m365-oversharing について
Microsoft 365 管理者やセキュリティチーム向けに、安全で統制されたデータ基盤の方針に沿って、過剰なコンテンツアクセスを減らすスキルです。SharePoint Advanced Management、ラベル、Microsoft Purview を組み合わせ、一度限りではなく継続的なガバナンスを重視します。
主な機能
- 01データアクセスガバナンスレポートでリスク評価
- 02高リスクサイトのアクセスと検索を制限
- 03秘密度ラベルとコンテナラベルで分類
- 04ラベルと共有のセキュアな既定値を設定
- 05監査とライフサイクルポリシーで継続統制
活用シーン
- 01SharePoint の広範なアクセス権を特定
- 02EEEU 権限と共有リンクの整理
- 03新規コンテンツの既定保護を設定
- 04Copilot 展開前にデータアクセスを整理
インストール
コマンドをコピーしてターミナルで実行します。
npx skills add https:/インストール後、Claude Code で/m365-oversharingを入力して読み込まれたか確認します。
詳細
Microsoft 365 の過剰共有の是正
過剰共有、つまり本来共有すべき範囲を超えてコンテンツが共有されている状態は、Microsoft 365 におけるデータ漏えいの主な根本原因であり、AI によってリスクが最も高まる問題です。Microsoft の Secure & Governed Data Foundation ブループリントでは、是正を 過剰共有の是正、ガードレールの設定、規制への準拠 の3つの柱に分けています。この取り組みは、SharePoint Advanced Management（SAM、Microsoft 365 Copilot ライセンスに含まれます）、秘密度ラベルとコンテナーラベル、Microsoft Purview によって支えられています。
使用する場面
安全で適切にガバナンスされた Microsoft 365 のデータ環境を構築し、SharePoint、OneDrive、Teams、Exchange 全体で、誰が何にアクセスできるかを制限し、その状態を強制可能な既定値によって維持する場合に使用します。Copilot を対象に含めるかどうかにかかわらず適用されます。これは、あらゆる AI またはデータプログラムが依存するデータ基盤の取り組みです。
質問が Copilot の展開準備に関する整理だけの場合（purview-copilot-oversharing を使用）、AI プロンプト内の機密データの監視の場合（purview-dspm-ai を使用）、またはテナント全体の DLP プログラムの設計の場合（purview-dlp-policy を使用）は、このスキルを使用しないでください。
3つの柱
| 柱 | 目標 | 主な手段 |
|---|---|---|
| 過剰共有の是正 | 既存の過剰に広いアクセスを速やかに見つけて削減する | SAM のデータアクセスガバナンス（DAG）レポート、EEEU のクリーンアップ、共有リンクのクリーンアップ、Restricted Access Control / Restricted Content Discovery |
| ガードレールの設定 | 強制可能な既定値によって再発を防ぐ | 秘密度ラベルとコンテナーラベル、安全な既定値のラベル付け、既定の共有設定、サイトのライフサイクルポリシー |
| 規制への準拠 | 監査／法務および AI 規制に関するギャップを解消する | Purview Audit、Compliance Manager の評価、データ衛生 |
基本方針は、評価 -> 分類 -> 制限 -> 既定で安全にする -> ガバナンスを行う です。評価（DAG レポート）のステップを省略するのが最もよくある失敗であり、「念のため」にすべてを暗号化するのが2番目によくある失敗です。
アプローチ
- 評価（DAG レポート） - SharePoint Advanced Management の data access governance レポートを実行し、リスクの高いサイトを特定します。具体的には、「Everyone Except External Users」（EEEU）が設定されたサイトが多すぎる場合、広範囲に共有されているサイト、共有リンクの乱立、アクセス権が付与されている機密コンテンツを確認します。 確認方法：DAG レポートで、リスクの高い上位N件のサイトと、各サイトの所有者を特定できます。
- 暫定的な制限を適用する - リスクが最も高いサイトには、所有者が是正措置を講じる間の迅速な暫定ガードレールとして、Restricted Access Control / Restricted Content Discovery を適用します。 確認方法：制限されたサイトが、テストユーザーの検索結果／Copilot の結果に表示されなくなります。
- サイト所有者に対応を依頼する - 所有者に期待される修正内容を通知します。所有者の状況を把握せずに、中央でアクセス許可を一律に削除しないでください。正当なコラボレーションを妨げ、信頼を損なうおそれがあります。 確認方法：期限を設定した所有者向けの是正チケットが作成されています。
- 分類してラベルを付ける - 機密コンテンツには秘密度ラベルを、サイトにはコンテナーラベルを適用します。暗号化は、真に機密性の高いコンテンツに限定します。 確認方法：最上位のラベルによって暗号化され、許可されていないアクセスがブロックされます。
- 既定で安全にする - secure-by-default labelling（SharePoint サイトからラベルを導出する機能）を使用し、既定の共有設定を厳しくします。ユーザーがラベル付けを忘れないことに頼らず、新しいコンテンツが保護されるようにします。 確認方法：新しく作成したコンテンツに既定のラベル／共有範囲が引き継がれます。
- ライフサイクルを管理する - サイトのライフサイクルポリシーと非アクティブサイトポリシーに加え、アクセスレビューを適用して、過剰共有が再発しないようにします。これは一度限りのクリーンアップではなく、継続的なガバナンスです。 確認方法：非アクティブなサイトがアーカイブされるか、定期的に所有者が再認証されます。
- 規制に準拠し、監視する - Purview Audit と Compliance Manager を使用して監査／法務および AI 規制に関するギャップを解消し、新たな過剰共有がないか継続的に監視します。 確認方法：監査／規制評価において、時間の経過とともに情報漏えいリスクが低減していることが確認できます。
ガードレール
- AI/Copilot を広範囲に有効にする前に是正します。範囲を絞ったクリーンなパイロットであれば進められますが、評価なしにテナント全体で有効にすると、すぐに苦情が寄せられます。
- まず評価します。DAG レポートなしで是正を実行すると、間違った箇所を修正することになります。
- 「念のため」に最上位のラベルですべてを暗号化しないでください。外部とのコラボレーションや正当な共有が妨げられます。デフォルトで安全なラベル付けと例外処理を組み合わせるほうが、より適切に拡張できます。
- サイト所有者と調整します。権限を一括で中央から削除すると、コラボレーションが妨げられます。
- SAM はライセンスが必要です（Microsoft 365 Copilot に含まれるほか、スタンドアロンまたは E5 SKU でも利用できます）。レポートが存在すると決めつける前に、利用可能かどうか確認してください。
- 過剰共有の制御は継続的なガバナンスです。新しいサイトや共有リンクは毎日作成されます。
よくあるアンチパターン
- DAG レポートを一度だけ実行し、上位 20 件のサイトを修正して完了とする。
- テナント全体で Copilot や新しいデータプログラムを有効にしてから、過剰共有を是正する。
- テナントの半数に Restricted Content Discovery を適用する。ユーザーから検索が役に立たないという苦情が寄せられます。
- デフォルトで安全なラベルを適用するのではなく、「いつ保護するか」についてユーザーをトレーニングする。
- レポートが長いという理由で、共有リンクの乱立を放置する。
プロンプトの例
secure and governed data foundation blueprint を使用して、Microsoft 365 全体の過剰共有を是正してください。SharePoint Advanced Management のデータアクセスガバナンスを使用して、過剰に広いアクセス権を特定してください。新しい SharePoint コンテンツが自動的に保護されるよう、デフォルトで安全なラベル付けを設定してください。"Everyone except external users" と共有リンクの乱立を整理してください。過剰共有の再発を防ぐため、強制適用できるガードレールを構築してください。
Microsoft Learn
- 安全でガバナンスの効いたデータ基盤（過剰共有ブループリント）：https://learn.microsoft.com/en-us/microsoft-365/copilot/secure-govern-copilot-foundational-deployment-guidance
- 安全でガバナンスの効いた基盤を構成する：https://learn.microsoft.com/en-us/microsoft-365/copilot/configure-secure-governed-data-foundation-microsoft-365-copilot
- Purview ブループリント - デフォルトで安全：https://learn.microsoft.com/en-us/purview/deploymentmodels/depmod-securebydefault-intro
- SharePoint Advanced Management：https://learn.microsoft.com/sharepoint/advanced-management
- データアクセスガバナンスレポート：https://learn.microsoft.com/sharepoint/data-access-governance-reports
- Restricted Content Discovery：https://learn.microsoft.com/sharepoint/restricted-content-discovery