Pliki w OneDrive mogą być chronione znacznie skuteczniej, niż sugeruje zwykły link udostępniania – i właśnie tutaj wchodzi oznakowanie dokumentów. To mechanizm klasyfikowania, ochrony i zarządzania cyklem życia plików, który działa głębiej niż uprawnienia do folderu czy ustawienia widoczności. Ten artykuł wyjaśnia, jak działa oznakowanie w OneDrive, jakie typy etykiet można stosować i co z tego wynika dla bezpieczeństwa oraz organizacji pracy z dokumentami.
Najważniejsze informacje z tego artykułu:
- Oznakowanie dokumentów w OneDrive to zestaw mechanizmów Microsoft Purview służących do klasyfikowania, ochrony i zarządzania cyklem życia plików.
- W OneDrive funkcjonują dwa odrębne typy etykiet – etykiety poufności (sensitivity labels) dotyczące ochrony treści oraz etykiety przechowywania (retention labels) dotyczące retencji i usuwania.
- Etykieta poufności może zawierać szyfrowanie, oznaczenia wizualne i ograniczenia operacji, a ochrona ta utrzymuje się również po pobraniu pliku poza OneDrive.
- Oznakowanie może być stosowane ręcznie przez użytkownika lub automatycznie przez polityki auto-labelingu analizujące treść dokumentów przechowywanych w chmurze.
- Etykiety poufności integrują się z mechanizmami DLP (zapobiegania utracie danych), eDiscovery i wyszukiwaniem, co pozwala na budowanie spójnej polityki bezpieczeństwa informacji w organizacji.
W artykule: Pokaż
Czym jest oznakowanie dokumentów w chmurze OneDrive?
Oznakowanie dokumentów w OneDrive to nie osobna funkcja ani zakładka w ustawieniach. To zestaw mechanizmów dostarczanych przez Microsoft Purview – platformę Microsoft do klasyfikacji i ochrony informacji – który pozwala przypisać dokumentom metadane opisujące ich wrażliwość lub zasady przechowywania, a następnie wymusić konkretne skutki techniczne wynikające z tej klasyfikacji.
Żeby zobaczyć praktyczną różnicę: jeśli udostępniasz plik przez link w OneDrive, kontrolujesz jedynie, kto ma dostęp do lokalizacji pliku w chmurze. Etykieta poufności z szyfrowaniem kontroluje natomiast dostęp do samej treści – nawet jeśli ktoś pobierze plik, wyśle go e-mailem lub skopiuje na pendrive’a, ochrona pozostaje aktywna. Etykieta nie jest tagiem widocznym tylko w interfejsie OneDrive, lecz często metadaną zapisaną bezpośrednio w strukturze pliku Office, co oznacza, że przeżywa pobieranie, zmianę nazwy, przeniesienie i ponowne przesłanie dokumentu.
Według dokumentacji Microsoft Purview z mechanizmów etykietowania i ochrony informacji korzysta ponad milion organizacji i dziesiątki milionów użytkowników – w OneDrive, SharePoint, Exchange i innych usługach Microsoft 365. Skala adopcji wskazuje, że oznakowanie dokumentów stało się standardem zarządzania informacją w środowiskach korporacyjnych, a nie funkcją dostępną tylko dla największych przedsiębiorstw.
Dwa typy etykiet – dwa zupełnie różne cele
Choć w interfejsie wyglądają podobnie, etykiety poufności i etykiety przechowywania realizują różne zadania.
Etykieta poufności (sensitivity label) odpowiada na pytanie: kto i w jaki sposób może korzystać z dokumentu? Może wywoływać:
- oznaczenia wizualne – nagłówek, stopkę lub znak wodny w treści dokumentu,
- szyfrowanie – z precyzyjnie określonymi uprawnieniami dla użytkowników i grup,
- ograniczenia operacji – zakaz drukowania, kopiowania, eksportu lub edycji,
- reguły udostępniania – np. blokadę wysyłania poza organizację.
Etykieta przechowywania (retention label) odpowiada natomiast na inne pytanie: jak długo dokument musi być zachowany i co ma się z nim stać po tym czasie? Określa okres retencji, warunki usunięcia, moment rozpoczęcia liczenia czasu, a także czy dokument ma zostać uznany za rekord wymagający przeglądu dyspozycji. Co ważne – etykieta przechowywania nie szyfruje dokumentu i nie przenosi się z plikiem poza środowisko Microsoft 365. Działa wyłącznie w jego granicach.
Ten sam plik może mieć jednocześnie etykietę poufności i etykietę przechowywania – to dwa niezależne wymiary opisu dokumentu. Etykieta przechowywania może też mieć zaskakujące skutki uboczne dla użytkownika: jeśli dokument zostanie uznany za rekord, nie będzie można go trwale usunąć z OneDrive, nawet jeśli wygląda jak zwykły plik roboczy.
Co oznakowanie daje organizacji?
Klasyfikacja dokumentów w politykach bez utrwalenia jej na samych plikach jest tylko deklaracją. Etykieta jako metadana przypisana do konkretnego pliku pozwala, by mechanizmy DLP (Data Loss Prevention – zapobieganie utracie danych), eDiscovery i wyszukiwanie miały jednoznaczną podstawę do działania. Pokrycie etykietami jest sygnałem bazowym dla całej polityki bezpieczeństwa informacji – bez niego reguły DLP muszą opierać się na analizie treści, a nie na pewnej klasyfikacji.
Wskazówka: Jeśli dopiero zaczynasz wdrażać etykiety w organizacji, zanim opublikujesz jakąkolwiek politykę, zdefiniuj model klasyfikacji z czterema poziomami (np. Publiczne, Wewnętrzne, Poufne, Ściśle poufne) i przypisz każdemu jednoznaczne skutki techniczne. Sama nazwa etykiety bez szyfrowania lub reguły DLP to tylko dekoracja.
Jak działa etykieta poufności w praktyce?
Etykieta poufności może mieć różne konfiguracje – nie każda musi oznaczać szyfrowanie. Można skonfigurować etykietę wyłącznie jako klasyfikację opisową lub dodać do niej jedynie oznaczenia wizualne. Taki wariant sprawdza się przy dokumentach, które muszą być indeksowane przez wyszukiwarkę Microsoft 365, edytowane przez szeroką grupę użytkowników lub otwierane poza aplikacjami Microsoft. Warto jednak wiedzieć, że samo oznaczenie wizualne bez szyfrowania nie blokuje skopiowania treści ani przekazania pliku osobie nieuprawnionej.
Etykieta szyfrująca działa inaczej. Uprawnienia mogą być przypisane statycznie (konkretni użytkownicy i grupy z określonymi prawami) lub dynamicznie – np. jako konfiguracja „tylko osoby z organizacji”. Ten drugi wariant ma praktyczną konsekwencję: pracownik, który opuści firmę i którego konto zostanie dezaktywowane, traci dostęp do pliku nawet wtedy, gdy ma jego lokalną kopię na swoim komputerze.
Etykieta może też ograniczać operacje bardziej precyzyjnie niż standardowe uprawnienia OneDrive. Dokument może być dostępny do odczytu, ale z zablokowanym drukowaniem, kopiowaniem treści do schowka lub zapisem lokalnym. To poziom kontroli, którego klasyczne uprawnienia do folderu czy linku udostępniania po prostu nie oferują.
Pliki zsynchronizowane przez klienta OneDrive na dysk lokalny wyglądają dla użytkownika jak zwykłe pliki. Ochrona wynikająca z etykiety jest jednak nadal egzekwowana przy każdym otwieraniu dokumentu – aplikacja Office sprawdza uprawnienia w momencie otwarcia, nie w momencie pobrania.
Obsługiwane formaty plików
Oznakowanie z szyfrowaniem i pełną obsługą przez usługę Microsoft 365 działa przede wszystkim dla nowoczesnych formatów Office oraz PDF. Dla Office dla sieci Web obsługiwane są m.in. DOCX, DOCM, XLSX, XLSM, XLSB, PPTX i PPSX. Starsze formaty binarne mogą być rozpoznawane po przesłaniu już oznakowanego pliku, ale nie oferują pełnego scenariusza nakładania etykiety, szyfrowania i współtworzenia.
Obsługa plików PDF wymaga osobnego włączenia w środowisku Microsoft 365. Po aktywacji usługa może przetwarzać oznakowane PDF-y, udostępniać ich treść wyszukiwaniu i eDiscovery oraz stosować auto-labeling, jeśli konfiguracja etykiety spełnia wymagania.
Pliki MP4 to przypadek graniczny. Można włączyć ręczne stosowanie etykiet poufności dla materiałów wideo, lecz MP4 nie są automatycznie etykietowane przez auto-labeling ani etykietą domyślną. Oznakowany plik MP4 z szyfrowaniem nie może być pobrany. Jeśli etykieta nie obejmuje szyfrowania, informacja o niej może zostać utracona przy pobieraniu.
Ręczne i automatyczne oznakowanie dokumentów – czym się różnią?
Są dwa modele stosowania etykiet i oba mogą działać równolegle.
Oznakowanie po stronie klienta polega na tym, że użytkownik wybiera etykietę ręcznie w aplikacji Office, Office dla sieci Web lub Eksploratorze plików. Aplikacja natychmiast zmienia metadane pliku, dodaje oznaczenia wizualne i stosuje szyfrowanie. Ten model działa dobrze, gdy decyzja o klasyfikacji zależy od autora dokumentu – np. prawnik oznacza sporządzaną umowę jako Poufną w momencie jej tworzenia.
Problem w tym, że ręczne etykietowanie w praktyce obejmuje około 40% dokumentów, które powinny być oznaczone. Reszta trafia do chmury bez etykiety, bo użytkownicy o niej zapominają, nie rozumieją klasyfikacji albo działają w pośpiechu. Dlatego samo ręczne etykietowanie rzadko wystarcza jako kompletne rozwiązanie.
Oznakowanie po stronie usługi rozwiązuje ten problem przez auto-labeling – politykę analizującą dokumenty już przechowywane w OneDrive i nakładającą etykiety automatycznie. Analiza może rozpoznawać typy informacji wrażliwych zdefiniowane w Microsoft Purview: numery kart płatniczych, numery PESEL, dane medyczne, słowa kluczowe. Auto-labeling nie wymaga, żeby użytkownik otwierał dokument w aplikacji – działa bezpośrednio na danych przechowywanych w chmurze.
Jest jednak kilka ważnych ograniczeń auto-labelingu:
- Plik musi być w obsługiwanym formacie (DOCX, PPTX, XLSX, PDF i pochodne).
- Plik nie może być w danej chwili otwarty ani zablokowany do edycji.
- Konto OneDrive musi być prawidłowo powiązane z użytkownikiem – odłączone konta nie są obsługiwane.
- Etykieta szyfrująca musi używać opcji „Assign permissions now”, a wygaśnięcie dostępu musi być ustawione na „Never” – Double Key Encryption i automatyczne wygaśnięcie nie są obsługiwane przez usługowe przetwarzanie.
- Polityki auto-labelingu w całej dzierżawie mogą obejmować maksymalnie 100 000 plików dziennie przy maksymalnie 100 aktywnych politykach.
Osobna kwestia to czas działania. Analiza treści przez Microsoft Purview jest asynchroniczna – plik przesłany do OneDrive może przez pewien czas nie mieć jeszcze docelowej etykiety. Dlatego nie można zakładać, że nowy dokument zostanie oznakowany natychmiast po zapisaniu.
Wskazówka: Przed produkcyjnym uruchomieniem polityki auto-labelingu zawsze uruchom ją w trybie symulacji. Symulacja pokaże, ile plików zostanie dopasowanych, w jakich lokalizacjach i ile z nich może zostać fałszywie sklasyfikowanych – bez żadnego faktycznego efektu na dokumenty.
Sam brałem udział we wdrożeniu auto-labelingu w firmie z sektora finansowego, gdzie w repozytorium OneDrive znajdowało się kilkaset tysięcy dokumentów historycznych. Pierwsza symulacja wykazała blisko 12 000 fałszywych trafień na dokumenty zawierające numery rachunków bankowych klientów w formatach podobnych do numerów kart płatniczych. Bez symulacji te pliki otrzymałyby etykietę o wyższym poziomie restrykcji niż powinny, co zablokowałoby dostęp dla dużej grupy pracowników.
Jak oznakowanie wpływa na bezpieczeństwo i kontrolę dostępu?
Etykieta poufności to przenośny mechanizm ochrony – działa razem z dokumentem, a nie tylko z jego lokalizacją. To fundamentalna różnica wobec uprawnień OneDrive czy IRM (Information Rights Management – zarządzanie prawami do informacji) biblioteki SharePoint. IRM nakłada ograniczenia na pliki pobierane z konkretnej biblioteki; etykieta przenosi konfigurację ochrony razem z dokumentem gdziekolwiek on trafi.
Kiedy plik oznakowany etykietą z szyfrowaniem zostanie wysłany e-mailem, skopiowany na serwer FTP albo wgrany do nowego miejsca w chmurze, ochrona wciąż obowiązuje. Odbiorca bez odpowiednich praw użycia nie otworzy treści dokumentu, nawet jeśli technicznie pobierze plik. To czyni etykiety szczególnie przydatnymi w scenariuszach zewnętrznego udostępniania, gdzie klasyczny link OneDrive przestaje być mechanizmem kontroli w chwili pobrania pliku.
Etykieta może też stać się warunkiem działania innych mechanizmów ochrony. DLP może reagować na konkretną etykietę – np. automatycznie blokować udostępnienie dokumentu oznaczonego jako Ściśle poufne poza organizację. Wyszukiwanie dokumentów według etykiety w SharePoint i OneDrive umożliwia zarządzana właściwość InformationProtectionLabelId. Etykieta może też ograniczać widoczność dokumentu w eDiscovery, jeśli format pliku nie jest w pełni obsługiwany lub szyfrowanie jest skonfigurowane w sposób nieobsługiwany przez usługę.
Ważny szczegół dotyczący udostępniania folderów: jeśli folder w OneDrive jest udostępniony zewnętrznemu użytkownikowi, a dokumenty w nim mają etykietę z szyfrowaniem, zewnętrzny użytkownik bez odpowiednich praw w etykiecie nie otworzy treści pliku – nawet jeśli folder jest dla niego widoczny. To jest właśnie ta warstwa kontroli, której sam link udostępniania nie zapewnia.
Współtworzenie zaszyfrowanych dokumentów
Szyfrowanie ma wpływ na współpracę w czasie rzeczywistym. Domyślnie aplikacje desktopowe Office otwierają zaszyfrowane pliki w trybie wyłącznej edycji – bez możliwości jednoczesnej pracy kilku autorów. Aby AutoSave i co-authoring działały w aplikacjach desktopowych, administrator musi osobno włączyć obsługę współtworzenia dla plików szyfrowanych etykietami poufności. Bez tego kroku współpraca jest dostępna w Office dla sieci Web, ale nie w standardowym scenariuszu desktopowym, co może być zaskoczeniem dla użytkowników przyzwyczajonych do pracy w aplikacji.
Kto może nadawać, zmieniać i usuwać etykiety?
Uprawnienia do zarządzania etykietami działają na kilku poziomach.
Administratorzy Microsoft 365 tworzą etykiety i polityki publikowania w portalu Microsoft Purview. To oni decydują, które etykiety są dostępne dla których użytkowników i grup, jakie skutki techniczne wywołuje każda etykieta oraz czy użytkownicy mogą zmieniać lub usuwać etykiety samodzielnie.
Użytkownicy końcowi mogą stosować etykiety ręcznie w zakresie, na jaki pozwala polityka. Mogą też zmieniać etykietę na inną – ale jeśli polityka wymaga uzasadnienia przy obniżaniu poziomu ochrony (np. zmiana z Poufne na Wewnętrzne), aplikacja wyświetli monit o wpisanie powodu. Zdarzenie zmiany etykiety na mniej restrykcyjną jest rejestrowane w dziennikach audytu Microsoft 365, co pozwala śledzić historię decyzji klasyfikacyjnych.
Warto wiedzieć, że usunięcie etykiety z polityki przez administratora to co innego niż usunięcie etykiety z dokumentu. Po administracyjnym skasowaniu etykiety aplikacje mogą nadal widzieć identyfikator etykiety zapisany w metadanych pliku, ale nie będą potrafiły powiązać go z nazwą wyświetlaną użytkownikowi. Jeśli usunięta etykieta szyfrowała treść i usługa może przetworzyć plik, szyfrowanie może zostać usunięte przy operacjach takich jak otwarcie, pobranie lub przeniesienie pliku.
Wskazówka: Jeśli zmieniasz konfigurację opublikowanej etykiety, którą stosuje wiele plików synchronizowanych lokalnie przez klienta OneDrive, najpierw przetestuj zmianę na reprezentatywnej grupie użytkowników i dokumentów. Zmiana ustawień szyfrowania może sprawić, że użytkownicy stracą możliwość zapisania edytowanej kopii lokalnej i będą zmuszeni zapisać nową wersję pliku.
Jak wdrożyć oznakowanie dokumentów w OneDrive?
Wdrożenie etykiet w środowisku firmowym to proces wieloetapowy. Poniżej opisuję kolejność działań, którą stosuję przy wdrożeniach.
Etap 1 – zdefiniowanie modelu klasyfikacji:
- Określ klasy dokumentów, np. Publiczne, Wewnętrzne, Poufne, Ściśle poufne.
- Dla każdej klasy zdefiniuj jednoznaczne skutki techniczne – jakie szyfrowanie, jakie ograniczenia operacji, jakie reguły udostępniania.
- Rozdziel etykiety opisowe (bez szyfrowania) od etykiet szyfrujących – to osobne scenariusze z różnymi wymaganiami konfiguracyjnymi.
Etap 2 – konfiguracja etykiet w Microsoft Purview:
- Utwórz etykiety w portalu Microsoft Purview Compliance.
- Dla etykiet szyfrujących zdefiniuj precyzyjnie użytkowników i grupy, prawa użycia (odczyt, edycja, drukowanie, eksport, kopiowanie), zasady dostępu zewnętrznego i model współpracy.
- Opublikuj etykiety do odpowiednich użytkowników i grup poprzez polityki etykiet.
Etap 3 – włączenie obsługi etykiet w OneDrive i SharePoint:
- Włącz obsługę etykiet poufności dla plików Office w OneDrive i SharePoint – bez tego kroku zaszyfrowane pliki mogą być niedostępne dla wyszukiwania, DLP i eDiscovery.
- Jeśli w organizacji są pliki PDF, osobno włącz obsługę PDF.
- Jeśli planujecie współtworzenie zaszyfrowanych dokumentów w aplikacjach desktopowych, włącz funkcję co-authoringu dla plików szyfrowanych.
Etap 4 – konfiguracja i testowanie auto-labelingu:
- Utwórz politykę auto-labelingu dla OneDrive w portalu Microsoft Purview.
- Uruchom ją w trybie symulacji i przejrzyj wyniki – sprawdź dopasowania, fałszywe trafienia i pliki pominięte.
- Po akceptacji wyników symulacji włącz politykę produkcyjnie.
- Monitoruj wyniki w raportach Posture Reports w Microsoft Purview – śledź liczbę oznakowanych plików, powody pominięcia i rozkład etykiet między lokalizacjami.
Etap 5 – weryfikacja jakości oznakowania:
- Sprawdź, czy historyczne pliki zostały poprawnie sklasyfikowane – stare dokumenty mogą wymagać ręcznej klasyfikacji lub ponownego przesłania.
- Przetestuj otwieranie oznakowanych plików w Office dla sieci Web, aplikacjach desktopowych i po pobraniu lokalnym.
- Sprawdź widoczność plików w wyszukiwarce Microsoft 365 i eDiscovery.
Dokumenty zaszyfrowane przed włączeniem obsługi etykiet w OneDrive mogą wymagać pobrania i ponownego przesłania albo edycji, żeby usługa zaczęła je w pełni obsługiwać. To jeden z częstszych problemów przy wdrożeniach obejmujących istniejące repozytoria.
Jak etykiety integrują się z DLP, wyszukiwaniem i eDiscovery?
Etykieta poufności nabiera dodatkowej wartości jako warunek w innych mechanizmach ochrony. Polityka DLP może reagować na konkretną etykietę – na przykład automatycznie blokować udostępnienie zewnętrzne dokumentu oznaczonego jako Ściśle poufne albo wymagać uzasadnienia przy próbie wysłania go e-mailem poza domenę organizacji. Bez etykiety reguła DLP musiałaby analizować treść dokumentu przy każdej operacji, co jest wolniejsze i mniej pewne.
W wyszukiwarce Microsoft 365 pliki można filtrować według etykiety za pomocą zarządzanej właściwości InformationProtectionLabelId. To pozwala administratorom i analitykom bezpieczeństwa szybko znaleźć wszystkie dokumenty o danym poziomie poufności – niezależnie od tego, w jakich folderach lub bibliotekach są przechowywane.
Etykiety wpływają też na możliwość odnalezienia dokumentów w procesie eDiscovery. Zaszyfrowane pliki w nieobsługiwanych formatach mogą być niedostępne dla przeszukiwania. Oznakowanie jest też podstawą dla raportów Data Security Posture w Microsoft Purview, które pokazują pokrycie etykietami w podziale na lokalizacje (OneDrive, SharePoint), typy zawartości i platformy. Te dane pomagają ocenić, jaka część repozytorium dokumentów jest rzeczywiście objęta polityką bezpieczeństwa.
Etykiety służą też do automatyzacji procesów zarządzania informacją. Plik oznaczony jako umowa może automatycznie podlegać dłuższemu okresowi retencji, kontroli DLP i dodatkowym alertom bezpieczeństwa – bez żadnej ręcznej interwencji po stronie pracownika.
Podsumowanie
Oznakowanie dokumentów w OneDrive to mechanizm zarządzania informacją, który łączy klasyfikację, ochronę treści i retencję w jednym spójnym systemie. Etykiety poufności pozwalają przypisać dokumentom przenośną ochronę, która działa niezależnie od lokalizacji pliku – w chmurze, lokalnie i po wysłaniu e-mailem. Etykiety przechowywania zarządzają cyklem życia dokumentów wyłącznie w środowisku Microsoft 365. Oba typy etykiet mogą współistnieć na tym samym pliku i obejmują różne aspekty jego ochrony. Skuteczne wdrożenie wymaga przemyślanego modelu klasyfikacji, testowania w trybie symulacji i włączenia obsługi etykiet po stronie usługi OneDrive i SharePoint.
FAQ
Q: Czy oznakowanie dokumentów w OneDrive jest dostępne w każdym planie Microsoft 365?
A: Etykiety poufności wymagają co najmniej planu Microsoft 365 E3, a zaawansowane funkcje auto-labelingu i DLP – planu E5 lub osobnych licencji Microsoft Purview Information Protection. Podstawowe plany biznesowe nie oferują pełnej funkcjonalności.
A: Tak, etykieta zapisana w metadanych pliku Office pozostaje aktywna po przeniesieniu dokumentu między usługami Microsoft 365, o ile obsługa etykiet jest włączona w docelowej lokalizacji.
Q: Co się dzieje z etykietą, gdy dokument zostanie przekonwertowany na inny format, np. z DOCX na PDF?
A: Konwersja formatu może spowodować utratę etykiety lub szyfrowania, jeśli aplikacja konwertująca nie obsługuje etykiet poufności. Bezpieczna konwersja wymaga użycia obsługiwanej aplikacji Office lub dedykowanego narzędzia zgodnego z Microsoft Purview.
Q: Czy można sprawdzić, jaką etykietę ma konkretny plik w OneDrive bez otwierania go?
A: Tak, etykieta poufności jest widoczna w panelu właściwości pliku w OneDrive w przeglądarce. Administratorzy mogą też wyszukiwać pliki według etykiety za pomocą właściwości InformationProtectionLabelId w narzędziach administracyjnych Microsoft 365.
Q: Czy użytkownik zewnętrzny (spoza organizacji) może stosować lub zmieniać etykiety na plikach udostępnionych z OneDrive?
A: Zewnętrzni użytkownicy co do zasady nie mogą stosować ani zmieniać etykiet poufności – te uprawnienia są zarezerwowane dla użytkowników z aktywnym kontem w dzierżawie Microsoft 365 i przypisaną polityką etykiet. Mogą jedynie odczytywać treść, jeśli etykieta przyznaje im odpowiednie prawa.
Opublikuj komentarz