Purview のネットワーク DLP、全 Web サイトが対象に(予定)

Microsoft 365 ロードマップに2026年10月12日、Microsoft Purview(マイクロソフトの情報保護の製品群)の新しい項目が載りました。ネットワークの層で機密データを止める DLP(データ損失防止)のポリシーを、「すべての Web サイト」に広げる内容です。プレビューは2026年11月、一般提供は12月の予定です。ロードマップの時期は目安で、変わることがあります。

何が変わるのか

ロードマップの項目 ID 575285 は、状態が開発中(In development)です。説明の要点は次のとおりです。

Entra GSA は、Microsoft Entra Global Secure Access の略です。社員の端末からインターネットへ出る通信を、マイクロソフトのクラウドを経由させて守る仕組みです。そのうち Internet Access が、一般の Web サイトへの通信を扱います。

いまの Learn には、DLP ポリシーで選べる「管理されていないクラウドアプリ」は、Microsoft Defender for Cloud Apps のクラウドアプリ カタログにある、35,000以上のアプリと書かれています。今回の項目は、そのカタログにないサイトまで対象を広げるものです。

ネットワーク データ セキュリティとは

Learn は、ネットワーク データ セキュリティを、管理されていない信頼できないクラウドアプリの通信を、監視・分類し、保護する仕組みと説明しています。生成 AI のアプリも含みます。通信を見る役は、Entra Global Secure Access や他社の SASE(通信を一括で守るクラウドの仕組み)、安全なブラウザーが担います。

Learn は、次のやり取りで、機密の内容を見つけ、止め、通知できると書いています。

• ブラウザー、アプリ、アドインを通した生成 AI とのやり取り(ChatGPT、Gemini、Claude など)
• Dropbox、Box、Google Drive など、会社が認めていないクラウド ストレージへのファイルのアップロード
• Gmail など、クラウドのメールへのメールと添付ファイル
• Google Forms など、オンラインのフォームの送信
• Facebook や X などへの投稿

判定には、ほかの Purview のポリシーと同じ「機密情報の種類」などの条件を使います。操作は、テキストの送信、ファイルのアップロード、テキストの受信、ファイルのダウンロードの4つです。処理は、監査のみ(Audit only)と、ブロックを選べます。Entra Global Secure Access は、これらをすべて支えると書かれています。

上は、Learn の「対応する DLP ポリシーの設定」の節です。「対象(Data sources)」の欄に、Defender のカタログのアプリ(35,000以上)と、アダプティブ アプリ スコープ(生成 AI、クラウド ストレージ、SNS などの分類)が出ています。今回の項目は、この「対象」の選び方に関わるものと読めます(編集部の補足。項目は、画面の名前までは書いていません)。

使える条件

Learn は、Entra Global Secure Access と使うときのライセンスを、次のどちらかと書いています。

• Microsoft 365 E7 のユーザーごとのライセンス
• Purview E5(または同等)のユーザーごとのライセンスと、Entra Internet Access(または同等)のライセンスの両方

他社の SASE やブラウザーと使う場合は、Purview E5 相当と従量課金の設定が要ります。Entra Global Secure Access との連携では、従量課金の設定は要らないと書かれています。料金の額は、これらのページには書かれていません。

Entra 側の前提は、Entra の Learn に次のように書かれています。

• Microsoft Entra Internet Access のライセンスと、Purview のライセンスがあること
• Global Secure Access 管理者と、条件付きアクセス管理者の役割を持つ人がいること
• 端末が Microsoft Entra 参加、またはハイブリッド参加で、Global Secure Access クライアントを入れていること(Windows か macOS)
• Internet Access の転送プロファイルを有効にし、TLS 検査(暗号化された通信の中身を見る設定)のポリシーを作ること
• UDP の通信(QUIC)は対象外であること(多くのサイトは TCP に切り替わると書かれています)
• コンテンツ ポリシーで「Scan with Purview」を選び、対応する Purview の DLP ポリシーも作ること。DLP ポリシーがないと、中身の検査も、ブロックもできません
• 条件付きアクセスで、「Global Secure Access のすべてのインターネット リソース」を対象に、セキュリティ プロファイルを使う設定を入れること

Purview の Learn は、このポリシーが B2B のゲスト ユーザーには適用されないとも書いています。

影響する会社・しない会社

• 影響する: Microsoft 365 E7 を契約している会社。ネットワークの層の DLP を、すでに Entra Internet Access と使っている会社も同じです。
• 影響する: Purview E5 相当と Entra Internet Access 相当を持つ会社で、カタログにない Web サイトや社内で使われる小さなクラウドサービスへの流出を気にしている会社。
• 影響しない: Microsoft 365 E3 など、E5 級のライセンスを持たない会社。今回の項目の対象は、Learn の条件を満たす会社です。
• 影響しない: Entra Internet Access を入れておらず、他社の SASE を使っている会社。今回の項目は Entra GSA 連携のものです。

情シスが今日やること

1. 契約を確認します。Microsoft 365 E7、または Purview E5 相当と Entra Internet Access 相当があるか、管理センターのライセンスの画面で見ます。
2. すでにネットワーク データ セキュリティを使っているか確認します。使っているなら、Purview の DLP のポリシーで、いまの対象に何を選んでいるかを見ます。
3. 端末が前提を満たすか確認します。Global Secure Access クライアントの配布状況と、TLS 検査の設定の状況を確かめます。
4. 全サイトに広げたときに、検査に引っかかりそうな業務の一覧を作ります。たとえば、取引先の専用サイトや、社内向けの小さなクラウドサービスです。(編集部の補足。公式の資料にある例ではありません)
5. 社内への説明の案を用意します。「どの通信の、何を見るのか」を、最初は監査のみで試してからブロックにする流れで、プレビューの前に決めておきます。

Entra の Learn は、HTML や JSON のテキストをブロックにすると、通常の Web や API の通信まで止まることがあると注意しています。全サイトに広げるときは、特に試験の期間を取る価値があります。

書かれていないこと

• 今回の項目が、Entra と Purview のどの画面の、どの選択肢になるのか。
• 「すべての Web サイト」を対象にしたときの、監査のみ・ブロックなどの動き方や、性能への影響。
• 追加の料金の有無。
• 日本語の画面があるか。
• 他社の SASE やブラウザーの扱い。
• 時期の確かな日付。ロードマップは月の目安だけです。

Purview の Learn には、検査の上限として、テキストは4MB、ファイルは3MBまでと書かれています。Entra の Learn は、ファイルもテキストも3MBまでと書いていて、数字が合っていません。全サイトに広げたとき、この上限の扱いがどうなるかも、書かれていません。