Defender事前設定セキュリティポリシー解説 ― Standard/Strictの違いと適用手順
「Defender for Office 365のフィッシング対策を設定したいが、項目が多くて何をどう設定すればいいかわからない」——そんな場合に最適なのが**事前設定セキュリティポリシー（Preset Security Policies）**です。
Microsoftが推奨する設定値がパッケージ化されており、Standard（標準保護）またはStrict（厳格保護）を選んで有効化するだけで、フィッシング対策・マルウェア対策・スパム対策が一括適用されます。
StandardとStrictの違い
| 設定項目 | Standard | Strict |
|---|---|---|
| フィッシングメールの処理 | 迷惑メールフォルダに移動 | 隔離 |
| 偽装保護（ユーザー偽装） | 有効 | 有効（より厳格な閾値） |
| 偽装保護（ドメイン偽装） | 有効 | 有効 |
| 安全なリンク | 有効（クリック時にURL検証） | 有効 |
| 安全な添付ファイル | 有効（動的配信） | 有効（ブロック） |
| スパムフィルタの感度 | 標準 | 高め（誤検知が増える可能性） |
| 内部メールの保護 | 一部 | すべて |
大半の中小企業にはStandardで十分です。 Strictは金融や医療など、メールセキュリティに極めて厳格な要件がある場合に使います。Strictは誤検知（正常なメールが隔離される）が増える傾向があるため、運用負荷も上がります。
適用手順
- Microsoft Defenderポータル（security.microsoft.com）にサインイン
- 「メールとコラボレーション」→「ポリシーとルール」→「脅威ポリシー」
- 「事前設定されたセキュリティポリシー」を選択
- 「Standard保護」の「管理」をクリック
- 適用対象（全ユーザー、または特定のグループ）を選択
- 保存
これだけで、偽装保護、安全なリンク、安全な添付ファイル、スパムフィルタの推奨設定が一括適用されます。
有効化した日に起きること
設定は簡単ですが、利用者側の体験は変わります。 事前に周知しておかないと、問い合わせが集中します。
- 隔離されるメールが増える — 迷惑メールフォルダではなく隔離領域に入るため、利用者が自分で気づけません
- リンクのURLが書き換わる — 安全なリンクの検証を経由するため、メール本文のURLの見た目が変わります。「リンクが改ざんされている」という問い合わせが来ます
- 添付ファイルの受信が遅れることがある — 検査のため、届くまでに時間差が生じる場合があります
事前に決めておくこと
- 隔離されたメールを、誰がどう解放するか — 利用者自身に許可するか、管理者経由にするか。管理者経由にすると、その対応が日常業務になります
- 隔離通知の送信頻度 — 利用者に通知が届く設定にしておくと、「取引先のメールが届かない」という連絡を減らせます
- 周知の文面 — 何がいつから変わるか、届かないと思ったらどうするかを1通のメールで案内します
「取引先からのメールが届かない」は必ず発生します。 対応の窓口と手順を決めてから有効化してください。
偽装保護の追加設定
事前設定ポリシーを有効にした後、偽装保護の「保護対象ユーザー」に社長、CFO、経理部長など、BEC（ビジネスメール詐欺）のターゲットになりやすい人物のメールアドレスを追加登録してください。→ BEC/ニセ社長詐欺対策
カスタムポリシーとの関係
事前設定ポリシーはカスタムポリシーより優先度が高い位置に適用されます。既にカスタムポリシーを運用している場合、事前設定ポリシーの有効化で設定が上書きされる可能性があるため、事前に競合を確認してください。
必要なライセンス
事前設定セキュリティポリシーの「Standard保護」は、Defender for Office 365 P1を含むプランで利用可能です。Business Premiumに含まれています。E3単体にはDefender for Office 365 P1が含まれないため、アドオンの追加購入が必要です。
除外設定は最小限にする
誤検知が起きると、「この送信元を全部許可してほしい」という依頼が来ます。安易に許可リストへ追加しないでください。
- 許可リストに入れた送信元は、なりすまされても素通りします — 取引先を装った攻撃に対して、最も効く防御を自ら外すことになります
- 恒久的な許可ではなく、個別のメールの解放で対応する — 隔離されたメール1通を解放するほうが安全です
- どうしても必要なら、期限と理由を記録する — 理由を説明できない許可設定は、後から削除できなくなります
誤検知は、Microsoftへ報告することで改善につながります。 管理画面から誤検知として送信できるため、頻発する場合は報告を習慣にしてください。
Strictに上げるかの判断
次に当てはまらないうちは、Standardのままで構いません。
- 実際にフィッシングやBECの被害・未遂が発生している
- 金融・医療など、取引先や規制から高い水準を求められている
- 隔離されたメールを日常的に確認・解放できる体制がある
3番目が最も重要です。 Strictは誤検知が増えるため、解放の運用が回らないまま適用すると、業務メールが届かない状態が放置されます。運用の余力が先で、設定の厳格化は後です。
まとめ
- 設定は簡単だが、利用者の体験は変わる。周知なしで有効化すると問い合わせが集中する
- 隔離は迷惑メールフォルダと違い、利用者が自分で気づけない
- 有効化前に、解放の手順・通知設定・周知文を決めておく
- 「取引先のメールが届かない」は必ず発生する。窓口と手順を先に用意する
- 誤検知に許可リストで対応しない。許可した送信元はなりすまされても素通りする
- 対応は個別メールの解放で。恒久的な許可には期限と理由を残す
- 誤検知はMicrosoftへ報告すると改善につながる
- Strictへの引き上げは、解放の運用が回る体制ができてから
事前設定セキュリティポリシーは「何を設定すればいいかわからない」企業にとって最適解です。Standardを有効化するだけで、Microsoftが推奨するメールセキュリティ設定が一括適用されます。まずはStandardから始め、必要に応じてStrictへの引き上げを検討してください。
情シス365では、Defender for Office 365のセキュリティ設定を支援しています。お気軽にご相談ください。