Om denne FAQ
Data & More DLP fungerer uden Microsoft Purview-følsomhedsmærkater, men mange organisationer vælger at kombinere de to. Denne FAQ er skrevet til indkøbsansvarlige og databeskyttelsesrådgivere. Svarene om rettigheder er tilstrækkeligt præcise til, at en Microsoft 365-administrator kan foretage en vurdering.
Løsningen består af to uafhængige byggeklodser:
DLP (forebyggelse af datatab i realtid): Data & Mores egen klassifikationsmotor registrerer følsomt indhold i OneDrive, SharePoint, Exchange Online, Teams og Copilot og blokerer, adviserer eller logger. Den anvender ingen Microsoft-mærkater.
Microsoft-mærkning (valgfri): Data & More kan læse de følsomhedsmærkater, som Deres organisation allerede anvender, og kan påføre dem på filer og e-mails baseret på sin egen klassifikation.
Data & More-appen kan registreres i Microsoft Entra ID på to måder. Begge anmoder om de samme rettigheder; de adskiller sig i, hvem der ejer appen, og hvem der faktureres for målte Microsoft-API'er.
Model | Hvem ejer appregistreringen | Hvem faktureres for målte Microsoft-API'er |
|---|---|---|
Data & More-appen | Data & More (app med flere lejere; Deres administrator giver samtykke) | Data & More, som viderefakturerer til kostpris på Deres faktura |
Deres egen app | Deres organisation (oprettet i Deres lejer via vores guidede opsætning) | Deres organisations Azure-abonnement |
Rettigheder
Hvilke rettigheder kræver Data & More-appregistreringen for, at DLP fungerer?
Standardpakken er Production + DLP: applikationsrettigheder, tildelt på tværs af hele lejeren af en Global Administrator, samt tre engangsopsætningstrin. DLP er ikke tilgængeligt med delegeret (pr.-bruger) adgang. Den fulde, vedligeholdte liste for hver pakke findes i supportartiklen Rettighedsoversigt.
Applikationsrettigheder (Production + DLP)
API | Rettighed | Hvorfor den er nødvendig |
|---|---|---|
Microsoft Graph | User.Read.All, Directory.Read.All | Oplist brugere, grupper og verificerede domæner (bruges til at skelne intern fra ekstern deling) |
Microsoft Graph | Mail.Send | Send DLP-notifikationer og frigiv tilbageholdt post |
Microsoft Graph | Mail.ReadWrite, MailboxSettings.ReadWrite, Contacts.Read | Scan e-mail; flyt blokeret post til en karantænemappe |
Microsoft Graph | Files.ReadWrite.All, Sites.ReadWrite.All | Scan OneDrive og SharePoint; abonner på ændringsnotifikationer (Microsoft kræver skriveadgang til app-only-filabonnementer); fjern og gendan eksterne delinglinks; påfør følsomhedsmærkater |
Microsoft Graph | Sites.FullControl.All | Politikhandlinger på SharePoint-websteder (slet, gendan) uden for DLP |
Microsoft Graph | Team.ReadBasic.All, ChannelMessage.Read.All, Chat.Read.All | Scan Teams-kanalopslag og chats |
Microsoft Graph | AppCatalog.Read.All, TeamsAppInstallation.ReadWriteForUser.All, TeamsAppInstallation.ReadWriteForTeam.All, TeamsAppInstallation.ReadWriteForChat.All | Installer Data & More DLP-botten, der adviserer brugere i Teams |
Microsoft Graph | AiEnterpriseInteraction.Read.All, AuditLogsQuery.Read.All | Læs Copilot-prompter og svar (kun advisering) |
Microsoft Graph | InformationProtectionPolicy.Read.All | Læs Deres lejers definitioner af følsomhedsmærkater (kun hvis mærkater anvendes) |
SharePoint | Sites.FullControl.All, User.Read.All | Identificer webstedsejere via SharePoint REST API (kun certifikatlegitimationsoplysninger) |
Office 365 Exchange Online | Exchange.ManageAsApp | Opret og vedligehold Data & Mores egne regler for mailflow; ingen andre regler berøres |
Engangsopsætningstrin (delegeret, logget ind som administrator)
Tildel Exchange-adgang (Exchange-administrator): registrerer appen i Exchange og tildeler den Exchange-rollerne Transport Rules og View-Only Configuration.
Installer Teams-botten (Teams-administrator): AppCatalog.ReadWrite.All.
Tillad sletning af Teams-beskeder (valgfrit; Global Administrator eller den enkelte beskedforfatter): ChannelMessage.ReadWrite og Chat.ReadWrite. Microsoft tilbyder ingen applikationsrettighed til sletning af kanalmeddelelser.
Skriverettigheder betyder ikke automatisk sletning. Sletninger via politikker gennemgår først et manuelt godkendelsestrin i Data & More.
Kan rettighederne begrænses til specifikke websteder eller postkasser?
Ikke på nuværende tidspunkt. DLP kræver applikationsrettigheder på tværs af hele lejeren, fordi den skal registrere enhver ny ekstern deling og udgående post. Microsofts Sites.Selected-model og Exchange-applikationsadgangspolitikker understøttes ikke. De kan deaktivere individuelle arbejdsbelastninger (f.eks. Copilot eller Teams), og de tilhørende rettigheder anmodes der så ikke om.
Anvender appen et certifikat eller en klienthemmelighed?
Production-pakkerne anvender som standard et certifikat. En klienthemmelighed er mulig, men SharePoint afviser app-only REST-kald foretaget med en hemmelighed, og opslag af webstedsejere er derfor ikke tilgængeligt i det tilfælde.
Hvordan tilbagekalder vi adgangen?
Slet Data & More-virksomhedsapplikationen i Microsoft Entra ID (eller tilbagekald administratorsamtykket). Adgangen ophører øjeblikkeligt. Data & Mores regler for mailflow kan fjernes i Exchange Administration Center; de udløber også og fejler åbent af sig selv (se Operations).
Microsoft-licensering
Hvilke Microsoft-licenser skal vi bruge for at køre Data & More DLP?
Data & More DLP kræver ingen Microsoft Purview- eller E5-licens. Klassifikation og håndhævelse udføres af Data & More, ikke af Microsoft. Deres brugere behøver kun de licenser, der giver dem adgang til de arbejdsbelastninger, der beskyttes: en Exchange Online-postkasse, OneDrive, SharePoint og Teams (f.eks. Microsoft 365 Business Premium, E3 eller E5).
En undtagelse: Copilot-overvågning dækker kun brugere, der har en Microsoft 365 Copilot-licens, fordi Microsoft kun registrerer Copilot-interaktioner for disse brugere.
Hvilke licenser skal vi bruge, hvis vi også ønsker at anvende følsomhedsmærkater?
For overhovedet at oprette og anvende følsomhedsmærkater skal brugere have en licens, der inkluderer manuel følsomhedsmærkning: f.eks. Microsoft 365 Business Premium, E3 eller E5, Office 365 E3 eller E5 eller Azure Information Protection P1. Microsoft licenserer dette pr. bruger, der drager fordel af funktionen (Microsoft Purview-tjenestebeskrivelse).
Microsoft har ikke præciseret, om mærkater påført af en tredjepartsapp som Data & More tæller som automatisk mærkning, som kræver Microsoft 365 E5 eller E5 Information Protection & Governance-tilføjelsesprogrammet. Microsofts egen tjenestebeskrivelse (opdateret 29. oktober 2026) er ikke konsistent på dette punkt. Vi anbefaler, at De bekræfter dette med Deres Microsoft-licenspartner, inden De påfører mærkater automatisk i stor skala.
Kræver det en ekstra Microsoft-licens, at Data & More påfører mærkater?
Ingen ekstra licens. Den betalte Microsoft-mærkat-API (se Omkostning) faktureres pr. kald via Azure og ikke som en licens. Mærkning af filer i SharePoint og OneDrive skal aktiveres i Deres lejer (Set-SPOTenant -EnableAIPIntegration $true), hvis De ønsker, at SharePoint skal genkende og behandle mærkater.
Følsomheds- og opbevaringslabels
Kræver Data & More DLP Purview-følsomhedsmærkater for at fungere?
Nej. DLP klassificerer indhold med Data & Mores egen motor og blokerer eller adviserer på det grundlag. Den læser ikke eller påfører mærkater. Mærkater er en valgfri tilføjelse: mange organisationer bruger Data & More til at påføre mærkater konsekvent, så Microsoft-værktøjer (Office, Purview DLP, Copilot) også kan handle på dem.
Hvad kan Data & More gøre med Microsoft-mærkater?
Handling | Følsomhedsmærkater | Opbevaringsmærkater |
|---|---|---|
Læs mærkatdefinitionerne i Deres lejer | Ja | Ikke understøttet |
Læs mærkaten på en fil | Ja (læses direkte fra filen) | Ikke understøttet |
Opret nye mærkater eller mærkatpolitikker | Nej | Nej |
Påfør en mærkat på en fil | Ja: Word, Excel, PowerPoint (gamle og nye formater) og PDF | Ikke understøttet |
Påfør en mærkat på en e-mail | Ja (se nedenfor) | Ikke understøttet |
Fjern en mærkat | Nej | Ikke understøttet |
Mærkater oprettes og publiceres af Deres administratorer i Microsoft Purview-portalen. Microsoft stiller ingen Graph API til rådighed til oprettelse af mærkater, og Data & More anvender ikke den PowerShell-rute, der ville muliggøre dette.
Mærkater på e-mails skrives som beskedmetadata (den samme header, som Outlook skriver). Microsoft tilbyder ingen officiel API til mærkning af en gemt e-mail. Disse mærkater genkendes af Outlook og Purview, men der påføres ingen kryptering.
Hvordan påfører Data & More en følsomhedsmærkat på en fil?
De vælger én af to metoder pr. arbejdsområde. Vi er neutrale: valget afhænger af Deres prioriteter.
Stempling (standard) | Microsoft-mærkat-API | |
|---|---|---|
Sådan fungerer det | Data & More downloader filen, skriver mærkaten ind i filens metadata og uploader den igen | Data & More beder Microsoft (assignSensitivityLabel) om at mærke filen; Microsoft ændrer selve filen |
Omkostning | Gratis | USD 0,00185 pr. fil (se Omkostning) |
Filtyper | doc, docx, xls, xlsx, ppt, pptx, pdf | docx, xlsx, pptx, pdf |
Kryptering konfigureret på mærkaten | Påføres ikke | Påføres af Microsoft (forventet; ikke endnu testet af Data & More) |
Sidehoveder, sidefødder, vandmærker | Påføres ikke | Påføres ikke (Microsoft tilføjer dem ikke for denne API) |
Filer, der allerede er krypteret | Springes over | Visse beskyttede mærkater kan ikke ændres app-only; Microsoft afviser dem |
Versionshistorik | Ny version; Ændret og Ændret af ændres (se Sidst ændret) | Forventes ligeledes at ændre Ændret og Ændret af (se Sidst ændret) |
Purview-revisionslog | Vises som en filændring | Logges af Microsoft som en mærkathændelse |
Krav | Ingen | Azure-fakturering tilknyttet appregistreringen |
Hvis API-kaldet mislykkes, falder Data & More tilbage til stempling. Microsoft bekræfter API-anmodningen asynkront, og Data & More kontrollerer i øjeblikket ikke det endelige resultat, så en afvisning efter accept er kun synlig i Microsofts revisionslog.
Overskriver Data & More en mærkat, som en bruger har angivet manuelt, når den påfører en mærkat?
Ja, det kan den. Data & More påfører mærkater som privilegeret, hvilket Microsoft behandler som en manuel handling eller administratorhandling, og den kan derfor erstatte en mærkat, som en bruger har valgt, herunder med en lavere mærkat. Microsofts API forhindrer ikke dette, og stempling erstatter den eksisterende mærkatmetadata.
Sikkerhedsforanstaltningerne ligger i Deres politikkonfiguration:
En fil efterlades uberørt, hvis den allerede bærer den mærkat, som politikken ville påføre.
I Purview Repair retter hver regel sig mod en specifik kombination af Data & More-klasse og aktuel mærkat, så De beslutter præcist, hvilke eksisterende mærkater der må erstattes (f.eks. kun umærkede filer).
I scanningspolitikker vælges den højest rangerede mærkat, hvis flere politikker matcher.
Der er i øjeblikket ingen kontakt, der beskytter alle manuelt angivne mærkater. Da mærkaten påføres som privilegeret, vil Microsofts egne automatiske mærkatpolitikker ikke tilsidesætte den efterfølgende.
Kan Data & More angive opbevaringsmærkater?
Ikke på nuværende tidspunkt. Data & More læser, påfører eller fjerner ikke opbevaringsmærkater.
Omkostning
Medfører påføring af følsomhedsmærkater en Microsoft API-omkostning?
Kun med Microsoft-mærkat-API'en. Microsoft klassificerer assignSensitivityLabel som en målt API til USD 0,00185 pr. kald (Microsofts liste over målte API'er). Stempling, læsning af mærkater samt alle scanning- og DLP-kald er gratis.
Filer mærket med API'en | Microsoft-gebyr |
|---|---|
10.000 | USD 18,50 |
100.000 | USD 185 |
1.000.000 | USD 1.850 |
Hver mærkning udgør ét kald, så genmærkning af en fil koster igen. Data & More optæller alle accepterede kald pr. måned, så gebyret kan afstemmes.
Hvem betaler Microsoft-gebyret?
Microsoft fakturerer det Azure-abonnement, der er tilknyttet appregistreringen (opsætning af målt API):
Data & More-appen: Data & More betaler Microsoft og viderefakturerer til kostpris på Deres faktura.
Deres egen app: Microsoft fakturerer direkte til Deres Azure-abonnement. Tilknytning kræver Contributor-rettigheder på abonnementet og ejerskab af appregistreringen; Data & Mores opsætningsvejledning foretager tilknytningen.
Indtil fakturering er tilknyttet, afviser Microsoft API'en, og Data & More anvender stempling i stedet.
Sidst ændret
Når Data & More angiver en mærkat, ændres filens "sidst ændret"-dato, og hvem vises som forfatter?
Ja, med begge metoder.
Stempling: filen uploades igen som en ny version. Ændret bliver tidspunktet for mærkning, og Ændret af viser Data & More-appen. Tidligere versioner forbliver i versionshistorikken med deres oprindelige datoer og forfattere.
Microsoft-mærkat-API: Microsoft skriver mærkaten ind i selve filen. Microsoft dokumenterer ikke effekten, men uafhængige rapporter og den måde, SharePoint behandler mærkatændringer på, indikerer, at Ændret og Ændret af ligeledes ændres, med appen (eller SharePoint App) vist som den ændrende part. Ikke endnu verificeret af Data & More.
Ingen af metoderne kan bevare de oprindelige Ændret-værdier. Microsofts egne automatiske mærkatpolitikker er undtagelsen: de efterlader Ændret og Ændret af uændret (Microsoft-dokumentation).
Hvis Deres dokumentstyring, eDiscovery eller opbevaring er afhængig af Ændret-datoer, bør De overveje dette, inden De mærker eksisterende filer i stor skala. Mærkning af kun nye eller umærkede filer begrænser effekten. Den oprindelige oprettelsesdato (Oprettet) ændres ikke.
Datahåndtering og sikkerhed
Forlader vores indhold Microsoft-lejeren?
Ja, med henblik på analyse. Fil- og postindhold hentes via Microsofts API'er og klassificeres på Data & Mores infrastruktur. Hostingplacering: Tyskland eller Finland.
Anvendes AI, og sendes vores data til en AI-udbyder?
Data & More anvender valgfrit sprogmodeller som ét trin i klassifikationen. Det er åbne modeller, der hostes og drives af Data & More. Intet indhold sendes til tredjeparts AI-udbydere som OpenAI, Anthropic, Google eller Microsoft.
Hvad lagrer Data & More om vores filer og e-mails?
For hvert element: metadata (navn, placering, størrelse, datoer, forfatter, seneste ændrende), delingsrettigheder, de Data & More-klasser, det matchede, registrerede personoplysningsværdier, eventuelle følsomhedsmærkater og udtrukket tekst til søgning og gengenkendelse. En Ingen data-tilstand fjerner den lagrede tekst.
DLP-revisionsloggen registrerer, hvad der blev registreret, og hvilken handling der blev foretaget (element, afsender, link, handling og klasser). Fritekst i loggen maskeres.
Kan Data & More DLP læse filer krypteret af en Purview-følsomhedsmærkat?
Ja, hvis De tildeler én ekstra rettighed. Analyse af krypterede filer kræver Azure Rights Management-rettigheden Content.SuperUser, som giver appen mulighed for at dekryptere indhold til analyse ved hjælp af Microsofts Information Protection SDK. Den er ikke en del af standardpakkerne og tildeles separat efter anmodning.
Uden denne rettighed opføres krypterede filer stadig med deres metadata og mærkat, men deres indhold kan ikke klassificeres. Filer beskyttet med Double Key Encryption, Hold Your Own Key eller brugerdefinerede rettigheder kan ikke analyseres. Data & More fjerner eller ændrer aldrig kryptering på Deres filer.
Findes der et revisionssspor over, hvad Data & More har ændret?
Ja, to steder. Enhver handling, som appen foretager, fremgår af Microsofts Purview-revisionslog under appens identitet. Data & More fører desuden sin egen DLP-log over hver registrering og handling. Fjernede delinglinks kan gendannes fra Data & More.
Drift og dækning
Hvad gør en DLP-blokering rent faktisk?
Hver politik vælger én handling: log, advis, bloker eller bloker efter en henstandsperiode (ejeren advares først). Effekten af en blokering afhænger af arbejdsbelastningen:
Arbejdsbelastning | Hvad der kontrolleres | Hvad en blokering gør |
|---|---|---|
OneDrive og SharePoint | Filer delt eksternt | Fjerner den eksterne deling; den kan gendannes fra Data & More |
Exchange Online | Post til eksterne modtagere | Posten tilbageholdes, indtil den er kontrolleret, og frigives derefter eller flyttes til en DLP-karantæne-mappe i afsenderens postkasse |
Teams | Kanalopslag og chats | Sletter beskeden på vegne af dens forfatter (kræver det valgfrie sletningssamtykke) |
Copilot | Prompter og svar | Ingen blokering: kun advis eller log |
Brugere underrettes via e-mail og via Data & More-botten i Teams. Data & More sletter aldrig filer eller postkasser som en DLP-handling.
Hvad sker der, hvis Data & More ikke er tilgængelig?
DLP fejler åbent: forretningen stoppes ikke. Hvis et element ikke kan klassificeres, tillades det. Data & Mores regler for mailflow udløber af sig selv, hvis de ikke fornyes, så udgående post flyder normalt, hvis tjenesten er nede. Kompromisset er, at elementer ikke er beskyttet under et nedbrud.
Vil Data & More bremse vores lejer eller opbruge Microsofts API-grænser?
Ingen mærkbar effekt forventes. Microsoft throttler API-trafik i vid udstrækning pr. app, så Data & Mores kald ikke bruger Deres brugeres grænser. Data & More respekterer Microsofts throttling-signaler og forsøger igen senere. Den eneste brugersynlige effekt er, at udgående post tilbageholdes kortvarigt, mens den kontrolleres.
Kan Data & More DLP køre side om side med Microsoft Purview DLP?
Ja. De fungerer uafhængigt. Mærkater påført af Data & More kan bruges som betingelser i Purview DLP og andre Microsoft-politikker.
Hvilke kilder dækkes?
Microsoft 365: Exchange Online (inkl. onlinearki til scanning), OneDrive, SharePoint, Teams og Copilot. Realtids-DLP dækker alle fem.
Google Workspace: Drive og Gmail scannes for følsomme data; realtids-DLP er ikke tilgængeligt.
Exchange Server (on-premises): kun scanning.
Copilot: kun brugere med en Microsoft 365 Copilot-licens.
Kilder
Microsoft-dokumentation, læst 6. november 2026:
Community: Practical365 om assignSensitivityLabel-API'en (Ændret af-adfærd, ikke verificeret af Microsoft)
Data & More: Rettighedsoversigt; produktadfærd pr. 6. november 2026.