Policies for Microsoft 365 & AvePoint Insights 設定手順書

Insights 初期構成

概要

Insights の初期構成では、データ分析および可視化を開始するために必要な基本設定をウィザード形式で実施します。
初期構成の目的は Insights を迅速に利用開始することであり、本ガイドでは必要最低限の設定で構成します。なお、初期設定完了後に各設定内容を個別に変更することも可能です。

本設定では、前提条件の設定、リスク定義、分析対象範囲の構成、メール通知、および Cosmos データベースの選択を行います。これにより、Insights が Microsoft 365 環境のスキャンを開始し、データ分析やリスクの可視化を実施できる状態になります。

本例では、Insights の初期構成ウィザードを使用して、以下の 5 項目を設定 します。

前提条件の設定
リスク定義
範囲の構成
メール通知
Cosmos データベースの選択

設定完了後、Insights の機能が有効化され、スキャンおよびデータ分析が開始されます。

操作方法

利用アカウント：Insights のアプリケーション管理者

1. AvePoint Online Services にアクセスします。
[Microsoft でサインイン] を選択し、Insights のアプリケーション管理者 でサインインします。

2. AOS マイサービスより、[Insights] をクリックします。

3. [ウィザードの開始] をクリックします。

4. 前提条件の設定 画面が表示されるので、スクロールダウンして [次へ] をクリックします。
※ M365 テナントの場合、Microsoft Purview で監査ログの検索を有効化後、設定が反映されるまでに最大 24 時間のタイムラグがあります。設定が反映されるまでは、Insights 初期構成の後続の設定を行うことはできません。
※ Google テナントの場合、「Microsoft 365 監査ログの検索」は表示されません。

5. スキャン設定 画面が表示されるので、[包括的なスキャン] を選択し、[次へ] をクリックします。
※ 既定では、[包括的なスキャン] モードが使用されます。初期リスク評価を迅速に確認するには、[リスク優先スキャン] モードを選択して、先に固有権限を持つオブジェクトスキャンすることもできます。

6. リスク定義 画面が表示されるので、既定の設定のまま [次へ] をクリックします。
※ 後述の ② リスク定義の作成方法を参照ください。

7. 範囲の構成 画面が表示されるので、既定の設定のまま [次へ] をクリックします。
※ 後述の ③ リスク定義の割り当てで別途設定します。

8. メール通知 画面が表示されるので、任意の設定を実施して [次へ] をクリックします。
※ 初回のテナント完全スキャンが完了した際に管理者へ通知メールを送信するかどうかを設定できます。メール通知を設定していなくても、Insights からスキャン結果を確認できます。

9. Cosmos データベースの選択 画面が表示されるので、独自のデータベースを用意していない場合は AvePoint が提供する [既定の Cosmos データベース] を選択し、[適用] をクリックします。
※ 初期構成完了後、データベースを変更することは可能ですが、変更時にはデータの移行作業が発生するためご注意ください。
※ Cosmos データベースについての詳細は、Microsoft の公開記事より確認いただけます。

10. 適用ポップアップが表示されるので、[OK] をクリックします。

以上で Insights の初期構成は完了になります。構成された設定にて、スキャンが開始されます。

Insights リスク定義

① リスク定義のベストプラクティス

Insights では、Insights 独自のリスク指標となるリスク定義により、リスク状況を可視化し分析可能にします。このリスク定義では、Microsoft 365 環境内のファイルに含まれる機密情報を基にした指標＝ 秘密度と、ファイルにアクセスできる共有相手と共有方法によって定義された指標＝ 露出度を、掛け合わせることによって評価しています。

参考：秘密度×露出度によるリスク定義の関係

本例では、リスク定義のベストプラクティスとして、秘密度と露出度をそれぞれ以下のように定義し、個人情報やカード情報が含まれているコンテンツと、それらにアクセスできるユーザーをクロスチェックすることにより、リスクの可視化を行います。

秘密度

ファイルに含まれる機密情報を基にした指標

秘密度レベル　高

個人識別情報と金融情報の両方を含むアイテム

秘密度レベル　中

個人識別情報もしくは金融情報のどちらかを含むアイテム

※ 個人識別情報 … マイナンバーカード番号と社会保険番号
※ 金融情報 … 銀行口座番号とクレジットカード番号

露出度

共有相手と共有方法によって定義された指標

露出度レベル　高

外部ユーザーがアクセス可能なアイテム

露出度レベル　中

組織内のすべてのユーザーがアクセス可能なアイテム

露出度レベル　低

上記以外のアイテム

② リスク定義の作成方法

概要

上記ベストプラクティスをもとに、Microsoft 365 環境に適用するリスク定義のプロファイル＝ リスク定義プロファイルを Insights で作成します。
※ Google テナントの場合、Google 用の既定の Google DLP 秘密度定義が提供されています。この秘密度定義が有効になっている場合、『ユーザーガイド <Google ラベルおよび DLP ルールの構成>』で構成された Google ドライブサービスのアクティブデータ保護ルールは、Google ドライブファイルの機密情報 (例: Credit Card Number) に使用されます。ドライブのデータ損失防止 (DLP) を使用して、コンテンツを保護して、不正なユーザーへのデータ漏洩を防止することができます。
※ Education Fundamentals, Education Standard, Education Plus, Enterprise Standard, Enterprise Plus の Google Workspace サブスクリプションを使用している場合のみ、本設定を利用可能です。

操作方法

利用アカウント：Insights のアプリケーション管理者

1. AvePoint Online Services にアクセスします。
[Microsoft でサインイン] を選択し、Insights のアプリケーション管理者 でサインインします。

2. AOSマイサービスより、[Insights] をクリックします。

3. [設定] から [リスク定義] を選択し、[リスク定義プロファイル] をクリックします。

4. [＋新規プロファイル] をクリックします。

5. プロファイル情報 画面が表示されるので、下記項目に任意の設定を実施して [次へ] をクリックします。

プロファイル情報

定義の種類

定義の種類を以下から選択します。

Microsoft 365
Power BI
AI エージェント
危険なユーザー / 危険なアプリ

本手順では、[Microsoft 365] を選択します。
※ Google テナントの場合、本項目は表示されません。

名前

任意のプロファイル名を入力します。
※ 適用範囲に基づいてプロファイルを命名することが一般的です。
　（例：内部チーム用リスク定義プロファイル）

説明

必要に応じて、作成するプロファイルの説明を入力します。

6. 秘密度定義 画面が表示されるので、[＋新しい定義] をクリックします。
※ Google テナントの場合、「Google DLP」という名前で Google 用の既定の Google DLP 秘密度定義が提供されています。この秘密度定義が有効になっている場合、『ユーザーガイド <Google ラベルおよび DLP ルールの構成>』で構成された Google ドライブサービスのアクティブデータ保護ルールは、Google ドライブファイルの機密情報 (例: Credit Card Number) に使用されます。ドライブのデータ損失防止 (DLP) を使用して、コンテンツを保護して、不正なユーザーへのデータ漏洩を防止することができます。手順 8 までスキップします。

7. 定義の新規作成 画面が表示されるので、下記項目に任意の設定を実施して [保存] をクリックします。

秘密度定義

名前

任意の秘密度定義の名称を入力します。

レベル

秘密度レベルをどのオブジェクトタイプに適用するかを以下から選択します。

アイテム
サイトコレクション

本手順では、[アイテム] を選択します。

国または地域

国または地域を選択します。
本手順では、[日本] を選択します。

秘密度レベル – 高

「秘密度レベル – 高」と判定される条件を設定します。
本手順では、以下の画面ショットとなるように定義します。
この設定により「個人識別情報と金融情報の両方を含むアイテム」の秘密度レベルが定義されます。

秘密度レベル – 中

「秘密度レベル – 中」と判定される条件を設定します。
本手順では、以下の画面ショットとなるように定義します。
この設定により「個人識別情報もしくは金融情報のどちらかを含むアイテム」の秘密度レベルが定義されます。

8. 新しい定義 ポップアップが表示されるので、[OK] をクリックします。

9. 秘密度定義 画面に戻るので、作成した秘密度定義のトグルをオンにして [次へ] をクリックします。

10. 機密アイテムの除外 画面が表示されるので、監視対象から外すアイテムがある場合、この機能を利用します。
除外の条件は、[更新日時 / コンテンツ / 作成日時] で設定できます。
本手順では、「オフ」のまま [次へ] をクリックします。
※ Google テナントの場合、本設定は表示されません。

11. 露出度定義 画面が表示されるので、下記項目に任意の設定を実施して [次へ] をクリックします。

プロファイル情報

露出レベル – 高

[編集] をクリックし、「露出レベル – 高」と判定される条件を設定します。
本手順では、以下の画面ショットとなるように定義します。
この設定により「外部ユーザーがアクセス可能なアイテム」の露出度レベルが定義されます。

露出レベル – 中

[編集] をクリックし、「露出レベル – 中」と判定される条件を設定します。
本手順では、以下の画面ショットとなるように定義します。
この設定により「組織内のすべてのユーザーがアクセス可能なアイテム」の露出度レベルが定義されます。

12. 確認画面が表示されるので、設定を確認して [保存] をクリックします。

以上で Insights のリスク定義の作成は完了になります。続けて ③ を実施します。

③ リスク定義の割り当て

概要

リスク定義プロファイルは、AOS の コンテナー 単位で割り当てることができます。
リスク定義を割り当てることで、指定したコンテナー内のオブジェクトに対してリスク評価が実施され、設定した条件に基づく分析や可視化が可能になります。

本設定では、作成済みのリスク定義プロファイルを対象コンテナーへ割り当て、どの範囲に対してリスクスキャンを実施するかを構成します。
これにより、組織内のデータに対して継続的なリスク分析を実施し、潜在的なリスクを効率的に把握することが可能です。

本ガイドでは、② で作成したリスク定義プロファイルを Microsoft Teams コンテナーおよび SharePoint サイトコンテナーに割り当てる方法 を説明します。

※ トライアルライセンスをご利用中の場合、各データソースでスキャンできるオブジェクト数は 25 件までに制限されています。特定のオブジェクトをスキャン対象にしたい場合は、AOS スキャンプロファイル作成手順 (詳細モード) を参照のうえ、対象オブジェクトを登録してください。

操作方法

利用アカウント：Insights のアプリケーション管理者

1. AvePoint Online Services にアクセスします。
[Microsoft でサインイン] を選択し、Insights のアプリケーション管理者 でサインインします。

2. [設定] から [リスク定義] を選択し、[範囲とバインド] をクリックします。

3. 範囲とバインド 画面が表示されるので、リスク定義を割り当てたいコンテナーにチェックを入れ、[プロファイルの割り当て] をクリックします。

4. プロファイルの割り当て 画面が表示されるので、[プロファイルの選択] から②で作成したリスク定義プロファイルを選択して [保存] をクリックします。

5. プロファイルの割り当て ポップアップが表示されるので、[OK] をクリックします。

以上でリスク定義の割り当てが完了になります。

Insights リスク分析

Insights のリスク分析では、テナント内に存在する、あらゆるリスクを可視化したレポートを確認できます。
リスク分析では、概要、詳細レコード の2種類のレポートがあります。

概要

テナント内の各ワークスペースごとのリスク状況の概要を確認できます。

各要素ごとのチーム数が表示され、クリックすることにより、危険な要素を持つアイテム数が表示されます。

詳細レコード

Microsoft 365 テナント内のすべてのオブジェクトのリスク状況と権限状況を確認できます。

危険度高と中のオブジェクトが表示されます。レコードの左側にチェックを入れて、リスクレベルが高いオブジェクトに対して以下のアクションを実施できます。

選択したアイテムのエクスポート … オブジェクトのリスクや権限情報を出力できます。
秘密度ラベルの管理 … オブジェクトに対してラベルの付与や変更を実施できます。
すべてのアクセス権の削除 … オブジェクトに対して付与されているすべてのアクセス権を削除できます。
通知 … 危険なオブジェクトが検知された際に、サイトやチームの管理者に知らせることができます。
タグの追加 … 管理しやすくするためにオブジェクトに対してタグをつけることができます。

Insights 露出

露出では、テナントに存在する露出リスクのあるユーザーまたはコンテンツのレポートを確認できます。レポートは、外部に露出、[すべてのユーザー] に露出、共有リンク、外部との過剰共有 の4種類があります。
※ Google テナントの場合、共有リンクのレポートのみ確認可能です。

外部に露出

外部ユーザーに関するレポートです。

それぞれの件数が表示されており、名前をクリックして該当ユーザーの一覧を確認できます。

[すべてのユーザー] に露出

すべてのユーザー / グループに対して権限が付与されているサイトコレクションや機密アイテムのレポートです。

それぞれの件数が表示されており、名前をクリックして該当ユーザーの一覧を確認できます。

※ すべてのユーザーのグループの利用が無効になっている場合、上部に警告メッセージが表示されます。

共有リンク

各種共有リンクの合計数、機密アイテム、機密リンクの統計に関するレポートです。

数字が1以上の場合、リンクをクリックして関連データが表示された詳細レポートを確認できます。また、機密リンク列内の [詳細の表示] をクリックして該当するリンクの一覧を確認できます。

外部との過剰共有

外部ユーザー / グループがフルコントロール権限を持っているオブジェクトのレポートです。

該当オブジェクトの一覧が表示され、Insights でオブジェクトの削除または編集ができます。

Insights ユーザー

Insights のユーザーでは、Microsoft 365 テナント内のユーザーに関するレポートを確認できます。ここでは、概要、外部ユーザー、孤立したユーザー、外部ユーザーを含むグループ、ゴーストゲストユーザー、危険なユーザー の6種類のレポートがあります。
※ 本ガイドでは、使用頻度の高い 危険なユーザー についてのみ紹介します。
※ Google テナントの場合、危険なユーザー のリポートは表示されません。

危険なユーザー

[Entra 検出] タブにて、Microsoft が定義するセキュリティ基準でリスクが高いユーザーの一覧を確認できます。

検出されたユーザーに対して、右側の […] から以下の情報を確認できます。

アクセスレポートのエクスポート … 該当ユーザーのサマリーレポートとアクセスレポートをエクスポートできます。
アクティビティの表示 … 該当ユーザーが権限を持っているオブジェクトに対するユーザーのアクティビティを一覧で確認できます。
サインインイベントの表示 … 該当ユーザーのサインインイベントを一覧で確認できます。
リスク検出 … 該当ユーザーの検出されたリスクの詳細を確認できます。

また、レコードの左側にチェックを入れて、危険なユーザーに対して以下のアクションを実施できます。

選択したアイテムのエクスポート … 該当ユーザーのテナント上のアクティビティ情報や権限情報を出力できます。
ユーザーに対するセキュリティ侵害の確認 … Microsoft Entra ID において、該当ユーザーのステータスを「セキュリティ侵害確認済み」に更新します。ステータスの変更とともに、Microsoft Entra ID のセキュリティポリシー設定に基づき、サインインのブロックなど必要なアクションが自動的に実行されます。
ユーザーの安全の確認 … 検出された行為を、セキュリティ上問題ないこととし、リスクを取り消して誤検知としてマークします。今後、該当ユーザーに対して同じ行為はリスクのある行動として検知しなくなります。
ユーザーリスクの無視 … 該当ユーザーに対して検出したリスクを無視します。
※ この方法では、Insights を通してユーザーの既存のパスワードの変更はされないため、今後も同じリスクが検知される可能性があります。そのため、ユーザーに連絡してリスクがあることを知らせ、状況を確認してから、場合によってパスワードの変更を促すなどの運用と併用することを推奨します。
サインインのブロック … 該当ユーザーを Microsoft 365 へのサインインからブロックします。
ユーザーのブロック解除 … 該当ユーザーのブロックを解除し、Microsoft 365 へログイン可能な状態へ戻します。
※ こちらは選択したユーザーがブロックしたユーザーの場合、実行できるアクションです。

※ データの統計は Microsoft 側で実行されるため、Microsoft Entra ID P2 ライセンスが必要です。
※ 検出されたリスクの定義については、Microsoft の公式記事をご確認ください。

Insights 検索センター

検索センター は、Insights における検索機能を集約したインターフェイスです。ユーザー、グループ、オブジェクト、サイトコレクションなどに対する権限状況や機密情報の分布を、効率的に把握するためのツールです。
検索手法は、クイック検索、検索プロファイル の2種類があります。

クイック検索

オブジェクト単位で検索し、該当する権限状況や詳細情報を表示できます。

ユーザー / グループ、Microsoft 365 オブジェクト、Power BI、AI エージェントのオブジェクトタイプを検索することができます。
詳細は、ユーザーガイド (M365, Google) をご参照ください。

検索プロファイル

複数のオブジェクトを一括で検索し、広範囲の権限状況や詳細情報を定期的に表示できます。

例えば、特定ドメインの外部ユーザーを抽出し、チームやサイトへのアクセス権限や利用状況を定期的に確認したい場合は、検索プロファイルを作成してレポート形式で状況を確認することができます。これにより、対象ユーザーの権限や機密情報へのアクセス状況を一覧で把握でき、継続的な監視や改善に役立ちます。
検索プロファイルの作成方法は、ユーザーガイド (M365, Google) をご参照ください。

Insights アクティビティエクスプローラー

アクティビティエクスプローラー は、特定タイプのアクティビティを表示することができます。
※アクティビティは、AOS プラットフォームの レポートデータコレクション の保持期間にて設定し収集したものになります
アクティビティのタイプは、Microsoft 365 アクティビティ、Entra 監査ログ、Entra サインイン の3種類があります。

Microsoft 365 アクティビティ

M365 環境においてユーザーが行った操作(SPOやTeamsなど)の記録を確認できます。

アクティビティの期間、ユーザー範囲、アクティビティのタイプを指定して、表示するレポート内容を絞り込むことができます。

Entra 監査ログ

Entra ID で発生したアプリグループやユーザーライセンスに対する変更を確認することができます。

アクティビティの期間、アクティビティ範囲を指定して、表示するレポート内容を絞り込むことができます。

Entra サインイン

Entra テナントへのすべてのサインインアクティビティを確認することができます。

Microsoft のサインインログには、ユーザーサインイン（対話型）、ユーザーサインイン（非対話型）、サービスプリンシパルのサインイン、マネージド ID のサインインの4種類があります。詳細は Microsoft の公式記事をご確認ください。
Insights では、直近一か月のログを確認できます。