Microsoft Purview コレクション ポリシーには、構成する多数のコンポーネントがあります。 効果的なポリシーを作成するには、各コンポーネントの目的と、その構成によってポリシーの動作がどのように変更されるかを理解する必要があります。 この記事では、コレクション ポリシーの詳細な分析構造について説明します。
開始する前に
コレクション ポリシーを初めて使用する場合は、organization にポリシーを実装する際に必要な主要な記事の一覧を次に示します。
- コレクション ポリシー ソリューションの概要
- コレクション ポリシー リファレンス - この記事は、DLP ポリシーのすべてのコンポーネントと、各コンポーネントがポリシーの動作にどのように影響するかを紹介します
- コレクション ポリシーを作成して展開します。
条件
条件を指定して 、検出するデータを定義します。 条件は省略可能ですが、 他の設定に必要なものもあります。 条件を追加しない場合、後で選択した データ ソース によって検出される内容によって異なります。
- デバイス: organization's 分類子と一致しない場合でも、すべてのデータが検出されます。
- その他のすべてのデータ ソース: organization's classifier に一致するデータのみが検出されます。
コレクション ポリシーでは、次の 5 つの条件がサポートされています。
| 条件 | 詳細情報 |
|---|---|
| コンテンツには分類子が含まれています | 機密情報の種類と検出するトレーニング可能な分類器。 すべての分類子、選択した分類子を除くすべての分類子、または特定の分類子にスコープを絞ることができます。 devices データ ソース はトレーニング可能な分類子をサポートしていません。 いずれかを選択した場合、無視されます。 |
| コンテンツには秘密度ラベルが含まれています | 特定の秘密度ラベルが適用されたアイテムに検出の範囲を指定する秘密度ラベル。 ブラウザーおよびネットワーク クラウド アプリの検出でのみサポートされます。 |
| ドキュメントのサイズが次の値以上の場合 | 指定されたバイト数、キロバイト (KB)、メガバイト (MB)、ギガバイト (GB)、またはテラバイト (TB) を超えるファイルを検出します。 |
| ドキュメントが次の値以下 | 指定されたバイト数、キロバイト (KB)、メガバイト (MB)、ギガバイト (GB)、またはテラバイト (TB) よりも小さいファイルを検出します。 |
| ファイルの拡張子が指定の拡張子の場合 | 指定されたファイル拡張子を持つファイルを検出します。 |
アクティビティ
検出するアクティビティを選択します。 サポートされているアクティビティは、含める データ ソース に固有です。
ヒント
1 つのポリシー内にさまざまなデータ ソースをサポートするアクティビティを混在させることができますが、選択したアクティビティをサポートするには、該当するすべてのデータ ソースをポリシーに追加する必要があります。
| 最新情報 | 説明 | データ ソース |
|---|---|---|
| クラウドまたは AI アプリに対して送信または共有されるテキスト | 生成 AI プロンプト、フォームの送信、メッセージなど、未加工テキストがクラウド アプリにアップロードされる場合 | - クラウド アプリ - 生成AI |
| クラウドまたは AI アプリに対してアップロードまたは共有されるファイル | バイナリ ファイルがクラウド アプリまたは生成 AI サービスにアップロードされる場合 | - クラウド アプリ - 生成AI |
| クラウドまたは AI アプリから受信したテキスト | 生成 AI 応答を含む、クラウド アプリから生テキストがダウンロードされた場合 | - クラウド アプリ - 生成AI |
| クラウドまたは AI アプリからダウンロードしたファイル | クラウド アプリまたは生成 AI サービスからバイナリ ファイルをダウンロードした場合 | - クラウド アプリ - 生成AI |
| アーカイブが作成されました | オンボードされたエンドポイント デバイスでアーカイブ ファイルが作成された場合 | デバイス |
| ファイルが許可されていないアプリによってアクセスされました | オンボードされたエンドポイント デバイス上の 制限されたアプリまたはアプリ グループ によってファイルがアクセスされたとき | デバイス |
| アーカイブされたファイル | ファイルがオンボードされたエンドポイント デバイスのアーカイブに追加された場合 | デバイス |
| ファイルがネットワーク共有にコピーされました | オンボードされたエンドポイント デバイス上のネットワーク共有にファイルがコピーされたとき | デバイス |
| リモート デスクトップ セッションにコピーされたファイル | オンボードされたエンドポイント デバイス上のリモート デスクトップ セッションを介してリモート コンピューターにファイルがコピーされた場合 | デバイス |
| ファイルがリムーバブル メディアにコピーされました | オンボードされたエンドポイント デバイス上の USB フラッシュ ドライブなどのリムーバブル メディアにファイルがコピーされた場合 | デバイス |
| ファイルが作成されました | オンボードされたエンドポイント デバイスでファイルが作成された場合 | デバイス |
| ネットワーク共有上に作成されたファイル | オンボードされたエンドポイント デバイスからネットワーク共有上にファイルが作成された場合 | デバイス |
| リムーバブル メディア上に作成されたファイル | オンボードされたエンドポイント デバイスから USB フラッシュ ドライブなどのリムーバブル メディア上にファイルが作成された場合 | デバイス |
| ファイルが削除されました | オンボードされたエンドポイント デバイスからファイルが削除されたとき | デバイス |
| ファイルが変更されました | オンボードされたエンドポイント デバイスからファイルが変更された場合 | デバイス |
| ファイルが印刷されました | オンボードされたエンドポイント デバイスからファイルが印刷された場合 | デバイス |
| ファイルの読み取り | オンボードされたエンドポイント デバイスからファイルが読み取られる場合 | デバイス |
| ファイルの名前が変更されました | オンボードされたエンドポイント デバイスからファイルの名前を変更した場合 | デバイス |
| Bluetoothで転送されたファイル | オンボードされたエンドポイント デバイスから Bluetooth によってファイルが転送された場合 | デバイス |
| クラウドにアップロードされたファイル | ファイルがオンボードされたエンドポイント デバイスからクラウドにアップロードされた場合 | デバイス |
| 取り外し可能なメディア マウント | USB フラッシュ ドライブなどのリムーバブル メディアがオンボードされたエンドポイント デバイスにマウントされている場合 | デバイス |
| リムーバブル メディアのマウント解除 | USB フラッシュ ドライブなどのリムーバブル メディアがオンボードされたエンドポイント デバイスからマウント解除される場合 | デバイス |
データ ソース
データ ソースは、ポリシーを 適用する場所 を定義し、ポリシーに追加された アクティビティ と直接相関させます。
次のデータ ソースがサポートされています。
| データ ソース | 詳細情報 | サポートされているアクティビティ |
|---|---|---|
| デバイス | Microsoft 365 にオンボードされ、組織によって管理されるデバイス。 | Microsoft 365 にオンボードされた Windows デバイス。 |
| Copilot エクスペリエンス | Microsoft Fabric の Copilot と Microsoft Security Copilot のみが含まれ、間もなくさらに多くのエクスペリエンスがサポートされる予定です。 | - クラウドまたは AI アプリに送信または共有されるテキスト - クラウドまたはAIアプリから受信したテキスト |
| エンタープライズ AI | Microsoft Entra登録、Microsoft Foundry、Microsoft Purview データ マップ コネクタなどの方法を使用して組織にオンボードまたは接続されている Copilot 以外の AI アプリ。 ポリシーは、すべてのエンタープライズ AI アプリに適用することも、特定のアプリに限定することもできます。 | - クラウドまたは AI アプリに送信または共有されるテキスト - クラウドまたはAIアプリから受信したテキスト |
| アンマネージド クラウド アプリ | シングル サインオン (SSO) に設定されていない Defender for Cloud Apps カタログに含まれているクラウド アプリ。ユーザーは、ブラウザー、アプリ、アドイン、または API を介して個人データにアクセスできます。 ポリシーは、 ブラウザーやネットワークの検出を介して共有または転送されているデータ (移動中のデータ) のみを検出します。 |
Browser & Network: - クラウドまたは AI アプリに送信または共有されるテキスト - クラウドまたは AI アプリにアップロードまたは共有されたファイル ネットワークのみ: - クラウドまたはAIアプリから受信したテキスト -クラウドまたはAIアプリからダウンロードしたファイル |
| 適応型アプリのスコープ | カテゴリなどのアプリ メタデータに基づいてメンバーシップが決定されるアプリのグループ。 現在、 ブラウザーとネットワークの検出によってサポートされているのは、"すべてのアンマネージド AI アプリ" (生成 AI として分類されるアンマネージド クラウド アプリ) のみです。 |
Browser & Network: - クラウドまたは AI アプリに送信または共有されるテキスト - クラウドまたは AI アプリにアップロードまたは共有されたファイル ネットワークのみ: - クラウドまたはAIアプリから受信したテキスト -クラウドまたはAIアプリからダウンロードしたファイル |
注:
一部のアンマネージド AI アプリは、Edge for Business ではサポートされていません。 適応型アプリのスコープは、Edge for Business でサポートされているアンマネージド アプリにのみ適用されます。 詳細については、「 サポートされているアプリの詳細」を参照してください。
データ ソースをユーザーとグループに限定する
データ ソースごとに、以下による範囲指定を選択できます。
- すべての ユーザーとグループ (既定)
- 特定の ユーザーとグループ
- 特定のユーザーとグループを除くすべて
注:
除外されたユーザーおよびグループは、含まれる任意のユーザーまたはグループよりも優先されます。
その他のコレクション ポリシー設定
指定した 条件、 アクティビティ、 データ・ソース によっては、他のコレクション・ポリシー設定の構成が必要になる場合があります。 これらの設定が無効または淡色表示されている場合、ポリシー構成は設定と互換性がありません。
AI インタラクションのためのコンテンツ キャプチャ
規制要件に準拠するために、ポリシーに追加する生成 AI データ ソースから検出されたすべてのプロンプトと応答をキャプチャして格納するかどうかを決定できます。 この機能は コンテンツ キャプチャと呼ばれます。 この機能を使用すると、キャプチャされたコンテンツを後で他の Microsoft Purview ポリシーやソリューションを使用して簡単に検出して保護できます。 この機能には、生成 AI と共有されるファイルのコンテンツは含まれず、次のデータ ソースにのみ適用されます:
- Copilot エクスペリエンス
- エンタープライズ AI
- 生成 AI として分類されるアンマネージド クラウド アプリ
- すべてのアンマネージド AI アプリ アダプティブ アプリ スコープ
この設定を有効にしていない場合、プロンプトと応答で検出されたコンテンツは機密情報のみに制限されます。
注:
AI コンテンツをキャプチャするには、[ コンテンツに含まれる分類子] 条件を All に設定する必要があります。
クラウド アプリの検出
生成 AI を含む、アンマネージド クラウド アプリまたはアダプティブ アプリ スコープのデータ ソースをポリシーに追加する場合は、このデータを検出する方法を選択する必要があります。 以下のオプションから選択できます。
ブラウザー - Intune で管理されている職場のデバイスで、Microsoft Edge ブラウザーを介して非管理対象クラウド アプリと共有されている機密データを検出します。 ポリシーの対象にすることができる サポートされているアンマネージド アプリ を確認し、キャプチャできるユーザー アクティビティについて サポートされているアクティビティ を確認し、 サポートされているブラウザー を参照して、Microsoft Edge ブラウザーのバージョンがブラウザーの検出をサポートしていることを確認します。
ネットワーク - 統合された Secure Service Edge (SSE) プロバイダーと Microsoft Purview ネットワーク データ セキュリティを使用して、ブラウザー、アプリ、API などを介して管理されていないクラウド アプリと共有される機密データを検出します。
重要
Microsoft Purview ブラウザーおよびネットワーク データ セキュリティ ポリシーは、B2B ゲスト ユーザーには適用されません。
アンマネージド クラウド アプリ ポリシーに関する考慮事項
管理されていないクラウド アプリを含むポリシーを構成する場合、または予期しないポリシーの動作をトラブルシューティングする場合は、次の情報を確認します。
-
- 同じアプリに対してエントリ名が異なる複数のカタログ エントリ (例: QwenAI と Qwen Chat) が存在する場合は、意図しないカバレッジのギャップを避けるためにそのアプリのすべてのエントリを含めてください。
ChatGPT、Runway、Meta AI などの一部のアンマネージド AI アプリは、エンコードされた形式で、または動的に生成されたエンドポイントを介してコンテンツを断続的に送信する可能性があり、ポリシーの適用に影響を与える可能性があります。
アプリの URL がインスタンス間で共有されている場合 (たとえば、ChatGPT コンシューマーと ChatGPT エンタープライズ) 非マネージド アプリを対象とするポリシーでは、アプリのコンシューマー バージョンとエンタープライズ バージョンの両方からのインタラクションをキャプチャできます。
Edge for Business ブラウザー ポリシーでアンマネージド クラウド アプリをターゲットにすると、検出は宛先アプリのトラフィックに基づいて行われます。これは必ずしも元のアプリと完全に同じであるとは限りません。
インライン評価サイズの制限: Microsoft Purview は、uploadText と downloadText の場合は最大 4 MB のコンテンツ、uploadFile と downloadFile の場合は最大 3 MB のファイルを評価します。
注:
アンマネージド クラウド アプリの機能は、コンシューマー バージョンの Microsoft 365 Copilot にのみ適用されます。 Enterprise バージョンと利用可能な Purview 機能の詳細については、次を参照してください。Microsoft 365 Copilot Enterprise の保護の詳細をご覧ください。
次の手順
コレクション ポリシーを作成した後、構成された設定に応じて、追加の手順を実行する必要がある場合があります。
- ブラウザーの検出を有効にすると、Microsoft Edge 管理サービスは、Edge for Business のコレクション ポリシーをアクティブ化するために必要な構成ポリシーを自動的に作成します。 詳細については、「 Microsoft Edge で Microsoft Purview ポリシーをアクティブ化する」を参照してください。
- ネットワーク検出を有効にする場合、ネットワーク トラフィックの検出を開始するために、1 つ以上の Secure Access Service Edge (SASE) 統合または Microsoft 以外のセキュア エンタープライズ ブラウザー統合を追加して構成する必要があります。 詳細については、「 SASE プロバイダーの統合」を参照してください。
重要
自動動作がブラウザー検出の同期に失敗した場合、Microsoft Purview にエラー メッセージが表示され、ポリシーは Edge for Business に適用されません。 必要なアクセス許可 を持つ管理者が再同期して、エラーを解決する必要があります。 詳細については、「Microsoft Edge で Microsoft Purview ポリシーをアクティブ化する」を参照してください。
従量課金制の機能
一部のコレクション ポリシーのデータ ソースと機能は従量課金制であり、ポリシーを作成する前に Azure サブスクリプションをリンクする必要があります。 従量課金制を使用する Microsoft Purview 機能の詳細については、こちらをご覧ください。
- Copilot エクスペリエンス
- エンタープライズ AI
- Microsoft 以外の SASE と Microsoft Purview ネットワーク データ セキュリティによるセキュリティで保護されたエンタープライズ ブラウザー統合によって検出された管理対象外のクラウド アプリ アクティビティ
- Microsoft Entra Global Secure Access と Purview ネットワーク データ セキュリティの統合はシートごとにライセンスされ、従量課金制は必要ありません。 詳細については、「 Microsoft Purview ネットワーク データ セキュリティの詳細」を参照してください。
エンタープライズ AI およびネットワーク データ セキュリティに関するプライバシーに関する通知
エンタープライズ AI データ ソースとネットワーク データ セキュリティの統合には、サードパーティのアプリまたはプロバイダーとの統合が必要になる場合があります。 サード パーティの統合を有効にすることを選択した場合、そのサード パーティはアクセスを取得し、ユーザー識別子を含む一部のポリシー構成を保存する場合があります。 この場合、このデータの使用と保存は、サード パーティの利用規約とプライバシー ポリシーに準拠します。