Microsoft 365 の不正アクセスを防ぐために、まず見直したい 5つの対策

クラウドセキュリティ

お使いの Microsoft 365 のセキュリティ設定を、最後に確認したのはいつでしょうか。

Microsoft 365 には、業務の情報を守るためのセキュリティ機能があります。ただし、導入したときの設定が、今の利用状況にも合っているとは限りません。退職者のアカウントや、使わなくなったアプリへのアクセス許可など、日々の業務の中で見直すべき点が生まれます。

不正アクセスは、システムの弱点を突く攻撃だけで起きるものではありません。盗まれた ID・パスワードで本人になりすましてログインしたり、アプリに与えたアクセス権を悪用したりするケースもあります。まずは、自社のアカウントや設定が適切に管理されているか、確認することから始めましょう。

本コラムでは、Microsoft 365 を利用する組織にまず実施してほしい、次の 5 項目を紹介します。

管理者アカウントの適正化（棚卸しとフィッシング耐性 MFA）
OAuth アプリのアクセス権の適正化（棚卸しとユーザー同意の制限）
ユーザーアカウントの適正化（棚卸しと不要アカウントの無効化）
アクセス制御の適正化（条件付きアクセスまたはセキュリティの既定値群）
メールの脅威対策ポリシーの適正化（プリセットセキュリティポリシー）

1. 管理者アカウントの適正化：強い権限を持つ人を必要最小限にする

📝 管理者権限は本当に必要な人だけに付いていますか？
📝 管理用のログインには、フィッシングに強い認証方法を使っていますか？

Microsoft 365 には、ユーザーの追加やセキュリティ設定の変更などを行う「管理者権限」があります。強い権限を持つアカウントが乗っ取られると、組織全体に影響が及ぶおそれがあります。

まずは、誰がどの管理者権限を持っているかを棚卸しましょう。テスト用のアカウントや、構築を依頼した会社のアカウントなどに、作業終了後も権限が残っていないかを確認します。不要な権限は外し、使っていない管理者アカウントは無効化しましょう。

管理用のアカウントは、メールや Web 閲覧などの日常業務に使うアカウントと分けることをお勧めします。また、管理者の本人確認の方法も強化しましょう。

MFA（多要素認証）は、パスワードだけに頼らず、複数の要素で本人を確認する仕組みです。ただし、最近では MFA を突破する高度なフィッシングも一般的になっています。管理用のアカウントには、パスキーなど、偽のサイトに認証情報を渡しにくい「フィッシング耐性 MFA」を利用しましょう。

2. OAuth アプリのアクセス権の適正化：アプリに渡した許可を見直す

📝 メールやファイルを読めるアプリを把握していますか？
📝 新たに許可するときの確認ルールはありますか？

アプリを使い始めるときに、「メールの読み取りを許可しますか」「ファイルへのアクセスを許可しますか」といった画面が表示されることがあります。OAuth は、パスワードそのものをアプリに渡さずに、情報へのアクセスを許可するための仕組みです。

便利な仕組みですが、不正なアプリに許可を与えると、メールやファイルを盗み見られるおそれがあります。パスワードを変更するだけでは、アプリに与えたアクセス権そのものは取り消せません。

ユーザーが許可したものだけでなく、管理者が組織全体に許可したものも含めて、どのアプリにどの情報へのアクセスを認めているかを棚卸ししましょう。不要なアプリや、業務に必要な範囲を超えた権限、不審な許可は見直します。

併せて、ユーザーが自分の判断でアプリにアクセス権を与える「ユーザー同意」を制限しましょう。例えば、新たな許可は管理者の確認を通す運用にします。この設定は今後の同意に対する制限であり、過去に与えた許可は残りますので、既存のアクセス権の確認と取り消しも行いましょう。

3. ユーザーアカウントの適正化：使わなくなったアカウントを無効化する

📝 退職者や契約終了者のアカウントは、確実にログインできない状態になっていますか？

退職者や契約が終了した外部スタッフ、テスト用のアカウントなど、現在は使っていないアカウントが残っていないでしょうか。ログインできる状態のまま残っていると、そのアカウントが不正アクセスに使われるおそれがあります。

まずは、各アカウントが現在使用されているかを確認しましょう。外部の協力会社などに発行したアカウントも対象です。

使っていないアカウントは、業務での利用やデータの引き継ぎ、保管の必要性を確認したうえで、ログインできないよう無効化します。長期間ログインがないという理由だけで、一律に削除する必要はありません。まずは無効化して、新たなログインを防ぎましょう。再び有効にする際は、利用目的と安全性を確認してください。

退職や契約終了の際に無効化する手順を決め、定期的に棚卸しを行う運用にしましょう。

4. アクセス制御の適正化：ログインを許可する条件を決める

📝 盗まれたパスワードだけでログインされないためのルールが適用されていますか？

アカウントを整理しても、パスワードだけでログインできる状態では、盗まれたパスワードを悪用されるおそれが残ります。誰が、どの端末から、どのような条件で利用できるかを決めるのが「アクセス制御」です。

Microsoft 365 の認証を管理する Microsoft Entra ID には、主に次の 2 つの選択肢があります。

条件付きアクセス：利用する端末や場所などに応じて、追加の本人確認を求めたり、アクセスを制限したりする仕組みです。自社の業務に合わせてルールを設定できます。利用には対応するライセンスが必要です。
セキュリティの既定値群：基本的な認証保護をまとめて適用する、追加のライセンス費用なしで利用できる機能です。全ユーザーに MFA の登録を求め、管理者などに MFA を要求するほか、古い認証方式をブロックします。

すでに条件付きアクセスを利用している場合は、守るべきユーザーやサービスが対象から漏れていないか、不要な例外がないかを確認しましょう。細かなルールを設定する必要がなく、条件付きアクセスを利用していない組織では、セキュリティの既定値群を検討します。両者は併用できないため、自社に合う方式を選びます。

5. メールの脅威対策ポリシーの適正化：危険なメールを届きにくくする

📝 推奨されるメール保護設定を適用していますか？
📝 対象から漏れているユーザーはいませんか？

偽のログイン画面に誘導するメールや、不正な添付ファイルは、不正アクセスのきっかけになります。ユーザーの注意だけに頼らず、メールの保護設定も見直しましょう。

Microsoft 365 には、推奨されるメール保護設定をまとめて適用する「プリセットセキュリティポリシー」があります。「Standard（標準）」と、より強い保護を行う「Strict（厳格）」などの設定を利用できます。

まずは、どの保護設定が誰に適用されているかを確認しましょう。設定があっても、保護すべきユーザーが対象外になっていては十分に機能しません。利用できる機能は契約によって異なるため、ライセンスを確認したうえで、適用する対象と保護の強さを決めます。「安全なリンク」や「安全な添付ファイル」も、対応するライセンス（※）がある場合に活用できます。

※ 2026年７月からは、Office 365 E3 に Defender for Office 365 Plan 1 が含まれ、これらの機能を利用できるようになりました