Microsoft 365の導入支援｜初期設定で失敗しないための完全チェックリスト
M365導入で失敗する企業の共通点
M365を契約してユーザーにアカウントを配布しただけで「導入完了」としている企業が多いですが、初期設定が不十分なまま運用を開始すると、次の3つの問題が発生します。
セキュリティの穴が放置される。 MFAが未適用のまま運用が始まり、パスワードリスト攻撃やフィッシングで1アカウントが破られると、そこを起点に社内のファイルとメールに到達されます。
ライセンスコストが無駄になる。 退職者のライセンスが解除されないまま課金され続ける、上位プランを全員に割り当てて機能を使っていない、といった状態が定着します。
社員が使いこなせない。 ファイルの保存先が人によってバラバラになり、OneDriveとSharePointとTeamsに同じファイルが散在します。後から整理するコストは、最初に設計するコストを大きく上回ります。
導入時に押さえておくべき項目を、優先度順のチェックリストにまとめます。
セキュリティ設定（最優先）
MFA（多要素認証）を全ユーザーに適用しているか
最優先の項目です。Microsoft 365への不正アクセスの大半は、MFAが有効なら防げます。
適用方法は、セキュリティの既定値群（Security Defaults）を有効にするか、条件付きアクセスポリシーで設定するかの2通りです。Business Premium以上のライセンスがあれば条件付きアクセスが使えるため、そちらで細かく制御するほうが柔軟です。
なお2026年7月以降、EntraではSMS・音声通話によるMFAが段階的に廃止され、パスキー（FIDO2）が既定の認証方式になります。これから導入する企業は、最初からAuthenticatorアプリまたはパスキーで設計してください。
管理者アカウントを日常業務用と分離しているか
全体管理者の権限を持ったまま日常業務をしていると、そのアカウントが乗っ取られた時点でテナント全体が掌握されます。管理作業専用のアカウントを別に作成し、日常業務では一般ユーザー権限のアカウントを使ってください。
全体管理者は最低2名確保します。1名しかいない状態でその人が退職・休職すると、テナントの管理ができなくなります。
外部へのメール自動転送を禁止しているか
設定場所： Exchange 管理センター → メールフロー → リモートドメイン、または迷惑メール対策ポリシー
アカウントを乗っ取った攻撃者が最初にやることの一つが、メールの自動転送設定です。気づかれずにメールを外部へ流し続けられます。業務上必要なケースを除き、外部への自動転送は既定で禁止してください。
パスワードポリシーを設定しているか
最小文字数を長めに設定し、定期変更の強制は避けます（単純なパスワードへの変更を招くため）。漏洩済みパスワードの使用を防ぐ設定を有効にしてください。
ドメイン・メール設定
独自ドメインをM365に追加しているか
@example.onmicrosoft.com のまま運用を始めてしまうと、後から独自ドメインに切り替える際にメールアドレスの変更が発生します。運用開始前に独自ドメインを追加してください。
SPF / DKIM / DMARC を正しく設定しているか
自社ドメインを騙ったなりすましメールを防ぐ設定です。M365ではDKIMを管理センターから有効化でき、SPFはDNSにレコードを追加します。
DMARCは p=none（監視のみ）から始め、レポートを確認しながら段階的に強化します。いきなり p=reject にすると、外部の配信サービス経由で送っている正規のメールが届かなくなります。
ユーザー・ライセンス設定
全ユーザーに適切なライセンスを割り当てているか
全員を同じプランにする必要はありません。メールとOfficeアプリだけ使う部門と、Intune・Defenderまで必要な部門では、適切なプランが異なります。
ライセンスの割り当てはグループベースで行う設定にしておくと、入退社時の作業が減ります。部署のグループに追加すれば自動でライセンスが付与される構成にしてください。
管理者ロールを最小権限で付与しているか
全体管理者を安易に増やさず、必要な範囲のロール（ユーザー管理者、Exchange管理者など）を割り当てます。ヘルプデスク担当者にはパスワードリセットに必要な権限だけを付与すれば足ります。
SharePoint・OneDrive設定
外部共有の範囲を制限しているか
初期設定では外部共有が広く許可されています。組織の方針に合わせて制限してください。 取引先とのファイル共有が必要な場合は、許可するドメインを指定する構成が現実的です。
デフォルトのリンク共有範囲を「組織内」に変更しているか
既定では「リンクを知っている全員」が選ばれる設定になっていることがあります。社員が意識せずに外部公開リンクを作ってしまう原因になるため、既定を「組織内のユーザー」に変更してください。
ファイルの保存先を設計しているか
「個人の作業ファイルはOneDrive、部門で共有するファイルはSharePoint（Teamsのチャネル）」という原則を、運用開始前に決めて周知します。ここを曖昧にしたまま始めると、後から整理するのが非常に困難になります。
Teams設定
チーム作成の権限を管理しているか
全社員が自由にチームを作成できる設定のままだと、短期間で使われていないチームが大量に発生します。作成権限を制限するか、命名規則と有効期限ポリシーを設定してください。
ゲストアクセスのポリシーを設定しているか
外部の協力会社をTeamsに招く場合の扱いを決めます。ゲストが参加できる範囲、ファイルへのアクセス権限を明確にしてください。
なお2026年後半にかけて、Teamsのフェデレーションチャット（外部ドメインとのチャット）について、より細かい制御が可能になる変更が入っています。
導入後30日以内に確認すること
初期設定を終えた後、運用開始から1ヶ月後に次を確認してください。
- ライセンスの割り当て状況 — 使われていないライセンスがないか
- MFAの登録状況 — 未登録のユーザーが残っていないか
- サインインログ — 想定外の場所からのログインがないか
- ファイルの保存先 — 設計した原則どおりに運用されているか
- セキュアスコア — security.microsoft.com で現状のスコアと改善提案を確認
まとめ
- M365の導入はアカウント配布では終わらない。初期設定の不足はセキュリティの穴・無駄なコスト・定着しない運用に直結する
- 最優先はMFAの全ユーザー適用。これから導入するなら、SMS認証ではなくAuthenticatorまたはパスキーで設計する
- 全体管理者は最低2名、かつ日常業務用アカウントと分離する
- 外部へのメール自動転送は既定で禁止する。乗っ取り時の情報流出経路になる
- DMARCは監視モードから段階的に強化する
- ファイルの保存先の原則を運用開始前に決める。後から整理するコストは最初に設計するコストを大きく上回る
- 運用開始から30日後に棚卸しする。ライセンス、MFA登録、サインインログ、セキュアスコアを確認する
M365の導入は「初期設定」で成功の8割が決まります。設計から初期設定、運用開始後の定着支援まで含めた対応が必要な場合は、情シス365の無料相談でご相談ください。導入後の運用代行は運用支援（月額12万円〜）で提供しています。