Microsoft 365 でのデータ分類実装ガイド

今日の組織は、膨大な量のデータを保存しています。ビジネスを保護し、厳格な現代的規制に準拠するには、データを適切に管理し、確実に保護する必要があります。理想的にはすべての文書に同等の保護を与えたいところですが、このアプローチは財務面でも運用面でも現実的ではありません。したがって、組織は データを分類 して、重要かつ機密性の高いコンテンツを優先できるようにする必要があります。

データ分類 はオンプレミスのデータ格納環境全体にまたがっても、すでに十分に難しいものです。しかし現在では、多くの組織が SharePoint Online、OneDrive、Teams のような Microsoft 365 のクラウド ワークロードを広範に利用しており、さらに複雑さが増しています。クラウド上のデータは非常に動的で、アクセス制御が異なる複数のサービスに分散しているため、加えてインフラに対して物理的なコントロールができないことも難しさを高めています。

この記事では、data classification が Microsoft のクラウド環境でどのように機能するのかを示し、その重要な制約の一部をどのように克服できるかを説明します。

データ分類のメリット

Microsoft 365 における data classification を詳しく見ていく前に、データ分類の主なメリットを確認しましょう。情報を正確に分類し、ラベル付けすることで、組織は次のことが可能になります。

• HIPAA などの規制、CCPA および GDPR に準拠し、その状態を維持すること——そして新しい規制に迅速に適応することができます。
• プライバシー、保管（リテンション）、機密保持のポリシーを効果的に実装できます。
• 冗長なデータを特定して削除することで、データ管理、ストレージ、バックアップのコストを削減します。
• より迅速で効率的な検索を可能にして、ビジネス運用を効率化します。
• データベースのアーキテクチャを最適化し、セキュリティプラットフォームの機能を強化します。

これらのメリットを実現するには、正確で信頼できるデータ分類が必要です。手作業のプロセスでは、複数の理由により不十分になりがちです。個人によって分類基準の解釈が異なり、その結果としてラベルが一貫しなくなる可能性があります。また、忙しい従業員はその作業自体を見落としてしまうか、早く終わらせるためにラベルをランダムに選ぶこともあります。さらに、手作業のラベル付けは非常に手間がかかり時間もかかるため、すでにシステムに保存されている膨大な量のコンテンツは、ほとんど確実に分類されないままになってしまいます。したがって、自動データ分類ソリューションを使用することが重要です。

Microsoft Purview でデータを分類する

Microsoft のデータ分類における中核となるツールは Microsoft Purview（以前は Microsoft 365 Compliance と Azure Purview として知られていました）です。このソリューションは、Microsoft 365 やオンプレミス サーバーなど、Microsoft 環境全体にわたってデータを見つけ、分類し、保護することを支援します。

Microsoft Purview は、管理者が作成したルールに基づいて、ドキュメント、メール、その他のデータに対して感度ラベルを自動的に適用できます。たとえば、個人識別番号、財務情報、機密性の高いプロジェクト情報を自動で識別し、それに対応するラベルを適用できます。この自動化により、データが一貫して信頼性高く分類されることを支援します。感度ラベルは、Word、Excel、PowerPoint、Outlook などのアプリケーションで、ユーザーが手動で適用することも可能です。

ラベルが適用されると、Microsoft 365 の各サービスはコンテンツに対して設定された保護設定を強制的に適用します。感度ラベルは、Word、Excel、PowerPoint、SharePoint Online、OneDrive for Business、Microsoft Teams など、さまざまな Microsoft 365 ワークロードで認識されます。また、ラベルは内部プロセスやサードパーティのソリューションによっても使用され、データ保護やコンプライアンスを強化できます。たとえばデータ損失防止（DLP）ツール は、感度ラベルを使って機密情報の共有を制御または防止する場合があります。一方、データ保持ポリシーは、指定されたライフサイクルに従ってデータをアーカイブまたは削除するために、これらのラベルを活用することがあります。

ラベルを作成して公開する方法

Microsoft Purview のインターフェイス、または PowerShell を使用してラベルを作成し、公開できます。

前提条件

感度ラベルを作成して使用するには、有効な Microsoft 365 E5/A5/G5 ライセンスが必要です。加えて：

• アカウントは、次のいずれかのロールまたはロール グループに少なくとも 1 つ割り当てられている必要があります。
• 全体管理者
• コンプライアンス管理者
• セキュリティ管理者
• コンプライアンス データ管理者
• 感度ラベルを使用するには、同意が必要です。そのためには、Microsoft Purview のコンプライアンス ポータルにアクセスし、[情報保護] メニューに移動して [ラベル] ページに進みます。“データ マップ内のアセットにラベリングを拡張…” セクションで、以下のようにオンにするボタンをクリックします。表示される確認ダイアログではい をクリックします。

• Microsoft 365 管理センターで、SharePoint と OneDrive 上の Office ファイルの感度ラベルを有効にします。

Purview インターフェイスを使用してラベルを作成し公開する

ステップ 1。ラベルを作成する

ステップ 1a。 「ラベル」ページで「ラベルを作成」をクリックします。次に、以下の情報を指定します：

• 名前
• 表示名（ユーザーが、ラベルが公開されているアプリで見る名称）
• 優先度
• ビジネス ユーザー向けの説明
• ラベルを管理する管理者向けの説明
• ラベルの色

ステップ 1b。 次の画面で、ファイル、メール、会議など、分類する項目の種類を選択します:

ステップ 1c。 以下のように、暗号化を適用するか削除するか、また、ドキュメントにカスタマーヘッダー、フッター、またはウォーターマークを追加するかどうかを指定します。これらのいずれかのオプションを選択した場合は、追加の情報を入力する必要があります。

ステップ 1d。 指定した条件に一致する場合に、Microsoft Purview がファイルまたはメールにラベルを自動的に割り当てるかどうかを指定します:

ステップ 1e。 感度ラベルは、Microsoft Teams サイト、Microsoft 365 グループ、SharePoint サイトなど、さまざまなコンテナー全体でコンテンツを保護するためにも適用できます。これらのサポートされているコンテナーのいずれかに感度ラベルを割り当てると、指定した感度分類と事前構成された保護設定が、それぞれのサイトまたはグループに自動的に適用されます。以下のとおり、この例では追加のコンテナーは選択していません。

これでラベルを作成しました。

ステップ 2. ラベルを公開する

次は、公開のためにラベルを配布するポリシーを作成する段階です。

ステップ 2a. 次の場所へ移動：ラベル ポリシー > ラベルを公開する そして、公開したいラベルを選択します：

ステップ 2b. ラベルを使用できるユーザーとグループを選択します。すべてのユーザーとグループを選択することも、以下のように特定のアカウントを割り当てることもできます。

ステップ 2c. 強制的に適用したいポリシー設定を構成します。以下の例では、下のスクリーンショットに示すように、ラベルを削除したり、より低い順序番号を持つラベルに置き換えたりする前に、ユーザーが正当な理由を提示することを必須にするよう選択しています。

ステップ 2d. 次に、ラベル作成プロセスで指定したすべての項目のデフォルト ラベルを選択する必要があります。これは、ドキュメント、メール、会議などに該当します。以下のスクリーンショットでは、Word ドキュメントのデフォルト ラベルとして、General – Low Risk というポリシーを選択しています。

ステップ 2e. 最後に、作成したポリシーに下記のように名前を付けます。次に内容を確認して完了し、作業を終了します。

PowerShell を使用してラベルを作成および公開する

PowerShell を使用して、Microsoft 365 で感度ラベルを作成し、有効化することもできます。Microsoft の分類とラベリングを実現する方法の概要は以下のとおりです。

1) まだの場合は Security & Compliance Center の PowerShell モジュールをインストールします

2) 次のいずれかの cmdlet を使用してセッションを確立します。

Connect-ExchangeOnline または Connect-IpPsSession。

3) 機密度ラベルを作成します。New-Label cmdlet を使用し、ラベル名、説明、ツールチップ、保護設定などのパラメーターを指定します。例は次のとおりです：

New-Label -Name "Confidential" -Description "このラベルは、機密性の高いコンテンツに強力な保護を適用します。" -Tooltip "機密性の高いビジネス文書に使用します。"

4) 機密度ラベルを公開するポリシーを作成します。この例のように、「New-LabelPolicy」 cmdlet を使用して、含めるラベルと公開先を指定します：

New-LabelPolicy -Name "Default Label Policy" -Labels "Confidential" -Users "All"

ラベルの使用状況を監視する

ラベルを作成して公開すると、Microsoft Purview は設定したルールを使用して機密性の高いコンテンツに自動的にラベルを付けられ、ユーザーはドキュメントやメールにこれらのラベルを適用し始めることができます。ラベルがどのように使用されているかを監視するために、Microsoft Purview のレポート ツールを必ず使用してください。これにより、コンプライアンス状況を把握し、注意が必要な領域を特定できるようになります。

データ分類に Microsoft Purview を使用する際の課題

Microsoft Purview による自動ラベリングの導入は、情報の保護と管理を強化します。とはいえ、機密性の高い情報を特定するために事前定義されたパターン、キーワード、またはデータ型に依存しているため、次の両方の問題につながる可能性があります。

• 誤検知（False positives） — 機微情報ではないものを機微情報として誤ってラベル付けすると、本来利用できるはずのデータへのアクセスがユーザーに対してブロックされ、生産性が低下する可能性があります。
• 見逃し（False negatives） — 実際に機微情報であるデータにラベル付けできないと、組織は データ侵害 およびコンプライアンス上のリスクにさらされます。

さらに、自動ラベリングは Office ファイルに限定されており、Microsoft 製品の古いバージョンとは互換性がない場合があります。また、上記の「Prerequisites」セクションで示されているとおり、特定の Microsoft 365 サブスクリプション プランが必要です。

Microsoft 365 データ分類の代替案

データ管理の運用を強化し、コンプライアンスを維持したい組織にとって、Netwrix のソリューションは、最も機微性の高いデータを分類する際の正確性とセキュリティの確保に役立ちます。

Netwrix Access Analyzer データ環境の可視性を高め、ユーザーのアクティビティを監視するために、さまざまな IT 環境にわたって堅牢な監査およびレポート機能を提供します。主な機能は次のとおりです：

• IT インフラ全体で機密データを特定し、分類します。
• 個人を特定できる情報（PII）、財務記録、知的財産など、さまざまな種類のデータを検出します。
• データの取り扱い基準を定義するのに役立つ、カスタマイズ可能な分類ルールとポリシーを作成することで、GDPR、HIPAA、または PCI DSS のような規制要件への準拠を確実にします。
• データへのアクセスパターンやユーザーの行動についての洞察を提供します。

Netwrix Data Classificationは、高い精度と信頼性をもって膨大な量のデータを識別し、分類するために設計された、もう一つの包括的なソリューションです。主な利点は次のとおりです:

• 複合語の検索やステミングなどの高度な技術により、より正確な分類結果を実現
• Officeドキュメントだけでなく、多様なファイル形式に対応
• Microsoft以外の選択肢も含め、オンプレミスおよびクラウドの幅広いデータリポジトリにおいて、構造化データと非構造化データの両方に対応
• 特定の規制およびデータタイプに合わせた、あらかじめ定義されたタクソノミ（taxonomies）
• 知的財産など、企業固有のコンテンツを扱うためのカスタム分類法
• 専任のカスタマーサポートと活発なユーザーコミュニティ
• 直感的なインターフェースと簡単なセットアップ手順

さらに、Netwrix Data Classification は、Microsoft Purview を提供する Microsoft 365 プランへのアップグレードよりも、組織にとって費用対効果の高い選択肢になる可能性があります。

データ分類は、今日あらゆる組織にとっての中核となる機能です。適切な自動化ソリューションを選択することで、機密性が高く規制対象となる情報を正確に特定し、十分に保護することができるため、 data breach とコンプライアンス上の罰則のリスクを大幅に低減できます。さらに、運用効率とユーザーの生産性を高めることも可能です。Microsoft Purview は有用な機能を提供しますが、より堅牢で費用対効果の高い可能性があるサードパーティのソリューションもあわせて検討してください。

よくある質問（FAQ）

Microsoft のデータ分類とは何ですか？

Microsoft のデータ分類とは、データの機密性、重要度、またはその他の属性に基づいてデータを分類・整理するプロセスのことです。この分類により、機密情報を保護するために適切な対策が講じられるようにしながら、データを効果的に管理し、保護することができます。Microsoft のデータ分類における主要なツールは Microsoft Purview です。

データ分類には4種類ありますが、それは何ですか？

一般的に、データ分類には次の4つのよくある種類があります。

1. 機密: 機密データは非常に機密性が高く、アクセスできるのは許可を受けた人だけであるべきです。この種のデータには、営業秘密、財務情報、個人を特定できる情報（PII）、およびその他の重要なビジネスデータが含まれることがよくあります。機密データへのアクセスは通常制限され、不正なアクセスや開示を防ぐために追加のセキュリティ対策が適用されます。
2. 社内: 社内データは組織にとって不可欠ですが、機密データほど機密性が高いとは限りません。日々の業務運営にとって重要な情報が含まれますが、社内の従業員がアクセスしても、同程度のリスクにはなりにくいと考えられます。ただし、承認された担当者だけが社内データを閲覧または変更できるよう、アクセス制御は引き続き実施されています。
3. 公開: 公開データは機密性がなく、一般の人や組織内で自由に共有できます。この区分には通常、マーケティング資料、製品カタログ、または一般的な会社情報などのように、一般に向けて提供することを目的とした情報が含まれます。公開データは開示しても組織にリスクを与えないため、セキュリティ対策は最小限となります。
4. 制限: 制限データは機密と社内の区分の間に位置します。社内データよりも機密性は高いものの、機密データほど重要ではありません。制限データへのアクセスは組織内の特定の個人またはチームに限定され、不正なアクセスや開示から保護するために追加のセキュリティ対策が適用される場合があります。

Azure のデータ分類とは何ですか？

Azure におけるデータ分類とは、データの機密性、重要度、またはその他の属性に基づいて、Microsoft Azure 内のデータを分類し整理するプロセスを指します。Azure では、組織がクラウド上でデータを分類し保護できるように、さまざまなツールとサービスを提供しています。Azure のデータ分類に関連する主要な構成要素や機能には、次のようなものがあります：

1. Azure Information Protection (AIP): AIP は、組織がポリシーに基づいてデータを分類し、ラベル付けし、保護できるようにするクラウドベースのソリューションです。ほかの Azure サービスと統合されており、組織のクラウド環境全体にわたるデータ保護に対して統一されたアプローチを提供します。
2. Azure Purview: Azure Purview は データガバナンス サービスです。オンプレミス、マルチクラウド、SaaS（サービスとしてのソフトウェア）環境全体にわたって、組織のデータ資産を発見し、分類し、管理するのに役立ちます。組織のデータ環境を俯瞰的に把握できるため、データの発見と分類にも役立ちます。
3. Azure Security Center: Azure Security Center は、組織がクラウド ワークロードを保護するのを支援します。脅威の検出に関連する機能に加えて、セキュリティ ポリシー の管理やコンプライアンスも含まれます。データ分類は、組織が機密情報を特定し保護するために役立つ、その機能の一部です。
4. Azure Policy: Azure Policyは、組織がAzure環境内のリソースに対してポリシーを作成、割り当て、管理できるようにするサービスです。これには、データ分類に関連するポリシーが含まれる場合があり、組織全体で特定のデータの取り扱い手順が確実に遵守されるようにします。
5. Azure Data Factory: Azure Data Factoryは、組織がデータパイプラインを作成、スケジュール設定、管理できるようにするクラウドベースのデータ統合サービスです。データの移動と変換に重点を置いていますが、組織はデータ処理のワークフローの一部としてデータ分類を実装することもできます。
6. Azure Sentinel: Azure Sentinelはクラウドネイティブな SIEM (Security Information and Event Management) サービスで、インテリジェントな セキュリティ分析 を提供します。脅威の検出や調査のための機能が含まれます。データ分類は、セキュリティの文脈において機密情報を特定し、保護するうえで重要な役割を果たします。