Microsoft Purview の Data Security Posture Management（DSPM）は、AI時代のデータ保護に合わせて大きく刷新されます。管理者が最初に押さえるべき結論は、既存のDLPや秘密度ラベルを作り直す更新ではなく、従来データとAI利用を横断して「見つける・優先順位を付ける・修復する」ための管理体験が統合される更新だという点です。
2026年5月6日更新相当の Microsoft 365 ロードマップ ID 532728 では、新しい Microsoft Purview Data Security Posture Management Experience が Worldwide 標準マルチテナント向けにローリングアウト中で、プレビューは2025年12月、一般提供は2026年5月とされています。対象プラットフォームは Web、対象サービスは Microsoft Purview です。(Microsoft)
Microsoft Purviewの新DSPMで何が変わるのか
Microsoft Purview の新しい DSPM は、単なる画面デザイン変更ではありません。従来の Microsoft 365 データ保護、AIアプリやエージェントの利用状況、過剰共有、DLP、秘密度ラベル、Insider Risk Management、データセキュリティ調査などを、データリスクの観点でまとめて扱いやすくする更新です。
Microsoft Learn では、DSPMは組織のデジタル資産全体にある機密データリスクを検出、保護、調査するためのソリューションであり、従来アプリケーションとAIアプリ・エージェントの両方に対して統一された可視性と制御を提供すると説明されています。対象は Microsoft 365、Azure、Fabric、統合されたサードパーティSaaSプラットフォームにも広がります。(Microsoft Learn)
特に重要なのは、セキュリティ担当者の作業軸が「どの管理画面でどの設定を探すか」から、「どのデータリスクを先に下げるか」に変わる点です。たとえば、SharePoint の外部共有、Microsoft 365 Copilot が参照し得る機密ファイル、ラベル未適用の重要データ、AIアプリへの機密情報送信を、個別機能ではなくデータセキュリティの成果目標として追いやすくなります。
公式情報から整理する主な変更点
| 変更点 | 内容 | 管理者への意味 |
|---|---|---|
| 従来データとAI環境の統合 | Microsoft 365上のデータと、Copilot、AIアプリ、エージェント関連のリスクを同じDSPM体験で確認 | AI導入前のデータ露出確認がしやすくなる |
| 成果ベースのガイド付きワークフロー | データセキュリティ目標を選び、関連指標、リスクパターン、推奨される修復計画を確認 | 「何を設定すべきか」ではなく「どのリスクを下げるか」で対応できる |
| AIオブザーバビリティ | AIアプリやエージェントのインベントリ、リスクレベル、機密データとの相互作用を可視化 | シャドーAIや高リスクなAI利用の把握に役立つ |
| ポスチャレポート強化 | 秘密度ラベル、DLP、ラベル遷移、ポリシー活動などの保護状況を追跡 | 経営層・監査向けの説明材料を作りやすい |
| Security Copilotエージェント連携 | 機密データの探索、トリアージ、ポリシー管理などの作業を支援 | 調査の初動を短縮できるが、人による確認は必須 |
| サードパーティ信号の統合 | BigID、Cyera、OneTrust、Varonis などのパートナー信号を取り込む構想 | Microsoft 365以外のデータリスクも一元把握しやすくなる |
| Data Risk Assessmentsの拡張 | Fabricやアイテムレベル分析、過剰共有されたSharePointリンクの一括無効化などを含む | AIが参照し得る過剰共有データの是正に直結する |
ロードマップでは、AIオブザーバビリティ、強化されたポスチャレポート、Security Copilot エージェント、サードパーティ信号、Fabricとアイテムレベル分析への Data Risk Assessments 拡張が明記されています。(Microsoft)
影響範囲：対象テナント、クラウド、既存環境
今回の更新でまず確認すべき影響範囲は、利用しているクラウド環境です。
| 環境 | ロードマップ上の扱い | 確認ポイント |
|---|---|---|
| Worldwide 標準マルチテナント | Roadmap ID 532728。2026年5月一般提供、ステータスは Rolling out | 商用テナントでは Purview ポータルの DSPM 表示と Message Center を確認 |
| GCC / GCC High / DoD | 別ロードマップ ID 561036 では2026年7月一般提供予定、ステータスは In development | 商用テナントと同じ時期に展開されると決めつけない |
| DSPM classic / DSPM for AI classic | 旧バージョンとして引き続き参照可能 | すぐに旧画面を前提にした運用手順を破棄しない |
| サードパーティデータソース連携 | 新DSPMの重要機能だが、Microsoft Learnではパートナーソリューションはプレビュー扱い | 本番運用ではサポート範囲、課金、データ連携方式を個別確認 |
| Data Security Posture Agent | 新DSPMの目玉機能の一つだが、GA時点でもプレビュー扱い | 正式な法務調査や監査証跡の代替として使わない |
Microsoft Learn の「What’s new」では、新しいDSPMは一般提供になった一方で、Microsoft以外のデータソース向けパートナーソリューションと Data Security Posture Agent はプレビューのままと説明されています。(Microsoft Learn) また、GCC、GCC High、DoD向けには別ロードマップとして2026年7月の一般提供予定が示されています。(Microsoft)
管理者が最初に確認すべき設定
PurviewポータルでDSPMの表示と初期セットアップを確認する
最初に行うべき作業は、Microsoft Purview ポータルで Solutions > DSPM を開き、自テナントで新しいDSPMが利用可能か確認することです。初回利用時には、テナントで有効になっていない初期セットアップタスクの承認を求められる場合があり、データが表示されるまでには一定の時間が必要です。Microsoft Learn では、初回利用時にデータが見えるまで1日程度待つよう案内されています。(Microsoft Learn)
DSPM のセットアップタスクは DSPM > Actions > Setup tasks から確認できます。初回アクセス時には、実用的なデータを表示するために監査と分析に関する初期セットアップが必要で、AIインタラクションを取得するコレクションポリシーは任意で作成できます。(Microsoft Learn)
権限を最小権限で割り当てる
DSPMは、機密データ、AIプロンプト、DLP一致、リスク情報などを扱うため、権限設計が非常に重要です。表示・作成・編集には Microsoft Entra コンプライアンス管理者、Microsoft Entra グローバル管理者、Microsoft Purview コンプライアンス管理者ロールグループなどが関係します。ただし、Microsoft は可能な限り少ない権限を使い、グローバル管理者の人数を最小化することを推奨しています。(Microsoft Learn)
読み取り専用で十分な担当者には、Microsoft Purview セキュリティ閲覧者、Purview Data Security AI Viewer、Data Security Viewer、Entra の AI 管理者などを検討します。Security Copilot の分析情報やプロンプト実行には Data Security Viewer が必要になるなど、作業内容によって追加権限が必要です。(Microsoft Learn)
特に注意したいのは、管理単位を使っている環境です。制限付き管理者は、割り当てられた管理単位内のユーザーデータだけを表示できます。また、ワンクリックポリシーは全ユーザーに適用されるため、制限付き管理者では作成できず、無制限の管理者が必要です。(Microsoft Learn)
監査、分析、AIインタラクション取得の有効化を見直す
新DSPMで意味のあるレポートを得るには、監査や分析の前提設定が整っている必要があります。Microsoft Purview Audit は新しいテナントでは既定で有効になっている可能性がありますが、DSPMのセットアップタスクで状態を確認してください。(Microsoft Learn)
AIアプリのプロンプトと応答を可視化・管理したい場合は、コレクションポリシーの扱いが重要です。たとえば、企業向けAIアプリのプロンプトと応答を取得し、eDiscovery や Data Lifecycle Management などで管理するためのワンクリックポリシーが用意されています。(Microsoft Learn)
ただし、プロンプトと応答の取得は、利用者の入力内容や機密情報を扱う可能性があります。法務、プライバシー、労務、情報システム部門で、取得目的、閲覧権限、保持期間、監査対応を事前に合意してから展開するのが安全です。
移行時の注意点：classicをすぐに捨てない
新しいDSPMでは、以前の DSPM classic と DSPM for AI classic が現在のバージョンに統合される方向です。Microsoft Learn では、現在のバージョンはより多くのデータソース、ガイド付きワークフロー、データセキュリティ運用の効率化を提供し、ほとんどの新機能はこのバージョンに追加されると説明されています。一方で、旧バージョンとそのドキュメントにも引き続きアクセスできます。(Microsoft Learn)
実務では、次の順序で移行するのがおすすめです。
| フェーズ | やること | 失敗しやすいポイント |
|---|---|---|
| 現状把握 | classic側の既存ポリシー、レポート、運用手順を棚卸し | 旧画面で見ていた指標と新DSPMの指標を同一視する |
| 並行確認 | 新DSPMのポスチャ、目的、AI監視、レポートを30日程度比較 | 初期データが少ない状態で「リスクなし」と判断する |
| 小さく展開 | 影響の少ない部門や限定スコープでワンクリックポリシーやレポート確認を開始 | 全社ポリシーを一気に有効化してアラートや業務影響が増える |
| 運用反映 | インシデント対応、監査、AI利用申請、DLP運用手順に反映 | Purview管理者だけで完結し、現場や法務の合意が不足する |
重要なのは、新DSPMを「既存設定の置き換え」ではなく「リスク判断の入口」として扱うことです。DLP、秘密度ラベル、保持ポリシー、Insider Risk Management、eDiscovery の設定は、引き続き各ソリューションの設計が必要です。
Data Risk Assessmentsで過剰共有を優先的に確認する
AI導入時に最も起きやすい問題は、CopilotやAIエージェントそのものではなく、AIが参照できる場所に、過剰共有された機密データが置かれていることです。DSPMの Data Risk Assessments は、この問題の発見と修復に役立ちます。
Microsoft Learn では、データリスク評価は潜在的なデータの過剰共有リスクを特定して修正するための機能であり、生成AIは古いコンテンツ、過剰なアクセス許可、ガバナンス制御が不足しているコンテンツを表面化しやすいため、過剰共有問題を増幅すると説明されています。(Microsoft Learn)
確認すべき代表的な項目は次のとおりです。
| 確認対象 | 見るべき内容 | 推奨対応 |
|---|---|---|
| SharePoint / OneDrive | 外部共有、組織全体共有、匿名リンク、機密情報を含む未ラベルファイル | 共有リンクの見直し、制限付きコンテンツ検出、自動ラベル付け、DLP |
| Fabric | ワークスペースやアイテム内の機密情報、アクセス可能ユーザー | Fabric側の前提設定、DLP、秘密度ラベル、既定ラベル |
| ラベル未適用データ | 機密情報を含むが秘密度ラベルがないファイル | 自動ラベル付けポリシーの段階導入 |
| 古いコンテンツ | 長期間アクセスされていないが共有状態のままのファイル | 保持ポリシー、アーカイブ、削除ルールの検討 |
| AIアクティビティ | 生成AIサイトへのアクセス、プロンプトと応答、DLP一致 | AI利用ポリシー、Edge統合、ブラウザー拡張、教育 |
既定のデータリスク評価は、使用状況に基づく上位100のSharePointサイトに対して毎週自動実行されます。初回作成後に結果が出るまで最大4日、カスタム評価後に更新結果を確認するには少なくとも48時間待つ必要があります。(Microsoft Learn)
Fabric のデータリスク評価では、Entraに登録されたアプリや Fabric 管理ポータル側の設定が必要です。Microsoft Learn では、フェデレーション資格情報が推奨され、より安全な方法として案内されています。(Microsoft Learn)
AIオブザーバビリティは「見る」だけでなく「運用」に落とす
新DSPMのAIオブザーバビリティでは、AIアプリやエージェントの利用状況、過去30日間のアクティビティ、リスクの高いエージェント、機密性の高い相互作用などを確認できます。Microsoft Learn では、DSPMの主要ページとして「AIの監視」が説明され、Microsoft Agent 365を含むAIアプリとエージェントのインベントリ、リスク、ポリシー内訳を確認できるとされています。(Microsoft Learn)
ただし、AIオブザーバビリティは可視化の入口です。実際にリスクを下げるには、次のような運用に接続する必要があります。
| 見えたリスク | 次のアクション |
|---|---|
| 機密情報を含むAIインタラクションが多い | DLPポリシー、利用ガイド、プロンプト入力ルールを見直す |
| 高リスクなAIアプリやエージェントがある | アプリ許可リスト、Entra登録、DefenderやEdgeの制御と合わせて管理 |
| 未ラベルの機密データが多い | 自動ラベル付け、手動ラベル運用、ラベル教育を進める |
| 過剰共有されたSharePointサイトが多い | サイト所有者レビュー、共有リンク削除、制限付きコンテンツ検出を検討 |
| アラートが多すぎる | Security Copilotのトリアージ支援を使いつつ、誤検知と重大リスクを分ける |
AIエージェントによる推奨や自動化は便利ですが、承認なしに重要なポリシー変更を任せるべきではありません。Microsoft Learn では、AIエージェントの推奨アクションはユーザーが確認、承認、カスタマイズでき、自動アクションは監査されると説明されています。(Microsoft Learn)
Security Copilotエージェント利用時の注意点
Data Security Posture Agent は、自然言語で機密データを探索できる強力な機能です。一方で、現時点ではプレビューであり、正式なeDiscovery、監査、データセキュリティ調査の代替ではありません。
Microsoft Learn では、Data Security Posture Agent は調査前のチェック用に設計されており、電子情報開示、監査、データセキュリティ調査などの正式なケースでは、引き続き専用の Microsoft Purview ソリューションが必要だと説明されています。(Microsoft Learn)
また、クエリごとに最大1GBのコンテンツを検索でき、テナント全体検索よりも特定ユーザーやサイトに絞った制限付き検索の方が高速です。初期処理や新しいポリシー結果、データリスク評価結果には反映まで時間がかかるため、実行直後の画面だけで判断しないようにしましょう。(Microsoft Learn)
開発者・AIアプリ担当者が確認すべきこと
自社でAIアプリを開発している場合や、Entra登録済みのAIアプリを利用している場合は、管理者だけでなく開発者も影響を受けます。ポイントは、アプリが Microsoft Purview のデータセキュリティとコンプライアンス制御に対応できるかです。
Microsoft Learn では、Entra登録済みAIアプリについて、ユーザー認証に Entra を使い、Microsoft Purview SDK と統合されたカスタムAIアプリのAIインタラクションを Microsoft Purview で管理できると説明されています。また、これらのAIインタラクションを Microsoft Purview で管理するには、従量課金設定が必要です。(Microsoft Learn)
開発者が確認すべき項目は次のとおりです。
| 確認項目 | 実務上のポイント |
|---|---|
| Entraアプリ登録 | AIアプリが誰の権限で動くのか、ユーザー認証とアプリ権限を明確にする |
| Purview API / SDK連携 | ユーザー入力、アプリ出力、プロンプト、AI応答をポリシー評価できる設計にする |
| DLP適用 | Entra登録アプリ向けDLPでは、現時点で PowerShell cmdlet が必要なシナリオがある |
| プロンプト・応答の保存 | 監査、保持、eDiscovery、Data Lifecycle Management の対象になる可能性を考慮する |
| テスト | クレジットカード番号、個人情報、秘密度ラベル付きファイル、外部共有ファイルなどで検証する |
| ユーザー通知 | ブロック、警告、上書き許可などの挙動をアプリ側で分かりやすく表示する |
Microsoft Purview API のドキュメントでは、アプリがユーザー入力やアプリ出力をポリシーに照らして評価し、ブロックなどのポリシーアクションをアプリ側で強制できると説明されています。一方で、Microsoft Purview からデータや分析情報を抽出するAPIはないと明記されています。(Microsoft Learn)
展開前チェックリスト
| チェック項目 | 確認内容 |
|---|---|
| ロードマップとMessage Center | Roadmap ID 532728 と自テナントの Message Center を確認する |
| クラウド環境 | Worldwide、GCC、GCC High、DoDで展開時期が異なる可能性を確認する |
| 管理者権限 | グローバル管理者ではなく、PurviewやEntraの適切な最小権限で運用する |
| classicとの比較 | DSPM classic / DSPM for AI classic の既存手順を棚卸しする |
| 監査 | Microsoft Purview Audit が有効か確認する |
| AIインタラクション取得 | プロンプトと応答を取得する目的、閲覧権限、保持期間を決める |
| Data Risk Assessments | SharePoint、OneDrive、Fabric の過剰共有評価を確認する |
| 秘密度ラベル | 未ラベルの機密データが多い場合、自動ラベル付けを段階導入する |
| DLP | Copilot、AIアプリ、Edge、エンドポイントでのDLP適用範囲を確認する |
| サードパーティ連携 | BigID、Cyera、OneTrust、Varonisなどの利用可否とプレビュー扱いを確認する |
| 開発アプリ | Entra登録、Purview API/SDK連携、DLPテスト、保持・監査要件を確認する |
| 利用者教育 | AIに入力してよい情報、禁止情報、警告表示時の対応を周知する |
よくある誤解と失敗しやすいポイント
「新DSPMを開けば自動的に全部守られる」は誤解
DSPMは、リスクの可視化、優先順位付け、推奨アクションを支援する入口です。実際の保護には、DLP、秘密度ラベル、保持ポリシー、アクセス制御、監査、Insider Risk Management などの設計が必要です。
ワンクリックポリシーを軽く見ない
ワンクリックポリシーは便利ですが、全ユーザーに適用されるものもあります。管理単位を使う組織では、制限付き管理者が作成できない点にも注意が必要です。(Microsoft Learn)
AIプロンプトの取得はプライバシー設計が必要
AIインタラクションの可視化は、セキュリティ上は有効です。一方で、プロンプトや応答には個人情報、顧客情報、労務上のセンシティブな内容が含まれる可能性があります。誰が見られるのか、何日保持するのか、監査時にどう扱うのかを事前に決めてください。
Data Security Posture Agentを正式調査の代替にしない
Data Security Posture Agent は調査前の把握には有用ですが、正式な法務対応、証拠保全、監査には eDiscovery、Audit、Data Security Investigations などの専用機能を使うべきです。(Microsoft Learn)
反映時間を待たずに判断しない
DSPMは初期処理、新しいポリシー、データリスク評価で反映まで時間がかかります。初期処理は最大3日、新しいポリシー結果は少なくとも24時間、データリスク評価は完了後少なくとも48時間が目安です。(Microsoft Learn)
まず取るべき次のアクション
Microsoft Purview の新しい Data Security Posture Management Experience は、AI活用を止めるための機能ではなく、AIを安全に使うためにデータリスクを継続的に見える化する基盤です。
管理者はまず、Purview ポータルで Solutions > DSPM を確認し、Actions > Setup tasks で監査、分析、AIインタラクション取得、ブラウザー拡張、デバイスオンボード、サードパーティ連携の状態を棚卸ししてください。そのうえで、SharePoint と OneDrive の過剰共有、Fabric の前提設定、秘密度ラベル未適用データ、AIアプリの利用状況を優先的に確認します。
開発者やAIアプリ担当者は、Entra登録、Purview API/SDK連携、プロンプトと応答の扱い、DLPポリシー評価、保持・監査要件を早めに確認しましょう。
最初から全機能を有効化する必要はありません。まずは1つの部門または1つのデータセキュリティ目標に絞り、リスクが見える、対応できる、説明できる状態を作ることが、新DSPM展開の失敗を避ける最短ルートです。
コメント