Microsoft が Office for the Web（Word・Excel・PowerPoint のブラウザ版）に、カスタムアクセス許可付きの秘密度ラベル（Sensitivity Label）作成機能を追加した。これまでデスクトップ版 Office にしかなかった機能がWebアプリでも使えるようになったことで、長年指摘されてきたセキュリティ面のギャップがようやく解消される。

秘密度ラベルとカスタムアクセス許可とは

秘密度ラベルは Microsoft Purview Information Protection（旧 Azure Information Protection）の中核機能だ。ファイルや電子メールに「社外秘」「機密」といったラベルを貼ることで、暗号化・透かし・アクセス制御などのポリシーを自動的に適用できる。

このラベルには2種類の設定方法がある。ひとつは管理者がテナント全体で定義する「管理者定義のアクセス許可」、もうひとつが今回の主役であるカスタムアクセス許可（User-defined Permissions）だ。後者は、ラベルを適用するユーザーが「このファイルはAさんとBさんだけが編集できる」と個別に指定できる柔軟な仕組みである。

このカスタムアクセス許可の設定機能がこれまでWebアプリに存在しなかった。管理者定義のラベルを貼ることはできても、特定ユーザーへの細かいアクセス制御をその場で設定する手段がなく、「どうしてもデスクトップ版を使わざるを得ない」という場面が生じていた。

何が変わったのか

今回の更新で、Word・Excel・PowerPoint のWeb版から直接、受信者のメールアドレスを指定して「閲覧のみ」「編集可能」などの権限をドキュメント単位で設定できるようになった。

デスクトップ版でラベルを付けた後にSharePoint上で確認・共有するというワークフローが主流だったが、これからはブラウザだけで一連の作業を完結できる。Chromebook利用者や、ポリシーでMacへのOfficeデスクトップインストールを制限している環境でも、情報保護の「抜け穴」がなくなる。

実務への影響

コンプライアンス運用の穴が塞がれる

日本の大手企業や金融機関では、Microsoft Purview を使って情報バリア（Information Barriers）や記録管理（Records Management）と組み合わせた多層的な情報ガバナンスを構築しているケースが増えている。しかしブラウザ版Officeにこの機能がなかったため、「Webアプリ利用時はラベルの詳細設定を忘れずにデスクトップで行うこと」という例外ルールが現場に残り続けていた。今回の対応でその例外が消える。

VDI・シンクライアント環境にとっても朗報

ゼロトラスト移行を進める企業ではVDI（仮想デスクトップ）やブラウザベースのシンクライアント構成を採用するケースが多い。デスクトップOfficeを持たないエンドポイントでも、秘密度ラベルの全機能が使えるようになったことはポリシー設計の自由度を大きく広げる。

管理者が確認すべきこと

  • テナントのラベルポリシーで「ユーザーによるカスタムアクセス許可の設定を許可」が有効になっているか確認する
  • Webアプリ向けに追加の感度ラベルポリシーを別途設定していた場合は見直しが必要
  • 展開タイミングはテナントによって異なるため、Microsoft 365 管理センターのメッセージセンターを確認する

筆者の見解

「Webアプリにはデスクトップ版の機能がない」というのは、クラウドファーストを謳う製品として長年もったいない状況だった。ブラウザ版を使い始めたユーザーが「重要な機能はデスクトップ版じゃないとできない」と気づいた時の落胆は小さくない。

Microsoft はここ数年でOffice for the Webの完成度を着実に高めてきており、今回の対応はその流れの中でも特に意義深い。情報保護は「意識の高い一部の人だけがやること」ではなく、すべてのドキュメント作業に自然に組み込まれるべきものだ。使う場所・デバイスを選ばずに同じ保護レベルを適用できる仕組みが整ってこそ、組織全体のセキュリティ水準が均一に保たれる。

日本の現場では情報漏洩リスクへの対応に追われながら、運用例外の多さに疲弊している担当者も少なくないはずだ。「禁止するのではなく、正しく安全に使える環境を整える」アプローチとして、今回の改善はその方向に一歩近づくものだと評価している。あとはテナントポリシーを整備して、現場が迷わず使える状態に仕上げるのが管理者の仕事だ。

出典: この記事は Microsoft finally fixes a security limitation in Office for the web の内容をもとに、筆者の見解を加えて独自に執筆したものです。