【Microsoft Purview】メールの転送がブロックされる時のDLPルール確認

会社のOutlookでメールの転送設定をしようとしたところ、突然ブロックされて送信できなくなったという経験はありませんか。特にMicrosoft 365を利用している環境では、Microsoft Purviewのデータ損失防止(DLP)ポリシーが原因で転送が制限されるケースが増えています。この記事では、メール転送がブロックされる原因をDLPルールに焦点を当てて切り分け、具体的な確認手順と対処法を解説します。自分で解決できる範囲と、管理者に相談すべきポイントを明確にすることで、無駄な問い合わせや誤った回避行動を防ぐことを目的としています。

メール転送ブロックの原因はDLPルールだけではない

メール転送がブロックされる原因は、DLPルール以外にもいくつか存在します。まずは簡単な切り分けとして、以下の可能性を確認してください。

• Outlookクライアントの転送設定ミス: [ファイル]→[情報]→[自動返信/転送] で転送ルールが正しく設定されているか。特に「すべてのメールを転送する」が有効で、転送先アドレスに誤りがないか確認します。
• Exchange Onlineのメールフロールール(トランスポートルール): 管理者がExchange管理センターで「外部への自動転送を禁止」するルールを設定している場合があります。このルールはDLPとは別で、組織全体のセキュリティポリシーとしてよく使われます。
• スパムフィルターや送信者制限: 転送先のドメインがスパム判定される場合や、送信者ポリシーフレームワーク(SPF)などに問題があると、転送メールがブロックされることがあります。
• ユーザーアカウントの制限: 特定のユーザーに対して「外部転送不可」の属性が設定されている場合があります。これはAzure ADまたはExchange Onlineのユーザープロパティで確認できます。

これらの基本チェックで原因が特定できない場合、次にMicrosoft PurviewのDLPルールを調査します。DLPルールは機密情報を含むメールの外部転送を特に厳しく制御するため、企業によっては転送そのものがほぼ不可能になることもあります。

DLPルールの確認手順(一般ユーザーと管理者向け)

DLPルールの確認には、Microsoft 365 Defenderポータルを使用します。一般ユーザーはルールの一覧しか見られない場合が多いですが、ルールが適用されているかどうかの判断は可能です。以下の手順で進めてください。

1. ブラウザで Microsoft 365 Defender にアクセスし、会社のアカウントでサインインします。
2. 左側のナビゲーションペインから [ポリシー] → [DLPポリシー] を選択します。
3. 表示されたDLPポリシーの一覧から、[Exchange] または [Teams] など、メールに関連するポリシーをクリックします。ポリシー名に「機密データ」「外部転送」などのキーワードが含まれている場合は特に注目します。
4. ポリシーの詳細画面で、[ルール] タブを開きます。ここに、転送を制御する具体的なルールが表示されます。ルールの条件に「転送」「転送先が外部」などが含まれていないか確認します。
5. 該当ルールの [アクション] 部分で、転送時にどのような動作が設定されているかを確認します。「メッセージをブロック」「通知を送信」「監査のみ」などのいずれかです。ブロックされている場合は、そのルールが転送を禁止している可能性が高いです。

管理者権限がないユーザーはルールの編集ができませんが、ルールの存在と動作を確認することはできます。もし「監査のみ」に設定されているのに転送がブロックされる場合は、別のルール(Exchangeトランスポートルールなど)が影響している可能性もあります。

DLPルールの種類:外部転送禁止と機密情報ベース

DLPルールには大きく分けて二つのタイプがあります。一つは「外部転送全般を禁止するルール」、もう一つは「特定の機密情報(クレジットカード番号、個人情報など)を含むメールの転送を禁止するルール」です。前者は組織全体のセキュリティポリシーとしてよく使われ、後者はコンプライアンス要件に対応するために設定されます。転送ブロックの原因を特定するには、自分が転送しようとしたメールに機密情報が含まれているかどうかを確認してください。例えば、顧客リストや社内文書の添付ファイルがある場合、DLPルールが発動する可能性が高まります。

状況別の切り分け表:ブロック理由の特定に役立つ

症状	考えられる原因	確認すべきログ・設定
すべてのメール転送がエラーになる	ExchangeトランスポートルールまたはDLPの外部転送禁止ルール	Exchange管理センターのメールフロールール、DefenderのDLPポリシー
特定のメールのみブロックされる	DLPルールが機密情報を検出	DLPポリシーの詳細、機密情報種別
転送設定は保存できるが、転送が機能しない	SPF/DKIM/DMARCの問題、または送信者制限	Exchange管理センターのコネクタ、メールトレース
一部のユーザーのみブロックされる	ユーザー単位の制限(配布グループメンバーシップなど)	Azure ADのユーザー属性、Exchange Onlineのユーザー設定

失敗パターン:ユーザーがやりがちな回避行為とそのリスク

メール転送がブロックされたときに、ユーザーがよく取ってしまう回避行動には大きなリスクが伴います。代表的な失敗パターンを紹介しますので、絶対に行わないでください。

• 個人のGmailやYahooメールに手動で転送ルールを設定する: 会社の許可なく個人アカウントにメールを転送することは、情報漏洩につながります。また、DLPルールはOutlook Web Access (OWA) やExchange ActiveSyncでも同様に適用されるため、結局ブロックされます。
• メールを添付ファイルとして自分に送信する: 本文をコピーして新しいメールを作成し、外部アドレスに送る行為は、DLPルールをすり抜ける可能性がありますが、監査ログに記録されるため、発覚した場合は懲戒対象になり得ます。
• 機密情報を削除してから転送する: ルールによっては、機密情報の有無だけでなく、送信元や宛先、件名なども条件に含まれます。また、故意に情報を削除して送信することは、コンプライアンス違反になる可能性があります。
• 管理者権限を持つアカウントを共有で使う: 特権アカウントでルールを無効化したり、自分のアカウントをポリシーの適用除外に追加する行為は、内部不正として厳しく罰せられます。

これらの回避行為は、会社のセキュリティポリシー違反となるだけでなく、実際にデータ漏洩が発生した場合の法的責任も問われる可能性があります。どうしても業務上必要な転送がある場合は、正当な手続きでポリシーの変更を依頼してください。

管理者に伝えるべき情報:修正依頼の際に役立つ

管理者にDLPルールの修正を依頼するときは、以下の情報を準備しておくとスムーズに進みます。これらの情報は、自分で確認できる範囲で収集してください。

• 転送がブロックされた日時: 正確な日時を控えておきます。特に複数回発生している場合は、すべての日時を伝えてください。
• 送信元メールアドレスと転送先アドレス: どのメールをどこへ転送しようとしたかが重要です。
• ブロックされた際のエラーメッセージ: OutlookやOWAに表示されたエラーコードやメッセージのスクリーンショットを用意します。例として「このメッセージは組織のポリシーによりブロックされました」などがあります。
• 転送しようとしたメールの内容(機密情報の有無): 機密情報を含むメールかどうかを正直に伝えることが重要です。含む場合は、その機密情報の種類を特定できると管理者の判断が早まります。
• 業務上の理由: なぜ転送が必要なのか、その目的を明確にします。例えば「顧客から問い合わせメールを担当者に転送するため」など、正当な理由があればポリシーの適用除外が認められる可能性があります。

よくある質問(FAQ)

Q1. DLPルールの確認画面にアクセスできないのですが、どうすればいいですか?

A. ほとんどの会社では、セキュリティポリシー上、一般ユーザーにDefenderポータルへのアクセス権が付与されていない場合があります。その場合は、ITヘルプデスクまたはセキュリティチームに問い合わせて、自分がどのルールの影響を受けているかを確認してもらってください。管理者は「DLPレポート」や「メールトレース」でブロックの原因を特定できます。

Q2. 転送がブロックされても、添付ファイルをダウンロードして外部に送るのは問題ありませんか?

A. 添付ファイルをダウンロードして別のメールに添付し直す行為も、DLPルールの対象となる場合があります。特に、ファイル自体に機密情報が含まれている場合は、転送と同じようにブロックまたは監査の対象になります。許可されている方法でデータを共有してください。

Q3. 正当な理由がある場合、DLPルールを一時的に無効にしてもらえますか?

A. 可能です。ただし、ポリシーの変更にはセキュリティチームの承認が必要です。業務上の必要性を文書で説明し、適用除外の申請をしてください。一時的な例外として、特定のユーザーや特定の送信先のみ許可する方法もあります。

まとめ

メール転送がブロックされた場合、まずはOutlookの設定やExchangeのトランスポートルールなど、DLP以外の原因を簡単に切り分けましょう。その上で、Microsoft 365 DefenderのDLPポリシーを確認し、どのルールが転送を制限しているかを特定します。決して個人のメールアカウントへの転送や機密情報の削除といった回避行動は取らず、管理者に正当な理由を伝えてポリシーの適用除外を依頼してください。DLPルールは組織のデータを守るために存在するものであり、それを理解した上で適切な手順を踏むことが、結果的に自分の業務を円滑に進める近道となります。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。