Microsoft 365 データのセキュリティ - 暗号化とバックアップ

Microsoft 365 では、SharePoint Online や OneDrive for Business に保存されているファイル、Exchange Online のメールボックスに保存されているメッセージと添付ファイル、Teams のチャットやチャネル投稿など、多くのデータが保存されます。
これらのデータの中には組織（企業）の機密情報や、顧客の個人情報など、そのセキュリティが重要なものも少なくありません。
そのため Microsoft 365 にはデータのセキュリティを確保するための機能が用意されています。またセキュリティが確保され適切に管理・運用されていることを確認・証明できるコンプライアンスの機能も用意されています。
今回は Microsoft 365 内のデータのセキュリティ（機密性・完全性・可用性）についての機能を紹介していきます。

機密性を確保するため、Microsoft 365 に保存されているデータは、既定で暗号化されています。また Microsoft 365 から共有されるデータを暗号化して、明示的に共有した相手以外が開けなくすることもできます。

Microsoft 365 に保存されているデータは、ディスクレベルとファイルレベルの二重に暗号化されています。

Microsoft 365 のデータは Microsoft のクラウドインフラストラクチャーに保存されます。このクラウドインフラストラクチャーで利用されているディスクはすべて BitLocker 暗号化で保護されます。

オンプレミスのコンピューター同様、BitLocker 暗号キーはサーバーハードウェアの TPM で保護されています。また BitLocker 回復キーは通常人間（エンジニアなど）が取り扱うことはありません。どうしても人手での処理が必要な場合は、Microsoft 社内での厳密な審査に合格したエンジニアのみが、必要な場合にのみ管理者の承認と一時的なアクセス昇格を通じてアクセス可能となります。

ファイルレベルの暗号化では、ファイル（コンテンツ）ごとに固有の暗号化キーを含めてさらに細かく暗号化を行います。各ファイルは更新されるごとに暗号化されます。この暗号化の各ステップでは、256 ビットキーによる高度暗号化標準（Advanced Encryption Standard: AES） が使用され、Federal Information Processing Standard（FIPS） 140-2 に準拠しています。

つまり暗号化されたコンテンツをチャンクから復元して復号するには、コンテナー・コンテンツデータベース・キーストアの３つの場所にアクセスする必要があります。これらは物理的にも離れた場所に配置されます。これにより、Microsoft 365 に保存されているデータでは非常に高いレベルのセキュリティが実現しています。

なおファイルベースの暗号化では、カスタマーキーを利用することも可能です。カスタマーキーは Microsoft 365 の利用者が提供するルートキーで、このキーを使ってデータを暗号化できます。カスタマーキーを使用すると、Microsoft サービスが顧客データの暗号化を解除して処理する機能を制御できます。

Microsoft 365 のデータ暗号化についてさらに詳しい情報は、以下を参照してください。

Information Rights Management（IRM） を使用すると、SharePoint Online や OneDrive で共有されている Office ドキュメントファイルや PDF ファイルがダウンロードされた後のアクセスを制御および保護できます。共有によって SharePoint Online のライブラリ内にあるファイルやリストの添付ファイルがダウンロードされる際、自動的に暗号化が行われます。
ファイルを復号するには、共有されたユーザーが自分のアカウントでサインインしてクラウド上の Rights Management サービスサーバーにアクセスし、暗号鍵を受け取る必要があります。そのため、ダウンロードされたファイルは共有対象の本人以外開くことができません。もしダウンロードしたユーザーが別の人にファイルを共有しても、暗号鍵を受け取ることができないので別の人はファイルを開けません。
Information Rights Management については以下の担当者コラム記事で紹介していますので、詳しい内容や動作原理はこちらをご覧ください。

なお Information Rights Management の利用には Microsoft 365 Business Premium・Microsoft 365 E3 / E5・Office 365 E3 / E5 のライセンスが必要です。

保存されているデータが暗号化で保護されていても、ユーザーのミスや事故などでデータを誤って削除してしまうことはあります。またランサムウェアへの感染でデータが利用できなくなるインシデントも最近は少なくありません。これは完全性や可用性に対する脅威となります。そのような脅威へのリスクに対して、オンプレミスのファイルサーバーであればデータのバックアップやアーカイブを取得して、安全に保存することで対策をするのが一般的です。
これに対して従来 Microsoft 365 の Share Point Online や OneDrive for Business では、保存されているデータを丸ごとバックアップするにはサードパーティ製のソリューションを利用する必要がありました。

サードパーティ製品を利用しなくとも Share Point Online や OneDrive for Business のデータをバックアップ/アーカイブできる機能が「Microsoft 365 Backup」と「Microsoft 365 Archive」です。いずれも現在（2024年2月）プレビュー中ですが非常に便利な機能なので紹介します。

Microsoft 365 Backup はプレビュー中ですが、近日中に正式公開が開始される予定です。
文字通り SharePoint Online のサイト、OneDrive for Business の個人用ストレージ、Exchange Online のメールボックスのバックアップと復元が可能です。また今後 Teams のバックアップも行えるようになる予定です。
Microsoft 365 Backup は以下のような特徴を持っています。

Microsoft 365 Backup はすべての Microsoft 365 プランで利用可能ですが、バックアップの保存場所として Microsoft Azure を利用し、バックアップの容量に応じた従量課金となるため、以下の前提条件があります。

これらを含めた Microsoft 365 Backup の有効化手順を簡単に示します。

以上の手順で、Microsoft 365 Backup を構成して SharePoint サイトのバックアップを行うことができました。

バックアップポリシーの詳細については以下を参照してください。

またバックアップの復元については以下を参照してください。

なお Microsoft 365 Backup は現在プレビューのため、以下の制限事項があります。正式公開後には制限は無くなる予定です。

Microsoft 365 Archive は、使用しなくなった SharePoint Online サイトをアーカイブして安価に長期保存できるサービスです。サイトをアーカイブすると、その中にある以下のようなすべてのものがアーカイブされます。

Microsoft 365 Archive は以下のような特徴を持っています。

Microsoft 365 Backup でのサイトのバックアップとは以下の点が異なります。

過去のプロジェクトで利用したチームサイトなどすでに使用しなくなったサイトの容量が大きく、SharePoint 全体の割り当て容量を圧迫していたり、追加容量の購入が必要になっていたりする場合、使用しなくなったサイトをアーカイブすることで、容量に対する費用を削減することができます。
またアーカイブされたサイトのデータには通常の手段ではアクセスできなくなりますので、データの保護（意図しないアクセスや共有の防止）にも役立ちます。

Microsoft 365 Archive はすべての Microsoft 365 プランで利用可能ですが、アーカイブ容量と復元に応じた従量課金となるため、以下の前提条件があります。

Microsoft 365 Archive の有効化手順を簡単に示します。

これでサイトがアーカイブされます。
アーカイブされたサイトは、SharePoint 管理センターの [アーカイブ済みサイト] ページで確認できます。

サイトのアーカイブの詳細と、アーカイブされたサイトの復元については以下を参照してください。

Microsoft 365 に保存されているデータはディスクレベルとファイルレベルの二重に暗号化が行われ、安全に保存されています。また IRM を利用することで、Microsoft 365 から共有されダウンロードされたファイルに対しても暗号化を自動的に行い、アクセス制御を行うことができます。このような暗号化の機能を通じて、データの機密性を確保することが可能です。
また意図しない（誤操作やランサムウェアへの感染などによる）データの喪失や改変は完全性や可用性に対するリスクですが、これに対してはバックアップやアーカイブが有効な対策となります。Microsoft 365 では Microsoft 365 Backup で SharePoint Online・One Drive for Business・Exchange Online のデータを簡単かつ安価にバックアップできます。また Microsoft 365 Archive で SharePoint Online サイトをアーカイブすることもできます。

Information Rights Management の利用には Microsoft 365 Business Premium・Microsoft 365 E3 / E5・Office 365 E3 / E5 のサブスクリプションが必要となり、Microsoft 365 Backup と Microsoft 365 Archive の利用には Microsoft Azure サブスクリプションが必要となります。
Microsoft 365 サブスクリプションの新規契約やプランのアップグレード、Azure サブスクリプションの契約につきましては、ぜひ当社担当営業までご相談ください。