用途：部署终端 DLP，防止 PII、PHI、PCI 等敏感数据离开组织；配置邮件附件、USB 传输、云上传的内容检查规则；实施 Microsoft Purview DLP 或 Symantec DLP 终端策略；满足 GDPR、HIPAA、PCI DSS 等合规要求。不用于基于代理的网络 DLP 或仅云端 DLP（CASB）。
主要能力：定义敏感信息类型（SIT），如信用卡号、社保号、健康记录、护照号、银行账号，支持自定义正则（示例 EMP-[0-9]{6}）与关键词；创建 DLP 策略，设置条件（内容包含信用卡号至少 5 处、SSN 至少 1 处）与动作（阻止复制到 USB/云/邮件、审计、通知）；监控终端活动，包括上传云服务、复制到可移动介质、复制到网络共享、打印、复制到剪贴板、非管理浏览器/应用访问、复制到远程桌面；按活动配置仅审计、阻止但可覆盖、完全阻止；在活动资源管理器中监控匹配、顶级用户、被阻止活动与覆盖率，并开展事件响应。
使用方式：先定义 SIT，再在 Purview 中创建策略并配置条件与动作，随后配置终端活动，以“测试模式并通知”运行 2-4 周，审查警报、识别误报、调整模式与条件、添加合法例外，再切换为强制启用，最后持续监控并响应。
前提：需 Microsoft 365 E5 或独立 Purview DLP 许可、合规门户访问、定义好的 SIT、终端已通过 Intune 或 SCCM 接入 Purview。
限制与注意：强制模式过早易过度阻止影响效率；电话号码、日期等易误匹配 PCI/SSN 模式，需调整置信度并辅以关键词；忽略用户教育会降低效果；应审查覆盖原因以判断策略是否过严。其他可参考工具包括 Symantec DLP、Digital Guardian、Forcepoint DLP、Code42 Incydr。