M365 DLP (Data Loss Prevention): introduzione
Data Loss Prevention (DLP) è la funzionalità di Microsoft 365 che impedisce la fuoriuscita accidentale o malevola di dati sensibili: codici fiscali, IBAN, numeri di carte, dati personali GDPR. Nel 2026 il rischio data leak è enorme: errore umano, account compromessi, ex dipendenti. DLP è la difesa automatizzata. Vediamo come funziona e come configurarla.
Cosa fa DLP
DLP scansiona contenuti in Exchange, SharePoint, OneDrive, Teams alla ricerca di pattern sensibili. Quando ne rileva, applica azioni: avvisa l'utente con tooltip "stai per condividere dati sensibili", blocca l'azione, notifica admin, cifra il contenuto. Esempio: utente sta per inviare email con codice fiscale a destinatario esterno → DLP avvisa o blocca.
Tipi di dati protetti
Microsoft fornisce 100+ "Sensitive Information Types" out-of-the-box: codici fiscali italiani, partita IVA, IBAN italiani, numeri di carta di credito, dati patente, dati sanitari, GDPR identifier (nome+email+telefono). Puoi creare SIT custom: pattern regex per dati specifici della tua azienda (codici progetto, codici cliente, brevetti).
Sensitive Information Types italiani
Per aziende italiane configurati: Codice Fiscale (formato XXX XXX XX XXX X), Partita IVA (11 cifre), IBAN IT (27 caratteri), Documento d'identità italiano, Patente di guida. Questi tipi sono pre-configurati con accuracy alta. DLP li riconosce nei documenti e nelle email automaticamente.
Procedura passo-passo: prima policy DLP
- Accedi a Microsoft Purview Compliance Portal.
- Vai su Solutions > Data loss prevention > Policies.
- Crea nuova policy da template "Italian Financial Data" o "GDPR".
- Scope: Exchange, SharePoint, OneDrive, Teams.
- Configura locations: tutte o specifiche (es. solo OneDrive di alcuni utenti).
- Definisci rule: "Se contenuto include codice fiscale OR IBAN AND viene condiviso esternamente".
- Azione: "Block users from sharing" + "Notify users" con messaggio personalizzato.
- Configura "Allow override with business justification" se vuoi permettere superare la regola con motivazione.
- Test mode: "Test it out first" per 1-2 settimane.
- Dopo verifica, attiva la policy.
Modalità "Test it out first"
Prima di bloccare attività, attiva la policy in modalità test: DLP rileva eventi e li logga, ma non blocca. Tu vedi cosa sarebbe stato bloccato e affini i criteri. Senza test mode rischi di bloccare attività legittime e generare frustrazione. Una settimana di test mode è il minimo prima di "On".
Policy DLP comuni
1) Blocca condivisione dati personali GDPR esternamente. 2) Avvisa utente quando email contiene >5 codici fiscali (probabile esportazione database). 3) Cripta automaticamente email con allegati IBAN. 4) Blocca upload SharePoint di file con dati sanitari da utenti non HR. 5) Notifica admin quando ex-dipendente accede a file con dati clienti negli ultimi 30 giorni.
Endpoint DLP
Con Business Premium, DLP si estende agli endpoint Windows gestiti via Intune: previeni che dati sensibili vengano copiati su USB, stampati, caricati su servizi cloud non aziendali (Dropbox, Gmail personale). Differenza chiave da DLP solo cloud: copre i punti di fuga "client-side".
Sensitivity Labels
Complemento di DLP: classifica documenti con label "Pubblico", "Interno", "Confidenziale", "Riservato". DLP applica policy in base alla label. Vantaggio: gli utenti classificano consapevolmente i contenuti. Esempio: documento etichettato "Confidenziale" → DLP blocca condivisione esterna automaticamente, anche senza match di SIT. I report DLP devono essere parte del reporting mensile al management: dimostrare quante violazioni sono state prevenute è il modo più chiaro per giustificare l'investimento in compliance avanzata.
Errori comuni e come risolverli
- Policy DLP troppo aggressive: blocchi attività legittime, gli utenti aggirano.
- No test mode: scopri impatto solo dopo che è già accaduto.
- Pattern SIT senza tuning: codici fiscali finti in template generano falsi positivi.
- Override sempre permesso: vanifica policy se ogni utente può "saltarla".
- DLP solo email: i dati escono anche da OneDrive/SharePoint, copri tutti i canali.
Domande frequenti
D: DLP richiede licenza specifica?
R: DLP base è in Business Premium e E3, avanzato e Endpoint DLP in E5.
D: Posso testare la policy senza impatto utenti?
R: Sì, modalità Test mode e Simulation in Purview.
D: DLP funziona su documenti già esistenti?
R: Sì, scansiona retroattivamente i contenuti.
D: Posso esportare report di violazioni DLP?
R: Sì, da Purview > Reports > DLP incidents.
Sensitivity labels e protezione persistente
Combina DLP con Sensitivity Labels per protezione che segue il documento ovunque: anche se scaricato fuori M365, file con label "Riservato" resta cifrato e richiede autenticazione per aprirsi. Configura labels: Public, Internal, Confidential, Highly Confidential. Ogni label applica protezione: Confidential cripta + restringe a dominio aziendale, Highly Confidential richiede approvazione per condivisione. Labels possono essere applicate manualmente o automaticamente in base al contenuto.
Reporting e response a incident
DLP genera incident reports per ogni violazione policy. Configura dashboard di monitoring: incidenti per utente, per tipo dato, per canale (email vs SharePoint). Pattern anomali indicano: utente in fuga (download massivo prima dimissioni), policy troppo restrittive, nuove minacce. Review settimanale degli incidenti DLP da parte del responsabile sicurezza è best practice. G Tech Group offre servizio gestito di review DLP per clienti senza team sicurezza interno.
Hai bisogno di aiuto?
Se vuoi supporto Microsoft 365 dal team di G Tech Group, scrivici tramite il modulo di contatto.