Microsoft 365はセキュリティ機能が豊富に用意されていますが、多くはデフォルトでは有効になっていません。
導入しただけではセキュリティは確保されておらず、適切な設定を行って初めて機能します。
特に問題になるのがMFAの未設定・レガシー認証の残存・外部共有の全開・監査ログの無効という4つです。これらが放置されているM365環境は、クラウドへの不正アクセスの入口になります。
本記事では現場で最初に確認すべきセキュリティ設定をカテゴリ別に整理し、チェックリスト形式でまとめます。
Entra IDの条件付きアクセスについては「条件付きアクセスとは？設計パターンと実務ガイド」を参照してください。
M365のセキュリティ設定が重要な理由
デフォルト設定では不十分な理由
M365のデフォルト設定は「すぐ使える」ことを優先しており、セキュリティは最小限の状態です。
| 設定項目 | デフォルト状態 | リスク |
|---|---|---|
| MFA | 無効（一部テナントを除く） | パスワード漏洩で即座に侵害される |
| レガシー認証 | 有効 | MFAをバイパスした不正アクセスが可能 |
| 外部共有（SharePoint） | 有効（誰でも） | 機密データが意図せず公開される |
| 統合監査ログ | 無効（E3以下） | インシデント発生時に証跡が残らない |
| メール転送 | 制限なし | 外部へのメール自動転送が設定される可能性 |
「Microsoftが提供しているから安全なはず」という思い込みは危険です。M365はプラットフォームを提供しますが、設定の責任は利用者側にあります（責任共有モデル）。
セキュリティスコアで現状を把握する
設定の確認を始める前に、Microsoft セキュリティスコアで現状を把握します。
Microsoft セキュリティスコア
Microsoft 365のセキュリティ設定状況をスコア化して可視化する機能。推奨アクションと改善効果が一覧表示されるため、優先度をつけて設定改善を進められる。Microsoft Defender ポータル（security.microsoft.com）から確認できる。
セキュリティスコアはsecurity.microsoft.com→「セキュリティスコア」から確認できます。スコアが低い項目から順に対処することで、効率的にセキュリティレベルを上げられます。
ID・認証のセキュリティ設定
最優先で対応すべきMFAの有効化
MFAはM365セキュリティの最重要設定です。パスワードが漏洩してもMFAがあれば不正ログインを防げます。
設定場所： Entra管理センター（entra.microsoft.com）→「ユーザー」→「多要素認証」
MFAの有効化方法は3種類あります。優先度順に以下です。
| 方法 | 推奨度 | 概要 |
|---|---|---|
| 条件付きアクセスポリシー | ★★★ 最推奨 | 柔軟な条件設定が可能・管理しやすい |
| セキュリティの既定値群 | ★★ 推奨 | ワンクリックで基本設定を有効化できる |
| ユーザーごとのMFA | ★ 非推奨 | 管理が煩雑・条件付きアクセスと競合する |
中小規模でM365 Business Basicを使っている場合は「セキュリティの既定値群」が最も手軽です。Entra管理センター→「概要」→「プロパティ」→「セキュリティの既定値群の管理」から有効化できます。
MFAの仕組みについては「MFAとは？多要素認証の仕組みと実務での導入・運用ガイド」を参照してください。
レガシー認証のブロック
レガシー認証はMFAをバイパスできる古い認証プロトコルです。M365環境への不正アクセスの多くはレガシー認証経由で行われています。
レガシー認証（Legacy Authentication）
SMTP・POP3・IMAP・基本認証など、モダン認証（OAuth 2.0）に対応していない古い認証プロトコルの総称。MFAに対応していないため、パスワードさえわかればMFAをバイパスして不正ログインできる。Office 2013以前のクライアントや古いメールクライアントが使用する。
設定場所： 条件付きアクセスポリシー
IF：
クライアントアプリ：レガシー認証クライアント（Exchange ActiveSync以外）
ユーザー：すべてのユーザー
THEN：
アクセスをブロック
ブロック前に必ずサインインログでレガシー認証の使用状況を確認してください。古いメールクライアントを使っているユーザーがいる場合は、Outlookなどのモダン認証対応クライアントへの移行を先に完了させてからブロックします。
Entra IDのサインインログ分析については「Entra IDのサインインログ分析入門」を参照してください。
条件付きアクセスの設定
MFAとレガシー認証ブロックの次は、条件付きアクセスで「誰が・どこから・どのデバイスで」アクセスするかを制御します。
最低限設定しておきたいポリシーは以下の3つです。
| ポリシー | 内容 |
|---|---|
| 管理者への常時MFA要求 | グローバル管理者等のロールに条件なしでMFAを要求 |
| 海外IPからのアクセスブロック | 国内ビジネスのみの場合、日本以外のIPをブロック |
| 非準拠デバイスの制限 | Intune未登録デバイスからのアクセスを制限 |
データ保護の設定
外部共有の制限（SharePoint・OneDrive）
SharePointとOneDriveのデフォルト設定では、外部ユーザーへのファイル共有が広く許可されています。設定を確認・制限しないと、機密データが意図せず外部に公開されるリスクがあります。
設定場所： SharePoint管理センター（admin.microsoft.com）→「ポリシー」→「共有」
| 共有レベル | 内容 | 推奨 |
|---|---|---|
| 誰でも（匿名リンク） | リンクさえあれば誰でもアクセス可能 | ❌ 禁止推奨 |
| 新規および既存のゲスト | Microsoftアカウントを持つ外部ユーザー | △ 要検討 |
| 既存のゲストのみ | 既に招待済みのゲストのみ | ○ |
| 組織内のみ | 社内ユーザーのみ | ⭐ 最も安全 |
「誰でも（匿名リンク）」は必ず無効化してください。業務上、外部共有が必要な場合でも「既存のゲストのみ」または「特定のドメインのみ」に制限することを推奨します。
メール転送の制限（Exchange Online）
攻撃者がメールアカウントを侵害した際に、外部アドレスへの自動転送ルールを設定して情報を盗み取る手口が多く報告されています。これを防ぐために外部へのメール転送を制限します。
設定場所： Exchange管理センター（admin.exchange.microsoft.com）→「メールフロー」→「リモートドメイン」
または条件付きアクセスとMicrosoft Defender for Office 365を組み合わせた送信スパムポリシーで制御します。
Exchange管理センター
→「メールフロー」→「ルール」
→「新しいルールを作成」
→「外部への自動転送を禁止する」ルールを追加
M365 Purviewの監査ログを使って、外部転送ルールの設定有無を確認する方法については「M365 Purview入門｜監査ログの取り方とインシデント調査への活用」を参照してください。
DLPポリシーの設定
DLPポリシーは、個人情報・クレジットカード番号・マイナンバーなどの機密情報が外部に送信されることを防ぐ機能です。
DLP（Data Loss Prevention：データ損失防止）
メール・SharePoint・OneDriveなどのM365サービス上で機密情報を検出し、外部への送信や共有をブロック・警告する機能。マイナンバー・クレジットカード番号・パスワードなどのパターンを自動検出できる。Microsoft Purview コンプライアンスポータルから設定する。
設定場所： Microsoft Purview（purview.microsoft.com）→「データ損失防止」→「ポリシー」
まずはMicrosoftが提供するテンプレート（日本の個人情報保護法対応テンプレート等）を使って設定を始めると効率的です。
監査・ログの設定
統合監査ログの有効化
M365の統合監査ログは、ユーザーのサインイン・ファイルアクセス・メール送受信・管理者操作などをすべて記録します。インシデント発生時の調査に不可欠です。
設定場所： Microsoft Purview（purview.microsoft.com）→「監査」
# PowerShellで監査ログの有効状態を確認する
Connect-ExchangeOnline
Get-AdminAuditLogConfig | Select-Object UnifiedAuditLogIngestionEnabled
UnifiedAuditLogIngestionEnabledがFalseの場合は即座に有効化してください。
# 統合監査ログを有効化する
Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true
注意： Microsoft 365 E3以下のライセンスでは監査ログの保存期間が90日です。E5またはMicrosoft Purview監査（プレミアム）では最大10年まで延長できます。
ログの保存期間設定
ライセンスに応じた保存期間を把握し、必要に応じてサードパーティのSIEM（Microsoft Sentinelなど）にログをエクスポートする設計を検討してください。
| ライセンス | 監査ログ保存期間 |
|---|---|
| Business Basic/Standard/Premium | 90日 |
| Microsoft 365 E3 | 90日 |
| Microsoft 365 E5 | 1年 |
| Purview監査（プレミアム） | 最大10年 |
SIEMを使ったログ管理については「Microsoft Sentinel入門｜SIEMの基本と導入・運用の考え方」を参照してください。
現場でよくある設定漏れ
1. MFAがグローバル管理者にしか設定されていない
「管理者だけMFAを設定すればいい」という認識で、一般ユーザーのMFAが未設定のケースがあります。実際の侵害の多くは一般ユーザーアカウントから始まります。全ユーザーにMFAを設定することが基本です。セキュリティの既定値群を有効化すれば全ユーザーへの適用が最も手軽です。
2. レガシー認証が残ったまま
MFAを設定しても、レガシー認証が有効なままだとMFAをバイパスして不正ログインされます。MFAとレガシー認証ブロックはセットで設定してください。ブロック前にサインインログで使用状況を確認し、使っているユーザーへの対応を先に完了させることが重要です。
3. 外部共有が全開になっている
SharePointの外部共有設定を確認したことがなく「誰でも」レベルのまま運用しているケースがあります。特に「匿名リンク（誰でも）」は機密ファイルが誰でもアクセス可能な状態になるリスクがあります。まず現状の共有設定を確認し、「誰でも」は即座に無効化してください。
4. 監査ログが無効のまま
M365導入時に監査ログの有効化を忘れており、インシデント発生後に「ログが残っていなかった」という事態になるケースがあります。監査ログは有効化してから記録が蓄積されるため、インシデント発生後に有効化しても過去の記録は取得できません。導入直後に有効化することが必須です。
チェックリスト
ID・認証
- [ ] 全ユーザーにMFAが設定されている（セキュリティの既定値群または条件付きアクセス）
- [ ] レガシー認証をブロックするポリシーが設定されている
- [ ] グローバル管理者に常時MFAを要求する条件付きアクセスポリシーが有効
- [ ] グローバル管理者の数が最小限（推奨：2〜4人）になっている
データ保護
- [ ] SharePoint・OneDriveの外部共有が「誰でも（匿名リンク）」になっていない
- [ ] 外部へのメール自動転送が禁止されている
- [ ] DLPポリシーが設定されており、機密情報の外部送信を検知・ブロックしている
監査・ログ
- [ ] 統合監査ログが有効になっている
- [ ] ライセンスに応じたログ保存期間を把握している
- [ ] 定期的に監査ログを確認して異常なサインインや操作を監視している
セキュリティスコア
- [ ] Microsoft セキュリティスコアを定期的に確認している
- [ ] スコアの推奨アクションに基づいて設定改善を進めている
統合監査ログは有効になっていますか？
Connect-ExchangeOnline後にGet-AdminAuditLogConfig | Select-Object UnifiedAuditLogIngestionEnabledを実行して確認してみてください。
Falseになっていた場合は即座に有効化してください。過去のログは遡れないため、これだけは今すぐ確認が必要です。
M365のセキュリティ設定は「導入して終わり」ではありません。MFA・レガシー認証ブロック・外部共有制限・監査ログの4つを起点に、Microsoft セキュリティスコアの推奨に沿って段階的に設定を強化していくアプローチが現実的です。
あわせてご覧ください
- 条件付きアクセスとは？設計パターンと実務ガイド
- Entra IDのサインインログ分析入門
- M365 Purview入門｜監査ログの取り方とインシデント調査への活用
- MFAとは？多要素認証の仕組みと実務での導入・運用ガイド
- Microsoft Sentinel入門｜SIEMの基本と導入・運用の考え方
コメント