ネットワーク データ セキュリティを使用して、アンマネージド AI との機密情報の共有を防ぐ

この記事では、「データ損失防止ポリシーの設計」で学習したプロセスを使用して、Microsoft Entra Global Secure Access や Microsoft 以外のセキュリティで保護されたブラウザー ソリューションなどの統合 SASE ソリューションを使用して、ネットワーク データ セキュリティを通じてアンマネージド AI アプリと機密情報を共有できないようにする Microsoft Purview データ損失防止 (DLP) ポリシーを作成する方法を示します。 テスト環境でこのシナリオを実行して、ポリシー作成 UI に慣れてください。

この DLP ポリシー シナリオをどのように展開するかは、ポリシー設計と同じくらい重要です。 「データ損失防止ポリシーの作成と展開」では、コストのかかるビジネスの中断を回避しながら、ポリシーが意図を達成するために展開オプションを使用する方法を示します。

前提条件と前提事項

開始する前に、次の前提条件と前提条件が満たされていることを確認してください。

• サポートされている SASE またはセキュリティで保護されたエンタープライズ ブラウザー統合がある。 サポートされている統合の詳細については、「Microsoft Purview データ損失防止のセキュリティ ストア」を参照してください。
• Microsoft Entra Global Secure Access を使用している場合
  • デバイスは Entra ID に参加している必要があります。
  • トランスポート層セキュリティ検査ポリシーを構成する必要があります
  • コンテンツ ポリシーは、Microsoft Entra GSA インターネット アクセスで構成する必要があります。
• Microsoft 以外の SASE またはセキュリティで保護されたエンタープライズ ブラウザー プロバイダーを使用している場合
  • Purview 従量課金制の請求が構成されていることを確認します。 詳細については、「 新規顧客に対して Microsoft Purview 従量課金制機能を有効にする」を参照してください。
  • プロバイダーのドキュメントに記載されている統合手順が完了していることを確認します。
• この手順では、架空の配布グループ ( 1 つは財務チーム、もう 1 つは セキュリティ チームという名前のグループ) を使用します。 これらのグループを自分の環境で作成するか、独自のグループに置き換える必要があります。

ポリシー インテント ステートメントとマッピング

Microsoft organization 内で責任ある AI の使用を採用しながら、お客様と組織の機密データを意図的または偶発的な露出から保護したいと考えています。 財務部門は定期的に機密性の高い情報を処理しているため、財務部門ユーザーが未承認の生成 AI アプリケーションと機密コンテンツを共有できないようにするポリシーを作成する必要があります。 多くのユーザーは、どのブラウザーを使用するかを柔軟に選択でき、ローカルにインストールされた AI アプリと Office アドインを使用できるため、ネットワーク データ セキュリティ保護を通じてエンドポイントの広いカバレッジを確保する必要があります。 財務部門のデータへのアクセスの機密性を考慮して、財務データ、個人を特定できる情報 (PII)、または機密文書がテキスト プロンプトやアップロードされたファイルを介して共有されないようにする必要があります。 次に、インシデントを効率的かつ迅速に管理するために、アラートを生成し、ブロックが発生した場合はいつでもセキュリティ チームにメールで通知する必要があります。 最後に、Microsoft では、企業データの保護をできるだけ早く開始できるよう、このポリシーを直ちに発効させたいと考えています。

SASE プロバイダー統合の構成

プロバイダーを Purview と統合するには、次の手順を実行します。

1. [Microsoft Purview ポータル] にサインインします。
2. データ損失防止ソリューションを開き、左側のナビゲーション バーから [セキュリティ ストア] を選択します。
3. 使用しているプロバイダーの [ ソリューションを取得する ] を選択します。
4. 統合された SASE またはセキュリティで保護されたブラウザー プロバイダーが提供するセットアップ手順を完了します。

ポリシーの作成手順

DLP ポリシーを作成するには、次の手順を実行します。

1. [Microsoft Purview ポータル] にサインインします。
2. [データ損失防止]>[ポリシー]>+ [ポリシーの作成] を選択します。
3. [ インライン Web トラフィック] を選択します。
4. [カテゴリ] リストから [カスタム] を選択し、[規制] リストから [カスタム ポリシー] を選択します。
5. [次へ]を選択します。
6. ポリシー名を入力し、必要に応じて説明を入力します。 ここでポリシー インテント ステートメントを使用できます。
7. [次へ]を選択します。
8. [ + クラウド アプリの追加] を選択します。
9. [ アダプティブ アプリのスコープ ] タブを選択し、[ すべてのアンマネージド AI アプリ ] を選択して、[ 追加 (1)] を選択します。
10. [すべてのアンマネージド AI アプリ] で [スコープの編集] を選択します。
11. [すべてのアンマネージド AI アプリの追加または編集] のスコープで [特定のもののみを含める] オプションを選択します。
12. [+ 包含の追加] を選択します。
13. [ 特定のユーザーとグループ] を選択します。
14. 財務部門グループを検索して選択し、[追加] を選択します。
15. [ 保存して閉じる] を選択します。
16. [次へ]を選択します。
17. [ ポリシーを適用する場所を選択する] ページで、[ ネットワークと Microsoft 以外のセキュア ブラウザー] が オンになっていることを確認してから、[ 次へ] を選択します。

18. [ ポリシー設定の定義 ] ページで、[ 高度な DLP ルールの作成またはカスタマイズ ] が選択されていることを確認し、[ 次へ] を選択します。
19. [高度な DLP ルールのカスタマイズ] ページで、+ [ルールの作成] を選択します。
20. ルールに一意 の名前 とオプションの説明を指定します。
21. 条件下
    1. [ + 条件の追加 ] を選択し、[ 次を含むコンテンツ] を選択します。
    2. [ 追加 ] を選択し、[ 機密情報の種類] を選択します。
    3. [ABA ルーティング番号]、[米国の銀行口座番号]、[クレジット カード番号]、[米国社会保障番号 (SSN)] を選択し、[追加] を選択します。
    4. [追加] を選択し、[秘密度ラベル] を選択する
    5. [ 社外秘] 、[ 追加] の順に選択します。
    6. [グループ] 演算子が [コンテンツを含む] グループの [これらのいずれか] に設定されていることを確認します。
22. アクションの下
    1. [+ アクションの追加] を選択し、[ブラウザーとネットワークのアクティビティを制限する] を選択します。
    2. [ クラウドまたは AI アプリに送信または共有されたテキスト] と [ クラウドまたは AI アプリにアップロードまたは共有されたファイル] を選択します。
    3. 両方に対して [ブロック] を選択します。
23. [インシデント レポート] の下
    1. 管理者のアラートとレポートの [重大度レベル] を [高] に設定する
    2. [ルールの一致が発生したときに管理者に警告を送信する] が [オン] になっていることを確認する
    3. [+ ユーザーの追加または削除] を選択し、SecurityOps 配布グループを選択します
    4. [アクティビティがルールに一致するたびにアラートを送信する] が選択されていることを確認する
24. [保存] を選択します。
25. ルールの構成を確認し、状態が [オン] であることを確認し、[ 次へ] を選択します。
26. [ ポリシー モード ] ページで、[ ポリシーを直ちに有効にする] を選択し、[ 次へ] を選択します。
27. ポリシー情報を確認し、[ 送信] を選択してポリシーを作成します。