Microsoft 365 Copilotの情報漏洩対策｜SharePoint・OneDrive・Teamsの権限を棚卸しして是正する手順ARTICLE

※ Microsoft 365 Copilot は、2026年8月から「Microsoft Copilot」に名称が変わりました（Copilot Chat は「Microsoft Copilot Chat」）。移行期間中は旧名称も併用されているため、本記事では広く使われている「Microsoft 365 Copilot」の表記で統一しています（出典：Microsoft Learn「Microsoft Copilot のデータ、プライバシー、セキュリティ」）。

「Copilot を入れたら、社内の機密情報が漏れるのではないか」——Microsoft 365 Copilot の導入を検討する会社で、経営層や法務から必ず出てくる懸念です。

この懸念は半分正しく、半分は的を外しています。企業向けの Copilot は、入力した内容が AI の学習に使われたり、他社に流れたりする仕組みではありません。その意味での「外部への情報漏洩」を心配しすぎる必要はありません。一方で、Copilot を入れた直後に実際に起きやすいのは、社内の、見えてはいけない人に資料が見えるという事故です。役員会の資料、給与テーブル、人事評価——これらが、権限上は全社員が開ける場所に置かれたままになっていると、Copilot は正しくそれを見つけて回答に使います。

本記事はシリーズ第3回です。第2回（前編）で「Copilot の参照範囲は質問した本人の権限」と整理し、第2回（後編）の導入前チェックリストで『「組織内の全員」に共有されたままの資料がないか』を確認項目に挙げました。今回はその中身として、SharePoint・OneDrive・Teams の共有設定をどう棚卸しし、どう是正するかを扱います。

この記事の要点

• Microsoft 365 Copilot の情報漏洩リスクの中心は、外部への流出ではなく、広すぎる共有設定によって社内で見えすぎることです。Copilot は権限を広げませんが、広すぎた権限を見つけやすくします
• 棚卸しは、①守る情報を決める → ②既定の共有設定を確認する → ③広く見える場所を洗い出す → ④所有者に見直しを依頼する → ⑤是正して再発を防ぐ、の5ステップで進めます
• Copilot のライセンスが1人以上に割り当てられていれば、SharePoint Advanced Management の権限レポートや一時的にサイトを Copilot から隠す機能が使えます。一時措置と恒久対策を混同しないことが大切です

Microsoft 365 Copilotの情報漏洩リスクとは ― 「外に漏れる」より「社内で見えすぎる」

Copilot の情報漏洩リスクを考えるときは、まず2種類を分けます。

外部への流出については、特別編：その社内規則、Microsoft 365 Copilotを禁止していますか？で、エンタープライズデータ保護（EDP）の保護範囲を整理しました。本記事が扱うのは、もう一方の「社内での過剰な露出」、英語で oversharing（過剰共有）と呼ばれる問題です。

なお、個人アカウントで使う無償の生成 AI サービスに業務データを貼り付けるケースは、Copilot とは別の、文字どおりの外部流出リスクです。こちらは利用ルールの問題として第5回（ガイドライン）で扱います。

なぜCopilotで過剰共有が表に出るのか

SharePoint のアクセス権の多くは、何年も前に誰かが「とりあえず全員に見えるように」設定したまま残っています。それでも今まで事故にならなかったのは、場所を知らない人はたどり着かなかったからです。深いフォルダーの奥にある古い資料を、わざわざ探しに行く社員はいません。

Copilot は、この「見つけにくさ」に頼った状態を終わらせます。

Copilot は、質問した本人が閲覧権限を持つ情報の中から、質問に関係する資料を探して回答に使います。権限そのものは1つも変わっていません。変わったのは、権限の範囲にある資料が、質問するだけで見つかるようになったことです。

だからこそ、Copilot の情報漏洩対策は「Copilot の設定」ではなく、既存の権限の棚卸しが本体になります。公開事例でも、三井化学は全社データの棚卸しとアクセス権限の再確認による過剰共有対策を先に行ってから利用を広げ（出典：Microsoft 公式事例）、日本製鉄は以前から SharePoint Online の権限設計を整えていたことで、既存の権限のまま Copilot を使い始められたとされています（出典：Microsoft 公式事例）。

見えすぎを生む6つの共有パターン

非IT企業の SharePoint・OneDrive・Teams で、過剰共有の原因になりやすいのは次の6つです。

「組織内のユーザー」リンクの誤解

よく誤解されるのが、共有リンクの種類です。SharePoint と OneDrive の共有リンクには「すべてのユーザー」「組織内のユーザー」「特定のユーザー」の3種類があります。

Microsoft のドキュメントでは、「組織内のユーザー」リンクを作っただけでは、そのファイルが全社員の検索結果や Copilot に出てくることはないと説明されています。アクセスできるのはリンクを受け取って開いた人で、SharePoint・OneDrive の画面や Outlook のメール、Teams のチャットで個人宛てに送った場合は、受信者（最大100人）に対して自動的にアクセスが有効になります。一方、「特定のユーザー」リンクは、リンクに追加されたユーザーやセキュリティグループのメンバーの検索結果と Copilot から見えるようになります（出典：Microsoft Learn「OneDrive と SharePoint での共有可能なリンクのしくみ」）。

つまり、全社員に見える状態を作る最大の原因は、リンクではなく、①の「外部ユーザー以外のすべてのユーザー」をサイトやフォルダーの権限に付ける操作や、②の公開チームです。棚卸しでは、ここから確認します。

Teamsの公開チーム

Teams のチームを作るとき、プライバシーを「パブリック」にすると、そのチームは組織のすべてのユーザーのチーム一覧に表示され、所有者の承認なしに参加できます。「プライベート」にすると、所有者が追加しない限り、チームを検索したり参加したりできなくなります（出典：Microsoft サポート「Microsoft Teams でパブリック チームをプライベートにする」）。

Teams のチームで共有したファイルの実体は SharePoint のサイトにあるため、公開チームのファイルは、参加した人の Copilot の参照範囲に入ります。経営企画や人事のチームがパブリックのまま運用されていないかは、最初に確認すべき項目です。

Copilot導入向けのMicrosoft公式の仕組みとライセンス要件

Microsoft は、Copilot 導入に向けた過剰共有対策の仕組みを用意しています。中心になるのが SharePoint Advanced Management（SAM）です。SAM は、SharePoint と OneDrive のコンテンツの広がりやライフサイクルを管理し、過剰共有を防ぐための管理機能群です（出典：Microsoft Learn「SharePoint Advanced Management overview」）。

非IT企業の棚卸しで特に役立つのは、次の機能です。

DAG レポートのうち、アクティビティレポートは直近28日間に作られた共有リンクや全社共有を追跡するもので、Microsoft はスナップショットレポートで全体像を押さえたうえでアクティビティレポートを併用し、前者は四半期ごと、後者は毎月実行することを勧めています（出典：Microsoft Learn「Data access governance reports」）。

ライセンス要件（2026年9月時点）

SAM の機能をどのライセンスで使えるかは、次のように説明されています（出典：Microsoft Learn「Prerequisites for SharePoint Advanced Management」、「SharePoint Advanced Management features in Microsoft Copilot licenses」）。

• 組織内で1人以上のユーザーに Copilot のライセンスが割り当てられている場合、SharePoint 管理者は Copilot 導入を支える SAM の機能を使えます。割り当てを受けるユーザーが SharePoint 管理者である必要はありません。上の表の機能はこれに含まれ、対象は企業（enterprise）と一般法人（business）の商用顧客とされています
• Copilot のライセンスがない場合は、SharePoint Advanced Management Plan 1 のアドオンを購入する方法があります
• アプリによるサイト作成の制限（Restricted site creation by apps）は Copilot のライセンスには含まれず、Plan 1 が必要です
• 秘密度ラベルに関する DAG レポートは、E5 などの上位ライセンスが前提です

一方で、同じ前提条件のページでは、基本となるサブスクリプションとして Office 365 E3・E5、Microsoft 365 E1・E3・E5 などが列挙されています。Microsoft 365 Business Standard・Business Premium に Copilot Business を追加している会社は、SharePoint 管理センターの［高度な管理］で実際に使える機能を確認してから計画を立ててください。

Restricted SharePoint Searchは新規に使えない

Copilot 導入の初期によく紹介されていた Restricted SharePoint Search（検索対象を最大100サイトの許可リストに絞る設定）は、提供終了に向かっています。2026年7月31日から新規の有効化はできなくなり、Microsoft は代わりに Restricted Content Discovery などを使うよう案内しています（出典：Microsoft Learn「Restricted SharePoint Search」）。古い解説記事を参考にする場合は注意してください。

SharePoint権限の棚卸し ― 5つのステップ

ここからが実務の手順です。棚卸しは次の5ステップで進めます。

ステップ1：守る情報を決める

最初にやるのは、ツールを開くことではなく、「誰に見えたら困るか」が明確な情報を一覧にすることです。非IT企業で優先度が高いのは、次のような情報です。

• 人事・給与（給与テーブル、人事評価、採用選考、懲戒）
• 役員会・経営会議の資料、M&A や組織再編の検討資料
• 顧客や取引先の個人情報、契約条件
• 見積の原価や利益率、取引先ごとの価格
• 社員の健康情報、ハラスメント相談の記録

この一覧は、経営と総務・人事で30分話せば作れます。棚卸しの範囲を「全サイト」ではなくこの情報が置かれていそうな場所から始めることで、作業量を現実的な大きさにできます。

ステップ2：既定の共有設定を確認する

次に、SharePoint 管理センターの［ポリシー］→［共有］で、組織全体の共有設定を確認します。Microsoft は、SharePoint の共有設定は既定で最も許容度の高い設定になっていると説明し、Copilot に備えて見直すことを勧めています（出典：Microsoft Learn「Get ready for Microsoft Copilot with SharePoint Advanced Management」）。

確認するのは次の点です。

• 外部共有をどこまで許可しているか（「すべてのユーザー」リンクを許可しているか）
• ユーザーが共有するときに既定で選ばれるリンクの種類
• リンクの有効期限や、既定の権限（表示のみか編集可か）

この設定は SAM がなくても、どのプランでも見直せます。

ステップ2の補足：「すべてのユーザー」リンクは作れないようにしておく

K.S.Rogers では、「すべてのユーザー」リンクを作れない設定にしておくことをおすすめしています。「すべてのユーザー」リンクは、受け取った人がサインインせずに開けるリンクで、転送されれば社外の誰でも開けます。誰が開いたかも記録に残りません（出典：Microsoft Learn「OneDrive と SharePoint での共有可能なリンクのしくみ」）。これは Copilot の参照範囲とは別の、文字どおりの外部への流出経路です。

設定は、SharePoint 管理センターの［ポリシー］→［共有］で、SharePoint と OneDrive の外部共有のレベルを「新規および既存のゲスト」以下にするだけです。「すべてのユーザー」リンクは、このレベルが一番上の「すべてのユーザー」のときにしか選べないため、これで社員の共有画面から選択肢が消えます。社外と共有するときは、相手を指定し、サインインか確認コードで本人確認をする「特定のユーザー」リンクを使う運用になります（出典：Microsoft Learn「Manage sharing settings for SharePoint and OneDrive」）。OneDrive は既定で「すべてのユーザー」になっているため、SharePoint と OneDrive の両方を下げます。

気になるのは、設定を変える前に作られた「すべてのユーザー」リンクの扱いです。Microsoft Learn では、組織の共有レベルを下げると、それより広い共有は使えなくなり、共有済みのリンクも機能しなくなると説明されています。ゲストのアクセスも、通常は変更から1時間以内に失われます。ただし、リンクそのものが削除されるわけではありません。共有レベルを元に戻すと、以前のリンクは再び機能します（出典：Microsoft Learn「Change the sharing settings for a site」）。

そのため、次の順番で進めると安全です。

1. 変更の前に、どのファイルが「すべてのユーザー」リンクで社外に共有されているかを確認する（SAM があれば DAG レポートの共有リンクのレポートで一覧にできます）
2. 取引先との受け渡しなど、業務で使っている共有は、相手を指定した「特定のユーザー」リンクに作り直す
3. 共有レベルを「新規および既存のゲスト」以下に下げ、社内に周知する
4. 後から「一時的に戻す」ことがないように運用を決める。戻すと、止めたはずの古いリンクがまとめて復活します

なお、「すべてのユーザー」リンクを作っただけでは、そのファイルが Copilot の回答に出てくることはありません。この設定は Copilot の見えすぎ対策ではなく、Copilot 導入を機に外部への流出経路も閉じておく、という位置づけです。

ステップ3：広く見える場所を洗い出す

SAM を使える場合は、DAG レポートのサイトのアクセス許可レポートで、全体像を把握します。このレポートは、利用者が数千人規模のサイト、外部ゲストを含むサイト、「外部ユーザー以外のすべてのユーザー」に権限があるサイトなど、アクセスが広いサイトを特定するためのものです。続いて、全社共有のアクティビティレポートと共有リンクのレポートで、直近の動きを確認します。

SAM を使えない場合は、次の手作業で代替します。

1. SharePoint 管理センターの［アクティブなサイト］でサイトの一覧を書き出す
2. ステップ1の情報が置かれていそうなサイトに印をつける
3. 印をつけたサイトごとに、サイトのアクセス許可と、所有者・メンバー・訪問者の構成を確認する
4. Teams 管理センターで、チームのプライバシー（パブリック／プライベート）を一覧で確認する

手作業でも、対象を絞っていれば数十サイトの確認で済むことが多いのが実感です。

ステップ4：所有者に見直しを依頼する

見つかった問題を、情報システム担当が1つずつ直すのは現実的ではありません。そのサイトに何が置かれていて、誰に見えるべきかを知っているのはサイトの所有者（現場）だからです。

SAM のサイトアクセスレビューを使うと、DAG レポートで見つかったサイトの所有者に見直しを依頼し、所有者がメンバーやリンクを整理できます。SAM がない場合も、「このサイトのメンバー一覧と共有リンクを確認し、○日までに不要なものを外してください」という依頼の型を作っておけば同じ運用ができます。

依頼するときは、次の3つを必ずセットにします。

• なぜ見直すのか（Copilot の参照範囲は本人の権限であること）
• 何を見ればよいか（メンバー、「外部ユーザー以外のすべてのユーザー」、共有リンク、個別に権限が付いたフォルダー）
• いつまでに、どう報告するか

ステップ5：是正して再発を防ぐ

是正の具体的な操作は、次のとおりです。

• 「外部ユーザー以外のすべてのユーザー」の権限を外し、必要な部署のグループに置き換える
• 公開チームをプライベートに変える
• 個別に付いたフォルダー単位の権限を整理し、サイト単位の継承に戻す（どうしても分けたい情報は、別のサイトに移す）
• 所有者不在のサイトに、新しい所有者を2名以上割り当てる
• 使われていないサイトはアーカイブや削除を検討する

そのうえで、同じ状態に戻らない仕組みを入れます。共有リンクの既定値の変更、チーム作成時の既定をプライベートにする運用、サイト所有権ポリシーや非アクティブサイトポリシーによる定期的な通知、四半期ごとのレポート確認などです。

是正の優先順位 ― どこから直すか

棚卸しで見つかった問題を、全部同時に直す必要はありません。情報の機微度と見える範囲の広さの2軸で、優先順位をつけます。

ここで注意したいのが、一時措置と恒久対策を混同しないことです。Restricted Content Discovery は、サイトを Copilot と組織全体の検索から見つからなくする機能ですが、権限は変わりません。Microsoft も、権限や所有者の見直しが終わるまでの一時的なガバナンス制御と位置づけ、使いすぎると Copilot が参照できる情報が減り、回答の質に影響すると注意しています（出典：Microsoft Learn「Restrict discovery of SharePoint sites and content」）。サイトの URL を知っている人は、引き続きファイルを開けます。

「Copilot から隠したので対応完了」とせず、隠した理由になった権限を直し、直したら制限を外す——この順番を守ります。

導入前にできる最低限の対策

時間も人手も限られる中で、Copilot の有償ライセンスを配る前に最低限やっておきたいことを、チェックリストにまとめます。

• 「誰に見えたら困るか」が明確な情報の一覧を、経営と総務・人事で作った
• SharePoint 管理センターで、外部共有の範囲と既定のリンクの種類を確認・変更した
• 「すべてのユーザー」リンクを作れない設定（共有レベルを「新規および既存のゲスト」以下）にした。変更前に、業務で使っている共有を「特定のユーザー」リンクに作り直した
• 人事・給与・役員会などのサイトやチームに、「外部ユーザー以外のすべてのユーザー」の権限が付いていないことを確認した
• 経営企画・人事・経理などのチームが、パブリックになっていないことを確認した
• 所有者がいないサイト、退職者が所有者のサイトに、新しい所有者を割り当てた
• 異動・退職のときに、Microsoft 365 のグループやサイトのメンバーから外す手順を決めた
• 最初に Copilot を配る部門のユーザーについて、アクセスできるサイトを確認した（SAM があれば「ユーザーのサイトのアクセス許可レポート」を使う）
• 是正に時間がかかる機微なサイトの扱い（一時的に Copilot から外すか、パイロットの範囲から外すか）を決めた

特に最後から2つ目は効果が大きい対策です。第1回で紹介した「二層構成」で有償席を一部の部門に絞るなら、その部門の人が見える範囲だけを先に確認すれば、パイロットを安全に始められます。全社の棚卸しは、パイロットと並行して進められます。

権限の棚卸しの次にやること

権限の棚卸しは、「誰がどの場所を見られるか」を整える作業です。さらに「このファイルは役員だけ」「この資料は社外に送らない」といったファイル単位の扱いまで決める仕組みが、秘密度ラベルと DLP（データ損失防止）です。

ただし、一般的な中小企業の多くには、秘密度ラベルと DLP までは必要ありません。第4回（前編）：中小企業に秘密度ラベルとDLPは必要かでは、必要かどうかの判定チェックと、必要ない会社がやるべきことを整理します。必要な会社に向けた段階的な導入は、第4回（後編）で扱います。

K.S.Rogers の支援

K.S.Rogers では、Microsoft 365 Copilot の導入に向けた権限の棚卸しと是正を、非IT企業の体制に合わせて伴走しています。守る情報の洗い出しを経営・総務の方と一緒に行うところから、SharePoint 管理センターでの共有設定の見直し、DAG レポートの読み解き、サイト所有者への見直し依頼の型づくり、パイロット部門の参照範囲の確認までを支援します。

「専任の情報システム担当がいないので、どこまでやれば導入してよいのか判断できない」という段階からご相談いただけます。ご相談はお問い合わせからどうぞ。

まとめ

• Copilot の情報漏洩リスクの中心は外部流出ではなく、広すぎる共有設定による社内での見えすぎです。Copilot は権限を広げず、広すぎた権限を見つけやすくします
• 全社員に見える状態の主な原因は、「外部ユーザー以外のすべてのユーザー」への権限付与と公開チームです。「組織内のユーザー」リンクを作っただけでは全社員には見えません
• 棚卸しは守る情報を決めるところから始め、既定値の確認、洗い出し、所有者レビュー、是正と再発防止の5ステップで進めます
• SharePoint Advanced Management は Copilot のライセンスで使える機能が多い一方、プランによって差があります。Restricted Content Discovery は一時措置であり、権限の是正と混同しないことが大切です