M365導入時に「とりあえず」で済ませると詰む。現場が死守すべきセキュリティ初期設定ガイド

2026年5月2日 18:53

「Microsoft 365（以下M365）を導入した。ライセンスも割り当てた。さあ、今日からTeamsもOutlookも自由に使ってくれ！」

……もしあなたが情シス担当者で、この状態で運用を開始しているとしたら、それは鍵をかけずに家を空けているのと同じかもしれません。M365は非常に多機能ですが、デフォルト設定は「利便性」に振り切っています。

今回は、数多くの現場を見てきた筆者が、導入直後に必ず見直すべき「情シスの命を守るセキュリティ設定」を深掘り解説します。

1. 多要素認証（MFA）の「強制」

これは基本中の基本ですが、意外と「ユーザーからの反発が怖い」と後回しにされがちです。しかし、昨今のアイデンティティ攻撃の99.9%はMFAで防げると言われています。

「セキュリティの既定値」の有効化: 小規模組織ならこれ一択です。一括で強力な保護をかけられます。
「条件付きアクセス」による制御（Entra ID P1以上）: 中堅以上の組織なら、ここが腕の見せ所です。「社内IP以外からのアクセスはMFA必須」「会社支給デバイス以外はブロック」など、業務実態に合わせた「キレのある設定」を構築しましょう。

SharePointやOneDriveのデフォルト設定は、時に親切すぎて危険です。

匿名リンク（誰でも知っているリンク）の制限: デフォルトでは「リンクを知っている全員」に共有できてしまう場合があります。これを「組織内のユーザー」または「既存のゲスト」に制限するのは、情シスの鉄則です。
ゲストアクセスの定期的な棚卸し: 「招待しっぱなし」の外部ユーザーは脆弱性の塊です。Entra IDのアクセスレビュー機能を活用し、自動的に権限を剥奪する仕組みを検討してください。

「うちはMFAを入れてるから大丈夫」という油断を突くのが、POP3やIMAP4といったレガシー認証です。これらはMFAをバイパスできてしまうため、攻撃者の格好の標的になります。

認証ポリシーでのブロック: モダン認証に対応していない古いメールクライアントの使用を組織レベルで禁止します。ここを塞がない限り、裏口が開いているのと同じです。

「情シス全員がグローバル管理者」という運用は、今日この瞬間から卒業しましょう。

役割別管理者の活用: 「Exchange管理者」「Teams管理者」など、必要な権限だけを割り当てます。
特権アイデンティティ管理（PIM）の導入: 「必要な時だけ、申請ベースで数時間だけ管理者権限を持つ」運用。これができれば、情シスとしてのセキュリティレベルは上位5%に入ります。

何か起きた時、ログがなければ原因究明も報告もできません。

監査ログの有効化と保持: 標準では90日（ライセンスによる）しか残りません。有事の際、3ヶ月前の挙動が追えないのは致命的です。SIEMへの転送や、長期保存の設定を導入初期に設計しておくことが、将来の自分を救うことになります。

セキュリティ設定を厳しくすると、必ずユーザーから「使いにくい」「前の方が良かった」と声が上がります。しかし、「利便性は後から付加できるが、漏洩したデータは取り戻せない」のがこの世界のルールです。

まずは「デフォルト設定を疑う」ところから始めましょう。