Etichetta di riservatezza non applicata: risoluzione dei problemi e soluzioni per Microsoft 365 e Power BI

By Mirko Peters · 2026-04-21

Questo articolo analizza in dettaglio perché le etichette di riservatezza potrebbero non essere applicate come previsto in Microsoft 365, Power BI e nelle app correlate. Se ti stai chiedendo perché mancano le opzioni delle etichette, la classificazione automatica non riesce o la configurazione si ostina a non funzionare, sei nel posto giusto. Vedremo insieme i passaggi pratici per la risoluzione d

Automatically translated with AI from the original post. Read the English original

Cover: Build Audit-Ready Document Management with SharePoint and Purview

Aspettati risposte dirette, elenchi chiari di cosa verificare e indicazioni per quei problemi avanzati che lasciano perplessi anche i professionisti. Che tu stia supportando gli utenti di tutti i giorni o implementando criteri di sicurezza a livello aziendale, troverai qui spunti e soluzioni per mantenere i dati sensibili protetti e il tuo team di conformità tranquillo. Se hai il sospetto che non esista "un'unica impostazione che risolve tutto", questa risorsa ti mostrerà esattamente dove guardare.

Le etichette di riservatezza e i problemi più comuni nelle applicazioni

Le etichette di riservatezza sono diventate un pilastro della sicurezza dei dati nel Microsoft 365 di oggi. Con minacce informatiche sempre più subdole e sempre più dati che si spostano su SharePoint, OneDrive e Power BI, è fondamentale capire cosa fanno davvero le etichette di riservatezza e come si presentano quando non funzionano come dovrebbero.

Microsoft Purview mette a fuoco la sensibilità dei dati consentendo alle organizzazioni di classificare e proteggere file, email e persino contenuti di Power BI. Ma il fatto che le etichette siano configurate non significa che funzionino sempre come vorresti. Possono esserci sorprese reali: pulsanti che scompaiono, etichette predefinite che non vengono applicate, oppure alcuni file o utenti che restano completamente esclusi.

Questa sezione parte dalle basi: a cosa servono le etichette di riservatezza, perché sono così importanti per la conformità normativa e la privacy e quali sono i segnali più comuni che qualcosa non va sotto la superficie. Vedrai i modelli di errore principali, dal semplice "l'etichetta non compare" a problemi più complessi come i problemi di ereditarietà o l'automazione non funzionante, soprattutto in Power BI o negli ambienti collaborativi di SharePoint e OneDrive.

Se ti sei mai chiesto "perché non funziona?", resta con noi. Le prossime sottosezioni illustreranno i segnali di allarme più comuni, le definizioni di base e i principali responsabili dei fallimenti della classificazione automatica (compresi quelli che non ti aspetteresti). Alla fine avrai le basi necessarie per individuare e risolvere i problemi legati alle etichette di riservatezza nel tuo ecosistema Microsoft.

Cos'è un'etichetta di riservatezza e come dovrebbe funzionare?

Un'etichetta di riservatezza è un tag che puoi applicare a file, email e vari contenuti cloud in Microsoft 365 per classificare, proteggere e controllare l'utilizzo delle informazioni. Queste etichette si gestiscono tramite Microsoft Purview e aiutano a tenere sotto stretto controllo i dati sensibili, come informazioni finanziarie, dati dei clienti o proprietà intellettuale.

Una volta applicate, le etichette di riservatezza possono cifrare automaticamente il contenuto, limitare chi può accedere a un file o modificarlo e persino attivare notifiche se i dati vengono gestiti in modo scorretto. Che tu lavori in Outlook, Word, Teams, SharePoint o Power BI, le etichette fungono da segnale visibile e da scudo invisibile, seguendo il documento o il messaggio ovunque vada.

Le etichette possono essere impostate dagli utenti (etichettatura manuale) oppure applicate automaticamente in base a regole predefinite (etichettatura automatica). L'obiettivo è un flusso di lavoro senza attriti: una volta applicata un'etichetta, i criteri di sicurezza e conformità entrano in azione dietro le quinte, offrendo alle organizzazioni la tranquillità necessaria ovunque finisca il file.

Sono assolutamente centrali nelle strategie di conformità normativa, perché offrono controlli fondamentali per gli audit di conformità e la difesa legale. Se il tuo obiettivo è evitare il caos documentale e tenere sotto controllo il rischio, costruire un solido programma di etichettatura della riservatezza con Microsoft Purview è una mossa fondamentale. Per consigli pratici sulla protezione dei file in SharePoint e Teams, ascolta questa discussione su come fermare il caos documentale con il tuo scudo Purview.

Problemi comuni delle etichette di riservatezza e cosa tenere d'occhio

Le etichette non compaiono: Nelle app come Word, Excel o Power BI non vengono visualizzate le opzioni di etichetta previste, spesso a causa di criteri configurati in modo errato o di problemi di accesso degli utenti.
Il pulsante dell'etichetta è disattivato: Gli utenti vedono il pulsante dell'etichetta di riservatezza ma non riescono a selezionarlo. Il problema può dipendere da licenze mancanti, da un client obsoleto o da conflitti tra criteri del tenant.
Le etichette non vengono ereditate: I contenuti derivati (esportazioni, report o file condivisi) non recuperano l'etichetta di riservatezza dell'elemento padre. Di solito ciò accade perché l'ereditarietà non funziona come previsto oppure non è supportata per quello scenario.
L'applicazione automatica non funziona: Le etichette impostate per essere applicate per impostazione predefinita o in base a parole chiave non vengono applicate ai nuovi contenuti. È un segnale di problemi di sincronizzazione o di una configurazione errata dei criteri delle etichette.
Lacune nell'applicazione delle protezioni: Gli utenti lavorano con contenuti protetti, ma la crittografia o le protezioni di accesso non vengono attivate. In questo modo i dati risultano esposti a rischi e ciò indica un malfunzionamento nelle impostazioni di applicazione.

Perché la mia etichetta di riservatezza non viene applicata automaticamente?

I criteri di applicazione automatica non sono destinati correttamente. Se hai configurato criteri in Microsoft Purview senza includere esattamente utenti, gruppi o percorsi, le etichette non verranno applicate, anche se a prima vista l'impostazione sembra corretta.
Le limitazioni delle licenze bloccano le etichette. Gli utenti senza le licenze Microsoft 365 o Purview corrette non vedranno le etichette e per loro l'applicazione automatica non funzionerà. Ad esempio, per un'etichettatura efficace in Power BI spesso sono necessarie Power BI Pro o Premium per utente.
I ritardi di sincronizzazione dei criteri causano problemi. Quando aggiorni un criterio o aggiungi una nuova etichetta, le modifiche possono richiedere da alcune ore a diversi giorni per essere applicate su tutti i dispositivi e client. Finché la sincronizzazione non è completata, l'etichettatura automatica potrebbe semplicemente non attivarsi.
L'ereditarietà a valle non è supportata o è configurata in modo errato. Anche se in Power BI è selezionata l'opzione «ereditarietà a valle abilitata», non tutte le esportazioni, i report o i modelli supportano una corretta propagazione. Alcuni tipi di contenuto, come i report impaginati o determinati file esportati, non recuperano automaticamente l'etichetta dell'elemento padre.
Il contesto del dispositivo o dell'accesso limita l'applicazione delle etichette. Gli accessi condizionali o i criteri di Intune spesso limitano l'uso delle etichette su dispositivi non gestiti o non conformi, quindi anche un'etichettatura automatica ben configurata può fallire senza alcun avviso se i dispositivi non soddisfano i requisiti.
Cache locale o danneggiamento dei metadati nelle app desktop. A volte i client di Office o Power BI Desktop conservano elenchi di etichette obsoleti, impedendo la visualizzazione o l'applicazione di regole di etichettatura automatica nuove o aggiornate finché la cache non viene cancellata o l'app non viene riavviata.
Problemi di autorizzazioni con utenti B2B o ospiti. Gli ospiti o gli utenti esterni spesso non riescono ad applicare, vedere o ereditare le etichette, anche con accesso in modifica, a causa di limiti tra tenant, criteri o licenze.

Se hai dubbi, controllare l'attività degli utenti con il audit, come in questa guida sull'audit di Purview, può aiutarti a individuare dove l'automazione e l'ereditarietà non funzionano.

Prerequisiti di licenza e configurazione per le etichette di riservatezza

Prima di poter contare sul corretto funzionamento delle etichette di riservatezza in Microsoft 365 e Power BI, è necessario disporre della base giusta. Occorre quindi verificare che licenze, impostazioni del tenant e configurazioni dei servizi siano allineate. Anche un solo requisito mancante può impedire agli utenti di vedere o applicare le etichette, anche se i criteri nell'interfaccia di amministrazione sembrano perfetti.

Questa sezione esamina le fondamenta del sistema di etichette: quali prodotti e ruoli richiedono licenze premium, quali autorizzazioni servono per visualizzare o usare le etichette e come vengono definiti i criteri delle etichette per raggiungere gli utenti e i servizi giusti. Vedrai anche perché saltare questi passaggi porta spesso a funzionalità che scompaiono senza motivo, pulsanti inattivi o esperienze di etichettatura incoerenti da un'app all'altra.

Se stai risolvendo problemi con le etichette o preparando un rollout su larga scala, verificare questi requisiti di licenza e configurazione è assolutamente essenziale. Le sottosezioni seguenti analizzano ogni elemento, così sai esattamente cosa controllare prima di affrontare problemi tecnici più complessi. Per capire meglio le sfide nascoste della conformità e dell'applicazione dei criteri, dai un'occhiata a questo approfondimento su Microsoft 365 compliance drift.

Requisiti di licenza per visualizzare e applicare le etichette di riservatezza

Licenze Microsoft Purview Information Protection (MIP): l'etichettatura di riservatezza in Microsoft 365 richiede, per ogni utente che deve visualizzare, applicare o applicare automaticamente le etichette, una delle seguenti licenze:

Microsoft 365 E5, A5 o G5
Microsoft 365 E3 con il componente aggiuntivo Information Protection and Governance
Azure Information Protection P1/P2 o un bundle equivalente
Requisiti specifici per le applicazioni:per Power BI è necessaria una licenza Pro o Premium Per User (PPU) per creare, applicare ed ereditare etichette di riservatezza su file PBIX o sui contenuti presenti negli aree di lavoro.
Gli utenti che si limitano a consumare contenuti etichettati in Power BI (senza creare o modificare le etichette) potrebbero richiedere un livello di licenza inferiore, a seconda della configurazione dell'area di lavoro.
Licenze per amministratori e automazione:gli amministratori che creano e gestiscono le etichette di riservatezza nel portale Purview devono avere anch'essi la licenza appropriata assegnata e potrebbero necessitare di autorizzazioni aggiuntive per l'automazione tramite PowerShell o REST API.
Lacune comuni:gli utenti negli ambienti con licenze miste spesso perdono l'accesso alle etichette o all'etichettatura automatica quando il loro livello di licenza non è sufficiente o è assegnato in modo errato.
Gli account guest B2B o le entità servizio richiedono in genere una configurazione speciale, dato che la maggior parte delle licenze di Microsoft 365 è basata sugli utenti e non copre automaticamente questi scenari. Anche accesso ai dati, proprietà e governance hanno un ruolo in questo contesto.

Come creare un'etichetta di riservatezza e definirne l'ambito

Apri il portale Microsoft Purview - Inizia accedendo al centro conformità di Purview e seleziona «Information protection» in Data lifecycle management.
Crea una nuova etichetta e definisci le sue proprietà - Assegna all'etichetta un nome chiaro e una descrizione, quindi scegli l'ambito corretto (file, email, contenuti di Power BI o tutti). Definisci quali protezioni applicare: crittografia, filigrana e autorizzazioni di accesso.
Configura il targeting dei criteri per le etichette - Decidi chi può vedere e usare l'etichetta, scegliendo utenti, gruppi specifici o tutti i titolari di account. Verifica le assegnazioni per assicurarti che l'etichetta compaia dove serve e non risulti nascosta per errore.
Configura l'etichettatura predefinita e obbligatoria - Attiva l'etichettatura predefinita per i casi in cui vuoi che tutti i nuovi documenti partano con un determinato livello di protezione. Imposta l'etichettatura obbligatoria per richiedere agli utenti di applicare un'etichetta prima di salvare o inviare un contenuto.
Pubblica e monitora il rollout - Quando sei sicuro delle impostazioni, pubblica il criterio e comunicalo agli utenti. Verifica regolarmente l'adozione e le statistiche sui contenuti etichettati per individuare eventuali errori, un tema affrontato anche in questa guida sulla gestione documentale pronta per l'audit.

Risoluzione dei problemi di applicazione delle etichette di riservatezza in Power BI

Power BI porta con sé una serie di grattacapi quando si parla di etichette di riservatezza, un problema che mette in difficoltà anche gli amministratori più esperti. Potresti aver configurato tutto correttamente in Microsoft Purview e nel tuo tenant Microsoft 365, eppure Power BI a volte presenta nuove sfide. Si va dal pulsante delle etichette inspiegabilmente disattivato ai file PBIX protetti che non si aprono o non si pubblicano.

Altri punti critici includono etichette predefinite od obbligatorie che non vengono applicate come previsto, trasferimenti tra Power BI Desktop e il servizio che interrompono l'ereditarietà delle etichette, oppure report esportati che perdono le protezioni principali. Ci sono inoltre scenari particolari che coinvolgono utenti B2B e guest, la sicurezza a livello di riga o l'accesso ai contenuti, che possono complicare i piani di governance.

Questa sezione introduce tutti i principali problemi legati alle etichette di Power BI che potresti incontrare. Ogni sottosezione approfondisce le cause reali e le soluzioni per problemi come controlli disattivati, applicazione non forzata oppure impossibilità di lavorare con file protetti o impostazioni di sicurezza elevate. Non si tratta solo di elencare messaggi di errore: l'obiettivo è colmare le lacune, così la tua strategia di conformità e sicurezza resta in carreggiata. Ti interessa una visione più ampia della governance? Scopri le sfide causate da controlli inefficaci in the Fabric governance illusion.

Perché il pulsante dell'etichetta di riservatezza è disattivato o assente in Power BI

Versione di Power BI Desktop non aggiornata: la funzionalità delle etichette richiede il client Desktop più recente. Se usi una versione obsoleta, il pulsante potrebbe non comparire affatto.
Licenza mancante o ambito del criterio insufficiente: serve Power BI Pro, Premium per utente o la licenza Microsoft Purview appropriata. Senza licenza, non ci sono opzioni di etichetta.
File PBIX salvato in percorsi non supportati: alcune funzionalità funzionano solo con file salvati in OneDrive o SharePoint, non in unità locali.
Criterio di etichetta del tenant non pubblicato o non destinato al tuo utente: se l'amministratore non ti ha incluso (o non ha incluso l'area di lavoro) nel criterio, le etichette non compariranno.
Connettività Internet o modalità offline: le funzionalità delle etichette dipendono dalla sincronizzazione dei criteri nel cloud. Se sei offline, le etichette potrebbero non comparire.

Etichettatura obbligatoria e predefinita non applicata nei file PBIX di Power BI

Etichetta obbligatoria/predefinita del tenant non configurata: Power BI richiede impostazioni specifiche del tenant per l'applicazione; se queste opzioni mancano, i file PBIX restano senza etichetta.
Sostituzione manuale dell'etichetta abilitata: se gli utenti possono rimuovere o modificare le etichette, l'applicazione viene aggirata nonostante le impostazioni apparentemente "obbligatorie".
Esclusioni delle aree di lavoro: l'applicazione può essere limitata solo ad alcune aree di lavoro; le altre sfuggono al controllo se non sono incluse.
Ritardo di sincronizzazione tra Desktop e servizio: i contenuti appena pubblicati o creati potrebbero non acquisire l'etichetta immediatamente, a causa dei ritardi di elaborazione del backend.

Problemi con i file PBIX protetti e con l'accesso ai contenuti

La crittografia impedisce le operazioni sui file: se un PBIX è protetto da un'etichetta con crittografia, gli utenti possono essere bloccati nell'apertura, nel salvataggio o nella pubblicazione, a meno che non siano assegnati al gruppo di accesso corretto.
Restrizioni per utenti B2B e ospiti: i collaboratori esterni possono di norma aprire o modificare contenuti protetti solo se i loro account sono inclusi in modo esplicito nei criteri di accesso dell'etichetta; in caso contrario, i file non si caricano o non possono essere pubblicati.
Ostacoli per entità servizio e automazione: i processi automatizzati che usano entità servizio non sempre riescono ad applicare o rimuovere le etichette, a causa di scenari non supportati o di autorizzazioni RBAC mancanti.
File legacy incompatibili: i file PBIX creati o salvati con versioni precedenti di Power BI Desktop potrebbero non funzionare con le nuove protezioni delle etichette, causando errori di importazione o di accesso.
Errori di salvataggio e pubblicazione per l'archiviazione locale: se un file PBIX viene salvato in un'archiviazione locale o in una posizione non cloud, le protezioni dell'etichetta di riservatezza non viaggiano con il file, causando errori di accesso su altri dispositivi o in Power BI Service.
Discrepanze nella configurazione del tenant: le differenze tra i criteri di Microsoft Purview e le impostazioni del tenant di Power BI possono bloccare la sincronizzazione delle etichette, con errori di "funzionalità mancante" o accesso non riuscito ai file protetti.
Errori di row-level security e di collegamento con l'origine dati: quando la row-level security è combinata con file protetti, esportazione e accesso si interrompono se ruoli e criteri delle etichette non sono perfettamente allineati. Per le best practice in materia, consulta implementing RLS in Power BI.

Problemi di ereditarietà e propagazione delle etichette a valle

In un mondo ideale, una volta applicata un'etichetta di riservatezza a un set di dati o a un report, ogni file derivato o elemento esportato dovrebbe portare con sé lo stesso "badge" di sicurezza, ovunque vada. La realtà? L'ereditarietà a valle non è così solida come molti si aspettano, soprattutto nelle esportazioni, nei report impaginati e quando i contenuti vengono rielaborati in Power BI o in altre app.

Qui impostiamo il contesto in cui la propagazione delle etichette tende a non funzionare. Alcuni problemi sono tecnici (ad esempio tipi di file non supportati), altri sono puramente di criterio (ad esempio l'ereditarietà non configurata o sovrascritta dalle opzioni di esportazione). È un complicato gioco di "segui il leader": quando l'ereditarietà si interrompe, i tuoi contenuti sensibili restano privi della protezione prevista.

Le sottosezioni seguenti spiegano nel dettaglio perché alcuni fogli Excel esportati o report di Power BI perdono l'etichetta di riservatezza pur essendo "contenuti derivati". Affrontiamo anche il mondo insidioso dei report impaginati e dell'ereditarietà delle etichette basata sul modello, così sai a cosa prestare attenzione e dove investire il tuo impegno di troubleshooting per ottenere il miglioramento complessivo più significativo.

Perché i contenuti derivati non ereditano le etichette di riservatezza

Formati di esportazione non supportati: molti esportati derivati, come CSV o PDF da Power BI, non conservano le etichette di riservatezza originali perché il formato non supporta i metadati delle etichette.
Ereditarietà non abilitata per tutti i tipi di contenuto: anche quando l'"ereditarietà per i contenuti derivati" è attivata nelle impostazioni di Purview, solo i tipi di file e i flussi di dati supportati partecipano. I report impaginati e alcuni report ibridi spesso interrompono questa catena.
Sovrascrittura manuale in fase di esportazione: se gli utenti scelgono "Scarica senza etichetta" o usano strumenti di terze parti, le etichette ereditate non vengono mantenute.
Errori di configurazione dei criteri: lacune nell'ambito dei criteri di etichetta o nella configurazione del tenant permettono ad alcuni file o esportazioni di "sfuggire" e di non rispettare le regole di propagazione delle etichette.
Ritardo di sincronizzazione lato client: se i dati delle etichette non sono stati aggiornati nell'app, le etichette appena create o ereditate potrebbero non comparire fino alla successiva propagazione dei criteri.

Report impaginati e guasti dell'ereditarietà delle etichette basata sul modello

I report impaginati non dispongono di meccanismi di ereditarietà adeguati: quando un report impaginato è basato su un set di dati con etichetta, l'ereditarietà non è sempre automatica, soprattutto se la connessione è indiretta o le origini dati non sono compatibili con le etichette.
I contenuti esportati da report impaginati perdono le etichette: le esportazioni in PDF, CSV o Excel da report impaginati spesso non includono affatto le etichette di riservatezza, a causa dei limiti del processo di esportazione.
Isolamento di origine dati e modello: se il modello del report attinge da più origini con e senza etichetta, le regole di ereditarietà diventano confuse, con il risultato che viene applicata un'etichetta di ripiego oppure nessuna etichetta.
Problemi con i connettori personalizzati: i report che usano connettori personalizzati o API esterne possono non trasmettere i metadati delle etichette, interrompendo la propagazione automatica.
Lacune nei criteri per le origini ibride: gli ambienti ibridi (che combinano on-premise e cloud) o che usano più tenant presentano spesso non corrispondenze nei criteri, in cui l'ereditarietà semplicemente non viene applicata o supportata.
Soluzione alternativa consigliata: verifica regolarmente i criteri di Purview e le impostazioni di esportazione di Power BI. Quando possibile, insegna agli utenti ad applicare manualmente un'etichetta sia al modello sia a tutti i report derivati, e monitora le esportazioni senza etichetta: affidarsi esclusivamente all'ereditarietà automatica è rischioso. Per una visione più approfondita della governance, consulta questa risorsa sulla governance di Microsoft Fabric.

Sicurezza, protezione e integrazione con Defender for Cloud Apps

Le etichette di riservatezza non servono solo ad applicare un "bollino" a un file: offrono una protezione concreta in termini di sicurezza avanzata, come la crittografia e l'applicazione automatica su dispositivi e servizi cloud. Ma man mano che queste impostazioni di protezione diventano più potenti, cresce anche la complessità per i team IT incaricati di far sì che tutto funzioni in modo coerente.

Questa sezione si concentra su come le impostazioni di protezione e crittografia associate alle etichette di riservatezza influenzano i contenuti in Microsoft 365, Power BI e strumenti integrati come Microsoft Defender for Cloud Apps. Quando un'etichetta aggiunge la crittografia a un file, cambia chi può accedere, modificare e persino vedere un documento: ciò può generare nuove sfide di troubleshooting se le impostazioni non sono allineate nel modo corretto.

Vedremo anche come monitorare i contenuti con etichetta per la conformità, controllarne gli accessi o generare avvisi per attività sospette, usando gli strumenti disponibili in Defender for Cloud Apps e Purview. Consideralo un toolkit per la gestione proattiva dei rischi e la visibilità. Se vuoi approfondire come restare un passo avanti rispetto al deterioramento della conformità e integrare i report, leggi come monitorare la conformità con Defender for Cloud.

Come le impostazioni di protezione e la crittografia influiscono sul comportamento delle etichette

Quando assegni un'etichetta di riservatezza con crittografia, applichi un nuovo insieme di regole che viaggiano con il contenuto, indipendentemente da dove finisce. Per documenti ed email, la crittografia controlla chi può aprire, stampare o inoltrare i file, applicando limiti di accesso anche al di fuori dell'organizzazione.

Queste protezioni possono bloccare la modifica o l'accesso se un utente non è incluso nel criterio dell'etichetta. Per i file PBIX di Power BI, la crittografia può impedire agli utenti di pubblicare o salvare contenuti, a meno che non facciano parte del gruppo autorizzato. In situazioni di collaborazione, come la condivisione esterna o le partnership B2B, le etichette con protezione elevata possono bloccare anche utenti normalmente privilegiati.

Alcune impostazioni delle etichette possono anche disattivare funzionalità delle app. Ad esempio, se un file è stato crittografato, potresti perdere la possibilità di visualizzarne l'anteprima in SharePoint o Teams. In Power BI, la sicurezza a livello di riga e le etichette di riservatezza devono funzionare insieme, altrimenti possono verificarsi problemi, soprattutto per l'accesso da dispositivi mobili o negli scenari di contenuto incorporato.

Le impostazioni di protezione sono anche strettamente integrate con altre funzionalità di sicurezza: pensa ad Accesso condizionale, Microsoft Defender o alle regole DLP. Queste integrazioni fanno sì che un file contrassegnato come riservato generi avvisi, blocchi comportamenti rischiosi o, se necessario, blocchi completamente il contenuto. Scopri di più su come tutti questi elementi si combinano per proteggere il tuo ambiente di lavoro senza infastidire gli utenti in questo approfondimento sulla sicurezza di M365.

Monitoraggio delle etichette di riservatezza con Defender for Cloud Apps

Controllo delle attività sulle etichette: Defender for Cloud Apps e Microsoft Purview registrano le azioni legate alle etichette, aiutando a individuare in tempo reale rimozioni non autorizzate o assegnazioni di etichette non riuscite.
Configurazione di criteri e avvisi: Imposta avvisi per informare i team di sicurezza ogni volta che le informazioni riservate vengono consultate, scaricate o condivise al di fuori dei limiti del criterio.
Individuazione dei contenuti su larga scala: Usa l'individuazione automatica per trovare contenuti non protetti o verificare la conformità ai criteri delle etichette in tutto il tuo ambiente cloud.
Monitoraggio continuo della conformità: Controlla il deterioramento della conformità e ottieni opzioni di correzione automatica, come descritto in dettaglio in questa guida alla conformità di Defender for Cloud.

Scenari avanzati e limitazioni specifiche degli ambienti

La maggior parte delle organizzazioni usa le etichette di riservatezza in configurazioni lineari di Microsoft 365. Ma se ti spingi verso cloud sovrani, condivisione cross-tenant (B2B) o provi ad automatizzare le azioni sulle etichette tramite API o account di servizio, la situazione cambia radicalmente. Questi scenari avanzati introducono limitazioni proprie, a volte tecniche, a volte basate sui criteri, che possono vanificare i piani migliori per le etichette di riservatezza.

Questa sezione evidenzia cosa aspettarsi in ambienti specializzati. Scoprirai dove l'etichettatura non funziona affatto (o richiede molta configurazione aggiuntiva), inclusi i tenant del governo degli Stati Uniti o del cloud tedesco, la collaborazione con utenti B2B esterni e gli script di automazione che usano service principal. Possono lasciarti perplesso, chiedendoti perché alcune funzionalità delle etichette scompaiano o falliscano silenziosamente.

Ogni sottotema segnala restrizioni specifiche e propone strategie per aggirare o ridurre questi ostacoli. È particolarmente rilevante se operi in settori regolamentati o gestisci più tenant e devi proteggere le lacune mantenendo al tempo stesso la prontezza per gli audit. Ti interessano i rischi di conformità legati agli account ospite non gestiti? Dai un'occhiata a questo approfondimento sulla gestione del ciclo di vita degli account ospite.

Etichette di riservatezza nei cloud sovrani e nella collaborazione B2B

Limitazioni dei cloud sovrani: le versioni di Microsoft 365 per il governo degli Stati Uniti e per il cloud tedesco spesso non includono l'etichettatura di riservatezza completa, oppure supportano solo un sottoinsieme limitato di funzionalità rispetto ai tenant globali.
Lacune per gli utenti esterni e B2B: gli ospiti B2B spesso non riescono a vedere né ad applicare le etichette, anche con autorizzazioni di modifica, a meno che il criterio di etichettatura non li includa esplicitamente o il tenant non abiliti l'accesso cross-tenant.
Deriva dei criteri nella collaborazione: i criteri impostati in un tenant potrebbero non seguire i file oltre i confini del tenant, con il risultato di perdere le etichette o di ricadere su impostazioni non sicure.
Soluzioni alternative: usa le etichette manuali, forma i collaboratori esterni e rivedi il targeting dei criteri per coprire in modo più completo gli utenti ospiti e partner.

Automatizzare le etichette di riservatezza con le API REST e le entità servizio

Limitazioni degli endpoint API: alcuni endpoint dell'API REST non supportano ancora la lettura o la scrittura dei metadati delle etichette, in particolare in Power BI o SharePoint.
Problemi di autorizzazioni e RBAC: le entità servizio hanno bisogno sia del ruolo Azure corretto sia delle autorizzazioni delegate per gestire le etichette, e questo rende la configurazione complicata.
Automazione della pulizia delle etichette: usa PowerShell o l'API Graph per assegnare o rimuovere le etichette in blocco, ma testa sempre le particolarità nel tuo ambiente, perché gli account di servizio non possono replicare ogni azione manuale di un utente.
Messaggi di errore non documentati: gli errori inspiegabili sono comuni con l'automazione, quindi registra tutto e controlla frequentemente la documentazione delle API o gli aggiornamenti recenti. Le best practice di automazione per la governance di Microsoft 365 possono cambiare, come illustrato in questi approfondimenti sull'automazione con PowerShell (se disponibili).

Limitazioni legate a utente e dispositivo che influiscono sull'applicazione delle etichette di riservatezza

A volte le etichette di riservatezza non funzionano non perché la licenza o la configurazione amministrativa siano sbagliate, ma per il contesto in cui l'utente sta lavorando. Elementi come la conformità del dispositivo, l'accesso condizionale e lo stato di accesso possono bloccare le funzionalità delle etichette senza alcun avviso o messaggio di errore visibile.

Questa sezione tratta i problemi che si trovano solo nei dettagli meno evidenti, come un utente che accede da un laptop non gestito, oppure un utente ospite che non riesce a vedere le opzioni di etichettatura, qualunque sia la configurazione delle sue autorizzazioni. Questi blocchi sono spesso controllati da Intune (per la conformità dei dispositivi) e dai criteri di accesso condizionale di Azure, che possono applicare controlli più rigidi per gli ospiti, per i dispositivi non conformi o per gli scenari di condivisione esterna.

Vedremo quali criteri "disattivano" silenziosamente le etichette e come capire cosa succede quando tutte le configurazioni evidenti sembrano corrette. Non riguarda solo i documenti, ma anche Power BI, Teams, Outlook e tutti i punti in cui le etichette dovrebbero comparire e invece non compaiono. Se vuoi tornare sui dettagli su come costruire fiducia nei criteri di accesso condizionale, consulta questa guida ai criteri di accesso condizionale incentrata sulla fiducia.

Accesso condizionale, conformità dei dispositivi e disponibilità delle etichette

Applicazione della conformità dei dispositivi: l'accesso condizionale e Intune possono richiedere che i dispositivi siano conformi (gestiti, crittografati o registrati) prima di consentire qualsiasi operazione sulle etichette nelle app di Office o Power BI.
Bloccate per i dispositivi non gestiti: se un utente accede da un dispositivo non controllato da Intune o Entra ID, l'opzione per applicare le etichette di riservatezza può scomparire o risultare disattivata, senza alcun messaggio di errore esplicito.
Contesto di autenticazione personalizzato: i criteri di accesso condizionale che richiedono MFA o regole basate sulla posizione possono limitare l'etichettatura solo a scenari specifici: l'operazione non riesce se la sessione non è completamente attendibile.
Diagnosi: gli amministratori devono verificare le assegnazioni dei criteri di accesso condizionale e i log di accesso. Se le operazioni sulle etichette falliscono solo per determinati utenti, la causa più probabile è una lacuna nella conformità dei dispositivi o criteri troppo restrittivi. Per gli scenari più complessi, può essere essenziale un ciclo di controllo per la deriva dei criteri di sicurezza dell'identità: le best practice sono illustrate in questo episodio sulla sicurezza di Entra ID.

Restrizioni per ospiti e utenti esterni con le etichette di riservatezza

Nessun supporto alle etichette per impostazione predefinita: gli utenti B2B e i collaboratori esterni spesso non possono applicare le etichette, e a volte nemmeno vederle, a meno che i criteri delle etichette non includano esplicitamente le loro identità o i domini esterni.
Lacune nei criteri e nelle autorizzazioni: anche con i diritti di modifica, gli ospiti potrebbero non avere supporto alle etichette a causa di impostazioni predefinite restrittive del tenant o per mancanza di assegnazione della licenza.
Rischi di sicurezza con account ospite inattivi: gli account ospite obsoleti o non gestiti possono aggirare i criteri o perdere del tutto l'applicazione delle etichette; verifica e limita il ciclo di vita degli ospiti come descritto in questo avviso sugli account ospite.
Raccomandazioni di configurazione: rivedi regolarmente il targeting delle etichette, imposta un accesso ospite a tempo limitato e assicurati che gli ospiti siano inclusi dove necessario, mantenendo però rigorose le revisioni degli accessi per la conformità.

Errori di applicazione delle etichette dovuti alla cache delle applicazioni e ai ritardi di sincronizzazione dei criteri

C'è un aspetto che molte guide trascurano: i problemi lato applicazione legati alla cache delle etichette o a sincronizzazioni lente dei criteri possono impedire la comparsa o l'aggiornamento delle etichette di riservatezza, anche quando la configurazione amministrativa sembra corretta. Questi problemi sono particolarmente frequenti nelle app desktop di Office e in Power BI Desktop, dove i metadati o i file di cache locali diventano "obsoleti" dopo le modifiche ai criteri.

Quando un aggiornamento dei criteri non ha ancora raggiunto l'app, potresti notare che le nuove etichette di riservatezza non compaiono, che quelle vecchie restano bloccate o che le regole di applicazione automatica precedenti continuano a essere applicate. Gli utenti restano in una situazione di stallo, convinti che il problema riguardi solo loro, mentre in realtà si tratta di un problema diffuso di sincronizzazione dei criteri o di cache.

Questa sezione illustra come affrontare questi problemi interni, come la pulizia della cache delle etichette e i tempi di propagazione dei criteri tra dispositivi e piattaforme. Se ti accorgi che tu (o i tuoi utenti) riscontri anomalie nelle etichette dopo una modifica dei criteri da parte di un amministratore, questo è il primo punto da verificare prima di rivolgersi al supporto.

Pulire la cache delle etichette di riservatezza nelle app desktop di Office

Chiudi tutte le app di Office, incluse Word, Excel e Outlook. Apri Gestione attività e assicurati che non siano rimasti processi di Office in esecuzione.
Vai alla posizione della cache delle etichette: apri %localappdata%\Microsoft\MSIP e/o %localappdata%\Microsoft\Office\16.0\LabeledDocuments (per le build di Office 365).
Elimina o rinomina le cartelle della cache, incluse le sottocartelle "Policy" o "Labels", se pertinenti. In questo modo vengono rimossi i metadati obsoleti o danneggiati delle etichette per le app di Office.
Riavvia l'app di Office. Recupererà automaticamente i criteri delle etichette dal cloud, caricando immediatamente le etichette di riservatezza nuove o aggiornate.
Quando usarlo: questa operazione è essenziale dopo modifiche ai criteri delle etichette, dopo l'aggiornamento del catalogo delle etichette o se le nuove etichette non sono visibili nel selettore. È un intervento rapido da provare prima di passare a verifiche tecniche più approfondite.

Comprendere i ritardi di propagazione dei criteri tra i client

App desktop di Office: aspettati fino a 24 ore perché i nuovi criteri o le nuove etichette si propaghino, soprattutto dopo modifiche rilevanti nel portale Purview.
App web (Office Online, Power BI Service): gli aggiornamenti dei criteri vengono applicati più rapidamente, spesso entro 1-2 ore, ma la cache residua del browser può ritardare la visualizzazione.
Client mobili e ibridi: le app mobili possono memorizzare nella cache i dati dei criteri per più tempo. Forzare la disconnessione e la riconnessione può accelerare l'aggiornamento.
Come verificare: confronta gli elenchi delle etichette in Office desktop, web e Power BI per individuare eventuali ritardi di sincronizzazione. Se i ritardi persistono, rivolgiti all'amministratore IT per verificare lo stato della sincronizzazione del tenant.

Errori silenziosi e registrazione dei tentativi di applicazione delle etichette di riservatezza

A volte i problemi più ostici con le etichette di riservatezza sono quelli che non vedi mai: nessun messaggio di errore, ma l'etichetta semplicemente non viene applicata o non resta. Questi "errori silenziosi" possono esasperare sia gli utenti sia gli amministratori, soprattutto in settori regolamentati o quando occorre superare un audit esterno.

Questa sezione spiega dove cercare quando l'applicazione dell'etichetta non funziona ma non genera un errore evidente. Si tratta di analizzare i log di controllo di Microsoft 365, i log locali sui dispositivi degli utenti (dal client MIP o dalle app di Office) e di interpretare le tracce degli errori. È un livello di troubleshooting avanzato, ma è proprio qui che si trova il pezzo mancante quando tutto il resto sembra corretto.

Ti illustriamo come accedere e usare i log di controllo unificati di Microsoft Purview per individuare le assegnazioni di etichette non riuscite o incomplete. Inoltre, troverai indicazioni per interpretare i log di MIP e delle app di Office quando l'interfaccia mostra «operazione riuscita» ma tu sai che il risultato non è corretto. Se vuoi capire davvero cosa succede dietro le quinte, entra nel mondo dell'audit e del tracciamento forense con controllo delle attività utente con Purview.

Usare i log di controllo per tracciare gli errori delle etichette di riservatezza

Accedi ai log di controllo di Microsoft 365: vai al portale di conformità di Purview e apri la sezione Controllo. Ti servono le autorizzazioni per i log di controllo.
Filtra le azioni sulle etichette di riservatezza: cerca eventi come «Etichetta di riservatezza applicata», «Etichetta modificata» o «Etichetta rimossa». Presta attenzione alle voci in cui lo «stato» è non riuscito o incompleto.
Esamina la cronologia di utenti e file: approfondisci gli eventi non riusciti e annota l'account utente, il dispositivo, il file interessato e l'errore (se presente).
Isola le cause principali: verifica se i problemi si ripetono sempre con determinati utenti, un tipo di file specifico o dopo un aggiornamento dei criteri. Così capisci se il problema dipende dai criteri, dalle licenze o dal lato client.
Best practice: se la conformità è una priorità, valuta Purview Audit Premium per segnali più ricchi e una conservazione più lunga. Per approfondire il tracciamento forense, consulta questa guida passo passo sull'audit.

Analizzare i log del client MIP e delle app di Office per trovare gli errori silenziosi

Attiva la registrazione dettagliata: in MIP e nelle app di Office attiva le modalità di registrazione dettagliata o di debug tramite impostazioni del Registro di sistema o opzioni da riga di comando.
Individua i log locali: i file principali si trovano in %localappdata%\Microsoft\MSIP\Logs per il client MIP, mentre i log di Office si trovano nelle sottocartelle \Logs.
Verifica la presenza di errori dopo un'azione sull'etichetta: cerca codici di errore come 0x80070005 (accesso negato) o «applicazione dell'etichetta non riuscita» dopo un'azione dell'utente.
Condividi i dati con il supporto: invia log e timestamp al supporto Microsoft per una diagnosi avanzata quando la risoluzione dei problemi lato utente non porta a nulla.

Controlli finali, feedback e risorse consigliate

Hai completato i passaggi principali per la risoluzione dei problemi con le etichette di riservatezza in Microsoft 365 e Power BI. Prima di arrenderti o aprire una richiesta di supporto, conviene verificare in modo sistematico la configurazione e i criteri impostati. Spesso è l'ultima impostazione dimenticata o l'autorizzazione mancante a risolvere il problema, senza bisogno di approfondimenti complessi.

Questa sezione riassume i controlli indispensabili prima di escalare il problema: targeting dei criteri, pubblicazione delle etichette, assegnazione delle licenze e impostazioni di applicazione. Troverai anche i link ai canali di feedback, alle opzioni di supporto e alla documentazione ufficiale sulle best practice per continuare ad approfondire.

Considera questa sezione sia una sosta per la risoluzione dei problemi sia un ponte verso ulteriore assistenza. Sono inclusi link a forum della community autorevoli, articoli consigliati e documentazione ufficiale Microsoft per i casi più complessi, in cui devi approfondire o segnalare un nuovo problema. Per altri suggerimenti sulla gestione documentale pronta per l'audit, consulta soluzioni per il caos documentale in Purview e SharePoint.

Checklist per la verifica delle impostazioni delle etichette di riservatezza e dei requisiti di licenza

Verifica le impostazioni del tenant: assicurati che la funzionalità di etichettatura di riservatezza sia abilitata e gestita centralmente tramite Microsoft Purview. Controlla con attenzione l'ambito del tenant e le opzioni di attivazione delle funzionalità.
Esamina le assegnazioni dei criteri delle etichette: verifica che i criteri delle etichette includano tutti gli utenti, i gruppi o gli account ospiti previsti. I problemi di ambito dei criteri sono la causa principale per cui le etichette non compaiono dove dovrebbero.
Conferma le assegnazioni di licenza: assicurati che ogni utente e amministratore disponga di una licenza per Purview Information Protection, Power BI Pro/Premium o altri abbonamenti che supportano le etichette.
Controlla la propagazione e la sincronizzazione dei criteri: verifica se le modifiche recenti a etichette o criteri sono state propagate a tutti i client e sono visibili nel selettore di riservatezza delle app principali.
Applicazione obbligatoria e predefinita delle etichette: verifica che le impostazioni di applicazione predefinita e obbligatoria siano attive, in particolare in Power BI e SharePoint, per evitare che venga creato contenuto senza etichetta.
Copertura per ospiti e B2B: verifica se e come i collaboratori esterni sono inclusi nei criteri delle etichette. Rimuovi gli account ospite non utilizzati: per approfondire, leggi the hidden danger of M365 guest accounts.
Esamina i log di controllo e di attività: analizza i log di controllo di Microsoft 365 alla ricerca di assegnazioni di etichette non riuscite o incomplete. Questo passaggio è essenziale per le entità regolamentate e per un monitoraggio IT proattivo.
Cancella la cache delle etichette, se necessario: dopo aver modificato i criteri, usa il metodo «clear cache» per evitare che gli utenti continuino a vedere le vecchie etichette.
Testa tutti gli scenari: verifica l'applicazione delle etichette sia su dispositivi gestiti che non gestiti, con utenti ospiti e, dove necessario, su piattaforme web, desktop e mobile.

Come inviare feedback e accedere agli articoli consigliati

Canali di feedback Microsoft: usa lo strumento di feedback dell'interfaccia di amministrazione di Microsoft 365 oppure visita i forum della community per segnalare nuovi problemi e contribuire alla roadmap delle funzionalità.
Escalation al supporto: apri ticket di supporto tramite il portale di amministrazione di Microsoft 365 per problemi di etichette di riservatezza non risolti o critici, tenendo pronti log e passaggi dettagliati.
Risorse e articoli sulle best practice: trova approfondimenti e discussioni guidate da esperti, come questa guida all'audit delle attività utente con Purview oppure un approccio basato su checklist per costruire il tuo scudo Purview.
Apprendimento dalla community: resta aggiornato sulle strategie di etichettatura e sui suggerimenti per la risoluzione dei problemi salvando nei preferiti le pagine di Microsoft Docs consigliate e i forum affidabili.