Iñigo GonzálezIT Operations · Infra

GuíasGuides · Nivel 4Level 4

Microsoft Purview: etiquetas de confidencialidad, retención, DLP y un documento cifrado que no abreMicrosoft Purview: sensitivity labels, retention, DLP and an encrypted document that won't open

Un esquema de etiquetas que la gente entiende y que cifra donde hace falta, la directiva que las publica con etiqueta por defecto, el etiquetado automático, retención por directiva y por etiqueta, una directiva DLP en simulación antes de bloquear, búsquedas de eDiscovery, los roles, y el ticket del documento de un socio que no se abre.A label scheme people understand that encrypts where it must, the policy that publishes it with a default label, auto-labelling, retention by policy and by label, a DLP policy in simulation before it blocks, eDiscovery searches, the roles, and the ticket for a partner's document that won't open.

Nivel 4Level 4 · Microsoft PurviewMicrosoft Purview · 7 min6 min read · ActualizadoUpdated 28 oct 202628 Oct 2026

Qué vas a conseguir

Documentos y correos clasificados con pocas etiquetas claras, cifrado que acompaña al archivo aunque salga de la organización, lo que hay que conservar conservado y lo que sobra borrado, una directiva DLP que bloquea lo que debe sin parar el negocio, y criterio para resolver los dos tickets que más llegan: "no puedo abrir este documento" y "DLP no me deja enviar".

Antes de empezar

  • Licencias: etiquetado manual y DLP de Exchange, SharePoint y OneDrive con Microsoft 365 E3; etiquetado automático por servicio, DLP de dispositivos y eDiscovery Premium con E5 o el complemento de cumplimiento correspondiente.
  • Todo se administra en el portal de Microsoft Purview. Roles mínimos: grupo Information Protection Admins para etiquetas, el rol DLP Compliance Management para DLP, Records Management para etiquetas de retención y eDiscovery Manager para búsquedas.
  • Un responsable de negocio o del DPO que firme el esquema de clasificación y los plazos de conservación. IT los configura; no los decide.

1. Etiquetas de confidencialidad

Cinco etiquetas bastan para casi cualquier organización: Público, General, Confidencial, Confidencial – Solo empleados y Altamente confidencial. Más de siete y la gente elige al azar.

Microsoft Purview · Information Protection · Etiqueta
Information ProtectionEtiquetas de confidencialidadConfidencial – Solo empleadosEditar
ÁmbitoArchivos y otros recursos de datos · Correos electrónicos
CifradoAsignar permisos ahora · Todos los usuarios y grupos de contoso.com → Coautor
Acceso sin conexiónpermitido durante 7 días · Caducidad del acceso: nunca
Marcadopie de página "Confidencial – Solo empleados"
Etiquetado automático en appsrecomendar si contiene IBAN o DNI/NIF (10 o más coincidencias)
Guardar
  • Asignar permisos ahora fija quién abre el documento, viaje a donde viaje: un adjunto reenviado fuera de contoso.com no se abre. Esa es la idea, y también la fuente de tickets.
  • El cifrado afecta a la búsqueda, la coautoría y algunas apps de terceros. Activa coautoría de archivos cifrados en la configuración de Information Protection y reserva el cifrado para las dos etiquetas superiores.
  • Las etiquetas también se aplican a grupos y sitios (privacidad de un equipo de Teams, invitados permitidos): úsalo en una fase posterior.

2. La directiva de publicación

Una etiqueta no existe para los usuarios hasta que una directiva de publicación la pone en Office, Outlook y el explorador.

Microsoft Purview · Information Protection · Directiva de publicación
Information ProtectionDirectivasDirectivas de publicación de etiquetasCrear
Etiquetaslas cinco del esquema
Usuarios y grupospiloto (gs-purview-piloto, 40 personas), después toda la organización
Etiqueta predeterminada para documentosGeneral · para correo: General
Requerir justificación para quitar o bajar una etiquetasí
Requerir que los usuarios apliquen una etiquetano en la primera fase
Enviar
  • La etiqueta por defecto sin cifrado (General) clasifica todo lo nuevo sin molestar a nadie. El etiquetado obligatorio llega cuando el piloto ya no genera dudas.
  • Los cambios de directiva tardan hasta 24 horas en llegar a las apps. No corrijas dos veces en una mañana.
  • El etiquetado automático por servicio (directivas de etiquetado automático) etiqueta lo que ya está en SharePoint, OneDrive y Exchange. Arranca siempre en simulación, revisa los archivos que coincidirían y solo después actívalo.

3. Retención: directivas y etiquetas

  • Una directiva de retención cubre ubicaciones enteras: por ejemplo, correo de Exchange y OneDrive conservados 6 años y eliminados después, si es el plazo que el negocio ha decidido.
  • Una etiqueta de retención se aplica a elementos concretos: Contrato – 10 años desde el fin, publicada a Jurídico o aplicada automáticamente a una biblioteca. Puede marcar el elemento como registro, que ya no se puede editar ni borrar.
  • Cuando coinciden varias, gana la retención: el periodo más largo de conservación prevalece sobre una eliminación y, para la eliminación, una etiqueta explícita prevalece sobre una directiva.
  • Lo que el usuario borra no desaparece: se queda en Elementos recuperables (Exchange) o en la biblioteca de conservación (SharePoint y OneDrive) hasta que acabe el plazo.

Retención no es copia de seguridad. Conserva frente al borrado del usuario; no te devuelve un sitio entero en una hora.

4. DLP: primero simular, después bloquear

Una directiva para datos bancarios y de identidad que salgan por correo o se compartan fuera:

  1. Prevención de pérdida de datos › Directivas › Crear directiva: plantilla personalizada, ubicaciones Exchange, SharePoint y OneDrive (Teams requiere E5).
  2. Regla: el contenido contiene IBAN o número de identidad nacional (DNI) de España, 10 o más coincidencias, compartido con personas de fuera de la organización.
  3. Acción: bloquear con invalidación, sugerencia de directiva al usuario y alerta al equipo de seguridad.
  4. Modo: ejecutar la directiva en modo de simulación y mostrar sugerencias durante la simulación, dos o tres semanas.
  5. Revisa la simulación y el Explorador de actividad: qué coincidió, quién, con qué destino. Ajusta umbrales y excepciones antes de activar.
PowerShell · Security & Compliance
Connect-IPPSSessionGet-DlpCompliancePolicy | Format-Table Name, ModeName                          Mode----                          ----DLP – Datos bancarios UE      TestWithNotificationsDLP – Datos de salud          EnableSet-DlpCompliancePolicy -Identity "DLP – Datos bancarios UE" -Mode Enable

El ticket que llega después: "DLP bloquea el correo de remesas a un proveedor". El seguimiento de mensajes del centro de administración de Exchange muestra la regla que actuó. Si el envío es legítimo y recurrente, la solución no es desactivar la directiva: una excepción por dominio del destinatario para los proveedores de pago aprobados, que mantiene Finanzas, o la invalidación con justificación, que deja rastro auditable.

5. Búsquedas y eDiscovery

  • Desde 2025, la búsqueda de contenido forma parte de eDiscovery en el portal de Purview: un caso de sistema que contiene todas las búsquedas. Para una investigación concreta, crea un caso propio con sus miembros.
  • Busca en buzones, sitios y Teams con condiciones o KQL (from:laura.prado AND sent>=2026-09-01), revisa estadísticas y exporta. Las retenciones (holds) se ponen dentro de un caso.
  • Todo lo que hace un eDiscovery Manager queda en el registro de auditoría. Las solicitudes de acceso de una persona a sus datos (RGPD) se resuelven con esta misma búsqueda.

6. El ticket: "no puedo abrir un documento cifrado de un socio"

Javier Ruiz recibe de Fabrikam un Excel con su etiqueta Altamente confidencial. Al abrirlo: Acceso bloqueado por su organización.

  1. Lee el mensaje con atención. Bloqueado por su organización señala a tu tenant; bloqueado por la organización fabrikam.com señala al suyo, y el arreglo es allí.
  2. Configuración de acceso entre inquilinos (Entra ID › Identidades externas): si la configuración saliente bloquea aplicaciones externas, hay que permitir Microsoft Rights Management Services (00000012-0000-0000-c000-000000000000), en la configuración por defecto o solo para Fabrikam. Era esto: alguien había restringido la colaboración saliente a una lista de aplicaciones.
  3. Si el mensaje dice que la cuenta no existe en su directorio, el problema es suyo: su Conditional Access exige MFA para Rights Management y no confía en la MFA de contoso. Se arregla con la confianza de MFA en su configuración entrante o una cuenta de invitado.
  4. Si no hay mensaje de bloqueo sino "no tienes permisos", la etiqueta de Fabrikam solo concede acceso a usuarios concretos. Lo cambia el propietario del documento, no IT.

Documenta el arreglo de acceso entre inquilinos en el registro de cambios: la próxima restricción saliente volverá a romperlo.

Siguientes pasos

  • La guía de ISO 27001, NIS2 y RGPD en IT: dónde encajan etiquetas, retención y DLP como controles y evidencias.
  • La guía de Entra ID: Conditional Access para las directivas que afectan a Rights Management y a invitados.
  • La guía de Intune para extender DLP a los dispositivos y controlar copiar a USB.
  • La guía de Migraciones de tenant M365: el contenido cifrado con etiquetas del origen es de lo más delicado de mover.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.

What you'll get

Documents and email classified with a few clear labels, encryption that travels with the file even when it leaves the organisation, what must be kept kept and what is surplus deleted, a DLP policy that blocks what it should without stopping the business, and the judgement to resolve the two tickets that arrive most: "I can't open this document" and "DLP won't let me send".

Before you start

  • Licences: manual labelling and DLP for Exchange, SharePoint and OneDrive with Microsoft 365 E3; service-side auto-labelling, endpoint DLP and eDiscovery Premium with E5 or the matching compliance add-on.
  • Everything is administered in the Microsoft Purview portal. Minimum roles: the Information Protection Admins group for labels, the DLP Compliance Management role for DLP, Records Management for retention labels and eDiscovery Manager for searches.
  • A business owner or the DPO to sign off the classification scheme and the retention periods. IT configures them; it doesn't decide them.

1. Sensitivity labels

Five labels are enough for almost any organisation: Public, General, Confidential, Confidential – Employees only and Highly confidential. More than seven and people pick at random.

Microsoft Purview · Information Protection · Label
Information ProtectionSensitivity labelsConfidential – Employees onlyEdit
ScopeFiles & other data assets · Emails
EncryptionAssign permissions now · All users and groups in contoso.com → Co-Author
Offline accessallowed for 7 days · Access expiry: never
Markingfooter "Confidential – Employees only"
Auto-labelling in appsrecommend if it contains IBAN or Spanish DNI/NIF (10 or more matches)
Save
  • Assign permissions now fixes who opens the document wherever it travels: an attachment forwarded outside contoso.com won't open. That is the point, and also the source of tickets.
  • Encryption affects search, co-authoring and some third-party apps. Turn on co-authoring for encrypted files in the Information Protection settings and keep encryption for the top two labels.
  • Labels also apply to groups and sites (privacy of a Teams team, guests allowed): leave that for a later phase.

2. The publishing policy

A label doesn't exist for users until a publishing policy puts it into Office, Outlook and the browser.

Microsoft Purview · Information Protection · Publishing policy
Information ProtectionPoliciesLabel publishing policiesCreate
Labelsthe five in the scheme
Users and groupspilot (gs-purview-pilot, 40 people), then the whole organisation
Default label for documentsGeneral · for email: General
Require justification to remove or downgrade a labelyes
Require users to apply a labelno in the first phase
Submit
  • An unencrypted default label (General) classifies everything new without bothering anyone. Mandatory labelling comes when the pilot no longer raises questions.
  • Policy changes take up to 24 hours to reach the apps. Don't fix things twice in one morning.
  • Service-side auto-labelling (auto-labelling policies) labels what is already in SharePoint, OneDrive and Exchange. Always start in simulation, review the files that would match, and only then turn it on.

3. Retention: policies and labels

  • A retention policy covers whole locations: for example, Exchange mail and OneDrive kept for 6 years and deleted afterwards, if that is the period the business has decided.
  • A retention label applies to specific items: Contract – 10 years from end, published to Legal or applied automatically to a library. It can mark the item as a record, which can then no longer be edited or deleted.
  • When several apply, retention wins: the longest retention period prevails over a deletion and, for deletion, an explicit label prevails over a policy.
  • What the user deletes doesn't disappear: it stays in Recoverable Items (Exchange) or the Preservation Hold library (SharePoint and OneDrive) until the period ends.

Retention is not backup. It preserves against user deletion; it won't give you a whole site back in an hour.

4. DLP: simulate first, block later

A policy for banking and identity data leaving by email or shared externally:

  1. Data loss prevention › Policies › Create policy: custom template, Exchange, SharePoint and OneDrive locations (Teams needs E5).
  2. Rule: content contains IBAN or Spain national identity number (DNI), 10 or more instances, shared with people outside the organisation.
  3. Action: block with override, a policy tip to the user and an alert to the security team.
  4. Mode: run the policy in simulation mode and show policy tips while in simulation, for two or three weeks.
  5. Review the simulation and Activity explorer: what matched, who, to which destination. Adjust thresholds and exceptions before turning it on.
PowerShell · Security & Compliance
Connect-IPPSSessionGet-DlpCompliancePolicy | Format-Table Name, ModeName                          Mode----                          ----DLP – EU banking data         TestWithNotificationsDLP – Health data             EnableSet-DlpCompliancePolicy -Identity "DLP – EU banking data" -Mode Enable

The ticket that comes afterwards: "DLP is blocking the payment remittance email to a supplier". Message trace in the Exchange admin centre shows which rule acted. If the sending is legitimate and recurring, the fix is not to disable the policy: an exception by recipient domain for approved payment suppliers, maintained by Finance, or override with justification, which leaves an auditable trail.

5. Searches and eDiscovery

  • Since 2025, Content search is part of eDiscovery in the Purview portal: a system case that holds all searches. For a specific investigation, create a case of its own with its members.
  • Search mailboxes, sites and Teams with conditions or KQL (from:laura.prado AND sent>=2026-09-01), review statistics and export. Holds are placed inside a case.
  • Everything an eDiscovery Manager does lands in the audit log. A person's request for access to their data (GDPR) is resolved with this same search.

6. The ticket: "I can't open an encrypted document from a partner"

Javier Ruiz receives an Excel file from Fabrikam with their Highly confidential label. On opening it: Access is blocked by your organization.

  1. Read the message carefully. Blocked by your organization points at your tenant; blocked by the organization fabrikam.com points at theirs, and the fix is there.
  2. Cross-tenant access settings (Entra ID › External Identities): if the outbound settings block external applications, you must allow Microsoft Rights Management Services (00000012-0000-0000-c000-000000000000), in the default settings or for Fabrikam only. That was it: someone had restricted outbound collaboration to a list of applications.
  3. If the message says the account doesn't exist in their directory, the problem is theirs: their Conditional Access requires MFA for Rights Management and doesn't trust contoso's MFA. It is fixed with MFA trust in their inbound settings or a guest account.
  4. If there is no block message but "you don't have permission", Fabrikam's label only grants access to specific users. The document owner changes that, not IT.

Record the cross-tenant access fix in the change log: the next outbound restriction will break it again.

Next steps

  • The ISO 27001, NIS2 and GDPR in IT guide: where labels, retention and DLP fit as controls and evidence.
  • The Entra ID: Conditional Access guide for the policies that affect Rights Management and guests.
  • The Intune guide to extend DLP to devices and control copying to USB.
  • The M365 tenant migrations guide: content encrypted with the source tenant's labels is among the most delicate things to move.

Is something missing, or different in your environment? Get in touch and I'll fix it.

Tech Career Lab · newsletter

¿Te ha servido? Cada dos semanas envío una idea práctica para perfiles IT: LinkedIn, proyectos, networking y procesos de selección.Found this useful? Every two weeks I send one practical idea for IT professionals: LinkedIn, projects, networking and hiring processes.

Apúntate y llévate las 33 ideasSign up and get the 33 ideas →