Microsoft MD-102: Protezione dei dati e governance delle informazioni — Guida allo studio

By Laurynas Brazys · 5 August 2026 · #microsoft #md-102 #certification #exam-prep #study-guide

Fa parte della Microsoft Endpoint Administrator Associate MD-102 — Guida allo studio. Esercitati con risposte verificate nel centro esami Microsoft, oppure fai test cronometrati su ExamRoll.io.

Panoramica

La protezione dei dati e la governance delle informazioni in Microsoft 365 e Intune si basano su etichettatura unificata, DLP sensibile agli endpoint, protezioni a livello di app e controlli di sessione in tempo reale che si estendono alle app cloud. In questo ambito si utilizzano Microsoft Purview Information Protection per l’etichettatura e la crittografia, Purview Data Loss Prevention (DLP) per le attività degli endpoint, Intune Mobile Application Management (MAM) per le misure di sicurezza incentrate sulle app, Microsoft Defender for Cloud Apps per i controlli durante la sessione, e Purview Insider Risk Management ed eDiscovery per le indagini e la risposta. L’obiettivo è garantire che i dati sensibili siano classificati e protetti ovunque si trovino — sui dispositivi, all’interno delle app gestite e attraverso i servizi SaaS autorizzati — fornendo al contempo controlli verificabili per soddisfare i requisiti normativi e aziendali.

Microsoft Purview Information Protection e DLP degli endpoint

Le etichette di riservatezza classificano e proteggono i contenuti a livello di file, e-mail e contenitore. Le etichette possono applicare la crittografia (con diritti di utilizzo e durata dell’accesso offline), contrassegni del contenuto (intestazioni, piè di pagina, filigrane) e definire l’ambito di applicazione a percorsi come file, e-mail, SharePoint e Teams. Le etichette vengono pubblicate per utenti e gruppi tramite i criteri di etichettatura. I criteri definiscono quali etichette sono visibili, il comportamento predefinito delle etichette, se l’etichettatura è obbligatoria, la giustificazione per il downgrade/rimozione di un’etichetta e se agli utenti vengono suggerite etichette raccomandate. La priorità (ordine) delle etichette determina quale etichetta prevale in caso di conflitti.

L’etichettatura automatica e raccomandata estende la stessa tassonomia di etichette ai dispositivi. Le moderne app di Office con etichettatura di riservatezza integrata su Windows, macOS, iOS e Android possono valutare il contenuto mentre l’utente lo crea o lo modifica. L’etichettatura raccomandata presenta un prompt e un flusso di giustificazione; l’etichettatura automatica applica silenziosamente l’etichetta quando vengono raggiunte le soglie di confidenza. Le condizioni includono tipi di informazioni sensibili (ad es. PCI, PII), corrispondenza esatta dei dati (EDM), dizionari di parole chiave, prossimità e classificatori sottoponibili a training per il rilevamento sensibile al contesto. Per i file “at rest” sugli endpoint Windows, l’etichettatura automatica può anche essere alimentata dalla DLP degli endpoint, consentendo l’applicazione delle policy anche al di fuori delle app di Office quando i file corrispondono alle condizioni DLP.

Purview Data Loss Prevention unifica i criteri tra Exchange, SharePoint/OneDrive, Teams e gli endpoint. La DLP degli endpoint richiede dispositivi sottoposti a onboarding (Microsoft Defender for Endpoint) e abilita il controllo sui file sensibili su Windows 10/11 e macOS. La DLP degli endpoint valuta la sensibilità dei file in base alle etichette e all’ispezione del contenuto e applica le azioni delle regole: audit, blocco, o blocco con possibilità di override da parte dell’utente e giustificazione aziendale. I suggerimenti per i criteri (Policy tips) guidano il comportamento dell’utente nel punto di rischio.

La DLP degli endpoint monitora le attività sui file sensibili e può limitarle:

Copia su supporti di archiviazione rimovibili (USB), Bluetooth e unità virtuali
Copia su condivisioni di rete e condivisioni remote
Caricamento tramite browser supportati verso domini classificati come domini di servizio (ad es. archiviazione cloud personale) o destinazioni definite esplicitamente
Stampa su stampanti locali, di rete e virtuali (inclusa la Stampa su PDF)
Copia/incolla verso applicazioni o processi non gestiti
Creazione di archivi (ad es. ZIP) che includono file sensibili
Accesso in sessioni remote (RDP), inclusi scenari di reindirizzamento
Tentativi di cattura dello schermo e accesso ad app non approvate se combinato con le impostazioni di controllo del dispositivo

Activity Explorer e gli avvisi DLP nel portale di conformità di Microsoft Purview forniscono visibilità quasi in tempo reale degli eventi degli endpoint e delle tracce di giustificazione degli utenti. L’onboarding dei dispositivi e la distribuzione dei criteri sono tipicamente automatizzati tramite Intune per l’onboarding in MDE e la distribuzione dei criteri, mantenendo la copertura dei dispositivi allineata con la registrazione (enrollment).

Protezione delle app di Intune (MAM): Trasferimento dati, crittografia, appunti e condizioni della piattaforma

Le policy di protezione delle app (MAM) separano i dati di lavoro da quelli personali all’interno delle app, senza richiedere la registrazione del dispositivo. Le policy si applicano alle identità degli utenti e alle app supportate (ad es., app di Microsoft 365, Microsoft Edge e app di partner integrate con l’Intune SDK o l’App Wrapping Tool). È possibile controllare il flusso e l’archiviazione dei dati aziendali a livello di applicazione con precisione.

I controlli sul trasferimento dei dati limitano dove i dati aziendali possono essere spostati. Le opzioni “Send org data to other apps” e “Receive data from other apps” determinano se la condivisione è consentita solo alle app gestite dalla policy, a qualsiasi app o se è bloccata. I controlli degli appunti applicano la restrizione “Restrict cut, copy, paste with other apps” con modalità come bloccato, solo app gestite dalla policy o sempre consentito. È possibile richiedere che i link web aziendali si aprano in Microsoft Edge con la protezione delle app, in modo che i download basati su browser ereditino la policy.

Le restrizioni sul salvataggio con nome assicurano che i dati aziendali finiscano solo in posizioni di archiviazione approvate. È possibile consentire il salvataggio di copie dei dati organizzativi su OneDrive for Business e SharePoint, bloccando al contempo l’archiviazione locale sul dispositivo o su cloud di terze parti. L’integrazione con Edge aggiunge ulteriori controlli per i download di file e per il contesto dell’account SharePoint/OneDrive per prevenire la fuga di dati verso posizioni personali.

La crittografia a livello di app protegge i dati at-rest all’interno del container dell’applicazione. La MAM utilizza la crittografia nativa della piattaforma (ad es., le classi di Data Protection di iOS, il keystore di Android) per crittografare i dati di lavoro quando l’app è at-rest. I requisiti di accesso impongono un PIN o un dato biometrico per l’avvio o la ripresa dell’app, con complessità, timeout e frequenza di riverifica configurabili. È possibile bloccare l’accesso all’app o cancellare selettivamente i dati aziendali quando le condizioni non sono soddisfatte o viene rilevato un rischio. Su Android, è possibile bloccare la cattura dello schermo e l’Assistente; su iOS, il sistema operativo non consente a terze parti di bloccare gli screenshot, ma è possibile impedire i backup su iCloud/iTunes e limitare l’interazione con i documenti a destinazioni gestite.

L’avvio condizionale applica la postura della piattaforma in fase di esecuzione (runtime). È possibile richiedere una versione minima del sistema operativo e dell’app, bloccare i dispositivi jailbroken/rooted e richiedere che il livello di minaccia del dispositivo sia al di sotto di una soglia quando integrato con Microsoft Defender for Endpoint Mobile. Le violazioni possono attivare avvisi per l’utente, richiedere il reset del PIN, bloccare l’accesso o avviare una cancellazione selettiva dei dati organizzativi dall’app, preservando i dati personali.

Queste protezioni MAM completano, piuttosto che sostituire, i controlli basati sul dispositivo. Per i dispositivi aziendali, combinare la MAM con la DLP degli endpoint, la conformità dei dispositivi e l’Accesso Condizionale per garantire che solo i dispositivi integri (healthy) e i contesti di app conformi possano accedere alle risorse aziendali.

Controlli di sessione in tempo reale con Microsoft Defender for Cloud Apps

Microsoft Defender for Cloud Apps (MDCA) applica controlli in tempo reale nelle sessioni SaaS. L’App Control dell’Accesso Condizionale instrada le sessioni web degli utenti attraverso il reverse proxy di MDCA quando una policy di Accesso Condizionale è impostata su “Use Conditional Access App Control” per app e utenti specifici. È possibile scegliere “Monitor only”, “Monitor and block (Control)” o “Block”.

Le policy di sessione in MDCA abilitano azioni granulari:

Bloccare o applicare una filigrana (watermark) ai download quando i file sono etichettati come sensibili, o applicare un’etichetta di riservatezza ai file durante il download
Limitare il taglia/copia/stampa nel browser per le sessioni ad alto rischio
Limitare l’accesso a esperienze solo web e bloccare il caricamento o la sincronizzazione di file
Richiedere una nuova autenticazione o un’autenticazione step-up in base al rischio o all’attività della sessione
Governare le SaaS non approvate (unsanctioned) bloccando i tentativi di download o di esfiltrazione, pur consentendo la produttività

MDCA si integra con Purview Information Protection, abilitando decisioni di policy basate su etichette di riservatezza e rilevamenti DLP. I log delle attività delle sessioni alimentano un sistema di auditing centralizzato e possono attivare avvisi per comportamenti anomali che potrebbero indicare esfiltrazione o uso improprio.

Gestione dei rischi interni, eDiscovery e dati dei dispositivi in Purview

La Gestione dei rischi interni (Insider Risk Management) in Microsoft Purview correla i segnali tra endpoint e servizi cloud per rilevare sequenze rischiose come download di massa, trasferimenti insoliti su cloud personali, picchi di stampa, copia su USB, inoltro a e-mail personali o tentativi di anonimizzazione. Gli indicatori includono:

Eventi DLP degli endpoint (ad es. azioni bloccate/sottoposte a override)
Attività di Microsoft 365 (accesso e condivisione di file in SharePoint/OneDrive/Teams)
Anomalie di sessione di Defender for Cloud Apps
Eventi delle risorse umane (ad es. cessazione del rapporto di lavoro dell’utente) tramite connettori
Violazioni dei criteri di sicurezza e contesto degli avvisi da Microsoft Defender

I modelli di criteri accelerano l’implementazione per scenari comuni: Furto di dati da parte di utenti in uscita, Perdite di dati (generali), Violazioni dei criteri di sicurezza, Diffusione involontaria di dati (Data spillage) e Rischi legati a utenti prioritari. I criteri definiscono gli ambiti (utenti/gruppi), gli indicatori di attivazione, le soglie di punteggio di rischio e i flussi di lavoro di escalation. La privacy è preservata tramite pseudonimizzazione fino a quando un caso non viene sottoposto a escalation da ruoli autorizzati, con piena verificabilità delle azioni dei revisori.

Per le indagini e le risposte legali, Microsoft Purview eDiscovery (Standard e Premium) centralizza l’individuazione dei dati, il blocco a fini legali (legal hold) e la raccolta. Sebbene il blocco a fini legali si applichi principalmente a Exchange, SharePoint/OneDrive e Teams, le prove lato dispositivo sono disponibili attraverso più canali:

Endpoint DLP fornisce l’attività del dispositivo, dell’utente e del file in Activity Explorer e nei dettagli degli avvisi DLP, stabilendo una cronologia delle interazioni dell’endpoint con i dati sensibili.
L’integrazione con Microsoft Defender for Endpoint abilita le raccolte di dati dai dispositivi di eDiscovery (Premium) per i custodi, mirando agli endpoint Windows 10/11 per raccogliere file specifici da posizioni note con una catena di custodia legalmente difendibile.
I log di Microsoft 365 Audit catturano le azioni di utenti e amministratori su tutti i servizi; i log di sessione di MDCA aggiungono il contesto dell’attività web durante la sessione. Queste funzionalità consentono di ricostruire le prove a livello di dispositivo, cloud e sessione, applicare blocchi ai dati dei custodi dove supportato ed eseguire raccolte mirate e attente alla privacy che riducono al minimo l’interruzione delle attività aziendali.

Scenario di un problema pratico

Contoso Ltd. deve impedire che i dati finanziari escano dai confini aziendali sia sui laptop Windows gestiti che sui dispositivi mobili personali, consentendo al contempo agli analisti di lavorare in app SaaS autorizzate. L’organizzazione deve indagare rapidamente su sospette esfiltrazioni e conservare le prove.

Definire le etichette di riservatezza in Microsoft Purview per Pubblico, Riservato e Riservato-Finanziario con crittografia per l’etichetta Finanziario, con ambito limitato a documenti ed e-mail. Pubblicare le etichette per i gruppi Finanza e Conformità con un criterio che renda l’etichettatura obbligatoria e imposti Riservato-Finanziario come predefinita per gli utenti del reparto finanziario. Ciò garantisce una classificazione e una protezione coerenti all’origine utilizzando l’etichettatura nativa in Office su tutti i dispositivi.
Abilitare l’etichettatura automatica e consigliata per le app di Office con condizioni che corrispondono a PII finanziarie (ad es. numeri di routing ABA, numeri di conto tramite EDM). Configurare i prompt di etichettatura consigliata per i rilevamenti ambigui e l’etichettatura automatica per le corrispondenze ad alta confidenza. Ciò cattura i contenuti sensibili creati sui dispositivi, riducendo l’errore umano senza bloccare la produttività.
Eseguire l’onboarding dei dispositivi Windows 11 in Microsoft Defender for Endpoint tramite Intune e abilitare Endpoint DLP con regole per i tipi di informazioni sensibili Riservato-Finanziario e finanziarie. Impostare le azioni su Blocca con override per la stampa, la copia su USB e il caricamento su domini cloud personali; Controlla (Audit) per la ridenominazione dei file e la creazione di archivi. Ciò applica le protezioni anche al di fuori di Office e registra le giustificazioni degli utenti per la revisione della conformità.
Creare criteri di protezione delle app (MAM) di Intune per iOS e Android che richiedano la crittografia a livello di app, un PIN/biometrico e versioni minime del sistema operativo. Limitare il taglia/copia/incolla alle app gestite dai criteri, forzare l’apertura dei link aziendali in Microsoft Edge e limitare il Salva con nome a OneDrive for Business e SharePoint. Bloccare la cattura dello schermo su Android e i backup su cloud personali su iOS. Ciò isola e protegge i dati aziendali sui dispositivi personali senza registrazione (enrollment).
Configurare l’Accesso Condizionale per richiedere dispositivi conformi per l’accesso desktop e usare il Controllo app per l’accesso condizionale (Use Conditional Access App Control) per l’accesso web a SaaS autorizzati (ad es. Box for Partners). In Microsoft Defender for Cloud Apps, creare criteri di sessione per applicare una filigrana (watermark) e bloccare i download di contenuti etichettati, e per applicare un’etichetta Finanziario al momento del download, ove appropriato. Ciò fornisce un controllo in tempo reale e indipendente dall’app sull’uscita dei dati nei browser.
Implementare la Gestione dei rischi interni (Insider Risk Management) utilizzando il modello per il furto di dati da parte di utenti in uscita, collegato agli eventi di cessazione del rapporto di lavoro delle risorse umane. Includere indicatori da Endpoint DLP, sessioni MDCA e download di SharePoint, con punteggi di rischio e flussi di lavoro di escalation al team di Conformità. Ciò rileva probabili sequenze di esfiltrazione durante i periodi ad alto rischio con controlli sulla privacy.
Prepararsi per le indagini in Microsoft Purview eDiscovery (Premium) abilitando le raccolte di dati dai dispositivi tramite Defender for Endpoint. Quando si attiva un avviso, aggiungere il custode, porre in blocco a fini legali le caselle di posta e i siti pertinenti ed eseguire una raccolta mirata di dati dal dispositivo per percorsi di file e valori di hash specificati. Correlare i dati con Activity Explorer di Endpoint DLP e i log di sessione di MDCA. Ciò consente una raccolta di prove mirata e legalmente difendibile tra cloud ed endpoint, con un’interruzione minima e una piena verificabilità.

Contoso ha scelto Purview Information Protection e i criteri di etichettatura per una classificazione e crittografia coerenti alla creazione, Endpoint DLP per l’applicazione a livello di dispositivo indipendentemente dall’app, Intune MAM per proteggere i dati aziendali sui dispositivi personali, Defender for Cloud Apps per controllare i dati in tempo reale all’interno delle sessioni SaaS, Insider Risk Management per far emergere comportamenti rischiosi con il relativo contesto, e Purview eDiscovery per indagare e raccogliere prove tra cloud ed endpoint.

← Gestione remota e monitoraggio · Tutti i domini · Amministrazione e governance di Intune →

Esercitati su queste domande → · Pratica cronometrata su ExamRoll.io →