Microsoft 365導入した後セキュリティはどうしたらいい？設定12項目を紹介
こんにちは。セルバの中山です。
セルバではMicrosoft 365導入支援をしていますが、メール、Teams、OneDrive、SharePointとまとめて使えるので、Microsoft 365を導入する会社は増えています。ただ、「契約してアカウントを配ったところで止まっていて、セキュリティの設定は初期状態のまま」という話もよく聞きます。
実際、2026年10月9日にはIPAが、国内で相次ぐ不正アクセスを受けて注意喚起を出しました。公表された事例からはアカウントの乗っ取りなどが起点とみられるとして、クラウドなど外部サービスのアカウントとログを洗い出して確認するよう呼びかけています。
では、Microsoft 365を導入した後、具体的に何を設定すればいいのか。この記事では、Microsoftの公式ドキュメント（Microsoft Learn）と公式発表、IPA・警察庁・JPCERT/CCの公表資料だけを読んで、中小企業がまず見直したい設定を12項目にまとめました。ベースにしたのは、Microsoftが300ユーザー以下の会社向けに出している「Microsoft 365 for Business セキュリティのベスト プラクティス」（上位10項目）です。
先に結論を言うと、ポイントは次の4つでした。
- 一番効くのは多要素認証（MFA）：Microsoftの研究では、MFAでアカウント侵害のリスクは99.22%下がる
- SMS認証は2027年2月1日で終わる：Microsoftが提供するSMS・音声によるMFAが終了し、パスキーへの移行が始まっている
- 初期状態のままだと開いている設定がある：Teamsはすべての外部ドメインとのやり取りが既定で許可、中小企業向けプランは監査ログが既定で無効、独自ドメインのメールはDKIM署名が既定で無効
- Copilotを入れる前に「共有しすぎ」の整理が必要：Copilotは、本人が閲覧できるデータなら何でも回答に使う
なお、メニューの名前や場所はMicrosoftの画面変更でよく変わります。この記事は2026年10月時点の公式ドキュメントに沿っています。
なぜ、導入した後の設定が大事なのか
IPAの「情報セキュリティ10大脅威 2026」（組織編）では、1位がランサム攻撃による被害、3位に初めてAIの利用をめぐるサイバーリスクが入り、10位にビジネスメール詐欺が入っています。どれも、メールやアカウント、ファイル共有をまとめて預けるMicrosoft 365と関係の深いものです。
IPAが4,191社に聞いた「2024年度 中小企業における情報セキュリティ対策に関する実態調査」では、不正アクセスの被害にあった企業のうち36.8%が「ID・パスワードをだまし取られた」と答えています。また、セキュリティ被害にあった企業の約7割が、取引先にも影響があったと答えています。
しかも、2段階認証を入れれば安心、というわけでもなくなっています。警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」は、「リアルタイム型フィッシングにより二段階認証を突破」する手口に触れています。JPCERT/CCの四半期レポート（2025年10〜12月）でも、OneDriveを装ったページから偽のMicrosoftログイン画面を表示させ、認証情報を盗む「Microsoft の認証情報を狙った AiTM 攻撃」が紹介されています。
Microsoft 365は便利な分、1つのアカウントが乗っ取られると、メールもファイルもチャットもまとめて見られてしまいます。だからこそ、導入した後の設定が大事になります。
出典：IPA 不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について（2026年10月9日）、IPA 情報セキュリティ10大脅威 2026、IPA 2024年度 中小企業における情報セキュリティ対策に関する実態調査、警察庁 令和7年におけるサイバー空間をめぐる脅威の情勢等について、JPCERT/CC 四半期レポート 2025年10月1日〜12月31日
先に確認：自社のプランで何ができるか
設定できることは、契約しているプランで変わります。Microsoftの中小企業向けベストプラクティスのページでは、主に次のような違いがあります。
- Business Basic / Standard / Premium すべて：セキュリティの既定値群（MFAなど）、メールの基本的な保護、事前設定されたセキュリティポリシー（基本部分）、外部共有の設定、監査ログ
- Business Premium だけ：条件付きアクセス（Entra ID P1）、Defender for Office 365 プラン1（安全なリンク・安全な添付ファイル、なりすまし対策）、Intune（端末管理）、Defender for Business（PCのウイルス対策・EDR）、秘密度ラベル、DLP（情報漏えい対策）
以下の12項目では、それぞれどのプランで使えるかも書いています。
出典：Microsoft Learn「Microsoft 365 for Business セキュリティのベスト プラクティス」、Microsoft Learn「Microsoft 365 Business Premium のセキュリティ概要」
アカウントを守る設定（1〜5）
1. 全員に多要素認証（MFA）をかける
最初にやるべきなのは、全員に多要素認証（MFA）をかけることです。Microsoftの研究チームが2023年に出した論文では、MFAを使うとアカウントが侵害されるリスクが99.22%下がるとしています。
やり方は2つあります。
- セキュリティの既定値群（すべてのプラン）：オンにすると、全員のMFA登録、管理者へのMFA、古い認証方式のブロックなどがまとめて有効になります。Microsoftは「既定でオンであり、ほとんどの組織に適しています」としています。2019年10月22日以降に作ったテナントでは、すでにオンになっている可能性があります
- 条件付きアクセス（Business Premium）：「社外からのアクセスだけMFAを求める」「会社の管理しているPCからだけ許可する」など、条件を細かく決められます
注意したいのは、2つは同時に使えないことです。条件付きアクセスに切り替えるときは、既定値群をオフにしたうえで、同等以上のルールを作る必要があります。また、Microsoftは管理ポータル（Azure portal、Entra管理センター、Microsoft 365管理センターなど）へのサインインでMFAを必須にしており、オプトアウトはできません。
設定場所：Microsoft Entra 管理センター →「Entra ID」→「概要」→「プロパティ」→「セキュリティの既定値群の管理」
2. SMS認証からパスキーに移る（2027年2月1日にSMSが終わる）
MFAを「スマホにSMSでコードが届く方式」で使っている会社は、すぐに確認が必要です。Microsoftは次のスケジュールを公表しています。
- 2026年9月1日：パスキーが既定の認証方式になり、SMSや音声を使っているユーザーには自動でパスキーが有効になる
- 2026年10月30日：SMSや音声を使い続けたい会社は、Microsoft Security ストアから通信事業者を選んで構成できる（費用は自社負担）
- 2027年2月1日：Microsoftが提供するSMS・音声の配信が終了。SMSや音声しか登録していないユーザーは、パスキーを登録しないとサインインできなくなる
2027年2月1日の変更について、Microsoftは「オプトアウトできません」と書いています。SMS認証のまま放っておくと、ある日社員がサインインできなくなるということです。
MicrosoftはSMSや認証アプリのコードなど従来型のMFAについて、遠隔からのフィッシングに弱いとしています。代わりに勧めているのが、パスキー（FIDO2）、Windows Hello for Businessなどのフィッシングに強い認証です。偽のログイン画面ではパスキーが使えないため、さきほどのAiTM攻撃のような手口に強いのが特長です。パスキーは追加ライセンスなしで使えます。
設定場所：Microsoft Entra 管理センター →「Entra ID」→「認証方法」→「ポリシー」→「Passkey (FIDO2)」
3. 古い認証方式を止める（複合機のメール送信に注意）
MFAをかけても、MFAに対応していない古い認証方式（レガシ認証）が残っていると、そこから入られてしまいます。Microsoftは、資格情報のスタッフィング攻撃の97%以上がレガシ認証を利用しているとしています。
セキュリティの既定値群をオンにすればブロックされます。条件付きアクセスを使う場合は、レガシ認証をブロックするポリシーを作り、まず「レポート専用」で影響を確認してから有効にします。
最近、Microsoft 365管理センターに「ベースライン セキュリティ モード」という機能も加わりました。すべてのプランで使え、レガシ認証や基本認証のブロック、管理者へのフィッシングに強い認証の要求などを、管理センターからまとめて設定できます。設定ごとに影響レポートを出して、影響がゼロのものから順にオンにする手順が推奨されています。
気をつけたいのが、複合機のスキャン送信や、自社の業務システムからのメール送信です。これらはSMTP AUTHという仕組みにIDとパスワードだけ（基本認証）でログインしていることが多いのですが、MicrosoftはExchange OnlineのSMTP AUTHの基本認証を廃止する予定だと発表しています。日程は更新されているので、最新の公式発表を確認したうえで、OAuth（モダン認証）やMicrosoft Graph APIへの切り替えを早めに進めておくのがおすすめです。
設定場所：Microsoft 365 管理センター →「設定」→「組織の設定」→「セキュリティとプライバシー」→「ベースライン セキュリティ モード」
4. 管理者アカウントを守る
管理者アカウントが乗っ取られると、全員のメールやファイル、設定まで変えられてしまいます。Microsoftの推奨は次の通りです。
- グローバル管理者は5人未満にする。ほかの人には、必要な権限だけを持つ管理者ロール（ユーザー管理者など）を割り当てる
- 普段使いのアカウントと管理者アカウントを分ける。メールやTeamsは管理者ではないアカウントで使い、管理作業のときだけ管理者アカウントでサインインする
- 緊急アクセス用のアカウントを2つ以上用意する。特定の個人に結び付けない「.onmicrosoft.com」のアカウントにし、パスキーなどフィッシングに強い認証をかけ、使われたら通知が来るようにする
「社長と情シス担当者が全員グローバル管理者」「担当者が辞めた後も管理者アカウントが残っている」という状態は、まず見直したいところです。
5. パスワードの定期変更をやめて、強さで守る
意外かもしれませんが、Microsoftはパスワードを期限切れにしない設定を推奨しています。期限を決めて変更を強制すると、ユーザーが覚えやすい単純なパスワードにしがちで、かえってパスワードの質が下がるというのが理由です。
代わりに推奨しているのは、14文字以上にする、推測しやすいパスワードを禁止する、MFAを使うことです。Microsoft Entraには、よく使われる弱いパスワードを自動ではじく「パスワード保護」があり、全ユーザーに自動で適用されています。自社独自の禁止ワード（会社名など）を登録するには、Entra ID P1（Business Premiumに含まれる）が必要です。
なお、IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版の自社診断の解説でも、可能なら多要素認証やパスキーなどの認証強化機能を使うよう書かれています。
設定場所：Microsoft 365 管理センター →「設定」→「組織の設定」→「セキュリティとプライバシー」→「パスワードの有効期限ポリシー」
メールを守る設定（6〜9）
6. 「事前設定されたセキュリティ ポリシー」をオンにする
メールの迷惑メール対策、マルウェア対策、フィッシング対策は、細かく設定しようとすると項目がとても多くなります。そこでMicrosoftが用意しているのが、推奨値をまとめて適用できる「事前設定されたセキュリティ ポリシー」です。「Standard（標準）」と「Strict（厳重）」の2種類があり、Microsoftはまず全員にStandardを適用することを勧めています。
- すべてのプラン：マルウェア対策、迷惑メール対策、なりすまし（スプーフィング）対策
- Business Premium（Defender for Office 365 プラン1）：メール内のURLをクリック時に検査する安全なリンク、添付ファイルを仮想環境で開いて確かめる安全な添付ファイル、社長や取引先になりすましたメールの検知
Business Premiumなら、社長や経理担当者を「なりすまし保護」の対象に登録しておくと、ビジネスメール詐欺の対策になります。また、「構成アナライザー」を使えば、今の設定が推奨値より弱くなっていないかを確認できます。
設定場所：Microsoft Defender ポータル（security.microsoft.com）→「プリセット セキュリティ ポリシー」
7. 自社ドメインのSPF・DKIM・DMARCを設定する
「@自社ドメイン」でメールを送っているなら、なりすましメールを防ぐ送信ドメイン認証の設定が必要です。Microsoftは、すべての独自ドメインでSPF → DKIM → DMARCの順に設定するよう案内しています。
見落としやすいのがDKIMです。Microsoft 365では、最初からある「〜.onmicrosoft.com」のドメインには自動で署名されますが、独自ドメインは既定では署名されません。Defenderポータルでドメインごとに有効化し、DNSにCNAMEレコードを2つ登録する必要があります。
DMARCは、まず「p=none」（監視だけ）で始めて、問題がなければ「p=quarantine」（迷惑メール扱い）、最後に「p=reject」（拒否）へ段階的に強めていきます。また、Outlook.comやHotmailなどMicrosoftの個人向けメールに5,000通以上送る送信者には、SPF・DKIM・DMARCへの対応が求められ、満たさないメールはエラーで返されます。メルマガなどを配信している会社は特に確認が必要です。
設定場所：Microsoft Defender ポータル →「メール認証の設定」→「DKIM」タブ
8. 社外へのメール自動転送を「オフ」にする
アカウントを乗っ取った攻撃者がよくやるのが、受信トレイのルールで、届いたメールを社外のアドレスへ自動転送させることです。パスワードを変えた後も、転送ルールが残っていれば情報は流れ続けます。
Microsoft 365の既定は「自動 – システム制御」です。2021年以降、新しい組織などではこれが「転送は無効」と同じ扱いですが、以前から転送を使っていた組織では有効のままの場合があります。そのためMicrosoftは、「オン」か「オフ」かを明示的に設定することを推奨しています。業務上どうしても必要な人だけ、別のポリシーで許可するのが安全です。すべてのプランで設定できます。
設定場所：Microsoft Defender ポータル →「スパム対策ポリシー」→「スパム対策送信ポリシー (既定値)」→「自動転送ルール」
9. 監査ログをオンにして、アラートの通知先を決める
今回いちばん意外だったのがこれです。Microsoftのドキュメントには、Business Basic・Standard・Premiumなど中小企業向けライセンスでは監査が既定で有効になっていないと書かれています。オフのままだと、何か起きたときに「誰が、いつ、何をしたか」を後から追えません。
Microsoft Purviewポータルの「監査」を開き、オフになっていればバナーから記録を開始できます（有効になるまで最大60分）。オンにすると、ユーザーや管理者の操作記録が180日間保存されます。
あわせて、アラートポリシーの通知先も確認しておきましょう。「疑わしいメール転送アクティビティ」「ユーザーに対してメールの送信が制限されました」（乗っ取られたアカウントからの迷惑メール送信の兆候）などは、すべてのプランで既定のアラートとして用意されています。通知が誰も見ていないアドレスに届いていると意味がありません。
IPAの注意喚起でも、ログの取得内容と保持期間の見直しが挙げられています。なお、Entra IDのサインインログは、無料版では7日、Entra ID P1（Business Premium）で30日しか残りません。
設定場所：Microsoft Purview ポータル（purview.microsoft.com）→「監査」
共有・端末・AIを守る設定（10〜12）
10. ファイル共有とTeamsの「社外とのやり取り」の範囲を決める
IPAの中小企業向けガイドライン第4.0版にある「情報セキュリティ6か条」には、「共有設定を見直そう！」という項目があります。Microsoft 365でいえば、SharePoint・OneDriveとTeamsの設定です。
SharePoint・OneDriveの外部共有は、次の4段階から選べます。
- すべてのユーザー：リンクを知っていれば誰でも、サインインなしで開ける
- 新規および既存のゲスト：社外の人も招待できるが、サインインか確認コードが必要
- 既存のゲスト：すでに登録済みのゲストだけ
- 組織内のユーザーのみ：社外とは共有できない
Microsoftの以前のガイドでは、初期状態が最も広い「すべてのユーザー」とされていました。自社の設定を一度確認し、「すべてのユーザー」のリンクを残すなら有効期限を必須にする、既定のリンクを「組織内のユーザーのみ」にするといった見直しをおすすめします。OneDriveは、SharePointより緩くはできない仕組みです。
Teamsの外部アクセスについて、Microsoftは「既定では、すべての外部ドメインが許可されています」と書いています。取引先とだけやり取りするなら「特定の外部ドメインのみを許可する」に絞れます。また、Teamsのチャットで危険なURLを警告する機能や、exeなど危険なファイルを含むメッセージをブロックする機能も追加されているので、「メッセージングの安全性」の設定がオンになっているかも確認しておきましょう。
設定場所：SharePoint 管理センター →「ポリシー」→「共有」／Teams 管理センター →「ユーザー」→「外部アクセス」「ゲスト アクセス」
11. 会社のデータにアクセスする端末を管理する
Microsoftのベストプラクティスには、「個人および会社のデバイスを含め、会社のデータにアクセスするすべてのデバイスを保護します」という項目があります。アカウントを守っても、PCが盗まれたり、私物スマホからデータが持ち出されたりすれば意味がないからです。
Business Premiumには、端末管理のIntuneとPC向けのDefender for Businessが含まれていて、次のことができます。
- 会社のPC：Intuneで管理し、BitLocker（ディスク暗号化）を有効にして回復キーをEntra IDに保存する。Defender for Businessで、ウイルス対策や不審な動きの検知（EDR）を行う。ローカル管理者のパスワードはWindows LAPSで自動的に変える
- 私物スマホ（BYOD）：端末ごと管理しなくても、アプリ保護ポリシーでOutlookやTeamsなどの会社のデータだけを守れる。たとえば、会社のデータを個人のアプリに貼り付けたり、OneDrive・SharePoint以外に保存したりするのを禁止できる
- 条件付きアクセスとの組み合わせ：「会社のルールを満たした端末（準拠デバイス）からだけ、Microsoft 365にアクセスできる」ようにできる
なお、Windows 10のサポートは2025年10月14日に終わっています。まだ残っているPCがあれば、こちらも優先して入れ替えたいところです。
12. Copilotを入れる前に「共有しすぎ」を片付ける
Microsoft 365 Copilotを導入する会社も増えてきました。ここで大事なのが、Copilotの動き方です。Microsoftは、Copilotはユーザーが「少なくとも表示アクセス許可を持っている組織データのみ」を使うと説明しています。
裏を返すと、本人が開けるファイルなら、Copilotは回答に使えるということです。これまでは「全社に共有されているけれど、誰も探さないから見られていなかった」人事資料や見積書が、Copilotに聞くだけで出てくる可能性があります。IPAの10大脅威で3位に入った「AIの利用をめぐるサイバーリスク」とも重なる話です。
Microsoftは、Copilotの導入前後に次の流れで過剰な共有（オーバーシェアリング）を見つけて直すことを案内しています。
- 見つける：共有範囲が広すぎるサイトやファイルをレポートで洗い出す
- 一時的に隠す：見直しが終わるまで、特定のサイトをCopilotの検索対象から外す（制限付きコンテンツ検出）
- 直す：サイトの所有者にアクセス権を見直してもらい、「外部ユーザーを除くすべてのユーザー」への共有や全社向けリンクを外す
- 既定を安全にする：機密情報のサイトにアクセス制限をかけ、秘密度ラベルを使う
こうした機能を持つSharePoint Advanced Managementは、Microsoft Copilotのライセンスを1つ以上ユーザーに割り当てていれば使えるとされています。
設定した後も続けたいこと
12項目を設定して終わりではありません。最後に、続けて取り組みたいことを2つ紹介します。
1つ目は、Microsoft セキュア スコアで定期的に点検することです。Defenderポータルにある「Microsoft セキュア スコア」では、自社の設定がMicrosoftの推奨にどれだけ沿っているかが点数で表示され、次にやるべき対策も一覧で出てきます。Microsoftのベストプラクティスの10項目目も「環境を維持する」です。月に1回など、見る日を決めておくとよいと思います。
2つ目は、バックアップを考えることです。IPAの「中小企業のためのクラウドサービス安全利用の手引き」では、クラウドのサービス内のバックアップに頼りきらず、社内の専用ハードディスクなどにも定期的に、複数世代のバックアップを取ることが挙げられています。Microsoftも「Microsoft 365 バックアップ」というサービスを出していて、ランサムウェアや誤った削除への備えとして、SharePoint・OneDrive・Exchangeのデータを変更できない形で保管できます（従量課金）。
12項目のおさらい
- 1. 全員に多要素認証（MFA）：セキュリティの既定値群か条件付きアクセス
- 2. SMS認証からパスキーへ：2027年2月1日にMicrosoft提供のSMS・音声が終了
- 3. 古い認証方式を止める：ベースライン セキュリティ モード、複合機・業務システムのメール送信を確認
- 4. 管理者アカウントを守る：グローバル管理者は5人未満、普段使いと分ける、緊急用を2つ
- 5. パスワードの定期変更をやめる：14文字以上、禁止パスワード、MFA
- 6. 事前設定されたセキュリティ ポリシー：まず全員にStandard
- 7. SPF・DKIM・DMARC：独自ドメインのDKIMは既定で無効
- 8. 社外への自動転送をオフ：「自動」のままにせず明示的に設定
- 9. 監査ログをオン：中小企業向けプランは既定で無効、アラートの通知先も確認
- 10. 共有範囲を決める：SharePoint・OneDriveの外部共有、Teamsの外部ドメイン
- 11. 端末を管理する：BitLocker、Defender for Business、私物スマホはアプリ保護
- 12. Copilotの前に共有しすぎを片付ける：見つける、隠す、直す、既定を安全に
まとめ：Microsoft 365は「導入した日」から設定が始まる
Microsoftの公式ドキュメントとIPAなどの資料を読んで分かったのは、Microsoft 365は契約しただけで安全になるわけではないということです。MFAのようにMicrosoftが既定でオンにしてくれる設定もある一方で、Teamsの外部ドメインは既定ですべて許可、監査ログは中小企業向けプランだと既定で無効、独自ドメインのDKIMも既定で無効と、自分で決めないといけない設定も残っています。
さらに、SMS認証の終了（2027年2月1日）やSMTP AUTHの基本認証の廃止のように、Microsoft側の変更に合わせて動かないといけない話もあります。特に後者は、複合機や自社で作った業務システムのメール送信が止まることにつながるので、情シス担当だけでなく、システムを作った会社にも確認しておきたいところです。
セルバは、Webシステムの開発会社として、業務システムや社内ツールの開発・改修、公開後の保守運用をお手伝いしています。「自社のシステムのメール送信を、Microsoft 365のモダン認証やGraph APIに切り替えたい」「社内システムに、Microsoft 365のアカウントでログインできるようにしたい」「Microsoft 365と連携する業務システムを作りたい」といったご相談も承っています。まずは、何をすべきかを一緒に整理する無料相談から始められますので、お気軽にお問い合わせください。
お問い合わせ | 株式会社セルバ【東京・大阪】| 利益向上にこだわる会社お急ぎの方はお電話でもご相談いただけます 平日9:3www.selva-i.co.jp
セルバでは、安全なWebシステムを一緒に作るWEBエンジニアを募集しています
今回調べてみて、セキュリティは「一度設定して終わり」ではなく、サービス側の変化に合わせて見直し続けるものだと改めて感じました。システム開発も同じで、作った後の認証方式の変更や、クラウドサービスとの連携の見直しまで、責任を持って向き合えることが大切です。
セルバでは、WEBエンジニアを募集しています。Webアプリケーションの設計・開発経験がある方、認証やセキュリティを意識した開発に関心がある方、Microsoft 365などのクラウドサービスと連携するシステムづくりに挑戦したい方を歓迎します。お客さまと直接向き合い、安全で使いやすいWebシステムを一緒に作っていける方をお待ちしています。
採用のご応募・ご質問も、お気軽にお問い合わせください。
株式会社セルバ 採用サイト | 10年後の未来を見据えて あなたのアイデアが時代をつくる10年後の未来を見据えて あなたのアイデアが時代をつくるwww.selva-i.co.jp
