Microsoft 365 / Quando usar políticas de retenção e prevenção de perda de dados (DLP)

As políticas de retenção do Microsoft 365 definem por quanto tempo o conteúdo é mantido e quando ele é excluído. As políticas de prevenção contra perda de dados (Data Loss Prevention, DLP) detectam e restringem o compartilhamento ou envio inadequado de informações confidenciais. Essas proteções respondem a perguntas diferentes: por quanto tempo manter o conteúdo e onde permitir seu compartilhamento ou envio?

Diferenças entre retenção e DLP

Use a política de retenção e diretrizes de rotulagem da Microsoft para os requisitos do ciclo de vida do conteúdo e a visão geral do DLP para controles de informações confidenciais. Locais e condições suportados dependem do tipo de licença e política.

Por exemplo, se você deseja reter materiais de contrato por um período definido pela sua organização, enquanto impede que eles sejam compartilhados externamente, tanto a retenção quanto o DLP podem ser necessários. Aplicar apenas a retenção não impede a transmissão externa, e aplicar apenas o DLP não garante que documentos excluídos pelos usuários sejam preservados pelo período exigido.

Quando uma política de retenção é necessária?

Considera-se quando os documentos do contrato ou registros de trabalho devem ser mantidos por um período especificado, ou quando dados desnecessários devem ser excluídos após determinado tempo. Primeiro, determine o propósito da retenção, onde será aplicada (Exchange, SharePoint, OneDrive, etc.), o momento de início, exceções e os requisitos legais de retenção. Quando uma política de retenção é ativada, a forma como as cópias internas de retenção são tratadas pode diferir mesmo se os usuários excluírem arquivos da sua visualização. Não deve ser entendido simplesmente como uma “função de usar a lixeira por mais tempo.”

Para aplicar um período comum em todo o site, use uma política de retenção; se o período ou classificação for diferente para cada documento, revise os rótulos de retenção no nível do item. Os rótulos não são apenas nomes de exibição simples, mas configurações que se vinculam a ações de retenção. Apenas ter um rótulo de confidencialidade em um documento não significa que um rótulo de retenção também foi aplicado.

A retenção é diferente de um backup operacional. Uma cópia retida não fornece uma restauração imediata de um ponto no tempo da estrutura de pastas do usuário. Revise como a retenção funciona no SharePoint e OneDrive. Sua biblioteca do sistema Preservation Hold é um local de sistema oculto para conteúdo retido, não uma pasta comum para editar ou limpar manualmente. Ela conta para a cota de armazenamento do site, portanto planeje tanto a duração da retenção quanto a capacidade de armazenamento.

Quando o DLP é necessário?

Ele é considerado quando você quer reduzir o risco de informações sensíveis, como números de identificação nacional, informações de pagamento e dados confidenciais internos, saírem da organização por e-mail ou compartilhamento de arquivos. Você deve testar se as condições de detecção distinguem corretamente os dados reais. Condições muito amplas podem bloquear operações normais, enquanto condições muito restritas podem deixar passar vazamentos importantes. É necessário projetar dicas de política, alertas e procedimentos de aprovação de exceção para a operação.

Decida o que você precisa antes da implementação

1. Verifique os dados a serem protegidos e as leis e contratos aplicáveis. Períodos de retenção legal não são definidos arbitrariamente neste documento.
2. Distinga se a questão a ser resolvida está relacionada à retenção ou DLP. Se ambos forem necessários, revise suas interações.
3. Verifique as licenças disponíveis e os locais atualmente suportados do Microsoft Purview.
4. Verifique os resultados das políticas e falsos positivos em um pequeno número de usuários ou em um escopo de teste, e obtenha feedback do pessoal de negócios, segurança e jurídico.
5. Prepare logs de alterações, notificações, exceções e procedimentos de reversão antes da implantação completa.

Configure um piloto de retenção

No Microsoft Purview, abra Soluções → Gerenciamento do Ciclo de Vida dos Dados → Políticas → Políticas de retenção e selecione Nova política de retenção. Confirme se os usuários afetados possuem as licenças necessárias e se o administrador tem permissões adequadas, como a função Retention Management (gerenciamento de retenção) descrita no guia de configuração de gerenciamento do ciclo de vida dos dados da Microsoft. Verifique o escopo administrativo para os locais escolhidos. Use um local de teste dedicado que não contenha dados importantes de produção; não teste a exclusão em registros comerciais ativos.

1. Documente o objetivo da retenção, o tipo de dado, o período de retenção, a justificativa e as pessoas responsáveis. O período deve seguir os padrões organizacionais confirmados pelo pessoal de negócios e jurídico.
2. Escolha Estático para uma lista fixa de locais ou Adaptável para seleção baseada em atributos. Os escopos adaptáveis já devem existir e atender aos requisitos de recursos e licenciamento. Escolha de acordo com o escopo preparado e as necessidades do piloto; não selecione Adaptável automaticamente apenas porque a opção está disponível.
3. Determine os locais de armazenamento reais, como Exchange, SharePoint, OneDrive e grupos do Microsoft 365, e inclua apenas os alvos de teste necessários. Sempre verifique se o padrão está definido como todos os alvos.
4. Escolha o comportamento apenas reter, apenas excluir ou reter e depois excluir e a regra de início de período aplicável. Para arquivos do SharePoint e OneDrive, verifique se a idade é medida a partir da criação ou da última modificação; não é necessariamente medida a partir do dia em que você cria a política. Arquivos existentes podem já ser mais antigos que o período configurado. Confirme a ação final cuidadosamente se seu objetivo for a preservação contínua em vez da exclusão permanente.
5. Revise os locais, destinatários ou sites incluídos, duração, regra de início e ação final, e então confirme somente as configurações aprovadas. Verifique a configuração salva e o status de implantação antes de avaliar os dados de teste. Registre o resultado esperado e os horários reais de implantação e observação.

As mensagens do Teams e os arquivos de canal são armazenados em locais diferentes. Uma política de retenção de mensagens não preserva automaticamente todos os arquivos conectados do SharePoint ou OneDrive. Quando várias políticas ou rótulos se aplicam, não presuma que apenas a política mais recente determina o resultado. Confira os requisitos dos locais e os princípios de retenção no guia da Microsoft para criar políticas de retenção. A simulação DLP não simula retenção ou exclusão: teste a retenção separadamente com conteúdo isolado e as condições de implantação correspondentes.

Como testar DLP em pequena escala

Considere este requisito hipotético: detectar o compartilhamento externo de documentos de teste confidenciais e bloquear o acesso externo após a validação. Use dados sintéticos aprovados em vez de informações pessoais reais. Confira as permissões administrativas necessárias na referência de permissões e configurações de políticas DLP da Microsoft; permissões de gerenciamento de retenção, por si só, não concedem acesso à administração DLP. Um rótulo de confidencialidade usado como condição deve estar criado, publicado e aplicado ao arquivo de teste.

1. Abra Prevenção contra perda de dados → Políticas → Criar política → Aplicativos & dispositivos empresariais. Para este cenário personalizado do SharePoint e OneDrive, escolha Personalizado nas categorias de modelo e regulamentos, depois nomeie e descreva a política. Mantenha desativada a aplicação efetiva das regras deste piloto enquanto o configura.
2. Inclua apenas os sites SharePoint piloto e contas do OneDrive e exclua locais e destinatários não relacionados. Em Definir configurações de política, escolha Criar ou personalizar regras DLP avançadas, em seguida selecione Criar regra. Defina o tipo de informação confidencial pretendido ou rótulo de confidencialidade preparado e exija compartilhamento externo também. No exemplo baseado em rótulo, combine O conteúdo contém o rótulo selecionado com O conteúdo é compartilhado do Microsoft 365 → com pessoas fora da minha organização; verifique se ambas as condições devem ser atendidas.
3. Para este exemplo, configure Restringir o acesso ou criptografar o conteúdo em locais do Microsoft 365 → Bloquear apenas pessoas fora da sua organização. Decida separadamente as dicas de política e alertas do administrador. Deixe Substituições do usuário desativadas para que os usuários não possam contornar o bloqueio de acesso externo deste piloto. Apenas uma notificação não é um bloqueio.
4. No Modo de política, selecione Executar a política no modo de simulação. Escolha se deseja habilitar Mostrar dicas de política enquanto estiver no modo de simulação, depois selecione Avançar → Enviar. A simulação não aplica os bloqueios configurados.
5. Verifique arquivos de teste que atendem às condições e arquivos que não atendem, dividindo-os em casos de compartilhamento interno e externo. Após revisar correspondências, notificações, falsos positivos e impactos reais nos negócios, mude para o modo de aplicação dentro do escopo aprovado.

O resultado esperado é detectar o compartilhamento externo do documento de teste confidencial sem restringir desnecessariamente documentos que não atendam às condições. A simulação não prova que o acesso está bloqueado. Após ativar as regras do piloto aprovado, confirme que a conta externa de teste não consegue acessar o documento e que a conta interna mantém o acesso esperado. A conta externa deve ter uma permissão de compartilhamento válida para distinguir um bloqueio DLP da ausência de permissão. Compare os resultados com o exemplo de configuração DLP para SharePoint e OneDrive da Microsoft; a contagem de alertas, por si só, não demonstra o sucesso do teste.

Altere ou reverta as configurações com cuidado

Se os resultados do teste DLP diferirem, comece verificando o destino, a classificação real do arquivo, as condições e o modo. Se a retenção diferir das expectativas, investigue outras políticas de retenção, rótulos, requisitos de eDiscovery ou retenção legal e o status de implantação. Em vez de simplesmente remover a política para ocultar o problema, registre as configurações que o causaram e modifique-as dentro do escopo necessário.

Remover uma política não restaura conteúdo excluído permanentemente nem garante a recuperação imediata de um acesso bloqueado. Outras políticas, obrigações de preservação, permissões de compartilhamento e prazos de implantação ainda podem determinar o resultado. Preserve a configuração anterior, o escopo do piloto e as observações antes de fazer alterações. Não reduza os períodos de retenção obrigatórios nem remova preservações legais ou de eDiscovery sem uma decisão aprovada pela organização e um plano de recuperação.