Copilot導入前にSharePointのアクセス権を見直す｜過剰共有（オーバーシェアリング）による情報漏洩を防ぐ手順

Copilot は新しい権限を作りませんが、本人も知らないうちに見られる状態になっているファイルを、すぐに探し出せるようにします。

Microsoft 365 Copilot が答えに使うのは、質問した人が既にアクセスできるファイルやメールだけです。問題になるのは、本人も管理者も気づかないうちに、組織内の全員がアクセスできる状態になっているファイルです。

社外への共有は見直していても、社内の共有範囲までは手が回っていない、という組織は少なくありません。次の点は見落とされがちです。

• 公開のチームのサイトは、組織内の全員がメンバーとして中身を見られる
• 「特定のユーザー」リンクにセキュリティグループを入れると、そのグループの全員の Copilot にファイルが出る
• 「組織内のユーザー」リンクも、メールや Teams のチャットで送れば、受け取った人には有効になる

この記事では、Copilot が何を見て答えるのかを確かめたうえで、社内の過剰共有（オーバーシェアリング）が生まれる入り口と、SharePoint Advanced Management と Microsoft Purview を使って見つける・隠す・直す・ガードレールを置くまでの手順を、Microsoft Learn の公開情報をもとに解説します。

株式会社ロクシアシステムズは、福岡と東京を拠点に、全国のお客様へ Microsoft 365・Azure の導入支援と、AIの業務活用（AIプライベート）の支援を提供しているIT企業です。

Copilot が使うのは、その人が既にアクセスできるものだけ

Copilot を入れると、見てはいけないファイルまで見られるようになるのではないか。導入の相談で、最初に出る心配です。答えは「いいえ」です。Copilot は質問した人の権限で動き、その人が開けないファイルやメールを答えに使うことはありません。

ただし、ここでいう「開ける」は、本人が意識しているかどうかとは関係ありません。サイトの設定や共有リンクによって、組織内の全員が開ける状態のファイルは、これまでも検索すれば見つかりました。Copilot は、そうしたファイルを質問ひとつで探し出し、要約して返します。

つまり、対策の対象は Copilot そのものではなく、既にある共有の設定です。Copilot を入れる前に、組織内の全員に見えてしまっているファイルを見つけて直しておけば、Copilot は安心して使える道具になります。

本人も知らないうちに「アクセスできる」状態になる入り口

組織内の全員がアクセスできる状態は、誰かが意図して作るより、既定の動きや日々の共有の積み重ねで生まれます。主な入り口は次のとおりです。

公開のチームと「全員」を含むアクセス許可

Teams のチームや Microsoft 365 グループを「公開」で作ると、そのサイトのメンバーに「外部ユーザー以外のすべてのユーザー」が入ります。チームに参加していない社員も、サイトのファイルを開けます。部署のチームを手早く作るときに、公開のまま作られていることがよくあります。

同じことは、サイトやフォルダーのアクセス許可に「外部ユーザー以外のすべてのユーザー」や「全員」を直接入れた場合にも起きます。社内の共有を手早く済ませるために入れられ、そのまま残っていることが多い設定です。

共有リンクの種類で、Copilot への出方が違う

共有リンクは、作っただけで全員の Copilot に出るわけではありません。リンクの種類ごとの出方は、次のとおりです。

リンクの種類	検索と Copilot に出る人	見落としやすい点
特定のユーザー	リンクに追加した人。セキュリティグループを追加した場合は、そのグループの全員	大きなグループを入れると、組織全体に共有したのと変わらない
組織内のユーザー	リンクを開いた人だけ。作っただけでは誰にも出ない	SharePoint や OneDrive の画面、Outlook のメール、Teams のチャットで個人に送ると、受け取った人（100人まで）には自動で有効になる
すべてのユーザー	リンクを開いた人だけ	リンクを知っていれば社外の人も開ける。社外への共有として見直す

「組織内のユーザー」リンクは、作っただけなら Copilot には出ません。ただ、社内の連絡でリンクを送るのはごく普通のことなので、送った相手が多いほど、その人たちの Copilot に出る状態が広がります。

継承を切ったあとに広げたアクセス許可

サイトの中の一部のフォルダーだけ、親のサイトからのアクセス許可の継承を切って、別の人に広げることがあります。サイトのメンバーを見ても分からない範囲にファイルが見えているため、サイト単位の点検では見落とします。後で紹介するレポートは、こうしたフォルダーやファイルの単位まで確かめるために使います。

なお、社外の人への共有（すべてのユーザー リンクやゲスト）の見直しは、SharePoint・OneDriveの外部共有を見直すの記事で解説しています。この記事では、社内での広がりすぎを扱います。

進め方の全体像｜見つける・隠す・直す・ガードレールを置く

Microsoft は、Copilot を安全に展開するための手順を、過剰共有を直す、ガードレールを置く、規制に合わせる、の3段にまとめています。この記事では、そのうち社内の過剰共有に関わる部分を、作業の順に5つに分けて進めます。

1. 見つける：SharePoint 管理センターのデータ アクセス ガバナンス レポートで、広く見えているサイトを洗い出す
2. 隠す・絞る：すぐに直せないサイトを、制限付きコンテンツ検出で Copilot から隠すか、制限付きアクセス制御で見てよい人に絞る
3. 直す：サイトのアクセス レビューで、サイトの所有者にアクセス許可を見直してもらう
4. ガードレールを置く：Microsoft Purview の秘密度ラベルと DLP で、重要なファイルを Copilot に使わせない
5. 点検する：Copilot を使い始めたあと、監査ログとレポートで広がりを確かめ続ける

SharePoint Advanced Management は Copilot のライセンスで使える

見つける・隠す・直すの3段で使う機能は、SharePoint Advanced Management（SAM）に含まれます。SAM は単体の追加ライセンスもありますが、テナントで1人以上に Microsoft 365 Copilot のライセンスを割り当てると、SharePoint 管理者は Copilot の展開を支える SAM の機能を使えるようになります。管理者自身が Copilot のライセンスを持つ必要はありません。

Microsoft Learn の SAM の前提条件には、基本となるライセンスとして Microsoft 365 E3・E5 や Office 365 E3・E5 などが挙げられています。Business 系のプランをお使いの場合は、管理センターで SAM の機能が表示されるかを先に確かめてください。

見つける｜データ アクセス ガバナンス レポートで、広く見えているサイトを洗い出す

データ アクセス ガバナンス（DAG）レポートは、SharePoint 管理センターの「レポート」→「データ アクセス ガバナンス」から使います。SharePoint と OneDrive のサイトのうち、広く共有されているものを見つけるためのレポートで、大きく2つの種類があります。

• 現状のレポート（スナップショット）：すべてのサイトについて、アクセスできる人数や「外部ユーザー以外のすべてのユーザー」の有無などを、作った時点で集計する。秘密度ラベルの付いたファイルがどのサイトにあるかを調べるレポートもある（E5 が必要）
• 最近の動きのレポート（アクティビティ）：直近28日に、共有リンクが多く作られたサイトや、「外部ユーザー以外のすべてのユーザー」と共有されたサイトを洗い出す

まず現状のレポートで、アクセスできる人数の多いサイトから順に確かめます。Microsoft は、現状のレポートを四半期ごと、最近の動きのレポートを毎月作って、新しく広がった共有も追いかけることを勧めています。

レポートが動かないときは、名前を伏せる設定を確かめる

Microsoft 365 管理センターのレポートの設定で、ユーザー名やサイト名を伏せて表示するようにしていると、DAG レポートが動かないことがあります。この設定は全体管理者でないと変えられません。プライバシーへの配慮で伏せている組織も多いので、変える場合は社内で理由を共有してから進めます。

隠す・絞る｜制限付きコンテンツ検出と制限付きアクセス制御

見つけたサイトのアクセス許可をすぐに直せるとは限りません。所有者が見直すまでのあいだ、Copilot に出さない手段が2つあります。違いは次のとおりです。

	制限付きコンテンツ検出（RCD）	制限付きアクセス制御（RAC）
何が変わるか	サイトの中身が、組織全体の検索と Copilot に出なくなる。アクセス許可は変わらない	指定したグループに入っていない人は、アクセス許可や共有リンクがあっても開けなくなる。検索と Copilot にも出ない
対象	SharePoint のサイト。OneDrive は対象外	SharePoint のサイトと OneDrive
指定のしかた	サイトごとにオンにする	サイトごとに、Microsoft 365 グループかセキュリティグループを10個まで指定する
向く場面	所有者がアクセス許可を見直すあいだ、一時的に隠す	人事・経理など、見てよい人が決まっているサイトを絞る

RCD は「隠す」だけで、開けなくはならない

RCD をオンにしても、アクセス許可は変わりません。ファイルの場所を知っている人や、リンクを持っている人は、これまでどおり開けます。また、利用者が最近開いたファイルは、RCD をかけたサイトのものでも Copilot に出ることがあります。

RCD は、SharePoint 管理センターの「アクティブなサイト」でサイトを選び、設定から有効にします。反映までの時間はサイトのファイルの数によって変わり、大きなサイトほど長くかかります。Microsoft も、RCD は見直しの時間を稼ぐ一時的な手段で、使いすぎると Copilot の答えが不十分になると注意しています。

RAC は、グループに入れるだけでは開けない

RAC を使うには、まず SharePoint 管理センターの「ポリシー」→「アクセス制御」で、組織としてサイト単位のアクセス制限を許可します。そのうえで、サイトごとに、見てよい人のグループを指定します。

指定したグループに人を足しても、それだけではサイトを開けるようになりません。開けるのは、グループに入っていて、かつ、サイトやファイルのアクセス許可も持っている人です。Teams のプライベート チャネルと共有チャネルのサイトは、親のチームとは別のサイトなので、それぞれに設定します。

直す｜サイトのアクセス レビューで、所有者に見直してもらう

アクセス許可を直すのに一番向いているのは、サイトの中身を知っている所有者です。IT 管理者がファイルの中身まで確かめるのは、手間の面でも、社内の規程の面でも難しいことがあります。サイトのアクセス レビューは、DAG レポートで見つけたサイトの見直しを、所有者に依頼する機能です。

DAG レポートの一覧でサイトを選び、「サイトのアクセス レビューを開始する」を選ぶと、所有者にメールが届きます。画面からは1回に100サイトまで依頼でき、メールの件名や本文は、社内からの正式な依頼だと分かるように変えられます。対象は SharePoint のサイトで、OneDrive は含まれません。

所有者が見る画面と、直す箇所

メールのリンクを開いた所有者は、そのサイトで広く共有されているフォルダーやファイルと、共有リンクを作った人や日付を確かめられます。見直しのあと、所有者は次のような作業をして、レビューを完了にします。

• サイトのグループから「外部ユーザー以外のすべてのユーザー」を外す
• 要らなくなった共有リンクを削除する
• 人数の多いグループに与えたアクセス許可を、必要な人のグループに置き換える

所有者のコメントは管理者に戻り、レビューの状況は DAG の画面でまとめて追えます。公開のチームは、所有者がチームの設定を「プライベート」に変えると、サイトのメンバーから「外部ユーザー以外のすべてのユーザー」が外れます。

ガードレールを置く｜秘密度ラベルと DLP で Copilot に使わせない

アクセス許可を直しても、重要なファイルがまた広く共有されることはあります。そこで、ファイルそのものに Microsoft Purview の秘密度ラベルを付け、ラベルに応じて Copilot の扱いを決めておきます。ラベルと DLP は、Microsoft Purview ポータルで設定します。

暗号化のラベルは、コピーの権限で Copilot の扱いが決まる

暗号化するラベルでは、ラベルごとに利用者の権限を決めます。Copilot がファイルの中身を答えに使えるのは、利用者に「コピーして抽出」の権限がある場合だけです。閲覧はできてもコピーできない権限のファイルは、Copilot は要約せず、リンクを示すだけにとどめます。

また、ラベルの付いたファイルをもとに、Copilot が Word・PowerPoint・Outlook で新しい内容を作ると、元のファイルのうち最も優先度の高いラベルが引き継がれます。重要なファイルの内容が、ラベルの無い新しい文書に移るのを防ぐ仕組みです。

DLP で、ラベルの付いたファイルを Copilot の答えから外す

暗号化しないラベルでも、DLP のポリシーで「Microsoft 365 Copilot」を場所として選び、特定のラベルを条件にすると、そのラベルの付いたファイルやメールの中身を Copilot が答えに使わなくなります。答えの出典としてファイル名が出ることはありますが、中身は要約されません。

この DLP を使えるのは、Microsoft 365 E5・Office 365 E5 か、E5 の情報保護の追加ライセンスを持つ場合です。Business 系や E3 だけでは使えないため、その場合は暗号化のラベルとアクセス許可の見直しで守ります。

導入後の点検｜監査ログで分かること、分からないこと

Copilot を使い始めたら、Microsoft Purview の監査ログで、誰がいつ Copilot を使い、どのファイルが答えに使われたかを確かめられます。監査の標準のライセンスでは、記録は180日保存されます。

ただし、監査ログには、プロンプトと Copilot の答えの本文は残りません。やり取りの中身まで確かめる必要がある場合は、電子情報開示（eDiscovery）で探します。広く共有されたファイルが答えに何度も使われていれば、そのサイトを次の見直しの対象にします。

あわせて、DAG の最近の動きのレポートを毎月作り、新しく「外部ユーザー以外のすべてのユーザー」と共有されたサイトや、共有リンクが急に増えたサイトがないかを確かめます。過剰共有は一度直して終わりではなく、日々の共有で少しずつ戻るためです。

弊社の支援

弊社は、Microsoft 365 と Azure の導入とセキュリティ設定を支援しています。過剰共有の対策は、設定そのものより、どのサイトを誰が見てよいかを部署ごとに決め、所有者に見直してもらう段取りに時間がかかります。

DAG レポートでの現状の洗い出しから、RCD と RAC の使い分け、所有者への依頼の文面づくり、秘密度ラベルと DLP の設計までをご一緒に進めます。セキュリティ対策の全体像はゼロトラストとはで解説しています。

よくあるご質問

こちらをクリックして「よくある質問」を表示

Copilot を入れると、権限の無いファイルも見られるようになりますか？

なりません。Copilot は質問した人の権限で動き、その人が開けないファイルやメールは答えに使いません。注意が必要なのは、本人が気づかないうちに開ける状態になっているファイルで、Copilot はそれを探しやすくします。

SharePoint Advanced Management を使うには、全員分の Copilot のライセンスが必要ですか？

必要ありません。テナントで1人以上に Microsoft 365 Copilot のライセンスを割り当てると、SharePoint 管理者は Copilot の展開を支える SAM の機能を使えます。管理者自身が Copilot のライセンスを持つ必要もありません。

制限付きコンテンツ検出をかければ、そのサイトは安全ですか？

Copilot と組織全体の検索には出なくなりますが、アクセス許可は変わらないため、場所やリンクを知っている人は開けます。見直しのあいだの一時的な手段と考え、所有者によるアクセス許可の見直しと組み合わせます。

「組織内のユーザー」リンクは、すべて削除したほうがよいですか？

作っただけのリンクは、検索にも Copilot にも出ません。ただし、メールや Teams のチャットで送ると受け取った人には有効になるため、重要なファイルでは「特定のユーザー」リンクを使い、要らなくなったリンクは削除します。

OneDrive の過剰共有は、どう見つけて直せばよいですか？

DAG の現状のレポートは OneDrive も対象です。一方、サイトのアクセス レビューと制限付きコンテンツ検出は OneDrive に対応していないため、持ち主の社員に直接見直しを依頼するか、制限付きアクセス制御で見てよい人を絞ります。

秘密度ラベルを付けると、Copilot でそのファイルを使えなくなりますか？

ラベルを付けただけでは使えます。暗号化するラベルで利用者にコピーの権限を与えていない場合か、DLP でそのラベルを Copilot の対象から外した場合に、Copilot は中身を答えに使わなくなります。

Copilot は、既にある共有の設定をそのまま映します。組織内の全員に見えているファイルを先に見つけて直し、重要なファイルにラベルを付けておけば、安心して使い始められます。お使いの環境の共有の状況をお聞かせいただければ、見直しの進め方をご提案します。お問い合わせよりお気軽にご相談ください。

関連サービス・関連コラム

• セキュリティ強化支援（ゼロトラスト）
• クラウド導入支援（Microsoft 365）｜安全で生産性の高い働き方の基盤を構築
• SharePoint・OneDriveの外部共有を見直す｜ゲストアカウント必須化への対応と、共有設定の点検手順
• ゼロトラストとは｜中小企業がMicrosoft 365で始めるセキュリティ

まずは無料トライアルで、効果をご確認ください

「AIプライベート」は短期・低コストで試せます。帳票入力（AI-OCR）・電話対応（AI-Voice）・計画づくり（AI-Enhance）の自動化から、クラウド（Azure・Microsoft 365）・DXのご相談まで、お気軽にどうぞ。