Cómo verificar el ámbito de las directivas DLP para cuentas de OneDrive

Las directivas de Prevención de pérdida de datos (DLP) de Microsoft 365 pueden proteger los archivos confidenciales almacenados en OneDrive bloqueando o advirtiendo a los usuarios cuando comparten datos específicos, como números de tarjetas de crédito o información de identificación personal. Sin embargo, una directiva DLP cuyo ámbito no esté configurado correctamente no se aplicará a los documentos de OneDrive aunque la directiva esté activa. Este artículo explica cómo comprobar si una directiva DLP incluye las ubicaciones de OneDrive y cómo confirmar la configuración del ámbito en el portal de cumplimiento de Microsoft 365.

Es posible que descubra que las reglas DLP no se activan en los archivos compartidos desde OneDrive, o que esté configurando una nueva directiva y necesite verificar que el ámbito abarca los usuarios y sitios correctos. La causa principal casi siempre es una configuración incorrecta del ámbito, en la que OneDrive nunca se agregó como ubicación o en la que la directiva se dirige a un grupo de distribución que no incluye a los usuarios afectados.

Esta guía describe los pasos exactos para inspeccionar y ajustar el ámbito de las directivas DLP para cuentas de OneDrive, incluido el uso del portal de cumplimiento de Purview y de comandos de verificación de PowerShell.

Qué es el ámbito de una directiva DLP y por qué es importante para OneDrive

El ámbito de una directiva DLP define a qué ubicaciones, usuarios y grupos se aplica una regla DLP. En Microsoft 365, una sola directiva DLP puede dirigirse al correo de Exchange, a sitios de SharePoint, a cuentas de OneDrive, a mensajes de chat y de canal de Teams y a dispositivos. Si el ámbito no incluye las cuentas de OneDrive, la directiva nunca examinará ni protegerá los archivos almacenados en OneDrive.

Las cuentas de OneDrive se enumeran en Ubicaciones como un elemento independiente con su propio conmutador y sus propias reglas de inclusión. Al crear o editar una directiva DLP, la pestaña Ubicaciones muestra cada tipo de ubicación. La ubicación Cuentas de OneDrive se puede establecer en Todos los usuarios, usuarios específicos, grupos de seguridad específicos o desactivarse por completo.

El ámbito también incluye configuraciones avanzadas, como si la directiva se aplica solo al contenido compartido o a todo el contenido. Si la directiva está configurada para detectar el uso compartido de información confidencial pero el ámbito excluye los escenarios de uso compartido externo, es posible que la directiva no se active en los archivos compartidos con invitados externos.

En qué se diferencia el ámbito de una directiva DLP de la prioridad de la directiva

El ámbito determina dónde se ejecuta una directiva. La prioridad determina qué directiva prevalece cuando varias directivas podrían aplicarse al mismo elemento. Una directiva de alta prioridad que no incluya las ubicaciones de OneDrive nunca se ejecutará en los archivos de OneDrive, independientemente de su número de prioridad. Compruebe siempre el ámbito antes de ajustar la prioridad.

Pasos para verificar el ámbito de las directivas DLP para cuentas de OneDrive

Siga estos pasos para confirmar que una directiva DLP incluye las cuentas de OneDrive y para verificar que la configuración del ámbito es correcta. Necesita el portal de cumplimiento de Microsoft Purview y, de forma opcional, el módulo de PowerShell de Seguridad y cumplimiento.

1. Abra el portal de cumplimiento de Microsoft Purview
   Vaya a https://compliance.microsoft.com e inicie sesión con una cuenta que tenga el rol de administrador de Prevención de pérdida de datos o el rol de administrador de cumplimiento.
2. Vaya a Prevención de pérdida de datos
   En la navegación izquierda, seleccione Prevención de pérdida de datos y luego Directivas. Aparece una lista de todas las directivas DLP del inquilino.
3. Seleccione la directiva que desea inspeccionar
   Haga clic en el nombre de la directiva que desea verificar. No haga clic en el conmutador. Se abre la página de detalles de la directiva.
4. Abra la pestaña Ubicaciones
   En la página de detalles de la directiva, seleccione la pestaña Ubicaciones. Esta pestaña muestra todos los tipos de ubicación a los que se dirige la directiva.
5. Compruebe el conmutador Cuentas de OneDrive
   Busque la fila etiquetada como Cuentas de OneDrive. El conmutador debe estar en Activado. Si está Desactivado, la directiva no se aplica a ningún archivo de OneDrive.
6. Revise las reglas de inclusión
   Si el conmutador está Activado, haga clic en Editar junto a Cuentas de OneDrive. El panel de inclusión muestra si la directiva se aplica a Todos los usuarios o a usuarios y grupos específicos. Verifique que los usuarios afectados aparezcan aquí. Si no ve ningún usuario en la lista y la opción está establecida en Usuarios o grupos específicos, la directiva no se aplicará a nadie.
7. Compruebe la configuración avanzada del ámbito
   En la misma pestaña Ubicaciones, desplácese hasta Reglas DLP avanzadas si está presente. Algunas directivas tienen una condición que restringe el ámbito al contenido compartido con personas ajenas a la organización. Confirme que la condición coincide con su intención. Por ejemplo, si desea que la directiva bloquee todo uso compartido de números de tarjetas de crédito, la condición no debe limitar la detección solo al uso compartido externo.
8. Use PowerShell para verificar el ámbito mediante programación
   Abra el módulo de PowerShell de Seguridad y cumplimiento como administrador. Ejecute Connect-IPPSSession para autenticarse. Luego ejecute Get-DlpCompliancePolicy -Identity "Policy Name" | Format-List ExchangeLocation, SharePointLocation, OneDriveLocation. La salida muestra el ámbito exacto de cada ubicación. Un valor de All para OneDriveLocation significa que se incluyen todos los usuarios. Un GUID específico significa que solo se incluye ese usuario o grupo.

Probar el ámbito de una directiva DLP con un archivo de ejemplo

Después de verificar la configuración del ámbito, realice una prueba para confirmar que la directiva se activa en un archivo real de OneDrive. Cargue un archivo de texto que contenga un número de tarjeta de crédito de prueba, como 4111111111111111, en una cuenta de OneDrive que esté dentro del ámbito. Comparta el archivo con un usuario externo. En cuestión de minutos, la directiva debería generar una alerta o bloquear el uso compartido. Si no ocurre ninguna acción, vuelva a comprobar el ámbito y asegúrese de que la directiva no esté en modo de prueba sin notificaciones.

Configuraciones incorrectas comunes del ámbito y cómo corregirlas

Incluso cuando el conmutador Cuentas de OneDrive está Activado, varios problemas relacionados con el ámbito pueden impedir que una directiva DLP proteja los archivos. En las secciones siguientes se describen los problemas más frecuentes y sus soluciones.

El conmutador Cuentas de OneDrive está Activado, pero no hay usuarios seleccionados

Cuando establece la regla de inclusión en Usuarios o grupos específicos pero deja la lista vacía, la directiva no se aplicará a ninguna cuenta de OneDrive. Edite la directiva, vaya a Ubicaciones, haga clic en Editar junto a Cuentas de OneDrive y seleccione Todos los usuarios o agregue los usuarios o grupos correctos. Si necesita incluir a todos los usuarios, cambie el botón de opción a Todos los usuarios.

El ámbito de la directiva incluye OneDrive, pero solo para el uso compartido interno

Algunas directivas DLP se configuran con una condición que restringe la detección al contenido compartido con personas ajenas a la organización. Si la directiva tiene como objetivo bloquear el uso compartido interno de datos confidenciales, esta condición impedirá que la directiva se active en los usos compartidos internos. Edite la directiva, vaya a Reglas, seleccione la regla y quite la condición que limita el ámbito al uso compartido externo.

La directiva DLP está en modo de prueba y no bloquea

Una directiva en modo de prueba generará alertas, pero no bloqueará el uso compartido. Esto no es un problema de ámbito, pero lo parece porque no se realiza ninguna acción. Compruebe el estado de la directiva en la página Directivas. Si el estado muestra Prueba, edite la directiva y cambie el modo a Activarla inmediatamente si desea aplicar la directiva.

La cuenta de OneDrive no tiene licencia o es una cuenta personal

Las directivas DLP solo se aplican a las cuentas de OneDrive para la Empresa que forman parte de una suscripción de Microsoft 365. Las cuentas personales de OneDrive no están cubiertas. Verifique que el usuario tenga una licencia activa de OneDrive para la Empresa asignada en el centro de administración de Microsoft 365.

Opciones de ámbito de las directivas DLP: Todos los usuarios frente a usuarios específicos frente a grupos

Elemento	Todos los usuarios	Usuarios o grupos específicos
Descripción	La directiva se aplica a todas las cuentas de OneDrive del inquilino	La directiva se aplica solo a las cuentas de OneDrive de los usuarios seleccionados o de los miembros del grupo
Carga de administración	Baja: no es necesario actualizar cuando los usuarios se incorporan o se van	Alta: debe actualizar la lista cuando los usuarios cambian de equipo o abandonan la organización
Riesgo de omitir usuarios	Ninguno	Alto si un usuario no se agrega al grupo o a la lista
Ideal para	Directivas de cumplimiento para datos regulados en todo el inquilino	Directivas que se aplican solo a departamentos específicos, como Finanzas o Recursos Humanos
Impacto en el rendimiento	Mayor carga de examen, pero Microsoft se encarga del escalado	Menor carga de examen porque se examinan menos cuentas

El ámbito de las directivas DLP es la razón más común por la que una directiva no se aplica a los archivos de OneDrive. La configuración del ámbito controla todos los aspectos de dónde y cuándo se ejecuta la directiva, desde el conmutador de ubicación hasta las reglas de inclusión y las condiciones avanzadas.

Ahora puede abrir cualquier directiva DLP en el portal de Purview, comprobar el conmutador Cuentas de OneDrive y confirmar que la lista de inclusión contiene los usuarios o grupos correctos. Use el cmdlet de PowerShell Get-DlpCompliancePolicy para auditar el ámbito de varias directivas a la vez. Como paso siguiente, revise las directivas DLP de su inquilino cada trimestre para asegurarse de que el ámbito siga coincidiendo con la estructura de su organización y con sus requisitos de cumplimiento.