用途：本技能用于把 Microsoft Purview 内部风险管理（IRM）从项目级基线推进到可运营的检测与处置，涵盖策略模板选择、HRIS 连接器配置、告警调优、案件调查以及自适应保护（Adaptive Protection）的落地。IRM 会关联 M365、终结点、Defender、Entra 与 HR 系统的信号，识别随时间变化的意图，例如离职员工在最后工作日前三周外泄客户名单。
主要能力：按用例选择策略模板，包括离职用户数据窃取、一般数据泄露、优先用户/高风险用户数据泄露、安全策略违规、风险浏览器使用、风险 AI 使用、医疗数据滥用、金融 PII 未授权访问等。支持序列检测（如 SharePoint 下载→改名→一小时内上传个人 OneDrive），并可与自适应保护联动，按风险等级动态收紧 DLP 与 Entra CA 策略。
使用方式：先满足前置条件（审计开启、Purview 连接器、敏感度标签与 DLP 基线）；接入 HRIS 连接器（Workday、SAP SuccessFactors 或自定义 CSV），映射离职、解雇、岗位变更日期；在启用策略前配置隐私控制，默认匿名化用户名，仅由 Insider Risk Investigators 角色在获批升级时揭示身份，并分离管理员、分析师、调查员角色；先以单一模板（通常为离职用户）在分析/洞察模式运行 14 天，再启用正式策略；调优指标与阈值，基线稳定后启用序列策略；告警分诊建议 24 小时内处理，确认触发事件、上下文与目标后再升级为案件；策略稳定后开启自适应保护，初期仅对 Elevated 风险自动阻断；可将 IRM 告警转发至 Sentinel/Defender XDR 做关联。
适用场景：拥有 Microsoft 365 与 Purview 的企业安全团队，需要运营内部风险检测、调查与响应流程。
限制：不适用于出站 DLP 编写、eDiscovery 或高层项目框架；HRIS 连接器数据需保持新鲜（建议监控同步，超过 48 小时告警）；单事件告警噪声大，应优先序列与风险评分策略；不得自动升级至 HR，须人工复核；自适应保护自动阻断可能误伤正常用户，建议先自动警告 30 天；IRM 针对内部人员，账号失陷外泄需结合 Defender XDR 身份信号区分；角色职责分离不可省略；AI 使用策略需 Purview AI Hub 作为上游信号。欧盟等司法辖区上线前需完成法律/工会/GDPR 审查。
官方文档：https://learn.microsoft.com/purview/insider-risk-management