Data Loss Prevention (DLP): ochrana dat, která nesmí překážet

Minule jsme si řekli, že citlivostní štítek dá dokumentu jméno – „tohle je důvěrné, tamto veřejné”. Jenže jméno samo o sobě nikoho nezastaví. Štítek klasifikuje; teprve DLP vynucuje. Je to ta vrstva, která zasáhne ve chvíli, kdy se někdo pokusí poslat mzdovou tabulku ven nebo nahrát smlouvu na soukromý disk.

A právě tady se skrývá největší past celého tématu. DLP (Data Loss Prevention, tedy prevence úniku dat) se dá nastavit tak přísně, že zablokuje i běžnou práci – a v tu chvíli se stane pravý opak toho, co jste chtěli: lidé se naučí ochranu obcházet, posílat soubory přes soukromý e-mail a WhatsApp, a data vám unikají ještě víc než předtím. Dobré DLP není to nejpřísnější. Je to to, které chrání, aniž si toho většina lidí vůbec všimne.

Zkráceně pro netrpělivé

Než se pustíme do detailů, tady je celé téma v pěti bodech:

• Co to je: sada pravidel, která hlídají citlivý obsah a zasáhnou, když s ním někdo zachází rizikově – pošle ho ven, nasdílí externě, zkopíruje na USB.
• Jak pozná citlivý obsah: buď podle citlivostního štítku (návaznost na minulý díl), nebo podle obsahu samotného – Microsoft umí rozpoznat přes 300 vzorů jako rodná čísla, čísla karet nebo IBAN.
• Co umí udělat: od nejmírnějšího po nejtvrdší – jen zaznamenat, upozornit uživatele („tohle posíláte ven, opravdu?”), nebo akci rovnou zablokovat.
• Co potřebujete: základní DLP pro SharePoint, OneDrive a e-mail máte už v Business Premium a E3. Ochrana koncových zařízení a Teams je až v E5 (nebo add-onu).
• Hlavní riziko: přehnaně přísné DLP nasazené naráz. Proto se vždy začíná v tichém režimu, který nic neblokuje – jen ukazuje, co by zablokoval.

Pokud vám tohle stačí, máte hlavní obrázek. Kdo chce vědět, jak politiky postavit a kde jsou pasti, čte dál.

Co je DLP doopravdy

DLP politika se skládá ze dvou částí, a když je pochopíte, pochopíte celé DLP: podmínka (co hlídat) a akce (co s tím udělat).

Podmínka – jak DLP pozná, že jde o citlivý obsah. Má na to dvě cesty:

• Podle citlivostního štítku. Tady se přímo napojuje minulý díl. Řeknete DLP: „cokoli označené štítkem Důvěrné nesmí ven”. Štítek je podmínka, DLP je vynucení. Proto spolu štítky a DLP tvoří dvojici – jedno bez druhého je půlka řešení.
• Podle obsahu samotného. DLP umí nahlédnout dovnitř dokumentu nebo e-mailu a rozpoznat citlivé vzory. Microsoft dodává přes 300 hotových „typů citlivých informací” – rodná čísla, čísla platebních karet, IBAN pro víc než sto zemí, čísla pasů. Nemusíte tedy nic předem štítkovat: DLP pozná číslo karty, i když na dokumentu žádný štítek není.

V praxi se obě cesty kombinují: štítek pokryje to, co lidé vědomě klasifikovali, a detekce obsahu chytí to, na co se zapomnělo.

Akce – co se stane, když podmínka platí. A tady je celá jemnost DLP, protože akcí je celá škála od neviditelné po tvrdou:

• Jen zaznamenat – nikdo nic nepozná, jen se událost zaloguje pro přehled.
• Upozornit uživatele – vyskočí takzvaný policy tip: „Tento e-mail obsahuje číslo karty, opravdu ho chcete poslat ven?” Uživatel se rozhodne sám. Tohle je nejsilnější nástroj DLP, o kterém se nejmíň mluví – protože vychovává, místo aby trestal.
• Vyžádat zdůvodnění – uživatel může pokračovat, ale musí napsat proč. Skvělé pro hraniční případy.
• Zablokovat – akce se neprovede. Rezervováno pro to opravdu citlivé.

Kde všude DLP působí

Jedna z věcí, které firmy u DLP podceňují, je jeho dosah. Nepůsobí jen v jednom rohu Microsoftu, ale napříč celým prostředím:

• SharePoint a OneDrive – hlídá sdílení souborů, zvlášť to externí.
• Exchange (e-mail) – nejčastější místo úniku: citlivá příloha odeslaná ven.
• Teams – zprávy v chatech a kanálech.
• Koncová zařízení (Endpoint) – kopírování na USB, tisk, nahrání do cizí cloudové služby, vložení do prohlížeče. Tady DLP hlídá i to, co se děje mimo Microsoft.
• Microsoft 365 Copilot – a tohle je novinka, ke které se za chvíli vrátíme: DLP umí zabránit tomu, aby AI vůbec sáhla na citlivě označený obsah.

Ne všechny tyhle oblasti dostanete v základní licenci – k tomu za moment.

Co k tomu potřebujete

Licenční rozdělení je u DLP důležitější než u štítků, protože „kde DLP působí” přímo závisí na tom, co máte zaplacené:

• Microsoft 365 Business Premium a E3 obsahují základní DLP pro Exchange, SharePoint a OneDrive. To pokryje nejčastější scénář – únik přes e-mail a externí sdílení – a pro většinu menších firem je to solidní start.
• Microsoft 365 E5 (nebo add-on E5 Compliance) rozšiřuje DLP na koncová zařízení (Endpoint) a Teams, přidává automatické štítkování a napojení na cizí cloudové aplikace. Endpoint DLP – ta ochrana proti USB a kopírování – je právě to, co odděluje E3 od E5.
• Pro zákazníky Business Premium navíc Microsoft od podzimu 2025 nabízí samostatné add-on balíčky (Information Protection & DLP včetně Endpoint DLP), takže i menší firma se dnes dostane k pokročilé ochraně, aniž by musela na E5.

A uživatelé bez licence? DLP se vynucuje na úrovni služby a váže se na obsah spravovaný licencovaným uživatelem – ne na toho, kdo k němu přistupuje. Když licencovaný zaměstnanec dokument vlastní nebo sdílí, politika ho ohlídá i tehdy, když s ním pracuje host bez vlastní licence. Rozdíl dělá jen kde DLP působí: základní ochranu mailu a SharePointu (E3/Business Premium) dostanou všichni dotčení, ale Endpoint a Teams DLP se aktivují jen pro uživatele s E5 – protože se licencují na každého konkrétního uživatele zvlášť.

Vše se nastavuje v portálu Microsoft Purview, ve stejné konzoli jako citlivostní štítky. Není to náhoda – Microsoft je záměrně staví jako jeden celek.

Jak DLP nezablokuje běžnou práci

Teď to nejdůležitější, a důvod, proč tolik DLP projektů skončí špatně. Existuje pokušení zapnout DLP „na tvrdo” hned první den – všechno blokovat, ať je klid. Je to nejrychlejší cesta ke katastrofě: během hodiny máte zablokované legitimní e-maily, naštvané obchodníky a IT zavalené tikety. A do týdne lidé posílají citlivé soubory přes soukromé kanály, kam DLP nedosáhne.

Osvědčený postup jde přesně opačně – od neviditelného k přísnému:

1. Simulační režim. DLP se zapne, ale nic neblokuje – jen tiše loguje, co by zablokoval. Necháte to běžet týdny na reálném provozu a uvidíte, kolik zásahů je skutečné riziko a kolik plané poplachy. Tenhle krok nikdy nevynechávejte.
2. Policy tips – varování. Když ze simulace víte, že politika sedí, zapnete upozornění. Uživatel dál může všechno, ale u rizikové akce dostane hlášku. Většina lidí se v tu chvíli sama zastaví – a vy sbíráte reálná data o tom, co politika dělá.
3. Blokování až nakonec, a jen kde dává smysl. Tvrdý blok si nechte na to nejcitlivější a na scénáře, kde jste si simulací i varováním ověřili, že plané poplachy jsou minimum.

Dvě věci, které tenhle přístup drží pohromadě: možnost obejít blok se zdůvodněním (u hraničních případů člověk napíše proč a pokračuje – vy máte záznam, on není zablokovaný) a pilot na malé skupině dřív, než politiku pustíte na celou firmu. Plané poplachy nejsou detail – každý zbytečný blok podkopává důvěru v celý systém.

DLP a AI: nový a nejdůležitější scénář

Vraťme se ke Copilotu, protože tady DLP získalo úplně nový rozměr. Od jara 2026 je obecně dostupné DLP pro Microsoft 365 Copilot: pravidlo, které řekne „obsah s tímhle štítkem se nesmí použít jako podklad pro AI odpovědi”. Copilot pak citlivě označený dokument do odpovědi nezahrne – bez ohledu na to, kde je uložený.

To je zásadní posun. Do teď byla poslední pojistka proti tomu, aby AI vytáhla něco citlivého, v oprávněních. DLP for Copilot přidává druhou: i když uživatel na dokument právo má, DLP může zabránit tomu, aby ho AI použila. Přesně tady se konečně „aktivuje” ten pátý štítek z minulého dílu – Bez AI není jen nálepka, ale přes DLP vynutitelné pravidlo.

Jak jsme psali u štítků: každé AI řešení se štítky nakládá po svém. Microsoft 365 Copilot přes DLP for Copilot; náš EP365 AI Chat dnes vymezuje, co AI uvidí, přes oprávnění a vymezený rozsah zdrojů (a přímé respektování štítků je směr, kterým ho rozvíjíme). Společné je jedno pravidlo: než jakoukoli AI nad firemními daty spustíte, mějte jasno, čím je citlivý obsah z jejího dosahu držen.

Několik politik, se kterými se dá začít

Podobně jako u štítků platí i tady „méně je víc”. Nezačínejte třiceti politikami – začněte třemi až čtyřmi, které pokryjí nejčastější rizika:

1. Blok externího sdílení pro štítek „Přísně důvěrné”. Nejjednodušší napojení na minulý díl: co je označené nejvýš, nesmí ven. Jedna politika, jasné pravidlo.
2. Varování u rodných čísel a čísel karet v odchozím e-mailu. Detekce obsahu, akce jen policy tip. Odchytí nejčastější neúmyslný únik, aniž kohokoli zablokuje.
3. Vyloučení citlivého obsahu z Copilota. DLP for Copilot na štítky „Přísně důvěrné” a „Bez AI”. Aby AI nesahala tam, kam nemá.
4. (volitelně, s E5) Varování při kopírování „Důvěrné” na USB. Endpoint DLP v mírném režimu – lidi to upozorní, vy vidíte, kudy data z firmy odtékají.

Každou z nich nasaďte nejdřív v simulaci, pak jako varování, a teprve pak zvažte blok. Čtyři dobře odladěné politiky ochrání víc než třicet, které lidé obcházejí.

Co si z toho odnést

Tři věty na závěr:

1. Štítek klasifikuje, DLP vynucuje. Jedno bez druhého je půlka řešení – klasifikace bez vynucení je jen nálepka.
2. Nejlepší DLP není nejpřísnější, ale nejméně nápadné. Simulace, pak varování, blok až nakonec a jen kde dává smysl. Přehnaná přísnost učí lidi ochranu obcházet.
3. DLP je poslední pojistka i pro AI. DLP for Copilot drží citlivý obsah mimo dosah AI i tam, kde by oprávnění samo nestačilo.

---

V EP365 pomáháme firmám nastavit DLP tak, aby chránilo a přitom nebrzdilo – od návrhu politik přes simulační fázi až po napojení na citlivostní štítky a Copilot. Nejčastěji to řešíme jako součást návrhu governance nebo auditu zabezpečení. Pokud nevíte, kterými třemi politikami začít u vás, napište nám – projdeme to nad vaším konkrétním prostředím.

V dalším díle se přesuneme od ochrany k životnímu cyklu obsahu: jak nastavit retenci a archivaci tak, aby vám v SharePointu nezůstávaly roky starý balast – a proč na tom záleží víc, než se zdá, právě kvůli AI.