Microsoft MD-102: データ保護と情報ガバナンス — 学習ガイド
こちらの一部です： Microsoft Endpoint Administrator Associate MD-102 — 学習ガイド. 検証済みの解答で練習： Microsoft試験ハブ, または時間制限付き模擬試験に挑戦： ExamRoll.io.
概要
Microsoft 365とIntuneにおけるデータ保護と情報ガバナンスは、統合されたラベル付け、エンドポイント対応のDLP、アプリレベルの保護、そしてクラウドアプリにまで拡張されるリアルタイムのセッション制御に依存しています。この分野では、ラベル付けと暗号化のためにMicrosoft Purview Information Protectionを、エンドポイントのアクティビティのためにPurview Data Loss Prevention (DLP)を、アプリ中心の保護のためにIntune Mobile Application Management (MAM)を、セッション内の制御のためにMicrosoft Defender for Cloud Appsを、そして調査と対応のためにPurview Insider Risk ManagementとeDiscoveryを使用します。目的は、機密データがどこに移動しても（デバイス上、管理対象アプリ内、そして認可されたSaaSサービス全体で）分類・保護されることを保証すると同時に、規制や組織の要件を満たすための監査可能な制御を提供することです。
Microsoft Purview Information ProtectionとエンドポイントDLP
秘密度ラベルは、ファイル、電子メール、コンテナーのレベルでコンテンツを分類し、保護します。ラベルは、暗号化（使用権限とオフラインアクセス期間を含む）、コンテンツマーキング（ヘッダー、フッター、透かし）、そしてファイル、電子メール、SharePoint、Teamsなどの場所へのスコープ設定を適用できます。ラベルポリシーを使用して、ユーザーやグループにラベルを公開します。ポリシーでは、表示されるラベル、デフォルトのラベル動作、ラベル付けが必須かどうか、ラベルのダウングレード/削除の正当な理由、そして推奨ラベルをユーザーに提示するかどうかを定義します。ラベルの優先度（順序）は、競合が発生した場合にどのラベルが優先されるかを決定します。
自動および推奨ラベル付けは、同じラベル分類体系をデバイスに拡張します。Windows、macOS、iOS、Android上の組み込みの秘密度ラベル付け機能を備えた最新のOfficeアプリは、ユーザーがコンテンツを作成または編集する際にその内容を評価できます。推奨ラベル付けはプロンプトと正当化のフローを提示し、自動ラベル付けは信頼度のしきい値が満たされた場合にサイレントにラベルを適用します。条件には、機密情報の種類（例：PCI、PII）、完全データ一致（EDM）、キーワード辞書、近接性、そしてコンテキストを認識した検出のためのトレーニング可能な分類子が含まれます。Windowsエンドポイント上の保存データ（files at rest）に対しては、自動ラベル付けはエンドポイントDLPによっても実行でき、ファイルがDLP条件に一致する場合、Officeアプリの外部でも強制を可能にします。
Purview Data Loss Preventionは、Exchange、SharePoint/OneDrive、Teams、およびエンドポイント全体でポリシーを統合します。エンドポイントDLPには、オンボードされたデバイス（Microsoft Defender for Endpoint）が必要であり、Windows 10/11およびmacOS上の機密ファイルに対する制御を可能にします。エンドポイントDLPは、ラベルとコンテンツ検査に基づいてファイルの機密度を評価し、監査、ブロック、またはユーザーによる上書きと業務上の正当な理由を伴うブロックといったルールアクションを強制します。ポリシーヒントは、リスクの時点でユーザーの行動をガイドします。
エンドポイントDLPは、機密ファイルのアクティビティを監視し、それらを制限できます。
- リムーバブルストレージ（USB）、Bluetooth、仮想ドライブへのコピー
- ネットワーク共有およびリモート共有へのコピー
- サポートされているブラウザを介して、サービスドメイン（例：個人用クラウドストレージ）として分類されたドメイン、または明示的に定義された宛先へのアップロード
- ローカル、ネットワーク、仮想プリンターへの印刷（PDFへの印刷を含む）
- 管理されていないアプリケーションまたはプロセスへのコピー/貼り付け
- 機密ファイルを含むアーカイブ（例：ZIP）の作成
- リダイレクションシナリオを含む、リモートセッション（RDP）でのアクセス
- デバイス制御設定と組み合わせた場合の、スクリーンキャプチャの試行および未承認アプリからのアクセス
Microsoft PurviewコンプライアンスポータルのアクティビティエクスプローラーとDLPアラートは、エンドポイントのイベントとユーザーの正当化の追跡記録をほぼリアルタイムで可視化します。デバイスのオンボーディングとポリシーの展開は、通常、MDEのオンボーディングとポリシー配信のためにIntuneを介して自動化され、デバイスのカバレッジを登録と歩調を合わせて維持します。
Intune アプリ保護 (MAM): データ転送、暗号化、クリップボード、プラットフォームの条件
アプリ保護ポリシー (MAM) は、デバイスの登録を要求することなく、アプリ内の仕事用データと個人用データを分離します。ポリシーは、ユーザー ID とサポートされているアプリ (例: Microsoft 365 アプリ、Microsoft Edge、Intune SDK または App Wrapping Tool と統合されたパートナーアプリ) を対象とします。アプリ層で企業データのフローと保存を正確に制御できます。
データ転送制御は、企業データが移動できる場所を制限します。「他のアプリに組織データを送信する」および「他のアプリからデータを受信する」オプションは、共有をポリシーで管理されたアプリのみに許可するか、任意のアプリに許可するか、またはブロックするかを決定します。クリップボード制御は、「他のアプリとの切り取り、コピー、貼り付けを制限する」を、ブロック、ポリシーで管理されたアプリのみ、または常時許可などのモードで適用します。アプリ保護を使用して企業の Web リンクを Microsoft Edge で開くように要求し、ブラウザーベースのダウンロードがポリシーを継承するようにできます。
「名前を付けて保存」の制限により、企業データが承認されたストレージにのみ保存されるようになります。ローカルデバイスのストレージやサードパーティのクラウドをブロックしながら、組織データのコピーを OneDrive for Business や SharePoint に保存することを許可できます。Edge との統合により、ファイルのダウンロードや SharePoint/OneDrive のアカウントコンテキストに対する制御が追加され、個人用の場所へのデータ漏洩を防ぎます。
アプリレベルの暗号化は、アプリコンテナー内の保存データを保護します。MAM は、プラットフォームネイティブの暗号化技術 (例: iOS Data Protection クラス、Android キーストア) を使用して、アプリが休止状態にあるときに仕事用データを暗号化します。アクセス要件では、アプリの起動または再開時に PIN または生体認証を強制し、その複雑さ、タイムアウト、再確認の頻度を設定できます。条件が満たされない場合やリスクが検出された場合、アプリへのアクセスをブロックしたり、企業データを選択的にワイプしたりできます。Android では、画面キャプチャとアシスタントをブロックできます。iOS では、OS がサードパーティによるスクリーンショットのブロックを許可していませんが、iCloud/iTunes へのバックアップを防ぎ、ドキュメントの操作を管理された宛先に制限することができます。
条件付き起動は、実行時にプラットフォームのポスチャを強制します。最小 OS バージョンと最小アプリバージョンを要求し、脱獄 (jailbreak)/ルート化 (root) されたデバイスをブロックし、Microsoft Defender for Endpoint Mobile と統合されている場合はデバイスの脅威レベルがしきい値を下回ることを要求できます。違反があった場合、ユーザーへの警告、PIN のリセット要求、アクセスのブロック、または個人データを保持したままアプリから組織データを選択的にワイプする処理を開始できます。
これらの MAM 保護は、デバイスベースの制御を置き換えるものではなく、補完するものです。企業所有のデバイスについては、MAM をエンドポイント DLP、デバイスのコンプライアンス、および Conditional Access と組み合わせて、正常なデバイスと準拠したアプリコンテキストのみが企業リソースにアクセスできるようにします。
Microsoft Defender for Cloud Apps によるリアルタイムのセッション制御
Microsoft Defender for Cloud Apps (MDCA) は、SaaS セッションでリアルタイムの制御を適用します。Conditional Access ポリシーが特定のアプリとユーザーに対して「条件付きアクセス アプリ制御を使用する」に設定されている場合、Conditional Access App Control はユーザーの Web セッションを MDCA のリバースプロキシ経由でルーティングします。「監視のみ」、「監視とブロック (制御)」、または「ブロック」を選択できます。
MDCA のセッションポリシーにより、きめ細かなアクションが可能になります:
- ファイルに機密ラベルが付いている場合にダウンロードをブロックまたはウォーターマークを付与する、またはダウンロード時にファイルに秘密度ラベルを適用する
- 高リスクセッションにおいて、ブラウザーでの切り取り/コピー/印刷を制限する
- Web のみのエクスペリエンスへのアクセスを制限し、ファイルのアップロードや同期をブロックする
- セッションのリスクやアクティビティに基づいて、再認証またはステップアップ認証を要求する
- 生産性を許可しつつ、ダウンロードやデータ窃取の試みをブロックすることで、未承認の SaaS を統制する
MDCA は Purview Information Protection と統合されており、秘密度ラベルと DLP の検出に基づいてポリシーを決定できます。セッションからのアクティビティログは、一元化された監査に送られ、データ窃取や不正使用を示す可能性のある異常な動作に対してアラートをトリガーできます。
Purviewにおけるインサイダー リスク管理、eDiscovery、デバイスデータ
Microsoft Purviewのインサイダー リスク管理は、エンドポイントとクラウドサービス全体のシグナルを関連付け、大量ダウンロード、個人用クラウドへの異常な転送、大量印刷、USBへのコピー、個人メールへの転送、匿名化の試みといった危険なシーケンスを検出します。インジケーターには以下が含まれます。
- エンドポイントDLPイベント（例：ブロック/上書きされたアクション）
- Microsoft 365のアクティビティ（SharePoint/OneDrive/Teamsのファイルアクセスと共有）
- Defender for Cloud Appsのセッション異常
- コネクタ経由の人事（HR）イベント（例：ユーザーの退職）
- Microsoft Defenderからのセキュリティポリシー違反とアラートのコンテキスト
ポリシーテンプレートを使用することで、一般的なシナリオ（退職するユーザーによるデータ盗難、データ漏洩（全般）、セキュリティポリシー違反、データスピレッジ、優先ユーザーのリスク）の展開を迅速化できます。ポリシーでは、スコープ（ユーザー/グループ）、トリガーとなるインジケーター、リスクスコアリングのしきい値、エスカレーションワークフローを定義します。プライバシーは、承認されたロールによってケースがエスカレーションされるまで仮名化によって保護され、レビュー担当者のアクションは完全に監査可能です。
調査と法的対応のために、Microsoft Purview eDiscovery（StandardおよびPremium）は、データの検出、法的ホールド、収集を一元化します。法的ホールドは主にExchange、SharePoint/OneDrive、Teamsを対象としますが、デバイス側の証拠は複数のチャネルを通じて利用できます。
- エンドポイントDLPは、アクティビティエクスプローラーとDLPアラートの詳細でデバイス、ユーザー、ファイルのアクティビティを提供し、機密データとのエンドポイントでのインタラクションのタイムラインを確立します
- Microsoft Defender for Endpointとの統合により、eDiscovery（Premium）のカストディアンに対するデバイス収集が可能になり、Windows 10/11エンドポイントをターゲットとして、法的に有効な証拠の連続性を確保しつつ、既知の場所から特定のファイルを収集します
- Microsoft 365監査ログは、サービス全体のユーザーおよび管理者のアクションをキャプチャします。MDCAセッションログは、セッション内のWebアクティビティのコンテキストを追加します これらの機能により、デバイス、クラウド、セッションレベルの証拠を結びつけ、サポートされている場所でカストディアンデータにホールドを適用し、ビジネスの中断を最小限に抑えながら、ターゲットを絞ったプライバシーを意識した収集を実行できます。
実践的な問題シナリオ
Contoso Ltd.は、アナリストが承認済みSaaSアプリで作業できるようにしつつ、管理対象のWindowsラップトップと個人用モバイルデバイスの両方で、財務データが企業境界から出るのを防ぐ必要があります。組織は、疑わしいデータ持ち出しを迅速に調査し、証拠を保全しなければなりません。
Microsoft Purviewで、Public、Confidential、Confidential-Financeの秘密度ラベルを定義し、Financeラベルには暗号化を設定し、ドキュメントとメールを対象範囲とします。ラベルをFinanceおよびComplianceグループに発行し、ラベル付けを必須とし、財務ユーザーにはConfidential-Financeをデフォルトとして設定するポリシーを適用します。これにより、デバイスを問わずOfficeのネイティブラベル付け機能を使用して、ソースでの一貫した分類と保護が保証されます。
金融関連のPII（例：ABAルーティングナンバー、EDMによる口座番号）に一致する条件で、Officeアプリの自動ラベル付けと推奨ラベル付けを有効にします。あいまいな検出には推奨ラベル付けのプロンプトを設定し、信頼度の高い一致には自動ラベル付けを設定します。これにより、生産性を妨げることなく、デバイスで作成された機密コンテンツを捕捉し、ユーザーエラーを削減します。
Intune経由でWindows 11デバイスをMicrosoft Defender for Endpointにオンボードし、Confidential-Financeおよび金融関連の機密情報の種類に対するルールでエンドポイントDLPを有効にします。印刷、USBコピー、個人用クラウドドメインへのアップロードに対しては「上書きを許可してブロック」のアクションを設定し、ファイル名の変更とアーカイブ作成には「監査」を設定します。これにより、Office外でも保護が強制され、コンプライアンスレビューのためにユーザーによる正当化理由が記録されます。
iOSおよびAndroid向けにIntune MAMアプリ保護ポリシーを作成し、アプリレベルの暗号化、PIN/生体認証、最小OSバージョンを要求します。ポリシーで管理されたアプリへの切り取り/コピー/貼り付けを制限し、企業リンクをMicrosoft Edgeで開くように強制し、「名前を付けて保存」をOneDrive for BusinessとSharePointに限定します。Androidでの画面キャプチャと、iOSでの個人用クラウドへのバックアップをブロックします。これにより、登録なしで個人用デバイス上の企業データを分離し、保護します。
デスクトップアクセスには準拠しているデバイスを要求するように条件付きアクセスを設定し、承認済みSaaS（例：パートナー向けのBox）へのWebアクセスには条件付きアクセス アプリ制御を使用します。Microsoft Defender for Cloud Appsで、ラベル付けされたコンテンツのダウンロードにウォーターマークを適用してブロックし、必要に応じてダウンロード時にFinanceラベルを適用するセッションポリシーを作成します。これにより、ブラウザ内でのデータ egress（持ち出し）をリアルタイムで、アプリに依存しない形で制御できます。
人事（HR）の退職イベントに接続された「退職するユーザーによるデータ盗難」テンプレートを使用して、インサイダー リスク管理を展開します。エンドポイントDLP、MDCAセッション、SharePointのダウンロードからのインジケーターを含め、リスクスコアとComplianceチームへのエスカレーションワークフローを設定します。これにより、リスクの高い期間中のデータ持ち出しの可能性が高いシーケンスを、プライバシー管理機能とともに検出します。
Microsoft Purview eDiscovery（Premium）での調査に備え、Defender for Endpoint経由でデバイス収集を有効にします。アラートがトリガーされたら、カストディアンを追加し、関連するメールボックスとサイトを法的ホールドの対象にし、指定されたファイルパスとハッシュ値に対してターゲットを絞ったデバイス収集を実行します。エンドポイントDLPのアクティビティエクスプローラーとMDCAセッションログと関連付けます。これにより、最小限の中断と完全な監査可能性をもって、クラウドとエンドポイントにまたがる、法的に有効でターゲットを絞った証拠収集が実現します。
Contosoは、作成時の一貫した分類と暗号化のためにPurview Information Protectionとラベルポリシーを、アプリに関係なくデバイスレベルで強制するためにエンドポイントDLPを、個人用デバイス上の企業データを保護するためにIntune MAMを、SaaSセッション内でリアルタイムにデータを制御するためにDefender for Cloud Appsを、コンテキストとともに危険な行動を表面化させるためにインサイダー リスク管理を、そしてクラウドとエンドポイントにまたがって証拠を調査・収集するためにPurview eDiscoveryを選択しました。
← リモート管理と監視 · すべてのドメイン · Intune の管理とガバナンス →
これらの問題を練習する → · ExamRoll.ioで時間制限付き練習 →
Pass the whole exam — not just this question
You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.
試験に合格する →