m365-govern-manage

Microsoft 365 のガバナンスと管理

制御されていないコラボレーションの拡大――所有者不在の Teams、広範な共有、長期間放置されたゲスト、過剰に共有された サイト――は、データリスクを高め、Microsoft 365 Copilot の安全な導入を妨げる最大の要因となります。 このスキルは、生産性を損なうことなく Microsoft 365 のコラボレーション環境をガバナンスします。

使用するタイミング

Copilot の導入を準備している場合、既定で公開される Teams が長年にわたって作成されたことで拡大した環境に対処している場合、または長期的なコラボレーションガバナンスプログラムを構築している場合に、このスキルを使用します。

次の用途にはこのスキルを使用しないでください。

• DLP ポリシーの設計（purview-dlp-policy を使用）
• 秘密度ラベルによる分類（purview-data-classification を使用）
• Copilot 固有の過剰共有の修正（purview-copilot-oversharing を使用）
• アプリ／ロールへのアクセスに関する Entra のアクセスレビュー（entra-id-governance を使用）

症状に応じた適切なコントロールの選択

症状	コントロール	必要なライセンス
誰でも Teams を作成でき、所有者不在のグループが何百もある	M365 グループの作成制限＋命名規則＋有効期限ポリシー	Entra ID P1（有効期限用）
何年も前に追加されたゲストが、現在もグループに所属している	ゲストに対する Entra のアクセスレビュー	Entra ID P2
サイトの共有リンクが既定で「外部ユーザーを除くすべてのユーザー」になっている	SharePoint の既定の共有リンク＝組織内のユーザー	M365 E3 以上
サイトに機密データがあり、共有範囲も広い	制限付きアクセス制御（RAC）＋秘密度ラベル	SAM（E5＋SAM アドオン）
機密データを過剰に共有しているサイトを特定できない	SAM のデータアクセスガバナンスレポート	SAM（E5＋SAM アドオン）
非アクティブなサイトがテナント内に散在している	SAM の非アクティブサイトポリシー＋サイトのライフサイクル管理	SAM（E5＋SAM アドオン）
Teams チャットの保持期間が無期限になっている	保持ポリシー（転送のみ）	M365 E3 以上
Copilot によるサイトのインデックス作成をブロックする必要がある	制限付きコンテンツ検出（RCD）	SAM（E5＋SAM アドオン）

経験則： 環境の拡大に対するガバナンスは、検出 → 既定値の引き締め → 既存環境の整理 → 維持の順に進めます。検出を省くと、誤ったコントロールを引き締めることになります。

アプローチ

1. まず拡散状況を測定する — SharePoint Admin → Active sites レポートと SAM Data Access Governance レポートを実行し、以下を定量化します。

   • 12 か月以上非アクティブなサイト
   • 固有のアクセス許可が 1000 件を超えるサイト
   • 「Everyone except external users」または匿名リンクで共有されているサイト
   • 所有者がいない Teams

   数値を基に、プログラムの規模を決め、最初の対象を選びます。 確認：ポリシーを設計する前に、共有範囲が広すぎる上位 20 サイトと、孤立したチームの数を挙げられること。

2. 整理する前に既定値を厳格化する — そうしないと、拡散が再発します。

   • 既定の共有リンク = 組織内のユーザー（リンクを知っている全員ではありません）
   • 外部共有 = 既存のゲストまたは新規および既存のゲスト（すべてのユーザーではありません）
   • グループ作成 = 承認済みの所有者で構成されるセキュリティグループに制限（それ以外のユーザーはフォームから申請）
   • 命名ポリシー = 部門別の接頭辞／接尾辞、禁止ワードのリスト
   • 有効期限ポリシー = 所有者による更新を伴う 365 日 確認：権限のないテストユーザーが新しい M365 グループを作成できず、新しいサイトの既定のリンクが組織内のユーザーになっていること。

3. コンテナーラベルを適用する — サイト／チーム／グループのコンテナーレベルで機密ラベルを設定すると、プライバシー、外部共有、管理対象外デバイスからのアクセス、条件付きアクセスを自動的に適用できます。Copilot が参照するサイトでは特に重要です。 確認：ラベルで禁止されている場合、ラベル付きサイトでのゲスト共有が拒否されること。管理対象外デバイスからアクセスすると CA ポリシーが適用されること。

4. 既存の拡散状況を段階的に整理する — 一括でアクセス権を取り消さないでください。ユーザーの反発によってプログラムが頓挫します。次の順序で進めます。

   • 第 1 波：非アクティブなサイト（18 か月以上編集されていないサイト）をアーカイブする — まず読み取り専用にし、90 日の猶予期間後に削除
   • 第 2 波：ラベル付きの機密データを含むサイトで、過剰な共有を見直す
   • 第 3 波：グループごとに、所有者主導でゲストアクセスをレビューする
   • 第 4 波：所有者のいないグループに所有者を割り当てるか、アーカイブする 確認：各波のダッシュボードで、対象が 50% 超削減され、正当な異議申し立てが 5% 未満であること。

5. 定期的なレビューを継続する — 一度きりで終わらせると失敗します。次のスケジュールを設定します。

   • 四半期ごと：機密性の高いグループのゲストアクセスレビュー
   • 月次：所有者のいないグループを一掃
   • 有効期限到来時：所有者が再確認するか、グループを削除

6. 状況をレポートする — SharePoint Admin と SAM のワークブックを作成し、過剰共有の推移、ゲスト数、所有者のいないグループの数を示します。拡散状況を毎月リーダー層に可視化します。

ガードレール

• ガバナンスは Copilot 対応の基盤です。 共有を制御しなければ、Copilot による過剰共有につながります。Copilot の導入に合わせてではなく、導入に先立ってガバナンスを実施してください。
• 管理と生産性のバランスを取ります。 グループ作成を全面的に禁止すると、シャドー IT（WhatsApp グループ、個人用 OneDrive、サードパーティー SaaS）を招きます。代わりにフォームから申請する方式を使用してください。
• まずパイロット OU でポリシーをテストします。 命名ポリシーや有効期限ポリシーを誤って全体に適用すると、初日からテナント全体で正当な業務が妨げられます。
• 有効期限が切れるとデータは削除されます。 90 日間のソフト削除の復旧期間を設定し、所有者に有効期限の 30 日、15 日、1 日前に更新通知が届くようにしてください。そうしないと、正当なチームまで消えてしまいます。
• SAM は別途追加するアドオンです。 ライセンスを計画してください。RAC、RCD、DAG レポート、非アクティブサイトのポリシーなど、強力な制御機能のいくつかは SAM が必要です。
• ゲストアクセスレビューには管理者ではなく所有者が必要です。 管理者が一括承認すると、レビューの目的が損なわれます。タイムアウト後のみ管理者が代行する、所有者主導のレビューを設定してください。

よくあるアンチパターン

• 「クリーンアップせずに既定値を厳格化する。」 新しいサイトは整然としていますが、10年分の既存の過剰共有はそのまま残ります。症状は変わらず、Copilot からの漏えいも続きます。
• 「既定値を厳格化せずにクリーンアップする。」 数週間で無秩序な状態が再発します。両方を実施する必要があります。
• 「すべてのグループ作成をブロックする。」 ユーザーは管理されていないツールに移行し、監査、DLP、保持の対象範囲を完全に失います。
• 「アイテムに秘密度ラベルがあるからと、コンテナーのラベルを省略する。」 コンテナーのラベルは、アイテムのラベルでは適用できない条件（例：サイトレベルでのゲスト共有のブロック）を適用します。どちらも必要です。
• 「所有者の責任を問わず、四半期ごとにアクセスレビューを実施する。」 所有者は確認せずに すべて承認 をクリックします。レビューはリマインダーメールと、応答がない場合の削除と組み合わせてください。
• 「ガバナンスを一度きりのプロジェクトとして扱う。」 無秩序化は蓄積の問題ではなく、流れの問題です。継続的な実施サイクルがなければ、6か月で管理状態が悪化します。

プロンプトの例

• ライフサイクルポリシーで Microsoft 365 グループと Teams の無秩序化を制御します。
• Microsoft 365 全体でゲストアクセスと外部共有を管理します。
• SharePoint Advanced Management を使用して、サイトのライフサイクルを管理します。
• Copilot の展開に向けて Microsoft 365 のガバナンスを準備するには、どうすればよいですか？
• テナントに適した既定の共有リンクは何ですか？
• 所有者が実際に実施するゲストアクセスレビュープログラムを構築します。

Microsoft Learn

• Microsoft 365 グループの有効期限：https://learn.microsoft.com/entra/identity/users/groups-lifecycle
• 外部コラボレーションの設定：https://learn.microsoft.com/entra/external-id/external-collaboration-settings-configure
• SharePoint Advanced Management：https://learn.microsoft.com/sharepoint/advanced-management
• データアクセスガバナンスレポート：https://learn.microsoft.com/sharepoint/data-access-governance-reports
• 制限付きアクセス制御：https://learn.microsoft.com/sharepoint/restricted-access-control
• アクセスレビュー：https://learn.microsoft.com/entra/id-governance/access-reviews-overview
• コンテナーの秘密度ラベル：https://learn.microsoft.com/purview/sensitivity-labels-teams-groups-sites