Microsoft 365 Copilotのセキュリティ｜情報漏洩と権限の整理

Microsoft 365 Copilotの導入を検討するとき、「社内の情報が漏れないか」という問いは避けて通れない。この問いに答えるには、Copilotそのものより先に、社内のファイルが今だれに見えているかを知る必要がある。

ここでは、Microsoftの文書をもとに、Copilotがどのデータを使うのか、情報漏洩がどこで起きるのか、導入前に整理する権限と設定を順にまとめる。なお、Microsoft 365 Copilotは現在Microsoft Copilotという名前に変わっている。Microsoftは名前の変更でセキュリティやプライバシーの扱いは変わらないとしているので、ここでは検索されることの多い旧称のまま書く。

Microsoft 365 Copilotが使うデータと、使わないデータ

Microsoftの文書は、Copilotは利用者が少なくとも閲覧の権限を持つ社内データだけを表示すると説明している。社内の文書を検索するための索引（Semantic Index）も、利用者のIDごとの権限の範囲を守り、今の利用者が見てよい内容だけを使う。

学習については、プロンプト、応答、Microsoft Graphを通じて取り出したデータは、Copilotが使うものを含め基盤となるLLMの学習に使われない。個人向けのAIサービスとの違いは生成AIに学習させない設定で比べた。

暗号化されたファイルについては、Microsoft Purview Information Protectionで暗号化されたデータに対して、Copilotは利用者に与えられた使用権限に従う。閲覧（VIEW）の権限はあるが、文字を写し出す（EXTRACT）の権限がない場合、Copilotは中身を要約せず、リンクで示すにとどめる。

ここから言えるのは、Copilotは利用者の権限を広げないということだ。私の見方では、この一文がCopilotのセキュリティを考える出発点になる。

Copilotの情報漏洩はどこで起きるか

権限を広げないのに、なぜ情報漏洩が心配されるのか。私の見方では、原因は3つに分けられる。

1. もともと見えすぎている

Copilotは、利用者が見られるものは使う。全社に共有されたままの人事の資料や、退職者が作った共有リンクの残ったフォルダは、これまで「場所を知らないので誰も開かなかった」だけで、権限の上では見られる状態だった。Copilotに聞けば、その中身が答えに出てくる。

SharePointの共有リンクには種類がある。Microsoftの文書は、「リンクを知っている全員」のリンクは、リンクを持つ人なら認証なしでファイルやフォルダにアクセスでき、転送されると社内外のどちらでも使え、誰がアクセスできるかを追えないと書いている。「組織内のユーザー」のリンクも、転送されれば組織内の誰でも使える。「特定のユーザー」のリンクが最も制限が強い。

2. 外から入ってきた文章に操られる

Copilotは、受け取ったメールや共有された文書も読む。その中に紛れた指示にCopilotが従うと、利用者の権限の範囲で見られる情報が外に出る。2025年6月11日に公表されたCVE-2025-32711（通称EchoLeak）は、Microsoft 365 CopilotのAIコマンドインジェクションによる情報漏えいの脆弱性で、深刻度を示すCVSSは9.3だった。利用者の操作なしで成立する条件の脆弱性だった。Microsoftはこの脆弱性をサービス側で対処済みとしており、利用者が行う作業はない。報告者としてAim Security（Aim Labs）が記載されている。

この種の攻撃の仕組みはプロンプトインジェクションとはに、生成AIをめぐる漏えいの事例は生成AIの情報漏洩の事例にまとめた。

3. 社外に出ていく経路を把握していない

CopilotはWeb検索を使うことがある。Microsoftの文書は、CopilotがBingの検索サービスに検索クエリを作って送ること、その検索クエリはプロンプト全体やファイル全体ではないことを説明している。一方で、Bingの検索サービスはMicrosoft 365とは別に運用され、生成された検索クエリにはデータ保護契約（DPA）やEUデータ境界が適用されないとも書いている。

導入前に整理する権限と設定

3つの原因に対して、導入前に決めることを表にした。表は私の整理で、機能の名前はMicrosoftの文書による。

共有されすぎたサイトを見つける

Microsoftは、Copilotの導入前の準備として、共有されすぎた状態の解消、ガードレールの設定、規制への対応を挙げ、SharePoint Advanced ManagementはCopilotのライセンスに含まれると書いている。データアクセスガバナンスのレポートは、共有されすぎた可能性のある内容や機密の内容を含むサイトを見つけるためのもので、共有リンクのレポートは直近28日に作られた「リンクを知っている全員」「組織内のユーザー」「特定のユーザー」のリンクを数える。見つけたサイトは、サイトアクセスのレビューで持ち主に権限の見直しを依頼できる。

直すまでの間はRestricted Content Discoveryで隠す

権限の見直しには時間がかかる。Restricted Content Discoveryは、指定したSharePointのサイトを全社の検索結果とCopilotの回答に出さないようにする機能だ。ただしMicrosoftは、この機能は既存の権限を変えない一時的な統制だと書いている。OneDriveには使えず、50万件を超える項目があるサイトでは反映に1週間以上かかることがある。似た機能のRestricted SharePoint Searchは、2026年7月31日から新しく有効にできなくなっているので、これから設計するなら選ばない。

私の見方では、隠す機能は権限を直すまでのつなぎであり、ゴールではない。隠したサイトの一覧と、それぞれをいつまでに直すかを一緒に持っておくべきだ。

ラベルとDLPで、Copilotに使わせない文書を決める

PurviewのDLPには、Copilotを対象にする場所（Microsoft 365 Copilot and Copilot Chat）がある。特定の機密ラベルが付いた項目をCopilotの処理から外せる。外した項目も回答の引用元には表示されるが、Copilotはその中身を使わない。プロンプトに機密情報が含まれるときに止める機能や、社外から届いたメールをCopilotの対象から外す機能もプレビューで用意されている。後者についてMicrosoftは、プロンプトインジェクションのリスクを下げるためだと説明している。

限界もある。DLPは、プロンプトに直接アップロードしたファイルの中身は検査できない。

Web検索とエージェントの扱いを決める

Web検索は、管理者がポリシーで有効、無効、または職場のデータを使うモードだけ無効、から選べる。社外に出る検索クエリを許すかどうかは、業務の中身で決めることだ。

Copilot Studioで作るエージェントにSharePointを読ませる場合、エージェントは利用者がアクセスできる内容だけを表示し、少なくとも読み取りの権限が要る。例外として、Teamsのチャネルで使うエージェント（Channel Agent）は、チャネルの全員の権限を確かめないので、一部の人が開けない項目の中身を要約することがあるとMicrosoftは書いている。

監査ログに残るものと残らないもの

Copilotとのやりとりは、Purviewの監査（Standard）に自動で記録される。操作名はCopilotInteractionで、Copilotが使ったファイルの機密ラベルも記録に入る。一方で、監査ログにはプロンプトと応答の本文は入らない。本文が必要ならeDiscoveryを使う。

導入を止める理由ではなく、権限を棚卸しする機会

「情報漏洩が怖いのでCopilotは入れない」という判断は、私の見方では半分しか正しくない。Copilotが出す情報は、もともと社員が見られる状態だった情報だ。入れないことで隠れるのは、問題そのものではなく、問題が見つかる機会のほうだ。

導入を、共有と権限を棚卸しする機会として使うほうがよい。社内文書に答えるAIを自社で作る場合も、権限を検索の段階で絞るという考え方は同じで、その設計はRAG構築の進め方に書いた。業務の現場に入ってAIを実装する職種はFDEとは？Forward Deployed Engineerの意味と仕事内容で説明している。

社内のAIの使われ方と、共有・権限の設定を洗い出す診断は、AI利用セキュリティ診断で紹介している。