Debe asegurarse de que los archivos compartidos desde OneDrive no infrinjan las políticas de clasificación de datos de su organización. Microsoft 365 permite a los administradores de TI aplicar etiquetas de confidencialidad y reglas de prevención de pérdida de datos a los documentos almacenados en OneDrive. Cuando los usuarios comparten archivos externamente o con la audiencia incorrecta, el contenido clasificado puede quedar expuesto. Este artículo explica cómo revisar la actividad de uso compartido de OneDrive frente a las etiquetas de clasificación de datos utilizando las herramientas de Microsoft Purview.
Puntos clave: Auditoría del uso compartido de OneDrive frente a etiquetas de confidencialidad
- Portal de cumplimiento de Microsoft Purview > Clasificación de datos > Explorador de contenido: Ver todos los archivos con etiquetas de confidencialidad y su estado de uso compartido en OneDrive.
- Microsoft Purview > Prevención de pérdida de datos > Alertas: Revisar las coincidencias de directivas DLP desencadenadas al compartir archivos clasificados desde OneDrive.
- Microsoft Purview > Auditoría > Búsqueda: Consultar el registro de auditoría unificado para eventos “FileShared” combinados con ID de etiquetas de confidencialidad.
Cómo funciona la clasificación de datos con el uso compartido de OneDrive
La clasificación de datos en Microsoft 365 utiliza etiquetas de confidencialidad aplicadas a archivos y correos electrónicos. Estas etiquetas definen el nivel de confidencialidad, como Interno, Confidencial o Altamente confidencial. Cuando un usuario comparte un archivo desde OneDrive, la etiqueta permanece con el archivo. Microsoft Purview puede supervisar los eventos de uso compartido y compararlos con la directiva de la etiqueta. Por ejemplo, una etiqueta puede bloquear por completo el uso compartido externo o requerir cifrado antes de compartir externamente. La comprobación que realice consta de dos partes: verificar qué archivos tienen qué etiquetas y luego examinar con quién se comparten esos archivos. Este proceso utiliza el Explorador de contenido, las alertas de prevención de pérdida de datos y el registro de auditoría unificado. Necesita al menos el rol de Administrador de protección de la información o permisos equivalentes para acceder a estas herramientas.
Pasos para comprobar el uso compartido de OneDrive frente a la clasificación de datos
Utilice los siguientes métodos para auditar la actividad de uso compartido de archivos con etiquetas de confidencialidad específicas. Cada método cubre un ángulo diferente: inspección directa de archivos, alertas de infracción de directivas y registros de auditoría detallados.
Método 1: Usar el Explorador de contenido para encontrar archivos clasificados compartidos
- Abrir el portal de cumplimiento de Microsoft Purview
Vaya a https://compliance.microsoft.com e inicie sesión con su cuenta de administrador. - Navegar a Clasificación de datos > Explorador de contenido
En el panel de navegación izquierdo, seleccione Clasificación de datos y luego Explorador de contenido. Esta herramienta muestra todos los archivos etiquetados en Exchange, SharePoint y OneDrive. - Filtrar por ubicación y etiqueta
Haga clic en Agregar filtro y elija Ubicación. Seleccione OneDrive. Luego agregue otro filtro para Etiqueta de confidencialidad y elija la etiqueta que desea auditar, por ejemplo Confidencial. - Revisar el estado de uso compartido
En la lista de resultados, cada archivo muestra una columna Compartido. Muestra Interno, Externo o No compartido. Haga clic en una fila de archivo para abrir el panel de detalles. El panel enumera los usuarios o grupos específicos con quienes se comparte el archivo. Verifique esta lista con los requisitos de la directiva de etiquetas. - Exportar el informe para revisión sin conexión
Haga clic en Exportar en la parte superior de la lista para descargar un archivo CSV. El CSV incluye la ruta del archivo, la etiqueta y el estado de uso compartido. Utilícelo para auditorías de cumplimiento periódicas.
Método 2: Revisar alertas DLP por infracciones de uso compartido
- Ir a Prevención de pérdida de datos > Alertas
En el portal de Microsoft Purview, expanda Prevención de pérdida de datos y seleccione Alertas. - Filtrar alertas por carga de trabajo
Haga clic en Filtrar y elija Carga de trabajo y luego OneDrive. Esto muestra todas las coincidencias de reglas DLP que ocurrieron en OneDrive. - Abrir una alerta relacionada con el uso compartido
Busque alertas con la actividad Archivo compartido con usuario externo o Archivo compartido con dominio. Haga clic en una alerta para ver el nombre del archivo, la etiqueta de confidencialidad detectada y el usuario que lo compartió. - Verificar la directiva que se activó
Los detalles de la alerta incluyen el nombre de la directiva DLP y la regla. Verifique que la regla coincida con su política de clasificación prevista. Por ejemplo, una regla puede decir “Bloquear el uso compartido de archivos Confidenciales con usuarios externos”.
Método 3: Buscar en el registro de auditoría unificado eventos de uso compartido con etiquetas
- Abrir Auditoría en Purview
En el portal de Microsoft Purview, vaya a Auditoría en Soluciones. - Buscar eventos FileShared
En Actividades, seleccione Actividades de archivos y páginas y luego marque Archivo compartido. Establezca un rango de fechas de al menos los últimos 30 días. - Agregar un filtro para la etiqueta de confidencialidad
Haga clic en Agregar filtro y elija Etiqueta de confidencialidad. Introduzca el ID o nombre de la etiqueta. Para encontrar los ID de etiqueta, vaya a Protección de la información > Etiquetas y copie el GUID de las propiedades de cada etiqueta. - Ejecutar la búsqueda y revisar los resultados
Haga clic en Buscar. Cada resultado muestra el usuario, el archivo, los usuarios o grupos de destino y la etiqueta de confidencialidad aplicada en el momento del uso compartido. Haga clic en un registro para ver el JSON completo de AuditData, que incluye el campo SensitivityLabelId. - Exportar el registro de auditoría
Haga clic en Exportar para descargar todos los resultados como CSV. Utilícelo para análisis avanzados en Excel o Power BI.
Problemas comunes y limitaciones al comprobar el uso compartido frente a la clasificación
El Explorador de contenido no muestra archivos para una etiqueta específica
Si el Explorador de contenido devuelve cero resultados para una etiqueta, es posible que la etiqueta no esté publicada para los usuarios. Verifique en Protección de la información > Etiquetas > Publicar etiquetas que la etiqueta esté asignada a los usuarios o grupos correctos. También confirme que los usuarios hayan aplicado la etiqueta a los archivos en OneDrive. Las etiquetas aplicadas solo en SharePoint no aparecerán en el filtro de ubicación de OneDrive.
No aparecen alertas DLP para eventos de uso compartido
Las reglas DLP solo se activan si la regla incluye OneDrive como ubicación. Abra la directiva DLP en Prevención de pérdida de datos > Directivas y compruebe que OneDrive esté seleccionado en Ubicaciones. También verifique que la condición de la regla mencione etiquetas de confidencialidad. Por ejemplo, la condición debería decir “El contenido contiene la etiqueta de confidencialidad Confidencial”. Si la regla utiliza solo condiciones basadas en plantillas, es posible que no coincida con archivos etiquetados.
El registro de auditoría no muestra el campo SensitivityLabelId
El registro de auditoría registra la etiqueta solo si la etiqueta se aplicó en el momento del evento de uso compartido. Si la etiqueta se agregó después de compartir el archivo, el registro de auditoría no contendrá un SensitivityLabelId. Para capturar eventos futuros, indique a los usuarios que apliquen etiquetas antes de compartir. También puede usar una directiva de aplicación automática de etiquetas de retención para etiquetar archivos de forma proactiva.
Explorador de contenido vs Alertas DLP vs Registro de auditoría: diferencias clave
| Elemento | Explorador de contenido | Alertas DLP | Búsqueda en el registro de auditoría |
|---|---|---|---|
| Propósito principal | Ver todos los archivos etiquetados y su estado de uso compartido actual | Detectar infracciones de directivas en tiempo real | Buscar eventos históricos de uso compartido con contexto de etiquetas |
| Actualización de datos | Casi en tiempo real, actualizado en unas pocas horas | En tiempo real cuando se activa la regla DLP | Hasta 24 horas de retraso para la ingesta de eventos de auditoría |
| Detalle de uso compartido | Muestra Interno / Externo / No compartido y usuarios específicos | Muestra el usuario externo o dominio en la alerta | Muestra los usuarios y grupos de destino en el JSON de AuditData |
| Visibilidad de etiquetas | Muestra el nombre y el ID de la etiqueta de confidencialidad | Muestra el nombre de la etiqueta en los detalles de la alerta | Muestra el GUID SensitivityLabelId en JSON |
| Formato de exportación | CSV | CSV o JSON para alertas individuales | CSV |
| Permiso requerido | Administrador de protección de la información o Visor | Administración de cumplimiento de DLP o Administrador de cumplimiento | Visor del registro de auditoría o Registro de auditoría de solo lectura |
Ahora puede usar el Explorador de contenido, las alertas DLP y el registro de auditoría para verificar que el uso compartido de OneDrive se alinee con sus etiquetas de clasificación de datos. Comience ejecutando un informe del Explorador de contenido para sus etiquetas de mayor confidencialidad. Luego configure una revisión periódica de alertas DLP para eventos de uso compartido externo. Para una investigación más profunda, consulte el registro de auditoría con el ID de etiqueta específico. Recuerde que las etiquetas deben aplicarse antes de los eventos de uso compartido para aparecer en los registros de auditoría. Utilice directivas de etiquetado automático para garantizar una cobertura de etiquetas coherente en OneDrive.