Microsoft 365 でデータセキュリティを強化しよう

2 自己紹介 • 国井傑 (くにいすぐる) • 株式会社エストディアン所属
• 公立大学法人会津大学客員教授 • マイクロソフト認定トレーナー (1997～2025) • Microsoft MVP for Security (2006～2025) • https://AzureAD.net • 主な職務・実績 • Microsoft 365 セキュリティ/インフラ管理に関わるトレーニング • テクニカルライター (日経 BP, 技術評論社, @IT 等)

3 Microsoft Purview Information Protection (MIP) xxxxxxxxxx xxxxxxxxxx xxxxxxxxxx xxxxxxxxxx
xxxxxxxxxx ▪ユーザー認証クラウドの認証基盤 Entra ID で認証を実施 ▪暗号化クラウドから、いつでもどこでも暗号化を設定可能 ▪権限設定ラベルで事前定義されたアクセス許可で簡単に設定 ▪権限設定対象コンテンツ MIP に対応したアプリのコンテンツであればアクセス可能 ▪権限設定対象ユーザー権限が割り当てられたユーザーであればライセンスを必要とすることなくアクセス可能 Microsoft Entra ID Microsoft Purview Information Protection ファイル/メール単位でコンテンツを暗号化し、ユーザーごとに権限を細かく制御します

4 秘密度ラベルとポリシー • コンテンツに対してラベルを選択すると、ラベルに関連付けられたポリシー設定が適用されるラベルポリシーコンテンツへの設定アクセス制御設定アクセス許可
オフラインアクセスの許可コンテンツの期限コンテンツのマーク設定ヘッダー設定フッター設定暗号化保護保護なし Co-Owner Co-Author Reviewer Viewer カスタムユーザーが内容を確認し、ラベルを自身で選択ラベル個人利用公開可能な情報内部情報機密情報開発計画

設定自体は簡単にできるけど、運用上考えるべき事柄が多いので、それらをひとつずつ潰していきましょう

6 データセキュリティ実装時に考慮すべき要素どのような情報を (情報分類) 機密情報 / 営業秘密情報一般情報どこでクライアントデバイス
クラウドサービス誰が正社員 (国内) 派遣・請負社員正社員 (海外) 取引先何をするか返信/転送コピー & ペーストファイルの閲覧編集/上書き保存名前を付けて保存ラベルの設定変更印刷 (紙媒体での持ち出し)

誰がデータにアクセスするか？

8 ラベルの付いたファイルにアクセスするには認証が必要自分 (ラベル設定ユーザー) 社内ユーザーへの公開社外ユーザーへの公開メール (Outlook, Outlook on
the Web) フルアクセス Microsoft Entra ID で認証後に割り当てられた権限に基づいてアクセス可能 Microsoft Entra ID 等による認証またはワンタイムパスコードによる認証後に割り当てられた権限に基づいてアクセス可能 MIP 対応アプリ (Office アプリ / Adobe Acrobat) フルアクセス Microsoft Entra ID で認証後に割り当てられた権限に基づいてアクセス可能 AIP for Individuals でサインアップしたアカウントでの認証後に割り当てられた権限に基づいてアクセス可能 MIP 対象外アプリ (MIP クライアントアプリ) 読み取り専用 Microsoft Entra ID で認証後に読み取りアクセス可能 AIP for Individuals でサインアップしたアカウントでの認証後に読み取りアクセス可能認証を事前に済ませることで自動的にファイルへのアクセス許可を確認できますところで、あなたアカウント持ってましたっけ？

9 【参考】AIP for Individuals https://signup.microsoft.com/signup?sku=rms ラベル設定したファイルにアクセスするためのライセンスを取得するための Web ページです無料で取得できますが、取引先にそんなお願いできますか？

どのような情報にアクセスするか？

11 情報の分類とカテゴリ情報の分類カテゴリアクセス権を設定するための分類アクセスできるユーザーやアクセス許可範囲を定義することが必要ファイル等に含まれるデータを整理し、検索しやすくするための分類フォルダーやタグなどを利用して分類する

12 ラベルの設定例ジャンル説明 Public 社外に既に公開されており、制限なく閲覧またはコピーが可能な情報。 Internal 一般に社外に開示されていないが、意図しない開示があったとしても、会社の評判や事業上の地位に重大な損害をもたらすことはない情報。 Confidential
有用かつ公然と知られていない情報および第三者から守秘義務を負って取得した機密情報。紛失または不正な開示が、会社の評判や事業上の地位に損害を与え、財務および法的損失をもたらす可能性がある情報。 Highly Confidential 有用かつ公然と知られていない情報および第三者から守秘義務を負って取得した重大な極秘情報。紛失または不正な開示が、会社の評判や事業上の地位に著しい損害を与え、重大な財務および法的損失をもたらす可能性がある情報。なんかいっぱいあるけど、そのラベル選択できますか？

何をするか？

14 アクセス許可設定共同所有者返信/転送コピー & ペーストファイルの閲覧編集/上書き保存名前を付けて保存
ラベルの設定変更印刷 (紙媒体での持ち出し) 共同作成者レビュー担当者閲覧者透かしの追加ヘッダーの追加フッターの追加オフラインアクセスアクセス許可の有効期限コンテンツのマーキングアクセス制御のオプション

15 【参考】経済産業省「秘密情報の保護ハンドブック」と秘密ラベルを利用した実現方法対策実現したいこと秘密度ラベルによる実現方法物理的・技術的な防御
接近の制御アクセス権を設定するなどして、秘密情報に近寄りにくくする・アクセス許可設定持ち出し困難化アクセス権のあるユーザーによる秘密情報の持ち出しを困難にする・アクセス許可のはく奪・そもそも転職先では開けない心理的な防止視認性の確保漏えいしたことが見つけられるようにする・ログの参照秘密情報に対する認識向上秘密情報とは思わなかった、と言い逃れをさせない・コンテンツのマーキング・ユーザー教育働きやすい環境の整備信頼関係の維持・向上社員のやる気を高めて秘密情報を持ち出そうという考えを起こさせない・ユーザー教育 ※ 対策・実現したいこと項目については経済産業省「秘密情報の保護ハンドブック」より秘密情報・営業秘密・個人情報・重要な技術情報・特許出願の公開が留保されている発明など

どこでデータにアクセスするか？

17 ラベルを設定するタイミング適用範囲適用タイミングユーザー選択による秘密度ラベルの手動設定 Officeファイル/PDF/メール秘密度ラベルを設定し、ファイルを保存したタイミングファイルとメールの自動ラベル
付け (ラベル設定オプション) Officeファイル/メールファイルまたはメールに適用対象のコンテンツが作成されたタイミングで自動適用または適用を推奨自動ラベル付けポリシー Officeファイル/PDF/メール Exchange Online, SharePoint Online, OneDrive for Business 保存時 Microsoft Defender for Cloud Apps (MDA) MDA のアプリコネクタによって監視対象となっているクラウド内のコンテンツ MDA ファイルポリシー適用時 MIP Scanner ファイルサーバー SharePoint Server サービスアカウントによるスキャン時メールフロールール (Exchange Online) Exchange Online で扱うメール Exchange 組織内でのトランスポート処理時

18 まとめどのような情報を (情報分類) 機密情報 / 営業秘密情報一般情報どこでクライアントデバイス
クラウドサービス誰が正社員 (国内) 派遣・請負社員正社員 (海外) 取引先何をするか返信/転送コピー & ペーストファイルの閲覧編集/上書き保存名前を付けて保存ラベルの設定変更印刷 (紙媒体での持ち出し) 秘密度ラベルの特性を理解したうえで、どのように利用すべきかを決めていきましょう

Microsoft 365 でデータセキュリティを強化しよう

Microsoft 365 でデータセキュリティを強化しよう

Kunii, Suguru

More Decks by Kunii, Suguru

Other Decks in Technology

Featured

Transcript