Data Loss Prevention w Exchange Online to zestaw mechanizmów chroniących wrażliwe informacje przed przypadkowym lub celowym wyciekiem poza organizację. Rozwiązanie Microsoft analizuje wiadomości e-mail w czasie rzeczywistym, wykrywając dane takie jak numery kart płatniczych, identyfikatory osobowe, dokumenty finansowe czy tajemnice handlowe. DLP pozwala automatycznie blokować wysyłkę, dodawać ostrzeżenia lub wymuszać szyfrowanie, zanim poufna treść opuści firmową skrzynkę. W poniższym przewodniku szczegółowo omawiamy proces konfiguracji i dostrajania zasad DLP krok po kroku, opierając się na stanie platformy Microsoft 365 z maja 2026 roku.
Czym jest DLP w Exchange Online i dlaczego warto je wdrożyć
Zapobieganie utracie danych w Exchange Online działa jako nadzór nad ruchem pocztowym organizacji. Silnik DLP przeszukuje treść wiadomości, załączniki z plikami Office i PDF oraz pola metadanych (temat, nadawca, odbiorcy), porównując je z wzorcami ponad 200 wbudowanych typów informacji wrażliwych. Każda wiadomość przechodzi przez potok zasad — od najwyższego priorytetu do najniższego — a pierwsza dopasowana reguła decyduje o akcji.
Kluczowe powody wdrożenia obejmują zgodność z RODO, które wymaga odpowiednich środków technicznych ochrony danych osobowych, oraz z dyrektywą NIS 2 obowiązującą podmioty kluczowe i ważne. DLP dostarcza również narzędzia do spełnienia wymogów branżowych — PCI DSS dla sektora płatności, HIPAA dla ochrony zdrowia czy ustawy o krajowym systemie cyberbezpieczeństwa. Z punktu widzenia biznesu oznacza to zmniejszenie ryzyka kar finansowych (do 20 milionów euro lub 4% globalnego obrotu w przypadku RODO), ochronę reputacji i uproszczenie audytów zgodności.
Microsoft wprowadził w 2025 roku kilka istotnych usprawnień. Silnik klasyfikacji oparty na dużych modelach językowych potrafi teraz wykrywać dane wrażliwe w treściach nieustrukturyzowanych, takich jak narracje w załącznikach PDF czy osadzone obrazy. Autonomiczne reguły adaptacyjne korzystające z Microsoft Purview automatycznie dostosowują progi detekcji na podstawie zachowań użytkowników — częste wysyłanie małych partii danych do prywatnych adresów zostanie wykryte nawet jeśli pojedyncza wiadomość mieści się poniżej progu. Wdrożenie DLP stało się prostsze dzięki odświeżonemu kreatorowi w portalu Microsoft Purview, dostępnemu pod adresem purview.microsoft.com.
Wymagania licencyjne i uprawnienia
Zanim rozpoczniesz konfigurację, musisz zweryfikować posiadanie odpowiednich licencji. DLP w Exchange Online wymaga jednego z poniższych planów:
- Microsoft 365 E3 — podstawowe zasady DLP dla poczty e-mail i plików
- Microsoft 365 E5 — zaawansowane DLP z alertami, pulpitem zarządzania ryzykiem i inspekcją zawartości w czasie rzeczywistym
- Microsoft 365 E5 Compliance — dodatek rozszerzający możliwości E3 o pełny pakiet zgodności
- Office 365 E3 / E5 — warianty bez komponentu Windows i Intune, zachowujące DLP
Organizacje z subskrypcją Business Premium otrzymują podstawowe funkcje DLP, jednak bez zaawansowanego raportowania i klasyfikatorów opartych na sztucznej inteligencji. Do zarządzania zasadami potrzebujesz roli administratora zgodności (Compliance Administrator) lub administratora globalnego w usłudze Azure Active Directory. Microsoft zaleca stosowanie modelu najmniejszych uprawnień — rolę Compliance Administrator można przypisać przez centrum administracyjne Microsoft Entra, ograniczając dostęp wyłącznie do funkcji zgodności.
Warto odnotować, że od marca 2026 roku Microsoft domyślnie włącza podstawową ochronę DLP dla wszystkich tenantów z aktywną licencją E5, automatycznie stosując szablon „Wykrywanie danych osobowych — niski wolumen” na nowo utworzonych skrzynkach. Organizacje, które nie skonfigurowały własnych zasad, otrzymują w ten sposób minimalną ochronę bez żadnych działań administratora.
Tworzenie pierwszej zasady DLP
Proces tworzenia reguły DLP w 2026 roku odbywa się w przeprojektowanym portalu Microsoft Purview. Kreator prowadzi administratora przez sześć logicznych kroków, eliminując większość pułapek konfiguracyjnych wcześniejszych wersji. Oto dokładna sekwencja:
- Zaloguj się do portalu
purview.microsoft.com, używając konta z rolą Compliance Administrator. - W lewym menu rozwiń „Zapobieganie utracie danych”, a następnie wybierz „Zasady”.
- Kliknij „Utwórz zasadę” — system zaprezentuje katalog szablonów pogrupowanych według regulacji (RODO, PCI DSS, HIPAA, ustawy lokalne) oraz branż (finanse, zdrowie, edukacja, administracja publiczna).
- Po wyborze szablonu lub opcji „Niestandardowa” przejdź do ekranu lokalizacji. Zaznacz „Exchange email” jako docelowe miejsce egzekwowania zasady. Możesz zawęzić zakres do konkretnych grup dystrybucyjnych, domen lub wykluczyć wybrane skrzynki — na przykład służbowy adres DPO.
- Na ekranie „Warunki” dodaj typy informacji wrażliwych. Domyślny zestaw obejmuje numery PESEL (wzorzec 11 cyfr z sumą kontrolną), numery dowodów osobistych (seria i numer w formacie XXX XXXXXXX), numery IBAN, kody SWIFT oraz dane kart kredytowych. Możesz zwiększyć dokładność, ustawiając minimalną liczbę wystąpień (np. minimum 3 numery PESEL w jednej wiadomości) oraz liczbę wystąpień unikatowych (różne numery, a nie trzykrotne powtórzenie tego samego).
- Zdefiniuj akcje ochronne. Dostępne opcje to: blokada wysyłki z możliwością nadpisania przez użytkownika z uzasadnieniem biznesowym, blokada bezwzględna, szyfrowanie wiadomości (Microsoft Purview Message Encryption), dodanie nagłówka X-Header do routingu na dodatkowy audyt lub przekazanie kopii do menedżera nadawcy.
- Skonfiguruj powiadomienia — zarówno wiadomość e-mail do nadawcy z informacją o zablokowaniu, jak i poradę dotyczącą zasad (Policy Tip) wyświetlaną w Outlook i Outlook Web App.
- Wybierz tryb wdrożenia: „Symulacja” (tylko logi, bez egzekwowania), „Test z powiadomieniami” (pełne logowanie plus Policy Tip) lub „Wymuś natychmiast”. Microsoft zaleca minimum 7 dni w trybie symulacji przed przejściem do egzekwowania.
Po zapisaniu zasady rozpoczyna się propagacja do infrastruktury Exchange Online, która trwa od 15 minut do godziny. Stan wdrożenia możesz sprawdzić w sekcji „Stan zasad” w panelu DLP.
Typy informacji wrażliwych i klasyfikatory
Sercem skutecznej polityki DLP jest precyzyjna klasyfikacja danych. Microsoft Purview oferuje trzy poziomy detekcji, które możesz łączyć w ramach jednej zasady.
Wbudowane typy informacji wrażliwych (SIT) obejmują ponad 200 wzorców rozpoznawanych za pomocą wyrażeń regularnych, sum kontrolnych i słów kluczowych. Przykładowo, typ „Polski numer PESEL” nie tylko dopasowuje ciąg 11 cyfr, ale weryfikuje poprawność sumy kontrolnej i szuka w pobliżu fraz takich jak „PESEL”, „numer ewidencyjny” czy „dowód osobisty”. Zmniejsza to drastycznie liczbę fałszywych trafień na numerach faktur czy identyfikatorach wewnętrznych.
Klasyfikatory trenowane (Trainable Classifiers) wykorzystują uczenie maszynowe do identyfikacji kategorii dokumentów. W 2026 roku dostępnych jest 45 wstępnie wytrenowanych klasyfikatorów, między innymi dla umów o pracę, faktur, raportów medycznych, wniosków kredytowych czy dokumentacji przetargowej. Klasyfikatory analizują nie tylko tekst, ale strukturę dokumentu — układ tabel, nagłówki, metadane — co czyni je znacznie skuteczniejszymi od prostych wyrażeń regularnych przy dokumentach o zmiennym formacie.
Klasyfikatory niestandardowe pozwalają na wytrenowanie modelu na własnym zbiorze dokumentów. Proces wymaga dostarczenia minimum 200 przykładowych plików — 100 pozytywnych (zawierających dane chronione) i 100 negatywnych (bez danych chronionych). Trenowanie zajmuje od 24 do 72 godzin, a gotowy klasyfikator integruje się z zasadami DLP identycznie jak typy wbudowane. W 2026 roku Microsoft udostępnił opcję trenowania przyrostowego — możesz dostarczyć dodatkowe próbki w celu poprawy skuteczności bez budowania modelu od podstaw.
Praktyczna wskazówka: łącz kilka typów informacji wrażliwych w ramach jednej zasady, używając operatorów logicznych. Reguła wykrywająca „PESEL AND nazwisko” ma znacznie wyższą precyzję niż każdy z tych warunków osobno. Suma kontrolna PESEL eliminuje numery losowe, a obecność nazwiska potwierdza kontekst osobowy.
Konfiguracja reguł zaawansowanych
Poza podstawowymi warunkami opartymi na typach informacji wrażliwych, Exchange Online DLP pozwala budować wielowarstwowe reguły wykorzystujące metadane wiadomości i kontekst organizacyjny. Te mechanizmy są kluczowe dla organizacji o złożonych strukturach, gdzie dane przepływają między działami, a źródło wycieku może być trudne do zidentyfikowania.
Filtry oparte na nadawcy i odbiorcy to pierwsza linia precyzyjnego targetowania. Możesz tworzyć reguły działające wyłącznie dla określonych grup — dział kadr, księgowość, zarząd — lub wykluczające konkretne domeny będące zaufanymi partnerami. Przykładowo, zasada wykrywająca numery IBAN może być aktywna dla wszystkich pracowników z wyjątkiem działu finansowego, który z definicji operuje takimi danymi w komunikacji z bankami.
Warunki oparte na nagłówkach X-Header umożliwiają integrację z zewnętrznymi systemami klasyfikacji. Jeśli Twoja organizacja używa Azure Information Protection lub zewnętrznego rozwiązania znakującego wiadomości, DLP może odczytywać te nagłówki i podejmować decyzje bez ponownej analizy treści. Znacząco przyspiesza to przetwarzanie dużych wolumenów poczty.
Warunki wyjątków są równie istotne jak same reguły. Każda zasada DLP może zawierać wyjątki — na przykład zezwolenie na wysyłkę numeru PESEL, jeśli odbiorca znajduje się w domenie ZUS (zus.pl) lub gdy wiadomość jest zaszyfrowana RMS. Microsoft dodał w 2025 roku wyjątki oparte na etykietach poufności, więc wiadomość oznaczona jako „Wewnętrzne — tylko odbiorcy” automatycznie omija blokowanie zewnętrznych adresatów.
Progi kumulacyjne to funkcja, która analizuje zachowanie użytkownika w oknie czasowym, a nie tylko pojedynczą wiadomość. Możesz ustawić regułę, która blokuje konto po wysłaniu 10 wiadomości zawierających dane wrażliwe w ciągu godziny, nawet jeśli każda z osobna nie przekracza progu liczby wystąpień. Mechanizm ten skutecznie przeciwdziała powolnemu wyciekowi danych (tzw. „low and slow exfiltration”), często stosowanemu przez insider threats.
Monitorowanie, alerty i raportowanie
Skuteczne DLP wymaga nie tylko blokowania, ale przede wszystkim wglądu w to, co dzieje się z danymi w organizacji. Microsoft Purview konsoliduje wszystkie zdarzenia DLP w ujednoliconym pulpicie, dostępnym przez purview.microsoft.com → „Zapobieganie utracie danych” → „Pulpit nawigacyjny”.
Pulpit menedżera zgodności prezentuje zagregowane metryki: liczbę dopasowań zasad w ostatnich 24 godzinach, 7 i 30 dniach, rozkład według typu informacji wrażliwych, najczęściej blokowanych użytkowników oraz trendy wskazujące na narastające ryzyko. Microsoft udostępnił w 2026 roku widok mapy cieplnej organizacji — obszary z największą liczbą incydentów DLP są oznaczane kolorem, co pomaga identyfikować działy wymagające dodatkowych szkoleń.
Alerty działają w czasie rzeczywistym i integrują się z Microsoft Defender for Cloud Apps oraz Microsoft Sentinel. Gdy DLP wykryje regułę o wysokiej ważności — na przykład próbę masowego eksportu bazy klientów — alert jest generowany natychmiast, a nie z opóźnieniem wynikającym z przetwarzania wsadowego. Alerty możesz kierować do konkretnych analityków SOC, tworzyć zautomatyzowane playbooki odpowiedzi (np. tymczasowa blokada konta) lub eskalować według procedur organizacji.
Eksplorator aktywności to zaawansowane narzędzie dochodzeniowe, które przechowuje szczegółowe informacje o każdym zdarzeniu DLP do 180 dni wstecz (wymaga licencji E5). Dla każdego dopasowania rejestrowane są: pełna treść wiadomości, typ i lokalizacja wykrytego wzorca, kontekst otaczający (sąsiadujące słowa), zastosowana akcja oraz metadane użytkownika. Eksplorator obsługuje filtry po lokalizacji, użytkowniku, typie wrażliwym, dacie i zastosowanej akcji.
Raporty kwartalne dostępne w formacie PDF generowane są automatycznie i zawierają podsumowanie wymagane przez wielu audytorów. Obejmują one całkowitą liczbę zdarzeń, skuteczność zasad (procent zablokowanych wiadomości, które faktycznie zawierały dane wrażliwe — wskaźnik precyzji) oraz trendy porównawcze rok do roku.
Tryb symulacji i stopniowe wdrażanie
Zbyt agresywne wdrożenie DLP to najczęstsza przyczyna frustracji użytkowników i paraliżu komunikacji biznesowej. Microsoft dostarcza mechanizmy stopniowego wdrażania, które minimalizują ryzyko zablokowania legalnej korespondencji.
Tryb symulacji to pierwszy i najważniejszy etap. W tym trybie zasada działa w pełni — analizuje treść, dopasowuje wzorce, podejmuje decyzje — ale ich nie egzekwuje. Wszystkie zdarzenia trafiają do dziennika i są widoczne w Eksploratorze aktywności. Administrator może przeanalizować, ile wiadomości zostałoby zablokowanych, ilu użytkowników objętych regułą faktycznie wysyła dane wrażliwe i czy wśród trafień nie ma fałszywych alarmów. Microsoft zaleca minimum 7 dni w trybie symulacji, ale dla organizacji o dużym wolumenie poczty (powyżej 10 000 skrzynek) rekomendowane są 2-3 tygodnie.
Tryb testowy z powiadomieniami to kolejny krok. Użytkownicy widzą wskazówki dotyczące zasad (Policy Tips) w interfejsie Outlook, informujące że ich wiadomość zawiera potencjalnie wrażliwe dane, ale wysyłka nie jest blokowana. Ten etap pełni funkcję edukacyjną — pracownicy uczą się rozpoznawać, jakie treści podlegają ochronie, a administrator zbiera dane o próbach nadpisania (override).
Pełne wymuszenie należy włączać stopniowo, najlepiej grupami. Rozpocznij od grupy pilotażowej (dział IT, compliance), po tygodniu bez incydentów rozszerz na wybrane działy biznesowe, a dopiero po miesiącu stabilnego działania obejmij całą organizację. Takie podejście pozwala dostroić progi i wyjątki bez powodowania przestojów w komunikacji.
W 2026 roku Microsoft wprowadził adaptacyjne zakresy polityk (Adaptive Policy Scopes), które automatycznie rozszerzają działanie zasady na nowych użytkowników spełniających kryteria członkostwa w grupie. Dzięki temu nowozatrudnieni pracownicy są obejmowani ochroną od pierwszego dnia, bez ręcznej aktualizacji konfiguracji.
Najczęstsze problemy i ich rozwiązywanie
Mimo dojrzałości platformy, konfiguracja DLP w Exchange Online może napotkać kilka typowych przeszkód. Oto najczęściej zgłaszane problemy i sprawdzone metody ich rozwiązywania.
Opóźnienia w propagacji zasad. Po zapisaniu nowej reguły DLP może minąć od 15 minut do godziny, zanim zacznie ona egzekwować akcje — wynika to z rozproszonej architektury Exchange Online. Podczas testów warto wysłać wiadomość testową po 60 minutach i sprawdzić jej status w Eksploratorze aktywności, zamiast polegać na natychmiastowym efekcie.
Zbyt wiele fałszywych trafień (false positives). Jeśli DLP blokuje legalną korespondencję, sprawdź minimalną liczbę wystąpień — domyślnie ustawiona na 1 powoduje reakcję nawet na pojedynczy numer, który może być identyfikatorem wewnętrznym. Zwiększenie progu do 3-5 oraz dodanie kontekstowych słów kluczowych radykalnie poprawia precyzję. W przypadku uporczywych fałszywych trafień możesz użyć Eksploratora aktywności do zidentyfikowania dokładnego fragmentu tekstu powodującego dopasowanie i odpowiednio zmodyfikować warunki.
Problemy z załącznikami. DLP domyślnie skanuje załączniki Office i PDF, ale nie analizuje plików graficznych, skompresowanych archiwów ani zaszyfrowanych dokumentów. Jeśli użytkownicy omijają ochronę przez kompresję ZIP lub osadzanie danych w obrazach, konieczne jest wdrożenie dodatkowych kontroli. Microsoft rozszerzył w 2025 roku obsługę OCR dla załączników graficznych (wymaga licencji E5), a pliki chronione hasłem mogą być blokowane hurtowo regułą transportową Exchange.
Konflikty między zasadami. Exchange przetwarza zasady DLP w kolejności priorytetu, a pierwsza dopasowana reguła wygrywa. Jeśli dwie zasady nakładają się, ważniejsza jest ta o wyższym priorytecie (niższa wartość liczbowa). W przypadku niejasności przejrzyj kolejność na liście zasad w portalu Purview i rozważ konsolidację podobnych reguł.
Wydajność przy dużym wolumenie. Organizacje przetwarzające miliony wiadomości dziennie powinny ograniczyć liczbę złożonych reguł regex i klasyfikatorów trenowanych przypadających na jedną zasadę. Każdy dodatkowy warunek wydłuża czas analizy — rekomendowane jest nie więcej niż 15 warunków na pojedynczą regułę.
Integracja z Microsoft Purview i ekosystemem bezpieczeństwa
DLP w Exchange Online nie działa w izolacji — jest częścią szerszego ekosystemu Microsoft Purview, który obejmuje ochronę informacji, zarządzanie ryzykiem wewnętrznym i ład korporacyjny. Zrozumienie tych integracji pozwala zbudować spójną strategię bezpieczeństwa danych.
Microsoft Purview Information Protection (dawniej Azure Information Protection) dostarcza etykiet poufności, które DLP może wykorzystywać jako warunki reguł. Wiadomość oznaczona etykietą „Ściśle tajne” może automatycznie podlegać zaostrzonym kontrolom — obowiązkowemu szyfrowaniu, blokadzie przekazywania dalej i ograniczeniu odbiorców do domeny organizacji. Etykiety są spójne między Exchange, SharePoint, OneDrive i Teams, więc ta sama klasyfikacja działa wszędzie.
Insider Risk Management korzysta z sygnałów DLP do wykrywania potencjalnie złośliwych działań. Gdy DLP odnotuje nietypową aktywność — na przykład pracownik odchodzący z firmy nagle zaczyna wysyłać duże ilości danych na prywatny adres e-mail — Insider Risk Management koreluje to z innymi sygnałami (wydruk dokumentów HR, logowanie poza godzinami pracy) i generuje alert o podwyższonym ryzyku. W 2026 roku modele ryzyka wykorzystują uczenie federacyjne, więc potrafią identyfikować wzorce znane z innych organizacji bez udostępniania ich danych.
Microsoft Defender for Office 365 uzupełnia DLP o ochronę przed zagrożeniami zewnętrznymi — phishingiem, malware i atakami typu business email compromise. Podczas gdy DLP pilnuje danych wychodzących, Defender chroni przed tym, co wchodzi do organizacji. Integracja obu systemów w ujednoliconym portalu Security Copilot (dostępnym od marca 2026) pozwala analitykom badać incydenty w kontekście całościowym.
Microsoft Sentinel konsumuje alerty DLP jako zdarzenia SIEM, umożliwiając budowanie zaawansowanych reguł korelacji. Możesz na przykład utworzyć regułę Sentinel, która eskaluje incydent, gdy DLP wykryje próbę wysyłki danych karty kredytowej, a jednocześnie Microsoft Entra ID Protection zgłosi nietypową lokalizację logowania użytkownika.
Copilot for Security to wprowadzony w 2025 roku asystent AI, który pomaga w dochodzeniach DLP. Analityk może zadać pytanie w języku naturalnym — „Pokaż wszystkich użytkowników, którzy próbowali wysłać numery PESEL poza organizację w ostatnim tygodniu” — a Copilot przeszuka Eksplorator aktywności, wygeneruje listę i zaproponuje rekomendacje dostosowania zasad. Funkcjonalność ta wymaga licencji Microsoft 365 E5 i dodatkowej subskrypcji Security Compute Units.
Częste pytania
Czy DLP w Exchange Online działa dla poczty wewnętrznej?
Tak, zasady DLP mogą obejmować zarówno wiadomości wychodzące na zewnątrz organizacji, jak i komunikację wewnętrzną między pracownikami. Domyślnie kreator sugeruje stosowanie reguł tylko do odbiorców zewnętrznych, ale możesz rozszerzyć zakres na „Wszyscy odbiorcy”, co jest szczególnie przydatne przy ochronie danych szczególnie chronionych, do których dostęp powinien mieć wyłącznie upoważniony personel.
Jak długo trwa, zanim nowa zasada DLP zacznie działać?
Propagacja do wszystkich serwerów Exchange Online trwa od 15 minut do godziny. W praktyce większość zasad jest aktywna w ciągu 30 minut. Stan możesz zweryfikować, wysyłając wiadomość testową i sprawdzając jej obecność w Eksploratorze aktywności DLP po upływie godziny od zapisania konfiguracji.
Czy DLP skanuje wiadomości wysyłane z urządzeń mobilnych?
Tak, ochrona DLP działa niezależnie od urządzenia, z którego wysyłana jest wiadomość — Outlook na iOS, Android, Outlook Web App, Outlook dla komputerów oraz klienty korzystające z protokołu Exchange ActiveSync. Analiza odbywa się po stronie serwera Exchange Online, więc urządzenie końcowe nie ma wpływu na skuteczność ochrony.
Czy mogę tworzyć reguły DLP w PowerShell?
Tak, moduł Exchange Online PowerShell (EXO V3) umożliwia pełne zarządzanie zasadami DLP za pomocą cmdletów *-DlpCompliancePolicy i *-DlpComplianceRule. PowerShell jest szczególnie przydatny przy wdrożeniach masowych, eksporcie konfiguracji między tenantami i automatyzacji testów regresyjnych po zmianach. Aktualna wersja modułu EXO V3.7 z kwietnia 2026 roku obsługuje wszystkie nowe funkcje dostępne w interfejsie Purview.
Jak DLP radzi sobie z zaszyfrowanymi wiadomościami?
Wiadomości zaszyfrowane przy użyciu Microsoft Purview Message Encryption są deszyfrowane przez serwer przed analizą DLP, a następnie ponownie szyfrowane po zastosowaniu akcji. Wiadomości zaszyfrowane S/MIME lub PGP nie mogą być analizowane przez DLP i domyślnie są przepuszczane — chyba że jawnie skonfigurujesz regułę transportową blokującą taki ruch.
Czy mogę używać DLP do ochrony danych w załącznikach?
DLP analizuje załączniki w formatach Office (DOCX, XLSX, PPTX), PDF, CSV, TXT oraz — od aktualizacji z maja 2025 roku — osadzone obrazy w tych dokumentach (OCR). Pliki graficzne jako samodzielne załączniki (JPG, PNG) są obsługiwane przez OCR wyłącznie w licencji E5. Zaszyfrowane archiwa ZIP i pliki chronione hasłem nie są analizowane, ale możesz zablokować je całkowicie za pomocą oddzielnej reguły transportowej Exchange.
Ilu zasad DLP potrzebuje przeciętna organizacja?
Nie ma uniwersalnej liczby — zależy ona od wymogów regulacyjnych i branży. Typowa organizacja średniej wielkości w Polsce wdraża od 8 do 15 zasad. Obejmują one zwykle 2-3 reguły zgodności z RODO (dane osobowe, dane wrażliwe, transfer poza EOG), 1-2 reguły finansowe (IBAN, karty kredytowe), 2-3 reguły branżowe oraz 3-5 reguł korporacyjnych chroniących własność intelektualną. Nadmiar reguł może powodować spadki wydajności — Microsoft zaleca maksymalnie 50 aktywnych zasad na tenant.
Co zrobić, gdy DLP blokuje legalną komunikację biznesową?
Użytkownik widzący blokadę może skorzystać z opcji nadpisania (override) z uzasadnieniem biznesowym, o ile administrator włączył tę funkcję w konfiguracji reguły. Administrator powinien przeanalizować takie przypadki w Eksploratorze aktywności i — jeśli wzorzec się powtarza — dodać odpowiedni wyjątek. Alternatywnie warto rozważyć utworzenie grupy wykluczeń dla działów, których codzienna praca wymaga operowania danymi wrażliwymi (np. kadry, księgowość), przy jednoczesnym zastosowaniu wobec nich odrębnych, bardziej precyzyjnych kontroli.
Czy Exchange Online DLP spełnia wymogi RODO w zakresie transferu danych poza EOG?
Tak, DLP może egzekwować politykę ograniczającą transfer danych osobowych poza Europejski Obszar Gospodarczy. Reguła oparta na domenach odbiorców (wykluczenie domen spoza EOG) w połączeniu z typem informacji wrażliwych „Dane osobowe — PESEL” lub „Dane osobowe — imię i nazwisko” skutecznie blokuje niezgodny z prawem transfer. Dla zapewnienia pełnej zgodności należy to połączyć z szyfrowaniem wiadomości oraz mechanizmami kontroli dostępu w Microsoft Entra ID.
Gdzie mogę nabyć licencje Microsoft 365 niezbędne do uruchomienia DLP?
Pełną funkcjonalność DLP w Exchange Online uzyskujesz z planami Microsoft 365 E3, E5 oraz odpowiednimi dodatkami Compliance. W naszej ofercie znajdziesz atrakcyjne cenowo licencje Microsoft 365 Business Premium, E3 i E5 — zapraszamy do zapoznania się z ofertą kluczy cyfrowych w sklepie KluczeSoft.pl, gdzie otrzymasz natychmiastową dostawę i wsparcie w wyborze odpowiedniego planu dla Twojej organizacji.