なぜMicrosoft 365のDLPは機密情報を検出しないのか

By Mirko Peters · 2026-04-20

Microsoft 365のデータ損失防止（DLP）が機密情報をフラグ付けしないことで頭を抱えているなら、あなただけではありません。…

Automatically translated with AI from the original post. Read the English original

Titelbild: Why Is DLP Not Detecting Sensitive Info in Microsoft 365?

Microsoft 365のデータ損失防止（DLP）が機密情報をフラグ付けしないことで頭を抱えているなら、あなただけではありません。DLPは、環境の外に出る前に、クレジットカード番号、社会保障番号、機密性の高い事業情報などのデータを検出することになっています。それでも多くの組織では、DLPが単に反応しない箇所が見つかり、機密情報が保護されないままになっています。

DLPの検出が失敗する原因は、ポリシーやルールロジックの設定ミス、ライセンスの制限、分かりにくいセットアップ手順から、機密データを隠すファイルやエンコードの工夫まで多岐にわたります。ポリシーの設定that問題の場合もあれば、データの種類、保存場所、ユーザーによる巧妙な持ち出し方法が問題の場合もあります。こうしたDLPの死角の実態を理解することが、それを塞ぎ、Microsoft 365のワークロード全体でデータを安全に保つための第一歩です。本ガイドでは、実際に起きている原因と、その対策を掘り下げます。

DLPの基本と失敗する理由の理解

DLPの本質は、Microsoft 365においてメールで送信されるクレジットカード番号や、組織外に共有される機密ファイルなど、機密情報の不正な共有を検出し、阻止することにあります。DLPは決まったパターンをスキャンし、ルールを適用して、そうしたデータが見逃されないようにします。

ただし注意すべき点があります。DLPは万能ではなく、連携して動く必要のある要素が数多くあります。ポリシーが適切に設定されていなかったり、「機密」の定義が狭すぎたり、ユーザーが回避策を講じたりすれば、DLPは的を外してしまう可能性があります。設定上の基本的なミスから、特定のファイルや会話をDLPが見る方法の制約に至るまで、問題が起きる要素は多くあります。

以降のセクションでは、ポリシーのミスや機密データの定義が狭いことが、Microsoft 365の防御にどのような隙を生むのかを詳しく見ていきます。また、画一的なDLPアプローチがなぜリスクを伴うのか、そしてDLPにできること、そしてDLPが見落としがちなことの両方を理解することがなぜ重要なのかも取り上げます。

DLPポリシーとルールロジックの設定ミスが検出の穴を生む仕組み

条件の欠落と不完全なルールセット:DLPポリシーが環境内のすべての「もし」や「かつ」の条件を網羅していなければ、死角が生まれるのは避けられません。たとえば、米国の標準的な社会保障番号だけを探すポリシーでは、パスポート番号、社内コード、自社特有のカスタムデータを見逃してしまいます。条件が一つ欠けるごとに穴が一つ生まれます。
ポリシーの適用範囲の設定ミス:DLPルールは、誤った場所に向けられていれば効果がありません。多くの場合、組織はTeamsチャット、SharePointフォルダー、OneDriveといった重要な場所をポリシーの適用範囲に含め忘れています。その結果、機密情報はDLPの監視が及ばない場所を静かに移動してしまいます。
重複または競合するルール:条件が競合または重複する複数のDLPポリシーを重ねると、システムにとってさえ混乱を招きます。あるポリシーの「許可」が別のポリシーの「ブロック」を上書きしてしまい、予測できない動作や検出されないデータの漏えいにつながることがあります。
ルールの更新不足:ビジネスは常に変化しますが、DLPポリシーは変化しないことが多いものです。新しい種類の機密データを検出するようルールを更新しなかったり、改正された規制を反映させなかったりすると、DLPは時代に取り残されます。正面玄関に鍵をかけながら、裏の窓を大きく開けたままにしているようなものです。
ポリシーの結果をテストしていない:把握していないものは修正できません。多くのチームはDLPルールを設定したあとは問題ないと思い込み、そのルールが実際に機能するかを実際のシナリオで確認しません。Power Platform向けには、Power Platform開発者向けの実践的なDLPガイドで説明されているように、定期的なレビューと実地テストを行うことで、深刻な問題になる前に静かな失敗を見つけられます。

ポリシーのルールの構築や展開におけるわずかな見落としでも、データ漏えいの扉を開いてしまうことがあります。だからこそ、DLPを定期的にレビュー、テスト、調整することは、良い習慣であるだけでなく、必須なのです。

カスタムDLP機密情報の種類と機密データの対象設定

標準の機密情報の種類では不十分なことが多い:「クレジットカード」や「SSN」などの既定の DLP 機密情報の種類は出発点にすぎません。自社のビジネスにとってのみ重要なデータ（取引先 ID、独自の計算式、特定プロジェクトのコードネームなど）は検出できません。既定のパターンに当てはまらないものには、カスタマイズが必要です。
固有の機密データの特定漏れ:Microsoft が「機密」とみなすものだけに頼っていると、最大のリスクになりうる固有の情報を見落とします。自社の競争力の源泉、知的財産、または法規制上の責任に当たるデータを特定してください。この明示的な特定がなければ、DLP はそれを素通りしてしまいます。
検出精度を高めるカスタムルールの作成:Microsoft Purview で独自の機密情報の種類を作成することをためらわないでください。従業員番号の形式でも、契約書内の特定キーワードの認識でも、環境に合わせてルールを調整します。Purview 管理センターを使えば、これらのパターンを定義し、時間とともに改善できます。
場所またはユーザーグループによる対象の絞り込み:DLP は、どの種類のデータを検出したいかだけでなく、そのデータがどこにあり、誰が扱っているかに合わせて調整してください。たとえば、経理チームにはより厳格なルールを適用したい場合や、Teams や SharePoint などのコラボレーション基盤で重点的に管理したい場合があるでしょう。こうした対象の絞り込みを重ねることで、特に重要な箇所を確実にカバーできます。
DLP を広範なセキュリティモデルと統合する:データ漏えいの多くは、DLP ルールがないから起きるのではなく、既定の環境が統制されておらず、リスクの高いデータの「何でも置き場」になっていることが原因です。この点は、DLP と Power Platform のリスクに関する詳細なポッドキャストでも取り上げられています。DLP を全体的なデータガバナンス戦略と組み合わせることで、ルールの調整だけでは塞げない多くの穴を塞げます。

DLP を真に効果的にするには、適切な機密データを定義し、対象を正しく絞り込むことが不可欠です。カスタマイズは強力な味方であり、現代のビジネスリスクへの対策として欠かせません。

Microsoft 365 DLP のライセンスと展開におけるギャップ

どれほど精巧に作成された DLP ポリシーがあっても、適切なライセンスがなかったり、展開の手順を省略していたりすれば効果はありません。Microsoft 365 の高度な DLP 機能は、すべてのサブスクリプションに標準で含まれているわけではありません。また、展開時に重要な場所を見落としたり、選択したプランによる制限に直面したりすることは、意外なほど起こりがちです。

このセクションでは、DLP の機能をフルに活用するために必要な Microsoft 365 ライセンスを整理し、ポリシーの作成と展開におけるベストプラクティスを解説します。ライセンスと展開の選択は、思わぬ死角を生むことがあります。そのため、完全な保護を実現するには、これらの前提条件を理解しておくことが不可欠です。Microsoft 365 環境の統制を維持するための追加の知見としては、コンプライアンスドリフトと、保持およびガバナンスに潜む見えない穴に関する記事もご参照ください。

Microsoft 365 DLP の保護範囲に必要なライセンス

Microsoft 365 E5 および Microsoft 365 E5 Compliance:DLP における最上位の選択肢です。Exchange、SharePoint Online、OneDrive、Teams などで高度な DLP 機能を利用できます。組織全体を完全にカバーしたい場合は、これらのサブスクリプションが適しています。
Microsoft 365 E3 とアドオン:E3 でも基本的な DLP は利用できますが、より広範な機能を使うには Compliance または Information Protection のアドオンを追加する必要があります。適切な追加ライセンスを組み合わせないと、Teams や高度な分析機能で保護の抜けが生じることがよくあります。
Microsoft Purview のアドオン:カスタムの機密情報の種類、高度なルール、詳細な監査機能を利用するには、対応する Microsoft Purview のライセンスが必要です。標準の DLP では対応しきれない環境でも、一元管理が可能になります。
Office 365 の DLP の制限:Business Premium などの通常の Office 365 プランで提供される DLP は最小限で、多くの場合 Exchange Online に限定されます。機密ファイルが Teams、SharePoint、OneDrive に保存されている場合、アップグレードしなければ状況を把握できません。
カバレッジの抜け漏れを確認する:ライセンスがあるだけでは、適切な保護が実現するとは限りません。ポリシーはすべてのワークロードに対応させる必要があり、ユーザー母集団が一貫して対象になっていることを確認しなければなりません。データアクセス、ガバナンス、AI ワークロードを整合させる方法については、こちらのMicrosoft 365 のセキュアなデータガバナンスに関するガイドをご覧ください。

結論として、DLP で機密情報が検出されていない場合は、まずライセンスを確認してください。対象のライセンスを購入していなければ、その保護は得られません。

DLP ポリシーの作成と展開のベストプラクティス

適切なポリシーテンプレートを選択する:PCI や HIPAA などの一般的な規制向けに用意されている Microsoft の組み込み DLP テンプレートから始め、組織の要件に合わせて修正してください。車輪の再発明は避けつつ、既定値を盲目的に信頼しないことが大切です。
すべての場所で確実にカバーする:Teams、Exchange、SharePoint、OneDrive など、主要な Microsoft 365 ワークロードすべてを対象にしてください。1 か所でも除外すると、ユーザーが機密データを移動させる回避経路になります。
Purview でポリシー管理を一元化する:Microsoft Purview を、クラウドサービス全体で DLP を扱う「単一のビュー」として活用してください。これにより、ポリシーを一貫して管理、更新、監視できます。実際の操作手順を確認したい場合は、Microsoft 365 で DLP を設定する方法に関するポッドキャストが参考になります。
ポリシーの有効性をテストし、監視する:全社展開の前に、実際のデータではなく機密性のないデータを使ってパイロットでポリシーをテストしてください。ブロック、暗号化、通知などのポリシーアクションが想定どおりに動作するかを確認し、全員に適用する前に調整しておきましょう。
エンドユーザーと管理者にトレーニングを実施する:ポリシーの効果は、エンドユーザーと IT 管理者がそれを理解しているかどうかで決まります。定期的なトレーニングにより、ギャップを早期に発見し、業務を妨げる誤ったデータブロックを防げます。環境が拡大または変化するたびに、トレーニング内容を見直してください。

一貫性があり、調整の取れた展開により、DLP ポリシーは机上の計画にとどまらず、実際の業務でユーザーがデータを扱い、共有する方法を確実にカバーできるようになります。

カスタム DLP 機密情報の種類と高度な機能による検出の強化

組み込みの DLP テンプレートは有効な出発点ですが、多くの組織では、機密データが定型的なパターンに収まらない場所にあることにすぐ気づきます。独自の計算式から組織固有の識別子まで、多くのリスクに対応するには、カスタム情報の種類と高度な設定を使って DLP をさらに一歩進める必要があります。

Microsoft Purview では、独自の検出ルールを構築するためのツールが提供されており、特殊な形式、社内のアカウント番号、非常に特定的なコンテンツも正確に認識できます。また、信頼度レベルと一致のしきい値を調整することで、実際のリスクの検出と業務を妨げる誤検出の回避との適切なバランスを取れます。

以降のセクションでは、Purview でカスタム検出ロジックを構築する手順、ルールの精度を調整する方法、そして独自のデータを安全に保つための高度な機能の活用方法を説明します。文書の混乱を防ぎ、監査に対応できるデータ防御を構築する方法について詳しく知りたい場合は、Purview による防御の構築に関するエピソードをお聴きください。

Microsoft Purview でのカスタム DLP 機密情報の種類の作成

特別な保護が必要なデータを特定する:まず、組み込みの DLP 情報の種類ではカバーされていないデータを洗い出してください。たとえば、社内の従業員番号や顧客番号、独自のプロジェクトコード、製品の設計図、規制対象の地域固有の識別子などが該当します。そのパターンを説明できれば、保護することができます。
Purview 管理インターフェースでカスタムパターンを定義する:Microsoft Purview の使いやすいインターフェースを使って、新しい機密情報の種類を作成してください。パターンのルールを設定し、近接キーワードなどの補足的な根拠を追加できます。通常のテンプレートよりも細かく検出を調整できます。
高度な一致とコンテキストに基づくルールを活用する:部分一致、複数の検証チェック、他のキーワードと併せて出現することが条件となるような、より複雑なシナリオでは、独自のロジックを重ねて適用できます。特に、判断が分かれやすい知的財産やコンプライアンス要件に対して有効です。
本番適用の前にカスタム種類をテストする:「監査モード」から本格的な適用に切り替える前に、環境全体で新しい機密情報の種類をテストしてください。実際に近いサンプルを投入し、重要なものを検出できているか、不要なアラートを発生させていないかを確認します。
規制とmonitoringで監視し、コンプライアンスと監査に備える:規制は変わり続けるため、DLP ルールも見直しが必要です。Purview の監査ログを使ってパターンを微調整し、時間をかけてコンプライアンスを証明してください。監査ログの詳細はこちらの Purview 監査ガイドで解説しています。

カスタム DLP の種類は、標準テンプレートでは対応しきれない部分を補い、自社だけが扱う機密性の高いビジネス情報を確実に保護するのに役立ちます。

DLP における信頼度レベルの調整と誤検知の削減

適切な信頼度のしきい値を設定する:DLP ルールでは、コンテンツを機密情報として検出するために、エンジンにどの程度の確信度を求めるかを選択できます。しきい値を高くすると誤検知は減りますが、見逃しが増えます。しきい値を低くすると、本来不要なものも含め、より多くのアラートが発生する可能性があります。このスライダーは、組織のリスク許容度に合わせて調整してください。
一致の精度を調整する:完全一致を求めることも、部分的なパターンだけで判定することも、データの近くにある関連キーワードを探すこともできます。この設定の調整が鍵となります。緩すぎるとアラートに埋もれ、厳しすぎると機密情報を見逃してしまいます。
ユーザーによる上書きを慎重に有効化する:正当な理由がある場合に、ユーザーが DLP の警告を上書きできるようにしたいこともあるでしょう。その場合は、上書きのすべてを記録し、例外が常態化していないか定期的に確認してください。この点は、セキュリティと利便性のバランスを扱ったPower Platform DLP のエピソードでも取り上げているテーマです。
アラートとインシデントのログを確認する:DLP のアラートをインシデント対応ツールや SIEM に接続し、定期的に監視してください。誤検知が多すぎますか。その場合は、チームにとってちょうどよい「ゴルディロックスゾーン」が見つかるまで信頼度レベルを上げてください。
フィードバックに基づいて改善を繰り返す:DLP ポリシーの初版が完璧であることはまずありません。ユーザーからフィードバックを集め、アラートログを確認しながら、ルール、信頼度レベル、上書きオプションを定期的に調整してください。

適切に行えば、信頼度レベルの調整によって理想的なバランスが見つかります。強固なセキュリティ、業務への影響の少なさ、そしてユーザーが回避するのではなく尊重する DLP プログラムを実現できます。

DLP ポリシーのテストと機密データの検出の検証

Microsoft 365 でどれほど精緻な DLP 構成を作り込んでも、実際にテストしなければ機能するかどうかはわかりません。DLP を有効に保つには、良い意図や適切なポリシー作成だけでなく、継続的な検証とトラブルシューティングが必要です。

このセクションでは、実際に起こりうるデータ漏えいのシナリオをシミュレートし、DLP のトリガーが適切な場面で発動するかを確認する方法を扱います。結果の監視、フィードバックの収集、ポリシーの継続的な改善もここで行います。M365 全体で DLP を設定し検証する手順を音声で確認したい方は、こちらのハンズオン・ポッドキャストをご覧ください。

DLP テストにおけるデータ漏えいのシミュレーションとブロック動作の確認

現実的なテストシナリオを用意する:実データを使わずにテストできるよう、パターンは正確でも中身は架空の機密情報（ダミーのカード番号や模擬のプロジェクトコードなど）を含むドキュメント、メール、チャットメッセージを作成します。これにより、DLP が検出すべきものを正しく検出できるかを、実データのリスクなしに確認できます。
すべてのワークロードでテストする:Exchange だけでなく、Teams のチャット、SharePoint のファイル、OneDrive のフォルダーもテストしてください。DLP の死角は、ポリシーが展開されていないサービスや、想定どおりに動作しないサービスに潜んでいることが多いためです。
ユーザーの操作をシミュレートする:データのコピー、外部への共有、ファイルの添付、既知の回避手法（画像に貼り付けたデータや圧縮ファイルなど）を試してください。こうした確認により、DLP が見逃す可能性のあるエンコードの抜け穴やバイパス手法を発見できます。
テスト結果を確認して解釈する:ポリシーのアラート、ブロック、警告が正しく発動しているかを確認します。発動すべき場面で何も起きない場合は、ロジック、適用範囲、さらにはライセンスを見直し、保護されていない部分を特定してください。
ポリシーの影響を確認する:まず DLP の「テストモード」を使用し、ブロックまたはフラグ付けされていたはずの項目を確認してください。実際のユーザーの業務を妨げることなく、適用を本格的に有効化する前に、ポリシーを安全に調整できます。

DLP ポリシーが実際の環境で期待どおりに動作するかどうかは、机上の検討ではなく、慎重かつ実践的なテストを行ってはじめて確認できます。

DLP の問題を監視し、結果に基づいて改善を繰り返す

DLP のログとアラートを頻繁に確認する:DLP は検出内容の履歴を継続的に記録しています。これらのログを定期的に詳しく確認してください。検出漏れ、誤検出、ユーザーによるオーバーライドのパターンが把握できます。高度な監視のヒントについては、Defender for Cloud を使用したコンプライアンス監視に関する詳細なガイドもご覧ください。
ユーザーからのフィードバックを集める:正当な業務がブロックされたという報告や、不審な操作がすり抜けたという報告には、真摯に耳を傾けてください。ユーザーの声は、ログだけでは見落としがちなギャップや運用上の課題を浮き彫りにすることがよくあります。
ギャップと偽陰性を調査する:機密データが検出されなかった場合は、ポリシーの適用範囲の問題、ルールの不足、ファイル形式やエンコードの制限を確認してください。DLP では、暗号化されたアーカイブや巧妙にエンコードされたファイルをスキャンできない場合があります。形を変えて潜む脅威を明らかにするには、Purview の監査ウォークスルーで解説されている Purview の高度な監査ツールを使用してください。
ポリシーとルールを段階的に調整する:調査結果に基づいてポリシーを更新してください。信頼度レベルを調整したり、カスタム情報の種類を拡張したり、ビジネスの変化に合わせて適用範囲を広げたりします。継続的な調整は、一度設定して放置する運用よりも常に効果的です。
例外的なケースや異常なアクティビティを探す:繰り返される失敗した試行、不自然なエンコード、想定外のシャドー IT の利用など、ユーザーによる回避行為を示すパターンに注意してください。より広範な保護のために、行動分析やエンドポイントの監視で対策を講じてください。

監視とフィードバックを繰り返すことは、単に情報漏えいを塞ぐことだけではありません。チームが直面する実際の脅威に合わせて進化する、生きた DLP プログラムを構築することです。常に警戒し、好奇心を持ち、気を抜かないようにしましょう。