【連載第8回】クラウドサービスのセキュリティ設定 ― Microsoft 365を安全に使う
Microsoft 365を導入した中小企業が陥りがちなのが、「導入しただけでセキュリティ設定を見直していない」状態です。デフォルト設定のままでは、意図しない情報共有や外部アクセスのリスクがあります。
SharePointの共有設定を見直す
外部共有のレベルを制限する
SharePoint管理センターで、組織全体の外部共有レベルを設定できます。
- 最も制限的: 外部共有を完全に禁止
- 既存のゲストのみ: 招待済みのゲストのみ共有可能
- 新規および既存のゲスト: 認証が必要な外部ユーザーと共有可能
- すべてのユーザー: 匿名リンクでの共有も可能（非推奨）
中小企業では「新規および既存のゲスト」レベルが、利便性とセキュリティのバランスが取れています。
共有リンクの既定値を変更する
デフォルトでは「リンクを知っている全員」が設定されていることがあります。これを「組織内のユーザー」に変更することを強く推奨します。
あわせて設定すべき項目
- 匿名リンクの有効期限 — 日数を指定すると、期限切れで自動的に無効になります。案件終了後も生き続けるリンクを減らせます
- 匿名リンクの既定の権限を「表示のみ」にする — 既定が「編集可能」のままだと、リンクを受け取った誰でもファイルを書き換えられます
- サイト単位の上書き — 組織全体を制限しても、サイトごとに緩い設定が残っていることがあります。人事・経理・役員のサイトから確認してください
設定変更は既存のリンクには遡及しません。 既に発行済みの共有リンクは有効なままです。設定変更と、既存リンクの棚卸しは別作業として計画してください。
Teamsのゲストアクセス設定
確認すべきポイント
- ゲストユーザーの招待権限を管理者に限定しているか
- ゲストが参加できるチームを制限しているか
- ゲストのファイルアクセス権限が適切か
チームが増え続ける問題に先に手を打つ
Teamsは、誰でもチームを作れる状態のまま運用すると急速に増えます。チームを作るとSharePointサイトも同時に作られるため、管理対象が二重に増えていきます。
- チーム作成を申請制にするか、作成できるグループを限定する
- チーム名の命名ルールを決める — 「プロジェクトA」「案件A」「A社案件」が並ぶと、どれが現行か分からなくなります
- 有効期限ポリシーを設定する — 一定期間活動がないチームについて、所有者に継続可否を確認する仕組みです。上位プランで利用できます
- 所有者を2名以上にする — 所有者が退職すると、誰も管理できないチームが残ります
ゲストの棚卸し
案件が終わっても、ゲストは自動的には消えません。 半年に1回、Entra ID のゲストユーザー一覧を確認し、次を判断してください。
- 最終サインインが半年以上前のゲストは削除候補
- 委託先の担当者が変わっていないか（前任者のアカウントが残っていないか）
- どのチーム・サイトにアクセスできるかを確認する
委託先の管理という観点では、サプライチェーン対策の回もあわせて参照してください。
監査ログの活用
Microsoft 365では、ユーザーのアクティビティが自動的に記録されています。
定期的に確認すべきログ
- 通常と異なる場所や時間帯からのログイン
- 大量のファイルダウンロード
- 管理者権限の変更
- 外部共有リンクの作成
アラートの設定
Microsoft 365 Defenderで、不審なアクティビティを自動検知するアラートポリシーを設定できます。「外部へのファイル共有が急増した場合」「海外からのログインがあった場合」などのアラートを設定しておくと、早期発見につながります。
アラートで最も多い失敗は、通知先が誰も見ていないアドレスになっていることです。 既定では管理者用アドレス宛に送られる設定が多く、そのメールボックスを日常的に開いていなければ検知していないのと同じです。
- 通知先を、実際に見る担当者の個人アドレスにする（複数名を指定）
- アラートが多すぎる場合は絞る — 毎日大量に届くと読まなくなります。最初は「管理者権限の変更」「大量ダウンロード」「不審なログイン」の3種類から始めてください
- アラートが1件も来ない状態を「安全」と解釈しない — 設定が有効になっているかを、テスト操作で確認します
ログの保持期間を確認する
監査ログは無期限には残りません。 保持期間はライセンスによって異なります。インシデント発生時、攻撃が始まった時期のログが既に消えていたという事態は実際に起こります。
- 自社のライセンスでの保持期間を管理センターで確認する
- 保持期間を超えて残す必要がある場合は、上位プランか、外部への保存を検討する
- 監査ログの記録自体が有効になっているかを最初に確認する
見落としやすい設定
- 外部への自動転送 — 侵害されたアカウントに転送ルールが仕込まれる典型的な手口です。ユーザーによる外部転送を既定で禁止し、必要な場合のみ例外を許可してください
- ユーザーによるアプリの同意 — 不審なアプリに権限を与えると、パスワードを変更してもデータにアクセスされ続けます。管理者の承認を必要とする設定に変更できます
- 共有メールボックスのサインイン — 共有メールボックス用のアカウントは、直接サインインできない状態にしておくのが安全です
- 退職者のアカウント — ライセンスを外すとデータが消える場合があります。無効化と削除を分けて運用してください（アカウント運用のルール）
何から着手するか
すべてを一度に見直す必要はありません。影響が大きく、作業が軽い順は次のとおりです。
- 共有リンクの既定値を組織内限定にする（設定変更のみ、5分）
- 外部への自動転送を禁止する（設定変更のみ）
- アラートの通知先を実在の担当者に変更する（設定変更のみ）
- ゲストユーザーの棚卸し（一覧確認、半日程度）
- 既存の共有リンクの棚卸し（レポート出力と確認、規模による）
1〜3は当日中に終わり、事故が起きたときの影響が最も大きい項目です。ここから着手してください。
次回は、インシデント対応の基本手順を解説します。
まとめ
- 共有リンクは既定値の変更に加え、匿名リンクの有効期限と「表示のみ」既定を設定する
- 設定変更は既存リンクに遡及しない。棚卸しは別作業として計画する
- 組織全体を制限してもサイト単位の緩い設定が残る。人事・経理・役員のサイトから確認する
- Teamsは作成を統制しないと増え続ける。命名ルール、有効期限、所有者2名以上を決める
- ゲストは案件終了後も自動では消えない。半年に1回、最終サインインで棚卸しする
- アラートの通知先を実際に見る担当者にする。届かないアラートは存在しないのと同じ
- 最初は「管理者権限の変更」「大量ダウンロード」「不審なログイン」の3種類に絞る
- 監査ログの保持期間はライセンス依存。侵入時期のログが消えている事態は実際に起こる
- 外部への自動転送禁止とアプリ同意の管理者承認は、侵害後の被害拡大を止める設定
- 着手順は共有リンク既定値 → 転送禁止 → アラート通知先。いずれも当日中に終わる
← 前回: 【連載第7回】端末管理とデバイスセキュリティ ｜ 次回: 【連載第9回】インシデント対応の基本手順 →
まとめ・ご相談
セキュリティ対策の強化をご検討の方は、Security365（セキュリティ運用・SOCライト）をご覧ください。
貴社のIT課題について、まずは60分の無料相談でお気軽にご相談ください。