insider-risk-baseline

Microsoft Purview Insider Risk Management（ベースライン）

Insider Risk Management（IRM）は、Microsoft 365 と接続されたソース全体のシグナルを使用して、プライバシー・バイ・デザインの制御（仮名化、RBAC、職務分掌）により、リスクのある内部者の活動（データの窃取、漏えい、ポリシー違反）を検出、調査し、対処します。

使用する場面

従業員によるデータの窃取、機密データの漏えい、セキュリティポリシー違反に対処する内部者リスクプログラムを立ち上げる場合に使用します。法務／人事／プライバシー部門の支援体制が整っていることが前提です。

IRM の運用開始後にリスクに応じた DLP を設計する場合（purview-advanced-dlp を使用）や、一般的なコミュニケーションコンプライアンスには使用しないでください（利用可能な場合は purview-communication-compliance を使用してください）。

適切なポリシーテンプレートの選択

懸念事項	テンプレート
データを持ち出して退職する従業員	退職するユーザーによるデータの窃取（退職／解雇のために HR コネクタが必要）
未承認の受信者への機密コンテンツの漏えい	データ漏えい（一般／優先ユーザーによる／不満を持つユーザーによる）
セキュリティポリシー違反（マルウェア、ウイルス対策の無効化など）	セキュリティポリシー違反
リスクのある AI の使用	リスクのある AI の使用（利用可能に応じてプレビュー版／GA）
患者データ／医療関連のシナリオ	患者データの漏えい（業界固有）

経験則：四半期ごとにテンプレートを1 つ選び、許容できるシグナル対ノイズ比になるよう調整してから、次のテンプレートを追加します。調整せずに複数のテンプレートを同時に有効にすると、レビュー担当者の対応が追いつかなくなります。

アプローチ

1. 関係者と連携する - 法務、人事、プライバシー部門、該当する場合は労使協議会を設計段階から参加させ、監視の適法な根拠を文書化します。 確認方法：データソース、保持期間、レビュー担当者の役割を明記した承認済みの適用範囲文書があること。
2. 前提条件を構成する - IRM の設定を行い、必要なインジケーター（Office、デバイス、コネクタ経由の物理バッジ）を有効にして、Microsoft 365 HR コネクタで退職／解雇などのイベントに関する HR データを接続します。 確認方法：HR コネクタの状態が正常で、テスト用の退職イベントが 24 時間以内に表示されること。
3. ポリシーテンプレートを選択する - 退職するユーザーによるデータの窃取、データ漏えい、セキュリティポリシー違反、リスクのある AI の使用のテンプレートから始め、適用範囲を構成します。 確認方法：最初はパイロットを対象として、ユーザーの適用範囲が定義されたポリシーが設定され、インジケーターのセットが指定されていること。
4. プライバシー・バイ・デザイン - ユーザー名の仮名化を有効にし、アナリスト／レビュー担当者の役割を厳密に制限し（RBAC、職務分掌）、法務／労使協議会の要件に応じて匿名化を構成します。 確認方法：レビュー担当者には、デフォルトで仮名化された識別子が表示され、匿名化の解除には昇格されたロールが必要であること。
5. トリアージと調査 - アラートを確認し、ケースを作成して、ユーザーのアクティビティタイムラインを調べ、文書化されたワークフローに沿って（eDiscovery／人事などに）エスカレーションします。 確認方法：段階、担当者、SLA を定めたケース管理ワークフローがあること。
6. インジケーターとしきい値を調整する - 許容できるシグナル対ノイズ比になるようしきい値を調整し、監査に備えて調整内容を文書化します。 確認方法：レビュー担当者 1 人あたりの週ごとのアラート数が、合意した範囲内であること。
7. Adaptive Protection - IRM のリスクレベルをAdaptive Protectionに連携し、リスクが高まったユーザーに対して DLP／条件付きアクセスを動的に厳格化します。 確認方法：リスクが高まったテストユーザーに、より厳格な DLP 分岐が適用されること。

ガードレール

• デプロイ前に法務／人事／プライバシーの関係者と協議してください。内部不正リスクの監視は慎重な取り扱いが必要であり、ガバナンスを誤ると従業員の信頼を損ない、法的リスクが生じます。
• デフォルトで仮名化を適用し、最小権限のレビュー担当者を設定してください。IRM アナリストと調査担当者の役割を分離してください。
• アラートが過剰にならないようインジケーターのしきい値を調整してください。テナント全体に展開する前に、対象を絞った範囲（1 つの BU または優先ユーザーグループ）から開始してください。
• 退職ユーザーの検出には HR コネクタが必須です。退職や解雇のイベントが最も信頼度の高いシグナルとなるため、コネクタがないとテンプレートは半分しか機能しません。
• 法務／規制要件に従って、IRM のシグナルやケースの保持期間を文書化してください。正当な理由がある期間を超えて保持しないでください。

よくあるアンチパターン

• 初日からすべてのテンプレートをテナント全体で有効にすること。1 週間以内にレビュー担当者が疲弊します。
• HR コネクタを設定しないこと。退職ユーザー向けテンプレートが弱いシグナルで発動し、実際のケースを見逃します。
• 「アナリストを信頼している」ために仮名化を無効にすること。後になって労使協議会や法務から異議が出ます。
• すべての IRM 権限を持つ単一のロールグループを設定すること。職務分掌がありません。
• 人事／法務への明確なエスカレーション経路がないこと。ケースがキュー内で滞留します。

プロンプトの例

• Stand up an Insider Risk Management policy for departing-employee data theft.
• How do I configure pseudonymisation and least-privilege reviewers in IRM?
• Connect HR data so resignation/termination events trigger IRM signals.
• Feed IRM risk levels into Adaptive Protection.
• Tune IRM indicator thresholds to reduce alert overload.

Microsoft Learn

• IRM の概要：https://learn.microsoft.com/purview/insider-risk-management
• IRM の計画と構成：https://learn.microsoft.com/purview/insider-risk-management-configure
• ポリシーテンプレート：https://learn.microsoft.com/purview/insider-risk-management-policies
• Adaptive Protection：https://learn.microsoft.com/purview/insider-risk-management-adaptive-protection
• HR コネクタ：https://learn.microsoft.com/purview/import-hr-data
• アクセス許可とロールグループ：https://learn.microsoft.com/purview/insider-risk-management-permissions