これにより、メールによる不正な情報流出の有無確認や、訴訟時の証拠としてのデータ提供を行うことができます。
- 操作環境：
- OS：Windows 11
- Webブラウザー：Edge
- 使用プラン：Microsoft 365 Business Premium(試用版)
- メールによる情報流出対策について
- Exchange管理C 訴訟ホールド有効化
- Purview 情報開示のアクセス許可設定
- Purview 送信メールのコンテンツ検索設定
- Purview コンテンツ検索実施、PSTファイル取得
- Outlookデスクトップアプリ PSTファイル内容確認
- Purview 情報開示の監査ログ確認
- おわりに
メールによる情報流出対策について
冒頭の説明で「訴訟時の証拠としてのデータ提供」と記載しましたが、いきなりそうはならずとも、「メールによる不正な情報流出の有無確認」は組織でメールを運用するのに必要な対応と考えます。
この記事では、組織内のメンバーが組織外のメールアドレス(自身の個人メールアドレスを含む(*))宛に、機密性の高いファイルを不正に外部送信しているかどうかを毎月確認するという運用シナリオを想定し、設定例を紹介します。
Exchange管理C 訴訟ホールド有効化
Microsoft Exchange管理センターにアクセスし、左メニューの[受信者>メールボックス]を選択し、ユーザーを選択します。
右側に表示された設定項目の[その他]タブにある[訴訟ホールドの管理]を選択します。
[訴訟ホールド]のオプションを[オン]にし、ホールド期間を必要に応じて設定し(無期限の場合は空白)、[保存]を選択します。
これでユーザーがメールボックスから削除したメッセージも検索できるようになります。
他のユーザーも同じ要領で設定します。
Purview 情報開示のアクセス許可設定
Microsoft Purviewにアクセスし、左メニューの[設定]を選択し、サブメニューの[役割とスコープ>役割グループ]を選択し、[eDiscovery Manager]を選択します。
右側に表示された詳細画面の[編集]を選択します。
[電子情報開示マネージャーの管理]画面が表示されたら、[ユーザーの選択]を選択します。
この例では、システム管理者を選択し、次へ進みます。
[電子情報開示管理者の管理]画面が表示されたら、[ユーザーの選択]を選択します。
この例では図表3-4と同じ要領でシステム管理者を選択し、先に進みます。
[保存]を選択します。
[完了]を選択します。
Purview 送信メールのコンテンツ検索設定
左メニューの[ホーム]を選択し、[すべてのソリューションを表示する]を選択します。
[電子情報開示]を選択します。
サブメニューの[ケース]を選択し、[ケースを作成]の右の下矢印を選択し、[検索を作成]を選択します。
[ケース名]と[検索名]を適宜入力し、[作成]を選択します。
画面左下の[Add data sources]を選択します。
[People]を選択し、対象ユーザーを検索して追加し、今回はメールを対象とするので[Site]のチェックを外し、[保存]を選択します。
[キーワードクエリ言語(KeyQL)]タブを選択し、以下クエリを設定します。その際、Web画面に直接入力しづらいので、テキストエディタ等でクエリを入力してからコピー&ペーストすることをお奨めします。
KeyQLの仕様に関する公式記事のリンクを貼っておきます。
- 電子情報開示キーワード・クエリ：
電子情報開示のキーワード クエリと検索条件 | Microsoft Learn
以降、毎月確認するのであれば、都度上記クエリのsendの日付を更新し、この後の工程の作業を実施する形になります。
Purview コンテンツ検索実施、PSTファイル取得
[Run Query]を選択し、検索ヒット数が表示されるまで待ちます。
検索ヒット数が0件でない場合、[エクスポート]を選択します。
[エクスポート名]を適宜入力し、[Organize data from different locations into separate folders or PSTs]のチェックを外し、[エクスポート]を選択します。
[エクスポートを開始しました]メッセージが表示されたら、[OK]を選択します。
[プロセスマネージャー]を選択します。
直近のエクスポートの状態が[Completed]になっていたらこれを選択し、ファイルのチェックボックスをオンにし、[Download packages]を選択します。
これで検索結果のPSTファイルをダウンロードできました。
コンテンツ検索または結果のエクスポートを行うと、電子情報開示管理者宛にメールが届くようになっています。
この例ではシステム管理者一人きりなので意味がありませんが、複数人アサインしておけば興味本位の検索やエクスポートの抑止に繋がります。
Outlookデスクトップアプリ PSTファイル内容確認
前の工程でダウンロードしたzipファイルを展開(解凍)します。中を確認すると、xxxxxx.pstというファイルがあります。
この後、Outlookのデスクトップアプリでこれを読み込み、添付ファイル付きメールを確認します。
Outlookのデスクトップアプリを起動し、上メニューの[ファイル]を選択します。
[アカウント設定>プロファイルの管理]を選択します。
[データファイル]を選択します。
[データファイル]タブの[追加]を選択します。
この工程の最初に確認したPSTファイルを選択します。
追加できたら[閉じる]を選択し、アプリ起動時のメール画面に戻ります。
PSTファイル内のメールを確認できるようになりました。
宛先で並べ替えると不正な情報流出を見つけやすくなります。また、メールが大量にあり確認が大変な場合は、送信日時・件名・From・To・添付ファイル名等をExcelに書き出すVBAを用意すると良いでしょう。
【2024/11/19追記】
別の記事でOutlook VBAでメールのExcelファイル一覧出力を行う方法を紹介しています。ご興味あればどうぞ。
Purview 情報開示の監査ログ確認
情報開示機能の使用状況は監査ログで確認できます。アクティビティのキーワード欄に[情報開示]を入力すると、これに関するアクティビティが表示されますので、目的の情報を見つけやすいです。
また、Web画面だけでなくPowerShellからの使用状況も検索できます。
前の画面で検索結果を選択すると、検索条件に該当したアクティビティの一覧が表示されます。日時・ユーザー・アクティビティ等の概況を確認できます。
さらに、アクティビティの一覧から行選択すると、詳細情報を確認できます。
この監査ログにより、情報開示機能の使用が適切かどうか、確認することができます。
おわりに
実際に情報流出の疑いや事故が発生した後で、情報開示の機能を初めて扱うのは大変ですので、事前に作業を試しておくことをお奨めします。少なくとも、訴訟ホールドの設定はユーザー追加時に実施しておきましょう。
当ブログ内の関連記事
