データを保護するための既定のラベルとポリシー

セキュリティとコンプライアンスのための Microsoft 365 ライセンス ガイダンス。

対象となるお客様は、Microsoft Purview の情報保護の既定のラベルとポリシーをアクティブ化できます。

• 秘密度ラベルと秘密度ラベル ポリシー
• クライアント側の自動ラベル付け
• サービス側の自動ラベル付け
• Teams とデバイスのデータ損失防止 (DLP) ポリシー

これらの既定の構成を使用すると、Microsoft 365 の Microsoft Purview の情報保護をすばやく起動して実行できます。 これらの変更は、現状通り使用したり、わずかに変更を加えたり、ビジネス要件に合わせて完全にカスタマイズしたりすることができます。

対象となるお客様には、Microsoft Purview AI ハブを使用しているユーザー、Microsoft Purview の無料試用版をお持ちのお客様、Microsoft 365 E5 プランを既にお持ちのお客様が含まれます。

• 新しいお客様: Microsoft Purview を取得して 30 日未満の場合、テナントは表示されているすべての既定の構成をアクティブ化できます。 これらはいつでも無効、削除、または編集できます。

• 既存のお客様: Microsoft Purview を取得して 30 日を超えている場合は、同等の構成をまだ構成していない場合は、既定の構成をアクティブ化できます。

  既定の構成	値
  秘密度ラベルと秘密度ラベル ポリシー	発行された秘密度ラベル
  クライアント側の自動ラベル付け	Office アプリで自動的に適用 (またはユーザーに推奨) するように構成された 1 つ以上の秘密度ラベル
  サービス側の自動ラベル付け	有効になっている少なくとも 1 つの自動ラベル付けポリシー
  Teams 向け DLP	Teams の少なくとも 1 つの DLP ポリシー
  デバイス用の DLP	デバイス用の少なくとも 1 つの DLP ポリシー

既定のラベルとポリシーをアクティブ化する

これらの構成済みのラベルとポリシーを取得するには、AI ハブを使用して [ポリシー] を選択し、[AI のデータ セキュリティの強化から開始する] を選択します。

または、Microsoft Purview コンプライアンス ポータルからアクティブ化します。

1. Microsoft Purview コンプライアンス ポータルにサインインし、Information Protectionの [概要] ページに移動します。

   アカウントに必要なアクセス許可:

   • 既定のラベルとラベル付けポリシーをアクティブにするには、 秘密度ラベルを作成および管理するためのアクセス許可が必要です。
   • 既定のデータ損失防止 (DLP) ポリシーをアクティブにするには、 DLP ポリシーを作成および管理するためのアクセス許可が必要です。

2. Microsoft Purview 情報保護の既定のラベルとポリシーの対象となる場合は、次の情報が表示されます。ここで、既定のラベルとポリシーをアクティブ化できます。 以下に例を示します。

   

   アクティブ化オプションでこの情報が表示されない場合、現在、この場所から秘密度ラベルとポリシーを自動作成することはできません。 後で確認して、この状態が変更されたかどうかを確認できます。 次の設定情報を使用して、同じラベルとポリシーを手動で作成することもできます。

3. 次に、SharePoint と OneDrive の秘密度ラベルを有効にします。 この手順は、Office for the web で秘密度ラベルを使用し、SharePoint と OneDrive の自動ラベル付けポリシーを使用するための前提条件です。

   Information Protection>Overview ページの上部にある次のバナーを使用し、[今すぐ有効にする] を選択します。 このバナーが表示されていない場合は、SharePoint と OneDrive の秘密度ラベルがテナントに対して既に有効になっています。

   

   この機能の詳細については、「 SharePoint と OneDrive でファイルの秘密度ラベルを有効にする」を参照してください。

既定の秘密度ラベル

公開されている秘密度ラベルがない場合は、次のラベルが作成されます。

^*ロールアウトでは、テナントにスケジュールされた会議のラベルを手動で適用するライセンスがある場合、2024 年 10 月以降のお客様の会議スコープが含まれます。 追加：

• 秘密度ラベル ポリシーには、既定の Teams 会議ラベルが含まれています。
• テナントに Teams 会議にラベルを手動で適用するライセンスがある場合、秘密度ラベルの一部には、これらの会議を保護するための設定も構成されています。

これらの構成設定と、感度ラベルを使って何ができるのかについての詳細は、「感度ラベルで実行できること」をご覧ください。

これらの既定の秘密度ラベルを編集する必要がある場合は、「秘密度ラベルの作成および構成」を参照してください。

既定の秘密度ラベル ポリシー

既定の秘密度ラベル ポリシーを使用すると、ユーザーは機密ラベルを使用してドキュメントやメールにラベルを付け始めることができます。 構成は次のとおりです:

• テナント内のすべてのユーザーに既定のラベルを発行
• ラベル付けされていないドキュメント、電子メール、会議の既定のラベル([全般 \ ] [すべての従業員] (無制限)
• ユーザーがラベルを削除したり、ラベルの分類を下げる場合には、正当な理由を示す必要があります

これらのポリシー設定、および使用可能な他のポリシー設定の詳細については、「感度ラベルで実行できること」を参照してください。

これらの既定のポリシー設定を編集する必要がある場合は、「ラベル ポリシーを作成して感度ラベルを発行する」を参照してください。

Windows、macOS、iOS、Android の Office アプリに組み込みのラベル付けを使用すると、ユーザーには 4 時間以内に新しいラベルが表示され、Web 上のWord、Excel、PowerPoint の場合は 1 時間以内に新しいラベルがブラウザー更新時に表示されます。 ただし、変更がすべてのアプリとサービスにレプリケートされるには、最大で 24 時間かかります。

クライアント側の自動ラベル付け

既定のクライアント側の自動ラベル付け構成では、作業中のドキュメントまたはメールでクレジット カード番号が検出されたときに、ユーザーに秘密度ラベルの適用が自動的に推奨されます。 この構成は、自動的に適用されるのではなく、推奨事項として、コンテンツに関する内容を強調表示するための適切な最初のステップとして機能し、ドキュメントやメールにラベルを付ける方法をユーザーに紹介します。

クライアント側の自動ラベル付けは、Office アプリ Word、Excel、PowerPoint、および Outlook で使用されているドキュメントとメールでのみ機能します。

既定のクライアント側の自動ラベル付けには、次の構成があります。

• ドキュメントまたはメールにクレジット カード番号が 1 - 9 件見つかった場合は、機密ラベル 機密 \ すべてのユーザー (無制限) を適用することをお勧めします。

• ドキュメントまたはメールにクレジット カード番号のインスタンスが 10 個以上ある場合は、機密ラベル社外秘 \ すべての従業員 に適用することをお勧めします

クライアント側の自動ラベル付け構成を編集する場合は、「Office アプリの自動ラベル付けを構成する方法」を参照してください。

サービス側の自動ラベル付け

サービス側の自動ラベル付けにより、保存中の機密ドキュメントや転送中のメールにラベルを付けることができます。 既定のサービス側の自動ラベル付けポリシーでは、すべての SharePoint サイトまたは OneDrive サイトに保存されているドキュメント、および Exchange Online 経由で送信されるすべての電子メールに対して、シミュレーション モードで実行するポリシーが作成されます。

シミュレーション モードでは、ポリシーを有効にするまで、アイテムには実際にラベル付けされません。 ポリシーを手動で有効にできます。 または、既定の設定を変更しない場合、シミュレーションが完了してから一定の日数以内にポリシーに変更がない場合、ポリシーは自動的にオンになります。

ほとんどの場合、編集されていないポリシーが自動的に有効になる日数は 7 日です。 ただし、2022 年 6 月 23 日からの新規顧客に固有の場合、最初の日数は 25 日で、ポリシーの編集後は 7 日です。

シミュレーション モードでは、ポリシーがオンになっているときにラベル付けされる項目をプレビューできるため、実際のラベル付けのためにポリシーをテナントに展開する前に、ラベル付け機能に自信を持つことができます。

既定のサービス側の自動ラベル付けポリシーには、次の構成があります。

すべての Teams のお客様:

• ドキュメントに 1 から 9 個のクレジット カード番号が見つかった場合は、機密度ラベル ［機密］ \ ［すべてのユーザー (無制限)］ を適用します

• ドキュメントまたはメールにクレジット カード番号のインスタンスが 10 個以上ある場合は、機密ラベル［機密］ \ ［すべての従業員］ に適用することをお勧めします

Microsoft 365 テナントが米国リージョンにある 2022 年 6 月 23 日からの新規のお客様:

• ドキュメントに 1 から 9 個の米国個人データと本名が見つかった場合は、機密度ラベル ［機密］ \ ［すべてのユーザー (無制限)］ を適用します

• ドキュメントに 10 以上の米国個人データと本名が見つかった場合は、機密度ラベル ［機密］ \ ［すべての従業員］ を適用します

2022 年 6 月 23 日以降の新規顧客には、設定ごとに 2 つの自動ラベル付けポリシーがあります。 1 つのポリシーは Exchange の場所用で、もう 1 つは SharePoint と OneDrive の場所用です。 ポリシーは同時に作成されますが、SharePoint と OneDrive のシミュレーションはすぐに有効になるわけではありません。

• Exchange の場所: 自動ラベル付けポリシーが作成され、すぐにシミュレーションが開始されます。
• SharePoint と OneDrive の場所: 自動ラベル付けポリシーは作成されますが、シミュレーションが自動的に開始されるまで 25 日間待機します。 この遅延により、ファイルを作成してこれらの場所に保存する時間が確保されます。

シミュレーションが完了したら、結果を確認します。 問題がなければ、ポリシーを有効にします。

シミュレーション モードの詳細については、「シミュレーション モードについて」を参照してください。

サービス側の自動ラベル付けポリシーを編集する場合は、「SharePoint、OneDrive、および Exchange の自動ラベル付けポリシーを構成する方法」を参照してください。

Teams 向け DLP

Teams の既定の DLP ポリシーは、すべての Teams チャットとチャネル メッセージにクレジット カード番号が存在するかどうかを検出します。 この機密情報が検出されると、管理者は重要度の低いアラート通知を受け取ります。

このポリシーは、ユーザーから見ると目立たず、ポリシー ヒントが表示されるわけでもなければメッセージがブロックされるわけでもありませんが、管理者はこれらのメッセージで共有されている機密情報のレコードを保持することになります。 必要に応じて、設定を編集して、この既定の構成を変更できます。

このポリシーの結果を表示するには、DLP アクティビティ エクスプローラーを使用します。

DLP ポリシーを編集する場合は、「 データ損失防止ポリシーの作成と展開」を参照してください。

デバイス用の DLP

デバイスの既定の DLP ポリシーは、Microsoft Purview にオンボードされているWindows 10デバイスにクレジット カード番号が存在することを検出します。 その後、次のアクションが監査されます (ただし、ブロックされません)。

• クラウド サービス ドメインへのアップロードまたは許可されていないブラウザーによるアクセス

• クリップボード、USB、またはネットワーク共有へのコピー

• 許可されていないアプリによるアクセス

• 印刷

• 許可されていないBluetooth アプリを使用してコピーまたは移動する

• リモート デスクトップ サービス

コンテンツにクレジット カードのインスタンスが 10 個以上含まれており、一覧表示されているアクティビティの 1 つ以上が検出された場合、重大度が中程度のアラート通知が管理者に送信されます。

このポリシーは、ユーザーから見ると目立たず、ポリシー ヒントが表示されるわけでもなければ操作がブロックされるわけでもありませんが、管理者はすべての疑わしいアクティビティのレコードを保持することになります。 必要に応じて、これらの設定を編集して、この既定の構成を変更できます。

このポリシーの結果を表示するには、DLP アクティビティ エクスプローラーを使用します。

DLP ポリシーを編集する場合は、「 データ損失防止ポリシーの作成と展開」を参照してください。

その他のリソース

秘密度ラベル、データ損失防止、および Microsoft Purview の情報保護で使用できるすべての機能の詳細については、次のリソースを参照してください:

• 機密ラベルについて詳しく見る
• データ損失防止について
• Microsoft Purview を使用してデータを保護する