Exact Data Match não está funcionando: um guia completo de solução de problemas no Microsoft 365

By Mirko Peters · 2026-04-21

Se você percebeu que o Exact Data Match (EDM) no Microsoft 365 não está funcionando, saiba que você definitivamente não está sozinho. Este guia foi feito para ajudar você a entender por que a prevenção contra perda de dados (DLP) baseada em EDM nem sempre corresponde às suas expectativas. Você verá orientações passo a passo, desde a compreensão dos fundamentos técnicos e da configuração necessária

Automatically translated with AI from the original post. Read the English original

Cover: Microsoft 365 Governance Is a People and Ownership Problem

Vamos percorrer os conceitos centrais e, em seguida, analisar etapas de solução de problemas do mundo real, que vão além do básico. Seja você responsável por registros de funcionários ou por dados de clientes, você sairá com estratégias eficazes para manter as informações sensíveis protegidas. Essas dicas e métodos foram pensados especialmente para administradores do Microsoft 365 e equipes técnicas que gerenciam ambientes regulamentados ou corporativos.

Entendendo o Exact Data Match e suas armadilhas comuns

Antes de arregaçarmos as mangas, vamos entender com clareza o que é o Exact Data Match e por que ele engana tanta gente mais do que se imagina. O EDM é a resposta do Microsoft 365 para a detecção de altíssima precisão em políticas de DLP: pense em identificar números de seguro social, dados da folha de pagamento ou outros campos altamente sensíveis, sem capturar um monte de coisas que você não precisa. A ideia é ter uma precisão à prova de falhas, mas, na prática, nem sempre as coisas funcionam de primeira.

Esta seção prepara o terreno ao explicar a abordagem do EDM, que usa hashes criptográficos e esquemas detalhados que você mesmo cria. Também vamos apresentar por que o EDM nem sempre funciona perfeitamente. Spoiler: a maior parte do problema está na forma como o esquema é definido, na preparação dos dados e no número de componentes técnicos que precisam trabalhar juntos. Até administradores experientes têm dores de cabeça com problemas de esquema, divergências nos dados ou etapas de configuração esquecidas.

Ao entender tanto a teoria quanto as armadilhas mais comuns, você se preparará para evitar erros conhecidos. A partir daqui, você verá exatamente por que o EDM às vezes falha e estará pronto para enfrentar esses problemas com confiança, à medida que avançamos para os detalhes mais minuciosos nas próximas seções.

O que é o Exact Data Match e como ele deve funcionar?

O Exact Data Match (EDM) é um recurso do Microsoft 365 criado para identificar informações sensíveis específicas, como IDs de funcionários ou números de seguro social, comparando os dados do seu ambiente com uma lista de referência protegida por hash. Esse processo usa hashes criptográficos para correlacionar valores exatos sem expor os dados originais em texto simples à Microsoft, o que o torna ideal para setores com forte exigência de conformidade.

Quando configurado corretamente, o EDM permite que suas políticas de DLP atuem com precisão cirúrgica, sinalizando apenas os arquivos ou mensagens que contenham exatamente os dados sensíveis que você precisa monitorar. As organizações preferem o EDM em cenários nos quais só serve uma proteção de dados regulamentados precisa e pontual: protegendo registros reais de clientes, funcionários ou dados financeiros e filtrando falsos positivos que o DLP genérico não consegue evitar.

Armadilhas e desafios comuns na implementação do EDM

Incompatibilidades de esquema: o EDM depende de um esquema cuidadosamente projetado. Se as colunas do seu CSV não corresponderem ao que foi definido ou estiverem fora de ordem, um único erro pode fazer todo o processo de correspondência falhar. Por exemplo, trocar “Employee ID” e “Last Name” nos cabeçalhos do arquivo já causa problemas imediatos.
Formatação inadequada dos dados: não normalizar ou formatar corretamente os dados, como formatos inconsistentes de SSN ou espaços em branco indesejados, costuma fazer o EDM deixar passar registros sensíveis reais. A deriva de dados ao longo do tempo, à medida que os formatos mudam, pode comprometer silenciosamente configurações que funcionavam antes.
Problemas de hash ou de etapas de upload: se você enviar dados sem hash ou com hash incorreto, o EDM simplesmente não vai funcionar. Da mesma forma, não usar corretamente o EDM Upload Agent ou pular a validação do upload deixa seus dados fora de sincronia.
Problemas com o campo primário: escolher o elemento primário errado, como um campo que não é exclusivo (por exemplo, “Date of Birth” em vez de “Employee ID”), resulta em correspondências duplicadas ou torna a detecção não confiável. Não entender como definir os modos de limite ou de correspondência exata também pode causar detecções perdidas ou falsos positivos indesejados.
Dados definidos pelo usuário e evasão: Tipos de dados personalizados ou definidos pelo usuário apresentam riscos específicos. Se os usuários modificarem padrões de dados ou dividirem campos intencionalmente — ou até por acidente, como separar números de telefone em colunas diferentes —, a lógica de correspondência deixará de funcionar. Observe o comportamento dos usuários e ajuste os esquemas conforme os padrões mudarem.
Limitações de tokens e de consultas: O EDM impõe limites rígidos para o número de tokens (palavras/cadeias de caracteres exclusivas) tanto nas consultas de referência quanto nas de pesquisa. Ao ultrapassar esses limites, geralmente depois do crescimento do esquema ou do ambiente, surgem erros que interrompem silenciosamente a detecção, a menos que sejam monitorados com atenção.
Falta de monitoramento e degradação de desempenho: Com o tempo, o desempenho ou a precisão podem cair devido ao “data drift” — quando o formato ou os valores dos dados de referência se afastam do que o EDM espera. Verificações de integridade contínuas e revisões regulares do esquema são essenciais para evitar pontos cegos de segurança silenciosos.

Se você quiser entender melhor como a propriedade fragmentada de ferramentas também prejudica as iniciativas do Microsoft 365, confira esta discussão sobre por que a governança do M365 falha. Ela traz contexto adicional sobre a visão sistêmica de que você precisará para uma implementação bem-sucedida do EDM.

Pré-requisitos e segurança para a implementação do EDM

Colocar o EDM em funcionamento no Microsoft 365 não é apenas uma questão de ligar uma chave. Trata-se de criar bases técnicas e de segurança sólidas muito antes de começar a enviar dados sensíveis de funcionários ou clientes. Esta seção apresenta os requisitos fundamentais: prontidão da infraestrutura, garantia de que você tem as permissões certas e a preparação de políticas de importação de dados que realmente se integrem à sua estratégia de conformidade existente.

Também é necessário considerar as melhores formas de proteger seus dados em todas as etapas. Segurança adequada não é um item de checklist — é o que garante que seus registros em texto simples nunca fiquem expostos, nem mesmo durante a transferência e a análise. Aqui, vamos ajudar você a entender tanto o “o quê” quanto o “por quê”. Os detalhes sobre estrutura de arquivos, funções de usuário e etapas técnicas serão abordados em profundidade nas próximas seções, então fique atento aos checklists práticos e às análises de segurança que vêm a seguir.

Quer saber mais sobre a configuração básica de DLP? Você pode achar útil este episódio de podcast sobre como configurar DLP no Microsoft 365 como um bom ponto de partida, especialmente se você é novo nesse tipo de controle de conformidade ou está incluindo considerações sobre o Microsoft Copilot na automação.

Requisitos técnicos e pré-requisitos para os dados importados

Assinatura atual do Microsoft 365: É necessário ter um plano elegível do Microsoft 365 com os recursos de DLP e Purview habilitados — o EDM não está disponível em todos os planos.
Acesso baseado em funções: Somente administradores com as funções adequadas de conformidade, DLP ou Purview podem criar, gerenciar ou carregar perfis do EDM. Revise com cuidado o acesso da sua equipe de segurança e conformidade.
Estrutura do arquivo de dados: Os dados de referência devem ser armazenados em arquivos CSV. Esses arquivos devem ter cabeçalhos de coluna consistentes, correspondentes ao seu esquema, sem espaços extras e sem caracteres ocultos. Evite células mescladas ou delimitadores misturados.
Permissões e armazenamento de arquivos: Armazene os arquivos de referência com segurança e acesso restrito, normalmente em um endpoint protegido e em conformidade. Somente os agentes de upload autorizados devem conseguir ler esses arquivos.
Ferramentas e agentes de upload: Você deve usar o EDM Upload Agent oficial para gerar o hash e transmitir os dados de referência com segurança; métodos de navegador ou de terceiros não são compatíveis.
Prontidão de rede e sistema: O host do agente precisa de uma conexão de internet confiável e deve conseguir acessar os endpoints necessários da Microsoft, sem problemas de firewall ou proxy.

Considerações de segurança e privacidade de dados no EDM

O EDM leva a segurança a sério ao aplicar hash criptográfico aos seus dados sensíveis antes que qualquer coisa saia do seu ambiente local. O processo de hash garante que nenhum texto legível — como números reais de SSN ou de folha de pagamento — seja enviado ou armazenado na nuvem da Microsoft; somente os hashes (cadeias de caracteres ilegíveis para humanos) são enviados pelo EDM Upload Agent.

Esse design significa que a Microsoft nunca vê seus dados reais, atendendo a exigências rigorosas de privacidade e conformidade, especialmente em setores regulamentados como saúde ou finanças. Todos os dados em trânsito são criptografados, e somente administradores autorizados podem gerenciar uploads, em conformidade com os requisitos empresariais e regulatórios atuais. Para um mergulho mais profundo em táticas relacionadas de DLP e governança de locatário, veja como o Microsoft Purview ajuda com segurança avançada e monitoramento aqui.

Como construir o esquema EDM para uma correspondência precisa de dados

A seguir, vamos falar sobre como construir o "modelo" da sua solução EDM: o esquema. Se o seu esquema estiver mal configurado, mesmo que um pouco, toda a sua iniciativa EDM pode sair do controle. Por isso, é preciso ter muito cuidado com quais campos são primários, como você nomeia as colunas e como a sua lógica se alinha a cenários reais do negócio.

Esta seção trata de por que investir antecipadamente em um esquema bem planejado compensa, com maior precisão de detecção, menos falsos positivos e preparação para o futuro conforme os dados e os fluxos de trabalho da sua organização evoluem. Você vai entender por que mapear tanto os elementos primários quanto os secundários, os campos de "precisa corresponder" e os de "seria bom corresponder", é tão importante para a aplicação confiável de políticas no mundo real.

Fique por aqui enquanto mostramos como abordar o design do esquema com cuidado, definir regras de correspondência adequadas aos seus casos de uso e escolher modos de correspondência que realmente reflitam as estruturas dos seus dados de referência. Erros simples nessa etapa podem causar grandes dores de cabeça no futuro, então as próximas seções detalham um passo a passo que você pode usar imediatamente.

Como construir um esquema EDM e definir regras de correspondência

Identifique campos sensíveis: primeiro, escolha os tipos de dados que exigem proteção exata (por exemplo, ID do funcionário, número da conta, SSN). Conheça suas obrigações regulatórias e os riscos do negócio: esses são seus principais candidatos a campos primários do esquema.
Padronize os formatos dos campos: garanta que todo campo siga o mesmo formato em todos os registros, sem misturar hífens, espaços ou diferentes maiúsculas e minúsculas. A normalização de dados (como sempre usar "123-45-6789" para SSNs) é essencial.
Defina os elementos primários e secundários: seu elemento primário (identificador único) deve ser um campo que não se repita em outro lugar, como o ID do funcionário. Elementos secundários podem ser informações de apoio (como a data de nascimento) que ajudam a filtrar quase-correspondências ou ambiguidades.
Alinhe os cabeçalhos das colunas do CSV ao esquema: os cabeçalhos das colunas no seu arquivo CSV devem corresponder exatamente (incluindo ortografia e ordem) ao que está definido na configuração do seu esquema EDM. Esta etapa causa mais falhas do que praticamente qualquer outra.
Considere o desvio de dados e as atualizações: planeje para o fato de que seus dados do mundo real mudarão com o tempo (novos formatos, novos valores). Crie flexibilidade no esquema: revise periodicamente os cabeçalhos e os tipos de campos para evitar quedas silenciosas de precisão.
Teste com dados de amostra: use arquivos CSV de teste para simular como seu esquema realmente fará a correspondência. Procure falsos positivos ou itens não detectados e ajuste as regras de correspondência conforme necessário.
Evite complicar demais: não inclua campos desnecessários nem adicione colunas "por precaução". Fique apenas com o que você realmente precisa correlacionar. Colunas não utilizadas podem causar confusão ou erros de correspondência no EDM.

Como configurar os modos de correspondência e selecionar os elementos primários

Escolha o tipo de correspondência com cuidado: use o modo "Exato" quando precisar detectar apenas os valores de referência específicos (ideal para dados regulamentados, como SSNs). Os modos "Limite" ou "fuzzy" estão disponíveis para cenários em que correspondências aproximadas podem ser aceitáveis, mas considere o risco de aumentar os falsos positivos.
Atribua os elementos primários com cuidado: o campo primário deve conter dados realmente únicos. Nunca use um campo que pode se repetir, como Nome ou Departamento. ID do funcionário ou número da conta são as melhores escolhas segundo as boas práticas.
Defina as restrições dos campos: garanta que os tipos de campo no esquema correspondam ao tipo de dado subjacente (numérico, string etc.). Inconsistências podem impedir a correspondência correta ou fazer com que a política seja ignorada.
Teste falsos positivos e falsos negativos: execute detecções de amostra para verificar se os registros sensíveis são identificados corretamente e se os registros inofensivos não acionam a política de DLP por engano.

Como preparar e carregar dados sensíveis para perfis EDM

Nenhuma configuração de EDM está completa sem a preparação cuidadosa dos seus dados de referência antes do upload. Pense nisso como preparar seus melhores jogadores para o dia do jogo. Esse processo vai muito além de simplesmente jogar um arquivo em algum lugar: você precisa de um conjunto de dados limpo, sem erros e com formatação segura para obter resultados consistentes.

Nesta seção, você vai entender por que a preparação adequada dos dados (incluindo formatação rigorosa, verificações de validação e processos de upload seguros) não diz respeito apenas à precisão, mas também à proteção de dados de alto nível do início ao fim. Fazer essa etapa corretamente ajuda a identificar problemas antes que se transformem em incidentes em produção e mantém os registros sensíveis da sua organização protegidos.

A seguir, você verá instruções passo a passo para estruturar seus CSVs, as ferramentas e etapas para um upload seguro com o EDM Agent e as rotinas de validação, para que seus dados cheguem ao Microsoft 365 prontos para uso, sem jamais expor o texto original em claro.

Etapas de formatação, download e validação do upload de dados

Estruture o arquivo CSV exatamente conforme o esquema: Alinhe os cabeçalhos das colunas no CSV de referência para que correspondam ao que você definiu no seu esquema de EDM, sem colunas extras, erros de digitação ou cabeçalhos fora de ordem.
Valide os tipos e valores dos dados: Verifique se há linhas com valores ausentes, duplicados ou com formatação incorreta. Os SSNs devem seguir todos o mesmo padrão; as datas devem estar no formato AAAA-MM-DD, e assim por diante.
Elimine caracteres extras: Remova espaços no final dos campos, caracteres não imprimíveis e delimitadores perdidos dentro dos campos. Se tiver dúvidas, teste com scripts de validação de dados.
Execute a validação prévia ao upload: Use qualquer ferramenta de validação integrada (ou uma simulação com o EDM Upload Agent) para identificar divergências entre o CSV e o esquema antes do upload definitivo.
Mantenha uma trilha de auditoria: Versione seus arquivos, mantenha registros dos uploads e das execuções de validação, e armazene com segurança tanto os dados originais quanto os dados com hash para auditorias de conformidade.

Hash e upload seguro de dados sensíveis

O EDM Upload Agent é responsável por converter seus dados de referência em texto simples em hashes criptográficos seguros, diretamente na sua própria infraestrutura. Isso significa que os valores sensíveis reais nunca saem do seu ambiente; apenas as representações em hash são enviadas aos servidores do Microsoft 365.

Esse processo acontece antes e durante o upload, de modo que a confidencialidade está presente em todas as etapas. A transmissão para a nuvem é criptografada, e somente o mecanismo de DLP vê ou usa os valores de hash para a correspondência. Isso deixa sua equipe de conformidade tranquila e garante que os dados sensíveis da organização nunca fiquem expostos. Você também pode reforçar isso com práticas sólidas de gestão de conteúdo corporativo e prontidão para auditoria em ferramentas como SharePoint e Purview.

Integrando o EDM às políticas de prevenção contra perda de dados

O verdadeiro poder do EDM aparece quando você vincula seus dados de referência diretamente às regras de política de DLP no Microsoft 365. Bem feito, isso permite que sua empresa aplique uma proteção de dados refinada, bloqueando vazamentos seja qual for o local onde os usuários estejam, no Outlook, no Teams, no SharePoint ou no Power Platform.

Esta seção mostra o que está envolvido em apontar de fato suas políticas de DLP para o esquema de EDM. Não se trata apenas de uma ligação técnica: envolve decidir quais tipos de dados disparam alertas, como os incidentes são escalados e para onde as notificações são enviadas quando ocorre uma correspondência real.

Se você ajusta políticas de DLP em ambientes complexos, não deixe de lado uma governança sólida e uma estratégia de ambiente, como destacado neste podcast para desenvolvedores do Power Platform que gerenciam políticas de DLP e na discussão sobre resiliência de DLP, voltada a quem atua nos bastidores.

Etapas de verificação e análise dos resultados de detecção do EDM

Faça o upload de um conjunto de dados de teste: Popule seu ambiente com um pequeno lote de dados de referência conhecidos (IDs de funcionários fictícios, números de conta) para simular um cenário real.
Crie a política de DLP e referencie o esquema EDM: Aponte sua política de DLP diretamente para o esquema de EDM configurado, garantindo que a regra de detecção especifique os campos corretos e o modo de correspondência.
Acione a política com arquivos de exemplo: compartilhe ou envie conteúdo que contenha valores de referência de teste para os aplicativos monitorados (Outlook, Teams, SharePoint) e acompanhe os gatilhos da política em ação.
Revise os logs e alertas da política: inspecione imediatamente os relatórios de incidentes, os logs de alertas e os painéis de conformidade para verificar se as correspondências foram registradas. Procure tanto falsos positivos quanto possíveis falhas de detecção ("falsos negativos").
Valide o fluxo completo: confirme que as ações de DLP (como notificações ou restrições aplicadas) foram realmente acionadas e que o fluxo de trabalho (como a revisão de incidentes) corresponde às expectativas da política.
Monitore as taxas de detecção regularmente: use ferramentas de análise ou painéis, como os descritos em este guia sobre monitoramento contínuo de conformidade, para verificar as taxas de correspondência ao longo do tempo, identificar desvios ou descobrir problemas de desempenho à medida que os padrões de uso evoluem.

Solução de problemas com o limite de tokens do EDM e falhas de configuração

Mesmo com a configuração correta, o EDM às vezes falha, geralmente justamente quando você mais precisa dele. Limites de tokens, conexões de esquema incorretas ou etapas de configuração esquecidas podem silenciosamente interromper os recursos de correspondência ou deixar dados sensíveis saírem pela porta da frente sem nenhum aviso.

Esta seção aponta as causas raiz das falhas de política do EDM, especificamente os notórios erros de limite de tokens e as armadilhas de configuração. O objetivo é saber exatamente onde procurar, quais logs ou mensagens de erro examinar e como reverter ou ajustar a implementação para restabelecer o funcionamento.

Sem monitoramento contínuo e verificações operacionais, as falhas aqui podem se tornar caras rapidamente. Por isso, vamos apresentar estratégias práticas de diagnóstico e correção, em vez de apenas teoria. As dicas a seguir ajudam você a sair da fase de "o que está quebrado" e recuperar a confiança operacional no seu conjunto de ferramentas de DLP.

Solução de problemas com o número máximo de tokens e as limitações do EDM

Excesso de tokens nas consultas: o EDM impõe um limite máximo de tokens para a correspondência, geralmente até dezenas de milhares por esquema. Se o seu esquema ou as consultas excederem esse limite, você verá erros "maximumNumberOfTokens". Solução: reduza o escopo dos dados de referência ou divida as importações grandes em perfis EDM menores e mais específicos.
Regras de DLP muito abrangentes: políticas que têm como alvo intervalos de dados amplos podem, sem querer, capturar tokens demais e atingir os limites. Refine os filtros da política ou separe as regras de detecção para diferentes conjuntos de dados.
Formatos de dados mistos ou em evolução: se a mudança nos dados introduzir novos valores ou formatações, a contagem de tokens pode disparar. Revise periodicamente os dados importados para identificar e excluir valores de referência irrelevantes ou obsoletos.
Monitoramento de falhas silenciosas: verifique regularmente os painéis de integridade do sistema para ver avisos sobre o tamanho das consultas, já que a maioria dos erros de token não gera alertas visíveis para os usuários.

Diagnóstico de falhas na configuração do EDM e nos resultados de correspondência

Incompatibilidades entre esquema e dados: confira se os cabeçalhos e a ordem das colunas do CSV correspondem exatamente ao esquema do EDM. Erros de digitação simples ou colunas ausentes podem invalidar todas as correspondências.
Regras ou modos de correspondência incorretos: verifique se o modo de correspondência ("Exato" ou "Limite") está alinhado com a intenção da política e com a realidade dos dados de referência. Ajuste se necessário.
Uploads de hash incompletos ou com falha: inspecione os logs do agente de upload em busca de erros ou uploads interrompidos. Qualquer falha de rede ou interrupção exige um novo upload validado.
Dados de referência desatualizados ou obsoletos: os dados do seu negócio mudaram, mas o EDM não foi atualizado? Perfis desatualizados deixam de refletir a realidade. Programe reenvios regulares.
Revisão de logs e códigos de erro: analise os logs do Centro de conformidade ou os logs de eventos do sistema para encontrar erros detalhados. Procure falhas de correspondência, erros de ingestão ou avisos do agente de upload.

Melhores práticas e principais insights para um desempenho confiável do EDM

Você viu muita coisa até aqui, mas vamos fazer uma pausa e focar no que separa uma implantação do EDM baseada em "torcida" de uma solução realmente robusta e pronta para produção. Para manter o EDM funcionando bem, acompanhando as novas realidades, evitando falhas silenciosas e lidando com aqueles tipos de dados personalizados, você precisa de estratégias que se sustentem depois que a empolgação do lançamento passa.

As melhores operações mantêm um controle rigoroso dos seus esquemas, validam os campos definidos pelo usuário e implementam verificações contínuas para que o EDM continue identificando correspondências reais à medida que as condições do negócio mudam. Entender como ocorrem o desvio de conformidade e a evolução dos dados é tão importante quanto acertar a configuração. Se você tem interesse no desvio oculto e no seu impacto na conformidade de longo prazo, confira este podcast sobre desvio de conformidade no Microsoft 365 e esta discussão sobre desvio de modelo de dados semântico no Microsoft Fabric.

Com essa base, vamos encerrar com práticas direcionadas para dados personalizados e um checklist simples para manter sua implantação do EDM nos trilhos.

Práticas comprovadas para dados definidos pelo usuário e personalizados no EDM

Mantenha formatos consistentes: Defina um formato padrão para todos os campos personalizados, como IDs de funcionários, e então rejeite uploads que fujam desse padrão.
Mapeie os novos dados periodicamente: Revise trimestralmente o alinhamento do esquema com os sistemas de negócio em busca de desvios de formato ou de valor.
Documente as alterações nos campos: Mantenha um registro contínuo de mudanças sempre que alterar um esquema ou adicionar novos campos, para que ninguém se perca meses depois.
Envolva os usuários reais: Pergunte aos usuários de RH, Finanças ou Operações como são os dados do "mundo real", para que seu esquema acompanhe a evolução dos hábitos de trabalho.
Monitore os falsos negativos: Colete feedback após falhas do DLP ou tentativas de contornar as regras, e ajuste a lógica de correspondência de acordo.

Principais conclusões e visão geral para o sucesso do Exact Data Match

Projete os esquemas com cuidado: O modelo certo economiza horas de retrabalho e mantém as correspondências precisas.
Valide e monitore continuamente: Auditorias contínuas e a análise de incidentes de DLP por amostragem identificam problemas cedo, antes que o risco para o negócio aumente.
Priorize a segurança dos dados: Mantenha todos os dados de referência com hash, armazenados e transmitidos com ferramentas de criptografia de primeira linha em todas as etapas.
Fique atento ao desvio de dados: Atualize os esquemas e as listas de referência para refletir a realidade do negócio, pois o EDM não funciona com dados desatualizados ou desalinhados.
Adote ciclos de feedback: Relatórios de experiência dos usuários e revisões de incidentes são o caminho mais rápido para fechar lacunas e refinar as políticas.