メールセキュリティを強化したい vol.5 – 機密情報の種類を定義しよう

はじめに
事前準備 – テストサンプルデータを作ろう
機密情報の種類を定義しよう
テストサンプルデータを評価しよう
終わりに

はじめに

前回までは、メールセキュリティを強化したいと題して、フィッシング対策ポリシーや安全な添付ファイルポリシー、安全なリンクポリシーの設定をしてきました。

フィッシング対策ポリシーの設定

安全な添付ファイルポリシーの設定

安全なリンクポリシーの設定

今回からは、機密情報を保護するという観点で、メールセキュリティと絡めながら深掘りしていきたいと思います。本記事には登場してきませんが、データ損失防止 (DLP) という考え方もあるので、メールにおける DLP も今後取り上げたいと思います。今回はその土台となる機密情報の種類 (SIT) の設定について紹介していきたいと思います。

事前準備 – テストサンプルデータを作ろう

下記のような個人情報テーブルがあると想定して、この Excel ファイルを機密情報として検知する仕組みを作っていきたいと思います。ひとまず、下記のような個人情報テーブル (氏名は仮名です) を作成しておきましょう。今回は 7 件データを用意しています。機密情報として検知する今回の前提条件は電話番号がファイルに含まれており、電話番号に紐づく住所 (市区町村名) があれば機密データと扱うことにします。

機密情報の種類を定義しよう

1. Microsoft Purview (https://compliance.microsoft.com) にアクセスします。左ペインの [データの分類]-[Classifiers] をクリックします。

2. Classifiers の画面が表示されるので [機密情報の種類を作成する] をクリックします。

3. 機密情報の種類の名前と説明を入力し、[次へ] をクリックします。

4. 機密情報の種類とパターンの定義画面が表示されるので [パターンを作成する] をクリックします。

5. 画面右側に新しいパターンの設定画面が表示されます。信頼度はデフォルトの「高」にしておきましょう。主要要素の [主要要素を追加する] をクリックします。

6. 正規表現をクリックします。

7. 正規表現を追加するの画面が表示されるので ID を入力します。その後、正規表現で [単語の一致] を選択したのち、電話番号を表す正規表現を入力します。

※ 電話番号を表す正規表現について、regex101: build, test, and debug regex で確認することができます。正規表現の記入方法についてはまれによく使う正規表現 – Qiita でよくまとまっているので参考にしてみてください。

8. 続いて、補助要素に市区町村名を結び付けたいのですが、デフォルトの 300 文字の近接度だと、ほかの行とかぶってしまう可能性が高いので、ここではあえて少なめの 20 文字に設定しています。こうすることで、一つの電話番号が一つの住所 (市区町村名) に紐づけることができます。その後、補助要素の [補助要素または要素のグループを追加] をクリックします。

9. [キーワードのリスト] を選択します。

10. キーワードリストを追加するの画面が表示されるので、ID を入力します。その後、キーワードグループの大文字と小文字を区別しないに市区町村の一覧を貼り付けます。貼り付け方は後述を参考にしてください。また、キーワードグループの下側の [文字列の一致] を選択しておきます。

※ 市区町村の一覧は総務省｜地方行政のデジタル化｜全国地方公共団体コード (soumu.go.jp) の Excel ファイルの C 列目をコピーすればよいです。数が膨大なので、場合によっては取捨選択が必要になるケースがあります。

11. 新しいパターンの設定が完了したら [作成] をクリックします。

12. 次へをクリックします。

13. 信頼度レベルも規定値のまま次へを選択します。

14. 完了確認画面が表示されるので [作成] をクリックします。

15. 機密情報の種類の作成が完了したので [完了] をクリックします。

テストサンプルデータを評価しよう

1. 先ほど作成した機密情報の種類 (SIT) をクリックします。

2. SIT の画面が表示されるので [テスト] をクリックします。

3. ファイルをアップロードをクリックし、事前準備で作成済みのテストサンプルデータ (本記事では 7 件) のファイルを選択し開きます。

4. [テスト] をクリックします。

5. 「7 一意の一致」と表示され、電話番号とそれに紐づく市区町村名が表示されていることがわかります。Low, Medium, High の 3 種類表示されますが、今回のケースではすべて同じ件数になります。

終わりに

今回は機密情報の種類 (SIT) の定義についてみてきました。何を機密情報にするのかは各企業のポリシーによるので、ポリシーに応じて SIT を定義してみてください。次回以降は、今回作成した SIT を利用して、機密情報として扱われるべきサンプルデータファイルを外部にメール送信しようとした場合、メールを自動ラベル付けし、データ損失防止 (DLP) の機能を用いて送信をブロックする設定について確認していこうと思います。