Microsoft Purview感度ラベルでDWG/STEPなど設計ファイルのラベル変更と外部共有を両立する運用設計

DWGやSOLIDWORKSの設計・図面ファイルが自動で「Confidential」になり、DLPで外部共有が止まってしまう――そんな現場は珍しくありません。Officeなら簡単に変えられる感度ラベルも、CAD系ファイルでは挙動が別物です。この記事では「なぜ変えられないのか」を仕様から整理し、設定確認と、外部共有を止めないための現実的な運用パターンまで具体的にまとめます。

最初に整理：感度ラベルは「分類」と「保護（暗号化）」がセットとは限らない

Microsoft Purview の感度ラベルは、ざっくり言うと「このデータの扱い方を宣言するラベル」です。ラベルには分類（メタデータとしてのタグ付け）の側面と、必要に応じて保護（暗号化・利用権限の制御）まで強制する側面があります。つまり本来は「ラベルだけ付ける（暗号化しない）」という設計も可能です。

要素	何をするものか	現場で効くポイント	よくある誤解
感度ラベル（分類）	ファイルやメールに「機密度」をメタデータとして付与	DLP・監査・検索・自動ラベル付けの条件に使える	「ラベル＝必ず暗号化」だと思い込む
保護（暗号化・権限制御）	暗号化し、閲覧/編集/印刷/コピー等の利用権限を制御	ファイルが持ち出されても権限が残る（持続性）	「社外に送っても相手は普通に開ける」と思い込む
DLP/共有制御	外部共有・コピー・アップロード等の操作をブロック/監査	誤送信・誤共有を入口で止める	暗号化と同じ効果だと混同する

ポイントは、Officeファイルでは「分類だけ」でも成立しやすいのに対し、CADのような非Officeファイルでは“分類だけが成立しない”ケースがあるという点です。ここが今回のハマりどころです。

DWG/SLDPRT/STEP/SLDDRWが“Officeと同じように”扱えない理由

DWG / SLDPRT / STEP / SLDDRW のような設計・図面ファイルは、Purviewの世界では一般に「非Officeファイル」として扱われ、ラベルの付け方・持たせ方がOfficeと同じではありません。特にWindowsで手動ラベル付けをする場合、Microsoft Purview Information Protection クライアント（いわゆるMIPクライアント）が提供するFile Explorer（エクスプローラー）拡張を使うのが基本ルートになります。

そして重要なのが、エクスプローラーからのラベル付けには「ラベルのみ（暗号化なし）で付けられるファイル種別」が明確に存在することです。Microsoftのサポート情報では、ラベルのみで扱える代表例として Office / PDF / 画像 などが挙げられています。

分類だけ（暗号化なし）でもラベル適用できる代表例	保護を有効にしないとラベル適用できないことが多い領域	現場で起きること
Office（docx/xlsx/pptx等） PDF（.pdf） 画像（.jpg/.png等） ほか一部形式（.mpp/.pub/.xps/.dwfx等）	上記以外の多くのファイル形式（例：CAD系ファイル、独自形式、テキスト等） ※環境/設定/拡張子によって差はあるが、CAD系はこの側に寄りやすい	「一般」など暗号化しないラベルがグレーアウトする/表示されない 「Protect with custom permissions（カスタム権限で保護）」を選ばないと先に進めない

実際、Microsoftの案内でも「ファイル種類によっては、保護を選択するまで一部のラベルが利用できず、保護を有効化してからラベルを適用できる」旨が説明されています。これが、相談内容の「カスタム権限で保護にチェックしないとラベル変更できない」に直結します。

なぜ「カスタム権限で保護」を求められると外部が開けなくなるのか

「Protect with custom permissions」を選ぶ＝その場で暗号化（保護）をかける、という意味になります。暗号化されたファイルは、受け手側で認証や権限チェックが必要になります。CADファイルの場合、アプリがネイティブにMIP暗号化を理解できないと、結果として専用ビューアでしか開けない、または相手が認証できず開けないという事態が起きやすくなります。

さらに、SharePoint / OneDrive を絡めた暗号化ファイルの外部アクセスは「ゲストアカウントでのアクセス」が前提になる場面が多い、と公式ドキュメント側でも示されています。

まずは切り分け：止まっているのは「DLP」か「暗号化」か

「外部共有できない」という症状でも、原因は大きく2系統あります。DLPや共有設定でブロックされているのか、暗号化で相手が開けないのか。ここを混ぜると解決まで遠回りになります。

症状	原因のあたり	最短の確認方法	対処の方向性
共有リンク作成や外部共有操作が「ポリシーで禁止」と出る	DLP/共有制御（ラベル条件含む）	同じファイルを別ラベルにしたら共有できるか	ラベル/ポリシー設計の見直し（外部共有用ラベル、例外、承認フロー）
共有自体はできたが、相手が開けない／資格情報要求がループする	暗号化（保護）	ファイル名拡張子が変化していないか、Viewerが必要と言われないか	暗号化ラベルの外部共有設計（ゲスト/B2B、CA、権限付与の方法）
自社内では開けるが、社外は一切開けない	暗号化＋外部ユーザー要件未充足	外部ユーザーがゲストとして認識されているか	ゲスト招待の運用・CA例外・共有手段の変更
ラベルを「一般」等に戻そうとしても操作ができない	権限不足（保護解除不可）	View Permissionsで所有者/権限を確認	所有者/権限者に依頼、または管理者フローで解除

管理者向け：Purview側で確認すべき設定ポイント

CADファイルの感度ラベル運用は、ユーザーの操作手順以前に「ポリシー設計」で勝負が決まります。以下は、現場トラブルが減る順番でのチェック項目です。

ラベルがユーザーに公開されているか（ラベルポリシー）

大前提として、該当ユーザーに対して感度ラベルが公開（発行）されていないと、そもそも選択肢に出てきません。Officeアプリで見えている＝必ずしもエクスプローラーでも同じ、とは限らないので「Windows拡張（File labeler）が使える前提」まで含めて確認します。Purview Information Protection クライアントは、Officeに内蔵されていない領域（File Explorer、PowerShellなど）へラベル運用を拡張するためのコンポーネントです。

自動ラベル付け/自動適用の対象に「拡張子」が含まれているか

質問の状況では、DWG / SLDPRT / STEP / SLDDRW が自動で「Confidential（社外共有禁止）」になっているため、どこかの自動適用で引っ掛かっています。Purviewの自動ラベル付け（場所や方式によって設定項目が異なります）では、対象の場所（SharePoint/OneDrive、メール、デバイス、スキャナー等）と合わせて、ファイル種別や条件が想定通りかを必ず見直してください。

チェック観点	見落としがちなポイント	おすすめの着地点
対象拡張子	CAD系拡張子だけ「強制Confidential」になっている	外部共有が必要な業務があるなら、CAD系を一律ブロックにしない（別ラベルや別置き場に分離）
ユーザーの上書き可否	「上書き不可」で現場が詰む	ダウングレードは理由必須にして、上書きは許可（監査とセットで運用）
DLPのアクション	「ラベル＝外部共有禁止」をDLPで固定化している	外部共有用ラベルを設計し、DLPは“禁止”ではなく“条件付き許可/承認/監査”に寄せる
運用の責任分界	設計担当が解除できず情報シスに依頼が集中	設計部門の責任者に解除/再ラベル権限を付与するフローを用意

すでに暗号化されたファイルを戻す権限（所有者/Export/Full Control）

いったん保護（暗号化）が掛かったファイルは、誰でも自由に外せるわけではありません。Microsoftの説明でも、保護を外すには「所有者である」または「Export / Full Control などの権限が付与されている」必要があるとされています。ここが満たせないと、現場で“戻せないファイル”が量産されます。

ユーザー向け：Windowsエクスプローラーで設計ファイルのラベルを変える手順

Purview Information Protection クライアントが入っている端末では、エクスプローラーの右クリックからラベル変更ができます。基本の流れは次の通りです。

• エクスプローラーで対象ファイル（例：xxx.dwg）を右クリック
• 「Apply sensitivity label with Microsoft Purview（Microsoft Purviewで感度ラベルを適用）」を選択
• 表示されたダイアログでラベルを選んで適用
• 機密度を下げる場合、理由入力（Justification）が求められることがある

ここで重要なのは、CADファイルのように「ラベルだけ」の適用ができない種別だと、ラベルが出てこなかったり、選べなかったりします。その場合は「Protect with custom permissions（カスタム権限で保護）」を選ぶよう誘導されますが、これは暗号化を伴うため、社外相手の閲覧性に大きく影響します。

結論：「ラベルだけ変えたい（暗号化なし）」は、CADファイルでは成立しないことが多い

感度ラベル自体は「暗号化なしでラベルだけ付ける」設計が可能です。

しかし、Windowsエクスプローラー経由のラベル付けでは、ファイル種類によって“ラベルだけ”ができる/できないが分かれることが明示されています。具体的には、OfficeやPDFなどは保護なしでもラベル適用できますが、それ以外の多くの形式は「保護を有効にしないとラベルが適用できず、保護を有効にするとラベルが適用できる」という挙動になり得ます。CAD系はこの制約に引っ掛かりやすいため、「暗号化せずにラベルだけ変えて、いつも通り外部へ送る」という運用は、仕様上つらい場面が出ます。

ここを無理に押し通すと、次のどちらかが必ず発生します。

• 暗号化されて社外が開けない（認証・権限・アプリ対応の壁）
• 暗号化しないためにラベルが付けられない（ラベル運用が崩れる）

外部共有を止めないための現実解：おすすめ運用パターン5選

外部へ渡すのは「PDF/画像/中間形式」に寄せる

設計の“原本CAD”をそのまま渡す必要がない場面（レビュー、見積、承認、製造指示など）では、PDFや画像に落として渡すのが最も事故りにくい解です。PDFや画像は「ラベルのみ（暗号化なし）」で扱える代表例に含まれるため、社外共有のハードルを下げつつ、ラベル運用（分類）も維持しやすくなります。

• 社内保管：DWG/SLDPRTなど原本は「Confidential（社外共有禁止）」で厳格管理
• 社外共有：PDF/画像は「外部共有可（暗号化なし）」ラベルで共有
• DLP：外部共有可ラベルのときのみ、条件付きで許可（監査・期限付きリンク等とセット）

「社外に渡るものは原本ではなく“成果物”」という整理にできると、情報保護と業務スピードの両立が一気に楽になります。

共有方法を“添付”から“SharePoint/OneDriveのリンク共有”に寄せる

ファイルがメール添付で飛び出すと、以後の制御は暗号化に頼りがちになります。一方、SharePoint/OneDrive上のリンク共有に寄せると、「置き場のポリシー」「リンクの期限」「アクセスレビュー」など、M365側の統制を効かせやすくなります。

ただし、暗号化ラベルの外部アクセスはゲストアカウントが必要になることがあり、運用設計（ゲスト管理）が肝になります。SharePoint/OneDriveの暗号化ファイルに外部ユーザーがアクセスするにはゲストアカウントを使う、という前提が示されています。

どうしてもCAD原本を渡すなら「ゲスト（B2B）前提＋暗号化共有」を正面から設計する

「原本CADを社外の取引先が開いて作業する」なら、暗号化を避けるのではなく、暗号化したまま開ける相手を“正規の外部ユーザー”として整備する方が長期的には安全です。

• 取引先ユーザーを Microsoft Entra ID のゲスト（B2B）として招待する
• 暗号化ラベル（事前定義の権限 or ユーザー定義権限）でアクセス権を付与する
• 相手側はサインインして閲覧/編集する（対応アプリ/プラグイン要件は要検証）

また、Conditional Access（条件付きアクセス）を絡めると、外部ユーザーはゲストアカウント必須になる、という既知の制約も整理しておく必要があります。外部ユーザーが保護コンテンツを見るにはB2Bゲストが必要になり得るため、CAを内製ユーザー中心に適用する設計が推奨される旨が示されています。

「外部共有用ラベル」を別に作り、DLPは“完全禁止”から卒業する

いま業務が止まっている根本原因は、「CAD拡張子＝Confidential固定」でDLPが外部共有を止めている点です。現場が外部共有を必要としている以上、完全禁止だけでは回りません。おすすめは次の二段構えです。

• ラベルを2種類に分ける（例：Confidential-社外共有禁止 / Confidential-外部共有可-追跡重視）
• DLPは“外部共有可ラベル”にだけ例外や承認フローを用意する（監査を濃くする）

「禁止か解放か」ではなく、「許可するが痕跡を残す」「誰がどの理由で外部に出したか」を記録する運用に寄せると、現場と監査の両方が納得しやすくなります。

CADアプリ側に統合する（第三者ソリューションも選択肢）

CADファイルは形式が特殊なため、Purview標準の“汎用ラベル付け”だけでは「分類だけ」「透かし」「アプリ内表示」などを思い通りにできないことがあります。CADアプリとMIPを統合して、CAD内にラベル情報を扱えるようにする製品群（例：CAD向け保護・透かし・ラベル連携）も存在します。設計部門の規模が大きく、外部協業が多い場合は、標準機能の限界を超える手段として検討価値があります。

すでに暗号化されてしまったファイルを戻したいときの実務手順

最優先：所有者/権限者に“解除”してもらう

暗号化済みファイルの保護解除は、権限がないとできません。Microsoftの案内でも、保護を外すには所有者であるか、Export/Full Control等の権限が必要とされています。まずはファイルの所有者（または解除権限を持つ担当者）に依頼し、正規の手順で解除してもらうのが安全です。

PowerShellで一括処理する（情報シス・運用担当者向け）

設計ファイルが大量にあり、手作業では追いつかない場合は、Purview Information Protection のPowerShellモジュールでラベル適用/変更を自動化できます。Set-FileLabel はラベル適用を行い、ラベル設定によっては暗号化も自動適用されます。また既存のラベル/保護を置き換えられる仕様です。

# 例：ファイルへ指定ラベルを適用（ラベル設定によっては保護も適用される）
Set-FileLabel -Path "C:\CAD\sample.step" -LabelId "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" -JustificationMessage "外部共有案件のためラベル変更"

保護解除だけをしたい場合は Remove-FileLabel の RemoveProtection を使います（運用ポリシーで理由が必須なら JustificationMessage を付与）。

# 例：保護（暗号化）だけを解除
Remove-FileLabel -Path "C:\CAD\sample.step" -RemoveProtection -JustificationMessage "外部共有のため暗号化解除"

PowerShellでの解除は影響範囲が大きいので、対象パスの限定、監査ログの確認、業務責任者の承認など、手順を固めてから回すのが鉄則です。

社外が「開けない」問題のチェックポイント（外部ユーザー側）

暗号化されたファイルを社外が開けない場合、相手のアカウント種別・アプリ対応がボトルネックになります。とくにViewer周りは注意が必要です。

社外の状況	起きがちな問題	実務的な回避策
個人Microsoftアカウント/個人メールのみ	サインインできない、権限が通らない	Entra IDのゲストとして招待する、または暗号化を使わない共有方式に切り替える
ゲスト（B2B）として招待済み	条件付きアクセスやアプリ要件で詰まる	CA設計の見直し、対象アプリの対応確認、必要なら社外向け手順書を配布
Viewerで開こうとしている	Viewerが個人/Windows Liveアカウントをサポートしない等	ゲスト組織アカウントでの利用を前提にする（Viewerの制約を理解して設計）

Viewerについては「ゲストの組織アカウントはサポートするが、個人アカウントはサポートしない」旨が既知情報として示されています。外部共有を暗号化で成立させるなら、相手のアカウントと認証導線まで含めて設計する必要があります。

設計部門で回る“おすすめ運用フロー”のひな形

最後に、現場と情報シスの責任分界がはっきりし、事故が起きにくい流れをテンプレとして置いておきます。

フェーズ	扱うファイル	推奨ラベル/制御	担当
設計・保管	原本（DWG/SLDPRT/SLDDRW等）	Confidential（社外共有禁止）＋DLP強め	設計部門
社外共有準備	共有用成果物（PDF/画像/STEP等）	外部共有可ラベル（暗号化なし/または共有方式に合う設定）	設計部門（責任者承認）
共有	リンク共有 or 送付	期限付き、アクセスログ、必要に応じて承認	設計部門
例外対応	原本をどうしても社外へ	B2Bゲスト＋暗号化共有（CA含め設計）	情報シス＋設計部門

まとめ

• 感度ラベルは本来「分類だけ」でも使えるが、非Officeファイルでは“ラベルのみ”が成立しない場合がある。
• エクスプローラーでCADファイルのラベル変更をしようとすると「保護（カスタム権限）」を要求され、暗号化されて社外が開けなくなる流れに入りやすい。
• 外部共有を止めない現実解は、(1)共有物をPDF等に寄せる、(2)共有をリンク中心にする、(3)原本共有はB2Bゲスト＋暗号化で正面から設計、(4)ポリシー再設計、の組み合わせが基本。
• すでに暗号化されたファイルを戻すには、所有者/Export/Full Control等の権限が必要。大量処理はPowerShellでの運用も可能。