Microsoft Purview

Hvad bruges Microsoft Purview til?

Microsoft Purview er Microsofts samlede sæt værktøjer til at holde styr på virksomhedens data. Kort sagt: hvor ligger de følsomme oplysninger, hvor følsomme er de, hvem rører ved dem, hvad må de bruges til, og hvornår skal de slettes. Arbejdet foregår i en webportal, Microsoft Purview-portalen, som har afløst den gamle compliance-portal i Microsoft 365.

Den første opgave er at finde det følsomme. Purview scanner mails, dokumenter og chats og genkender mønstre som CPR-numre, kontonumre og kontrakttekst. Genkendelsesreglerne kaldes følsomme informationstyper, og man kan bygge sine egne.

Den anden opgave er at mærke indholdet. Et dokument eller en mail får et mærkat, der siger hvor fortroligt det er (følsomhedsmærkat, på engelsk sensitivity label). Mærkatet kan sætte sidehoved og fodnote på, og det kan kryptere filen, så den stadig er låst, hvis den lander uden for huset. Mærkning kan ske manuelt af brugeren eller automatisk ud fra indholdet.

Den tredje opgave er at forhindre, at data siver ud. Regler for det hedder DLP (Data Loss Prevention, forebyggelse af datatab). En DLP-regel kan advare brugeren eller blokere, når nogen sender et regneark med CPR-numre til en privat mail, uploader det til en fremmed sky eller kopierer det til en USB-nøgle.

Den fjerde opgave er livscyklus og dokumentation. Opbevaringspolitikker bestemmer, hvor længe mails, Teams-samtaler og filer gemmes, og hvornår de slettes automatisk. Revisionsloggen viser bagefter, hvem der har set, delt eller slettet hvad. eDiscovery bruges til at finde og udlevere materiale i en konkret sag — en retssag, et tilsyn, en whistleblower-anmeldelse eller en anmodning om indsigt.

Dertil kommer to områder, som mange først tager fat på senere. Insider Risk Management ser efter risikabel adfærd internt, for eksempel en medarbejder der masse-downloader kundedata kort før sin sidste arbejdsdag. Communication Compliance kigger efter upassende eller ulovlig kommunikation i mail og Teams.

Endelig er Purview blevet omdrejningspunkt for AI-sikkerhed. Microsoft 365 Copilot og andre AI-værktøjer respekterer de mærkater, rettigheder og DLP-regler, der allerede er sat op. Funktionen DSPM for AI (Data Security Posture Management for AI) viser, hvilke følsomme data AI-værktøjerne reelt kan nå, og hvad brugerne spørger om.

Navnet dækker også en anden verden end Microsoft 365. Purview har en del til datakatalog og datastyring, hvor man beskriver og sporer data i databaser, i Azure og i Microsoft Fabric. Det var tidligere kendt som Azure Purview. Mange danske virksomheder bruger kun kontor-delen og møder aldrig katalog-delen — det er værd at afklare, når man taler om "Purview", for de to dele bruges af vidt forskellige folk.

Et forbehold, som fylder i praksis: funktionerne følger licensen. Nogle ting er med i almindelige Microsoft 365-planer, mens automatisk mærkning, bred DLP, Insider Risk og AI-funktionerne typisk kræver de dyrere planer eller tilkøb. Priser og pakker oplyses af Microsoft.

Hvem bruger Microsoft Purview?

De daglige hænder i Purview er typisk Microsoft 365-administratorer og it-driftsfolk. Det er dem, der opretter mærkater, ruller politikker ud og fejlsøger, når noget ikke virker på brugernes maskiner.

Tæt på sidder sikkerhedsafdelingen. De bruger alarmer fra DLP og Insider Risk og kobler dem sammen med resten af overvågningen, ofte i Microsoft Defender.

Compliance- og GRC-folk, DPO'er og jurister er den anden store gruppe. De bruger sjældent knapperne selv, men de bestemmer, hvad reglerne skal være: hvilke klassifikationsniveauer virksomheden har, hvor længe data må gemmes, og hvad der skal kunne dokumenteres over for en revisor eller et tilsyn. eDiscovery bruges direkte af jurister og af eksterne advokater.

Brancherne følger regulering og risiko. I Danmark er det især finans, pension og forsikring, hvor DORA og Finanstilsynet stiller krav. Det er sundhed og life science med patientdata og forskningsdata. Det er energi, forsyning, transport og teleselskaber, hvor NIS2 og den danske implementering af direktivet har sat fart på arbejdet. Og det er den offentlige sektor — styrelser, kommuner og regioner — som i forvejen arbejder efter ISO 27001 og har skarpe krav til journalisering og aktindsigt.

Dertil kommer to typer virksomheder uden særlig regulering. Rådgivnings- og advokathuse, som lever af fortrolighed over for kunder. Og produktions- og ingeniørvirksomheder, hvor tegninger, opskrifter og kildekode er selve forretningen.

Størrelsen betyder mindre end kompleksiteten. En virksomhed med hundrede medarbejdere, der har kunder i finanssektoren og skal svare på deres leverandørkrav, ender ofte i Purview før en større virksomhed uden eksternt pres.

Typiske opgaver for en Microsoft Purview-specialist

Den klassiske opgave er den første opsætning. Virksomheden har en informationsklassifikation på papir — for eksempel Offentlig, Intern, Fortrolig og Følsom — og skal have den oversat til mærkater, farver, tekster og krypteringsregler, der faktisk dukker op i Word, Outlook og Teams. Det svære er ikke klikkene. Det svære er at holde antallet af mærkater lavt nok til, at almindelige medarbejdere kan finde ud af det.

Klargøring før Microsoft 365 Copilot er blevet den hyppigste anledning til at hente hjælp. Copilot viser med det samme, hvor meget der er overdelt i SharePoint og OneDrive gennem gamle "alle med linket"-delinger og forladte sites. Opgaven er at kortlægge overdelingen, rydde op, sætte mærkater på det følsomme og bagefter kunne dokumentere over for ledelsen, at AI-værktøjet ikke kan nå det, det ikke må nå.

DLP-udrulning er en opgave for sig. Politikker skal først køre i simulationstilstand, så man kan se, hvad de ville have blokeret, før de bliver skarpe. Falske positiver er det store problem: en talrække kan ligne et CPR-nummer uden at være det, og en regel, der afbryder folks arbejde uden grund, bliver hurtigt slået fra igen. Skal reglerne også gælde på selve computeren — kopi til USB, print, upload i browseren — kræver det, at maskinerne først er koblet på gennem Intune og Defender. Det trin driller ofte.

Opbevaring og sletning er en anden fast opgave. Mange kommer fra en verden med manuelle arkivmapper eller et gammelt arkivsystem og skal over i opbevaringspolitikker og -mærkater. Her hænger det tæt sammen med GDPR: data må ikke gemmes længere end nødvendigt, og sletningen skal kunne dokumenteres.

Sager og undersøgelser giver akutte opgaver. En eDiscovery-søgning skal sættes rigtigt op, afgrænses og eksporteres, så materialet holder juridisk. Det bestilles ofte med kort varsel.

Insider Risk Management hyrer man sjældent nogen til alene på teknikken. Den svære del er den danske ramme: hvad må man overvåge, hvordan informeres medarbejderne, hvad skal aftales med tillidsrepræsentanter, og hvordan holdes det inden for persondatareglerne. Datatilsynet er myndigheden på det spørgsmål.

Fejlsøgning er en stor del af hverdagen. Typiske sager: mærkater der ikke dukker op i Office-apps hos nogle brugere, kryptering der låser eksterne samarbejdspartnere ude, dokumenter der ikke kan redigeres af flere samtidig, mærkater på Teams-sites der opfører sig anderledes end på filer, mail der bliver blokeret af en regel ingen kan finde, og funktioner der mangler, fordi licensen ikke dækker dem. Dertil kommer oprydning efter den gamle mærkningsklient fra Azure Information Protection, som er afløst af mærkning indbygget i Office.

Endelig er der dokumentation og revision. En specialist bruges til at oversætte opsætningen til noget, der kan lægges frem: hvilke kontroller er der, hvordan virker de, og hvad viser rapporterne. Det er den form, der efterspørges i arbejdet med ISO 27001, NIS2 og kundernes egne leverandørkrav.

Optimering er den opgave, der kommer et år efter. Politikker er vokset vildt, ingen tør slette noget, og alarmerne er der ingen der ser på. At skære ned og gøre det driftbart er ofte mere værd end at sætte mere op.

Hvordan lærer man Microsoft Purview?

Grundlaget er Microsofts egen dokumentation på Microsoft Learn. Den er gratis, opdateres løbende og er stedet, hvor ændringer først står. Purview ændrer sig hurtigt, så dokumentationen slår ældre bøger og videoer på præcision.

Den anerkendte certificering er SC-401, Microsoft Certified: Information Security Administrator Associate. Den handler netop om at planlægge og drive informationsbeskyttelse med Purview: klassifikation, mærkater, DLP, opbevaring, Insider Risk og beskyttelse af data i AI-værktøjer. SC-401 afløste den tidligere SC-400, som udgik den 31. maj 2025. Har man SC-400 på sit bevis, står den der stadig, men den kan ikke længere tages eller fornys. Der findes et officielt kursus, SC-401T00, som udbydes gennem Microsoft Learning Partners, også i Danmark. Prisen på eksamen og kurset oplyses af udbyderen.

Er man helt ny i Microsofts sikkerhedsverden, er SC-900 (Security, Compliance and Identity Fundamentals) den normale indgang. Den giver ordforrådet, ikke hænderne.

Microsoft laver ikke længere en selvstændig certificering til den rene compliance-rolle. I stedet findes Applied Skills, som er korte, praktiske labs, hvor man skal udføre opgaverne i et rigtigt miljø. To af dem er relevante her: "Implement information protection and data loss prevention by using Microsoft Purview" og "Implement retention, eDiscovery, and communication compliance in Microsoft Purview". De er gratis og går tættere på håndværket end en multiple choice-prøve.

Det, ingen certificering giver, er en lejer at øve sig i. Purview kan ikke læres uden adgang til et rigtigt Microsoft 365-miljø med prøvelicenser, hvor man kan sætte et mærkat op, se hvordan det opfører sig i Outlook på en almindelig pc, og opdage hvor lang tid der går, før en ændring slår igennem. Regn med at bruge tid på PowerShell også — flere indstillinger kan kun sættes derfra.

Vær ærlig omkring tempoet. Et kursus på nogle få dage giver overblikket og kan række til eksamen. Den erfaring, virksomheder betaler for — at vide hvilke tre mærkater der virker for almindelige medarbejdere, og hvilken DLP-regel der giver ballade mandag morgen — kommer af at have rullet det ud i mere end én organisation.

En sidste ting er værd at lære sig tidligt: Purview er et værktøj, ikke en politik. Værktøjet kan håndhæve, dokumentere og opdage. Det kan ikke beslutte, hvad der er fortroligt hos jer, hvor længe I må gemme det, eller hvad I skal svare Datatilsynet. Den del skal skrives af mennesker først.