[M365 Purview] Definir taxonomía de sensibilidad, reglas DLP y scripts de automatización

Resumen
Se propone una taxonomía de etiquetas de sensibilidad, plantillas de reglas DLP, scripts/instrucciones para automatizar etiquetado vía PowerShell / Microsoft Graph, y plantillas de retención y checklist de auditoría.

Archivos añadidos en el repo (carpeta infra/m365/purview):

• README.md
• labels-taxonomy.md
• dlp-rules-templates.md
• labeling-automation.ps1
• retention-audit-checklist.md

Tareas concretas

1. Revisar la taxonomía propuesta y aprobar nomenclatura de etiquetas (Publico, Interno, Confidencial, Altamente confidencial, Restringido).
2. Ajustar las reglas DLP propuestas (modo "Audit only" en piloto) y definir responsables para exenciones.
3. Probar el script de automatización en un entorno piloto (necesita app registration en Azure AD y permisos: InformationProtectionPolicy.ReadWrite.All, Sites.ReadWrite.All, Files.ReadWrite.All).
4. Definir owner y calendario para la revisión de políticas (auditoría semanal/mensual).

Notas

• Los scripts contienen placeholders (TenantId, ClientId, ClientSecret, DriveId, ItemId). No introducir secretos en el repo; usar Key Vault o variables de pipeline seguro.
• Recomendar desplegar en modo auditoría por 2-4 semanas antes de forzar bloqueos.

Siguientes pasos sugeridos

• Asignar Data Owner y Security Owner.
• Ejecutar piloto con un conjunto de documentos (site/drive) y reportar falsos positivos.

Por favor confirmar responsables y asignar la implementación.

Start with infra/m365/purview/README.md and review labels-taxonomy.md, dlp-rules-templates.md, labeling-automation.ps1, and retention-audit-checklist.md. Run the PowerShell script only in a pilot environment with the stated Azure permissions and no repository secrets. Done means the taxonomy and DLP templates are approved, the pilot results are recorded, and owners and review schedules are documented.