purview-records-management

Microsoft Purview Records Management

Records Management は、Microsoft 365 におけるデータライフサイクルの正式かつ監査可能な側面です。 一般的な保持では大量のデータのライフサイクルを管理しますが、Records Management では特定のコンテンツを レコード（変更や削除ができない）または 規制レコード （不変で、適用後はラベルを変更できない）として指定し、廃棄の証明を作成します。これは、規制当局や監査担当者が実際に求める証跡です。

使用する場面

証明可能なレコード保持と、正当性を説明できる廃棄ワークフローが求められる、法務、規制、または業界の義務（SEC 17a-4、GxP、GDPR 第 30 条、公共部門の記録関連法令）がある場合に使用します。

レコードの指定を伴わない一般的な保持（purview-data-lifecycle）、DLP（purview-dlp-policy）、または eDiscovery（purview-ediscovery）には、このスキルを使用しないでください。

保持ラベルの種類 — 慎重に選択してください

ラベルのオプション	変更可能性	廃棄
保持のみ（レコードではない）	編集可能	自動削除、または何もしない
レコード	編集・削除をロック。管理者はロック解除可能	廃棄レビューは任意
規制レコード	完全に不変。管理者でもラベルを削除できない	必ず廃棄レビューを実施
レコードのロック解除（管理者の操作）	標準ラベルに戻る	—

経験則： 規制レコードは、規制により WORM 形式の不変性が本当に求められる場合（ブローカーディーラー、ライフサイエンス分野の GxP）にのみ使用してください。それ以外の場合は、通常 レコードが適切です。同等の保護を提供しつつ、管理者が緊急時にロックを解除できます。

アプローチ

1. まずファイルプランを用意します。 ファイルプランのない Records Management は、SharePoint にラベルが散在するだけです。法務／Records チームからファイルプランを入手します。通常は、ラベル名、説明、保持期間、トリガー（作成日／最終更新日／イベント）、レコード／規制レコードのフラグ、廃棄アクション、事業部門を含む CSV です。ファイルプランマネージャーからインポートします。

2. イベントベースの保持用にイベントを定義します。一般的なイベントは次のとおりです。

   • 従業員の退職（HRIS コネクタ、またはスクリプト化された Graph トリガー）。
   • 契約の期限切れ（CLM システムのイベント）。
   • プロジェクトの終了。 イベントは Microsoft Graph またはコンプライアンス UI 経由で発生し、保持期間のカウントダウンはイベント日から始まります。

3. 保持ラベルポリシーを発行するか、自動適用するかを選びます。

   • 発行＝ラベルがユーザーの選択肢に表示され、ユーザーがコンテンツにタグを付けます。コンテンツの分類が明確な SharePoint ドキュメントライブラリで使用します。
   • 自動適用＝システムが KQL、機密情報の種類、またはトレーニング可能な分類子に基づいて適用します。大量のコンテンツやパターンが明確なコンテンツ（請求書、契約書）で使用します。

4. 単一の SharePoint サイト／メールボックス群でパイロット運用します。 次の点を検証します。

   • ラベル付けされたドキュメントが想定どおりにロックされる。
   • 編集の試行がブロックされる。
   • 共同編集のシナリオ（Teams ファイル）が引き続き機能する。
   • 保持期間のカウントダウンが計画と一致する。

5. 廃棄レビュー。 保持期間の終了が近いレコードについては、廃棄キューにレビュー担当者向けのアイテムが表示されます（単一段階または複数段階）。レビュー担当者は、廃棄（監査記録付きで削除）、ラベルの変更（保持期間の延長）、または保留（訴訟対応待ち）を選択できます。廃棄の記録は保持されます。これが監査証跡です。

6. 役割を分離します。

   • Records Management ロールグループ：ファイルプラン、ラベル、廃棄の決定。
   • Compliance Administrator：サービスを構成します。レコードは管理しません。
   • Reviewer (Disposition)：ラベルごとの廃棄レビュー担当者。 Records 管理者をテナントの Global Admin にしないでください。

7. レポートと監査。 廃棄レポートを毎月取得します。Sentinel またはコンプライアンスの記録システムにストリーミングします。証拠保全の証跡を維持します。

8. eDiscovery および Information Barriers と統合します。 レコードは法的保留の対象となる場合があります。Information Barriers は保持を上書きしません。優先順位のルールを法務部門と確認してください。

ガードレール

• Records Management は別途ライセンスが必要なアドオンです（Microsoft 365 E5 Compliance／ E5 Information Protection & Governance）。ユーザーごとにライセンスを確認してください。ライセンスのないユーザーへの 自動適用は、エラーが表示されずに失敗します。
• 規制対象レコードは元に戻せません。 文書に規制対象レコードのラベルを付けると、テナントのグローバル管理者を含め、 誰もラベルを変更または削除できません。テスト用コンテンツのみでパイロットを実施してください。
• イベントベースの保持には、信頼できるイベントソースが必要です。 不安定な連携から退職イベントを発生させないでください。 保持期間が永久に過剰または不足することになります。
• 精度の低い KQL でレコードを広範囲に自動適用しないでください。 本番サイトに一括でレコードのラベルを付けると、 ユーザー体験が損なわれます（編集不可）。
• 共同編集とレコードラベルの組み合わせには注意事項があります。 大規模展開の前に Teams／SharePoint でテストしてください。
• 処分キューには担当者が必要です。 有効なレビュー担当者がいないと、アイテムは保持期間の終了後も無期限に残り、 処分の目的が果たされません。
• 削除より保持が優先されます。 ユーザーがレコードを「削除」しても、表示から隠れるだけです。 保持ホールドライブラリには保存されます。あらかじめこの点を伝えてください。
• 保持とバックアップを混同しないでください。 保持では M365 内のライブデータを保存します。 テナントの復元計画にはなりません。

よくあるアンチパターン

• 「ラベルが800個あるファイルプランをインポートした」 — ユーザーに巨大な選択肢が表示され、正しくラベルを付けられません。 最も重要なレコード10～20件から始めてください。
• 「念のため、規制対象レコードをデフォルトで使用した」 — 一度でも誤ると運用上の悪夢になります。
• 「『契約』という単語を含む場合にレコードを自動適用した」 — 契約に言及するメール署名すべてにレコードのラベルが付きます。 機密情報の種類またはトレーニング可能な分類子を使用してください。
• 「処分キューを12か月間確認しなかった」 — デフォルトで保持期間が延長され、監査で指摘されます。
• 「Records Management の管理者はグローバル管理者」 — 規制対象の業界では職務分掌違反になります。
• 「すべてのレコードで作成日を使うため、イベントベースの保持を省略した」 — 長期間残るコンテンツの保持が過剰になり、 コストとリスクが増大します。
• 「Records Management をバックアップに使った」 — 適切なツールではありません。復元シナリオには引き続き 適切なバックアップが必要です。

プロンプトの例

• Roll out Purview Records Management for SEC 17a-4 compliance with 6-year regulatory record retention on broker communications.
• Import a 60-label file plan from the records team and pilot on 3 SharePoint sites.
• Configure event-based retention: employee separation from Workday triggers a 7-year HR records hold.
• Design the disposition review workflow with 2-stage approvals: business owner then records manager.
• Compare retention label, record, and regulatory record for our contract management scenario.
• Integrate Records Management with our existing eDiscovery Premium holds for active litigation matters.
• Build the audit-of-disposition export to feed our GRC system monthly.

Microsoft Learn

• Records Management の概要: https://learn.microsoft.com/purview/records-management
• レコードと規制対象レコードの違い: https://learn.microsoft.com/purview/get-started-with-records-management
• ファイルプラン: https://learn.microsoft.com/purview/file-plan-manager
• イベントベースの保持: https://learn.microsoft.com/purview/event-driven-retention
• ポリシーの自動適用: https://learn.microsoft.com/purview/apply-retention-labels-automatically
• 処分: https://learn.microsoft.com/purview/disposition
• 処分レビュー担当者: https://learn.microsoft.com/purview/disposition#stages-of-disposition
• コンプライアンスのロールグループ: https://learn.microsoft.com/purview/microsoft-365-compliance-center-permissions
• ライセンス: https://learn.microsoft.com/office365/servicedescriptions/microsoft-365-service-descriptions/microsoft-365-tenantlevel-services-licensing-guidance/microsoft-365-security-compliance-licensing-guidance