Microsoft Purview 入門：大切な情報を見つけ、使い方を守る
対象：Security を初めて学ぶ方 ｜ 情報の基準日：2026 年 10 月 19 日（Microsoft Learn の記載内容）
[!NOTE]
本記事の図は Mermaid 記法で書いています。GitHub、Azure DevOps Wiki、VS Code（拡張機能）などの Mermaid 対応ビューアーで図として表示されます。
この記事でわかること
- Microsoft Purview が何をするもので、どんな課題のときに検討するか
- セキュリティ設計の基本となる「6 つの問い」とゼロ トラストの考え方
- 情報保護を支える 4 つの仕組み（機密情報の種類・秘密度ラベル・DLP・保持）の役割と違い
- ルールを作る前に決めておくべきこと
目次
- Microsoft Purview で何ができる？
- Security では何を考えるのか
- Purview の保護を支える 4 つの仕組み
- ケースで見る：顧客情報を含むファイルを社外共有する
- ルールを作る前のチェックリスト
- まとめ：まずは「何を守るか」から考える
- 参考文献
1. Microsoft Purview で何ができる？
Microsoft Purview は、データがどこにあっても、組織がそのデータを管理・保護できるよう支援するソリューション群です [1]。Microsoft Learn では、Purview のソリューションを大きく データ セキュリティ、データ ガバナンス、データ コンプライアンス の 3 領域に整理しています [1]。
図 1 Microsoft Purview の 3 つの領域と本記事の範囲
出典：Microsoft Learn「Microsoft Purview の詳細」[1] の分類をもとに作成。色付きの機能を本記事で扱います。
たとえば、次のような課題があるときに利用を検討できます。
| よくある課題 | Purview でできること | 本記事 |
|---|---|---|
| 社員が顧客情報やカード番号を、メールやチャットで共有してしまう | 機密情報を検出し、DLP で警告・ブロックなどを行う [4][6] | 3-1, 3-3 |
| 重要な文書を、社外に送った後も保護したい | 秘密度ラベルに暗号化を設定し、開ける人・できる操作を制限する（社外の受信者側に、暗号化に対応したアプリや認証できるアカウントが必要な場合がある）[5] | 3-2 |
| ファイルやメッセージを、社内ルールに沿って一定期間保存したい（または期限後に削除したい） | アイテム保持ポリシーや保持ラベルを適用する [8] | 3-4 |
| データ資産がどこにあるか把握しにくい | データ マップや統合カタログなどのガバナンス機能を使う [1] | （範囲外） |
[!WARNING]
よくある誤解：「導入すれば自動で情報漏えいを防げる」
Purview は、導入するだけであらゆる漏えいを防ぐ製品ではありません。何を守るか、どこで何を監視するか、問題が起きたらどう対応するかを組織が決め、そのルールを適用する仕組みです。利用できる機能や対象範囲は、ライセンスや、対象となる場所ごとの前提条件によって異なります [4][6]。
2. Security では何を考えるのか
Security（セキュリティ）は「攻撃を防ぐ」ことだけではありません。組織にとって大切なものを見極め、誰が何にアクセスできるかを決め、問題に気づいて対応できるようにする取り組みです。情報を守るときは、まず次の 6 つの問いから考えます。
図 2 情報保護を考えるための 6 つの問い
| # | 問い | 具体例 | 主に関係する Purview の仕組み（例） |
|---|---|---|---|
| ① | 何を守るのか | 顧客情報、財務情報、設計資料など | 機密情報の種類（3-1） |
| ② | 誰が使うのか | 本人、同じチーム、社外の取引先など | 秘密度ラベルの暗号化設定（3-2）※ID 管理などの対策も併用 |
| ③ | どう使ってよいか | 閲覧、編集、共有、ダウンロードなど | 秘密度ラベル・DLP（3-2, 3-3） |
| ④ | どこで使われるか | メール、クラウド上のファイル、デバイスなど | DLP（3-3） |
| ⑤ | どう気づき、対応するか | 記録、警告、制限、調査など | DLP（3-3）※監査やアラート調査の機能も関係 |
| ⑥ | いつまで残すか | 業務やルールに沿った保存期間と削除時期 | 保持（3-4） |
問いに答えると、あいまいな目標が「設定できるルール」に変わります。
図 3 目標をルールに落とし込む例
Microsoft Learn の DLP 設計ガイダンスでも、ビジネス上の意図を 1 文の「ポリシー インテント ステートメント」にまとめ、それを監視対象・場所・条件・アクションに対応付ける進め方が示されています [7]。
主流の考え方：ゼロ トラスト
現在のセキュリティ設計の基盤となる考え方の一つが ゼロ トラスト です。Microsoft は、これを最新のセキュリティ アプローチと位置づけています [3]。「社内ネットワークの内側にいるから安全」とは考えず、誰が、どのデバイスで、どのような場所や振る舞いで、どの程度のリスクでアクセスしようとしているかを確かめてからアクセスを許可します。この確認は一度きりではなく、継続的に行います [3]。Microsoft はゼロ トラストの原則として、次の 3 つを挙げています [3]。
| 原則 | 意味（Microsoft Learn の説明の要約） | 情報保護の場面に置き換えた例（筆者による解釈） |
|---|---|---|
| 明示的に確認する | すべてのアクセス要求を、使えるシグナルをすべて使って認証・承認する | 誰が、どのような状況でファイルを共有しようとしているかを確認する |
| 最小限の特権アクセスを使用する | 必要なアクセス権だけを、必要な最短の期間だけ与える | 業務に必要な人だけが、必要な操作（閲覧のみ・編集可など）をできるようにする |
| 侵害を想定する | 攻撃者が既に環境内にいる可能性を前提に、影響を抑え、素早く検出・対応する | 社内アカウントからの操作でも、機密情報の不自然な共有は記録・確認する |
[!TIP]
Purview の担当範囲：Microsoft のゼロ トラスト導入モデルでは、ビジネス シナリオ、セキュリティ規範と並んで、ID・データ・デバイスなどの「テクノロジの柱」という観点が示されています [3]。本記事で扱う Purview の機能は、このうち主に データ の領域（データの分類・保護と、データに対する操作の制御）に関わります。ゼロ トラストは Purview だけで実現するものではなく、ID（誰か）やデバイス（何を使っているか）の対策と組み合わせて考えます。
3. Purview の保護を支える 4 つの仕組み
本記事で扱う 4 つの仕組みは、「見つける → 目印を付ける → 使い方を制御する → いつまで残すか決める」という流れで捉えると整理しやすくなります。
図 4 4 つの仕組みの全体像
この図は理解のための整理で、必ずこの順番で導入・動作するわけではありません。実際には一方向の手順ではなく、たとえば DLP や秘密度ラベルの自動適用の条件として SIT を使うなど、互いに組み合わせて使います [4][5][6]。
3-1. 機密情報を見つける：機密情報の種類（SIT）
守るべき情報を見つける方法として、Purview には ①ユーザーによる手動の分類、②パターン認識による自動検出、③機械学習（トレーニング可能な分類子）の 3 つが用意されています [4]。このうち②を担うのが 機密情報の種類（Sensitive Information Type：SIT） で、クレジットカード番号や銀行口座番号などをパターンで検出する分類子です [4]。
Microsoft が用意した 組み込みの SIT は多数あり、編集はできませんがコピーしてテンプレートとして使えます。要件に合わない場合は、組織独自の カスタム SIT を作成できます [4]。
数字の並びが見つかっただけでは、それがカード番号なのか別の番号なのか確信を持てません。そこで SIT のパターンでは、プライマリ要素（探したいもの本体）に加えて、その近くにある サポート要素（裏付けとなる証拠）を指定できます。サポート要素が見つかると、検出結果の信頼度が高まります [4]。
図 5 SIT の検出の考え方（イメージ）
請求先：山田 太郎 様 ／ ご利用明細のご案内
┌────────────────────┐ ┌─────────────────────┐
│ クレジットカード番号 │ ： │ 4111 1111 1111 1111 │ 有効期限 12/29 …
└────────────────────┘ └─────────────────────┘
▲ サポート要素 ▲ プライマリ要素
（裏付けの証拠） （探したい本体）
キーワード一覧・辞書・ 正規表現（チェックサム有無）・
正規表現など 関数など
└──────────────────────────────────────────┘
近接性：プライマリ要素から指定した文字数以内にあるか
⇒ 近くに裏付けの証拠が多いほど「信頼度」が高くなる
（サポート要素は任意。プライマリ要素だけのパターンもある）
Microsoft Learn の例では、近接性を 250 文字としています [4]。図中の番号は説明用のダミーで、図は検出の考え方を示すイメージです。実際の組み込み SIT の定義は「機密情報の種類のエンティティ定義」を参照してください。
| 用語（Learn の表記） | かみ砕いた説明 |
|---|---|
| パターン | 「どんな特徴があれば見つけるか」のルール。プライマリ要素・サポート要素・信頼度・近接性で構成される [4] |
| プライマリ要素 | 探したい情報の本体。正規表現、キーワード リスト、キーワード辞書、関数で定義する [4] |
| 正規表現 | 「4 桁の数字が 4 組」のように、文字列の形を表すルール |
| サポート要素 | 判定を助ける追加の手がかり。近くにある関連語など [4] |
| 近接性 | サポート要素がプライマリ要素からどれだけ近くにあるべきか（文字数）[4] |
| 信頼度 | 見つかったものが目的の情報である可能性の高さ。高・中・低の 3 段階 [4] |
図 6 信頼度のトレードオフ
ポリシーなどで信頼度を指定すると、その信頼度以上の一致が対象になります。
| 信頼度（値） | 特徴 | 返される一致 |
|---|---|---|
| 低（65） | 検出漏れは最も少ないが、誤検出は最も多い | 低・中・高すべて |
| 中（75） | 誤検出・検出漏れとも中程度 | 中・高 |
| 高（85） | 誤検出は最も少ないが、検出漏れは最も多い | 高のみ |
◀ 取りこぼしを減らしたい ──── 低 ──── 中 ──── 高 ──── 誤検出を減らしたい ▶
出典：Microsoft Learn「機密情報の種類に関する詳細情報」[4]。どちらを優先するかは、守る情報の重要度と業務への影響から決めます。
[!TIP]
実務のヒント：SIT はサンプル ファイルをアップロードしてテストできます。また同じ SIT でも、メール・SharePoint/OneDrive・デバイスなど評価される場所によって結果が変わることがあります。そのため、カスタム SIT を本番で使う前に、使う予定の場所ごとに検出を検証することが推奨されています [4]。日本語などの 2 バイト文字もサポートされていますが、日本語と英数字が混在するキーワードは、間にスペースがある形とない形の両方を登録するなどの注意点があります [4]。
3-2. 情報に目印を付ける：秘密度ラベル
秘密度ラベル は、ファイルやメールに付ける分類の目印です。「一般」「社外秘」「極秘」のように、組織の業務に合わせてカテゴリを作れます [5]。ラベルはファイルやメールのメタデータに保存されるため、保存場所が変わってもコンテンツと一緒に維持されます [5]。
ラベルは 分類の目印としてだけ 使うことも、保護設定と組み合わせる こともできます [5]。
図 7 秘密度ラベルの 2 つの使い方
出典：Microsoft Learn「秘密度ラベルの詳細」[5]。ラベルによる保護はコンテンツに残るため、暗号化を設定しておけば、社外に送った後も許可されていない人が内容を開けないようにできます [5]。
ラベルの付け方は、ユーザーによる手動のほか、機密情報を検出したときに 自動で適用 したり、ユーザーに 適用を推奨 したりもできます [5]。1 つのアイテムに付けられる秘密度ラベルは 1 つだけですが、ドキュメントとメールには秘密度ラベルと保持ラベル（3-4）を両方付けられます [5]。
[!IMPORTANT]
用語の注意：「ラベルを付ける」と「暗号化する」は別のこと
暗号化とは、許可された人以外には内容を読めない形にすることです。秘密度ラベルを付けても、そのラベルに暗号化が設定されていなければ、ラベルによる暗号化は行われません。また、秘密度ラベルは Outlook の組み込みの「秘密度」設定（送信者の意図を示すもので、データ セキュリティは提供しない）とは別物です [5]。
3-3. 情報の使い方を制御する：データ損失防止（DLP）
データ損失防止（Data Loss Prevention：DLP） は、機密情報を含むアイテムに対するユーザーの操作を監視し、ポリシーの条件に一致したときに保護アクションを実行する仕組みです [6]。対象には、Exchange のメール、SharePoint サイト、OneDrive、Teams のチャットやチャネル メッセージ、Windows・macOS デバイス、オンプレミスのリポジトリなどがあります。ただし、場所ごとに前提条件が異なり、たとえばオンプレミスのファイル リポジトリでは別途スキャナーの展開が必要です [6]。
DLP ポリシーでは、主に次の 4 点を決めます（このほか、ポリシーを適用する管理範囲＝管理スコープも選びます）[6][7]。
図 8 DLP ポリシーの構成要素
条件とアクションの組み合わせは「ルール」と呼ばれます。条件は AND・OR・NOT を使って組み合わせられます [6][7]。選んだ場所によって、使える条件やアクションが変わる点に注意します [7]。
条件に一致したときのアクションは、制限の強さに応じて選べます。どのアクションを使えるかは場所によって異なります [6]。
図 9 DLP のアクションの段階
| 段階 | アクション | 内容 |
|---|---|---|
| 1（制限：弱） | 記録・監査 | 操作を止めずに記録する。なお DLP で監視される操作は、ブロックの有無にかかわらず既定で監査ログに記録され、アクティビティ エクスプローラーで確認できる |
| 2 | 警告 | ポリシー ヒント（対応アプリで表示）で、不適切な共有の可能性を利用者に知らせる |
| 3 | ブロック（上書き可） | 共有をブロックするが、利用者がブロックを上書きでき、その正当な理由が記録される |
| 4（制限：強） | ブロック | 上書きを認めずに共有を止める |
出典：Microsoft Learn「データ損失防止について」[6] をもとに、制限の強さの順に整理。このほか、保存データを検疫場所へ移動する、Teams チャットで機密情報を表示しない、といったアクションもあります。
最初からブロックするのではなく、シミュレーション モード で影響を確かめてから有効にする進め方が推奨されています。シミュレーション モードの間は、ポリシーのアクションは実行されません [6]。
図 10 DLP ポリシーを展開する流れ
出典：Microsoft Learn「データ損失防止について」[6] の展開手順をもとに作成。一般にポリシーは有効化から約 1 時間後に効き始めます [6]。
3-4. 情報をいつまで残すか決める：保持
情報を扱うルールでは「誰が見られるか」だけでなく、「いつまで残すか」も考えます。Purview では保持はデータ コンプライアンス（データ ライフサイクル管理）の領域に属します（図 1）。Purview の 保持 では、次の 3 通りの設定ができます [8]。
図 11 保持設定の 3 つのパターン
作成・更新など 指定した期間の終了
│ │
保持のみ ├──────── 削除されないよう保持（無期限、または指定期間）────────▶
│ │
削除のみ ├──────── 通常どおり利用（保持はしない）───────┤ 完全に削除
│ │
保持してから削除 ├──────── 指定期間は保持 ───────────────────┤ 完全に削除
出典：Microsoft Learn「保持または削除するアイテム保持ポリシーと保持ラベルの詳細」[8]。
保持設定を割り当てる方法は 2 つあり、目的に応じて使い分けたり組み合わせたりします [8]。
| アイテム保持ポリシー | 保持ラベル | |
|---|---|---|
| 適用の単位 | サイトやメールボックスなど、まとまり単位 | フォルダー、ドキュメント、メールなど、アイテム単位 |
| 向いている場面 | 例：あるサイトの全ドキュメントを一律 5 年保持 | 例：同じサイト内で、文書ごとに 5 年・10 年と保持期間を変える |
| テナント内の別の場所に移動したとき | 保持設定は移動先のコンテンツに付いていかない | 保持設定がコンテンツと一緒に移動する |
出典：Microsoft Learn「保持または削除するアイテム保持ポリシーと保持ラベルの詳細」[8]
保持設定が適用されても、コンテンツは 元の場所に残り、ほとんどの場合、ユーザーは普段どおり作業できます。保持の対象になっているコンテンツをユーザーが編集・削除すると、その コピーが自動的に、ほとんどのユーザーからは見えない保護された場所に保持 されます（SharePoint・OneDrive はアイテム保管ライブラリ、Exchange メールボックスは回復可能なアイテム フォルダー）[8]。
[!IMPORTANT]
秘密度ラベルと保持ラベルの違い
名前は似ていますが目的が違います。秘密度ラベルは情報の機密度を示し、必要に応じて「誰が・どう使えるか」を保護します。保持ラベルは「いつまで残すか（いつ削除するか）」を管理します。また、秘密度ラベルはコンテンツが Microsoft 365 の外へ出てもコンテンツに付いたまま維持されますが、保持ラベルは Microsoft 365 の外へ移動したコンテンツには引き継がれません [5][8]。
4. ケースで見る：顧客情報を含むファイルを社外共有する
ここまでの仕組みを、顧客情報入りのファイルに当てはめてみます。
図 12 顧客情報入りファイルの社外共有に 4 つの仕組みを当てはめた例
②のラベル付けは必須ではなく、DLP は SIT だけを条件にしても動作します。秘密度ラベルを DLP の条件に使うこともできます [6]。図の順番は説明のための整理です。
| 実現したいこと | 使う仕組み | 役割 |
|---|---|---|
| 顧客情報が入っているファイルを見つける | 機密情報の種類（SIT） | 情報の特徴を手がかりに検出する [4] |
| ファイルの重要度を利用者に伝え、必要なら暗号化する | 秘密度ラベル | 分類の目印を付け、保護設定を適用する [5] |
| 社外共有を警告・制限する | DLP | 操作と条件を確認し、必要なアクションを実行する [6][7] |
| 保存期間や削除時期を管理する | 保持 | いつまで残すか、いつ削除するかを決める [8] |
[!WARNING]
よくある誤解：「ラベルを付ければ社外共有は止まる」
ファイルに秘密度ラベルを付けただけでは、社外共有の操作そのものが止まるとは限りません。共有そのものを警告・ブロックしたいなら DLP、共有されても中身を読ませたくないならラベルの暗号化 というように、目的に合った仕組みを組み合わせます [5][6]。
5. ルールを作る前のチェックリスト
ポータルで設定を始める前に、次の問いに答えてみてください。Microsoft Learn の DLP 計画・設計ガイダンスでも、関係者を特定し、保護する情報のカテゴリと目標を定めてからポリシーに落とし込む進め方が示されています [6][7]。
STEP A 決める
- 何を守りたいか
- その情報はどこにあるか
- どんな特徴で見つけるか
- 関係者（業務部門のオーナーなど）は誰か
STEP B 設計する
- 誰がどの操作をできるべきか
- どんな状況で警告・制限するか
- 意図を 1 文で書けるか（図 3）
STEP C 試して直す
- まずどのユーザーや場所で試すか
- 誤検出や業務への影響をどう確認するか
- 利用者への説明・トレーニングをどうするか
[!TIP]
なぜ先に決めるのか：Microsoft Learn は、実装前に時間をかけて設計するほうが、最適でないポリシーを作って試行錯誤で調整するより早く望ましい結果が得られ、意図しない問題も減らせるとしています。また、DLP の成功にはポリシーの調整と同じくらい、利用者のトレーニングが重要だとされています [6][7]。
6. まとめ：まずは「何を守るか」から考える
| 流れ | 仕組み | ひとことで |
|---|---|---|
| 1. 見つける | 機密情報の種類（SIT） | 情報の特徴とその裏付けから、守るべきデータを検出する [4] |
| 2. 目印を付ける | 秘密度ラベル | 重要度を示し、必要なら暗号化やマーキングで保護する [5] |
| 3. 制御する | DLP | 共有や送信などの操作を監視し、記録・警告・ブロックする [6][7] |
| 4. 残す／消す | 保持 | いつまで残し、いつ削除するかを管理する [8] |
Security を学ぶ最初の一歩は、機能名を覚えることではありません。どんな情報が大切で、どんな使われ方が問題になり、問題が起きたらどう気づくか を考えることです。Purview は、その考えを分類や保護のルールとして形にするための選択肢の一つです。
参考文献
いずれも Microsoft Learn（日本語版）。内容は 2026 年 10 月 19 日に確認。機能や対象範囲は更新されることがあるため、設定前に最新の情報を確認してください。
- Microsoft Purview の詳細（最終更新 2026/06/29）
- Microsoft Purview データ セキュリティ ソリューション（最終更新 2026/05/02）
- セキュリティ基盤としてのゼロ トラスト（最終更新 2026/05/31）
- 機密情報の種類に関する詳細情報（最終更新 2026/08/09）
- 秘密度ラベルの詳細（最終更新 2026/04/15）
- データ損失防止について（最終更新 2026/06/26）
- データ損失防止ポリシーを設計する（最終更新 2025/05/05）
- 保持または削除するアイテム保持ポリシーと保持ラベルの詳細（最終更新 2026/07/22）
図はすべて、上記の参考文献の内容をもとに本記事用に作成したものです。