Microsoft 365でDLPポリシーが機能しない場合：包括的なトラブルシューティングガイド

By Mirko Peters · 2026-04-20

Microsoft 365でデータ損失防止（DLP）ポリシーが本来検出すべきものを検出できていない場合、そのような問題に直面しているのはあなただけではありません。これらの問題は、すべての設定を確認したつもりの管理者やセキュリティ担当者にも、いつの間にか発生することがあります。

Automatically translated with AI from the original post. Read the English original

Microsoft 365でデータ損失防止（DLP）ポリシーが本来検出すべきものを検出できていない場合、そのような問題に直面しているのはあなただけではありません。これらの問題は、すべての設定を確認したつもりの管理者やセキュリティ担当者にも起こり得ます。DLPポリシーは情報漏えいを事前に防ぐための強力な手段ですが、思い通りに動かないこともあります。ルールが発動しない、アラートが表示されない、機密データが扱われているのに何も起きない、といったケースです。

このガイドでは、Microsoft 365のDLPポリシーが本来の役割を果たせなくなる主な理由を解説します。技術的なミスや人為的なミス、クライアント側の挙動、見落としがちなライセンスの落とし穴、構成上のミス、さらにはユーザーによる巧妙な回避策まで取り上げます。見落とされた設定の問題でも、想定外のクライアントの動作でも、段階的な説明と実行可能な対策を提示しますので、DLP戦略を正常な状態に戻し、組織のデータを適切に保護できるようにしましょう。

Microsoft 365でDLPポリシーが機能しない主な原因

Microsoft 365のDLPポリシーが想定通りに機能しない場合、その根本原因は単にチェックボックスを見落としたといった単純なものではないことがほとんどです。正直に言えば、「壊れている」と思われるDLPポリシーの多くはソフトウェアの不具合が原因ではなく、設定の見落としやルールの動作に対する誤解から生まれています。ロジックの設定、機密情報の検出パターンの選択、どのファイルやメールを「対象範囲」とみなすかといった小さなミスが、問題の発端となることが多いのです。

重要なのは技術的な知識だけではありません。ポリシーを実際の業務の進め方や、Exchange、OneDrive、SharePoint、Teamsといったサービス間でのデータの流れに適合させるための工夫も必要です。さらにライセンスの不足、展開のタイミングの問題、ルールを回避しようとするユーザーの行動が加わると、状況はより複雑になります。こうした根本的な落とし穴を理解しておくことで、推測に頼って時間を浪費するのではなく、効率的にトラブルシューティングを進められるようになります。

以降のセクションでは、構成上のミス、ポリシーのルールと実際のデータとの微妙なずれ、ポリシー条件の複雑な実態について詳しく見ていきます。これは、クライアント側の診断に深く入ったり、Microsoftサポートに問い合わせたりする前の出発点となる基礎知識です。「DLPが機能しない」という頭痛の種の背後にある本当の原因を一緒に明らかにしていきましょう。

DLPポリシーの適用に影響する構成エラーと無効なデータ

• 不完全なルールロジック：DLPポリシーのルールが曖昧だったり不完全だったりする場合（条件の欠落や誤った機密情報の種類の使用など）、意図した内容を検出できないことがあります。チェックボックスをひとつ変更しただけでも、機密データが気付かれないまま漏えいする可能性があります。
• 無効なデータ条件：ポリシーで定義したデータパターンやエンティティが、実際の環境にあるデータと一致しないことがあります。たとえば社会保障番号を保護する場合でも、パターンが特定の形式を考慮していなければ、ポリシーは期待どおりに発動しません。
• 機密情報の種類の不一致：誤った種類の機密情報エンティティを使用したり、重要なキーワードを省いたりすると、リスクのある操作をポリシーがまったく検出しなくなる場合があります。定期的な監査とテストが欠かせません。この点については、Microsoft 365でDLPを設定する方法の実践ガイドで詳しく説明されています。不一致は被害が出る前に発見することが重要です。

機密データがあってもDLPポリシーの条件が満たされない理由

• 厳しすぎる一致条件：ポリシーが検索するキーワードや識別子の数が多すぎたり少なすぎたりする場合（たとえば1つのドキュメント内にクレジットカード番号が一定数以上含まれること、といった条件）、その組み合わせが正確に現れない限り発動しないことがあります。
• コンテキスト設定の見落とし：DLPの条件は、ファイルの場所、共有の状態、受信者リストに依存する場合があります。たとえば、外部共有時のみ発動するよう設定されているポリシーで、ドキュメントが社外に共有されていなければ、内容が機密であっても何も起こりません。
• パターンや修飾子の不一致: ルールが特殊な修飾子やコンテキストの不一致によって誤動作することがあります。たとえば、データの形式がわずかに間違っていたり、ユーザーの操作によって検出を回避されたりするケースです。最適な結果を得るには、中核となる環境設計と共有ルールを見直し、DLPの真の力を引き出すことについてのこのポッドキャストで取り上げたような内容を参考にして、ポリシーが実際の業務フローと一致しているか確認してください。

DLPポリシーをブロックするクライアント側の問題とOutlookの構成

DLPルールが紙の上では完璧に見えても、ユーザーの操作画面でポリシーがうまく機能しなかったり、見えなくなったりすることがよくあります。Outlookは、特にバージョンによって独自の癖や互換性の問題があり、DLPの適用を成功させも失敗させもします。バックエンドでは正しく設定したはずなのに、DLP通知やポリシーのヒントが表示されないという状況に遭遇する管理者は少なくありません。

OutlookがDLPポリシーのヒントをどのように扱うかは、クライアントのバージョンだけでなく、MailTipsのような機能のオン/オフにも左右されます。これらが正しく有効化されていなかったり、サポートされていなかったりすると、ユーザーは重要な警告を受け取れず、データがリスクにさらされてしまいます。実際には、DLPの強度は、中央のポリシーからユーザーのデスクトップやモバイルのOutlookに至るまでの経路の中で最も弱い箇所によって決まります。

このセクションでは、DLPが意図どおりに動作しない原因となる、Outlookと Exchange Online の代表的な構成を紹介します。一部のクライアントでサポートが遅れる理由や、通知を確実に届けるための対策も説明します。また、MailTipsのような機能の設定が、DLP警告がチームの受信トレイに届くかどうかをどのように制御しているかについても見ていきます。

Outlookと Exchange Online のDLPポリシーでサポートされない構成

DLPへの対応は、Outlookのバージョンによって差があります。たとえば、Outlook 2013 がサポートするDLPポリシーのヒントは基本的なものに限られます。一方、新しいOutlookクライアントとMicrosoft 365 Appsは、Exchange Online のDLP機能と最も深く統合されています。組織のメールクライアントが最新でない場合、重要な保護機能やポリシーのヒント機能が利用できない可能性があります。

さらに、Exchange Online だけがDLPの全機能と即時のポリシーチェックを提供します。従来型のExchangeやオンプレミスのExchangeサーバーでは、Microsoft 365のDLPポリシーが同じように処理されない場合があります。完全な互換性と検出を確保するには、OutlookクライアントとExchangeのバックエンドの両方を、公式の推奨事項に沿って最新の状態に保ってください。手順を追った実践ガイドとして、このリソースも参考になります。

OutlookでMailTipsとクライアントのMailTipsがDLPポリシーのヒントに与える影響

• MailTipsの状態を確認する: Exchange 管理センターとOutlookのクライアントオプションの両方でMailTipsが有効になっていることを確認してください。MailTipsが無効になっている場合、DLPポリシーのヒントはユーザーに表示されません。
• 表示されるMailTipsを確認する: Outlookの MailTips オプションで、DLP関連のヒントが表示対象に選択されているか確認してください。有効になっているのが一部だけの場合、重要なポリシーの警告が抜け落ちることがあります。
• クライアント設定をトラブルシューティングする: キャッシュモードや古いクライアント構成によって、MailTipsがブロックされることがあります。設定やポリシーを変更した後は、Outlookを最新版に更新し、アプリケーションを再起動するようユーザーに案内してください。
• PowerShellでMailTipsポリシーを確認する: 管理者はPowerShellを使ってMailTipsの設定を確認・適用し、DLPヒントの表示を組織全体で統一できます。

FiddlerとMicrosoft Purviewコンプライアンスポータルを使った技術的診断

構成とクライアント設定を確認してもDLPルールがトリガーされない場合は、実際に診断を行う段階です。どの段階で問題が発生しているかを把握するには、ポリシーのチェックと通知がリアルタイムでどのように行われるかを詳しく確認する必要があります。Microsoft 365には、ネットワークトレースツールのFiddlerから、Microsoft Purviewコンプライアンスポータルの高機能なダッシュボードまで、内部の動きを確認するためのツールがいくつか用意されています。

Fiddlerを使うと、Outlookクライアントがバックエンドに送信する特定の呼び出し(GetDLPPolicyTip APIなど)を取得できます。ポリシーのヒントが壊れている場合や表示されない場合に、欠かせない診断手順です。一方、コンプライアンス ポータルでは、DLPサービス全体の状態、ポリシーの展開状況、さらにはポリシーの適用を妨げているバックエンドのエラーを確認できます。技術的な問題を切り分ける際は、これらのツールが根本原因の特定や変更内容の検証に役立ちます。

以降のセクションでは、診断の証拠を取得する実践的な方法と、Microsoft 365の管理リソースを使ってDLPが同期の遅延、サービスの停止、設定の不一致によって失敗している箇所を見つける方法を解説します。Microsoft 365の監視がコンプライアンスとセキュリティ全体の中でどう位置づけられるかに関心がある場合は、こちらのステップバイステップ監査ガイドで、すべてのワークロードにわたる継続的なリスク監視への理解を深められます。

GetDLPPolicyTipのFiddlerトレースを取得してポリシーのヒントを診断する

• Fiddlerを起動し、問題を再現する: 影響を受けているユーザーのマシンでFiddlerを実行し、ポリシーのヒントが表示されるはずの操作(メールの作成や送信など)を同じように実行してもらいます。
• GetDLPPolicyTipの呼び出しをフィルタリングする: FiddlerセッションでGetDLPPolicyTip APIへのリクエストを確認します。これらの呼び出しが表示されない場合は、DLPチェックを妨げているクライアントまたは接続の問題がある可能性が高いです。
• 応答を分析する: APIの応答内容を確認し、Exchange Onlineから返されたエラーやポリシーデータの欠落がないかを調べます。この生のフィードバックから、問題がクライアント側にあるのか、サーバー側にあるのかを判断できます。
• エクスポートしてサポートに共有する: 社内でのトラブルシューティングで解決しない場合は、該当するFiddlerトレースをエクスポートし、Microsoftサポートに提供して詳細な分析を依頼します。

DLPの診断にコンプライアンス ポータルのサービス正常性とオンラインセンターを使う

• サービス正常性を確認する: Microsoft Purviewコンプライアンス ポータルにアクセスし、DLPのサービス正常性ダッシュボードを確認して、障害や遅延しているポリシー適用ジョブがないかを調べます。ここでバックエンドに不具合があると、リアルタイムのトリガーに影響する可能性があります。
• ポリシーの展開を検証する: オンラインセンターを使って、ポリシーが完全に有効化され、適切なワークロード(Exchange、SharePointなど)に展開されていることを確認します。展開が不完全な場合、ポリシーの適用に穴が生じることがあります。
• アラートとログを監視する: DLPのアラート、ログ、ポリシー一致レポートを確認し、ブロックされたイベントや許可されたイベントの証拠を探します。これらの情報から、見落としがちなエラーや意図しないポリシーのバイパスを発見できます。
• 運用環境全体で継続的なコンプライアンスを強化する方法については、こちらの監視のベストプラクティスガイドもご覧ください。

DLPが機能しない原因となる展開、ライセンス、適用範囲の問題

ライセンス、展開の方法、適用範囲の設定は、Microsoft 365におけるDLPポリシー失敗の原因として、気づきにくいものの深刻な要因です。どれほど優れたDLPルールを作成しても、ユーザーが適切なサブスクリプションレベルを持っていなかったり、ポリシーの適用範囲が組織のデジタル環境の一部から漏れていたり、必要な場所で変更が展開されていなかったりすれば、意味がありません。ハイブリッド環境や変更の多い環境を管理する管理者にとって、こうした落とし穴は非常によく見られ、厄介な問題です。

展開のミスとして、誤ったユーザーグループを対象にする、重要な場所を含め忘れる、十分なパイロットテストを行わずにポリシーを展開するといったことがあります。その結果、まったく適用されないか、ポリシーの適用が一貫しなくなる可能性があります。同時に、ライセンスのレベルによって、各ワークロードで利用できるDLP機能が正確に決まります。ユーザーが適切なプランに含まれていない場合、DLPは機能せず、警告のエラーも表示されません。

以下では、どのライセンスでどの機能が使えるのかを詳しく説明し、ポリシーを確実に展開するための実績あるベストプラクティスを取り上げます。適用範囲の不足や不適切な展開によって生じる、エラーにならない失敗を避けたい場合や、マルチクラウドおよび自動化が多い環境でのガイダンスが必要な場合は、Power Platform開発者向けDLPを扱ったこちらの実践的なポッドキャストエピソードをご覧ください。

DLP機能に必要なMicrosoft 365ライセンス

すべての Microsoft 365 プランに DLP 機能が含まれているわけではありません。Exchange Online、SharePoint、OneDrive、Teams のデータを保護するには、少なくとも Enterprise E3 または E5 のライセンスが必要です。ビジネス向けプランや下位のプランでは、保護が十分にカバーされないことがよくあります。必要なライセンスが割り当てられていないユーザーがいると、気づかないうちに保護が一部のみになり、ポリシーに抜け穴が生じます。

関連するワークロードのライセンスを誰が保有しているかは、必ず Microsoft 365 管理センターで確認してください。利用権を検証し、どの機能が利用可能であるはずかを把握することが、ライセンスの欠落や不一致に起因する見えない DLP の失敗を特定する第一歩です。判断に迷う場合は、組織のサブスクリプション概要を確認してください。ユーザーの混乱やデータ漏えいが発生してから不足に気づくのでは遅すぎます。

Microsoft 365 DLP におけるポリシー作成と展開のベストプラクティス

• まず試験導入し、後で全体に展開する: 新しいポリシーは、全体に展開する前に必ず少数のグループでテストしてください。早い段階でフィードバックを得ることで、広範囲に影響が及ぶ混乱を防げます。
• 適用対象の慎重な指定: 各ポリシーが適用されるユーザー、グループ、ファイルを明確に定義してください。対象があいまいだと、意図せず適用されなかったり、不要な通知が増えたりします。
• ポリシーを常に最新の状態に保つ: 業務やコンプライアンスの変化に応じて、既存の DLP ルールを定期的に見直してください。ニーズや脅威は常に変化します。
• DLP の初期設定と保守については、Microsoft 365 での実践的な DLP ポリシーの作成に関する詳細解説も参考にしてください。

高度なトラブルシューティング: 特定の DLP ポリシーの失敗を解決する

基本的な対策を講じても、DLP の問題がなくならないことがあります。外部共有の検出が安定しない、ファイルシステムの監視に死角が残っている、ユーザーに表示されるポリシーのヒントが届かない、といったケースです。基本的な解決策で対処できない場合は、ファイルのインデックス作成の仕組み、共有の追跡方法、ユーザー インターフェイスの挙動によって通知がブロックされている可能性など、細部まで掘り下げた高度なトラブルシューティングが必要です。

ファイルシステムのサポートは、特にハイブリッド環境や複雑なサードパーティ製統合を扱う場合、必ずしも自動では機能しません。また、Microsoft 365 の監査は既定ではすべての外部共有を記録しないため、見えないリスクが生じます。このような難しいケースでは、監視、監査、アラートのための体系的な枠組みが欠かせません。この点については、見えない外部共有を阻止する重要ガイドで詳しく解説しています。

このセクションでは要点を絞って、ファイルシステムや共有の設定における技術的な見落としを確認するチェックリストと、ユーザーの Outlook やブラウザー セッションで「DLP のポリシー ヒントが表示されない」という定番の問題を解決する手順を示します。通常の対処法で解決しない場合は、次のトラブルシューティングの層をここで確認できます。

ファイルシステムの構成とサポート対象、外部共有の死角

• サポートされないファイルの種類とストレージ: すべてのファイルの種類や保存場所で DLP のインデックス作成とスキャンが可能なわけではありません。暗号化されたファイル、圧縮ファイル、サードパーティの同期ツール経由のファイル（Dropbox や外付けドライブからのものなど）は、検出の網をすり抜けることがあります。
• 外部共有がインデックスされない: 標準外のチャネルで外部に共有されたドキュメントや、ログ記録が不十分な共有は、DLP の監視を回避する可能性があります。SharePoint と Dataverse のアプローチを比較したこちらのガバナンス ガイドのとおり、共有イベントが拡張監査でカバーされていることを確認してください。
• API 連携の死角: 一部のサードパーティ製アプリや自動化フローは、監視対象の環境からデータを持ち出し、DLP ルールを回避することがあります。ポリシーの網を約束どおり確実に維持するため、連携ポイントを定期的に見直してください。
• 推奨する手順: 高度な監査機能と PowerShell スクリプトを使って外部共有イベントを追跡し、アラートを設定してください。データ漏えいの見出しになる前に、監視の穴をふさぎましょう。

DLP ポリシーのヒントが表示されない場合の解決手順

• MailTips を再度有効にする: Exchange 管理センターと Outlook クライアントの設定の両方で、MailTips が有効になっていることを確認してください。
• キャッシュをクリアして Outlook を再起動する: キャッシュされたデータが DLP ポリシーのヒントを妨げることがあります。キャッシュをクリアして再起動すると、表示が復旧することがよくあります。
• Outlookと ポリシーを更新する: ユーザーが最新のOutlookクライアントを使用していること、また DLP ポリシーの変更がユーザー環境に完全に反映されていることを確認します。
• バックエンド サービスの状態を確認する: Microsoft 365 サービス正常性で、ヒントの表示に影響する DLP 固有の障害や反映の問題が発生していないかを確認します。
• Fiddler で診断する: ほかの方法がすべて失敗した場合は、Fiddler のトレースを実行して GetDLPPolicyTip API の呼び出しが行われているかを確認し、ログに考えられるエラーや不一致がないかを確認します。

ポリシーの反映遅延と DLP 評価の遅れについて

Microsoft 365 で新しい DLP ポリシーを作成すると、昼までには機密データを検出できるようになると期待するものです。しかし、何も起こりません。受信トレイを更新しながら「なぜまだ動作しないのか」と思っているなら、それは反映の遅延が原因かもしれません。バックエンドでは、ポリシーを Exchange、SharePoint、OneDrive、Teams に展開するのに時間がかかり、各サービスはそれぞれ独自のタイミングで処理を行います。

変更が有効になるまでに遅延が生じることは珍しくありません。数分の場合もあれば、数時間かかる場合もあります。たとえば、メールベースの DLP は、メール送信時にリアルタイムでポリシーを評価することが多いです。一方、SharePoint や OneDrive では遅れが生じがちです。ファイルは非同期にスキャンされることがあり、DLP のチェックは「保存」を押した瞬間ではなく、アップロードや共有の後に行われる場合があります。

これは IT 担当者だけが混乱するわけではありません。経験豊富な管理者でも、実際にはバックエンドの同期が進行中であるにもかかわらず、ポリシーが壊れていると思い込んでしまうことがあります。早まった判断は避けてください。新規または更新されたルールには反映するための時間を与えましょう。ポリシーやヒントは、不自然なほど長い待ち時間の後にようやく動作し始めることがあります。

遅延や、最新のコラボレーションがさらに複雑さを加える仕組みについて、より深いコンプライアンスの知見を求めているなら、このMicrosoft 365 の保持とコンプライアンスのドリフトに関する詳細なポッドキャストをぜひご覧ください。変更がクラウド全体にどのように波及するかを理解すれば、何が本当に「動いていない」のか、何が水面下で単に進行しているだけなのかを、ユーザーに正しく伝えられるようになります。