手順 3: Microsoft 365 データ資産全体に拡張する

このガイドは 4 つのステップに分かれています。

Microsoft Purview で既定でセキュリティ保護 - ブループリント

前の手順では、セキュリティ基盤を築き、優先されるサイトについて説明しました。 クライアント側とサービス側の両方の自動ラベル付け機能がカバーされました。 比較表については、「 Microsoft 365 で秘密度ラベルを自動的に適用する」を参照してください。

この手順では、すべての Microsoft 365 データ資産を反復的に処理するのに役立つオプションについて説明します。

以前は、ユーザーに慣れてもらうために初期ポリシーをお勧めしていました。 この手順では、シナリオで段階的に使用する準備ができました。 自動ラベル付けは、既定のラベルよりも高い感度が必要なシナリオに最適です。

また、既存のサイトに遡及的にラベル付けし、既定のライブラリ ラベルを設定する方法についても説明します。

クライアント上の機密ファイルに自動ラベル付けする (低しきい値)

クライアント側の自動ラベル付けにより、ユーザーは、推奨ラベルを適用するか、誤検知を報告するかを決定できます。 このプロセスは、 300+ の機密情報タイプ (SIT) と トレーニング可能な分類器を使用して実装できます。

大まかに言うと、このアプローチに従います。 しきい値は単なる例です。

  • 業界に関連する SIT を特定します。
  • SIT しきい値が低い (1 から 9) ラベルを推奨します。
  • より高いしきい値 (10+) のラベルやトレーニング可能な分類子のラベルを自動的に適用します。

クライアントの既定のラベルは、自動ラベル付け戦略に影響します。 このガイドでは、このラベルを [社外秘\すべての従業員] に設定することをお勧めしますが、Office クライアントが既定で [全般] に設定され、SharePoint に保存されたときに [社外秘\すべての従業員 ] に設定する場合の代替手段も提供されます。

ヒント

既定値を [社外秘\すべての従業員] に設定すると、自動ラベル付け戦略の複雑さは低くなり、 機密性の高い ラベルに重点を置いています。

より多くのビジネス シナリオを特定するにつれて、時間の経過と共により多くの SIT とトレーニング可能な分類子を使用して、この戦略を段階的に展開できます。 既定値とクライアント側の自動ラベル付けを使用することで、すべての新規および更新されたコンテンツに対処できます。

保管中の機密ファイルの自動ラベル付けのシミュレート

サービス側の自動ラベル付けは、SharePoint および OneDrive に保存されているファイルにラベルを付け、より多くの条件を提供します。 現在、organization では 1 日あたり最大 500,000 個のファイル、ポリシー シミュレーションでは最大 20,000,000 個の一致したファイルの自動ラベル付けをサポートしています。

クライアント側の自動ラベル付けは機密コンテンツに限定されますが、サービス側の自動ラベル付けでは、次のようなコンテキスト条件のサポートが追加されます。

  • コンテンツが共有されている
  • ファイルの拡張子が指定の拡張子の場合
  • ドキュメント名に指定の単語または語句が含まれている
  • 文書のプロパティが
  • ドキュメントのサイズが次の値以上の場合
  • ドキュメントの作成者が次の場合

これらの条件は、特定のサイトとユーザーの OneDrive の選択と組み合わせることで、organization は最初にラベル付けするコンテンツに優先順位を付けることができます。

たとえば、organization がドキュメントのプロパティまたはドキュメント名のプレフィックスを含むテンプレートを使用している場合は、すべての SharePoint サイトと OneDrive に対してポリシーを実行できます。 ファイル サイズまたはリーダーシップ チームによって作成されたドキュメントに基づいて優先順位を付けることもできます。

SharePoint サイトのバッチで Office/PDF ファイル拡張 子を使用してすべてのドキュメントのラベル付けを完了し、機密性の高いサイトから始めて、 徐々に一般的な サイトをキャッチし、それぞれのサイトのラベルと一致するように設定できます。

最後に、誤検知の可能性を減らすために、多くの場合、クライアント側の自動ラベル付けで使用されるよりも高いしきい値を使用して、 機密性の高い コンテンツに対してサービス側の自動ラベル付けを実装できます。

高度な分類子を使用して誤検知を減らす

このセクションでは、高度な分類子の基本と、どのような場合に使用するかについて説明します。

この既定で保護されたブループリントのコンテキストでは、機密性の高いコンテンツに対して自動ラベル付けを備えた分類子の使用に重点を置きます。 高度な分類器は、トレーニング可能な分類器に限定されます。 ほとんどの場合、機密情報の種類 (SIT) はパターンとキーワードが混在しています。 保護された健康情報 (PHI) や個人を特定できる情報 (PII) などのテンプレートは、コンテキストを特定できないため、またはorganizationの誤検知である可能性があるため、多くの誤検知を返す可能性があります。

Microsoft Purview 管理者は、次の方法で誤検知を減らすことができます。

トレーニング可能な分類器は、機械学習を使用してドキュメント パターンを識別します。 Microsoft Purview には、法的文書、戦略的ビジネス 文書、財務情報など、事前にトレーニングされた分類器がいくつか用意されています。 SharePoint ドキュメント ライブラリからカスタム分類子を作成してトレーニングすることもできます。

SIT とトレーニング可能な分類子の両方を使用することで、範囲を絞り込むことができます ( 例: クレジット カード の SITと財務情報のトレーニング可能な分類子を含む)。

完全データ一致とドキュメント フィンガープリンティングは、現在自動ラベル付けには使用できませんが、全体的な Microsoft Purview データ損失防止 (DLP) 戦略で考慮する必要があります。 トレーニング可能な分類器と同様に、どちらも誤検知を減らすのに役立ちます。 EDM を使用すると、たとえば、 SSN が含まれている ことをすぐに使用できる SIT を確認し、EDM SIT に対して検証して、それが顧客または従業員の 1 人からの SSN であることを確認できます。 EDM を使用すると、検索する情報のハッシュを安全に格納できます。

ドキュメント フィンガープリンティングは、ドキュメント テンプレートを識別し、それらを DLP ポリシーで使用することで、トレーニング可能な分類子とは異なる動作をします。 この方法は、organization に標準化されたテンプレートがある場合に最も便利です。 これらのテンプレートを使用して、正確なフィンガープリンティングを作成できます。

履歴データと使用中のデータの Microsoft 365 保護の自動化と強化

この手順の最後には、既存の SharePoint サイトにさかのぼってラベルを適用し、それに応じて既定のライブラリ ラベルを適用するオプションについて説明します。

この時点で、環境全体で既定値を構成し、ラベルのないサイトとドキュメントの急増を止めました。 優先度の高いサイトで手動でラベル付けサイトとライブラリのアドレス指定を開始し、このプロセスを Microsoft 365 コンテンツ資産全体にわたってスケーリングすることを検討しています。

いくつかの戦略を検討してください。

  • サイトの所有者を使用する – サイトと既定のライブラリでラベルを構成する必要があることをサイト所有者に伝えます。 2 番目のオプションを使用する場合は、目標日に新しい既定値が自動的に割り当てられるという明記を含めます。
  • 残りのラベルのないサイトでオートメーション スクリプトを実行する – Graph API を使用してラベルのないサイトを特定し、コンテナー ラベルと既定のライブラリ ラベルを "社外秘\すべての従業員" に構成します。
  • 必要に応じて、ラベルのないファイルのみ共有を禁止する – ラベルのないコンテンツに対する DLP やファイルの自動ラベル付けなどの以前の手段を使用することで、すべてのサイトに対する遡及アクションをスクリプト作成するよりも、サイトを自然に失効させるように選択できます。
  • ラベルのないサイトのタイムラインをCaptureする – コンテナーラベルに基づいて、すべての履歴データに対してサービス側の自動ラベル付けを使用する場合は、コンテナーラベルが追加されたタイミングをキャプチャし、自動ラベル付けポリシーに新しくラベル付けされたサイトを段階的に追加します。

リスク ポスチャ は、すべての戦略に最善にアプローチする方法、または場合によっては段階的に使用する方法を定義します。 データ資産のセキュリティ保護は重要ですが、サイズによっては複雑な作業になる可能性があります。 小さく始めて、頻繁に反復します。

Set-PnPTenantSite と SensitivityLabel パラメーターを使用して、SharePoint サイトに秘密度ラベルをスクリプト化できます。

既定のライブラリ ラベルについては、ライブラリで REST API を使用して DefaultSensitivityLabelForLibrary パラメーターを設定します。 この記事では、サンプルを示します。

概要

次の手順

手順 4: アクションの運用、拡張、遡及

  • 最終更新: