purview-advanced-dlp

Microsoft Purview Advanced DLP

Advanced DLP は、ベースラインポリシーをリスクに応じた適応型の高精度な制御で拡張します。特にAdaptive Protectionでは、ユーザーのInsider Riskレベルに応じて DLP の適用を動的に調整します。つまり、リスクの低いユーザーには軽い制御を、リスクが高まったユーザーにはより厳格な措置を自動的に適用します。

使用する場面

分類とベースライン DLP がすでに機能している成熟したデータセキュリティプログラムで、静的な DLP から動的でコンテキストを考慮した適用と高精度な照合に移行する場合に使用します。

DLP ポリシーを一から設計する場合には、このスキルを使用しないでください（purview-dlp-policy を使用してください）。また、Insider Risk Management を新たに導入する場合にも使用しないでください（insider-risk-baseline を使用してください）。

適切な高度な機能を選ぶ

目的	使用する機能
ユーザーのリスクに応じた動的な適用	Adaptive Protection（IRM 主導）
自社のレコードとの高精度な照合	Exact Data Match (EDM) SIT
コンテキストを考慮したルール（ラベル + 受信者 + 量）	DLP ルールのコンテキスト条件
USB／未承認のクラウド／クリップボードをブロック	Advanced Endpoint DLP の送信制御
ChatGPT／未承認の AI への貼り付けを阻止	Endpoint DLP + AI 向け DSPM

経験則：四半期ごとに高度な機能を 1 つ選びます。Adaptive Protection、EDM、新しい Endpoint 制御を同時に重ねると、障害の原因を特定できなくなります。

アプローチ

1. 前提条件を確認する - 少なくとも 1 つのワークロードで、ベースライン DLP が強制モードで稼働していること。Insider Risk Management が調整済みのインジケーターとともに稼働していること（Adaptive Protection の場合）。 確認方法：IRM がパイロット対象ユーザーに対して、意味のあるリスクレベルを生成していること。
2. Adaptive Protection - Insider Risk Management のリスクレベル（軽度／中程度／高リスク）を DLP と連携させます。リスクの低いユーザーには軽い制御を、リスクが高まったユーザーにはより厳格な措置（例：ブロック）を自動的に適用し、負担を抑えながら保護の重点を絞ります。 確認方法：テストユーザーのリスクレベルを「高リスク」にすると、より厳格な DLP ルール分岐が適用されること。
3. Exact Data Match (EDM) - EDM SIT を使用して、構造化データ（例：顧客レコード）のハッシュ化したコピーと照合し、誤検知を抑えながら高精度に検出します。 確認方法：EDM スキーマ定義がアップロード済みで、ハッシュの更新が成功し、テストサンプルが一致すること。
4. コンテキスト条件 - 機密度ラベル、分類器、コンテンツ量、受信者、アクセス範囲を組み合わせて、精度の高いルールを作成します（例：「Confidential + 外部の受信者 + SIT の一致が 5 件以上」）。 確認方法：テストイベントで、意図した組み合わせの場合にのみルールが適用されること。
5. エンドポイントの送信制御 - 管理対象エンドポイントで、USB へのコピー、未承認のクラウド／AI アプリへのアップロード、ネットワーク共有、クリップボード、印刷を制限します。 確認方法：ラベル付きコンテンツを未承認の AI アプリに貼り付けるテストで、ブロックまたはフラグ付けされること。
6. 継続的に調整する - Activity Explorer とアラートを活用して調整し、週次で上書きの理由を確認します。 確認方法：誤検知率が月を追うごとに低下していること。

ガードレール

• Adaptive Protection の使用には、Insider Risk Management の構成と同意が必要です。有効にする前に、法務部門や労使協議会とプライバシーおよび仮名化の計画を立ててください。
• EDM には、スキーマ定義、ハッシュ化したデータのアップロード、専用のアップロードロールが必要です。すぐに効果が出るものではなく、データエンジニアリングの担当が必要です。
• ブロック操作を有効にする前に、監査／シミュレーションで動的な適用を検証してください。監査フェーズを設けずに本番環境で動的ブロックを行うと、確実にインシデントにつながります。
• Endpoint DLP の高度な制御（クリップボード、USB、ネットワーク共有）には、デバイスのオンボードと E5 Compliance が必要です。Mac と Windows では動作が異なる場合があります。
• 例外対応の経路を確保してください。業務プロセスに支障が出ることがあるため、理由を記録する上書きワークフローが必要です。

よくあるアンチパターン

• IRM のしきい値を調整する前に、Adaptive Protection をすぐに「リスク上昇時にブロック」に設定する ― ノイズの多い指標によって、問題のないユーザーまでブロックされます。
• 50 列のスキーマで EDM を設定し、更新ジョブを用意しない ― 一致結果が気付かれないまま古くなります。
• コンテキスト条件を積み重ねすぎて何も一致しなくなり、その後 DLP は「機能しない」と判断する。
• ナレッジワーカーを対象に試験運用せず、テナント全体でクリップボードをブロックする。
• オーバーライドの頻度に関するメトリクスがない ― 調整が当てずっぽうになります。

プロンプトの例

• Configure risk-based DLP driven by Insider Risk Adaptive Protection.
• Set up Exact Data Match (EDM) for precise DLP detection.
• How do I add contextual conditions to advanced Endpoint DLP?
• Validate dynamic DLP enforcement in simulation before blocking.
• Block clipboard paste of Highly Confidential into unsanctioned AI on managed endpoints.

Microsoft Learn

• Adaptive Protection：https://learn.microsoft.com/purview/insider-risk-management-adaptive-protection
• Exact Data Match：https://learn.microsoft.com/purview/sit-learn-about-exact-data-match-based-sits
• Endpoint DLP の設定：https://learn.microsoft.com/purview/endpoint-dlp-learn-about
• DLP ポリシーのリファレンス：https://learn.microsoft.com/purview/dlp-policy-reference
• Activity Explorer：https://learn.microsoft.com/purview/data-classification-activity-explorer
• DLP での Adaptive Protection：https://learn.microsoft.com/purview/dlp-adaptive-protection-learn