OneDriveでDLPが機能しない：ポリシーの問題のトラブルシューティングと解決策

By Mirko Peters · 2026-04-20

OneDriveやMicrosoft 365で機密情報を管理しているなら、データ損失防止（DLP）は最後の安全網です。しかし、ポリシーが期待どおりに動作しないと、事態はすぐに深刻になります…

Automatically translated with AI from the original post. Read the English original

OneDriveやMicrosoft 365で機密情報を管理しているなら、データ損失防止（DLP）は最後の安全網です。しかし、ポリシーが期待どおりに動作しないと、すぐに困った状況になります。このガイドでは、設定が正しく見えるのにDLPが機能しない理由を突き止める手順を解説します。よくある原因を取り上げ、高度なトラブルシューティングの方法を説明し、無視できない主要な構成と前提条件を紹介します。Outlookで「DLPポリシーのヒント」が表示されない場合、適用されない不可解なギャップに直面している場合、同期や反映の遅延を理解したい場合のいずれであっても、組織でDLPを確実に機能させるための、明確で実践的な手順とベストプラクティスが見つかるはずです。

ポリシーの条件を満たしているのにDLPがOneDriveで解決できない、よくある問題

よくある状況です。Microsoft 365でOneDriveを対象とするDLPポリシーを設定し、ルールも確認しました。機密情報を含むファイルをアップロードすると、ブロックまたは警告が表示されるはずです。しかし、何も起こりません。適用もヒントもなく、静まり返っています。DLPが仕事をサボっているのではないかと首をかしげたくなるでしょう。

DLPを扱う中で最もいらだたしい部分の一つです。ポータルで構成が「正しそうに見える」からといって、実際の環境で毎回発動するとは限りません。問題の核心は、ポリシーが「展開されている」ことと「適用されている」ことの違いにあります。Microsoft 365では、「条件を満たす」ことは必ずしも見た目どおりではありません。リアルタイムスキャン、ファイル形式のサポート、ルールの適切な同期、さらには適用時点のデバイスやクライアントの状態に依存します。

DLPが動作しない原因として多いのは、サポートされていないファイル形式、サービス間でまだ同期されていないポリシー、クライアントの遅延（OneDrive同期アプリが変更をオフラインで保持しているなど）によりスキャンされていないファイルです。条件付きアクセス、暗号化、古いエンドポイントも、ポリシーの評価を無効にすることがあります。こうした違いを理解しておくと時間を節約できます。実際の設定ミスと、クラウドやエンドポイントによるよくある遅延を見分けられるようになり、「ゴースト」のようなエラーを追いかけて数時間を無駄にすることがなくなります。

これらの原因を理解すると、「何かが壊れている」という思い込みから抜け出し、クラウドへの展開からデバイスレベルまで、処理が実際にどこで止まっているのかを探せるようになります。

OneDrive DLPにおけるOutlookのサポート構成とファイルシステムの制限

環境の構成、特にユーザーが使用しているOutlookのバージョンや、ファイルがOneDriveとどのように同期されているかによって、DLPがウォッチドッグとして機能するか、片隅で静かにしているだけかが決まります。考えてみてください。すべてのクライアントがDLPと相性が良いわけではなく、すべてのファイルシステムや同期プロセスがDLPに必要なシグナルを公開しているわけでもありません。

まず、Outlookのバージョンが重要です。DLPポリシーのヒントとMailTipsは、Outlook 2013以降でのみ確実にサポートされます。それより古いバージョンでは、OneDriveのコンテンツに関連するDLP通知はほぼ見えません。つまり、古いOutlookから機密ファイルを共有しようとしても、役立つ通知は表示されないと考えてください。

ファイルシステムと、ファイルの保存方法もさらなる複雑さを加えます。暗号化されたフォルダや、固有のACLを持つネットワーク共有などの一部の保存方法では、DLPがファイルをまったく認識できない場合があります。さらに、OneDriveデスクトップアプリでファイルを同期していても、特定の同期設定を無効にしていると、DLPの検査ウィンドウに支障が出ることがあります。.zip、.exe、特定の画像、暗号化されたドキュメントなど、サポートされていないファイル形式も、DLPの検出範囲からすり抜けやすくなります。

そのため、内容が機密であるにもかかわらずDLPポリシーが発動しない原因を調べる場合は、まずOutlookのバージョン、OneDriveの同期クライアントの設定、そしてファイルの形式と保存方法を確認してください。原因がルールではなく、ファイルを届ける仕組みそのものにあることも少なくありません。

OutlookでDLPポリシーのヒントとMailTipsが表示されない場合のトラブルシューティング

OneDriveのファイルを扱う際に、ユーザーのOutlookでDLPポリシーのヒントやMailTipsが表示されないことに気付くかもしれません。これは単なる不便ではありません。これらのヒントは、データが組織の外に出る前にコンプライアンス上の問題を知らせる、最前線の防御策です。

これらの通知のヒントが表示されない場合、必ずしもポリシーの問題とは限りません。Outlook の構成、インストールされているバージョン、クライアントと Microsoft 365 バックエンドの間のネットワークトラフィックの処理方法が原因の場合もあります。ヒントが欠落している、または非アクティブな状態は、ポリシーの展開、ライセンス、クライアントの互換性に関するより大きな問題を示していることがあり、見落としやすい点です。

このセクションでは、まず MailTips が有効になっており、サポートされている Outlook のバージョンで動作しているかを確認する方法を説明します。次に、バックエンドを詳しく見ていきます。Fiddler などのネットワークトレースツールを使って、GetDLPPolicyTip API の呼び出しが実際に行われているかを確認します。こうした詳細な診断により、問題が Outlook 側にあるのか、ネットワークの経路にあるのか、あるいは Microsoft 365 サービス側にあるのかを特定できます。

これらのヒントを確認して検証することは、DLP のトラブルシューティングにおいて重要な要素です。クライアント側とサーバー側の両方を確認することで、ユーザーが必要な場所で、必要なコンプライアンス警告を確実に受け取れるようになります。

MailTips の有効化と Outlook でのクライアント側 MailTips の確認

1. Outlook のバージョンを確認する: DLP の MailTips がサポートされるのは Outlook 2013 以降のみです。古いバージョンでは、Microsoft 365 で DLP ポリシーが有効になっていても、ポリシーのヒントは表示されません。
2. クライアント設定で MailTips を有効にする: Outlook で [ファイル] > [オプション] > [メール] > [MailTips のオプション] に移動し、MailTips とポリシーのヒントの両方が有効になっていることを確認します。この設定により、ユーザーは DLP によってトリガーされたコンプライアンスメッセージを確認できます。
3. MailTips の表示を確認する: 機密情報を含むテストメールを送信するか、フラグが設定された OneDrive ファイルを添付します。メッセージの上部にポリシーのヒントが表示され、ポリシー違反の可能性が警告されるかどうかを確認します。
4. テストユーザーで検証する: 組織内の複数のユーザーアカウントで同じテストを繰り返し、MailTips が一貫して表示されることを確認します。グループポリシーやプロファイルの問題が表示に影響することがあるためです。

GetDLPPolicyTip の Fiddler トレース: DLP ポリシーのヒントが表示されない原因の診断

GetDLPPolicyTip API は、ユーザーが Outlook や OneDrive と統合されたコンテンツを操作する際に、DLP ポリシーのヒントをリアルタイムで取得する役割を担っています。ポリシーのヒントが表示されない場合、管理者は Web デバッグプロキシである Fiddler を使用して、クライアントと Microsoft 365 の間のすべてのネットワークトラフィックをキャプチャできます。ファイルのアップロードやメール作成の過程で、GetDLPPolicyTip エンドポイントへの呼び出しを特に確認してください。これらの呼び出しが存在しない、または失敗する場合は、ポリシーが欠落しているだけでなく、通信の問題または構成ミスを示しています。これらの API 要求を確認することで、Outlook が DLP 情報を正しく要求しているか、またクライアントが Microsoft 365 の DLP サービスに正しく接続されているかを特定できます。

OneDrive における DLP ポリシーの構成同期のトラブルシューティング

正直なところ、Microsoft Purview ポータルから OneDrive やすべてのデバイスへ DLP ポリシーを反映させるのは、簡単にはいかないことがあります。ルールを変更したりポリシーを更新したりしても、設定が期待どおりに反映されないことがあり、そのために適用の漏れや遅延が生じ、思わぬ事態につながることがあります。

ポリシーの作成、展開、またはデバイス登録の際に構成エラーが発生することがあります。同期の失敗により、同じ部門のユーザーであっても、DLP の適用結果が異なる場合があります。コンプライアンスポータルでは変更がすぐに確認できても、実際のエンドポイントや OneDrive などの接続されたクラウドサービスには反映されていないこともあり、混乱やコンプライアンス上の問題を引き起こします。

実際のトラブルシューティングでは、ポリシーが同期されているかを確認し、デバイスの属性を調べ、エンドポイントがレポートを送信して正しい設定を受け取っているかを検証します。Microsoft Purview 監査などのツールは、何が同期されていて何が同期されていないのか、またその理由を追跡する上で重要な役割を果たします（監査の詳しい解説はこちら）。

同期の遅延による自然な待ち時間と、構成上の実際の不具合を見分けるには一定のコツが必要です。そのため、それぞれについての手順を順に説明します。デバイスの詳細、登録状態、そして組織全体に大きな変更を加えたりサポートケースを起票したりする前に確認すべき点を、これから詳しく見ていきましょう。

デバイスの詳細属性と、適用時に DLP が解決する問題

1. デバイスの登録を確認する: DLP ポリシーを適用するには、対象のエンドポイントが Azure AD に登録され、Microsoft Purview コンプライアンスと Endpoint Manager の両方で認識されている必要があります。
2. デバイスのコンプライアンス状態を確認する: 「非準拠」と表示されているデバイス、または同期が古いデバイスには、DLP の更新が適用されていない可能性があります。関連する管理ポータルで、コンプライアンス状態を確認してください。
3. 最終同期の日時を確認する: ノートパソコンやモバイル デバイスが最近同期されていない場合、新しいポリシーや更新されたポリシーがまだ有効になっていない可能性があります。最終同期日時を確認し、可能であれば手動で同期を実行してください。
4. ローカルの DLP ログを調べる: エンドポイントで DLP の診断ログを開き、ポリシーが評価されているかを確認します。評価されていない場合は、デバイスの属性やユーザー ID のシグナルによって適用がブロックされていないかを調べてください。

OneDrive で DLP 機能を使うためのライセンス: 必要な条件

OneDrive で データ損失防止 (DLP) 機能を利用するには、組織が適切な Microsoft 365 ライセンスを保有している必要があります。最低限、Microsoft 365 E3 with Compliance、Microsoft 365 E5、または該当する Microsoft 365 Business Premium のプランが必要です。Exchange Online の単体の DLP では OneDrive を保護できません。エンドポイントと OneDrive の DLP スコープを完全にカバーするライセンスが必要です。ライセンスの考え方や導入の基本について不安がある場合や手順を知りたい場合は、詳しいガイダンスとして、この Microsoft 365 DLP の設定と構成に関するポッドキャストをご覧ください。

作成と展開: OneDrive 向けの効果的な DLP ポリシーの構築

OneDrive 向けに堅牢な DLP ポリシーを構築するには、テンプレートを選んで「有効にする」を押すだけでは不十分です。まず、明確なポリシーのスコープを定義します。ルールをすべてのクラウド アプリに適用するか、OneDrive のみに適用するか、あるいはその組み合わせにするかを選択してください。そのうえで、Purview コンプライアンス ポータルに組み込まれている Microsoft の定義を使い、クレジット カード番号や個人識別番号などの機密情報の種類を選択します。

ユーザーに不要な警告を大量に表示せず、コンテンツへのマーク, 共有のブロック、またはユーザーへの通知を行うルールを作成します。データが外部に出ようとしている時点、または公開されようとしている時点で、適切なタイミングでユーザーの注意を引くことが重要です。アラート疲れを起こさずに実現できます。自動ブロック、ポリシーのヒント、理由の記録を伴うユーザーによるオーバーライドなどを使うことで、ポリシーを堅牢にしつつ、実際の業務ニーズにも対応できる柔軟性を持たせられます。

テストは必ず、何度も行ってください。OneDrive で実際のファイルのアップロードや共有をシミュレーションし、DLP が正しく動作することを確認します。既定の環境に過度に頼らず、ファイルの種類や利用シナリオごとに個別に検討して、抜け穴を防ぎましょう。フローのガバナンスやコネクタの分類について詳しく知りたい場合は、Power Platform の DLP ポリシー戦略に関するポッドキャストや、適応型 DLP のセキュリティについて扱ったこのエピソードが次のステップとして最適です。これらの資料で紹介されている事前チェック、ネガティブ テスト、ガバナンスのベスト プラクティスを活用して、セキュリティの体制を強化してください。

効果的な DLP の展開は、技術的な設定だけでは完了しません。組織が実際に OneDrive をどのように使っているかに合わせて適用を調整し、データの漏えいを防ぎつつ、業務を妨げない程度の制限にとどめることが重要です。

OneDrive における DLP ポリシーの評価遅延: 同期と反映のタイミングを理解する

ポリシーを設定した直後や、機密性の高いコンテンツを OneDrive にアップロードした直後に、ポリシーがすぐに適用されないことがあります。これは設定の失敗ではない可能性があります。OneDrive も、Microsoft 365 の他のサービスと同様に、パフォーマンスを維持しユーザー体験をスムーズにするため、バックグラウンド処理と非同期スキャンを利用しています。

そのため、DLP の適用が常に即時に行われるとは限りません。ポリシーの展開は、クラウド ポータルから各デバイスへ同期される必要があります。また、ファイルのアップロードや編集は、DLP エンジンが処理する前にインデックス化されることが一般的です。こうした同期とスキャンのサイクルによって生じる「処理の待ち時間」は不具合ではなく、クラウド規模のサービスにおける想定どおりの動作です。

しかし、多くの管理者はこの遅延を見て何かが壊れていると考え、問題ではないものの調査に時間を費やしてしまいがちです。遅延が単なる反映のタイミングによるものだと認識できれば、無駄な調査を避けられます。新規、変更、またはまとめてアップロードされたファイルに対してポリシーの評価がいつ、どのように行われるかを理解しておきましょう。そのうえで、OneDrive 同期クライアントの影響やオフラインの状況も考慮に入れてください。

このセクションでは、通常の組み込みの適用遅延と、本当の設定ミスを切り分けられるようになります。これにより、トラブルシューティングの労力を効果的な箇所に集中できます。

OneDrive のファイル処理の遅延と DLP の適用トリガーについて

OneDrive にファイルがアップロードされたり編集されたりすると、DLP ポリシーの評価は保存や同期の直後ではなく、バックグラウンドスキャンによって開始されます。OneDrive のバックエンドは、ファイルを索引化して機密コンテンツがないかを検査する必要があります。このスキャンには数分かかることがあり、特にピーク時や大量のファイルが一括同期される場合は時間がかかります。また、ユーザーがオフラインでファイルを編集したり、OneDrive デスクトップアプリで大量のファイルを一括同期したりすると、次回の完全同期とバックグラウンドスキャンが行われるまで DLP の適用が遅れることがあります。これらの遅延は標準的な動作であり、通常の反映の遅れを DLP の不具合と取り違えないようにしてください。

DLP のサポート ケースに必要な情報の収集と無効なデータへの対処

あらゆるトラブルシューティングを試しても DLP の動作が改善しない場合は、Microsoft へのサポート ケースを準備するタイミングです。「ログを送ってください」だけでは不十分で、診断用の証拠を一式そろえる必要があります。テスト シナリオ中の GetDLPPolicyTip API 呼び出しを捕捉した Fiddler のトレースを収集してください。ポリシーのヒントが表示されるべきなのに表示されない Outlook や OneDrive の操作も必ず含めてください。

ネットワーク トレースだけで終わらせないでください。DLP ポリシーの適用に関連するローカル デバイスのログを収集し、ポリシー評価が失敗する箇所を示すテスト ファイルやケースもエクスポートしてください。問題が特定のエンドポイント、特定のユーザー アカウント、または特定のファイル形式でのみ発生するかどうかも記録してください。スキャナーをすり抜ける非対応のファイル形式や、設計上 DLP がスキップする暗号化ファイルなど、無効または不正な形式のデータが関係する事例は、明確に文書化してください。

証拠が具体的であるほど、Microsoft が根本原因を特定しやすくなります。DLP のヒントが表示されない画面のスクリーンショット、タイムスタンプ、ポリシーのバージョンも併せて含めてください。この詳細な資料をそろえることで、メールでのやり取りを何度も繰り返す長期化を避け、初回で迅速かつ的確なサポート解決につながる可能性が高まります。明確な文書化こそが、この場面での大きな強みです。

フィードバックと解決: OneDrive で継続する DLP の問題をエスカレーションする

1. Microsoft のフィードバック チャネルを利用する: 未解決の DLP の問題は、Microsoft 365 管理センターまたはユーザー向けクライアントから直接フィードバックとして送信してください。問題の内容、影響を受けるサービス、再現手順を記載します。
2. サポートへのエスカレーションを活用する: 通常のサポートで解決しない場合は、Premier または Unified サポート契約、もしくは公式パートナー経由でエスカレーションしてください。包括的なログと過去のサポート記録を用意しておきます。
3. 製品改善に参加する: 解決しにくいエッジケースの問題に直面している場合は、Microsoft のコンプライアンス アドバイザリー ボードやパブリック プレビュー プログラムに参加してください。フィードバックを提供することで、今後の DLP 機能の開発に反映されます。
4. ガバナンス戦略を見直す: ガバナンスと条件付きアクセスの役割を見落とさないでください。Microsoft 365 全体の戦略を引き締めるために、このガバナンスに関するポッドキャストをご覧ください。ポリシー、プロセス、説明責任がどのように連携して強固なデータ保護を実現するかを学べます。