こんにちは。SB C&Sの石井です。

近年、企業や組織で扱う業務データはメールやチャット、クラウドストレージ、ローカルファイルなど様々な場所に分散されるようになってきました。その結果、「このデータが機密情報なのか」「誰がアクセスしてよいのか」「外部共有しても問題ないのか」といった判断が難しくなってきているかと思います。

今回は、そんな課題を解決するMicrosoft Purviewの情報保護（Information Protection）について紹介します。

情報保護（Information Protection）とは

情報保護（Information Protection）とは、組織内のデータに対してラベルを付与し、情報の重要度や取り扱いルールに応じて分類・保護する機能です。

Microsoft Purviewでは、秘密度ラベルという機能を使用して、ファイルやメールなどのデータに「Confidential」「Public」「Internal」といった分類を付与できます。また、付与されたラベルに応じてアクセス制御や暗号化、透かしやフッターなど資料へのマーキングを適用することが可能です。

例えば、保護設定を構成した「Confidential」ラベルでは、特定のユーザーやグループのみアクセスを許可し、「Internal」は社内ユーザーのみアクセス許可し、「Public」は特に制限なしといったように、情報の重要度や共有範囲に応じて取り扱いを分けられます。

　

ここで注意したいのが、秘密度ラベルは作成するだけではユーザーは利用できません。

Microsoft Purviewで秘密度ラベルを利用するには、まずラベルを作成し、分類や保護に関するルールを定義します。そのうえで、作成したラベルをラベルポリシーとして発行し、対象となるユーザーやグループに適用する必要があります。

　

次の章から以下2つの設定について順番に紹介していきます。

• 秘密度ラベルの作成
• ラベルポリシーの発行

秘密度ラベルの作成

まずは、秘密度ラベルの作成から見ていきます。秘密度ラベルの作成では、ラベルの名前や説明、適用範囲、保護内容などを設定していきます。

Microsoft Purviewの管理ポータルにアクセスし、左側のメニューから[ソリューション]をクリックします。ソリューション一覧が表示されるため、今回は[Microsoft Information Protection]をクリックします。

　

Microsoft Information Protectionの機能一覧が表示されるので、左側のメニューから[秘密度ラベル]をクリックします。[作成]-[ラベル]の順でクリックします。
※ラベルグループは、複数のラベルをまとめて管理するフォルダのようなものです。

　

まずは、ラベルの名前や表示名などの基本情報を設定していきます。

今回は以下の内容で設定し、次へをクリックします。

• 名前：Confidential
• 表示名：Confidential
• ラベルの優先度：最高
• ユーザー向けの説明：任意の説明を入力

ここで設定するラベルの優先度は、複数のラベルを運用する上で重要な項目になります。一般的には、機密度の高いラベルほど優先度を高く設定します。例えば、「Public」「Internal」「Confidential」の3つのラベルを作成する場合は、「Public」よりも「Internal」、「Internal」より「Confidential」の優先度を高く設定します。

この優先度は、ユーザーがラベルを変更する際の昇格・降格の判断にも関係します。例えば、「Confidential」が適用されているファイルを「Internal」や「Public」に変更する場合は、機密度の高いラベルから低いラベルに変更するためラベルの降格として扱われます。人が見るとラベル名で昇格・降格の判断ができますが、システムではラベル名だけでは上下関係を判断できません。そのため、Microsoft Purviewでは、ラベルに設定された優先度をもとに、どのラベルが上位で、どのラベルが下位なのか判断します。

　

続いてラベルを適用する範囲を定義します。

今回は以下にチェックを入れ、[次へ]をクリックします。

• ファイルと他のデータ資産
• メール

　

続いて選択した範囲にラベルが適用された場合の保護設定を選択します。

今回は以下にチェックを入れ、[次へ]をクリックします。

• アクセスの制御
• コンテンツ マーキングを適用する

　

まずはアクセス制御の設定をしていきます。

ここではアクセス許可の割り当てを自動で割り当てるのか、ラベル適用時にユーザーがアクセス許可を割り当てるのかといった設定やアクセス許可の有効期限、誰にアクセス許可を付与するのかといった設定を行います。

今回は以下の設定を実施します。

• アクセス許可を今すぐ割り当てますか、それともユーザーが決定するようにしますか?：アクセス許可を今すぐ割り当てる
• コンテンツに対するユーザーのアクセス許可の期限：許可しない
• オフライン アクセスを許可する：常に許可

これにより、アクセス許可を割り当てたユーザーやグループ以外がラベルが適用されたファイルなどにアクセスできなくなります。

　

続いて、このラベルが適用されたコンテンツにアクセスできるユーザーやグループを設定します。

[アクセス許可の割り当て]をクリックすると、画面右に設定項目が表示されるため、[ユーザーまたはグループを追加する]をクリックします。

　

このラベルにアクセス権限を与えるユーザーやグループを選択し、[追加]をクリックします。

　

選択したユーザーやグループが割り当てられていることを確認し、[保存]をクリックします。

　

[次へ]をクリックします。

　

続いてコンテンツのマーキング設定を行います。

コンテンツのマーキングのラジオボタンをオンにし、以下にチェックを入れます。

• 透かしの追加
• フッターの追加

　

続いて透かしとフッターにテキストを入力していきます。

まずは透かしのテキストを入力します。[テキストのカスタマイズ]をクリックします。画面右に入力欄が表示されるため、ドキュメントに透かしとして表示されるテキストの入力をします。

今回は以下の設定をし、保存をクリックします。

• 透かしテキスト：Confidential
• フォント サイズ：50
• フォントの色：赤
• テキストのレイアウト：斜め

　

続いてフッターのテキストを入力します。

[テキストのカスタマイズ]をクリックします。画面右に入力欄が表示されるため、フッターとして表示されるテキストの入力をします。

今回は以下の設定をし、保存をクリックします。

• フッター テキスト：一部のユーザーのみ閲覧可能
• フォント サイズ：10
• フォントの色：赤
• テキストの配置：左

　

[次へ]をクリックします。

　

ファイルとメールの自動ラベル付けは設定せずに、[次へ]をクリックします。
※この設定を実施するとコンテンツに含まれている情報など指定した条件に一致する場合、自動的にラベル付けをすることが可能です。
例.コンテンツにクレジットカード情報が含まれている場合

　

Microsoft 365グループやSharePointサイトに対しての制御設定は特に行わず[次へ]をクリックします。

　

設定した内容を確認し、[ラベルを作成]をクリックします。

　

ラベルが作成されると案内が表示されるため[完了]をクリックします。

　

秘密度ラベル画面からラベルが作成されたことが確認できます。

実運用においてはラベル増やしすぎるとユーザーが選択に迷いやすくなり、管理も複雑になります。Microsoftでは一般的に5つ以内で構成することを推奨しています。

詳細は以下のドキュメントをご参照ください。
データ分類と秘密度ラベル分類
https://learn.microsoft.com/ja-jp/compliance/assurance/assurance-data-classification-and-labels

　

ラベルポリシーの発行

続いてラベルポリシーの発行を実施し、作成したラベルを利用できるユーザーやグループを決定します。

[ポリシー]-[ラベル発行ポリシー]の順に移動し、[ラベルを発行]をクリックします。

　

まずは、発行するラベルを選択します。

[発行する秘密度ラベルを選ぶ]をクリックします。画面右にラベルの選択画面が表示されるため、対象のラベルを選択し、[追加]をクリックします。
※今回は[Confidential]ラベル以外に作成した2つのラベルも一緒に発行します。

　

ラベルが追加されたことを確認し、[次へ]をクリックします。

　

管理単位は特に設定せず、[次へ]をクリックします。

　

ラベルを発行するユーザーやグループを選択します。

今回はすべてのユーザーに発行するためデフォルトのまま[次へ]をクリックします。

　

このポリシーに含めるルールを選択します。

今回は以下にチェックを入れ[次へ]をクリックします。

• メールとドキュメントのラベル適用を要求する

この項目にチェックを入れるとユーザーがドキュメントを保存する際やメールを送信する際に、ラベルが適用されていない場合、ラベル適用を促されるようになります。

　

ドキュメントに既定で適用するラベル設定はデフォルトのまま[次へ]をクリックします。この設定をするとドキュメント作成時に既定で割り当てられるラベルを設定できます。

　

メールに既定で適用するラベル設定もデフォルトのまま[次へ]をクリックします。また、ここからメールにラベル付きのファイルが添付された場合、優先度が高いラベルに継承するか設定もできます。

　

会議や予定イベントに既定で適用するラベル設定もデフォルトのまま[次へ]をクリックします。ここから、会議で共有したファイルからのラベル継承設定もできます。

　

FabricおよびPower BIコンテンツに既定で適用するラベル設定もデフォルトのまま[次へ]をクリックします。

　

このラベルポリシーにつける任意の名前を入力し、[次へ]をクリックします。

　

設定した内容を確認し、[送信]をクリックします。

　

ラベルポリシーが作成されると案内が表示されるため[完了]をクリックします。

　

ラベル ポリシー画面から作成されたことが確認できます。

　

動作確認

では実際に発行したラベルの動作確認をしていきます。ラベル発行・ポリシー作成から適切に反映されるまで最大24時間ほどかかる場合がありますので導入する際はお気を付けください。

今回は、Wordからラベルの確認をします。Wordを開くとリボンに[秘密度]が表示されます。クリックをすると割り当てたラベルが表示されます。

　

実際に[Confidential]ラベルを適用するとラベル作成時に設定した通り、電子透かしとフッターが表示されます。

　

またアクセス許可のないユーザーでこのファイルを開こうとすると以下のようなポップアップが表示されファイルを開けないことが確認できます。

　

まとめ

今回は、Microsoft Purviewの情報保護機能についてご紹介しました。

情報保護を活用することで、組織内の重要な情報を分類し、利用シーンに応じて適切に保護できるようになります。
また、Microsoft 365の日常業務の中で自然にラベルを適用できるため、ユーザーの負担を抑えながら情報漏えいリスクの低減につなげられます。

本ブログがMicrosoft Purviewを活用する際の参考になれば幸いです。