MPIP秘密度ラベルとは

今回は Microsoft Purview の情報保護機能の一つである秘密度ラベルについて紹介していきます。

情報保護機能 (MPIP) とは

Microsoft Purview の情報保護 (Information Protection) 機能ということで、頭文字を取って MPIP と称していきます。MPIPには、組織内のデータを守っていくために役立つ機能が数多く内包されています。それらの機能は、大きなカテゴリとして2つに分けられます。

• 検出
• 保護

なお、これらの機能は従来ではAIP (Azure Information Protection) として提供されていました。単純にブランド変更に合わせた機能名変更なので置き換えてもらえば良いです。今も API や一部の機能名には”AIP”という単語が残っているので、ほぼ同義のものとして意識してください。

検出機能

検出機能には、組織内にどんなデータが存在するのかを把握するために利用できる機能として次のものが含まれています。

• 機密情報の種類 (SITs : Sensitive Information Types)
• トレーニング可能な分類子 (Trainable Classifiers)
• 完全なデータ一致 (EDM : Exact Data Match)
• コンテンツエクスプローラー
• アクティビティエクスプローラー

これらの機能は特に「ファイル内にどんな機密情報が含まれるか」を検出するのに役立ちます。これらは主にファイル内の文字列を検索し、機密情報に該当する文字列パターンや特定の単語などが含まれていないかを検知します。

機密情報の種類には、Microsoft がすでに定義済みの機密情報を検出するパターンが用意されているため、それらを活用してすぐに機密情報の検出を始めることもできます。

これらのパターンは定義済みのものをカスタマイズすることも可能であり、独自でゼロから定義を作成することもできます。より高度な機能として、機械学習を使って多数の実データから検出精度を高めていくようなアプローチも可能です。

保護機能

保護機能としては、秘密度ラベル機能が提供されています。秘密度ラベルはファイルに対してラベルを付与することにより、ファイルを機密度ごとに分類したり、特定のアクセス権限でファイルを保護（暗号化）したりできます。

秘密度ラベルの機能はいくつかありますが主には次のように分けられます。

• 分類
• 保護（暗号化）
• コンテンツマーキング

分類

秘密度ラベルをファイルに付与することで、ファイル自体にその中身の情報の機密度を識別できる情報を持たせることができます。この時使うラベルは、組織の管理者側で事前に定義しておきます。

分類方法としてオーソドックスなのは組織のセキュリティポリシーなどで定義されている機密度区分を割り当てる方法が一般的です。例えば、「公開」、「一般」、「社外秘」、「極秘」などの機密度に合わせたラベルを用意します。法令対応や BYOD の利用が活発になっている場合、「個人用」データを識別するためのラベルを用意することもあります。

ラベルは基本的にOfficeアプリ上で操作します。ユーザーが秘密度ラベルを利用可能になっていると、Officeアプリのメニューバー上に [秘密度] というアイコンが出てきます。アイコンをクリックすると使えるラベルの一覧が表示されます。

また、ラベルはその配下にサブラベルというより細かい分類を複数持たせることができます。これは後述する保護のパターンを複数用意することで、ファイル保護の利便性を向上させる目的で利用されます。

保護（暗号化）

ラベルを付与した時、特定のユーザーのみアクセスできるようにファイルを保護（暗号化）することができます。この保護には2種類の方法があります。

• 管理者定義の保護
• ユーザーカスタムの保護

管理者定義の保護の場合、ラベルを付与することで管理者が事前に指定したアクセス許可（編集・閲覧・印刷・ラベル変更、など）が、自動でファイルに適用されます。つまりは誰が操作しても同じアクセス許可を一律付与できるようなテンプレートを用意しておくイメージです。

ユーザーカスタムの保護の場合、ラベルを付与する時にユーザー自身が「誰に・どんな操作権限を・いつまで」与えるのかを指定できます。毎回異なる保護を設定できるため柔軟なニーズに応えることができますが、全てのファイルに都度カスタマイズした保護をかけていくのは時間がかかるため利便性が低下します。

よって、よくある保護のニーズは事前定義しておき、細かいニーズに応えられるようユーザーカスタムの保護も選べるように各ラベルの配下に複数のサブラベルを用意しておくことが一般的です。

また、暗号化したファイルはアプリやサービスによっては動作に支障をきたすことがあるため、機密度のみを識別し暗号化はしないサブラベルも作っておくと良いです。

コンテンツマーキング

ラベルを付与した時、特定の文字列がヘッダー・フッター・透かしに表示されるように設定できます。

コンテンツマーキングは上記のうちいずれかのみを表示することもできますし、全く表示しないこともできます。外部に共有するドキュメントの場合だと、組織内のルールや社内情報を識別する警告文が表示されてしまうことが好ましくないケースもあるため、利用者のニーズに合わせて表示の要否を選択する必要があります。

秘密度ラベルの活用

前述のように、秘密度ラベルは管理者が定義した機密度区分をユーザーが標準的にファイルへ付与できることができる機能です。これによって、組織がセキュリティポリシーで定義している重要情報への取り扱い制限をテンプレート化して個別のデータに適用しやすくなります。

また、秘密度ラベルをファイルにつけることを標準化することで、秘密度ラベルの情報を基にしてデータの操作制限（DLP）をかけたり、ユーザーが重要な情報に頻繁にアクセスすることを検知して行動のリスク分析（IRM）をしたりすることにも繋げられます。

具体的なラベルの挙動はどうなるのか、組織の中で秘密度ラベルの利用を浸透していくためにはどんなアプローチが良いのか、といったトピックは次回以降で扱っていきます。お楽しみに。