Microsoft 365のコンプライアンススコアを活用して中小企業のデータを安全に保つ方法

中小企業の経営者の中には、IT部門を持たず、Microsoft 365上に保存されたデータや情報が安全に管理されているかどうかを常時チェックする人材がいないという方も多いのではないでしょうか。幸い、Microsoft 365のサブスクリプションには「コンプライアンス スコア(Compliance Score)」というプレビュー機能が含まれており、こうした課題の解決に役立ちます。

コンプライアンス スコアを使えば、複雑なコンプライアンス基準の管理をシンプルに行えます。業界の規制や標準への準拠に必要なセキュリティ対策について具体的な推奨事項が提示されるため、大企業がIT部門に依頼して対応しているような業務も、自社だけで進められるようになります。ここでは、その活用方法をご紹介します。

まず押さえておきたい基本用語

コンプライアンス スコアを使い始める前に、いくつかの基本的な用語を理解しておきましょう。

まず「コントロール(Control)」。これは要件、規制、標準、またはポリシーを指します。次に「アクション(Action)」。これはコントロールを実装するために行う具体的な活動のことです。そして「アセスメント(Assessment)」。これは特定の規制・標準・ポリシーに関連するコントロールをグループ化したものです。

また、コンプライアンス スコアは「コンプライアンス マネージャー」や「コンプライアンス センター」と混同しないよう注意が必要です。これらは同じバックエンドを共有していますが、コンプライアンス スコアはコンプライアンス マネージャーの簡易版であり、組織の現在のコンプライアンス状況と、それを改善するためのステップをより分かりやすく把握できるビューを提供します。

なお、Microsoftは一般的な規制や標準に基づいた初期の数値スコアを自動的に提供します。このリスクベースのスコアは、Microsoftによると「データ保護および規制標準に関するリスクを低減するためのアクション完了の進捗状況を測定するもの」です。

このスコアは、自社に関連性の高いアセスメントを作成・実施することで向上させられます。既存のアセスメントを選択・編集したり、独自のアセスメントを作成したりすることも可能です。ただし注意点として、スコアが高くても完全に準拠しているとは限りません。Microsoftによれば、このスコアは「特定の標準や規制に対する組織のコンプライアンス遵守度を絶対的に表すものではない」とされています。

さらに、コンプライアンス改善のためのクイックアクションも確認できます。適切なソリューションに向けた詳細なガイダンスとステップバイステップの手順が提供されており、これらを完了することでスコアが向上します。

ホームダッシュボードの使い方

Microsoft 365のアプリランチャーから「Compliance(コンプライアンス)」をクリックすると、Microsoft Purview コンプライアンス ポータル(旧Microsoft 365 コンプライアンス センター)に移動します。

最初のセクションにはコンプライアンス スコアが表示され、「情報の保護」「アクセス制御」「デバイスの管理」などの各アクション項目ごとに分類されています。

ここからは、後述する各セクションへ移動できます。クラウドアプリのコンプライアンス状況や、ファイルを共有しているユーザーの情報も確認可能です。さらに、セキュリティアラート、セキュリティリスクになりうる共有ファイルの一覧、高リスクアプリに関するセクションも用意されています。それぞれのセクションをクリックすると詳細情報が表示され、データがどのように移動しているかを把握できます。

コンプライアンス スコアの確認方法

コンプライアンス スコアを詳しく確認するには、サイドバーの「コンプライアンス スコア」をクリックします。全体スコアが表示され、上下にスクロールすると、スコアの算出元となったデータや、実行すべき重要な改善アクションを確認できます。

画面上部にはタブが並んでおり、そのうちの1つには改善提案が含まれています。これをクリックすると、スコアを上げるための具体的なアクションをステップバイステップで案内してくれます。

別のタブには「ソリューション」と「アセスメント」があります。ここでは、特定のソリューションがスコアにどのように貢献するかを確認でき、アセスメントをクリックすれば、コンプライアンス、セキュリティ、プライバシー、データ保護に関する各種標準・規制・法律で指定されたデータ保護コントロールを実装できます。

データ分類の確認方法

3つ目のセクションは「データ分類」です。ここでは、機密データを保護・管理するための分類子(classifier)を作成できます。また、どのデータにラベルが付けられているかを調査し、分類戦略を微調整することも可能です。

概要ページではスナップショットが表示され、Microsoft 365アプリ全体で機密情報やラベルがどこで使われているかをひと目で確認でき、詳しく調べるためのリンクも提供されます。「コンテンツ エクスプローラー」を使えば、機密情報の種類やラベルでフィルタリングし、社内で分類されているアイテムの数を掘り下げて確認できます。さらに、場所を横断した分類アクティビティや傾向を詳細に表示するビューで、活動を監視・レビューすることもできます。

ポリシーの管理方法

「ポリシー」セクションでは、スコア向上につながるMicrosoft 365の各種ポリシーを設定できます。ポリシーはデータ、アクセス、セキュリティなどの種別ごとに一覧表示されます。これらのポリシーは主に経験豊富なユーザーやIT管理者向けですが、各ポリシーをクリックすると基本情報と、コンプライアンス スコアを改善するための変更方法の説明が表示されます。多くの場合、該当ポリシーに関するMicrosoft公式ドキュメントへのリンクも用意されています。

アクセス許可の管理方法

次に「アクセス許可」セクションです。ここでは、Microsoft 365およびOffice 365の権限とロールを割り当てられます。ユーザーをグローバル管理者、データ管理者、コンプライアンス管理者などとして追加できます。ただし、Office 365のロールについては専用ページが別途用意されているため、そちらから操作する必要があります。権限設定でお困りの場合は、Microsoft 365の各種管理者ロールに関するガイドを参照することをおすすめします。

カタログの使い方

「カタログ」セクションでは、組織内で導入できるさまざまなソリューションを見つけられ、全体的なコンプライアンス スコアの向上につながります。対象となるのは、データ損失防止(DLP)、情報ガバナンス、情報保護、レコード管理などのトピックです。内部リスクの特定・分析・修復の方法や、監査対応、データ調査などに関するトピックも掲載されています。各ソリューションにはステップバイステップのガイドが付属しており、使い方を解説した動画が用意されている場合もあります。

カスタマイズとその他の機能

以上がコンプライアンス スコア確認の基本ですが、それ以外にもできることがあります。コンプライアンス ダッシュボードの見た目をカスタマイズしたい場合は、サイドの「Customize navigation(ナビゲーションのカスタマイズ)」をクリックしてください。ここまで説明してきた各要素の表示・非表示を切り替えられます。変更内容は自分自身にのみ適用され、他の管理者には影響しません。

ぜひコンプライアンス スコアをいろいろと試してみてください。使い心地の感想があれば、ぜひコメント欄でお聞かせください。Microsoft 365のハブページでは、他にも多数のハウツーやガイドを公開していますので、あわせてチェックしてみてください。