Microsoftは、データ損失防止（DLP）機能を担うMicrosoft Purviewを、ネットワークアクセス管理サービスのMicrosoft Entra Global Secure Access（GSA、旧称Entra Internet Access）と統合すると発表した。これまでOffice文書やSaaSアプリの操作に限られていた機密データ保護の対象を、ブラウザやAPI経由の通信を含むネットワーク層にまで広げる機能で、生成AIサービスへの入力プロンプトやテキストも検査対象になる。プレビューは2026年7月に開始済みで、一般提供（GA）は9月下旬から10月下旬にかけて全世界で完了する予定だ。

何が変わるのか

今回の統合により、Purviewの機密情報の種類（Sensitive Information Types）や秘密度ラベルに基づくDLPポリシーを、Entra GSAが可視化しているネットワークトラフィックそのものに適用できるようになる。対象は会社が許可したSaaSアプリだけではない。管理下にない外部の生成AIサービス、SNS、Webメール、クラウドストレージ、フォームサービスなど、インターネット上の幅広い宛先への通信が対象だ。

検査結果はPurviewとMicrosoft Defenderにアラート・インシデントとして集約され、Insider Risk Managementとも連携してリスクの高いユーザー行動を特定する。ポリシーは監査（記録のみ）からブロックまで管理者が選択でき、機能自体が自動で有効化されるわけではない。Purview・Entra GSA・Defenderの各管理者がポリシーを作成・展開して初めて動作する点は押さえておきたい。

なぜこれが重要か

生成AIの業務利用が広がるほど、社員が個人契約の外部AIサービスに機密情報を貼り付けてしまう「シャドーAI」のリスクは避けて通れない。従来のDLPはOffice文書やTeams、SharePointといった管理下のアプリ内の操作は捕捉できても、社員が個人のブラウザから外部の生成AIサイトに直接テキストを打ち込む行為までは見えていなかった。今回の統合は、その盲点をネットワーク層の可視化でふさぐものだ。しかもEntra GSAはVPNに代わるゼロトラストネットワークアクセス（ZTNA）の実装であり、認証層・認可層の制御にネットワーク層でのデータ保護が加わることで、防御の層が一つ埋まる形になる。

実務への影響

日本企業の情報システム部門にとって、この機能は「生成AIを使わせるかどうか」ではなく「どう安全に使わせるか」を考える材料になる。禁止だけのアプローチは必ず抜け道が生まれるため、Purviewの検査結果で利用実態を可視化し、業務上必要な外部AI利用は許可しつつ機密情報の送信だけをブロックする、という運用が現実的な落としどころになるだろう。

導入を検討するなら、まずEntra Internet Accessのライセンス要件と既存のDLPポリシーを棚卸しし、どの部門がどんな外部AIツールを使っているかを洗い出すところから始めたい。ロールアウトは段階的だが、Purview Network Data Securityの従量課金や、既存のTLSインスペクション設定との整合性確認も必要になるため、プレビュー期間のうちに検証環境で挙動を確認しておくのが安全だ。

筆者の見解

ネットワーク層・認証層・認可層の3層でデータを守るという発想は、まさにゼロトラストの王道であり、この統合はその実践として素直に評価したい。VPNを延命させるのではなく、Entra GSAというZTNAの土台にDLPを載せてくる設計は、ID基盤・ネットワーク・コンプライアンス機能を横断的に組み合わせられる強みがよく出ている領域だと思う。個々の機能単体の派手さで語られがちな昨今だが、こういう地味だが実務に効く統合力こそ、Microsoftが正面から勝負できるはずの得意分野だ。

一方で、この機能は管理者がポリシーを作って初めて動く「待ちの機能」であることは忘れてはいけない。発表を眺めているだけでは何も守られない。ライセンスとロールアウト時期を確認し、まずは監査モードで自社のトラフィックに何が流れているかを可視化するところから着手するべきだろう。情報を追いかけるより、実際に手を動かして自社環境でどう動くかを確認する方が、この手の機能では確実に価値がある。

出典: この記事は Microsoft Purview: Extend data security to the network layer via Entra GSA integration の内容をもとに、筆者の見解を加えて独自に執筆したものです。