【Copilot】Copilotへの機密データ入力をDLPポリシーで防ぐ設定手順とリスク対策

DLPポリシーでCopilotの機密データ入力を防ぐ仕組み

CopilotはMicrosoft 365のデータにアクセスして動作するため、DLPポリシーが適用されます。

DLPポリシーは、組織内の機密情報を識別し、不正な共有や漏洩を防ぐためのルールです。

Copilotが機密情報を含む可能性のあるプロンプトを検出した場合、DLPポリシーに基づいて警告を表示したり、入力をブロックしたりできます。

これにより、意図しない機密情報のCopilotへの入力や、Copilot経由での情報漏洩リスクを低減させます。

DLPポリシーを作成・設定する手順

DLPポリシーの作成と設定は、Microsoft 365コンプライアンスセンターで行います。

この操作には、Microsoft 365のグローバル管理者またはコンプライアンス管理者権限が必要です。

1. Microsoft 365コンプライアンスセンターにアクセスする
   Webブラウザで「compliance.microsoft.com」にアクセスし、管理者アカウントでサインインします。
2. DLPポリシーの作成を開始する
   左側のナビゲーションメニューから「データ漏洩防止」>「ポリシー」を選択し、「+ ポリシーの作成」をクリックします。
3. ポリシーの適用場所を選択する
   「カスタムポリシー」を選択し、「次へ」をクリックします。
4. ポリシーを適用する場所を選択する
   「Copilot」を選択します。
5. Copilotで保護する機密情報の種類を選択する
   「機密情報の種類」で、保護したい情報(例:クレジットカード番号、個人識別番号、医療情報など)を選択します。
6. ポリシーの場所を設定する
   「Copilot」が選択されていることを確認します。
7. ポリシーの名前と説明を入力する
   ポリシーに分かりやすい名前(例:「Copilot機密情報保護ポリシー」)と説明を入力し、「次へ」をクリックします。
8. DLPポリシーのルールを設定する
   「機密情報の種類」で選択した情報がCopilotで検出された場合の「アクション」を設定します。
9. アクションを設定する
   • ブロック: Copilotへの機密情報の入力を完全にブロックします。
   • 警告: ユーザーに警告を表示し、入力を続行するかどうかを確認します。
   • 無効化: ポリシーを一時的に無効にします。

   「ブロック」または「警告」を選択し、必要に応じてカスタムメッセージを設定します。その後、「次へ」をクリックします。

10. テストモードでポリシーを適用する
    最初は「テストモード」でポリシーを適用することをお勧めします。「テストモード」では、ポリシー違反が発生してもブロックされず、ログに記録されるだけです。これにより、誤検知がないかを確認できます。
11. ポリシーのレビューと作成
    設定内容を確認し、「ポリシーの作成」をクリックします。
12. ポリシーの有効化
    テストモードで問題がなければ、ポリシー設定画面に戻り、「テストモード」を「オン」から「オフ」に変更してポリシーを有効化します。

DLPポリシー適用後の確認と注意点

テストモードでのログ確認

ポリシーをテストモードで有効化した後、Copilotで機密情報を含む可能性のあるプロンプトを入力してみます。

Microsoft 365コンプライアンスセンターの「DLP」>「レポート」で、ポリシー違反のログを確認できます。

誤検知がないか、意図した通りに機密情報が検出されているかを確認してください。

ポリシーの有効化と影響

テストモードで問題がなければ、ポリシーを有効化します。

有効化すると、設定したアクション(ブロックまたは警告)がCopilotの利用に直接影響します。

ユーザーには、機密情報保護のためにCopilotの利用に制限がかかる場合があることを周知することが重要です。

DLPポリシーの限界

DLPポリシーは強力な保護機能ですが、万能ではありません。

Copilotが学習するデータや、ユーザーが意図的に情報を難読化した場合など、検出できないケースも存在します。

そのため、DLPポリシーの設定と併せて、従業員への教育や、Copilot利用に関するガイドラインの策定も重要です。

Copilot以外のDLP適用箇所

DLPポリシーはCopilotだけでなく、Exchange Online(メール)、SharePoint Online、OneDrive for Businessなど、Microsoft 365の様々なサービスに適用できます。

組織全体の情報保護を強化するために、他のサービスへのDLPポリシー適用も検討してください。

DLPポリシーとCopilot Proの違い

DLPポリシーは、Microsoft 365の法人向けライセンス(Microsoft 365 E3/E5/Business Premiumなど)に含まれる機能です。

Copilot Proは個人向けのサブスクリプションであり、DLPポリシーの設定機能は含まれていません。

したがって、DLPポリシーによる機密データ入力制限は、主に法人組織でのCopilot利用において有効な対策となります。

まとめ

Microsoft 365コンプライアンスセンターでDLPポリシーを作成・設定することで、Copilotへの機密データ入力を効果的に防げます。

テストモードでの検証を経て、ポリシーを有効化することで、安心してCopilotを活用できる環境を構築できます。

組織全体の情報セキュリティ強化のため、DLPポリシーの適用範囲を他のMicrosoft 365サービスにも広げることを検討してください。