はじめに
Microsoft Security Advent Calendar 2024にて「Microsoft PurviewのDLPを本気で使うために重要なこと」という記事を執筆しました。
この記事は比較的多くの方に読んでいただき、M365を中心としたコンプライアンス対応については多くの方が関心をもっているようです。
実際、Copilot利用に伴いデータガバナンスの重要性が説かれるようになったからか、データガバナンスに関する関心は高まっているように見えます。そして、Purviewの機能がフルで使えるE5ライセンスを利用している企業も増えているよう（主観）に見えます。
しかしPurviewに関する情報があまり体系的にまとまっておらず、ライセンスを契約していても使っている機能が限定的である企業を多く見てきました。そのため本記事を通じてPurviewの全体像を理解していただくとともに、設計の際の検討ポイントを解説していきます。
構成
本記事は全9編(増えるかも)のうちの第2編です。基本的にはどこからでも読み進めていただけるように記載していますのでご興味のある所から読み進めてください。ただし、①②③については関連性が深いため通して読んでいただくことをおすすめします。
| # | 記事 | 概要 |
|---|---|---|
| ① | 情報漏洩防止編(1/3) | 秘密度ラベル |
| ② | 情報漏洩防止編(2/3) | データ損失防止(DLP) |
| ③ | 情報漏洩防止編(3/3) | インサイダーリスク管理 |
| ④ | AIガバナンス編 | 【AI】秘密度ラベル、【AI】データ損失防止(DLP) |
| ⑤ | データライフサイクル編 | データライフサイクル管理、レコード管理 |
| ⑥ | コミュニケーションコンプライアンス編 | コミュニケーションコンプライアンス、情報バリア |
| ⑦ | 訴訟対応編 | 電子情報開示 |
| ⑧ | 規制対応編 | コンプライアンスマネージャー |
| ⑨ | 監査ログ活用編 | 監査ログ |
趣旨
各製品の基本的な解説は極力Microsoft公式ドキュメントに任せ、実際に導入するときの検討ポイントに絞って解説することを心がけて記載しています。
ライセンス
M365は以下3つのライセンスが一般的です。各セクションにどのライセンスで使える機能なのか明示しますので、導入の際の参考としてください。
- Business Premium（BP）
- E3
- E5
ここから本題
この記事ではPurviewのメイン機能と言っても良い？であろう、DLPについて解説します。PurviewのDLPは非常に複雑な構成をしています。もしこの記事を読んでも「？」となる場合はXにてご連絡ください。
管理画面（Purview > ソリューション）で言うところの以下のタブに該当する機能です。
DLPの機能
ここからはPurviewのDLPでできることを、以下4つの観点で深堀していきます。
- DLPの適用範囲（SharePoint/OneDriveなど）
- 検出できる情報（正規表現/キーワードマッチなど）
- 検出時のアクション（アラート/ブロックなど）
- 管理者側の管理（アラートの見え方など）
DLPの範囲
ここがPurview DLPのわけわからなくなるポイントです。Purview DLPと一言に行って複数のDLP機能が混ざっています。
●Purview DLPの概観
ちなみにここでいうM365 DLPは自社テナントが対象であり、他社テナントは対象外である点に注意が必要です。
M365 DLPやCASB DLPなどは正式名称ではありません。筆者が独自に名前を付けています
上記に記載していない対象として、CopilotやFabricなどがありますがいったん忘れてください
このあたりの分類は非常に複雑です。筆者も細心の注意を払って書いているつもりですが、もし間違えているところがあればXにて教えてください
そして各ライセンスでつかせる機能も異なります。E3（Business Premium）の場合は、Exchange/SharePoint/OneDriveしか使えません。もしDLP機能だけE5相当で使いたい！ということであれば、E5より安価な部分ライセンスがありますのでそちらを購入いただくのが良いと思います。（詳細は営業や販売代理店の方に聞いてください）
| DLPの種類 | 対象ワークロード | E3 | E5 |
|---|---|---|---|
| M365 DLP | Exchange/SharePoint/OneDrive | ✅ | ✅ |
| M365 DLP | Teams チャット・チャネル | ❌ | ✅ |
| エンドポイント DLP | デバイス上のファイル操作（USB/印刷/Bluetooth/RDP等） | ❌ | ✅ |
| Web DLP | Edge/Chrome経由のサードパーティクラウドへのアップロード制御 | ❌ | 🔼 |
| CASB DLP | Box・Dropbox等のサードパーティクラウドアプリ | ❌ | ✅ |
| オンプレミススキャナー | オンプレファイルサーバ・SharePoint Server | ❌ | ✅ |
また「サードパーティクラウド」に対して、3つのDLPがかかっていると思います。これらの違いを説明します。
CASB DLP
このDLPはDefender for Cloud Apps（以下MDCA）というCASB機能と連携させるDLPです。
インラインでスキャンするのではなく、SaaSとMDCAをAPI連携させ、後から評価するようなイメージです。
API連携させるということは、許可されたSaaSに対するDLPです。
ポリシー作成もPurviewの画面ではなくMDCAの画面（XDRポータル）から行います。
Web DLP
比較最近できた機能です。公式ドキュメント上ではインラインWebトラフィックという記載になっています。
基本的にはEdge for Businessで動作します。拡張機能で動作するDLPをイメージが近いです。
そしてこの機能はAzureサブスクリプションでの従量課金になります。
不許可SaaS（シャドーIT）に対するDLPとなります。
※Web DLPは筆者も使ったことがありません。詳しい方いたら教えてください
エンドポイントDLP
エンドポイントDLPの主機能は図次している通り、USBや印刷などによる情報持ち出しが対象です。
その1機能として、クラウドサービスに対する検査を実施することができます。
検出の仕組み
DLPにより機密情報を検出する方法は主に4つ分類されます。
| 検出方法 | 概要 | 対象 | E3 | E5 |
|---|---|---|---|---|
| SIT（機密情報の種類） | パターンベースの機密情報。正規表現やキーワードマッチなどが利用できる。標準で315個のルールが定義されている。カスタムすることも可能 | マイナンバー、クレジットカード番号、口座番号などフォーマットが決まっているデータ。参考：SITの種類 | ✅ | ✅ |
| EDM分類子 | 実際に機密情報をPurviewへ検出器としてアップする。その文字列と厳密に一致する場合に検出する（Exact Data Match）。アップロードする機密情報はハッシュ化される | 自社顧客の氏名、住所など。SITで定義するのが難しいが自社が保有しているデータ | ❌ | ✅ |
| トレーニング可能な分類子 | 機械学習によりドキュメントがあるカテゴリのドキュメントに一致するか否かを判別する仕組み。サンプルデータを事前に提供する必要がある。記事執筆時点では英語のみサポートされている | 議事録、契約書、M&A情報など文書の種類が非構造的でバラバラ、キーワードやパターンマッチで簡単に検出できないデータ | ❌ | ✅ |
| ドキュメントフィンガープリント | 決まった形式の文書（テンプレートがあるような文書）を検出する機能。テンプレートで検出することができる。テンプレートの固定文言をベースに検出される | 会社標準の契約書、社内申請文書など形式が決まっているもの | ❌ | ✅ |
| 秘密度ラベル | ファイルに対して付与されているラベル。ユーザが手動で付与する方法と自動で付与する方法がある。 | 詳細はMicrosoft Purviewを本気で使うための記事①ー情報漏洩防止編（1/3）参照 | ✅ | ✅ |
その他の検出要素
上記の検出の仕組みはファイルそのものの特性に着目した検出ロジックです。DLPでは上記に加えて検出対象のサービス（SharePoint/Exchangeなど）ごとのアクションと組み合わせて動作させることができます。例えば、「SharePointでファイルが外部に送信されたとき」、「メールの件名にXXが含まれる場合」などです。
検出時のアクション
ここが一番重要です。検出時のアクションには大きく分けて4つあります。各アクションは必ずしも各ポリシーに付き1つしか使えないというわけではなく、組み合わせて使うことができます。
ブロック・暗号化
一番強力なアクションです。DLPの検出ロジックにマッチした場合に特定の操作（メール送信など）をブロックします。業務が止まる可能性があるため、信頼度の高いDLPルールを作れるのであればこれが一番望ましいですが、現実問題としてEDM分類子とドキュメントフィンガープリント以外のロジックでは検出精度が低くブロックが難しいというのが現実です。
どうしても利用したい場合は、オーバーライドを許可するを有効化することを強く推奨します。これはDLP検出ルールでブロックされたとしてもユーザが業務の正当性や誤検出である旨を記入することで操作を継続できるというアクションになります。
ユーザとしてはアラートが出るため”監視されているんだ”という意識が芽生える一方で、管理者へアラートが上がるため関しにつなげることもできます
ユーザへの通知（メールでの通知・ポリシーのヒント）
ブロックより1段階弱いアクションがユーザへの通知です。
ユーザに注意文言を出すというのが「ポリシーのヒント」です。対象とするサービスにより挙動が若干異なりますが、以下のようにユーザのUI上で注意文言を出すことができます。
またメールにてユーザ自身にアラートを通知することもできます。
管理者への通知
文字通り管理者への通知です。SOCやセキュリティ部門にアクティビティを通知することができます。Defender XDR二インシデントとして起票することもできます。これは必須のアクションと言っても良いでしょう。
各サービス固有のアクション
各サービスごと（Exchangeなど）に固有のアクションもあります。
例えば、Exchangeの場合は以下のようなアクションがあります。機密性の高いメールを送る場合は自動で上司に転送されるというのは非常に有効な統制であるため、サービスの特性に応じて有効活用しましょう。
Purview DLPを使うために 〜どのように設計すればよいのか〜
ここからが一番重要なポイントです。Purview DLPはたくさん機能があり何をすればよいかわからないという会社も多いと思います。
「何からやるべきか」に端的に答えるとすると、「自社に取って漏洩したら困る情報はなにか」を明確に定義することがファーストステップです。
マイナンバー取扱事業者でもない会社がマイナンバー検出のDLPを作っても効果は薄いでしょう。何ならノイズが増えてむしろ悪影響とも言えます。
自社に取って漏洩したら困る情報（法的な罰則がある、競合優位性が脅かされるなど）が何かを経営層・事業部門と相談しましょう。
そして各情報に対して相性の良い検出方法を検討しましょう。例えば以下のようなイメージです。
| 業種・事業特性 | 漏洩すると困る情報の例 | なぜ困るか | 相性の良い検出方法 |
|---|---|---|---|
| EC・小売 | クレジットカード番号、顧客の氏名・住所・購買履歴 | PCI DSS違反、個人情報保護法上の漏洩報告義務 | クレカは標準SIT / 顧客マスタはEDM |
| 製造業 | 設計図、製造ノウハウ、出願前の技術情報 | 営業秘密の流出 = 競合優位性の喪失（不正競争防止法） | 図面テンプレは指紋SIT / 「技術仕様書」概念はトレーナブル分類子 |
| 金融・保険 | 口座情報、与信・審査情報、マイナンバー | 法規制が重く、罰則・行政処分・信用失墜が直結 | 口座番号は標準SIT / 顧客リストはEDM |
| 医療・ヘルスケア | 診療情報、検査結果、要配慮個人情報 | 要配慮個人情報の漏洩は影響が甚大 | 診断書フォームは指紋SIT / 病名等は名前付きエンティティSIT |
| SaaS・IT | ソースコード、APIキー・認証情報、顧客データ | サービス全体の侵害につながる | 認証情報は正規表現SIT / コードはトレーナブル分類子 |
| 受託開発・コンサル | クライアントの機密資料、NDA対象ドキュメント | 契約違反・損害賠償、取引停止 | 提案書/報告書テンプレは指紋SIT |
| 人材・HR | 応募者/従業員の個人情報、人事評価 | 個人情報保護法、社内の信頼失墜 | 評価シートは指紋SIT / 個人情報は標準SIT |
| 研究開発・製薬 | 治験データ、出願前の研究データ | 特許性の喪失、規制対応リスク | 「治験報告書」概念はトレーナブル分類子 |
次にどこで検出するかを明確にしましょう。例えば外部に送信されたときに検出するのか、特定のSharePointサイトから出たときに検出するのか、などです。
その上で、ポリシーを実装したら無理にブロックモードにしないことを意識しましょう。もしブロックモードで動作させることを目標としているのであれば底なし沼です。
ここでDLPと関連が深い、偽陽性のパラドックスを紹介します。
ある感染症を検出する薬があり、検査の精度は99.9%だとする。（感染者は99.9%陽性、非感染者は0.1%だけ誤って陽性になる）
仮に感染者が1000人に1人（0.1%）だとする。100万人で考えると、
実際の感染者：1000人 → ほぼ全員（999人）が陽性
非感染者：99万9000人 → その0.1% = 999人が誤って陽性
つまり陽性になった約1998人のうち、本当に使ってるのは半分。陽性が出ても実際に使ってる確率は約50%
薬/薬の検出精度 → DLPポリシー、感染者 → 機密情報、非感染者 → 非機密情報 に置き換えて考えてみてください。2000件アラートが上がったとしても半分が誤検知（False Posivice）です。
DLP導入のコツ（！！重要！！）
- DLPはあくまで検出・教育の対策だと割り切る。アラートが発生・ヒアリングされるだけでも内部不正はかなり減るということを理解する
- 仮にブロックする場合は「大量のデータ持ち出しに絞る」。例えば100件のクレジットカードが検出された場合はブロックなど。クレジットカード情報と同じ数字の羅列が偶然100件入っているのは確率的に考えにくい
- どうしてもブロックしなくてはいけない場合は、オーバーライドを許可することも選択肢に入れる
- DLPポリシーは継続した運用が必要。長期的な運用担当を用意する
終わりに
以上でDLPポリシーの記事を終わります。
PurviewのDLPポリシーは機能がたくさんありすぎるがゆえにこの記事では詳細を紹介しきれていない機能もあります。（CASBとの連携、ファイルサーバのスキャン、エンドポイントDLPなど）
「百聞は一見に如かず」
です。
ライセンスがあるのであれば、とやかく言う前にポリシーを動かしてみましょう。もちろんシュミレーションモードで。
