今日のデジタル環境では、Power Platform を使用してビジネス アプリケーションを構築して展開する組織にとって、データの保護とプライバシーの確保は極めて重要です。 機密データのセキュリティと機密性の確保は、規制要件であり、顧客の信頼を維持し、組織の資産を保護する上で重要な要素です。
この記事では、Power Platform におけるデータ保護とプライバシーの重要な戦略とベスト プラクティスについて説明します。
データ保護
データ保護には、不正アクセス、侵害、その他の脅威からデータを保護するための対策の実装が含まれます。 プライバシーは、個人情報や機密情報が法的および規制上の要件に準拠して取り扱われ、個人のプライバシーの権利が尊重されるようにすることに重点を置いています。
データ所在地
Microsoft Entra テナントは、組織とそのセキュリティに関連する情報を保存します。 Microsoft Entra テナントが Power Platform サービスにサインアップする際、テナントが選択した国または地域が、Power Platform展開が存在する最適な Azure 地域にマッピングされます。 Power Platformは、組織が複数のリージョンでサービスを展開しない限り、テナントに割り当てられた Azure の地域 (ホーム ジオ) に顧客データを保存します。 詳細については、Power Platform におけるデータ保存とガバナンスを参照してください。
従業員および顧客が世界中に分布している多国籍企業の場合、グローバル地域に固有の 環境を作成および管理できます。 テナントの居住地とは異なる地域に環境を構築することができます。 ローカル環境は、そのリージョンのユーザーのデータにすばやくアクセスできます。 詳細については、マルチ環境展開における複数環境の機能にを参照してください。
データの分別
Power Platform は Azure 上で動作しているため、本質的にマルチテナント サービスです。 複数の顧客の展開と Virtual Machines が同じ物理ハードウェアを共有します。 Azure では、論理的な分離を使用して、各顧客のデータを分離します。 このアプローチでは、マルチテナント サービスのスケールと経済的なメリットを提供すると同時に、顧客が互いのデータにアクセスできないようにします。
詳細情報: Azure 顧客データ保護
データ暗号化
データは組織にとって最も貴重な資産であり、暗号化はデータ セキュリティ戦略における最強の防御線として機能します。 Microsoft のビジネス クラウド サービスおよび製品は、暗号化を使用して顧客データを保護し、その管理を維持するのに役立ちます。
Power Platform は既定で、Microsoft が管理する強力な鍵で、保存時と転送時のデータを暗号化します。
詳細情報:
データのセキュリティとコンプライアンスをより詳細に制御する必要がある組織の場合、カスタマー マネージド キー (CMK) は、転送中および保存中のデータを保護すると同時に、組織が暗号化キーを制御してデータ セキュリティを強化できるようにします。 Power Platform に保存されているすべての顧客データは、既定で Microsoft が管理する強力な暗号化キーを使用して保存時に暗号化されます。 Microsoft は、データのデータベース暗号化キーを保管および管理するため、ユーザーによる管理は不要です。 ただし、Power Platform は、Microsoft Dataverse 環境に関連付けられているデータベース暗号化キーを自己管理できる、追加のデータ保護制御用に、この顧客管理の暗号化キー (CMK) を提供します。 これにより、オンデマンドで暗号化キーをローテーションまたは交換し、いつでもサービスへのキーアクセスを取り消すことで、Microsoftによる顧客データへのアクセスを防ぐことができます。
詳細情報:
データ ポリシー
Power Platform データ ポリシーは、Power Platform 環境内の機密データを保護するために設計されたルールとガイドラインです。 これらのポリシーは、異なるコネクタや環境間でのデータの流れを制御することで、データの不正な共有や転送を防ぐのに役立ちます。
機密情報を保護し、規制コンプライアンスを確保し、データ侵害や未承認のデータ共有のリスクを軽減するには、Power Platform のデータ ポリシー戦略を確立することが重要です。
詳細情報:
テナント間のインバウンドとアウトバウンドを制限する
テナント分離は、Microsoft Entra ID 認証を使用するコネクタが他のテナントのデータにアクセスする方法を制御、制限する際に役立つセキュリティ機能です。 この機能は、さまざまな子会社や外部パートナーの間で厳密なデータ境界を維持する必要がある組織に役立ちます。
既定では、テナント分離はオフになっており、他のデータ ポリシーが設定されていない限り、コネクタはテナント間でデータにアクセスできます。 テナント分離は、Microsoft Entra ID 認証を使用するすべてのコネクタに適用されます。
テナント分離を構成するときは、各テナントの特定のデータ アクセス要件とコラボレーションのニーズを考慮してください。 分離設定が組織のセキュリティ ポリシーおよびコンプライアンス要件と一致していることを確認します。 分離構成を定期的に確認して更新し、変化するビジネス ニーズとセキュリティの脅威に適応します。 テナント分離を適切に構成すると、不正なデータ アクセスを防止し、データ侵害のリスクを軽減し、機密情報が意図した境界内に留まるようにすることができます。
ネットワーク セキュリティ
Power Platform サービス アーキテクチャでは、コネクタを使用して社内外のサービスからデータを使用するエンド ツー エンドのビジネス アプリソリューションを構築できます。 多くのソリューションは、組織のオンプレミスおよびクラウドのリソースにも接続します。 このセクションでは、Power Platform のネットワーク セキュリティ機能を調べ、Power Platform のサービスとソリューションをネットワーク セキュリティ設計に適合させる方法について解説します。
ネットワーク サービス タグ
Power Platform はインターネットへの接続が必要なクラウドベースのサービスです。 Microsoft は、アクセスを許可する Power Platform サービスを表す IP、ホスト名、サービス タグのセットを公開しています。 攻撃のリスクを軽減するには、ファイアウォールでこれらの値を構成するか、ブラウザーのプロキシ設定に追加して、それぞれのエンドポイントにアクセスします。
サービス タグは、特定の Azure サービスからの IP アドレスの接頭辞のグループを表します。 マイクロソフトは、サービス タグに含まれるアドレス接頭辞を管理し、アドレスの変更に応じてサービス タグを自動的に更新するため、頻繁に行われるネットワーク セキュリティ ルールの更新の複雑さが軽減されます。
利用可能なサービス タグの全リストを参照して、ネットワーク セキュリティ ルールを構成します。
コネクタは、データセンター リージョンの送信 IP アドレスにアクセスする必要があります。 環境またはファイアウォールによってこれらのアドレスがブロックされている場合、コネクタは機能しません。 ほとんどのコネクタは HTTPS ポート 443 を使用しますが、一部のコネクタは他のプロトコルを使用する場合があります。 使用するコネクタの特定の要件を確認してください。 IP アドレスとサービス タグは、アプリまたはフローが配置されているリージョンや環境によって異なります。 Power Platform IP アドレスとサービス タグの完全なリストを参照して、許可リストを正しく設定してください。
データ ソースへの接続
Power Platform は、外部システムやサービスとのシームレスな統合を促進する様々なコネクタを使用して、データソースに接続し、認証します。
詳細情報: データソースへの接続と認証
Virtual Network のサポート
Power Platform 向け Azure Virtual Network サポートを活用すると、リソースを公共のインターネットに曝さずに、Power Platform を仮想ネットワーク内のリソースに統合できます。 仮想ネットワーク サポートは、Azure サブネット委任 を使用して、実行時に Power Platform からの送信トラフィックを管理します。 Azure サブネット委任を使用すると、保護されたリソースをインターネット経由で利用して Power Platform と統合する必要がなくなります 。 仮想ネットワークのサポートにより、Power Platform コンポーネントは、Azure とオンプレミスのどちらでホストされているかどうかに関係なく、ネットワーク内で企業が所有するリソースを呼び出すことができ、プラグインとコネクタを使用して発信呼び出しを行うことができます。
プラグインやコネクタを介したデータ流出のリスクを軽減するには、ネットワーク セキュリティを使用して、インバウンドとアウトバウンドの両方のトラフィックを保護します。 Power Platform は、 コネクタと Microsoft Copilot Studio 統合などの Dataverse プラグインの両方で仮想ネットワーク (vNet) 統合をサポートし、Power Platform から vNet 内のリソースへのプライベートなアウトバウンド接続を提供します。
Power Platform 環境用 IP ファイアウォール
Power Platform の IP ファイアウォール機能は、Power Platform 環境へのインバウンド トラフィックを制御することで、さらなるセキュリティ レイヤーを提供します。 この機能により、管理者は IP ベースのアクセス制御を定義および実施し、許可された IP アドレスのみが環境にアクセスできるようにすることができます。 有効にすると、IP ファイアウォールは各リクエストの IP アドレスをリアルタイムで評価し、構成された IP 範囲に基づいてアクセスを許可または拒否します。
たとえば、IP ファイアウォールを有効にして、Dataverse へのアクセスをオフィスのネットワーク IP アドレスだけに制限すると、ユーザーは他の場所から Dataverse にアクセスできなくなります。 また、IPファイアウォールはトークンリプレイ攻撃を防止し、許可されていないネットワークの場所からアクセストークンが使用できないようにします。 このような要求は失敗します。 IP ファイアウォールはネットワーク層で動作するため、Dataverse を使用するアプリと API の両方に影響を与えます。 環境ごとに IP ファイアウォールを構成して、より厳格な保護が必要な環境を決定できます。 たとえば、開発環境へのアクセスを無制限に許可し、テスト環境と運用環境へのアクセスを制限できます。
Dataverse でのセッションの乗っ取りを防止
IP アドレス ベースの Cookie バインドにより、Dataverse におけるセッションの乗っ取りを防止します。 悪意のあるユーザーが、Cookie の IP バインドが有効になっている承認済みのコンピューターから有効なセッション Cookie をコピーしたとします。 その後、ユーザーは別のコンピューターで Cookie を使用して、Dataverse への不正アクセスを試みます。 Dataverse は、リアルタイムで Cookie の発信元の IP アドレスを、要求を行ったコンピューターの IP アドレスと比較します。 2 つが異なる場合、試行はブロックされ、エラー メッセージが表示されます。
オンプレミス リソースへの接続
オンプレミスのゲートウェイにより、Power Platform のクラウド アプリケーションとオートメーションはオンプレミスのリソースを安全に使用できます。 ゲートウェイを使用して、ファイルシステム、DB2、Oracle、SAP ERP、SQL Server、SharePoint などのソースからオンプレミスのデータに接続できます。 ゲートウェイは Azure Relay を使用して、オンプレミスのリソースへのアクセスを安全に許可します。 Azure Relayは、ファイアウォールでポートを開くことなく、ネットワーク内のサービスをパブリッククラウドに安全に公開できます。 ゲートウェイは、TCP 443、5671、5672、および 9350 から 9354 の送信ポートを使用します。 ゲートウェイは、受信ポートが必要ありません。
1 つのゲートウェイで、複数のユーザーが複数のデータ ソースにアクセスできます。 テナントにオンプレミス データ ゲートウェイをインストールできるユーザは制御できますが、環境レベルでは制御できません。
次のゲートウェイ ロール は、ゲートウェイとその接続のセキュリティを管理します。
- 管理者: ゲートウェイをインストールするすべてのユーザーに、管理者 ロール が自動的に割り当てられます。 管理者は、ゲートウェイの管理と更新、データ ソースへの接続の作成、すべての接続へのアクセスの管理、ゲートウェイ上の他のユーザーの管理を行うことができます。
- 接続作成者: ゲートウェイで接続を作成してテストすることはできますが、それを管理または更新したり、他のユーザーを追加または削除したりすることはできません。
- 共有している接続作成者: 接続作成者と同じアクセス許可があり、ゲートウェイを他のユーザーと共有できます。
Power Apps と Power Automate で作成した接続については、ロールを割り当てる際にユーザーが使用できる接続タイプを制限できます。 ゲートウェイ サーバーで標準のネットワーク制御を使用して、ゲートウェイがアクセスできるデータ ソースを制限します。 ゲートウェイをクラスタリングすることで、重要なビジネスニーズに対して、ゲートウェイの信頼性と速度を高めることができます。 アプリケーション ライフサイクルのサポート、組織の分割、サービスの分離など、さまざまな目的でさまざまなクラスターを使用します。 このアプローチは、さまざまなデータ ソースのさまざまなコンプライアンスまたはセキュリティ要件を満たすのに役立ちます。
仮想ネットワークデータゲートウェイを使用すると、Power BI と Power Platform のデータフローは、仮想ネットワーク内の仮想マシン上のオンプレミス データ ゲートウェイを必要とせずに、Azure 仮想ネットワーク内のデータサービスに接続することができます。 Power BI データセットに対応したデータサービス と Power Platform データフローでサポートされているデータソースを検索します。
Azure ExpressRoute は、プライベート接続を使用してオンプレミスのネットワークをマイクロソフトのクラウド サービスに接続する高度な方法を提供します。 1 つの ExpressRoute 接続を使用して、パブリック インターネットを経由せずに Power Platform 、Dynamics 365、Microsoft 365 、Azure などの複数のオンラインサービスにアクセスできます。 ExpressRoute には慎重な計画と構成が必要であり、ExpressRoute サービスと接続プロバイダーのコストが高くなります。
カスタマー ロックボックスで Microsoft による顧客データへのアクセスを管理
カスタマー ロックボックスを使用すると、Microsoft のエンジニアが重要なサポート要求を解決できるように、お客様の環境に一時的にジャストインタイムでアクセスできるようになります。
Lockbox には、次のコア機能があります。
- 管理者は、どの Microsoft Dataverse データベースをロックボックスで保護する必要があるかを選択できます。
- Microsoft が重要な問題を解決するために、ロックボックスで保護されたデータベースのデータに一時的にアクセスする必要が生じた場合、管理者に通知され、Power Platform 管理センターでその要求を承認または拒否することができます。
Microsoft にアクセスが許可された後、一時的なアクセス期間中にロックボックスで保護されたデータベースで行われた操作はすべて記録され、SQL 監査ログとして組織で利用できるようになります。 これらのログを Azure データレイクにエクスポートして、さらに分析することができます。
環境で許可されるアプリを制御する
Dataverse 環境内で実行できるアプリを制御することで、データ流出を防ぎます。 これらの保護手段は、機密情報の不正な削除を防ぎ、ビジネスの継続性と規制への準拠を支援します。 詳細情報については、アプリのアクセス制御を参照してください。
データマスキングで機密情報を保護
クレジットカード番号や社会保障番号など、個人を特定できる情報 (PII) を使用するシナリオでは、データのマスキング ルールを作成して、組織や顧客の機密データを保護します。 データ マスキングは、非識別化または難読化とも呼ばれ、機密データをマスキングされた文字列に置き換え、元の値を隠します。 許可されたユーザーのみが、マスクされていないデータに一度に 1 レコードずつアクセスできるため、データは最大限の機密性で処理されます。 既存の事前定義されたルールを使用してデータを保護するか、ソリューションとして独自のルールを作成します。
データの検出と分類に Microsoft Purview を使用する
Microsoft Purview と Microsoft Dataverse の統合により、強力なセキュリティ機能が実現します。 Microsoft Purview Data Map を使用すると、自動化されたデータ検出と機密データの分類のメリットを享受し、ビジネス アプリケーションのデータ資産をより深く理解し、データを保護し、リスクとコンプライアンスの体制を強化できます。
Microsoft Purview を使用すると、Power Platform Dataverse 環境のデータを含む、すべてのデータソースの最新ビューを作成できます。 Microsoft Purview は、組み込みまたはカスタムのカテゴリ別にデータ資産をソートし、作成者の Dataverse 環境にあるデータを把握する際に役立ちます。 たとえば、Microsoft Purview は、作成者が政府発行の ID やクレジット カード番号などの機密データを追加したかどうかを示します。 これによって、作成者にどのようにデータを変更すれば自社のポリシーに従うようになるかを指示するか、安全装置を使用してデータを保護することができます。
Dataverse のセキュリティ
Dataverse の主な特徴のひとつは、様々なビジネス ニーズに適応できる柔軟なセキュリティ モデルです。 Dataverse セキュリティ モデルは、Dataverse データベースを使用している環境でのみ使用できます。 セキュリティの専門家は、セキュリティ モデル全体を自分で作成することもできますが、組織のデータ セキュリティ要件を満たしていることを確認する必要がある場合があります。
Dataverse は、セキュリティ ロールを使用して特権をグループ化します。 これらのロールは、ユーザーまたは Dataverse チームや部署に割り当てることができます。 チームまたは部署に属するユーザーは、そのグループの ロール を継承します。 Dataverse セキュリティの重要な概念は、特権は累積的かつ加法的であるということです。 一部のデータへの広範なアクセスを許可した場合、後でそのデータの特定の部分へのアクセスを制限することはできません。 Dataverse チームは、Microsoft Entra ID セキュリティ グループまたは Microsoft 365 グループと関連付けることができます。 関連付けが確立されると、システムが自動的に Dataverse チームのメンバーを管理します。 ユーザーがこのセキュリティに依存するアプリを初めて使用する際、システムはこのユーザーを Dataverse チームに追加します。
Dataverse セキュリティ ロールは、ユーザに直接割り当てられているかのように振る舞うことができます。 このセットアップでは、Dataverse チームのメンバーであることを通して、ユーザーにユーザー レベルでの特権が与えられます。 セットアップを簡単にするには、キャンバス アプリを Microsoft Entra ID セキュリティ グループで共有し、アプリの使用に必要な Dataverse のセキュリティ ロールを選択します。 システムはユーザーのために Dataverse チームを作成し、Microsoft Entra ID セキュリティ グループと関連付けます。 新しいチームは、ユーザーが選択した Dataverse セキュリティ ロールも取得します。 このアプローチにより、管理エクスペリエンスが簡素化され、手動作業を減らしてユーザー セキュリティを管理できます。
Dataverse のセキュリティは複雑で、アプリケーション作成者、セキュリティ チーム、ユーザー管理者チームの協力が必要です。 大きな変更がある場合は、事前に計画して伝達してから環境に適用する必要があります。
詳細情報については、Dataverse におけるセキュリティのコンセプトを参照してください。
プライバシー
お客様のデータはお客様のものであり、いつでもアクセス、変更、削除することができます。 Microsoft は、お客様の同意なしにお客様のデータを使用することはありません。 お客様の同意を得た上で、当社はお客様のデータを使用して、お客様が選択したサービスのみを提供します。 当社は、お客様の同意に基づき、当社の厳格なポリシーと手順に従って、お客様のデータを処理します。 広告主がサポートするサービスとユーザーのデータを共有することはありません。また、マーケティング リサーチや広告のような目的で使用することもありません。 詳細については、マイクロソフトのオンラインサービスでの提供におけるデータ分類を参照してください。
当社は、お客様がご自身のデータを管理すべきであると考えています。 政府機関および法執行機関からのデータ要求に対応する方法について説明します。
お客様は、データの分類、ID 管理、およびデータを保護するための適切なセキュリティ ロール の割り当てを担当します。
詳細については、Microsoft のプライバシーに関する声明を参照してください。
結論
結論として、Power Platform 内で強固なデータ保護を確保することは、顧客と Microsoft の間で責任を共有することです。 これには、利用可能なすべてのセキュリティ機能を徹底的に評価し、組織のセキュリティ ポリシーとコンプライアンス要件に一致する構成を選択することが含まれます。 環境に関連する特定のニーズとリスクを評価することで、機密データの保護、不正アクセスの防止、規制コンプライアンスの維持に役立つ、カスタマイズされたセキュリティ対策を実装できます。 進化する脅威と変化するビジネス ニーズに適応するために、セキュリティ構成の定期的なレビューと更新が必要です。
次の手順
このシリーズの詳細な記事を確認して、セキュリティ体制をさらに強化してください。
記事を確認したら、セキュリティ チェックリストを確認し、Power Platform 展開が安定して回復力があり、ベスト プラクティスに沿っていることを確認します。