Microsoft Purview Data Security InvestigationsのOCRサポートは、画像内の文字を抽出して調査データに取り込み、スクリーンショットやスキャン文書に隠れた情報漏えいリスクを見つけやすくする更新です。結論から言うと、管理者は「機能が追加されるか」よりも、調査対象が広がることによる権限・コスト・調査手順・証跡レビューの見直しを先に進めるべきです。Microsoft 365 Roadmap ID 561489では、対象製品はMicrosoft Purview、プレビューは2026年5月、一般提供は2026年7月、対象クラウドはWorldwide（Standard Multi-Tenant）、プラットフォームはWebとされています。(Microsoft)
ただし、Microsoft 365 Roadmapの提供時期や説明は予定情報であり、公開後に変更される可能性があります。実際の展開タイミングやテナント固有の注意事項は、Microsoft 365管理センターのメッセージセンターと併せて確認してください。(Microsoft)
Microsoft Purview Data Security InvestigationsのOCRサポートで何が変わるのか
Microsoft Purview Data Security Investigations、略してDSIは、データ漏えい、内部不正、機密情報の露出などを調査するためのMicrosoft Purviewの機能です。今回のOCRサポートでは、画像からテキストを抽出し、その文字情報を調査データに含められるようになります。つまり、これまで見落とされやすかった「画像化された機密情報」が、AI分析や検索の対象に入りやすくなります。(Microsoft)
具体的には、次のようなケースで効果が出やすくなります。
| シーン | OCR対応前に起きやすい課題 | OCR対応後に期待できること |
|---|---|---|
| スクリーンショットにAPIキーやパスワードが写っている | ファイル名や周辺テキストだけでは検出しにくい | 画像内の文字列を調査データとして扱える可能性が高まる |
| スキャンPDFや画像化された契約書に個人情報が含まれる | テキスト抽出できないとAI分析の対象から漏れやすい | 住所、氏名、ID、口座情報などを調査観点に含めやすい |
| 退職予定者が画面キャプチャでソースコードや設計情報を持ち出す | 通常の文書検索では関連性を判断しづらい | 画像内の識別子やプロジェクト名からリスクを把握しやすい |
| チャットやメールに貼られた画像に機密情報が含まれる | 添付画像の中身まで手作業で確認する必要がある | 調査時の検索・分類・レビューの起点にしやすい |
Microsoft Learnでも、DSIのベクトル検索はOCRで処理された画像ベースのアイテムの内容を含み、スクリーンショットやスキャン文書のテキストを通常のテキストベースコンテンツと並べて検索できると説明されています。(Microsoft Learn)
影響範囲は「DSIを使う管理者・調査担当者」が中心
この更新の主な影響範囲は、Microsoft Purview Data Security Investigationsを使うセキュリティ管理者、コンプライアンス担当者、SOC、CSIRT、内部不正調査担当者です。エンドユーザー向けのUI変更というより、調査・分析の裏側で扱える情報が増える更新と捉えると分かりやすいです。
特に影響を受けるのは、次のようなチームです。
| 対象者 | 確認すべきポイント |
|---|---|
| Microsoft Purview管理者 | DSIの有効化状況、権限、課金設定、AI容量設定 |
| セキュリティ調査担当者 | 画像内テキストを含めた検索・分類・Examinationの使い方 |
| コンプライアンス担当者 | 個人情報・財務情報・医療情報などの検出範囲拡大 |
| プライバシー担当者 | OCRにより見えるようになる情報の取り扱い、閲覧権限、証跡管理 |
| 開発・運用チーム | 調査結果をチケット、SIEM、SOAR、社内レポートへ連携する場合の項目確認 |
注意したいのは、OCRサポートは「Microsoft Purview全体のDLPポリシーがすべて自動的に変わる」という意味ではない点です。今回のRoadmap ID 561489は、Data Security Investigationsで画像からテキストを抽出して調査データに組み込む機能として説明されています。DLP、eDiscovery、Insider Risk Managementなどの別機能でのOCR対応範囲とは分けて確認してください。(Microsoft)
管理者が最初に確認すべき設定
DSIのOCR対応で最初に見るべきなのは、OCRそのもののオン・オフではなく、DSIを安全に運用できる前提条件です。DSIを利用するには、Microsoft Purviewポータルで利用条件への同意、権限設定、課金とAI分析の設定、調査の作成、検索、調査スコープへの追加、AI分析、軽減対応という流れを踏みます。(Microsoft Learn)
DSIの権限を最小権限で見直す
OCRによって画像内の機密情報まで見えるようになると、調査担当者がアクセスできる情報の実質的な範囲が広がります。そのため、DSIの権限は「便利だから全員をAdminsに入れる」のではなく、役割ごとに分けるべきです。
Microsoft Learnでは、Data Security Investigations Admins、Investigators、Reviewersのロールグループが示されており、調査の作成、検索、スコープ管理、分類、Examination、ベクトル検索、使用状況ダッシュボードの閲覧可否が役割ごとに異なります。権限反映には最大30分かかる場合がある点も運用上の注意点です。(Microsoft Learn)
| ロール設計の観点 | 推奨対応 |
|---|---|
| 管理者権限 | DSI Adminsは少人数に限定する |
| 調査担当者 | Investigatorsには担当調査に必要な範囲だけ付与する |
| レビュー担当者 | Reviewersは調査結果確認や軽減計画の作業に絞る |
| 退職・異動対応 | 少なくとも1人はDSI Adminsに残し、ゼロ管理者状態を避ける |
| 監査性 | 誰が画像内情報を確認できるかを説明できる状態にする |
課金とAI容量はOCR展開前に必ず確認する
DSIは専用のエンタープライズプランや固定ライセンスだけで完結するモデルではなく、保存データ量とAI分析に必要なコンピューティング容量の組み合わせで課金されると説明されています。ストレージメーターは調査に関連する保存データ、Compute UnitsはDSI内のAI分析に必要な計算容量を測る考え方です。(Microsoft Learn)
OCR対応により、画像内の文字が調査データに含まれると、調査で扱うテキスト量や分析対象の見え方が変わる可能性があります。特に、スキャン文書や画面キャプチャが多い組織では、調査スコープを広げすぎるとレビュー量とコストの両方が増えます。
| 確認項目 | 管理者が見るべき内容 |
|---|---|
| Azureサブスクリプション | Microsoft Purviewと同じテナントのAzureサブスクリプションを用意できているか |
| リソースグループ | DSI用のリソースグループと所有者・共同作成者権限を整理しているか |
| AI容量 | Compute Unitsの上限を「無制限」にするか、上限設定にするか |
| 処理リージョン | AI analysis data processing locationをどこにするか |
| 予算管理 | Azure Cost Managementの予算、アラート、使用状況ダッシュボードを使うか |
| 調査終了後 | 不要な調査を削除し、保存コストを止める運用になっているか |
DSIの課金設定には、同一テナント内のAzureサブスクリプション、リソースグループ、Global Administrator、リソースグループのOwnerまたはContributor権限が必要とされています。また、AI容量の設定では処理場所やCompute Unitsの上限を構成します。(Microsoft Learn)
調査手順は「画像も検索対象になる」前提で更新する
OCRサポート後は、調査担当者の検索クエリやレビュー観点を変える必要があります。これまで「本文や添付ファイル名にキーワードがないから低リスク」と判断していた運用では、画像内に機密情報が含まれているケースを取り逃がす可能性があります。
たとえば、次のような検索観点を手順書に追加すると実務で使いやすくなります。
| 調査テーマ | 追加したい検索・確認観点 |
|---|---|
| 認証情報の流出 | password、secret、token、API key、client secret、接続文字列、秘密鍵の断片 |
| 個人情報の露出 | 氏名、社員番号、顧客ID、住所、電話番号、メールアドレス、マイナンバーに該当し得る番号列 |
| 知的財産の持ち出し | プロジェクトコード名、設計図、画面仕様、未公開製品名、ソースコード断片 |
| 財務・契約情報 | 見積金額、契約番号、請求書、口座情報、取引先名 |
| 内部不正調査 | 退職予定者、外部ストレージ、スクリーンショット、圧縮ファイル、個人メール送信 |
DSIでは、AI準備とベクトル化が完了した調査スコープに対して、AI分析ツールを使って重要なセキュリティリスクや機密データリスクを見つける流れになります。OCRで画像内の文字が対象に入ることで、ベクトル検索、分類、Examinationの使い方も変わります。(Microsoft Learn)
AI分析で使い分けたい機能
DSIのOCR対応を活かすには、単に検索するだけでなく、目的に応じてAI分析機能を使い分けることが重要です。
ベクトル検索は「言い換え」や「画像内文字」の発見に向く
ベクトル検索は、完全一致のキーワードだけでなく、意味的に関連するコンテンツを見つけるための検索です。Microsoft Learnでは、OCRで処理された画像ベースのアイテムもベクトル検索に含まれ、スクリーンショットやスキャン文書のテキストを見つけられると説明されています。(Microsoft Learn)
実務では、次のような自然文クエリが役立ちます。
| 目的 | クエリ例 |
|---|---|
| 認証情報の露出を探す | 「共有されたパスワード、APIキー、アクセストークンに関連する内容」 |
| 顧客情報の漏えいを探す | 「顧客名、住所、電話番号、契約番号が含まれる資料」 |
| 開発情報の持ち出しを探す | 「未公開機能、設計仕様、ソースコード、接続情報に関する内容」 |
| 画像化された証跡を探す | 「スクリーンショット内に表示された資格情報や管理画面の情報」 |
Categorizationは一次トリアージに向く
Categorizationは、調査スコープ内のデータをリスクやテーマで分類する用途に向いています。ただし、分類はすべてのアイテムを完全に網羅するものではなく、関連性スコアに基づいて優先度の高い内容を表示します。すべての対象を厳密に確認したい場合は、Examinationと組み合わせるべきです。(Microsoft Learn)
OCR対応後は、画像由来の文字が分類結果に影響する可能性があります。たとえば、スクリーンショット内の「password」や「confidential」という文字が、Credentialsやリスク関連の分類に寄与することが考えられます。結果が増えた場合は、カテゴリを一度に増やしすぎず、調査仮説に合わせて段階的に追加するのが安全です。
Examinationは証拠化と対応判断に向く
Examinationは、選択したデータアイテムに対してAIで深い内容分析を行う機能です。資格情報、リスク、軽減策、個人データ、カスタム観点などで分析でき、結果から軽減計画につなげられます。(Microsoft Learn)
OCR対応後は、画像内に表示された資格情報や個人情報がExaminationの判断材料になる可能性があります。ただし、OCRは画像品質、解像度、言語、フォント、ノイズ、手書き文字などの影響を受けます。AIの結果だけで断定せず、必ず原本ファイル、画像、周辺コンテキスト、監査ログを確認してください。
展開時に失敗しやすいポイント
OCR対応は便利ですが、運用準備なしに使い始めると、調査精度よりもノイズやコストが目立つことがあります。特に次の失敗は起こりがちです。
| 失敗しやすいポイント | 起きる問題 | 対策 |
|---|---|---|
| 調査スコープを広げすぎる | 画像やスキャン文書まで対象になりレビュー量が膨らむ | 最初は期間、ユーザー、データソースを絞る |
| 全カテゴリを一度に実行する | Compute Unitsの消費が増えやすい | 高リスクカテゴリから段階的に実行する |
| OCR結果を証拠として過信する | 誤認識や文脈違いで判断を誤る | 原本確認と複数証跡で裏取りする |
| 権限を広く付けすぎる | 画像内の個人情報や秘密情報まで閲覧できる人が増える | DSIロールを最小権限で設計する |
| 手順書を更新しない | 調査担当者が画像内文字を検索対象として扱えない | 検索例、レビュー観点、報告テンプレートを更新する |
| コスト監視を後回しにする | インシデント対応時に想定外の利用量になる | 予算アラートと使用状況ダッシュボードを設定する |
DSIのベストプラクティスでは、調査開始前にコスト見積もりを使うこと、Azureの予算・アラートを使うこと、調査スコープを絞ること、完了した調査を削除すること、使用状況ダッシュボードを監視することが推奨されています。(Microsoft Learn)
開発者・自動化担当者が確認すべきこと
今回のRoadmap ID 561489の説明からは、Graph API、SDK、既存アプリケーションのコード移行が必要になる変更は読み取れません。主な変更は、DSIの調査データに画像内テキストが組み込まれる点です。(Microsoft)
ただし、DSIの結果を社内のチケットシステム、SIEM、SOAR、監査レポート、データ漏えい報告フローに連携している場合は、次の確認が必要です。
| 確認対象 | 実務上のチェックポイント |
|---|---|
| レポート出力 | 画像由来のテキストが検出理由や要約に含まれた場合、出典を説明できるか |
| チケット連携 | 「本文で検出」なのか「画像内で検出」なのかを区別して記録できるか |
| 自動分類ルール | 画像内文字によって高リスク判定が増えた場合の通知ルールを調整するか |
| 証跡保存 | OCR抽出文字だけでなく、元画像やファイルの保存方針を決めているか |
| プロンプト設計 | カスタムExaminationで画像内の情報も見る前提の調査観点を入れるか |
| 誤検知処理 | OCR誤認識時の除外・再評価・レビュー手順を決めているか |
開発者が特に注意すべきなのは、「抽出されたテキスト」だけを後続処理の根拠にしないことです。OCR結果は検索やトリアージには有効ですが、インシデント報告や法務判断に使う場合は、元ファイル、監査ログ、ユーザー操作履歴と合わせて確認できる設計にしておく必要があります。
管理者向けの展開チェックリスト
OCRサポートの展開前後では、次の順番で確認すると抜け漏れを減らせます。
| 順番 | 作業 | 完了基準 |
|---|---|---|
| 1 | Roadmap ID 561489とメッセージセンターを確認 | 自社テナントの展開予定と対象クラウドを把握している |
| 2 | DSIの利用状況を棚卸し | 現在の調査、担当者、課金設定、AI容量を確認している |
| 3 | 権限を見直す | Admins、Investigators、Reviewersを最小権限で整理している |
| 4 | 課金と上限を設定 | Azure予算、アラート、Compute Unitsの上限方針を決めている |
| 5 | パイロット調査を実施 | スクリーンショット、スキャン文書、画像添付を含むサンプルで検証している |
| 6 | 検索・分析手順を更新 | 画像内文字を含む検索例、分類例、Examination観点を追加している |
| 7 | レビュー品質を確認 | OCR誤認識、重複、ノイズの扱いを決めている |
| 8 | 教育と周知を実施 | セキュリティ、コンプライアンス、法務、IT運用が変更点を理解している |
| 9 | 展開後の監視 | 使用量、コスト、検出件数、誤検知率を定期的に見ている |
このチェックリストで最も重要なのは、いきなり全社的な大規模調査で使わないことです。最初は、退職者調査、特定部門の情報漏えい調査、限定されたSharePointサイトやメールボックスなど、範囲を絞ったパイロットから始めると、コストとノイズを管理しやすくなります。
既存の調査・手順書で見直すべき項目
OCRサポートは機能追加であって、単純な画面変更ではありません。調査担当者の判断基準に影響します。既存のセキュリティ運用手順書には、少なくとも次の項目を追加しておくとよいでしょう。
調査開始時の確認項目
調査対象に画像、スクリーンショット、スキャンPDF、チャット添付画像が含まれるかを確認します。画像が多い場合は、検索範囲、対象ユーザー、期間を狭めてからAI処理に進むのが現実的です。
検索時の確認項目
キーワード検索だけでなく、自然文で「何を探したいか」を表現するベクトル検索を使います。たとえば、「顧客情報の画面キャプチャ」「パスワードが表示された管理画面」「未公開製品の設計情報」など、画像に写っていそうな内容を検索観点に含めます。
レビュー時の確認項目
OCRで抽出された文字が、元画像のどの部分にあるのかを確認します。誤認識、切れた文字、背景ノイズ、類似文字の読み違いがあり得るため、検出結果をそのまま断定材料にしない運用が必要です。
報告時の確認項目
報告書には、検出対象が本文、添付ファイル、画像内テキストのどれに由来するかを書けるようにします。特に法務・人事・監査部門へ共有する場合は、OCR抽出結果と元証跡を分けて示すと、判断の透明性が上がります。
まとめ：OCRサポートは「検出力向上」と「運用負荷増加」を同時にもたらす
Microsoft Purview Data Security InvestigationsのOCRサポートは、画像やスクリーンショットに埋もれていた機密情報を調査対象にできる点で、データセキュリティ調査の精度を高める更新です。一方で、調査範囲が広がることで、権限管理、コスト管理、レビュー手順、誤検知対応、証跡管理の重要性も増します。
管理者が次に取るべき行動は明確です。まずRoadmap ID 561489とメッセージセンターで自社テナントの展開状況を確認し、DSIの権限と課金設定を見直してください。そのうえで、画像を含む小規模なパイロット調査を行い、検索クエリ、Examination観点、レビュー基準、報告テンプレートを更新するのが安全な進め方です。
コメント