Microsoft 365 / 何时需要保留策略与数据丢失防护（DLP）
Microsoft 365 的 保留策略 是根据一定条件保留或删除内容的生命周期规则，数据丢失防护(DLP) 策略是检测并限制敏感信息被不当共享或传输的规则。两者都保护数据，但解决的问题不同。请分别提问“需要保留多久”和“可以发往何处”。
保留与DLP的区别
| 标准 | 保留策略·标签 | DLP策略 |
|---|---|---|
| 核心问题 | 内容应该保留多久或何时删除？ | 敏感信息通过哪些途径被共享或传输？ |
| 主要操作 | 在指定期限内保留，之后删除或审查 | 检测敏感信息，警告用户，阻止共享或审计 |
| 主要标准 | 数据类型·位置·法律保留要求 | 敏感信息类型·对象·传输路径 |
| 注意事项 | 同时适用删除和保留时，需审查优先级 | 评估误报和业务中断的可能性 |
根据Microsoft的保留策略·标签指南和DLP概览将功能进行区分。实际支持的位置和条件会因许可证和策略类型而有所不同。
DLP是Data Loss Prevention（数据丢失防护）的缩写。例如，如果希望在组织规定的期限内保留合同资料，同时不允许对外共享，则可能需要同时应用保留和DLP。仅应用保留无法阻止对外传输，单独应用DLP也不能保证用户删除的文档在规定期限内被保留。
什么时候需要保留策略？
当合同文件或业务记录需要在规定期间内保留，或者不必要的数据在过期后需要删除时进行审查。首先确定保留目的及适用位置（Exchange、SharePoint、OneDrive 等）、开始时间、例外情况及法律保留要求。如果启用保留策略，即使用户在界面上删除文件，内部保留副本的处理方式也可能不同。不要将其理解为“长时间使用回收站的功能”。
如果要对整个相同网站应用统一期限，请使用保留策略；如果每个文档的期限和分类不同，请审查单项保留标签。标签不仅是简单的界面显示名称，还可能是连接保留操作的设置。仅因为文档有敏感度标签，不应视为已应用保留标签。
保留与操作备份也不同。即使产生了内部保留副本，也不意味着用户可以立即将文件夹结构恢复到所需时间点。SharePoint 和 OneDrive 的保留副本可能会影响存储配额，因此需要同时规划期限和容量。
什么时候需要 DLP？
当您想要减少像韩国居民登记号码、支付信息、内部机密等敏感信息通过邮件、文件共享等渠道流出组织的风险时，可以进行审核。需要测试检测条件是否能够准确区分实际数据。条件过宽会阻碍正常业务，条件过窄可能会遗漏重要泄露。还需要设计策略提示、警告以及例外批准流程才能进行操作。
引入前的决策顺序
- 确认要保护的数据及适用的法律法规或合同。本文章不随意设定法律上的保存期限。
- 区分在保存与DLP中要解决的问题。如果两者都需要，应检查它们之间的相互作用。
- 确认可用的许可证和Microsoft Purview当前的支持位置。
- 在少数用户或测试范围内确认策略结果和误报，并征求业务负责人及安全、法律负责人的意见。
- 在全面应用前，制定变更记录、通知、例外及回滚流程。
在保留策略中实际需要决定的事项
在Purview的解决方案 → 数据生命周期管理 → 策略 → 保留策略中创建新策略。请准备该功能的用户许可和保留管理等必要角色。测试需在没有实际重要资料的专用存储库中进行，并且删除操作不会在生产数据上验证。
- 将保留目的、资料类型、期限的依据及负责人记录在文档中。期限应使用业务及法律负责人确认的组织标准。
- 选择是使用固定目标列表的静态范围，还是根据属性确定目标的自适应范围。由于自适应需要预先准备好的范围和功能条件，因此首次测试不要选择。
- 确定Exchange、SharePoint、OneDrive、Microsoft 365组等实际存储位置，并只包含必要的测试对象。务必确认默认值是否为全体对象。
- 在仅保留、仅删除、先保留后删除中，选择符合目的的操作和期限起始依据。若想“长期保留”，不要错误地在期限结束时选择永久删除。
- 在审核界面中对照对象、期间、结束操作，并确认部署状态。在记录预期结果和部署时间后，将其作为测试资料进行验证。
Teams 消息和频道文件不位于相同的存储位置。不要以为仅凭消息保留策略就能保留所有关联的 SharePoint·OneDrive 文件。如果多个策略或标签重叠，也不意味着只有最近的策略会起效，因此请确认 保留策略创建指南 中的位置和优先原则。还要注意，保留策略不能直接套用像 DLP 这样的模拟阻止结果测试。
在小范围内测试 DLP 的方法
将虚拟需求设定为“检测将敏感测试文档分享给外部的情况，在验证后阻止外部访问”。使用组织批准的合成测试数据代替实际个人信息。如果以敏感度标签为条件进行选择，则该标签必须已经创建、发布并应用于测试文件。
- 数据丢失防护 → 策略 → 创建策略中，进入处理SharePoint、OneDrive等位置的“企业应用和设备”策略路径，再根据目的选择模板或自定义选项。
- 只包括需要测试的网站·OneDrive，排除不必要的位置。将敏感信息类型或已准备的标签设为条件后，同时审查与组织外部共享的条件。
- 确定保护操作，例如是否只阻止外部用户，并设计策略提示、管理员警告、是否允许用户覆盖。仅显示通知和实际阻止是不同的。
- 首先以模拟模式保存。是否显示策略提示也可以单独选择。此模式并非已实际强制配置的阻止结果。
- 将符合条件的测试文件和不符合条件的文件分为内部·外部共享案例进行确认。在审查规则匹配结果·通知·误报及实际业务影响后，在批准范围内切换为强制模式。
预期结果是敏感文档的外部共享被规则匹配检测到，正常非目标的文档不会被不必要阻止。在强制应用后，需要同时确认外部测试帐户的实际访问失败情况和内部业务访问情况。不能仅凭屏幕上的警告数量判断成功。可在Microsoft的SharePoint·OneDrive DLP设置案例中区分目标、条件、操作、测试模式进行确认。
更改和恢复时的注意事项
如果DLP测试结果不同，应首先检查对象、文件的实际分类、条件和模式。如果保留情况与预期不同，应调查其他保留策略、标签、保留要求及部署状态。不要仅仅通过取消策略来隐藏问题，而应记录导致问题的设置，并在必要范围内进行修改。
删除保留策略或DLP策略并不会自动撤销已执行的删除或阻止操作。应在更改前保留策略、对象和测试结果，并审查永久删除可能无法恢复的情况。对于有保存要求的资料，不得随意缩短保存期限或取消保留，应先确认已批准的保存标准和恢复计划。
