データ損失防止ポリシー リファレンス

Microsoft Purview データ損失防止 (DLP) ポリシーには、構成するコンポーネントが多数あります。 効果的なポリシーを作成するには、各コンポーネントの目的とその構成によってポリシーの動作がどのように変化するかを理解する必要があります。 この記事では、DLP ポリシーの詳細な構造について説明します。

以下のお勧めの資料を参照してください。

1. 管理単位
2. Microsoft Purview データ損失防止についての説明
3. データ損失防止 (DLP) の計画 - この記事を読み進めながら、次のことが行えます:
   1. 関係者の特定
   2. 保護する機密情報のカテゴリの定義
   3. 目標と戦略の設定
4. コレクション ポリシー ソリューションの概要
5. コレクション ポリシー リファレンス
6. データ損失防止ポリシー リファレンス - この記事では、DLP ポリシーのすべてのコンポーネントと、それぞれがポリシーの動作に与える影響を紹介しています。
7. DLP ポリシーの設計 - この記事では、ポリシー インテント ステートメントを作成し、それを特定のポリシー構成にマッピングする方法について解説されています。
8. データ損失防止ポリシーの作成と展開 - この記事では、構成オプションにマップする一般的なポリシー インテント シナリオについて説明します。その後、これらのオプションの構成について説明します。
9. データ損失防止アラートの調査に関する詳細情報 - この記事では、アラートのライフサイクルについて、作成から最終的な修復とポリシーの調整までが解説されています。 また、アラートの調査に使用するツールも紹介されています。

DLP プラットフォームに関する考慮事項

また、プラットフォームの次の制約にも注意する必要があります。

• テナント内の MIP + MIG ポリシーの最大数: 10,000
• DLP ポリシーの最大サイズ (100 KB)
• DLP ルールの最大数:
  • ポリシーの場合: ポリシーのサイズによって制限されます
  • テナントの場合: 600
• 個々の DLP ルールの最大サイズ: 100 KB (102,400 文字)
• インシデント レポートの生成の証拠制限: 100 (各 SIT 証拠を含む)、発生の割合
• ファイルからスキャンされるテキストの最大サイズ: 抽出可能なテキストの最初の 200 万文字 (~2 MB)。 この制限を超えると、最初の 200 万文字がスキャンされ、"ドキュメントのスキャンが完了しませんでした" という信号が発生します。
• ファイルからスキャンされるデータの入れ子になったレベルの最大数: 最初の 3 つのレベル。 この制限を超えると、最初の 3 つのレベルのデータがスキャンされ、「 Document のスキャンが完了しませんでした」 イベントが発生します。
• 予測されたすべての一致の正規表現のサイズ制限: 20 KB
• ポリシー名の長さの制限: 64 文字
• ポリシー ルールの長さの制限: 64 文字
• コメントの長さの制限: 1,024 文字
• 説明の長さ制限: 1,024 文字
• エンドポイントの DLP 設定の最大サイズ: 16,384 文字

既定の DLP ポリシー

すべてのテナントには 4 つの既定の DLP ポリシーが作成されます。 これらのポリシーは、DLP の使用を開始し、organization にベースライン レベルの保護を提供するのに役立つように設計されています。 これらのポリシーは、必要に応じて編集または削除できます。

既定の Office 365 DLP ポリシー

このポリシーは、外部共有のドキュメントやメールにクレジット カード番号が含まれているかどうかを検出します。 詳細については、「Microsoft 365 Copilot の場所の既定のデータ損失防止ポリシーについて説明します

Teams の既定のポリシー

Teams の既定の DLP ポリシーは、organization の内部および外部で共有されているすべてのクレジット カード番号を追跡します。 詳細については、「 Microsoft Teams の既定のデータ損失防止ポリシーについて説明します

デバイスの Defaul ポリシー

このポリシーは、ユーザーが特定のアクティビティ (ファイルの印刷など) を実行するときに、デバイス上のファイル内のクレジット カード番号の存在を検出します。 検出されると、アクティビティは監査のみ行われます (ブロックはされません)。 管理者はアラートを受け取りますが、ポリシー ヒントはユーザーに表示されません。 これらのアクションはいつでも編集できます。 詳細については、「 デバイスの既定の DLP ポリシーについて」を参照してください。

Microsoft 365 Copilot の場所の既定の DLP ポリシー

Microsoft 365 Copilot とエージェントが Copilot の対話で機密情報を使用することを制限することで、データの漏洩と過剰共有を防ぎます。 詳細については、「Microsoft 365 Copilot の場所の既定の DLP ポリシーについて説明します。

ポリシー テンプレート

DLP ポリシー テンプレートには、2 つのカテゴリに分かれた 5 種類があります。

エンタープライズ アプリケーション & デバイス

• 拡張ポリシー
• 財務情報の種類を検出して保護できるテンプレート。
• 医療と健康に関する情報の種類を検出して保護できるテンプレート。
• プライバシー情報の種類を検出して保護できるテンプレート。
• 他のいずれのポリシーも組織のニーズを満たしていない場合に独自のポリシーを構築するために使用できるカスタム ポリシー テンプレート。

次の表に、すべてのポリシー テンプレートとそれらの対象となる機密情報の種類 (SIT) を示します。

インライン Web トラフィック ポリシー

• 独自のポリシーの作成に使用できる カスタム ポリシー テンプレート。

ポリシーのスコープ

「管理単位」を参照して、制限のない管理者と管理単位の制限付き管理者の違いを理解していることを確認してください。

DLP ポリシーのスコープは 2 つの異なるレベルで指定されます。 最初のレベルでは、無制限の管理スコープ ポリシーを、管理単位の制限付きポリシーと呼ばれる organization 内の次のすべて (選択した場所に応じて) または organization のサブグループに適用します。

• users
• groups
• 配布グループ
• アカウント
• sites
• クラウド アプリ インスタンス
• オンプレミスのリポジトリ
• Fabric と Power BI のワークスペース

このレベルでは、管理単位の制限付き管理者は、自分が割り当てられている管理単位からのみ選択できます。 DLP は、エンタープライズ アプリケーション & デバイスで保護されている一部の場所の管理ユニットの範囲をサポートします。

DLP ポリシーのスコープ指定の 2 つ目のレベルは、DLP がサポートする場所ごとに行われます。 このレベルでは、制限のない管理者と管理単位の制限付き管理者の両方に、ポリシー スコープの第 1 レベルに含まれ、その場所で使用できるユーザー、配布グループ、グループ、およびアカウントのみが表示されます。

管理単位への SharePoint サイトの追加のサポート

Microsoft Purview は 、既存の管理単位への SharePoint サイトの追加をサポートしています。 SharePoint の場所の DLP ポリシーを管理単位に割り当てると、ポリシーはその管理単位の一部であるサイトにのみ適用されます。 特定のサイトを含めたり除外したりするようにスコープをさらに編集するオプションは使用できません。 このポリシーは、管理単位の一部であるすべてのサイトに適用されます。

ユース ケースの例を次に示します。

Contoso は、エンジニアリング部門用に Entra ID 管理ユニットを作成し、その部門のユーザーとグループを管理する特定の管理者を割り当てました。 エンジニアリング部門には、機密情報を格納するために使用される SharePoint サイトがあります。 Contoso は、エンジニアリング部門の SharePoint サイトの DLP ポリシーが、管理単位の一部である SharePoint サイトにのみ適用されるようにしたいと考えています。 DLP ポリシーを管理単位に割り当てることで、ポリシーはその管理単位の一部である SharePoint サイトにのみ適用されます。 また、管理単位の制限付き管理者は、そのサイトの DLP ポリシーのみを管理でき、アクティビティ エクスプローラーとアラート ダッシュボードには、管理単位のポリシー一致結果データのみを表示できます。

制限のないポリシー

制限のないポリシーは、次の役割グループ内のユーザーによって作成および管理されます:

• コンプライアンス管理者
• コンプライアンス データ管理者
• 情報保護
• Information Protection 管理者
• セキュリティ管理者

詳細については、 アクセス許可の 記事を参照してください。

制限のない管理者は、すべてのポリシーを管理し、ポリシーの一致からアラート ダッシュボードと DLP アクティビティ エクスプローラーに流れるすべてのアラートとイベントを表示できます。

管理単位の制限付きポリシー

管理単位は Microsoft Entra ID ディレクトリのサブセットであり、ユーザー、グループ、配布グループ、およびアカウントのコレクションを管理する目的で作成されます。 これらのコレクションは、通常、事業グループ ラインまたは地政学的なエリアに沿って作成されます。 管理単位には、役割グループの管理単位に関連付けられている代理管理者がいます。 これらは、管理単位の制限付き管理者と呼ばれます。

DLP では、ポリシーを管理単位に関連付けることがサポートされています。 Microsoft Purview ポータルの実装の詳細については 、「管理単位 」を参照してください。 管理単位の管理者は、管理単位の DLP ポリシーを作成して管理するために、無制限の DLP ポリシーの管理者と同じ役割または役割グループの 1 つに割り当てられる必要があります。

場所

DLP ポリシーは、機密情報を含むアイテムを複数の場所で検索して保護できます。

Exchange の場所のスコープ指定

Exchange に特定の配布グループを含めることを選択した場合、DLP ポリシーは、そのグループのメンバーから送信された電子メールまたはそのグループのメンバーに送信された電子メールにスコープされます。 同様に、配布グループを除外すると、その配布グループのメンバーから送信されたすべての電子メール、またはポリシーの評価から除外されます。

Exchange の場所のスコープの計算

Exchange の場所スコープの計算方法の例を次に示します。

たとえば、組織に 4 人のユーザーと、Exchange の場所の包含範囲と除外範囲を定義するために使用する配布グループが 2 ついるとします。 グループ メンバーシップは次のように設定されています:

ポリシーを配布リストのメンバー、動的配布グループ、セキュリティ グループの範囲にすることができます。 DLP ポリシーには、このような追加および除外を 50 個まで含めることができます。

OneDrive の場所の範囲指定

OneDrive の場所のポリシーの範囲を指定する場合、DLP ポリシーを organization 内のすべてのユーザーとグループに適用するだけでなく、ポリシーの範囲を特定のユーザーとグループに制限できます。 DLP では、最大 100 人のユーザーへのスコープ ポリシーがサポートされます。

たとえば、100 人を超えるユーザーを含める場合は、必要に応じて、最初にそれらのユーザーを配布グループまたはセキュリティ グループに入れる必要があります。 その後、ポリシーの範囲を最大 50 グループにすることができます。

場合によっては、1 つまたは 2 つのグループに加えて、それらのグループのいずれにも属していない 2 つまたは 3 人の個別ユーザーにポリシーを適用できます。 ここでは、 これら 2 人か 3 人の個人をそれぞれ独自のグループに入れるのがベスト プラクティスです。 これは、ポリシーの対象となるすべてのユーザーが確実に対象となる唯一の方法です。

その理由は、ユーザーのみを一覧表示すると、DLP でポリシー スコープに指定されたすべてのユーザーが追加されるためです。 同様に、グループのみを追加すると、DLP により、すべてのグループのすべてのメンバーがポリシー スコープに追加されます。

たとえば、次のグループとユーザーがいるとします。

ポリシーの範囲をユーザー のみ またはグループ のみ に制限すると、DLP は次の表に示すようにポリシーをユーザーに適用します。

ただし、スコープ構成でユーザーとグループが混在している場合、事態は複雑になります。 その理由は次のとおりです。 DLP は、リストされているグループとユーザーの 交差 する場合にのみ、ポリシーのユーザー範囲を設定します。

DLP は、スコープに含めるユーザーとグループを決定するときに、次の操作順序を使用します。

1. グループ メンバーシップの和集合を評価する
2. ユーザーの共用体を評価する
3. グループ メンバーとユーザーの共通部分 (結果が重複する部分) を評価します

次に、ポリシーのスコープをグループ メンバーとユーザーの交差部分に適用します。

例を拡張して、同じグループのセットを使用し、グループに属していない User4 を追加してみましょう。

次の表は、ユーザーとグループの両方がスコープ手順に含まれている場合に、ポリシーのスコープがどのように機能するかを示しています。

SharePoint の場所の範囲指定

SharePoint の場所のポリシーの範囲を設定するときは、ポリシーの範囲を特定の SharePoint サイトと適応型スコープに制限できます。 DLP では、最大 100 サイトへのスコープ ポリシーがサポートされます。

デバイスのスコープ

デバイスの場所を含む Microsoft Purview データ損失防止 (DLP) ポリシーは、ユーザーとデバイスごとに範囲を設定できます。 ポリシーは、ユーザーとデバイス の両方 がポリシー スコープに含まれている場合にのみ、エンドポイントに適用されます。 ユーザーがスコープ内にあるが、デバイスがスコープに含まれない場合、ポリシーは適用されません。 同様に、デバイスがスコープ内にあるが、ユーザーがスコープに含まれていない場合、ポリシーは適用されません。

macOS でこの機能をサポートするには、101.25072 以降のビルドを使用します。

デバイスのスコープは、登録されている Microsoft Entra をサポートしていません。

さまざまな結果に対して DLP ポリシーの範囲を構成する方法を次に示します。

コンテンツの定義方法に関する場所のサポート

DLP ポリシーは、機密アイテムを検出するのに、それらを機密情報の種類 (SIT) または秘密度ラベルもしくは保持ラベルと照合することによりこれを行います。 それぞれの場所では、機密コンテンツを定義するための異なる方法がサポートされています。 ポリシー内の場所を結合するときのコンテンツの定義方法は、1 つの場所に制限されたときの定義方法から変更される可能性があります。

DLP では、機密情報を検出する条件としてトレーニング可能な分類器の使用がサポートされています。 コンテンツは、Exchange、SharePoint サイト、OneDrive アカウント、Teams Chat とチャネル、デバイス、および管理対象外のクラウド アプリのトレーニング可能な分類子で定義できます。 詳細については、「トレーニング可能な分類子」をご覧ください。

ルール

ルールとは、DLP ポリシーのビジネス ロジックです。 次のものにより構成されています:

• 一致したときに、ポリシーをトリガーする条件

• 含まれるアクティビティとマッチの結果を決定するアクション。

• ユーザー通知: ポリシーをトリガーする操作がユーザーによって行われた場合にユーザーに通知し、組織が期待する機密情報の扱い方をユーザーに教育するのを支援します

• ユーザーによる上書き: 管理者によって構成されている場合、ユーザーはブロック アクションを選択的に上書きできます

• インシデント レポート: ルールの一致が発生したときに管理者やその他の主要な関係者に通知します

• その他のオプション: ルールの評価の優先順位を定義し、ルールとポリシーのさらなる処理を停止できます。

1 つのポリシーには、1 つまたは複数のルールが含まれます。 ルールは、各ポリシー内の最も高位のルールから順に実行されます。

DLP 分類のしくみ

DLP は、アイテムの作成、読み取り、または変更時にそのアイテムの機密情報を評価します。 評価は、 オンデマンド分類によっても開始されます。 ただし、 DLP ルールの一致 などのイベントは、ユーザーが DLP ポリシーに一致するアクティビティを試みたときにのみ、監査ログまたはアクティビティ エクスプローラーに表示されます。

以下は、DLP が監視してアクションを実行できるユーザー アクティビティの一部の一覧です:

• 統合機能を使用した Microsoft Edge ブラウザー経由でのテキストのアップロード

• 統合機能を使用した Microsoft Edge ブラウザー経由でのファイルのアップロード

• 統合機能を使用した Microsoft Edge ブラウザー経由でのファイルのダウンロード

• 統合機能を使用して Microsoft Edge ブラウザー経由でデータの切り取り/コピー

• 統合機能を使用して Microsoft Edge ブラウザー経由でデータを貼り付ける

• 統合機能を使用して Microsoft Edge ブラウザー経由でデータを印刷する

• 他の場所からデータを印刷する

• リムーバブル メディアにコピー

• ネットワーク共有にコピー

• クリップボードにコピーする

• Bluetooth を使用して転送する

• ファイルが許可されていないアプリによってアクセスされました

• Microsoft Edge 以外のブラウザーに貼り付ける

• データの印刷

• リモート デスクトップを使用した転送

• 作成、読み取り、または変更されたアイテムは、条件とユーザー アクティビティが満たされている場合、クライアントの DLP ルールとポリシーと一致します。 これは、FileRead や FileRenamed などのファイル アクティビティとして監査されます。

• アクティビティが満たされると、DLP ルールの一致イベントは「DLP ルールの一致」イベントとしてアクティビティ エクスプローラーに表示されます。 出力モードを記述するイベントも生成されます。

• ポリシーはアクションを実行し、アクションは条件とは異なります。 ルールは、アクションが実行されていない場合でも、ファイル上で一致する可能性があります。

ルールの評価と適用の優先順位

ホストされているサービスの場所

Exchange、SharePoint、OneDrive などのホストされているサービスの場所の場合、各ルールには作成された順に優先順位が割り当てられます。 つまり、最初に作成されたルールの優先順位は 1 番目となり、2 番目に作成されたルールの優先順位は 2 番目となるという具合です。

コンテンツがルールに対して評価されると、ルールは優先度順に処理されます。 コンテンツが複数のルールと一致する場合、最初に評価されたルールのうち、最も制限の厳しいアクションを持つものが適用されます。 たとえば、コンテンツが以下のすべてのルールに一致する場合、ルール 3 の優先度が最も高く、制限が最も厳しいため、これが適用されます。

• ルール 1: ユーザーに通知のみを行う
• ルール 2: ユーザーに通知する、アクセスを制限する、ユーザーによる上書きを許可する
• ルール 3: ユーザーに通知する、アクセスを制限する、ユーザーによる上書きを許可しない
• ルール 4: アクセスを制限する

ルール 1、2、4 は評価されますが、適用されません。 この例では、最も制限の厳しいルールのみが適用された場合でも、すべてのルールに一致するものが監査ログに記録され、DLP レポートに表示されます。

ルールを使用して特定の保護要件を満たし、DLP ポリシーを使用して一般的な保護要件をグループ化できます (たとえば、特定の規制に準拠する必要のあるすべてのルール)。

たとえば、Health Insurance Portability and Accountability Act (HIPAA) の対象となる情報の存在を検出する際に役立つ DLP ポリシーがあるとします。 この DLP ポリシーは、organization外のユーザーと共有されているこの機密情報を含むドキュメントを見つけ出し (条件)、ドキュメントへのアクセスをブロックして通知を送信することで (アクション)、すべての SharePoint サイトとすべての OneDrive サイト ("どこ") にわたって HIPAA データ (「何」) を保護するのに役立ちます。 これらの要件は、個別のルールとして保存され、簡単に管理およびレポートする DLP ポリシーとしてまとめてグループ化されます。

エンドポイントの場合

アイテムが複数の DLP ルールと一致すると、DLP は複雑なアルゴリズムを使用して、適用するアクションを決定します。 エンドポイントの DLP は、最も制限的なアクションの集計または合計を適用します。 DLP は、計算する際に次の要素を使用します。

ポリシーの優先度の順序 アイテムが複数のポリシーに一致し、それらのポリシーに同じアクションがある場合は、最も優先度の高いポリシーのアクションが適用されます。

ルールの優先順位 アイテムがポリシー内の複数のルールに一致し、それらのルールのアクションが同じ場合、最も優先度の高いルールのアクションが適用されます。

ポリシーのモード アイテムが複数のポリシーに一致し、それらのポリシーに同じアクションがある場合、[オン にする ] 状態 (強制モード) にあるすべてのポリシーからのアクションが、[ ポリシー ヒントを使用してシミュレーション モードでポリシーを実行する] および [シミュレーション モードでポリシーを実行する ] のポリシーよりも優先的に適用されます。

シミュレーション モードでポリシーを実行すると、実行時に適用されるアクションが変更されます

ポリシーが一致し、 [シミュレーションでポリシーを実行する ] 状態の場合、 [ すぐにオンにする] 状態の場合とは異なるアクションが適用されます。

アクション アイテムが複数のポリシーに一致し、それらのポリシーのアクションが異なる場合、最も制限の厳しいアクションの集計または合計が適用されます。

承認グループの 構成 アイテムが複数のポリシーに一致し、それらのポリシーのアクションが異なる場合、最も制限の厳しいアクションの集約 (合計) が適用されます。

上書きオプション アイテムが複数のポリシーと一致し、これらのポリシーの上書きオプションが異なる場合、アクションは次の順序で適用されます。

上書きなし>上書きを許可する

ランタイムの動作を示すシナリオを次に示します。 最初の 3 つのシナリオでは、次のように 3 つの DLP ポリシーが構成されています:

アイテムにクレジット カード番号が含まれている

監視対象デバイス上のアイテムにクレジット カード番号が含まれているため、このアイテムはポリシー ABC とポリシー MNO と一致します。 ABC と MNO の両方が [有効にする] モードになっています。

アイテムにクレジット カード番号と米国の社会保障番号が含まれている

監視対象デバイス上のアイテムにクレジット カード番号と米国の社会保障番号が含まれているため、このアイテムはポリシー ABC、ポリシー MNO、ポリシー XYZ と一致します。 3 つのポリシーはすべて [有効にする] モードになっています。

アイテムにクレジット カード番号が含まれていて、ポリシーの状態が異なる

監視対象デバイス上のアイテムにはクレジット カード番号が含まれているため、ポリシー ABC とポリシー MNO と一致します。 ポリシー ABC が [オンにする ] モード、ポリシー MNO が [シミュレーション モードでポリシーを実行する] 状態です。

アイテムにクレジット カード番号が含まれていて、上書きの構成が異なる

監視対象デバイス上のアイテムにはクレジット カード番号が含まれているため、ポリシー ABC とポリシー MNO と一致します。 ポリシー ABC が [有効にする] 状態になっていて、ポリシー MNO が [有効にする] 状態になっています。 さまざまな オーバーライド アクションが構成されています。

アイテムにクレジット カード番号が含まれていて、承認グループの構成が異なる

監視対象デバイス上のアイテムにはクレジット カード番号が含まれているため、ポリシー ABC とポリシー MNO と一致します。 ポリシー ABC が [有効にする] 状態になっていて、ポリシー MNO が [有効にする] 状態になっています。 それらには、異なる 承認グループ アクションが構成されています。

条件

条件は、ルールの検索対象と、アイテムが使用されているコンテキストを定義する場所です。 ルールに対して次のような指示を出します: "これ" に似たアイテムが見つかり、"この" ように使用されている場合、そのアイテムは一致なので、それに対してポリシー内の残りのアクションを実行する必要があります。 条件を使用して、さまざまな操作をリスクレベル別に割り当てることができます。 たとえば、組織内で共有されている機密コンテンツは、組織外のユーザーと共有されている機密コンテンツよりリスク レベルが低く、必要なアクションを少なくする、といったことができます。

コンテンツが含まれている

すべての場所で "コンテンツに含まれている場合" 条件がサポートされています。 各コンテンツ タイプの複数のインスタンスを選択し、"次のいずれか" (OR) または "次のすべて" (AND) 演算子を使用して条件をさらに絞り込むことができます。

• 機密情報の種類
• 秘密度ラベル
• 保持ラベル
• トレーニング可能な分類子

ルールは、選択した秘密度ラベルおよび保持ラベルの存在のみを検索します。

SIT には定義済みの信頼度があり、これは必要に応じて変更できます。 詳細については、「信頼度の詳細」をご覧ください。

1 通のメール内の異なる添付ファイル間で重複する SIT 単語は、一意カウントに 1 回だけカウントされます。

Microsoft Purview の適応型保護

適応型保護は、Microsoft Purview インサイダー リスク管理のリスク プロファイルを DLP ポリシーに統合して、DLP が動的に識別された危険な動作から保護できるようにします。 インサイダー リスク管理で構成された場合、適応型保護のインサイダー リスク レベルは、Exchange Online、デバイス、Teams、および管理対象外のクラウド アプリの場所の状態として表示されます。 詳細については、「 データ損失防止における適応型保護について」 を参照してください。

適応型保護がサポートする条件

• 適応型保護のインサイダー リスク レベルは、次の値でサポートされています:

• 高いリスク レベル

• 中程度のリスク レベル

• 軽微なリスク レベル

条件のコンテキスト

使用可能なコンテキスト オプションは、選択した場所によって異なります。 複数の場所を選択した場合は、それらの場所に共通する条件のみを使用できます。

Exchange でサポートされる条件

• コンテンツが含まれている
• 適応型保護のインサイダー リスク レベルが次の場合
• コンテンツにラベルが付かない
• コンテンツが Microsoft 365 から共有されている
• コンテンツが指定の送信者から受信された場合
• 送信者の IP アドレスが
• ヘッダーに指定の単語または語句が含まれている
• 送信者の AD 属性に指定の単語または語句が含まれている
• コンテンツの文字セットに指定の単語が含まれている
• ヘッダーがパターンと一致している
• 送信者の AD 属性がパターンと一致する
• 受信者の AD 属性に指定の単語または語句が含まれている
• 受信者の AD 属性がパターンと一致する
• 受信者が次のメンバーの場合
• 文書のプロパティが
• メールの添付ファイルのコンテンツをスキャンできなかった
• ドキュメントまたは添付ファイルがパスワードで保護されている
• 送信者がポリシー ヒントを上書きした
• 送信者が次のグループのメンバーの場合
• メールの添付ファイルのコンテンツのスキャンが完了しなかった
• 受信者のアドレスに単語が含まれている
• ファイルの拡張子が指定の拡張子の場合
• 受信者ドメインが
• 受信者が
• 送信者が
• 送信者のドメインが次の場合
• 受信者のアドレスがパターンと一致している
• ドキュメント名に指定の単語または語句が含まれている
• ドキュメント名がパターンと一致する
• 件名に指定の単語または語句が含まれている
• 件名がパターンと一致している
• 件名または本文に指定の単語または語句が含まれている
• 件名または本文がパターンと一致する
• 送信者のアドレスに指定の単語が含まれている
• 送信者のアドレスがパターンと一致している
• ドキュメントのサイズが次の値以上の場合
• ドキュメントのコンテンツに指定の単語または語句が含まれている
• ドキュメントのコンテンツがパターンと一致する
• メッセージのサイズが次の値以上の場合
• メッセージの種類が以下の場合
• メッセージの重要度が以下の場合

SharePoint でサポートされる条件

• コンテンツが含まれている

• コンテンツが Microsoft 365 から共有されている

• 文書のプロパティが

• ドキュメントをスキャンできなかった

• ドキュメントまたは添付ファイルがパスワードで保護されている

• ドキュメントのスキャンが完了しなかった

• ファイルの拡張子が指定の拡張子の場合

• ドキュメント名に指定の単語または語句が含まれている

• ドキュメントのサイズが次の値以上の場合

• ドキュメントの作成者が次の場合

• ドキュメント作成日が以下である

• ドキュメント作成日が以前である

• ドキュメントの変更日が

• ドキュメントの変更日が以前である

条件: OneDrive アカウントのサポート

• コンテンツが含まれている

• コンテンツが Microsoft 365 から共有されている

• 文書のプロパティが

• ドキュメントをスキャンできなかった

• ドキュメントまたは添付ファイルがパスワードで保護されている

• ドキュメントのスキャンが完了しなかった

• ファイルの拡張子が指定の拡張子の場合

• ドキュメント名に指定の単語または語句が含まれている

• ドキュメントのサイズが次の値以上の場合

• ドキュメントの作成者が次の場合

• ドキュメントが共有されている

• ドキュメント作成日が以下である

• ドキュメント作成日が以前である

• ドキュメントの変更日が

• ドキュメントの変更日が以前である

条件: Teams チャットとチャネル メッセージのサポート

• コンテンツが含まれている
• 適応型保護のインサイダー リスク レベルが次の場合
• コンテンツが Microsoft 365 から共有されている
• 受信者ドメインが
• 受信者が
• 送信者が
• 送信者のドメインが次の場合

条件マネージド クラウド アプリのサポート

• コンテンツが含まれている
• ファイルの拡張子が指定の拡張子の場合
• ドキュメントのサイズが次の値以上の場合
• 管理対象または非管理対象デバイス (データの切り取り/コピー、データの貼り付け、およびデータの印刷アクティビティは、管理対象または非管理対象のデバイス条件のみをサポートします)。

条件 管理対象外のクラウド アプリのサポート

• コンテンツが含まれている
• コンテンツが完全にスキャンされていない
• ファイルをスキャンできない
• ファイルの拡張子が指定の拡張子の場合
• ファイルにラベルが付かない
• ファイルはパスワードで保護されています
• ファイル サイズが次の値より大きい
• ファイルの種類は
• 適応型保護のインサイダー リスク レベルが次の場合
• URL にテキストが含まれている (プレビュー)

(プレビュー)URL に含まれるテキスト条件は、アンマネージド クラウド アプリの URL に指定されたテキスト文字列が含まれている場合を検出します。 DLP ルールを特定の URL にスコープ設定する条件として使用したり、ポリシーの適用から特定の URL を除外する例外として使用したりできます。 たとえば、organizationの名前が含まれていない GitHub URL への機密データのアップロードをブロックしながら、organization の GitHub リポジトリへのアップロードを許可するルールを作成できます。 この条件は、ブラウザーとネットワークの検出でサポートされており、デバイスをエンドポイント DLP にオンボードする必要はありません。

エンドポイントでサポートされている条件

• コンテンツに含まれるもの: 検出するコンテンツを指定します。 サポートされているファイルの種類の詳細については、「コンテンツのためにスキャンされたFiles」を参照してください。

• コンテンツにラベルが付かない: 秘密度ラベルが適用されていないコンテンツを検出します。 サポートされているファイルの種類のみが検出されるようにするために、この条件は、"ファイル拡張子が次の場合" 条件または "ファイルの種類が以下の場合" 条件と一緒に使用する必要があります。 PDF ファイルと Office ファイルがサポートされています。

  ファイルの種類	フォーマット	監視対象ファイルの拡張子
  ワード プロセッシング	Word、PDF	.doc、.docx、.docm、.dot、.dotx、.dotm、.docb、.pdf
  スプレッドシート	Excel、CSV、TSV	.xls、.xlsx、.xlt、.xlm、.xlsm、.xltx、.xltm、.xlsb、.xlw、.csv、.tsv
  Presentation	PowerPoint	.ppt、.pptx、.pos、.pps、.pptm、.potx、.potm、.ppam、.ppsx

• ドキュメントをスキャンできませんでした: 次のいずれかの理由でスキャンできないファイルに適用されます。

  • ファイルに 1 つ以上の一時的なテキスト抽出エラーが含まれています
  • ファイルはパスワードで保護されている
  • ファイル サイズがサポートされている制限を超えています (最大ファイル サイズ: 非圧縮ファイルの場合は 64 MB、圧縮ファイルの場合は 256 MB)
  • Microsoft 分類エンジン (MCE) のタイムアウトまたは失敗

• 文書名に次の単語または語句が含まれている :たとえば、 file、 credit card、 patent など、指定した単語または語句のいずれかを含むファイル名を持つドキュメントを検出します。

• 文書名とパターンの一致: ファイル名が特定のパターンと一致するドキュメントを検出します。 評価では、ドキュメントの名前だけでなく、ドキュメントのパス全体が考慮されます。 パターンは文字列の一致としてチェックされます。つまり、ドキュメント パスの任意の部分と一致する可能性があります。 パターンを定義するには、ワイルド カードを使用します。

• ドキュメントまたは添付ファイルはパスワードで保護されています。 保護されていて開いているファイルのみを検出します。 次のファイルがサポートされています。
• アーカイブ ファイル (ZIP、.7z、RAR)
  • Office ファイル
  • PDF
  • Symantec PGP 暗号化ファイル

• 文書サイズが次の値以上である: 指定した値以上のファイル サイズを持つ文書を検出します。 DLP では、64 MB 未満のファイルのコンテンツ検査のみがサポートされます。

  重要

  10 KB を超えるアイテムを検出するには、この条件を設定することをお勧めします

• ファイルの種類: 次のファイルの種類を検出します。

  ファイルの種類	アプリ	監視対象ファイルの拡張子
  ワード プロセッシング	Word、PDF	doc、.docx、.docm、.dot、dotx、.dotm、.docb、.pdf
  スプレッドシート	Excel、CSV、TSV	.xls、.xlsx、.xlt、.xlm、.xlsm、.xltx、.xltm、.xlsb、.xlw、.csv、.tsv
  Presentation	PowerPoint	.ppt、.pptx、.pos、.pps、.pptm、.potx、.potm、.ppam、.ppsx
  電子メール	Outlook	.msg

  重要

  ファイル拡張子とファイルの種類のオプションを、同じルールの条件として使用することはできません。 同じポリシーの条件として使用する場合は、個別のルールに含める必要があります。

[ファイルの種類] は [条件] を使用するには、以下のいずれかのバージョンの Windows が必要です。

• Windows エンドポイント (x64):

  • Windows 10 (21H2、22H2)
    • Windows 10 21H2 の更新プログラムの詳細
    • Windows 10 22H2 の更新プログラムの詳細

• Windows エンドポイント (ARM64):

  • Windows 11 (21H2、22H2)
    • Windows 11 21H2 の更新プログラムの詳細
    • Windows 11 22H2 の更新プログラムの詳細

• ファイル拡張子:[ファイルの種類] 条件の対象と同じ拡張子を持つファイル内の機密情報を検出するだけでなく、[ファイル拡張子] 条件を使用して、監視する必要があるファイル拡張子を持つファイル内の機密情報を検出できます。 これを行うには、必要なファイル拡張子をコンマで区切ってポリシーのルールに追加します。 ファイル拡張子 条件は、ファイルの種類が条件をサポートする Windows のバージョンでのみサポートされます。 ファイル拡張子は 、アーカイブ ファイルの種類をサポートしていません。

  警告

  ポリシー ルールに .dll、.exe、.mui、.ost、.pf、.pst のいずれかのファイル拡張子を含めると、CPU 負荷が大幅に増加する可能性があります。

• スキャンが完了しませんでした: ファイルのスキャンが開始されたが、ファイル全体がスキャンされる前に停止した場合に適用されます。 スキャンが完了しない主な理由は、ファイル内の抽出されたテキストが許容される最大サイズを超えていることです。 (抽出されたテキストの最大サイズ: 非圧縮ファイル: 抽出可能なテキストの最初の 4 MB。圧縮ファイル: N=1000 / 抽出時間 = 5 分。

• ドキュメントのプロパティ: 指定された値と一致するカスタム プロパティを持つドキュメントを検出します。 例: Department = 'Marketing'、 Project = 'Secret'。 1 つのカスタム プロパティに複数の値を指定するには、二重引用符を使用します。 たとえば、"部署: マーケティング、営業" などです。 サポートされているファイルの種類は Office と PDF です。

  ファイルの種類	フォーマット	監視対象ファイルの拡張子
  ワード プロセッシング	Word、PDF	.doc、.docx、.docm、.dot、.dotx、.dotm、.docb、.pdf
  スプレッドシート	Excel、CSV、TSV	.xls、.xlsx、.xlt、.xlm、.xlsm、.xltx、.xltm、.xlsb、.xlw、.csv、.tsv
  Presentation	PowerPoint	.ppt、.pptx、.pos、.pps、.pptm、.potx、.potm、.ppam、.ppsx

• ユーザーが Microsoft Edge から機密性の高い Web サイトにアクセスしました: 詳細については、「 機密性の高いサービス ドメインへのアクセスを監視または制限することで、危険なユーザー アクティビティを防ぐ」を参照してください。

• 適応型保護のインサイダー リスク レベルは次のとおりです。 インサイダー リスク レベルを検出します。

「 監視してアクションを実行できるエンドポイント アクティビティ」も参照してください。

5 つの条件に関するオペレーティング システムの要件

• ドキュメントをスキャンできなかった
• ドキュメント名に指定の単語または語句が含まれている
• ドキュメント名がパターンと一致する
• ドキュメントのサイズが次の値以上の場合
• スキャンが完了しませんでした

これらの条件のいずれかを使用するには、エンドポイント デバイスで次のいずれかのオペレーティング システムが実行されている必要があります。

• Windows 11 23H2:2023 年 12 月 4 日 — KB5032288 (OS ビルド 22621.2792 および 22631.2792) プレビュー

• Windows 11 22H2:2023 年 12 月 4 日 — KB5032288 (OS ビルド 22621.2792 および 22631.2792) プレビュー - Microsoft サポート

• Windows 11 21H2:2023 年 12 月 12 日 — KB5033369 (OS ビルド 22000.2652) - Microsoft サポート

• Windows 10 22H2:2023 年 11 月 30 日 — KB5032278 (OS ビルド 19045.3758) プレビュー - Microsoft サポート

• Windows 10 21H2:2023 年 11 月 30 日 — KB5032278 (OS ビルド 19045.3758) プレビュー - Microsoft サポート

• Windows Server 2022/2019:2023 年 11 月 14 日 — KB5032198 (OS ビルド 20348.2113) - Microsoft サポート (またはそれ以降)

条件 'Document Property is' のオペレーティング システム要件

• Windows 11:2024 年 2 月 29 日 — KB5034848 (OS ビルド 22621.3235 および 22631.3235) プレビュー - Microsoft サポート (またはそれ以降)

• Windows 10:2024 年 2 月 29 日 — KB5034843 (OS ビルド 19045.4123) プレビュー - Microsoft サポート (またはそれ以降)

条件インスタンス サポート

• コンテンツが含まれている
• コンテンツが Microsoft 365 から共有されている

条件 オンプレミス リポジトリのサポート

• コンテンツが含まれている
• ファイルの拡張子が指定の拡張子の場合
• 文書のプロパティが

条件 Fabric と Power BI のサポート

• コンテンツが含まれている

条件: Microsoft 365 Copilot がサポートする

この機能はプレビュー段階です。

• 次を含むコンテンツ (秘密度ラベル)
• 次を含むコンテンツ (機密情報の種類)
• Email is received from (External users) (プレビュー)

条件グループ

場合によっては、1 つのものだけを識別するルールが必要なことがあります。たとえば、1 つの SIT によって定義される、米国の社会保障番号が含まれているすべてのコンテンツなどです。 しかし、識別しようとしているアイテムの種類がより複雑で、そのため定義することがより困難な多くのシナリオでは、条件を定義する際により高い柔軟性を必要とします。

たとえば、米国の健康保険法 (HIPAA) の適用対象のコンテンツを特定するには、次を検索する必要があります。

• 特定の種類の機密情報 (社会保障番号や麻薬取締局 (DEA) 番号など) を含んでいるコンテンツ。

  AND

• 特定がより難しいコンテンツ (患者の治療に関する通信記録や提供された医療サービスの説明など)。 コンテンツを特定するには、国際疾病分類 (ICD-9-CM または ICD-10-CM) などの大きなキーワード リストからキーワードを一致させる必要があります。

この種類のデータは、条件をグループ化し、グループ間で論理演算子 (AND、OR) を使用して識別できます。

米国医療保険法 (HIPAA) の場合、条件は次のようにグループ化されます。

最初のグループには個人を識別する SIT が含まれており、2 番目のグループには医療診断を識別する SIT が含まれています。

条件は、ブール演算子 (AND、OR、NOT) によってグループ化および結合できるため、含める必要のあるものを指定し、次に、NOT によって最初に結合された別のグループで除外を定義することでルールを定義できます。 Purview DLP がブール値および入れ子になったグループを実装する方法の詳細については、「複雑なルール設計」をご覧ください。

条件に関する DLP プラットフォームの制限

アクション

条件フィルターを通過した項目には、適用されるルールで定義されているアクションがあります。 アクションをサポートするために必要なオプションを構成する必要があります。 たとえば、Exchange を "Microsoft 365 の場所にあるコンテンツへのアクセスを制限またはコンテンツを暗号化する" アクションと共に選択する場合、次のオプションから選択する必要があります:

• ユーザーによる SharePoint、OneDrive、Teams の共有コンテンツへのアクセスをブロックする
  • すべてのユーザーをブロックします。 コンテンツの所有者、最終変更者、サイト管理者のみが引き続きアクセスできます
  • 組織外からのユーザーのみをブロックします。 organization 内のユーザーは引き続きアクセスできます。
• 電子メール メッセージを暗号化する (Exchange のコンテンツにのみ適用)

ルールで使用できるアクションは、選択されている場所によって異なります。 個々の場所で使用できるアクションを次に示します。

サポートされているアクション: Exchange

DLP ポリシー ルールが Exchange で適用される場合、停止 中、 非停止、または どちらも停止しない場合があります。 Exchange がサポートするほとんどの規則は非停止です。 非停止アクションは、後続のルールとポリシーの処理後に適用されます。

DLP アクションは、ブロックなどのポリシーのスコープ内にある暗号化された受信メールに対して実行されますが、暗号化の機密性を維持するために、イベントはアクティビティ エクスプローラーまたはアラートに表示されず、メッセージの内容は受信者以外のユーザーがアクセスできません。

ただし、DLP ポリシー ルールによって 停止 アクションがトリガーされると、Purview は後続のルールの処理を停止します。 たとえば、[ Microsoft 365 の場所でアクセスを制限するか、コンテンツを暗号化する ] アクションがトリガーされると、それ以上のルールやポリシーは処理されません。

アクション が停止でも 停止でもない場合、Purview は続行する前にアクションの結果が発生するのを待ちます。 そのため、送信メールによって [ 承認のためにメッセージを送信者のマネージャーに転送 する] アクションがトリガーされると、Purview はメールを送信できるかどうかについてのマネージャーの決定を取得するのを待機します。 マネージャーが承認すると、アクションは停止しないアクションとして動作し、後続のルールが処理されます。 対照的に、マネージャーがメールの送信を拒否した場合、 送信者の マネージャーに承認を求めるメッセージを転送 すると、停止アクションとして動作し、メールの送信がブロックされます。後続のルールやポリシーは処理されません。

次の表に、Exchange でサポートされるアクションと、それらが停止中か非停止かを示します。

PowerShell の値など、Exchange でサポートされるアクションの詳細については、「データ損失防止の Exchange 条件とアクションのリファレンス」をご覧ください。

サポートされているアクション: SharePoint

• Microsoft 365 の場所にあるコンテンツへのアクセスを制限またはコンテンツを暗号化する
  • すべてのユーザーをブロックする
  • [organization 外からのユーザーのみをブロックする]
  • 特定の外部ドメインまたはユーザーへのアクセスをブロックする (パブリック プレビュー)

[特定の外部ドメインまたはユーザーのアクセスをブロックする] サブオプションを使用すると、ドメイン (partner.com など) またはユーザー SMTP (user@example.com など) による外部アクセスをブロックできます。 また、 Domain IS NOT または User IS NOT を使用して許可リストを指定することもできます。 このサブオプションを使用して、内部ユーザーとドメインをブロックすることはできません。引き続き内部ユーザーに対して すべてのユーザーをブロックします 。

サポートされているアクション: OneDrive

• Microsoft 365 の場所にあるコンテンツへのアクセスを制限またはコンテンツを暗号化する
  • すべてのユーザーをブロックする
  • [organization 外からのユーザーのみをブロックする]
  • 特定の外部ドメインまたはユーザーへのアクセスをブロックする (パブリック プレビュー)

[特定の外部ドメインまたはユーザーのアクセスをブロックする] サブオプションを使用すると、ドメイン (partner.com など) またはユーザー SMTP (user@example.com など) による外部アクセスをブロックできます。 また、 Domain IS NOT または User IS NOT を使用して許可リストを指定することもできます。 このサブオプションを使用して、内部ユーザーとドメインをブロックすることはできません。引き続き内部ユーザーに対して すべてのユーザーをブロックします 。

サポートされているアクション: Teams Chat とチャネル メッセージ

• Microsoft 365 の場所にあるコンテンツへのアクセスを制限またはコンテンツを暗号化する

サポートされているアクション: デバイス

デバイスの場所では、次のアクションがサポートされています。

• Microsoft 365 の場所にあるコンテンツへのアクセスを制限またはコンテンツを暗号化する
  • ユーザーがメールを受信したり、共有された SharePoint、OneDrive、Teams のファイル、および Power BI アイテムにアクセスしたりできないようにします
• ユーザーが Windows デバイスの Microsoft Edge ブラウザーで機密サイトにアクセスしたときのアクティビティを監査または制限する
  • 機密サイトの制限
• デバイスでアクティビティを監査または制限する
  • 制限されたクラウド サービス ドメインにアップロードするか、許可されていないブラウザーからアクセスする
  • サポートされているブラウザーに貼り付け
• すべてのアプリ向けファイル アクティビティ
  • クリップボードにコピーする
  • リムーバブル USB デバイスにコピーする
  • ネットワーク共有にコピーする
  • 印刷
  • 許可されていない Bluetooth アプリを使用したコピーまたは移動
  • RDP を使用したコピーまたは移動
  • 制限されたアプリ グループ内のアプリ用のファイル アクティビティ
  • アプリへのアクセス制限
    • 制限付きアプリによるアクセス
    • 制限付きアプリ リストに含まれていないアプリ、またはルールに追加された制限付きアプリ グループによるアクセス
    • プレビュー中 Copilot+ PC での Windows リコールの制限事項
    • サポートされていないファイル拡張子のみに制限を適用する Power Automate フローを開始する

DLP に対して、オンボードされた Windows デバイスに対して、これらのユーザー アクティビティを 許可、 監査のみ、 上書きでブロック、または ブロック (アクション) を指定できます。

DLP には、オンボードされた macOS デバイスに対して、これらのユーザー アクティビティを 監査のみ、 上書きでブロック、または ブロック (アクション) するように指示できます。

• ブロック: ユーザー関連のアクティビティがブロックされ、監査が有効になります。 管理者は必要に応じてアラートを表示する場合があります。

• 上書きでブロック: このオプションは標準ブロックとして機能しますが、ユーザーはこれをバイパスできます。 トースト通知の [許可] ボタンまたは Microsoft Edge 通知の [OK] ボタンをクリックすると、ユーザーは続行できます。 許可されると、エンドポイント DLP は、「ネットワーク共有へのコピー」、「リムーバブル USB デバイスへのコピー」、「印刷」などのアクションを自動的に再開します。 その他のアクションについては、ユーザーは [許可] をクリックしてポリシーをバイパスした後、プロセスを繰り返す必要があります。

• 監査: アクティビティのブロックは行われませんが、監査は有効になっており、管理者は必要に応じてアラートを表示することができます。

• 許可: アラートをトリガーせずにアクティビティは許可されますが、監査は引き続き有効です。

• オフ: アクティビティのブロックまたは監査はありません。

サポートされているアクション: マネージド クラウド アプリ

Windows および macOS デバイス上のマネージド クラウド アプリでのユーザー アクティビティに対して、DLP に 監査のみ または ブロック (アクション) を指示できます。

サポートされているアクション: アンマネージド クラウド アプリ

Windows 上の管理対象外のクラウド アプリでのユーザー アクティビティに対して、DLP に監査のみまたはブロック (アクション) を指示できます。

サポートされているアクションに関する詳細情報

アクションの詳細については、次を参照してください。

• Microsoft 365 の場所にあるコンテンツへのアクセスを制限またはコンテンツを暗号化する
• ユーザーが Windows デバイスの Microsoft Edge ブラウザーで機密サイトにアクセスしたときのアクティビティを監査または制限する
• デバイスでアクティビティを監査または制限する
• サービス ドメインとブラウザー アクティビティ
• すべてのアプリ向けファイル アクティビティ
• 制限されたアプリのアクティビティ
• 制限されたアプリ グループ内のアプリ用のファイル アクティビティ

Microsoft 365 の場所にあるコンテンツへのアクセスを制限またはコンテンツを暗号化する

これを使用して、ユーザーによるメールの受信や、共有の SharePoint、OneDrive、Teams ファイル、Power BI アイテムへのアクセスをブロックできます。 この操作により、すべてのユーザーをブロックすることも、organization 外のユーザーのみをブロックすることもできます。 SharePoint および OneDrive の場所の場合のみ、特定の外部ドメインまたはユーザーの SMTP (パブリック プレビュー) へのアクセスをブロックすることもできます。

ユーザーが Windows デバイスの Microsoft Edge ブラウザーで機密サイトにアクセスしたときのアクティビティを監査または制限する

このアクションを使用して、ユーザーが以下を試行するタイミングを制御します。

デバイスでアクティビティを監査または制限する

これを使用して、サービス ドメインとブラウザーのアクティビティ、すべてのアプリのファイル アクティビティ、制限されたアプリ アクティビティによってユーザー アクティビティを制限します。 デバイスでアクティビティの監査または制限を使用するには、DLP 設定と、それを使用するポリシーでオプションを構成する必要があります。 詳細については、「制限されたアプリとアプリ グループ」をご覧ください。

アクション "デバイス 上のアクティビティの監査または制限 " を含む DLP ルールには、[ 上書き付きブロック ] を構成できます。 このルールがファイルに適用されると、そのファイルに対して制限されたアクションを実行しようとする試みはブロックされます。 制限を上書きするオプションを含む通知が表示されます。 ユーザーが上書きを選択した場合、アクションは 1 分間許可され、その間ユーザーは制限なくアクションを再試行できます。 この動作の例外は、機密ファイルが Microsoft Edge にドラッグ アンド ドロップされる場合です。Microsoft Edge では、ルールが上書きされた場合、すぐにファイルが添付されます。

サービス ドメインとブラウザー アクティビティ

"クラウド サービス ドメインの許可/ブロック" と "許可されていないブラウザー" リスト (「機密データに対するブラウザーとドメインの制限」をご覧ください) を構成した場合、ユーザーが保護されたファイルをクラウド サービス ドメインにアップロードしようとするか、許可されていないブラウザーからそれにアクセスしようとした際にそのアクティビティに Audit only、Block with override または Block を適用するように構成できます。

ブラウザーへの貼り付けの制限

ルールはクリップボード データでのみ評価されるため、特定のルール条件のみが [ブラウザーに貼り付け] イベントで機能します。 [ブラウザーに貼り付け] は、テキストのコピー元に基づいて評価されません。

[ブラウザーに貼り付け] で機能するルール条件:

• コンテンツが含まれている
• コンテンツにラベルが付けられていない

その他の注記は以下のとおりです。

• ブラウザーに貼り付けでは、秘密度ラベルではなく SIT がサポートされます。
• [ブラウザーに貼り付け] は、30 文字未満のテキストでは評価されません。
• 高度な分類はサポートされていません。
• [ブラウザーに貼り付け] イベントでコンテキスト サマリーが表示されません。
• [ブラウザーに貼り付け] の評価には 2 秒で、貼り付け操作を許可します。
• JIT がフォールバック時にブロックするように構成されている場合、貼り付けはブロックされます。
• ブラウザーに貼り付けでは、クリップボードの最初の 4 MB のテキストのみが分類されます

すべてのアプリ向けファイル アクティビティ

[すべてのアプリのファイル アクティビティ] オプションで、[ファイル アクティビティを制限しない] または [特定のアクティビティに制限を適用する] を選択します。 [特定のアクティビティに制限を適用する] を選択すると、ユーザーが DLP で保護されたアイテムにアクセスしたときに、ここで選択したアクションが適用されます。

制限されたアプリのアクティビティ

以前は "許可されていないアプリ" と呼ばれており、"制限されたアプリ アクティビティ" は、制限を適用するアプリです。 これらのアプリは、エンドポイント DLP 設定の一覧で定義します。 ユーザーが一覧にあるアプリを使用して DLP で保護されたファイルにアクセスしようとすると、そのアクティビティに Audit only、Block with override または Block を適用できます。 "制限されたアプリ アクティビティ" で定義されている DLP アクションは、アプリが制限されたアプリ グループのメンバーである場合に上書きされます。 その後、制限されたアプリ グループで定義されているアクションが適用されます。

制限されたアプリ グループ内のアプリ用のファイル アクティビティ

制限されたアプリ グループをエンドポイント DLP 設定で定義し、制限されたアプリ グループをポリシーに追加します。 制限されたアプリ グループをポリシーに追加する場合は、次のいずれかのオプションを選択する必要があります:

• ファイル アクティビティを制限しない
• すべてのアクティビティに制限を適用する
• 特定のアクティビティに制限を適用する

いずれかの "制限を適用する" オプションを選択した場合、ユーザーが制限されたアプリ グループ内のアプリを使用して DLP で保護されたファイルにアクセスしようとしたときに、アクティビティごとに Audit only、Block with override または Block を適用できます。 ここで定義する DLP アクションは、"制限されたアプリのアクティビティ" および "すべてのアプリのファイル アクティビティ" で定義されているアクションに優先します。

詳細については、「制限付きアプリとアプリ グループ」をご覧ください。

インスタンス アクション

• Microsoft 365 の場所にあるコンテンツへのアクセスを制限またはコンテンツを暗号化する
• サードパーティ アプリを制限する

オンプレミスのリポジトリのアクション

• オンプレミスのファイルへのアクセスを制限またはファイルを削除します。
  • ユーザーがオンプレミスのリポジトリに保存されているファイルにアクセスできないようにブロックする
  • ファイルのアクセス許可の設定 (親フォルダーから継承されたアクセス許可)
  • ファイルを保存されている場所から検疫フォルダーに移動する

詳細については、「DLP オンプレミス リポジトリ アクション」をご覧ください。

Fabric と Power BI のアクション

• メールおよびポリシー ヒントでユーザーに通知する
• 管理者に通知を送信
• アクセスを制限する

Microsoft 365 Copilot アクション

この機能はプレビュー段階です。

• 場所のコンテンツを除外する

マネージド クラウド アプリのアクション

• ブラウザーとネットワークのアクティビティを制限する

非マネージド クラウド アプリのアクション

• ブラウザーとネットワークのアクティビティを制限する

場所を組み合わせたときに使用できるアクション

Exchange およびポリシーを適用するその他の単一の場所を選択した場合、

• "Microsoft 365 の場所にあるコンテンツへのアクセスを制限またはコンテンツを暗号化する" アクションおよび Exchange 以外の場所に関するすべてのアクションを使用できます。

適用するポリシーの Exchange 以外の場所を 2 つ以上選択した場合、

• Microsoft 365 の場所、および Exchange 以外の場所のすべてのアクションを使用して、アクセスを制限するかコンテンツの暗号化を行います。

たとえば、[Exchange とデバイス] の場所を選択した場合、次の操作を使用できます。

• Microsoft 365 の場所にあるコンテンツへのアクセスを制限またはコンテンツを暗号化する
• Windows デバイスでアクティビティを監査または制限する

[デバイスとインスタンス] を選択すると、次のアクションを使用できます:

• Microsoft 365 の場所にあるコンテンツへのアクセスを制限またはコンテンツを暗号化する
• Windows デバイスでアクティビティを監査または制限する
• サードパーティ アプリを制限する

アクションが有効になるかどうかは、ポリシーのモードを構成する方法によって異なります。 [ シミュレーション モードでポリシー を実行する] オプションを選択すると、ポリシー ヒントを表示する場合、または表示しないかを選択できます。 [すぐに有効にする] オプションを選択して、ポリシーの作成から 1 時間経過後にすぐにポリシーを実行するか、[無効にしておく] を選択して、ポリシーを保存だけしておき後で戻ってくることを選択できます。

アクションの DLP プラットフォームの制限

ユーザー通知とポリシー ヒント

ユーザーがルールの条件を満たすコンテキスト内の機密アイテムに対してアクティビティを試みた場合 (たとえば、個人データ (PII) を含み、ゲストと共有されている OneDrive サイト上の Excel ブックなどのコンテンツ)、ユーザー通知メールやコンテキスト内のポリシー ヒント ポップアップを通じて、そのことをユーザーに知らせることができます。 これらの通知は、認知度を高め、組織の DLP ポリシーについてユーザーを教育するのに役立ちます。

アラート メール、インシデント レポート メール、およびユーザー通知は、ドキュメント 1 つにつき 1 回だけ送信されます。 "コンテンツを共有しています" 条件のドキュメントが 2 回共有されている場合でも、通知は 1 つのみです。

選択した場所によるメール通知のサポート

ブラウザーとネットワークの Email 通知 (プレビュー)

DLP ルールがアンマネージド クラウド アプリ (ブラウザーとネットワーク) 用に構成されている場合、メール通知を有効にして、アクティビティがブロックされたときにエンド ユーザーにメールで通知できます。 これは、Microsoft Edge for Business などのブラウザーに直接表示されるインライン ポップアップ通知とは異なります。 Email通知は、Android Global Secure Access統合など、ポップアップ通知をサポートしていない統合に特に役立ちます。

次のメール通知を構成できます。

• ブロックされたアクティビティを実行したユーザー。
• 管理者やコンプライアンス責任者などの追加の受信者。

Email通知のバッチ処理

Email 通知は、通信の洪水を防ぐためにバッチ処理されます。

• 最初のポリシーの一致は、すぐに (アクティビティから数秒以内に) メール通知を送信します。
• 10 分以内にポリシーが一致すると、ブロックされたすべてのアクティビティが一覧表示された 1 つのメール通知にバッチ処理されます。
• ポリシーの一致が 10 分なくなると、ウィンドウがリセットされます。 次のポリシー一致は即時通知を送信し、新しい 10 分間のウィンドウを開始します。

バッチ処理されたメールには、同じユーザーに対して同じ DLP ルールによってトリガーされたか、異なる DLP ルールによってトリガーされたかに関係なく、ブロックされたすべてのアクティビティが個々のエントリとして一覧表示されます。

また、業務上の正当な理由がある場合や、ポリシーが誤検知した場合にブロックされないように、ユーザーにポリシーをオーバーライドするオプションを提供することもできます。

ポリシー ヒントとユーザー通知の構成オプション

ユーザー通知とポリシー ヒントの構成オプションは、選択した監視場所によって異なります。 次のいずれかを選択した場合、

• Exchange
• SharePoint
• OneDrive
• Teams チャットとチャネル
• Instances

さまざまな Microsoft アプリのユーザー通知を有効または無効にできます。 「データ損失防止ポリシーのヒント リファレンス」を参照してください。

また、ポリシー ヒントを使用して通知を有効/無効にすることもできます。

• コンテンツを送信、共有、または最後に変更したユーザーへのメール通知、または
• 特定のユーザーに通知する

さらに、メールのテキスト、件名、ポリシー ヒントのテキストをカスタマイズできます。

エンド ユーザー通知メールのカスタマイズの詳細については、「 カスタム メール通知」を参照してください。

[デバイスのみ] を選択した場合は、Exchange、SharePoint、OneDrive、Teams Chat と Channel、および [Instances] で使用できる同じオプションがすべて利用でき、通知のタイトルやコンテンツをカスタマイズしたり、Windows 10/11 デバイス上に表示される [サポートを受ける] ボタンの形式でハイパーリンクを追加したりすることもできます。

カスタム ポリシー ヒント通知の文字数制限

ポリシー ヒントの通知には、以下の文字数制限があります。

ハイパーリンクには文字数制限がありませんが、DLP パッケージ全体で使用可能な残りの領域に制限されます。 ハイパーリンクは解決可能な URL である必要があり、選択可能なコントロールの背後で抽象化されます。 詳細情報のハイパーリンクは、Microsoft 365 Office アプリで使用できます。

次のパラメーターを使用して、テキストのタイトルと本文をカスタマイズできます。

%%AppliedActions%% は、これらの値をメッセージ本文に置き換えます:

このカスタマイズされたテキストを使用すると、

%%ProcessName%% を使用してファイル名 %%FileName%% を %%AppliedActions%%は、組織で許可されていません。 ポリシー %%PolicyName%% をバイパスする場合は、[許可する] を選択してください

は、カスタマイズされた通知で次のテキストを生成します:

WINWORD.EXE を使用してファイル名: Contoso doc 1 をクリップボードから貼り付けることは、組織で許可されていません。 ポリシー Contoso 極秘をバイパスする場合は、[許可する] ボタンを選択してください

カスタム ポリシー ヒントをローカライズするには、Set-DlpComplianceRule -NotifyPolicyTipCustomTextTranslations コマンドレットを使用します。

カスタム ポリシー ヒントには、最も制限の厳しいルールが表示されます。必ずしも制限を実行しているルールではありません。

通知とヒントのテキストをカスタマイズする方法など、ユーザー通知とポリシー ヒントの構成と使用の詳細については、「 DLP ポリシーのメール通知の送信とポリシー ヒントの表示」を参照してください。

ポリシー ヒントに関する考慮事項

• 秘密度ラベルが圧縮ファイル内にある場合、ポリシー ヒントは生成されません。
• DLP では、暗号化されたファイルのポリシー ヒントを生成するのが困難です。

ポリシー ヒントのリファレンス

異なるアプリのポリシー ヒントと通知のサポートの詳細については、こちらをご覧ください:

• Outlook for Microsoft 365 用データ損失防止ポリシー ヒントのリファレンス
• Outlook on the Web 用データ損失防止ポリシー ヒントのリファレンス
• データ損失防止ポリシーのヒント リファレンス: Microsoft 365 の SharePoint および OneDrive。 Web クライアント

Exchange でユーザーをブロックする

Microsoft 365 および OneDrive の SharePoint でのブロックと通知

次の表は、Microsoft 365 の SharePoint と OneDrive を対象とするポリシーの DLP のブロックと通知の動作を示しています。 これは完全なリストではなく、この記事の対象外の設定が他にもあります。

詳細情報の URL

ユーザーは、アクティビティがブロックされている理由を知りたい場合があります。 ポリシーの詳細を説明するサイトまたはページを構成できます。 [エンド ユーザーのコンプライアンス URL を指定する] を選択して、organization のポリシー (Exchange でのみ利用可能) の詳細を確認し、ユーザーが Outlook Win32 でポリシー ヒント通知を受け取ると、詳細情報リンクは指定したサイト URL を指します。 この URL は、Set-PolicyConfig -ComplainceURL を使用して構成されたグローバル コンプライアンス URL に優先されます。

ユーザー上書き

"ユーザーによる上書き" の目的は、ユーザーに対して、正当な理由がある場合に、Exchange、SharePoint、OneDrive、または Teams の機密アイテムに対する DLP ポリシーのブロック アクションをバイパスして、作業を継続できるようにする仕組みを提供することにあります。 ユーザーによる上書きは、[ポリシー ヒントを使用して Office 365 サービスのユーザーに通知する] が有効になっている場合にのみ有効になるため、ユーザーによる上書きは通知とポリシー ヒントと連携します。

通常、ユーザーによる上書きは、組織がポリシーを最初にロールアウトするときに便利です。 上書きの正当な理由と誤検知の特定から得られるフィードバックは、ポリシーのチューニングに役立ちます。

• 最も制限の厳しいルールでユーザーにルールを上書きすることを許可している場合は、このルールを上書きすることで、コンテンツに一致した他のルールもすべて上書きされます。

ユーザー オーバーライド動作

ユーザーが [許可 ] オプションを選択して、これらのアクティビティのブロック操作をオーバーライドすると、次の操作を行います。

• 印刷
• リムーバブル USB デバイスにコピーする
• ネットワーク共有にコピーする

ポップアップ通知が表示されてから 30 秒以内に、アクティビティの続行が許可されます。 ユーザーが 30 秒以内に [ 許可 ] オプションを選択しない場合、アクティビティはブロックされます。

他のすべてのアクティビティでは、ユーザーがアクティビティを完了するために [ 許可 ] オプションを選択した後、アクティビティを繰り返す必要があります

業務上の正当な理由 X-Header

ユーザーがメールに対する "オーバーライド付きブロック" アクションを上書きすると、上書きオプションとユーザーが入力したテキストが監査ログとメールの X ヘッダーに格納されます。 ビジネス上の正当な理由のオーバーライドを表示するには、監査ログでExceptionInfo値を検索して詳細を確認してください。 監査ログ値の例を次に示します:

{
    "FalsePositive"; false,
    "Justification"; My manager approved sharing of this content",
    "Reason"; "Override",
    "Rules": [
         "<message guid>"
    ]
}

業務上の正当な理由の値を利用する自動化されたプロセスがある場合、プロセスはメールの X ヘッダー データでその情報にプログラムでアクセスできます。

インシデント レポート

ルールが一致したら、イベントの詳細を記載したアラート メールをコンプライアンス責任者 (または選択したユーザー) に送信できます。また、Microsoft Purview データ損失防止アラート ダッシュボードとMicrosoft Defender XDR ポータルで表示できます。 アラートには、一致したアイテム、ルールに一致した実際のコンテンツ、および最後にコンテンツを変更したユーザーの名前に関する情報が含まれます。

プレビューでは、管理者アラート メールには、次のような詳細が含まれます。

• アラートの重大度
• アラートが発生した時刻
• アクティビティ。
• 検出された機密データ。
• アクティビティがアラートをトリガーしたユーザーのエイリアス。
• 一致したポリシー。
• アラート ID
• デバイスの場所がポリシーのスコープ内にある場合に試行されたエンドポイント操作。
• 使用されていたアプリ。
• エンドポイント デバイスで一致が発生した場合のデバイス名。

DLP は、インサイダー リスク管理など、他の Microsoft Purview Information Protection サービスにインシデント情報を提供します。 インシデント情報をインサイダー リスク管理に提供するには、インシデント レポートの重大度レベルを [高] に設定する必要があります。

アラートの種類

アクティビティがルールに一致するたびにアラートを送信できますが、ルールはノイズの多い可能性があります。 ノイズを抑えるために、一定期間の一致数またはアイテムの量に基づいて集計できます。 DLP ポリシーで構成できるアラートには 2 種類あります。

• 単一イベント アラートは通常、organization の外部に送信される 10 以上の顧客クレジット カード番号を含む 1 つのメールなど、少量で発生する機密性の高いイベントを監視するポリシーで使用されます。 プレビューでは、 ユーザー ベースのアラート集計 (プレビュー) は、 単一イベント アラートの動作を変更します。

• 集約イベント・アラート は、通常、一定期間にわたって大量に発生するイベントをモニターするポリシーで使用されます。 たとえば、顧客のクレジット カード番号が 1 つの個別の 10 通の電子メールが 48 時間にわたって組織外に送信されると、集計アラートをトリガーできます。

その他のアラート オプション

ポリシーの一致が発生したときに通知する電子メール インシデント レポートを使用する を選択すると、以下を含めることができます。

• コンテンツを最後に変更したユーザーの名前。
• ルールに一致した機密コンテンツの種類。
• ルールの重大度レベル。
• 周囲のテキストを含む、ルールに一致したコンテンツ。
• ルールに一致したコンテンツを含むアイテム。

アラートの詳細については、次を参照してください。

• DLP ポリシーのアラート: DLP ポリシーにおけるアラートについて説明します。
• データ損失防止アラートの概要: DLP アラートとアラート リファレンスの詳細に必要なライセンス、アクセス許可、前提条件について説明します。
• データ損失防止ポリシーの作成と展開: DLP ポリシーの作成におけるアラート構成に関するガイダンスが含まれています。
• データ損失防止アラートの調査: DLP アラートを調査するためのさまざまな方法について説明します。
• Microsoft Defender XDR によるデータ損失インシデントの調査: Microsoft Defender ポータルで DLP アラートを調査する方法。

デバイス上のファイル アクティビティの証拠収集

デバイス上のファイル アクティビティの証拠収集の設定を有効にし、Azure ストレージ アカウントを追加した場合は、エンドポイントおよび項目のコピー先の Azure ストレージ アカウントで選択したすべてのファイル アクティビティの証拠として [元のファイルを収集する] を選択できます。 また、アイテムをコピーするアクティビティも選択する必要があります。 たとえば、[印刷] を選択し、[ネットワーク共有にコピーする] を選択しない場合、監視対象のデバイスから印刷されたアイテムのみが Azure Storage アカウントにコピーされます。

追加オプション

ポリシーに複数のルールがある場合は、[追加のオプション] を使用して、編集しているルールに一致するルールがある場合にさらにルール処理を制御し、ルールの評価の優先順位を設定できます。 これは、Exchange と Teams の場所でのみサポートされます

関連項目

• データ損失防止について

• データ損失防止ポリシー (DLP) のサポート

• データ損失防止ポリシーの作成と展開