LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

Copilotを入れたら、見せるつもりのない人事のファイルまで回答に出てこないか。設定を確かめたいが、どの管理画面の何を見ればよいのか分からない——。Microsoft 365を使う会社の情報システム部門では、こうした迷いから展開の判断が止まりがちです。Microsoft 365 Copilotは、利用者が見る権限を持つ社内のメールや文書をもとに、回答や下書きを作るAIの機能です。

便利な一方で万能ではなく、共有の設定が緩いままだと、その緩さがそのまま回答に表れます。本記事では、導入を任された情報システムの担当者に向けて、Microsoftの公式ドキュメントで確かめられるセキュリティの設定を導入前と導入後のチェックリストにまとめ、そして外部に頼むときに確認したい点を整理します。

Copilotが見るデータの範囲

Microsoftの公式ドキュメントは、Copilotが「個々のユーザーが少なくとも表示アクセス許可を持っている組織データのみを表示します」と説明しています。^*1セキュリティの設定で確かめるべきなのは、Copilot専用の画面よりも、SharePointやTeamsの共有と権限の状態です。

• プロンプト（Copilotへの指示文）と応答、社内データは、基礎となるAIモデルの学習には使われません
• 秘密度ラベル（文書の機密の度合いを示す印）で暗号化された文書は、利用者に与えられた権限に従って扱われます
• プロンプトと応答は保存され、管理者はMicrosoft Purview（情報保護と記録の管理機能）で保存の期間を決められます
• Web検索やエージェント（社外のツールとつなぐ追加機能）は、管理者が使うかどうかを決められます

公式ドキュメントでは名前がMicrosoft Copilotに変わったと案内されていますが、本記事では検索で使われている旧名で書きます。

導入前と導入後で確かめる点の違い

セキュリティの設定は、一度確かめて終わりではありません。導入前は「見せたくない情報が回答に出ない状態にする」ことが目的で、導入後は「実際に何が使われたかを記録で確かめる」ことが目的になります。Microsoftは展開の手引きで、過剰共有（必要以上に広く共有された状態）の修正、ガードレールの設定、規制への準拠の3つを柱に挙げています。^*2

共有の棚卸しに使うレポートの多くはSharePoint 高度な管理の中にあるため、どの管理者がレポートを開いて直すのかを先に決めておくと計画が立てやすくなります。

導入前のチェックリスト

導入前の確認は、共有の範囲、サイトの管理者、文書の印、記録とつなぎ先の4つの観点で進めます。次の表の9項目は、いずれもMicrosoftの公式ドキュメントに機能の説明がある設定です。

特に見落としやすいのが2と7です。SharePointとOneDriveの外部共有は、既定で有効になっています。^*4 監査は多くの組織で既定で有効ですが、Business Basic・Business Standard・Business Premiumなどの中小企業向けライセンスでは既定で有効になっていません。^*8

5の制限付きコンテンツ検出は、ファイルの権限そのものは変えません。^*5 見る権限を持つ人は直接開けるため、見直しの間だけ使う手段です。以前からある制限付き SharePoint 検索は廃止が決まり、2026年7月31日以降は新しく有効にできなくなりました。^*6

導入後のチェックリスト

利用が始まったら、設定が働いているかを記録で確かめます。Copilotとの会話の監査ログは監査（Standard）の一部として自動で記録されるため、組織で監査が有効なら、Copilotのために追加の設定をする必要はありません。

監査ログには、Copilotが応答を作るためにアクセスしたファイルやメールへの参照と、そのファイルに付いた秘密度ラベルのIDが残ります。^*9 機密の印が付いた文書がよく使われているなら、12のデータ損失防止（DLP、情報の持ち出しを防ぐ仕組み）で処理を制限するかを検討します。^*11 監査ログは標準で180日間保持されるため、それより長く残す必要があるかも決めておきます。^*8

制限付きコンテンツ検出は使いすぎると回答に使える情報が減るため、見直しが終わったサイトから順に解きます。監査ログの基本は監査ログとはで扱っています。

外部に頼むときに確認しておきたい点

共有の棚卸しやラベルの設計は、SharePointとPurviewの両方の管理画面を扱います。外部に頼むときは、見積もりの前に次の点を確かめておきます。

• どこまで頼むか：共有の棚卸し、秘密度ラベルの設計、監査ログとデータ損失防止の設定、利用者への説明のうち、どれを任せるか
• 期間の決まり方：サイトの数と、所有者が見直しに使える時間で期間が変わるため、何を前提に期間を見積もっているか
• 体制：SharePointとPurviewの管理者の権限を誰が持ち、設定の変更を社内の誰が承認するか
• 費用の決まり方：作業の量で決まるのか、月ごとの運用で決まるのか。ライセンスの費用とは別に示されているか
• 引き継ぎ：変えた設定の一覧と、導入後に続ける確認の手順を文書で受け取れるか

導入後のチェックリストは続ける作業なので、誰がどの画面を見るかまで決めておきます。社内の決まりづくりは生成AI利用規程の策定で扱っています。

まとめ：Copilotの設定で確かめたい3つの点

Microsoft 365 Copilotのセキュリティ設定で確かめておきたい点は、3つに整理できます。第一に、共有と権限の状態を導入前に棚卸しすること。第二に、監査ログが有効かと社外との共有の範囲を、契約しているプランに合わせて確かめること。第三に、導入後は監査ログで参照されたファイルを確かめ、一時的な制限を順に解いていくことです。この3点を踏まえておけば、「展開した後に、見せるつもりのない資料が回答に出てきた」という事態を避けやすくなります。設定の棚卸しや運用に迷いがあれば、外部の手を借りるのも一つの選択肢です。

よくある質問

出典

1. *1　参考：Microsoft Learn「Microsoft Copilot のデータ、プライバシー、セキュリティ」（https://learn.microsoft.com/ja-jp/microsoft-365/copilot/microsoft-365-copilot-privacy）。出典：表示アクセス許可を持つデータのみを表示すること、プロンプトと応答を基礎LLMの学習に使わないこと、名称の変更、エージェントの管理の記述を参照（確認日：2026-10-22）（2026年10月確認）
2. *2　参考：Microsoft Learn「Microsoft Copilot のセキュリティ保護とガバナンス: 基本的な展開ガイダンス」（https://learn.microsoft.com/ja-jp/microsoft-365/copilot/secure-govern-copilot-foundational-deployment-guidance）。出典：オーバーシェアリングの修復・ガードレールの設定・規制への準拠の3つの柱、SharePoint 高度な管理がCopilotのライセンスに含まれることの記述を参照（確認日：2026-10-22）（2026年10月確認）
3. *3　参考：Microsoft Learn「SharePoint の高度な管理とは」（https://learn.microsoft.com/ja-jp/sharepoint/advanced-management）。出典：サイト所有権ポリシー、非アクティブなサイトの管理、制限付きアクセス制御、データ アクセス ガバナンス レポート、外部ユーザーを除くすべてのユーザーの分析情報、サイト アクセス レビュー、サイトの構成証明の記述を参照（確認日：2026-10-22）（2026年10月確認）
4. *4　参考：Microsoft Learn「Microsoft 365 の SharePoint と OneDrive での外部共有の概要」（https://learn.microsoft.com/ja-jp/sharepoint/external-sharing-overview）。出典：外部共有が既定で有効になっていることの記述を参照（確認日：2026-10-22）（2026年10月確認）
5. *5　参考：Microsoft Learn「SharePoint サイトとコンテンツの検出を制限する」（https://learn.microsoft.com/ja-jp/sharepoint/restricted-content-discovery）。出典：制限付きコンテンツ検出が既存のアクセス許可を変えないこと、一時的な制御であること、使いすぎへの注意の記述を参照（確認日：2026-10-22）（2026年10月確認）
6. *6　参考：Microsoft Learn「制限付き SharePoint 検索」（https://learn.microsoft.com/ja-jp/sharepoint/restricted-sharepoint-search）。出典：廃止と、2026年7月31日以降は新しい有効化がブロックされることの記述を参照（確認日：2026-10-22）（2026年10月確認）
7. *7　参考：Microsoft Learn「秘密度ラベルについて」（https://learn.microsoft.com/ja-jp/purview/sensitivity-labels）。出典：Copilotが秘密度ラベルを認識し、暗号化されたアイテムでは利用者の使用権限を確かめることの記述を参照（確認日：2026-10-22）（2026年10月確認）
8. *8　参考：Microsoft Learn「監査のオンとオフを切り替える」（https://learn.microsoft.com/ja-jp/purview/audit-log-enable-disable）。出典：監査が既定でオンであること、中小企業向けライセンスでは既定で有効でないこと、180日間の保持の記述を参照（確認日：2026-10-22）（2026年10月確認）
9. *9　参考：Microsoft Learn「Copilot および AI アプリケーションの監査ログ」（https://learn.microsoft.com/ja-jp/purview/audit-copilot）。出典：監査（Standard）で自動的に記録されること、AccessedResources と SensitivityLabelId の記述を参照（確認日：2026-10-22）（2026年10月確認）
10. *10　参考：Microsoft Learn「Copilot & AI アプリのリテンション期間について説明します」（https://learn.microsoft.com/ja-jp/purview/retention-policies-copilot）。出典：Microsoft 365 Copilot のプロンプトと応答をアイテム保持ポリシーで保持・削除できることの記述を参照（確認日：2026-10-22）（2026年10月確認）
11. *11　参考：Microsoft Learn「Microsoft Purview を使用して、Microsoft 365 Copilot & Microsoft 365 Copilot Chatのデータ セキュリティ & コンプライアンスを管理する」（https://learn.microsoft.com/ja-jp/purview/ai-m365-copilot）。出典：データ損失防止のポリシーの場所で、秘密度ラベルが付いたファイルとメールの処理を制限できることの記述を参照（確認日：2026-10-22）（2026年10月確認）
12. *12　参考：Microsoft Learn「Microsoft Copilot と Microsoft Copilot Chat での Web 検索のデータ、プライバシー、セキュリティ」（https://learn.microsoft.com/ja-jp/microsoft-365/copilot/manage-public-web-access）。出典：「Copilot での Web 検索を許可する」ポリシー、検索クエリに含まれない情報の記述を参照（確認日：2026-10-22）（2026年10月確認）

Tweet