インサイダー リスク管理ケースに対するアクションを実行する

ケースはインサイダーリスク管理の中核です。 ポリシーでリスク インジケーターが生成する問題を調査して対処できます。 ユーザーのコンプライアンス関連の問題に対処するための追加の手順を実行する必要がある場合は、アラートからケースを手動で作成します。 各ケースは 1 人のユーザーに焦点を当て、そのユーザーに対する複数のアラートを既存のケースに追加したり、新しいケースを開始したりできます。

ケースの詳細を調査した後、次の操作を実行できます。

• ユーザーに通知を送信する
• ケースを問題のないものとして解決する
• ServiceNow インスタンスまたは電子メール受信者とケースを共有する
• 電子情報開示 (Premium) 調査のケースをエスカレートする

Insider Risk Management でケースを調査および管理する方法の概要については、「 Insider Risk Management の調査とエスカレーション」ビデオを参照してください。

ケース ダッシュボード

Insider Risk Management Cases ダッシュボード を使用すると、ケースを表示して対処できます。 ケース キューには、organizationのすべてのアクティブなケースとクローズされたケースと、次のケース属性の現在の状態が一覧表示されます。

• ケース ID: ケースの ID。
• ケース名: アラートを確認してケースを作成するときに定義されるケースの名前。
• 状態: ケースの状態 ( アクティブ または クローズ)。
• ユーザー: ケースのユーザー。 ユーザー名の匿名化を有効にすると、ポータルに匿名化された情報が表示されます。
• [Time case opened]\(ケースが開かれた時刻\) : ケースが開かれた後に経過する時間。
• ポリシー アラートの合計: ケースに含まれるポリシーの一致の数。 ケースに新しいアラートを追加すると、この数が増える可能性があります。
• 最後に更新されたケース: ケース ノートを追加するか、ケースの状態を変更してから経過する時間。
• 最終更新日: ケースを最後に更新した Insider Risk Management アナリストまたは調査担当者の名前。

[検索] コントロールを使用して、ケース ID を検索したり、ケース名で特定のテキストを検索したりできます。 ケース フィルターを使用して、次の属性でケースを並べ替えます。

• 状態
• ケースが起きてからの時間、開始日、終了日
• 最終更新、開始日、終了日

ケースを割り当てる

適切なアクセス許可を持つ管理者の場合は、内部リスク管理、インサイダー リスク管理アナリスト、または Insider Risk Management 調査担当者ロールを持つ自分または Insider Risk Management ユーザーにケースの所有権を割り当てることができます。 ケースを割り当てた後、同じロールのいずれかを持つユーザーに再割り当てできます。 ケースは、一度に 1 人の管理者にのみ割り当てることができます。

ケースに管理者を割り当てる場合は、管理者によってフィルター処理できます。

ケース ダッシュボードからケースを割り当てる

1. Microsoft 365 organizationの管理者アカウントの資格情報を使用して Microsoft Purview ポータルにサインインします。
2. Insider Risk Management ソリューションに移動します。
3. 左側のナビゲーションで [ ケース ] を選択します。
4. [ ケース] ダッシュボードで、割り当てるケースを選択します。
5. ケース キュー上のコマンド バーで、[ 割り当て] を選択します。
6. 画面の右側にある [ 所有者の割り当て ] ウィンドウで、適切なアクセス許可を持つ管理者を検索し、その管理者のチェック ボックスをオンにします。
7. [割り当て] を選択します。

ケースの詳細ページからケースを割り当てる

1. Microsoft 365 organizationの管理者アカウントの資格情報を使用して Microsoft Purview ポータルにサインインします。
2. Insider Risk Management ソリューションに移動します。
3. 左側のナビゲーションで [ ケース ] を選択します。
4. ケースを選択します。
5. ケースの詳細ウィンドウで、[ 割り当て] を選択します。
6. [ 推奨される連絡先 ] の一覧で、適切な管理者を選択します。

ケースをフィルター処理する

organizationのアクティブな Insider Risk Management ポリシーの数と種類によっては、ケースの大規模なキューを確認するのは困難な場合があります。 ケース フィルターを使用すると、アナリストと調査担当者は複数の属性でケースを並べ替えることができます。 [ケース] ダッシュボードでアラートをフィルター処理するには、[フィルター] コントロールを選択します。 ケースは、次の 1 つ以上の属性でフィルター処理できます。

• [状態]: 1 つ以上の状態値を選択して、ケース リストをフィルター処理します。 オプションは [アクティブ] と [クローズ] です。
• [Time case opened]\(ケースを開いた時刻\): ケースが開かれた日時の開始日と終了日を選択します。
• 最終更新日: ケースが更新されたときの開始日と終了日を選択します。

ケースのフィルター処理、フィルター セットのビューの保存、列のカスタマイズ、アラートの検索

organizationのアクティブな Insider Risk Management ポリシーの数と種類によっては、ケースの大規模なキューを確認するのは困難な場合があります。 ケースを追跡するために、次のことができます。

• さまざまな属性でケースをフィルター処理します。
• 後で再利用するようにフィルター セットのビューを保存します。
• 列の表示/非表示を切り替えます。
• アラートを検索します。

ケースをフィルター処理する

1. [ フィルターの追加] を選択します。

2. 次の属性の 1 つ以上を選択します。

   属性	説明
   割り当て先	トリアージのためにアラートが割り当てられている管理者 (割り当てられている場合)。
   最後に更新されたケース	ケースが最後に更新された日時の開始日と終了日。
   状態	ケースの現在の状態。 オプションは [アクティブ] と [クローズ] です。
   タイム ケースを開く	ケースが開かれた日時の開始日と終了日。

   フィルター バーには、選択した属性が表示されます。

3. フィルター バーで属性を選択し、フィルターの対象となる値を選択します。 たとえば、[最終アクティビティの日付] 属性を選択し、[開始日] フィールドと [終了日] フィールドで日付を入力または選択し、[適用] を選択します。

   ヒント

   任意の時点からやり直すには、フィルター バーで [ すべてリセット ] を選択します。

後で再利用するようにフィルター セットのビューを保存する

1. 前の手順で説明したフィルターを適用した後、フィルター バーで [保存] を選択し、フィルター セットの名前を入力して、[ 保存] を選択します。

   フィルター セットは、フィルター バーの上にカードとして表示されます。 これには、フィルター セットの条件を満たすケースの数を示す数値が含まれます。

   注:

   最大 5 つのフィルター セットを保存できます。 フィルター セットを削除するには、カードの右上隅にある省略記号 (3 つのドット) を選択し、[削除] を選択します。

2. 保存したフィルター セットを再適用するには、フィルター セットのカードを選択します。

列を表示または非表示にする

1. ページの右側にある [ 列のカスタマイズ] を選択します。

2. 表示または非表示にする列のチェック ボックスをオンまたはオフにします。

列の設定は、セッション間およびブラウザー間で保存されます。

アラートを検索する

[検索] コントロールを使用して、ユーザー プリンシパル名 (UPN)、割り当てられた管理者名、またはアラート ID を検索します。

ケースを調査する

インサイダー リスク管理アラートの詳細な調査は、適切な是正措置を取るために重要です。 Insider Risk Management ケースは、ユーザー リスク アクティビティの履歴、アラートの詳細、リスク イベントのシーケンスを詳しく調べて、リスクにさらされるコンテンツとメッセージを調べる中央管理ツールです。 リスク アナリストや調査担当者は、レビュー フィードバックとメモを一元化し、ケースの解決を処理するためにケースも使用します。

ケースを選択すると、ケース管理ツールが開き、分析担当者と調査担当者がケースの詳細を調査します。

ケースの概要

[ ケースの概要 ] タブには、リスク アナリストと調査担当者のケースの詳細が要約されます。 [ このケース について] 領域には、次の情報が含まれています。

• ケース ID: ケースの ID。
• 状態: ケースの現在の状態 (アクティブまたはクローズ)。
• ケースの作成日: ケースが作成された日付と時刻。
• ユーザーのリスク スコア: ケースのユーザーの現在の計算されたリスク レベル。 システムは、このスコアを 24 時間ごとに計算し、ユーザーに関連付けられているすべてのアクティブなアラートからのアラート リスク スコアを使用します。 [Insider Risk Management の設定] ページの [ポリシー インジケーター] セクションで [リスク スコア ブースター] が有効になっているときに、影響が大きい可能性のあるユーザーとしてユーザーが検出された場合、またはユーザーが優先度の高いユーザー グループ リスク ブースターのメンバーである場合は、[ユーザーの詳細] ページに、ユーザーの計算されたリスク レベルに関する詳細情報が含まれます。
• Email: ケースのユーザーのメール エイリアス。
• 組織または部署: ユーザーが割り当てられているorganizationまたは部署。
• マネージャー名: ユーザーのマネージャーの名前。
• マネージャーのメール: ユーザーのマネージャーのメール エイリアス。

[ ケースの概要 ] タブには、ケースに関連付けられたポリシー一致 アラート に関する次の情報が含まれる [アラート] セクションも含まれています。

• ポリシーの一致: セキュリティ インシデントにつながる可能性のある危険なユーザー アクティビティの一致アラートに関連付けられている Insider Risk Management ポリシーの名前。
• 状態: アラートの状態。
• 重大度: アラートの重大度。
• 検出された時間: アラートが生成されてから経過した時間。

アラート

[ アラート ] タブには、ケースに含まれる現在のアラートが要約されます。 既存のケースに新しいアラートを追加できます。 新しいアラートを割り当てると、アラート キューに アラート が含まれます。 キューには、次のアラート属性が一覧表示されます。

• 通知
• アラート ID
• 状態
• 重要度
• 検出された時間

キューからアラートを選択して、[アラートの 詳細 ] ページを表示します。

検索コントロールを使用して、アラート ID またはアラート名内の特定のテキストを検索します。 アラート フィルターを使用して、次の属性でケースを並べ替えます。

• 状態
• 重要度
• 検出された時間、開始日、終了日

フィルター コントロールを使用して、次のようないくつかの属性でアラートをフィルター処理します。

• 状態: 1 つ以上の状態値を選択して、アラート リストをフィルター処理します。 オプションは、確認済み、非表示、レビューが必要、解決済みです。
• 重大度: アラート の一覧をフィルター処理するために、1 つ以上のアラート リスクの重大度レベルを選択します。 オプションは、高、中、低です。
• 検出時間: アラートが作成された開始および終了日を選びます。
• ポリシー: 1 つ以上のポリシーを選択して、選択したポリシーによって生成されたアラートをフィルター処理します。

ユーザー アクティビティ

[ ユーザー アクティビティ ] タブでは、リスク アナリストと調査担当者がユーザー アクティビティの詳細を確認できます。 リスク アラートとケースに関連付けられている、リスクの可能性のあるすべてのアクティビティを視覚的に表します。 これらの危険なアクティビティがセキュリティ インシデントにつながる可能性があるかどうかを判断するには、この情報を使用します。 たとえば、アラートトリアージ プロセスの一環として、アナリストはケースに関連付けられているすべてのリスク アクティビティを確認して詳細を確認する必要がある場合があります。 場合によっては、リスク調査担当者は、ユーザー アクティビティの詳細とバブル チャートを確認して、ケースに関連するリスク アクティビティの全体的な範囲を理解するのに役立ちます。 ユーザー アクティビティ チャートの詳細については、 Insider Risk Management アクティビティ に関する記事を参照してください。

アクティビティ エクスプローラー (プレビュー)

[ アクティビティ エクスプローラー ] タブを使用すると、リスク アナリストと調査担当者は、リスク アラートに関連付けられているケース アクティビティの詳細を確認できます。 たとえば、ケース管理アクションの一環として、調査担当者やアナリストは、ケースに関連付けられているすべてのリスク アクティビティを確認して詳細を確認する必要がある場合があります。 アクティビティ エクスプローラーを使用すると、レビュー担当者は、検出された潜在的に危険なアクティビティのタイムラインをすばやく調べ、アラートに関連付けられているすべてのリスク アクティビティを特定してフィルター処理できます。

アクティビティ エクスプローラーの詳細については、 Insider Risk Management アクティビティ に関する記事を参照してください。

フォレンジック証拠

[ フォレンジック証拠 ] タブを使用すると、リスク調査担当者は、ケースに含まれるリスク アクティビティに関連する視覚的キャプチャを確認できます。 たとえば、ケース管理アクションの一部として、調査担当者はレビュー中のユーザー アクティビティのコンテキストを明確にするのに役立つ必要があります。 アクティビティの実際のクリップを表示すると、調査担当者は、ユーザー アクティビティが危険な可能性があり、セキュリティ インシデントにつながる可能性があるかどうかを判断するのに役立ちます。

フォレンジック証拠の詳細については、 Insider Risk Management のフォレンジック証拠に関する 記事を参照してください。

コンテンツ エクスプローラー

[コンテンツ エクスプローラー] タブを使用すると、リスク調査担当者は、リスク アラートに関連付けられているすべての個々のファイルと電子メール メッセージのコピーを確認できます。 たとえば、ユーザーが SharePoint Online から何百ものファイルをダウンロードしたときにアラートが作成され、アクティビティによってポリシー アラートがトリガーされた場合、ケースでは、アラートのダウンロードされたすべてのファイルがキャプチャされ、元のストレージ ソースから Insider Risk Management ケースにコピーされます。

コンテンツ エクスプローラーは、基本的で高度な検索機能とフィルター処理機能を備えた強力なツールです。 コンテンツ エクスプローラーの使用の詳細については、「 Insider Risk Management コンテンツ エクスプローラー」を参照してください。

ケース ノート

リスク アナリストと調査担当者は 、ケースの [ケース ノート ] タブを使用して、ケースの作業に関するコメント、フィードバック、分析情報を共有します。 ノートは、ケースに永続的に追加されます。 メモを保存した後は、編集または削除できません。 アラートからケースを作成すると、[アラートの 確認とインサイダー リスク ケースの作成 ] ダイアログ ボックスに入力したコメントが自動的にケース ノートになります。

ケース ノート ダッシュボードには、ノートを作成したユーザーのメモと、メモが保存されてから経過した時間が表示されます。 ケース ノート テキスト フィールドで特定のキーワード (keyword)を検索するには、ケース ダッシュボードで [検索] を使用し、特定のキーワード (keyword)を入力します。

ケース ノートを追加する

1. Microsoft 365 organizationの管理者アカウントの資格情報を使用して Microsoft Purview ポータルにサインインします。
2. Insider Risk Management ソリューションに移動します。
3. 左側のナビゲーションで [ ケース ] を選択します。
4. ケースを選択し、[ ケース ノート ] タブを選択します。
5. [ ケース ノートの追加] を選択します。
6. [ ケース ノートの追加 ] ダイアログ ボックスで、メモを入力します。
7. [ 保存] を 選択して、ケースにメモを追加します。

共同作成者

ケースの [共同作成者] タブでは、リスク分析担当者や調査担当者が、ケースに別のレビュー担当者を追加することができます。 既定では、 Insider Risk Management 調査担当者 と Insider Risk Management ロールが割り当てられているすべてのユーザーが、アクティブなケースとクローズされたケースごとに共同作成者として一覧表示されます。

共同作成者としてユーザーを追加することで、ケースへの一時的なアクセスを許可できますが、次の制限があります。

• アナリストと調査担当者は、共同作成者を追加できます。
• アナリストを共同作成者として追加することはできません。
• 共同作成者は共同作成者を追加できません。

共同作成者は、次を除き、特定のケースに対するすべてのケース管理コントロールを持っています。

• アラートを確認または無視するアクセス許可。
• ケースの共同作成者を編集するためのアクセス許可。

ケースに共同作成者を追加する

1. Microsoft 365 organizationの管理者アカウントの資格情報を使用して Microsoft Purview ポータルにサインインします。
2. Insider Risk Management ソリューションに移動します。
3. 左側のナビゲーションで [ ケース ] を選択します。
4. ケースを選択し、[ 共同作成者 ] タブを選択します。
5. [ 共同作成者の追加] を選択します。
6. [ 共同作成者の追加 ] ダイアログ ボックスで、追加するユーザーの名前の入力を開始し、推奨されるユーザーの一覧からユーザーを選択します。 この一覧は、テナント サブスクリプションのMicrosoft Entra ID から取得されます。
7. [ 追加] を 選択して、共同作成者としてユーザーを追加します。

ケースへの対処

リスク調査担当者は、ケースの重大度、ユーザーのリスク履歴、organizationのリスク ガイドラインに応じて、いくつかの方法のいずれかでケースに対してアクションを実行できます。 場合によっては、ケースをユーザーまたはデータ調査にエスカレートして、organizationの他の領域と共同作業を行い、リスク アクティビティをさらに詳しく調べる必要がある場合があります。 Insider Risk Management は、エンド ツー エンドの解決管理を支援するために、他の Microsoft Purview ソリューションと緊密に統合されています。

メール通知を送信する

ほとんどの場合、インサイダー リスク アラートを作成するユーザー アクションは、不注意または偶発的です。 ユーザーに電子メールでリマインダー通知を送信することは、ケース レビューとアクションを文書化するための効果的な方法です。 このメソッドは、会社のポリシーをユーザーに通知するか、リフレッシャー トレーニングをポイントします。 Insider Risk Management インフラストラクチャ用に 作成した通知テンプレート から通知を生成します。

ユーザーにメール通知を送信しても、ケース はClosed として解決されないことに注意してください。 場合によっては、新しいケースを開かずに、より多くのリスク アクティビティを探す通知をユーザーに送信した後、ケースを開いたままにしておきたい場合があります。 通知の送信後にケースを解決する場合は、通知を送信した後の後続の手順として [ ケースの解決 ] を選択します。

ケースに割り当てられたユーザーに通知を送信する

1. Microsoft 365 organizationの管理者アカウントの資格情報を使用して Microsoft Purview ポータルにサインインします。
2. Insider Risk Management ソリューションに移動します。
3. 左側のナビゲーションで [ ケース ] を選択します。
4. ケースを選択し、ケース アクション ツール バーの [ メール通知の送信 ] を選択します。
5. [ 電子メール通知の送信 ] ダイアログ ボックスで、[ 通知テンプレートの選択 ] ドロップダウン コントロールを選択して、通知の通知テンプレートを選択します。 この選択により、通知の他のフィールドが事前に入力されます。
6. 通知フィールドを確認し、必要に応じて更新します。 入力した値は、テンプレート内の値をオーバーライドします。
7. [ 送信] を選択して、ユーザーに通知を送信します。 送信されたすべての通知は、ケース ノート ダッシュボードのケース ノート キューに追加されます。

調査を拡大する

ユーザーのリスク アクティビティに対して追加の法的レビューが必要な場合に、ユーザー調査のケースをエスカレートします。 このエスカレーションにより、Microsoft 365 organizationで新しいMicrosoft Purview eDiscovery (Premium) ケースが開きます。 電子情報開示 (プレミアム) は、組織の内部および外部の法的調査と関連性のあるコンテンツを保管、収集、確認、分析、エクスポートするための、エンドツーエンドのワークフローを提供します。 また、訴訟チームが法的情報保留通知ワークフロー全体を管理して、ケースに関係するカストディアンとコミュニケーションを取ることができます。 Insider Risk Management ケースから電子情報開示 (Premium) ケースにエスカレートすると、法務チームが適切なアクションを実行し、コンテンツの保持を管理するのに役立ちます。 電子情報開示 (Premium) ケースの詳細については、「Microsoft Purview eDiscoveryの概要 (Premium)」を参照してください。

ケースをユーザー調査にエスカレートする

1. Microsoft 365 organizationの管理者アカウントの資格情報を使用して Microsoft Purview ポータルにサインインします。
2. Insider Risk Management ソリューションに移動します。
3. 左側のナビゲーションで [ ケース ] を選択します。
4. ケースを選択し、ケース アクション ツール バーの 調査のために [エスカレート ] を選択します。
5. [ 調査のエスカレート ] ダイアログ ボックスで、新しいユーザー調査の名前を入力します。 必要に応じて、ケースに関するメモを入力し、[ エスカレート] を選択します。
6. 通知フィールドを確認し、必要に応じて更新します。 入力した値は、テンプレートの値をオーバーライドします。
7. [ 確認] を選択して、ユーザー調査ケースを作成します。

Insider Risk Management ケースを新しいユーザー調査ケースにエスカレートした後、Microsoft Purview ポータルの 電子情報開示>Advanced 領域で新しいケースを確認できます。

ケースの Power Automate フローを使用して自動タスクを実行する

推奨される Power Automate フローを使用すると、リスク調査担当者とアナリストは、次のアクションをすばやく実行できます。

• インサイダー リスク ケースのユーザーに関する情報を人事または企業に要求します。
• ユーザーがインサイダー リスク アラートを持っている場合は、マネージャーに通知します。
• ServiceNow で Insider Risk Management ケースのレコードを作成します。
• インサイダー リスク ポリシーに追加されたときにユーザーに通知します。

Insider Risk Management ケースの Power Automate フローを実行、管理、または作成するには、次の手順を実行します。

1. ケース アクション ツール バーの [ 自動化] を選択します。
2. 実行する Power Automate フローを選択し、[ フローの実行] を選択します。
3. フローが完了したら、[完了] を選択 します。

Insider Risk Management の Power Automate フローの詳細については、「 Insider Risk Management 設定の概要」を参照してください。

ケースのMicrosoft Teams チームを表示または作成する

設定で Insider Risk Management Microsoft Teams統合を有効にすると、アラートを確認してケースを作成するたびに、ソリューションによってMicrosoft Teams チームが自動的に作成されます。 リスク調査担当者とアナリストは、ケース アクション ツール バーで [チームMicrosoft Teams表示] を選択することで、Microsoft Teamsをすばやく開き、ケースの チーム に直接移動できます。

Microsoft Team 統合を有効にする前に開くケースの場合、リスク調査担当者とアナリストは、ケース アクション ツール バーの [Microsoft Teams チームの作成] を選択することで、ケースの新しい Microsoft Teams チームを作成 できます。

ケースを解決すると、ソリューションは関連付けられている Microsoft Team を自動的にアーカイブします (非表示にして、読み取り専用に設定します)。

Insider Risk Management のMicrosoft Teamsの詳細については、「 Insider Risk Management の設定の概要」を参照してください。

ケースを解決する

リスク アナリストと調査担当者がレビューと調査を完了したら、ケースを解決して、現在ケースに含まれているすべてのアラートに対処します。 ケースを解決すると、解決分類が追加され、ケースの状態が Closed に変更され、ケース ノート ダッシュボードのケース ノート キューに解決アクションの理由が自動的に追加されます。 ケースを次のように解決します。

• 問題なし: ポリシー一致アラートが低リスク、非深刻、または誤検知として評価されるケースの分類。
• ポリシー違反の確認: ポリシー一致アラートが危険、深刻、または悪意の結果として評価されるケースの分類。

ケースを解決する

1. Microsoft 365 organizationの管理者アカウントの資格情報を使用して Microsoft Purview ポータルにサインインします。
2. Insider Risk Management ソリューションに移動します。
3. 左側のナビゲーションで [ ケース ] を選択します。
4. ケースを選択し、ケース アクション ツール バーの [ ケースの解決 ] を選択します。
5. [ ケースの解決 ] ダイアログ ボックスで、[ 解決する ] ドロップダウン コントロールを選択して、ケースの解決分類を選択します。 オプションは 、[問題なし] または [ 確認済みのポリシー違反] です。
6. [ ケースの解決 ] ダイアログ ボックスで、[ アクション の実行] テキスト フィールドに解決分類の理由を入力します。
7. [ 解決] を 選択してケースを閉じます。