用途：本技能面向已具备分类与基线 DLP 的成熟数据安全项目，指导从静态 DLP 转向动态、上下文感知的高精度管控。不适用于从零设计首个 DLP 策略，也不用于搭建内部风险管理（Insider Risk Management），这两项应分别使用 purview-dlp-policy 和 insider-risk-baseline。
主要能力：
- 自适应保护（Adaptive Protection）：将内部风险等级（minor/moderate/elevated）与 DLP 集成，低风险用户获得轻量控制，高风险用户自动触发更严格动作（如阻止）。
- 精确数据匹配（EDM）：用 EDM SIT 匹配自有结构化数据（如客户记录）的哈希副本，实现高精度、低误报检测。
- 上下文条件：组合敏感度标签、分类器、内容量、收件人与访问范围（如“机密+外部收件人+≥5 个 SIT 命中”）。
- 终结点外泄控制：限制受管终结点向 USB、未批准云/AI 应用、网络共享、剪贴板和打印的复制。
使用方式与前置条件：基线 DLP 需对至少一个工作负载处于强制模式；自适应保护需内部风险管理已运行并调优指标。EDM 需上传 schema 定义、哈希数据上传及专用上传角色，并由数据工程负责。建议每季度只启用一项高级能力，避免同时叠加导致无法归因。启用阻止动作前应在审计/模拟中验证动态强制效果。可用 Activity Explorer 与警报持续调优，并每周审查覆盖理由。
限制与护栏：自适应保护需配置并获同意的内部风险管理，启用前应与法务/工会规划隐私与假名化。EDM 非快速见效项，且需刷新任务避免匹配静默过期。终结点 DLP 高级控制需设备已载入且具 E5 Compliance，mac 与 Windows 行为可能不同。必须保留带理由的例外/覆盖流程。常见反模式包括指标未调优即直接“高风险阻止”、50 列 schema 且无刷新任务、堆叠条件导致无匹配、未试点即全租户阻止剪贴板、缺少覆盖频率指标。参考 Microsoft Learn 的 Adaptive Protection、EDM、终结点 DLP、DLP 策略、Activity Explorer 等文档。