オーストラリア政府向けの Microsoft Purview Information Protection の前提条件

この記事では、秘密度ラベル付けやその他の Microsoft Purview 機能を最大限に活用するために組織に展開する必要があるサービスとコンポーネントに関するorganization政府組織向けのガイダンスを提供します。 その目的は、組織が Microsoft Purview Information Protection を展開するための技術的な前提条件を理解して、保護セキュリティ ポリシー フレームワーク (PSPF) および情報セキュリティ マニュアル (ISM) で概説されている要件を満たすのを支援することです。

このガイドで概説されている構成を最大限に活用するには、組織で次の Microsoft 365 サービスのコア セットを実装する必要があります。

• Exchange Online
• Microsoft Office Online または Microsoft 365 Apps Office クライアント
• SharePoint Online
• Microsoft Teams

このガイドで説明する構成は、PROTECTED までのマーキングと分類を参照しており、組織はこのガイドの範囲を超えて PROTECTED 環境要件も使用する必要があります。

ASD ブループリントの配置

  ASD のセキュリティで保護されたクラウドの青写真は、Microsoft Purview Information Protection および関連する Microsoft 365 サービスの詳細な構成ガイダンスを提供します。 組織は、特に次の記事と併せてブループリント ガイダンスを確認する必要があります。

• Microsoft Purview Design
• 秘密度ラベルの分類
• ラベル公開ポリシー
• データ損失防止 (DLP) ポリシー
• 自動ラベル作成ポリシー 

この記事の推奨事項は、ASD ブループリント ガイダンスを補完し、構築することを目的としています。 ASD ブループリントは、ほとんどの政府機関に適した標準構成を提供しますが、この資料と関連する記事に含まれるコンテンツは、標準に基づいて構築され、データ セキュリティ構成をさらに強化するためのオプションを提供します。

Microsoft Office クライアント サポート

クライアント サポートは、Microsoft Purview Information Protection 機能を正常に実装するための鍵です。 ユーザーが Office ファイル、電子メール、およびその他のサービスを操作するために使用するクライアントは、ラベルの適用を容易にするためにラベルと Microsoft 365 に対応する必要があります。 ラベルの推奨事項 ( クライアント ベースの自動ラベル付けによって提供される) やポリシー ヒントなどのクライアント内 DLP 機能などの機能は、Office クライアントのバージョンによって異なります。 このセクションでは、この統合可能な Microsoft Office クライアントのバージョンについて説明し、Purview のデプロイに先立って必要な前提条件作業を特定します。

Microsoft 365 Apps for Enterprise

Microsoft 365 Apps は Microsoft Office のバージョンであり、Microsoft 365 サービス スイートとの統合が可能です。 Microsoft 365 は継続的に進化するクラウドベースのサービスであるため、Office クライアントの Microsoft 365 Apps バージョンは、クラウド プラットフォームに合わせるために高頻度で更新されます。 Office クライアントと Microsoft 365 クラウド サービス間のこの統合により、スタンドアロンの Office クライアントで実現可能なよりも広範な機能セットをユーザーが利用できるようになります。 従来のクライアントは静的な機能セットを提供し、セキュリティ更新プログラムを受信しますが、通常は、新しくリリースされた機能を受け取ったり、クラウド中心の機能にアクセスしたりすることはありません。

Microsoft 365 Apps で利用できる更新チャネルの詳細については、「Microsoft 365 Apps の更新チャネルの概要」を参照してください。

Mac、iOS、Android クライアントのサポート

新しい Purview 機能は通常、最初に Windows ベースの Microsoft 365 Apps バージョンの Office で使用できるようになり、次に他の Office バージョンで使用できるようになります。 クライアント バージョン機能の状態については、「 さまざまなクライアントの秘密度ラベルの最小バージョン」を参照してください。 Microsoft 365 を展開する組織は、この情報を確認して、必要なすべての機能がorganizationで使用されているバージョンで使用できることを確認する必要があります。

Microsoft 365 Web クライアント

Microsoft 365 Apps の秘密度ラベルの最小バージョンには、Microsoft 365 Web クライアントでサポートされている機能に関する情報も含まれています。 この情報を確認して、organization が必要とする秘密度ラベル機能を Web クライアントで使用できるようにする必要があります。

また、Microsoft Edge Chromium には Microsoft データ損失防止機能が含まれていることにも注意する必要があります。 このような機能は、拡張機能を介して Chrome や Firefox などの他のブラウザーに追加できます。 たとえば、 Chrome 用の Microsoft Purview 拡張機能 や Firefox 用の Microsoft Purview 拡張機能です。 これらの DLP 機能は、セキュリティ機密性の高いアイテムの流出を防ぐのに役立つため、これらのブラウザーが organization で使用されている場合は、展開を検討する必要があります。

クライアント要件の強制化

アイテムにセキュリティ分類を適用するというユーザーの要件を理解しているクライアント アプリケーションは、アイテムの作成時にユーザーに分類の適用を強制することで役立ちます。 アイテムが分類され、マークが付けられると、アイテムの同封内容物を保護するための運用管理を実施できます。 このような構成は、多くの場合「必須ラベル付け」と呼ばれます。 Microsoft 365 内では、これは主にラベル ポリシー オプションを使用して実現されます。これは必須ラベル付け で説明されています。 必須ラベル付けにより、リリース 2026 要件 59 を満たすことができます。

義務化されたラベル付けの重要性を示すために、最初に保護マークが適用されずに送信された電子メールを考えてみましょう。これは、クライアント サポートの欠如が原因で発生する可能性があります。 このような状況では、ユーザーが同封された情報の機密性を評価する機会がなかったと想定する必要があります。 したがって、アイテムの流通はリスクが高いと想定する必要があります。 必須ラベル付けを強制するオプションは、organization's Microsoft Purview 構成を認識しているクライアントのみが適用できます。 このため、組織は、ユーザーがこのような Microsoft Purview 統合をサポートするクライアントを介してのみ Microsoft 365 サービスにアクセスできるようにすることを検討する必要があります。

ラベル対応クライアントを使用して Microsoft 365 サービスへのアクセスを制限すると、組織は分類とアクセス制御の両方の目標を満たすのに役立ちます。 PSPF セクション 9 では、情報のセンシティブ性を適切に評価および分類する必要がありますが、PSPF セクション 17 では、ビジネス ニーズと情報のセンシティビリティに応じて情報へのアクセスを制限する必要があります。 データ損失防止 (DLP) や秘密度ラベルの暗号化などの Microsoft 365 のアクセス制御機能は、アイテムに適用される正確な秘密度ラベルに依存しています。

ラベル対応クライアントの使用の強制は、承認されたクライアント アプリを必要とする条件付きアクセス ポリシーによって実現できます。 これらの機能の詳細については、「 承認されたクライアント アプリまたはアプリ保護ポリシーが必要」を参照してください。

PDF 統合

Windows ベースの Microsoft 365 Apps クライアントには、PDF ファイルとしてエクスポートするときに Office ドキュメントに適用されたラベルを保持する機能が含まれています。 これらの PDF では、暗号化など、ソース Office ファイルに適用された保護設定が維持されます。

保護された PDF ドキュメントは、Microsoft Edge、Chrome、Foxit Reader、Nitro PDF、Gaaiho Doc、Adobe Reader などのラベル対応 PDF リーダーで読み取ることができます。

政府機関では、ラベル対応 PDF クライアントまたはクライアント プラグインを展開して使用する必要があります。 このようなクライアントは、アイテムを PDF にエクスポートするときに、機密情報の明確な識別と制御の適用を維持するのに役立ちます。

OCR

光学式文字認識 (OCR) を使用して、画像や画像ベースの PDF のコンテンツをスキャンできます。 スキャンされると、データ損失防止 (DLP) などの Microsoft Purview 機能を適用できます。 OCR を使用すると、機密情報が画像ベースのコンテンツに保存されている場合に、コンテンツ検出、自動ラベル付け、およびその他の Microsoft Purview 分類機能の有効性も向上します。 OCR は、機密情報の種類を介してコンテンツ マーキングを識別するために使用する場合に特に効果的です。 保護マーキングを識別するための SIT には、保護マーキングを識別するために構成して使用できる SIT の一覧が含まれています。 これらの SIT が構成され、OCR が有効になると、SharePoint は画像ベースのコンテンツからテキストのインデックスを作成し、それらに保護マーキングが含まれているかどうかを識別します。 保護マークが識別された場合、画像ベースのアイテムは、関連する SIT を対象とする DLP ポリシーを介して保護できます。 インデックス付き画像ベースのコンテンツに適用される SIT ベースの DLP ポリシーの例については、「 マークされた情報の電子メールの制御」を参照してください。

OCR の構成と使用の詳細については、「 Microsoft Purview での光学式文字認識の詳細」を参照してください。

必須ライセンス

Purview Information Protection 機能をエントリ レベルで使用するには、E3 ライセンスが必要です。 ただし、ほとんどの政府組織では、データ セキュリティ要件をより適切に満たすために、Microsoft 365 E5 (または同等の Microsoft Purview スイート アドオン) の使用を検討する必要があります。

次の表に、一般的な政府ユース ケースのサブセットと、そのユース ケースを実行するために必要な最小ライセンスを示します。

Microsoft 365 E5 に含まれるコンプライアンス機能は、組織がより高いレベルのコンプライアンスとデータ セキュリティの成熟度を達成するのに役立つ自動化と高度な制御を提供します。

より高いレベルのコンプライアンス成熟度を達成するための重要な要素は、 機密性の高い自動ラベル付けの使用です。 自動ラベル付けを使用すると、政府機関は外部から適用されている分類を優先できます。 メールが 1 つのエンティティによって分類およびマークされている場合、2 番目のエンティティに送信されたときにアイテムは引き続きマークされますが、既定ではラベルは付けされません。 メールにはラベルがないため、DLP ポリシーなどのラベルベースのデータ セキュリティ制御の範囲外です。 自動ラベル付けを使用すると、保護マーキング (Australian Government Email Protective Marking Standard で定義されている) をメールの受信時に解釈できます。 解釈されると、通信中に一致するラベルが適用され、その時点以降、関連するすべてのコントロールがアイテムに適用されるようになります。 これには、特定の秘密度ラベルが適用されたアイテムに Copilot がアクセスできないように制限する DLP ポリシーが含まれます。