【Copilot】出力に含まれる機密情報をPurview DLPでCopilot検知する手順

Copilotが生成した文書に誤って機密情報が含まれていないか、心配になることがあります。

Microsoft Purview DLP(Data Loss Prevention)を活用すれば、Copilotの出力を自動的にスキャンし、機密情報の漏洩を防げます。

この記事では、Purview DLPでCopilotの出力を検知する設定手順を解説します。

Copilotの安全な利用と、組織のデータ保護強化に役立ててください。

Copilot出力の機密情報検知の仕組み

Copilotは、Microsoft 365のデータやコンテキストを利用して回答を生成します。そのため、意図せず機密情報がCopilotの出力に含まれる可能性があります。

Microsoft Purview DLPは、Copilotが生成したコンテンツ(Word、Excel、PowerPoint、Outlookなど)をリアルタイムで監視します。定義された機密情報タイプ(個人識別情報、財務情報、知的財産など)に一致するコンテンツが検出された場合、DLPポリシーに基づいて警告を表示したり、共有をブロックしたりします。

この仕組みにより、組織内の機密情報が不正に共有されるリスクを低減できます。Copilotの利用とデータガバナンスの両立が可能です。

Copilot出力をPurview DLPで検知する設定手順

Copilotの出力をPurview DLPで検知するには、Microsoft PurviewコンプライアンスポータルでDLPポリシーを設定します。

1. Microsoft Purviewコンプライアンスポータルにアクセスする
   管理者権限を持つアカウントで、Microsoft Purviewコンプライアンスポータル(compliance.microsoft.com)にサインインします。
2. DLPポリシーの作成を開始する
   左側のナビゲーションメニューから「データ損失防止」を選択し、「ポリシー」タブを開きます。「+ ポリシーの作成」をクリックします。
3. ポリシーの場所を指定する
   「カスタム」を選択し、「次へ」をクリックします。
4. ポリシーを適用する場所を選択する
   「Copilot」は、Microsoft 365アプリ(Word、Excel、PowerPoint、Outlook)やTeamsのコンテンツとして扱われます。そのため、「Microsoft 365 のエンドポイント」を選択し、「次へ」をクリックします。
5. ポリシーの適用場所を選択する
   Copilotの出力が生成される可能性のある場所を選択します。「Word」「Excel」「PowerPoint」「Outlook」などを選択し、「次へ」をクリックします。TeamsのCopilotについても、Teamsのコンテンツとして設定します。
6. 機密情報タイプを定義する
   「機密情報タイプ」のセクションで、「+ 機密情報タイプを追加」をクリックします。組織のポリシーに基づいて、検知したい機密情報タイプ(例:クレジットカード番号、社会保障番号、社内プロジェクトコードなど)を選択します。必要に応じて、カスタム機密情報タイプを作成することも可能です。
7. ポリシーのアクションを設定する
   「アクション」セクションで、機密情報が検出された場合の動作を定義します。「機密情報が検出された場合に実行するアクション」で、「ブロック」または「監査」などを選択します。例えば、「ブロック」を選択すると、機密情報を含むCopilotの出力は共有できなくなります。「監査」を選択すると、ポリシー違反が記録されます。
8. ポリシーの除外を設定する(任意)
   特定のユーザーやグループ、または特定の場所からのポリシー適用を除外したい場合は、「除外」セクションで設定します。
9. ポリシーのテストと有効化
   「テスト」タブで、ポリシーが正しく機能するかを確認します。その後、「有効化」タブでポリシーを有効化します。

CopilotプロンプトでよくあるNG例と改善策

Copilotは強力なツールですが、プロンプトの工夫次第で、より安全かつ効果的に利用できます。

機密情報を安易にプロンプトに入力してしまう

症状: Copilotに指示を出す際に、具体的な顧客名、個人情報、未公開の財務データなどを直接プロンプトに含めてしまう。

原因: Copilotに正確な回答を生成させるための情報として、機密情報が必要だと誤解している。

改善策: Copilotには、機密情報を含めずに、抽象的な指示や匿名化されたデータで十分な場合が多いです。例えば、「顧客Aの件」ではなく「特定の顧客」と指示する、個人情報はIDに置き換えるなどの工夫をします。どうしても機密情報が必要な場合は、組織のセキュリティポリシーを確認し、許可された範囲でのみ利用します。

Copilotの出力内容を鵜呑みにしてしまう

症状: Copilotが生成した内容をそのままコピー&ペーストし、内容の正確性や機密情報の有無を確認しない。

原因: Copilotの生成能力を過信し、人間によるチェックの必要性を軽視している。

改善策: Copilotはあくまでアシスタントです。生成された内容は必ず人間がレビューし、事実確認、文法チェック、そして最も重要な機密情報の有無を確認する習慣をつけます。特に、公開前の情報や、外部に漏れてはならない情報は、細心の注意を払って確認します。

DLPポリシーの除外設定を誤用する

症状: DLPポリシーがCopilotの出力をブロックするため、一時的な回避策として、本来除外すべきでない場所に除外設定を適用してしまう。

原因: DLPポリシーの仕組みや影響範囲を理解せずに設定を変更してしまう。

改善策: DLPポリシーの除外設定は、組織のセキュリティリスクを理解した上で、最小限の範囲で行う必要があります。設定変更を行う際は、必ずIT管理者やセキュリティ担当者に相談し、承認を得てから実施します。除外設定を適用する際は、その目的と影響範囲を明確に文書化することが推奨されます。

Copilot ProとMicrosoft 365 CopilotのDLP適用範囲の違い

Copilot Proは個人向けのサブスクリプションであり、Microsoft 365 Copilotは法人向けのプランです。DLPポリシーの適用範囲には違いがあります。

項目	Microsoft 365 Copilot(法人向け)	Copilot Pro(個人向け)
DLPポリシー適用	対応済み	非対応
機密情報検知	Purview DLPによる自動検知・ブロックが可能	Purview DLPによる自動検知・ブロックは行われない
データ保護	組織のセキュリティポリシーに準拠	個人の責任において管理
利用対象	Microsoft 365 Business/Enterpriseライセンスを持つ組織	個人ユーザー、Microsoft 365 Personal/Familyサブスクリプションユーザー

Microsoft 365 Copilotでは、組織が設定したPurview DLPポリシーが適用されるため、機密情報の漏洩リスクを管理できます。一方、Copilot Proでは、個人が利用する範囲でのデータ保護となり、組織レベルでのDLPによる自動検知・ブロック機能は提供されません。Copilot Proを利用する場合でも、機密情報の入力は避けるべきです。

まとめ

本記事では、Microsoft Purview DLPを活用してCopilotの出力に含まれる機密情報を検知する手順を解説しました。

Purview DLPポリシーを設定することで、Copilot利用時のデータ漏洩リスクを低減できます。

次に、組織のセキュリティ担当者と連携し、DLPポリシーの適用範囲や機密情報タイプの定義について確認しましょう。

Copilot Proを利用している場合は、個人レベルでの情報管理に注意が必要です。