Exchangeでの DLP が機能しない原因と解決策

By Mirko Peters · 2026-04-20

ここにたどり着いたということは、Microsoft Exchange Online で機密データを確実に守ることの難しさをすでにご存じでしょう。データ損失防止（DLP）は、ユーザーが送信ボタンを押す前に漏えいを食い止める、自動化されたセーフティネットであるはずです。しかし、ルールが期待どおりに動作しない場合や、DLP が肝心なときに機能していない場合はどうすればよいのでしょうか。

Automatically translated with AI from the original post. Read the English original

ここにたどり着いたということは、Microsoft Exchange Online で機密データを確実に守ることの難しさをすでにご存じでしょう。データ損失防止（DLP）は、ユーザーが送信ボタンを押す前に漏えいを食い止める、自動化されたセーフティネットであるはずです。しかし、ルールが期待どおりに動作しない場合や、DLP が肝心なときに機能していない場合はどうすればよいのでしょうか。

本ガイドでは、Exchange Online で DLP ポリシーが失敗する本当の理由に焦点を当てて解説します。Microsoft のドキュメントではあまり明確に説明されていない、DLP が機能しなくなる本当の原因、見落とされやすいライセンスの落とし穴、Outlook 特有の注意点、そして誤解されやすいポリシー設定について取り上げます。多くのヘルプ記事が一般的な手順の繰り返しにとどまる中、具体的な内容まで掘り下げ、データ漏えいを確実に防ぎ、コンプライアンス目標を達成できるようお手伝いします。

Microsoft 365 管理者としての経験が長い方も、「DLP の不一致」アラートが消えない理由を探している方も、本ガイドは実践的で余計な前置きのないトラブルシューティングのガイドです。

Exchange Online で DLP ポリシーが失敗する理由を理解する

データ損失防止は、メールでの機密データの共有を自動的に止める、目に見えないガードレールのように機能すべきものです。しかし実際には、最も必要なときにその保護が機能しないことがよくあります。ログを調べたり PowerShell と格闘したりする前に、DLP が失敗する主な理由を理解しておくことが重要です。

まず大きな出発点となるのがライセンスです。DLP はスイッチを入れるだけの機能ではありません。テナントで適切な Microsoft 365 のプランとサービスが有効になっている必要があります。必要なアドオンを見落としたり、製品マトリックスを読み違えたりすると、検出されない漏えいやサイレントな失敗につながります。

ライセンス以外にも、DLP ポリシーの作成には独自の落とし穴があります。ポリシーは素早く設定できても、正しく設定されていないことがあります。たとえば、重要な受信者グループを漏らしたり、既定のテンプレートをそのまま使ったり、組織固有のデータや業務フローに合わせていなかったりするケースです。条件が1つでも不適切だと、保護範囲に穴が開いてしまいます。

このセクションでは、DLP における基本的な落とし穴の全体像を説明します。ライセンスのギャップ、技術的な前提条件、そしてポリシー作成時に押さえるべき重要な推奨事項と禁止事項です。これらの基本を理解しておくことで、多くの管理者より一歩先に立ち、推測ではなく実際のトラブルシューティングに取り組めるようになります。

DLP について詳しい入門情報や別の視点が必要な場合は、実践的な手順を解説したMicrosoft 365 での DLP 設定に関する詳しい解説をご覧ください。

Microsoft 365 DLP ポリシーのライセンスと前提条件を確認する

• サポートされている Microsoft 365 ライセンスがあることを確認する: Exchange Online の DLP は、すべてのプランに含まれているわけではありません。Microsoft 365 E3、E5、A3、A5、F5 Compliance、または同等のスタンドアロンライセンスが必要です。ユーザーが Business Premium、Essentials、またはそれより下位のプランを利用している場合、メニューに項目が表示されていても DLP が機能しないことがあります。
• Exchange Online Protection（EOP）が有効であることを確認する: EOP は、Exchange における DLP の基盤となるサービスです。受信メールと送信メールが EOP を経由しない場合、DLP ルールはメッセージを評価したりブロックしたりできません。
• Azure Information Protection などの依存関係を確認する: 高度な DLP アクション（メッセージの自動暗号化や秘密度ラベルとの連携など）を使用する場合は、Azure Information Protection と Microsoft Purview（旧 Compliance Center）が設定され、適切にライセンスされている必要があります。
• テナント機能の有効化（場所による違い）: 一部の DLP 機能は、メールボックスデータが適切なリージョンに配置されている場合にのみ利用できます。また、テナントのアップグレード後に新機能が展開されていることも必要です。
• ポリシーの保存と コネクタの設定: フローベースの処理を利用している組織では、Power Platform の DLP 要件も忘れずに確認してください。詳しくはこちらの内部向けガイドをご覧ください。

DLP ポリシーの作成と展開のベストプラクティス

• 小規模なテストから始める: 新しい DLP ポリシーは、全ユーザーに適用する前にまずテストグループに展開してください。これにより、予期しない業務への影響を抑え、トラブルシューティングも管理しやすくなります。
• 機密情報の種類をカスタマイズする: Microsoft の既定値だけに頼らないでください。組織のデータパターンに実際に合うよう、情報の種類を変更または新規作成してください。
• 対象範囲と条件を明確に定義する: ポリシーが適切な受信者とワークロード（メール、SharePoint、OneDrive）を対象にしていることを確認してください。条件は曖昧だったり重複したりせず、厳密に設定してください。
• ポリシーの有効性を定期的に確認する: 一致件数、オーバーライド率、ユーザーからのフィードバックを監視し、ポリシーが厳しすぎるのか、緩すぎるのか、あるいは目的から外れているのかを把握してください。
• すべてを文書化する: ポリシーの変更内容、変更を依頼した人、変更理由を記録してください。将来監査を行う場合やインシデントを遡って調査する場合に不可欠です。

DLP の導入の全体像を実践的に知りたい方はこちら。このポッドキャストのエピソードでは、DLP の設定、注意点、そしてセキュリティと生産性を同時に高めるアプローチを取り上げています。

構成エラーとサポートされていない Outlook 設定の診断

DLP が機能しない原因の多くは、機能の欠如ではなく設定方法にあります。特に Outlook のバージョンやポリシー設定の違いが影響します。適切なライセンスがあっても、1 つの設定ミスで大きな抜け穴が生じることがあります。

特に Outlook クライアントには固有の問題があります。Outlook Web App（OWA）では完全に動作する DLP 機能が、Outlook デスクトップ版、特に古いリリースや特殊なファイルシステムへのインストール環境では正しく動作しないことがあります。ある利用者には DLP が適用され、別の利用者には適用されない場合、サポートされていない設定や古いポリシーが原因であることがよくあります。

このセクションでは、多くの IT 管理者が最終的に直面する構成エラーとクライアント側の死角を取り上げます。これらの問題を事前に把握しておけば、トラブルシューティングや責任の押し付け合いに費やす時間を大幅に減らせます。実際の運用で重要な部分から DLP を修正できるようになります。

DLP の障害を引き起こす一般的な構成エラー

1. 誤った条件とルール・ロジック: DLP の障害の多くは、ポリシーの条件が広すぎたり、狭すぎたり、論理的な誤りを含んだりすることで発生します。例えば、「送信者」と「受信者」の条件を組み合わせた結果、実際にどのユーザーにも一致しなくなる場合や、互いに排他的な条件を使用している場合があります。
2. 不適切なポリシーの適用範囲: DLP ルールが一部のユーザー、メールボックス、ワークロードにしか適用されていないと、環境の大部分が保護されないままになることがあります。Microsoft Purview コンプライアンス ポータルで「Exchange メール」がオンになっていない場合、ポリシーは送信メッセージを一切検査しません。
3. 無効またはカスタムの機密情報の種類: カスタム定義は、正しく実装またはテストされていないと、ポリシーの動作を妨げることがあります。エンティティの定義（例: クレジットカード番号のパターン）と実際のデータが一致しないと、トリガーの見逃しや誤検出につながります。
4. アクションの欠落または誤った構成: 「ブロック」「暗号化」「通知」などのアクションが未設定だったり、誤ったテンプレートを参照していたり、アクセス許可が不足していて失敗したりすることがあります。こうした不備があると、ポリシーは存在していても実際には介入しません。
5. 古いポリシーや重複するポリシー: 既存のルールの上に新しいルールを重ねると、ポリシーの競合、オーバーライド、または意図しないバイパスが発生することがあります。特にハイブリッド環境やマルチジオの Exchange 環境では注意が必要です。必ずルールの優先順位を確認し、新しいポリシーが既存の適用アクションを無効にしていないかを確認してください。

ガバナンスの失敗の多くが不適切な構成に起因する理由をさらに詳しく知りたい方は、Microsoft 365 のガバナンス障害に関するシステムレベルの分析をご覧ください。

Outlook のバージョンでサポートされていない DLP 構成

すべての DLP 機能がどこでも同じように動作するわけではありません。Outlook 2013（および一部の新しいデスクトップ クライアントも含む）は、リアルタイムのポリシーのヒント、動的ブロック、即時の MailTip 警告など、特定の DLP ポリシー アクションを完全にはサポートしていません。クラウドや最新の UI コンポーネントに依存する機能は、存在しないか、動作が一貫しない場合があります。

利用者が複数の Outlook バージョンを使用している場合、ポリシーのヒントは OWA や新しい Outlook で表示される一方、古いクライアントでは中途半端に表示されたり、まったく表示されなかったりするのはよくあることです。同様に、オフライン モードやキャッシュされた Exchange 設定によって、ポリシーの評価プロセスが遅れたり、場合によっては機能しなくなったりすることがあります。DLP ポリシーがすべてのデバイスで完全に適用されていると想定する前に、必ず機能のサポート状況を確認してください。

Exchange OnlineのDLPポリシーのヒントとMailTipsのトラブルシューティング

DLPポリシーは、ユーザーが問題に気づいてこそ意味があります。ポリシーのヒントとMailTipsは、アプリ内に表示される警告や通知で、送信、転送、または機密データの開示前に、ユーザーに再考を促すものです。しかし、これらのヒントが表示されないことは珍しくありません。まったく表示されない場合もあれば、一部のユーザーにだけ表示され、ほかのユーザーには表示されない場合もあります。

このセクションでは、Outlook と Outlook on the web（OWA）で DLP ポリシーのヒントが消えてしまう（そもそも表示されない）原因を突き止めます。その過程で、Exchange のバックエンドの設定とクライアントの構成がそれぞれどのような役割を果たすのかも見ていきます。これらの機能を再度有効にすることは、コンプライアンスの向上に役立つだけでなく、リスクのある内容を送信する前に何が問題になるのかをユーザーに示し、ユーザーの理解と協力を得ることにもつながります。

警告を確実に目に入る場所に表示し続けるための、段階的なトラブルシューティングの手順とベストプラクティスを紹介します。

Outlook と OWA で DLP ポリシーのヒントが表示されない

1. クライアントで MailTips が無効になっている: ユーザーは Outlook のオプションで MailTips をオフにできるほか、グループポリシーによって無効化されている場合もあります。MailTips が無効だと、メール作成中に DLP の警告は表示されません。
2. GetDLPPolicyTip の呼び出しが行われていない: Outlook クライアントは、DLP ポリシーのヒントを取得するために Exchange Online と通信する必要があります。「GetDLPPolicyTip」API の呼び出しが実行されない場合（ファイアウォール、プロキシ設定、オフラインモードによってブロックされることがよくあります）、ヒントは取得も表示もされません。
3. サポートされていない、または古い Outlook クライアントのバージョン: ポリシーのヒントには通常、Outlook 2016 以降、または Web 版（OWA）が必要です。Outlook 2013 や一部のモバイルクライアントでは、ヒントがまったく表示されない場合があります。古い環境や更新されていない環境を使用しているユーザーには、DLP の警告が表示されません。
4. メールボックスで MailTips が有効になっていない: 全体の設定で有効になっていても、一部のメールボックスが MailTips から除外されていたり、属性の継承が正しく機能していなかったりすると、DLP 関連のヒントが表示されないことがあります。
5. 同期の遅延とクライアントのキャッシュ: キャッシュモードでは、Outlook が次の同期サイクルを待つため、ポリシーの更新や新しいヒントが遅れることがあります。この遅延により、DLP が実際には単に遅れて動作しているだけなのに、壊れているように感じられることがあります。

Exchange Online で DLP 用の MailTips を有効にして構成する方法

DLP ポリシーのヒントを正しく表示するには、まず MailTips がテナント全体と特定のメールボックスの両方で有効になっていることを確認します。Exchange 管理センターで、[メール フロー] > [MailTips] に移動します。関連するヒント、特にポリシー違反に関するヒントが選択されて有効になっていることを確認してください。

管理者は、PowerShell を使用することもできます。Set-Mailbox -Identity "user" -MailTip "enabled" を実行するか、Get-OrganizationConfig | fl MailTips で組織の設定を確認します。コンプライアンス ポータルで MailTips を微調整し、表示するヒントとそのタイミングを制御できます。より詳細な手順については、Microsoft 365 で DLP を設定する方法に関するポッドキャストで、詳しい手順と実践的な戦略を確認できます。

Exchange Online の DLP 障害に対する高度なトラブルシューティング

明らかな原因を解消しても、DLP が正しく動作しないことがあります。そのような場合は、管理センターのクリック操作より深く掘り下げる、ネットワークトレース、レジストリの調整、バックエンドの診断などの高度なツールを使用します。ここでは、次々と発生する、断続的な、または原因が不明な DLP の障害を追跡するための戦略を紹介します。

ここでは Fiddler が最適なツールです。Outlook と Exchange Online の間の HTTP トラフィックを確認でき、GetDLPPolicyTip などのサービス呼び出しが実行されているか、または見えないエラーが発生していないかを把握できます。ただし、原因の調査は通信経路だけにとどまりません。ローカルに原因がある場合もあります。レジストリの設定によって DLP の評価が遅れたり、ポリシーの適用タイミングが狂ったりすることがあります。

このセクションでは、専用ツールを使ってサービス呼び出しを検証し、通信エラーを検出し、隠れた評価のボトルネックを解消するための手順を紹介します。これにより、必要なときに必要な場所で DLP が機能するようになります。

Fiddler のトレースを使用して GetDLPPolicyTip の呼び出しを検証する

Fiddler は、Outlook クライアントと Exchange Online の間の HTTP/HTTPS トラフィックをキャプチャする Web デバッグツールです。機密データが含まれている可能性があるメールを作成したときに、「GetDLPPolicyTip」の要求が正常に送信されているかを確認するために使用します。正常なトレースでは、Exchange Online のエンドポイントへの要求が確認でき、応答として構造化されたポリシーのヒントのデータを受け取ります。

トレースに呼び出しの欠落、認証の失敗、想定外のHTTPエラーが表示される場合は、通信の問題が発生しています。原因は、ネットワークフィルター、クライアントの更新漏れ、認証の不整合であることが多いです。こうした異常を特定することで、ポリシーのヒントがどの段階で失われているのかを突き止めやすくなります。

レジストリの調整とDLPコンテンツ評価の遅延

• PolicyEvaluationDelay キーの調整: DLPのヒントが遅く届く場合、またはユーザーがメッセージを送信した後に表示される場合は、HKEY_CURRENT_USER\Software\Microsoft\Office\<version>\Outlook\Security にあるPolicyEvaluationDelay の値を大きくします。これにより、Outlook が処理を進める前に DLP の応答データを受信するための時間が余分に確保されます。
• ポリシー同期間隔の再設定: DlpPolicyRefreshInterval キーを使用して、Outlook のポリシー更新頻度を細かく調整します。このキーは、新規または変更されたポリシーでローカルキャッシュを更新する頻度を制御します。
• 従来のオーバーライドの元に戻す、または削除する: 以前のトラブルシューティングで残った、サポートされていない、または非推奨のレジストリ調整を削除します。削除しないと、DLP の適用結果が予測できなくなるおそれがあります。
• 変更前に必ずレジストリをバックアップする: レジストリの編集は予期しない影響を及ぼす場合があります。変更を適用する前に、復元ポイントを作成し、現在の設定を記録しておきましょう。

Exchange トランスポート ルールおよびハイブリッド展開での DLP の問題の解決

メッセージの流れを管理するのは DLP だけではありません。特に複雑な環境やハイブリッド環境では、Exchange トランスポート ルール (ETR) が並行して動作することがよくあります。クラウドベースの DLP とオンプレミスの ETR の間でポリシーの階層や条件が競合すると、どちらのルールも適用されなかったり、誤ったルールが優先されたりすることがあります。

ハイブリッド展開では、コネクタの設定に誤りがあると、メール ルーティングが DLP のスキャンを完全に迂回する場合があります。DLP と ETR はメッセージを一定の順序で評価するという点を理解しておきましょう。重複または競合するルールは解決し、データが制御をすり抜けないようにする必要があります。階層化されたポリシーの信頼性と共存について詳しくは、ハイブリッド環境における条件付きアクセスとポリシーの信頼に関するこちらの解説もご覧ください。

DLP ポリシーの適用結果の検証とコンプライアンスの確保

ここまでで、DLP の問題の調整、テストを行い、うまく解決できたと思います。ただし、ここで終わりにしてはいけません。修正が定着していることを確認するのは、トラブルシューティングそのものと同じくらい重要です。まず、対象となるすべてのメールボックスで実際のテストシナリオを実行し、ユーザーに適切な警告やブロックが表示されているかどうか、ユーザーからのフィードバックを追跡しましょう。

監査ログとコンプライアンス イベント ログを精査し、DLP に関連するエントリを確認します。無効なデータ、ポリシーのオーバーライド、繰り返し発生する障害などのパターンがないかに注目してください。DLP ポリシーのレポートを有効にしている場合は、Microsoft 365 コンプライアンス センターを使用して、どのメッセージがフラグ付けされ、ブロックされ、または見逃されたかを確認します。

「問題が報告されなければ問題はない」と考えるのは禁物です。業務部門の関係者に声をかけ、模擬的な情報漏えいの訓練を実施し、技術的な障害とユーザーによる回避策の両方に目を配りましょう。この適応型 DLP のセキュリティ エピソードなどのガイドで取り上げられているような、環境全体の戦略を組み込むことで、ツールだけでは見逃してしまう隠れたリスクを明らかにできます。

最後に、DLP の影響はログやヒントのポップアップにとどまらないことを認識しておきましょう。ポリシーは、ユーザーがそれを尊重し、守ろうとする意思があってこそ効果を発揮します。技術的な監視と併せて、定期的なトレーニングや社内コミュニケーションを行い、コンプライアンスを常に意識してもらうことが大切です。実際のユーザー行動とコンプライアンス ダッシュボードの違いについてさらに詳しく知りたい場合は、Microsoft 365 におけるコンプライアンス ドリフトの解説をご覧ください。

Microsoft 365 DLP の結論と継続的なコンプライアンス チェックリスト

1. ポリシーの適用範囲とライセンスを定期的に確認する: 新規入社者やメールボックスの移動が発生したら、DLP ルールが常に適切なユーザーとワークロードを対象にしているか確認しましょう。
2. ポリシーの有効性を監視する: 監査ログ、ヒントの追跡、ユーザーからの直接のフィードバックを活用し、ブロック、警告、監視の各機能が意図どおりに動作しているかを継続的に検証します。
3. 構成変更の更新と文書化: DLP に関連するすべての変更を記録し、監査に備えるとともに、担当者の異動による抜け漏れを防ぎ、今後のトラブルシューティングを効率化しましょう。
4. 定期的なトレーニングと啓発を実施する: コンプライアンストレーニングを定期的に入れ替えて実施し、リマインダーを送信し、ヒントの内容を個人に合わせて最適化します。これにより、アラート疲れやスタッフによるヒントの無視を減らします。
5. チーム間で連携する: セキュリティ、人事、法務の担当者が協力して、DLP の見直しサイクルとインシデント対応を進めるよう促してください。Microsoft Purview などのツールを活用します。ドキュメント管理とコンプライアンスのベストプラクティスはこちらをご覧ください。

技術面と組織面の両方で定期的な点検を行うことは、Microsoft 365 の進化に合わせて DLP ポリシーを適切かつ信頼性の高い状態に保つうえで欠かせません。常に警戒を怠らず、セキュリティを維持し、コンプライアンス体制は自然に整うものではないという前提で取り組みましょう。