アダプティブ保護を使用してリスクを動的に軽減する

[アーティクル]
05/13/2024

重要

Microsoft Purview Insider Risk Management は、さまざまなシグナルを関連付けて、IP の盗難、データ漏洩、セキュリティ違反など、潜在的な悪意のある、または不注意による内部関係者のリスクを特定します。インサイダーリスク管理により、お客様はセキュリティとコンプライアンスを管理するためのポリシーを作成できます。プライバシーバイデザインで構築されており、ユーザーは既定で仮名化され、ユーザーレベルのプライバシーを確保するのに役立つロールベースのアクセス制御と監査ログが用意されています。

Microsoft Purview のアダプティブ保護では、機械学習を使用して最も重要なリスクを特定し、次の保護制御をプロアクティブかつ動的に適用します。

データ損失防止、データライフサイクル管理、条件付きアクセスとの統合により、組織はインサイダーリスクへの対応を自動化し、潜在的な脅威の特定と修復に必要な時間を短縮できます。 4 つすべてのソリューションの機能を活用することで、組織は内部と外部の両方の脅威に対処する、より包括的なセキュリティフレームワークを作成できます。

重要

データ損失防止、データライフサイクル管理、条件付きアクセスでアダプティブ保護を使用するためのライセンス要件については、「Microsoft 365、Office 365、Enterprise Mobility + Security、Windows 11 サブスクリプション」を参照してください。

アダプティブ保護は、次を使用して潜在的なリスクを軽減するのに役立ちます。

コンテキスト対応の検出。コンテンツとユーザーアクティビティの両方を ML 主導で分析することで、最も重要なリスクを特定するのに役立ちます。
動的コントロール。リスクの高いユーザーに効果的な制御を適用し、他のユーザーが生産性を維持するのに役立ちます。
自動化された軽減策。潜在的なデータセキュリティインシデントの影響を最小限に抑え、管理者のオーバーヘッドを減らすのに役立ちます。

アダプティブ保護は、インサイダーリスク管理の機械学習モデルによって定義および分析されたインサイダーリスクレベルに基づいて、適切なデータ損失防止、データライフサイクル管理、条件付きアクセスポリシーをユーザーに動的に割り当てます。ポリシーはユーザーコンテキストに基づいてアダプティブになり、データ損失防止によるデータ共有のブロックや条件付きアクセスによるアプリケーションアクセスのブロックなど、最も効果的なポリシーがリスクの高いユーザーにのみ適用され、リスクの低いユーザーは生産性を維持します。データ損失防止と条件付きアクセスポリシー制御は常に調整されるため、ユーザーのインサイダーリスクレベルが変更されると、内部の新しいリスクレベルに合わせて適切なポリシーが動的に適用されます。データライフサイクル管理の場合、インサイダーリスク管理は 、管理者特権のリスクレベル のユーザーを検出し、自動的に作成されたデータライフサイクル管理保持ラベルポリシーを使用して、削除されたデータを 120 日間保持します。

重要

現在、インサイダーリスク管理は、Azure サービスの依存関係によってサポートされている地理的リージョンと国でホストされているテナントで利用できます。 organizationでインサイダーリスク管理ソリューションがサポートされていることを確認するには、「国/リージョン別の Azure 依存関係の可用性」を参照してください。インサイダーリスク管理は商用クラウドで利用できますが、現時点では米国政府のクラウドプログラムでは使用できません。

アダプティブ保護が、organizationで最も重要なリスクを特定して軽減する方法の概要については、次のビデオをご覧ください。

ヒント

ai の力を使用して、よりスマートかつ迅速に作業するための新しい方法を調べるMicrosoft Copilot for Securityを開始します。 Microsoft Purview のMicrosoft Copilot for Securityの詳細については、こちらをご覧ください。

インサイダーリスクレベルと予防管理

アダプティブ保護を使用すると、管理者は、organizationのニーズに基づいて、カスタマイズ可能なインサイダーリスクレベルのリスク要因またはアクティビティを構成できます。アダプティブ保護のインサイダーリスクレベルは、ユーザーのリスク要因と分析情報に基づいて継続的かつ自動的に更新されるため、ユーザーのデータセキュリティリスクが増減すると、インサイダーリスクレベルがそれに応じて調整されます。インサイダーリスクレベルに基づいて、データ損失防止ポリシーと条件付きアクセスポリシーは、管理者によって構成された適切なレベルの予防制御 (ブロック、オーバーライドによるブロック、警告など) を自動的に適用します。

データライフサイクル管理の場合、データライフサイクル管理ポリシーは、インサイダーリスク管理アダプティブ保護によって 昇格されたリスクレベルが 割り当てられているユーザーを監視します。危険なユーザーが SharePoint、OneDrive、またはExchange Onlineからコンテンツを削除すると、コンテンツは自動的に 120 日間保持されます。管理者は Microsoft サポートに問い合わせて、保存されたコンテンツを復元できます。

アダプティブ保護で割り当てられたインサイダーリスク管理ポリシーに応じて、さまざまな基準 (ユーザー、グループ、インジケーター、しきい値など) を使用して、該当するインサイダーリスクレベルを決定します。インサイダーリスクレベルは、特定のユーザーアクティビティのインスタンスの数だけでなく、ユーザーの分析情報に基づいています。分析情報は、アクティビティの合計数と、これらのアクティビティの重大度レベルの計算です。

たとえば、ユーザー A のインサイダーリスクレベルは、リスクの可能性のあるアクティビティを 3 回以上実行するユーザー A によって決定されません。ユーザー A のインサイダーリスクレベルは、アクティビティの合計数の分析情報によって決定され、リスクスコアは、選択したポリシーで構成されたしきい値に基づいてアクティビティに割り当てられます。

インサイダーリスクレベル

アダプティブ保護のインサイダーリスクレベルは、ユーザーのアクティビティのリスクを定義し、実行した流出アクティビティの数や、アクティビティが重大度の高いインサイダーリスクアラートを生成したかどうかなどの条件に基づいて行うことができます。これらのインサイダーリスクレベルには内部リスクレベルの定義が組み込まれていますが、これらの定義は必要に応じてカスタマイズできます。

高いリスクレベル: これは最高のインサイダーリスクレベルです。これには、重大度の高いアラートを持つユーザー、特定のリスクアクティビティに対する重大度の高いアラートを持つ少なくとも 3 つのシーケンス分析情報を持つユーザー、または 1 つ以上の確認済みの重大度の高いアラートが組み込まれています。
中程度のリスクレベル: 中程度のインサイダーリスクレベルには、重大度が中程度のアラートを持つユーザーまたは重大度の高いスコアの少なくとも 2 つのデータ流出アクティビティを持つユーザーに対する組み込みの定義が含まれます。
マイナーリスクレベル: 最も低いインサイダーリスクレベルには、重大度の低いアラートを持つユーザー、または重大度スコアが高い少なくとも 1 つのデータ流出アクティビティを持つユーザーの組み込み定義が含まれます。

インサイダーリスクレベルをユーザーに割り当てるには、アクティビティに割り当てられた分析情報の数と重大度が、インサイダーリスクレベルの定義と一致する必要があります。分析情報のアクティビティの数は、1 つのアクティビティか、単一の分析情報に対して発生する複数のアクティビティです。分析情報に含まれるアクティビティの数ではなく、インサイダーリスクレベル定義に対して分析情報の数が評価されます。

たとえば、アダプティブ保護に割り当てられたインサイダーリスク管理ポリシーの条件が、organization内の SharePoint サイトからのダウンロードを識別するためのスコープであるとします。ポリシーで、重要度が高いと判断された 1 日に SharePoint サイトから 10 個のファイルをダウンロードしたと検出された場合、これは 10 個のアクティビティイベントで構成される 1 つの分析情報としてカウントされます。このアクティビティが ユーザーに昇格されたリスクレベル を割り当てる資格を得るには、ユーザーに 2 つの追加の分析情報 (重大度が高い) が必要になります。追加の分析情報には、1 つ以上のアクティビティが含まれている場合と含まれていない場合があります。

インサイダーリスク管理アダプティブ保護のインサイダーリスクレベル。

インサイダーリスクレベルのカスタマイズ

カスタムインサイダーリスクレベルを使用すると、organizationのニーズに基づいてインサイダーリスクレベルを作成できます。インサイダーリスクレベルが基づいている条件をカスタマイズし、インサイダーリスクレベルがユーザーに割り当てられるタイミングを制御する条件を定義できます。

アダプティブ保護をデータ損失防止、データライフサイクル管理、条件付きアクセスポリシーと共に使用する例を次に示します。

データ損失防止ポリシー:
- マイナーリスクレベルまたは中程度のリスクレベルのユーザーが、機密データを処理するためのベストプラクティスに関するポリシーヒントと教育を受けることを許可します。これにより、時間の経過に伴う肯定的な動作の変化に影響を与え、組織のデータリスクを軽減できます。
- リスクレベルが高いユーザーが機密データを保存または共有できないようにブロックし、潜在的なデータインシデントの影響を最小限に抑えます。
データライフサイクル管理ポリシー:
- 危険なユーザーによって削除された SharePoint、OneDrive、またはExchange Onlineコンテンツを 120 日間保持します。この場合の危険なユーザーは、アダプティブ保護によって 昇格されたリスクレベル が割り当てられているユーザーです。
条件付きアクセスポリシー:
- アプリケーションを使用する前に 、マイナーリスクレベル のユーザーに利用規約の確認を要求します。
- 中程度のリスクレベルのユーザーが特定のアプリケーションにアクセスできないようにブロックします。
- 昇格されたリスクレベルのユーザーがアプリケーションを使用できないように完全にブロックします。一般的に適用される条件付きアクセスポリシーの詳細

インサイダーリスクレベルの基準と条件

インサイダーリスクレベルの基準と条件のカスタマイズは、次の領域に基づいて行うことができます。

ユーザーに対して生成または確認されたアラート: このオプションを使用すると、選択したインサイダーリスク管理ポリシーのユーザーに対して生成または確認されたアラートの重大度レベルに基づいて条件を選択できます。アラートの条件は追加的ではなく、いずれかの条件が満たされた場合、インサイダーリスクレベルがユーザーに割り当てられます。
特定のユーザーアクティビティ: このオプションを使用すると、検出するアクティビティの条件、その重大度、過去のアクティビティ検出期間中の毎日の出現回数を選択できます (省略可能)。ユーザーアクティビティの条件は付加的であり、すべての条件が満たされている場合にのみ、インサイダーリスクレベルがユーザーに割り当てられます。

過去のアクティビティ検出

このインサイダーリスクレベルの設定は、ユーザーがインサイダーリスクレベルで定義された条件を満たしているかどうかを検出するために、アダプティブ保護が調べる日数を決定します。既定の設定は 7 日ですが、5 日から 30 日前のアクティビティを選択して、インサイダーリスクレベルの条件を適用できます。この設定は、ユーザーの毎日のアクティビティに基づくインサイダーリスクレベルにのみ適用され、アラートに基づいてインサイダーリスクレベルが除外されます。

次の例は、過去のアクティビティ検出設定とインサイダーリスクレベルが対話して、ユーザーの過去のアクティビティがスコープ内にあるかどうかを判断する方法を示しています。

昇格されたリスクレベル の設定: ユーザーは、重大度の高いリスクスコア (67 から 100) を持つ少なくとも 3 つのシーケンスを実行します。
過去のアクティビティ検出 設定: 3 日間

ユーザーアクティビティ	インサイダーリスクレベルのスコープ内のアクティビティ
ユーザーは、T-3 日、T-2 日、T-1 日に重大度の高いシーケンスを毎日 1 つ持っています	はい
ユーザーが T-3 日目に重大度の高いシーケンスを 3 つ持っている	はい
ユーザーは、T-4 日目に重大度が高いシーケンスが 1 つ、T-3 日目に重大度が高いシーケンスが 2 つあり	いいえ

インサイダーリスクレベルの時間枠

このインサイダーリスクレベル設定は、インサイダーリスクレベルが自動的にリセットされるまでのユーザーへの割り当て期間を決定します。既定の設定は 7 日ですが、ユーザーのインサイダーリスクレベルをリセットする前に 5 日から 30 日を選択できます。

インサイダーリスクレベルは、次の場合にユーザーに対してもリセットされます。

ユーザーに関連付けられているアラートは無視されます。
ユーザーに関連付けられているケースが解決されます。
インサイダーリスクレベルの終了日は手動で期限切れになります。

注:

ユーザーに現在インサイダーリスクレベルが割り当てられ、そのユーザーがそのインサイダーリスクレベルの基準を再び満たしている場合、インサイダーリスクレベルの期間は、ユーザーに対して定義された日数だけ延長されます。

リスクレベルの有効期限オプション

このオプションが有効になっている (既定で有効になっている) 場合、ユーザーのアダプティブ保護リスクレベルは、ユーザーに関連するアラートが無視されるか、ユーザーに関連付けられているケースが閉じられたときに自動的に期限切れになります。アラートが無視された場合やケースが閉じられた場合でも、ユーザーのアダプティブ保護リスクレベルを維持する場合は、オプションを無効にします。

アダプティブ保護のアクセス許可

重要

データ損失防止または条件付きアクセスにインサイダーリスク管理の組み込みロールグループと役割グループを使用する方法によっては、organizationの管理者、アナリスト、調査担当者のアクセス許可を更新する必要がある場合があります。

次の表では、特定のアダプティブ保護タスクに必要なアクセス許可について説明します。

タスク	必要な役割グループ
アダプティブ保護と更新の設定を構成する	インサイダーリスク管理またはインサイダーリスク管理管理者
アダプティブ保護条件を使用してデータ損失防止ポリシーをCreateして管理する	次のいずれか: コンプライアンス管理者、コンプライアンスデータ管理者、 DLP コンプライアンス管理、グローバル管理者
アダプティブ保護条件を使用して条件付きアクセスポリシーをCreateして管理する	次のいずれか: グローバル管理者、条件付きアクセス管理者、セキュリティ管理者
ユーザーが割り当てたインサイダーリスクレベルの詳細を表示する	インサイダーリスク管理、インサイダーリスク管理アナリスト、またはインサイダーリスク管理調査官

重要

役割グループの 4 つのカテゴリは、[Adaptive Protection] ページの [ Insider リスクレベル]、[ ユーザー割り当てインサイダーリスクレベル]、[ データ損失防止]、[ 条件付きアクセス] の各タブに対応しています。適切な役割グループに割り当てられない場合、[ アダプティブ保護 ] ページにタブは表示されません。

Microsoft Defender for Office 365と Microsoft Purview コンプライアンスの役割グループの詳細

アダプティブ保護を構成する

organizationのニーズ、または現在インサイダーリスク管理、データ損失防止、データライフサイクル管理、条件付きアクセスを使用して構成されている場所に応じて、アダプティブ保護を開始するには、次の 2 つのオプションがあります。

クイックセットアップ
カスタムセットアップ

クイックセットアップ

クイックセットアップオプションは、アダプティブ保護を開始するための最速の方法です。このオプションを使用すると、既存のインサイダーリスク管理、データ損失防止、データライフサイクル管理、条件付きアクセスポリシーは必要なく、設定や機能を事前に構成する必要はありません。 organizationに、インサイダーリスク管理、データ損失防止、またはデータライフサイクル管理をサポートする現在のサブスクリプションまたはライセンスがない場合は、クイックセットアッププロセスを開始する前に、Microsoft Purview リスクとコンプライアンスソリューションの試用版にサインアップしてください。条件付きアクセスのMicrosoft Entra試用版にサインアップすることもできます。

まず、Microsoft Purview ポータルのホームページまたはデータ損失防止の [概要] ページのアダプティブ保護カードから [アダプティブ保護を 有効にする ] を選択します。また、Insider リスク管理>のアダプティブ保護>ダッシュボード>のクイックセットアップに進むことで、クイックセットアップ プロセスを開始することもできます。

注:

既に Microsoft Purview のスコープ管理者である場合は、クイックセットアップを有効にすることはできません。

アダプティブ保護にクイックセットアッププロセスを使用する場合に構成される内容を次に示します。

領域	構成
インサイダーリスク設定 (まだ構成されていない場合)	- プライバシー: 匿名化されたバージョンのユーザー名を表示します。メモ：ユーザー名は、条件付きアクセスやデータ損失防止では匿名化されません。 - ポリシー期間: 既定値 - ポリシーインジケーター: Office インジケーターのサブセット (インサイダーリスク管理設定で表示できます) - リスクスコアブースター: すべて - インテリジェント検出: アラートボリューム = 既定のボリューム - 分析: オン - 管理通知: すべてのユーザーに対して最初のアラートが生成されたときに通知メールを送信する
インサイダーリスク設定 (既に構成されている場合)	- ポリシーインジケーター: Office インジケーターがまだ構成されていません (インサイダーリスク管理設定で表示できます) - 以前に構成したその他の設定はすべて更新または変更されません。 - 分析: オン (ポリシー内のイベントをトリガーするためのしきい値は、Analytics の推奨事項によって決定される既定の設定です)
新しいインサイダーリスクポリシー	- ポリシーテンプレート: データリーク - ポリシー名: Insider Risk Management のアダプティブ保護ポリシー - ユーザーとグループのポリシースコープ: すべてのユーザーとグループ - 優先度のコンテンツ: なし - イベントのトリガー: 選択した流出イベント (インサイダーリスク管理設定で表示できます) - ポリシーインジケーター: Office インジケーターのサブセット (インサイダーリスク管理設定で表示できます) - リスクスコアブースター: アクティビティは、その日のユーザーの通常のアクティビティを上回っています
アダプティブ保護のインサイダーリスクレベル	- 高いリスクレベル: ユーザーは、重大度の高い流出シーケンスを少なくとも 3 つ持っている必要があります - 中程度のリスクレベル: ユーザーには、少なくとも 2 つの重大度の高いアクティビティが必要です (一部の種類のダウンロードを除く) - マイナーリスクレベル: ユーザーには、重大度の高いアクティビティが少なくとも 1 つ必要です (一部の種類のダウンロードを除く)
2 つの新しいデータ損失防止ポリシー	エンドポイント DLP のアダプティブ保護ポリシー - 昇格されたリスクレベルルール: ブロック - 中程度/マイナーリスクレベルルール: 監査 - ポリシーはテストモードで開始されます (監査のみ) Teams と Exchange DLP のアダプティブ保護ポリシー - 昇格されたリスクレベルルール: ブロック - 中程度/マイナーリスクレベルルール: 監査 - ポリシーはテストモードで開始されます (監査のみ)
新しいデータライフサイクル管理ポリシー	昇格されたリスクレベルを割り当てられたユーザーを監視する、organization全体の自動適用ラベルポリシー。危険なユーザーによって削除されたすべての SharePoint、OneDrive、またはExchange Onlineコンテンツは、120 日間保持されます。アダプティブ保護をまだ有効にしていない場合は、アダプティブ保護を有効にすると、ポリシーが自動的に作成され、適用されます。アダプティブ保護を既に有効にしている場合は、自動的に作成されるデータライフサイクル管理ポリシーを明示的にオプトインする必要があります。
新しい条件付きアクセスポリシー (ユーザーがブロックされないようにレポート専用モードで作成)	1-Insider Risk を使用しているユーザーのアクセスをブロックする (プレビュー) - 含まれるユーザー: すべてのユーザー - 除外されたゲストまたは外部ユーザー: B2bDirectConnect ユーザー。OtherExternalUser;ServiceProvider - クラウドアプリ: すべてのアプリ - インサイダーリスクレベル: 昇格 - アクセスをブロックする: 選択済み

クイックセットアッププロセスが開始されると、分析が完了するまでに最大 72 時間かかることがあります。関連するインサイダーリスク管理、データ損失防止、データライフサイクル管理、条件付きアクセスポリシーが作成され、適応型保護のインサイダーリスクレベル、データ損失防止、データライフサイクル管理、および適用される条件付きアクセスアクションが適用されます。クイックセットアッププロセスが完了すると、管理者は通知メールを受け取ります。

カスタムセットアップ

カスタムセットアップオプションを使用すると、インサイダーリスク管理ポリシー、インサイダーリスクレベル、アダプティブ保護用に構成されたデータ損失防止ポリシーと条件付きアクセスポリシーをカスタマイズできます。

注:

データライフサイクル管理のために、アダプティブ保護をまだ有効にしていない場合は、アダプティブ保護を有効にすると、ポリシーが自動的に作成され、適用されます。 organizationのアダプティブ保護を既に有効にしている場合は、自動的に作成されたデータライフサイクル管理ポリシーを明示的に適用することを選択する必要があります。

このオプションを使用すると、インサイダーリスク管理とデータ損失防止の間のアダプティブ保護接続を実際に有効にする前に、これらの項目を構成することもできます。ほとんどの場合、このオプションは、インサイダーリスク管理やデータ損失防止ポリシーが既に実施されている組織で使用する必要があります。

カスタムセットアップを使用してアダプティブ保護を構成するには、次の手順を実行します。

手順 1: インサイダーリスク管理ポリシーをCreateする

アダプティブ保護で割り当てられたポリシーがユーザーアクティビティを検出するか、次の手順で定義したインサイダーリスクレベルの条件に一致するアラートを生成すると、インサイダーリスクレベルがユーザーに割り当てられます。既存のインサイダーリスク管理ポリシー (手順 2 で選択) を使用しない場合は、新しいインサイダーリスク管理ポリシーを作成する必要があります。アダプティブ保護に関するインサイダーリスク管理ポリシーには、次のものが含まれている必要があります。

アクティビティを検出するユーザー。これは、organization内のすべてのユーザーとグループ、または特定のリスク軽減シナリオまたはテスト目的のサブセットです。
アクティビティのリスクスコアに影響を与える危険なしきい値とカスタムしきい値を考慮するアクティビティ。危険なアクティビティには、organization外のユーザーにメールを送信したり、USB デバイスにファイルをコピーしたりする場合があります。

[Createインサイダーリスクポリシー] を選択して、新しいポリシーウィザードを起動します。データリークポリシーテンプレートはウィザードで自動的に選択されますが、任意のポリシーテンプレートを選択できます。

重要

選択したポリシーテンプレートによっては、リスクの高い可能性のあるアクティビティを適切に検出し、適用可能なアラートを作成するために、ポリシーの追加設定を構成する必要がある場合があります。

手順 2: インサイダーリスクレベルの設定を構成する

[ Insider リスクレベル ] タブを選択します。まず、アダプティブ保護に使用するインサイダーリスク管理ポリシーを選択します。これは、手順 1 で作成した新しいポリシー、または既に構成した既存のポリシーのいずれかです。

次に、該当する組み込みのインサイダーリスクレベルの条件を受け入れるか、独自の条件を作成します。選択したポリシーの種類に応じて、インサイダーリスクレベルの条件には、ポリシーで構成したインジケーターとアクティビティに関連付けられている該当する条件が反映されます。

たとえば、データリークポリシーテンプレートに基づいてポリシーを選択した場合、組み込みのインサイダーリスクレベルの条件の選択は、そのポリシーで使用できるインジケーターとアクティビティに適用されます。セキュリティポリシー違反ポリシーテンプレートに基づいてポリシーを選択した場合、組み込みのインサイダーリスクレベルの条件は、そのポリシーで使用できるインジケーターとアクティビティに自動的にスコープ設定されます。

ポリシーのインサイダーリスクレベルをカスタマイズする

現在使用しているポータルに該当するタブを選択してください。 Microsoft Purview ポータルの詳細については、Microsoft Purview ポータルを参照してください。コンプライアンスポータルの詳細については、「Microsoft Purview コンプライアンスポータル」を参照してください。

Microsoft Purview ポータル
コンプライアンスポータル

Microsoft 365 organizationの管理者アカウントの資格情報を使用して、Microsoft Purview ポータルにサインインします。
Insider Risk Management ソリューションに移動します。
左側のナビゲーションで [ アダプティブ保護 ] を選択し、[ Insider リスクレベル] を選択します。
[Insider リスクレベル] ページで、カスタマイズするインサイダーリスクレベル (昇格、モデレート、マイナー) の [編集] を選択します。
[ カスタムインサイダーリスクレベル ] ウィンドウで、[ Insider リスクレベル ] セクションでオプションを選択します。
- ユーザーに対して生成または確認されたアラート
- 特定のユーザーアクティビティ
[ ユーザーに対して生成または確認されたアラート ] オプションを選択した場合は、このインサイダーリスクレベルを使用する必要があるユーザーに対して生成または確認されるアラートの重大度レベルを選択します。 生成されたアラートの重大度と、確認されたアラート条件の重大度を保持するか、これらの条件のいずれかを使用する場合は、これらの条件のいずれかを削除できます。これらの条件のいずれかを再度追加する必要がある場合は、[ 条件の追加] を選択し、条件を選択します。条件ごとに、条件に適用する重大度レベル (高、中、低) を選択します。 いずれかの条件が満たされた場合、インサイダーリスクレベルがユーザーに割り当てられます。
[特定のユーザーアクティビティ] オプションを選択した場合は、検出するアクティビティ、その重大度、過去のアクティビティ検出期間中の毎日の出現回数を選択します。このインサイダーリスクレベルの検出期間中の アクティビティ、 アクティビティの重大度、および アクティビティの発生 を構成する必要があります。

[アクティビティ] 条件では、関連するポリシーで構成されたインジケーターで定義したアクティビティの種類に対して、選択できるオプションが自動的に更新されます。必要に応じて、[ 上記の条件が満たされていない場合でも、将来のアラートが確認されたユーザーにこのインサイダーリスクレベルを割り当てる ] チェックボックスをオンにします。 すべての条件が満たされると、インサイダーリスクレベルがユーザーに割り当てられます。

[ アクティビティの重大度 ] 条件に、毎日のアクティビティ分析情報に含まれるアクティビティの重大度レベルを指定します。オプションは High、 Medium、 Low で、リスクスコア範囲に基づいています。

[ 検出期間中のアクティビティの出現 回数] 条件で、指定した 過去のアクティビティ 検出期間内に選択したアクティビティを検出する必要がある回数を指定します。この数は、アクティビティに対して発生する可能性があるイベントの数とは関係ありません。たとえば、ユーザーが 1 日に SharePoint から 20 個のファイルをダウンロードしたとポリシーで検出された場合、20 個のイベントで構成される 1 日のアクティビティ分析情報としてカウントされます。
[ 確認] を選択して、カスタムインサイダーリスクレベルの条件を適用します。

ユーザーが複数のポリシーのスコープ内にある場合のインサイダーリスクレベルの割り当て方法

ユーザーが複数のポリシーのスコープ内にある場合、ユーザーが異なる重大度レベルのアラートを受信した場合、既定では、ユーザーには受信した最高の重大度レベルが割り当てられます。たとえば、ユーザーが重大度の高いアラートを受け取った場合 に、昇格されたリスクレベル を割り当てるポリシーを考えてみましょう。ユーザーがポリシー 1 から重大度が低いアラート、ポリシー 2 から重大度が中程度のアラート、ポリシー 3 から重大度が高いアラートを受け取った場合、ユーザーには 昇格されたリスクレベル (受信したアラートの重大度が最も高いレベル) が割り当てられます。

検出するには、選択したポリシーにインサイダーリスクレベルの条件が存在する必要があることに注意してください。たとえば、[ USB にコピー ] アクティビティを選択して 中程度のリスクレベルを割り当てるが、選択した 3 つのポリシーのうちの 1 つだけでアクティビティが選択されている場合、その 1 つのポリシーのアクティビティのみが、そのアクティビティに 対して中程度のリスクレベル を割り当てます。

手順 3: データ損失防止ポリシーをCreateまたは編集する

次に、新しいデータ損失防止ポリシーを作成 (または既存のポリシーを編集) して、アダプティブ保護の内部リスクレベルの条件に一致するユーザーのアクションを制限します。データ損失防止ポリシーの構成には、次のガイドラインを使用します。

Adaptive Protection のユーザーのインサイダーリスクレベルは、データ損失防止ポリシーに条件として含める必要があります。このデータ損失防止ポリシーには、必要に応じて他の条件を含めることができます。
データ損失防止ポリシーには他の場所を含めることができますが、アダプティブ保護では現在、Exchange、Microsoft Teams、デバイスのみがサポートされています。

[Create ポリシー] を選択して、データ損失防止ポリシーウィザードを起動し、新しいデータ損失防止ポリシーを作成します。アダプティブ保護用に構成する既存のデータ損失防止ポリシーがある場合は、コンプライアンスポータルの [データ損失防止>ポリシー] に移動し、アダプティブ保護用に更新するデータ損失防止ポリシーを選択します。新しいデータ損失防止ポリシーを構成する方法、またはアダプティブ保護のために既存のデータ損失防止ポリシーを更新する方法のガイダンスについては、「データ損失防止のアダプティブ保護の詳細: 手動構成」を参照してください。

ヒント

データ損失防止ポリシー (ポリシーヒント付き) をテストすることをお勧めします。これにより、アダプティブ保護を有効にする前に、データ損失防止アラートを確認して、ポリシーが期待どおりに動作していることを確認できます。

手順 4: 条件付きアクセスポリシーをCreateまたは編集する

次に、新しい条件付きアクセスポリシーを作成 (または既存のポリシーを編集) して、アダプティブ保護のインサイダーリスクレベルの条件に一致するユーザーのアクションを制限します。条件付きアクセスポリシーの構成には、次のガイドラインを使用します。

条件からのシグナルに基づいてアクセスを制御する [条件付きアクセス] ページで、[Insider risk condition]\(インサイダーリスク条件\) を [はい] に設定し、インサイダーリスクレベル (昇格、モデレート、またはマイナー) を選択します。これは、ポリシーを適用するためにユーザーが持つ必要があるインサイダーリスクレベルです。

[ポリシー Create選択して条件付きアクセスポリシーウィザードを起動し、新しい条件付きアクセスポリシーを作成します。アダプティブ保護用に構成する既存の条件付きアクセスポリシーがある場合は、Microsoft Entra 管理センターの [保護>] 条件付きアクセスに移動し、アダプティブ保護用に更新する条件付きアクセスポリシーを選択します。新しい条件付きアクセスポリシーを構成する方法、またはアダプティブ保護のために既存の条件付きアクセスポリシーを更新する方法のガイダンスについては、「一般的な条件付きアクセスポリシー: インサイダーリスクベースのポリシー」を参照してください。

手順 5: アダプティブ保護を有効にする

前のすべての手順を完了したら、アダプティブ保護を有効にする準備ができました。アダプティブ保護を有効にすると、次の手順が実行されます。

インサイダーリスク管理ポリシーは、インサイダーリスクレベルの条件に一致するユーザーアクティビティの検索を開始します。検出された場合、インサイダーリスクレベルがユーザーに割り当てられます。
インサイダーリスクレベルが割り当てられているユーザーは、アダプティブ保護の [ ユーザー割り当てインサイダーリスクレベル ] タブに表示されます。
データ損失防止ポリシーは、データ損失防止ポリシーに含まれるインサイダーリスクレベルに割り当てられているすべてのユーザーに対して保護アクションを適用します。データ損失防止ポリシーは、アダプティブ保護の [データ損失防止] タブに追加されます。データ損失防止ポリシーの詳細を表示し、ダッシュボードからポリシーの条件を編集できます。
自動的に作成されるデータライフサイクル管理ポリシーは、 昇格されたリスクレベルに割り当てられているすべてのユーザーに対して保護アクションを適用します。次のメッセージは、[Adaptive Protection] タブに緑色の背景で表示され、プロアクティブなデータの保存が適用されていることをユーザーに通知します。"organizationは、重要なデータを削除する可能性のあるユーザーからも動的に保護されています。メッセージには、必要に応じてプロアクティブなデータ保持機能をオフにできるデータライフサイクル管理設定へのリンクも表示されます。
条件付きアクセスポリシーは、条件付きアクセスポリシーに含まれるインサイダーリスクレベルに割り当てられたすべてのユーザーに対して保護アクションを適用します。条件付きアクセスポリシーは、アダプティブ保護の [条件付きアクセスポリシー] タブに追加されます。条件付きアクセスポリシーの詳細を表示し、ポリシーの条件をダッシュボードから編集できます。

アダプティブ保護を有効にするには、[ アダプティブ保護の設定 ] タブを選択し、[ アダプティブ保護 ] を [オン] にします。適応型保護のインサイダーリスクレベルとデータ損失防止、データライフサイクル管理、および適用されるユーザーアクティビティに適用される条件付きアクセスアクションが表示されるまでに最大 36 時間かかることがあります。

Microsoft Mechanics チャネルで次のビデオを見て、ユーザーの計算されたデータセキュリティインサイダーリスクレベルに基づいて、アダプティブ保護でデータ保護の強度を自動的に調整する方法を確認します。

アダプティブ保護を管理する

アダプティブ保護を有効にし、インサイダーリスク管理、データ損失防止、条件付きアクセスポリシーを構成すると、ポリシーメトリック、現在のスコープ内ユーザー、および現在スコープ内のインサイダーリスクレベルに関する情報にアクセスできるようになります。

注:

現時点では、データライフサイクル管理メトリックはダッシュボードに表示されません。ただし、[アダプティブ保護] タブに「重要なデータを削除する可能性があるユーザーからorganizationも動的に保護されています」というメッセージが表示される場合は、プロアクティブデータの保存が有効になっているかどうかがわかります。

ダッシュボード

クイックまたはカスタムのセットアッププロセスを完了すると、アダプティブ保護の [ダッシュボード] タブに、ユーザーのインサイダーリスクレベル、条件付きアクセスポリシー、およびデータ損失防止ポリシーに関する概要情報のウィジェットが表示されます。

インサイダーリスクレベルが割り当てられたユーザー: 各インサイダーリスクレベル (昇格、中、およびマイナー) のユーザー数を表示します。
インサイダーリスクレベルを使用するポリシー: ポリシーの状態 ([未開始 ] または [ 完了] )、ポリシーの種類 (条件付きアクセス または データ損失防止)、およびポリシーの種類ごとに構成されたポリシーの数が表示されます。ポリシーの種類が構成されていない場合は、[ クイックセットアップ ] ボタンを選択してポリシーを構成できます。

インサイダーリスク管理 Adaptive Protection ダッシュボード。

インサイダーリスクレベルが割り当てられたユーザー

アダプティブ保護でインサイダーリスクレベルが割り当てられているユーザーは、[ ユーザー割り当てインサイダーリスクレベル ] タブに表示されます。ユーザーごとに次の情報を確認できます。

ユーザー: ユーザー名をListsします。データ損失防止ポリシーの場合、インサイダーリスク管理設定で [ 匿名化されたバージョンのユーザー名を表示する] オプションが選択されている場合は、匿名化されたユーザー名が表示されます。条件付きアクセスポリシーの場合、[匿名化された バージョンのユーザー 名を表示する] 設定が選択されている場合でも、ユーザー名は匿名化されません。

重要

参照整合性を維持するために、アラートやアクティビティを持つアダプティブ保護のユーザーがインサイダーリスク管理の外部に表示される場合、ユーザー名の匿名化 (オンになっている場合) は保持されません。実際のユーザー名は、関連するデータ損失防止アラートとアクティビティエクスプローラーに表示されます。
インサイダーリスクレベル: ユーザーに割り当てられている現在のインサイダーリスクレベル。
ユーザーに割り当てられている: ユーザーにインサイダーリスクレベルが割り当てられた後に経過した日数または月数。
インサイダーリスクレベルのリセット: ユーザーのインサイダーリスクレベルが自動的にリセットされるまでの日数。

ユーザーのインサイダーリスクレベルを手動でリセットするには、ユーザーを選択し、[ 期限切れ] を選択します。このユーザーにはインサイダーリスクレベルが割り当てられなくなります。このユーザーの既存のアラートまたはケースは削除されません。このユーザーが選択したインサイダーリスク管理ポリシーに含まれている場合、トリガーイベントが検出されると、インサイダーリスクレベルが再び割り当てられます。
アクティブなアラート: ユーザーの現在のインサイダーリスク管理アラートの数。
違反として確認されたケース: ユーザーに対して確認されたケースの数。
大文字と小文字: 大文字と小文字の名前。

必要に応じて、 Insider リスクレベルでユーザーをフィルター処理できます。

インサイダーリスク管理アダプティブ保護ユーザー。

特定のユーザーの詳細なインサイダーリスクとアダプティブ保護情報を表示するには、ユーザーを選択してユーザーの詳細ウィンドウを開きます。詳細ウィンドウには、 ユーザープロファイル、 ユーザーアクティビティ、 アダプティブ保護の概要の 3 つのタブが含まれています。 [ユーザープロファイル] タブと [ユーザーアクティビティ] タブの詳細については、「ユーザーの詳細を表示する」を参照してください。

[アダプティブ保護の概要] タブでは、次の 4 つのセクションの情報が集計されます。

アダプティブ保護: このセクションでは、ユーザーの現在の リスクレベル、 割り当てられたリスクレベル、および リスクレベルのリセットに 関する情報を表示します。
スコープ内のデータ損失防止ポリシー (動的): このセクションでは、ユーザーの現在スコープ内のすべてのデータ損失防止ポリシーと、ポリシーの開始日と終了日を表示します。これは、ユーザーのインサイダーリスクレベルとインサイダーリスクレベルのデータ損失防止ポリシー構成に基づいています。たとえば、ユーザーがインサイダーリスク管理ポリシーの 昇格されたリスクレベル として定義されているアクティビティを持ち、2 つのデータ損失防止ポリシーが 昇格されたリスクレベル 条件で構成されている場合、この 2 つのデータ損失防止ポリシーがユーザーに対してここに表示されます。
スコープ内の条件付きアクセスポリシー (動的): このセクションでは、ユーザーの現在スコープ内のすべての条件付きアクセスポリシーと、ポリシーの開始日と終了日が表示されます。これは、ユーザーのインサイダーリスクレベルとインサイダーリスクレベルの条件付きアクセスポリシー構成に基づいています。たとえば、ユーザーがインサイダーリスク管理ポリシーの 昇格されたリスクレベル として定義されているアクティビティを持ち、条件付きアクセスポリシーが 昇格されたリスクレベル 条件で構成されている場合、条件付きアクセスポリシーがユーザーに対してここに表示されます。
アダプティブ保護のインサイダーリスクポリシー: このセクションでは、ユーザーが現在スコープ内にあるインサイダーリスク管理ポリシーを表示します。

インサイダーリスク管理アダプティブ保護ユーザーの詳細。

条件付きアクセスポリシー

[ 条件付きアクセスポリシー] ページには、 Insider リスク 条件を使用しているすべての条件付きアクセスポリシーが表示されます。ポリシーごとに次の情報を確認できます。

ポリシー名: 条件付きアクセスポリシーの名前。
ポリシーの状態: ポリシーの現在の状態。値は アクティブ または 非アクティブです。
インサイダーリスクレベル: Insider リスク条件を使用した条件付きアクセスポリシーに含まれる インサイダーリスク レベル。オプションは 、管理者特権、 中レベル、または マイナーです。
ポリシーの状態: 条件付きアクセスポリシーの現在の状態。オプションは [オン] または [通知ありのテスト] です。
[作成日]: 条件付きアクセスポリシーが作成された日付。
最終更新日: 条件付きポリシーが最後に編集された日付。

インサイダーリスク管理アダプティブ保護の条件付きアクセスポリシー。

データ損失防止ポリシー

[ データ損失防止ポリシー] ページには、 Adaptive Protection にユーザーのインサイダーリスクレベル が条件として使用されているすべてのデータ損失防止ポリシーが表示されます。ポリシーごとに次の情報を確認できます。

ポリシー名: データ損失防止ポリシーの名前。
ポリシーの状態: ポリシーの現在の状態。値は アクティブ または 非アクティブです。
ポリシーの場所: データ損失防止ポリシーに含まれる場所。現在、アダプティブ保護では Exchange、Teams、デバイスがサポートされています。
インサイダーリスクレベル: Adaptive Protection のインサイダーリスクレベルを使用するデータ損失防止ポリシーに含まれる インサイダーリスクレベルは条件です 。オプションは 、管理者特権、 中レベル、または マイナーです。
ポリシーの状態: データ損失防止ポリシーの現在の状態。オプションは [オン] または [通知ありのテスト] です。
作成日: データ損失防止ポリシーが作成された日付。
最終更新日: データ損失防止ポリシーが最後に編集された日付。

インサイダーリスク管理アダプティブ保護データ損失防止ポリシー。

インサイダーリスクレベルの設定を調整する

インサイダーリスクレベルを持つユーザーを確認した後、インサイダーリスクレベルが割り当てられているユーザーが多すぎる、または少なすぎる場合があります。 2 つの方法を使用してポリシー構成を調整して、インサイダーリスクレベルが割り当てられているユーザーの数を減らすか、増やすことができます。

インサイダーリスクレベルの設定を変更します。しきい値を調整して、インサイダーリスクレベルをユーザーに割り当てることができます。
- インサイダーリスクレベルの割り当てに必要なアクティビティの重大度を増減します。たとえば、インサイダーリスクレベルのユーザーが少なすぎる場合は、アクティビティまたはアラートの重大度を減らすことができます。
- インサイダーリスクレベルが特定のユーザーアクティビティに基づいている場合は、検出期間中に発生するアクティビティを増減します。たとえば、インサイダーリスクレベルのユーザーが少なすぎると、アクティビティの発生を減らすことができます。
- インサイダーリスクレベルの基準を変更します。たとえば、インサイダーリスクレベルのユーザーが多すぎる場合、ユーザーの数を減らすには、アラートが確認された場合にのみインサイダーリスクレベルを割り当てることができます。
ポリシーのしきい値を変更します。インサイダーリスクレベルはポリシー検出に基づいて割り当てられるため、ポリシーを変更することもできます。これにより、内部リスクレベルを割り当てる要件が変更されます。ポリシーを変更するには、重大度の高い/中低のアクティビティとアラートにつながるポリシーのしきい値を増減します。

アダプティブ保護を無効にする

アダプティブ保護を一時的に無効にする必要がある場合があります。アダプティブ保護を無効にするには、[ アダプティブ保護の設定 ] タブを選択し、[ アダプティブ保護 ] を [オフ] に切り替えます。

有効かつアクティブになった後にアダプティブ保護がオフになっている場合、インサイダーリスクレベルはユーザーに割り当てられなくなります。また、データ損失防止、データライフサイクル管理、条件付きアクセスと共有され、ユーザーの既存のインサイダーリスクレベルはすべてリセットされます。アダプティブ保護をオフにした後、ユーザーアクティビティへのインサイダーリスクレベルの割り当てを停止し、すべてリセットするまでに最大 6 時間かかる場合があります。インサイダーリスク管理、データ損失防止、データライフサイクル管理、条件付きアクセスポリシーは自動的に削除されません。

インサイダーリスク管理のアダプティブ保護を有効にします。

注:

データライフサイクル管理の [データライフサイクル管理] の [アダプティブ保護] 設定をオフにすることで、インサイダーリスク管理のアダプティブ保護を無効にすることなく 、データライフサイクル管理 保護をオプトアウトできます。この設定をオフにすると、データライフサイクル管理ポリシーが削除されます。設定を再度有効にしない限り、この設定は再度有効になりません。 データライフサイクル管理のアダプティブ保護設定の詳細

Share via

アダプティブ保護を使用してリスクを動的に軽減する