DLP che non si applica a Teams: risoluzione dei problemi e soluzioni

By Mirko Peters · 2026-04-20

Se non capisci perché i criteri di Data Loss Prevention (DLP) non si attivano su Microsoft Teams, non sei il solo. Sono in molti gli esperti IT a imbattersi in questo problema, e non è poca cosa: la DLP è la prima linea di difesa che impedisce ai contenuti sensibili di uscire dove non dovrebbero.

Automatically translated with AI from the original post. Read the English original

Titelbild: DLP Not Applying to Teams: Troubleshooting and Solutions

Questa guida spiega perché la DLP a volte non viene applicata in Teams e cosa puoi fare per risolvere il problema. Vedremo come Teams si inserisce nel quadro più ampio della conformità di Microsoft 365, gli errori più comuni in cui si cade e alcune insidie nascoste che non ti aspetteresti. Insieme alle istruzioni passo passo e ai suggerimenti per la risoluzione dei problemi, troverai le indicazioni necessarie per chiudere le lacune di conformità senza rendere la vita più difficile agli utenti. Dagli ostacoli di base fino ai casi più avanzati, troverai consigli pratici (e risorse utili) per configurare e mantenere una copertura DLP solida in Teams.

Introduzione alla DLP di Microsoft Teams: perché è importante

Le fughe di dati in Microsoft Teams non sono solo un imbarazzo: finiscono sui giornali, possono compromettere la carriera e trasformarsi in veri incubi per l'IT. La diffusione di Teams come spazio di lavoro centrale riunisce in un unico ambiente chat, chiamate, condivisione di file e collaborazione, e questo lo rende un bersaglio enorme per incidenti accidentali (o intenzionali). È qui che entra in gioco la DLP, che ti permette di individuare, bloccare o segnalare automaticamente agli utenti la condivisione di informazioni sensibili dove non dovrebbero finire.

Ma non si tratta solo di applicare regole: si tratta di creare un ambiente di lavoro in cui le persone possano collaborare liberamente, mentre le informazioni più preziose restano al sicuro. La DLP di Microsoft Teams ti consente di cercare dati come numeri di previdenza sociale, dati di carte di credito o informazioni riservate sull'azienda prima che lascino la "porta virtuale". Fatta bene, questa protezione mantiene gli utenti produttivi e offre ai responsabili della conformità, ai team legali e ai dirigenti la sicurezza di cui hanno bisogno.

Oggi più che mai la DLP in Teams è al centro della strategia complessiva di protezione dei dati di Microsoft 365. Serve a controllare non solo cosa viene condiviso in chat e canali, ma anche come questi contenuti interagiscono con Exchange, SharePoint, OneDrive e persino con le funzionalità basate sull'IA come Copilot. Configurare correttamente la DLP in Teams è fondamentale per una gestione solida del rischio e una vera conformità normativa. Per approfondire l'applicazione di controlli con privilegi minimi e l'estensione della DLP ai contenuti generati dall'IA, consulta questa guida sulla conformità di Copilot.

Come funzionano i criteri DLP di Teams e la loro copertura in Microsoft 365

I criteri DLP in Microsoft Teams fanno parte del più ampio motore di conformità e sicurezza di Microsoft 365. I criteri possono essere configurati per verificare la presenza di informazioni sensibili nei messaggi di chat e di canale di Teams, nonché nei file condivisi tramite siti SharePoint collegati e cartelle OneDrive. Questi criteri non sono isolati: le decisioni prese nelle impostazioni di Exchange, SharePoint o OneDrive hanno effetti a catena che incidono su ciò che viene applicato in Teams.

Quando crei un criterio DLP, selezioni le posizioni da monitorare: chat di Teams, messaggi dei canali di Teams e file sono opzioni separate. Definisci inoltre quali informazioni sensibili cercare, come reagire se tali dati vengono rilevati (bloccare, avvisare o solo verificare) e quali utenti o gruppi sono interessati. Entra in gioco una sorta di ereditarietà dei criteri: per esempio, una regola che si applica a tutte le posizioni di Microsoft 365 interesserà anche Teams per impostazione predefinita, a meno che non sia prevista un'eccezione o un criterio specifico solo per Teams che si sovrapponga.

È fondamentale comprendere questi confini. La DLP di Exchange Online si applica alla posta elettronica, la DLP di SharePoint e OneDrive ai file condivisi, mentre la DLP di Teams si concentra principalmente sul contenuto dei messaggi. Scenari come "Un criterio bloccato in SharePoint impedisce a qualcuno di caricare lo stesso file in Teams?" dipendono da queste integrazioni. Per approfondire la DLP tra servizi diversi e la configurazione dell'applicazione, consulta questa guida dettagliata sulla DLP di Microsoft 365.

Aggiungere Microsoft Teams come posizione DLP e strutturare i criteri

Prima che una policy DLP possa rilevare informazioni sensibili in Teams, devi dire a Microsoft 365 che Teams fa parte del perimetro: in altre parole, Teams deve essere aggiunto come posizione monitorata nelle impostazioni DLP dell'interfaccia di amministrazione di conformità di Microsoft 365. Sembra semplice, ma spesso viene dimenticato quando un'organizzazione implementa per la prima volta la DLP (o quando compaiono nuovi carichi di lavoro Teams dopo la configurazione iniziale).

È importante anche capire la differenza tra una policy DLP a livello di organizzazione e una specifica per Teams. Se le policy a livello di organizzazione offrono spesso una copertura ampia, potresti aver bisogno di regole più precise per Teams, soprattutto se vuoi controlli separati per le interazioni in chat rispetto alle discussioni nei canali. Il modo in cui strutturi questi livelli, generali o granulari, può influenzare sia la copertura sia i risultati in termini di conformità.

Anche l'organizzazione delle policy è fondamentale per la risoluzione dei problemi quando la DLP non funziona. Se Teams non è stato selezionato esplicitamente come posizione coperta, oppure se la precedenza tra le policy non è chiara, ti chiederai perché non scatta nulla. Per approfondire come strutturare la DLP per servizi complessi, ascolta queste strategie DLP, che spiegano perché la governance dei connettori e l'architettura delle policy devono procedere di pari passo.

Creazione di policy DLP personalizzate per Teams

Le policy DLP personalizzate per Teams offrono un controllo più fine quando i modelli predefiniti non bastano. Microsoft fornisce policy pronte all'uso che coprono i tipi di dati sensibili più comuni, ma i rischi specifici della tua organizzazione possono richiedere una supervisione più rigorosa e mirata a Teams, ad esempio quando ricerche interne, dati dei pazienti o contratti con i clienti circolano in chat di gruppo o nei canali.

Per creare una policy personalizzata, inizia specificando i messaggi delle chat e dei canali di Teams come posizione coperta nel portale di conformità. Poi definisci quali tipi di informazioni sensibili monitorare (come le informazioni personali identificabili, i dati finanziari o i termini riservati) e quali azioni intraprendere, ad esempio bloccare completamente la condivisione, limitarla solo agli utenti esterni o avvisare gli amministratori della sicurezza in caso di corrispondenze. Le policy personalizzate permettono di definire condizioni più sfumate: potresti voler controlli più rigidi quando gli utenti parlano con ospiti rispetto ai colleghi, oppure richiedere analisi più approfondite per determinati tipi di file rispetto ai messaggi.

La precisione è fondamentale. Restringi le condizioni per evitare troppi falsi positivi, che possono frustrare gli utenti e ridurre l'efficacia della DLP. Per una guida completa alla creazione delle policy in Microsoft 365, incluse indicazioni sull'integrazione con Teams, consulta questa guida pratica alla configurazione della DLP.

Risoluzione dei problemi: errori di configurazione DLP e policy non applicate

Quando le policy DLP ignorano messaggi o file di Teams, la tentazione è dare la colpa a Microsoft, ma il vero problema è di solito un semplice errore di configurazione. Anche gli amministratori più esperti possono trascurare i dettagli che impediscono di applicare la DLP: magari Teams non è selezionato come posizione, sono impostate le condizioni sbagliate oppure la combinazione di policy non è supportata dal back end del servizio.

Individuare questi errori di configurazione in anticipo può risparmiarti parecchi grattacapi. Fai attenzione a passaggi falsati come una logica delle regole incompleta, tipi di file non supportati o policy copiate da Exchange che non si adattano alle funzionalità di Teams. Anche gli errori di precedenza, di ordine o le esclusioni dimenticate possono causare problemi, dandoti una falsa sensazione di sicurezza mentre i dati fuoriescono silenziosamente.

Ma non si tratta solo di errori degli amministratori: a volte sono le impostazioni lato client o funzionalità trascurate (come le MailTips o i suggerimenti DLP disattivati) a bloccare le notifiche agli utenti. Sapere come escludere entrambi i lati dell'equazione è fondamentale per ripristinare la copertura. Ti servono ulteriori approfondimenti sulla DLP per i flussi di lavoro automatizzati? Prova a consultare questi suggerimenti per la risoluzione dei problemi DLP in Power Platform, con spunti sulle cause profonde che valgono anche per Teams.

Risoluzione dei problemi lato client di MailTips e suggerimenti DLP in Outlook e Teams

Verifica che MailTips e suggerimenti DLP siano attivi.
Se i MailTips sono disattivati nelle impostazioni del client Outlook o Teams, i suggerimenti dei criteri non verranno visualizzati. Assicurati che né gli utenti finali né gli amministratori abbiano disattivato queste funzionalità. Controlla di nuovo le configurazioni dei criteri a livello di organizzazione, perché una modifica globale può disattivare i suggerimenti per tutti.
Verifica le versioni corrette dei client.
I client Teams o Outlook meno recenti potrebbero non supportare i suggerimenti dei criteri DLP oppure visualizzarli in modo errato. Assicurati che tutti i client siano aggiornati, in particolare le app desktop e web di Teams, perché le nuove funzionalità spesso dipendono dalle build più recenti.
Elimina i componenti aggiuntivi in conflitto e le sovrapposizioni tra criteri.
A volte più componenti aggiuntivi di Outlook o criteri sovrapposti possono eliminare o sostituire i suggerimenti DLP. Rimuovi le estensioni in conflitto oppure applica le regole DLP in modo scaglionato, così da isolare quella che causa il problema.
Testa con violazioni di esempio.
Dopo aver verificato che le impostazioni siano corrette, crea un messaggio di test contenente dati sensibili di esempio per vedere se il suggerimento DLP viene attivato. In caso contrario, potrebbe essere necessario modificare le condizioni DLP oppure controllare la presenza di errori di sincronizzazione tra client e server.

Utilizzo di Fiddler per diagnosticare la mancata visualizzazione dei suggerimenti dei criteri DLP

Acquisisci l'attività di rete con Fiddler. Avvia Fiddler e riproduci lo scenario che attiva DLP: cerca le richieste HTTP "GetDLPPolicyTip" dal client agli endpoint del servizio Microsoft.
Analizza il traffico di richieste e risposte. Esamina le risposte restituite: sono presenti le informazioni sul criterio oppure ricevi errori o oggetti vuoti? I dati mancanti indicano problemi lato backend oppure configurazioni errate dei criteri.
Individua i codici di errore specifici. Cerca problemi di autenticazione ("403 Forbidden"), criteri non trovati o timeout. Questi indizi possono indicare se il problema si verifica sul client, durante la trasmissione o nel servizio di conformità stesso.
Verifica che la risposta corrisponda all'intento del criterio. Se il servizio risponde ma non segnala la violazione, il criterio potrebbe non corrispondere al contenuto effettivo del messaggio: modifica le condizioni, quindi ripeti il test.

Personalizzare i suggerimenti dei criteri DLP per sensibilizzare gli utenti di Microsoft Teams

Quando i criteri DLP sono tecnicamente attivi, il passo successivo è assicurarsi che gli utenti finali capiscano davvero cosa sta succedendo e cosa devono fare. I suggerimenti dei criteri non sono semplici segnali di allarme: sono un richiamo, un avviso o un momento di formazione proprio nel momento in cui qualcuno sta per fare una mossa rischiosa. Il modo in cui formuli il suggerimento (e le azioni che propone) fa una grande differenza nel fatto che le persone lo seguano o lo ignorino con fastidio.

I suggerimenti dei criteri in Teams devono essere diretti, di supporto e assolutamente chiari sia sul rischio sia sui passaggi successivi. Potresti scrivere, ad esempio, "Attenzione: non inviare dati dei clienti al di fuori dell'azienda", oppure inserire un link al criterio di utilizzo accettabile. Elementi visivi come colori o icone possono aiutare i suggerimenti a risaltare durante una chat o un caricamento di file, ma evita toni allarmistici o un gergo che porti gli utenti a non sopportare più DLP.

I suggerimenti efficaci in Teams trovano un equilibrio: avvisano l'utente senza rallentarlo. Man mano che l'organizzazione impara, puoi modificare il testo e le azioni dei suggerimenti per gli scenari più comuni (ad esempio indicazioni diverse per gli ospiti rispetto ai membri interni, o più contesto per determinati ruoli). Il risultato? Una cultura della conformità in cui le persone sono proattive, non solo reattive, nel proteggere le informazioni sensibili.

Garantire che i suggerimenti DLP vengano applicati correttamente agli utenti di Teams

Verifica l'ambito del criterio per tipo di utente.
I dipendenti interni di solito vedono i suggerimenti DLP immediatamente quando attivano un criterio, mentre gli ospiti e gli utenti esterni potrebbero non vederli. Testa sempre gli avvisi DLP con ciascun segmento di utenti, in particolare con gli ospiti, che potrebbero essere esclusi da alcuni controlli o non disporre delle licenze necessarie.
Valuta i trigger condizionali per chat e canali.
I suggerimenti DLP funzionano in modo diverso nelle chat 1:1 o di gruppo rispetto ai canali pubblici. Verifica che il criterio si applichi a entrambi e controlla che non vi sia un ritardo in tempo reale (comune nelle chat private) che impedisca la visualizzazione dei suggerimenti fino a dopo l'invio del messaggio.
Simula le azioni sui messaggi e la condivisione esterna.
Gli utenti che tentano di condividere dati protetti al di fuori dell'organizzazione dovrebbero ricevere suggerimenti in base alle condizioni di condivisione esterna del criterio. Se gli utenti non vedono questi avvisi, rivedi le regole e testa con scenari rappresentativi.
Monitora la comparsa incoerente dei suggerimenti dei criteri.
Se solo alcuni utenti vedono i suggerimenti, potrebbero entrare in gioco esclusioni dei criteri, mancate corrispondenze di posizione o problemi di licenza. Usa gli strumenti di amministrazione e i moduli di feedback per monitorare dove la coerenza si interrompe. Non dimenticare il ciclo di vita degli account ospiti, come evidenziato in questa guida alla gestione degli account ospiti.

Reporting e feedback degli utenti per i criteri DLP di Teams

Un buon DLP non è una cosa da "impostare e dimenticare": bisogna monitorarlo, rivederlo e migliorarlo continuamente, per capire come i criteri si comportano con gli utenti reali. Per fortuna Microsoft 365 include strumenti di reporting DLP che ti permettono di vedere cosa succede dietro le quinte: chi attiva i criteri, quali tipi di dati li fanno scattare e con quale frequenza si verificano eventi di blocco rispetto a quelli di consentito. Usa questi report per individuare falsi positivi, lacune di conformità o le cause alla base dei malintesi, prima che diventino un problema serio.

Per Teams, in particolare, consulta i report che suddividono le corrispondenze dei criteri in attività di chat, canale e file. Monitorare il "conteggio istanze" (quante volte si attiva una regola) e gli utenti che attivano ripetutamente le stesse regole ti mostrerà dove servono formazione o una messa a punto dei criteri. Ricorda di combinare i report specifici di Teams con i dataset aggregati di Microsoft 365 per avere una visibilità davvero completa.

I feedback degli utenti sono una risorsa preziosa: quando le persone vedono i suggerimenti DLP, incoraggiale a segnalare la confusione o a proporre miglioramenti tramite l'opzione integrata "Questo è stato utile?". Gli schemi nei reclami degli utenti o nei ticket di supporto spesso rivelano problemi più complessi di quanto mostrino i numeri grezzi. Per verificare su larga scala l'impatto dei criteri e il comportamento degli utenti, strumenti come Microsoft Purview Audit (consulta questa guida sulle attività di audit) offrono un'analisi forense approfondita per conformità, rischio e adozione.

Gestire l'ambito dei criteri DLP e i contenuti non supportati in Teams

La copertura DLP in Teams non è perfetta. Ci sono punti ciechi e, se non ne sei consapevole, potresti credere che il DLP faccia più di quanto fa in realtà. Alcuni elementi di Teams, come adesivi, GIF, reazioni (pollice in su, cuoricini) o messaggi di app non standard, non vengono analizzati affatto dal DLP. Lo stesso vale per alcune integrazioni di terze parti, le shoutout o i messaggi inviati dai bot: tutti questi elementi possono sfuggire al radar del DLP.

Inoltre, il DLP analizza principalmente i contenuti testuali e i file di Office. I tipi di file non supportati, come gli archivi compressi o i dati di app personalizzate, possono eludere l'ispezione. Allo stesso modo, elementi come immagini incollate in chat, frammenti di codice o screenshot non vengono valutati per la ricerca di dati sensibili. Affidarsi esclusivamente al DLP può lasciare informazioni importanti dell'organizzazione in luoghi che credevi protetti.

L'approccio migliore è una difesa a più livelli e una formazione proattiva degli utenti. Informali su ciò che non è coperto e valuta la possibilità di definire criteri o script di governance per colmare le lacune del DLP. Se ti serve una visione più ampia sulle illusioni di controllo e sui cicli di governance in Teams, dai un'occhiata a questo podcast sulla governance di Teams: ti aprirà gli occhi su come sia un processo continuo, e non solo i criteri, a mantenerti sicuro nel lungo periodo.

Come l'accesso condizionale e l'identità influiscono sul DLP in Teams

Anche il criterio DLP meglio costruito non funziona se le regole di accesso condizionale o le condizioni di identità ne bloccano la valutazione fin dall'inizio. Per le organizzazioni che adottano modelli ibridi o zero trust è fondamentale capire che il DLP dipende non solo dalle impostazioni del criterio, ma anche dal fatto che l'utente, il dispositivo o l'account ospite soddisfi i requisiti di conformità necessari per attivare l'analisi.

Ci sono diverse insidie nascoste: gli utenti ospiti potrebbero non ricevere l'applicazione completa dei criteri se i loro account non rientrano in determinati requisiti di licenza o di autenticazione. I collaboratori esterni che lavorano da dispositivi non gestiti o non conformi possono passare inosservati se l'accesso condizionale non è configurato correttamente. L'autenticazione a più fattori (MFA), la registrazione dei dispositivi e record aggiornati in Entra ID (Azure AD) sono prerequisiti che possono bloccare del tutto l'attivazione del DLP finché gli utenti non soddisfano tali requisiti.

Per individuare questi problemi, assicurati innanzitutto che nessuna esclusione da Accesso condizionale sia troppo ampia: criteri di Accesso condizionale con falle possono compromettere DLP, permettendo a sessioni o account rischiosi di aggirare i controlli. Allo stesso modo, verifica periodicamente e riduci l'accesso degli account ospiti, come spiegato in questa guida essenziale sui rischi degli account ospiti. Per un elenco dei controlli di base di Accesso condizionale e piani di implementazione pratici che mantengono solido DLP, consulta questa risorsa sulle best practice di Accesso condizionale. Combinando una forte identità e la conformità dei dispositivi con DLP ottieni una protezione di Teams davvero impenetrabile e blocchi le fughe di dati più subdole alla fonte.