Microsoft Purview: etiquetas de confidencialidad, retención, DLP y un documento cifrado que no abre

Qué vas a conseguir

Documentos y correos clasificados con pocas etiquetas claras, cifrado que acompaña al archivo aunque salga de la organización, lo que hay que conservar conservado y lo que sobra borrado, una directiva DLP que bloquea lo que debe sin parar el negocio, y criterio para resolver los dos tickets que más llegan: "no puedo abrir este documento" y "DLP no me deja enviar".

Antes de empezar

• Licencias: etiquetado manual y DLP de Exchange, SharePoint y OneDrive con Microsoft 365 E3; etiquetado automático por servicio, DLP de dispositivos y eDiscovery Premium con E5 o el complemento de cumplimiento correspondiente.
• Todo se administra en el portal de Microsoft Purview. Roles mínimos: grupo Information Protection Admins para etiquetas, el rol DLP Compliance Management para DLP, Records Management para etiquetas de retención y eDiscovery Manager para búsquedas.
• Un responsable de negocio o del DPO que firme el esquema de clasificación y los plazos de conservación. IT los configura; no los decide.

1. Etiquetas de confidencialidad

Cinco etiquetas bastan para casi cualquier organización: Público, General, Confidencial, Confidencial – Solo empleados y Altamente confidencial. Más de siete y la gente elige al azar.

• Asignar permisos ahora fija quién abre el documento, viaje a donde viaje: un adjunto reenviado fuera de contoso.com no se abre. Esa es la idea, y también la fuente de tickets.
• El cifrado afecta a la búsqueda, la coautoría y algunas apps de terceros. Activa coautoría de archivos cifrados en la configuración de Information Protection y reserva el cifrado para las dos etiquetas superiores.
• Las etiquetas también se aplican a grupos y sitios (privacidad de un equipo de Teams, invitados permitidos): úsalo en una fase posterior.

2. La directiva de publicación

Una etiqueta no existe para los usuarios hasta que una directiva de publicación la pone en Office, Outlook y el explorador.

• La etiqueta por defecto sin cifrado (General) clasifica todo lo nuevo sin molestar a nadie. El etiquetado obligatorio llega cuando el piloto ya no genera dudas.
• Los cambios de directiva tardan hasta 24 horas en llegar a las apps. No corrijas dos veces en una mañana.
• El etiquetado automático por servicio (directivas de etiquetado automático) etiqueta lo que ya está en SharePoint, OneDrive y Exchange. Arranca siempre en simulación, revisa los archivos que coincidirían y solo después actívalo.

3. Retención: directivas y etiquetas

• Una directiva de retención cubre ubicaciones enteras: por ejemplo, correo de Exchange y OneDrive conservados 6 años y eliminados después, si es el plazo que el negocio ha decidido.
• Una etiqueta de retención se aplica a elementos concretos: Contrato – 10 años desde el fin, publicada a Jurídico o aplicada automáticamente a una biblioteca. Puede marcar el elemento como registro, que ya no se puede editar ni borrar.
• Cuando coinciden varias, gana la retención: el periodo más largo de conservación prevalece sobre una eliminación y, para la eliminación, una etiqueta explícita prevalece sobre una directiva.
• Lo que el usuario borra no desaparece: se queda en Elementos recuperables (Exchange) o en la biblioteca de conservación (SharePoint y OneDrive) hasta que acabe el plazo.

Retención no es copia de seguridad. Conserva frente al borrado del usuario; no te devuelve un sitio entero en una hora.

4. DLP: primero simular, después bloquear

Una directiva para datos bancarios y de identidad que salgan por correo o se compartan fuera:

1. Prevención de pérdida de datos › Directivas › Crear directiva: plantilla personalizada, ubicaciones Exchange, SharePoint y OneDrive (Teams requiere E5).
2. Regla: el contenido contiene IBAN o número de identidad nacional (DNI) de España, 10 o más coincidencias, compartido con personas de fuera de la organización.
3. Acción: bloquear con invalidación, sugerencia de directiva al usuario y alerta al equipo de seguridad.
4. Modo: ejecutar la directiva en modo de simulación y mostrar sugerencias durante la simulación, dos o tres semanas.
5. Revisa la simulación y el Explorador de actividad: qué coincidió, quién, con qué destino. Ajusta umbrales y excepciones antes de activar.

›Connect-IPPSSession›Get-DlpCompliancePolicy | Format-Table Name, ModeName                          Mode----                          ----DLP – Datos bancarios UE      TestWithNotificationsDLP – Datos de salud          Enable›Set-DlpCompliancePolicy -Identity "DLP – Datos bancarios UE" -Mode Enable

El ticket que llega después: "DLP bloquea el correo de remesas a un proveedor". El seguimiento de mensajes del centro de administración de Exchange muestra la regla que actuó. Si el envío es legítimo y recurrente, la solución no es desactivar la directiva: una excepción por dominio del destinatario para los proveedores de pago aprobados, que mantiene Finanzas, o la invalidación con justificación, que deja rastro auditable.

5. Búsquedas y eDiscovery

• Desde 2025, la búsqueda de contenido forma parte de eDiscovery en el portal de Purview: un caso de sistema que contiene todas las búsquedas. Para una investigación concreta, crea un caso propio con sus miembros.
• Busca en buzones, sitios y Teams con condiciones o KQL (from:laura.prado AND sent>=2026-09-01), revisa estadísticas y exporta. Las retenciones (holds) se ponen dentro de un caso.
• Todo lo que hace un eDiscovery Manager queda en el registro de auditoría. Las solicitudes de acceso de una persona a sus datos (RGPD) se resuelven con esta misma búsqueda.

6. El ticket: "no puedo abrir un documento cifrado de un socio"

Javier Ruiz recibe de Fabrikam un Excel con su etiqueta Altamente confidencial. Al abrirlo: Acceso bloqueado por su organización.

1. Lee el mensaje con atención. Bloqueado por su organización señala a tu tenant; bloqueado por la organización fabrikam.com señala al suyo, y el arreglo es allí.
2. Configuración de acceso entre inquilinos (Entra ID › Identidades externas): si la configuración saliente bloquea aplicaciones externas, hay que permitir Microsoft Rights Management Services (00000012-0000-0000-c000-000000000000), en la configuración por defecto o solo para Fabrikam. Era esto: alguien había restringido la colaboración saliente a una lista de aplicaciones.
3. Si el mensaje dice que la cuenta no existe en su directorio, el problema es suyo: su Conditional Access exige MFA para Rights Management y no confía en la MFA de contoso. Se arregla con la confianza de MFA en su configuración entrante o una cuenta de invitado.
4. Si no hay mensaje de bloqueo sino "no tienes permisos", la etiqueta de Fabrikam solo concede acceso a usuarios concretos. Lo cambia el propietario del documento, no IT.

Documenta el arreglo de acceso entre inquilinos en el registro de cambios: la próxima restricción saliente volverá a romperlo.

Siguientes pasos

• La guía de ISO 27001, NIS2 y RGPD en IT: dónde encajan etiquetas, retención y DLP como controles y evidencias.
• La guía de Entra ID: Conditional Access para las directivas que afectan a Rights Management y a invitados.
• La guía de Intune para extender DLP a los dispositivos y controlar copiar a USB.
• La guía de Migraciones de tenant M365: el contenido cifrado con etiquetas del origen es de lo más delicado de mover.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.