大規模なスキャンを計画する方法と使用を最適化する方法を理解します。
課金モデル
オンデマンド分類では、従量課金制の課金モデルが使用されます。 アクティブに分類されているファイルに対してのみ課金されます。 以前に分類されたファイル、スキップされたファイル、失敗したファイルについては課金されません。 使用状況は Microsoft Purview 使用センターで報告され、Azure サブスクリプションの請求書に料金が表示されます。
現在の価格とライセンスについては、「 Microsoft Purview の価格」を参照してください。
以前に分類されたファイル
ファイルが既に分類されていて、ファイル コンテンツも分類子も変更されていない場合、既存の分類結果は再スキャンせずに後続のスキャンで保持されます。 これは、以前のオンデマンド スキャンによって分類されたファイルと、高度な分類が有効になっている場合のリアルタイム エンドポイント DLP によって分類されたファイルに適用されます。
以前に分類されたファイルの条件
注:
以前に分類された判定を再利用するには、以前のスキャンで高度な分類を使用する必要があります。 エンドポイント DLP の場合、後でオンデマンド スキャンで判定を再利用できるようにするには、DLP ポリシーで高度な分類を有効にする必要があります。
次のすべてに該当する場合、ファイルは以前に分類されたとみなされます。
- ファイル コンテンツは前回の判決以降変更されていません。
- 現在のスキャンの分類子は、元のスキャンで使用された分類子と同じか、分類子のサブセットであり、それらの分類子は変更されません。
- 分類子の定義は変更されていません。
- デバイスには、最新の Windows 累積的な更新プログラムがインストールされています。
以前に分類された結果は、オンデマンド→オンデマンド、オンデマンド→エンドポイント DLP、エンドポイント DLP →オンデマンドに適用されます。
以前に分類されたファイルが結果に表示されます
以前に分類されたファイルは、スキャン結果と監査ログの分類状態に表示されます。 ファイルが評価され、既存の評決が確認されました。 ファイルがスキップされたり、結果から削除されたりしたことを意味するわけではありません。再スキャンされなかっただけです。
重要
以前に分類されたファイルの認識は遡及的ではありません。 これは、必要な Windows Update バージョン 10.8821 がインストールされた後に実行されるスキャンにのみ適用されます。 この更新プログラムより前に完了したスキャンは対象外です。 更新後の最初のスキャンは、今後のすべてのスキャンのベースラインを確立します。
スキャン ボリュームに影響を与えるもの
| 再スキャンを削減 | 再スキャンを増やします |
|---|---|
| 繰り返しスキャンで以前に分類されたファイル | スキャン間での分類子の変更 |
| Files already classified by Endpoint DLP (cross-path) | 多数の新規または変更されたファイル |
| 日付範囲フィルターとファイルの種類フィルターによるファイル スコープの絞り込み | 広いファイル範囲 (より多くのファイルの種類、より長い日付範囲) |
時間の経過に伴う推定精度
見積もりは、見積もり開始日からの限られた期間を代表します。 このウィンドウ内の推定ファイル数は、処理される分類を密接に反映します。 後で分類を開始することもできますが、時間の経過とともにデバイス上のファイルが追加、変更、または削除されるため、ファイル数のばらつきが大きくなることが予想されます。
一般的なシナリオ: 管理者が見積もりを実行し、予算承認の予測範囲を送信し、承認サイクルに数週間かかる。 推定自体も長引く場合 (たとえば、応答速度の遅いデバイスが 100% に達するのを待つ場合)、遅延の複合により、推定値が代表的なままである期間を超えて分類が遅れる可能性があります。
見積もりを正確に保つ方法
- パイロットから始めます。 最初に小規模なパイロット スキャン (10 - 20 ユーザー) を実行して、承認プロセス用のユーザーごとのデータを取得します。
- 早期に分類を開始します。 見積もりが 100% に達するまで待たないでください。 80 - 90% から始めることをお勧めします。 推定が完了したデバイスは、直ちに分類を開始します。
- 予測されたスコープに満足しているorganizationの場合は、見積もりと分類を連続して実行します。
大規模スキャンのベスト プラクティス
最初に分類子を最終処理する
スキャンを開始する前に、機密情報の種類とトレーニング可能な分類子を確定します。 スキャン中またはスキャンの間に分類子を変更すると、以前に分類されたファイルが無効になり、再スキャンが増加します。
ヒント
大規模なスキャンの前に、分類子の変更/凍結期間を設定します。 チームと調整して、スキャンが完了するまで SIT とトレーニング可能な分類子の変更が一時停止されていることを確認します。
段階的なロールアウトから始める
| 段階 | 範囲 | 目標 |
|---|---|---|
| フェーズ 1 | 10 - 20 ユーザー | スキャンが機能したことを検証し、デバイスごとのタイミングを理解します。 開始推定から完全分類までの全サイクルを完了します。 |
| フェーズ 2 | 50 - 100 ユーザー | デバイスの問題を特定し、ユーザーごとのデータを収集します。 開始推定から完全分類までの全サイクルを完了します。 |
| フェーズ 3 | 完全なロールアウト | 既知の期待を持つすべてのターゲット ユーザーにスケーリングします。 開始推定から完全分類までの全サイクルを完了します。 |
スキャンに含まれるデバイスの数が多いほど、より多くのファイルが並列処理されます。
大規模なテナントのバッチ処理
数千人のユーザーがいる組織の場合は、スキャンごとにスキャンをユーザーのグループにバッチ処理することを検討してください。 この方法により、各スキャンが推定精度ウィンドウ内に収まり、バッチを並列実行でき、バッチごとの進捗状況を追跡しやすくなります。
注:
デバイスは、一度に 1 つのアクティブなスキャンにのみ含めることができます。 新しい推定スキャンまたは分類スキャンにデバイスを追加する前に、以前のスキャンが分類完了、分類キャンセル、または推定キャンセル状態に達していることを確認してください。
オフライン デバイスを処理する
大規模なスキャンでは、一部のデバイスがオフラインになります。 デバイス カバレッジが 100% になるのを待つ必要はありません。 後でフォローアップ スキャンを実行して、最初のラウンドを見逃したデバイスをキャッチします。 以前に分類されたファイルは再スキャンされないため、フォローアップ スキャンでは新しくスキャンされたファイルのみが処理されます。
スキャン後
- スキャンレポートを迅速にダウンロードします。これらは 30 日間の限定期間保持されます。
- 以前に分類されたファイルは再スキャンされないため、分類子が変更された場合やポリシーが変更された場合に分類を最新の状態に保つために、定期的なスキャン (月次または四半期ごと) を計画します。
主な考慮事項
- 推定フェーズでは、メタデータのみを読み取ります。 分類にコミットする前に、スコープを評価できます。
- 通常、その後のスキャンで処理されるファイル数は、最初のスキャンよりも少なくなります。これは、内容や分類子が変更されていない以前に分類されたファイルは再スキャンされないためです。
- 分類はデバイス上で実行されます。 分類結果とメタデータのみが Microsoft Purview サービスに送信されます。
- オンデマンド分類では、既存のコンプライアンス ソリューションと同じ分類子と Microsoft Purview ポータルを使用します。