SharePoint のラベル継承

By Mirko Peters · 2026-04-26 · Updated 2026-07-18

SharePoint のラベル継承の仕組み、ラベルがファイルやサイトに与える影響、Microsoft 365 で保護を一貫して管理する方法を解説します。

Automatically translated with AI from the original post. Read the English original

Microsoft 365 で SharePoint を使い始めるとき、ラベルの継承やアクセス許可は単なる専門用語ではありません。ファイルを安全に保ち、コンプライアンスを守り、適切に管理するための運用ルールそのものです。この二つを混同すると、データが管理の穴からすり抜けたり、本来アクセスできるはずのユーザーが入れないと苦情が出たりします。SharePoint サイトを通じてアクセス許可がどう引き継がれるか、秘密度ラベルと保持ラベルがそれに従うのか（従わないのか）を理解することは、今日 Microsoft 365 を管理するすべての人にとって基礎知識です。

この記事では、迷いや混乱を取り除くことを目指します。アクセス許可の継承とラベルの継承の明確な定義を示し、両者が実際にどう相互作用するかを、理論だけでなく管理者とユーザーの実際の運用の場面に即して説明します。率直な知見、実践的な要点、組織がよく陥る落とし穴についても紹介します。何が実現可能で何が期待しすぎなのか、そしてこれを正しく行うことがセキュリティ、AI の活用、そして日々の安心にとってなぜ重要なのかも整理します。

本記事は理論だけの話ではありません。アクセス許可とラベルのライフサイクルをたどり、ハイブリッド環境、自動化、監査ログ、そして保持ラベルと秘密度ラベルの戦略の重要な違いを見ていきます。読み終えるころには、どこに落とし穴があり、どう避ければよいかがわかり、SharePoint を本来の目的どおり、データを適切な人だけが利用できる状態に保つことができるようになるはずです。

SharePoint におけるアクセス許可の継承とラベルの継承の違い

SharePoint を組織で効果的に活用するには、アクセス許可とラベルがどのように機能するか、特にコンテンツ構造の中でどのように伝播する（またはしない）かを理解する必要があります。アクセス許可の継承は SharePoint のアクセス制御の基盤であり、上位レベルでルールを設定して下位へ適用できるようにするものです。一方、ラベルの継承はより新しく、扱いも複雑です。機密データ、コンプライアンス要件、ハイブリッド環境により、ラベル管理は「あると望ましい」ものから「必須」のものになりました。

アクセス許可とラベルを同じものとして扱いたくなりますが、それは混乱とセキュリティ上の隙につながる近道です。アクセス許可は、誰がファイルを閲覧、更新、共有できるかを決めます。一方、秘密度ラベルは、分類に基づいてデータをどう扱うかを決めます。暗号化、自動有効期限、共有制限などがその例です。この二つの仕組みは重なる部分が多いものの、管理者が期待するような形で常に連携するとは限りません。

以下のセクションでは、アクセス許可の継承がこれまでどのように機能してきたか、ラベルの継承がなぜ似ている点と大きく異なる点を併せ持つのか、そして大規模なラベル戦略やコンプライアンスポリシーを展開する前に、なぜすべての Microsoft 365 の実務者が両方のモデルを理解する必要があるのかを説明します。

SharePoint のセキュリティで保護可能なオブジェクトにおけるアクセス許可の継承の仕組み

SharePoint Online では、サイト、ドキュメント ライブラリ、フォルダー、アイテムのいずれかにアクセス許可を設定するたびに、「セキュリティで保護可能なオブジェクト」を扱うことになります。これらのオブジェクトにはアクセス制御が設定されており、既定では親から下位へとアクセス許可が引き継がれます。たとえばサイト レベルでユーザーにアクセスを付与すると、そのサイト内のすべてのドキュメント ライブラリとファイルに同じ権限が与えられます。ただし、途中のどこかで継承を解除した場合は別です。

公開部門サイト内に機密性の高い人事フォルダーを設けるなど、特別なアクセスを設定する必要がある場合は、そのフォルダーで継承を解除し、アクセスできるユーザーを個別に指定します。このフォルダーはアクセス許可の面で独立し、閲覧、編集、削除できるユーザーを独自に管理します。その配下にあるものは、その継承解除ポイントから引き継ぐようになります。さらに継承を解除すれば、その時点からまた別の設定になります。この仕組みにより非常に細かな制御が可能になりますが、アクセス許可の構成が複雑になるほど、管理の手間も増えます。

多くの組織は、誤った公開を防ぐためにアクセス許可の継承に大きく依存しています。しかし、環境全体に固有のアクセス許可や継承の解除が点在していると、誰がどの権限を持っているのか把握しにくくなります。だからこそ、ガバナンスと定期的なアクセスレビューが欠かせません。そうしないと、「一度設定すれば放置してよい」という考え方がすぐに問題を招きます。意図しない過剰共有やアクセス許可の乱立が心配なら、継承の解除を抑制し、アクセスを監視することが必須です。

クラシックなアクセス許可との違い: 秘密度ラベルの継承

SharePoint の秘密度ラベルは、従来のアクセス許可の設定とは動作が異なります。アクセス許可はコンテンツの階層に沿って下位へ適用されますが、ラベルの継承には独自のタイミングとルールがあります。サイトやコンテナーにラベルを適用しても、すべてのファイルやフォルダーに自動的に行き渡るとは限りません。多くの場合、コンテナーにラベルが設定されていても、個々のドキュメントに直接ラベルを付ける必要があります。

ラベルは データ分類とポリシーの適用を目的としており、コンテンツが移動してもラベルはそのまま付いて回ります。ただし、ユーザーにとっての操作性は必ずしもスムーズではありません。ラベルとアクセス許可を混同すると、予期しないアクセスの問題やコンプライアンス違反につながるおそれがあります。SharePoint 環境で安定したセキュリティとガバナンスを実現するには、この 2 つの仕組みを明確に区別しておくことが不可欠です。

SharePoint の秘密度ラベル: アクセス制御とセキュリティにおける役割

SharePoint のアクセス許可を玄関の鍵にたとえるなら、秘密度ラベルは家の中の金庫のようなものです。SharePoint の外に情報が出た後も、情報の分類、保護、取り扱いの制御に役立ちます。組織がゼロトラストや AI を活用した検索へと移行するなか、秘密度ラベルと通常のアクセス許可がどのように連携するかを理解することは、セキュリティとコンプライアンスの両面で重要です。

秘密度ラベルは単独で機能するわけではありません。多くの場合、既存のアクセス許可を補強し、暗号化、透かし、共有の制限といった追加の制御を加えます。管理者やユーザーの中には、秘密度ラベルがサイトのアクセス許可を上書きするのか、それとも両方が同時に機能するのかと疑問に思う人も多いでしょう。実際には両方の側面があり、これらの仕組みがどのように重なり合うかを理解することが、「アクセスが拒否されました」という問題や規制上のリスクを最小限に抑えるうえで欠かせません。

以降のセクションでは、秘密度ラベルが実際に適用される場面、ラベルとアクセス許可の設定が衝突した場合の動作、そしてラベルベースのポリシーの適用が実際にどう機能するかを解説します。Copilot を展開する場合、規制対象のデータを扱う場合、あるいは一部のユーザーが理由もわからずブロックされることに悩んでいる場合、ラベルとアクセス許可のこの連携を理解することが、うまくいく点と問題が起きる点の両方を把握する鍵になります。こうしたガバナンスの課題をさらに深く知りたい場合は、Microsoft 365 のデータアクセスと所有権に関するこちらの解説をご覧ください。

秘密度ラベルはアクセス許可を置き換えるのか、それとも併用するのか?

SharePoint において秘密度ラベルはアクセス許可を置き換えるものではなく、併用するものです。サイトやドキュメントに秘密度ラベルを適用すると、暗号化や共有の制限といった追加のルールを適用できます。ただし、そのコンテンツにアクセスするには、ユーザーが適切な SharePoint のアクセス許可を持っている必要があります。

たとえば、「機密」ラベルが付いたドキュメントに対して読み取り専用のアクセス許可しか持たないユーザーは、ラベル自体が別のシナリオで編集を許可していても、そのドキュメントを編集することはできません。同様に、厳格な秘密度ラベルを適用しても、アクセス許可で認められた範囲を超えてアクセスが広がることはありません。アクセスが成功するには、両方の制御が整合している必要があります。この二重のモデルは、多層防御を構築し、ラベルやアクセス許可の設定ミスによるセキュリティの抜け穴を防ぐうえで不可欠です。

秘密度ラベルがアクセス拒否やアクセス許可の問題を引き起こす仕組み

秘密度ラベルは、管理者やユーザーが予期しない新たな保護レイヤーを追加することがよくあります。たとえば、複数のユーザーがファイルの読み取りと編集を許可されている SharePoint のドキュメントライブラリがあるとします。そのライブラリ内のドキュメントに「極秘」の秘密度ラベルが付き、暗号化されて共有先が限られた少数のユーザーに制限された場合、それ以外のユーザーは、たとえ SharePoint のアクセス許可を完全に持っていても「アクセスが拒否されました」と表示されます。

特にラベルベースのポリシーが、従来のアクセス許可モデルに頼ってきた人の想定と矛盾したり、予想外の結果をもたらしたりする場合、混乱が生じがちです。たとえば、外部ユーザーにサイトへのアクセス許可があっても、ラベルによって特定のドキュメントへのアクセスが、十分な警告なしにブロックされることがあります。よくある問題としては、ユーザーがドキュメントへのリンクは見えるのにファイルを開けない、適切な資格情報がないと読めない暗号化ドキュメントをダウンロードしてしまう、といったケースがあります。

機密性の高いコンテンツを守るうえで重要なのは、秘密度ラベルとアクセス許可を、セキュリティスタックの中で別々でありながら同じくらい重要なパートナーとして扱うことです。定期的なレビューと丁寧な周知は混乱の防止に役立ちます。加えて、条件付きアクセスやデバイスのコンプライアンス要件も考慮に入れておくとよいでしょう。これらはラベルによる保護の上に重ねて適用できます。堅牢なアクセス制御の戦略をさらに深く知りたい場合は、全体像として安全なコラボレーションについて説明している条件付きアクセス ポリシーの改善もご覧ください。

SharePoint におけるラベルベースのアクセス許可とポリシーの適用

• 暗号化: 秘密度ラベルを使うと SharePoint のドキュメントを暗号化できます。これにより、サイトへのアクセス許可があっても、正しい資格情報とデバイスの状態を満たすユーザーだけがファイルを開けるようになります。
• 外部共有の制御: ラベルによって外部ユーザーとの共有をブロックまたは制限できます。サイト全体やライブラリで設定された共有設定よりも優先されるため、より強固な保護が可能です。
• アクセスの有効期限: 一部のラベルでは有効期限を設定できます。アクセス許可が変更されていなくても、定義された期間が過ぎるとコンテンツへのアクセスが自動的に取り消されます。
• 透かしとコンテンツのマーキング: 割り当てられたラベルに基づいて、ドキュメントやメールに透かしやヘッダーなどの視覚的な表示を付けられます。これにより、秘密度の要件をユーザーに意識させることができます。
• 条件付きアクセスとの統合: ラベルは条件付きアクセス ポリシーと連携して、ラベル付きコンテンツに対してより厳しい要件を適用できます。たとえば、準拠済みのデバイスでのみ機密ファイルを開けるようにする、といった設定が可能です。

Microsoft 365 グループと SharePoint サイトの秘密度ラベルの管理

Microsoft 365 で厳格なガバナンスを実現したい場合、秘密度ラベルはドキュメントだけのものではありません。グループ、チーム、SharePoint サイト全体にも適用できます。Microsoft 365 グループや SharePoint サイトにラベルを設定すると、そのコンテナー全体の共有、ゲスト アクセス、後続のセキュリティの扱いを定義できます。これは、最新の SharePoint ガバナンスとライフサイクル管理の中核となる要素です。

これらのラベルの適用、構成、管理は難しく感じられるかもしれません。しかし、正しく行うことが、コラボレーションのコンプライアンスと機密コンテンツの安全性を維持する鍵になります。リンクされたリソース間でラベルを同期し、変更を監視するとともに、サイトの削除やチームのプロビジョニング解除などのライフサイクルイベントによって保護戦略に穴が開かないようにする必要があります。大規模に運用しても管理が破綻しないようにするには、特に PowerShell による自動化が有効です。

この後は、Microsoft 365 グループやサイトにラベルを適用する手順、ラベル付けオプションの設定と公開、規模に応じたベストプラクティスの展開、そして設定漏れや適用の抜けを防ぐための定型作業の自動化について説明します。ラベル管理から当て推量を取り除く準備が整います。

グループ、サイト、コンテナーへの秘密度ラベルの適用

1. ラベル ポリシーの定義: Microsoft Purview コンプライアンス センターで開始し、グループやサイトなどのコンテナー向けに設計された秘密度ラベルを作成または選択します。これらのラベルは、外部共有、非管理対象デバイスからのアクセス、プライバシー（公開かプライベートか）などの主要な設定を制御します。
2. ラベルの公開: ラベル ポリシーを対象のユーザーまたはグループに公開します。通常は、SharePoint サイトや Microsoft 365 グループを作成する担当者が対象になります。この手順を行わないと、新しいラベルはサイトやグループの作成時に表示されません。
3. ラベルの適用: SharePoint サイトまたは Microsoft 365 グループを作成または編集する際に、公開済みのラベルを選択します。この手順により、最初の段階からルールが適用され、コンテナーのプライバシーとアクセス設定が一度に反映されます。
4. ラベルの「継承」に関する注意点: ラベルをグループまたはサイトに適用すると、コンテナー全体の既定のアクセスと共有のルールが設定されます。ただし、個々のファイルやサブフォルダーは必ずしもラベルを自動的に継承するわけではありません。個別のコンテンツにラベルを付けるには、通常、手動または自動による拡張が必要です。
5. 監視と更新: ビジネス上のニーズやプライバシー要件が変わった場合は、コンプライアンス センターでラベル（とその設定）を更新し、必要に応じて再適用できます。ラベルの更新はほぼ即座にコンテナーの構成に反映され、関連するすべてのリソースの共有とアクセスの動作に影響します。

ご注意ください。グループやサイトに適用したラベルは、基本的なセキュリティとプライバシーの水準を決めます。ただし、データ単位で確実に適用するには、個々のコンテンツにもラベルを付けるか、自動化ツールで適用する必要がある場合があります。

SharePoint のグループ向けラベルの構成と公開方法

Microsoft 365 グループと SharePoint サイトで使用する秘密度ラベルを構成して公開するには、Microsoft Purview コンプライアンス ポータルを開きます。ここで新しい秘密度ラベルを作成し、外部共有の制限、ゲスト アクセス、非管理対象デバイスのポリシーなど、コンテナーでの利用に合わせた設定を行えます。

ラベルの作成時に「グループとサイト」オプションを有効にすると、グループ、Teams、SharePoint サイトでそのラベルを利用できるようになります。ラベル ポリシーを関係するユーザーに公開すると、新しいグループやサイトを作成した時点からガバナンス要件を適用できます。DLP ポリシーの強化やロールごとのラベル利用範囲の設定といった高度な戦略については、Microsoft Purview を使ったガバナンスのアプローチをご覧ください。

大規模環境での秘密度ラベル管理のベスト プラクティス

1. ラベル名と説明を標準化する: 利用者がどのラベルをいつ、なぜ使うのかを正確に理解できるよう、わかりやすい名前と一貫した説明を付けてください。混乱が減り、展開時のミスも抑えられます。
2. 可能な限りラベルの適用を自動化する: Microsoft Purview の自動ラベル付けポリシーや PowerShell スクリプトを使うと、サイト、ライブラリ、グループに秘密度ラベルを大規模に適用できます。管理者の手作業と人為的ミスのリスクを減らせます。
3. ラベルを常に最新の状態に保つ: 業務要件の変化に合わせて、ラベルと公開範囲を定期的に見直し、更新してください。規制や社内ポリシーとの整合性を保ちます。古くなったラベルを放置して、コンプライアンス モデルを煩雑にしないようにしてください。
4. パイロット グループで展開をテストする: 新しいラベル ポリシーは、まで少数のユーザーやサイトに適用してフィードバックを集め、組織全体に展開する前に使い勝手を調整してください。
5. 関係者との連携: データ オーナー、法務、IT チームと緊密に連携し、ラベルの基準と適用ルールを調整してください。全社展開時の合意形成が進み、導入時の摩擦も減ります。

この PowerShell ガバナンスの資料のように、包括的な自動化の情報がまだ十分ではない場合もあります。それでも、大規模な M365 環境でラベル管理を成功させるには、自動化ツールの活用が欠かせません。

PowerShell による秘密度ラベルの自動適用

1. 必要なサービスに接続する: Microsoft Graph または SharePoint Online モジュールを使って PowerShell セッションを開き、SharePoint サイトやグループのラベル変更に必要な管理者ロールで認証してください。
2. 対象を一覧化し、ラベルを対応付ける: ラベルを付けるサイト、ドキュメント ライブラリ、グループの一覧を作成します。それぞれについて、ID または名前で適切な秘密度ラベルを特定します。多くの場合、事業部門、プロジェクト、コンプライアンス要件に基づいて判断します。
3. プログラムでラベルを適用または更新する: PowerShell コマンドレットを使い、複数のリソースに対して一括でラベルを割り当てたり更新したりします。既存の SharePoint コンテンツへの後付けや、継続的な運用管理に欠かせない作業です。
4. ラベルの整合性を監査する: スクリプトを作成し、ラベルの状態を定期的にレポートします。必須ラベルが付いていないコンテナーやドキュメント、継承が途切れているものを洗い出します。コンプライアンス ダッシュボードを常に最新に保つため、スケジュール実行にしてください。
5. エラーと例外ケースを処理する: ラベルが競合しているサイト、アクセスできないグループ、ドキュメントのチェックアウトなどを想定してエラー処理を組み込み、問題をログに記録して後続対応できるようにします。自動化では、表面化しない失敗を見逃さないために継続的な監視が必要です。

上記の推奨事項と同様に、Microsoft 365 の自動化に関する拡張性の高い情報はまだ発展途上ですが、迅速かつ再現性のあるラベル適用を行うには、PowerShell が今も最も頼りになる手段です。

保持ラベル、コンプライアンス、SharePoint のデータ ガバナンス

ここまでは秘密度ラベルについて取り上げてきました。秘密度ラベルは、データの保護、分類、共有やアクセスの制御が目的です。一方で、SharePoint のデータガバナンスには、もう一つ強力なツールがあります。それが保持ラベルです。保持ラベルは、誰がどのコンテンツにアクセスできるか、あるいはドキュメントが暗号化されるかどうかを扱うものではありません。ドキュメントをどのくらいの期間保管するか、誰が削除できるか、そしてコンプライアンスや規制の要件を確実に満たすことが目的です。

保持ラベルは、従来のアクセス許可や秘密度ラベルとは独立して動作し、ガバナンス全体の中で固有の役割を果たします。コンテンツのライフサイクルを定義し、必須の保留を発動し、法務や規制の審査に備えた、説明可能な監査証跡を構築します。AI や Copilot のような自動化に向けて環境を準備している場合、予期しないデータの散在や法的リスク、コンプライアンス上の問題を避けるために、保持の体制を整えておくことが欠かせません。

以下のセクションでは、保持ラベルと秘密度ラベルの違いと重なる部分を整理します。それぞれをいつ使うべきか、保持ラベルの運用が規制対応をどう強化するか、そしてそれらが Microsoft 365 環境におけるデータのアクセス性と Copilot への対応準備にどう関わるかを見ていきます。

SharePoint における保持ラベルと秘密度ラベルの比較

• 目的とフォーカス: 秘密度ラベルは、暗号化と共有ルールによって情報を保護します。一方、保持ラベルは、アイテムをどのくらい保管するか、いつ削除できるかを管理し、コンプライアンスや法的保留のニーズを支えます。秘密度 = セキュリティ、保持 = ライフサイクル管理です。
• 適用範囲: 秘密度ラベルは、保存時と転送時の両方で情報にセキュリティを適用し、多くの場合メタデータに埋め込まれます。保持ラベルはドキュメントやアイテム単位で機能し、アクセス許可やユーザーの操作に関係なく、削除を阻止したり保存を強制したりすることがあります。
• AI と Copilot の統合: Copilot やその他の Microsoft 365 の AI ワークロードは、何よりもまずアクセス許可を尊重します。保持ラベルは、情報が予期せず削除されたり変更されたりしないようにし、検索、レポート、スマートな自動化のためにコンテンツへアクセスできる状態を保ちます。効果的な ECM 戦略について詳しくは、こちらのコンテンツ管理に関するディスカッションをご覧ください。
• コンプライアンスレポート: 保持ラベルを使用すると、義務付けられたデータの保持および廃棄の要件を満たしていることを証明できます。秘密度ラベルは、データがポリシーに従って保護されていることを示すのに役立ちますが、データの破棄やアーカイブは制御しません。
• 組み合わせによる価値: ほとんどの組織は両方のラベルの種類を使用しています。秘密度ラベルはセキュリティ面を担当し、保持ラベルは監査や法的要件への準拠を確実にします。この両方によって、規制当局と AI ガバナンス委員会の双方が納得できる状態になります。

SharePoint でコンプライアンスのために保持ラベルを使用する場面

組織が一定期間データを保持(または削除)することを法律、規制、または業務上の理由で求められている場合、保持ラベルは第一の選択肢にすべきです。財務記録、契約書、人事関連ファイルはその典型例です。監査や訴訟に備えて、十分な期間情報を保持したことを証明するために、保持ポリシーが必要になることがよくあります。

秘密度ラベルでは「Highly Confidential」として分類できる場合でも、保持を強制し、ポリシーの期間が終わるまで削除や変更を防ぐのは保持ラベルだけです。この違いは、Copilot や監査ツールが信頼できるデータを扱えるようにするうえで重要です。Microsoft 365 における DLP とコンプライアンスの設定に関する実践的なガイダンスについては、こちらの DLP と Copilot の準備に関する資料をご覧ください。

Microsoft Copilot の対応準備と AI コンプライアンスにラベルが与える影響

Microsoft 365 の Copilot や AI に関して、これらのアシスタントが何にアクセスでき、ユーザーに何を提示できるかを実際に決めるのは、秘密度ラベルや保持ラベル単独ではなく、アクセス許可モデルです。ラベルは重要な保護とコンプライアンスの層を追加しますが、AI の到達範囲をアクセス許可で認められた範囲を超えて広げることはありません。つまり、ユーザーがすでにアクセス許可を持っていない限り、秘密度ラベルが付いていても、AI が「Confidential」のドキュメントの中身を見られることはありません。

ただし、ラベルが実際に影響するのはデータガバナンスの準備状況です。保持ラベルはデータが早期に削除されないことを保証し、ナレッジ資産を保護することで、Copilot や検索がより多くの情報を「見られる」ようにします。秘密度ラベルは、AI ボットやエージェントによってコンテンツが表示された場合の誤った開示を防ぐのに役立ち、共有の境界と情報持ち出し（exfiltration）の制御を強化します。データの公開や規制違反を避けるには、Copilot を展開する前にラベル付けとアクセス許可のモデルを調整することが重要です。より実践的なガバナンスのヒントは、こちらの Copilot ガバナンスガイドやこちらのデータ戦略のポッドキャストなどのリソースでご確認いただけます。

Copilot で良い結果を得られるかどうかは、賢い AI だけでなく、アクセス許可とラベルの両方について一貫性があり、確実に適用されたガバナンスに左右されます。これを正しく行えば、AI の展開が思わぬ方向に進むことはありません。

SharePoint のラベルに関するよくある誤解と展開時の落とし穴

経験豊富な IT チームであっても、SharePoint でラベルを展開する際には落とし穴にはまることがあります。混乱の多くは、秘密度ラベルや保持ラベルですべてができる、さらにはアクセス許可を完全に置き換えられる、と考えることから生じます。こうした期待に加え、コミュニケーションの不備や教育の不足が重なり、ユーザーと管理者の双方が不満を抱えることが一般的です。

組織がつまずくのは、ラベルが実際のデータ利用とどのように相互作用するかを誤って判断したときです。たとえば、アクセス許可を記録ポリシーのように扱ったり、丁寧なサポートや明確なガイダンスがなくても、全員が新しいラベルのロジックを理解してくれると想定したりするケースです。その結果、ヘルプデスクへの問い合わせが殺到したり、場当たり的なセキュリティ対策が行われたり、監査の時になって初めて表面化するコンプライアンス上のギャップが生じたりします（監査の時期は決して良いタイミングではありません）。

以下では、ラベルの展開時に最もよく見られる誤り、アクセス許可とラベルベースの記録管理を分けて管理しなければならない理由、そして新しいラベルベースのガバナンスモデルが稼働した後にユーザーがよくつまずくポイントを取り上げます。実例と実践的なポイントを通して、同じ失敗を避け、展開時の混乱を最小限に抑えていただけるはずです。

秘密度ラベルと保持ラベルに関する組織の典型的な誤り

1. アクセス許可と記録管理の混同: 多くの組織は SharePoint のアクセス許可を記録管理ツールとして扱い、保持やコンプライアンスの要件を満たしてくれることを期待しています。その結果、法的に必要な保持期間が終わる前に記録が削除されたり、失われたりすることがよくあります。コンプライアンスのずれがどのように起こるかを詳しく知るには、こちらのコンプライアンスドリフトの解説をご覧ください。
2. ラベルがアクセス許可を置き換えるという思い込み: 秘密度ラベルがコンテンツへのアクセスを自動的に制限または許可する、という誤解が根強く存在します。実際には、ラベルはアクセス許可の上に重ねて適用されるものであり、ラベル自体がアクセスを付与するわけではありません。「機密」ラベルを付ければ十分だと考えると、危険な過剰共有につながります。
3. ラベルのライフサイクルと更新の無視: ラベルは一度設定されたまま放置されることが多く、その間にも業務ルールやコンプライアンス要件は変化します。古いラベルは機密データを誤って分類し、後の検索、ワークフロー、コンプライアンス監査を壊す原因になります。
4. 明確な責任者とコミュニケーションの欠如: ラベルの管理に関する役割が明確でなく、エンドユーザーへの情報共有が透明でないと、コンテンツのラベル付けが一貫せず、ラベルが付いていないままになってしまいます。こうした曖昧さは、データ損失やコンプライアンス目標の未達につながります。
5. 不十分な展開計画: パイロット導入や段階的な展開を行わず、一斉にすべての場所でラベルを展開すると、ユーザーと IT の双方が圧倒されます。誤解が広がり、成熟度は停滞し、ラベル戦略はやがて業務ニーズから乖離してしまいます。

アクセス許可と記録管理の混同を理解する

アクセス許可と記録管理は、同じコインの裏表ではありません。アクセス許可は、SharePoint においてリアルタイムに誰がコンテンツを閲覧、編集、削除できるかを制御します。一方、記録管理は、誰がアクセスできるかに関係なく、コンテンツを保存または破棄するための法的および運用上の要件を定めるものです。

アクセス許可を레코ード管理の代わりとして扱うと、コンプライアンス上の大きな穴になります。「削除」権限を持つチームメンバーが重要なドキュメントを削除すると、アクセス許可のモデルが完璧であっても、保持要件に違反する可能性があります。適切なガバナンスとは、両方の仕組みをそれぞれの目的に沿って使うことです。アクセス許可はアクセスの管理に、保持ラベルはライフサイクルと訴訟ホールドの管理に使います。

ロールアウト時の問題と、ユーザー導入時の誤解

• コミュニケーション不足: ラベルの働きや変更の理由がユーザーに伝わっていないため、判断に迷い、誤った選択をしたり、サポートへの問い合わせが絶えなかったりします。
• トレーニング不足: 新しいラベルに基づくワークフローがトレーニング資料に含まれていないと、ユーザーは新しい手がかりに気づけず、ミスによってコンプライアンスを損なうことがあります。
• ラベルの動作に関する誤解: ラベルが付いたファイルは完全にロックされると思い込むユーザーがいます。実際にはアクセス許可が引き続き適用されることを知らないか、逆に、機密データが露出したままになることがあります。
• 影響の理解不足: 外部共有の制限やラベルによるオフラインの制限など、ラベルで設定された機能に気づかず、通常の日常業務でつまずくユーザーがいます。こうした影響は、普段の利用中には必ずしも分かりやすくありません。

利用者の負担を増やさずに堅牢なセキュリティを展開するためのベストプラクティスについては、こちらの実践的なセキュリティ構成ガイドをご覧ください。

実際のデータソースとユーザーの利用実態を把握する

効果的なラベル付けは、実際のSharePointのデータソースと利用パターンを把握することから始まります。ラベル戦略(ポリシー、自動化、レビュー)を、アーキテクチャ図上の構成ではなく、ユーザーが実際にコンテンツを保存、アクセス、共有、共同作業する方法に合わせてください。

そのためには、フォルダー構造、ライブラリの設定、共有の方法を確認することが重要です。また、実際のユーザーグループでラベルポリシーを試験運用し、フィードバックを集めることで、意図した保護と日々の業務フローとのずれを防ぐ必要があります。目標は、業務の妨げにならず、意図しないロックアウトを引き起こさずにデータを保護するポリシーを作ることです。

SharePointにおけるラベルの継承の実装とトラブルシューティング

これまでのラベルの理論を実際に適用する準備はできましたか？このセクションでは、SharePointでラベルの継承を有効化し、管理するための実践手順をご紹介します。ラベル機能の有効化、共有と継承のルールの設定、そして規模が大きくなった場合や問題が発生した場合のPowerShellの使い方を説明します。

もちろん、理論どおりにいかないこともあります。そこで、ラベルに関連するよくある問題の詳しいトラブルシューティングも掲載しています。チェックボックスがグレーアウトして選択できない、ダウンロード後にドキュメントからラベルが外れてしまう、そもそもユーザーが適切なラベルを適用できない、といった状況はよくあります。いずれも、適切な方法や適切なPowerShellスクリプト、あるいは設定の少しの調整で解決できます。

ラベルの管理や継承の動作をスムーズに機能させる準備はできましたか？SharePointのセキュリティとコンプライアンスの環境で実際に結果を確認できるよう、順を追って説明していきます。

秘密度ラベルとラベル継承機能を有効にする方法

1. 管理センターの設定を更新する: Microsoft Purview コンプライアンス センターで、[情報保護]の設定にある「コンテナーの秘密度ラベル」を有効にします。これにより、サイト、グループ、Teamsでラベルを使用できるようになります。
2. プレビューと詳細機能を有効にする: ラベル継承機能の最新の機能を使うには、利用可能な場合はプレビュー機能を有効にします。Microsoftが新機能を改良する過程で、一部の継承オプションはこの方法でしか表示されない場合があります。
3. 既定のラベルポリシーを設定する: 新規および既存のSharePointサイトに対して、組織全体の既定のラベル設定を定義し、特に大規模な環境では、すべてのコンテナーで基本的なセキュリティ体制が確保されるようにします。
4. サイトとライブラリの設定を調整する: 個々のサイト コレクションやドキュメント ライブラリで、ラベル継承のオプションが表示され、必要に応じて有効になっていることを確認します。共有と保持の設定をラベルポリシーに合わせて調整します。
5. PowerShellで自動化する: Set-SPOSiteおよび関連するcmdletを使用して、既定の秘密度ラベルを複数のサイトにプログラムで適用または強制します。環境の変化に合わせて新しいサイトを検出し、ずれを修正するスクリプトを定期的にスケジュール実行します。

共有設定とラベル継承のためのPowerShellの構成

SharePoint でラベルの継承を考える際、共有設定は非常に重要です。SharePoint 管理センターで、各サイトの共有ルールが意図した秘密度ラベルのポリシーと一致しているか確認してください。特に、外部ユーザーや管理されていないデバイスからのアクセスを制限している場合は要注意です。

こうした設定を大規模に適用または監査するには、PowerShell スクリプトを使い、共有構成と適用済みの秘密度ラベルの不整合を確認します。スクリプトでは、統合されたサービス間でラベルの状態を同期したり、継承が途切れた場合にアラートを発生させたりすることもできます。ネイティブの設定では不十分な場合、PowerShell による自動化で精密な制御が可能になり、コンプライアンス報告のための完全な監査証跡も得られます。

秘密度ラベルのアクセスと適用に関するトラブルシューティング

1. ラベルのチェックボックスがオフにできない: ラベルの変更や適用のオプションがグレー表示になっている場合は、管理者のアクセス許可、継承の設定、そしてユーザーが正しいラベルポリシーにアクセスできるかを確認してください。キャッシュされた資格情報や同期されたアカウントが原因で、リセットするまで UI がブロックされることもあります。
2. ダウンロードしたドキュメントの保護が失われる: ラベルが付いた SharePoint のドキュメントをダウンロードした際に秘密度タグが消えるのは、多くの場合、ファイルの種類やクライアントの互換性の問題が原因です。ユーザーが Azure Information Protection をサポートする最新の Office アプリを使用していることを確認してください。ダウンロード時の動作を制御するには、テナントレベルのポリシー設定を見直します。
3. アクセス許可とラベルの競合: ラベルによる制限が、許可されているユーザーのアクセスまでブロックしている場合は、ラベルポリシーと従来のアクセス許可の間に競合がないか確認してください。ラベルでは「ブラウザーでのみ開く」のような、より厳しいルールが設定されている可能性があります。Purview のログとアクセス許可の割り当てを監査して、原因の手がかりを探してください。
4. 移行や所有者変更後に継承が途切れる: 移行や所有権の移管の際に、ラベルの継承が失われたり、ラベルが削除されたりすることがあります。PowerShell を使って、ラベルの割り当てを一括で再適用または修正し、移行後にコンプライアンススキャンを実行してアクセスの失敗を検出してください。
5. 監査の失敗と活動記録の欠落: ラベルの変更や継承の中断がログに表示されないことがあります。その場合は、Microsoft Purview Audit Premium にアップグレードして、追跡機能を強化してください。監査設定のベストプラクティスについては、こちらの Purview 監査ガイドを参照してください。

ラベルが付いた Office ドキュメントの問題を修正する実践ガイド

• ラベルの保護を復元する: ダウンロードや移動の後にドキュメントのタグが失われた場合は、Office デスクトップアプリまたはコンプライアンス センターを使用して、秘密度ラベルを再適用してください。
• オフラインアクセスの修正: ラベルが付いたコンテンツをオフラインで開くユーザーが、保護を解除するための正しい認証トークンとデバイスのコンプライアンス状態を備えていることを確認してください。
• ファイルの互換性を確認する: すべての Office ファイルの種類が、ラベルのメタデータを同じように引き継ぐわけではありません。ラベルの一貫性を保つため、必要に応じてファイルを変換または更新してください。
• アクセス許可の設定をリセットする: アクセスに失敗する場合は、アクセス許可とラベルの組み合わせを再評価し、保護を維持しながら意図したアクセスを取り戻せるよう、必要に応じてリセットしてください。

ハイブリッド環境およびサードパーティ環境におけるラベルの継承

ラベルの継承は、Microsoft 365 だけの話ではありません。多くの組織では、SharePoint Online とオンプレミスの SharePoint サーバー、従来のファイル共有、さらには Box や Dropbox などのサードパーティのコンテンツプラットフォームを組み合わせて使用しています。こうしたハイブリッド環境やクロスプラットフォーム環境では、ラベルの動作がさらに複雑になることがあります。コンテンツとともにラベルが引き継がれる場合もあれば、削除、無視されたり、カスタムツールで再適用が必要になったりする場合もあります。

Azure File Sync を使用する場合や、ライブラリを行き来させて移行する場合は、秘密度ラベルがどこで、どのように適用されるか（あるいは保持されないか）を理解することが、組織全体のコンプライアンスとセキュリティ基準を維持するうえで重要です。条件付きアクセスも役立ちますが、コンテンツがネイティブの SharePoint/Microsoft 365 の境界を越えると、十分に機能しないことがよくあります。

プラットフォームをまたぐ場合、特にカスタムアプリ、外部 CRM、または Microsoft 以外の宛先が関係する場合は、ラベルやコンプライアンスのメタデータが変換時に失われないよう、追加の対策が必要です。複数のサービスを組み合わせる際に避けるべき落とし穴については、こちらのデータ基盤のガバナンスに関するガイドをご覧ください。

オンプレミスの SharePoint 環境におけるラベルの動作

SharePoint Onlineとオンプレミスのデプロイメントとの間でコンテンツを同期または移行する際、秘密度ラベルが必ずしも一緒に引き継がれるとは限りません。SharePoint Online は Microsoft Information Protection をネイティブにサポートしていますが、オンプレミスの SharePoint Server は、特に古いバージョンやカスタムコネクタがない場合、サポートしていないことがあります。

Azure File Sync のようなツールは、ファイル共有やライブラリの接続を維持するのに役立ちますが、同期後にラベルのメタデータが失われ、再適用が必要になることがあります。条件付きアクセス（たとえば管理対象デバイスの確認を求めるもの）も、ファイルがオンプレミスやレガシー環境に移動すると、多くの場合適用されません。こうしたハイブリッド環境では、ポリシーの適用は上流の制御、確実な監視、場合によってはサードパーティのミドルウェアに頼る部分が大きくなります。

使用しているハイブリッドツールが秘密度と保持のメタデータをどのように扱うかは、必ず確認してください。ネイティブにラベルをサポートしないローカルサーバーにファイルが配置されるなど、ギャップがある場合は、ワークフォースへのトレーニングと定期的な一括ラベル再適用が最善の策になることがあります。文書化を伴う組織全体のガバナンスについては、Azure governance strategy discussions のガイダンスを参照してください。

クロスプラットフォームのワークフローでラベルの伝播を維持する

• メタデータ転送用の API: Microsoft Graph、MIP、またはサードパーティの API を使用して、ファイルを Box、Dropbox などの外部システムに移行する際に、ラベルのメタデータを読み取り、コピーします。
• ミドルウェアによるラベルのマッピング: SharePoint の秘密度ラベルと保持ラベルを、外部プラットフォームの同等のポリシーやタグにマッピングするミドルウェアを活用し、コンプライアンス上の死角を減らします。
• 定期的なラベルの確認: 外部化されたコンテンツを定期的に監査する仕組みを設定し、必要な分類ポリシーと保持ポリシーが引き続き有効で、移行先のシステムに正しく反映されていることを確認します。
• ロールベースの例外ログ: 必要なクロスプラットフォームアクセスに対しては、管理された期間限定の例外を許可し、その後にラベルを再適用できるよう監査証跡を残します。

ラベルの継承変更に関する監視、監査、レポート

ラベル付けと継承の戦略が本番稼働したら、コンプライアンスを維持するには、ラベルの状態、継承の中断、上書きを定期的に監視する必要があります。ポリシーからの逸脱を知らせるだけでなく、コンプライアンス担当者や監査人から求められた際に、具体的なレポートを提供できるツールが必要です。Microsoft Purview 監査ログと PowerShell は、誰がどの操作を行ったかを追跡するうえで重要な役割を果たします。後から原因を探し回る必要はありません。

ラベルの継承の整合性は、単に安心のためだけのものではありません。インシデント対応における防御線であり、規制の厳しい業界では要件でもあります。定期的なレポートによって、管理者不在のコンテンツが見つかり、継承が機能しなくなった箇所が明らかになり、ポリシーの穴や悪い習慣がどこに入り込んだかを特定できます。

次に、継承の変更、上書きイベントを追跡し、信頼性の高いコンプライアンスレポートを作成する方法を見ていきます。コストとガバナンスの説明責任に関するこのガイドで取り上げた内容のとおり、これは真の説明責任を支える「ショーバック」型のポリシー管理につながります。

SharePoint でのラベルの継承の中断とラベルの上書きを追跡する

IT 部門とコンプライアンス担当チームは、Microsoft Purview 監査ログと PowerShell を使用して、SharePoint 内でラベルの継承がいつ中断されたか、または手動で上書きされたかを追跡する必要があります。監査ログは、ラベルの適用、変更、削除のイベント履歴を提供します。PowerShell スクリプトは、継承が中断されたオブジェクトをレポートできます。

定期的な監査スクリプトと、強化されたログ保持（Audit Premium）を組み合わせることで、組織は「何が」変更されたかだけでなく「誰が」変更したかを検出し、是正措置を講じることができます。ユーザーアクティビティの監査方法については、この Microsoft Purview 監査ガイドを参照してください。

ラベルの継承の整合性に関するコンプライアンスレポートの作成

1. インベントリレポート: PowerShell またはサードパーティ製ツールを使用して、サイト、ライブラリ、ドキュメントの現在のラベルと継承の状態を一覧としてエクスポートします。これにより、保護のギャップや、ラベルが欠落している箇所を把握できます。
2. 継承の中断の追跡: ラベルの継承が中断された、手動で上書きされた、または移行後に削除されたアイテムやコンテナーにフラグを立てるレポートを定期的にスケジュールします。これはコンプライアンス監査とインシデント対応にとって重要です。
3. ディスクレパンシー検出スクリプト: ガバナンスルールから導かれる想定どおりのラベルポリシーと、現在のオブジェクトのメタデータを自動的に比較するスクリプトです。外れ値や誤って適用されたポリシーを検知し、迅速な是正につなげます。
4. コンプライアンス ダッシュボード: Power BI などのツールを活用し、ラベルの適用範囲、継承の整合性、ポリシーへの準拠状況の推移を可視化します。より広いガバナンス監視を支える仕組みになります。
5. 自動通知とレビュー: ラベルの継承やオーバーライドが検出されたときに、IT 担当者やコンプライアンス責任者へメールアラートやワークフローのリマインダーを送るよう設定します。これにより迅速な是正措置を取り、監査リスクを軽減できます。

定期的なレポートは、SharePoint のラベル運用に説明責任をもたらし、ポリシーの適用範囲を改善します。また、監査や規制当局からの照会にも、慌てずに対応できるようになります。

合わせて聴いていただきたいエピソード

SharePoint のラベル継承について調べているなら、以下のエピソードが参考になります。Microsoft 365 のセキュリティとガバナンスの概念を、実際に運用できる統制へと落とし込むための実践的な文脈を提供します。

• Microsoft Purview – Simply Explained — Microsoft のエコシステム全体で、分類、保持、コンプライアンス、データガバナンスをつなげて理解します。
• Microsoft Defender XDR – Simply Explained — 保護ポリシーが検出、調査、インシデント対応とどのように結びつくかを確認します。
• Conditional Access – Simply Explained — ID とリスクのコンテキストが、機密コンテンツへのアクセスをどのように保護するかを理解します。
• Microsoft Teams Governance – Simply Explained — ガバナンスが、コラボレーション ツール全体で一貫した動作としてどのように実現されるかを学びます。

これらの推奨事項は、用語の理解にとどまらず、より適切な実装判断を下したいときに役立ちます。