Microsoft File Classification Infrastructure (FCI) 解説

自分がどのようなデータを持っており、それがどこに配置されているのかを理解することは、欧州連合の GDPR 指令のような業界および政府の規制を遵守するための重要なステップです。

Microsoft は Windows Server 2008 R2 に File Classification Infrastructure (FCI) を導入し、組織が データを分類 できるように支援しました。これは、Windows ファイル サーバーに保存されているデータを指します。FCI を使用すると、システム管理者は、場所やコンテンツなどさまざまな要因に基づいてファイルを自動的に分類するルールを設定できます。ファイルが分類されたら、FCI は、指定したディレクトリへ移動したり暗号化したりするなど、定められたアクションをそれらのファイルに対して実行できます。

分類方法

FCIでファイルを分類する最も簡単な方法は、その内蔵エンジンを使用することです。FCIはWindows Searchを使ってファイルサーバーをクロールし、設定した分類プロパティとルールに基づいてファイルを自動的に分類します。ユーザーは、Windows Server 2012 と Windows 8 が Windows エクスプローラーに追加する Classification タブを使って、ファイルを手動で分類することもできます。組織の Microsoft Office テンプレートを分類しておけば、ユーザーは必要なメタデータがすでに設定されたドキュメントを作成できます。

さらに、アプリケーションは FCI API を使用してファイルを分析し、文書が作成されたアプリケーションの中からユーザーが文書を手動で分類できるようにすることができます。また、システム管理者が API にアクセスして、C# や C++ でコードを書くことなく、自分の好きな任意のプロパティを使ってファイルを分類できる Windows PowerShell の分類子モジュールもあります。この PowerShell の分類子モジュールは Windows Software Development Kit (SDK) の一部です。

分類プロパティ

ファイル サーバーの管理者は、メタデータがどのように使用されてファイルを分類するかを定義するために、分類プロパティを作成します。Windows Server 2016 には、はい/いいえ、日付/時刻、複数選択リストなどを含む 8 種類の分類プロパティがあります。各分類プロパティには、可能な値の種類があらかじめ定義されたセットがあります。中には単純なものもあります。たとえば、Personal Use プロパティは Yes または No のみ指定でき、Retention Start Date プロパティは日付/時刻の値のみを受け付けます。ほかのプロパティは、より複雑な値の種類を持つ場合があります。たとえば、Folder Usage プロパティは複数の値を受け付け、Impact プロパティは順序付きリストです。

分類プロセス

分類メタデータは、NTFS Alternate Data Stream (ADS) を使用してファイルに追加されます。ファイルが NTFS ボリュームに保存されている限り、その分類は保持されます。ファイルを FAT32 または ReFS ボリュームに移動すると、分類が失われます。このルールの例外の 1 つは Microsoft Office ファイルです。分類メタデータはファイルと NTFS ADS の両方に格納されているため、ファイルをクラウドに移動しても分類が失われません。— SharePoint をイメージしてください。

Windows Server 2012 の Dynamic Access Control (DAC) は FCI と連携し、各ファイル サーバーごとにローカルで設定するのではなく、Active Directory（AD）に分類プロパティを集中させて提供します。Windows Server 2008 とは異なり、Windows Server 2012 では組織がすぐに始められるように、既定の DAC 分類プロパティ セットが用意されています。さらに、Data Classification Toolkitは、HIPAA や GDPR のような一般的な規制コンプライアンス基準を満たすための、より多くの分類プロパティを提供します。

FCI の使い方を始める

FCI を使って分類ルールを作成し、テストするまでの手順を順を追って説明します。

前提条件

この例では、 Active Directory ドメインのメンバーである Windows Server 2016 のファイルサーバー（Windows Server 2012 のフォレスト機能レベル以上）が必要です。

FCI は File Server Resource Manager (FSRM) の一部であるため、ファイル サーバーに FSRM サーバー ロールがインストールされていることを確認してください。FSRM を最も簡単にインストールするには、次の PowerShell コマンドを使用します：

      Add-WindowsFeature FS-Resource-Manager -IncludeManagementTools
      

ステップ 1：いくつかの分類プロパティを有効にします

Windows Server 2012 およびそれ以降のバージョンには、すでにいくつかのグローバル分類プロパティが設定済みで付属しています。しかし、それらを使用する前に、Active Directory Administrative Center で有効にする必要があります。ここでは、そのうちの 1 つを有効にしてみましょう：

1. Server Manager を開きます。

2. Active Directory Administrative Center を から開きます

3. Resource Properties（Dynamic Access Control 配下）をクリックします。

4. 中央ペインのプロパティ一覧で Personal Use を右クリックし、Enable をメニューから選択します。

5. Active Directory 管理センターを閉じます。

ステップ 2：分類ルールを作成する

次に、File Server Resource Manager を使用して分類ルールを作成します：

1. サーバー マネージャーで File Server Resource Manager を Tools メニューから開きます。

2. 分類管理（Classification Management）で Classification Rules を右クリックし、Create Classification Rule… をメニューから選択します。

3. “分類ルールの作成（Create Classification Rule）”ダイアログで、新しいルールの名前を に入力します。

4. Scope に切り替えます。Add… をクリックし、ルールを適用したいフォルダーを選択します。

5. Classification に切り替え、Content Classifier が Classification method の下で選択されていることを確認してください。

6. Property の下で、ドロップダウンメニューから Personal Use の分類プロパティを選択します。

7. 「Specify a value」の下で、No をドロップダウン メニューから選択します。

8. Configure…（Parameters の下）をクリックします。

9. 「Classification Parameters」ダイアログで、「Expression」フィールド（Regular expression の右側）をクリックし、次を入力します：

^d{3}([s-])?d{3}1d{3}$

この正規表現は、XXX-XXX-XXX の形式の Social Security numbers をファイル内で検索します。分類ルールでは、文字列または正規表現を使用できます。

10. OK をクリックして、分類パラメーター（Classification Parameters）ダイアログを閉じます。

11. OK を「分類ルールの作成（Create Classification Rule）」ダイアログでクリックします。新しいルールは中央ペインに表示されます。

ステップ 3（任意）：ファイルの分類に基づいて FCI が自動で処理を実行するためのタスクを作成します

FCI に対して、Social Security numbers を含むファイルを自動的に暗号化または移動する、あるいは分類に基づいて別の処理を行わせたい場合は、ここで File Management Tasks を File Server Resource Manager（図 2 の左側にあるオプションを参照）でクリックして、適切なタスクを作成し、実行するようスケジュールします。

たとえば、personal use に対して No と分類されている Accounts ディレクトリ内のすべてのファイルを暗号化するには、次の手順を行います。

1. Classification Management の下で File Management Tasks をクリックします。

2. 右側で Actions の下にある Create File Management Task をクリックします。

3. [General] タブで、タスクに名前を付けます。

4. [Scope] タブに切り替え、たとえば C:Accounts のようなフォルダーを選択します。

5. [Action] タブで RMS Encryption を選択します。 （RMS Encryption を使用する前に、Active Directory Rights Management Services (RMS) がドメイン内のサーバーにインストールされている必要があります。）

6. RMS テンプレートを選択するか、暗号化された文書を読み取ることが許可された少なくとも 1 つのメールアドレスを手動で追加します。

7. 条件(Condition) タブで 追加(Add) をクリックして条件を追加します。

8. [プロパティ 条件 (Property Condition)] ダイアログで、プロパティに 個人使用(Personal Use) を選択し、演算子(Operator)の値を 一致(Equals) に設定して、値(Value)を いいえ(No) に設定します。

9. [スケジュール(Schedule)] タブで、タスクを実行するタイミングを指定してから OK をクリックします。

手順 4：分類ルールをテストする

最後に、新しいルールをテストしてみましょう。 Accounts というフォルダーがあり、その中に2つのファイルがあります。1つは社会保障番号（Social Security number）を含み、もう1つは含みません。

1. File Server Resource Manager で、右端の [Actions] パネルから Run Classification With All Rules Now…

2. [Run Classification] ダイアログで Wait for classification to complete を選択し、OK をクリックします。

3. 分類処理が完了すると、レポートが表示されます。以下のレポートから、想定どおり1つのファイルが分類されたことが分かります。

ファイルの分類を確認する、またはファイルを手動で分類する

ファイルの分類を確認する、またはファイルを手動で分類するには、Explorer でファイルを右クリックし、Properties をメニューから選択して、Classification タブに切り替えます。値が設定されているかどうかにかかわらず、有効になっているすべての分類プロパティがファイルのメタデータに表示されることに注目してください。

Microsoft FCI のメリットとデメリット

FCI テクノロジーは、組織が data classification を始めるうえで確実に役立ちます。これは Windows Server のすべてのエディションで利用でき、Windows をファイル サーバーとして使用するために必要なライセンス以外の追加ライセンスは不要です。FCI は Windows Search サービスと Dynamic Access Control に依存するため、必要なインフラはすでに組織内に整備されている可能性が高いです。Windows Explorer との統合により、エンド ユーザー デバイスにクライアントをインストールする必要がありません。

しかし、FCI にはサードパーティのデータ分類ツールと比べて多くの制限があります。まず第一に、このツールは Windows ベースのファイル サーバーでのみ動作します。データの保存に EMC、NetApp、SharePoint、Office 365 などのシステムを使用している組織は、FCI を使ってそのコンテンツを分類できません。

ほかにも欠点があります。分類プロパティは Active Directory で一元管理できますが、分類ルールは各ファイル サーバーで設定する必要があり、手間のかかる作業です。ただし、この作業は PowerShell を使って自動化できます。さらに、Windows Search が分類したいファイルをインデックスできるようにする必要があります。これは、ファイル サーバーに Microsoft Office Filter Pack や、他のファイル形式向けの iFilters をインストールすることを意味する場合があります。レポートは一元化されていないため、レポートを生成するには各サーバーに個別に対応する必要があります。

FCIは、Windowsベースのファイルサーバーに保存されているデータを組織が特定し、分類するのに役立ちます。そのため、データ分類を始めるための有用なツールになり得ます。とはいえ、セキュリティと規制対応を確実にするために必要な包括的なデータ分類と管理を実現するには、組織は ファイル分類ソフトウェア 。