ユーザーがMicrosoft Edge for Businessのクラウド アプリと機密情報を共有できないようにする

この手順を使用して、ユーザーがビジネスで管理されるアプリ (ServiceNow や Workday など) から機密情報をMicrosoft Edge for Businessに流出させるのをブロックする Microsoft Purview データ損失防止 (DLP) ポリシーを作成します。 この手順は、「 データ損失防止ポリシーの設計」で説明されているポリシー設計プロセスに従います。 テスト環境でこのシナリオを実行して、ポリシー作成 UI について理解します。

マネージド アプリ ブラウザー DLP ポリシー シナリオを使用して、ServiceNowや Workday から Microsoft Edge を通じてビジネスで管理されるアプリからの機密情報の流出をユーザーにブロックします。

前提条件:

  • セッション制御が適用された条件付きアクセスをMicrosoft Entraするためにアプリをオンボードします。
  • Edge 仕事用プロファイルの外部にある保護されたアプリへのアクセスをブロックします。

ポリシーが適用される場合:

このポリシーは、ユーザーが Edge for Business で保護されたアプリにアクセスし、Edge 仕事用プロファイルとアプリの両方について職場または学校アカウントでサインインするときに有効になります。 Edge for Business では、アンマネージド デバイスの DLP ポリシーが仕事用プロファイルにのみ適用されます。 これらのポリシーは、InPrivate ウィンドウを開く仕事用プロファイルにポリシーが適用されていない限り、個人用 プロファイルまたは InPrivate プロファイル には適用されません。 管理されていないデバイスでマネージド アプリをターゲットにするには、Edge for Business で仕事用プロファイルを適用します。

重要

この記事では、仮定の値を持つ架空のシナリオについて説明します。 これは説明のみを目的としています。 独自の機密情報の種類、秘密度ラベル、配布グループ、およびユーザーを置き換えます。

ポリシーをデプロイする方法は、ポリシー設計と同じくらい重要です。 この記事 では、コストのかかるビジネスの中断を回避しながらポリシーが意図を達成できるように、デプロイ オプションを使用する方法について説明します。

前提条件と前提事項

次のポリシー作成手順では、External という名前の架空の配布グループを使用 します。 ブラウザーで適用される DLP 保護の詳細については、 ブラウザーのデータ セキュリティ リソースに関するページを参照してください。

重要

この手順 を開始する前に、「Edge for Business のクラウド アプリのデータ損失防止」を参照してください 。 このシナリオの前提条件と前提条件に関する重要な情報を提供します。

ブラウザーでMicrosoft Entraマネージド アプリとのデータ共有を保護するためのポリシーを設定するには、次のフェーズに従います。

  1. アプリの条件付きアクセス制御 にアプリをオンボードします。

  2. 接続されているアプリからユーザー グループをインポートします。 ユーザー グループのインポートは、Entra条件付きアクセス ポリシーのグループと、Edge for Business のマネージド アプリの Purview ポリシーを対象とするために必要です。

  3. カスタム セッション コントロールを有効にし、ブラウザーのクライアント アプリ条件を使用して構成されたMicrosoft Entra条件付きアクセス ポリシーを作成します。

  4. すべてのデバイスでビジネス アプリの Edge 仕事用プロファイル サインインを適用するように構成された、Edge for Business のブラウザー内保護を有効にします。

  5. マネージド アプリとのユーザー操作を対象とする Microsoft Purview DLP ポリシーを作成します。

  6. (省略可能)Microsoft Edge の Microsoft 管理 ポータル設定で、保護されたクリップボードとスクリーン Capture防止機能をアクティブ化します。 Microsoft Edge for Business手順については、「保護されたクリップボードの概要」を参照してください。

  7. Microsoft Defenderで Microsoft Purview ポリシーの結果を確認します。

重要

ユーザーとアプリの両方が、ポリシーが Edge のユーザーに適用されるすべての前提条件保護のスコープ内にある必要があります。

ポリシー意図ステートメントとマッピング

ユーザーが BYOD や個人用デバイスからビジネス アプリのリソースにアクセスできるようにする必要がありますが、それらのデバイスへのデータのダウンロードをブロックする必要があります。 請負業者とベンダーの従業員は、これらの種類のデバイスを使用して、作業活動のために共同作業を行います。 顧客の銀行情報などの機密情報を含むファイルをダウンロードしようとすると、アクションをブロックする必要があります。 また、アラートの要件を満たす必要があります。 最後に、これをできるだけ早く有効にしたいと考えています。

Statement 構成に関する質問の回答と構成マッピング
ユーザーが BYOD や個人用デバイスから Workday などのビジネス アプリのリソースにアクセスできるようにする必要がありますが、デバイスへのデータのダウンロードをブロックする必要があります。 - ポリシーを適用する場所を選択します: エンタープライズ アプリとデバイス
-管理スコープ: 完全なディレクトリ
- ポリシーを適用する場所: Managed apps > Workday
請負業者とベンダーの従業員は、これらの種類のデバイスを使用して、作業作業のために共同作業を行います。... - アプリと共にスコープを設定する " 特定のユーザーとグループ、ユーザーとグループを含める>External
顧客の銀行情報などの機密情報を含むファイルをダウンロードしようとすると、アクションをブロックする必要があります。 監視対象: - カスタム ポリシー テンプレートを使用します
- 一致の条件: コンテンツには機密情報の種類>ABA ルーティング番号、オーストラリア銀行口座番号、カナダ銀行口座番号、国際銀行口座番号 (IBAN)、イスラエル銀行口座番号、日本銀行口座番号、ニュージーランドの銀行口座番号、SWIFT Code、米国銀行口座番号
- アクションが含まれます。ブラウザーとネットワークのアクティビティを制限します> **ファイルのダウンロード ** >Block。
また、アラートの要件を満たす必要があります。 セキュリティ チームは、ポリシーの一致結果に対して調査し、アクションを実行する方法を持っている必要があります。 - インシデント レポート: ルールの一致が既定でオンになっている場合に管理者にアラートを送信 する
...最後に、これをできるだけ早く有効にしたいと考えています。... ポリシー モード: **on **

前提条件を設定する手順

DLP ポリシーを作成する前に、次の手順を実行して前提条件を設定します。

  1. アプリの条件付きアクセス制御 にアプリをオンボードします。 詳細については、「条件付きアクセス アプリ制御用の Microsoft 以外の IdP カタログ アプリのオンボード」および「条件付きアクセス アプリ制御用の Microsoft IdP 以外のカスタム アプリのオンボード」を参照してください。 

  2. ユーザー グループをインポートします。 Microsoft Defender XDRにサインインし、[設定] > [Cloud Apps > System > User groups > + Import] を選択します。詳細については、「接続されているアプリからユーザー グループをインポートする」を参照してください。

  3. Microsoft Entra 管理センターにサインインします。

  4. セッション 制御を使用し、 を使用してブラウザーのクライアント アプリ条件を使用するクラウド アプリを対象とする新しい条件付きアクセス ポリシーを作成します。

    1. カスタム ポリシー は、[セッション コントロール] ドロップダウンで選択する必要があります。
    2. [条件] > [クライアント アプリ] でブラウザーを選択する必要があります

  5. https://security.microsoft.com) のMicrosoft Defender ポータルで、[System > Settings > Cloud apps >条件付きアクセス アプリ制御] セクション> [Edge for Business Protection] に移動します。 または、Edge for Business 保護ページに直接移動するには、 https://security.microsoft.com/cloudapps/settings?tabid=edgeIntegrationを使用します。

  6. Edge のブラウザー内保護をオンに構成し、[Edge とすべてのデバイスからのアクセスのみを許可する] を選択します

重要

マネージド クラウド アプリを対象とするポリシーにグループを含める場合は、まず 、接続されているアプリからユーザー グループをインポートする必要があります。

ポリシーを作成する手順

  1. [Microsoft Purview ポータル] にサインインします。
  2. [データ損失防止]>[ポリシー]>+ [ポリシーの作成] を選択します。
  3. [ エンタープライズ アプリとデバイス] を選択します。
  4. [カテゴリ] ボックスの一覧から [カスタム] を選択し、[規制] の一覧から [カスタム ポリシー] を選択します。
  5. [次へ]を選択します。
  6. ポリシー名を指定し、説明を入力します。 ここでポリシー インテント ステートメントを使用できます。
  7. [次へ] を選択します。
  8. 既定の [完全なディレクトリ] を [管理単位の割り当て] ページでそのまま使用します。
  9. [次へ]を選択します。
  10. [マネージド クラウド アプリ] を選択します
  11. [ 特定のユーザーとグループ] を選択します。
  12. [ + 含める] を選択し、[ グループを含める] を選択します。
  13. [ 外部] を選択します。
  14. [完了] を選んでから、[次へ] を選びます。
  15. [ + 管理対象アプリを含める] を選択します。
  16. [Workday] を選択します
  17. [ 完了] を選択します
  18. [ポリシー設定の定義] ページで、[高度な DLP ルールを作成またはカスタマイズする] オプションが既に選択されているはずです。
  19. [次へ]を選択します。
  20. [高度な DLP ルールのカスタマイズ] ページで、+ [ルールの作成] を選択します。
  21. ルールに名前を付け、説明を入力します。
  22. [条件の追加] を選択し、これらの値を使用します:
    1. [コンテンツに含まれるもの] を選択します。
    2. [ Add>Sensitive information types>Sensitive info types>ABA Routing Number、 Australia Bank Account Number、 Canada Bank Account Number、 International Bank Account Number (IBAN)、 イスラエル銀行口座番号、 日本銀行口座番号、 ニュージーランドの銀行口座番号、 SWIFT Code、 米国銀行口座番号を選択します。
  23. [追加] を選択します。
  24. [アクション] で、次の値があるアクションを追加します:
    1. ブラウザーとネットワークのアクティビティを制限する
    2. ファイルのダウンロード>ブロック
  25. [ インシデント レポート ] で[2] を選択します。 [ルールの一致が発生したときに管理者にアラートを送信 する] のトグルは既定で [オン] になります。
  26. [保存] を選んでから、[次へ] を選びます。
  27. [ ポリシー モード ] ページで、[ オン] を選択します。
  28. [次へ] を選択してから、[送信] を選びます。
  29. [完了] を選択します。

重要

DLP ポリシーは、すべての要件が満たされるまで Edge では適用されません。

保護されたクリップボードとスクリーン Capture保護Microsoft Edge for Businessアクティブ化する手順 (省略可能)

Microsoft Edge for Business手順については、「保護されたクリップボードの概要」を参照してください。

Microsoft Defenderで Microsoft Purview ポリシーの結果を確認する手順

ポリシーの一致結果を確認して対処する方法については、「Microsoft Defender XDRで調査して対応する」を参照してください。

  • Last updated on