監査ログ管理

Microsoft 365セキュリティ設定ガイド2026｜中小企業の優先順位チェックリスト

2026年4月9日30分で読める

QUICK CHECK

本文を読みながら、自社で進めるべきか、相談前に何を整理するかを確認できます。

5分で自社の状況を診断する

GXO COLUMN

セキュリティ

結論：Microsoft 365は「買った状態」では守れていない。塞ぐ順番が9割

先に結論を述べる。Microsoft 365（以下M365）は強力なセキュリティ機能を標準搭載しているが、その大半は「管理者が意図して有効化しないと働かない」設計になっている。ライセンス費を払った時点で守られていると考えるのは、警備システムを買って箱のまま倉庫に置いているのと同じだ。

そして、中小企業が最初にやるべきことは「全機能を完璧に設定する」ことではない。費用ゼロ・当日着手で効果が最大の設定から順に塞ぐことである。優先順位を間違えると、DLPやデバイス管理のような重い設定に数か月かけている間に、たった1つの設定漏れ（レガシー認証の放置）からアカウントを乗っ取られる。

本記事は、追加ライセンスなしで今日できる対策から、上位プランでしか使えない機能まで、「いつ・どの順で・どのプランで」できるかを一枚に整理した実務ガイドだ。すべての機能仕様はMicrosoft公式ドキュメント（Microsoft Learn）で裏取りし、二次情報に頼った箇所は明記している。さらに、GXOが発注前診断の現場で繰り返し見る「設定したつもりで守れていない落とし穴」を、他社ガイドが踏み込まない粒度で解説する。

この記事を読むべき人

M365 Business Basic / Business Premium / E3 / E5 のいずれかを使っていて、初期設定のまま運用している中小企業の経営者・事業責任者
一人情シス・兼任情シスで、「何から手を付ければいいか」の優先順位が欲しい人
MFAは入れたが、条件付きアクセス・監査ログ・外部共有まで手が回っていない管理者
セキュリティ会社やベンダーの提案が妥当か、第三者の視点で確かめたい決裁者
取引先や親会社からセキュリティチェックシートの提出を求められ、自社の設定状況を説明できる状態にしたい人

FREE DOWNLOAD

中小企業のDX推進「失敗を防ぐ5ステップ」ガイドを無料でお送りします

多くの企業がつまずくポイントを着手順に整理した無料ガイド。相談する前に、自社の現在地と進め方を掴めます。

5ステップガイドを無料でダウンロード

まず全体像：優先順位マトリクス（当日・今週・今月・四半期）

10項目を横並びで語る解説は多いが、中小企業の現場では「同時にはできない」。工数・業務影響・防御効果の三軸で並べ替えると、着手順は次のようになる。防御効果が高く、追加コストがかからず、業務影響が小さいものを上に置いている。

横にスクロールして確認できます

優先度	設定項目	追加ライセンス	業務影響	防御効果
当日	全ユーザーMFA強制（セキュリティの既定値群 or 条件付きアクセス）	不要（既定値群）	中	最大
当日	レガシー認証（基本認証）のブロック	不要／P1	小〜中	大
当日	グローバル管理者の棚卸し（最小化＋緊急アクセス2つ）	不要	小	大
今週	SharePoint/OneDrive外部共有レベルの引き下げ	不要	中	大
今週	監査（Audit）ログが有効か確認	不要	なし	大（事後）
今週	Secure Scoreの現状把握と改善アクション確認	不要	なし	中
今月	条件付きアクセスによるリスクベース制御	P1（Business Premium/E3以上）	中	大
今月	フィッシング対策強化（Safe Links/Safe Attachments、なりすまし）	Defender P1（Business Premium/E5等）	小	大
四半期	ゲストアクセスのレビューと有効期限	不要／P2	小	中
四半期	DLP（データ損失防止）ポリシー	Business Premium以上	大	中
四半期	デバイスコンプライアンス（Intune）	Business Premium以上	大	中
四半期	PIM（特権のJust-In-Time付与）	Entra ID P2（E5等）	小	大

この表の一番のメッセージは、最も効く3つ（MFA・レガシー認証ブロック・管理者最小化）は、Business Basicでも追加費用ゼロで当日できるという点だ。ここを飛ばして重い設定から始めるのは、玄関の鍵をかけずに窓に補助錠を増やすようなものだ。

認証を固める：ここが破られたら他はすべて無意味

1. 全ユーザーMFA強制 ― 「99.9%」の根拠と、正しい入れ方

MFA（多要素認証）は最優先だ。Microsoftは、MFAの有効化によりアカウント侵害攻撃の99.9%以上を防げるとしている（Microsoft公表値・広く引用されている数字）。パスワードは日常的に漏えいしており、パスワード単独の認証は実質的に無防備と考えてよい。

M365でMFAを効かせる方法は主に2つある。Microsoft公式ドキュメントは、方式を次のように整理している。

セキュリティの既定値群（Security Defaults）：Microsoft Entra ID Free（=すべてのM365組織）で使える。全ユーザーにMFA登録を求め、レガシー認証もまとめてブロックする最も手軽な方法。2019年10月以降に作成されたテナントでは既定でオンになっている。
条件付きアクセス（Conditional Access）：Microsoft Entra ID P1以上が必要（Business Premium・E3はP1、E5はP2を内包）。「誰が・どこから・どのデバイスで」に応じて認証要件を細かく制御できる。

まずは既定値群で全員に効かせ、細かい制御が必要になったら条件付きアクセスへ移行する、という順番が中小企業には現実的だ。なお公式は、レガシーな「ユーザーごとのMFA」方式は非推奨としており、既定値群・条件付きアクセスを使う場合はこの古い方式をオフにしておく必要があると明記している。

設定手順の要点：Microsoft Entra管理センターでIDの概要→プロパティ→「セキュリティの既定値」から有効化状態を確認・変更する。一斉強制の前に、全社へ事前周知し、Microsoft Authenticatorアプリの導入を案内する（SMSより安全）。

GXOが現場で見る失敗パターン：MFAは「入れたかどうか」より「抜け道を消したか」で決まる。次項のレガシー認証を放置したままMFAだけ入れても、攻撃者はレガシー認証経路からMFAを迂回する。MFA導入とレガシー認証ブロックは必ずセットで考える。

2. レガシー認証（基本認証）のブロック ― MFAの最大の抜け穴

古いメールクライアントや一部の複合機・基幹連携が使う「基本認証（レガシー認証）」は、仕組み上MFAをバイパスできてしまう。ここを開けたまま放置すると、MFAを有効化していてもパスワードスプレー攻撃で突破される。

セキュリティの既定値群を有効にすればレガシー認証は自動でブロックされる。条件付きアクセスを使う組織は、公式が用意する「従来の認証をブロックする」テンプレートを適用する。

落とし穴：ブロックすると、古いOutlook・複合機のスキャン to メール・自作スクリプト・古い会計/販売管理ソフトのメール送信機能が止まることがある。いきなり全社ブロックするのではなく、まずサインインログでレガシー認証を使っている端末・サービスを洗い出し、代替（最新クライアントへの更新、SMTP AUTHの個別許可、アプリパスワードの見直し）を用意してから切る。この「棚卸し→代替準備→ブロック」の順を守れるかどうかで、業務停止事故が起きるかどうかが分かれる。

3. 特権（グローバル管理者）の最小化と緊急アクセスアカウント

グローバル管理者が乗っ取られれば、テナント全体が攻撃者の手に落ちる。ここは最も厳重に守る資産だ。

数を絞る：グローバル管理者は必要最小限に。日常のメール・Teamsは一般アカウントで行い、管理作業のときだけ管理者アカウントに切り替える。
緊急アクセスアカウント（ブレークグラス）を用意する：Microsoft公式は、MFAやポリシーの設定ミスで全管理者がロックアウトされる事故に備え、組織ごとに最低2つの緊急アクセス管理者アカウントを用意し、これらをMFA要件から除外するよう推奨している。パスワードは長く複雑にし、物理的に安全な場所に保管、使用時のアラートを設定する。
上位プランならPIMでJust-In-Time付与：Entra ID P2（E5などに内包）があれば、特権ロールを「必要なときだけ・期限付きで」有効化するPrivileged Identity Management（PIM）を使える。常時付与された管理者権限をなくすだけで、攻撃の被害範囲を大きく狭められる。

GXOの視点：中小企業でありがちなのが「退職した元情シスや外部ベンダーのアカウントにグローバル管理者権限が残っている」ケースだ。設定を追加する前に、まず現在の管理者一覧を印刷して、一人ずつ棚卸しできる状態を作る。誰が・いつ・なぜその権限を持っているか説明できないアカウントは、それ自体が最大のリスクである。

FREE DOWNLOAD

中小企業の脆弱性対応月次運用テンプレ

情シス1人体制でも回せる脆弱性棚卸・対応フローのテンプレート（Excel版）。

30分で相談するテンプレをDL

データと共有を締める：漏えいの多くは「攻撃」より「うっかり」

4. 外部共有レベルの引き下げ（SharePoint / OneDrive）

情報漏えいの典型は、外部攻撃よりも「従業員が匿名リンクでファイルを社外に共有してしまう」うっかりだ。SharePoint管理センターで、組織全体の既定の外部共有レベルを引き下げる。

横にスクロールして確認できます

共有レベル	内容	中小企業での推奨
全員（匿名リンク可）	リンクを知っていれば誰でもアクセス可	原則使わない
新規および既存のゲスト	認証済みの外部ユーザーのみ	サイト単位で限定許可
既存のゲストのみ	事前招待済みのゲストのみ	組織既定として推奨
自組織のユーザーのみ	外部共有を完全禁止	最も安全（業務影響大）

現実的には、組織全体は「既存のゲストのみ」を既定にし、特定サイトだけ「新規および既存のゲスト」を許可する運用が扱いやすい。あわせて匿名リンクの有効期限やアクセス許可（表示のみ/編集可）の既定も締める。

5. ゲストアクセスのレビューと有効期限

Teams・SharePointに外部ゲストを招く機能は便利だが、放置すると「プロジェクトが終わってもゲストがアクセスし続ける」状態になる。定期的な棚卸し（アクセスレビュー）、ゲストの有効期限設定、招待権限の管理者限定を組み合わせる。アクセスレビューの自動化はEntra ID P2の領域だが、まずは手動でも四半期に一度ゲスト一覧を確認するだけで、放置アカウントは大きく減る。

6. DLP（データ損失防止）― 効果は中、業務影響は大。だから最後

マイナンバー・クレジットカード番号・財務情報などの機密データが、メールやファイルで外部へ出るのを検知・ブロックするのがDLPだ。Microsoft Purviewでテンプレート（個人情報・財務情報など）から作成する。

必ずテストモードから：いきなりブロックで適用すると誤検知で業務が止まる。まず「通知のみ（テスト）」で1〜2か月運用し、どの業務がどのデータに触れているかを可視化してからブロックに移行する。DLPを優先度の低い「四半期」に置いているのは、効果が小さいからではなく、設計と業務調整に時間がかかり、拙速に入れると事故になるからだ。

検知と証跡を用意する：破られた「後」に効く設定

7. 監査（Audit）ログの有効化と保持期間 ― 「180日」を正しく理解する

インシデントが起きたとき、「いつ・誰が・何をしたか」を追えなければ、被害範囲も侵入経路も特定できない。監査ログはその生命線だ。

Microsoft Purviewポータルの「監査」で、記録が有効かを確認する（新規テナントは既定でオンだが、過去に誰かがオフにしていないかを必ず確認する）。保持期間は公式ドキュメントで次のように定義されている。

監査（Standard）の既定保持期間は180日。かつては90日だったが、2023年10月17日以降に生成されたログは180日が既定になった（それ以前のログは90日）。
監査（Premium）では、Exchange・SharePoint・OneDrive・Microsoft Entraの監査レコードが既定で1年間保持され、10年保持アドオンを付ければ最大10年まで延長できる。1年超の保持にはOffice 365 E5 / Microsoft 365 E5、またはE5コンプライアンス/監査アドオンのライセンスが必要。

実務上の含意：法令対応やインシデント調査では、侵入から発覚まで数か月かかることが珍しくない。180日では足りないケースがある。E5がなければ、監査ログを外部のSIEM/ログ基盤へ定期エクスポートして長期保管する設計も選択肢になる。「うちは何日分残っているのか」を今すぐ確認しておくこと自体が、有事の初動を左右する。

8. フィッシング対策の強化（Safe Links / Safe Attachments / なりすまし）

侵入経路の最大手は依然としてフィッシングメールだ。M365にはExchange Online Protection（EOP）が全メールボックスに標準搭載され、既知の大量攻撃を防ぐ。そのうえで、Microsoft Defender for Office 365 プラン1を持つプラン（Business Premiumなど）では、次の追加防御を有効化できる。

Safe Links（安全なリンク）：メール・Officeアプリ・Teams内のURLをクリック時にリアルタイム再スキャンし、悪性サイトをブロック。
Safe Attachments（安全な添付ファイル）：添付をサンドボックスで実行し、未知のマルウェアを検出。SharePoint/OneDrive/Teams上のファイルも対象にできる。
なりすまし保護：ユーザー/ドメインのなりすまし検知、フィッシングしきい値の調整。あわせてDNSのSPF・DKIM・DMARCを正しく設定し、自社ドメインの偽装メールを減らす。

Defender for Office 365 プラン2（E5などに内包、またはアドオン）では、攻撃シミュレーショントレーニング、自動調査・対応（AIR）、脅威エクスプローラーといった「侵害後の調査・訓練・自動化」が加わる。中小企業はまずプラン1相当の防御を確実に有効化し、訓練・自動化はプラン2やアドオンで段階的に足すのが費用対効果が高い。

9. デバイスコンプライアンス（Intune）

感染した端末から社内データに触られないよう、M365に接続するデバイスを管理する。Business Premium以上にはMicrosoft Intuneが含まれ、「最新パッチ適用済み・ウイルス対策有効・BitLocker暗号化・パスコード設定」などを満たした端末だけにアクセスを許可できる。条件付きアクセスと組み合わせれば、私物端末（BYOD）でも一定の安全性を確保できる。ただし全端末登録には運用負荷がかかるため、まず管理者・機密データ取扱者の端末から始めるのが現実的だ。

10. Secure Score ― 現在地を数値で把握し、経営に報告する

Microsoft Defenderポータルの「セキュアスコア（Secure Score）」は、テナントの設定状況を数値化し、改善アクションを優先度付きで提示してくれる無料機能だ。使い方は3ステップ。①現在のスコアを確認する、②「改善アクション」で影響度が高く実装が容易な項目から着手する、③スコアの推移を月次で記録し経営層に報告する。

注意：100点満点を目指す必要はない。業務影響とのバランスで、自社にとっての適正水準を決める。Secure Scoreは「やることリスト」であって「合格証」ではない。

プラン別：あなたのライセンスで、どこまでできるか

「うちのプランでこの設定は使えるのか」は中小企業で最も迷うポイントだ。主要機能をプラン別に整理した（仕様はMicrosoft公式に基づく。ライセンス構成は変更されることがあるため、導入前に必ず最新のライセンス条件を確認すること）。

横にスクロールして確認できます

機能	Business Basic	Business Premium	E3	E5
MFA（セキュリティの既定値群）	○	○	○	○
条件付きアクセス（Entra ID P1/P2）	−	○（P1）	○（P1）	○（P2）
レガシー認証ブロック	○（既定値群）	○	○	○
DLP	制限あり	○	○	○
監査ログ（既定180日・Standard）	○	○	○	○
監査ログ長期保持（1〜10年・Premium）	−	−	−	○
Safe Links / Safe Attachments（Defender for Office 365 P1）	−	○	要確認/アドオン	○（P2内包）
攻撃シミュレーション・AIR（Defender P2）	−	−	−	○
Intune（デバイス管理）	−	○	制限あり	○
PIM（Entra ID P2）	−	−	−	○
Secure Score	○	○	○	○

読み方のポイントは3つ。第一に、Business Basicでも当日の最優先3項目（MFA・レガシー認証ブロック・管理者最小化）はすべて実施できる。第二に、中小企業のコストパフォーマンスの要はBusiness Premiumで、条件付きアクセス・Defender for Office 365 プラン1・Intuneがまとまって手に入る。第三に、E3は「Defender for Office 365が標準では付かない」点に注意が必要で、Safe Links/Safe Attachmentsを使うにはアドオンが要る場合がある（自社のE3構成で含まれるかを必ず確認する）。長期監査ログ・PIM・攻撃シミュレーションはE5の領域だ。

中小企業が「設定したつもり」で守れていない7つの落とし穴

ここからはGXOが発注前診断でよく遭遇する、他社ガイドが踏み込まない実務の穴だ。設定チェックリストに○がついていても、次のどれかに当てはまると防御は成立していない。

MFAは入れたが、レガシー認証を放置している ― 最頻出。既定値群を使えば自動で塞がるが、条件付きアクセスへ移行した組織でレガシーブロックのテンプレートを入れ忘れると、MFAごと迂回される。
緊急アクセスアカウントを用意していない ― 条件付きアクセスの設定ミスで全管理者がロックアウトされ、Microsoftサポートに何日も泣きつく事故が起きる。設定を締める前に、まず逃げ道（ブレークグラス2つ）を作る。
監査ログが「過去にオフにされている」 ― 新規テナントは既定オンでも、移行や引き継ぎの過程で誰かがオフにしていることがある。有事に「ログが1件もない」ことに気づく。
元担当者・退職者・旧ベンダーの管理者権限が残っている ― 権限の棚卸しがされていない。人が辺る／契約が切れるたびに権限を回収する運用がないと、幽霊管理者が溜まる。
外部共有が「全員（匿名リンク可）」のまま ― 初期のまま運用し、社外に渡ったリンクが失効せず生き続ける。既定レベルの引き下げとリンク有効期限で塞ぐ。
DLPをテストせずブロックで入れて業務が止まった／怖くて何も入れていない ― どちらも失敗。テストモードで実態を可視化してから段階適用するのが唯一の安全策。
設定はしたが「誰が・いつ見直すか」が決まっていない ― セキュリティは一度きりの設定ではなく運用だ。四半期ごとにゲスト・権限・Secure Score・サインインリスクを棚卸しする担当と会議体がないと、時間とともに穴が開いていく。

これらは技術力の問題というより、棚卸し・責任分担・運用サイクルの設計の問題だ。だからこそ、社内にIT専任がいない企業ほど、設定作業そのものより「運用をどう回すか」で差がつく。継続的にこの棚卸しと改善を回す体制が社内に作れない場合は、月次でセキュリティ運用を任せられる顧問（リテイナー）のように、外部が定点で棚卸し・判定・対応を代行する形を検討するのが現実的だ。

発注前チェックリスト：外部に相談する前に自社で決めておくこと

セキュリティベンダーやM365支援会社に相談する前に、次を自社で整理しておくと、見積もりのブレ・手戻り・過剰提案を大きく減らせる。上から順に埋めていくとよい。

このリストが半分も埋まらないなら、いきなり見積もりを取る段階ではない。まず現状整理から始めるべきで、その整理自体を外部の視点で行いたい場合は、導入前の第三者診断のように、発注前に「そもそも何が足りていないか」を短時間で見極める入口を使うと、無駄な投資を避けやすい。

第三者検証の観点：ベンダー提案が妥当かを見抜く質問

セキュリティ会社の提案を受け取ったとき、専門知識がなくても妥当性を確かめられる質問がある。次を投げてみて、明確に答えられない相手は要注意だ。

「まず当日できる無料の設定（MFA・レガシー認証ブロック・管理者最小化）は済んでいる前提ですか。それとも有料製品の前にそこから提案してくれますか」
「提案は当社のライセンスで使える機能に基づいていますか。使うにはどのプラン/アドオンへのアップグレードが前提ですか」
「DLPやデバイス管理を、テストモードや段階展開なしでいきなり本番適用しませんか」
「設定後、誰が・どの頻度で棚卸しと見直しをする運用設計まで含みますか。それとも設定だけで終わりますか」
「監査ログの保持期間と、有事の初動（誰に・どの順で連絡するか）は設計に入っていますか」

高額なEDRやSIEMの導入を勧める前に、無料でできる基本設定の状態を確認しようとするベンダーは信頼できる。逆に、自社が売りたい製品から入る提案は、優先順位が「自社の防御」ではなく「相手の売上」に寄っている疑いがある。中小企業が丸ごとセキュリティ体制を立て直したい場合は、製品ありきではなく現状のログ・権限・運用から優先順位を組み直すセキュリティ体制の再構築のような、順番から設計するアプローチが相性がよい。

GXOに相談すべきタイミング

次のいずれかに当てはまるなら、記事を読み進めるだけでなく、早めに第三者へ相談したほうが安全だ。

MFAは入れたが、レガシー認証・監査ログ・外部共有まで手が回っておらず、抜けが怖い
取引先・親会社・入札のセキュリティチェックシートに、自社の設定状況を根拠を持って回答したい
上位プラン（Business Premium/E5）へのアップグレードが本当に必要か、費用対効果を判断したい
ベンダーの提案（EDR/SIEM/監視サービス）が過剰でないか、第三者の視点で確認したい
設定作業そのものより、四半期ごとの棚卸し・改善を回す運用をどう作るかで詰まっている
一人情シス・兼任情シスで、限られた工数で「まず何を塞ぐか」の優先順位を確定させたい

GXOは製品販売ありきではなく、現状のログ・権限・運用体制を棚卸ししたうえで、追加費用ゼロで今日できる対策から優先順位を付けて進める立場を取る。設定だけで終わらせず、月次の棚卸し・判定・対応まで運用に接続することを重視している。

よくある質問（FAQ）

Q. 追加費用をかけずに、まず何から設定すべきですか？

当日中にできる最優先3つ、すなわち「全ユーザーMFA強制（セキュリティの既定値群）」「レガシー認証のブロック」「グローバル管理者の棚卸しと緊急アクセスアカウント2つの用意」です。いずれもBusiness Basicでも追加ライセンスなしで実施でき、防御効果が最も高い領域です。

Q. セキュリティの既定値群と条件付きアクセスは、どちらを使えばいいですか？

まずは既定値群で全員にMFAとレガシー認証ブロックを効かせるのが手軽です。「社外からのアクセス時だけMFA」「特定デバイスのみ許可」といった細かい制御が必要になったら、条件付きアクセス（Entra ID P1以上、Business Premium/E3/E5に内包）へ移行します。両者は同時に有効化できず、条件付きアクセスへ移る際は既定値群をオフにする必要があります（Microsoft公式仕様）。

Q. 監査ログはどれくらい残りますか？

監査（Standard）の既定保持期間は180日です（2023年10月17日以降に生成されたログ。それ以前は90日）。1年〜最大10年の長期保持には監査（Premium）＝E5相当のライセンスやアドオンが必要です。まず自社のログが今何日分残っているかを確認してください。

Q. E3を使っていればフィッシング対策（Safe Links/Safe Attachments）は使えますか？

Safe Links / Safe AttachmentsはMicrosoft Defender for Office 365 プラン1の機能です。Business PremiumやE5には含まれますが、E3では標準で付かず、アドオンが必要な場合があります。自社のE3構成に含まれているかを必ずライセンス条件で確認してください。

Q. 社内にIT専任がいません。すべて自社でやるべきですか？

MFA・レガシー認証ブロック・権限棚卸しといった当日対応は、手順に沿えば自社で実施できます。一方、条件付きアクセスの設計、DLPの段階展開、四半期ごとの運用サイクルは、抜けや業務停止事故が起きやすい領域です。ここは外部の視点を入れたほうが手戻りを抑えられます。

Q. GXOにはどの段階で相談できますか？

構想段階・予算化前・ベンダー提案の検討段階から相談できます。現状のライセンスとログ・権限・共有設定の棚卸しを入口に、当日できる無料対策から運用改善まで、優先順位を付けて整理します。

まとめ：設定は「順番」と「運用」で決まる

M365は強力なセキュリティ機能を持つが、管理者が意図して設定しなければ働かない。そして中小企業にとって重要なのは全項目の完璧さではなく、費用ゼロ・当日着手で効果最大の3つ（MFA・レガシー認証ブロック・管理者最小化）から順に塞ぐこと、そして四半期ごとに棚卸し・改善を回す運用を作ることだ。

まずは管理者アカウントでSecure Scoreを開き、現在地を確認するところから始めてほしい。そのうえで本記事の優先順位マトリクスと発注前チェックリストを埋めれば、外部に相談する際も「何が足りず、何を優先するか」を自分の言葉で説明できる状態になる。それが、過剰投資とベンダー依存を避ける最初の一歩だ。