Cuando una política de prevención de pérdida de datos de Microsoft Teams no bloquea un mensaje en una conversación que incluye un invitado, la política suele estar configurada para excluir a usuarios externos o invitados. Este artículo explica por qué las políticas de DLP pueden omitir conversaciones con invitados y proporciona correcciones paso a paso para garantizar que sus datos confidenciales estén protegidos.
Aprenderá a verificar el ámbito de su política de DLP, ajustar la política para incluir invitados y verificar que la política se aplique a los mensajes de chat y canal de Teams. La corrección implica editar la política en el portal de cumplimiento de Microsoft Purview y confirmar la configuración correcta de usuarios y ubicaciones.
Al final, podrá configurar políticas de DLP que bloqueen de manera consistente contenido confidencial en conversaciones con invitados, reduciendo el riesgo de fuga de datos.
Conclusiones clave: Cómo corregir las brechas de la política de DLP para conversaciones con invitados
- Portal de cumplimiento de Microsoft Purview > Prevención de pérdida de datos > Políticas: Edite la política para incluir invitados y usuarios externos en el ámbito.
- Ubicaciones > Mensajes de chat y canal de Teams: Asegúrese de que esta ubicación esté seleccionada para que la DLP se aplique a las conversaciones con invitados.
- Ámbito de usuario > Incluir usuarios o grupos específicos: Agregue cuentas de invitado o el grupo de usuarios invitados para garantizar la cobertura.
Por qué las políticas de DLP no bloquean mensajes en conversaciones con invitados
Las políticas de prevención de pérdida de datos en Microsoft 365 están diseñadas para detectar y bloquear información confidencial como números de tarjetas de crédito, números de seguro social o etiquetas confidenciales en los mensajes. Sin embargo, de forma predeterminada, muchas políticas de DLP están configuradas para excluir a usuarios externos o invitados. Esta exclusión se debe a la configuración de la política, no a una limitación técnica de Teams.
Cuando crea una política de DLP en el portal de cumplimiento de Microsoft Purview, elige el ámbito en la sección Ámbito de usuario. Las opciones disponibles son Todos los usuarios, Usuarios o grupos específicos y Todos los usuarios y grupos específicos. Si selecciona Todos los usuarios, la política se aplica a todos en su organización, pero no incluye automáticamente a los usuarios invitados que están fuera de su inquilino de Azure AD. Los invitados se tratan como usuarios externos, por lo que quedan fuera del ámbito predeterminado.
Otra razón es la configuración de Ubicaciones. Las políticas de DLP pueden aplicarse a correo electrónico de Exchange, sitios de SharePoint, cuentas de OneDrive, mensajes de chat y canal de Teams y Microsoft Defender for Cloud Apps. Si la ubicación Mensajes de chat y canal de Teams no está habilitada, la política nunca inspeccionará los mensajes de Teams, independientemente del ámbito de usuario.
Finalmente, la política podría estar configurada en modo Solo auditoría en lugar de Bloquear. En modo auditoría, la política registra la infracción pero no bloquea el mensaje. Este es un descuido común al probar políticas de DLP.
Pasos para corregir la política de DLP para conversaciones con invitados
Siga estos pasos para modificar su política de DLP y bloquear contenido confidencial en conversaciones con invitados. Necesita permisos de administrador global o administrador de cumplimiento para completar estos pasos.
- Abra el portal de cumplimiento de Microsoft Purview
Vaya a https://compliance.microsoft.com e inicie sesión con su cuenta de administrador. En el panel de navegación izquierdo, seleccione Prevención de pérdida de datos y luego Políticas. - Localice la política de DLP que no está bloqueando mensajes de invitados
Encuentre la política que debería aplicarse a los mensajes de Teams. Si tiene muchas políticas, use el cuadro de búsqueda para filtrar por nombre. Haga clic en el nombre de la política para abrir sus detalles. - Edite la política
Haga clic en Editar política en la parte superior de la página de detalles de la política. Esto abre el asistente de configuración de la política. - Ajuste el ámbito de usuario para incluir invitados
En la sección Ámbito de usuario, seleccione Todos los usuarios y grupos específicos o Usuarios o grupos específicos. Si elige la segunda opción, haga clic en Incluir y busque la cuenta de usuario invitado o un grupo que contenga invitados. Por ejemplo, puede crear un grupo llamado Todos los invitados y agregar todos los usuarios invitados a él, luego incluir ese grupo en el ámbito de la política. - Verifique que la ubicación de Teams esté habilitada
En la sección Ubicaciones, asegúrese de que Mensajes de chat y canal de Teams esté activado. Si está desactivado, actívelo. También puede habilitar Correo electrónico de Exchange y Sitios de SharePoint si es necesario, pero para conversaciones de Teams, la ubicación de Teams es esencial. - Configure la acción para bloquear el mensaje
En la sección Acción, elija Bloquear o Bloquear con anulación. Si selecciona Bloquear, el mensaje se bloqueará y el remitente verá una sugerencia de política. Si selecciona Bloquear con anulación, el remitente puede anular el bloqueo con una justificación comercial, pero el mensaje se bloquea de forma predeterminada. - Guarde los cambios de la política
Haga clic en Siguiente a través de los pasos restantes y luego haga clic en Enviar. Espere a que la política se propague, lo que puede tomar hasta 24 horas. Para probar, envíe un mensaje con contenido confidencial en un chat que incluya un invitado.
Si Teams aún tiene problemas después de la corrección principal
La política de DLP está en modo auditoría y no bloquea nada
Si su política está configurada en modo Auditoría, solo registra infracciones y no bloquea mensajes. Para cambiar esto, edite la política y en la sección Acción, seleccione Bloquear o Bloquear con anulación. Después de guardar, pruebe nuevamente con una conversación de invitado.
El usuario invitado no está incluido porque la política usa un grupo que no contiene invitados
Si usó un grupo específico en el ámbito de la política, verifique que el usuario invitado sea miembro de ese grupo. Abra Azure Active Directory, vaya a Grupos, seleccione el grupo y verifique la lista de Miembros. Si el invitado falta, agréguelo. Si no desea administrar la membresía del grupo manualmente, use Todos los usuarios y grupos específicos para incluir todos los usuarios automáticamente.
La política de DLP se aplica solo a canales, no a chats privados
Los mensajes de chat y canal de Teams son ubicaciones separadas en las políticas de DLP. Si habilitó solo Mensajes de canal, los chats privados con invitados no están cubiertos. Edite la política y habilite también Mensajes de chat. En la misma configuración de ubicación, puede elegir aplicar la política a todos los chats o a chats específicos.
La política de DLP no detecta el tipo de información confidencial en mensajes de invitados
La política podría estar usando un tipo de información confidencial personalizado que no está presente en el mensaje del invitado. Verifique la condición El contenido contiene en la política. Si está usando tipos integrados como Número de tarjeta de crédito, pruebe con un número de prueba válido. Si está usando un tipo personalizado, verifique el patrón y el nivel de confianza.
Comparación de ámbito y ubicaciones de la política de DLP
| Elemento | Todos los usuarios | Todos los usuarios y grupos específicos |
|---|---|---|
| Invitados incluidos | No | Sí, si el grupo contiene invitados |
| Usuarios externos incluidos | No | Sí, si el grupo contiene usuarios externos |
| Esfuerzo de administración | Bajo | Medio, requiere mantenimiento del grupo |
| Mejor para | Políticas solo internas | Políticas que deben cubrir invitados |
Conclusión
Ahora puede ajustar su política de DLP para bloquear mensajes confidenciales en conversaciones con invitados editando el ámbito de usuario, habilitando las ubicaciones de Teams y configurando la acción para bloquear. Siempre verifique el modo de la política y pruebe con una conversación de invitado real después de guardar los cambios.
Para una protección más sólida, considere crear una política de DLP dedicada para invitados con condiciones más estrictas, como bloquear todos los tipos de información confidencial sin anulación. Use la función de Sugerencias de política para notificar a los usuarios cuando su mensaje esté bloqueado y revise los informes de DLP en el portal de cumplimiento para monitorear las infracciones.
Recuerde verificar el tiempo de propagación de la política, que puede tomar hasta 24 horas, y vuelva a probar si el bloqueo no aparece de inmediato.