשון שלכם מפני פספוסים יקרים.

שגיאות תצורה שמונעות הפעלה של כללי DLP

תנאי כלל לא שלמים או שגויים
אם תנאי כלל ה-DLP אינם תואמים לדפוסי מידע מהעולם האמיתי (למשל כשחסרות מילות מפתח או פורמטים נדרשים), הכלל לא יופעל. לדוגמה, כלל שמחפש רק מספרי ביטוח לאומי אמריקאיים עלול לפספס מזהים מותאמים אישית שנהוגים באזור שלכם, או לפרש תמונות סרוקות כריקות. תמיד אמתו את הגדרות המידע הרגיש שלכם, ובדקו התאמות של כללים עם דוגמאות נתונים אמיתיות.
אי התאמה בהיקף המדיניות
מדיניות DLP פועלת רק במקומות שבהם היא פורסמה. אם הגדרתם כלל עבור Exchange וציפיתם שיחול על Teams או SharePoint, תיתקלו בבעיה. בנוסף, הגדרת "כל המשתמשים" כשרציתם קבוצת פיילוט קטנה עלולה להוביל לתוצאות לא צפויות או להחמצת הפעלות. בדקו שוב את המיקומים הכלולים וקבוצות הפיילוט במהלך הפריסה.
סוגי מידע רגיש לא נתמכים או תבניות Regex
תבניות regex רחבות או צרות מדי עלולות לגרום לכללים לפספס מידע רגיש אמיתי. באופן דומה, שימוש בסוגי מידע רגיש שהוצאו משימוש או שמוגדרים בצורה לקויה עלול לחסום זיהוי בשקט. לפתרון בעיות אלה, בדקו את הגדרות הישויות והריצו בדיקות ממוקדות עם נתוני דוגמה.
המדיניות לא פורסמה או לא נפרסה כראוי
לעיתים כללי DLP נכתבים אך לא מפורסמים. במקרים אחרים הם מפורסמים, אך נדרש זמן עד שההגדרות מתפשטות, או שהפריסה נכשלת בשל שגיאות בצד השרת. בדקו תמיד את הסטטוס בפורטל הציות ותרו אחר הודעות השלמה לפני שתניחו שהמדיניות פעילה.
הרשאות חסרות או שגויות
ללא תפקידי הניהול המתאימים (כמו Compliance Admin או Security Admin), ייתכן שההגדרות לא ייקלטו או לא יהיו גלויות לכל בעלי העניין, וכתוצאה מכך תתרחש כשל שקט. ודאו שלבעלים של המדיניות יש הרשאות לאורך כל מחזור החיים שלה, ולא רק בזמן היצירה.
מגבלות בזיהוי סוגי קבצים או תוכן
DLP אינו יכול לסרוק קבצים מוצפנים, קבצים מוגנים בסיסמה או קבצים מבוססי תמונה (כמו PDF סרוק). אם הנתונים הרגישים שלכם נמצאים בפורמט שאינו נתמך, הכללים לא יופעלו. שקלו בקרות חלופיות למקרים אלה, או חזקו את הכשרת המשתמשים.

פריסה אפקטיבית פירושה לחרוג מתיבות הסימון: עצרו לרגע, אמתו באמצעות נתוני מעבדה, ושימו את הממשל בחזית. לאסטרטגיות מתקדמות, כולל אופן ההתאמה של מדיניות הסביבה, כדאי לעיין בתובנות של מומחי DLP שמתמקדים בממשל סביבות.

מגבלות תמיכה בלקוחות ובפלטפורמות עבור הודעות מדיניות DLP

DLP ב-Microsoft 365 אינו עניין של צד השרת בלבד. לקוחות כמו Outlook (שולחן עבודה, רשת או נייד) מטפלים בהודעות מדיניות DLP בצורה שונה במקצת, והבדלים אלה משפיעים מאוד על האכיפה והנראות. אם אתם מצפים שכל המשתמשים יראו התראות DLP, גרסת הלקוח, ארכיטקטורת זרימת הדואר, ואף האופן שבו Exchange או מערכות הקבצים מוגדרים מאחורי הקלעים, יקבעו אם המאמץ יצליח או יוביל לתסכול.

גרסאות Outlook ישנות יותר, כמו 2013 או 2016, עשויות להציע תמיכה מוגבלת או אין תמיכה כלל בהודעות מדיניות DLP חדשות. חלק מהתכונות פשוט אינן מובנות בלקוחות מדור קודם, ולכן ייתכן ש-MailTips לא יופיעו למשתמשי הקצה גם כשהמדיניות מושלמת. באופן דומה, הגדרות בצד השרת — בין אם ב-Exchange Online, בהגדרות היברידיות או באחסון הקבצים — יכולות לחסום או להחליש פעולות DLP אם השירותים או המחברים הנדרשים אינם מחוברים ונתמכים.

הבנת מגבלות הלקוח והשרת הללו מכינה את הקרקע לפתרון בעיות חכם יותר. בהמשך נפרט מה נתמך בפועל בגרסאות ובפלטפורמות ספציפיות, כדי שלא תצטרכו לנחש כשמשתמשים שואלים: "למה לא קיבלתי אזהרה?"

תצורות נתמכות עבור Outlook ומגבלות MailTips

Outlook 2013 ו-Outlook 2016
גרסאות אלה מציעות תמיכה בסיסית בהודעות מדיניות DLP, אך עם פערים משמעותיים. תקבלו אזהרות קופצות עבור חלק ממדיניות ה-DLP, אך הודעות מתקדמות יותר או תכונות חסימה מתקדמות לא תמיד יופיעו. הודעות מדיניות עשירות, כמו טקסט מותאם אישית או הוראות תיקון, עשויות שלא להוצג כפי שהתכוונתם. אין לצפות לשוויון ביכולות מול לקוחות Outlook המודרניים.
Outlook for Microsoft 365 (שולחן עבודה ורשת)
כאן קיימת תמיכה מלאה בהודעות מדיניות DLP, כולל תוכן דינמי, הודעות מותאמות אישית והתראות בזמן אמת. MailTips של DLP מופיעים באופן עקבי כאשר הם מופעלים והמדיניות מתאימה. זו הגרסה המומלצת לארגונים עם דרישות ציות מחמירות.
Outlook for Mac
היסטורית, התמיכה ב-MailTips של DLP בפלטפורמת Mac פיגרה. חלק מהודעות המדיניות עשויות להופיע ב-Outlook for Mac, במיוחד בבניות האחרונות, אך השוויון ביכולות מול לקוחות Windows או רשת עדיין עלול להיות לא אמין. מנהלים צריכים לבדוק את התנהגות DLP בנקודות קצה של Mac לפני פריסת המדיניות.
Outlook Web Access (OWA)
OWA הוא בדרך כלל הראשון לתמוך בתכונות DLP ו-MailTips חדשות, ולכן כדאי להשתמש בו כנקודת ייחוס בעת בדיקת מדיניות. רוב הבעיות של DLP הקשורות ל-MailTips ב-OWA ניתנות לאיתור בבעיות בצד השרת ולא במגבלות בצד הלקוח.
אפליקציות לנייד ולקוחות של צד שלישי
הנראות של הודעות מדיניות DLP במכשירים ניידים (iOS, Android) או באפליקציות דואר של צד שלישי מוגבלת מאוד. אל תצפו שה-MailTips של DLP יופיעו בסביבות אלה. במקום זאת, הסתמכו על אכיפה בצד השרת (חסימה, ביקורת) עבור תרחישים רגישים.

הבנת הניואנסים האלה בתמיכה מונעת מכם לבזבז זמן על פתרון בעיות שהן פשוט מגבלות של הלקוח. תכננו את התקשורת והכשרת המשתמשים סביב מה שכל פלטפורמה תומכת בפועל.

תצורת מערכת קבצים נתמכת ומדיניות DLP של Exchange

תצורת Exchange Online
מדיניות DLP תלויה בהגדרות נכונות של Exchange Online. כללי זרימת דואר שגויים, תצורות שגויות של Exchange היברידי או מחברים מדור קודם יכולים לחסום או לעכב את הערכת DLP, וכתוצאה מכך עלולים להחמיץ הודעות מדיניות (policy tips) או כשלי אכיפה. ודאו שפריסת Exchange בארגון תומכת ב-DLP וששכל מחברי זרימת הדואר הנדרשים פעילים ותקינים.
מגבלות מערכת קבצים ואחסון
DLP יכול לסרוק רק קבצים שנתמכים, מאונדקסים ונגישים. קבצים מוגנים בסיסמה, מוצפנים או שאינם ניתנים לאינדוקס עלולים לעבור ללא זיהוי על ידי בדיקות DLP. מאפייני פריסה ב-SharePoint, ב-OneDrive או ב-Teams (כגון היעדר שילוב או סריקה אסינכרונית) גורמים להפעלות מעוכבות או להחמצות.

לניטור רוחבי של הדייר לאורך זמן, השתמשו בכלים כמו Microsoft Purview Audit. הם עוזרים לאמת את פעולת DLP ברמת הפלטפורמה ומאתרים אכיפה שהוחמצה עקב תצורות שגויות בשכבת העורף.

פתרון תקלות בכללי DLP שאינם מופעלים

כאשר כללי DLP פשוט אינם פועלים כצפוי, הגיע הזמן לעבור מבדיקת ההגדרות לפתרון תקלות מעשי. המטרה כאן אינה רק "לנסות שוב", אלא לזהות באופן שיטתי היכן מתרחשת התקלה. בדרך כלל זה אומר לבודד האם הכלל לא זיהה התאמה, האם הלקוח לא הציג הודעה, או שהמערכת הבסיסית לא הצליחה לאכוף חסימה או ביקורת. לפעמים מדובר בפספוס תצורה קלאסי; לפעמים עומדת בדרך בעיית תאימות או תקלת רשת עדינה.

קיימים כלי אבחון חזקים למנהלי Microsoft 365. ניטור רשת (באמצעות כלי כמו Fiddler) יכול להראות אם בקשות להודעות המדיניות אכן מתבצעות בין הלקוח לשרת. יומני ביקורת ודוחות התאמת מדיניות עוזרים לאשר אם הכללים בכלל ראו את נתוני הבדיקה שלכם. בחינת הפלטים האלה מזרזת את ניתוח שורש הבעיה וחוסכת ניחושים אינסופיים.

ואל תזניחו את היסודות: וידוא שנתוני הבדיקה מתאימים לתנאי המדיניות הוא שלב קריטי. מנהלים רבים מבזבזים זמן על מעקב אחר "כשלים" שהם למעשה רק מקרים של שליחת נתונים שבקושי מחמיצים את הגדרות דפוסי המידע הרגישים. הסעיפים שלהלן ילוו אתכם בבדיקות הטכניות והמעשיות הנדרשות לפתרון תקלות DLP יעיל. לאתגרי ציות רחבים יותר, ייתכן שתמצאו ערך גם במדריך זה על התנהגויות שמירה וציות ב-Microsoft 365.

שימוש ב-Fiddler Trace עבור הודעות מדיניות DLP

התקנה והגדרה של Fiddler
התחילו בהורדה והתקנה של Fiddler במערכת שבה פועל Outlook. הגדירו אותו לתפוס תעבורת HTTPS – זה מאפשר לכם לנטר את פעילות הרשת בין Outlook לבין Exchange Online בזמן ביצוע בדיקות DLP.
הפעלת הודעת מדיניות DLP
כאשר Fiddler פועל, הדמו את הפעלת מדיניות DLP על ידי כתיבת הודעת דואר הכוללת נתוני בדיקה רגישים ב-Outlook. שימו לב לבקשות הרשת שנוצרות בזמן ההקלדה או בניסיון השליחה.
חיפוש בקשות GetDLPPolicyTip
בתוך ה-trace של Fiddler, סננו בקשות שמכילות "GetDLPPolicyTip" בכתובת ה-URL או בשיטה. הדבר מאשר ש-Outlook פונה ל-Exchange/Compliance לקבלת מידע על הודעת המדיניות, ועוזר לוודא שהתקשורת תקינה מקצה לקצה.
ניתוח נתוני התגובה
בחנו את התגובה לכל קריאה של GetDLPPolicyTip. הודעת מדיניות מוצלחת תכלול תוכן מפורט בגוף התגובה; שגיאות, תגובות ריקות או קודי HTTP מסוג 400+ או 500+ עשויים לחשוף בעיות רשת, שגיאות בהגדרת המדיניות או תקלות בצד השרת.
זיהוי דפוסי כשל
אם לא מתבצעות בקשות כלל, ייתכן ש-Outlook אינו מוגדר ל-DLP, או ש-MailTips כבוי. אם התגובות הן שגיאות, בדקו את בריאות השירות. אם הקריאות מצליחות אך ההודעות אינן מוצגות, ייתכן שמדובר בבעיה מקומית בלקוח. לכל דפוס יש תיקון ייחודי.

התובנות מ-Fiddler יחסכו לכם שעות של פתרון תקלות עיוור ויעזרו לכם להתמקד בשכבה הנכונה – בין אם מדובר בהגדרת המדיניות, במגבלות הלקוח או בהפסקת שירות בצד העורף.

אימות נתוני בדיקה ותנאי מדיניות

בדיקה כפולה של מידע רגיש: וודאו שהודעות הבדיקה או המסמכים שלכם כוללים בדיוק את סוג המידע הרגיש שהכלל מצפה לו – מספרים אקראיים או מונחים עם שגיאות כתיב לא יפעילו זיהוי.
התאמה לסף המדיניות: לחלק מהכללים נדרשת כמות מינימלית (כגון שלושה מספרי כרטיסי אשראי); אם תשתמשו בפחות מכך, המדיניות לא תופעל.
שמירה על עיצוב נכון: בעיות עיצוב (רווחים, מקפים או תווים אחרים) עלולות לפגוע בזיהוי תבניות כמו מספרי תעודת זהות או מספרי חשבון.
בדיקת הגדרות ישויות: אם אתם משתמשים בביטויים רגולריים מותאמים אישית או בסוגי מידע רגישים, ודאו שהם מזהים כראוי את הנתונים שלכם בקבצי דוגמה.
בדיקת כל התנאים: ודאו שתנאי מדיניות נוספים, כמו "משותף לגורמים חיצוניים", מתקיימים בבדיקה שלכם, שכן חסרון של תנאי אחד עלול למנוע מהכלל להיות מופעל כלל.

הקדשת זמן לאימות שלב אחר שלב חושפת לעיתים קרובות סיבות עדינות לכך שכללי DLP "מפספסים" תרחישים אמיתיים במהלך הבדיקות.

הפעלה וניהול של התראות MailTips של DLP ב-Outlook

התראות MailTips הן השליחים החזיתיים של מדיניות DLP ב-Outlook, והן מודיעות למשתמשים, ברגע העבודה עצמו, שייתכן שהם חושפים מידע רגיש. כדי שההתראות יופיעו בעקביות, צריך לכוונן היטב גם את המדיניות וגם את הלקוח. זה לא עניין של הפעלת מתג בלבד בממשק הניהול של Microsoft 365. יש לוודא ש-Outlook עצמו מוגדר להציג MailTips, שמדיניות DLP מוגדרת לעשות בהן שימוש, ושאין תרחיש נתמך שחוסם את הופעתן.

הגדרה נכונה דורשת תיאום בין מנהלי הקצה האחורי (שיוצרים ומפרסמים מדיניות DLP) לבין צוותי התמיכה (שמוודאים שלקוחות המשתמשים הסופיים, כמו Outlook לשולחן העבודה או Outlook Web Access, מעודכנים ומוגדרים נכון). לאחר שההתראות מופעלות, כל אי-התאמה, כמו Outlook מיושן, רישיון חסר או אפשרות מדיניות שנבחרה בטעות, עלולה למנוע מההתראות החשובות האלה להגיע לאנשים שזקוקים להן ביותר.

בהמשך נפרט כיצד להפעיל ולאמת התראות MailTips של DLP באופן אמין בכל הגרסאות המרכזיות של Outlook. לאחר מכן תמצאו שלבי פתרון בעיות מעשיים למקרים שבהם ההתראות נעלמות או אינן מופיעות, גם לאחר שסימנתם את כל ה"תיבות" הנכונות.

כיצד להפעיל התראות MailTips ב-Outlook עבור מדיניות DLP

הפעלת MailTips באופן גלובלי ב-Outlook
עברו אל Outlook > אפשרויות > דואר > אפשרויות MailTips. ודאו שהאפשרות להציג MailTips מסומנת. במקרים מסוימים, הגדרה זו מנוהלת על ידי Group Policy בלקוחות ארגוניים.
אימות תכונת MailTips במרכז הניהול
במרכז הניהול של הציות ב-Microsoft 365, ודאו שלמדיניות DLP מופעלת האפשרות "הצג מדיניות עזר למשתמשים". ערכו לפי הצורך ושמרו את השינויים.
הבטחת שיוך המדיניות
שייכו את המדיניות לכל תיבות הדואר או הנמענים הנדרשים. ודאו פעמיים שתיבות הדואר של המשתמשים נמצאות בהיקף המדיניות.
עדכון לקוחות Outlook
ודאו ש-Outlook מעודכן לגרסת build נתמכת. לקוחות מיושנים עלולים שלא להציג התראות MailTips של DLP באופן אמין.
בדיקה ואימות
שלחו הודעה שמכילה מידע רגיש ידוע לנמען הכלול במדיניות. ודאו שההתראה מופיעה לפני השליחה.

התראות MailTips של DLP שאינן מופיעות ב-Outlook וגורמים נפוצים

גרסת Outlook לא נתמכת
לקוחות ישנים כמו Outlook 2013 ו-Outlook 2016 עשויים לתמוך רק בהתראות מדיניות בסיסיות, או שלא לתמוך בהן כלל. אם המשתמשים אינם רואים את ההתראות, שדרוג ללקוח Outlook מודרני (Microsoft 365 Apps) פותר בדרך כלל את הבעיה.
התראות MailTips אינן מופעלות
הלקוחות חייבים להפעיל את MailTips באפשרויות Outlook. לפעמים Group Policy חוסם או מסתיר תכונה זו, במיוחד במכשירים ארגוניים מבוקרים.
המדיניות הוחלה על היקף שגוי
אם מדיניות DLP מוגדרת לכוון רק לקבוצות משתמשים מסוימות או למיקומים ספציפיים (למשל Exchange אך לא Teams), התראות MailTips לא יופיעו עבור אחרים. ודאו שקבוצות, תיבות דואר ואזורים גיאוגרפיים מכוסים כמתוכנן.
בעיות תקשורת בין הלקוח לשרת
אם Outlook אינו מצליח להתחבר ל-Exchange Online או לשירות הרשת של התראות המדיניות, MailTips עלולות להיכשל בשקט. בעיות רשת, מדיניות גישה מותנית או הגדרות פרוקסי הן החשודים הטיפוסיים.
תרחישים של משתמשים חיצוניים ואורחים
MailTips כמעט אף פעם לא מוצגים למשתמשים אורחים, חיצוניים או חוצי דיירים, או לגביהם. אם המדיניות שלכם תלויה בזיהוי שיתוף חיצוני, פעולות DLP עדיין עשויות להיאכף, אך משתמשי הקצה לא יקבלו התראת MailTip גלויה.
בעיות סוג קובץ ותוכן
אם ההודעה או הקובץ המצורף כוללים קבצים מוצפנים או לא נתמכים, התוכן אינו מאונדקס, ו-DLP אינו יכול להעריך אותו או להפעיל התראות MailTips. תרחישים אלה דורשים התראות חלופיות והדרכה למדיניות.
עיכובים בהפצת המדיניות
מדיניות DLP שפורסמה או עודכנה לאחרונה עשויה להימשך עד מספר שעות עד שתופעל בכל המערכת. אם תיבות ה-MailTips אינן מופיעות מיד לאחר שינויים, המתינו קצת ובדקו שוב לפני שתמשיכו בפתרון תקלות נוסף.

טיפול באזורים אלה יפתור את רוב הבעיות של "MailTip חסר", ויבטיח שמשתמשי הקצה יקבלו את האזהרות הנדרשות בדיוק ברגע שבו הן חשובות.

רישוי ודרישות פריסה למדיניות DLP

לפני שכללי ה-DLP שלכם יוכלו לעצור דליפות, יש לוודא שיש לכם רישיון לשימוש בתכונות אלה, ושלאנשים הנכונים בצוות יש את ההרשאות להגדיר אותן. רישוי Microsoft 365 משפיע על יצירת מדיניות, על כיסוי האחסון ועל אפשרויות האכיפה. אם תכונות ה-DLP הנכונות אינן מופיעות, ייתכן שאתם משתמשים בתוכנית שאינה כוללת הגנת מידע מתקדמת, או שחסרות לכם תוספות ספציפיות כמו Microsoft Purview.

מבחינת הרשאות, רק תפקידי ניהול מסוימים יכולים לנהל ולערוך מדיניות DLP. הקצאת תפקידים חסרה או חוסר בהרשאות הנדרשות עלולים לחסום את הפריסה בשקט, גם כאשר נראה שהמדיניות נשמרה. מעבר לרישוי, פריסה מוצלחת כוללת פריסה מדורגת, צמצום חפיפות, וודאות שהמשתמשים מבינים מה קורה כאשר כלל מופעל. אם תטפלו בזה נכון, תימנעו מכמות שלמה של כשלים מיותרים ב-DLP.

בהמשך נפרט בדיוק אילו רישיונות ותפקידים נדרשים, ונשתף שיטות עבודה מומלצות שישמרו על אכיפת ה-DLP שלכם רזה, יעילה וקלה לניהול. גם מפתחים ואנשי אוטומציה יכולים להפיק תועלת ממדריכים כמו DLP for Power Platform developers, שמכסה הכול, מבדיקות ועד מעבר והתאמה לממשל.

רישוי Microsoft 365 ודרישות תפקידי ניהול

Microsoft 365 E3/E5 או Microsoft 365 Business Premium: תוכניות אלה כוללות יכולות DLP בסיסיות ב-Exchange, SharePoint, OneDrive ו-Teams. לתכונות מתקדמות (כמו סוגי מידע רגיש מותאמים אישית) נדרשים E5 או תוספות.
תוספות Microsoft Purview: לביקורת מורחבת, לתיוג מתקדם ולניתוח נתונים נדרשים רישיונות ציות של Microsoft Purview.
Global Admin: הרשאות מלאות, אך לא תמיד מומלץ לניהול שוטף של DLP בשל הסמכויות הרחבות שלו.
Compliance Admin או Security Admin: התפקידים המתאימים ביותר ליצירה, ניהול וניטור של מדיניות DLP. הרשאות מינימליות, עם כל הפונקציונליות הנדרשת.
Exchange Admin: נדרש למדיניות DLP ספציפית ל-Exchange, לכללי תעבורה קלאסיים ולפיקוח על זרימת הדואר.

שיטות עבודה מומלצות ליצירה ולפריסה של מדיניות DLP

התחילו בפיילוט
פרסו תחילה מדיניות DLP במצב בדיקה, עם ביקורת בלבד. כך תוכלו לאמת את דיוק הזיהוי ולהימנע מהפרעות לתהליכי העבודה של המשתמשים.
הימנעו מחפיפה או מהתנגשות בין מדיניות
ודאו שמדיניות חדשה אינה דורסת או משכפלת בשוגג מדיניות קיימת. חפיפות עלולות לגרום לאכיפה בלתי צפויה ולבלבול אצל המשתמשים.
הגבילו את המורכבות
השתמשו בתנאים ברורים ופשוטים בכללים, ובמספר מוגבל של סוגי מידע רגיש. מדיניות מורכבת או לא חד-משמעית קשה לפתרון תקלות ולתחזוקה.
פרסו שינויים בשלבים והודיעו על ההטמעה
הודיעו למשתמשים על פעולות DLP חדשות ועל MailTips. בצעו הטמעה הדרגתית כדי לנטר את ההשפעות ולאסוף משוב.
הפעילו אפשרויות הורדה באופן סלקטיבי
אם חסימת הורדות היא חלק מהאסטרטגיה שלכם, הפעילו אותה רק עבור קבצים שדורשים את הבקרות המחמירות ביותר, כדי לצמצם התראות שגויות והתנגדות מצד המשתמשים. לעצות נוספות לגבי הטמעה, ראו תובנות שיטות העבודה המומלצות האלה.

אימות סופי, משוב וטיפול מתמשך בבעיות DLP

לאחר שתתקנו כלל DLP או תפרסו מדיניות חדשה, העבודה עדיין לא הסתיימה. אימות מתמשך הוא קריטי: בדקו לעיתים קרובות, במיוחד לאחר עדכונים או שינויים בסביבת Microsoft 365 שלכם. אספו משוב ממשתמשים ומהאדמינים כדי לזהות בעיות חדשות מוקדם, כמו התראות שהוחמצו או צווארי בקבוק בלתי צפויים בתהליכי העבודה. דיווח וניטור יעזרו לכם לזהות מהר יותר דפוסים או נקודות עיוורון חוזרות, במקום לחכות לאירוע יקר.

זו פרקטיקה טובה להקים מנגנון משוב עם צוות התמיכה והמשתמשים המרכזיים. אם טיפים של DLP אינם מופיעים או אינם נאכפים, דיווח מהיר מוביל לתיקונים מהירים יותר ולאמון גבוה יותר בתוכנית הציות שלכם. מעקב אחר התאמות למדיניות, לוחות בקרה של התראות ויומני ביקורת הוא המפתח לתקינות מתמשכת של DLP, וכוונון יזום שומר על המדיניות שלכם רלוונטית ככל שהצרכים העסקיים מתפתחים.

זכרו, DLP אינו מערכת של "הגדרה ושכחה". סקירה שוטפת, תקשורת פתוחה וממשל רספונסיבי מבטיחים שהנתונים שלכם יישארו מאובטחים ככל שהשימוש שלכם ב-Microsoft 365 גדל. לעוד שיטות עבודה מומלצות לבניית ממשל מתמשך – לא רק בקרות טכניות – ראו את הדיון על מדוע ממשל אפקטיבי ב-Microsoft 365 תמיד כולל אנשים ופרקטיקה, ולא רק יכולות פלטפורמה.

סיכום: התמודדות עם אתגרי DLP ב-Microsoft 365

פתרון התעלומה של כללי DLP שאינם מופעלים משמעו לבחון בו-זמנית את ההגדרות, הרישוי ותמיכת הפלטפורמה. מנהלי המערכת היעילים ביותר מאתרים את שורש הבעיה, מכווננים מדיניות בזהירות ומחנכים את המשתמשים למה לצפות. ממשל הוא מסע ולא תיבת סימון; שמירה על תקינות ה-DLP דורשת סקירה שוטפת, משוב והתאמה מתמדת לשינויים בסביבה או בהרגלי המשתמשים.

להעמקה באסטרטגיות DLP מתקדמות, במיוחד בכל הנוגע ל-Microsoft Power Platform ו-Copilot, כדאי לצפות בפרק זה על ממשל DLP או לעיין בטקטיקות מתקדמות לממשל Copilot עם Microsoft Purview. אסטרטגיה הוליסטית הפועלת על פני כל השירותים היא הדרך היחידה לחסל נקודות עיוורות ולהישאר צעד לפני איומים בנוף המתפתח של Microsoft 365.