Microsoft Purview Data Security Posture Reportsで今注目すべき点は、レポートが「設定状況の確認」から「セキュリティ運用の判断画面」に近づいたことです。2026年4月16日時点で確認できるMicrosoftの公開情報では、Custom Posture ReportsがPublic Previewとして案内され、ドラッグ＆ドロップのセクションやカード、Activity Explorerデータに基づくメトリックカード／チャートカード、柔軟なフィルターを使って、組織ごとのリスクやKPIに合わせたレポートを作れるようになっています。(TECHCOMMUNITY.MICROSOFT.COM)
結論から言うと、Purview管理者やセキュリティ運用責任者は、標準レポートを眺めるだけでなく、「どのリスクを下げたいのか」「どのポリシーが効いていると判断するのか」を先に決め、その答えを示すカスタムワークスペースとチャートを設計すべきです。これにより、秘密度ラベル、DLP、SIT、ワークロード別の状況を、経営報告・SOC調査・監査対応に使える形へ整理できます。
Microsoft Purview Data Security Posture Reportsで何が変わったのか
Microsoft Purview Data Security Posture Reportsは、Microsoft Purviewの情報保護やDLPの状態を、単なるイベント一覧ではなく「組織のデータ保護がどれだけ機能しているか」という観点で見るためのレポート機能です。Microsoft Learnでは、Posture Reportsは「Purviewは意図した通りに動いているか」「ポリシーは有効か」「保護戦略のどこにギャップがあるか」といった、経営層と運用チームの両方が知りたい問いに答えるためのものとして説明されています。(Microsoft Learn)
今回のポイントは、標準のOut-of-Boxレポートに加えて、管理者が目的別のカスタムレポートを作れるようになったことです。Microsoftのブログでは、Custom Reportを、1つ以上のカードを組み合わせてInformation Protection関連データを可視化するユーザー作成のレポートコンテナと説明しています。用途としては、秘密度ラベルの採用状況の追跡、機密データの集中箇所の監視、経営向けKPIサマリー、アナリスト向け調査ビューなどが挙げられています。(TECHCOMMUNITY.MICROSOFT.COM)
ここでいう「カスタムワークスペース」は、正式な画面名というより、セキュリティチームが目的別に使う作業領域として捉えると分かりやすいです。たとえば、グローバルSOC向けには「DLP違反の集中箇所」、CISO向けには「ラベル適用率とリスク低減」、監査チーム向けには「金融情報や個人情報の保護証跡」というように、同じPurviewデータを別の文脈で見せられます。
なぜカスタムワークスペースとチャートがセキュリティ運用に効くのか
従来のレポート運用では、管理者がダッシュボードを開き、数値を確認し、別途スプレッドシートや会議資料にまとめ直す流れになりがちでした。これでは、レポートを見る人によって解釈がばらつきます。特にグローバル企業では、地域、部門、データ分類、ワークロードが多く、標準ビューだけでは「次に何を直すべきか」まで判断しにくい場面があります。
カスタムワークスペースとチャートが有効なのは、レポートを「報告用の画面」ではなく「運用アクションを決める画面」に変えられるからです。たとえば、以下のように目的ごとの見方を作れます。
| 利用シーン | 見たい問い | 向いているカード・チャート |
|---|---|---|
| 経営報告 | データ保護施策はリスク低減に貢献しているか | KPI型のメトリックカード、期間比較のラインチャート |
| SOC運用 | DLP違反はどの場所・活動に集中しているか | ワークロード別の棒グラフ、Activity別の分布 |
| 監査対応 | 機密情報が一貫して分類・保護されているか | ラベル適用状況、SIT別の分類状況、DLP一致イベント |
| Purview管理 | ラベルやポリシーの設計に抜けがないか | ラベル変更、未ラベル、ポリシー一致、ワークロード別比較 |
| 地域・部門別管理 | 特定リージョンや部門だけリスクが高くないか | フィルター付きのカスタムカード、横棒グラフ |
重要なのは、チャートを増やすことではありません。Microsoftの更新情報でも、レポート作成時は「明確な問い」から始め、カードを詰め込みすぎず、少数のよく選ばれたカードの方が効果的だと説明されています。(TECHCOMMUNITY.MICROSOFT.COM)
標準レポートとカスタムレポートの使い分け
Microsoft Purview Data Security Posture Reportsを実務で使う場合、最初からすべてをカスタム化する必要はありません。まず標準レポートで全体傾向を把握し、その後、組織固有のリスクやKPIに合わせてカスタムレポートを作る流れが現実的です。
| 種類 | 向いている用途 | 注意点 |
|---|---|---|
| 標準レポート | 全体傾向の把握、初期レビュー、管理者の定期確認 | 組織固有のKPIや部門別の意思決定には不足する場合がある |
| カスタムレポート | 経営報告、監査対応、特定データ種別の監視、SOC調査 | 目的を決めずに作ると、見栄えだけのダッシュボードになりやすい |
| カスタムカード | 特定のラベル、SIT、ワークロード、活動に絞った確認 | フィルター条件の意味をチーム内で共有しておく必要がある |
| AIサマリー | レポート内容の要約、経営層向け説明の下書き | AIの出力だけで判断せず、根拠となる数値や条件を確認する |
Microsoftのブログでは、Custom Posture ReportsはPublic Previewであり、機能、用語、UXが変更される可能性があると明記されています。運用設計では、画面名や導線が変わる前提で、レポートの目的、指標、レビュー頻度をドキュメント化しておくと安全です。(TECHCOMMUNITY.MICROSOFT.COM)
メトリックカード、分析カード、チャートカードの違い
カスタムレポートを作るときは、カードの役割を分けて考えると整理しやすくなります。Microsoftの説明では、メトリックカードは単一の高レベルな値やKPIを強調する用途、分析カードは分布や傾向を深掘りする用途、カスタムカードは組織固有の問いに合わせたビューを作る用途として説明されています。(TECHCOMMUNITY.MICROSOFT.COM)
| カードの種類 | 主な役割 | 実務での使いどころ |
|---|---|---|
| メトリックカード | 重要な数値を一目で見せる | 「Confidentialラベル付きアイテム数」「DLP一致件数」「高リスク活動数」など |
| 分析カード | 分布、内訳、傾向を確認する | 「SharePointとOneDriveでどちらにリスクが集中しているか」など |
| チャートカード | グラフで比較・傾向を見せる | 部門別、ワークロード別、ラベル別、期間別の比較 |
| カスタムカード | 標準カードでは足りない問いに対応する | 「金融SITを含むファイルでDLPが一致した活動だけを見る」など |
運用責任者向けにはメトリックカードを多めに、アナリスト向けにはチャートカードや分析カードを多めに配置すると、同じレポートでも使いやすくなります。ただし、1画面にすべてを入れると判断が遅くなります。セクションを分け、「まず見るKPI」「原因を見るチャート」「次の調査に使う詳細」という順番で並べるのが実務向きです。
チャートタイプの選び方
Microsoftの更新情報では、チャートカードの種類として、縦棒、横棒、円、ドーナツ、ラインチャートが示されています。縦棒や横棒はカテゴリ比較、円やドーナツは構成比、ラインチャートは時系列の変化を見る用途に向いています。(TECHCOMMUNITY.MICROSOFT.COM)
| チャートタイプ | 向いている分析 | 使わない方がよい場面 |
|---|---|---|
| 縦棒グラフ | ラベル別、ワークロード別、SIT別の件数比較 | カテゴリ名が長く、横軸が読みにくい場合 |
| 横棒グラフ | 部門名、ポリシー名、活動名など長い項目の比較 | 時系列の変化を見たい場合 |
| 円グラフ | 3〜5項目程度の構成比 | 項目数が多い場合、差が小さい場合 |
| ドーナツグラフ | 経営向けに構成比を簡潔に見せたい場合 | 詳細な比較や順位付けが必要な場合 |
| ラインチャート | ラベル採用率、DLP一致件数、ポリシー効果の推移 | 単発の内訳だけを見たい場合 |
実務では、円グラフやドーナツグラフを使いすぎないことが大切です。構成比は見た目が分かりやすい一方で、「どの部門から改善すべきか」「どのワークロードが突出しているか」は棒グラフの方が判断しやすいことが多いです。
最初に作るべきカスタムレポートの設計手順
最初のカスタムレポートは、広く浅く作るより、1つの運用課題に絞って作る方が成功します。おすすめは「機密データが適切に分類され、DLPで保護されているか」を確認するレポートです。秘密度ラベル、SIT、DLP一致イベントを組み合わせやすく、経営層にも説明しやすいためです。
| 手順 | やること | 判断基準 |
|---|---|---|
| 目的を決める | 例：金融データの露出リスクを下げる | 「このレポートを見て何を決めるか」を1文で言えるか |
| 対象者を決める | CISO、SOC、Purview管理者、監査担当など | 同じ画面で全員を満足させようとしない |
| 指標を選ぶ | ラベル適用数、DLP一致件数、SIT別件数、ワークロード別件数 | アクションにつながらない指標は入れない |
| セクションを作る | Key Outcomes、Trend、Breakdown、Next Actionsなど | 上から読めば判断できる順番にする |
| カードを追加する | メトリック、分析、チャートを配置 | 1セクションあたり2〜4カード程度に抑える |
| フィルターを設定する | ラベル、活動、場所、ユーザー、期間など | フィルター条件をレポート名や説明に残す |
| 定期レビューする | 週次・月次で見直す | 数値が変わらない場合、ポリシーか表示条件を疑う |
Activity Explorerは、ラベル付きコンテンツに対して何が行われたかを確認するための機能で、Microsoft 365統合監査ログ由来の情報をActivity Explorer UIで確認できます。日付範囲、Activity type、Location、Sensitivity label、User、Device nameなど複数のフィルターを使えるため、カスタムレポートの元データを理解するうえでも重要です。(Microsoft Learn)
具体例：金融データの保護状況を示すレポート
たとえば、セキュリティ運用責任者が「金融情報を含むデータが、分類され、ラベル付けされ、DLPで保護されていることを証明したい」とします。この場合、カスタムレポートは次のように設計できます。
| セクション | 入れるカード例 | 見るべきポイント |
|---|---|---|
| Key Outcomes | Confidentialラベル付きアイテム数、DLP一致件数、対象SIT検出数 | 保護対象が増えているのか、DLPが反応しているのか |
| Label Adoption | ラベル別件数、ワークロード別ラベル適用状況 | SharePoint、OneDrive、Exchangeなどで偏りがないか |
| DLP Enforcement | DLPルール一致、Activity別の分布 | どの操作でポリシーが多く反応しているか |
| Risk Concentration | SIT別、場所別、部門別の集中度 | 優先して改善すべき領域はどこか |
| Next Actions | 調査対象、ポリシー改善候補、教育対象部門 | 会議後に誰が何をするか |
Microsoftのブログでも、金融データリスクの低減を示す例として、機密性の高い金融データが検出され、ラベル付けされ、DLPによって強制されていることを示すレポート構成が紹介されています。特に、Sensitive Information TypeとDLPの一致を結び付けることで、設定済みであることではなく、実際に保護が機能していることを説明しやすくなります。(TECHCOMMUNITY.MICROSOFT.COM)
このレポートで避けるべきなのは、「DLP一致件数が多いから悪い」「ラベル適用数が増えたから良い」と単純に判断することです。DLP一致件数の増加は、リスク増加の場合もあれば、検出範囲が広がった結果の場合もあります。ラベル適用数の増加も、分類が進んだ良い兆候である一方、過剰ラベル付けやユーザー教育不足を示している可能性があります。必ずワークロード、活動、期間、ポリシー変更履歴と合わせて見ます。
運用で見るべきKPIの例
Microsoft Purview Data Security Posture Reportsの価値は、きれいなダッシュボードを作ることではなく、改善サイクルを回すことにあります。KPIは、次のように「観測できる数値」と「次のアクション」をセットで設計します。
| KPI | 意味 | 次のアクション例 |
|---|---|---|
| 重要ラベルの適用数 | 機密データが分類されている量 | 未ラベル領域の調査、ラベルポリシーの見直し |
| ラベル変更・ダウングレード | ユーザーが機密度を下げている可能性 | 変更理由の確認、教育、ポリシー制御 |
| DLP一致件数 | ポリシーが検出したリスク操作 | 誤検知確認、例外条件の見直し、厳格化 |
| ワークロード別リスク集中 | SharePoint、OneDrive、Exchangeなどの偏り | 高リスクワークロードの優先対策 |
| SIT別検出数 | クレジットカード番号、金融情報、個人情報などの分布 | 高リスクSITに対するラベル・DLP強化 |
| 自動ラベル適用状況 | 自動分類の効き具合 | シミュレーション結果、条件、範囲の調整 |
KPIを決めるときは、「増えたら良い数値」と「減ったら良い数値」を明確に分けます。たとえば、ラベル適用率は増えるほど望ましい場合が多い一方、外部共有に関するDLP一致や機密データの不適切な持ち出しは減ることが望ましい指標です。
注意点：プレビュー、期間、権限を前提に運用する
Custom Posture ReportsはPublic Previewとして案内されているため、正式運用では画面変更や機能変更に備える必要があります。Microsoftのブログでは、機能、用語、UXが変更される可能性があり、すべてのシナリオが完全に文書化されているわけではないとされています。(TECHCOMMUNITY.MICROSOFT.COM)
また、期間の扱いにも注意が必要です。Microsoft Learnでは、Information Protection posture reportsのデータは30日ローリングウィンドウで集計されると説明されています。さらに、Microsoftのブログでは、メトリックカードは現時点で最大7日分のデータを表示し、カスタムでは最大30日分のデータを扱える旨が説明されています。四半期や年度単位の比較が必要な場合は、レポートの保存方法や別の集計手段も合わせて検討してください。(Microsoft Learn)
DLPポリシーの状態にも注意が必要です。Microsoft Learnでは、シミュレーションモードのポリシーはPosture Reportsに表示されないと説明されています。レポートでDLPの効果を確認したい場合は、対象ポリシーがどのモードで動いているかを事前に確認する必要があります。(Microsoft Learn)
権限設計も重要です。Microsoftのブログでは、これらのレポートを作成するにはラベルやDLPポリシーを作成する権限が必要だと説明されています。一方、Microsoft Purview全体の権限管理では、Roles and scopesで権限を管理し、最小権限の原則に従うことが推奨されています。レポート作成者、閲覧者、調査担当者を分け、必要以上に強い権限を付与しないことが大切です。(TECHCOMMUNITY.MICROSOFT.COM)
失敗しやすいポイントと回避策
カスタムワークスペースとチャートは便利ですが、設計を誤ると「見た目は良いが使われないレポート」になります。特に以下の失敗は起こりやすいです。
| 失敗例 | 起きる問題 | 回避策 |
|---|---|---|
| カードを詰め込みすぎる | どの数値を見ればよいか分からない | 目的ごとにレポートを分け、1画面の主役KPIを絞る |
| 経営向けとSOC向けを混ぜる | 詳しすぎる、または粗すぎる | CISO向け、SOC向け、監査向けでセクションを分ける |
| KPIに所有者がいない | 数値は見えるが改善されない | 各KPIに担当チームと次のアクションを紐付ける |
| フィルター条件が不明 | 前月比較や他地域比較ができない | レポート説明欄に条件、期間、対象ワークロードを記載する |
| AIサマリーをそのまま使う | 誤解や過剰な断定につながる | 要約は下書きとして使い、数値と条件を確認する |
| 長期傾向を短期データで判断する | 改善・悪化を誤認する | レポート期間の制約を明記し、必要なら定期保存する |
Microsoftのブログでは、AIによるレポートサマリーとして、Executive Summary、Key metrics、Distribution Breakdown、Trend Analysis、Key Findings、Assessment、Recommendationsなどの構成が示されています。ただし、AIによる要約は意思決定を早める補助として使い、最終判断は元データ、フィルター条件、ポリシー変更履歴を確認して行うべきです。(TECHCOMMUNITY.MICROSOFT.COM)
グローバル組織での活用ポイント
グローバル企業では、カスタムレポートを各地域が自由に作りすぎると、比較できないレポートが乱立します。逆に、本社が1つの標準レポートだけを押し付けると、地域ごとの規制や業務実態に合わないことがあります。
おすすめは、次のような二層構造です。
| レイヤー | 管理主体 | 内容 |
|---|---|---|
| グローバル共通レポート | 本社セキュリティ、CISO組織 | 共通KPI、重要ラベル、DLP全体傾向、経営報告 |
| 地域・部門別レポート | 各リージョンのPurview管理者、SOC | 地域固有のSIT、規制要件、部門別ワークロード、改善アクション |
共通レポートでは、指標名、対象期間、対象ラベル、対象SITを統一します。地域別レポートでは、ローカルの法規制や業務プロセスに合わせてフィルターやチャートを追加します。これにより、グローバル比較と現場運用の両方を成立させやすくなります。
導入前チェックリスト
カスタムレポートを作る前に、次の点を確認しておくと失敗を減らせます。
| 確認項目 | 見るべきポイント |
|---|---|
| 秘密度ラベルの設計 | ラベル名、優先順位、対象範囲が運用実態に合っているか |
| DLPポリシーの状態 | 監査したいポリシーがシミュレーションではなく、意図したモードで動いているか |
| SITの定義 | 標準SITだけで足りるか、カスタムSITが必要か |
| Activity Explorerのデータ | 調査に必要な活動、場所、ユーザー、デバイス情報を確認できるか |
| 権限 | 作成者、閲覧者、調査担当者に必要最小限の権限があるか |
| レポートの対象者 | 経営、SOC、監査、部門管理者のどれに向けたものか |
| レビュー頻度 | 週次、月次、四半期など、改善サイクルに合っているか |
| 保存・共有方法 | Purviewにアクセスできない関係者へどう共有するか |
特に「誰が次のアクションを取るのか」は、レポート作成前に決めておくべきです。DLP一致件数が多い場合にSOCが調査するのか、Purview管理者がポリシーを調整するのか、部門責任者がユーザー教育を行うのかが曖昧だと、レポートは運用改善につながりません。
まず何から始めるべきか
最初の一歩は、1つの問いを決めることです。たとえば「Confidentialラベルの適用は増えているか」ではなく、「Confidentialに分類すべき金融データが、SharePointとOneDriveで適切にラベル付けされ、DLPで保護されているか」と具体化します。
そのうえで、次の構成から始めると実務に乗せやすくなります。
| セクション | 最初に入れる内容 |
|---|---|
| Key Outcomes | 重要KPIを3つまで表示する |
| Trend | 直近期間の増減を見る |
| Breakdown | ワークロード別、ラベル別、SIT別に分解する |
| Investigation | DLP一致やラベル変更など、調査対象を絞る |
| Actions | 次回レビューまでの対応方針を書く |
Microsoft Purview Data Security Posture Reportsのカスタムワークスペースとチャートは、単にレポートを見やすくする機能ではありません。データ保護の状態を、経営判断、SOC調査、監査証跡、ポリシー改善に接続するための運用基盤です。
まずは、標準レポートで全体像を確認し、1つのリスクシナリオに絞ったカスタムレポートを作成してください。カードは少なく、問いは明確に、フィルター条件は残す。これだけで、Purviewの姿勢管理レポートは「見るだけのダッシュボード」から「改善を動かす運用ツール」に変わります。
コメント