Om detta dokument
Data & More DLP fungerar utan Microsoft Purviews känslighetsetiketter, men många organisationer väljer att kombinera de två. Detta dokument är skrivet för upphandlingsansvariga och dataskyddsombud. Svaren rörande behörigheter är tillräckligt detaljerade för att en Microsoft 365-administratör ska kunna göra en bedömning.
Lösningen består av två oberoende byggblock:
DLP (realtidsförebyggande av dataförlust): Data & Mores egen klassificeringsmotor identifierar känsligt innehåll i OneDrive, SharePoint, Exchange Online, Teams och Copilot, och blockerar, aviserar eller loggar. Den använder inga Microsoft-etiketter.
Microsoft-etikettering (valfritt): Data & More kan läsa de känslighetsetiketter som organisationen redan använder och kan tillämpa dem på filer och e-postmeddelanden baserat på sin egen klassificering.
Data & More-appen kan registreras i Microsoft Entra ID på ett av två sätt. Båda begär samma behörigheter; skillnaden ligger i vem som äger appen och vem som faktureras för mätbaserade Microsoft-API:er.
Modell | Vem äger appregistreringen | Vem faktureras för mätbaserade Microsoft-API:er |
|---|---|---|
Data & More-appen | Data & More (app för flera klientorganisationer; er administratör beviljar samtycke) | Data & More, vidarefaktureras till självkostnadspris på er faktura |
Er egen app | Er organisation (skapas i er klientorganisation via vår guidade installation) | Er organisations Azure-prenumeration |
Behörigheter
Vilka rättigheter behöver Data & More-appregistreringen för att DLP ska fungera?
Standardpaketet är Produktion + DLP: programbehörigheter som beviljas klientorganisationsövergripande av en global administratör, samt tre engångssteg vid installation. DLP är inte tillgängligt med delegerad (användarspecifik) åtkomst. Den fullständiga och underhållna listan för samtliga paket finns i supportartikeln Rättighetsöversikt.
Programbehörigheter (Produktion + DLP)
API | Behörighet | Varför den krävs |
|---|---|---|
Microsoft Graph | User.Read.All, Directory.Read.All | Listar användare, grupper och verifierade domäner (används för att skilja intern delning från extern) |
Microsoft Graph | Mail.Send | Skickar DLP-aviseringar och frigör hållna e-postmeddelanden |
Microsoft Graph | Mail.ReadWrite, MailboxSettings.ReadWrite, Contacts.Read | Genomsöker e-post; flyttar blockerade meddelanden till en karantänmapp |
Microsoft Graph | Files.ReadWrite.All, Sites.ReadWrite.All | Genomsöker OneDrive och SharePoint; prenumererar på ändringsaviseringar (Microsoft kräver skrivbehörighet för app-only-filprenumerationer); tar bort och återställer externa delningslänkar; tillämpar känslighetsetiketter |
Microsoft Graph | Sites.FullControl.All | Principåtgärder på SharePoint-webbplatser (ta bort, återställa) utanför DLP |
Microsoft Graph | Team.ReadBasic.All, ChannelMessage.Read.All, Chat.Read.All | Genomsöker Teams-kanalinlägg och chattar |
Microsoft Graph | AppCatalog.Read.All, TeamsAppInstallation.ReadWriteForUser.All, TeamsAppInstallation.ReadWriteForTeam.All, TeamsAppInstallation.ReadWriteForChat.All | Installerar Data & More DLP-boten som aviserar användare i Teams |
Microsoft Graph | AiEnterpriseInteraction.Read.All, AuditLogsQuery.Read.All | Läser Copilot-promptar och svar (endast avisering) |
Microsoft Graph | InformationProtectionPolicy.Read.All | Läser klientorganisationens definitioner av känslighetsetiketter (endast om etiketter används) |
SharePoint | Sites.FullControl.All, User.Read.All | Identifierar webbplatsägare via SharePoint REST API (enbart certifikatautentisering) |
Office 365 Exchange Online | Exchange.ManageAsApp | Skapar och underhåller Data & Mores egna regler för e-postflöde; inga andra regler berörs |
Engångssteg vid installation (delegerade, inloggade som administratör)
Bevilja Exchange-åtkomst (Exchange-administratör): registrerar appen i Exchange och tilldelar Exchange-rollerna Transport Rules och View-Only Configuration.
Installera Teams-boten (Teams-administratör): AppCatalog.ReadWrite.All.
Tillåt borttagning av Teams-meddelanden (valfritt; global administratör, eller varje meddelandeförfattare): ChannelMessage.ReadWrite och Chat.ReadWrite. Microsoft erbjuder ingen programbehörighet för borttagning av kanalmeddelanden.
Skrivbehörigheter innebär inte automatisk borttagning. Borttagningar som sker via principer kräver ett mänskligt godkännandesteg i Data & More först.
Kan behörigheterna begränsas till specifika webbplatser eller postlådor?
Inte för närvarande. DLP kräver klientorganisationsövergripande programbehörigheter, eftersom lösningen måste kunna identifiera varje ny extern delning och utgående e-post. Microsofts Sites.Selected-modell och Exchange-programåtkomstprinciper stöds inte. Det går att inaktivera enskilda arbetsbelastningar (exempelvis Copilot eller Teams), varvid tillhörande behörigheter inte begärs.
Använder appen ett certifikat eller en klienthemlighet?
Produktionspaketen använder som standard ett certifikat. En klienthemlighet är möjlig, men SharePoint avvisar app-only REST-anrop som görs med en hemlighet, vilket innebär att sökning efter webbplatsägare då inte är tillgänglig.
Hur återkallar vi åtkomsten?
Ta bort Data & More-företagsprogrammet i Microsoft Entra ID (eller återkalla administratörssamtycket). Åtkomsten upphör omedelbart. Data & Mores regler för e-postflöde kan tas bort i Exchange administrationscenter; de löper även ut och misslyckas öppet på egen hand (se Drift).
Microsoft-licensiering
Vilka Microsoft-licenser behöver vi för att köra Data & More DLP?
Data & More DLP kräver ingen Microsoft Purview- eller E5-licens. Klassificering och tillämpning utförs av Data & More, inte av Microsoft. Användarna behöver endast de licenser som ger dem tillgång till de arbetsbelastningar som skyddas: en Exchange Online-postlåda, OneDrive, SharePoint och Teams (exempelvis Microsoft 365 Business Premium, E3 eller E5).
Ett undantag: Copilot-övervakning täcker endast användare som innehar en Microsoft 365 Copilot-licens, eftersom Microsoft endast registrerar Copilot-interaktioner för dessa användare.
Vilka licenser behöver vi om vi även vill använda känslighetsetiketter?
För att överhuvudtaget skapa och använda känslighetsetiketter behöver användarna en licens som inkluderar manuell känslighetsetikettering, exempelvis Microsoft 365 Business Premium, E3 eller E5, Office 365 E3 eller E5, eller Azure Information Protection P1. Microsoft licensierar detta per användare som nyttjar funktionen (Microsofts Purview-tjänstbeskrivning).
Microsoft har inte angett huruvida etiketter som tillämpas av en tredjepartsapp som Data & More räknas som automatisk etikettering, vilket kräver Microsoft 365 E5 eller tillägget E5 Information Protection & Governance. Microsofts egen tjänstbeskrivning (uppdaterad 29 oktober 2026) är inte konsekvent på denna punkt. Vi rekommenderar att ni bekräftar detta med er Microsoft-licenspartner innan ni tillämpar etiketter automatiskt i stor skala.
Behöver vi någon extra Microsoft-licens för att Data & More ska kunna tillämpa etiketter?
Ingen extra licens krävs. Det betalda Microsoft-etikett-API:et (se Kostnad) faktureras per anrop via Azure, inte som en licens. Etikettering av filer i SharePoint och OneDrive måste aktiveras i er klientorganisation (Set-SPOTenant -EnableAIPIntegration $true) om ni vill att SharePoint ska känna igen och bearbeta etiketter.
Känslighetsetiketter och kvarhållningsetiketter
Kräver Data & More DLP Purviews känslighetsetiketter för att fungera?
Nej. DLP klassificerar innehåll med Data & Mores egen motor och blockerar eller aviserar på den grunden. Lösningen varken läser eller tillämpar etiketter. Etiketter är ett valfritt tillägg: många organisationer använder Data & More för att tillämpa etiketter konsekvent, så att Microsofts verktyg (Office, Purview DLP, Copilot) även kan agera utifrån dem.
Vad kan Data & More göra med Microsoft-etiketter?
Åtgärd | Känslighetsetiketter | Kvarhållningsetiketter |
|---|---|---|
Läsa etikettdefinitionerna i klientorganisationen | Ja | Stöds ej |
Läsa etiketten på en fil | Ja (läses direkt från filen) | Stöds ej |
Skapa nya etiketter eller etikettpolicyer | Nej | Nej |
Tillämpa en etikett på en fil | Ja: Word, Excel, PowerPoint (gamla och nya format) samt PDF | Stöds ej |
Tillämpa en etikett på ett e-postmeddelande | Ja (se nedan) | Stöds ej |
Ta bort en etikett | Nej | Stöds ej |
Etiketter skapas och publiceras av era administratörer i Microsoft Purview-portalen. Microsoft tillhandahåller inget Graph API för att skapa etiketter, och Data & More använder inte den PowerShell-väg som skulle möjliggöra detta.
Etiketter på e-postmeddelanden skrivs som meddelandemetadata (samma huvud som Outlook skriver). Microsoft erbjuder inget officiellt API för att etikettmärka ett lagrat e-postmeddelande. Dessa etiketter känns igen av Outlook och Purview, men ingen kryptering tillämpas.
Hur tillämpar Data & More en känslighetsetikett på en fil?
Ni väljer en av två metoder per arbetsyta. Vi är neutrala: valet beror på era prioriteringar.
Stämpling (standard) | Microsofts etikett-API | |
|---|---|---|
Så här fungerar det | Data & More laddar ned filen, skriver etiketten i filens metadata och laddar upp den igen | Data & More ber Microsoft (assignSensitivityLabel) att etikettera filen; Microsoft ändrar filen direkt |
Kostnad | Kostnadsfritt | USD 0,00185 per fil (se Kostnad) |
Filtyper | doc, docx, xls, xlsx, ppt, pptx, pdf | docx, xlsx, pptx, pdf |
Kryptering konfigurerad på etiketten | Tillämpas ej | Tillämpas av Microsoft (förväntat; ej ännu testat av Data & More) |
Sidhuvuden, sidfötter, vattenstämplar | Tillämpas ej | Tillämpas ej (Microsoft lägger inte till dem för detta API) |
Redan krypterade filer | Hoppas över | Vissa skyddade etiketter kan inte ändras i app-only-läge; Microsoft avvisar dem |
Versionshistorik | Ny version skapas; Ändrad och Ändrad av uppdateras (se Senast ändrad) | Förväntas även uppdatera Ändrad och Ändrad av (se Senast ändrad) |
Purviews granskningslogg | Visas som en filmodifiering | Loggas av Microsoft som en etiketthändelse |
Krav | Inga | Azure-fakturering kopplad till appregistreringen |
Om API-anropet misslyckas återgår Data & More till stämpling. Microsoft bekräftar API-begäran asynkront och Data & More kontrollerar för närvarande inte det slutliga resultatet, varför ett avvisande efter ett godkännande enbart syns i Microsofts granskningslogg.
Skriver Data & More över en etikett som en användare har angett manuellt när en etikett tillämpas?
Ja, det kan ske. Data & More tillämpar etiketter som privilegierade, vilket Microsoft behandlar på samma sätt som en manuell åtgärd eller administratörsåtgärd. Det innebär att lösningen kan ersätta en etikett som en användare valt, inklusive med en lägre rangordnad etikett. Microsofts API förhindrar inte detta, och stämpling ersätter befintlig etikettmetadata.
Skyddsåtgärderna finns i er principkonfiguration:
En fil lämnas orörd om den redan bär den etikett som principen skulle tillämpa.
I Purview Repair riktar sig varje regel mot en specifik kombination av Data & More-klass och aktuell etikett, vilket innebär att ni bestämmer exakt vilka befintliga etiketter som får ersättas (exempelvis endast omärkta filer).
Vid genomsökningsprinciper väljs den högst rankade etiketten om flera principer matchar.
Det finns för närvarande ingen inställning som skyddar alla manuellt angivna etiketter. Eftersom etiketten tillämpas som privilegierad kommer Microsofts egna principer för automatisk etikettering inte att kunna åsidosätta den i efterhand.
Kan Data & More ange kvarhållningsetiketter?
Inte för närvarande. Data & More varken läser, tillämpar eller tar bort kvarhållningsetiketter.
Kostnad
Medför tillämpning av känslighetsetiketter en Microsoft API-kostnad?
Enbart vid användning av Microsofts etikett-API. Microsoft klassificerar assignSensitivityLabel som ett mätbaserat API till USD 0,00185 per anrop (Microsofts lista över mätbaserade API:er). Stämpling, läsning av etiketter samt alla genomsöknings- och DLP-anrop är kostnadsfria.
Filer etiketterade via API:et | Microsoft-avgift |
|---|---|
10 000 | USD 18,50 |
100 000 | USD 185 |
1 000 000 | USD 1 850 |
Varje etikettering utgör ett anrop, vilket innebär att omstikettering av en fil kostar igen. Data & More räknar varje godkänt anrop per månad, så avgiften kan stämmas av.
Vem betalar Microsoft-avgiften?
Microsoft fakturerar den Azure-prenumeration som är kopplad till appregistreringen (konfiguration av mätbaserat API):
Data & More-appen: Data & More betalar Microsoft och vidarefakturerar kostnaden till självkostnadspris på er faktura.
Er egen app: Microsoft fakturerar er Azure-prenumeration direkt. Koppling kräver Contributor-rättigheter på prenumerationen samt ägarskap av appregistreringen; Data & Mores installationsguide utför kopplingen.
Tills fakturering är kopplad avvisar Microsoft API:et och Data & More använder stämpling i stället.
Senast ändrad
Ändras filens datum för "senast ändrad" när Data & More anger en etikett, och vem visas som författare?
Ja, med båda metoderna.
Stämpling: filen laddas upp igen som en ny version. Ändrad anges till tidpunkten för etiketteringen och Ändrad av visar Data & More-appen. Tidigare versioner finns kvar i versionshistoriken med sina ursprungliga datum och författare.
Microsofts etikett-API: Microsoft skriver etiketten direkt i filen. Microsoft dokumenterar inte effekten, men oberoende rapporter och hur SharePoint hanterar etikettändringar tyder på att Ändrad och Ändrad av också ändras, med appen (eller SharePoint App) angiven som modifierare. Ej ännu verifierat av Data & More.
Ingen av metoderna kan bevara de ursprungliga Ändrad-värdena. Microsofts egna principer för automatisk etikettering utgör undantaget: de lämnar Ändrad och Ändrad av oförändrade (Microsofts dokumentation).
Om er arkivhantering, eDiscovery eller kvarhållning är beroende av Ändrad-datum bör ni beakta detta innan ni etikettera befintliga filer i stor skala. Att enbart etikettera nya eller omärkta filer begränsar effekten. Det ursprungliga skapandedatumet (Skapad) ändras inte.
Datahantering och säkerhet
Lämnar vårt innehåll Microsoft-klientorganisationen?
Ja, för analys. Fil- och e-postinnehåll hämtas via Microsofts API:er och klassificeras i Data & Mores infrastruktur. Driftplats: Tyskland eller Finland.
Används AI och skickas våra data till en AI-leverantör?
Data & More använder valfritt språkmodeller som ett steg i klassificeringen. Det är öppna modeller som driftsätts och hanteras av Data & More. Inget innehåll skickas till tredjeparts AI-leverantörer såsom OpenAI, Anthropic, Google eller Microsoft.
Vad lagrar Data & More om våra filer och e-postmeddelanden?
För varje objekt lagras: metadata (namn, plats, storlek, datum, författare, senaste modifierare), delningsbehörigheter, de Data & More-klasser som matchades, identifierade personuppgiftsvärden, eventuell känslighetsetikett samt extraherad text för sökning och omklassificering. Ett läge kallat Ingen data tar bort den lagrade texten.
DLP-granskningsloggen registrerar vad som detekterades och vilken åtgärd som vidtogs (objekt, avsändare, länk, åtgärd och klasser). Fritext i loggen maskeras.
Kan Data & More DLP läsa filer som krypterats med en Purview-känslighetsetikett?
Ja, om ni beviljar en ytterligare behörighet. Analys av krypterade filer kräver Azure Rights Management-behörigheten Content.SuperUser, som ger appen möjlighet att dekryptera innehåll för analys med Microsofts Information Protection SDK. Den ingår inte i standardpaketen och beviljas separat på begäran.
Utan den behörigheten listas krypterade filer ändå med sina metadata och etiketter, men deras innehåll kan inte klassificeras. Filer skyddade med Double Key Encryption, Hold Your Own Key eller användardefinierade behörigheter kan inte analyseras. Data & More tar aldrig bort eller ändrar kryptering på era filer.
Finns det ett granskningsspår över vad Data & More har ändrat?
Ja, på två ställen. Varje åtgärd som appen vidtar visas i Microsofts Purview-granskningslogg under appens identitet. Data & More för även sin egen DLP-logg över varje detektion och åtgärd. Borttagna delningslänkar kan återställas från Data & More.
Drift och täckning
Vad innebär en DLP-blockering i praktiken?
Varje princip väljer en åtgärd: logg, avisering, blockering eller blockering efter en respitperiod (ägaren varnas först). Effekten av en blockering beror på arbetsbelastningen:
Arbetsbelastning | Vad kontrolleras | Vad en blockering innebär |
|---|---|---|
OneDrive och SharePoint | Filer som delas externt | Den externa delningen tas bort; den kan återställas från Data & More |
Exchange Online | E-post till externa mottagare | E-postmeddelandet hålls kvar tills det granskats, varefter det antingen frigörs eller flyttas till en DLP-karantän-mapp i avsändarens postlåda |
Teams | Kanalinlägg och chattar | Meddelandet tas bort på uppdrag av dess författare (kräver det valfria borttagningstillståndet) |
Copilot | Promptar och svar | Ingen blockering: enbart avisering eller loggning |
Användare meddelas via e-post och via Data & More-boten i Teams. Data & More tar aldrig bort filer eller postlådor som en DLP-åtgärd.
Vad händer om Data & More inte är tillgängligt?
DLP misslyckas öppet: verksamheten stoppas inte. Om ett objekt inte kan klassificeras tillåts det. Data & Mores regler för e-postflöde löper ut på egen hand om de inte förnyas, vilket innebär att utgående e-post flödar normalt om tjänsten är nere. Avvägningen är att objekt inte är skyddade under ett driftsavbrott.
Kommer Data & More att sakta ned vår klientorganisation eller förbruka Microsofts API-gränser?
Ingen märkbar påverkan förväntas. Microsoft begränsar API-trafiken i huvudsak per app, vilket innebär att Data & Mores anrop inte förbrukar era användares gränser. Data & More respekterar Microsofts begränsningssignaler och försöker igen vid ett senare tillfälle. Den enda användarsynliga effekten är att utgående e-post hålls kvar kortvarigt under kontroll.
Kan Data & More DLP köras parallellt med Microsoft Purview DLP?
Ja. De fungerar oberoende av varandra. Etiketter som tillämpas av Data & More kan användas som villkor i Purview DLP och andra Microsoft-principer.
Vilka källor täcks?
Microsoft 365: Exchange Online (inklusive onlinearchiv för genomsökning), OneDrive, SharePoint, Teams och Copilot. Realtids-DLP täcker samtliga fem.
Google Workspace: Drive och Gmail genomsöks efter känslig data; realtids-DLP är inte tillgängligt.
Exchange Server (lokalt): enbart genomsökning.
Copilot: enbart användare med en Microsoft 365 Copilot-licens.
Källor
Microsofts dokumentation, läst 6 november 2026:
Lista över mätbaserade API:er och konfiguration av mätbaserat API
Community: Practical365 om assignSensitivityLabel-API:et (beteende för Ändrad av, ej verifierat av Microsoft)
Data & More: Rättighetsöversikt; produktbeteende per 6 november 2026.