ラボ 1: 演習 2: 機密情報の種類を管理する

Contoso Ltd. は以前、チケットソリューションでサポートチケットに取り組んでいる際に、従業員が誤って顧客の個人情報を送信するという問題がありました。これを防ぐには、カスタムの機密情報の種類を作成して、メールやドキュメント内の従業員 ID を識別する必要があります。

タスク:

タスク 1 - カスタム機密情報の種類を作成する
EDMベースの分類情報の種類を作成する
EDM ベースの分類データソースを作成する
キーワード辞書を作成する
カスタム機密情報の種類をテストする

タスク 1 - カスタム機密情報の種類を作成する

このタスクでは、キーワード "Employee" と "ID" の近くにある従業員 ID のパターンを認識するカスタムの機密情報の種類を新しく作成します。

引き続き Client 1 VM (LON-CL1) に SC-400-CL1\admin アカウントでログインしている必要があります。
Microsoft Edge で、 https://purview.microsoft.com に移動し、Microsoft Purview ポータルに JoniS@WWLxZZZZZZ.onmicrosoft.com としてログインします (ZZZZZZ はラボホスティングプロバイダーから支給された固有のテナント ID)。 Joni のパスワードは、前の演習で設定しました。
左サイドバーで [ソリューション] を選択し、[Information Protection] を選択します。
左サイドバーで、[分類子] を展開し、[センシティブな情報の種類] を選択します。
[機密情報の種類] ページで、[+ 機密情報の種類の作成] を選択し、機密情報の種類の構成を開始します。
[機密情報の種類の名前を設定] ページで、次のように入力します。
- 名前: Contoso Employee IDs
- 説明: Pattern for Contoso employee IDs.
[次へ] を選択します。
[この機密情報の種類のパターンを定義する] ページで、[パターンを作成する] を選択します。
右側の [新しいパターン] ポップアップパネルで、[+ プライマリ要素の追加] > [正規表現] を選択します。
右側の [+ 正規表現の追加] ポップアップパネルで、次のように入力します。
- ID: Contoso IDs
- 正規表現: [A-Z]{3}[0-9]{6}
- 文字列の一致のラジオボタンを選択する
ポップアップパネルの下部にある [完了] を選択します。
[新しいパターン] ポップアップパネルに戻り、[サポート要素] で、[+ サポート要素または要素のグループの追加] ドロップダウンメニューを選択し、[キーワード一覧] を選択します。
右側の [キーワードリストの追加] ポップアップパネルで、次のように入力します。
- ID: Employee ID keywords
- 大文字と小文字の区別をしない:
```
Employee
ID
```
- 単語の一致のラジオボタンを選択する
ポップアップパネルの下部にある [完了] を選択します。
新しいパターンポップアップパネルに戻り、[文字の近接性] で、[プライマリ要素とサポート要素を検出する] 値を 100 文字に減らします。
ポップアップパネルの下部にある [作成] ボタンを選択します。
[この機密情報の種類のパターンを定義する] ページに戻り、 [次へ] を選択します。
[コンプライアンスポリシーに表示する推奨信頼レベルの選択] ページで、既定値を使用して [次へ] を選択します。
[設定の確認と終了] ページで設定を確認し、[作成] を選択します。正常に作成されたら、[完了] を選択します。
右上にある Joni Sherman のプロファイル画像を選択し、Joni のアカウントからサインアウトします。 [サインアウト] を選択し、ブラウザーウィンドウを閉じます。
ブラウザー画面を閉じ、新しいブラウザー画面を開きます。

100 文字の範囲内で、3 つの大文字、6 つの数字、キーワード "Employee"、"IDs" のパターンで、従業員 ID を特定する、新しい機密情報の種類を作成しました。

タスク 2 – EDMベースの分類情報の種類を作成する。

このタスクでは、従業員データのデータベーススキーマで完全データ一致 (EDM) ベースの分類を作成します。

引き続き Client 1 VM (LON-CL1) に SC-400-CL1\admin アカウントでログインしている必要があります。
Microsoft Edge を開き、 https://admin.microsoft.com に移動します。
[アカウントを選択する] ページが表示されたら、[別のアカウントを使用する] を選択し、MOD 管理者 admin@WWLxZZZZZZ.onmicrosoft.com としてサインインします (ZZZZZZ はラボホスティングプロバイダーから支給された固有のテナント ID)。管理者のパスワードは、ラボホスティングプロバイダーから支給されます。
左ペインから、[チームとグループ] を展開し、[アクティブなチームとグループ] を選択します。
[アクティブなチームとグループ] ページの上部のナビゲーションバーで [セキュリティグループ] を選択し、[+ セキュリティグループの追加] を選択します。
[基本設定] 画面で、次のように入力します。
- 名前: EDM_DataUploaders
- 説明: People who upload data for EDM.
[次へ] を選択します。
[設定の編集] ページで、既定の設定のままにして、[次へ] を選択します。
[確認とグループの追加の完了] ページで、設定を確認し、[グループの作成] を選択します。
[作成した EDM_DataUploaders グループ] ページで、[閉じる] を選択します。
[アクティブなチームとグループ] ページに戻り、上部のナビゲーションリボンから [セキュリティ] タブが選択されていることを確認し、[更新] ボタンを選択して、新しく作成したセキュリティグループを表示します。 [EDM_DataUploaders] グループを一覧から選択して、右側に [EDM_DataUploaders] ポップアップページを開きます。
[メンバー] タブを選択し、[すべてのメンバーの表示と管理] を選択します。
[メンバー] ページで、[+ メンバーの追加] を選択します。
[メンバーの追加] ページで、Joni Sherman の左側にあるチェックボックスをオンにし、ポップアップパネルの下部にある [追加 (1)] ボタンを選択します。
Joni Sherman が メンバー の下に表示されていることを確認し、ポップアップパネルの右上にある [x] を選択してポップアップパネルを閉じます。
ウィンドウの右上隅の MA アイコンを選択し、[サインアウト] を選択して、MOD 管理者アカウントからサインアウトします。
ブラウザー画面を閉じ、新しいブラウザー画面を開きます。
Microsoft Purview ポータル (https://purview.microsoft.com ) に移動します。
[アカウントを選択する] ページが表示されたら、[Joni Sherman] を選択してサインインします。
左側のサイドバーから [ソリューション] > [Information Protection] を選択して、Information Protection に移動します。
[Information Protection] ページで、[分類子] を展開し、[EDM 分類子] を選択します。
[EDM 分類子] ページで、[+ EDM 分類子の作成] を選択します。
分類子を機能させるために必要な手順を確認し、EDM 分類子を作成するためのワークフローを理解してから、[EDM 分類子の作成] を選択します。
[EDM 分類子の名前と説明] ページで次の情報を入力します。
- 名前: employeedb
- 説明: Employee Database schema
[次へ] を選択します。
[スキーマを定義するためのメソッドを選択] ページで、[データ構造を手動で定義する] を選択してから、[次へ] を選択します。
[検出するデータを含む列を定義] で、次の列を入力します。
- Name
- BirthDate
- StreetAddress
- EmployeeID
4 つの列が必要です。新しい列の新しいフィールドを追加するには、[+ 列の追加] ボタンを選択する必要があります。
[次へ] を選択します。
[主要な要素の選択] ページで、EmployeeID 列の [一致モード] ドロップダウンをここに展開し、シングルトークン が表示されたら、+ [(プラス記号)] を選択し、[SIT の選択] を行います。
右側の ["EmployeeID" の機密情報の種類を選択] ポップアップパネルの検索バーで Contoso を検索します。
前のタスクで作成した Contoso 従業員 ID 機密情報の種類が表示されます。この機密情報の種類の左側にあるチェックボックスをオンにし、[保存] を選択します。
[プライマリ要素の選択] ページに戻り、EmployeeID の右側にあるチェックボックスをオンにして、このフィールドをプライマリ要素として識別します。
[次へ] を選択します。
[選択した列のデータの設定を構成] で、[すべての列に同じ設定を使用する] のトグルが [はい] に設定されていることを確認します。
[すべての列でデータの区切り記号と句読点を無視する] のチェックボックスをオンにします。
[無視する区切り記号と句読点を選択] のドロップダウンを選択し、[ハイフン]、[ピリオド]、[スペース]、[開きかっこ]、[閉じかっこ] を選択してから、[次へ] を選択します。
[プライマリ要素の検出規則の構成] を既定の構成のままにし、[次へ] を選択します。
[設定を確認して完了] ページで、 [送信] を選択します。
[EDM 分類子が正常に作成されました] ページで、次のタスクで使用する スキーマ名をコピーして貼り付けてください。
スキーマ名をキャプチャしたら、[完了] を選択します。
Microsoft Purview ポータルのブラウザーは開いたままにします。

データベースファイルソースから従業員データを特定するための、EDM ベースの分類による機密情報の種類を作成しました。

タスク 3 – EDM ベースの分類情報の種類を作成する。

このタスクでは、EDM Upload Agent ツールを使用して、EDM ベースの分類の機密情報の種類の実際のデータをハッシュしてアップロードします。

Client 1 VM (SC-400-CL1) には SC-400-CL1\admin アカウントでログインし、Microsoft 365 には Joni Sherman としてログインしておく必要があります。
Microsoft Edge で、https://go.microsoft.com/fwlink/?linkid=2088639 に移動して EDM ダウンロードエージェントにアクセスします。
ダウンロードが完了したら、Microsoft Edge ブラウザーウィンドウで [ファイルを開く] を選択して、Microsoft 完全データ一致アップロードエージェントセットアップ ウィザードを開きます。
Microsoft 完全データ一致アップロードエージェントセットアップウィザードで、[次へ] を選択します。
[ソフトウェアライセンス条項] ページで [使用許諾契約書に同意します] を選択し、[次へ] を選択します。
[アップロード先フォルダー] ページで、既定の宛先パスを変更せず、[次へ] を選択します。
Microsoft Exact Data Match Upload Agentのインストール準備が整いました ページで、[インストール] を選択します。
[ユーザーアカウント制御] ウィンドウで、[はい] を選択して、アプリがデバイスに変更を加えることを許可します。
インストールが完了したら、Microsoft 完全データ一致アップロードエージェントセットアップウィザードの完了のページで [終了] を選択します。
タスクバーで、検索フィールドで Notepad を検索します。検索の [最も一致する検索結果] セクションから [メモ帳] アプリを選択します。

メモ帳で、次のように入力します。

Name,Birthdate,StreetAddress,EmployeeID
Joni Sherman,01.06.1980,1 Main Street,CSO123456
Lynne Robbins,31.01.1985,2 Secondary Street,CSO654321

メモ帳で、[ファイル] と [名前を付けて保存] を選択してファイルを保存します。
左側のウィンドウから [ドキュメント] を選択し、ファイル名として「EmployeeData.csv」と入力し、[保存] を選択します。
メモ帳ウィンドウを閉じます。
タスクバーで Windows シンボルを右クリックし、[ターミナル (管理者)] を選択します。
[ユーザーアカウント制御] ウィンドウで、[はい] を選択して、アプリがデバイスに変更を加えることを許可します。
ターミナルウィンドウで、EDM アップロードエージェントディレクトリまで移動します:
```
cd "C:\Program Files\Microsoft\EdmUploadAgent"
```
以下のコマンドレットを実行して、自分のアカウントでデータベースをテナントにアップロードすることを承認します：
```
.\EdmUploadAgent.exe /Authorize
```
[アカウントを選択する] ウィンドウが表示されたら、JoniS@WWLxZZZZZZ.onmicrosoft.com としてサインインします (ZZZZZZ はラボホスティングプロバイダーから支給された固有のテナント ID)。 Joni のパスワードは、前の演習で設定しました。
ターミナルウインドウに戻り、以下のスクリプトを PowerShell で実行して、EDB ベースの分類による秘密情報の種類のデータベーススキーマの定義をダウンロードします: DataStoreName の場合、前のタスクから保存したスキーマ名を使用します。
```
.\EdmUploadAgent.exe /SaveSchema /DataStoreName employeedbSchema /OutputDir "C:\Users\Admin\Documents\"
```
コマンドが正常に完了した旨のメッセージが表示されます。

注: 最後のコマンドが失敗したら、EDM_DataUploaders グループメンバーシップが適用されるまでもっと時間がかかる可能性があります。スキーマファイルをダウンロードすることができるようになるまで最大 1 時間かかる場合があります。失敗した場合は、次のタスクに進み、後でこの手順に戻ります。
PowerShell で以下のスクリプトを実行して、データベースファイルをハッシュ化し、EDB ベースの分類による秘密情報の種類にアップロードします。
```
.\EdmUploadAgent.exe /UploadData /DataStoreName employeedbSchema /DataFile "C:\Users\Admin\Documents\EmployeeData.csv" /HashLocation "C:\Users\Admin\Documents\" /Schema "C:\Users\Admin\Documents\employeedbSchema.xml"
```
コマンドが正常に完了した旨のメッセージが表示されます。
次のコマンドを使用して、アップロードの進行状況を確認します。
```
.\EdmUploadAgent.exe /GetSession /DataStoreName employeedbSchema
```
ターミナルウインドウで、状態が [完了] になると、EDM データを使用する準備が整います。

または、Microsoft Purview ポータルの [EDM 分類子] ウィンドウを更新して、ハッシュの状態を確認することもできます。状態が [インデックスの完了] に設定されるとハッシュが完了します。

注: このプロセスには時間がかかり、ハッシュが完了したことをステータスが示すまでに、GetSession スクリプトを実行するか、EDM 分類子ページを数回更新する必要があるかもしれません。
PowerShell ウィンドウを閉じます。

EDB ベースの分類による秘密情報の種類のためにデータベースファイルがハッシュ化し、アップロードされました。

タスク 4 – キーワード辞書を作成する

個人情報漏えいの違反の中には、同僚が病欠を報告した後に、ユーザーがメールを送信した際に発生しています。発生時には、理由に病気または疾病が送信されています。それが起こらないようにしたいのです。このタスクでは、電子メールでの個人情報の漏洩を防ぐためのキーワード辞書を作成します。

Client 1 VM (SC-400-CL1) には SC-400-CL1\admin アカウントでログインし、Microsoft 365 には Joni Sherman としてログインしておく必要があります。
Microsoft Purview ポータルは、Microsoft Edge で EDM 分類子ページにある必要があります。そうでない場合は、Microsoft Edge で https://purview.microsoft.com > ソリューション > Information protection に移動します。
左サイドバーで、[分類子] を展開し、[センシティブな情報の種類] を選択します。
[情報の種類を作成] を選択し、新しい機密情報タイプの構成を開きます。
[機密情報の種類の名前を設定] ページで、次のように入力します。
- 名前: Contoso Diseases List
- 説明: List of possible diseases of employees
[次へ] を選択します。
[この機密情報の種類のパターンを定義する] ページで、[パターンを作成する] を選択します。
右側の [新しいパターン] ポップアップパネルの [プライマリ要素] の下で、[+ プライマリ要素の追加] を選択し、[キーワード辞書] を選択します。
[キーワード辞書の追加] ページで、次のように入力します。
- 名前: Diseases Dictionary
- キーワード:
```
flu
influenza
cold
bronchitis
otitis
```
ポップアップパネルの下部にある [完了] を選択します。
[新しいパターン] に戻り、[補助要素] の下で、[+ 補助要素または要素のグループを追加] を選択し、[キーワードリスト] を選択して、キーワード辞書のサポートを追加します。
[キーワードリストの追加] ページで、次のように入力します。
- ID: Employee absence
- 大文字と小文字の区別をしない:
```
employee
absence
reason
```
ポップアップパネルの下部にある [完了] を選択します。
[新しいパターン] ページに戻り、構成を確認し、[作成] を選択します。
[この機密情報の種類のパターンを定義する] ページに戻り、[次へ] を選択します。
[コンプライアンスポリシーに表示する推奨信頼レベルの選択] で、既定値をそのままにして、[次へ] を選択します。
[設定の確認と終了] ページで、設定を確認し、 [作成] を選択します。機密情報の種類が作成されたら、[機密情報の種類が作成されました] ページで [完了] を選択します。
Microsoft Purview ポータルのブラウザーウィンドウは開いたままにします。

キーワード辞書に基づいて新しい機密情報の種類を作成し、さらにキーワードを追加して、誤検知率を下げることができました。

タスク 5 - カスタム機密情報の種類をテストする

カスタム機密情報の種類はポリシーで利用する前に必ずテストする必要があります。テストをしなかった場合、カスタム検索のパターンが動作せず、データの損失や漏えいが発生する可能性があります。このタスクでは、カスタムの機密情報の種類をテストして、必要なパターンが認識されていることを確認します。

Client 1 VM (SC-400-CL1) には SC-400-CL1\admin アカウントでログインし、Microsoft 365 には Joni Sherman としてログインしておく必要があります。
タスクバーで、検索フィールドで Notepad を検索します。検索の [最も一致する検索結果] セクションから [メモ帳] アプリを選択します。

メモ帳で、次のように入力します。

Employee Joni Sherman EMP123456 is absent because of the flu/influenza.

[ファイル] > [名前を付けて保存] を選びます。
左側のウィンドウで [ドキュメント] を選択し、[ファイル名] として「SickTestData」と入力し、[保存] を選択します。
メモ帳ウィンドウを閉じます。
Microsoft Edge に戻ると、Microsoft Purview ポータルが [機密情報の種類] ページでまだ開かれているはずです。
右上の [検索] バーに、「Contoso」と入力し、Enter キーを押します。
[Contoso 従業員 ID] を選択します。
[Test] を選択します。
右側の [ファイルをアップロードして "Contoso Employee IDs" をテストする] ポップアップパネルで、[ファイルのアップロード] を選択します。
左側のウィンドウで [ドキュメント] を選択し、SickTestData.txt ファイルを選択し、[開く] を選択します。
[テスト] を選択して、分析を開始します。
[一致する検索結果] ページで一致を確認し、[終了] を選択してテストを終了します。
[機密情報の種類] に戻り、「Contoso」をもう一度検索します。
今度は Contoso Diseases List 機密情報の種類を選択し、 [テスト] を選択します。
右側の [ファイルをアップロードして "Contoso Diseases List" をテストする] ポップアップパネルで、[ファイルのアップロード] を選択します。
[テストの対象ファイルのアップロード] ペインで、 [ファイルのアップロード] を選択します。
左側のウィンドウで [ドキュメント] を選択し、SickTestData.txt ファイルを選択し、[開く] を選択します。
[テスト] を選択して、分析を開始します。
[一致する検索結果] ページで一致を確認し、[終了] を選択してテストを終了します。

2 つの秘密情報の種類をテストし、検索パターンが目標とするパターンを認識することを検証しました。