Microsoft Purview Data Security Posture Managementとは？データリスクを俯瞰して次の対策を決める
この記事について
この記事は、生成AIを活用した自動生成フローで作成しています。2026年9月18日時点のMicrosoft公式情報を確認し、Microsoft Purview Data Security Posture Management（DSPM）の役割、E3/E5/Purview Suiteの境界、classic資料との違いを整理しています。検証ステータス：📘 Microsoft公式情報確認済み・実機未確認
DSPMは「機密データがどこにあり、どのユーザー行動と組み合わさってリスクになっているか」を俯瞰するためのデータセキュリティ機能です。DLPポリシーを闇雲に増やす前に、組織全体の弱点を発見する入口として使います。
ライセンス
Microsoft公式のDSPM開始ガイドでは、DSPMの利用にMicrosoft 365 E5またはMicrosoft Purview Suiteが必要と案内されています。Microsoft 365 E3単体で高度なDSPMがすべて使えるとは考えません。
| 項目 | Microsoft 365 E3 | Microsoft 365 E5 | Purview Suite |
|---|---|---|---|
| DSPM | E3単体の標準対象とはしない | 対象 | 対象 |
| Core Purview | あり | あり | E3等へ高度機能追加 |
| 高度な姿勢分析 | 追加権利を確認 | 利用対象 | 利用対象 |
2026年はclassic資料との区別が重要
Microsoft LearnにはDSPM (classic) / DSPM for AI (classic)の資料も残っています。検索結果だけで古い画面手順を採用せず、ページ名・更新日・現行Purview portalの表示を確認します。
flowchart LR D[機密データ] --> DSPM[DSPM] U[ユーザー活動] --> DSPM AI[AI利用] --> DSPM DSPM --> R[Risk / Recommendation] R --> IP[Information Protection] R --> DLP[DLP] R --> IR[Insider Risk]
まず試す：ダッシュボードを読むだけ
Purview portal → Solutions → Data Security Posture Management → Overview / Reports / Recommendations
保護されていない機密データ
リスクの高いユーザー活動
Information Protection / DLPとの関連
推奨アクションが観測か設定変更か
初回処理には時間がかかる場合があります。classic開始ガイドでは、組織規模やデータ量によって自動スキャンに最大3日程度かかる場合があるとされています。
成功条件：少なくとも1つのリスクについて「データ」「ユーザー活動」「推奨対策」を分けて説明できること。
1か所変える
期間や表示対象だけを変え、同じリスクが継続しているか比較します。推奨ポリシーを即時有効化しません。
事務部門の例
総務共有サイトに個人情報を含むExcelが大量にあり、外部共有やダウンロードが多いとします。DSPMで発見したら、次の順で考えます。
sequenceDiagram participant D as DSPM participant A as 情シス participant B as 総務 participant P as Purview対策 D-->>A: 機密データ+高リスク活動 A->>B: 業務上必要な操作か確認 B-->>A: 正常/不要を整理 A->>P: Label/DLP等を限定適用 P-->>D: 改善状況を再確認
「危険だから全部ブロック」ではなく、業務の正当性を確認してから対策します。
AI利用を調べるとき
DSPMはCopilotや生成AI利用のデータセキュリティ確認にもつながります。ただしMicrosoft 365外のAIデータ、一部の拡張、デバイス/ブラウザー要件では別のライセンスやpay-as-you-goが関係します。Microsoft 365 Copilotと外部AIを同じ前提で扱いません。
3つの視点
一般利用者：自分のファイルが機密分類されている理由と安全な共有方法を理解する。
事務職：大量ダウンロードや外部共有が業務上必要か説明できる状態にする。
情シス/セキュリティ：DSPMを検知の入口にし、DLP・ラベル・Insider Riskへ必要なものだけつなぐ。
管理者が確認する点
Microsoft 365 E5 / Purview Suiteの対象ライセンス
Data Security Management等の必要ロール
administrative unit制限とDSPMアクセス
classicと現行版の画面差
AI分析の追加ライセンス・デバイス前提
推奨設定を本番へ適用する前の影響評価
Microsoft公式情報・一次情報
DSPMは「新しい制御を増やす画面」より先に、「今どこにデータリスクがあるかを発見する健康診断」と捉えると、対策の順番を決めやすくなります。
