Microsoft Purview Data Security Posture Management for AI (classic) の権限でまず押さえるべき結論は、「管理できる人」「閲覧だけできる人」「AIプロンプトやファイル詳細まで見られる人」を分けて設計することです。特に Global Administrator を常用せず、Microsoft Purview や Microsoft Entra の最小権限ロールに置き換えることが重要です。クラシック版はすでに新しい Data Security Posture Management に置き換えられており、AIアプリやエージェント対応などの新機能は現行版へ追加される流れになっています。(Microsoft Learn)
2026年6月時点で管理者がやるべきことは、クラシック版の権限をそのまま放置することではありません。既存ユーザーの権限を棚卸しし、閲覧者・運用担当・調査担当・移行担当の責任範囲を切り分けたうえで、現行版 DSPM への移行影響を確認する必要があります。
Microsoft Purview Data Security Posture Management for AI (classic) とは
Microsoft Purview Data Security Posture Management for AI、通称 DSPM for AI は、Copilot、エージェント、生成AIアプリの利用状況やデータリスクを可視化し、機密情報の共有やAIプロンプトへの入力リスクを管理するための Microsoft Purview の機能です。クラシック版のドキュメントでは、AIアプリ管理を担当するセキュリティ・コンプライアンス担当者が Microsoft Purview ポータルへアクセスする際に必要なロールが整理されています。(Microsoft Learn)
ただし、ここで重要なのは「classic」という位置づけです。Microsoft の公式情報では、クラシック版は新しい Data Security Posture Management に置き換えられており、AIアプリとエージェントのサポート、より広い適用範囲、簡素化された管理などの改善はクラシック版には追加されないとされています。(Microsoft Learn)
つまり、クラシック版の権限設計は「今ある運用を安全に続けるための整理」であり、中長期的には現行版 DSPM へ移る前提で考えるべきです。
2026年6月時点の主な変更点
2026年6月2日に更新された Microsoft Purview の「What’s new」では、新しい Data Security Posture Management が一般提供になったことが示されています。現行版は、プロアクティブなリスク管理のためのガイド付きワークフローや、AIを安全に活用するためのデータセキュリティ運用の効率化を目的としています。(Microsoft Learn)
クラシック版の権限ページそのものは、クラシック環境で必要なアクセス許可を確認するための資料です。一方で、管理者が実務で見るべきポイントは次の3つです。
| 確認ポイント | 実務上の意味 |
|---|---|
| クラシック版は置き換え対象 | 新機能追加を前提にせず、現行版への移行計画を持つ |
| 権限が細分化されている | レポート閲覧、推奨事項の操作、AIプロンプト閲覧、ファイル詳細確認で必要ロールが異なる |
| 最小権限が推奨されている | Global Administrator を安易に付与せず、職務ごとにロールを分ける |
特に注意したいのは、「Purviewを見られる人」と「AIインタラクションの中身まで見られる人」は同じではない点です。AIプロンプトや応答には機密情報・個人情報・業務上の秘密が含まれる可能性があるため、閲覧権限は監査可能な少数の担当者に限定するのが現実的です。
作成・編集できるロールと閲覧専用ロールの違い
クラシック版 DSPM for AI で表示、作成、編集が可能な代表的なロールは、Microsoft Entra Compliance Administrator、Microsoft Entra Global Administrator、Microsoft Purview Compliance Administrator role group です。一方、閲覧専用としては Microsoft Purview Security Reader role group、Purview Data Security AI Viewer role、Entra の AI Administrator role、AIインタラクション向けの Purview Data Security AI Content Viewer role が挙げられています。(Microsoft Learn)
実務では、次のように分けると判断しやすくなります。
| 担当者の役割 | 推奨される考え方 | 注意点 |
|---|---|---|
| セキュリティ管理者 | Purview Compliance Administrator などで運用 | Global Administrator は常用しない |
| コンプライアンス責任者 | レポート閲覧と方針確認を中心に付与 | 推奨事項の実行権限が必要かを分けて判断 |
| SOC・監査担当 | Security Reader や Data Security AI Viewer を検討 | 閲覧専用ではアクション実行はできない |
| AI利用状況の調査担当 | AI Content Viewer や Content Explorer 関連ロールを検討 | プロンプト・応答の閲覧は特に慎重に管理 |
| インサイダーリスク担当 | Insider Risk Management Analyst / Investigator を検討 | ユーザーリスクや詳細リンクの確認に別ロールが必要 |
Microsoft も、Global Administrator を持つユーザー数を最小限にし、できるだけ権限の少ないロールを使うことを推奨しています。Microsoft Purview ポータルのロール管理でも、最小権限の考え方に沿ってアクセス制御を設計することが明記されています。(Microsoft Learn)
アクティビティ別に必要な権限
クラシック版の権限で混乱しやすいのは、「画面が見える」「推奨事項を完了できる」「イベントの詳細を見られる」「AIプロンプトの中身を見られる」が別物である点です。
| やりたいこと | 代表的な権限の考え方 | つまずきやすい点 |
|---|---|---|
| はじめに表示される手順を確認する | 管理ロールまたは閲覧専用ロール | 閲覧できても一部ステータスは別権限が必要 |
| 推奨事項カードを確認する | 管理ロールまたは閲覧専用ロール | 完了アクションは閲覧専用では不可 |
| 推奨事項カードのアクションを実行する | Compliance Administrator 系の管理ロール | 閲覧者に操作まで任せない |
| Reports ページのグラフを見る | 管理ロールまたは閲覧専用ロール | データ反映には時間がかかる場合がある |
| Activity Explorer のイベントを見る | 基本ロールで確認可能な範囲あり | インサイダーリスク関連の一部イベントは追加ロールが必要 |
| AI Interaction のプロンプトと応答を見る | Content Explorer Content Viewer または Purview Data Security AI Content Viewer | 通常の閲覧ロールだけでは見られない |
| データリスク評価を作成する | 管理ロール | 閲覧専用では作成不可 |
| データリスク評価を表示する | 管理ロールまたは閲覧専用ロール | ファイル詳細を見るには追加ロールが必要 |
| Apps and agents ページを見る | 管理ロールまたは閲覧専用ロール | 現行版では対象範囲や表示項目が変わる可能性がある |
たとえば、「AI利用状況を監査したい」という要望があっても、レポートを見るだけなら閲覧専用ロールで足りる可能性があります。一方で、AIプロンプトや応答の内容まで確認する場合は、Content Explorer Content Viewer や Microsoft Purview Data Security AI Content Viewer が必要です。(Microsoft Learn)
この違いを整理せずに全員へ強い権限を付けると、AIセキュリティを強化するつもりが、逆に機密データへアクセスできる人を増やしてしまいます。
管理者が最初に確認すべき設定
クラシック版を利用中の管理者は、まず次の順番で確認すると効率的です。
| 手順 | 確認内容 | 判断基準 |
|---|---|---|
| 1 | 現在のロール割り当てを棚卸しする | Global Administrator がDSPM閲覧目的で付与されていないか |
| 2 | 利用者を役割別に分類する | 管理者、閲覧者、調査担当、監査担当を分ける |
| 3 | AIプロンプト閲覧者を限定する | 業務上、本当に内容閲覧が必要な担当者だけにする |
| 4 | データリスク評価の作成者を決める | 評価作成と評価結果閲覧を分離する |
| 5 | インサイダーリスク・コミュニケーションコンプライアンスとの連携を確認する | 追加ロールが必要な操作を洗い出す |
| 6 | 現行版 DSPM への移行影響を確認する | 新機能、画面、ロール差分、運用手順を比較する |
Microsoft Purview ポータルでは、Settings の Roles and scopes からロールグループを管理できます。ただし、ロールグループを表示・作成・変更するには、Global Administrator または Organization Management ロールグループに割り当てられる Role Management ロールが必要です。(Microsoft Learn)
また、Microsoft Purview ポータルで管理できる権限だけで、すべての関連サービス権限をカバーできるわけではありません。監査や一部のExchange関連機能など、サービス固有の権限は別の管理センターで扱う必要があります。(Microsoft Learn)
カスタムロールグループを使う場合の注意点
組み込みロールグループをそのまま使わず、カスタムロールグループでアクセス権を設計することもできます。クラシック版 DSPM for AI では、カスタムロールグループに Microsoft Purview Compliance Administrator ロールを含めることで、同等のアクセス権を付与できます。閲覧専用の場合は、Microsoft Purview Security Reader、Purview Data Security AI Viewer、Entra の AI Administrator などを含める設計が示されています。(Microsoft Learn)
ただし、カスタムロールグループは組み込みロールグループの完全な代替とは限りません。たとえば、Microsoft Purview Compliance Administrator ロールを含むカスタムロールグループでも、インサイダーリスク管理やコミュニケーションコンプライアンスのポリシー作成・表示・更新・削除には例外があります。また、閲覧専用ロールを含むカスタムロールグループでも、情報保護ポリシーの表示に制限が出る場合があります。(Microsoft Learn)
カスタムロールグループを使うなら、名前だけで判断せず、以下の操作を実際にテストしてください。
- Overview と Reports が表示できるか
- Recommendations の内容を確認できるか
- 推奨事項のアクションを実行できるか
- Activity Explorer のAI関連イベントが見えるか
- AIプロンプトと応答が表示できるか
- データリスク評価を作成・閲覧できるか
- データリスク評価のファイル詳細が見えるか
- インサイダーリスク管理やコミュニケーションコンプライアンスのポリシーにアクセスできるか
特に本番環境では、「見えるはず」「操作できるはず」で進めないことが大切です。ロール付与後にテスト用ユーザーで画面と操作を確認し、証跡として残しておくと監査対応もしやすくなります。
移行時に見るべき現行版 DSPM との違い
現行版の Data Security Posture Management は、クラシック版よりも広い範囲を対象にし、ガイド付きワークフローやデータセキュリティ運用の効率化を重視しています。Microsoft の「What’s new」では、現行版 DSPM の一般提供に加えて、管理単位のサポート、60日を超えて非アクティブなテナントでの Microsoft 365 データ処理一時停止、Anthropic Claude Enterprise コネクタのプレビューなども示されています。(Microsoft Learn)
現行版の権限ページでは、クラシック版にはない観点として、Data Security Viewers role group / Data Security Viewer role、AIデータ専用の閲覧ロール、Security Copilot insights、Sentinel 連携、Data Security Investigations、Asset explorer などの権限項目が追加されています。(Microsoft Learn)
移行時は、単に「同じ担当者に同じ権限を付ける」のではなく、次の観点で見直すべきです。
| 移行時の確認項目 | 確認する理由 |
|---|---|
| 現行版で使う機能範囲 | Copilot、エージェント、外部AIアプリ、パートナー連携で必要権限が変わる |
| 閲覧専用ロールの再設計 | AIデータを見せる閲覧者と、一般的な姿勢管理を見る閲覧者を分ける |
| Security Copilot 関連の利用有無 | insights やプロンプト実行には別ロールが関係する |
| Data Security Investigations との連携 | 調査作成・調査閲覧・証拠確認で権限分離が必要 |
| Asset explorer の利用 | メタデータやファイル詳細閲覧に追加権限が必要になる |
| 管理単位のスコープ | 部門別・地域別にアクセス範囲を制御する場合は必須 |
なお、現行版の考慮事項では Data Security Posture Agent がプレビュー段階として説明されています。このエージェントは現行版 DSPM に限定され、クラシック版では使用できないため、AIエージェントを含む調査や自然言語検索を視野に入れる場合は、現行版への移行検討が避けられません。(Microsoft Learn)
展開時に失敗しやすいポイント
Global Administrator を運用担当者に付けっぱなしにする
最も避けたいのは、DSPM for AI のためだけに Global Administrator を付与し、そのまま常用させることです。Global Administrator は Microsoft 365 全体の強力な管理権限を持つため、Purview の一部機能を使う目的には過剰です。まず Purview Compliance Administrator や閲覧専用ロールで足りるかを確認してください。
閲覧専用ロールで何でも見られると思い込む
Security Reader や Data Security AI Viewer は便利ですが、AIプロンプト・応答、ファイル詳細、ユーザーリスクレベルなどの機微な情報まですべて見られるわけではありません。調査担当が「イベント一覧は見えるが詳細が見えない」となる場合は、Content Explorer や Insider Risk Management 関連の追加ロールを確認します。(Microsoft Learn)
ポリシー作成とレポート閲覧を同じ担当者にまとめる
中小規模の組織では、1人の管理者にすべて任せがちです。しかし、AIセキュリティでは「ポリシーを作る人」「結果を見る人」「違反やリスクを調査する人」を分けたほうが安全です。少なくとも本番環境では、推奨事項のアクション実行やポリシー変更を行う担当者を限定しましょう。
管理単位の制限を見落とす
管理単位を使っている環境では、制限付き管理者が組織全体へ適用されるワンクリックポリシーを作成できない場合があります。クラシック版の展開や現行版への移行時には、管理単位によるスコープ制御と、組織全体へ影響する操作の担当者を分けて確認してください。(Microsoft Learn)
データがすぐ表示されないことを障害と判断する
DSPM for AI では、ポリシー有効化後にデータが表示されるまで時間がかかる場合があります。公式ドキュメントでは、新しいポリシーがデータを収集し、結果を表示または既定設定の変更を反映するまで少なくとも24時間を見込むよう案内されています。(Microsoft Learn)
展開直後にレポートが空でも、すぐに権限不備や製品障害と判断せず、監査設定、ライセンス、対象ユーザー、ブラウザー拡張機能、デバイスオンボード、ポリシー反映時間を順に確認しましょう。
開発者・AIアプリ担当者が確認すべきこと
開発者やAIアプリ担当者が Microsoft Purview DSPM に関わる場合、まず理解すべきなのは「開発者に強い管理権限を付ける必要はない」という点です。AIアプリの利用状況確認、イベント確認、プロンプト・応答の調査、アプリ登録やSDK連携では、必要な権限が異なります。
特に現行版の展開では、Entra に登録されたAIアプリが Microsoft Purview の機能を十分にサポートするには、Microsoft Purview SDK との統合が前提になるケースがあります。(Microsoft Learn)
開発・検証時は、次のように分けると安全です。
| 担当 | 付与を検討する権限 | 避けたい運用 |
|---|---|---|
| AIアプリ開発者 | 必要最小限の閲覧権限、アプリ登録に必要なEntra権限 | Global Administrator の一時付与を繰り返す |
| セキュリティ検証担当 | AIイベントやレポート閲覧権限 | プロンプト本文まで無条件に閲覧させる |
| データ保護担当 | Content Explorer 関連ロール、DLP関連ロール | ファイル詳細確認とポリシー変更を同一人物に集中させる |
| 監査担当 | 閲覧専用ロール、必要に応じた監査関連権限 | 操作権限まで付与する |
開発者が「ログを見たい」と言った場合も、何のログを見たいのかを分解してください。利用状況の傾向を見たいのか、AIインタラクションの本文を見たいのか、機密情報が含まれたファイル詳細を見たいのかで、付与すべき権限は変わります。
実務向けの権限見直しチェックリスト
クラシック版 DSPM for AI を使っている組織は、次のチェックリストを使って棚卸しを進めると、移行準備まで含めて整理しやすくなります。
| チェック項目 | 確認結果 |
|---|---|
| DSPM for AI 利用者の一覧を出した | 未確認なら最優先 |
| Global Administrator が不要に付与されていない | 付与理由を記録 |
| 閲覧専用ユーザーと操作可能ユーザーを分けた | 兼任時は承認理由を残す |
| AIプロンプト・応答を見られる担当者を限定した | 監査対象にする |
| Content Explorer 関連ロールの付与理由を確認した | ファイル詳細閲覧の必要性を確認 |
| Insider Risk Management 関連ロールの有無を確認した | ユーザーリスク確認に必要 |
| Communication Compliance 関連ロールの有無を確認した | 不適切行動カードなどの確認に影響 |
| カスタムロールグループの例外を確認した | 組み込みロールとの差分をテスト |
| 管理単位のスコープを確認した | 部門別運用で特に重要 |
| 現行版 DSPM で同じ運用ができるか確認した | 移行前に検証環境で確認 |
このチェックで1つでも曖昧な項目がある場合は、権限付与を増やす前に、まず「誰が、何のために、どの画面・どのデータを見る必要があるのか」を書き出してください。権限管理の失敗は、ロール名の理解不足よりも、職務分掌が曖昧なことから起きるケースが多いためです。
まず取るべき対応
Microsoft Purview Data Security Posture Management for AI (classic) の権限対応では、最初から大規模な移行作業に入る必要はありません。まずは次の3つを実行してください。
1つ目は、Global Administrator を含む強い権限の棚卸しです。DSPM for AI の閲覧や運用だけが目的なら、より限定されたロールへ置き換えられないか確認します。
2つ目は、AIプロンプト・応答・ファイル詳細を見られる担当者の限定です。ここは通常の管理画面閲覧よりリスクが高いため、付与理由、承認者、定期レビューのルールを残すべきです。
3つ目は、現行版 Data Security Posture Management への移行前提で権限表を作り直すことです。クラシック版は今ある環境の保守に使い、AIエージェント、Security Copilot、Asset explorer、Data Security Investigations などを含む新しい運用は、現行版の権限体系で再設計するのが安全です。
Microsoft Purview のAIセキュリティは、単に「AI利用を監視する機能」ではありません。誰がAI利用状況を見られるのか、誰が機密データの詳細へアクセスできるのか、誰が対策を実行できるのかを分けて初めて、実効性のあるデータセキュリティ運用になります。
コメント