Microsoft 365 セキュリティ ツールを使用して Microsoft 365 Copilot のデータを保護する

多くの組織には、ユーザーが内部情報や個人情報を過剰共有するという懸念があります。 こうした懸念に対処するために、Microsoft は Microsoft 365 および Azure エコシステム内に強力なセキュリティ ツールを提供します。 これらのツールは、組織がアクセス許可を強化し、"Just-Enough-Access (最小限のアクセス許可)" を実装するのに役立ちます。Microsoft 365 や Azure だけでなく Microsoft 365 Copilot でも、管理者がこれらのツールで定義したポリシーと設定を使用して、データの過剰共有を防止します。 管理者は、企業の専有データや機密データの過剰共有の可能性を防ぐため、アクセス許可、秘密度ラベル付け、データ アクセスに関連する組織のセキュリティ慣行を確認する必要があります。

Microsoft では、この状況に対処するための "Just-Enough-Access (最小限のアクセス許可)" アプローチを推奨しています。 この方法では、各ユーザーは、ジョブに必要な特定の情報にのみアクセスできます。 アクセス許可を厳密に制御して、ユーザーが表示すべきではないドキュメント、サイト、またはデータにアクセスできないようにします。

過剰共有を防ぐために、組織は次のベスト プラクティスの実装を検討する必要があります:

• サイト、ドキュメント、電子メール、その他のコンテンツのアクセス レビューを実施します。 過度に公開されている資産を特定します。 データ所有者に SharePoint サイト、ドキュメント ライブラリ、電子メール メールボックス、およびその他のデータ資産のインベントリを作成します。 ユーザーのアクセス許可が必要以上に広い領域を特定します。 たとえば、人事チームだけでなく、すべての従業員に表示される "人事特典" SharePoint サイトなどです。
• 過度に公開されている資産に対するアクセス許可を強化して、承認されたユーザーのみがアクセスできるようにします。 前の項目の例を使用して、"人事特典" サイトへのアクセスを人事部門のメンバーのみに制限します。 同様に、機密性の高い製品ロードマップ ドキュメントも、関連する製品マネージャーのみに制限します。 公開を制限するには、電子メールとドキュメントの外部共有とアクセスの有効期限を構成します。
• アクセスを制限しても、ユーザーが自分の仕事を支障なく行えることを検証します。 制限付き資産のユーザーにアンケートと聞き取りを行って、自分の役割に必要なすべての情報に引き続きアクセスできるかどうかを確認します。 たとえば、会社の人事データが制限されている場合でも、営業担当がクライアントの連絡先情報やプロジェクト仕様に引き続きアクセスできることを確認します。
• 検索機能をテストして、ユーザーが各自の役割に関連する情報のみにアクセスできることを確認します。 内部のさまざまな役割として、ドキュメント、サイト、電子メールのサンプリング検索を実行します。 財務スタッフが人事データにアクセスできないことを確認します。 部門を超えたチームが共有プロジェクト リソースへのアクセス権を持っていることを検証します。 アクセス許可の調整は反復的なプロセスです。
• Microsoft SharePoint 高度な管理 ツールを実装する。 前のトレーニングで説明したように、SharePoint 高度な管理 (SAM) には、組織が過共有を防ぐのに役立つ次のようないくつかのツールが含まれています。
  • データ アクセス ガバナンス レポート。 これらのレポートは、過剰共有または機密性の高いコンテンツを含むサイトを識別します。 これらのレポートは、organization内の上位のアクセス許可を超えたサイトに関する分析情報も提供します。 管理者がデータ アクセス ガバナンス レポートを使用してこれらのサイトを特定する場合、管理者は、未承認のユーザーが機密データにアクセスしないように是正措置を講じることができます。 このプロアクティブなアプローチは、組織がセキュリティで保護されたデータ環境を維持し、偶発的なデータ リークを防ぐのに役立ちます。
  • SharePoint と OneDrive の制限付きアクセス制御。 SharePoint サイトの制限付きアクセス制御ポリシーを有効にすると、サイトレベルでサイトとコンテンツが検出されないようにすることができます。 サイトアクセス制限では、指定されたセキュリティ グループまたは Microsoft 365 グループ内のユーザーのみがコンテンツにアクセスできます。 また、ユーザーの OneDrive の共有コンテンツへのアクセスを、OneDrive ポリシーの制限付きアクセス制御を持つセキュリティ グループ内のユーザーのみに制限することもできます。 ポリシーが有効になると、指定されたセキュリティ グループに含まれていないユーザーは、以前に共有されていた場合でも、その OneDrive 内のコンテンツにアクセスできなくなります。
  • サイト アクセス レビュー。 このツールは、管理者が特定の SharePoint サイトにアクセスできるユーザーを定期的に確認および管理するのに役立ちます。 この機能を使用すると、IT 管理者は、データ アクセス ガバナンス レポートのレビュー プロセスをサイト所有者に委任できます。これは、共有コンテンツのコンテキストと必要性を理解するのに最適な立場にあります。 このツールは、データ アクセス ガバナンス レポートで特定されたオーバーシェアリングの問題に対処するのに役立ちます。 サイトに過剰共有の可能性があるフラグが設定されている場合、管理者はサイト アクセス レビューを開始し、サイト所有者にアクセス許可の確認と管理を求めることができます。
  • 制限付きコンテンツ検出。 この機能により、権限のないユーザーによって機密コンテンツが検出されるのを防ぎ、ユーザーのアクセス許可に基づいて可視性を制限することでデータセキュリティが強化されます。 この機能は、ユーザーのアクセス許可に基づいて特定のコンテンツの可視性を制限し、適切なアクセス レベルを持つコンテンツのみが機密情報を見つけて表示できるようにします。 制限付きコンテンツ検出は、機密データを表示および操作できるユーザーを制御するのに役立つため、データのセキュリティとコンプライアンスを維持するために重要です。 このツールは、コンテンツの検出可能性を制限し、組織がデータをより安全に管理し、偶発的な過共有を防ぐのに役立ちます。

データをセキュリティで保護するための Microsoft ツール

Microsoft 365、Microsoft 365 Copilot、接続されたサービスはすべて、管理者が定義したポリシーと設定を使用して、アクセス許可を強化し、"Just-Enough-Access (最小限のアクセス許可)" を実装します。これは、データの過剰共有を防ぐために、プラグインと Microsoft Graph コネクタを介して行われます。 次の一覧では、これらのポリシーと設定を定義するために、管理者が使用できるツールの概要を示します。

• Microsoft Purview 情報保護。 機密性に基づいてドキュメントと電子メールを分類し、必要に応じて暗号化します。 承認されたユーザーのみにアクセスを制限するためのポリシーを作成できます。 たとえば、次のようなことが可能です。

  • 従業員の給与を含むドキュメントまたは電子メールを "極秘" として分類し、人事チームのみにアクセスを制限する。
  • クライアント データを "秘密" として分類し、そのクライアントに割り当てられた営業担当者のみがアクセスできるようにする。
  • 財務レポートを "内部のみ" として分類し、外部共有を防ぐために自動的に暗号化する。
  • エグゼクティブ コミュニケーションを "内部使用のみ" として分類し、リーダーシップ チームのみにアクセスを制限する。

• Microsoft Purview 秘密度ラベル。 SharePoint サイト、ドキュメント、電子メールを "秘密" や "内部使用のみ" などの秘密度タグで分類してラベル付けします。特定の秘密度タグを持つ資産へのアクセスを制限するためのポリシーを作成できます。 たとえば、次のようなことが可能です。

  • 従業員のパフォーマンス レビューに "人事秘密" 秘密度タグでラベルを付け、人事マネージャーのみにアクセスを制限する。
  • 顧客データに "顧客秘密" タグでラベルを付け、そのタグの付いたアイテムのダウンロード、印刷、または共有をブロックするポリシーを構成する。
  • 顧客データに "秘密" というラベルを付け、このラベルが適用されているファイルを自動的に暗号化するように構成する。
  • 会計スプレッドシートに "財務秘密" というラベルを付け、財務チーム メンバーのみにアクセスを制限する。

• Microsoft Entra 条件付きアクセス ポリシー。 ユーザーの場所、デバイス、ネットワークなどの条件に基づいて、SharePoint を含む Microsoft 365 の情報とサービスへのアクセスを許可または制限します。 これらのポリシーは、システムがリスクを検出したり、ユーザー資格情報が侵害されたりしたときにアクセスを制限するのに役立ちます。 たとえば、次のようなことが可能です。

  • 多要素認証を要求して、リモート接続時に財務データを含む SharePoint サイトにアクセスする。
  • ユーザーが企業ネットワーク上のマネージド デバイスを介して接続している場合を除き、内部プレゼンテーションを含むサイトの外部共有をブロックする。
  • マネージド デバイスを要求して、プロプライエタリー ソース コードを含むサイトにアクセスする。
  • 公表日の前にプレス リリースを含むサイトへのアクセスをブロックする。
  • システムがあり得ない移動を検出した場合には、アクセスをブロックするか、別の要素によるステップアップ認証を要求する。これは、多くの場合、資格情報の盗用の指標となる。

• Microsoft Entra Privileged Identity Management (PIM)。 Just-In-Time 管理者アクセスを提供し、最小限の特権の原則を適用し、必要なときに必要なアクセス許可のみをユーザーに付与することで永続的な特権を制限します。 たとえば、次のようなことが可能です。

  • SharePoint 管理者やグローバル管理者などの特権ロールは、承認された営業時間に対してのみ付与して、継続的なアクセスを最小限に抑える。
  • 多要素認証と正当な理由を要求して、データまたはアプリへの特権アクセスをアクティブ化する。
  • 課金管理者などの特権アクセスを 1 週間あたり最大 5 時間に制限する。
  • 承認を要求して、Microsoft 365 グローバル管理者ロール アクセスをアクティブ化する。

• SharePoint 高度な管理 (SAM) サイト アクセス レビュー。 この SAM ツールは、ユーザーが必要としない、または不要になったアクセス許可を取り消すために、サイト所有者、メンバー、アクセス要求のアクセス レビューを必要とし、自動化します。 このツールは、組織がデータの過剰共有を防ぐのに役立つ手段として、このユニットの前半で検討しました。 また、組織は、承認されたユーザーのみが機密情報にアクセスできるようにするのに役立ちます。これにより、データ侵害のリスクが軽減されます。 サイト アクセス レビューでは、ユーザーが自分のロールに必要なアクセス権のみを保持します。 たとえば、次のようなことが可能です。

  • 人事システムおよび財務システムへアクセス許可は、レビューと承認がなされない場合、90 日後に自動的に取り消されます。
  • 外部のユーザー アカウントに対して四半期ごとに業務上の正当な理由を要求して、継続的なアクセスの必要性を検証する。
  • ユーザー アクセスの四半期ごとのレビューを要求して、退職した従業員のアクセス権を削除する。
  • コラボレーション サイトの外部ユーザー アクセスにポリシーの時間制限を適用する。

• Microsoft Graph コネクタとプラグイン。 Microsoft Graph コネクタまたはプラグインを使用して、接続されている外部データへのアクセスの制限します。 たとえば、次のようなことが可能です。

  • 接続されたデータ プロバイダーにアクセスするためにユーザーとグループが必要とするアクセス スコープの定義する。
  • 接続されたサービスと Microsoft 365 Copilot プラグインで使用されるデータに対して、ユーザー アカウントベースのサービス認証を要求する。
  • Graph コネクタを使用してインデックス付けされた外部コンテンツへの拡張検索機能を、アクセス権を持つ必要があるユーザーのみに制限する。

これらのツールの組み合わせを使用してアクセスを制限し、最小限の特権を実装すると、組織は機密データの公開を制限し、過剰共有を防止し、機密情報を安全に保つことができます。 これらのツールは、"Just-Enough-Access (最小限のアクセス許可)" を有効にする強力なメカニズムです。各従業員が過度の特権を持たずに作業を完了するのに十分なアクセス権を持つようにすることで、Microsoft 365 Copilot を役立つ推奨事項に必要な適切なデータのみに集中させることもできます。

追記。 データとユーザー デバイスのセキュリティ保護の詳細については、次のトレーニング オファリングを参照してください。

• 「Microsoft Defender XDR のセキュリティ メトリックを調べる」。
• 「Microsoft Defender for Endpoint を使用してエンドポイント保護を実装する」。
• 「Microsoft 365 でのコンプライアンスの管理」。

理解度チェック

次の各質問に最適な回答を選択します。