Q1.ある製造業の企業が Microsoft 365 E5 サブスクリプションを利用しており、その中には Channel1 という名前の Microsoft Teams チャネルが含まれています。
Channel1 では、研究開発部門のドキュメントが管理されています。
この企業は近くこのサブスクリプションへ Microsoft 365 Copilot を導入する計画です。
Channel1 に保存されたファイルの内容が Copilot の生成する回答に取り込まれ、承認されていないユーザーに表示されてしまうのを防ぐ必要があります。
どの機能を使用すべきですか。
解答を見る
Microsoft 365 Copilot は、各ユーザーがアクセス権を持つ Microsoft 365 上のデータを基に回答を生成します。
そのため、Channel1 の研究開発ドキュメントが未承認のユーザーの回答に含まれないようにするには、ファイル自体に保護を適用できる秘密度ラベルが有効です。
秘密度ラベルではコンテンツの分類、暗号化、アクセス制御を設定でき、許可されたユーザーだけがファイルを開いて利用できます。
Copilot は秘密度ラベルを認識し、ラベル付けされたデータの保護を維持します。
DLP は共有や送信の制御、インサイダー リスク管理は内部リスクの検出、情報バリアはユーザー間の分離が目的であり、この要件には秘密度ラベルが最適です。
秘密度ラベルの詳細
秘密度ラベルを使用して暗号化を適用してコンテンツへのアクセスを制限する
Q2.Microsoft 365 E5 サブスクリプションを運用しています。
Label1 という名前の秘密度ラベルを新たに作成する必要があります。
この構成では、ユーザーが Microsoft 365 Copilot を用いて、Label1 が付与されたファイルを要約できる状態にする必要があります。
Label1 には、どのアクセス許可を割り当てるべきですか。
解答を見る
Copilot が秘密度ラベルで暗号化されたファイルを要約するには、ユーザーに対象ファイルへのアクセス権があるだけでは足りません。
暗号化が適用されている場合、Copilot がデータを返すにはユーザーに EXTRACT（コンテンツのコピーと抽出）の使用権限が必要です。
VIEW 権限だけでは、Copilot の外部でファイルを開いて閲覧できても、Copilot による要約は行えません。
EXPORT は別形式での保存、DOCEDIT は編集、VIEW は表示のための権限であり、要約の要件を満たす中心的な権限ではありません。
したがって、Label1 にはコンテンツのコピーと抽出（EXTRACT）を選択します。
秘密度ラベルの詳細
Microsoft 365 Copilot のセキュリティとコンプライアンスに関する考慮事項
Q3.Microsoft 365 E5 サブスクリプションを保有しています。
Microsoft SharePoint Online において、秘密度ラベルのサポートを有効化する必要があります。
そのためにどのツールを使用すべきですか。
解答を見る
SharePoint Online と OneDrive に保存された Office ファイルで秘密度ラベルを利用するには、SharePoint 側で情報保護に関する設定を有効化する必要があります。
この設定は Microsoft Purview ポータルではなく、SharePoint 管理センターの「設定」から Office ファイルの秘密度ラベルを有効にする機能として構成します。
有効化すると、両サービス上のファイルでラベルの認識や適用、暗号化されたファイルの処理がサポートされます。
Microsoft Entra 管理センターは ID とアクセス管理、Microsoft 365 管理センターはテナント全体の管理が中心であり、この要件の設定場所ではありません。
したがって、使用すべきツールは SharePoint 管理センターです。
SharePoint および OneDrive でファイルの秘密度ラベルを有効にする
Q4.Microsoft 365 サブスクリプションを利用しています。
この環境で、暗号化されたメールの表示をカスタマイズする必要があります。
この対応は次の要件を満たさなければなりません。
暗号化メールの送信時に、そのメッセージへ自社のロゴが表示されるようにする。
運用管理の手間を最小限に抑える。
どの PowerShell コマンドレットを実行すべきですか。
解答を見る
暗号化メールに会社ロゴなどのブランド要素を追加するには、Microsoft Purview Message Encryption のブランド設定を変更します。
既存の暗号化メッセージ構成を更新する場合は、Set-OMEConfiguration を使ってロゴや免責事項テキスト、本文テキスト、背景色などを設定できます。
New-OMEConfiguration は新しいテンプレートの作成に使いますが、既存設定の変更より手間が増え、管理作業の最小化に反します。
Set-IRMConfiguration は Information Rights Management の構成、Set-RMSTemplate は RMS テンプレート関連であり、ロゴ追加には適しません。
したがって、会社ロゴを含む暗号化メールのカスタマイズには Set-OMEConfiguration が最適です。
暗号化されたメッセージに組織のブランドを追加する
Set-OMEConfiguration
Q5.Microsoft 365 E5 サブスクリプションを持っています。
外部の受信者へ送信した暗号化メール メッセージを、後から取り消せるようにするか、または7日以内に自動で期限切れになるようにする必要があります。
最初に何を構成すべきですか。
解答を見る
外部の受信者へ送る暗号化メールの取り消しや有効期限を制御するには、Microsoft Purview の秘密度ラベルで暗号化設定を構成します。
秘密度ラベルではメールやファイルに暗号化を適用し、アクセス許可やオフライン アクセスの期限、ユーザーやグループごとの利用権限を設定できます。
暗号化メールの取り消しや期限管理は、ブランド表示や配送制御ではなくコンテンツ保護の設定に該当します。
カスタム ブランド テンプレートは表示内容の変更、メール フロー ルールは条件に基づく処理、条件付きアクセス ポリシーはサインインやアプリ利用の制御が目的です。
したがって、最初に構成すべきものは暗号化設定を含む秘密度ラベルです。
秘密度ラベルを使用して暗号化を適用してコンテンツへのアクセスを制限する
秘密度ラベルの詳細
Q6.Site1 という名前の Microsoft SharePoint Online サイトがあり、その配下にドキュメント ライブラリが存在します。
このライブラリには1,000件を超えるドキュメントが保管されています。
その一部は応募者の履歴書です。
ドキュメントはすべて英語で作成されています。
履歴書と判定されたドキュメントには、秘密度ラベルを自動的に付与する予定です。
職務経験、学歴、実績が記載されたドキュメントのみが自動でラベル付けされる必要があります。
履歴書を識別して分類する仕組みが必要です。
この構成では、運用管理の作業を最小限に抑える必要があります。
ソリューションには何を含めるべきですか。
解答を見る
履歴書は氏名や職務経験、学歴、実績といった要素を含む一方で、文書ごとに表現や形式が異なる非構造化データです。
こうした文書の識別には、キーワード辞書や関数よりも、内容と構造を学習して分類できるトレーニング可能な分類子が適しています。
Microsoft Purview では、トレーニング可能な分類子を秘密度ラベルの自動適用条件として利用できます。
事前トレーニング済み分類子には履歴書を識別するものが含まれ、英語のドキュメントに利用できます。
EDM 分類子は既知の正確なデータ照合向けであり、履歴書のような文書の分類には適しません。
したがって、管理作業を最小限にするにはトレーニング可能な分類子を使用します。
トレーニング可能な分類子の詳細
Microsoft 365 データに秘密度ラベルを自動的に適用する
Q7.Windows クライアント コンピューターを対象とするデータ損失防止（DLP）ソリューションを設計しています。
ユーザーが機密情報を含むファイルを USB 記憶域デバイスへコピーしようとした際に、次の要件を満たす必要があります。
ユーザーが Group1 という名前のグループに所属している場合は、コピーを許可したうえで、そのイベントを監査ログに記録する。
それ以外のすべてのユーザーについては、コピーをブロックする。
何を作成すべきですか。
解答を見る
Microsoft Purview のエンドポイント DLP では、Windows デバイス上で機密情報を含むファイルが USB リムーバブル デバイスへコピーされる操作を検出し、監査、警告、ブロックなどの制御を適用できます。
今回は同じ対象データと同じデバイス操作に対して、Group1 には監査付きでコピーを許可し、その他のユーザーにはブロックする必要があります。
そのため 1 つの DLP ポリシー内に、Group1 向けの監査ルールと、その他のユーザー向けのブロック ルールを分けて構成します。
1 つのルールだけでは、同じ条件でユーザーごとに監査とブロックを適切に分岐できません。
したがって、作成すべきものは 2 つの DLP ルールを含む 1 つの DLP ポリシーです。
エンドポイント データ損失防止について
データ損失防止ポリシーの作成と展開
Q8.Microsoft 365 サブスクリプションを利用しています。
ユーザーが Microsoft SharePoint ライブラリ内の個々のドキュメントに対して保持ラベルを適用できるようにする必要があります。
どの 2 つの操作を実行する必要がありますか。
各正解はソリューションの一部を構成します。
解答を見る
SharePoint ライブラリ内の個々のドキュメントにユーザーが保持ラベルを適用できるようにするには、まず Microsoft Purview ポータルで保持ラベルを作成し、その後に対象ユーザーや SharePoint サイトへ発行する必要があります。
保持ラベルは、コンテンツの保持期間や保持後の削除、レコードとしての宣言などを定義します。
ラベルは作成しただけではユーザーに表示されず、ラベル ポリシーとして発行して初めて SharePoint で利用可能になります。
Microsoft Defender for Cloud Apps のファイル ポリシーや SharePoint 管理センターのサイト設定は、保持ラベルをユーザーへ提供するための主要手順ではありません。
したがって、Microsoft Purview ポータルでの保持ラベルの作成と発行が必要です。
アイテム保持ラベルを発行してアプリに適用する
アイテム保持ポリシーと保持ラベルの詳細
Q9.Microsoft 365 E5 サブスクリプションがあり、その中に Site1 という名前の Microsoft SharePoint Online サイトが含まれています。
Microsoft Purview データ ライフサイクル管理を導入する必要があります。
最初に何を作成すべきですか。
解答を見る
Microsoft Purview データ ライフサイクル管理では、SharePoint Online などのコンテンツをどの期間保持し、保持期間後に削除するかを制御します。
この制御の基礎になるのが保持ラベルです。
保持ラベルでは、コンテンツの保持期間や保持開始の基準、保持後の削除やレビューなどの動作を定義できます。
保持ラベルを作成した後、ユーザーが手動で適用できるように発行したり、自動適用ポリシーで条件に一致するコンテンツへ適用したりします。
秘密度ラベル ポリシーは情報保護、DLP ポリシーは情報漏えい防止、自動ラベル付けポリシーは既存ラベルの自動適用が目的です。
したがって、最初に作成すべきものは保持ラベルです。
アイテム保持ラベルを発行してアプリに適用する
アイテム保持ポリシーと保持ラベルの詳細
Q10.Microsoft 365 E5 サブスクリプションを保有しています。
次に示す各場所を対象として、静的な保持ポリシーを作成する必要があります。
Teams チャット
Exchange メール
SharePoint サイト
Microsoft 365 グループ
Teams チャネル メッセージ
必要となる保持ポリシーの最小数はいくつですか。
解答を見る
Microsoft Purview の保持ポリシーでは、Exchange メール、SharePoint サイト、Microsoft 365 グループなどの場所を 1 つの保持ポリシーにまとめて指定できます。
一方で、Teams チャットや Teams チャネル メッセージなどの Teams 関連の保持場所を選択すると、他の場所を同じ保持ポリシー内で選択できない制約があります。
そのため、Exchange メール・SharePoint サイト・Microsoft 365 グループ用に 1 つ、Teams チャットと Teams チャネル メッセージ用にもう 1 つの保持ポリシーが必要です。
Teams のメッセージ保持は Teams 専用の場所として扱われるため、すべてを 1 つの静的保持ポリシーにまとめることはできません。
したがって、必要な保持ポリシーの最小数は 2 です。
アイテム保持ポリシーを作成して構成する
Microsoft Teams の保持の詳細