Administering Information Security in Microsoft 365 (SC-401) — Questions d'entraînement et examen blanc

Do Not Forward est une option de chiffrement prédéfinie pour les sensitivity labels dans Outlook. Lorsqu’elle est appliquée, les destinataires ne peuvent pas transférer, imprimer ni copier le contenu de l’e-mail. Contrairement à Encrypt-Only (qui chiffre seulement sans restreindre les actions), Do Not Forward applique des droits d’utilisation qui bloquent le transfert, Save As et l’impression. Custom permissions with View Only rights nécessiterait une configuration manuelle par destinataire et ne s’applique pas automatiquement via un label. Co-Author permissions accorde des droits de modification, l’inverse de la protection. Do Not Forward protège aussi automatiquement les pièces jointes Office non chiffrées avec les mêmes restrictions. Réf. : learn.microsoft.com/purview/encryption-sensitivity-labels

Les types d'informations sensibles Exact Data Match (EDM) comparent le contenu à une table hachée de véritables valeurs sensibles, ce qui donne quasiment aucun faux positif. Le flux impose de définir d'abord le schéma EDM (noms de colonnes et types de données) avant de téléverser la table de données sensibles. Le schéma indique quels champs existent (par exemple, EmployeeName, SSN) et leurs types de données ; l'agent de téléversement s'en sert pour analyser et hacher le CSV source. Sans le schéma, le système ne peut pas interpréter les données téléversées. Un dictionnaire de mots clés (distracteur) repose sur la correspondance de modèles, pas sur la comparaison de valeurs exactes. Un classifieur entraînable applique du ML à des échantillons de documents, pas à des tables de données structurées. La création d'une stratégie DLP est une étape ultérieure, une fois le SIT EDM en place. Ref: learn.microsoft.com/purview/sit-create-edm-sit-unified-ux-workflow

La protection de documents avec un sensitivity label spécifique, quel que soit leur contenu, utilise une condition de DLP policy basée sur le sensitivity label plutôt que sur des sensitive information types. Configure la règle DLP avec la condition : "Content contains sensitivity label: Highly Confidential." Cela déclenche la policy dès qu’un document portant ce label est partagé, indépendamment des données qu’il contient. Cette approche protège la décision de classification plutôt que le contenu — même si aucun sensitive information type n’est détecté, le label lui-même déclenche la protection. Les actions peuvent inclure : bloquer le partage externe, bloquer avec override, exiger le chiffrement et notifier. Cela complète les règles DLP basées sur le contenu — les règles basées sur les labels protègent selon le jugement de classification humaine, tandis que les règles basées sur les SIT protègent selon la détection automatique du contenu. Astuce d’examen : sensitivity label comme condition DLP = protéger selon la classification, quel que soit le contenu ; condition SIT = protéger selon le contenu détecté — utilise les deux pour une protection complète.