Microsoft Purview での Legal Hold の使いこなし: IT 管理者が知っておくべきこと

By Mirko Peters · 2026-08-13

エンタープライズガバナンス、コンプライアンス、管理をテーマとした当ポッドキャストシリーズの補足ブログへ、再びお越しいただきありがとうございます。規制当局が企業の記録の提出を求めたとき…

Automatically translated with AI from the original post. Read the English original

ブログ版へようこそ。このシリーズでは、企業のガバナンス、コンプライアンス、管理について継続的にポッドキャストで取り上げています。規制当局から会社の記録の提出を求められたとき、人事部が調査を開始したとき、あるいは法務チームが重要な証拠を保全する必要があるとき、そのプレッシャーはすぐに IT 管理者にのしかかります。Outlook のメールボックス、Teams のチャット、SharePoint サイト、OneDrive のフォルダーを手作業で検索するのは遅く、ミスも起きやすく、大規模な環境ではまったく現実的ではないことも少なくありません。最近のエピソード「Microsoft Purview eDiscovery — Simply Explained」では、ケース単位の構造化されたプロセスを使い、組織が Microsoft 365 のデータを安全に検出、保全、レビュー、エクスポートする方法を解説しました。今回は、そのプロセスの中でも特に重要で誤解されやすい柱の一つである Legal Hold を詳しく見ていきます。

IT 管理者にとって、Microsoft Purview で Legal Hold を適切に構成、管理、解除する方法を理解することは、あれば便利という程度の技術知識ではなく、運用上の必須要件です。調査の進行中に、標準の保持ポリシーやユーザーの操作によって重要な証拠が誤って削除されれば、企業が受ける法的・経済的な影響は甚大になりかねません。仕組み、戦略、ベストプラクティスを一緒に確認し、IT 管理者が習得しておくべき内容を整理していきましょう。

Microsoft Purview Legal Hold の概要

Legal Hold の本質は、Microsoft Purview 内の専用の保全メカニズムであり、係属中または予想される法的手続き、監査、社内調査に関連する可能性のあるコンテンツを、ユーザーが完全に削除したり変更したりできないようにするものです。ユーザー、メールボックス、サイト、または特定のデータソースを Legal Hold に設定すると、Microsoft 365 は通常の削除動作を傍受します。エンドユーザーが削除済みアイテムからメールを削除したり、そのフォルダーを空にしたり、SharePoint のドキュメントを編集したりしても、元のバージョンと変更後のバージョンは、裏側の安全で非表示のストレージ領域に保持されます。

IT 管理者にとって Legal Hold を実装することは、受動的なガバナンスから、能動的で対象を絞った保全への移行を意味します。技術的な実行と、法的ガイダンスへの厳格な準拠との間で慎重なバランスが求められます。IT 管理者は技術基盤の管理者ですが、どこまでを保全すべきかの範囲を決めるのは法務部門とコンプライアンス部門です。この境界を理解することが、Microsoft 365 におけるコンプライアンス管理を習得する第一歩になります。

現代のワークプレースに高度な保全ツールが必要な理由

現代のワークプレースは、10 年前とは大きく異なります。業務上の会話はもはや従来のメールのスレッドだけに存在するものではありません。今日では、重要な意思決定が多様なコラボレーションツールの広がりの中で行われています。重要な経緯は、Exchange Online のメール、スピーディーに進む Microsoft Teams のチャットスレッド、共同編集される SharePoint Online のドキュメントライブラリ、個人の OneDrive for Business アカウント、Microsoft 365 グループ、Viva Engage での会話などに分散している可能性があります。

このように分散した働き方は、調査の際に大きな課題を生みます。従業員が調査対象となった場合、機密性の高い Teams のメッセージを削除したり、メールのスレッドを消去したり、SharePoint のスプレッドシートを上書きしたりするかもしれません。クラウド基盤に直接組み込まれた高度な保全ツールがなければ、出来事の全体像を包括的に組み立てることはほぼ不可能です。Microsoft Purview は、この複数チャネルにまたがるデジタルの痕跡を即座に捕捉して保護するための基盤を提供し、Microsoft 365 テナント内のどこにあっても、重要な証拠が損なわれずに残るようにします。

Legal Hold と標準の保持ポリシー: 何が違うのか

若手の管理者はもちろん、経験豊富な IT 専門家の間でも最もよく混乱を招くのが、標準の Microsoft 365 保持ポリシーと Legal Hold の違いです。どちらの機能もデータを保持するために設計されていますが、その目的、対象範囲、ライフサイクル管理は根本的に異なります。

標準の保持ポリシーは、事前に組織全体を統制するためのガバナンス施策です。内部の記録管理スケジュールや外部の規制要件への準拠を確実にするため、組織全体または特定の部門に幅広く適用されます。たとえば、保持ポリシーで「財務記録はすべて7年間保持し、その後は自動的に削除する」と定めることがあります。これらのポリシーは、対象範囲内のすべてのユーザーに一律に適用されます。

一方、Legal Hold（訴訟ホールド）は事後対応型で、対象を絞り、個別の案件ごとに適用されます。訴訟、規制当局からの照会、人事調査など、特定の事象をきっかけに発動されます。特に重要なのは、Legal Hold が標準の保持ポリシーより優先される点です。保持ポリシーで「3年後に削除する」と定められているアイテムでも、有効な Legal Hold の対象になっていれば、権限のある担当者が正式に解除するまで無期限に保全されます。IT 管理者は、Legal Hold が通常のデータクリーンアップ処理よりも絶対的に優先されることを理解しておく必要があります。

Microsoft 365 における証拠保全の仕組み

Legal Hold を効果的にトラブルシューティングし管理するには、IT 管理者が Microsoft 365 の内部動作を理解しておく必要があります。メールボックスや SharePoint サイトに保持が設定されると、システムは変更されたアイテムや削除されたアイテムの扱いを変えます。

Exchange Online では、データ保全は Recoverable Items フォルダーと、Purges や Deletions などの非表示サブフォルダーに大きく依存しています。ユーザーがアイテムを変更または削除すると、元のアイテムは完全に消去されるのではなく、Recoverable Items フォルダーに移動されます。Legal Hold が有効な間は、ユーザーの操作やマネージド フォルダー アシスタントによって、ユーザーが保持期間の制限を回避しようとした場合でも、Recoverable Items フォルダー内のアイテムを消去できないよう、バックエンドの処理が働きます。同様に、SharePoint Online と OneDrive for Business では、専用の Preservation Hold Library が使用されます。変更または削除されたファイルはすべて、元のバージョンがこの非表示のライブラリに安全にコピーされます。エンドユーザーからは見えませんが、eDiscovery の検索からは完全にアクセスできる状態で保持されます。

Microsoft Purview での Legal Hold の設定

Microsoft Purview コンプライアンス ポータルで Legal Hold を設定するには、適切なアクセス許可が必要です。通常は eDiscovery Manager ロール グループのメンバーであるか、eDiscovery Administrator ロールが割り当てられている必要があります。まず eDiscovery ソリューションのワークスペース内で、管理者が調査専用のケースを作成します。

ケースを作成したら、[Holds] タブに移動して新しい保持ポリシーを作成します。ウィザードでは、保持の名前、説明を入力し、対象とするデータの場所やカストディアンを選択するよう求められます。キーワード、日付範囲、送信者などで保全対象を絞り込むクエリベースの保持を構成することも、選択したカストディアンに関連するすべてのコンテンツを保全する無条件の保持を適用することもできます。保持をオンにすると、Microsoft 365 は指定されたデータ ソースを保護するために必要なバックグラウンドの同期処理をただちに開始します。

Exchange、Teams、SharePoint 全体で適切なデータ ソースを対象にする

Legal Hold の設定では、対象の正確さが極めて重要です。企業全体を保持対象にすると、ストレージ リソースが無駄になるだけでなく、不必要なプライバシー上の問題を招くおそれがあります。逆に、重要なデータ リポジトリを見落として保全が不十分になると、証拠隠滅の疑いを招きかねません。

データ ソースを定義する際は、カストディアンのデジタル上の行動全体を把握する必要があります。Exchange Online では、プライマリ メールボックスに加えて、有効になっている場合はアーカイブ メールボックスも必ず含めてください。Microsoft Teams では、1 対 1 のチャット、グループ チャット、チャネル メッセージは、実際には参加者それぞれのメールボックス、またはグループのメールボックスに保存されている点に注意してください。そのため、ユーザーのメールボックスに保持を設定すると、チャット履歴も自動的に保全されます。ドキュメントの共同作業については、ユーザーの OneDrive アカウントに加え、実際にファイルを共同で扱っている SharePoint サイトや Microsoft 365 グループも明示的に対象に含める必要があります。

進行中の調査を管理する IT 管理者のベスト プラクティス

進行中の調査を管理するには、管理、セキュリティ、コミュニケーションに対して規律ある取り組みが求められます。IT 管理者は、調査プロセスを円滑に進めるために、業界で広く採用されているベスト プラクティスをいくつか遵守する必要があります。

• 機密性を厳格に維持する: 承認された経路以外で、進行中の法的保留や調査について話し合わないでください。保留に関する情報が漏えいすると、社内調査が損なわれたり、企業ポリシーに違反したりするおそれがあります。
• 法務担当者と緊密に連携する: 保留を適用または変更する前に、対象となるカストディアンとデータソースの範囲を、必ず法務部門または人事部門と確認してください。保存すべき対象を推測で判断しないでください。
• すべてを文書化する: 保留をいつ適用したか、どのデータソースが対象か、誰が操作を承認したかを、詳細なログとして記録してください。この文書は、説明可能な監査証跡の一部となります。
• 過剰な範囲設定を避ける: 特定の期間やトピックを対象とする場合は、適切に応じてクエリベースの保留を使用してください。レビュー担当者の負担を減らし、従業員の個人データを不必要に収集することを最小限に抑えられます。

法的保留の監査、コンプライアンス、解除

調査は永久に続くわけではありません。法的案件が解決したとき、規制当局による照会が終了したとき、または内部監査が完了したときには、法的保留を体系的に解除する必要があります。保留を解除すると、影響を受けるユーザーとデータソースに対して、標準の保持ポリシーと削除の仕組みを通常どおり再開できます。

説明可能な体制を維持するため、IT管理者は、法務担当者またはコンプライアンス担当者による明示的かつ文書化された承認なしに、eDiscovery ケースを削除したり、保留を解除したりしてはなりません。解除の指示が出されたら、Microsoft Purview コンプライアンス ポータルで保留をオフにするか削除するだけです。保留が解除されると、Microsoft 365 は非表示の保持ライブラリと Recoverable Items フォルダーのロックを解放し、通常のライフサイクル管理とストレージの再利用が行われるようになります。さらに、保留の作成、変更、解除に関するすべての管理操作は Microsoft Purview 監査ログに完全に記録され、完全な説明責任が確保されます。

IT 管理者のための結論と重要なポイント

Microsoft Purview での法的保留の習得は、現代の IT 管理者やコンプライアンス担当者にとって欠かせないスキルです。基本的なストレージ管理の段階を超え、証拠保全の仕組みを正しく理解することで、調査の進行中にデータが失われる重大なリスクから組織を守ることができます。成功する法的保留戦略は、Exchange、Teams、SharePoint を正確に対象設定すること、法務関係者と密に連携すること、そして構造化された eDiscovery ワークフローを厳格に守ることにかかっている点を覚えておいてください。

組織が Microsoft 365 のデータを安全に検索、保全、レビュー、エクスポートする方法について詳しくは、関連するポッドキャスト エピソード Microsoft Purview eDiscovery — Simply Explained もぜひお聴きください。このエピソードでは、eDiscovery のエンドツーエンドのワークフロー全体を平易に解説し、複雑な調査への備えや Microsoft 認定資格の取得にも役立つ内容をお届けします。引き続きセキュリティを維持し、ガバナンスを徹底してください。次のエピソードでお会いしましょう!