Microsoft 365は情報漏洩対策になぜ効くのか？気になったので7社の事例から調べてみた
こんにちは。セルバの中山です。
前回は「Microsoft 365を導入した後に見直したいセキュリティ設定」を紹介しました。今回はその前の段階の話です。「そもそもMicrosoft 365にすると、なぜ情報漏洩対策になるのか」が気になったので、実際に導入した会社の事例から調べてみました。
使ったのは、Microsoftが公式サイトで公開している導入事例と、各社・各団体の公式発表、個人情報保護委員会やIPAの公表資料です。なお、Microsoftの導入事例はベンダー自身が掲載しているものなので、効果は各社とMicrosoftが発表している範囲で紹介しています。
取り上げたのは次の7社です。
- 大企業：北海道電力、TKC、NTTコミュニケーションズ、集英社、新生テクノス（JR東海グループ）
- 中小企業：イデラキャピタルマネジメント、ネスタリゾート神戸
先に結論を言うと、Microsoft 365が情報漏洩対策に効く理由は、「人の注意」ではなく「仕組み」で守れることでした。具体的には、次の6つです。
- データがPCではなくクラウドにある：PCを無くしても、中にデータが残りにくい
- パスワードではなく「ID」で守る：多要素認証やパスワードレスで、盗まれたパスワードだけでは入れない
- ファイルそのものに鍵をかける：社外に出たファイルも開けないようにできる
- 送る前に止める：マイナンバーなどを含むメールや共有を、自動で警告・ブロックできる
- 渡した後でも取り消せる：添付ファイルではなく共有リンクなら、後から止められる
- 記録が残り、まとめて管理できる：誰が何をしたかを追え、1つの管理画面で見られる
ただし、Microsoft 365にしても、設定次第で漏れることもあります。後半では、実際に公表された漏えい事案も紹介します。
そもそも、情報漏えいはどれくらい起きているのか
個人情報保護委員会の「令和7年度 年次報告」によると、令和7年度に個人情報取扱事業者等から受けた個人情報の漏えい等の報告は17,139件でした（前年度は19,056件）。要配慮個人情報を含むものに次いで多かったのが、「不正アクセス等、不正の目的をもって行われたおそれ」があるもので22.3%です。報告書は、誤交付やクレジットカード等の誤送付のほか、不正アクセス等によるものが多かったとしています。
IPAの「情報セキュリティ10大脅威 2026」（組織編）でも、「内部不正による情報漏えい等」が7位に入っています。また、IPAの「企業における営業秘密管理に関する実態調査2024」では、過去5年以内に営業秘密の漏えい、または漏えいが疑われる事例があった企業は35.5%でした。漏えいのルート（複数回答）は「外部からのサイバー攻撃等」が36.6%で最も多く、「現職従業員等のルール不徹底」が32.6%、「金銭目的等の具体的な動機をもった漏えい」が31.5%、「ルールを知った上での誤操作・誤認等」が25.4%と続きます。
つまり、情報漏えいは外からの攻撃と、中の人のミスや不正の両方で起きています。ルールを決めて「気をつけましょう」と呼びかけるだけでは防ぎきれない、ということです。
出典：個人情報保護委員会 令和7年度年次報告 概要、個人情報保護委員会 令和7年度年次報告、IPA 情報セキュリティ10大脅威 2026、IPA 企業における営業秘密管理に関する実態調査2024
理由①：データがPCではなくクラウドにある
情報漏えいの典型が、PCやUSBメモリの紛失・盗難です。Microsoft 365では、ファイルをPCの中ではなくOneDriveやSharePointに置くのが基本になります。PCのデスクトップやドキュメントフォルダーも、「既知のフォルダーの移動」という機能でOneDriveに自動で保存できます。
さらに、端末管理のIntuneを使えば、紛失したPCやスマホを遠隔で初期化（ワイプ）できます。私物スマホの場合は、個人のデータは残したまま会社のデータだけを消すこともできます。
事例：NTTコミュニケーションズ（ファイルサーバーをやめてクラウドへ）
NTTコミュニケーションズは、コロナ禍でハイブリッドワークが広がったことに加え、同じ時期に社内サーバーへの不正アクセスも受けました。そこで決めたのが「オンプレミス環境からの脱却」です。
- 社内のActive DirectoryをやめてMicrosoft Entra IDに移行し、多要素認証と端末認証を導入
- 端末管理をIntuneに切り替え、既存の約4万台の端末を約4か月でMicrosoft Entraハイブリッド参加にした
- 既存の全ファイル（550TB）をOneDrive・SharePointに移行した
社内のサーバーがなくなれば、社内ネットワークに入り込んでサーバーのデータを盗むという攻撃の入り口そのものが減ります。
出典：Microsoft 導入事例「NTTコミュニケーションズ」（2024年9月）
事例：ネスタリゾート神戸（中小企業、NASからクラウドへ）
兵庫県三木市のレジャー施設、ネスタリゾート神戸は、Microsoft 365 Business Premiumを導入しました。以前は共有フォルダーを社内のNASに置いていて、管理部門の担当者は「従来のオンプレミスでの運用では、セキュリティ面で不安がありました」と話しています。
ファイルをSharePointに移したことで、PCで誤って消したファイルをSharePointから戻せた、という場面もあったそうです。「データが手元のPCやNASにしかない」状態をなくすことは、漏えいだけでなく消失の対策にもなります。
出典：Microsoft 導入事例「ネスタリゾート神戸」（2024年2月）、Microsoft Learn「既知のフォルダーを OneDrive にリダイレクトする」、Microsoft Learn「デバイスのワイプ」、Microsoft Learn「アプリ保護ポリシーの概要」
理由②：パスワードではなく「ID」で守る
クラウドにデータを置くと、次に大事になるのが「誰が入れるか」です。Microsoft 365では、Microsoft Entra IDというID管理の仕組みで、多要素認証やパスワードレスのサインイン、「会社が管理しているPCからだけ許可する」といった条件付きアクセスを設定できます。パスワードが盗まれても、それだけでは入れない状態を作れるわけです。
事例：集英社（パスワードを社員が知らない状態に）
集英社は、作家やクリエイター、編集者の創作活動を支えるうえで知的財産の保護を課題とし、Microsoft 365 E5でゼロトラストの環境を約1年で作りました。Windows HelloやMicrosoft Authenticatorによるパスワードレスのサインインを取り入れ、Active Directoryのパスワードは管理者がランダムな長いものに設定し、社員の誰も自分のパスワードを知らない環境になりました。
その結果について、集英社は「パスワード漏洩による不正アクセスのリスクは、ほぼなくなりました」としています。また、多くのベンダーの製品を組み合わせていた環境をまとめたことで、セキュリティレポートの作成も30分もかからないようになったそうです。
出典：Microsoft 導入事例「集英社」（2024年7月）
事例：新生テクノス（VPNをやめる）
JR東海グループの総合電気設備工事会社である新生テクノスは、工事現場の事務所などから社内につなぐVPNがセキュリティ上のリスクになっていました。そこでMicrosoft 365 E3を土台に、Microsoft Entraの「Global Secure Access」を導入し、VPNを廃止しました。Intuneを使って全事務所のPCに配布し、約2週間で全社に展開しています。
情報システム部長は「従業員が意識することなく」セキュリティを保てるようになったと話しています。VPN機器は、警察庁の調べでもランサムウェアの侵入経路の6割以上を占めており、VPNそのものをなくすのは大きな対策です。
出典：Microsoft 導入事例「新生テクノス」（2026年4月）、警察庁 令和7年におけるサイバー空間をめぐる脅威の情勢等について
理由③：ファイルそのものに鍵をかける（秘密度ラベル）
ここからが、Microsoft 365ならではの情報漏洩対策です。Microsoft Purviewの秘密度ラベルを使うと、ファイルに「社外秘」などのラベルを付け、暗号化できます。
Microsoftの説明では、ラベルはファイルの中に保存されるので、保存場所が変わってもコンテンツと一緒に維持されます。暗号化も、ファイルが組織の外にあっても、ファイル名が変わっても維持されます。つまり、社外に誤送信しても、持ち出されても、権限のない人は開けません。有効期限を設定したり、退職者のアクセスを後から止めたりもできます。
事例：TKC（全ファイルの初期値を「社外秘」に）
会計事務所や自治体向けのシステムを提供するTKCは、2024年1月時点でSharePointとOneDriveに約1億3,367万ファイル（201TB）がありました。とても人の手では管理しきれない量です。
そこでMicrosoft 365 E5に切り替え、すべてのファイルの既定を「社外秘」ラベルにしました。ラベルの初期値は「印刷禁止・転送不可」です。展開は段階的に進め、2023年8月1日に全アカウントで有効にしました。
TKCは、ラベルを付けることで社員が「これを社外に送っていいのか」と必ず意識するようになること、社員のセキュリティへの意識が変わってきていることを挙げています。
出典：Microsoft 導入事例「TKC」（2025年3月）
事例：北海道電力（「端末で守る」から「データで守る」へ）
北海道電力は、もともと端末を中心とした情報漏洩対策をとっていました。しかし「クラウド・バイ・デフォルト」の方針と合わず、取引先やSaaSのために持ち出しの特例を増やし続けることになっていました。
そこで、すでに契約していたMicrosoft 365 E5のPurviewを使い、秘密度ラベル・DLP・インサイダーリスク管理の3つを1つの管理画面で運用する形に切り替えました。ラベルの標準設定は「社内ラベル（暗号化あり）」です。2025年2月に情報通信部で試し、2025年10月から全社のPC入れ替えに合わせて展開しています。
個別の製品をそろえるよりも費用や管理の手間を抑えられた、としています。導入直後は問い合わせが増えたものの、1か月ほどで落ち着いたそうです。担当者の「セキュリティにゴールはありません」という言葉が印象的でした。
出典：Microsoft 導入事例「北海道電力」（2026年6月）、Microsoft Learn「秘密度ラベルについて」、Microsoft Learn「秘密度ラベルを使って暗号化でアクセスを制限する」
理由④：送る前に止める（DLP）
DLP（データ損失防止）は、メールやTeams、ファイル共有の中にある機密情報を自動で見つけて、警告したりブロックしたりする機能です。Microsoft Purviewには日本向けの機密情報の種類も用意されていて、マイナンバー、銀行口座番号、運転免許証番号、パスポート番号、クレジットカード番号などを検出できます。たとえばマイナンバーは、12桁の番号に加えて、近くに「マイナンバー」「個人番号」といった言葉があるかも見て判定します。
警告だけ出してユーザーに理由を書いてもらう、という運用もできます。うっかりミスに「送る前」に気づかせる仕組みです。
事例：TKC（日本向けテンプレートを活用）
TKCはDLPでも、「日本の金融データ」「日本の個人情報データ」など4つの、Microsoftが用意している日本向けの標準テンプレートを使っています。顧客の会計データなどを扱う会社にとって、ゼロからルールを作らなくてよいのは大きな利点です。
事例：イデラキャピタルマネジメント（中小企業、生成AIへの持ち出し対策）
不動産のアセットマネジメントを行うイデラキャピタルマネジメントは、2023年にMicrosoft 365へ全面移行し、年間1,000万円規模のコスト削減につなげました。現在はMicrosoft 365 Business Premiumを全社で導入していて、そこにPurviewを追加し、DLPやPCでのDLP（エンドポイントDLP）を使って、添付ファイルの制限や、生成AIへの情報送信などの監視を試験運用しています。
会社が認めていない生成AIに社員が情報を入れてしまう「シャドーAI」は、中小企業でも身近な問題です。同社は、人の手に頼るのではなく「適切なソリューションの導入が不可欠」だとしています。
出典：Microsoft Learn「データ損失防止について」、Microsoft Learn「日本語マイナンバー個人」、Microsoft 導入事例「TKC」、Microsoft 中小企業向け導入事例「イデラキャピタルマネジメント」
理由⑤：渡した後でも取り消せる（共有リンク）
日本の会社でよく使われてきたのが、ZIPファイルにパスワードをかけて添付し、別のメールでパスワードを送る、いわゆる「PPAP」です。添付ファイルは、一度送ってしまうと取り消せません。
Microsoft 365では、ファイルを添付する代わりにOneDriveやSharePointの共有リンクを送れます。Microsoftのドキュメントによると、次のことができます。
- 相手を指定したリンクにすると、開くときにサインインか確認コードが必要になる
- 誰でも開けるリンクには有効期限を必須にしたり、表示のみに限定したりできる
- 送った後でも、リンクを削除すればアクセスを止められる
- 社外の人がリンクからファイルを開くと、監査ログに記録される
なお、今回の調査では、Microsoft 365の共有リンクでPPAPをやめた日本企業の事例を、一次情報では見つけられませんでした。銀行などでは、自社専用のダウンロードサイトに切り替える形でPPAPをやめる動きが出ています。
出典：Microsoft Learn「外部共有を管理する」、Microsoft Learn「外部共有の概要」、Microsoft Learn「監査ログで共有を監査する」
理由⑥：記録が残り、まとめて管理できる
情報漏えいが疑われたとき、一番困るのが「誰が、いつ、何をしたのか分からない」ことです。Microsoft 365では、メール・ファイル・Teams・サインインの記録をまとめて残し、まとめて調べることができます。さらにE5などでは、インサイダーリスク管理で、退職前の大量ダウンロードのような「怪しい動き」を検知することもできます（利用者は既定で仮名化されます）。
- イデラキャピタルマネジメント：以前は、インシデントの調査で約1〜2週間分のログを確認するのに約2日かかっていた。Purviewの導入で1〜2時間で終えられると期待している
- 北海道電力：インサイダーリスク管理で、SaaS・メール・USBなどの持ち出し経路を監視するポリシーを運用している
- 集英社：多くのベンダーの製品を組み合わせていた環境をまとめ、セキュリティレポートの作成に30分もかからなくなった
製品をバラバラに入れると、それぞれの管理画面とログを行き来することになります。メール・ファイル・ID・端末が同じ基盤にあることは、Microsoft 365の分かりやすいメリットだと感じました。
出典：Microsoft Learn「インサイダー リスク管理について」、Microsoft 中小企業向け導入事例「イデラキャピタルマネジメント」、Microsoft 導入事例「北海道電力」
ただし、Microsoft 365にしても「設定次第」で漏れる
ここまで読むと、Microsoft 365にすれば安心、と思うかもしれません。ですが、2025年〜2026年にも、Microsoft 365を使っている組織で漏えいやそのおそれが公表されています。各団体の公式発表から、いくつか紹介します。
アカウントを乗っ取られたケース
- 日本エネルギー経済研究所（2026年9月・10月公表）：フィッシング攻撃で所員6名のMicrosoft 365アカウントに不正アクセスされた。2,798件のファイルがダウンロードされた痕跡があった。続報では、パスポート情報13件やメールアドレス759件などが漏えいしたおそれがあるとしている。再発防止策は認証の強化、監視・検知の強化、全職員へのセキュリティ教育
- 千葉大学（2026年4月公表）：学生のアカウントを含む計4件のMicrosoft 365アカウントに不正アクセスがあり、迷惑メールが計1,301通送られた。学生47人と教員1人の氏名が見られた可能性がある。再発防止策として、2026年4月1日からMicrosoft 365の全利用者に多要素認証を導入した
共有の設定を誤ったケース
- 東海国立大学機構（2026年7月公表）：SharePointサイトの1つでアクセス権の設定を誤り、本来見られない学内の人がファイルを閲覧・ダウンロードできる状態になっていた。公表された内訳を合計すると18,763人分（主に教職員の氏名・所属・メールアドレスなど）。サイトを作る途中で、誤って権限を変更していたことが原因
- 京都先端科学大学：教員用のTeamsのチームの公開範囲を「パブリック」にしていたため、学生がOneDriveの検索からファイルを見つけてダウンロードできる状態になっていた。学籍番号・氏名・中間テストの成績に関する情報を含むファイルを、学生3人が閲覧していた
どれも、Microsoft 365の仕組みが破られたのではなく、使い方や設定の問題です。多要素認証をかけていない、共有の範囲を広くしすぎた、といったことで漏れています。前回の記事で紹介した設定をあわせて見直すことをおすすめします。
出典：日本エネルギー経済研究所 2026年9月11日公表、日本エネルギー経済研究所 2026年10月2日公表、千葉大学 本学クラウドサービス利用者アカウントへの不正アクセス及び迷惑メールの送信について、東海国立大学機構 個人情報漏えいの可能性について、京都先端科学大学 個人情報ファイルの取り扱い過誤に関するお知らせとお詫び
どのプランで何ができるのか
今回の事例のうち、大企業の多くはMicrosoft 365 E3・E5を使っています。中小企業向けのプランでは、主に次のような違いがあります。
- Business Basic / Standard：OneDrive・SharePointでのファイル共有、共有リンクの管理、多要素認証（セキュリティの既定値群）
- Business Premium：上記に加えて、条件付きアクセス、Intune（端末管理・リモートワイプ）、Defender for Business、秘密度ラベル（手動）、DLP
- E5など：上記に加えて、自動ラベル付け、エンドポイントDLP、インサイダーリスク管理など（アドオンで追加できるものもある）
イデラキャピタルマネジメントのように、Business Premiumを土台にして、必要な機能だけを追加するという進め方もあります。
出典：Microsoft Learn「Microsoft 365 for Business セキュリティのベスト プラクティス」、Microsoft Purview サービス説明
まとめ：Microsoft 365のメリットは「人の注意」に頼らないこと
7社の事例を調べて分かったのは、Microsoft 365が情報漏洩対策に効くのは、社員一人ひとりの注意に頼っていた部分を、仕組みに置き換えられるからだということです。
- データをPCではなくクラウドに置く（NTTコミュニケーションズ、ネスタリゾート神戸）
- パスワードではなくIDと端末で守る（集英社、新生テクノス）
- ファイルそのものに鍵をかける（TKC、北海道電力）
- 送る前に止める（TKC、イデラキャピタルマネジメント）
- 添付ではなく共有リンクで渡し、後から取り消せるようにする
- 記録を残し、まとめて管理する（北海道電力、イデラキャピタルマネジメント、集英社）
一方で、多要素認証をかけない、共有範囲を広くしすぎるといった設定のままだと、Microsoft 365でも漏れます。導入して終わりではなく、設定と運用まで含めて初めてメリットが出るのだと思います。
セルバは、Webシステムの開発会社として、業務システムや社内ツールの開発・改修、公開後の保守運用をお手伝いしています。「社内システムにMicrosoft 365のアカウントでログインできるようにしたい」「ファイルサーバーや古い業務システムに残っているデータを、Microsoft 365と連携する形に作り直したい」「業務システムからのメール送信やファイル受け渡しを、安全な仕組みに切り替えたい」といったご相談も承っています。まずは、何をすべきかを一緒に整理する無料相談から始められますので、お気軽にお問い合わせください。
お問い合わせ | 株式会社セルバ【東京・大阪】| 利益向上にこだわる会社お急ぎの方はお電話でもご相談いただけます 平日9:3www.selva-i.co.jp
セルバでは、安全なWebシステムを一緒に作るWEBエンジニアを募集しています
今回の事例を見て、情報漏洩対策は「気をつけましょう」ではなく、仕組みで守るものだと改めて感じました。それは、私たちが作るWebシステムでも同じです。認証やアクセス権限、ログの設計まで考えて、使う人が意識しなくても安全なシステムを作ることが大切だと考えています。
セルバでは、WEBエンジニアを募集しています。Webアプリケーションの設計・開発経験がある方、認証やアクセス制御などセキュリティを意識した開発に関心がある方、Microsoft 365などのクラウドサービスと連携するシステムづくりに挑戦したい方を歓迎します。お客さまと直接向き合い、安全で使いやすいWebシステムを一緒に作っていける方をお待ちしています。
採用のご応募・ご質問も、お気軽にお問い合わせください。
株式会社セルバ 採用サイト | 10年後の未来を見据えて あなたのアイデアが時代をつくる10年後の未来を見据えて あなたのアイデアが時代をつくるwww.selva-i.co.jp
