企業管理者がMicrosoft 365 Copilot導入前にSharePointのデータアクセス権限と秘密度ラベルを設定する方法

エンド ユーザーにライセンスを付与する前に、エンタープライズ管理者は Microsoft 365 Copilot を展開するにあたってコンテンツの健全化とアクセス ガバナンスに取り組む必要があります。Copilot は既存の Microsoft 365 セキュリティ境界およびアクセス制御リスト (ACL) の範囲内でのみ厳密に動作し、ユーザーが表示権限を持たない情報をクエリできないように保証されています。しかし、その強力なセマンティック検索と自然言語による合成機能は、これまで見落とされていたファイルの検出可能性を大幅に増幅させます。過去のアクセス権限の負債を抱える組織では、「外部ユーザーを除くすべてのユーザー」(EEEU) のように広範なアクセス権が設定されたサイトに保存された役員報酬プラン、買収メモ、顧客の個人を特定できる情報 (PII) などの機密ドキュメントが、対話型の回答として意図せず表面化する可能性があります。データ漏洩を防止しコンプライアンスを維持するために、管理者は過剰共有されているリポジトリを監査し、テナントのアクセス権限を修復し、コンテナー レベルおよびアイテム レベルの Microsoft Purview 感度ラベルを展開し、制限付き SharePoint 検索 (Restricted SharePoint Search) などの一時的なガードレールを確立する必要があります。本ガイドでは、Microsoft 365 Copilot を展開する前に SharePoint データを保護するために必要なエンドツーエンドの技術構成を解説します。

Copilot のグラウンディングとセキュリティ モデルの理解

Microsoft 365 Copilot は、検索拡張生成 (Retrieval-Augmented Generation: RAG) と呼ばれるプロセスを通じて組織データと対話します。ユーザーがプロンプトを送信した際、Copilot は隔離されたトレーニング コーパスをクエリするのではなく、Microsoft Graph と Copilot のセマンティック インデックス (Semantic Index for Copilot) を使用して関連する組織コンテンツを特定し、それらのスニペットをグラウンディング コンテキストとしてパッケージ化して大規模言語モデル (LLM) に渡し、回答を作成します。

アクセス境界の動作メカニズム

Copilot は、プロンプトを実行するユーザーのセキュリティ コンテキスト内で厳密に動作します。

• 継承されるユーザー権限: Copilot には昇格されたサービス アカウント権限はありません。ユーザーが Web ブラウザー、直接 URL、または標準の SharePoint 検索を介して SharePoint ドキュメントにアクセスできない場合、Copilot はそのユーザーのために該当ドキュメントにアクセスしたり合成したりすることはできません。
• 検出可能性のギャップ (The Discoverability Gap): 従来の SharePoint 環境では、キーワード検索に特定の用語やファイル名の事前知識が必要であるため、構成ミスのあるライブラリに保存されている埋もれたファイルをユーザーが発見することは滅多にありませんでした。対照的に、Copilot は意図とセマンティクスを解釈します。従業員が「エンジニアリング部門全体の最新の昇給改定案はどうなっているか？」と質問した場合、Copilot はユーザーが技術的に読み取り権限を持つインデックス付きドキュメントを検索し、データを取得して直接要約を提示します。
• セキュリティ境界の適用: Copilot は、Microsoft Entra ID、SharePoint Online、および Microsoft Purview 全体で構成されたセキュリティ制御を遵守します。ただし、不適切な権限を自動修正することはありません。セキュリティ チームは、「読み取り」アクセス権が真の業務上の認可を表していることを確認する必要があります。

Rights Management サービス (RMS) と EXTRACT 権限

暗号化されたファイルを操作する際、Copilot は Rights Management サービス (RMS) のアクセス許可を適用します。Copilot がプロンプトに回答するために保護されたドキュメントから情報を読み取り、解析し、抽出するには、要求するユーザーが EXTRACT (コピー) 使用権限を保持している必要があります。

感度ラベルによって適用された暗号化が特定のユーザー グループから EXTRACT 権限を除外している場合、それらのユーザーが Word や Excel でレンダリングされたドキュメントを表示できたとしても、Copilot を使用してそれらの特定ドキュメントを要約したり質問したりすることはできません。

ステップ 1: SharePoint のアクセス許可の監査と過剰共有コンテンツの特定

権限を変更したり制限ポリシーを適用したりする前に、管理者は既存のアクセス構造を可視化する必要があります。主なリスクは、ドメイン全体の広範なグループ、孤立したチーム サイト、および管理されていない共有リンクから生じます。

データ アクセス ガバナンス (DAG) レポートの活用

SharePoint 管理センターの レポート > データ アクセス ガバナンス で利用可能な SharePoint データ アクセス ガバナンス (DAG) レポートは、テナント全体の共有パターンに関する自動化されたインサイトを提供します。管理者は以下の 3 つの特定レポート カテゴリを優先する必要があります。

1. 「外部ユーザーを除くすべてのユーザー」(EEEU) レポート: サイトの権限 (サイト メンバーやサイト閲覧者など) に EEEU 要求が追加されているすべての SharePoint サイトを特定します。これらのサイトにはすべての社内従業員がアクセスできるため、Copilot による意図しないデータ露出の最大の原因となります。
2. 共有リンク レポート: 過去 30 日間に作成された「リンクを知っているすべてのユーザー」(匿名) または「組織内のユーザー」(テナント内全般) の共有リンクの数が最も多いサイトを特定します。
3. ファイルに適用された感度ラベル レポート: ラベル付けされていないファイルや機密ファイルの集中度が高いサイトをクロス参照し、ガバナンスの盲点を特定します。

DAG Administrative Audit Workflow:
1. Navigate to SharePoint Admin Center -> Reports -> Data access governance
2. Run "Sharing links" report -> Filter by "People in your organization"
3. Run "Everyone except external users" report -> Sort by total file count
4. Export high-risk site inventories to CSV for security review

高リスク リポジトリ属性のレビュー

DAG エクスポート データを評価する際、管理者はコンテンツの機密性と既存のメンバーシップに基づいてサイトを分類する必要があります。

• 経営幹部および人事リポジトリ: 法務、人事、財務、M&A のサイトについて、親から継承された権限や広範なセキュリティ グループ メンバーシップを検査する必要があります。
• パブリック グループとプライベート Microsoft 365 グループ: ユーザーが Microsoft Teams または Microsoft 365 グループを作成する際、デフォルト設定が「パブリック」になっていることが多く、テナント内の任意のユーザーに関連付けられた SharePoint チーム サイトへの読み取りおよび書き込みアクセス権が付与されてしまいます。これらを特定し、「プライベート」に変換する必要があります。
• 壊れた権限の継承 (個別権限): 固有の壊れた権限を持つサブフォルダーや個別のドキュメント ライブラリは、一見問題のない部門サイトの内部に機密ファイルを隠蔽していることがよくあります。

ステップ 2: 権限の修復とアクセス ガードレールの実装

過剰共有されているリポジトリが特定されたら、管理者はオープンなアクセス権を修復し、将来的な権限の無秩序な拡大を防ぐための構造的制御を適用する必要があります。

広範なグループの排除とオープンな共有リンクの取り消し

修復は優先順位に沿って進める必要があります。

1. EEEU 要求の削除: 機密情報、専有情報、または社内限定コンテンツを含むすべてのサイトのサイト メンバー、サイト閲覧者、およびドキュメント レベルの権限セットから「外部ユーザーを除くすべてのユーザー」を削除します。
2. デフォルトの共有リンク タイプの標準化: SharePoint 管理センターの ポリシー > 共有 で、デフォルトの共有リンク タイプを「組織内のユーザー」から「特定のユーザー (ユーザーが指定したユーザーのみ)」に変更します。これにより、ユーザーが同僚とファイルを共有する際に、誤ってテナント全体へのアクセス リンクを作成してしまうのを防ぎます。
3. リンクの有効期限ウィンドウの設定: ゲストおよび匿名の共有リンクに対して自動有効期限ポリシーを適用します (例: 30 〜 90 日後に再認証を要求)。

SharePoint Advanced Management (SAM) 制御の展開

SharePoint Advanced Management (SAM) ライセンスを保有する組織の場合、管理者は個々のサイト所有者のみに依存することなく、一元化されたアクセス境界を適用できます。

• SharePoint サイト向け制限付きアクセス制御 (RAC): RAC を使用すると、管理者は SharePoint サイトへのアクセスを、指定された Microsoft Entra ID セキュリティ グループまたは Microsoft 365 グループのメンバーのみに制限できます。個別のユーザーが直接のファイル権限を持っている場合やネストされたグループに属している場合でも、指定された RAC グループに属していなければアクセスは拒否されます。
• 制限付きコンテンツ検出 (RCD): RCD を使用すると、管理者は高リスクなサイトや未検証のサイトを検出の隔離状態に置くことができます。サイトで RCD が有効になっている場合、そのコンテンツはテナント全体の検索および Copilot の回答から非表示になりますが、既存の承認済みサイト メンバーは引き続き直接アクセスできます。これにより、セキュリティ チームは日常業務を中断することなく、未審査のサイトを隔離できます。
• サイト アクセス レビュー: 管理者は自動化されたアクセス レビュー キャンペーンを開始し、サイト所有者にメンバー リストを定期的に確認させ、休眠ユーザーや権限のないユーザーのアクセス権を自動的に取り消すことができます。

一時的なサーキット ブレーカーとしての制限付き SharePoint 検索 (RSS) の実装

数千もの SharePoint サイトを抱える大企業では、包括的な権限のクリーンアップを完了するまでに数か月かかる場合があります。Copilot ライセンスのロールアウトの遅延を防ぐため、Microsoft は暫定的な管理制御として制限付き SharePoint 検索 (Restricted SharePoint Search: RSS) を提供しています。

制限付き SharePoint 検索の機能

RSS が有効になっている場合:

• エンタープライズ検索と Microsoft 365 Copilot は、厳選された最大 100 件の SharePoint サイトの許可リスト (Allowed List) に制限されます。
• Copilot は、ユーザーの個人用 OneDrive、電子メール メッセージ、Teams チャット、カレンダー イベント、およびユーザーが頻繁にアクセスするか明示的に所有しているサイトに引き続きアクセスします。
• 許可リストに含まれない何千もの SharePoint サイトに保存されているコンテンツは、Copilot のグラウンディングおよび組織全体の検索から除外され、Copilot が未審査のリポジトリからデータを取得するリスクが排除されます。

SharePoint Online PowerShell による RSS の構成

制限付き SharePoint 検索は、SharePoint Online PowerShell モジュールを使用して管理します。

# Connect to your SharePoint Online tenant admin endpoint
Connect-SPOService -Url "https://contoso-admin.sharepoint.com"

# Check the current status of Restricted SharePoint Search
Get-SPOTenantRestrictedSearchMode

# Enable Restricted SharePoint Search mode
Set-SPOTenantRestrictedSearchMode -Mode Enabled

# Add approved enterprise sites to the Allowed List (up to 100 sites)
Add-SPOTenantRestrictedSearchAllowedList -SitesList @(
    "https://contoso.sharepoint.com/sites/CorporateComms",
    "https://contoso.sharepoint.com/sites/CompanyPolicies",
    "https://contoso.sharepoint.com/sites/ITHelpdesk",
    "https://contoso.sharepoint.com/sites/EmployeeHandbook"
)

# View all currently allowed sites
Get-SPOTenantRestrictedSearchAllowedList

RSS からの移行

制限付き SharePoint 検索は恒久的なアーキテクチャではなく、一時的な橋渡しとして設計されています。RSS は未審査サイトからのデータ漏洩を防ぐ一方で、正当なプロジェクト リポジトリ全体にわたる部門横断的なインサイトを提供する Copilot の能力も制限します。データ アクセス ガバナンス レポートによってサイトの権限がクリーンアップされ、感度ラベルが適用されていることが確認できたら、管理者は RSS を無効にして Copilot の組織的価値を最大限に解放する必要があります。

# Disable Restricted SharePoint Search once governance remediation is complete
Set-SPOTenantRestrictedSearchMode -Mode Disabled

ステップ 3: Microsoft Purview 感度ラベルの設計と展開

SharePoint のアクセス許可がサイトやフォルダーにアクセスできる「誰 (Who)」を定義するのに対し、Microsoft Purview 感度ラベルはコンテンツが「何 (What)」であるかを定義し、データが保存、共有、または AI によって処理される場所に関係なく、データと共に移動する永続的な保護を適用します。

コンテナー レベルの感度ラベル

コンテナー レベルのラベルは、SharePoint サイト、Microsoft 365 グループ、および Microsoft Teams にガバナンス設定を直接適用します。コンテナー ラベルを作成する前に、PowerShell (Set-ExecutionPolicy RemoteSigned; Import-Module Microsoft.Graph; Connect-MgGraph) および Microsoft Entra ID を介してテナントでこの機能が有効になっていることを確認してください。

コンテナー ラベルは、Copilot の準備に関連する 3 つの主要な制御を適用します。

1. プライバシー設定 (パブリックとプライベート): 「プライベート」を強制することで、新しいチーム サイトがテナント全体のオープンなアクセス権で作成されるのを防ぎます。
2. 外部共有制御: ラベルを「組織内のユーザーのみ」または「既存のゲスト」に設定することで、機密性の高いコラボレーション サイトでの外部データ漏洩を防止します。
3. 条件付きアクセスと管理対象外デバイスのポリシー: アクセスを Web のみに制限するか、非準拠デバイスからのアクセスをブロックすることで、機密サイトと対話する Copilot に信頼されていないエンドポイントからアクセスできないようにします。

アイテム レベルの感度ラベルと暗号化

アイテム レベルのラベルは、個々の Word、Excel、PowerPoint、および PDF ファイルを分類し保護します。管理者は、Microsoft Purview コンプライアンス ポータルの 情報保護 > ラベル でこれらのラベルを構成します。

標準的なエンタープライズ分類スキーマには、通常以下が含まれます。

• パブリック (Public): 一般公開を目的とした非機密データ (暗号化なし)。
• 一般 (General): 社内で共有される日常の業務データ (暗号化なし、または基本的な社内権限)。
• 社外秘 (Confidential): 機密性の高いビジネス データ (財務レポート、クライアント戦略など)。Azure Information Protection の暗号化を使用して構成され、EXTRACT 権限を持つ認証済みの組織従業員にアクセスを制限します。
• 極秘 (Highly Confidential): 重要な知的財産、役員報酬、M&A 関連書類など。厳格な暗号化によって構成され、指定された特定のユーザーまたはセキュリティ グループにアクセスを制限します。特定のシナリオでは、AI による合成やクリップボードへのコピーを明示的にブロックするために EXTRACT 権限を削除する場合があります。

Copilot の感度ラベルの継承

Microsoft 365 Copilot が情報を合成して新しいドキュメント、メールの下書き、または要約を生成する際、厳格なラベル継承ルールに従います。

• 単一ソースの参照: Copilot が Confidential とラベル付けされた単一のドキュメントを参照した場合、そのやり取りから Copilot によって生成された新しいファイルは、自動的に Confidential ラベルとその関連暗号化設定を継承します。
• 複数ソースの参照: Copilot が異なる分類を持つ複数のソースからのコンテンツを結合した場合 (例: General とラベル付けされたドキュメントと Highly Confidential とラベル付けされたドキュメント)、Copilot は最も制限の厳しいラベル (Highly Confidential) を出力に自動的に適用します。
• テレメトリと可視性: Copilot は適用された感度ラベルをユーザー インターフェイスに直接表示し、ユーザーがデータの分類レベルを即座に認識できるようにします。

Purview 自動ラベル付けポリシーの構成

手動によるラベル付けはエンド ユーザーのコンプライアンス順守に依存するため、ギャップが生じがちです。Copilot を展開する前に一貫したカバレッジを確保するために、管理者はクライアント側とサービス側の両方の自動ラベル付けポリシーを展開する必要があります。

クライアント側の自動ラベル付け

Microsoft Purview のラベル定義内で構成されます。

• 検出された機密情報の種類 (SIT: クレジット カード番号、納税者番号、カスタム正規表現など) に基づいて、ユーザーが Word、Excel、または PowerPoint でドキュメントを作成する際にラベルを推奨または自動適用します。
• ドキュメント作成の瞬間に、即座にユーザー教育を提供します。

サービス側の自動ラベル付け (保存データの検査)

サービス側の自動ラベル付けはテナント インフラストラクチャ レベルで動作し、SharePoint Online および OneDrive に保存されているファイルをスキャンします。

1. Microsoft Purview ポータルで、情報保護 > 自動ラベル付け に移動します。
2. SharePoint サイトと OneDrive アカウントを対象とする新しいポリシーを作成します。
3. 組み込みの SIT (財務記録、医療データ) またはトレーニング可能な分類子 (ソース コード、法的契約) を使用して検出ルールを定義します。
4. 一致項目を確認し、精度を検証し、意図しない過剰なラベル付けを避けるために、ポリシーをシミュレーション モード (Simulation Mode) で少なくとも 7 〜 14 日間実行します。
5. シミュレーション結果が期待どおりになったら、ポリシーを有効にして、保存されている過去のデータにラベルと暗号化を自動適用します。

導入ロードマップ: 段階的な展開前ガバナンス

展開を効果的に進めるために、管理者は段階的な運用スケジュールに従う必要があります。

セキュリティ境界の検証と継続的なガバナンス

Copilot へのアクセスを社内全体に開放する前に、管理者はセキュリティ境界が意図したとおりに機能していることを体系的に検証する必要があります。

合成ユーザー テスト シナリオ

セキュリティ チームは、部門ごとに異なるペルソナを持つテスト アカウント (例: 一般営業、一般エンジニアリング、人事担当者アカウント) を作成し、プロンプトの検証を実施する必要があります。

• 部門横断的なプロンプトの検証: 一般営業テスト アカウントから「今後予定されている役員組織再編プランを要約してほしい」「最近の給与改定のレビュー結果を見せてほしい」などのターゲットを絞った Copilot プロンプトを送信します。Copilot がデータを返さず、関連情報が見つからない旨を示すことを確認します。
• 暗号化ドキュメントの検証: ユーザーが VIEW 権限を持っているものの EXTRACT 権限を持たないドキュメントに対してプロンプトをテストします。Copilot がテキストの抽出や要約を拒否することを確認します。
• 継承の検証: Confidential とラベル付けされたドキュメントを参照してメモを作成するよう Copilot に依頼し、生成された出力に自動的に Confidential 感度ラベルが保持されることを確認します。

Microsoft Purview AI Hub による監視

Microsoft Purview は、Microsoft 365 Copilot の対話に関する専用テレメトリを提供する AI Hub (Purview コンプライアンス ポータル内) を提供しています。

• 機密データのアクティビティ: Copilot のユーザー プロンプトおよび生成された回答で参照されている機密情報の種類や感度ラベルを表示するリアルタイム ダッシュボードを確認します。
• ポリシー違反: 機密データを含む Copilot の回答をユーザーが不正な場所に共有またはエクスポートしようとした場合にそれを検知するデータ損失防止 (DLP) アラートを設定します。
• 監査ログ: Purview Audit で CopilotInteraction レコード タイプを使用して統合監査ログをクエリし、コンプライアンス監査のために特定のユーザー プロンプト、参照されたファイルの URI、および適用されたラベルを調査します。

SharePoint におけるプロアクティブな権限修復、制限付き SharePoint 検索などのターゲットを絞った制御、永続的な Microsoft Purview 感度ラベル、および継続的なテレメトリ監視を組み合わせることで、エンタープライズ管理者はデータ漏洩リスクを確実に排除し、Microsoft 365 Copilot の安全でコンプライアンスに準拠した展開を実現できます。