前回はCopilotの情報漏洩リスクと対策を扱いましたが、ここでは管理者が実際に設定画面で確認すべき項目を一覧化します。Microsoft 365 Copilotのセキュリティ設定は、Purview・Entra ID・SharePoint管理センターの複数箇所に分散しており、一つでも見落とすとライセンス購入後の全社展開で意図しない権限が発動します。このチェックリストは、初回設定とライセンス追加の度に繰り返し使える形で、設定箇所・確認方法・判定基準を明示します。

Copilotのセキュリティ設定が分散する理由

Copilotは単独の製品ではなく、Microsoft 365のGraph APIとSharePoint検索インフラを基盤とする機能です。そのため設定項目はCopilot専用の管理画面ではなく、既存の統制基盤（Microsoft Purview・Entra ID・SharePoint Online）に組み込まれています。これは「Copilotだけを特別扱いしない」設計思想によるものですが、管理者にとっては確認箇所が増え、設定漏れのリスクが高まります。

さらにCopilotはライセンス付与と同時に有効化されるため、設定を後回しにすると、その間ユーザーは既存のSharePoint権限をそのまま参照できる状態になります。結果として「設定前にライセンスを配布してしまい、監査ログも取れていなかった」という事態が起きやすい構造です。

設定確認の前提条件と管理者権限

チェックリストを実行するには、以下の役割が必要です。すべてを一人で担う必要はありませんが、組織内で誰が何を確認するかを事前に決めておかないと、責任の所在が曖昧になり設定漏れが発生します。

  • Microsoft 365グローバル管理者：Purview・監査ログ・Copilotライセンス割り当ての設定を行う
  • SharePoint管理者：サイト外部共有設定・機密度ラベルの適用範囲を確認する
  • Entra ID条件付きアクセス管理者：デバイス準拠・多要素認証ポリシーを設定する
  • セキュリティ閲覧者：監査ログ・DLPアラートの取得状況を定期確認する

これらの役割を持つ担当者が、チェックリストを共有し、設定完了をチーム内で相互確認する運用を推奨します。

Copilot初回設定時の必須チェック項目

ライセンス購入後、最初に確認すべき設定を優先度順に列挙します。ここで設定を誤ると、後から修正しても過去のアクセス履歴は取得できず、監査証跡が欠落します。

1. Microsoft Purview監査ログの有効化

確認箇所：Microsoft 365 コンプライアンス管理センター > 監査 > 監査ログの検索

設定内容：「監査ログを有効にする」が有効になっているか確認します。Copilotの利用履歴（どのファイルを参照したか・どのプロンプトを入力したか）は、この監査ログに記録されます。過去にコスト削減のため無効化した組織もあるため、必ず現在の状態を確認します。

判定基準：「監査がオンになっています」と表示されていればOK。オフの場合は「監査を有効にする」をクリックし、有効化後にログ取得が開始されます。

監査ログの保持期間：保持期間はライセンスの種類により異なります。組織の要件に応じて保持期間を確認し、必要に応じて定期的にエクスポートする運用を検討します。

2. Copilotライセンスの割り当て対象者の限定

確認箇所：Microsoft 365 管理センター > ユーザー > アクティブなユーザー > ライセンスとアプリ

設定内容：初回設定時は、パイロット部門（例：情報システム部門の5名）のみにライセンスを付与します。全社展開前に、この限定グループで設定の妥当性を検証します。Entra IDの動的グループを使い「部門コード=IS」のようなフィルタでライセンス自動割り当てを構成すると、手動付与の漏れを防げます。

判定基準：ライセンス付与対象のグループメンバーシップがEntra IDの動的ルールまたは手動リストで明示されており、想定外のユーザーが含まれていないこと。

3. SharePoint外部共有設定の確認

確認箇所：SharePoint 管理センター > ポリシー > 共有

設定内容：「既存のゲストのみ」または「組織内のユーザーのみ」を選択します。Copilotは、ユーザーがアクセス権を持つすべてのSharePointコンテンツを検索対象とするため、外部共有が「すべてのユーザー」「新規および既存のゲスト」になっていると、意図しない外部ユーザーへの参照権限が間接的に発生するリスクがあります。

判定基準：サイトコレクションごとに設定が異なる場合もあるため、全サイトの一覧をPowerShellでエクスポートし、共有レベルが統一されているか確認します（実行にはSharePoint Online Management Shellモジュールと管理者権限が必要）。

Get-SPOSite -Limit All | Select Url, SharingCapability

4. 機密度ラベルの適用範囲の設定

確認箇所：Microsoft Purview コンプライアンス管理センター > ソリューション > 情報保護 > ラベル

設定内容：「極秘」「機密」など、Copilotに参照させたくないラベルを定義し、それらにDLPポリシーを関連付けます。ラベル自体はファイルに付与するだけでは参照を止められないため、必ずDLPルールで「Copilotでのアクセスをブロック」を設定します。

判定基準：ラベルごとに「このラベルが付与されたアイテムをCopilotで参照可能か」を明示したポリシー一覧表を作成し、IT部門とセキュリティ部門で合意します。

5. 条件付きアクセスポリシーの適用

確認箇所：Entra ID管理センター > 保護 > 条件付きアクセス > ポリシー

設定内容：「Microsoft 365 Copilot」をクラウドアプリとして指定し、以下の条件を追加します。

  • デバイスコンプライアンス：Intuneに登録された会社管理端末のみ許可
  • 多要素認証：必須（既存のMFAポリシーがあればそれを流用）
  • 承認されたクライアントアプリ：Microsoft TeamsまたはMicrosoft 365アプリのみ許可（ブラウザ版を制限したい場合）

判定基準：ポリシーを「レポート専用モード」で一定期間運用し、想定外のアクセスブロックが発生しないか確認した後、本番適用します。

全社展開前の追加確認項目

パイロット運用で設定が安定したら、全社展開前に以下を確認します。ここでの見落としは、展開後の大量のアラートやサポート問い合わせにつながります。

6. DLPポリシーのアラート設定

確認箇所：Microsoft Purview コンプライアンス管理センター > ソリューション > データ損失防止 > ポリシー

設定内容：Copilot利用時に機密情報（クレジットカード番号・マイナンバー等）がプロンプトに入力された場合、DLPルールで検知しアラートを送信します。既存のDLPポリシーがCopilotを対象に含んでいるか確認し、含まれていない場合は「場所」に「Microsoft 365 Copilot」を追加します。

判定基準：テスト用プロンプトで機密情報を入力し、アラートが管理者メールに届くか実際に確認します。届かない場合、ポリシーのスコープまたは条件が誤っています。

7. 過剰共有されているSharePointサイトの洗い出し

確認箇所：SharePoint 管理センター > アクティブなサイト > 共有

設定内容：「全員」または「会社全体」に共有されているサイト・ファイルを一覧化します。Copilotはこれらをすべて検索対象とするため、過剰共有を放置すると、意図しない部署の社員が他部署の機密ファイルにアクセスできます。洗い出しには、PowerShellスクリプトを使います（実行にはSharePoint Online Management Shellモジュールと管理者権限が必要）。

Get-SPOSite -Limit All | Get-SPOSiteGroup | Where-Object {$_.Users -like "*Everyone*"} | Select Title, Users

判定基準：過剰共有サイトのリストを部門責任者に送付し、各部門で「本当に全社共有が必要か」を判断させます。不要な共有は削除し、必要な場合はDLPで参照制限を追加します。

8. ゲストユーザーのアクセス権の棚卸し

確認箇所：Entra ID管理センター > ユーザー > すべてのユーザー > フィルタ「ユーザータイプ=ゲスト」

設定内容：招待したまま放置されているゲストユーザーをリストアップし、最終サインイン日が一定期間以上前のアカウントは無効化します。Copilotは、ゲストがアクセス権を持つファイルも検索対象とするため、不要なゲストを削除することで参照範囲を縮小できます。

判定基準：ゲストユーザーの一覧をCSVでエクスポートし、招待元の部署に「まだ必要か」を確認させる運用を定期的に実施します。

運用開始後の定期確認項目

全社展開後は、設定が意図せず変更されていないか、定期的に確認します。以下の項目を月次または四半期で実施します。

9. 監査ログの取得状況の確認

頻度：月次

確認内容：Copilot関連のアクティビティ（CopilotInteraction・GraphQuery等）がログに記録されているか、サンプル抽出で確認します。記録されていない場合、監査ログが再び無効化されている可能性があります。

確認方法：Microsoft 365 コンプライアンス管理センターの監査ログ検索で、「アクティビティ=CopilotInteraction」でフィルタし、過去1週間のログ件数を確認します。

10. 条件付きアクセスポリシーの除外グループの増加

頻度：月次

確認内容：条件付きアクセスポリシーから除外されているユーザー・グループが増えていないか確認します。除外設定は一時的な業務対応で追加されることが多く、放置されると例外だらけになります。

確認方法：Entra ID管理センターで各ポリシーの「除外」タブを開き、除外グループのメンバー数と追加日を記録します。除外理由が不明なグループは削除します。

11. DLPアラートの誤検知率の測定

頻度：四半期

確認内容：DLPアラートのうち、実際に対応が必要だった割合（真陽性率）を測定します。誤検知が多いとアラート疲れが発生し、重要なインシデントを見逃します。

確認方法：四半期ごとにアラート一覧をエクスポートし、「対応済み」「誤検知」「未対応」に分類します。誤検知率が高い場合、DLPルールの条件を見直します。

設定変更時のバージョン管理

Copilotの設定は、Microsoftの仕様変更やライセンス追加のタイミングで頻繁に更新されます。設定変更履歴を残さないと、トラブル発生時に「いつ誰が何を変えたか」が分からず、原因追及に時間がかかります。

以下のような変更管理表をExcelまたはSharePointリストで作成し、変更の度に記録します。

変更日

変更者

変更箇所

変更前

変更後

変更理由

2025-04-15

田中（IT管理者）

SharePoint外部共有

新規および既存のゲスト

既存のゲストのみ

Copilot展開前の過剰共有是正

2025-05-10

鈴木（セキュリティ担当）

条件付きアクセスポリシー

MFA必須のみ

MFA必須+デバイスコンプライアンス

BYOD端末からのアクセス制限

この表は監査時の証跡としても機能します。

チェックリストの実施頻度と責任者の決定

チェックリストは、初回設定・ライセンス追加・四半期レビューの3つのタイミングで実施します。それぞれの責任者を明記し、実施漏れを防ぎます。

  • 初回設定：グローバル管理者が全項目を確認。完了後、チェックリストにサインと日付を記入
  • ライセンス追加時：SharePoint管理者が項目3・7・8を再確認。過剰共有が増えていないか検証
  • 四半期レビュー：セキュリティ閲覧者が項目9・10・11を確認。異常があればエスカレーション

これらの頻度と担当者を、Copilot運用規程に明記します。規程がない場合、まずは運用規程のドラフトを作成し、各項目に責任者を割り当てることから始めます。

参考にすべき公的ガイドライン

Copilotのセキュリティ設定を検討する際、以下の公的文書が基準として参考になります。

これらの文書は、社内のセキュリティポリシーを策定する際の根拠として引用できます。

まとめ

Copilotのセキュリティ設定は、Purview・Entra ID・SharePointの11項目を段階的に確認します。初回設定で監査ログ・外部共有・条件付きアクセスを固め、全社展開前にDLP・過剰共有・ゲスト権限を棚卸しし、運用開始後は月次・四半期で設定のドリフトを検知します。変更履歴を記録し、責任者と実施頻度を明記した運用規程に組み込むことで、設定漏れと属人化を防ぎます。これらの確認項目を組織の実情に合わせてカスタマイズし、継続的に見直すことで、Copilot利用時のセキュリティリスクを低減できます。