Microsoft 365は本当に安全か？

セキュリティ事故を防ぐために最低限やるべき3つの対策

「Microsoftアカウント セキュリティ」が話題に

最近「Microsoftアカウント セキュリティ」というキーワードが注目されていました。
サイバー攻撃の多くが「ID・パスワードの乗っ取り」から始まる今、Microsoft 365のようなクラウドサービス利用企業にとって、 “アカウントを守ること＝会社の資産を守ること”です。

しかし現場では、次のような声をよく聞きます：

• 「M365は導入してるけど、細かい設定まではしていない」
• 「PCは個別でバラバラ。Entra IDに参加させてない」
• 「MFAとかIntuneって面倒そう／お金かかるし…」

こうした“やってない状態”が情報漏洩や不正アクセスの温床になっています。

本当に最低限やるべき3つのセキュリティ対策

① PCがMicrosoft Entra IDに参加していない

Microsoft 365でアカウントだけ管理しても、PCがEntra ID（旧Azure AD）に参加していなければ、端末制御はできません。

こんなリスクがあります

• 社員のPCを紛失しても誰でもファイルにアクセス可能
• ローカルの設定・アプリは野放し状態
• 管理者からは、誰がどの端末で業務しているか見えない

対策

• すべてのPCを Azure ADでEntra に参加
• Intune管理対象にし、BitLocker強制・更新制御・ログ取得も含め一元管理

② MFA（多要素認証）を未導入

現在のMicrosoft 365ではMFAは事実上「強制」です。

• 2023年以降に作られた新規テナントではSecurity Defaultsが有効化済み
• 古いテナントでも手動でMFA登録を促す通知が出る

でも、実は古いテナントではMFAを無効化できる

「セキュリティの既定値」をオフにすれば、MFAなしの運用も可能です。
ただしこれは “昔の設定に戻してしまえる”だけで、安全とは言えません。

Microsoftも
「MFAを有効にするだけで99.9%のアカウント乗っ取りを防げる」と明言しています
ー Microsoft Security Blog

対策

③ Intuneでの端末管理が未導入

Microsoft 365を「IDだけ」で守ろうとすると、端末を通じて簡単に情報が漏洩します。

よくある事例

• 社員が勝手に個人PCやスマホから業務データにアクセス
• 私物USBでファイルを持ち出しても誰にもバレない
• 退職者の端末にまだ業務データが残っている

Intuneでできる主な対策

• アプリ制御：許可された業務アプリだけ使えるように
• Webフィルタリング：SNS、動画、個人メールなど遮断
• リモートワイプ：退職・紛失時に遠隔で初期化／業務データ削除
• USB/Bluetooth制限：無断持ち出しをブロック
• セキュリティポリシー強制：Defender、BitLockerなどを一括設定

補足：条件付きアクセスとは？

条件付きアクセスは、Entra ID P1以上で使えるアクセス制御の中核機能です。

できること（例）

• 社外アクセスは禁止、社内ネットワークからのみOK
• MFA登録済みのユーザーだけがSharePointを開ける
• Intuneに登録された準拠デバイスからのみTeamsに接続可能
• 特定の国やIPからのアクセスを遮断

複数の条件を組み合わせたアクセス制御が可能で、ゼロトラスト実現の中核となります。

ライセンス費用が気になる？でもそれ以上に損害は大きい

Microsoft 365のE3やE5、Intuneなどのライセンスには確かにコストがかかります。
しかし、情報漏洩や乗っ取りが起きた場合、その被害ははるかに大きくなります。

• 取引先への謝罪、取引停止
• 調査・復旧・法的対応のコスト
• 報道や口コミによる信頼失墜

中小企業でも1件の漏洩で数百万円〜数千万円規模の損害が発生することも。
信用は一瞬で失われ、回復には何年もかかります。

まとめ：Microsoft 365の設定こそが、今のセキュリティの基盤

• Entra IDに参加していないPC → 管理できていない
• MFAを無効化できる状態 → むしろ危険なまま
• Intuneで制御できない端末 → 漏洩リスクが常に存在

Microsoft 365を導入した時点では「まだ入口」です。
その先の設定・運用ができてはじめて、組織を守れる体制になります。

気になったら、お気軽に相談を

・うちの設定って大丈夫なの？
・ライセンス内でどこまでできる？
・MFAやIntuneの導入ってどのくらい工数がかかる？

そんな疑問があれば、小さくても今すぐ動き出すことが最も重要です。

「事故が起きてから」では遅い。
今すぐできるところから、一緒にセキュリティを見直しましょう。