規制業界向け Copilot エージェントセキュリティチェックリスト

Microsoft 365 Copilot と Copilot Studio エージェントのセキュリティレビューは、いつも同じ質問で止まります。「その制御を見せてください」です。プラットフォームには今や制御が揃っていますが、それらは 5 つの管理センター、3 つのライセンス階層、そして次々に登場するプレビューの中に散らばっています。本ガイドは、金融、医療、エネルギー、公共部門で Copilot やエージェントのパイロットを承認する前に、私がセキュリティチームとコンプライアンスチームに渡しているチェックリストです。各項目は「何を確認するか」を一行で示し、その後になぜ重要か、どこで見つかるかを添えています。設定、制限、ライセンスに関する記述はすべて、執筆時に私が確認した Microsoft Learn のページに基づいています。

このチェックリストの使い方

以下の 46 項目は 7 つの領域に分かれています。初回は順番に進めてください。その後は、サマリー表と規制のマッピングが繰り返し参照する部分になります。3 点を念頭に置いてください。

これは技術チェックリストであり、法的助言ではありません。 規制のセクションは、監査人が通常提起する懸念に制御を対応付け、Microsoft 自身のコンプライアンスドキュメントを引用しています。十分かどうかを判断するのは、貴社の法務顧問とコンプライアンス責任者です。
ライセンスが重要です。 Microsoft 365 E3 で基盤が開き、E5 で Purview と Entra の深さが加わり、エージェント ID の制御には Microsoft Agent 365 または Microsoft 365 E7 が必要です。各項目には、Microsoft がドキュメント化している範囲で依存する階層を記しています。
エージェントは脅威モデルを変えます。 まだお読みでなければ、まず私たちのMicrosoft Project Lobster と ClawPilot のエンタープライズセキュリティガイドをご覧ください。エージェントがメール、予定表、ファイルに書き込めるようになると、プロンプトインジェクションがアクションインジェクションになる理由を説明しています。本チェックリストは、そのリスクに対する制御セットです。

制御の所在: 管理センターとライセンス

領域	管理センター	Microsoft がドキュメント化している最低ライセンス
ID とアクセス	Microsoft Entra 管理センター (条件付きアクセス、エージェント ID)、Copilot Studio の設定	条件付きアクセスは Entra ID P1 (Microsoft 365 E3 に含まれる)、リスクベースポリシーは P2 (E5 に含まれる)、エージェント ID への条件付きアクセスは Microsoft Agent 365 または Microsoft 365 E7
データ保護	Microsoft Purview ポータル (DLP、秘密度ラベル、DSPM for AI)、SharePoint 管理センター (Advanced Management)	Microsoft 365 Copilot ライセンス (SharePoint Advanced Management を含む)、E3 の基礎的な Purview、自動ラベル付けと Insider Risk Management は E5
エージェントガバナンス	Microsoft 365 管理センターの Agents、Power Platform 管理センター (データポリシー、Managed Environments)	Microsoft 365 Copilot、スタンドアロンの Copilot Studio ライセンスには Managed Environments の権利が付属、サードパーティエージェントのインベントリには Agent 365
監視と監査	Purview 監査、DSPM for AI、Microsoft Sentinel	Audit (Standard) は既定で有効で保持 180 日、E5 の Audit (Premium) で 1 年、10 年保持アドオンライセンス
所在地、保持、電子情報開示	Purview データライフサイクル管理と電子情報開示、Microsoft 365 管理センター (Customer Lockbox)	保持ポリシーは E3、Customer Lockbox は E5 と G5
人の介在と変更管理	Copilot Studio のツール設定と ALM、Microsoft 365 管理センターのエージェント要求	Copilot Studio、パイプラインには Managed Environments
ベンダー、モデル、グラウンディング	Microsoft 365 の Cloud Policy サービス、Microsoft 365 管理センターの Integrated apps、Power Platform 管理センターのコネクタエンドポイントフィルター	Microsoft 365 Copilot

領域 1: ID とアクセス

すべての Copilot ユーザーが、ライセンス割り当て前に MFA とベースラインの条件付きアクセスポリシーで保護されている。Microsoft の Copilot 向けゼロトラストガイダンスは共通ポリシーから始まります。管理者と全ユーザーに MFA を要求し、レガシ認証をブロックし (Entra ID P1、E3 に含まれる)、その後 P2 でサインインリスクとユーザーリスクのポリシーを追加します。Microsoft Entra admin center > Conditional Access。
テナント内のすべてのエージェント ID を一覧化できる。2026 年 5 月以降、Copilot Studio は新規エージェントごとに Microsoft Entra Agent ID を作成し、Microsoft Copilot Studio agent identity blueprint という名前のブループリントに属させ、エージェントが使うコネクタはその ID の API 権限として表示されます。2026 年 5 月より前に作成されたエージェントは、移行までアプリ登録を使い続けます。Microsoft Entra admin center > Agent identities。ブループリント、エージェント ID、エージェントユーザーアカウントの背後にあるアーキテクチャは、私たちの Entra Agent ID GA 詳細解説をご覧ください。
条件付きアクセスの対象が、人間だけでなくエージェント ID、エージェントユーザーアカウント、ブループリントに及んでいる。エージェント向け条件付きアクセスには、Microsoft 365 E7、または Entra ID P1 か Microsoft 365 E3 と組み合わせた Microsoft Agent 365 ライセンスが必要です。ユーザーをスコープにしたポリシーはエージェントユーザーアカウントに適用されず、エージェント ID を対象にしたポリシーはそのエージェントユーザーアカウントを対象にしないため、アクセスパターンごとにポリシーを 1 つずつ作り、レポート専用モードから始めます。Conditional Access > Assignments > Users, agents, or workload identities。
各エージェントに名前の付いた人間のスポンサーまたは所有者がいて、その人が退職するとスポンサーシップが引き継がれる。エージェント ID 向け Entra ID Governanceは、スポンサーシップをスポンサーの上司に自動的に移し、有効期限付きのアクセスパッケージをエージェントに付与できます。Microsoft 365 admin center > Agents > Overview では、Agents without owners カードとルール Reassign ownerless agents created with Agent Builder to manager がローコードエージェントの同じ空白を埋めます。
エージェント承認と Copilot DLP の管理者ロールが最小特権に従っている。エージェント管理の概要によると、エージェント要求の承認と所有権の割り当ては AI Administrator またはグローバル管理者ロールのみが実行できます。Purview の Data Security AI Admin ロールは、プロンプトと応答を読む権限なしに Copilot DLP ポリシーを編集できます。グローバル管理者は日常的なエージェント運用から外してください。
Copilot Studio エージェントは認証なしでは公開できない。作成者は No authentication を選べ、リンクを知っていれば誰でもチャットできてしまいます。エージェントのデータポリシーを構成するにあるように、コネクタ Chat without Microsoft Entra ID authentication in Copilot Studio をブロックする Power Platform データポリシーは、その選択肢をテナント全体から取り除きます。Power Platform admin center > Security > Data and privacy > Data policy。
ツールは、文書化された例外がない限りエンドユーザーの資格情報で実行される。各 Copilot Studio ツールには End user または Maker-provided の Authentication 設定があり、既定はユーザー自身の資格情報で、すべてのツール呼び出しをユーザーの既存権限の範囲内に収めます (カスタムエージェントにツールを追加する)。作成者提供の資格情報では、エージェントが全ユーザーに対して作成者のアクセス権で動作するため、それぞれを所有者とレビュー期日を持つサービスアカウントとして扱います。

領域 2: データ保護

SharePoint と OneDrive のファイルで秘密度ラベルが有効化され、暗号化の規則が理解されている。Copilot とエージェントは、ユーザーが VIEW と EXTRACT の両方の使用権を持つ場合にのみ暗号化コンテンツを返します。SharePoint と OneDrive でラベルが有効でない場合、Copilot が到達できる暗号化ファイルは Windows 版 Office で使用中のデータに限られます (生成 AI アプリ向けの Purview 保護)。Purview portal > Information Protection。
Microsoft 365 Copilot and Copilot Chat の場所に対する DLP ポリシーが、最上位のラベルを Copilot の応答から除外している。Copilot DLP の場所は Custom テンプレートでのみ利用できます。Content contains > Sensitivity labels 条件は Copilot による項目の処理を止めますが、項目は引用に表示される場合があります。2025 年 1 月 1 日以降に送信されたメールを対象とし、Word、Excel、PowerPoint ではファイルを開いた時点で評価され、更新の反映には最長 4 時間かかります。同じポリシーは、SharePoint をナレッジソースにする Teams、SharePoint、Microsoft 365 Copilot 上の Copilot Studio エージェントも制限します。
規制対象の識別子を含むプロンプトがブロックされる、少なくとも Web には出ない。同じ場所で、Content contains > Sensitive information types 条件は Prevent Copilot from processing content > Processing prompts (プレビュー中) または > Performing Web Searches を実行できます。ラベル条件と機密情報の種類の条件は 1 つのルールに同居できず、DLP はプロンプトにアップロードされたファイルを検査できず、この場所は管理単位をサポートしません。
過剰共有が仮定ではなく計測されている。SharePoint admin center > Advanced Management > Start assessment からコンテンツ管理評価を実行し、30 日ごとに再実行します (SharePoint Advanced Management で Copilot の準備をする)。DSPM for AI は設定なしで、使用量上位 100 の SharePoint サイトに対して毎週既定のデータリスク評価を実行します。
権限を修正する間、高リスクのサイトは制限付きコンテンツ検出で Copilot から隠されている。制限付きコンテンツ検出はサイトレベルの設定で、権限を変えずにサイトを Copilot の応答と組織全体の検索から外します。Active sites > site > Settings > Restrict content from Microsoft Copilot から、または下のコマンドレットで有効にします。項目数が 500,000 を超えるサイトでは反映に 1 週間以上かかることがあり、変更は Purview 監査ログに記録されます。

powershell
Set-SPOSite -Identity https://contoso.sharepoint.com/sites/Finance -RestrictContentOrgWideSearch $true
Get-SPOSite -Identity https://contoso.sharepoint.com/sites/Finance | Select RestrictContentOrgWideSearch
Start-SPORestrictedContentDiscoverabilityReport

誰も制限付き SharePoint 検索で新しい展開を計画していない。Microsoft は制限付き SharePoint 検索を廃止しており、2026 年 7 月 31 日以降は新規有効化をブロックします。これはもとから 100 サイトの許可リストにすぎず、Microsoft の言葉を借りればセキュリティ境界ではありません。
業務上重要なサイトは制限付きアクセス制御を使い、テナントの共有既定値が引き締められている。Microsoft のセキュリティで保護され統制された基盤のガイドは、重要サイトにプロビジョニング時点で制限付きアクセス制御を強制し、Anyone リンクと全社共有グループを無効化し、サイトの秘密度ラベルを必須にすることを推奨しています。SharePoint admin center > Policies > Access control > Enable site access restriction。
リスクの高い AI 利用が、記録されるだけでなく検出される (E5)。Insider Risk Management の Risky AI usage テンプレートはプロンプトインジェクションの試みと保護された素材へのアクセスを検出し、Endpoint DLP はユーザーがブラウザーでサードパーティの AI サイトに機密データを貼り付けるのをブロックできます。どちらも DSPM for AI 内のワンクリック推奨事項です。

領域 3: エージェントガバナンス

エージェントへのアクセスが、他の誰よりも先にパイロットグループに絞られている。Microsoft 365 admin center > Agents > Settings > User access には All users (既定)、No users、Specific users or groups があります (エージェント設定)。
外部発行元のエージェントとプラグインは、個別に審査するまでオフになっている。Agents > Settings > Agent and plugin access には、Microsoft 製、自組織製、外部発行元製の 3 つのスイッチがあります。ここでのプラグインには MCP サーバー、コネクタ、スキルが含まれます。
組織全体への公開は承認キューを通る。作成者が組織向けに提出したエージェントは、ユーザーに見える前に管理者の承認を経ます。Agents > All agents > Requests でレビューします (Microsoft 365 管理センターでエージェントを管理する)。エージェント管理ルールで、指定日数より古い公開要求を却下できます。
Agent Builder の共有が制限されている。Agents > Settings > Sharing は広範な共有を All users、No users、Specific users に制限します。この制御は Copilot Agent Builder で作成したエージェントにのみ適用されるため、Copilot Studio の共有は別に統制します (項目 22)。
エージェントレジストリを毎月見直し、所有者不在、未使用、リスクのあるエージェントを確認している。レジストリには名前、作成者、作成日、ホスト製品、可用性状態が並び、Agents at risk カードは Entra、Defender、Purview からの重大度の高い検出を集約します。ルール Block ownerless agents without usage がロングテールを処理します。サードパーティエージェントのインベントリと利用データには Microsoft Agent 365 が必要で、2026 年 5 月 1 日からユーザー単位で一般提供され、Microsoft 365 E7 に含まれます。
Copilot Studio の作成者は、環境ルーティングを有効にした Managed Environments で構築している。Managed Environments はスタンドアロンの Copilot Studio ライセンスの権利で、共有制限、利用状況インサイト、パイプライン、IP ファイアウォール、カスタマーマネージドキーを追加します。環境ルーティングは既定環境の代わりに作成者個人の開発環境を与えます。Bot Transcript Viewer ロールは既定で管理者のみが持ち、環境内のすべてのエージェントに適用されるため、規制対象データを扱うエージェントには専用環境を使います。
エージェントの共有制限が環境ごとに設定されている。Power Platform admin center > Manage > Environments > Edit Managed Environments > Manage sharing で、作成者が Editor や Viewer のアクセスを付与できるか、セキュリティグループを許可するか、エージェントあたりの最大閲覧者数を制御します (共有の制限)。ルールの適用には最長 1 時間かかり、既存のアクセスは取り消されません。
テナント全体の Power Platform データポリシー 1 つで、コネクタ、HTTP 呼び出し、チャネル、トリガーを統制している。コネクタを Business、Non-business、Blocked に分類し、HTTP コネクタをブロックするかエンドポイントフィルターを使い、サポートしない公開チャネル (Direct Line、WhatsApp、Facebook、Omnichannel、SharePoint、Teams と Microsoft 365) をブロックし、Microsoft Copilot Studio コネクタをブロックしてイベントトリガーを止めます。適用は 2025 年初頭からすべてのテナントに例外なく行われており、Power Platform コネクタをブロックすると、それに依存する MCP サーバーのツールもブロックされます。
ポリシーテンプレートがエージェントに一括適用されている。Agents > Settings > Agent management rules > Add rule > Apply template は、エージェント ID を持つすべてのエージェントインスタンスに事前設定のセキュリティテンプレートを配布します。一回限りの一括操作なので、各レビューサイクルの後に予定します。

領域 4: 監視と監査

Purview 監査が有効で、保持階層を把握している。Audit (Standard) は既定で有効でレコードを 180 日保持します。E5 の Audit (Premium) は Entra、Exchange、SharePoint、OneDrive のレコードを 1 年保持し、アドオンライセンスで最長 10 年の保持ポリシーをサポートします。Copilot Studio エージェントは Audit (Standard) に含まれ、Microsoft 以外の AI アプリの監査は従量課金です。
CopilotInteraction レコードを見つけ、重要なフィールドを読める。Copilot と AI アプリケーションの監査ログによると、各レコードには AccessedResources (秘密度ラベル ID とアクセスをブロックした DLP ポリシーを含む)、AgentId と AgentName、クロスプロンプトインジェクションの XPIADetected、JailbreakDetected、Web を使った場合の AISystemPlugin.Id = BingWebSearch、ユーザーがモデルを選んだ場合の ModelProvider と ModelName が含まれます。Purview portal > Audit。
リスクを変える Copilot Studio の作成者イベントでアラートが発生する。Copilot Studio は BotCreate、BotUpdateOperation-BotPublish、BotUpdateOperation-BotShare、BotUpdateOperation-BotAuthUpdate などの作成者アクティビティを Purview に記録します。監査レコードが持つのはトランスクリプトのスレッド ID でテキストではなく、テキストは DSPM for AI が取得します。Microsoft はこのログ記録の前提条件として「テナントが FedRAMP テナントでないこと」を挙げているため、GCC High ではアカウントチームに対象範囲を確認してください。
DSPM for AI が日常のビューで、プロンプトテキストは適切なロールに限定されている。アクティビティエクスプローラーは、プロンプト、応答、機密情報の種類、参照されたファイル、Copilot が送信した正確な Web クエリを表示します。プロンプトテキストを読むには Content Explorer Content Viewer ロールグループのメンバーシップが必要です。Purview portal > Solutions > DSPM for AI。
監査データが SIEM に届いている。180 日を超える保持のために Office 365 Management Activity API でエクスポートし、Copilot Studio のセキュリティとガバナンスに記載のとおり Copilot Studio の監査ログを Microsoft Sentinel に接続してアラートを出します。
行動規範が適用される場面では、Communication Compliance が AI の対話を対象にしている (E5)。DSPM のワンクリックポリシー Unethical behavior in AI apps は、プロンプトと応答に対する Communication Compliance ポリシーを作成します。これは監督チームがすでに使っているレビューチャネルです。
エージェントのサインインが Entra サインインログに記録され、リスクのあるエージェントが Identity Protection に表示される。Entra Agent ID を持つエージェントの認証は Microsoft Entra ID に記録され、条件付きアクセスは Identity Protection のエージェントリスクに基づいて動作できます。

領域 5: データ所在地、保持、電子情報開示

プロンプトと応答がどこで処理され保存されるかを説明できる。Microsoft の Copilot のデータ、プライバシー、セキュリティのページによると、Copilot は 2024 年 3 月 1 日にデータ所在地の約束の対象ワークロードになり、Advanced Data Residency と Multi-Geo は Copilot を含み、EU の顧客は EU データ境界の内側にあり、EU 外の顧客のクエリは米国、EU、その他のリージョンで処理される可能性があります。LLM 呼び出しは最も近いリージョンに送られますが、高負荷時には他のリージョンを使うことがあり、Anthropic のモデルは現在 EU データ境界から除外されています。Copilot Studio はエージェントデータを環境のリージョンに保存し、生成 AI 機能の地理的なデータ移動を制御する管理者設定があります (Copilot Studio の地理的データ所在地)。
Microsoft Copilot experiences の場所に保持ポリシーが存在する。Copilot と AI アプリの保持は Microsoft 365 Copilot、Copilot Studio、Security Copilot、Copilot in Fabric を対象にします。データはユーザーの Exchange メールボックスの非表示フォルダーにあり、タイマージョブは 1 日から 7 日ごとに実行され、保留は削除より優先され、退職したユーザーの対話は非アクティブメールボックスに移ります。テキストを保持してはならないという方針なら、0 日の削除ポリシーがドキュメント化された手段です。Purview portal > Data Lifecycle Management > Retention policies。
法務部門が Copilot の対話を検索、保留、エクスポートし、必要なら消去できる。AI アプリケーションデータの電子情報開示は、Copilot activity 条件や IPM.SkypeTeams.Message.Copilot.*、IPM.SkypeTeams.Message.Copilot.Studio.* などのアイテムクラスを使います。流出時のクリーンアップは Graph の purgeData アクションでメールボックスごとに最大 10 件を消去し、Search And Purge ロールが必要です。GCC High と DoD では Graph Explorer が使えないため PowerShell を使います。
Customer Lockbox が有効になっている (E5、G5)。Customer Lockbox は Exchange Online、SharePoint、OneDrive、Teams、Windows 365 を対象にし、Exchange を通じてすべての Microsoft 365 Copilot の対話を対象にします。要求は 12 時間で期限切れになり、エンジニアのアクセスは最長 4 時間で、承認は Set-AccessToCustomerDataRequest として記録されます。Microsoft 365 admin center > Settings > Org settings > Security & privacy > Customer Lockbox > Require approval for all data access requests。Copilot Studio は Power Platform の Lockbox をサポートしますが、セキュリティ監査テレメトリと Agent 365 のガバナンスイベントは対象外です。
機能を約束する前に、政府クラウドの差異が文書化されている。Copilot のサービス説明には、Power Platform コネクタが GCC High と DoD で利用不可、GCC High は Agent Builder で作成または管理者制御で公開した宣言型エージェントに限定、Insider Risk Management は GCC High で利用不可、すべての政府クラウドで Web グラウンディングが既定でオフ、と示されています。

領域 6: 人の介在と変更管理

データを変更するツールは、実行前にユーザーに確認する。各 Copilot Studio ツールには Ask the end user before running オプションがあり、既定は No です。送信、書き込み、削除、支払いを行うものはすべてオンにします。
所有者、手順書、監視が整うまで自律トリガーはブロックされている。データポリシーで Microsoft Copilot Studio コネクタをブロックすると、作成者はイベントトリガーを追加できず、認証済みアカウントで自動評価を実行することもできません。エージェントがレビューを通過したら環境ごとに解除します。
エージェントは本番を直接編集するのではなく、パイプラインまたは Git で開発からテスト、本番へ移る。Managed Environments にはパイプラインが含まれ、Copilot Studio は GitHub ベースのソース管理と監査可能な配置履歴付きの Git からの配置をサポートします。Agent viewer 共有ロールは評価者にテストセットの実行を、Analytics viewer ロールは関係者にメトリックを与え、どちらもエージェントを編集できません (エージェントを他のユーザーと共有する)。
公開前のセキュリティ検出事項は、無視されずに解決されている。Copilot Studio は、作成者がナレッジ、ツール、アクションを構成する間に自動セキュリティスキャンを実行してリアルタイムのリスク検出を示し、既定のセキュリティ設定が変更されている場合は公開前に作成者に警告します。
廃止手順が定義されている。Copilot Studio でエージェントを削除するとその Entra Agent ID も削除され、エージェント管理ルールは所有者不在で未使用のエージェントをブロックし古い公開要求を却下し、アーカイブされた SharePoint サイトは再アクティブ化までは Copilot の手が届きません。

領域 7: ベンダー、モデル、グラウンディングのガバナンス

Web 検索の判断は既定値に任せず、Cloud Policy で決めている。Microsoft 365 の Cloud Policy サービスの Allow web search in Copilot ポリシーには、仕事モードのみ Web 検索を無効にする選択肢を含む 3 つのオプションがあります。生成された Bing クエリはユーザーとテナントの識別子を除いて送信され、モデルの学習にも使われませんが、Microsoft は DPA、HIPAA 準拠、EU データ境界がそれらに適用されないと明記しています。Copilot が使った Web 検索語は監査と電子情報開示のために記録されます。
モデルプロバイダーの選択が意図的で監査可能である。Anthropic と OpenAI のモデルで Copilot の体験を動かすかどうかは管理者が決め、追加条項が適用される場合があり、ユーザーが Auto ではなくモデルを選んだときは監査レコードにプロバイダーとモデル名が含まれます。プロンプトと応答は基盤モデルの学習に使われず、Copilot は人による確認を含む Azure OpenAI の不正使用監視をオプトアウトしています。
サードパーティのエージェントとコネクタは、他の SaaS ベンダーと同じように審査されている。Integrated apps ページには各エージェントが要求する権限、利用規約、プライバシーに関する声明が表示され、Microsoft 自身が、Microsoft 以外のサービスで処理されるデータは Microsoft の契約の対象ではないと警告しています。Copilot コネクタのデータはすでにアクセス権を持つユーザーにのみ返され、外部接続は政府クラウドでは既定で有効になっていません。
ナレッジソースが許可リスト化されている。Power Platform データポリシーは、ナレッジソースとして構成された SharePoint サイトと公開 Web サイトに対するエンドポイントフィルターをサポートし、コネクタ依存関係インサイトは各エージェントが触れる対象を示し、エージェントは応答ごとに使用した SharePoint コンテンツの最も高い秘密度ラベルを表示します。
コンプライアンスの証拠を Service Trust Portal と Compliance Manager から得ている。Microsoft は Service Trust Portal で Copilot と Copilot Chat のリスク評価クイックスタートを公開し、Copilot の認証に ISO 42001 を挙げ、Compliance Manager で HIPAA、FedRAMP、SEC 17a-4、AI 規制の評価テンプレートを提供しています。

チェックリストを米国の規制上の懸念に対応付ける

次の表は、レビュー担当者が通常提起する懸念と、それに対処するチェックリスト項目、その主張を裏付ける Microsoft のドキュメントを組み合わせたものです。貴社独自のコントロールマッピングの出発点であり、コンプライアンスの判定ではありません。

規制	レビューで提起される懸念	チェックリスト項目	Microsoft がドキュメント化している内容
HIPAA セキュリティ規則 (医療)	PHI がモデル、Web、権限のないユーザーに到達する、監査制御、BAA の対象範囲	1、8、9、10、12、25、26、33、34、35、42	HIPAA ビジネスアソシエイト契約は、対象事業者とビジネスアソシエイトに DPA を通じて既定で提供され、Microsoft Copilot と Copilot Chat は Commercial と GCC の対象サービスとして記載されています。HIPAA は生成された Web 検索クエリには適用されず、これが項目 42 が重要な理由です。
SEC 17a-4、FINRA 4511、CFTC 1.31 (金融サービス)	帳簿と記録の保持、WORM または監査証跡の代替手段、コミュニケーションの監督	25、30、33、34	Microsoft は Copilot for Microsoft 365 を 17a-4 機能を構成できるサービスに挙げ、WORM オプションには保持ロックを、監査証跡の代替手段にはデータライフサイクル管理、eDiscovery (Premium)、Audit (Premium) を用い、2024 年の Cohasset 評価を引用しています。Microsoft は指定第三者の誓約書を提供しませんが、要請に応じて 17a-4(i) の誓約書を提出します。
NERC CIP (エネルギー)	BES サイバーシステム情報の露出、BCSI 保存場所へのアクセス許可 (CIP-004、CIP-011)、サプライチェーン (CIP-013)	3、8、9、12、14、23、45	Microsoft の NERC ガイダンスは Azure と Azure Government に適用され、登録事業者は FedRAMP High 認可と BCSI の暗号化に依拠します。Microsoft 365 内の BCSI については、Microsoft はアカウントチームに相談するよう述べているため、その協議が終わるまではラベル、DLP、制限付きコンテンツ検出で BCSI を Copilot のグラウンディング範囲外に置きます。
FedRAMP、GCC、GCC High、DoD (公共部門)	認可境界、機能の可用性、FedRAMP High に沿った ID の構成	1、3、36、42、44	Office 365 GCC と GCC High は政府機関の ATO を、DoD は DISA の P-ATO を保持し、FedRAMP のページでは Microsoft Copilot が 3 つすべての対象サービスとされ、FedRAMP High に向けた Entra ID の構成ガイドもリンクされています。

最初の 30 日: 展開の順序

日	焦点	チェックリスト項目	成果
1 日目から 7 日目	インベントリとベースライン	2、11、16、17、20、25	エージェントレジストリと Entra エージェント ID をエクスポート、コンテンツ管理評価と DSPM データリスク評価をレビュー、エージェントアクセスをパイロットグループに限定、外部発行元をオフ、監査階層を確認
8 日目から 14 日目	暫定的なガードレール	9、10、12、21、23、33、35、42	Copilot DLP ポリシーをシミュレーションから適用へ、高リスクサイトに制限付きコンテンツ検出、テナント全体の Power Platform データポリシー、ルーティング付き Managed Environments、保持ポリシーの作成、Customer Lockbox と Web 検索設定の決定
15 日目から 21 日目	ID と承認経路	1、3、4、5、6、7、18、37、38、29	条件付きアクセスのベースラインを検証、ライセンスがあればエージェントの条件付きアクセスをレポート専用で有効化、スポンサーを割り当て、管理者ロールを削減、エージェントに認証を必須化、最初のエージェントを承認キューに通し実行前確認を設定してトリガーをブロック、監査フィードを SIEM へ
22 日目から 30 日目	パイロット、証拠、ループ	26、28、30、46、および修正済みの箇所での暫定制御の解除	パイロットライセンスを割り当て、DSPM アクティビティエクスプローラーと監査検索をコンプライアンス責任者とレビュー、Compliance Manager の評価を開始、コントロールと要件の対応を文書化、30 日後の再評価を予定

この順序を実行する際のスケジュール上の注意点を 2 つ挙げます。制限付きコンテンツ検出が最も時間のかかる工程です。Microsoft のドキュメントでは項目数が 500,000 を超えるサイトは反映に 1 週間以上かかるとされているため、評価で大きなサイトが見つかったら 2 週目ではなく 1 週目に有効にします。また、Copilot DLP ポリシーは適用前に少なくとも 24 時間シミュレーションのままにしておきます。DSPM for AI が最初の結果を表示するのにそれだけの時間がかかるからです。

何をすべきか

このチェックリストを印刷し、7 つの領域それぞれに所有者を割り当て、サマリー表の各行について保有するライセンス階層を記録します。
今週中にエージェントレジストリと Entra エージェント ID の一覧をエクスポートして照合します。片方の一覧にしかないものが最初の発見事項です。
上位 2 つの秘密度ラベルと規制対象の識別子の種類を使って Copilot DLP ポリシーをシミュレーションモードで作成し、適用する前に 24 時間後の DSPM for AI を確認します。
コンテンツ管理評価でフラグが付いたすべてのサイトを制限付きコンテンツ検出の背後に置き、暫定制御に頼るのではなく所有者が権限を修正するようサイトアクセスレビューを開きます。
認証を必須にし、HTTP をブロックするかエンドポイントをフィルターし、未使用のチャネルとトリガーをブロックするテナント全体の Power Platform データポリシーを 1 つ公開し、影響が出る前に作成者へ周知します。
Microsoft Copilot experiences の保持ポリシーを作成し、IPM.SkypeTeams.Message.Copilot.* を対象にしたテスト用の電子情報開示検索を実行して、法務部門が必要になる前にデータを見ておけるようにします。
Web 検索ポリシーとモデルプロバイダーの設定を、HIPAA と EU データ境界の注意事項を添えて文書で決定し、コンプライアンスの承認を得ます。
Microsoft Agent 365 または E7 を保有しているなら、今すぐエージェントの条件付きアクセスポリシーをレポート専用モードで構築し、適用前に 30 日分の影響データを得ます。
30 日後の再評価と毎月のレジストリレビューを、パイロットの開始後ではなく開始前に予定します。

セキュリティレビュー担当者が最初に確認する 20 の制御を、設定する管理センター付きの印刷用ページで手元に置きたい場合は、このチェックリストの無料 PDF 版をダウンロードしてください。

Copilot エージェントセキュリティチェックリストを送ってください

よくある質問

Microsoft 365 Copilot は私たちのプロンプトを AI モデルの学習に使いますか? いいえ。Microsoft のデータ、プライバシー、セキュリティに関するドキュメントは、プロンプト、応答、Microsoft Graph 経由でアクセスしたデータは基盤 LLM の学習に使われないと明記しています。プロンプトと応答は他の Microsoft 365 コンテンツと同じ契約上の約束のもとでユーザーの Exchange メールボックスに保存され、Copilot は Azure OpenAI の不正使用監視 (人による確認) をオプトアウトしています。注意すべき例外は Web 検索です。生成された Bing クエリはユーザーとテナントの識別子を除いて送信されますが、DPA、HIPAA、EU データ境界の対象ではありません。

特定の SharePoint サイトやラベル付きファイルを Copilot とエージェントに読ませないようにできますか? できます。2 つの異なる制御があります。制限付きコンテンツ検出 (Restricted Content Discovery) は SharePoint 管理センターのサイトレベル設定で、権限を変えずにサイトを Copilot の応答と組織全体の検索から外します。Copilot ライセンスと SharePoint Advanced Management が必要です。Microsoft 365 Copilot and Copilot Chat の場所に対する Purview DLP ポリシーは、選択した秘密度ラベルが付いたファイルとメールの処理を Copilot に止めさせます。Microsoft はどちらも、根本の権限を修正するまでの暫定的な保護として位置付けています。

GCC や GCC High の米国公共部門テナントでも Microsoft 365 Copilot は利用できますか? 利用できます。Microsoft のサービス説明には GCC、GCC High、DoD 向けの Copilot 機能が記載されており、Power Platform コネクタが GCC High と DoD で利用できないこと、すべての政府クラウドで Web グラウンディングが既定でオフであることなどの差異も示されています。Microsoft の FedRAMP ページは、Office 365 米国政府向け認可のもとで GCC、GCC High、DoD の対象サービスとして Microsoft Copilot を挙げています。機能を約束する前に、サービス説明で正確な機能一覧を確認してください。

Copilot Studio のエージェントは Microsoft Entra で固有の ID を持ちますか? 持ちます。2026 年 5 月以降、Copilot Studio は新規エージェントごとに Microsoft Entra Agent ID を自動作成し、エージェントのコネクタ権限はその ID 上の API 権限として表示されます。ID とそのサインインアクティビティは Microsoft Entra 管理センターで確認できます。エージェント ID に条件付きアクセスを適用するには、Microsoft 365 E7、または Entra ID P1 か Microsoft 365 E3 と組み合わせた Microsoft Agent 365 ライセンスが必要です。

Copilot の対話はどれくらい保持され、法務部門は保留できますか? 既定では削除スケジュールはなく、Microsoft Copilot experiences の場所に対する Purview 保持ポリシーで設定します。この場所は Microsoft 365 Copilot、Copilot Studio、Security Copilot、Copilot in Fabric を対象にします。データはユーザーの Exchange メールボックスの非表示フォルダーにあるため、電子情報開示は Copilot activity 条件で検索、保留、エクスポートでき、情報流出時にはメールボックスごとに最大 10 件を消去できます。対話の監査レコードは Audit (Standard) で 180 日、Audit (Premium) で最長 1 年、アドオンを追加すれば 10 年保持されます。

Copilot Studio が候補にあるエージェントプラットフォームの 1 つにすぎないなら、私たちの AI エージェントプラットフォーム比較で、そのガバナンスモデルを Microsoft Foundry Agent Service、OpenClaw、独自構築エージェントと並べて確認できます。

もう一組の手が必要ですか? Big Hat Group は、米国とカナダの組織向けにAI 自動化コンサルティングを提供しています。このチェックリストに基づく 2 週間の Copilot とエージェントのセキュリティレビューから、統制された Copilot Studio の展開まで対応します。ディスカバリーコールを予約して、お客様の環境についてお話しください。