Microsoft 365 E3・E5・EMSのセキュリティ機能の違い：各プランに含まれるもの

要点： Microsoft 365 E3には、ID管理（Entra ID P1）、Defender for Office 365 Plan 1（2026年7月1日から含まれる）、基本的なエンドポイント保護（Defender for Endpoint Plan 1）、Intune、情報漏えい防止（DLP）、メール暗号化が含まれます。E5はそこにEntra ID P2、Defender for Office 365 Plan 2、Defender for Endpoint Plan 2、Defender for Identity、Defender for Cloud Apps、Audit (Premium)、インサイダーリスク管理、自動ラベル付けが加わります。Enterprise Mobility + Security（EMS）はIDとデバイス管理の別パッケージで、E3はEntra ID P1、E5はEntra ID P2に相当します。機能を契約していることと、設定済みであることは別です。

すでにMicrosoft 365の料金を払っている情シス担当者や経営者向けに、自社がどのセキュリティ機能をすでに持っているか、E5を検討すべきかを整理します。プランごとの機能一覧、「契約に含まれるが誰かが有効にしないと動かない」機能の短いリスト、自社のライセンスを確認する方法を載せています。内容は2026年10月28日にMicrosoft Learnで確認しました。価格には触れませんので、Microsoftの料金ページをご覧ください。

名称と最近の変更

• Microsoft 365 E5 Securityは現在Microsoft Defender Suiteと呼ばれます。MicrosoftのEntraライセンスのページには「Microsoft Defender Suite (formerly Microsoft 365 E5 Security)」とあります。
• Microsoft Purview Suiteはコンプライアンス側の対になるスイートで、サービス説明にDefender Suiteと並んで登場します。
• E3にDefender for Office 365 Plan 1：MicrosoftのDefender for Office 365サービス説明には、2026年7月1日からOffice 365 E3とMicrosoft 365 E3にPlan 1が含まれると書かれています。Plan 2は含まれません。それ以前のページや記事（Microsoftのライセンス表の一部を含む）では、E3に含まれない表記が残っていることがあります。
• Enterprise Mobility + Security（EMS）のE3とE5は、MicrosoftのEntra、Defender、Purviewのライセンスのページに現在も記載されています。詳しくは後述のEMSの節を参照してください。
• Microsoft 365 E7は、MicrosoftのEntraとIntuneのライセンスのページに、E5の上位の新しいスイートとして登場します。本記事では扱いません。
• Microsoft 365 E3には、Defender SuiteやPurview Suiteなどのアドオンを追加できます。そのため「E3＋アドオン」はE5の現実的な代替案です。

Microsoft 365 E3に含まれるもの

• ID：Microsoft Entra ID P1。条件付きアクセス（Conditional Access）、MFAレポート、不正アクセスの警告、信頼できるIP、書き戻し付きのセルフサービスパスワードリセット、カスタムロールが含まれます。
• メール保護：すべてのクラウドメールボックス向けの組み込み保護（スパム対策、マルウェア対策、スプーフィングに対するフィッシング対策）に加え、2026年7月1日からDefender for Office 365 Plan 1（Safe Links、Safe Attachments、インパーソネーション対策付きのフィッシング対策、Real-time detections）。Plan 2は含まれません。
• エンドポイント：Microsoft Defender for Endpoint Plan 1（次世代のマルウェア対策、攻撃面の縮小ルール、デバイス制御、ファイアウォール、ネットワーク保護）。
• デバイス管理：Microsoft Intune。バンドルに含まれます。
• データ保護：Purviewのメッセージ暗号化、Exchange・SharePoint・OneDriveのDLP、手動の秘密度ラベル、スキャナーによる探索。
• 監査と検索：Audit (Standard)とeDiscovery (Standard)。

Microsoft 365 E5でE3に加わるもの

• ID：Microsoft Entra ID P2。リスクベースの条件付きアクセス、Entra ID Protection（リスクポリシー、リスクユーザー、リスクのあるサインイン）、Privileged Identity Managementが加わります。
• メール保護：Defender for Office 365 Plan 2。Plan 1にThreat Explorer、Threat trackers、キャンペーンビュー、自動調査と自動対応、攻撃シミュレーショントレーニングが加わります。
• エンドポイント：Defender for Endpoint Plan 2（EDR、自動調査、脆弱性管理のコア機能、脅威分析）。
• IDの脅威検出：Defender for Identity。
• クラウドアプリ：Defender for Cloud Apps（アプリガバナンスを含む）。
• データ保護：エンドポイントDLP、クライアント側とサービス側の自動秘密度ラベル、Customer Lockbox。
• コンプライアンス：Audit (Premium)（監査ログを最長1年保持）、Insider Risk Management、Communication Compliance、eDiscovery (Premium)。

Enterprise Mobility + Security（EMS）とは

Microsoftの「Product names and service plan identifiers for licensing」の一覧表（Microsoft Learnからリンクされています）には、EMSの各製品の構成が載っています。

• EMS E3：Microsoft Entra ID P1、Microsoft Intune、Azure Information Protection Premium P1、Azure Rights Management、Azure多要素認証、Cloud App Securityの探索機能。
• EMS E5：E3の内容すべてに加え、Microsoft Entra ID P2、Microsoft Defender for Identity、Microsoft Defender for Cloud Apps、Azure Information Protection Premium P2。

IDとデバイスの層では、EMSはMicrosoft 365 E3・E5にすでに含まれる内容の一部です。Microsoft 365 E3またはE5を契約しているなら、EMSを重ねて買う必要はありません。EMSが合うのは、Office 365とEMSのように部品を別々に買う会社です。Microsoftは「Microsoft 365 E3＋Enterprise Mobility + Security E5アドオン」も有効な組み合わせとして挙げています。

Office 365 E3・E5はMicrosoft 365 E3・E5と別物

Office 365はOfficeアプリとオンラインサービスが対象で、WindowsやデバイスのレイヤーはMicrosoft 365側にあります。Microsoftのサービス説明では次のとおりです。

• Defender for Office 365 Plan 1は、2026年7月1日からOffice 365 E3とMicrosoft 365 E3に含まれます。Plan 2はOffice 365 E5とMicrosoft 365 E5に含まれ、E3には含まれません。
• Defender for Endpoint Plan 1はMicrosoft 365 E3の項目に載っており、Office 365 E3には載っていません。
• Entra ID P1はMicrosoft 365 E3、Entra ID P2はMicrosoft 365 E5の項目に載っています。

含まれていても有効化されていないことが多い機能

「含まれる」はライセンスがあるだけで、設定済みという意味ではありません。次の順で確認してください。

1. 条件付きアクセスのポリシー（E3以上）。Entra ID P1は機能を提供するだけで、ポリシーを作らなければ何も起きません。条件付きアクセスの基本ポリシーを参照してください。
2. リスクベースの条件付きアクセスとID Protection（E5）。リスクポリシーにはEntra ID P2が必要です。
3. Privileged Identity Management（E5）。対象ロールの資格がある、または期間限定で割り当てられるユーザーにはP2ライセンスが必要です。
4. Defender for Office 365のポリシー（E3は2026年7月1日からPlan 1、Business PremiumもPlan 1、E5はPlan 2）。サービスはテナントレベルで既定で有効ですが、誰を対象にするかはポリシーの割り当てで決めます。まずStandardのプリセットポリシーから始めます。
5. Defender for Endpoint（E3はPlan 1、E5はPlan 2）。Defenderポータルを開き、デバイスが表示されているか確認します。
6. メール暗号化とDLP（E3以上）。メールフロールールやポリシーを作らないと、自動では暗号化されません。
7. 秘密度ラベル（E3は手動、E5は自動ラベル付け）。ラベルは公開しないとユーザーに表示されません。
8. Audit (Premium)（E5）。保持期間は、対応するライセンスを持つユーザーに適用されます。
9. Intuneへの登録（E3以上）。デバイスは登録されて初めて管理対象になります。

自社が何を持っているかを確認する

Microsoft Graph PowerShellで、テナントのライセンス、購入数、使用数を一覧にします。

Connect-MgGraph -Scopes Organization.Read.All
Get-MgSubscribedSku | Format-Table SkuPartNumber, ConsumedUnits,
    @{Name='Purchased'; Expression={$_.PrepaidUnits.Enabled}}

各ライセンスに含まれるサービスプランを表示すると、DefenderやEntraの機能が確認できます。

$allSKUs = Get-MgSubscribedSku -Property SkuPartNumber, ServicePlans
$allSKUs | ForEach-Object {
    Write-Host "Licence:" $_.SkuPartNumber
    $_.ServicePlans | ForEach-Object {$_}
}

よくある失敗

1. E5を買ったが、設定する予定がない。 Defender for Identity、インサイダーリスク、リスクポリシーを誰も導入しないなら、追加ライセンスはコストが増えるだけで防御はあまり上がりません。
2. Office 365 E3とMicrosoft 365 E3を同じだと思う。 Defender for Endpoint Plan 1とEntra ID P1の機能は、Office 365 E3ではなくMicrosoft 365 E3側にあります。
3. Microsoft 365 E3・E5にEMSを重ねて買う。 更新の前に重複を確認します。
4. 一部のユーザーにしかライセンスを割り当てない。 Defender for Office 365で保護されるメールボックスにアクセスするユーザー全員にライセンスが必要で、共有メールボックスも同様です。PIMなどEntra ID P2の機能も、対象ユーザーにライセンスが要ります。
5. Secure Scoreを「対策済み」の証拠とみなす。 Secure Scoreは設定状況の指標であり、保証ではありません。Microsoft Secure Scoreを上げる方法を参照してください。

動作の確認方法

1. 上のコマンドでライセンスを一覧にし、セキュリティ関連のプランをメモします。
2. 「有効化されていないことが多い機能」の各項目について、設定するポータルのページを見つけ、担当者を書き留めます。
3. 結果をE3・E5の一覧と照合します。料金を払っているのに未設定のものは、是正リストに入れます。
4. 更新やライセンス変更のたびに再確認します。

FAQ

Microsoft 365 E3のライセンスには何が含まれますか。

セキュリティ面では、Entra ID P1、Defender for Office 365 Plan 1（2026年7月1日から）、Defender for Endpoint Plan 1、Intune、Purviewのメッセージ暗号化、Exchange・SharePoint・OneDriveのDLP、手動の秘密度ラベル、Audit (Standard)、eDiscovery (Standard)です。

Office 365 E3にDefenderは含まれますか。

Microsoftのサービス説明では、2026年7月1日からOffice 365 E3とMicrosoft 365 E3にDefender for Office 365 Plan 1（Safe Links、Safe Attachments、フィッシング対策、Real-time detections）が含まれます。Plan 2はE5のみです。Defender for Endpoint Plan 1はOffice 365 E3ではなくMicrosoft 365 E3に含まれます。

Enterprise Mobility + Security E3には何が含まれますか。

Entra ID P1、Intune、Azure Information Protection Premium P1、Azure Rights Management、Azure多要素認証、Cloud App Securityの探索機能です。EMS E5ではさらにEntra ID P2、Defender for Identity、Defender for Cloud Apps、Azure Information Protection Premium P2が加わります。

セキュリティ面で、Microsoft 365 E3とBusiness Premiumはどう違いますか。

どちらもEntra ID P1、Defender for Office 365 Plan 1（E3は2026年7月1日から）、Purviewのメッセージ暗号化、Exchange・SharePoint・OneDriveのDLPを含みます。Business PremiumにはさらにDefender for Businessが、Microsoft 365 E3にはDefender for Endpoint Plan 1が含まれます。

小規模な会社でもE5は価値がありますか。

追加のツールを実際に使うかどうかで決まります。E5ではIDリスク検出、Defender for Office 365 Plan 2、Defender for Endpoint Plan 2、コンプライアンスのツールが加わります。コストを抑えるなら、E3にDefender SuiteまたはPurview Suiteのアドオンを足す方法があり、Microsoftもこれを認めています。

関連記事：Defender for Office 365 Plan 1とPlan 2の違い、Microsoft Intuneの料金とプラン。

自社が何を契約し、何が有効になっているかの整理をご希望なら、Microsoft 365セキュリティ監査をご利用ください。

着手前に本格的な監査の料金を知りたい場合は、Microsoft 365 セキュリティ監査の費用で人数別の固定料金をまとめています。