Impedir o acesso de convidados a arquivos enquanto as regras DLP são aplicadas

Quando novos arquivos são adicionados ao SharePoint ou OneDrive no Microsoft 365, demora um pouco para que a política de Prevenção Contra Perda de Dados do Microsoft Purview (DLP) verifique o conteúdo e aplique regras para ajudar a proteger o conteúdo confidencial. Se o compartilhamento externo estiver ativado, o conteúdo confidencial poderá ser compartilhado e acessado por convidados antes que a regra DLP conclua o processamento.

Em vez de desativar totalmente o compartilhamento externo, você pode marcar os arquivos em sua organização como confidenciais por padrão. Isso bloqueia o acesso de convidados a novos conteúdos até que ele seja verificado em busca de conteúdo confidencial e as políticas DLP que incluem condições baseadas em conteúdo sejam aplicadas. Os convidados são notificados de que o arquivo está sendo examinado se tentarem acessá-lo durante esse período.

Depois que um arquivo é rastreado e nenhum conteúdo que bloquearia o compartilhamento por regras de DLP é detectado, os convidados podem acessar o arquivo. Se a política identificar conteúdo confidencial no documento que corresponda às regras DLP, o comportamento normal definido por essas regras DLP será aplicado.

Esse recurso não bloqueará o acesso a um arquivo se:

• o conteúdo já foi rastreado e não foi encontrado conteúdo confidencial que corresponda às condições em qualquer regra DLP,
• ou se o arquivo tiver propriedades que correspondam às isenções nas regras DLP que permitem que ele seja compartilhado.

Esse recurso se aplica a arquivos recém-adicionados no SharePoint e no OneDrive. Ele não bloqueará o compartilhamento se um arquivo existente for alterado.

As regras DLP são necessárias para que o conteúdo seja compartilhado com convidados

Quando esse recurso está habilitado, qualquer conteúdo que não seja verificado explicitamente em uma política DLP é impedido de ser acessado externamente. Em outras palavras, para que o conteúdo seja compartilhável externamente, ele deve estar em um local coberto por uma política DLP e as políticas desse local devem determinar, depois que o conteúdo for rastreado e identificado, que o arquivo não corresponde a nenhuma regra que o impeça de ser compartilhado. Isso ajuda a impedir que os usuários vazem arquivos confidenciais, colocando-os em um local não coberto pelas políticas DLP.

Se você quiser operar sob o princípio de que somente locais explicitamente verificados pela DLP podem ser compartilhados externamente, nenhuma ação adicional será necessária.

Se você quiser habilitar o compartilhamento externo em locais não cobertos atualmente pelas políticas DLP, poderá criar uma regra DLP que inclua todos os locais do SharePoint e do OneDrive que contenham pelo menos uma regra com a condição "conteúdo contém" (para qualquer conteúdo) e que não execute nenhuma ação (como limitar ou bloquear o conteúdo), disparar alertas, ou gera notificações ou relatórios. Essa política deve ser movida para a parte superior da lista e não ter a opção parar de processar mais regras definida, portanto, só é eficaz para conteúdo que não corresponde a nenhuma outra regra DLP. Como resultado dessa regra, qualquer arquivo em qualquer local que não corresponda a outras regras DLP terá permissão para compartilhamento externo.

Para obter informações sobre como criar uma regra DLP, consulte Saiba como criar e ativar uma política DLP.

Marcar arquivos como confidenciais por padrão

Esse recurso é configurado usando o PowerShell.

1. Baixe o Shell de Gerenciamento do SharePoint Online mais recente.

   Observação

   Se você instalou uma versão anterior do Shell de Gerenciamento do SharePoint Online, vá para Adicionar ou remover programas e desinstale o "Shell de Gerenciamento do SharePoint Online".

2. Conecte-se ao SharePoint como Administrador do SharePoint ou superior no Microsoft 365. Para saber como, consulte Introdução ao Shell de Gerenciamento do SharePoint Online.

3. Execute o seguinte comando:

   Set-SPOTenant -MarkNewFilesSensitiveByDefault BlockExternalSharing 
   

   Para desabilitar este recurso, execute o seguinte comando:

   Set-SPOTenant -MarkNewFilesSensitiveByDefault AllowExternalSharing