Microsoft Purview とデータ ガバナンス

Microsoft Purviewは、組織全体のデータ資産にわたるデータ カタログ化、分類、ラベル付け、保護の機能を統合した、統合型のデータ ガバナンスおよびコンプライアンス ソリューションです。オンプレミスのデータ、Azure データ サービス、Microsoft 365、さらには他のクラウドのデータにも対応します。Purview により、組織は機密データの所在を把握し、確実に保護するための一元的なビューを利用できます。

Microsoft Purview は、旧製品であるAzure Purview（データ ガバナンス）とMicrosoft Compliance Manager（コンプライアンス管理）を 1 つの統合ポータルに統合して形成されました。その結果、主に次の 2 つの領域が含まれています。

• Purview Data Governance — 複数のデータ ソースにわたってデータを検出および分類
• Purview Risk & Compliance — 秘密度ラベル、DLP ポリシー、内部リスク管理

Purview Data Mapは、Purview におけるデータ ガバナンスの基盤です。登録されたデータ ソース（Azure SQL、Blob Storage、ADLS、オンプレミスの SQL Server、Power BI など）を自動的にスキャンし、検出したすべてのアセットのメタデータ カタログを構築します。各アセットには、スキーマ、データ型、分類ラベル、系列（データの取得元と移動先）が記述されます。

データ ソースを登録したら、スキャンを構成します。スキャンはデータ ソースに接続し、メタデータとデータのサンプルを読み取り、分類ルールを適用して機密性の高いコンテンツを識別する自動化されたプロセスです。Purview には、クレジット カード番号、社会保障番号、パスポート番号、医療識別子など、一般的な機密データ型に対応する 200 を超える組み込み分類子が含まれています。

秘密度ラベルは、ドキュメント、メール、データ アセットに適用して、その秘密度レベルを示すタグです。一般的なラベルには、Public、General、Confidential、Highly Confidentialがあります。ラベルは Purview コンプライアンス ポータルで定義し、ユーザーが手動で適用することも、コンテンツの分類に基づいて自動的に適用することもできます。ラベルを付けると、そのラベルはドキュメントとともに移動し、適用される保護を制御します。

Purview のデータ損失防止（DLP）ポリシーは、機密情報が不適切に共有されることを自動的に検出して防止します。たとえば、DLP ポリシーによって、クレジット カード番号を含むメールが外部アドレスに送信されるのをブロックしたり、「Highly Confidential」ラベルが付いたファイルが個人用 OneDrive にアップロードされるのを防いだりできます。DLP ポリシーは、Microsoft 365 サービス、Teams、SharePoint、Azure サービス全体に適用されます。

データ系列は、データの起点から変換処理を経て最終的な宛先に到達するまでの流れを追跡します。Purview の系列図では、Azure Data Factory パイプライン、Azure Synapse Analytics、その他のサービスを通じたデータの流れを確認できます。これは、コンプライアンス（監査人にデータの出所を証明する）や根本原因分析（エラーをソース データの問題まで追跡する）に役立ちます。

Purview の内部リスク管理は、Microsoft 365 のアクティビティ（大量のファイルのダウンロード、個人用メールへの機密データの送信、通常とは異なる時間帯のデータへのアクセス）から得られるシグナルを使用して、従業員によるデータ持ち出しの可能性を検出します。機械学習を使用してリスク プロファイルを作成し、セキュリティ チームが調査するためのアラートを生成します。すべての分析では、調査が開始されるまで仮名化によってユーザーのプライバシーが保護されます。

Purview Data Catalogは、データ マップで検出および登録されたすべてのデータ アセットを検索できるインベントリです。データ エンジニア、アナリスト、コンプライアンス担当者は、名前、種類、分類、ラベルでアセットを検索できます。各アセット ページには、スキーマ、サンプル データ、分類結果、秘密度ラベル、系列、所有者が表示されます。これにより、ガバナンス制御を維持しながら、データの民主化を実現できます。

Purview のeDiscoveryを使用すると、法務チームやコンプライアンス チームは、法的手続きに備えて Microsoft 365 サービス内のコンテンツを検索、保持、エクスポートできます。監査機能は、Microsoft 365 と Azure 全体におけるユーザーおよび管理者のアクティビティについて、改ざんの有無を検知できるログを提供し、セキュリティ インシデントのフォレンジック調査を可能にします。どちらの機能も、証拠の厳格な保全が求められる規制対象業界に不可欠です。

Purview と Azure Policy は相互に補完し合います。Purview は機密データの保存場所を特定して分類し、Azure Policy は技術的な制御を適用します。たとえば、暗号化されていないストレージ アカウントの作成を拒否したり、すべての SQL データベースで診断ログを有効にするよう要求したりできます。これらを組み合わせることで、データの機密性とリソース構成の両方を継続的に管理するガバナンス フレームワークを構築できます。

このレッスンで学んだ Microsoft Azure Fundamentals (AZ-900) の概念について、理解度を確認します。

このレッスンでは、Microsoft Purview がデータ ガバナンス、分類、コンプライアンスのための統合プラットフォームを提供すること、Data Map がデータ資産全体から機密データを自動検出して分類すること、そして DLP policies と sensitivity labels によって機密データが不適切に共有またはアクセスされるのを防止できることを学びました。次は、コンプライアンス体制を評価して追跡するための Microsoft Compliance Manager について説明します。