機密性の高いビジネスデータを識別し、保護する

この記事では、ゼロ トラスト導入ガイダンスの一環として、最も重要なデータ資産を保護するビジネス シナリオについて説明します。 このシナリオでは、機密性の高いビジネス データを識別して保護する方法に重点を置いています。

デジタル変革により、組織はデータ量の増加に対処するようになった。 ただし、パートナー、ベンダー、顧客などの外部コラボレーターは、企業ネットワークの外部でその共有データの多くにアクセスします。 この変化により、特にハイブリッド従業員とクラウド移行の急増、サイバー脅威の増大、セキュリティの進化、データの管理と保護方法に関する規制要件の変化を検討する場合に、複雑なデータランドスケープが生まれています。

ハイブリッド作業モデルでは、企業の資産とデータが移動中です。 組織は、デバイス、アプリ内、パートナーと共に、データが保存および転送される場所を制御する必要があります。 ただし、現代のセキュリティでは、従来のネットワーク保護制御に依存できなくなります。

次の図は、左側のネットワーク制御による従来の保護 (既知の制限された場所から) から、ユーザーとデバイスの場所に関係なく保護が適用される右側のゼロ トラストを使用した最新の保護への移行を示しています。

この記事のガイダンスでは、機密データを識別して保護するための戦略を開始して進める方法について説明します。 組織がデータを保護する規制の対象である場合は、このシリーズの 規制要件とコンプライアンス要件を満たす 記事を使用して、この記事で学習した内容を規制対象のデータの保護に適用する方法について説明します。

ビジネス リーダーが機密データの保護についてどのように考えるか

技術的な作業を開始する前に、ビジネス データの保護に投資するためのさまざまな動機を理解しておくことが重要です。これらは、成功のための戦略、目的、および対策を通知するのに役立ちます。

次の表は、組織全体のビジネス リーダーがゼロ トラストベースのデータ保護に投資する必要がある理由を示しています。

重要なビジネス データを保護するための導入サイクル

この記事では、Azure の クラウド導入フレームワーク と同じライフサイクル フェーズを使用して、戦略の定義、計画、準備、導入、管理を行うが、ゼロ トラストに合わせて調整する、このビジネス シナリオについて説明します。

目標または一連の目標の導入プロセスの図。

次の表は、図のアクセシビリティ対応バージョンです。

ゼロ トラスト導入フレームワークの概要のゼロ トラスト導入サイクルの詳細を参照してください。

戦略フェーズの定義

[戦略の定義] フェーズが強調表示された、単一の目標または一連の目標の導入プロセスの図。

戦略 の定義 フェーズは、私たちの取り組みを定義して形式化するために不可欠です。これは取り組みの「なぜ」を形式化する役割を果たします。 このシナリオについて このフェーズでは、ビジネス、IT、運用、および戦略的な観点を通じてシナリオを理解します。 セキュリティは段階的かつ反復的な取り組みであることを理解して、シナリオの成功を測定する結果を定義します。

この記事では、多くの組織に関連する動機と成果を示します。 これらの提案を使用して、独自のニーズに基づいて組織の戦略を強化します。

データ保護の動機

機密性の高いビジネス データを識別して保護する動機は簡単ですが、組織のさまざまな部分で、この作業を行うためのインセンティブが異なります。 次の表は、これらの動機の一部をまとめたものです。

規制要件を満たすことが、一部の組織の主な動機となる可能性があることに注意してください。 これが当てはまる場合は、先に進み、これを組織の戦略に追加し、このシリーズの 規制要件とコンプライアンス要件を満たす記事と 共にこのビジネス シナリオを使用してください。

データ保護の結果

ゼロ トラストの全体的な目標をデータに "信頼しない、常に検証" するために適用すると、環境に重要な保護レイヤーが追加されます。 ユーザーを含むすべてのチームに対して適切な保護と使いやすさのバランスを取ることができるように、達成すると予想される結果を明確にすることが重要です。 次の表に、推奨される目標と結果を示します。

計画フェーズ

計画フェーズが強調表示されている 1 つの目標または一連の目標の導入プロセスの図。

導入計画は、ゼロ トラスト戦略の原則を実用的な計画に変換します。 組織のチームは、導入計画を使用して技術的な取り組みをガイドし、組織のビジネス戦略に合わせて調整できます。

ビジネス リーダーやチームと共に定義する動機と成果は、"なぜ" をサポートします。 あなたの組織にとって、戦略の指針となる存在です。 次に、目標を達成するための技術的な計画が示されます。

機密性の高いビジネス データを識別して保護するための技術的な導入には、次の作業が含まれます。

• デジタル資産全体の機密データの検出と識別。
• DLP を含む分類と保護スキーマのキュレーション。
• Microsoft 365内のデータから始まり、オンプレミス リポジトリ内のすべての SaaS アプリ、クラウド インフラストラクチャ、データに保護を拡張して、デジタル資産全体でスキーマをロールアウトします。 SaaS アプリは、Microsoft 365 サブスクリプションの外部にあるが、Microsoft Entra テナントと統合されているアプリです。

機密ビジネス データの保護には、次のようないくつかの関連アクティビティも含まれます。

• ネットワーク通信の暗号化。
• 機密データが共有されている Teams とプロジェクトへの外部アクセスの管理。
• 機密性の高いビジネスデータを含むプロジェクトでは、Microsoft Teams内で専用の分離されたチームを設定して使用することが求められますが、これは通常まれです。 ほとんどの組織では、このレベルのデータセキュリティと分離は必要ありません。

多くの組織では、次の表に示すように、これらの展開目標に対して 4 段階のアプローチを取ることができます。

この段階的なアプローチが組織で機能する場合は、次の方法を使用できます。

• このダウンロード可能なPowerPointスライド デッキを使用して、ビジネス リーダーやその他の利害関係者向けに、これらのステージと目標を通じて進捗状況を提示および追跡します。 このビジネス シナリオのスライドを次に示します。

  

• この Excel ブック では、所有者を割り当て、これらのステージ、目標、タスクの進行状況を追跡します。 このビジネス シナリオのワークシートを次に示します。

  機密性の高いビジネス データの展開を識別して保護するための進行状況追跡ワークシート。

組織を理解する

技術的な実装に対するこの推奨される段階的なアプローチは、組織を理解するためのコンテキストを提供するのに役立ちます。 機密性の高いビジネス データを保護するための組織のニーズと、データの構成と量は異なります。

すべてのビジネス シナリオのゼロ トラスト導入ライフサイクルの基本的な手順には、インベントリの取得が含まれます。 このビジネス シナリオでは、組織のデータのインベントリを取得します。

以下のアクションが適用されます:

• データのインベントリを作成します。

  まず、すべてのデータが存在する場所を取得します。これは、アプリとリポジトリをデータと共に一覧表示するのと同じくらい簡単です。 秘密度ラベル付けなどのテクノロジがデプロイされると、機密データが格納されている他の場所が検出される場合があります。 これらの場所は、ダークまたはグレーの IT と呼ばれることもあります。

  また、インベントリを作成する予定のデータの量 (ボリューム) を見積もると便利です。 推奨される技術的なプロセス全体を通して、ツール セットを使用してビジネス データを検出して識別します。 データの種類と、サービスとクラウド アプリ間でこのデータが存在する場所について説明します。これにより、データの機密性と、データが存在する場所の公開レベルを関連付けることができます。

  たとえば、Microsoft Defender for Cloud Appsは、認識していない可能性がある SaaS アプリを識別するのに役立ちます。 機密データが存在する場所を検出する作業は、技術的な実装のステージ 1 から始まり、4 つのステージすべてに連鎖します。

• 優先順位に基づいて、増分導入の目標と計画を文書化します。

  推奨される 4 つのステージは、増分導入計画を表します。 組織の優先順位とデジタル資産の構成に基づいて、この計画を調整します。 この作業を完了するためのタイムラインのマイルストーンまたは義務を必ず考慮してください。

• コンパートメント化された保護を必要とするデータ セットまたは専用プロジェクト (テント付きプロジェクトや特別なプロジェクトなど) のインベントリを作成します。

  すべての組織がコンパートメント化された保護を必要とするわけではありません。

組織の計画と調整

機密ビジネス データを保護する技術的な作業は、いくつかの重複する領域とロールを超えています。

• データ
• アプリ
• エンドポイント
• ネットワーク
• アイデンティティーズ

次の表は、スポンサー プラン プログラムとプロジェクト管理階層を構築して結果を決定し、推進する際に推奨されるロールをまとめたものです。

この導入コンテンツのPowerPoint リソースのデッキには、次のスライドと、自分の組織用にカスタマイズできる利害関係者ビューが含まれています。

技術的な計画とスキルの準備

技術的な作業に着手する前に、Microsoft では、機能、それらの連携方法、およびこの作業に取り組むためのベスト プラクティスを知ることをお勧めします。 次の表には、チームがスキルを習得するのに役立ついくつかのリソースが含まれています。

リソース	説明
Microsoft Purview	Microsoft Customer Engagement チームのベスト プラクティスについて説明します。 このガイダンスは、這う、歩く、走るというモデルを通じて組織を成熟へと導き、それはこの導入ガイダンスで推奨される段階と一致しています。
RaMP チェックリスト: データ保護 迅速モダン化計画のドキュメント セットのサムネイル。	利害関係者を含む、推奨される作業を一覧表示して優先順位を付けるための別のリソース。
Microsoft Purviewデータ損失防止への導入 (初心者)	このリソースでは、Microsoft Purview Information Protectionの DLP について説明します。
Microsoft Learn モジュール (Microsoft Purview における情報保護とデータライフサイクル管理の紹介アイコン)（中級）	Microsoft 365情報保護とデータ ライフサイクル管理ソリューションを使用して、データのライフサイクル全体を通じて、どこにいてもデータを保護および管理する方法について説明します。
認証-Microsoft 認定: 情報保護管理者アソシエイト認定のアイコン	認定Information Protection管理者アソシエイトになるための推奨されるラーニング パス。

ステージ 1

ステージ 1 のデプロイ目標には、データのインベントリを取得するプロセスが含まれます。 これには、組織がデータの格納、処理、共有に使用する承認されていない SaaS アプリの識別が含まれます。 これらの承認されていないアプリをアプリ管理プロセスに取り込んで保護を適用するか、ビジネス データがこれらのアプリで使用されないようにすることができます。

機密性の高いビジネス データを検出して識別する

Microsoft 365以降、保護する必要がある機密情報を識別するために使用する主要なツールの一部は、機密情報の種類 (SID) とその他の分類子 (トレーニング可能な分類子や指紋など) です。 これらの識別子は、クレジット カード番号や政府の ID 番号などの一般的な機密データの種類を検索し、機械学習やその他の方法を使用して機密ドキュメントや電子メールを識別するのに役立ちます。 また、特殊な保護を必要とする特定のユーザー (顧客 PII など) に関連するデータを区別するために正確なデータ マッチングを使用するなど、環境に固有のデータを識別するカスタム SID を作成することもできます。

データがMicrosoft 365環境に追加または変更されると、テナントで現在定義されているすべての SID を使用して、機密コンテンツが自動的に分析されます。

Microsoft Purview ポータルでコンテンツ エクスプローラーを使用すると、環境全体で検出された機密データの発生を確認できます。 結果は、より正確にするために環境の SID をカスタマイズまたは調整する必要があるかどうかを知らせます。 結果には、データストックと情報保護の状態の最初の画像も表示されます。 たとえば、SIT に対して誤検知が多すぎる場合や、既知のデータが見つからない場合は、標準の SID のカスタム コピーを作成し、環境に適するように変更できます。 正確なデータ マッチングを使用して、これらを調整することもできます。

さらに、組み込みのトレーニング可能な分類子を使用して、コントラクトや貨物ドキュメントなど、特定のカテゴリに属するドキュメントを識別できます。 特定して保護する必要があることがわかっているドキュメントの特定のクラスがある場合は、Microsoft Purview ポータルのサンプルを使用して、独自の分類子をトレーニングできます。 これらのサンプルを使用して、類似したコンテンツ パターンを持つ他のドキュメントの存在を検出できます。

コンテンツ エクスプローラーに加えて、組織はコンテンツ検索機能にアクセスして、高度な検索条件やカスタム フィルターの使用など、環境内のデータのカスタム検索を生成できます。

次の表に、機密性の高いビジネス データを検出するためのリソースを示します。

承認されていない SaaS アプリを検出する

組織では、Salesforce や業界に固有のアプリなど、多くの SaaS アプリをサブスクライブしている可能性があります。 知っている SaaS アプリと管理している SaaS アプリは、承認されていると見なされます。 後のステージでは、これらの承認された SaaS アプリのデータを保護するために、Microsoft 365を使用して作成するデータ保護スキーマと DLP ポリシーを拡張します。

ただし、この段階では、組織が使用している承認されていない SaaS アプリを検出することが重要です。 これにより、これらのアプリとの間のトラフィックを監視して、組織のビジネス データがこれらのアプリと共有されているかどうかを判断できます。 その場合は、これらのアプリを管理に取り込み、このデータに保護を適用できます。最初に、Microsoft Entra IDでシングル サインオンを有効にすることができます。

組織が使用する SaaS アプリを検出するためのツールはMicrosoft Defender for Cloud Apps。

ネットワーク通信を暗号化する

この目的は、ネットワーク トラフィックが暗号化されていることを確認することです。 ネットワーク チームにチェックインして、これらの推奨事項が満たされていることを確認します。

ステージ 2

インベントリを取得し、機密データが存在する場所を検出したら、ステージ 2 に進み、分類スキーマを開発し、組織のデータでテストを開始します。 このステージには、データまたはプロジェクトで保護の強化が必要な場所の特定も含まれます。

分類スキーマを開発するときは、多くのカテゴリとレベルを作成したくなります。 ただし、最も成功している組織では、分類レベルの数が 3 から 5 のような少数に制限されます。 より少ない方が良いです。

組織の分類スキーマをラベルに変換し、ラベルに保護を追加する前に、全体像を考えると便利です。 組織全体、特に大規模なデジタル資産にあらゆる種類の保護を適用する場合は、可能な限り均一にすることをお勧めします。 これはデータにも適用されます。

そのため、たとえば、多くの組織は、データ、デバイス、ID にまたがる 3 層の保護モデルによって十分に提供されています。 このモデルでは、ほとんどのデータをベースライン レベルで保護できます。 データの量が少ない場合は、保護を強化する必要があります。 一部の組織では、はるかに高いレベルで保護を必要とする非常に少量のデータがあります。 たとえば、企業秘密データや、データまたはプロジェクトの非常に機密性の高い性質のために厳しく規制されているデータなどがあります。

データ保護の 3 つの層の図。

組織で 3 つのレベルの保護が機能する場合、これをラベルに変換する方法とラベルに適用する保護を簡略化するのに役立ちます。

この段階では、秘密度ラベルを開発し、Microsoft 365内のデータ間で使用を開始します。 ラベルへの保護の追加については、まだ心配しないでください。これは、ユーザーがラベルに慣れ、しばらくの間、制約に関する懸念なしにこれらを適用した後、後の段階で行われることをお勧めします。 ラベルへの保護の追加は、次のステージに含まれます。 ただし、基本的な DLP ポリシーの使用も開始することをお勧めします。 最後に、このステージでは、機密性の高い保護を必要とするプロジェクトまたはデータ セットに特定の保護を適用します。

分類スキーマの開発とテスト

Microsoft 365全体のデータにラベルを適用する

基本的な DLP ポリシーの導入

ビジネス パートナーと内部および外部でデータを共有するためのセキュリティで保護されたチームを設定する

機密性の高い保護を必要とするプロジェクトまたはデータを特定した場合、これらのリソースでは、Microsoft Teamsでこれを設定する方法について説明します。 データが関連付けられたチームなしでSharePointに格納されている場合は、これらのリソースの指示に従ってSharePoint設定を行います。

ステージ 3

このステージでは、調整したデータ分類スキーマを引き続きロールアウトします。 また、計画した保護も適用します。

ラベルに保護を追加した後 (暗号化や権限管理など):

• ラベルを新しく受け取るドキュメントには、すべて保護が含まれます。
• 保護が追加される前にラベルを受け取った SharePoint Online またはOneDriveに保存されているドキュメントには、ドキュメントを開いたりダウンロードしたりしたときに保護が適用されます。

サービスに保存されているファイルまたはユーザーのコンピューターに存在するファイルは、これらのファイルがラベルを受け取った後にラベルに追加された保護を受け取りません。 つまり、ファイルが以前にラベル付けされ、後でラベルに保護を追加した場合、保護はこれらのファイルには適用されません。

ラベルに保護を追加する

Office アプリで自動ラベル付けを導入する

MICROSOFT 365全体で DLP ポリシーを拡張する

インサイダー リスク管理に関する基本的なポリシーを実装する

ステージ 4

このステージでは、Microsoft 365で開発した保護を SaaS アプリ内のデータに拡張します。 また、可能な限り多くのデータ分類とガバナンスの自動化に移行します。

ラベルと保護を SaaS アプリのデータ (DLP を含む) に拡張する

自動分類の拡張

オンプレミス リポジトリ内のデータにラベルと保護を拡張する

クラウド インフラストラクチャ内の組織データを保護する

クラウド導入計画

導入計画は、クラウド導入を成功させるために不可欠な要件です。 データを保護するための成功した導入計画の主な属性は次のとおりです。

• 戦略と計画は次のとおりです。 デジタル資産全体でデータ分類と保護機能をテスト、パイロット、ロールアウトするための計画を作成するときは、計画が確実に調整されるように戦略と目標を見直してください。 これには、データ セットの優先順位、データ保護の目標、目標マイルストーンが含まれます。
• この計画は反復的です。 プランのロールアウトを開始すると、環境と使用している機能セットについて多くのことを学習できます。 ロールアウトの各段階で、目的と比較して結果を見直し、計画を微調整します。 これには、たとえば、ポリシーを微調整するための以前の作業の再検討が含まれる場合があります。
• スタッフとユーザーのトレーニングは、十分に計画されています。 管理スタッフからヘルプデスク、ユーザーまで、誰もがデータの識別と保護の責任を持って成功するようにトレーニングされています。

Azureのクラウド導入フレームワークの詳細については、「Plan for cloud adoption」を参照してください。

準備完了フェーズ

準備完了フェーズが強調表示されている単一の目標または一連の目標の導入プロセスの図。

前述のリソースを使用して、機密データを特定して保護するための計画に優先順位を付けます。 機密ビジネス データを保護する作業は、多層ゼロ トラスト展開戦略のレイヤーの 1 つを表します。

この記事で推奨される段階的なアプローチには、デジタル資産全体で方法的な方法で作業をカスケード化する方法が含まれます。 この準備完了フェーズで、計画のこれらの要素を見直して、すべてが準備ができていることを確認します。

• 組織にとって機密性の高いデータは明確に定義されています。 データを検索して結果を分析するときに、これらの定義を調整する可能性があります。
• どのデータ セットとアプリから始めるかを明確に把握し、デジタル資産全体が含まれるまで作業範囲を拡大するための優先順位付けされた計画を立てます。
• 組織と環境に適した所定の技術ガイダンスに対する調整が特定され、文書化されています。

この一覧は、この作業を行うための高度な方法のプロセスをまとめたものです。

• 機密情報の種類、トレーニング可能な分類子、秘密度ラベル、DLP ポリシーなどのデータ分類機能について説明します。
• これらの機能を、Microsoft 365 サービスのデータで使用します。 このエクスペリエンスは、スキーマを調整するのに役立ちます。
• Office アプリに分類を導入します。
• エンドポイント DLP を試してロールアウトすることで、デバイス上のデータの保護に進みます。
• Defender for Cloud Apps を使用して、Microsoft 365資産内で調整した機能をクラウド アプリのデータに拡張します。
• Microsoft Purview Information Protection スキャナーを使用してオンプレミスのデータを検出して保護を適用する
• Microsoft Purviewデータ ガバナンスを使用して、Azure BLOB、Cosmos DB、SQL データベース、Amazon Web Services S3 リポジトリなど、クラウド データ ストレージ サービス内のデータを検出して保護します。

この図は、プロセスを示しています。

機密データを識別して保護するプロセスの図。

データの検出と保護の優先順位が異なる場合があります。

他のビジネス シナリオに対する次の依存関係に注意してください。

• 情報保護をエンドポイント デバイスに拡張するには、Intune との連携が必要です ( セキュリティで保護されたリモートとハイブリッドの作業 に関する記事に記載されています)。
• SaaS アプリのデータに対する情報保護を拡張するには、Microsoft Defender for Cloud Appsが必要です。 Defender for Cloud Apps のパイロット運用と展開は、 侵害ビジネス シナリオによるビジネス上の損害の防止または削減に関するシナリオに 含まれています。

導入計画を完了したら、Microsoft Purview ガイドを使用して情報保護ソリューションを再検討し、推奨事項を確認し、戦略を微調整してください。

導入フェーズ

導入フェーズが強調表示されている単一の目標または一連の目標の導入プロセスの図。

Microsoft では、機密データを検出して保護するための連鎖的で反復的なアプローチをお勧めします。 これにより、結果の精度を高めるために、戦略とポリシーを調整できます。 たとえば、機密データを検出して識別するときに、分類と保護スキーマの作業を開始します。 発見したデータはスキーマに情報を提供し、そのスキーマは機密データの検出に使用するツールと方法の改善に役立ちます。 同様に、スキーマをテストしてパイロットすることによって得られる結果は、以前に作成した保護ポリシーを改善するのに役立ちます。 次のフェーズを開始する前に、1 つのフェーズが完了するまで待つ必要はありません。 結果は、途中で反復処理を行う場合により効果的です。

情報保護の技術的導入プロセスの図。

フェーズの管理と管理

[ガバナンスと管理] フェーズが強調表示されている単一の目標または一連の目標の導入プロセスの図。

組織のデータのガバナンスは反復的なプロセスです。 分類スキーマを慎重に作成し、それをデジタル資産全体にロールアウトすることで、基盤を作成しました。 この基盤の初期ガバナンス計画の構築を開始するには、次の演習を使用します。

• 方法論を確立します。 スキーマをレビューするための基本的な手法、デジタル資産全体への適用方法、および結果の成功を確立します。 現在の状態や将来の状態など、情報保護プロトコルの成功を監視および評価する方法を決定します。
• 最初のガバナンス基盤を確立します。 小規模で簡単に実装できる一連のガバナンス ツールを使用して、ガバナンス体験を開始します。 この初期ガバナンス基盤は、実用最小限の製品 (MVP) と呼ばれます。
• 最初のガバナンス基盤を改善します。 エンド ステートに向かって進むにつれて、具体的なリスクに対処するためのガバナンス コントロールを繰り返し追加します。

Microsoft Purviewには、次のようなデータを管理するのに役立ついくつかの機能が用意されています。

• 保持ポリシー
• メールボックスの保持とアーカイブの機能
• より高度な保持と削除のポリシーとスケジュールのレコード管理

Microsoft Purview を使用してデータを管理することについては、参照してください。 さらに、 アクティビティ エクスプローラー では、検出およびラベル付けされたコンテンツとそのコンテンツの場所を確認できます。 SaaS アプリの場合、Microsoft Defender for Cloud Appsでは、SaaS アプリとの間で送受信される機密データに関する豊富なレポートが提供されます。 Microsoft Defender for Cloud Apps コンテンツ ライブラリの多くのチュートリアルを参照してください。

次のステップ

• ゼロ トラスト導入フレームワークの概要
• セキュリティ体制を迅速に最新化する
• リモートとハイブリッドの作業をセキュリティで保護する
• 侵害によるビジネス上の損害を防止または軽減する
• 規制とコンプライアンスの要件を満たす

進行状況の追跡リソース

ゼロ トラストビジネス シナリオの場合は、次の進行状況追跡リソースを使用できます。

その他のリソースについては、ゼロ トラスト評価と進行状況の追跡リソースを参照してください。