WEB問題集
Contoso はこれから Microsoft Purview で情報保護を始めます。現時点で秘密度ラベルも データ損失防止 (DLP) ポリシーも 1 つも作成していません。
要件は 2 つあります。1 つ目は、組織のどこにどんな機密情報があるかを先に把握して、保護の要件を決めることです。2 つ目は、その把握の段階では利用者の作業や既存のコンテンツに変更を加えないことです。
Information Protection 管理者として最初に行うことはどれですか。
解説
【正解: A】の理由
データ分類は、ポリシーを作成する前に、機密性の高いコンテンツとラベル付けされたコンテンツをスキャンします。この動きはゼロ変更管理と呼ばれ、既存のコンテンツや利用者の作業を変えずに、すべての保持ラベルおよび秘密度ラベルが環境に与える影響を確認できます。保護ポリシーとガバナンス ポリシーの必要性を評価する出発点になるため、要件を決める段階ではまずこのスキャン結果を見ます。
【他選択肢が違う理由】
- B: 組み込みの機密情報の種類を複製しても、組織のデータに何がどれだけあるかは分かりません。要件を決める前の作業としては空回りになります。
- C: ラベルの適用を必須にすると利用者の操作が変わります。変更を加えないという2 つ目の要件に反します。
- D: キーワード辞書は検出のための材料であって、現状の分布を測る仕組みではありません。
【参考】
Contoso の法務部門は、社外に出してはいけない契約書の下書きを見つけたいと考えています。下書きには決まった書式がなく、含まれる語句も案件ごとに異なりますが、文書全体の言い回しには共通の特徴があります。
すでに社内には、過去の契約書の下書きが数百件あります。Information Protection 管理者として選ぶ分類の方法はどれですか。
解説
【正解: D】の理由
トレーニング可能な分類子は、評価するサンプルを与えることで、その種類のコンテンツを認識できるようにトレーニングするツールです。書式が決まっておらず含まれる語句も一定しないが、文書全体の特徴は共通しているという対象は、パターンでは表せないため分類子が適します。学習させたあとは、秘密度ラベルなどのMicrosoft Purview のソリューションで対象の項目を特定する条件として使えます。
【他選択肢が違う理由】
- A: 手動の分類は人の判断と操作が前提です。数百件の既存文書を漏れなく見つける方法にはなりません。
- B: キーワードやメタデータの一致は、決まった語や属性がある場合の方法です。案件ごとに語句が異なる下書きは取りこぼします。
- C: 正確なデータ一致は、あらかじめ用意した値の一覧と文字列が一致するかを見る方法で、書式の定まらない文章には使えません。
【参考】
Contoso は、組み込みの機密情報の種類 (SIT) をそのまま使ったところ、検出の過不足がいくつか見つかりました。要件ごとに、組み込みの SIT のコピーに対して行う調整が異なります。
次の各要件に対して、行う調整を対応付けてください。
- 自社が発行した番号だけを検出したい
- 大きな表計算ファイルで一致しない
- メール署名の電話番号で一致してしまう
- テスト用の 9 桁の番号を一致から外したい
解説
【正解マッチング】
| 要件 | 組み込み SIT のコピーに行う調整 |
|---|---|
| 自社が発行した番号だけを検出したい | パターンの「で始まる」に番号の一覧を追加する |
| テスト用の 9 桁の番号を一致から外したい | 「除外する特定の値」に番号を追加する |
| メール署名の電話番号で一致してしまう | サポート要素に NOT グループを追加する |
| 大きな表計算ファイルで一致しない | キーワード リストの近接性を広げる |
【ポイント】
組み込みの SIT は直接変更できないため、いずれもコピーを作って編集します。自社が発行した番号だけに絞る要件は、高信頼度パターンの「で始まる」チェックに対象の数字の一覧を追加すると満たせます。誤検知になるテスト番号は「除外する特定の値」チェックに追加して一致から外します。メール署名の電話番号で一致してしまう場合は、電話・携帯・メールといった署名によく出る語のキーワード リストを作り、サポート要素に NOT グループとして追加します。このときは精度を上げるため近接性を 50 文字程度の小さい値に保ちます。逆に、大きな表計算ファイルで必要なキーワードが既定の 300 文字以内に入らず一致しない場合は、近接性を「ドキュメント内の任意の場所」へ広げます。近接性は狭めることも広げることもあり、どちらに動かすかは誤検知を減らすのか取りこぼしを減らすのかで決まります。
【参考】
Contoso は、洗い出した 3 つの要件を、組み込みまたはカスタムの機密情報の種類 (SIT) に落とし込みます。
次の各要件に対して、選ぶ SIT を選択してください。
| ステートメント | 選択 |
|---|---|
|
米国の社会保障番号を、既定の定義のまま検出したい
|
|
|
クレジット カード番号のうち、自社が発行する 6 桁で始まるものだけを検出したい
|
|
|
社外には存在しない、自社だけで使う 10 桁の案件番号を検出したい
|
解説
【正解マッチング】
| 要件 | 選ぶ SIT |
|---|---|
| 米国の社会保障番号を、既定の定義のまま検出したい | 組み込みの SIT |
| クレジット カード番号のうち、自社が発行する 6 桁で始まるものだけを検出したい | 組み込み SIT のコピー |
| 社外には存在しない、自社だけで使う 10 桁の案件番号を検出したい | カスタム SIT |
【ポイント】
要件が既定の定義のままで満たせるなら、組み込みの SIT をそのまま使います。既定の定義に近いが条件を足したい場合は、組み込みの SIT を直接変更できないためコピーを作って編集します。クレジット カード番号を自社発行の 6 桁で始まるものに絞る調整は、コピーした SIT の高信頼度パターンで「で始まる」チェックに数字の一覧を追加して行い、同じ編集を低信頼度パターンにも繰り返します。組み込みの定義にまったく該当しない自社固有の番号は、カスタム SIT を新しく作ります。カスタム SIT は Microsoft Purview ポータルで作成でき、作成できる数は最大 500 個です。
【参考】
Contoso では、情報セキュリティ担当の 2 人に Microsoft Purview ポータルのデータ分類のページを見せることにしました。1 人は分類とラベルの使用状況を分析します。もう 1 人は結果を確認するだけで、設定は変更しません。
最小特権の原則に沿う割り当てを 2 つ選択してください。
解説
【正解: B と D】の理由
データ分類のページには、全体管理者・コンプライアンス管理者・セキュリティ管理者・コンプライアンス データ管理者の役割グループでもアクセスできますが、公式の推奨は常に最小特権のロールを使うことです。Information Protection アナリストは分類とラベルの使用状況を分析する担当者に、Information Protection 閲覧者は結果を確認するだけの担当者に合います。
【他選択肢が違う理由】
- A: 全体管理者はテナント全体を変更できる最も広い権限で、データ分類を見るためだけに割り当てるのは過剰です。
- C: セキュリティ管理者もデータ分類の閲覧に必要な範囲を大きく超えます。
- E: コンプライアンス管理者もアクセスはできますが、閲覧や分析だけが目的なら最小特権になりません。