Microsoft Purviewを本気で使うための記事①ー情報漏洩防止編（1/3）

はじめに

Microsoft Security Advent Calendar 2024にて「Microsoft PurviewのDLPを本気で使うために重要なこと」という記事を執筆しました。

この記事は比較的多くの方に読んでいただき、M365を中心としたコンプライアンス対応については多くの方が関心をもっているようです。

実際、Copilot利用に伴いデータガバナンスの重要性が説かれるようになったからか、データガバナンスに関する関心は高まっているように見えます。そして、Purviewの機能がフルで使えるE5ライセンスを利用している企業も増えているよう（主観）に見えます。

しかしPurviewに関する情報があまり体系的にまとまっておらず、ライセンスを契約していても使っている機能が限定的である企業を多く見てきました。そのため本記事を通じてPurviewの全体像を理解していただくとともに、設計の際の検討ポイントを解説していきます。

構成

本記事は全9編(増えるかも)のうちの第1編です。基本的にはどこからでも読み進めていただけるように記載していますのでご興味のある所から読み進めてください。ただし、①②③については関連性が深いため通して読んでいただくことをおすすめします。

#	記事	概要
①	情報漏洩防止編(1/3)	秘密度ラベル
②	情報漏洩防止編(2/3)	データ損失防止(DLP)
③	情報漏洩防止編(3/3)	インサイダーリスク管理
④	AIガバナンス編	【AI】秘密度ラベル、【AI】データ損失防止(DLP)
⑤	データライフサイクル編	データライフサイクル管理、レコード管理
⑥	コミュニケーションコンプライアンス編	コミュニケーションコンプライアンス、情報バリア
⑦	訴訟対応編	電子情報開示
⑧	規制対応編	コンプライアンスマネージャー
⑨	監査ログ活用編	監査ログ

趣旨

各製品の基本的な解説は極力Microsoft公式ドキュメントに任せ、実際に導入するときの検討ポイントに絞って解説することを心がけて記載しています。

ライセンス

M365は以下3つのライセンスが一般的です。各セクションにどのライセンスで使える機能なのか明示しますので、導入の際の参考としてください。

• Business Premium（BP）
• E3
• E5

ここから本題

本記事ではPurviewの主要機能である「秘密度ラベル」とについて取り上げます。

管理画面（Purview >　ソリューション）で言うところの以下のタブに該当する機能です。

秘密度ラベル

機能概要

「秘密度ラベル」は、ファイルやメール、Teamsのチーム、SharePointサイトなどに対して「機密度」を表すラベルを付与し、そのラベルに応じた保護アクションを自動的に適用する仕組みです。

「社外秘」「機密」「極秘」といった分類タグをただ貼るだけでなく、貼った瞬間に暗号化・透かし・ヘッダー/フッター・アクセス制限・外部共有制御などが自動でかかる、という点が肝です。

＜PowerPointにて付与する秘密度ラベル＞

ラベルを付ける手段は大きく3つあります。

1つ目は手動ラベル付けです。OfficeアプリやOutlook、Web版Office、Teams、SharePointのUIから利用者自身がラベルを選択します。最も柔軟ですが、利用者の判断に依存するため運用ルールの整備とトレーニングが前提になります。（BP/E3/E5）

2つ目は自動ラベル付けです。マイナンバー、クレジットカード番号、特定のキーワードといった機密情報の種類（SIT：Sensitive Info Type）や、トレーニング可能な分類子（Trainable Classifier）にマッチしたコンテンツに対してラベルを自動で付与します。クライアント側（Officeアプリ起動中に推奨/自動適用）とサービス側（SharePoint/OneDrive/Exchange上のデータをスキャンして適用）の2モードがあり、それぞれ挙動と要件が異なります。（E5）

ラベルが付与されたあとに発動するアクションは、主に以下のようなものがあります。

• 共有制限（BP/E3/E5）
  ラベル単位で「誰が」「何を」できるかを定義します。社内のみ閲覧可、特定部署のみ編集可といった制御がファイル自体に紐づくため、ファイルが外部に流出しても権限の無い相手は開けません。

• コンテンツマーキング （BP/E3/E5）
  ヘッダー、フッター、透かしを自動挿入します。視覚的な抑止効果が目的です。

• DLPとの連携 （BP/E3は一部のみ、フル機能はE5）
  後述するDLPポリシーの条件に「このラベルが付いている」を使うことができます。DLPポリシー側でアクションのブロックや検知などを実装することが可能です。

設計事項

秘密度ラベルの主な設計要素について説明します。加えて各設計事項におけるおすすめの構成例についても可能な限り記載します。

その前になぜ各構成がおすすめなのかを理解いただく必要があるため設計思想について少しだけ触れたいと思います。

秘密度ラベルは基本的にユーザにつけてもらう運用を想定しています。自動で付与することも考えられますがまだまだ精度がそこまで高くないというのが実情です。また自動で付与できるファイル数がテナント全体で決まっており（10万個）、上限を超えた場合は翌日に持ち越されます。従業員が数万人いる大企業であれば10万個というのは十分到達する可能性がある数値であるため、(若干)リアルタイム性にかけてしまいます。

「手動でつける場合、ラベルをつけない人もいるのでは？」と感じる方もいらっしゃるかと思います。しかし筆者はそれでも良いと考えます。もう少し深堀りすると、秘密度ラベルの肝は「ラベルをつけてもらえるようなナッジ（仕掛け）を作る」、そして「ラベルの運用を通じて情報の機密性を理解してもらうこと」だと考えます。
要は「秘密度ラベルは、従業員に情報リテラシーに関する気づきを与えてあげるツールであり、直接的な防御策ではない」と割り切ることが必要です。
なぜこのような考え方をすべきなのかを悪い運用例を用いて説明します。

・・・
秘密度ラベルを導入しているある企業の営業担当であるAさんは非常に情報セキュリティリテラシーが高く、自身の作成したファイルに必ず秘密度ラベルを適用するようにしていました。
しかし、ある取引先から「Aさんが送ってくれるファイルは開けるときと開けないときがある」とクレームをもらってしまいました。また社内でも「特定のファイルが開けず業務が止まってしまうケースがある」という話を聞きました。
IT部門に連携したところ、「「機密情報」のラベルが付与されたファイルは社外の人が開くことはできない。また社内の場合でも特定の役職以上の人しか開くことができない」という連絡を受けました。

Aさんはその連絡を受けて、ようやく状況を理解しました。自分では「しっかりラベルを付けている」という自負があっただけに、それが逆に問題を引き起こしていたとは思いもよらなかったのです。
IT部門から各ラベルのアクセス制限について改めて説明を受けたAさんは、過去に送付したファイルを洗い出し、取引先への謝罪と再送付の対応に丸一日を費やすことになりました。

それ以来、Aさんはラベルを付けることをやめてしまいました。「正しいラベルを選ぼうとするたびに手が止まるし、また間違えて迷惑をかけるくらいなら付けない方がマシだ」というのが、その理由でした。
・・・

このように「真面目な社員がルールに嫌気が差しやめてしまう」というのが秘密度ラベルの典型的な失敗事例です。

秘密度ラベルは「ラベルをつけてもらえるような"ナッジ"（仕掛け）を作る」、そして「ラベルの運用を通じて情報の機密性を理解してもらうこと」が重要です。

①ラベルの構成

まず1つ目の設計要素が「ラベルをどのように作成するのか」です。主に機密度軸と用途軸の2軸があります。

• 機密度軸：機密性に応じたラベル付
  

• 用途軸：用途に応じたラベル付
  

またPurviewにはサブラベルという機能があり、機密度軸と用途軸を組み合わせることも可能です。
例えば以下のようなイメージです。

おすすめ構成

「機密度軸」でラベルを作成し、機密性が著しく高い（特殊な統制が必要となる）ケースのみサブラベルを作成する構成をおすすめします。以下図では「個人情報」「M&A情報」を例として記載していますが、「顧客情報」や「マイナンバー情報」など対象を限定することも有効です。

②各ラベルに対するアクション

前述の通り、秘密度ラベルはあくまで「気づきを与えるためのきっかけ」であると考えます。そのため、アクセス制御機能は使わないことをおすすめします。仮に使うとしても特定のメンバー（例えばマイナンバーを扱う部署）に限定しましょう。繰り返しになりますが「全社員が利用するラベルに暗号化機能は利用しないことをおすすめします」

ではどのようなアクションとすべきか。「コンテンツマーキング」です。ラベルに応じて透かし文字・ヘッダ・フッタのいずれか（もしくはいずれも）を挿入することができます。

以下がPowerPointでフッタを適用した例です。

注意点としては、Excelは通常の編集画面では透かし文字・ヘッダ・フッタが表示されずページレイアウトビューや印刷時にしか表示されません。これは仕様なので致し方ありません。タイトルバーにラベル名が表示されているためある程度は意味があるのではないかと考えます。

③運用

一番肝となるのが運用です。ラベルをつけてもらうのを習慣化してもらわなくてはいけません。これにはいくつかコツがあります。
まず1つ目に、「メールとドキュメントへのラベル適用をユーザに要求する」を有効化してください。これによりユーザがファイルを新規作成するたびにラベルを適用することになるため、気軽に秘密度を意識してもらうことが可能です。

2つ目に、「秘密度ラベルの解説はきちんと書きましょう」。Officeファイル上で秘密度を選択する際、マウスホバーすることで各ラベルの定義を閲覧することができるようになり、選択の手助けになります。

3つ目に、「カスタムヘルプページへのリンクをユーザに提示する」を有効化してください。そして組織のSharePointサイトなどにラベル付けの考え方を記載したページのリンクを貼りましょう。
そうすることでどのラベルを適用するか迷った際にすぐにルールを参照することができるようになります。

4つ目に、既定のラベルを1番機密度が低いものに"しない"ようにしましょう。以下のような構成の場合「社内情報」をデフォルトにすることをおすすめします。1番機密度が低い情報を既定にしてしまうと、「めんどくさくてラベルをつけない」ようなケースがあった場合、すべて公開情報扱いとなってしまい、後述のDLPなどと組み合わせた場合非常に運用が難しくなります。

その他

• 秘密度ラベルは種類を増やせば増やすほど運用が大変となります。3~5つぐらいを目安に分類するのがおすすめです
• ラベルを定義することに加え、「何が機密情報に該当するのか」の定義をきっちり設けないと運用が有耶無耶になります。必ず各機密情報の定義は明確にしましょう
• ラベル名は一読してわかるような名称にすることをおすすめします。C1,C2のように独自の基準を設けるケースを見たことがありますが、一般ユーザが定義を覚えるのが大変であるため、「公開情報」のようにラベル名から情報の種類がわかるようなネーミングがおすすめです

終わりに

以上で秘密度ラベルの記事を終わります。秘密度ラベルは「共有制限」という強力な機能を有しているがゆえにセキュリティがきちんとしている企業ほど使いたくなりますが、これは魔界への入口です（言い過ぎ）。
どうしても使いたい場合は、特定の部署が作成するファイルのみに適用するなどの運用がおすすめです。

また秘密度ラベルの設定はここで紹介した以外にもたくさんあります。実際に導入する際は管理画面とにらめっこをしながら慎重に設計することをおすすめします。

加えて秘密度ラベルはDLP機能と組み合わせることでさらなる威力を発揮します。DLPについては次回の記事で言及する予定ですので今しばらくお待ちください。

最後に、秘密度ラベルの運用は会社によって多種多様です。「内の会社ではこんな運用をしている」などの情報がありましたらぜひ私のXのリプライで教えてください。