変更要約: SC-100 第5章を新規作成（ドメイン4「アプリとデータのセキュリティ設計」: M365 保護(Microsoft Secure Score/Defender for Office 365/Defender for Cloud Apps(CASB)/Intune/Purview ラベル/DLP)、Copilot for Microsoft 365(権限/ラベル継承/過剰共有/DSPM for AI/Purview Audit)、アプリ保護(脅威モデリング/セキュア開発ライフサイクル/workload identity/API Management/Azure WAF)、データ保護(discovery/分類/保存時・転送時暗号化/CMK/Key Vault/Defender for Storage/Defender for Databases/Azure SQL/Synapse/Cosmos DB/Storage)）。
5.2Microsoft 365 Copilot のデータセキュリティ
Microsoft 365 Copilot のデータセキュリティとコンプライアンス統制の評価＝既存のアクセス権限と秘密度ラベルの継承、過剰共有（oversharing）の抑制、Purview による監査と DLP の適用を理解します。
生成 AI アシスタント Microsoft 365 Copilot は、テナント内のデータを横断して回答します。便利な反面、「アクセスできるデータが Copilot 経由で一気に露出する」リスクがあり、アーキテクトはデータガバナンスの観点で評価/統制を設計します。
5.2.1権限と秘密度ラベルの継承
Copilot は新しい権限モデルを作りません＝ユーザーが既に持つアクセス権限の範囲内でのみデータを参照し回答します。さらに Microsoft Purview の秘密度ラベル を尊重し、暗号化/利用権限のあるコンテンツの扱いはラベルの保護に従います。生成された応答にも適切なラベルが継承されます。つまり「Copilot のセキュリティは、土台となる M365 のアクセス権限とラベルの健全性に等しい」のがアーキテクトの理解の起点です。
5.2.2過剰共有の抑制と監査
最大のリスクは 過剰共有（oversharing）＝「全社共有」になった機密ファイルや古い緩い権限です。Copilot 導入前に Purview の Data Security Posture Management（DSPM for AI） やアクセスレビュー、SharePoint の共有設定の見直しで権限を絞ります。Copilot の操作は Purview Audit で監査でき、DLP や秘密度ラベルで応答/参照の境界を制御します。アーキテクトは「AI 導入の前提条件＝最小権限のデータ衛生」を要件として明示します。