purview-copilot-oversharing

Microsoft 365 Copilot の過剰共有対策

Microsoft 365 Copilot は既存のアクセス許可を尊重します。そのため、コンテンツが過剰に共有されていると、技術的にはアクセス権があるものの、本来アクセスすべきではないユーザーに Copilot がそのコンテンツを提示する可能性があります。このスキルでは、SharePoint Advanced Management、秘密度ラベル、制限付きコンテンツ検出、Copilot 向け DLP を活用して、Copilot の展開前および展開中に影響範囲を抑える方法を説明します。

使用するタイミング

Microsoft 365 Copilot の導入に向けてテナントを準備するときや、SharePoint、OneDrive、Teams 全体で Copilot がアクセスできるコンテンツを継続的に管理するときに使用します。

プロンプト内の機密データを監視する場合（purview-dspm-ai を使用）や、より広範な DLP プログラムを設計する場合（purview-dlp-policy を使用）には、このスキルを使用しないでください。

適切な過剰共有対策を選ぶ

症状	対策
「外部ユーザー以外のすべてのユーザー」（EEEU）を設定したサイトが多すぎる	SAM のデータアクセスガバナンスレポート＋アクセス許可の整理
広く共有されたサイトに機密コンテンツがある	秘密度ラベル（暗号化）＋サイトのコンテナーラベル
表示されるべきではないサイトが Copilot の結果に表示される	サイトで**制限付きコンテンツ検出（RCD）**を設定
ラベル付けされたコンテンツを Copilot のグラウンディング対象から除外する必要がある	Microsoft 365 Copilot 向け DLP
共有リンクが増え続けている	SAM の共有リンクレポート＋整理ポリシー

基本的な流れは、評価（DAG レポート）→分類（ラベル）→制限（RCD、リンクポリシー）→除外（Copilot 向け DLP）→ガバナンス（サイトのライフサイクル）です。評価を省略することが、最もよくある失敗です。

アプローチ

1. 評価する - **SharePoint Advanced Management（SAM）**のデータアクセスガバナンスレポートを使い、過剰共有を見つけます。「すべてのユーザー／EEEU」によるアクセス、広く共有されたサイト、共有リンク、アクセス許可はあるものの機密性の高いコンテンツを確認します。 確認方法：DAG レポートで、リスクの高いサイトの上位 N 件とその所有者を特定できること。
2. サイト所有者と連携する - リスクの高いサイトの所有者に、必要な修正内容を通知します。所有者の状況を確認せずに、中央で修正しないでください。 確認方法：期限を設定した所有者向けの修正チケット／課題が作成されていること。
3. 分類してラベルを付ける - 機密コンテンツには秘密度ラベルを適用し、サイトにはコンテナーラベルを適用します。ラベルでは暗号化やアクセス制限が可能であり、Copilot はラベルのアクセス許可を尊重します。 確認方法：最上位のラベルで暗号化され、権限のないテストユーザーに Copilot がファイルを提示できないこと。
4. 制限する - 機密性の高いサイトで**制限付きアクセス制御／制限付きコンテンツ検出（RCD）**を使用し、「外部ユーザー以外のすべてのユーザー」へのアクセス許可を厳格化して、共有リンクを整理します。 確認方法：RCD の対象に設定したサイトが、テストユーザーへの Copilot の回答に表示されなくなること。
5. Copilot 向け DLP を適用する - 必要に応じて、Microsoft 365 Copilot 向け DLP を使用し、ラベル付けされたコンテンツを Copilot の処理対象から除外します。 確認方法：ラベル付きコンテンツに言及するテストプロンプトが除外されるか、警告が表示されること。
6. ライフサイクルを管理する - サイトのライフサイクル管理とアクセスレビューを適用して再発を防ぎ、SAM で非アクティブなサイトのポリシーを設定します。 確認方法：非アクティブなサイトがアーカイブされるか、定めた頻度で所有者による再確認が行われること。
7. DSPM for AI で監視する - Copilot がアクセス可能な、ラベルの付いていない機密ファイルを継続的に検出し、ラベル付けと制限に反映します。 確認方法：DSPM for AI の週次レポートで、ラベルのない機密ファイルの件数が減少すること。

ガードレール

• Copilot を広範囲に有効化する前に過剰共有を修正してください。対象範囲を絞り、整理済みのサイトであればパイロットを進められますが、評価なしでテナント全体を有効化すると、すぐにユーザーから苦情が寄せられます。
• 秘密度ラベルによる暗号化は最も強力な制御です。ユーザーが復号または抽出できないコンテンツを Copilot が利用することはできません。本当に機密性の高いコンテンツに限って適用してください。
• 過剰共有の制御は一度きりの整理ではなく、継続的なガバナンスです。サイトは毎日作成され、ポリシーがなければ共有リンクは増え続けます。
• サイト所有者と連携してください。中央から一括でアクセス許可を剥奪すると、正当なコラボレーションが妨げられ、プログラムへの信頼が損なわれます。
• SAM は個別にライセンスが必要です（E5／スタンドアロン SKU）。レポートが利用できると決めつける前に確認してください。

よくあるアンチパターン

• Copilot をテナント全体で有効にしてから、過剰共有を是正しようとすること。ユーザーはすでに 不適切なファイルを目にしています。
• DAG レポートを一度実行し、上位 20 件のサイトを修正して、完了と宣言すること。
• 安全のために最上位のラベルですべてを暗号化すること。外部とのコラボレーションも、Copilot の根拠付けも妨げます。
• 制限付きコンテンツ検出をテナントの半分に適用すること。ユーザーから、Copilot は役に立たないと不満が出ます。
• レポートが長いという理由で、共有リンクを無視すること。

プロンプトの例

• 過剰共有を是正して、SharePoint を Copilot に対応させてください。
• Copilot を使う前に、SharePoint Advanced Management でサイトのアクセス許可を厳格化してください。
• ユーザーに閲覧させるべきでないファイルを Copilot に表示させない方法を教えてください。
• データアクセスガバナンスを実行して、Copilot がアクセスできるコンテンツを制限してください。
• 機密性の高いサイトに制限付きコンテンツ検出を適用してください。

Microsoft Learn

• Copilot のデータ保護に関する考慮事項：https://learn.microsoft.com/purview/ai-microsoft-purview-considerations
• SharePoint Advanced Management：https://learn.microsoft.com/sharepoint/advanced-management
• データアクセスガバナンスレポート：https://learn.microsoft.com/sharepoint/data-access-governance-reports
• 制限付きコンテンツ検出：https://learn.microsoft.com/sharepoint/restricted-content-discovery
• Copilot の準備：https://learn.microsoft.com/copilot/microsoft-365/microsoft-365-copilot-requirements
• Microsoft 365 の DLP（概要）：https://learn.microsoft.com/purview/dlp-learn-about-dlp