Microsoft Purviewで情報漏洩と内部不正を止める｜秘密度ラベル・DLP・内部リスク管理の実務

Microsoft Purviewは、Microsoft 365のなかで「データそのものを守る」ための情報保護基盤です。情報を分類する秘密度ラベル、漏洩を止めるDLP（データ損失防止）、内部の不正な持ち出しを検知する内部リスク管理という3つの機能を組み合わせ、情報漏洩と内部不正の双方に対処します。ファイアウォールやウイルス対策のような「境界の防御」とは異なり、ファイルやメールの一つひとつに保護を持たせる考え方です。

株式会社ロクシアシステムズは、福岡と東京を拠点に、全国のお客様へMicrosoft 365のセキュリティ・情報保護（Microsoft Purview）の導入支援を提供しているIT企業です。本記事では、標準的なライセンス（Microsoft 365 E3／E5）で実装できる情報保護の全体像を、実務者の目線で解説します。「DLPとは何か」といった一般論の羅列ではなく、弊社が実際の設計で用いている3本柱と段階導入の進め方を軸にお伝えします。

なぜ「境界防御」だけでは情報漏洩・内部不正が止まらないのか

従来の情報セキュリティは、社内と社外の境界に壁を築く「境界防御」が中心でした。ファイアウォールで外部からの侵入を防ぎ、ウイルス対策で不正なプログラムを止める考え方です。これは今も必要ですが、情報漏洩と内部不正の多くは、この壁の内側で起こります。

たとえば、権限を持つ社員が機密ファイルを個人のクラウドストレージへアップロードする、取引先情報の入ったファイルを私物のUSBメモリにコピーする、退職を控えた担当者が顧客リストを持ち出す——こうした行為は、外部からの攻撃ではありません。正規のアカウントによる、正規の操作の延長線上で起こります。境界の壁は、内側から出ていく情報を止められません。

Microsoft Purviewが解くのは、まさにこの課題です。守る対象を「ネットワークの境界」から「データそのもの」へ移し、情報の分類・持ち出しの制御・リスクの検知を一体で行います。以降で、その中身を3本柱に分けて解説します。

Microsoft Purviewとは｜情報保護の3本柱

Microsoft Purviewは、コンプライアンスとデータ保護のための機能群の総称です。多くの機能を含みますが、情報漏洩・内部不正対策という観点で中核になるのは、次の3本柱です。弊社は導入設計にあたり、この3つを「予防・防止・発見」という順序で組み立てます。

柱	役割	代表的な機能
① 秘密度ラベル	予防（分類・可視化）	ラベル体系の設計・手動/推奨ラベル・Content Explorerでの棚卸し
② DLP	防止（漏洩ブロック）	エンドポイントDLP・Edge for Business・警告/ブロック/監査
③ 内部リスク管理・適応型保護	発見（検知・動的制御）	リスクレベル別の制御・退職予定者の検知

ここで、混同されやすいDLP（Data Loss Prevention＝データ損失防止）という言葉を、簡単に定義しておきます。DLPとは、あらかじめ定めた条件（機密情報の種類や秘密度ラベルなど）に合致するデータが、許可されていない場所へ持ち出されようとしたときに、それを検知して警告・ブロック・記録する仕組みです。次章以降で、この3本柱を順に見ていきます。

【柱①】秘密度ラベルで分類・可視化する

情報保護は、守るべき情報を「分類する」ところから始まります。すべてのファイルを一律に守ろうとすると、業務が回らなくなります。情報の重要度に応じてラベルを付け、ラベルごとに保護の強さを変えるのが基本の考え方です。

ラベル体系を情報管理規定と揃えて設計する

弊社は、お客様の情報管理規定を軸に、5〜7段階のラベル体系（たとえば「極秘／社外秘／一般／公開」に個人情報の区分や暗号化の有無を掛け合わせたもの）を設計します。ラベルの数は多すぎても少なすぎても機能しません。多すぎると利用者が迷い、少なすぎると重要度の差を表現できないためです。既存の規定との整合を取りながら、現場が迷わず選べる粒度に落とし込むことが勘所です。

手動ラベルを基本に、SITで「推奨」を添える

ラベルの付け方には、利用者が自分で選ぶ「手動」と、システムが自動で付ける「自動」があります。弊社はユーザー主導の手動ラベルを基本に据えます。文書の意味を最も理解しているのは、それを作った本人だからです。

そのうえで、機密情報の種類（SIT：Sensitive Information Type）を使った「推奨表示」を添えます。SITは、クレジットカード番号やマイナンバーといった定型パターンを検知する分類機能です。たとえばファイルにマイナンバーらしき文字列が含まれていれば、「このファイルには『社外秘』が推奨されます」と画面に提示します。ここで重要なのは、強制せず、推奨にとどめることです。推奨を無視して低いラベルを選ぶ場合には理由の入力を求める、という設計にすれば、押し付けにならず、かつ記録も残ります。

Content Explorerで「どこに何があるか」を棚卸しする

ラベル体系を決めても、機密情報がどこに、どれだけ眠っているかが分からなければ守れません。Content Explorer（コンテンツエクスプローラー）は、Microsoft 365内に保管された文書を横断し、どのファイルにどの機密情報・ラベルが付いているかを一覧で可視化します。まずここで現状を棚卸しし、リスクの高い保管場所から手を打つのが順序です。

既に存在する大量のファイルには、自動ラベル付けを使います。いきなり本適用するのではなく、シミュレーションモードでどのファイルにどのラベルが付くかを事前に確認し、想定どおりであることを見てから一括適用するのが安全です。

【柱②】DLPで漏洩をブロックする

分類ができたら、次はその情報が外へ出ていくのを止めます。DLPは、メールやファイルサーバーだけでなく、社員が使うパソコンそのものにも適用できます。デバイス上の操作を監視する仕組みがエンドポイントDLPです。

パソコン上の「持ち出し操作」を監視・制御する

エンドポイントDLPは、管理対象として登録（オンボード）したWindows・macOSのパソコン上で、次のような操作を監視し、必要に応じて制御します。

• 未認可のWebサイト・個人クラウドへのアップロード
  許可されていないクラウドサービスへのアップロードを、ブロック・警告・監査のいずれかで扱えます。
• USBメモリ・ネットワーク共有へのコピー
  機密ファイルを外部媒体へコピー・移動する操作を制御できます。
• クリップボードへのコピー・印刷
  機密ファイルの内容を別のアプリへ貼り付ける、あるいは印刷する操作を制御できます。

ブラウザ経由の持ち出しは、Microsoft Edge for Businessを中核に制御します。許可されていないブラウザ（Chrome・Firefoxなど）でのアップロードは、ブロックしたうえでEdgeへ誘導する、という挙動になります。この「Edge中心」という性質は、後述する標準ライセンスの限界にそのまま関わってきます。

業務を止めすぎない｜ラベルごとに制御の強さを変える

DLP導入で最もよくある失敗は、すべてを「ブロック」にしてしまい、現場の業務が止まることです。すると回避策が横行し、かえって統制が効かなくなります。弊社は、秘密度ラベルに応じて制御の強さを段階的に変えます。

ラベル	既定の制御	狙い
極秘	ブロック	最重要情報の持ち出しは確実に止める
社外秘	警告（理由入力で続行可）	業務を止めず、注意を促し記録も残す
一般・公開	監査のみ	止めずに、まず可視化に徹する

導入初期は、多くの操作を「監査のみ」で始めるのが定石です。シミュレーションモードで実際の操作を観察し、誤検知（正当な業務を止めてしまうケース）を洗い出してから、少しずつブロックへ引き上げます。SITの信頼度調整と併せて、この誤検知チューニングに時間をかけることが、定着する情報保護と、形だけの情報保護を分けます。

【柱③】内部リスク管理・適応型保護で、リスクに応じて動的に守る

3本目の柱は、内部不正の兆候を「発見」し、リスクの高い人にだけ強い制御をかける仕組みです。全社員に一律の厳しいルールをかけるのではなく、危険度の高い操作をした利用者に対してのみ、動的に守りを強めます。

適応型保護｜リスクレベルに応じてDLPの強度を変える

適応型保護（Adaptive Protection）は、内部リスク管理が算出した利用者のリスクレベルに応じて、DLPの制御を自動で切り替える機能です。リスクレベルは「Elevated（高）・Moderate（中）・Minor（低）」の3段階で、たとえば短期間に大量のファイルをダウンロードした、外部への持ち出しが続いた、といった行動でレベルが上がります。

リスクレベル	DLPの制御	意図
Minor（低）	監査・ポリシーヒント（教育）	気づきを与え、行動の改善を促す
Moderate（中）	教育的な警告	注意を促しつつ、生産性は維持する
Elevated（高）	ブロック	持ち出し・共有を止め、影響を最小化する

普段どおり働いている大多数の社員には負担をかけず、リスクが高まった利用者にだけ制御が強まる。これが「適応型」と呼ばれる理由です。秘密度ラベルの付いた重要文書を「優先コンテンツ」として登録すれば、それに関わる操作のリスクスコアを加重できます。

退職予定者の持ち出しを検知する

内部不正のなかでも典型的なのが、退職を控えた担当者による情報の持ち出しです。内部リスク管理には「退職予定者によるデータ盗難」に対応するテンプレートがあり、退職日を起点にその前後の操作を重点的に監視できます。

退職日を知る方法は2通りあります。1つは人事システムと連携するHRコネクタで、退職日をトリガーにします。もう1つはMicrosoft Entra IDでアカウントが削除されたイベントをトリガーにする方法です。HRコネクタは正確ですが、人事システムとの連携・運用の負荷が小さくありません。そこで弊社は、人事連携の準備が整っていないお客様には、Entra IDのアカウント削除イベントを退職シグナルとして使う設計も提案します。既にある仕組みで始められる分、導入のハードルが下がります。

段階導入の3フェーズ｜いきなり全ブロックにしない

3本柱を一度に全力で稼働させると、必ず現場が混乱します。通常は、次の3フェーズで段階的に導入します。「まず可視化し、次に制御する」という順序が実務の勘所です。

フェーズ	主眼	実施内容
フェーズ1	基盤構築	ラベル体系の設計、手動ラベルの展開、SITによる推奨表示、Content Explorerでの棚卸し
フェーズ2	可視化	ラベル付与の必須化、DLPを監査モードで開始、シミュレーションで誤検知をチューニング
フェーズ3	制御	内部リスク管理・適応型保護と連携し、リスクに応じたリアルタイムの制御へ移行

この順序を守ると、現場は「まず自分の操作がどう記録されるか」を体験してから制御を受けるため、納得感が生まれます。逆に、フェーズ2・3を飛ばして初日から全ブロックにすると、業務が止まり、回避策が生まれ、情報保護そのものが形骸化します。急がば回れの典型例です。

ライセンス早見｜どこまでが標準でできるか

情報保護の検討で必ず論点になるのが、ライセンスです。同じMicrosoft Purviewでも、Microsoft 365のE3とE5で使える機能が変わります。実務で押さえるべき境界を、E3とE5のどちらで使えるかで整理しました。

機能	Microsoft 365 E3	Microsoft 365 E5
秘密度ラベルの手動適用・ラベル付きコンテンツの利用	◎	◎
DLP（Exchange・SharePoint・OneDrive＝メール／ファイル）	◎	◎
監査ログ（Standard）	◎	◎
情報保護スキャナーによるオンプレ資産の検出（discovery）	◎	◎
自動ラベル付け・SITによる推奨ラベル表示	✕	◎
Content Explorer／Activity Explorer（分析画面）	✕	◎
エンドポイントDLP（USB／クリップボード／印刷／アップロード制御）	✕	◎
DLP（Teams／ブラウザのクラウドアプリ）	✕	◎
内部リスク管理（Insider Risk Management）	✕	◎
適応型保護（Adaptive Protection）	✕	◎
監査ログ（Premium・最大1年保持）※1	✕	◎
非M365資産（DB・他クラウド・オンプレ）のスキャン＝Data Map※2	✕	△

◎＝含まれる／✕＝含まれない／△＝一部条件付き。^※1 監査ログのより長期の保持（10年など）は追加のアドオンが必要です。^※2 Data MapはE5にも含まれず、別途Microsoft Purview（従量課金／Suite相当）が必要です。本表は、Microsoftが公開するMicrosoft 365 エンタープライズ プランの比較表（PDF）およびMicrosoft Learnのライセンス情報をもとに、情報保護に関わる主な機能を抜粋・整理したものです。個別のSKU・バンドルは変更されることがあるため、導入時に最新の公式情報をご確認ください。

整理すると、「分類（手動ラベル）」と「メール・ファイルのDLP」「監査の基本」はE3の範囲で始められます。一方、本記事のDLPの柱の中心であるエンドポイントDLP、そして内部リスク管理・適応型保護・自動ラベル付け（SITによる推奨ラベル表示を含む）はE5が必要です。自社が今どのライセンスを持っているかで、実装できる範囲が変わります。まずE3の範囲で分類と可視化を固め、必要に応じてE5へ広げる、という段階設計も現実的な選択肢です。

正直な限界と、続編（条件付きアクセス＋MDCA編）への橋渡し

ここまで標準ライセンスでできることを述べてきましたが、標準では届かない領域があります。導入してから気づくと手戻りになるため、あらかじめ線引きしておきます。

シナリオ	標準（E3／E5）で可能か	補足・追加で必要なもの
管理PC（Windows／Mac）＋Edgeでの持ち出し制御	◎	エンドポイントDLP（E5）で対応できる
Office／PDFファイルのラベル付け・暗号化	◎	標準で対応。一部の特殊なファイル形式は専用クライアントが必要
Edge以外のブラウザ・非管理端末（私物PC）・モバイルでのラベル連動制御	△	条件付きアクセス＋MDCAが必要（→続編で解説）
オンプレのファイルサーバー上の資産	△	情報保護スキャナーで検出・ラベル暗号化（操作そのものの制御は不可）
非M365のDB・他社クラウド上のデータ	✕	Data Map（Microsoft Purview）が必要

最も注意すべきは3行目です。標準のエンドポイントDLPは、管理対象として登録したPC上のMicrosoft Edgeを中心とした制御です。裏を返すと、Edge以外のブラウザ・会社が管理していない私物端末・スマートフォンから、秘密度ラベルに連動して情報の持ち出しを止めることは、標準の仕組みだけでは十分にできません。

保護できるファイル形式｜Office・PDF・その他

もう一つ、検討の初期に確認しておきたいのが「どのファイル形式まで保護できるか」です。秘密度ラベルによる暗号化と、DLPによる内容の検査とでは、扱えるファイルの範囲が異なります。すべてのファイルを同じように守れるわけではありません。

ファイル形式	秘密度ラベル（保護・暗号化）	エンドポイントDLPの内容検査
Office（Word・Excel・PowerPoint）	◎ ネイティブ対応	◎
PDF	〇 対応（閲覧・編集アプリに依存する制約あり）	◎
テキスト・CSV・HTML・メール・圧縮ファイル	△ 汎用保護（.pfile にラップして暗号化）	◎
画像（JPEG・PNG・TIFF 等）	△ 汎用保護	〇 OCR有効時に検査
実行ファイル（.exe・.dll・.sys 等）	✕ 非対応	✕（拡張子単位の制限で持ち出しは抑止可）

Office文書は、ラベルと暗号化がファイル自体に埋め込まれ、そのまま開けます。PDFも保護できますが、閲覧・編集に使うアプリによっては制約が出ることがあります。一方、テキスト・画像・独自形式などOffice以外の多くのファイルは、暗号化はできるものの「汎用保護」＝.pfile という暗号化ラッパー形式になり、開くには Purview Information Protection クライアントが必要です。プログラム系ファイル（.exe など）はそもそも保護・内容検査の対象外で、持ち出しを止めたい場合は拡張子単位の制限で対応します。守りたい帳票・文書がどの形式かを最初に確認しておくと、導入後に「このファイルは保護できなかった」という想定外を避けられます。

弊社の支援｜情報ガバナンスの導入

弊社は、Microsoft Purviewを用いた情報漏洩・内部不正対策の導入を、設計から運用まで一貫して支援しています。製品の機能を並べて終わりにするのではなく、お客様の情報管理規定・業務の実態に合わせて、止めるべきものと止めてはいけないものを見極める設計を重視します。

• 現状の可視化から始める
  Content Explorerで機密情報の在りかを棚卸しし、リスクの高い場所から優先順位を付けます。
• 段階導入で現場を止めない
  可視化（監査）から制御へと段階的に移し、シミュレーションで誤検知を抑えてから本適用します。
• データは社外に預けない
  Purviewの情報保護は、お客様のMicrosoft 365テナント内で完結します。機密情報を外部のサービスへ渡さない設計は、弊社が一貫して大切にしている考え方です。
• 運用まで伴走する
  ラベル体系やDLPルールは、一度作って終わりではありません。運用しながらの見直し・チューニングまで支援します。

「機密情報を外部のサービスに預けない」という考え方は、弊社が扱う他の領域にも共通しています。たとえば帳票の自動読み取りでは、データを社外に出さない顧客専用の環境を構築する方針を採っています（AI-OCRとは｜帳票の手入力をなくす仕組みと、失敗しない選び方）。守るべきデータの主権をお客様の側に残す——これが弊社の基本姿勢です。

よくあるご質問

こちらをクリックして「よくある質問」を表示

Microsoft Purviewとは何ですか？

Microsoft 365に含まれる、データ保護とコンプライアンスのための機能群の総称です。情報漏洩・内部不正対策という観点では、情報を分類する「秘密度ラベル」、漏洩を止める「DLP」、内部の不正を検知する「内部リスク管理」の3つが中核になります。ネットワークの境界ではなく、データそのものを守るアプローチです。

DLPとは何ですか？

DLPはData Loss Prevention（データ損失防止）の略です。あらかじめ定めた条件（機密情報の種類や秘密度ラベルなど）に合致するデータが、許可されていない場所へ持ち出されようとしたときに、検知して警告・ブロック・記録する仕組みを指します。Microsoft Purviewでは、メールやファイルだけでなく、パソコン上のUSBコピー・印刷・アップロードといった操作にも適用できます。

Microsoft 365のE3とE5では、情報保護で何が違いますか？

大づかみに言うと、秘密度ラベルの手動適用、メール・ファイルのDLP、基本的な監査はE3の範囲で始められます。一方、パソコン上の操作を制御するエンドポイントDLP、自動ラベル付け、内部リスク管理、適応型保護はE5が必要です。まずE3で分類と可視化を固め、必要に応じてE5へ広げる段階設計も可能です。個別のライセンス構成は変わることがあるため、導入時に公式情報で最新を確認します。

秘密度ラベルは、全社員に強制すべきですか？

いきなり全社員に強制することは、弊社ではおすすめしていません。文書の意味を最もよく知る作成者本人による手動ラベルを基本に置き、機密情報の種類（SIT）に基づく「推奨表示」を添える設計が現実的です。推奨を無視する場合に理由の入力を求めるようにすれば、押し付けにならず記録も残ります。ラベル付与の必須化は、運用に慣れた段階（フェーズ2）で進めます。

中小企業でもMicrosoft Purviewは使えますか？

使えます。既にMicrosoft 365を利用していれば、追加のサーバーを立てることなく、テナント内の設定として情報保護を始められます。まずはE3の範囲で分類と可視化から始め、対象を絞って小さく導入するのが現実的です。規模が大きくないほど、いきなり全ブロックにして業務が止まる影響も大きいため、段階導入の考え方がより重要になります。

スマートフォンや私物PC（非管理端末）からの情報漏洩も防げますか？

標準のエンドポイントDLPは、会社が管理するPC上のMicrosoft Edgeを中心とした制御です。そのため、Edge以外のブラウザ・会社が管理していない私物端末・スマートフォンからの持ち出しを、秘密度ラベルに連動して止めるには、条件付きアクセスとMicrosoft Defender for Cloud Apps（MDCA）を組み合わせる必要があります。この領域は、本コラムの続編（条件付きアクセス＋MDCA編）で詳しく解説します。

既存の大量のファイルにも、後からラベルを付けられますか？

付けられます。自動ラベル付けを使えば、既に保管されているファイルにも、内容に応じたラベルを一括で適用できます。ただし、いきなり本適用すると誤ったラベルが広がる恐れがあるため、まずシミュレーションモードでどのファイルにどのラベルが付くかを確認し、想定どおりであることを見てから適用するのが安全です。なお、自動ラベル付けはE5相当のライセンスが必要になります。

導入にはどれくらいの期間がかかりますか？

対象範囲とライセンス状況により変わります。弊社は、基盤構築（ラベル設計・手動ラベル）→可視化（DLPを監査モードで開始）→制御（リアルタイムのブロック）という3フェーズで進めます。特に可視化のフェーズで誤検知を丁寧にチューニングすることが、その後の定着を左右します。まずは対象を絞って小さく始め、効果を確かめながら広げる進め方をおすすめしています。具体的な期間は、現状を拝見したうえでご提案します。

情報漏洩・内部不正対策の進め方についてのご相談・お見積り、無料でのご相談は、お問い合わせよりお気軽にご連絡ください。現在お使いのMicrosoft 365のライセンスに合わせて、どこから始めるべきかをご提案します。

関連サービス

• Microsoft 365導入支援
• セキュリティ強化支援（ゼロトラスト）
• クラウド導入支援（Azure）
• AIエージェント導入支援（Copilot Studio）
• DX支援（デジタル化戦略コンサルティング）