purview-information-governance

Microsoft Purview 情報ガバナンス（戦略）

情報ガバナンスは、Purview による分類、保護、ライフサイクル管理、内部者リスクを一貫したプログラムにまとめ、機密データを把握し、保護し、管理し、説明責任を果たせる形で保持するためのものです。Zero Trust のデータピラーを基盤とします。このスキルでは、各機能を深掘りするのではなく、導入の順序を扱います。

使用する場面

複数のワークストリームにまたがる Purview の展開を計画するとき、成熟度ロードマップを作成するとき、または成果ではなく機能を個別に提供している進行中の展開を見直すときに使用します。

個別の機能設定にはこのスキルを使用しないでください。導入順序が決まったら、該当する Purview スキル（ラベル、DLP、ライフサイクル、IRM、AI 向け DSPM）を参照してください。

プログラムに適した開始地点を選ぶ

現状	ここから開始
分類もラベルもない	フェーズ 1：把握 - SIT と機密ラベルの分類体系を監査モードで導入
ラベルはあるが、利用が進んでいない	フェーズ 1.5：自動ラベリングをシミュレーションで実行し、ユーザートレーニングを実施
ラベルは定着しているが、DLP がない	フェーズ 2：保護 - ワークロードごとに DLP をシミュレーションで実行してから適用
DLP は稼働中だが、保持機能がない	フェーズ 3：管理 - 保持ポリシーとレコード（ファイルプラン）
上記はすべて導入済みで、Copilot を展開中	フェーズ 4：AI リスクの管理 - AI 向け DSPM と過剰共有の修正
上記はすべて導入済みで、内部者に関する懸念もある	フェーズ 5：IRM と適応型保護

目安として、各フェーズに進むには、前のフェーズが「監査／シミュレーションが機能する」成熟度に達している必要があります。 分類できないものをブロックすることはできません。

アプローチ

1. データを把握する - 分類を導入します。SIT、トレーニング可能な分類器、EDM を使用し、コンテンツ エクスプローラー／アクティビティ エクスプローラーで、どのような機密データがどこに存在するかを把握します。 確認：コンテンツ エクスプローラーで、SharePoint／OneDrive／Exchange 全体にわたり、主要な SIT の件数が無視できない水準で表示されていること。
2. データを保護する - マーキング／暗号化を伴う機密ラベルの分類体系を展開し、次にDLPを導入して、ラベル付きコンテンツ／SIT コンテンツの持ち出しを防ぎます。 確認：上位ラベルの適用状況を確認できること。DLP の監査モードポリシーで、ノイズではない実際の一致が発生していること。
3. データを管理する - 確実な保持／削除のため、保持とレコードのポリシーを適用します。ポリシーを常に最新の状態に保てるよう、適応型スコープを優先します。 確認：保持ポリシーでワークロードごとの対象範囲の統計情報を確認できること。廃棄レビューが実施されていること。
4. リスクを管理する - 人に関わるリスクには内部者リスク管理とコミュニケーション コンプライアンスを追加します。Copilot／生成 AI の利用拡大に合わせて、AI 向け DSPM を追加します。 確認：IRM アラートがトリアージされていること。AI 向け DSPM の推奨事項が実行に移されていること。
5. プログラムとして運用する - 事業部門ごとにデータスチュワードを配置し、月次レビューのサイクルと、指標ダッシュボード（対象範囲、ラベルの適用状況、DLP インシデントの傾向、廃棄までの時間）を確立します。 確認：名前が明示された役員責任者が四半期ごとに指標を確認し、次のフェーズの範囲を承認していること。

ガードレール

• 適用から始めないでください。分類の成熟が DLP によるブロックや自動ラベリングに先行する必要があります。そうでなければ、本番環境で誤検知の調整を行うことになります。
• ライセンスの有無ではなく、データの機密性と規制に基づいて管理します。まず規制上の義務（GDPR、HIPAA、PCI、業界規則）を洗い出し、管理策を対応付けます。
• 一度限りの設定ではなく、責任者と変更管理を伴うプログラムとして扱います。事業部門の支援を得られない機能の切り替えは、パイロットで停滞します。
• ラベル／DLP の展開には必ず、ユーザー向けの告知を組み合わせます。告知なしの適用は回避策を招きます。
• 範囲の拡大を抑えます。フェーズ 4 の設計に着手する前に、フェーズ 1 を完了してください。機能するフェーズ 1 が、その後のすべてを可能にします。

よくあるアンチパターン

• E5 を購入してすべてを有効にし、それを「戦略」と呼ぶ。
• 誰も正しく適用できない、9 段階のラベル分類体系を構築する。
• 初日から DLP をブロックモードで展開する。インシデントと社内の反発を招きます。
• 事業部門のデータ所有者やスチュワードを置かず、Purview を IT 部門の所有物として扱う。
• 指標を確認しない。対象範囲のデータがなければ、経営層は次のフェーズに資金を投入できません。

プロンプトの例

• Microsoft Purview の情報保護の展開を順序立ててください。
• ゼロ トラストのデータ柱に向けたデータ保護プログラムを設計してください。
• Purview でデータをエンドツーエンドで保護し、ガバナンスを適用するにはどうすればよいですか？
• 分類、保護、ガバナンスにまたがる MIP 戦略を計画してください。
• 現在ラベルが何もない場合、Purview のどのフェーズから始めるのが適切ですか？

Microsoft Learn

• Purview でデータを保護し、ガバナンスを適用する：https://learn.microsoft.com/purview/purview
• 情報保護：https://learn.microsoft.com/purview/information-protection
• MIP の展開ガイダンス：https://learn.microsoft.com/purview/information-protection-solution
• ゼロ トラストのデータ柱：https://learn.microsoft.com/security/zero-trust/deploy/data
• データ ライフサイクル管理：https://learn.microsoft.com/purview/data-lifecycle-management
• インサイダー リスク管理：https://learn.microsoft.com/purview/insider-risk-management