Microsoft 365 MFA ギャップレポートとは：監査の成果物が示す「Entra で MFA のないユーザー」

要点： Microsoft 365 の MFA ギャップレポートとは、日付入りでアカウント単位に「誰がまだパスワードだけでサインインできるのか」「各人がどの方法を登録しているか」「どのアカウントがなぜポリシーから除外されているか」「条件付きアクセスが本当に適用されているか」を記した文書です。「MFA はあります」という回答では足りないとき、保険会社や監査人が求めるのがこの文書です。本記事では、良いレポートの中身と読み方を説明します。

「多要素認証は有効にしています」と答えるテナントの多くは、たしかに大半のユーザーに対して、ほとんどの場面で有効にしています。問題は残りの一部です。2023 年以降誰も触っていない緊急アクセス用アカウント、除外グループに入ったままの複合機のスキャン送信用メールボックス、SMS を予備の方法として登録したきり、それ以上強い方法を設定していない 3 人のユーザー。Microsoft 365 MFA ギャップレポートは、この「残りの一部」を見つけ出し、第三者が確認できる形で書き留めるためにあります。

本記事は MFA を有効にする手順の解説ではありません。手順が必要な方は、Microsoft 365 で MFA を有効にする方法 の記事で、セキュリティの既定値群、条件付きアクセス、未登録ユーザー一覧のエクスポートまでを扱っています。本記事が扱うのは成果物そのものです。監査品質のギャップレポートはどのような形をしているか、何が見つかりがちか、受け取ってからの 30 日間に何をすべきかを説明します。

MFA ギャップレポートとは何か、なぜ「MFA は有効です」では答えにならないのか

MFA ギャップレポートは、Microsoft Entra テナント内のすべてのアカウントについて、ある時点の MFA 適用状況を記録し、例外を一つずつ説明した文書です。重要なのは「すべて」という言葉です。Entra ではユーザーのグループに MFA を要求するのは簡単ですが、少数のアカウントをそのグループの外に残したまま気づかないことも、意外なほど簡単に起こります。除外の設定場所が、ポリシーを作る場所と別だからです。

「MFA は有効です」が意味するのは、たいてい次の三つのいずれかで、それぞれ異なるギャップを残します。

• セキュリティの既定値群が有効になっている。 全員に登録が求められ、管理者は常に認証を求められます。しかし既定値群ではアカウントを除外できないため、例外が一つ必要になったテナントは既定値群を無効にし、その置き換えを完了しないまま放置していることがよくあります。
• 条件付きアクセスポリシーで全ユーザーに MFA を要求している。 正しい設計ですが、ポリシーの完成度は除外設定次第です。除外グループの一つひとつが、パスワードだけでサインインできるアカウントの一覧です。
• 何年も前にユーザー単位の MFA を有効にした。 従来のユーザー単位の設定が残っているテナントがあります。当時チェックを入れたアカウントにだけ適用され、その一覧を現在の社員名簿と照合した人は誰もいません。

ギャップレポートはこの三つを横断します。ポリシーに何が書いてあるかではなく、アカウントごとに「このパスワードが今夜盗まれたら何が起きるか」を問います。

Microsoft 365 MFA ギャップレポートには何が含まれるのか

Brocent の Microsoft 365 セキュリティ監査では、MFA ギャップの章は決まった構成を持っています。この構成を知っておけば、当社のものも含め、どの事業者のレポートも評価できます。Microsoft 365 セキュリティ監査のサンプルレポート（英語ページ）は架空の顧客を題材に全体の構成を示しており、MFA の部分には次の内容が含まれます。

すべてのアカウントの登録状況

ライセンス付きユーザーごとではなく、アカウントごとに 1 行です。この違いは重要です。問題を起こすのは、ライセンスのないアカウント、共有アカウント、サービスアカウントであることが多く、ライセンス基準のエクスポートには一切表示されないからです。各行には、MFA が登録済みか、ポリシーで強制されているか、最終サインイン日が記録されます。半年間サインインがなく MFA もないアカウントと、現役のアカウントとでは問題の性質が異なり、レポートはどちらであるかを明示します。

ユーザーごとの認証方法と、フィッシング耐性の有無

「何らかの方法がある」ことと「強い方法がある」ことは同じではありません。レポートは各人の登録済みの方法を列挙し、中間者型フィッシングに耐える方法、つまりパスキー、FIDO2 セキュリティキー、Windows Hello for Business に印を付けます。Microsoft Authenticator の番号照合付きプッシュ通知は強い第二要素として記載されますが、フィッシング耐性ありとは扱いません。認証方法ポリシーで SMS や音声通話がまだ有効なら、その点も指摘します。有効な方法は予備として登録でき、そして使われてしまうからです。

サンプルレポートでは、14 人の社員のうち 12 人が Authenticator のプッシュ通知に依存し、パスキーを持つのは 2 人、グローバル管理者 3 人は全員プッシュ通知を使い、SMS は有効なままで 4 人が予備として登録していました。小規模な専門サービス会社ではよくある姿で、評価は「重大」ではなく「高」です。第二要素自体は存在し、最も重要なアカウントに最も強い形式を求めていないだけだからです。

除外：管理者、ゲスト、サービスアカウント、共有メールボックス

レポートの名前の由来となる章です。MFA の要件から除外されているアカウントごとに、どのポリシーが、どのグループを通じて除外しているか、所有者は誰か、理由が明記されているかを記録します。よくある分類は次のとおりです。

• 緊急アクセス（ブレークグラス）アカウント。 専用ポリシー、フィッシング耐性のある認証方法の登録、サインイン時のアラートがあるなら、通常の MFA から除外するのは正当です。その三つがないまま除外されていれば「重大」の指摘になります。
• サービスアカウントとデバイスアカウント。 複合機のスキャン送信用アカウントが典型です。ライセンス付きのユーザーアカウントで、パスワードは一度設定されたきり、複合機が MFA に対応できないために除外グループに入れられています。対処は複合機に MFA を付けることではなく、SMTP リレーやコネクタへ移行して、このアカウントを対象に含めるか削除できるようにすることです。
• サインインが有効な共有メールボックス。 共有メールボックスはそもそもサインインできるべきではありません。サインインでき、かつ MFA の対象外なら、それは一つのアカウントです。
• ゲストユーザー。 提携先のゲストが設計上「すべてのユーザー」の範囲外にあるのは問題ありませんが、ゲストに MFA を要求する別のポリシーが必要です。レポートはそのポリシーの有無を確認します。
• 「一時的に」除外されたユーザー。 出張中だった人、スマートフォンが壊れた人、急いで入社手続きをした人。一時的な除外は恒久化しがちです。

サンプルレポートの最初の「重大」指摘はまさにこのパターンでした。「すべてのユーザーに MFA を要求」ポリシーが CA-Exclude というグループを除外しており、そこには MFA の方法が一つも登録されておらずパスワードの最終設定が 2023 年 3 月というグローバル管理者の緊急アカウントと、複合機のスキャン用アカウントが含まれていました。

条件付きアクセスの適用範囲と、その背後の除外グループ

ポリシーの一覧は適用範囲ではありません。レポートは MFA に関係する条件付きアクセスポリシーを一つずつ読み、状態（オン、レポート専用、オフ）、ユーザーの範囲、アプリの範囲、すべての除外グループとそのメンバーを記録します。2 月からレポート専用モードのまま止まっているポリシーは「何も強制していない」と記録されます。実際にそうだからです。小規模テナントの条件付きアクセス基本ポリシーの記事は中核となる 6 つのポリシーのあるべき姿を説明しており、ギャップレポートは自社のポリシーがそれに合致しているかを示します。

部門別の集計と全体の割合

意思決定者には一つの数字が必要で、レポートはそれを示します。MFA が強制されているアクティブアカウントの割合と、その横にフィッシング耐性のある方法の割合です。さらに部門や事業単位ごとに分解します。「適用率 94%」という言葉は、足りない 6% が経理部門である場合、まったく違う意味を持つからです。

取得日時と証拠の形式

すべての数値には、テナントから読み取った日時、使用した方法（読み取り専用の Microsoft Graph アプリケーション）、証拠付録内のエクスポートファイルへの参照が付きます。サンプルレポートには、ある日の読み取り専用スキャンと、その 2 日後の再確認が記録されています。この細部があるからこそ、第三者がレポートを信頼できます。日付のない管理センターのスクリーンショットは意見にすぎず、日付とクエリの付いたエクスポートが証拠です。

MFA ギャップレポートはどう読むべきか

次の順序で読み、割合から始めたくなる気持ちを抑えてください。

1. まず除外を見る。除外グループ内のアカウントはすべて、反証されるまではパスワードだけのアカウントです。一つひとつに理由と所有者が書かれているか確認します。
2. 次に管理者の行を読む。フィッシング耐性のある MFA を持たない管理者 1 人は、MFA のない一般ユーザー十数人より大きなリスクです。そのアカウント一つの侵害がテナント全体の侵害になるからです。
3. それからポリシーの状態を確認する。レポートの目的上、レポート専用はオフと同じです。
4. そこで初めて適用率を見る。比較対象はライセンス数ではなくアカウント数です。
5. 最後に日付を確認する。取得日が読んでいる日の 30 日以上前なら、状況はおそらく変わっています。

除外を探し回らせたり、ポリシーの状態を付録に埋めたりするレポートは、読み手ではなく書き手のために構成されています。

レポートではふつう、どんなギャップが見つかるのか

Brocent は顧客の数値を公開しません。以下の例はサンプルレポートの指摘事項とパターンの説明であり、統計ではありません。

• 第二要素のない緊急アカウント。 何年も前に正しく作成され、ガイダンスどおり MFA から除外され、その後セキュリティキーもサインインアラートもパスワードの更新も与えられなかったアカウント。サンプルでは 14 日以内の対応目標を持つ「重大」の指摘です。
• 除外グループ内のデバイスアカウント。 複合機、入退室管理装置、メールを送る業務アプリ。いずれも MFA に対応できないライセンス付きアカウントで、そのために除外され、ハードウェアの制約がいつの間にか ID のギャップに変わっています。
• 管理者には十分でない「強い」MFA。 サンプルではグローバル管理者 3 人全員がプッシュ通知を使っていました。プッシュ通知は一般社員には良い第二要素ですが、管理者に対しては、条件付きアクセスでフィッシング耐性のある認証強度を強制することをレポートは推奨しています。
• 日常業務用アカウントがグローバル管理者を恒久的に保持。 厳密には MFA のギャップではありませんが、リスクが同質であるため同じ章に記録します。フィッシングの添付ファイルを開く可能性が最も高いアカウントが、すべての設定を変更できるアカウントでもあるからです。
• レガシー認証がまだ許可されている。 MFA は、MFA に対応しないプロトコルを守れません。ログに IMAP、POP、SMTP AUTH のサインインがあれば、適用率がどれだけ高くても MFA ポリシーには穴があります。サンプルレポートでは 30 日間に 214 件のそうしたサインインが、スキャン用アカウントと Thunderbird を使う 1 人のユーザーから見つかりました。
• SMS がまだ有効な認証方法になっている。 登録している人は少なくても、テナント全体で有効なら誰でも予備として登録でき、パスワードを持つ攻撃者もそれを使えます。

香港の会計事務所における MFA 導入の事例では、こうしたギャップが実際の規模の組織でどう現れ、社員が埋めていく過程で何を経験するかを紹介しています。

保険会社や監査人は MFA 適用率の証拠に何を求めるのか

サイバー保険の質問票は具体的になりました。「MFA を使っていますか」と聞かれることはもはや少なく、「すべてのユーザー、すべての管理者、すべてのリモートアクセス、すべてのメールアクセスに MFA を強制していますか。それを証明できますか」と聞かれます。大口顧客からの取引先セキュリティ質問票も、言葉を変えて同じことを尋ねます。英国市場向けの企業にとっては、Cyber Essentials がクラウドサービスで利用可能なのに有効化されていない MFA を不合格条件として扱うことを、Cyber Essentials と Microsoft 365 の記事で説明しています。

こうした審査者が使える文書の条件は次のとおりです。

• 日付がある。 更新や評価の期間と突き合わせられます。
• すべてのアカウントを網羅している。 除外は隠さず、列挙して説明されています。
• 「強制」と「登録」を区別している。 登録とはユーザーが方法を設定したこと、強制とはポリシーがそれを要求していることです。質問に答えるのは後者だけです。
• 方法を明記している。 「MFA」がパスキーなのか SMS なのかを審査者が判断できます。
• ポリシーの証拠を示している。 条件付きアクセスのエクスポートと、その背後のグループメンバーが付いています。

Brocent のレポートと付属のワークブックは、まさにこうした場面で証拠として使われることを想定して設計されています。保険会社、監査人、認証機関に何かを受け入れさせるものではなく、判断は相手側にあります。レポートがするのは、事実を確認可能な形に整えることです。関連記事のサイバー保険の質問票に Microsoft 365 の証拠で答えるでは、具体的な設問を一つずつ扱っています。

MFA の適用状況を把握する三つの方法

多くの人に本当に必要な比較は、すでに手元にあるか購入できる三つの MFA 情報源の比較です。答える問いがそれぞれ違うからです。

• Entra の認証方法の登録・アクティビティレポート。 Entra に標準で含まれ、追加費用はなく、登録状況については正確です。条件付きアクセスの除外を知らず、どのアカウントが強制の対象外かを示せず、ポリシーの状態も記録しません。未登録ユーザーを追いかけるには向きますが、証拠としては弱いものです。
• Secure Score の MFA 改善アクション。 こちらも標準機能です。Secure Score は割合と推奨アクションを示し、推移を見るには便利です。API が公開する情報しか読まず、例外を列挙せず、保険会社や監査人が Secure Score のスクリーンショットを適用状況の評価として扱うこともありません。理由は Secure Score、CIS ベンチマーク、ScubaGear の比較の記事で説明しています。
• 監査のギャップレポート。 有料、日付入り、アカウント単位、除外の説明付き、ポリシー状態の記録付き、証拠ファイル添付、そしてスクリプトが読めない手動コントロールを人がレビューしたもの。第三者に渡せるのはこれです。

最初の二つは何を直すべきかを教えてくれます。三つ目は、直したことを第三者に伝えます。

レポート受領後の 30 日間に何をすべきか

サンプルレポート自身のロードマップが妥当なひな型で、MFA の項目を最初に置いています。

1. 0〜14 日目：「重大」項目を閉じる。 緊急アカウントにフィッシング耐性のある方法を登録し、専用ポリシーとアラートを設定する。スキャン送信用アカウントをリレーまたはコネクタに移行する。「レガシー認証をブロック」ポリシーをレポート専用からオンに切り替え、組織レベルで SMTP AUTH を無効にする。
2. 15〜30 日目：管理者の基準を引き上げる。 認証方法ポリシーでパスキーを有効にし、条件付きアクセスですべての管理者ロールにフィッシング耐性のある認証強度を要求し、日常業務用ユーザーを恒久的なグローバル管理者ロールから外して専用の管理者アカウントに移す。
3. 15〜60 日目：全員に広げる。 短いガイド付きセッションで社員にパスキーを登録してもらい、登録が完了したら SMS と音声通話を認証方法から無効にする。
4. 再確認。 取得をやり直し、適用率を比較する。初回にギャップがあり再確認時にはなかったというレポートこそ、多くの審査者が本当に見たい証拠です。ギャップが一度もなかったことではなく、見つけて閉じたことを示すからです。

この作業を担う人が社内にいないなら、それこそがマネージド型の MFA 導入サービスの役割です。Brocent の MFA ソリューションのページでは、ポリシー設計、社員向けセッション、事後確認までを含む導入サービスを説明しており、監査はその出発点になることがほとんどです。

よくある質問

Microsoft 365 の MFA ギャップレポートとは何ですか

Microsoft Entra テナント内のどのアカウントに多要素認証が強制されているか、各アカウントがどの方法を登録しているか、どのアカウントがなぜ要件から除外されているか、それを強制する条件付きアクセスポリシーがどの状態にあるかを、日付入りでアカウント単位に記録した文書です。Microsoft 365 セキュリティ監査の一つの章であり、保険会社や監査人から最も多く質問される章です。

Entra で MFA のないユーザーを自分で探すにはどうすればよいですか

Entra 管理センターの認証方法の登録レポートに登録済み・未登録のユーザーが表示され、短い PowerShell クエリで同じ一覧を CSV にエクスポートできます。手順は上で紹介した記事にあります。このエクスポートに表示されないのが除外グループなので、各条件付きアクセスポリシーの除外設定の確認と組み合わせてください。

認証方法の登録レポートだけで保険会社には十分ですか

単独では不十分なことがほとんどです。示されるのは登録であって強制ではなく、除外やポリシーの状態には触れません。審査者はポリシーの証拠も求める傾向があります。監査レポートは両方を日付とともに一つの文書にまとめており、証拠として使われることを想定して設計されています。

Brocent の MFA ギャップレポートはテナントに何か変更を加えますか

いいえ。監査は、お客様のグローバル管理者の一人が一度だけ同意する読み取り専用の Microsoft Graph アプリケーションを使います。構成とサインインのメタデータを読み取るだけで、メールや文書は読まず、設定も変更しません。アプリケーションを削除すればいつでも同意を取り消せます。

監査の費用と期間はどのくらいですか

Microsoft 365 セキュリティ監査はユーザー数に応じた固定料金です。1〜10 ユーザーで US$450、11〜25 ユーザーで US$990、26〜75 ユーザーで US$1,800、76〜150 ユーザーで US$2,900、それ以上は個別見積もりです。読み取り専用アクセスの付与から 5〜7 営業日でレポートをお渡しします。MFA ギャップの章は監査に含まれており、単体では販売していません。詳細は Microsoft 365 セキュリティ監査の料金ページをご覧ください。

フィッシング耐性のある MFA とは何ですか

サインインを正規のサイトに結び付け、プロキシページが再生できないようにする方法です。パスキー、FIDO2 セキュリティキー、Windows Hello for Business がこれにあたります。番号照合付きの Authenticator プッシュ通知は強い第二要素ですが、中間者型の攻撃ツールで破られる可能性があります。SMS と音声通話は最も弱く、有効なままの箇所をレポートが指摘します。

レポートは当社を「準拠している」と記載しますか

いいえ。レポートは CIS Microsoft 365 Benchmark に照らしてテナントの事実を記録し、指摘事項が Cyber Essentials や典型的な保険の設問に関係する場合はその旨を注記します。いかなる制度や規制への準拠も認証せず、保険会社や監査人が受け入れることも保証しません。証拠として使われることを想定した設計であり、判断は相手側にあります。

次のステップ

テナントに誰も説明できない除外があると分かっているなら、まず標準の登録レポートと手順記事から始め、明らかなギャップを今週中に閉じてください。組織の外の人が信頼できる文書が必要なら、監査はテナント全体のレビューの一部として本記事で説明したギャップレポートを作成します。範囲、料金区分、5〜7 営業日のスケジュールは料金ページに、サンプルレポートは Report Central のページ（英語ページ）にあります。先に相談したい方は、コンサルタントにお問い合わせください。