mcpField
P
purview-insider-risk-management

purview-insider-risk-management

github.com/vinayaklattheセキュリティ17842 回インストール19 週間前に更新
リポジトリ

purview-insider-risk-management について

Microsoft Purview 管理者や調査担当者向けのスキルです。Insider Risk Management のポリシー、HRIS シグナル、アラート、Adaptive Protection の設定を、プライバシー管理、シーケンス検出、段階的な導入を重視して案内します。

主な機能

  1. 01リスク別のポリシーテンプレート選定
  2. 02HRIS コネクターと人事シグナルの設定
  3. 03アラート調整とケース調査
  4. 04シーケンス検出による行動連鎖の把握
  5. 05Adaptive Protection 導入計画

活用シーン

  1. 01退職者によるデータ持ち出し検知の計画
  2. 02アラートのトリアージとケース昇格手順の作成
  3. 03EU 展開におけるプライバシー要件の確認
  4. 04Sentinel と Defender XDR のシグナル相関

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/vinayaklatthe/microsoft-security-skills --skill purview-insider-risk-management

インストール後、Claude Code で/purview-insider-risk-managementを入力して読み込まれたか確認します。

詳細

Microsoft Purview Insider Risk Management

Insider Risk Management（IRM）は、M365、エンドポイント、Defender、Entra、HR システム全体からシグナルを関連付け、リスクのあるユーザーアクティビティを検出します。特に重要なのは、時間の経過に伴う意図です（例：「退職する従業員が最終出社日の3週間前に顧客リストを持ち出す」といった典型的なケース）。Adaptive Protectionと連携し、リスクスコアが上昇しているユーザーに対して、DLP と CA のポリシーを動的に強化します。

使用する場面

プログラムレベルのベースラインにとどまらず、内部リスク検出を運用する場合に使用します。ポリシーテンプレートの選択、HRIS コネクタの設定、アラートの調整、ケースの調査、Adaptive Protection の展開が対象です。

送信 DLP の作成（purview-dlp-policy、purview-advanced-dlp）、eDiscovery（purview-ediscovery）、または内部リスクプログラムの概要策定（insider-risk-baseline）にはこのスキルを使用しないでください。

ポリシーテンプレート — ユースケースに合わせて選択

テンプレート検出内容
退職予定ユーザーによるデータ窃取退職・解雇前後の期間における情報持ち出しのようなアクティビティ（HRIS コネクタが必要）
一般的なデータ漏えいHR シグナルの有無を問わず、リスクのあるアップロード／ダウンロード／共有／印刷
優先ユーザーによるデータ漏えい上記と同じ。経営幹部、M&A チームなどを対象に設定
リスクのあるユーザーによるデータ漏えいAdaptive Protection のリスクレベル上昇によってトリガー
セキュリティポリシー違反ユーザーによる回避を示す Defender アラート
リスクのあるブラウザーの使用機密コンテンツを含むリスクのあるサイトへの Edge-for-Business によるアクセス
リスクのある AI の使用認可されていない AI アプリへの機密データの送信（Purview AI Hub と連携）
医療／患者データの不正使用（HIPAA のシナリオ）EMR へのアクセスパターン
PII への不正アクセス（金融）対象範囲外での機密データの閲覧

アプローチ

  1. 前提条件を整えます。 監査（Standard／Premium）を有効にします。必要なデータソースに対応する Purview コネクタを設定します。秘密度ラベルと DLP は、少なくともベースラインを設定します。

  2. HRIS コネクタを接続します。 接続しないと、「退職予定ユーザー」テンプレートのトリガーがありません。一般的なパターンは、Microsoft Graph コネクタ経由で Workday と SAP SuccessFactors を接続する方法です。カスタム CSV インポートにも対応しています。退職日、契約終了日、異動日をマッピングします。

  3. ポリシーを有効にする前に、プライバシー制御を設定します。

    • アラート／ケースでは、ユーザー名をデフォルトで匿名化します。Insider Risk Investigators ロールによる承認済みのケースエスカレーション時に限り、本人を特定できるようにします。
    • ロールを制限します。Insider Risk Admin（設定）、Analysts（匿名化された ID でトリアージ）、Investigators（フルアクセス）。
    • EU の法域で本番稼働する前に、法務／労使協議会／GDPR のレビューを文書化します。

  4. まず 1 つのテンプレートから始めます（ほとんどの場合、退職予定ユーザー）。14 日間、分析／インサイトモードで実行し、実際のポリシーを有効にする前に、アラート量のベースラインを確認します。

  5. インジケーターを調整します。 デフォルト設定ではノイズが多くなります。環境に合わないインジケーターは無効にします（例：Intune で USB がすでにブロックされている場合、「USB upload」を無効にする）。しきい値を調整します。

  6. シーケンス検出こそ、IRM のライセンス価値が発揮される機能です。単一のイベント（ファイルを 1 つコピーするなど）は弱いシグナルですが、シーケンス（SharePoint からダウンロード → 名前を変更 → 1 時間以内に個人用 OneDrive にアップロード）は強いシグナルです。ベースラインの設定後に、シーケンスポリシーを有効にします。

  7. アラートのトリアージワークフロー：

    • トリアージキューの SLA は 24 時間以内です。
    • ユーザーアクティビティのタイムラインでトリガーイベントを確認します。
    • HR シグナル、関連する秘密度ラベル、送信先などのコンテキストを確認します。
    • 文書化された正当な理由がある場合に限り、ケースにエスカレーションして匿名化を解除します。
    • ケースでの対応：マネージャーへの通知、トレーニングの強制、eDiscovery ホールド、Communication Compliance へのエスカレーション。

  8. Adaptive Protection。 ポリシーが安定したら、Adaptive Protection を有効にします。リスクレベル（Minor／Moderate／Elevated）に応じて、DLP ポリシーの適用（警告 → ブロック）と Entra CA（MFA の要求 → ダウンロードのブロック）が自動的に強化されます。初期段階では、自動ブロックの適用範囲を絞ります。

  9. Sentinel／Defender XDR と統合します。 エンドポイントや ID のシグナルと相関分析できるよう、IRM アラートを SIEM に転送します。

ガードレール

  • ポリシーより先にプライバシー制御を設定します。 EU／英国／アジア太平洋地域の複数の法域では、労使協議会との協議や仮名化を行わずに IRM を導入すると、セキュリティツールとして機能する以前にコンプライアンス違反となります。
  • HRIS コネクタの最新状態を保つことが重要です。 Workday のフィードが古いと、退職予定ユーザーのトリガーを見逃します。コネクタの最終同期時刻を監視し、48 時間を超えた場合はアラートを出します。
  • 単一イベントのアラートはノイズが多くなります。 デフォルトのポリシーは頻繁に発火します。シーケンスベースとリスクスコアベースのポリシーを優先します。
  • HR への自動エスカレーションは行いません。 ユーザーに影響する対応を行う前に、必ず調査担当者が人間の判断でレビューします。
  • Adaptive Protection の自動ブロックにより、正当なユーザーがロックアウトされる可能性があります。 自動ブロックの前に自動警告を 30 日間試験運用します。
  • IRM の対象は内部脅威であり、外部の攻撃者ではありません。 アカウントが侵害された場合の情報持ち出しは、内部者による情報持ち出しと同じように見えることがあります。判別のため、Defender XDR の ID シグナルと組み合わせます。
  • ロールの分離は必須です。 同じ担当者がポリシーの設定、トリアージ、調査を兼任してはなりません。職務分掌を徹底します。
  • AI 利用ポリシーには、上流のシグナルとして Purview AI Hub が必要です。 これがないと、AI 内部リスクテンプレートのスコアリングに必要な情報がありません。

よくあるアンチパターン

  • 「初日からすべてのテンプレートを有効にした」 — 週に10,000件のアラートが発生し、トリアージは一切できません。まず1つのテンプレートから始め、徐々に拡張してください。
  • 「HRIS コネクタを省略し、退職者ではなく『データ漏えい』テンプレートを使用した」 — IRM における最も価値の高いシグナルを失います。
  • 「調査担当者に、デフォルトで匿名化を解除できるアクセス権を付与した」 — プライバシー侵害です。エスカレーションはケースごとに行い、監査できるようにする必要があります。
  • 「ポリシーを有効にする前にベースライン期間を設けなかった」 — 通常の業務活動がリスクありと判定され、大量のアラートが発生します。
  • 「Adaptive Protection が軽微なリスクで自動ブロックする」 — 通常の活動を理由にユーザーがブロックされます。まずは高リスクの場合のみ適用してください。
  • 「法務部門／人事部門と連携せずに IRM ケースを作成し、対応した」 — 不当な措置を取るリスクがあります。
  • 「特定の個人を監視するために IRM を使用した」 — これは内部不正リスク対策ではなく、監視です。特定の対象者に対する調査は、eDiscovery と法的保全のワークフローで行ってください。

プロンプトの例

  • Workday HRIS を利用する従業員数40,000人のテナント向けに、IRM の導入計画を立ててください。90日間の計画を作成してください。
  • シーケンス検出と、前後それぞれ30日間の期間を設定した退職者ポリシーを構成してください。
  • ドイツでの IRM 導入に向けたプライバシーレビューチェックリストを作成してください。従業員代表委員会での協議事項も含めてください。
  • 5,000人のユーザーを対象とするパイロットで、Adaptive Protection を自動警告から、高リスク時の自動ブロックに調整してください。
  • アラートのトリアージ手順書を作成してください。ケースへのエスカレーションと匿名化解除の基準を含めてください。
  • IRM アラートを Sentinel に統合し、IRM の高リスクと Defender for Cloud Apps の異常なダウンロードを関連付けるハンティングクエリを作成してください。
  • Purview AI Hub のシグナルを使用して、AI のリスクある利用に関するポリシーを連携してください。

Microsoft Learn

コメント

Markdown 対応