ゆるっとPurview勉強会 #4
>100 Views
October 24, 26
スライド概要
Data Security Solution Engineer @Microsoft | Purview | Data Security | CISSP/RISS
関連スライド
各ページのテキスト
ゆるっと Purview 勉強会 #4 （秘密度ラベルだけじゃない！） Data Loss Prevention と Insider Risk Management の 必要性と使い方のコツ 日本マイクロソフト株式会社セキュリティ統括本部 データ セキュリティ ソリューション エンジニア Momoka Hori CISSP / 情報処理安全確保支援士 第31691号/ 公認情報システム監査人(CISA) / 個人情報保護士
Momoka Hori 自己紹介： 元情シス → 現マイクロソフトの Data Security SE（プリセールス エンジニア） • AI 利用ガイドライン策定、規定改定、個人情報保護対応、ISMS 対応・監査、 • グローバルガバナンス、内部不正対策、セキュリティ製品の PoC・ツール選定、BCPなどなど・・・ 「なんかかっこいい」というモチベで、CISSP, CISA（公認情報システム監査人）, 情報処理安全確保支援士、個人情報保護士を取ってセキュリティ業界へ迷い込む 好きなおにぎりの具： ツナマヨ
アジェンダ • データ セキュリティの３本柱おさらい • データ セキュリティの必要性 • エンタープライズ企業がデータ セキュリティに取り組むきっかけ • インシデント事例 機能の話じゃない • データ セキュリティ特有の難しさ • データ セキュリティの３本柱 • 秘密度ラベル • DLP (Data Loss Prevention) • IRM (Insider Risk Management) • まとめ 機能 + 使い方のコツ ※5月のなんコパ Purview 勉強報告会と被 る部分あり
データセキュリティの３本柱
データセキュリティの必要性
企業がデータセキュリティに取り組むきっかけ ６つ 1. 情報分類の必要性 (外部コンサルや監査で指摘を受けた) 2. 取引先からの情報保護の要求 「うちのデータはこのレベルで守ってくれないと困るよ」 3. 業界標準やレギュレーションへの対応 4. 内部インシデント (金融、防衛、自工会、個人情報保護法、GDPR・・・) （産業スパイ、退職者の情報持ち出し、情報の転売、うっかりミス等）が発生した 5. 主力部門、特定事業部の機密情報保護 (漏えいしたら製品がコモディティ化しちゃう！) 6. AI や AI エージェント に対する情報コントロールの必要性
内部インシデント事例
データセキュリティ特有の難しさ・・・ • • 情報を持ち出すのは、難易度が低く、被害が大きい • 正規のアクセス権限を利用する（＝権限が適切でも起きうる） • 価値のあるデータの所在を知っている • 明確な持ち出し・活用意図があるケースも（転職・独立時に活用したい、販売したい） 外部攻撃は世界共通 、内部不正は企業固有 • 単一のアクティビティ監視では、不正と業務の違いが分からない • ファイル名だけでは判断できないケースも • セキュリティと従業員の利便性のバランス ⇔ • 技術的対策に加え、心理学的・法的な観点・工夫も必要 (＝IT部門だけでなく組織を横断した施策となる) • 心理的な面も大きく関わる （不正のトライアングル：動機、機会、正当化 の要素を減らすことが大事！） • 関わる可能性のある部署： 人事、法務、総務、リスクマネジメント、コンプラ、セキュリティ
じゃあ、どうしたらいいの？ 内部リスクに特化したソリューションを利用する!! Microsoft 製品だと Purview
技術 × 心理 × 法的保護 の掛け算が大事 • 技術 • アクセス・操作権限の制御、行動の制御 （利便性を考慮） : DLP をうまく使う • 不正の検知 （通常業務との違いをどう理解させるか？） ： IRM をうまく使う • 心理 • 抑止効果を狙った設計 • ルールを理解できるようにする ： 秘密度ラベル・DLPをうまく使う • 違反行動を思いとどまらせる ← これだけでも結構減る ： 秘密度ラベル・DLPをうまく使う • 法的保護 • 証拠保全、言い逃れ防止、企業責任の充足 ： DLP, IRM, eDiscovery&Audit
Microsoft Purview 関連書籍の宣伝 トレンド、必要性、体制作り、機能概要、設計のポイント 技術と設計について丁寧に解説 9/20 発売開始!! ひと目でわかるPurview （p588） １０月末発売予定 P250 程度
アジェンダ • データ セキュリティの３本柱おさらい • データ セキュリティの必要性 • エンタープライズ企業がデータ セキュリティに取り組むきっかけ • インシデント事例 機能の話じゃない • データ セキュリティ特有の難しさ • データ セキュリティの３本柱 • 秘密度ラベル • DLP (Data Loss Prevention) • IRM (Insider Risk Management) • まとめ 機能 + 使い方のコツ
秘密度ラベル
デモ動画
デモ動画
なぜ文書に「秘密度」を明示しておくの？ 1 2 3 法的に守るカギ＝「秘密管理性」 ポイントは「ひと目でわかる」 明示しないと守れない…！ 営業秘密として不正競争防止法で守られる３ 要件の１つ。秘密表示などの管理がないと、大 切な情報でも法律で守ってもらえないよ。 「マル秘」「社外秘」表示やアクセス制限で、"こ れは秘密"と誰もが認識できる状態に。この認 識可能性が決め手なんだ。 秘密管理性は裁判でいちばん争われる要件。 表示・管理がないと営業秘密と認められず、漏 えい時に泣き寝入りになることも。 Purview の「秘密度ラベル」で、秘密表示をしよう！
不正競争防止法の「営業秘密」 要件への対応 事後に不正競争防止法の法的保護を受けるためには、営業秘密要件を満たす必要がある。 営業秘密の３要件の中でも、特に 秘密管理性を満たす必要があり、ユーザーに社外秘であることを周知し、一定のアクセス 制御を実施する必要がある。 秘密管理性 不競法第２条第６項 この法律において 「営業秘密」とは、秘密として管理され ている生産方法、販売方法その他事 業活動に有用な技術又は 営業上の情報であって、 公然と知られていないものをいう。 秘密として管理されていること 秘密管理性 秘密管理性 営業秘密 の３要件 営業秘密保有企業の秘密管理意思が、 秘密管理措置によって従業員に対して明確に示され、 当該秘密管理意思に対する 従業員等の認識可能性が確保される必要がある 有用性 有用性 有用な営業上または技術上の情報であること 非公知性 非公知性 公然と知られていないこと 経済産業省 営業秘密の保護・活用について https://www.meti.go.jp/policy/economy/chizai/chiteki/pdf/1706tradesec.pdf
不正競争防止法の「営業秘密」 要件への対応 ■ 営業秘密の「秘密管理性」 が否定されてしまったケース 事案名 裁判例・年 企業側の管理措置 得意先電子元帳事件 札幌高裁・2023 業務システム全体の ログイン制限のみ 誓約書における守秘義務の対象となる情報が不明確 で、当該情報に向けた秘密管理意思が示されていない と判断された 東京地裁・2023 誓約書の取得および 最低限のアクセス制限 アクセス制限はしていたものの、従業員であれば誰でも 閲覧できる状態で あった。 渡邊遼太郎「近時の裁判例からみる秘密管理性要件」ビジネス法務 2026年1月号 住宅メーカー事件 秘密管理性に関して問題とされた事情 渡邊遼太郎「近時の裁判例からみる秘密管理性要件」ビジネス法務 2026年1月号 秘密管理性 大手総合商社 転職時 Google Drive アップロード事件 東京地裁・2022 ログイン制限のみ 八雲法律事務所編著『実務解説サイバーセキュリティ法第2版』。東京 地判令4・12・26労経速2513号3頁。 経済産業省 営業秘密の保護・活用について https://www.meti.go.jp/policy/economy/chizai/chiteki/pdf/1706tradesec.pdf 対象情報が一般情報から合理的に区別 されていなかった 営業秘密 有用性 の３要件 非公知性
Data Loss Prevention (DLP)
Microsoft Purview Data Loss Prevention (DLP) Information Protection (秘密度ラベル) との連携 SIT × DLP 秘密度ラベル × DLP 機密情報の種類（SIT, Sensitive Information Type） の有無に応じたDLPの制御 秘密度ラベルに応じたDLPの制御 ブロック Web 最高機密 個人情報 オーバーライド付きブ ロック 印刷 機密 USB 一般 SITで検知可能な機密情報 クレジットカード番号、IP アドレス、日本の銀行口座番号、 日本の運転免許証番号、日本のパスポート番号 日本の住民登録番号、日本の社会保険番号、 日本のマイナンバー、日本の在留カード番号、 日本の住所 (名前付きエンティティ)、氏名、一般的なパスワード など 秘密度ラベルで制御可能な機密情報 左記のSITによる自動ラベリングによって分類された情報に加え、 経営情報、設計図、新製品の情報、営業マニュアル、議事録 など、ユーザによる手動ラベル付けや格納場所による自動ラベル付けによって 分類された組織固有の機密情報
Microsoft Purview Data Loss Prevention (DLP) Endpoint DLP Teams DLP PCや企業領域内からの情報流出経路を一元的に管理することが可能 Microsoft Defender for Cloud Apps Teams SharePoint Online DLP 個人クラウド 共有リンク*1 機微 テキスト USB メール 企業領域内 Web 機微サイト 印刷 共有リンク SharePoint メール添付 企業クラウド OneDrive PC内 メール Exchange Online DLP (*2) Web 共有リンク 機微テキスト OneDrive DLP クラウドアップロード シャドーIT Exchange *1 Teams への直ファイル添付もここに含まれる。（実体は OneDrive 共有リンクのため） Microsoft 365 E5 Compliance Office 365 E3 28
① メール DLP のポリシーヒント 転職前のフリーメールへの持ち出し対策！ 本当はアラート見れるといいけど まだアラート監視の運用体制がない・・・ デモをみてみよう！ ✦ ✦
✦ ✦ Exchange Online DLP – ポリシーヒント Exchange Online DLP – ポリシーヒント
① メール DLP のポリシーヒント ✦ 条件： 宛先がフリーメール & 添付ファイル付き 送信前にポップアップで同意取得 & 上長 cc 追加 「違反行動だと知っていて持ち出した」 抑止効果 & エビデンス取得 というエビデンスが残せるね!! １００% の リスク低減はできないが、運用負荷や利便性への影響が少なく 抑止効果が期待できる
① メール DLP のポリシーヒント ✦
① メール DLP のポリシーヒント ✦ 他にもいろいろできる！
① メール DLP のポリシーヒント ✦ こうやって設定しました
① メール DLP のポリシーヒント ここをオフにするとアラートは出ない 本当は全部のアラートみたいけど・・ 運用体制ができるまでは ✦ ２ｈで3回以上持ち出した人だけ 見てみようかな？ アラートを減らすアイデア
② Endpoint DLP のオーバーライド付きブロック Google Drive などの 私用クラウドストレージへの アップロード対策がしたいけど 現場へのヒアリングが 終わってからかな・・・？ デモをみてみよう！ ✦ ✦ ✦
② ✦ Endpoint DLP のオーバーライド付きブロック Google Drive を使う 業務もあるから アップロードをブロックすると 業務に影響が出そうで 放置してます・・・ デモをみてみよう！ ✦ ✦ ✦
注意喚起をするが 理由を書けばアップロードできる 柔軟的な設計 「理由」はログに残るよ!! Endpoint DLP – オーバーライド付きブロック ✦
② Endpoint DLP のオーバーライド付きブロック 条件： 私用クラウドストレージへのアップロード 理由を書けばアップロードでき、理由とともに監査可能 抑止効果 & エビデンス取得 １００% の リスク低減はできないが、運用負荷や利便性への影響が少なく 抑止効果が期待できる ✦
② Endpoint DLP のオーバーライド付きブロック ✦
② Endpoint DLP のオーバーライド付きブロック 秘密度ラベルだけじゃなく・・・ 拡張子、機密情報の有無 ドキュメントサイズ パスワード付ファイルなど ✦
② Endpoint DLP のオーバーライド付きブロック 君はどこからきたファイル？ ✦
③ メール & Teams DLP のポリシーヒント 働きやすい環境作りのために ハラスメント対策がしたいけど チャットやメールの中身を見るのは 大変だしプライバシーに関わるから・・・ デモをみてみよう！ ✦
Teams DLP - ポリシーヒント ✦
Exchange Online DLP - ポリシーヒント ✦
③ メール & Teams DLP のポリシーヒント 条件： ハラスメントキーワードリストの検知 アラートを見ないので運用負荷なし 意識が高まり、自然と丁寧な言葉使いに １００% の リスク低減はできないが、運用負荷や利便性への影響が少なく 抑止効果が期待できる ✦
DLP × AI
年間100億円を投資している研究開発情報 守りたい、この情報・・・
DLP for Copilot : Excel Officeファイル内のCopilot に対しても、指定した秘密度ラベルが付与されたファイルが参照されないように制御すること が可能。
Insider Risk Management (IRM)
DLP だけでは足りない理由 • 持ち出し理由 • うっかりミス、魔が差した → DLP の注意喚起で、ある程度減らせる • 産業スパイ、退職時の持ち出しなど悪意があるケース → IRM が必要 • 普段の行動から逸脱している、不正によくある連続行動がある → IRM が必要 • 正規の権限を使うので、単一行動の監視（DLP）だけでは通常業務なのか不正なのか分からない • ファイル名を変えられてしまうケースも • リスクの高い属性、異常な行動、連続行動・累積数で評価する必要 DLP はブラックな行動を見る、IRM はグレーな行動全体を見る （両方大事！）
Microsoft Purview Insider Risk Management 内部リスクの管理 – 退職予定者のアクティビティの調査・分析や通常と異なる持ち出し行為の検知 ・Office 365 やデバイス上のアクティビティログから機械学習を利用して内部リスク行動を調査・分析し、リスクを評価 ・リスクレベルに応じた DLP ポリシーの動的な適用 あるユーザの時系列のアクティビティグラフ HR event: Resignation data set リスクスコア 100 80 60 40 Contents Explorer どのコンテンツが流出したかを確認 例：機密情報を大量ダウンロードして ファイル名を変えて 外部のクラウドサービスにアップロードした 20 0 Oct 1st, 2022 Access Deletion Nov 1st, 2022 Collection Exfiltration Infiltration Dec 1st, 2022 Obfuscation Security Forensic Evidence 流出行為の前後の動作を 動画で確認可能
Insider Risk Management のポリシー設定の流れ • ① 何のコンテンツを重要なものとして重みづけするか：コンテンツの優先度 • 機密情報の有無、秘密度ラベル、SharePoint サイト、拡張子 等 • ② 何をきっかけに調査を開始するか：トリガーイベント • DLP ポリシー違反（監査モードでも可）、流出行動、退職予定者 等 • ③ 何の行動を見るか：インジケーター • Office アクティビティ、デバイス アクティビティ 等 • ④ どこから “怪しい” とみなすか：しきい値 • 〇件でリスク高 などの数字
Microsoft Purview – Alert Triage Agent による効率化 課題：コンプライアンス体制不足でも、効率的にアラート対処ができるようにしたい。 Alert Triage Agent とは？ Security Copilot エージェントの仲間で、Purview のDLPやIRMのア ラートを自然言語で解説したりトリアージしてくれます。 • • • • エージェントによるアラートの優先度付け エージェントが自然言語でアラートを解説し、 効率的にアラートの概要を把握することが可能に。 ユーザーの詳細を確認 （入社日、退職日、出勤日、従業員の種類や所属オフィス等） Purview DLP アラート Purview IRM アラート ※ブラウザ翻訳後の画面 データ損失防止での Microsoft Purview トリアージ エージェントの概要 | Microsoft Learn Insider Risk Management での Microsoft Purview トリアージ エージェントの概要 | Microsoft Learn Microsoft 365 E5と E7 のお客様向けのSecurity Copilotについて説明します | Microsoft Learn
Microsoft Purview – Scout による自動化のアイデア 課題：コンプライアンス体制不足でも、一定のルールに従って自動対処ができるようにしたい。 Scout とは？ PC上でユーザーに変わって実際に作業する、Microsoft 365 や Work IQ に連携されたデスクトップ型 AI エージェントです。 • • • • 自らブラウザの操作をしてポータルを確認 与えられたルールに従って「ケース化」する作業を代替 ビジネスコンテキストを考慮した分析結果をメールやTeams チャットで担当者に自動確認依頼 ポータル画面のスクリーンショットを撮りレポートに反映 ケース化の 条件 Purview Microsoft Scout (Frontier) documentation | Microsoft Learn エスカレーション 条件 Purview
さいごに
エージェントに対しても データの取り扱いを伝える エージェントの作るデータに保護を継承 エージェントの行動を制御する エージェントの危険な行動を検知 累積リスクなどを計算しケース対処する
Thank You