保持ポリシーと保持ラベルの違い

By Mirko Peters · 2026-04-27 · Updated 2026-07-18

Microsoft 365 の保持ポリシーと保持ラベルを比較し、ライフサイクル管理とコンプライアンスにおいてそれぞれをいつ使うべきかを解説します。

Automatically translated with AI from the original post. Read the English original

Microsoft 365 でデータを管理するうえで、保持ポリシーと保持ラベルほど重要であり、かつ混乱しやすいトピックはそう多くありません。本ガイドでは、これらの機能が実際に何をするのか、なぜコンプライアンスにとって重要なのか、そしてビジネスを危険にさらしかねない見落としをどう防ぐのかを順を追って説明します。技術的な詳細だけでなく、実際の展開からガバナンス戦略、途中で注意すべき落とし穴まで、これらのツールを活用するための実践的なヒントも紹介します。

データガバナンスを初めて扱う方も、Microsoft 365 の戦略をさらに磨きたい方も、本ガイドはそのための実践的な指針となります。ポリシーとラベルの主な違いから、高度なユースケース、実例、ほかではなかなか得られない実務的な知見まで幅広く取り上げます。組織のコンプライアンスを維持し、データを適切に管理したいとお考えなら、まさに適切な場所です。

Microsoft 365 における保持ポリシーと保持ラベルの理解

Microsoft 365 を扱っている方なら、ファイル、チャット、メールなど、デジタル上の記録がすぐに膨大な量になることをご存じでしょう。そこで役立つのが保持ポリシーと保持ラベルです。これらは単なる技術用語ではなく、コンプライアンス センターから、データがライフサイクル全体を通じてどのように保持、削除、または分類されるかを管理できる仕組みです。

保持は、組織をリスクから守ることがすべてです。たとえば誤削除、コンプライアンス違反による罰金、データ漏えいといったリスクです。適切な保持コントロールを設定すると、GDPR や HIPAA などの法令への準拠を維持しやすくなり、必要以上にデータを残すことも避けられます。ポリシーとラベルはどちらも、こうしたルールの適用を自動化する仕組みなので、一つひとつのドキュメントやメールボックスに付きっきりで対応する必要はありません。

さらに嬉しい点として、どの程度厳格に、あるいはどの程度柔軟に運用するかを自ら決められます。何を、どれくらいの期間保持するか、そして誰がそのプロセスの責任を持つかもカスタマイズできます。単にコンプライアンスの要件を満たすだけではありません。保持設定が明確であれば、データの散らかりが減り、監査もスムーズに進み、ルールを守っていることを証明する場面でも手間が少なくなります。ガバナンスは自然に成立するものではないと改めて考えたい方は、こちらの Microsoft 365 におけるガバナンスの幻想についての議論 もご覧ください。次は、これらの保持ツールが具体的に何であり、それぞれがどのように動作するのかを見ていきます。

保持ポリシーと保持ラベルとは

Microsoft 365 の保持ポリシーは、ユーザーの操作に関係なく、メール、ファイル、チャットなどのコンテンツの保持と削除を自動化するために設定するルールです。目的は、データを最低限の期間（コンプライアンスまたは業務上の必要性に基づく）保存し、不要になった時点で安全に削除することです。

一方、保持ラベルは、コンテンツに手動または自動で適用し、そのライフサイクルをより細かく制御するためのタグです。ラベルによって特定の保持または削除ルールを発動させたり、アイテムをレコードとしてマークしたり、規制上のステータスを示したりできます。保持ポリシーと保持ラベルはいずれも、Microsoft 365 におけるレコード管理、コンプライアンス、コンテンツのライフサイクル制御を自動化するうえで欠かせない仕組みです。

保持ポリシーと保持ラベルの主な違い

• 適用範囲: 保持ポリシーは、メールボックス全体や SharePoint サイトなど、複数の場所に広く適用されます。一方、保持ラベルはファイル単位またはアイテム単位での制御を提供します。
• ユーザーの関与: ポリシーはバックグラウンドで動作します。ラベルは、ユーザーまたは管理者が特定のアイテムに適用できます。
• 柔軟性: ラベルはレコードの宣言やカスタム アクションといった細かなオプションを提供します。ポリシーは一律のルールを適用します。
• 管理: ポリシーは一元的に管理されます。ラベルは分類体系（タクソノミー）の計画が必要で、ラベル ポリシーを通じて展開できます。

保持ラベルと保持ポリシーの実装と構成

Microsoft 365 で保持コントロールを実装することは、単にチェックボックスをオンにすることではありません。コンプライアンス上の要件と実際のチームの両方に適合する仕組みを構築することです。このセクションは、SharePoint、OneDrive、Exchange Online、Teams 全体で保持ラベルとポリシーを構成、公開し、拡張するための出発点となります。

有意義なラベルの作成方法、導入しやすい整理の仕方、そしてラベルポリシーを使って組織全体、または対象を絞ったグループへ展開する方法を解説します。また、ラベルを自動または手動で適用する各種の方法と、適用範囲を最大化しつつ混乱を最小限に抑えるサイト単位やメールボックス単位の保持ポリシーの構成方法も紹介します。

ラベル割り当ての不具合、ユーザーの混乱、スコープの問題など、他の組織がつまずいた落とし穴を避けるための、実践的なステップバイステップのアドバイスをお届けします。セキュリティや自動化の全体戦略とあわせて検討している場合は、Microsoft 365 における DLP の実践ガイドのようなリソースもあわせてご確認ください。それでは、保持コントロールの設定、展開、そして最大限に活用する方法を見ていきましょう。

Microsoft 365 で保持ラベルを作成して公開する方法

1. ラベルの分類体系を計画する: まず、組織の規制、法務、業務上のニーズに合ったカテゴリを整理します。「人事記録」「財務諸表」「一般的なやり取り」などが例です。最初に明確にしておくことで、後の導入がスムーズになります。
2. Microsoft Purview コンプライアンス センターで保持ラベルを作成する: コンプライアンス管理センターに移動し、情報ガバナンスまたはデータ ライフサイクル管理を選択してから、保持ラベルを選択します。「作成」をクリックして、選択した保持設定(保持、削除、レコードとしてマークなど)を使って新しいラベルを定義します。
3. ラベルの設定を構成する: 各ラベルについて、コンテンツを保持する期間、保持期間後の処理(削除または何もしない)、およびアイテムをレコードとしてマークするかどうかを設定します。必要に応じて「自動適用」機能を使い、フィルターやキーワードに基づいてコンテンツにタグを付けます。
4. ラベル ポリシーでラベルを公開する: ラベルの準備が整ったら、ラベル ポリシーを使って公開します。これにより、ラベルを利用できるユーザーや場所を指定できます。すべてのユーザーやサイトを対象にすることも、特定のグループ、SharePoint サイト、Teams、Exchange メールボックスだけに絞ることもできます。
5. 定期的に確認して更新する: 公開後は、利用状況とフィードバックを監視します。規制や業務ニーズの変化に応じてラベルとポリシーを調整し、ラベル構造が引き続き適切に機能するように保ちます。

保持ラベルの自動適用と手動適用

1. ユーザーによる手動ラベル付け: 権限を持つエンドユーザーは、SharePoint、OneDrive、Outlook などの Microsoft 365 インターフェイスを通じて、個々のドキュメント、メール、またはアイテムに保持ラベルを適用できます。この方法は、ユーザーがいつどのようにコンテンツにタグを付けるべきかを理解しているかどうかに依存します。成功のカギはトレーニングです。
2. 既定のラベルの割り当て: 管理者はドキュメント ライブラリやフォルダーに既定の保持ラベルを設定できます。そこに作成された新しいコンテンツは、ユーザーが変更しない限り自動的にタグが付けられます。人為的なミスを減らせるため、機密性の高い規制対象データを保存する場所に最適です。
3. 自動ラベル付けポリシー: コンテンツの一致に基づいてラベルを自動適用するよう構成できます。一致の条件には、特定のキーワード、機密情報の種類(マイナンバーなど)、またはメタデータの条件を指定できます。これは、強力なコンプライアンスが求められる組織や、ユーザーのミスが起きやすい環境に適しています。
4. ハイブリッドなアプローチ: 多くの場合、3つの方法を組み合わせるのが最も効果的です。たとえば、規制対象のコンテンツには自動ラベル付け、広範囲のカバーには既定のラベル、例外的なケースには手動による割り当てを使います。ラベルの使用状況を定期的に監査し、フレッシュアップ トレーニングを実施することで、導入の一貫性を保ち、ラベル付けの不統一やユーザーのミスを減らせます。

サイトとメールボックスの保持ポリシーを設定する

サイトまたはメールボックス レベルで保持ポリシーを構成すると、Microsoft 365 全体で広範かつ一貫したデータ ガバナンスを実現できます。この作業では、Microsoft Purview コンプライアンス センターでポリシーを定義します。対象とするコンテンツの種類(メール、ファイル、Teams チャット)、保持期間、そして期間終了後にコンテンツを削除するかどうかを指定します。

これらのポリシーは、すべてのメールボックス、特定の SharePoint サイト、OneDrive アカウント、Microsoft Teams など、該当する場所に適用します。ポリシーの重複や不適切なスコープ設定には注意してください。競合が生じたり、コンプライアンスの適用範囲に抜け漏れが生じたりする原因になります。適切な計画と定期的な見直しにより、組織全体で効果的かつ信頼性の高い保持を維持できます。

保持機能によるコンプライアンス、セキュリティ、リスク管理

正直に言えば、規制当局から照会を受けたときに、文書1件やメール1通の管理がずさんだと大きな問題になりかねません。保持ポリシーと秘密度ラベルは、機密データを保護し、業界の規制に適合させ、監査や法務レビューを慌ただしいものにしないための最前線のツールです。

これらの機能を使うと、構造が生まれます。データは必要な期間だけ（1日たりとも余計に残さず）保持され、その後はコンプライアンス要件に従って自動的に削除されます。その結果、誤った漏えい、不要なレコードの残存、プライバシー法の対象となる情報の露出といったリスクを減らせます。複雑な環境を管理している場合や、GDPR、HIPAA、FINRAのようなプライバシー規制への対応を迫られている場合には、この構造化されたアプローチが特に重要です。

ただし、賢い保持管理の目的は罰金や悪評を避けることだけではありません。古いコンテンツを探したり、アーカイブを手作業で整理したりすることに時間を取られず、チームが本当に重要な業務に集中できるようにもなります。Microsoft 365で従来型のワークロードとAI対応のワークロードの両方を管理している組織では、これらの保持コントロールを、より広い可視性とセキュリティの範囲を確保するMicrosoft Purviewなどのソリューションと組み合わせることがますます重要になっています。シャドーITや新たなAIツールが気になる場合は、強力な保持ポリシーとPurviewポリシーが今やこれまで以上に重要である理由を理解しておきましょう。

保持ラベルでコンテンツをレコードとしてマークする 365

Microsoft 365の保持ラベルは、コンテンツをレコードとして宣言するように設定できます。これにより、保持期間中はコンテンツが変更不可になります。レコードとしてラベル付けされたファイルやメールは、保持期間が終了するまで、管理者であっても編集、削除、改ざんすることはできません。

この機能は、法務、規制、監査の要件を満たすうえで欠かせず、データの完全性と信頼できる証跡の確保につながります。人事記録、契約書、財務諸表など、説明責任と不変性が不可欠なケースで活用できます。高度なコンプライアンス要件や監査モニタリングが必要な場合は、Microsoft Purview監査などのツールを使うと、レコードの状態やユーザーの操作をさらに詳しく追跡できます。

保持管理のベストプラクティスとガバナンス戦略

保持管理を適切に行うには、ルールを設定するだけでは不十分です。組織の成長に合わせて、Microsoft 365環境を整理された状態かつコンプライアンスに適合した状態に保てる、持続可能で拡張性のあるガバナンスを構築することが重要です。避けるべき大きな落とし穴の1つがSharePointの乱立です。サイト、ライブラリ、ドキュメントが管理されないまま増え続けると、保持ポリシーの適用が難しくなり、必要なときに目的の情報を見つけることもほぼ不可能になります。SharePointガバナンスの失敗から得られる実践的な教訓がその証拠です。

よく使われるライブラリやフォルダー、特に機密データや業務上重要なデータが保存されている場所には、明確な既定の保持ラベルを設定しましょう。適応型スコープを活用すると、特定の部門、地域、グループを対象に保持設定を自動的に適用できます。手作業で細かく振り分ける必要はありません。組織とデータの規模が拡大しても、管理をシンプルに保てます。

ガバナンスにおける人的な側面を軽視してはいけません。ユーザーに定期的なトレーニングを実施し、ライブラリに視覚的な目印を付け、要件や規制の変化に合わせてポリシーを調整するための定期的なレビューを設定しましょう。最後に、構造化されたプロセス、定期的な監査、迅速なフィードバックループといった運用上のコントロールは、見えない障害やデータの混乱を防ぐのに役立ちます。長期的な成功に向けた進め方を検討する際は、SharePointとDataverseの比較から得られる教訓とSharePointとAIのガバナンスプロトコルの両方が参考になります。

制限事項、トレードオフ、および重要な考慮事項

どのようなソリューションも完璧ではありません。Microsoft 365の保持ポリシーとラベルにも、コンプライアンスプログラムをそれに託す前に比較検討すべき重要なトレードオフがあります。まず、すべての機能がそのまま使えるわけではありません。ライセンスの違い、技術的な制限、そして特に数百から数千人規模に拡大した際に分かりにくくなりがちなアクセス許可モデルに直面することがあります。

保持は データのライフサイクル管理と 不要なデータの整理に役立ちますが、万能ではありません。保持コントロールをバックアップの代わりとして頼ることはできません(その理由は後ほど説明します)。ポリシーには作成できる数や適用先に制限がある場合があり、その上限に達すると、バックグラウンドで静かに機能が壊れることがあります。また、ビジネスへの影響も忘れてはいけません。ポリシーやラベルの設定を誤ると、重要なデータを削除してしまったり、必要以上に長くコンテンツを保持してしまったりする恐れがあり、いずれもコンプライアンス上の大きな問題につながります。

組織のライセンス要件を把握し、ダッシュボードを鵜呑みにするのではなく、実際のユーザーの行動を測定することに注力してください。自動保存、共同編集の圧縮、意図しない重複適用といったミスにより、完璧に見えるガバナンスが実は機能していないこともあります。こうした実際の制限や、監査に対応できるドキュメント戦略の構築方法について詳しく知りたい場合は、コンプライアンスのドリフトとPurview による防御の構築に関する記事をご覧ください。

技術的な制限とライセンス要件

• 保持ポリシーとラベルの上限: Microsoft 365 では、テナントごとにアクティブな保持ポリシーとラベルの数に上限が設けられています。上限を超えると、新しいポリシーを展開できなくなる場合があります。
• ライセンスのレベル要件: 自動適用ラベルやレコード管理などの高度な保持機能には、Microsoft 365 E5 または Microsoft Purview のアドオンが必要です。
• アクセス許可の境界: 保持コントロールの適用や管理には、コンプライアンス センターでの特定の管理者ロールが必要です。トレーニングが不十分であったり、割り当てが不明確であったりすると、ユーザーによるミスが起こり得ます。
• システム間の同期の問題: ハイブリッド環境やマルチクラウド環境では、同期の遅延やサポートされていないメタデータが生じることがあり、プラットフォームをまたいだポリシーの適用が制限される場合があります。

Office 365 データにおいて保持はバックアップではない理由

保持ポリシーとラベルは、データをどれだけの期間残し、いつ削除するかを制御するためのものです。障害発生時に復元できる復旧可能なコピーを作成するためのものではありません。保持ルールが開始される前にコンテンツを完全に削除してしまった場合や、技術的な不具合によってポリシーの対象外のデータが消えてしまった場合、その情報は永久に失われます。

つまり、保持では、偶発的または悪意のある削除、システム障害、より広範なデータ損失の事態をすべて防ぐことはできません。継続的かつ確実な復旧性を確保するには、組織は保持と併せて専用のバックアップ ソリューションを利用する必要があります。Microsoft 365 のネイティブ機能が、適切なガバナンスやバックアップの代わりにはならない理由については、ガバナンスの幻想に関するこのポッドキャスト エピソードもご参照ください。

高度なユース ケースと実際の活用事例

基本的な保持やラベルの段階を超えて、高度な機能や統合を活用し、リスクの管理、コンプライアンスの証明、業務の効率化を図っている組織もあります。特に規制の厳しい業界や、国際的に広がる大規模企業でその傾向が見られます。実際の事例からは、ベスト プラクティスと Microsoft 365 のより高度なコントロールを組み合わせることで何が実現できるかがわかります。

業界固有の要件の自動化(規制に基づくスケジュールで古い健康記録を削除するなど)から、SharePoint Premium との統合による高度な分析、自動化、レポート作成まで、これらの機能が複雑で大規模な環境向けにどのように調整できるかをご覧いただけます。その結果、組織はミスを避け、監査や訴訟ホールドに迅速に対応し、エンタープライズ規模で不要なデータとリスクの両方を削減できます。

参考になる実践モデルをお探しの場合、次のセクションでは、実際の Microsoft 365 顧客が業界のコンプライアンスのために保持ラベルをどのように使用しているか、そして SharePoint Premium が高度なオプションでどのように保持とコンテンツ管理の戦略を強化できるかを紹介します。

事例: 顧客による保持ラベル 365 の活用

• Hughes Hall Modernise: この学術機関は、英国の教育関連データ法への準拠を自動化するために保持ラベルを導入しました。機密性の高い研究データや人事関連コンテンツにラベルを付与することで削除スケジュールを効率化し、監査を簡素化するとともに、データの不要な保持を防ぎました。
• Azure上の業種別システム: ある金融サービス プロバイダーは、SharePoint と Azure アーカイブ全体で保持ラベルを統合し、FINRA および SEC の保持要件を適用できるようにしました。財務諸表への自動ラベル付けによって人為的なミスが減り、定期的な監査レポートによって規制当局からの罰則を回避できました。

SharePoint Premium による高度な管理に向けた保持の統合

SharePoint Premium を使用すると、Microsoft 365 の基本的な保持機能を超えて組織の管理を拡張できます。Premium では、自動化の強化、高度な分析、堅牢なレポート機能を利用でき、規模が大きくなっても情報のライフサイクルを管理しやすくなります。これらのツールにより、ラベルの適用範囲を可視化し、コンプライアンス上のギャップを見つけ、データの量や保存場所が増えても保持を適用しやすくなります。

SharePoint Premium との統合は、大規模で分散したチームや、高度なガバナンスと運用上のニーズに対して標準の管理では不十分になりがちな、規制の厳しい業界の組織にとくに有効です。

保持ポリシーとラベルに関するよくある質問

1. Microsoft 365 で設定できる最短の保持期間はどれくらいですか? 最短は通常 1 日ですが、コンプライアンスの観点からの実用的な期間は、数か月から始まることがほとんどです。
2. コンテンツにすでにラベルが付いている状態で保持期間を更新した場合はどうなりますか? 既存のコンテンツには新しいラベル設定が適用されますが、ポリシーの同期間隔によって反映までに時間がかかります。
3. 自動適用ラベルを使うには E5 または Purview のライセンスが必要ですか? はい。自動適用、レコードの宣言、高度な分析には Microsoft 365 E5 または Purview のサブスクリプションが必要です。
4. 保持ポリシーによって削除されたデータを復元できますか? いいえ。保持ポリシーによってデータが削除されると、復元はサポートされていません。確実な災害復旧のためには、必ず専用のバックアップと組み合わせてください。
5. コンプライアンスのためにラベルの適用状況をどのように監視すればよいですか? Microsoft 365 の監査ログを使用して、ラベルの割り当てと変更を追跡します。これにより、ポリシーが確実に適用されているかを確認し、ユーザー操作に起因するコンプライアンス上のギャップを特定できます。

組織のための最終的な考え方と次のステップ

Microsoft 365 における効果的な保持管理は、コンプライアンス、リスク、運用上のニーズのバランスを取ることに尽きます。まず、主要なデータの種類、規制上の要因、チームのワークフローを整理してください。そのうえで、保持ポリシーと保持ラベルを使って、データのライフサイクル管理を自動化し、その管理を実証できるようにします。

戦略を定期的に見直し、ユーザー教育を最新の状態に保ち、規模を拡大する際にも技術面とライセンス面の要件を見落とさないようにしてください。明確な計画と適切なツールの組み合わせ(SharePoint Premium の高度なオプションを含む)があれば、データを責任を持って管理し、監査、法的要請、セキュリティ上の脅威に自信を持って対応できる体制を整えられます。

あわせて聴きたいエピソード

保持ポリシーとラベルの違いについて調べている場合は、以下のエピソードが参考になります。ガバナンス、セキュリティ、コンプライアンス、AI の概念を実際の Microsoft 環境と結び付けて理解するのに役立ちます。

• Microsoft Purview – Simply Explained — 分類、保持、コンプライアンス、データ ガバナンスが Microsoft 365 全体でどのように連携するかを整理します。
• Microsoft Defender XDR – Simply Explained — データリスクのシグナルが、検出、調査、連携した対応とどのように結び付くかを確認します。
• Conditional Access – Simply Explained — ID、デバイス、リスクの状況が機密データの保護をどのように強化するかを理解します。
• Microsoft Teams Governance – Simply Explained — ポリシーを一貫したユーザー行動につなげるために必要なガバナンスの運用モデルを探ります。

定義やフレームワークから実装上の判断へ進みたいときに役立つ次のステップです。