Administering Information Security in Microsoft 365 (SC-401) — Übungsfragen und Probeprüfung

Vertrauliche Informationstypen mit Exact Data Match (EDM) vergleichen Inhalte mit einer gehashten Tabelle echter sensibler Werte und liefern dadurch nahezu keine False Positives. Der Ablauf verlangt, zuerst das EDM-Schema zu definieren (Spaltennamen und Datentypen), bevor die Tabelle mit den sensiblen Daten hochgeladen wird. Das Schema legt fest, welche Felder existieren (z. B. EmployeeName, SSN) und welche Datentypen sie haben; der Upload-Agent nutzt es, um die Quell-CSV zu parsen und zu hashen. Ohne das Schema kann das System die hochgeladenen Daten nicht interpretieren. Ein Schlüsselwortverzeichnis (Distraktor) arbeitet mit Mustererkennung, nicht mit dem Vergleich exakter Werte. Ein trainierbarer Klassifizierer nutzt ML auf Dokumentbeispielen, nicht auf strukturierten Datentabellen. Das Erstellen einer DLP-Richtlinie ist ein nachgelagerter Schritt, nachdem der EDM-SIT existiert. Ref: learn.microsoft.com/purview/sit-create-edm-sit-unified-ux-workflow

Der Schutz von Dokumenten mit einem bestimmten Sensitivity Label unabhängig vom Inhalt verwendet eine DLP policy condition, die auf dem Sensitivity Label basiert, statt auf sensitive information types. Konfiguriere die DLP rule mit der Bedingung: "Content contains sensitivity label: Highly Confidential." Dadurch wird die Policy ausgelöst, sobald ein Dokument mit diesem Label geteilt wird, unabhängig davon, welche Daten das Dokument enthält. Dieser Ansatz schützt die Klassifizierungsentscheidung statt den Inhalt — selbst wenn keine sensitive information types erkannt werden, löst das Label selbst den Schutz aus. Aktionen können umfassen: externes Teilen blockieren, mit Override blockieren, Verschlüsselung verlangen und benachrichtigen. Das ergänzt inhaltsbasierte DLP rules — label-basierte Regeln schützen auf Basis menschlicher Klassifizierungsentscheidungen, während SIT-basierte Regeln auf Basis automatischer Inhaltserkennung schützen. Prüfungstipp: Sensitivity label als DLP condition = Schutz basierend auf Klassifizierung unabhängig vom Inhalt; SIT condition = Schutz basierend auf erkanntem Inhalt — nutze beides für umfassenden Schutz.

Der Zugriff auf Data explorer ist streng geregelt, weil er die Inhalte klassifizierter Dateien offenlegen kann. Den Zugriff auf die Registerkarte Data explorer erhältst du über Rollen wie Compliance administrator oder Compliance data administrator, doch diese Mitgliedschaft allein zeigt weder die Liste der Elemente noch deren Inhalte an. Zwei separate Rollengruppen gewähren Zugriff auf die Daten: Data Explorer List viewer für Elemente und deren Speicherorte und Data Explorer Content viewer für die Inhalte der Elemente. Sie sind unabhängig voneinander und nicht kumulativ, daher vergibst du List viewer für die Speicherorte und fügst Content viewer nur hinzu, wenn Inhalte sichtbar sein müssen. Einige umfassendere Rollengruppen enthalten diese Rollen ebenfalls; die Rollengruppe Information Protection enthält zum Beispiel sowohl die Rolle list viewer als auch die Rolle content viewer und würde daher Inhalte offenlegen. Beachte, dass die Rolle content viewer auch nötig ist, um in der Listenansicht die Namen der Elemente zu sehen. Prüfungstipp: Der Zugriff auf die Registerkarte, auf die Liste und auf die Inhalte wird jeweils getrennt vergeben, also prüfe, welche Rollen eine Rollengruppe enthält.