概要
Microsoft Teams では、複数の暗号化レイヤーを使用して、チャット、通話、会議、ファイル共有全体で転送中および保存中のデータを保護します。 Standard encryption は既定で Teams 通信に適用され、ユーザーまたは管理者による構成は必要ありません。 エンドツーエンド暗号化 (E2EE) は、1 対 1 の通話とそれを要求するように構成された会議のためにさらにレイヤーを追加し、通信する関係者のみがコンテンツにアクセスできるようにします。
組織は、知的財産、財務データ、個人を特定できる情報 (PII) などの機密情報を交換します。 暗号化は、転送中および保存中のこの情報を保護し、規制要件への準拠をサポートするのに役立ちます。 暗号化しないと、この情報は傍受や不正アクセスに対して脆弱になる可能性があります。
暗号化を要求または推奨する規制のフレームワーク
いくつかの規制フレームワークでは、機密データを保護するための安全手段として暗号化が必要または推奨されています。
一般データ保護規則 (GDPR): データのセキュリティを確保するために適切な技術的手段が必要であり、個人データを保護するための推奨される保護手段として暗号化が特に言及されています。
医療保険の相互運用性と説明責任に関する法律 (HIPAA): 医療機関とそのビジネス アソシエイトに関連する、電子で保護された医療情報のアドレス指定可能な実装仕様として暗号化が含まれます。
Payment Card Industry Data Security Standard (PCI DSS): オープンなパブリック ネットワーク経由で送信されるカード所有者データを暗号化して、財務情報を保護する必要があります。
カリフォルニア州消費者プライバシー法 (CCPA) およびカリフォルニア州プライバシー権法 (CPRA): 特定の状況下における暗号化データにセーフ ハーバー規定を提供し、データ侵害が発生した場合の責任を軽減できます。
NIST Special Publication 800-53: 多くの連邦および商業組織がセキュリティ ベースラインとして使用している情報の暗号化保護に関連する制御が含まれています。
Microsoft Teams の暗号化レイヤー
Microsoft Teams では、複数の暗号化レイヤーを使用して、通信プロセス全体を通じてさまざまな種類のデータを保護します。 これらのレイヤーには、トランスポート層暗号化、プラットフォーム レベルの暗号化、サービス暗号化、カスタマー キー暗号化、エンドツーエンド暗号化 (E2EE) が含まれます。
Microsoft Teams での Standard 暗号化
前述のコンプライアンス要件をサポートするだけでなく、Teams の標準暗号化は、ユーザーまたは管理者による追加の構成なしで、転送中および保存中のデータを保護するのに役立ちます。 その内容には、次のものが含まれます。
トランスポート層セキュリティ (TLS): AES-256 で TLS 1.2 以降を使用して転送中のデータをセキュリティで保護し、デバイスと Microsoft サーバー間を移動する情報を保護します。
保存データの暗号化: BitLocker ディスク暗号化とファイルごとの暗号化を組み合わせて使用して、Azure、SharePoint、OneDrive、その他の Microsoft 365 サービスに保存されているデータを保護します。
サービス暗号化: Microsoft が管理するキーを使用してデータ ストアに送信される前に Teams データを暗号化することで、保護レイヤーを追加します。 メディア コンテンツではサービス暗号化が利用可能であり、追加のサービスも検討されています。
カスタマー キー暗号化: Bring Your Own Key (BYOK) を使用すると、組織は独自の暗号化キーを提供して、セキュリティ体制をより細かく制御できます。 カスタマー マネージド キーを使用した Teams コンテンツの暗号化は、Microsoft Purview カスタマー キーとの統合を通じてサポートされており、Teams ファイル、チャット メッセージ、その他のモダリティに適用できます。
Microsoft Teams でのエンドツーエンド暗号化 (E2EE)
E2EE は、通信側のみがコンテンツにアクセスできるようにするのに役立ちます。 Teams における E2EE の主な特徴は次のとおりです。
実装: 暗号化キーはユーザー デバイス上で生成され、安全なシグナリング セッションを介して交換されます。 この機能は、1 対 1 の通話および会議 (構成されている場合) に使用できます。 この記事で後述する サポートされている形式の 表には、サポートされている通信手順の一覧が記載されています。
E2EE の有効化: 管理者は、テナント レベルで E2EE ポリシーを構成します。
- 1 対 1 の通話の場合、E2EE は既定で無効になっています。 エンドツーエンドで通話を暗号化するには、管理者が E2EE を有効にする必要があり、両方の参加者が Teams クライアント設定で有効にする必要があります。
- 会議では、E2EE を許可する管理ポリシーが既定で有効になっていますが、開催者がスケジュール時に E2EE を要求するように会議を構成した場合にのみ、会議がエンドツーエンドで暗号化されます。 会議用の E2EE には Teams Premium が必要です。
技術的な詳細: Teams は DTLS を使用して、E2EE 通話と会議の両方でピアツーピア メディアを暗号化します。
- 1 対 1 の通話の場合、暗号化キーは各参加者のデバイスで生成され、セキュリティで保護されたシグナリング セッションを介して交換されます。
- 会議では、Teams はグループ キー マネージャー プロトコル (GKMP) を使用してすべてのクライアント間でキーをネゴシエートし、GKMP 要求は TLS 1.3 で保護されたチャネルを介して分散されます。
どちらの場合も、メディアは GCM_AES_256 を使用して暗号化されます。 この暗号化は、オーディオ、ビデオ、およびビデオベースの画面共有を対象としています。 チャットには対応していません。
可用性と制限事項: E2EE は、1 対 1 の通話と、E2EE を必要とするように構成された会議で使用できます (会議サポートは Teams Premium の機能です)。 これらのエクスペリエンスでのオーディオ、ビデオ、および画面共有に対する追加の保護を提供します。
前提条件、ポリシー構成、サポートされているプラットフォームとデバイスについては、「 Microsoft Teams 会議と 1 対 1 の通話のエンドツーエンドの暗号化を管理する」を参照してください。
サポートされているモダリティ
Teams 内のさまざまな通信方法には、さまざまな暗号化機能があります。
| 手順と機能 | Standard encryption | E2EE が利用可能 |
|---|---|---|
| 1 対 1 の通話1 | Yes | はい |
| 予約された会議 | はい | はい2 |
| 画面共有 | Yes | はい2 (E2EE 対応の会議と 1 対 1 の通話) |
| ビデオ | Yes | はい2 (E2EE 対応の会議と 1 対 1 の通話) |
| グループ通話 | Yes | いいえ |
| チャネル会議 | Yes | いいえ |
| Chat メッセージ | Yes | いいえ |
| 共有ファイル | Yes | いいえ |
| 会議のレコーディング | Yes | いいえ |
| 会議のトランスクリプト | Yes | いいえ |
| 会議の要約 | Yes | いいえ |
1Teams では、対象となる 1 対 1 の VoIP 通話に対して E2EE がサポートされます。 公衆交換電話網 (PSTN) を含む通話では、E2EE は使用できません。
2ユーザーは Teams Premium ライセンスを持っている必要があります。
注意
参加者の制限とデバイス要件は、エンドツーエンドの暗号化された会議に適用されます。 詳細については、「 Microsoft Teams 会議と 1 対 1 の通話のエンドツーエンドの暗号化を管理する」を参照してください。
E2EE の可用性
Teams を介して行われた 1 対 1 の通話のエンドツーエンド暗号化は、商用 Teams ユーザーが利用できます。 Teams Premium ライセンスをお持ちのお客様は、スケジュールされた Teams 会議で E2EE を使用することもできます。
その他の暗号化された音声とメッセージングのオプション
既定では、音声通話、会議、チャットを含むすべての Teams 通信は、トランスポート層セキュリティ (TLS) や Secure Real-Time Transport Protocol (SRTP) などの業界標準テクノロジを使用して暗号化されます。
E2EE が製品の機能とコンプライアンスに与える影響
E2EE は、特定のサービス側機能と互換性がありません。 E2EE が使用されている場合、記録、文字起こしなどの機能や、インテリジェントな会議の要約などの関連する AI 搭載機能は使用できません。 また、サーバー側のデータ保持や、電子情報開示などのレコード管理機能も制限されます。
E2EE は、コンプライアンス記録と互換性がありません。 organizationでコンプライアンス レコーディングを使用している場合、コンプライアンスの対象となるユーザーは、エンドツーエンドの暗号化された通話または会議に参加できません。
Microsoft Teams のセキュリティの概念
Microsoft は、Microsoft Entra ID によって提供される認証に基づいて、ゼロ トラストや最小特権アクセスなどのセキュリティ原則を適用し、管理者がorganizationのニーズに合わせてポリシーをカスタマイズするオプションを提供します。 これには、クラウド内の保存データのカスタマー キーが含まれます。これはサービス暗号化に基づいて構築され、顧客が暗号化キーを提供および制御して制御を追加できるようにします。
暗号化アプローチの選択
標準暗号化と E2EE のどちらを選択するかには、セキュリティ要件と運用上のニーズおよびコンプライアンス義務のバランスを取る必要があります。 E2EE は、エグゼクティブ コミュニケーションや規制対象業界など、機密性の高いシナリオに適しており、標準暗号化は日常的な運用上の話し合いやチーム コラボレーションに適しています。
実装の考慮事項
一部の Microsoft 365 機能は、検索、文字起こし、翻訳、データ損失防止 (DLP)、保持、電子情報開示、監督レビュー、Microsoft Copilot エクスペリエンスなど、保存されているコンテンツへのアクセスに依存しています。
組織は、Microsoft Teams を含むより広範なセキュリティ アーキテクチャの一部として、機密性、規制要件、運用上のニーズに基づいて、さまざまな種類の通信を保護する方法を定義できます。 一般的な使用には標準暗号化を使用し、特定の高機密度シナリオには E2EE を使用するハイブリッド アプローチは、セキュリティ要件と運用要件のバランスを取るのに役立ちます。
Teams での暗号化に対するリスクベースのアプローチにより、組織はコラボレーション機能を維持しながら通信を保護できます。
詳細については、「 Microsoft Teams のセキュリティとコンプライアンス」を参照してください。