Microsoft 365 を採用して最新のコンプライアンスを推進

本日の記事は、Rudra Mitra (Partner Director of Microsoft 365 Security and Compliance) によるものです。

現在、750 もの規制機関が毎日 200 を超える更新を行っており、あらゆる変更に対応するための負荷はきわめて大きくなっています。一般データ保護規則 (GDPR) などのプライバシー規制が進展を続けるのに合わせて、コンプライアンス要件も複雑化しており、理解して準拠することが困難になりつつあります。しかし、データを Microsoft Cloud に保存すれば、お客様と Microsoft の間で責任を共有しながらコンプライアンスを達成できます。たとえば、National Institute of Standards and Technology (NIST) の 800-53 セキュリティ コントロール フレームワークの場合、Microsoft は 1,021 のコントロールのうち 79% への対応に備えており、お客様は残り 21% に力を注ぐことができます。さらに、Microsoft が提供するセキュリティとコンプライアンスの幅広いソリューションにより、コントロールをシームレスに実装できます。

昨年、Microsoft は GDPR への準拠と個人のプライバシー権利のために数多くの投資を実施しましたが、組織で最新のコンプライアンスをプロアクティブに達成するために、さらなる組み込み機能が必要であるという声が届いています。そこで Microsoft は、人工知能 (AI) の機能を利用した、ユーザー中心で統合的なコンプライアンス ソリューションを Microsoft 365 に導入するために全力で取り組んでいます。本日は、組織のコンプライアンス行程を支える新しい広範な機能の数々を発表します。

GDPR にとどまらないコンプライアンスの評価と管理

情報管理システムの継続的なリスク評価を実施することは、組織がセキュリティ、コンプライアンス、プライバシー コントロールの効果を把握し、リスクを認識し、必要に応じて対処するための適切な計画を立てるうえで不可欠な活動です。

Microsoft はコンプライアンス マネージャーの機能を拡張して、NIST CSF や CSA CCM などのセキュリティ コントロール フレームワーク、FFIEC や FedRAMP などの業界標準規制など、12 種類の評価を実行できるようにしました。これらの評価により、データ保護コントロールをプロアクティブに強化し、コンプライアンス義務に応えることができます。この更新の詳細については、Tech Community ブログをご覧ください。

コンプライアンス マネージャーの [標準評価] のスクリーンショット。

インテリジェンスを利用して最重要データを保護、管理する

最重要データを効果的に保護し、管理を徹底するためには、データの保管場所や移動経路に関係なく、自動的に検出、分類、ラベル付け、監視できるインテリジェントなソリューションとプロセスを実装する必要があります。

一般提供が開始された Microsoft 365 の統合ラベル付けエクスペリエンスでは、さまざまなデバイス、アプリ、クラウド サービス、オンプレミスにまたがってデータを保護、管理するための包括的なポリシーを、統合性と一貫性の高い手法によって作成、設定、自動適用できます。この新しい手法では、Azure Information Protection と Office 365 の両方について 1 か所でデータの機密性ラベルを作成して設定できるため、機密性と保持のラベルとポリシーを同じ場所で設定できます。これらのラベルを使用すると、Microsoft の情報保護サービス全体にポリシーを適用できます。たとえば、Windows 情報保護では、ドキュメント内にデータ機密性ラベルがあることが認識され、そのデータを保護するためのポリシーがデバイスに適用されます。

セキュリティとコンプライアンスのラベル付け機能を示す画像。

統合ラベル付けエクスペリエンスは、Office アプリと Windows に組み込まれたユーザー エクスペリエンスに用意されているため、プラグインやアドオンは一切不要です。現在、このネイティブのラベル付けは Mac、iOS、Android 向け Office アプリではパブリック プレビューとして利用でき、既に Windows で Azure Information Protection クライアントをお使いのお客様にとっては使い慣れたラベル付け環境が実現されています。また Microsoft は、幅広いサードパーティ製のアプリおよびセキュリティ ソリューションのエコシステムをサポートします。10 月からは、保護された PDF ファイルを Windows 上の Adobe Acrobat で直接開く機能をプレビューで提供できる予定です。

さらに、Information Protection SDK の一般提供が開始されたため、ISV やサードパーティは自社のアプリやサービスにラベル付けや保護を容易に組み込むことができます。セキュリティとコンプライアンスのニーズを満たす、すべての新しい更新プログラムの詳細については、Tech Community をご覧ください。

新しい統合ラベル付けエクスペリエンスのほかに、Microsoft 365 データ管理機能にいくつかの更新を行いました。まず、Exchange Online のコンテンツ、および SharePoint Online で特定のコンテンツ タイプ (税務書類や人事情報など) に関連付けられているファイルにラベルを自動適用できるようになりました。自動分類クエリを使用してコンテンツ タイプを保持ラベルとマッピングすると、そのコンテンツ タイプのすべてのファイルに保持ポリシーと削除ポリシーを自動適用できます。この新しい機能により、ラベルを既存の情報アーキテクチャと管理ポリシーに合致させることができます。

また、パブリック レビューが始まった新しいファイル計画機能により、部署、場所、カテゴリごとの複雑な記録保持スケジュールの設定が簡単になります。このファイル計画機能では、保持計画をテンプレートとしてインポートまたはエクスポートすることや、ラベルを一括編集することが可能になるため、記録保持ポリシーをさらに強力に管理できます。

セキュリティとコンプライアンスでファイルのインポートを確認している画像。

最後に、長期監査ログ機能が Microsoft 365 および Office 365 E5 サブスクリプションをお持ちの方にパブリック プレビューとして提供されることになりました。これは、規制上やセキュリティ上の理由から監査ログへの長期アクセスを必要とする組織にとって、重要な更新です。入手できる監査ログは今回、90 日から 1 年に延長されました。

データ管理に関するこれらすべての更新の詳細については、Tech Community ブログをご覧ください。

機密データへのアクセスを非継続的にする

データの保護、制御に取り組もうとしている組織にとって、特権アクセスを管理することは、機密データへのアクセスに関するデータ侵害のリスクを下げ、コンプライアンス義務を履行しやすくすることにつながります。Office 365 では、管理者が既定でアクセス権を持たない、つまり非継続的アクセスの原則を基礎として構築した特権アクセス管理の一般提供を発表します。この機能によって組織は、管理者が高リスクのタスクを実行する際は承認プロセスを経て一時的なアクセス許可を取得するように要求することで、特権アクセスを管理できます。たとえば、メッセージを外部のシャドウ メールボックスにコピーすることでデータが公開、漏洩される可能性のある、ジャーナル ルールなどのタスクの場合です。管理者が高リスクのタスクを実行するためにアクセス許可を昇格すると、アクセスが許可される前に昇格が自動的に、または手動で承認されます。どちらの場合も、すべてのアクティビティが記録され、監査の対象になります。

特権アクセス管理は Microsoft 365 Admin Center で利用できます。また、Microsoft 365 データに対する特権アクセス用の統一的な管理ウィンドウを使用して、Azure Managed Apps からのカスタマー ロックボックス リクエストおよびデータ アクセス リクエストも管理できるようになりました。詳細については、Tech Community ブログをご覧ください。

Outlook で承認された特権アクセス リクエストの画像。

分析情報を使って機密メールをプロアクティブに保護

また、Office 365 Message Encryption にも新しい拡張機能が加わりました。これによって組織は、今まで以上にシームレスに共同作業を進め、機密メールをプロアクティブに保護できます。第 1 に、一般消費者が受信者の場合の共同作業を促進するために、Office 365 Message Encryption では、暗号化限定テンプレートに対して添付ファイルを暗号化するかどうかを組織が管理できるオプションが提供されます。これによって受信者には、添付ファイルを誰とでも共有する全面的な権限が与えられます。この機能は本日から利用できます。

機密メールを IT 管理者がプロアクティブに保護、管理できるように、暗号化されたメッセージに関するレポートを確認することで、組織はメッセージを監視できます。パブリック プレビューが始まった新しいレポート ダッシュボードでは、メッセージ ID に加えて送信者、受信者などの情報を含む詳細を把握できます。IT 管理者は分析情報を利用することで、機密メールに対してポリシーをプロアクティブに調整、適用できます。これらの機能、および他の機能の詳細については、Tech Community ブログをご覧ください。

セキュリティとコンプライアンスのメッセージ暗号化レポートの画像。

検索とタグ付けの機能によってコンプライアンスの調査プロセスを簡素化

訴訟や GDPR などの規制による必要性を考慮すると、組織は情報をすばやく見つけるための効率を高める必要があります。また、組織的不正、差別、労働規則違反などの不正行為に対する内部調査に対応する責任も負っています。

関連性の高いデータを特定するプロセスをさらに簡素化するために、Advanced eDiscovery の新しい検索とタグ付け機能の一般提供が開始されました。この機能では、キーワード、メタデータのほか、テーマと関連性スコアなどの分析機能を使用して、既存の電子情報開示ケースから最も関連性の高い情報を見つけることができます。また、ケース固有のタグを使用してデータをプレビューしたり整理したりできるため、ドキュメントを確認する際の時間と費用を抑えることができます。詳細については、検索とタグ付けをご覧ください。

複数地域機能でグローバルなデータ所在地のニーズに応える

各国の政府は、クラウド データに関してデータ所在地を明らかにすることを義務付ける法令を強化しています。多くのグローバル企業は、クラウドによってデジタルに変化を遂げていくという課題と、データ所在地の要件に関してコンプライアンスを遵守するという課題を突き付けられています。

Office 365 での複数地域機能の画像。

Office 365 の複数地域機能は、そのような悩みに対処し、企業がグローバルなデータ所在地のニーズを満たし、すべての従業員に最新の生産性エクスペリエンスをもたらすことができるように支えます。今年初め、Microsoft は Exchange Online および OneDrive 向けに複数地域機能を提供して、各従業員のメールボックスの内容やファイルが保管される国/地域を制御できるようにしました。

2019 年には、SharePoint Online および Office 365 Groups で複数地域機能を提供開始し、ファイル、関連付けられた SharePoint サイト、グループ メールボックスなどの SharePoint Online チーム サイトおよび Office 365 グループ コンテンツについて国/地域を制御できるようにします。複数地域機能の詳細については、こちらをご覧ください。

Microsoft 365 コンプライアンス ソリューションの詳細

Microsoft はデータ プライバシーとコンプライアンスに関して GDPR 以上の投資を行っており、お客様にとってコンプライアンスの負荷が少しでも軽くなり、主要な業務に集中でき、従業員がより大きな成果を上げられるよう、取り組んでいます。Microsoft 365 で得られるコンプライアンス ソリューションの詳しい資料を以下に示します。


本ブログの投稿で説明している機能の内容は、国/地域によって異なる場合があります。お住まいの国/地域で提供されている特定の製品の詳細情報については、Microsoft 365Office 365Windows 10Enterprise Mobility + Security をご覧ください。
本ブログの投稿からリンクしているコンテンツは、日本語訳が存在しない場合があります。
本情報の内容 (添付文書、リンク先などを含む) は、作成日時点でのものであり、予告なく変更される場合があります。