背景

• 秘密度ラベルを発行済みの状態で、SPOにファイルをアップロードした際に自動で既定の機密ラベルが付与される設定を検討したい。
• 実装方法が２つあるので、その使い分けを知りたい。
  • 方法１：自動ラベル付けポリシー活用
  • 方法２：SPOで既定の秘密度ラベルを設定

結論

• 使い分けはできるが、自動ラベル付けポリシーを活用したほうが抜け漏れはないのででこちらがよい。
• SPOで既定の秘密度ラベルを設定する場合は、サイトの編集権限を持つユーザーでラベル設定されていないライブラリを作られてしまうなどのリスクがある

実装方法１ Purview 自動ラベル付けポリシー

「自動ラベル付けポリシー」にて、特定のSPOサイトを対象として秘密度ラベルを自動的に適用する。
　※下記のようにルールを作成して設定。

実装方法２ SPOでの既定の秘密度ラベル

「SPOサイト＞ドキュメント＞ライブラリの設定＞既定の機密ラベル」にて、作成したラベルを選択。

使い分け

自動ラベル付けポリシーはポリシー作成時に適用範囲を [すべてのサイト] や [特定のサイト] に指定できるため、より広範なラベル付けに向いている。

SPOでの既定の機密ラベルは、ラベル付けの適用対象があくまでドキュメント ライブラリ単位となるため、当該既定のラベル設定をしていないライブラリにファイルをアップロードした場合にはラベルが適用されない動作となってしまう。SPOのサイトの編集権限を持つユーザーでは、自由にドキュメント ライブラリ作成ができるため、ラベルが設定されていないライブラリを作成することは可能な動作となり、ラベル付けの対象として抜け道ができるリスクがある。

なので結論としてはできる限り自動ラベル付けポリシーを利用したほうがガバナンスがきく。

補足

表記ゆれ

MS自体が”秘密度ラベル”と”機密ラベル”で表記が揺れているので、これはこれでややこしい。
MSドキュメントは秘密度ラベル表記だが、実際の設定個所は機密ラベルとなっているので要注意。

関連項目ラベル発行ポリシー

そもそもファイルを作ったときに特定の秘密度ラベルを適用するものとしてラベル発行ポリシーの既定のラベルがある。これも併用するとよい。

3つの使い分けは表でまとめる下記。ポイントは多層防御の考え方。なのですべてやることが望ましいと思われるが、ユーザーにはコントロールさせないほうが良いので、個人的には自動ラベル付けポリシーとラベル発行ポリシーでの既定ラベルでよいと思う。

SPOファイルへの秘密度ラベル適用方法の比較