Exact Data Match не працює: повний посібник з усунення несправностей у Microsoft 365

By Mirko Peters · 2026-04-21

Якщо ви помітили, що Exact Data Match (EDM) у Microsoft 365 не працює, ви точно не одні такі. Цей посібник допоможе розібратися, чому DLP на основі EDM не завжди відповідає вашим очікуванням. Ви отримаєте покрокові пояснення: від технічних основ і необхідного налаштування до діагностики критичних помилок і вирішення складних проблем.

Automatically translated with AI from the original post. Read the English original

Cover: Microsoft 365 Governance Is a People and Ownership Problem

Спочатку розглянемо основні поняття, а потім перейдемо до практичних кроків усунення несправностей, які виходять за межі базових речей. Чи відповідаєте ви за дані співробітників або клієнтів, ви вийдете з ефективними стратегіями захисту конфіденційної інформації. Ці поради й методи створені спеціально для адміністраторів Microsoft 365 і технічних команд, які працюють у регульованих або корпоративних середовищах.

Що таке Exact Data Match і які типові підводні камені

Перш ніж засукати рукави, давайте з'ясуємо, що таке Exact Data Match і чому він спотикає людей частіше, ніж можна очікувати. EDM — це відповідь Microsoft 365 на потребу в надзвичайно точному виявленні в політиках DLP: наприклад, пошук номерів соціального страхування, даних розрахунку заробітної плати чи інших особливо чутливих полів без зайвих спрацьовувань на те, що вам не потрібно. Ідея полягає в бездоганній точності, але на практиці все не завжди спрацьовує одразу.

Цей розділ готує ґрунт: ми розберемо підхід EDM, який використовує криптографічні хеші та детальні схеми, які ви створюєте самостійно. Також пояснимо, чому EDM не завжди працює ідеально. Спойлер: більшість проблем зводиться до того, як налаштовано схему, як підготовлено дані та скільки технічних компонентів мають узгоджено працювати разом. Навіть досвідчені адміністратори стикаються з труднощами через проблеми зі схемою, невідповідності даних або пропущені кроки налаштування.

Розуміючи і теорію, і найпоширеніші «пастки», ви зможете уникнути típових помилок. Далі ми з'ясуємо, чому EDM інколи дає збій, і будемо готові подолати ці труднощі впевнено, коли перейдемо до деталей у наступних розділах.

Що таке Exact Data Match і як він має працювати?

Exact Data Match (EDM) — це функція Microsoft 365, призначена для виявлення конкретної чутливої інформації, наприклад ідентифікаторів співробітників або номерів соціального страхування. Вона порівнює дані у вашому середовищі з безпечно хешованим еталонним списком. Процес використовує криптографічні хеші, щоб зіставляти точні значення, не розкриваючи оригінальні дані у відкритому тексті для Microsoft, тому він ідеально підходить для галузей із високими вимогами до відповідності.

За правильного налаштування EDM дозволяє вашим політикам DLP працювати з хірургічною точністю: вони позначають лише ті файли чи повідомлення, які містять саме ті конфіденційні дані, що їх потрібно відстежувати. Організації обирають EDM для сценаріїв, де потрібен лише точний захист регульованих даних: реальних записів клієнтів, співробітників або фінансових даних, з фільтрацією хибних спрацьовувань, яких не уникнути в загальному DLP.

Типові підводні камені та виклики під час впровадження EDM

Невідповідність схеми: EDM покладається на ретельно спроєктовану схему. Якщо стовпці вашого CSV не відповідають визначеному або йдуть не в тому порядку, навіть одна помилка може призвести до збою всього процесу зіставлення. Наприклад, переплутані місцями «Employee ID» і «Last Name» у заголовках файлу одразу створюють проблеми.
Неправильне форматування даних: Якщо не нормалізувати дані або не відформатувати їх належним чином, наприклад через неоднакові формати SSN або зайві пробіли, EDM може пропускати справжні чутливі записи. Дрейф даних із часом, коли формати змінюються, може непомітно зіпсувати раніше працюючі налаштування.
Помилки хешування або кроків завантаження: Якщо ви завантажуєте дані без хешування або з неправильним хешуванням, EDM просто не працюватиме. Так само, якщо не використовувати EDM Upload Agent належним чином або пропускати перевірку завантаження, дані розсинхронізуються.
Проблеми з основним полем: Вибір неправильного основного елемента, наприклад поля, яке не є унікальним (скажімо, «Date of Birth» замість «Employee ID»), призводить до дублювання збігів або робить виявлення ненадійним. Неправильне розуміння режимів порогу чи точного збігу також може спричиняти пропущені виявлення або небажані хибні спрацьовування.
Користувацькі дані та обхід виявлення: Власні або користувацькі типи даних несуть унікальні ризики. Якщо користувачі навмисно або навіть випадково змінюють шаблони даних чи розділяють поля (наприклад, розбивають номери телефонів на кілька стовпців), логіка співставлення перестає працювати. Стежте за поведінкою користувачів і коригуйте схеми, коли змінюються шаблони.
Обмеження на кількість токенів і запитів: EDM жорстко обмежує кількість токенів (унікальних слів або рядків) як в еталонних, так і в пошукових запитах. Перевищення цих лімітів, зазвичай після зростання схеми чи середовища, спричиняє помилки, які непомітно порушують виявлення, якщо за ними не стежити уважно.
Відсутність моніторингу та деградація продуктивності: З часом продуктивність або точність може знизитися через «дрейф даних» — коли формат чи значення еталонних даних змінюються і перестають відповідати очікуванням EDM. Регулярні перевірки стану та періодичний огляд схем є обов’язковими, щоб уникнути непомітних прогалин у безпеці.

Якщо ви хочете глибше розібратися в тому, як розрізнена відповідальність за інструменти також підриває ініціативи в Microsoft 365, перегляньте цю дискусію про причини, через які не спрацьовує управління M365. Вона додає контексту щодо системного мислення, яке знадобиться для успішного впровадження EDM.

Передумови та безпека для впровадження EDM

Запуск EDM у Microsoft 365 — це не просто перемикання одного перемикача. Це побудова надійного технічного та безпекового фундаменту ще до того, як ви почнете завантажувати чутливі дані співробітників або клієнтів. Цей розділ описує базові вимоги: готовність інфраструктури, наявність правильних дозволів і підготовку політик імпорту даних, які справді інтегруються з вашою чинною стратегією комплаєнсу.

Також важливо продумати найкращі способи захисту даних на кожному етапі. Належна безпека — це не формальність, а те, що гарантує, що ваші записи у відкритому тексті ніколи не будуть розкриті, навіть під час передавання та аналізу. Тут ми допоможемо зрозуміти як «що», так і «чому». Конкретні деталі щодо структури файлів, ролей користувачів і технічних кроків розглянемо в наступних розділах, тож далі чекають практичні чек-листи та розбори безпеки.

Хочете більше про базове налаштування DLP? Вам може стати в нагоді епізод подкасту про налаштування DLP у Microsoft 365 як попередня підготовка, особливо якщо ви тільки знайомитеся з такими механізмами комплаєнсу або плануєте враховувати Microsoft Copilot для автоматизації.

Технічні вимоги та передумови для імпортованих даних

Чинна передплата Microsoft 365: Потрібен відповідний план Microsoft 365 з увімкненими функціями DLP і Purview. EDM доступна не у всіх планах.
Рольовий доступ: Створювати, керувати або завантажувати профілі EDM можуть лише адміністратори з відповідними ролями комплаєнсу, DLP або Purview. Перевірте доступ для вашої команди безпеки та комплаєнсу.
Структура файлів даних: Еталонні дані мають зберігатися у файлах CSV. Ці файли повинні мати однакові заголовки стовпців, що відповідають вашій схемі, без зайвих пробілів і прихованих символів. Уникайте об’єднаних клітинок і змішаних роздільників.
Дозволи на файли та зберігання: Зберігайте еталонні файли безпечно, з обмеженим доступом, зазвичай на захищеному відповідному кінцевому пристрої. Читати ці файли мають лише уповноважені агенти завантаження.
Інструменти завантаження та агенти: Для безпечного хешування та передавання еталонних даних потрібно використовувати офіційний EDM Upload Agent. Браузерні або сторонні методи не підтримуються.
Готовність мережі та системи: Хост агента повинен мати стабільне підключення до інтернету та мати змогу звертатися до необхідних кінцевих точок Microsoft без проблем із брандмауером чи проксі.

Питання безпеки та приватності даних в EDM

EDM серйозно ставиться до безпеки: перед тим як будь-які дані покинуть ваше локальне середовище, до чутливих даних застосовується криптографічне хешування. Завдяки цьому жодні читабельні дані у відкритому тексті, наприклад справжні номери SSN або табельні номери для зарплати, ніколи не надсилаються і не зберігаються в хмарі Microsoft. Через EDM Upload Agent завантажуються лише хеші (рядки, які людина не може розпізнати).

Такий підхід означає, що Microsoft ніколи не бачить ваші справжні дані, що відповідає суворим вимогам щодо конфіденційності та відповідності, особливо в регульованих галузях, таких як охорона здоров'я чи фінанси. Усі дані під час передачі шифруються, а завантажувати їх можуть лише уповноважені адміністратори, що відповідає сучасним корпоративним і регуляторним вимогам. Щоб детальніше розібратися в тактиках DLP і управління клієнтом, перегляньте, як Microsoft Purview допомагає з розширеною безпекою та моніторингом тут.

Створення схеми EDM для точного зіставлення даних

Далі поговоримо про створення «плану» вашого рішення EDM, тобто схеми. Якщо схему налаштовано неправильно, навіть трохи, уся ініціатива EDM може піти не за планом. Тому варто особливо уважно ставитися до того, які поля є основними, як ви називаєте стовпці та наскільки ваша логіка відповідає реальним бізнес-сценаріям.

Цей розділ про те, чому варто ретельно спланувати схему на початку. Це окупається кращою точністю виявлення, меншою кількістю хибних спрацьовувань і готовністю до змін у даних та робочих процесах організації. Ви побачите, чому так важливо спланувати і основні, і другорядні елементи, тобто поля «обов'язково збігаються» і «бажано збігаються», для надійного застосування політик на практиці.

Далі ми покажемо, як продумано підійти до проєктування схеми, визначити правила зіставлення для ваших сценаріїв і вибрати режими зіставлення, які справді відповідають структурі довідкових даних. Прості помилки тут можуть згодом створити серйозні проблеми, тому наступні розділи detально розглядають покрокові інструкції, які можна одразу застосувати.

Як створити схему EDM і визначити правила зіставлення

Визначте чутливі поля: Спочатку оберіть типи даних, які потребують точного захисту (наприклад, ідентифікатор співробітника, номер рахунку, SSN). Знайте свої регуляторні зобов'язання та бізнес-ризики: це і є основні кандидати для схеми.
Стандартизуйте формати полів: Переконайтеся, що кожне поле має однаковий формат у всіх записах: без змішування дефісів, пробілів чи регістрів літер. Нормалізація даних (наприклад, завжди використовувати «123-45-6789» для SSN) є ключовою.
Розробіть основні та другорядні елементи: Основний елемент (унікальний ідентифікатор) має бути полем, яке не повторюється в інших місцях, наприклад ідентифікатор співробітника. Другорядні елементи можуть бути допоміжною інформацією (наприклад, дата народження), яка допомагає відсіяти майже збіги та неоднозначності.
Узгодьте заголовки стовпців CSV зі схемою: Заголовки стовпців у вашому CSV-файлі мають точно відповідати (включно з написанням і порядком) тим, що визначено в конфігурації схеми EDM. Цей крок спричиняє більше збоїв, ніж майже будь-який інший.
Враховуйте дрейф даних і оновлення: Плануйте з огляду на те, що реальні дані з часом змінюватимуться (нові формати, нові значення). Закладайте гнучкість схеми: періодично перевіряйте заголовки та типи полів, щоб уникнути непомітного падіння точності.
Тестуйте на зразкових даних: Використовуйте тестові CSV-файли, щоб змоделювати, як схема насправді зіставлятиме дані. Шукайте хибні спрацьовування чи пропуски та коригуйте правила зіставлення за потреби.
Не ускладнюйте без потреби: Не додавайте зайвих полів і стовпців «на всяк випадок». Тримайтеся того, що ви справді намагаєтеся зіставити. Невикористані стовпці можуть призвести до плутанини або помилок зіставлення в EDM.

Налаштування режимів зіставлення та вибір основних елементів

Обирайте тип зіставлення продумано: Використовуйте режим «Exact», коли потрібно знаходити лише конкретні довідкові значення (ідеально для регульованих даних, таких як SSN). Режими «Threshold» або «fuzzy» доступні для сценаріїв, де можуть бути прийнятними близькі збіги, але враховуйте ризик більшої кількості хибних спрацьовувань.
Уважно призначайте основні елементи: Основне поле має містити справді унікальні дані. Ніколи не використовуйте поле, яке може повторюватися, як-от ім'я або відділ. Найкращі практичні варіанти: ідентифікатор співробітника або номер рахунку.
Задайте обмеження полів: Переконайтеся, що типи полів у схемі відповідають типу даних у джерелі (числовий, рядковий тощо). Невідповідності можуть завадити правильному зіставленню або призвести до пропуску політики.
Перевірте хибні спрацьовування та пропуски: Запустіть тестові виявлення, щоб переконатися, що чутливі записи справді знаходяться, а безпечні записи не активують політику DLP без потреби.

Підготовка та завантаження чутливих даних для профілів EDM

Жодне налаштування EDM не обходиться без ретельної підготовки еталонних даних перед завантаженням. Думайте про це як про підготовку зіркових гравців до ігрового дня. Цей процес означає значно більше, ніж просто скинути файл у потрібне місце: вам потрібен чистий, без помилок і безпечно відформатований набір даних, щоб отримувати стабільні результати.

У цьому розділі ви зрозумієте, чому належна підготовка даних (зокрема сувora перевірка формату, валідація та безпечні процеси завантаження) важлива не лише для точності, а й для найвищого рівня захисту даних від початку до кінця. Якщо зробити цей етап правильно, ви помітите проблеми до того, як вони стануть критичними у продуктивному середовищі, і вбережете конфіденційні записи вашої організації від зайвого ризику.

Далі ви знайдете покрокові інструкції щодо структурування файлів CSV, інструменти та кроки для безпечного завантаження за допомогою агента EDM, а також процедури валідації. Так ваші дані потраплять до Microsoft 365 готовими до роботи і ніколи не розкриють вихідний текст.

Кроки форматування даних, завантаження та перевірки перед вивантаженням

Структуруйте файл CSV точно за схемою: Вирівняйте заголовки стовпців у довідковому CSV так, щоб вони відповідали тим, що ви вказали у схемі EDM: без зайвих стовпців, помилок у написанні чи переставлених заголовків.
Перевірте типи даних і значення: Знайдіть рядки з відсутніми, повторюваними або неправильно відформатованими значеннями. Номери SSN мають відповідати одному шаблону, дати мають бути у форматі РРРР-MM-ДД тощо.
Усуньте зайві символи: Видаліть пробіли в кінці, непдруковані символи та випадкові роздільники всередині полів. Якщо маєте сумніви, перевірте дані за допомогою скриптів валідації.
Виконайте перевірку перед завантаженням: Скористайтеся вбудованим інструментом валідації (або пробним запуском з агентом EDM Upload Agent), щоб виявити невідповідності між CSV і схемою до справжнього завантаження.
Ведіть журнал аудиту: Версіонуйте файли, зберігайте журнали завантажень і перевірок, а також безпечно зберігайте як вихідні, так і хешовані дані для відповідності вимогам під час аудитів.

Хешування та безпечне завантаження конфіденційних даних

Агент EDM Upload Agent перетворює ваші еталонні дані у відкритому тексті на безпечні криптографічні хеші просто у вашій інфраструктурі. Це означає, що самі конфіденційні значення ніколи не виходять за межі вашого середовища; до серверів Microsoft 365 потрапляють лише хешовані представлення.

Цей процес відбувається до завантаження і під час нього, тож конфіденційність забезпечується на кожному етапі. Передача до хмари шифрується, а для зіставлення хеш-значення бачить і використовує лише механізм DLP. Так ваша команда з відповідності вимогам спокійна, а конфіденційні дані організації не опиняються під загрозою. Це також можна підкріпити надійними практиками управління корпоративним контентом і готовності до аудиту в таких інструментах, як SharePoint і Purview.

Інтеграція EDM з політиками запобігання втратам даних

Справжня сила EDM проявляється, коли ви прив'язуєте еталонні дані безпосередньо до правил політик DLP у Microsoft 365. Зроблено правильно, це дозволяє вашому бізнесу впроваджувати точно налаштований захист даних, що блокує витоки незалежно від того, чи користувачі працюють в Outlook, Teams, SharePoint або Power Platform.

Цей розділ розповідає, що потрібно для того, щоб спрямувати політики DLP на схему EDM. Це не лише технічне з'єднання: воно передбачає рішення щодо того, які типи даних запускають сповіщення, як ескалюються інциденти та куди надсилаються повідомлення, коли з'являється реальний збіг.

Якщо ви налаштовуєте політики DLP для складних середовищ, не нехтуйте продуманою стратегією управління та середовищами, про що йдеться в цьому подкасті для розробників Power Platform, які керують політиками DLP, а також у обговоренні стійкості DLP з погляду інсайдерів.

Кроки перевірки та аналіз результатів виявлення EDM

Завантажте тестовий набір даних: Наповніть середовище невеликою партією відомих еталонних даних (фіктивні ідентифікатори співробітників, номери рахунків), щоб змоделювати реальний сценарій.
Створіть політику DLP і посилайтеся на схему EDM: Спрямуйте політику DLP безпосередньо на налаштовану схему EDM, переконавшись, що правило виявлення вказує правильні поля та режим збігу.
Перевірте політику на зразках файлів: поділіться або завантажте в моніторовані застосунки (Outlook, Teams, SharePoint) вміст із тестовими еталонними значеннями та простежте, як спрацьовують політики.
Перегляньте журнали політик і сповіщення: одразу перевірте звіти про інциденти, журнали сповіщень і панелі відповідності, щоб побачити, чи зафіксовано спрацьовування. Звертайте увагу як на хибні спрацьовування, так і на потенційні пропуски («хибнонегативні» результати).
Перевірте весь робочий процес: переконайтеся, що дії DLP (наприклад, сповіщення або примусові обмеження) справді спрацювали, а робочий процес (наприклад, перегляд інцидентів) відповідає очікуванням політики.
Регулярно моніторте частоту виявлення: використовуйте інструменти аналітики або панелі, зокрема ті, що описані в цьому посібнику з безперервного моніторингу відповідності, щоб перевіряти поточні показники збігів, помічати дрейф або виявляти проблеми продуктивності в міру зміни шаблонів використання.

Усунення несправностей: ліміт токенів EDM і помилки налаштування

Навіть за правильного налаштування EDM іноді збоїть, зазвичай саме тоді, коли він потрібен найбільше. Ліміти токенів, неправильні підключення до схеми або пропущені кроки налаштування можуть непомітно вимкнути можливості зіставлення або тихо дозволити конфіденційним даним вільно вийти назовні.

Цей розділ допоможе знайти першопричини збоїв політик EDM, зокрема сумнозвісних помилок ліміту токенів і пасток налаштування. Йдеться про те, щоб точно знати, де шукати, які журнали чи повідомлення про помилки переглянути та як відкотити або скоригувати впровадження, щоб усе знову запрацювало.

Без постійного моніторингу та операційних перевірок збої тут можуть швидко стати дорогими, тож ми розглянемо практичні стратегії діагностики та виправлення, а не лише теорію. Наведені нижче поради допоможуть вибратися з «що зламалося» і повернути операційну впевненість у вашому інструментарії DLP.

Усунення несправностей: максимальна кількість токенів і обмеження EDM

Перевантаження токенами в запитах: EDM застосовує верхню межу кількості токенів для зіставлення, зазвичай до десятків тисяч на схему. Якщо схема або запити перевищують цю межу, ви побачите помилки «maximumNumberOfTokens». Рішення: зменшіть обсяг еталонних даних або розбийте великі імпорти на кілька менших профілів EDM.
Надто широкі правила DLP: політики, що охоплюють великі діапазони даних, можуть випадково захопити забагато токенів і спричинити спрацювання обмежень. Звузьте фільтри політик або виокремте правила виявлення для різних наборів даних.
Змішані або змінні формати даних: якщо дрейф даних додає нові значення або формати, кількість токенів може різко зрости. Періодично переглядайте імportовані дані, щоб виявляти та виключати нерелевантні або застарілі еталонні значення.
Моніторинг непомітних збоїв: регулярно перевіряйте панелі стану системи на попередження щодо розміру запитів, адже більшість помилок токенів не призводить до видимих сповіщень для користувачів.

Діагностика помилок налаштування EDM і результатів зіставлення

Невідповідність даних схеми: двічі перевірте, що заголовки стовпців CSV і їх порядок точно відповідають схемі EDM. Прості друкарські помилки або відсутні стовпці можуть зламати всі збіги.
Неправильні правила або режими зіставлення: перевірте, чи відповідає режим зіставлення («Exact» або «Threshold») вашому наміру політики та реальним еталонним даним. За потреби скоригуйте.
Неповні або невдалі завантаження хешів: перегляньте журнали агента завантаження на помилки та незавершені вивантаження. Будь-які мережеві збої чи переривання вимагають нового, перевіреного завантаження.
Застарілі або неактуальні еталонні дані: чи змінилися ваші бізнес-дані, але EDM не оновлювався? Застарілі профілі перестають відображати реальність, тож плануйте регулярні повторні завантаження.
Перегляд журналів і коди помилок: перегляньте журнали центру відповідності або системні журнали подій, щоб знайти детальні помилки: шукайте збої зіставлення, помилки приймання даних або попередження агента завантаження.

Найкращі практики та ключові висновки для надійної роботи EDM

Ви вже побачили багато, але давайте зупинимося й зосередимось на тому, що відрізняє впровадження EDM на основі «сподівань» від справді надійного рішення, готового до промислової експлуатації. Щоб EDM працював стабільно, враховуючи нові реалії, уникаючи тихих збоїв і обробляючи нетипові типи даних, потрібні стратегії, які працюватимуть і після того, як ентузіазм від запуску вщухне.

Найкраще налаштовані середовища уважно стежать за своїми схемами, перевіряють користувацькі поля та запроваджують постійні перевірки, щоб EDM і далі знаходив справжні збіги, коли змінюються бізнес-умови. Розуміти, як виникає дрейф відповідності чи еволюція даних, так само важливо, як і правильно налаштувати систему. Якщо вас цікавить прихований дрейф і його вплив на довгострокову відповідність вимогам, послухайте подкаст про дрейф відповідності в Microsoft 365 і цю дискусію про дрейф семантичної моделі даних у Microsoft Fabric.

Тож на завершення розглянемо цільові практики для користувацьких даних і короткий контрольний список, який допоможе тримати розгортання EDM на правильному шляху.

Перевірені практики для користувацьких даних у EDM

Дотримуйтеся єдиних форматів: визначте стандартний формат для всіх користувацьких полів, наприклад для ідентифікаторів працівників, а потім відхиляйте завантаження, які порушують цей шаблон.
Періодично перевіряйте нові дані: щокварталу звіряйте відповідність схеми з бізнес-системами, щоб виявляти дрейф формату чи значень.
Документуйте зміни полів: ведіть журнал змін щоразу, коли ви змінюєте схему або додаєте нові поля, щоб через місяці ніхто не загубився.
Залучайте реальних користувачів: запитайте у співробітників HR, фінансів або операційного відділу, як виглядають «реальні» дані, щоб ваша схема відображала те, як змінюються робочі звички.
Відстежуйте хибнонегативні спрацьовування: збирайте відгуки після пропусків DLP або спроб обійти політики та відповідно коригуйте логіку збігів.

Головні висновки та огляд для успіху точного збігу даних

Ретельно проєктуйте схеми: правильна структура заощаджує години доопрацювань і тримає збіги на цілі.
Постійно перевіряйте й моніторте: регулярні аудити та вибіркові інциденти DLP допомагають помітити проблеми на ранньому етапі, доки бізнес-ризик не зріс.
Пріоритизуйте безпеку даних: на кожному етапі тримайте всі довідкові дані хешованими, збереженими та передаваними за допомогою найкращих засобів шифрування.
Стежте за дрейфом даних: оновлюйте схеми та довідкові списки відповідно до реальних бізнес-умов, адже EDM не може працювати із застарілими або неузгодженими даними.
Використовуйте зворотний зв'язок: звіти про досвід користувачів і розбори інцидентів — найшвидший шлях до закриття прогалин і вдосконалення політик.