Skype for Business Onlineはどこまで安全なのか？⑧～インプレースホールドでログが取得できない利用ケース～

インプレースホールドではログの取得が出来ない利用ケースが明確に存在しています。

主要なものは、

①プログラムの表示

P2P の通信、Skype 会議のどちらにおいても、表示したプログラム名は記録されません。

②デスクトップの表示

P2P の通信、Skype 会議のどちらにおいても、表示したプログラム名は記録されません。

③権限の受け渡し

上記①、②の利用時に操作権限を共有先の他者に渡すことが可能になります。

その他に下記のような利用パターンにおいて、インプレースホールドではSkype for Business Onlineのログを取得することが出来ません。

フェアユース株式会社　代表取締役　足立洋介

Skype for Business Onlineはどこまで安全なのか？⑤訴訟ホールド/インプレースホールドはどこまで安全なのか？

Exchange Online、Skype for Business Onlineにはインプレースホールドという機能があります。この二つはもともと各企業内で、背任罪や情報漏洩等にて重大な問題が発生した場合に、証拠としてメールのやり取りを保持するために作られた機能です。恐らくMicrosoftの顧客企業からのニーズで作られた機能とは思われます。

インプレースホールドと、訴訟ホールドですが、それぞれどんな違いがあるのでしょうか？

これにはMicrosoft社のtechnetの文章をそのまま引用するのが良いですね。

https://technet.microsoft.com/ja-jp/library/ff637980(v=exchg.160).aspx

「Exchange Server 2016 では、2 種類の保持が可能です。訴訟ホールドとインプレース ホールド。訴訟ホールドではメールボックスの LitigationHoldEnabled プロパティが使用されます。訴訟ホールドが有効な場合、すべてのメールボックスのアイテムが保持されます。一方、インプレース ホールドを使用すると、インプレース電子情報開示ツールを使用して定義した検索クエリの条件と一致するアイテムのみを保持できます。インプレース ホールドはメールボックスに複数設定できますが、訴訟ホールドはメールボックスに対して有効または無効のいずれかにされます。保持の両方のタイプについて、アイテムを保持する期間も指定できます。期間は、メールボックス アイテムが受信または作成された日から計算されます。期間が設定されていない場合は、アイテムは無期限に、またはそ保持が解除されるまで保持されます。訴訟ホールドをメールボックスから削除しても、1 つまたは複数のインプレース ホールドがメールボックスにある場合は、インプレース ホールドの基準と一致するアイテムが、保持設定で指定されている期間だけ保持されます 」

つまり簡単にいうと訴訟ホールドはメールボックス全体を保持するのに対して、インプレースホールドはキーワード等を用いて検索をしたその対象のメールおよびSkype for Businessの内容のみが保持されることになります。

これで一安心と思われるかもしれませんが、訴訟ホールド、インプレースホールドにはそれぞれ限界があります。（次回へと続く）

フェアユース株式会社　足立洋介

Skype for Business Onlineはどこまで安全なのか？④同一テナント内で複数の企業利用

企業ユーザの中には、グループ企業で全体で一つのテナントを御利用になられるといったケースも中には御見受けしています。先日ある外資系金融企業のある事情をおうかがいしました。その企業は国際的に非常に有名な金融機関で、本国にグループ企業各社があり、また日本にもそれぞれの支社があるとのことです。実際、日本でも10社近くの関連企業があり、日本国内ユーザ数は２万以上になります。本国のHead Quaterから本国は本国で一テナント、日本は日本で一テナントで運用するようにとの指示が出たとのことです。

Office365ではそもそも同一テナントで複数ドメインを登録することを可能としています。これはグループ企業での運用等に配慮した結果です。

ここで問題になる点は、日本国内に10社近い会社が存在しているので、基本的には別会社なのに、Skype for Business Onlineとしては同じ会社もしくは一の会社としてのコミュニケーションが出来てしまう点です。主要３社はほぼほぼ同一の業種ですが、中には金融グループにありがちな、投資目的で傘下に収めている全く金融と関連の無い企業もあります。まあ、たとえ話としてあえて挙げるのなら、ウォーレン・バフェットの投資ファンドのバークシャー・ハサウェイ社が鉄道で有名なBNSF鉄道を傘下に有しているようなものです。

基本的には日本の金融庁は一つ一つの会社ごとに管理を任せ、問題発生時の報告義務を課しています。ただし、業務内容や運用も異なる企業グループが日本の金融庁のガイドラインに沿った形で同一テナント内で運用が出来るかについては、大変興味深く、見守る必要があります。

なぜならば、Exchange Onlineのアドレス帳、SharePoint Onlineのユーザプロファイル検索、Skype for Business Onlineの社内連絡先検索等にて、実質的には別会社で、まったく異なる情報セキュリティ運用を実施する他社と簡単にコミュニケーションが出来てしまうことになるからです。

フェアユース株式会社　代表取締役　足立洋介

Skype for Business Onlineはどこまで安全なのか？②「プレゼンスプライバシーモード」の設定

Skype for Businessの便利な機能の中にプレゼンスと呼ばれる機能があります。プレゼンスは「連絡可能」/ 「取り込み中」/「取り込み中」/「応答不可」/「一時退席中」/「業務時間外」/「退席中表示」などを自分で選び他のユーザに自身がどのような状態なのかを提示します。

当機能ですが、利用ユーザとその上司、同僚、部下までの範囲でしたら、Exchangeの予定表とも連携するので、自分の状況を伝える上で非常に便利な機能なのですが、少なくとも同一組織内の全員が参照することが出来てしまいます。

これを禁止させるのが、「プレゼンスプライバシーモード」になります。「プレゼンスプライバシーモード」を利用すると、Skype for Businessの連絡先リストに含まれているユーザにしかメッセージを送ることが出来なくなります。

なお、そもそもSkype for Businessにはプライバシー関係という概念があり、下記のプライバシーレベルごとにアクセス可能になる情報がことなります。

・外部連絡先

・仕事仲間

・ワークグループ

・友人および家族

Skype for Business のプレゼンス情報へのアクセスを制御する

https://support.office.com/ja-jp/article/Skype-for-Business-%e3%81%ae%e3%83%97%e3%83%ac%e3%82%bc%e3%83%b3%e3%82%b9%e6%83%85%e5%a0%b1%e3%81%b8%e3%81%ae%e3%82%a2%e3%82%af%e3%82%bb%e3%82%b9%e3%82%92%e5%88%b6%e5%be%a1%e3%81%99%e3%82%8b-fea86e34-60cf-4dd0-bfb2-169a42afd92c?ui=ja-JP&rs=ja-JP&ad=JP

フェアユース株式会社　足立洋介

Office 365上のSkype for Businessのコンプライアンス機能のメニューがわかりにくくなっている件

Office 365の管理者ポータルが３、４か月前に刷新された。刷新されたのは、恐らくメニューが増えて再度のカテゴリー化を行うのが理由のうち一番大きいと思われる。

ところで、本日あらためてSkype for Businessの過去ログの検索をしたくなり「インプレースの電子情報開示と保持」のメニューを探しましたが、見つからない。

しょうがないので、日本マイクロソフトのOffice 365のサポートに電話を聞いて確認しました。意外に早く返信が返ってきましたので、共有します。

今回も日本マイクロソフト　Office 365サポート担当の皆様有難う御座いました！

－－－－－－

■ インプレース電子情報開示と保持にアクセスする手順
1. 管理者にて、Office 365 サービスへサインインします。
2. Admin Center (Office 365 管理センター) を開き、左ペインの [管理センター] メニューから [Exchange] をクリックします。
3. Exchange 管理センターにて、左ペインの [コンプライアンス管理] をクリックします。
4. [インプレース電子情報開示] の画面が表示されます。

またインプレース電子情報開示と保持をご利用する管理者には [Discovery Management] の役割が付与されている必要がございます。
参考情報として以下に手順をご案内いたしますのでご確認くださいますようお願いいたします。


■. 管理者へ必要な権限を付与する   ※すでに権限の付与が行われている場合、本設定は不要です。
1. 管理者にて、Office 365 サービスへサインインします。
2. Admin Center (Office 365 管理センター) を開き、左ペインの [管理センター] メニューから [Exchange] をクリックします。
3. Exchange 管理センターにて、[アクセス許可] - [管理者の役割] をクリックします。
4. 役割一覧より [Discovery Management] をダブルクリックし、編集画面を表示します。
5. [メンバー:] にて、[+] ボタン (追加) より、機能を実行する管理者またはセキュリティグループを追加し [OK] をクリックします。
6. 画面下の [保存] をクリックします。

※新たに権限の付与を行った場合、反映にお時間を要する場合がございます。

＜上記権限を新たに付与した場合、権限が反映されている事を確認する方法について＞
1. 上記権限の付与を行った管理者にて、Office 365 サービスへサインインします。
2. Admin Center (Office 365 管理センター) を開き、左ペインの [管理者] メニューから [Exchange] をクリックします。
3. Exchange 管理センターにて、[コンプライアンス管理] - [インプレースの電子情報開示と保持] をクリックします
4. 中段よりやや上に [+] [ペン] [ゴミ箱] [更新] のアイコンが並んでいる箇所がございます。

※上記のマーク 4 項目しか表示が無い場合は権限が反映されていない状態となります。なお、[Discovery Management] の権限が反映されている場合は、4 項目の他に、複数の [虫眼鏡] マークや、[↓] マークが追加で表示されます。
※権限が反映されていない場合、画面の更新や、お時間を空けてから改めてご確認いただきますようお願いいたします。

フェアユース株式会社　足立洋介