Instiq
第2章 · データ保護とガバナンス（Microsoft 365・Copilot）·v1.1.0·更新 2026/6/11·読了目安 約14分

変更要約: 各節に図（figure）を追加＝cert-figure-retrofit。AB-900 第2章を新規作成（ドメイン2「データ保護とガバナンス」: Purview=情報保護/秘密度ラベル・DLP・インサイダーリスク・コミュニケーションコンプライアンス・DSPM for AI・データライフサイクル管理/分類、Copilot データセキュリティ=既存権限の範囲内/Microsoft Graph グラウンディング/権限・Purview・Defender の重ね合わせ/責任ある AI、リスク特定と過剰共有=コンプライアンスマネージャー/データ・アクティビティエクスプローラー/DLP アラート/eDiscovery コンテンツ検索/データアクセスガバナンスレポート/SharePoint Advanced Management 制限付きサイトアクセス）

2.2Copilot のデータセキュリティ

この節の要点

Microsoft 365 Copilot がどのようにデータへアクセスするか、Microsoft Graph が応答にどう影響するか、Copilot が Microsoft 365・Purview・Defender の権限やコントロールでどうリスクから保護されるか、そして責任ある AI の原則を理解します。

Microsoft 365 Copilot の安全性を理解する鍵は「Copilot はユーザーが既にアクセスできるデータの範囲内でしか動作しない」という原則です。Copilot が新たにアクセス権を作るわけではなく、既存の権限を継承します。だからこそ、不適切な共有（過剰共有）や誤った権限があると、Copilot を通じてそれが顕在化します。

2.2.1Microsoft Graph と応答

Copilot は Microsoft Graph を通じて、メール・ファイル・チャット・予定など組織内のコンテキストにアクセスし、ユーザーの権限を尊重した上で関連情報を取り込んで応答を生成します（グラウンディング）。Graph があるからこそ Copilot は「自分の組織のデータに即した」回答ができます。アクセス権の範囲が応答の範囲を決めるため、権限設計と分類が応答品質と安全性の両方を左右します。

2.2.2権限・Purview・Defender による保護と責任ある AI

Copilot のリスクは、重なり合うコントロールで抑えます。
①Microsoft 365 の権限（アクセスできないデータは Copilot も使えない）、
②Microsoft Purview（秘密度ラベル・DLP・DSPM for AI で機微データを分類・保護・可視化）、
③Microsoft Defender（脅威検知・XDR）。さらに Microsoft の 責任ある AI 原則（公平性・信頼性と安全性・プライバシーとセキュリティ・包括性・透明性・説明責任）に沿って、ハルシネーションや有害な出力などのリスクにも配慮します。

注意

混同に注意：
①Copilot は新たなアクセス権を作らない——既存の権限を継承するだけ。だから過剰共有が Copilot で表面化する。
②Microsoft Graphは応答のグラウンディングに使われるが、ユーザーの権限を超えない。
③保護は単一機能でなく権限＋Purview＋Defender の重ね合わせ。

試験ポイント

「Copilot のデータ挙動 → 正しい説明」が頻出。例：「Copilot は誰でも全社データを見られる？」＝×（ユーザーの権限の範囲内）、「過剰共有があるとどうなる？」＝Copilot を通じて露出しうる、「Copilot が自社データに即して答えられる理由は？」＝Microsoft Graph によるグラウンディング、「機微データのリスクを可視化するには？」＝Purview DSPM for AI。

Microsoft 365 Copilot がプロンプトを Microsoft Graph で根拠付けし、ユーザーが既にアクセスできるデータのみを参照、既存の権限・Purview・Defender・責任あるAIが適用される流れの図。
Copilot は既存の権限と保護を尊重

2.2.3この節のまとめ

  • Copilot はユーザーの既存アクセス権の範囲内でのみ動作。過剰共有は Copilot で表面化
  • Microsoft Graph が組織コンテキストでグラウンディング（権限を超えない）
  • 保護＝Microsoft 365 権限＋Purview（ラベル/DLP/DSPM for AI）＋Defender。責任ある AI に準拠

進捗の記録にはログインが必要です。

理解度チェック

（軽い確認用）

Q1. Microsoft 365 Copilot のデータアクセスについて正しい説明はどれですか？

Q2. Copilot が自社の組織データに即した応答を生成できるのは、何を通じてコンテキストにアクセスするからですか？

Q3. 組織に過剰共有（広すぎる共有）があると Copilot にどのような影響がありますか？

Q4. Copilot のリスクを抑える「重なり合うコントロール」に含まれないものはどれですか？

Q5. Copilot を含む AI の利用にあたり、公平性・透明性・説明責任などの観点を示す枠組みはどれですか？

Q6. Copilot が扱う機微データのリスクを可視化して管理するために最も適した Purview の機能はどれですか？

理解度を確認第2章「データ保護とガバナンス（Microsoft 365・Copilot）」の問題を解く