Guido Imperatore

Cloud, Guide, Microsoft 365, Sicurezza
2 Settembre 2026

Adaptive Protecion in Microsoft Purview Insider Risk Management

La Protezione Adattiva in Microsoft Purview integra la gestione di rischi Insider con la componente di Data Loss Prevention.

Quando il rischio insider identifica un utente attraverso un comportamento rischioso, viene dinamicamente assegnato un livello di rischio Interno ed in questo modo la componente di Adaptive Protection può creare automaticamente dei criteri DLP per proteggere l’organizzazione dal comportamento rischioso associato a tale livello di rischio.

Man mano che i livelli di rischio Insider deli utenti cambiano, i criteri DLP dei dati applicati agli utenti possono essere modificati. E’ possibile, inoltre, creare manualmente criteri DLP che consentono di proteggersi da comportanti rischiosi identificati anche dal rischio Insider.

Visualizzazione di Protezione adattiva nei criteri di prevenzione della perdita dei dati

Per approfondire le policy relative alla componente Data Loss Prevention (DLP) vi consiglio di seguire i seguenti articoli ufficiali di Microsoft:

Inoltre, vi riporto anche gli articoli della community su questi workload:

Dopo che sarà stata configurata una protezione adattiva in Insider Risk, sarà disponibile una condizione denominata “Insider risk level for Adaptive Protection” che è costituita da tre livelli:

Elevated risk level
Moderate risk level
Minor risk level

Questi tre profili di Insider Risk sono definiti nella opportuna sezione del portale di Microsoft Purview, da cui poi è possibile selezionarne uno due o tutti e tre.

È possibile procedere alla configurazione di questi criteri in due modi:

Manuale
Quick Setup

Vi fornirò le principali differenze tra le due configurazioni.

Configurazione Manuale

È possibile configurare manualmente una policy DLP di Adaptive Protection come un qualsiasi altra Policy, è sufficiente selezionare il livello di rischio insider per la protezione adattiva e la condizione per cui venga applicata.

Quick Setup

Se si usa la configurazione rapida per configurare la funzionalità di Adaptive Protection in Insider Risk le policy DLP vengono create automaticamente. Questa funzionalità creerà una policy per Teams ed Exchange Online con due regole, una per il profilo di rischio elevato ed una per i livelli di rischio moderato.

Quali ruoli sono necessari?

Per poter attivare la funzionalità sono necessari uno dei seguenti ruoli:

Compliance administrator
Compliance Data administrator
Organization management (Users who are not global administrators must be Exchange administrators to see and take action on devices that are managed by Basic Mobility and Security for Microsoft 365)
Global administrator
DLP compliance management
View-only DLP compliance management

Naturalmente come Microsoft stessa consiglia usate sempre il ruolo con il minor numeri di autorizzazioni possibili. Per la visualizzazione dei ruoli potete eventualmente fare riferimento al link ufficiale Microsoft Microsoft Entra built-in roles – Microsoft Entra ID | Microsoft Learn

Ora vi mostro sui singoli Workload di Microsoft 365 cosa è possibile fare.

Policy DLP per Teams ed Exchange Online (Quick Setup)

Di seguito vi riporto le configurazione che verranno fatta quando si sceglie la configurazione rapida per i workload di Teams ed Exchange Online, la policy verrà chiamata “Adaptive Protection policy for Teams and Exchange DLP”

Rule: Adaptive Protection block rule for Teams and Exchange DLP

DLP policy element	Configured value
Conditions	Insider risk level for Adaptive Protection is – Elevated Risk Level AND – Content is Shared from Microsoft 365 With people outside my organization
Actions	Restrict access or encrypt the content in Microsoft 365 locations – Block only people outside your organization
User Notification	On – Notify user with a policy tip – Notify the user who sent, shared, or last modified the content
User Override	Off
Incident reports	On – Severity Level – Low – Send alert every time an activity matches the rule
Additional Options	Off
Status	Run the policy in simulation mode – Policy Tips not selected

Rule: Adaptive Protection audit rule for Teams and Exchange DLP

DLP policy element	Configured value
Conditions	Insider risk level for Adaptive Protection is – Moderate Risk Level, Minor Risk Level AND – Content is Shared from Microsoft 365 With people outside my organization
Actions	None
User Notification	On – Notify user with a policy tip – Notify the user who sent, shared, or last modified the content
User Override	Off
Incident reports	On – Severity Level – Low – Send alert every time an activity matches the rule
Additional Options	Off
Status	Run the policy in simulation mode – Policy tips not selected

Policy values for Devices DLP policy (Quick Setup)

Di seguito invece vengono riportate le configurazione relativa al Quick Setup per Endpoint DLP, con la policy che verrà chiamata “Adaptive Protection policy for Endpoint DLP”, per un corretto funzionamento della Protezione Adattiva negli Endpoint è necessario abilitare l’analisi e la protezione della classificazione avanzata oppure se viene utilizzata la creazione manuale selezionare come condizione “Tipo di File”.

Rule: Adaptive Protection block rule for Endpoint DLP

DLP policy element	Configured value
Conditions	Insider risk level for Adaptive Protection is – Elevated Risk Level AND – File Type is – Word processing – Spreadsheet – Presentation – Archive – Mail
Actions	Audit or Restrict activities on Devices – Upload to a restricted cloud service domain or access from unallowed browsers – Block File activities for all apps – Apply restrictions to specific activity – Copy to clipboard – Block – Copy to removable USB device – Block – Copy to network share – Block – Print – Block Restricted App activities – Access by restricted apps – Block
User Notification	Off
User Override	Off
Incident reports	On – Severity Level – Low – Send alert every time an activity matches the rule
Additional Options	Off
Status	Run the policy in simulation mode – Policy Tips option not selected

Rule: Adaptive Protection rule for Endpoint DLP

DLP policy element	Configured value
Conditions	Insider risk level for Adaptive Protection is – Moderate Risk Level, Minor Risk Level AND – File Type is – Word processing – Spreadsheet – Presentation – Archive – Mail
Actions	Audit or Restrict activities on Devices – Upload to a restricted cloud service domain or access from unallowed browsers – Audit File activities for all apps – Apply restrictions to specific activity – Copy to clipboard – Audit – Copy to removable USB device – Audit – Copy to network share – Audit -Print – Audit Restricted App activities – Access by restricted apps – Audit
User Notification	Off
User Override	Off
Incident reports	On – Severity Level – Low – Send alert every time an activity matches the rule
Additional Options	Off
Status	Run the policy in simulation mode – Policy tips option not selected

Per eventuali approfondimenti vi rimando al link ufficiale Microsoft Learn about Adaptive Protection in data loss prevention | Microsoft Learn

Quali licenze sono necessarie per utilizzare questa funzionalità?

Vi riporto le licenze necessarie per l’uso della funzionalità sia DLP che Insider Risk:

Microsoft 365 E5/A5/G5
Microsoft Purview Suite/EDU/GOV e Microsoft Defender + Purview Suite
Microsoft 365 E5/A5/F5/G5 Insider Risk Management

Come sempre per le licenze il sito di Aaron Dinnage rimane un punto fondamentale Home | Microsoft 365 Licensing Diagrams, Feature Matrix, Tenant Tools, and Information | M365 Maps

Come implemento questa funzionalità?

La prima operazione che dovrete fare è recarvi all’interno del portale di Microsoft Purview

Figura 1: Analytics abilitato che è un prerequisito per procedere con la funzionalità di protezione Adattiva

Figura 2: Abilitazione della funzionalità di Adaptive Protection

Figura 3: Portale Purview, sezione Insider Risk e Adaptive Protection, nel mio caso utilizzerò Data Loss Prevention

Ora possiamo procedere a creare una policy di Insider Risk Management

Figura 4: Creazione Policy di Insider Risk Management

Figura 5: Forniamo nome e descrizione alla policy di Insider Risk che stiamo creando

Figura 6: Scegliamo l’utente a cui applicare la policy, nel mio caso utente demo Mario Rossi

Figura 7: Decidiamo il contenuto da prioritizzare

Figura 8: Scegliere gli indicatori necessari per eseguire il “trigger” della policy

Figura 9: Selezionare le opzioni di Detection

Figura 10: Proseguiamo con la configurazione

Figura 11: Assegnazione e configurazione del rischio per la policy di Insider Risk creata in precedenza

E’ possibile modificare il livello e le operazioni che definiscono il rischio degli utenti, in questo modo le configurazioni sono estremamente personalizzabili.

Figura 12: Edit del rischio Moderato

Figura 13: Attività che possono essere inserite per la modifica del livello di rischio

Figura 14: Una volta scelte le impostazioni e aver selezionato la spunta evidenziata, salvate la configurazione

Figura 15: Policy creata in modo corretto

Ora è possibile creare una Policy di Conditional Access per bloccare l’accesso a risorse aziendali per gli utenti che la protezione adattiva identifica con la soglia di Rischio, per farlo accedete all’interfaccia amministrativa di Microsoft Entra

Figura 16: Creazione policy di Conditional Access per la componente di Insider Risk Management

Figura 17: Assegnazione della policy all’utente Demo, nel vostro caso potete assegnarla secondo i criteri che deciderete

Figura 18: Assegnazione della policy a tutte le APP e come condizione il rischio, che andrete a decidere, di Insider Risk, per demo ho selezionato tutte e 3 le categorie di rischio

Figura 19: Come grant “Block Access” e per test vi consiglio di configurarla in Report-Only

Figura 20: Policy creata correttamente e presente a portale

Questo il sito di SharePoint Online in cui sono presenti dati sensibili per l’organizzazione

Figura 21: Sito SharePoint contenente dati sensibili

Figura 22: Alcuni file contengono anche delle sensitivity label che sono incluse nella policy di Insider Risk Management

Ora con l’utente di demo Mario Rossi, ho provveduto a simulare una data esflitration con Download massivo dei contenuti dal sito di SharePoint online per far scattare la regola di Insider Risk Management, per vedere se la regola di insider Risk ha eseguito correttamente il Match è possibile accedere all’interfaccia di Microsoft Purview

Figura 23: Alert presenti all’interno in Insider Risk dopo le azioni compiute dall’utente Mario Rossi

Figura 24: Utente Mario Rossi che dopo le attività è considerato a rischio alto come Insider Risk

Figura 25: Adaptive Protection che segnala, dopo azioni di Mario Rossi, l’utente con rischio elevato

Figura 26: Adaptive Protection sull’utente Mario Rossi di demo

Ora simulando l’accesso attraverso l’utente di demo Mario Rossi, verifichiamo la Conditional Access policy se ha eseguito correttamente il match:

Figura 27: Conditional Access che avrebbe eseguito il match e quindi avrebbe bloccato l’utenza

Conclusioni

Dopo aver lavorato sul campo con diverse implementazioni, la mia convinzione è che Adaptive Protection non vada vista come l’ennesima funzionalità da “accendere e dimenticare”. Il suo valore emerge solo quando i livelli di rischio vengono calibrati sulla realtà dell’organizzazione, non su impostazioni di default. Ho visto aziende ottenere risultati concreti proprio perché hanno accettato che il tuning richiede tempo, revisioni periodiche e un dialogo continuo tra security team e HR.

Il vero cambio di paradigma sta nel passaggio da controlli statici a policy che si adattano dinamicamente al comportamento dell’utente. Meno frizione per chi lavora correttamente, controlli più stringenti dove serve davvero. È un equilibrio delicato, ma è la direzione giusta.