purview-for-m365

Microsoft Purview for Microsoft 365

このスキルは、Exchange Online、SharePoint、OneDrive、Teams という Microsoft 365 の主要ワークロード全体で Purview の制御を連携させ、各ワークロードで異なる動作を考慮しながら、ラベル付け、DLP、保持、Copilot のデータ保護を一貫して適用します。

使用するタイミング

各ワークロード固有の特性（Teams チャットへの遡及適用、コンテナーラベルとアイテムラベル、メールフロー）を考慮しながら、Microsoft 365 のコラボレーションとメールに特化して Purview を運用する場合に使用します。

マルチクラウドの Data Map にはこのスキルを使用しないでください（purview-data-map を使用してください）。エンドツーエンドの戦略策定の順序付けにも使用しないでください（purview-information-governance を使用してください）。

ワークロードごとの選択表

ワークロード	ラベル	DLP	保持	備考
Exchange Online	アイテム + OME	トランスポートレベル	ポリシー + ラベル	メールフロールール、暗号化（OME）
SharePoint	アイテム + コンテナー	サービス側	ポリシー + ラベル	サイトのコンテナーラベル、保存データへの自動ラベル付け
OneDrive	アイテム	サービス側	ポリシー + ラベル	保存データへの自動ラベル付け
Teams	コンテナー + アイテム（チャットを対象）	チャット／チャネル、投稿の作成後のみ	ポリシー + ラベル	会議の録画は OneDrive／SharePoint に保持

経験則として、各ワークロードは DLP と保持においてそれぞれ独立した場所です。1 つを選択しても、ほかのワークロードは対象になりません。まずワークロードごとに設計し、その後で調和させます。

ワークロードごとの考慮事項

• Exchange Online - メール DLP、暗号化（秘密度ラベル／OME）、保持、メールフローに関する考慮事項が含まれます。トランスポートレベルでの適用とコネクタの動作が重要です。
• SharePoint と OneDrive - 秘密度ラベル（サイトのコンテナーラベルを含む）、サービス側の自動ラベル付け、DLP、保持、SharePoint Advanced Management による過剰共有の制御が含まれます。
• Teams - チャット／チャネルの DLP（投稿の作成後のみ）、チームのコンテナーラベル、メッセージの保持、会議／録画に関する考慮事項（録画は OneDrive または SharePoint に保存されます）が含まれます。

アプローチ

1. まず、すべてのワークロードにわたる分類とラベルのベースラインを設定します。ラベルセットが関連するすべてのユーザーグループに公開され、各アプリに表示されることを確認してください。 確認：パイロットユーザーに Outlook、Word、SharePoint、Teams のラベルメニューが表示されます。
2. ワークロードごとの場所に DLP を適用し、適用を開始する前にシミュレーションを行います。ワークロードごと（またはワークロードと重大度の階層の組み合わせごと）にポリシーを設定すると、1 つの巨大なポリシーを使うよりも調整しやすくなります。 確認：ワークロードごとのシミュレーションレポートを確認し、誤検知率が目標範囲内に収まっています。
3. ポリシーとアダプティブスコープを使って保持／記録管理を適用し、ワークロードを保持スケジュールに対応付けます。 確認：各ワークロードに保持範囲が設定され、ラベルに基づく削除の処分レビューが構成されています。
4. Copilot のやり取りを保護します。過剰共有の制御および AI 向け DSPM と組み合わせ、Copilot がアクセス許可とラベルの両方を尊重するようにします。 確認：テストユーザーが Copilot 経由でラベルにより制限されたコンテンツを取得できません。
5. Activity Explorer、アラート、監査を使って監視し、ワークロードごとのインシデント SLA を作成します。 確認：ワークロードごとのインシデントを週次でトリアージする運用体制が整っています。

ガードレール

• 各ワークロードは DLP／保持において独立した場所です。1 つを選択しても、ほかのワークロードは対象になりません。新しい機密データの種類を追加する際は、対象範囲を相互確認してください。
• 一部のメッセージの種類では、Teams の DLP と保持は遡及適用されません。法務／コンプライアンス関係者に対象範囲を約束する前に確認してください。
• コンテナー（サイト／チーム）ラベルとアイテムラベルは目的が異なるため、両方を設計してください。コンテナーラベルはアイテムを暗号化しませんが、アイテムラベルは暗号化します。
• Exchange DLP が予期せず暗号化またはブロックすると、メールフローに支障が生じることがあります。パートナーのドメインを使ってテストしてください。
• 会議の録画は OneDrive／SharePoint に保存されます。「Teams」だけを対象にした保持では、録画を対象にできません。

よくあるアンチパターン

• すべての場所にチェックを入れ、どこでも同じルールを適用する DLP ポリシー。ワークロードによってはノイズが増え、別のワークロードでは抜け漏れが生じます。
• アイテムラベルを付けずにコンテナーラベルを付けること。サイトがコンテンツを保護していると思われがちですが、暗号化はされません。
• Teams DLP を有効にし、過去のチャットも保護対象だとみなすこと。保護範囲を誤認することになります。
• SharePoint の保持を設定し、OneDrive は設定しないこと。個人用サイトで設定に差が生じます。
• 保持の対象範囲で会議の録画を無視すること。

プロンプトの例

• SharePoint と Teams のデータを、Office 全体でラベルと DLP により保護してください。
• Exchange と OneDrive のガバナンスのために保持を設定してください。
• Microsoft 365 のデータ保護をエンドツーエンドで適用するには、どうすればよいですか？
• 機密ラベルで Teams のデータを保護してください。
• 機密性の高い SharePoint サイトとプライベートな Team にコンテナーラベルを適用してください。

Microsoft Learn

• 情報保護：https://learn.microsoft.com/purview/information-protection
• M365 全体の DLP：https://learn.microsoft.com/purview/dlp-learn-about-dlp
• SharePoint と OneDrive の保持：https://learn.microsoft.com/purview/retention-policies-sharepoint
• コンテナーラベル（サイトとチーム）：https://learn.microsoft.com/purview/sensitivity-labels-teams-groups-sites
• Office Message Encryption：https://learn.microsoft.com/purview/ome
• Teams の DLP とチャットの保持：https://learn.microsoft.com/purview/dlp-microsoft-teams