Microsoft Purviewの情報漏えい対策｜DLP・秘密度ラベル・多層防御
情報漏えいは「悪意ある攻撃」だけでなく、「うっかりミス」や「悪意のない内部持ち出し」によっても発生します。Microsoft Purviewは、この3つのパターンすべてに対応する情報漏えい対策のフレームワークです。
実際の漏えい事故で件数として多いのは、攻撃ではなくメールの誤送信や共有設定のミスです。ファイアウォールやEDRはこれらを防げません。Purviewが埋めるのは、この「内側から出ていくデータ」の領域です。
3つの防御層
第1層：秘密度ラベル（分類と保護）
データの機密度に応じてラベルを付与し、ラベルに応じた暗号化やアクセス制御を自動適用します。「そもそも権限のない人がファイルを開けない」状態を作る予防的な対策です。
ラベルの利点は、保護がファイル自体に付いて回ることです。 ファイルがメールで転送されても、USBメモリにコピーされても、暗号化と権限設定は維持されます。社外に出た後も制御が効く点が、共有設定やDLPとの決定的な違いです。
第2層：DLP（流出の検知とブロック）
機密情報（マイナンバー、クレジットカード番号など）を含むデータが組織外に流出しようとした際に、検知・警告・ブロックするポリシーベースの対策です。メール送信、SharePointの外部共有、Teams経由の送信、USBデバイスへのコピーなどを制御します。
第3層：Insider Risk Management（内部脅威の検知）
退職予定者の大量データダウンロード、勤務時間外の異常なファイルアクセスなど、内部者による情報持ち出しの「兆候」を検知する行動分析ベースの対策です。
各層の連携
この3つは独立ではなく連携して動作します。
秘密度ラベルが付いたファイルをDLPポリシーの条件に使えるため、「『極秘』ラベル付きファイルの社外送信をブロック」というラベルベースのDLPが構築できます。また、DLPポリシーに繰り返し違反しているユーザーは、Insider Risk Managementのリスクスコアが上昇し、管理者にアラートが通知されます。
必要なライセンス
| 機能 | Business Premium | E3 | E5 |
|---|---|---|---|
| 秘密度ラベル（手動） | ○ | ○ | ○ |
| 秘密度ラベル（自動） | — | ○ | ○ |
| DLP（メール・SharePoint） | ○ | ○ | ○ |
| DLP（エンドポイント） | — | — | ○ |
| Insider Risk Management | — | — | ○ |
中小企業の段階的導入
Phase 1（Business Premiumで可能）： 秘密度ラベルの手動適用＋メールのDLPポリシー（マイナンバー検出時に警告）から開始。
Phase 2（E3で可能）： 秘密度ラベルの自動推奨＋DLPポリシーの拡充（SharePoint外部共有のブロック）。
Phase 3（E5で可能）： エンドポイントDLP（USBコピー制御）＋Insider Risk Managementの導入。
多くの中小企業はPhase 1で十分な防御力を得られます。Phase 2以降は、上場準備や業界規制への対応が必要になった段階で検討してください。
導入で失敗しないための実務ポイント
必ず「監視モード」から始める
DLPポリシーは、いきなりブロックに設定してはいけません。誤検知で正規の業務メールが止まると、現場が混乱し、情シスへの不信につながります。
Microsoft Purviewには、ポリシーを適用せず検知だけを行うテストモード（シミュレーションモード）があります。次の順で進めてください。
- テストモードで1〜2週間運用 — どれだけ検知されるか、そのうち何件が誤検知かを把握する
- ポリシーを調整 — 誤検知が多い条件を絞り込む
- 警告モードに変更 — ユーザーに通知は出すが、送信は許可する（理由を入力して続行させる）
- 必要なものだけブロックに変更 — すべてをブロックにする必要はない
警告モードのまま運用する判断も十分にあり得ます。 「送信できるが、記録が残り本人にも自覚が生まれる」状態は、実務上のバランスが良い場合が多いためです。
ラベルは3〜4段階に絞る
秘密度ラベルの設計でよくある失敗が、分類を細かく作りすぎることです。「社外秘」「関係者外秘」「部外秘」「厳秘」…と増やすと、利用者はどれを選べばよいか分からず、結局既定のまま使われます。
実務で機能するのは3〜4段階です。
| ラベル例 | 用途 | 保護 |
|---|---|---|
| 公開 | 公開資料、カタログ | なし |
| 社内限り | 通常の業務文書 | 社外への共有を制限 |
| 機密 | 人事・財務・顧客情報 | 暗号化、指定ユーザーのみ |
| 極秘 | 経営情報、M&A関連 | 暗号化、権限を個別指定、透かし |
まず既定ラベルを「社内限り」に設定するだけでも、無自覚な社外共有はかなり減ります。
検出対象は自社に関係するものから
DLPには多数の機密情報タイプ（クレジットカード番号、パスポート番号、各国の識別番号など）が用意されていますが、全部を有効にすると誤検知だらけになります。
日本の中小企業でまず設定すべきは次です。
- マイナンバー（個人番号） — 法令上の取り扱い義務があり、優先度が最も高い
- クレジットカード番号 — 決済情報を扱う場合
- 銀行口座情報 — 経理部門のやり取りで検出されやすいため、部門ごとの調整が必要
「氏名＋住所」のような組み合わせ条件は誤検知が多発します。 顧客リストを扱う部門では業務が止まりかねないため、慎重に設計してください。
誰がアラートを見るのか決める
DLPやInsider Risk Managementはアラートを生成しますが、それを見て判断する人がいなければ機能しません。導入前に次を決めてください。
- アラートの通知先（情シス個人ではなく、共有メールボックスやTeamsチャネル）
- 重大なアラートが出た場合の初動（誰が本人に確認するか、人事・法務にいつ上げるか）
- 記録の保管方法（監査で問われた際に提示できる形にする）
特にInsider Risk Managementは、従業員の行動を監視する仕組みです。導入にあたっては、就業規則やプライバシーポリシーとの整合、労使への説明が必要になる場合があります。技術的に設定できることと、実施してよいことは別問題です。人事・法務と事前に合意してから進めてください。
Purviewでも防げないこと
過信は禁物です。次はPurviewの守備範囲外、または対策が限定的です。
- 画面の写真撮影 — スマートフォンで画面を撮影されると、いかなる技術的制御も無効です
- 手作業での書き写し — 少量のデータであれば十分に持ち出せます
- 個人アカウントの併用 — 私物端末で個人のクラウドに保存する行為は、管理外の経路になります
- 権限を正当に持つ人の持ち出し — 業務上アクセスできる人が、業務を装って取得する行為は検知が困難です
技術的対策と並行して、アクセス権限の最小化（そもそも見られる人を減らす）と、退職手続きの厳格化を進めてください。技術で防ぐより、渡さないほうが確実です。
まとめ
- 漏えい事故で件数として多いのは攻撃ではなく、誤送信や共有設定のミス。ここはEDRやUTMでは防げない
- 秘密度ラベルの利点は、保護がファイル自体に付いて回ること。社外に出た後も制御が効く
- DLPは必ずテストモードから。いきなりブロックにすると正規の業務が止まる
- 警告モードのまま運用する判断もあり得る。送信は許可しつつ記録と自覚を残す
- ラベルは3〜4段階に絞る。細かく作ると誰も正しく選ばない
- 既定ラベルを**「社内限り」に設定するだけ**でも、無自覚な社外共有は減る
- 検出対象はマイナンバーから。「氏名＋住所」等の組み合わせ条件は誤検知が多い
- アラートを見る人と初動を決めてから導入する。誰も見ないアラートは無意味
- Insider Risk Managementは従業員の行動監視にあたる。人事・法務と事前に合意する
- 画面撮影・書き写し・権限を持つ人の持ち出しは防げない。権限の最小化が並行して必要
- 多くの中小企業はPhase 1（Business Premium）で十分。E5は上場準備や規制対応の段階で検討
情シス365では、Microsoft Purviewの導入設計を支援しています。ラベル設計やDLPポリシーの調整は運用が始まってからの微調整が要になるため、運用支援（月額12万円〜）の中で継続的に対応しています。無料相談からご相談ください。