セキュリティ 2026年3月7日

「秘密度ラベル」による暗号化の自動化 ― 機密ファイルを「守り忘れない」仕組みの作り方

「社外秘のファイルは暗号化してから送ってください」——このルールを社員が毎回守れるでしょうか。手動の運用はいずれ破綻します。秘密度ラベルによる暗号化の自動化は、「人がルールを忘れても、仕組みが守る」状態を作ります。

暗号化の自動化の2つのアプローチ

秘密度ラベル（例：「社外秘」）に暗号化設定を組み込みます。社員がファイルに「社外秘」ラベルを適用した時点で、自動的にAzure RMSによる暗号化が適用されます。

これは手動でラベルを選ぶ操作は必要ですが、「ラベルを付ければ暗号化される」という仕組みで暗号化の漏れを防ぎます。Business Premium / E3以上で利用可能です。

ファイルの内容にマイナンバーやクレジットカード番号などの機密情報パターンが含まれている場合、秘密度ラベルを自動的に適用する仕組みです。ラベルに暗号化が紐付いていれば、検出→ラベル適用→暗号化がすべて自動で完結します。

自動ラベル付けには2つの方式があります。

クライアント側自動ラベル（E3以上）： Officeアプリ（Word、Excel、Outlook等）がファイル編集中に機密情報を検出し、ユーザーにラベルの適用を「推奨」します。ユーザーが承認するとラベルが適用されます。

サービス側自動ラベル（E5 / アドオン）： SharePoint Online、OneDrive、Exchange Online上のファイルを定期的にスキャンし、ユーザーの操作なしでラベルを自動適用します。既存の大量ファイルに一括でラベルを適用したい場合に有効です。

暗号化が適用されたファイルは、以下のように動作します。

権限のあるユーザー： 通常どおりファイルを開き、編集できます。暗号化を意識せずに業務を継続できます。

権限のないユーザー： ファイルを開こうとすると「アクセス権がありません」と表示され、内容を閲覧できません。ファイルが社外に流出しても、暗号化されているためデータは保護されます。

権限の種類： 「閲覧のみ（編集不可）」「編集可能だが印刷禁止」「転送禁止（メールの場合）」「コピー禁止」など、きめ細かい権限設定が可能です。

社外との共有： 暗号化されたファイルを社外の取引先に送った場合、取引先がMicrosoftアカウント（または対応するメールアドレス）で認証しないとファイルを開けません。取引先のIT環境によっては「ファイルが開けない」という問い合わせが発生します。

対策として、社外に送信するファイルには暗号化なしのラベル（コンテンツマーキングのみ）を適用し、暗号化ラベルは社内利用に限定する運用が現実的です。

バックアップ・アーカイブとの互換性： 暗号化されたファイルは、一部のバックアップツールやアーカイブシステムで正しく処理できない場合があります。導入前に既存のバックアップ環境との互換性をテストしてください。

検索への影響： SharePoint Onlineの全文検索は、暗号化されたファイルの内容もインデックス化できます（Microsoft 365の標準機能）。ただし、サードパーティの検索ツールでは暗号化ファイルの内容を検索できない場合があります。

Step 1： 暗号化なしのラベル（コンテンツマーキングのみ）を全社展開し、ラベル運用に慣れる。

Step 2： 「極秘」ラベルにのみ暗号化を追加（社内の限定されたユーザーのみアクセス可能）。影響範囲が小さい「極秘」から始める。

Step 3： 「社外秘」ラベルに暗号化を追加。社外共有の運用ルールを明確にしてから展開。

Step 4： 自動ラベル付け（クライアント側推奨）を有効化し、マイナンバー等の機密情報を含むファイルにラベルの適用を推奨。

秘密度ラベルによる暗号化の自動化は、「人がルールを忘れてもファイルが保護される」仕組みです。ただし、暗号化は社外共有やバックアップに影響を与えるため、段階的に導入し、影響を確認しながら範囲を広げるのが鉄則です。

情シス365では、秘密度ラベルの設計・暗号化ポリシーの構築・自動ラベル付けの導入を支援しています。お気軽にご相談ください。