Microsoft 365 セキュリティ監査チェックリスト：テナントで確認すべき 12 の領域

要点： Microsoft 365 セキュリティ監査チェックリストは、テナントの 12 の領域を対象にします。MFA の適用範囲、条件付きアクセス、特権ロールと緊急アクセス用アカウント、レガシー認証と SMTP AUTH、アプリの同意、ゲストと外部共有、メール転送、SPF/DKIM/DMARC、Defender for Office 365 のポリシー、監査ログ、DLP と秘密度ラベル、デバイスとアプリの保護です。本記事では各設定の場所と合格の基準を、Brocent が公開しているサンプルレポートと同じ順序で説明します。

Microsoft 365 セキュリティ監査 チェックリストを探している方が求めているのは、たいてい二つです。午後の数時間で自分で一通り確認できるリストと、その結果に意味があるかどうかを判断する方法です。本記事は前者を提供し、後者についても率直にお伝えします。

以下の 12 領域の順序は、Brocent が架空のクライアントを題材に公開している Microsoft 365 セキュリティ監査のサンプルレポート（英語ページ）の構成に沿っています。サンプルは領域別に整理されており、ID とアクセス、メール、Defender、SharePoint と OneDrive、Teams、テナントの衛生状態とログ、デバイスの順です。14 名のテナントを CIS Microsoft 365 Foundations Benchmark の Level 1 と Level 2 に照らして測定しており、そこに含まれる指摘事項は、中小規模のテナントで最も頻繁に見つかるものです。つまりこのリストは机上の整理ではなく、実際のテナントで不備が見つかりやすい場所を並べたものです。

始める前に二点。第一に、ここに挙げた内容はすべて「グローバル閲覧者」などの読み取り専用ロールで確認でき、チェックリストを完了するために設定を変更する必要はありません。第二に、これはページ上のチェックリストであり、フォームではありません。ダウンロードするものも、登録するものもありません。

Microsoft 365 テナントを監査する方法：リストの前に手順を決める

テナント監査とは、同じ問いを 12 回繰り返すことです。この設定は、認められた基準どおりに構成されているか。そうでない場合、その差は自社にとって重要か。基準が重要なのは、「安全」が感覚では測れないからです。CIS Microsoft 365 Foundations Benchmark は推奨事項を二つのレベルで公開しています。Level 1 はすべての組織が適用すべき設定、Level 2 は利便性に影響し得るより厳しい設定です。Microsoft Secure Score は関連しつつもより狭い範囲のアクションを採点します。両者の違いは Brocent の記事 Secure Score、CIS ベンチマーク、ScubaGear の比較 で整理しています。

各領域は次の順で進めてください。

1. その領域で指定した管理センターを開き、現在の設定を読み取る。
2. 見たものを日付とともに表に記録する。メモよりスクリーンショットやエクスポートのほうが良い。
3. 「合格の基準」と比べ、その行を合格、不合格、該当なしのいずれかにする。
4. 不合格なら、一般論ではなく自社の事業にとってなぜ問題かを一行で書く。

最後のステップが、設定の一覧を監査に変えます。指摘事項とは、設定と結果の組み合わせです。

領域 1：MFA の適用範囲。有効なアカウントすべてに第二要素があるか

確認すること：有効なユーザー全員の登録状況、登録された認証方法、そして MFA が「利用可能」なだけでなく実際に強制されているか。サンプルレポートの重大な指摘は、MFA なしでサインインできるアカウントが二つ残っていることで、そのうち一つは誰も見直していないグループによってポリシーから除外されたグローバル管理者でした。

場所：Microsoft Entra 管理センター、保護、認証方法、ユーザー登録の詳細。誰がどの方法で登録しているかが分かります。強制は条件付きアクセス（次の領域）で行い、Entra ID P1 のないテナントでは Entra ID、概要、プロパティのセキュリティの既定値群で行います。

合格の基準：有効なアカウントすべてに少なくとも一つの強い方法があり、管理者はパスキーなどフィッシング耐性のある方法を使い、SMS と音声は方法として無効化され、強制ポリシーの除外グループに実在の人物が含まれていないこと。有効化の手順は Microsoft 365 で MFA を有効にする方法 にあります。

CIS の対応：ID とアクセス。全ユーザーと管理者の MFA は Level 1、フィッシング耐性のある方法は Level 2。

領域 2：条件付きアクセス。基本ポリシーは有効か、レポート専用のまま止まっていないか

確認すること：ポリシーの一覧、状態、適用対象、そして何より除外対象。サンプルの二つ目の重大な指摘は、「レガシー認証をブロック」するポリシーが 2 月からレポート専用モードのまま放置されていたことで、つまり何もブロックしていませんでした。

場所：Entra 管理センター、保護、条件付きアクセス、ポリシー。各ポリシーを開き、除外、許可の制御、状態（オン、オフ、レポート専用）を読み取ります。

合格の基準：名前の付いた少数のポリシーで、全ユーザーと管理者に MFA を要求し、レガシー認証をブロックし、セキュリティ情報の登録を保護し、Intune があれば準拠デバイスまたは保護されたアプリを要求していること。除外は二つの緊急アクセス用アカウントと記録済みのサービスアカウントに限られ、テスト期間後にレポート専用のまま残るポリシーがないこと。最初に作るべき六つのポリシーは 条件付きアクセスの基本ポリシー で解説しています。

CIS の対応：ID とアクセス。中核ポリシーは Level 1、デバイスベースやサインイン頻度の制御は Level 2。

領域 3：特権ロールと緊急アクセス用アカウント。誰がグローバル管理者で、どのアカウントから使っているか

確認すること：グローバル管理者などの特権ロールを持つアカウントの数、それが日常のメールや Teams に使う同じアカウントか、割り当てが恒久的か必要時に有効化する方式か、保護された緊急アクセス用アカウントが二つ存在するか。

場所：Entra 管理センター、ロールと管理者、各ロールの割り当て。ライセンスがあれば Privileged Identity Management で「資格のある」割り当てと「アクティブな」割り当てを確認できます。サンプルでは三名が恒久的にグローバル管理者を持ち、うち二名はそのアカウントを毎日の業務に使っていました。

合格の基準：グローバル管理者は二名から四名、それぞれ管理専用の別アカウントを使い、PIM が使えるなら恒久ではなく資格ベースの割り当てにすること。クラウド専用の緊急アクセス用アカウントを二つ用意し、フィッシング耐性のある方法を設定し、条件付きアクセスから除外し、あらゆるサインインを監視すること。ID 側の詳細は Microsoft 365 と Entra ID のセキュリティ監査 を参照してください。

CIS の対応：ID とアクセス。グローバル管理者の制限と管理専用アカウントは Level 1、PIM は Level 2。

領域 4：レガシー認証と SMTP AUTH。先進認証を使わずにサインインできるものは何か

確認すること：レガシープロトコル（IMAP、POP、SMTP AUTH、古い Office クライアント）がブロックされているか、まだそれらを使っているものがないか。サンプルのテナントでは、スキャナーのアカウントと一人のユーザーの古いメールクライアントから、30 日間に 214 件のレガシーサインインがありました。

場所：レガシー認証をブロックする条件付きアクセスポリシー（領域 2）、クライアントアプリで絞り込んだサインインログ（Entra 管理センター、監視、サインインログ）、Exchange 管理センター、設定、メールフローにあるテナント全体の SMTP AUTH の切り替え、そして各メールボックスの認証設定。

合格の基準：ブロックポリシーがオンで、30 日間のサインインログにレガシーサインインがゼロであること。SMTP AUTH はテナント全体で無効にし、プリンターやアプリケーションが本当に必要とするメールボックスだけで有効にし、そのデバイスを先進認証へ移行する計画があること。

CIS の対応：ID とアクセス、および Exchange Online。Level 1。

領域 5：アプリの同意とエンタープライズアプリケーション。ユーザーは誰にメールやファイルへのアクセスを許可したか

確認すること：ユーザーがサードパーティアプリに自分で同意できるか、現在どのエンタープライズアプリケーションが Mail.ReadWrite や Files.ReadWrite.All のような委任またはアプリケーションのアクセス許可を持っているか。サンプルでは三つのアプリが広範なメールとファイルの権限を持ち、うち一つは数か月使われていませんでした。

場所：Entra 管理センター、ID、アプリケーション、エンタープライズアプリケーション、同意とアクセス許可で、ユーザー同意の設定と管理者同意ワークフローを確認します。次にエンタープライズアプリケーションの一覧をアクセス許可で並べ替え、すでに付与されているものを確認します。

合格の基準：ユーザー同意を無効にするか、検証済み発行元の低影響な権限に限定すること。従業員が申請できる管理者同意のリクエストワークフローがあること。四半期ごとに見直し、誰も使っていないアプリケーションを削除すること。デバイスコードフローを条件付きアクセスでブロックすること。

CIS の対応：ID とアクセス。ユーザー同意は Level 1、同意ワークフローは Level 2。

領域 6：ゲストと外部共有。社外の誰が何に到達できるか

確認すること：ゲストアカウントとその最終サインイン、SharePoint と OneDrive のテナントレベルの共有設定、サイトレベルの既定値、「すべてのユーザー」リンクの有無。サンプルの三つ目の重大な指摘は、本人確認書類を保管する顧客オンボーディング用サイトの既定のリンク種類が「リンクを知っているすべてのユーザー」だったことです。

場所：Entra 管理センター、ユーザーでユーザーの種類をゲストで絞り込み。SharePoint 管理センター、ポリシー、共有でテナントのスライダーとリンクの既定値。各サイトの共有設定。既存リンクは SharePoint の共有レポート。

合格の基準：テナントの共有は「新規および既存のゲスト」より開放的にしないこと。「すべてのユーザー」リンクは無効化するか期限付きにし、既定のリンク種類は「特定のユーザー」にすること。ゲストはプロジェクト終了時に見直して削除し、ゲストのアクセスには条件付きアクセスで MFA を要求すること。Copilot を使っている場合、過剰共有の観点は Copilot の過剰共有対策 で扱っています。

CIS の対応：SharePoint と OneDrive。匿名リンクと既定値は Level 1、より厳しい外部共有は Level 2。

領域 7：メールフローと転送。自社のメールをどこかへ送っているものはないか

確認すること：外部アドレスへの受信トレイルールとメールボックスレベルの転送、メールをリダイレクトまたはコピーするトランスポートルール、送信スパムポリシーが自動転送を許可しているか。サンプルでは、あるパートナーのメールボックスが 6 月に作成された受信トレイルールで全メールを個人アドレスへ転送していました。

場所：Exchange 管理センター、メールフロー、ルールでトランスポートルール。Exchange 管理センターのレポートまたは PowerShell でメールボックス転送と受信トレイルール。Microsoft Defender ポータル、メールとコラボレーション、ポリシー、スパム対策、送信で自動転送の設定。

合格の基準：自動転送をオフにするか送信スパムポリシーで制御し、記録された例外以外に外部転送がないこと。転送ルールが作成されたときに管理者へ通知するアラートポリシーがあり、全受信トレイルールを定期的にエクスポートしていること。これが防ぐビジネスメール詐欺の手口は、香港の取引先支払い詐欺の事例 で紹介しています。

CIS の対応：Exchange Online。Level 1。

領域 8：SPF、DKIM、DMARC。誰かが自社ドメインを名乗って送信できるか、そしてそれに気づけるか

確認すること：テナント内のすべてのドメイン（未使用のものを含む）について、SPF が存在しハードフェイルまたはソフトフェイルで終わっているか、DKIM が有効で署名しているか、DMARC ポリシーは何でレポートはどこへ届くか。サンプルのドメインは DMARC を p=none で公開し、レポートは誰も読まないメールボックスへ送られていました。未使用のドメインにはレコードが一つもありませんでした。

場所：Microsoft 365 管理センター、設定、ドメインで Microsoft が期待する DNS レコード。Defender ポータル、メールとコラボレーション、ポリシー、メール認証の設定で DKIM。実際に公開されているレコードは DNS プロバイダーで確認します。

合格の基準：SPF は include を一つにしてハードフェイルで終えること。送信するすべてのドメインで DKIM 署名を有効にし、キーをローテーションすること。レポートで正規メールの整合が確認できたら DMARC を p=quarantine または p=reject に引き上げること。集計レポートは実際に確認される場所へ届けること。未使用のドメインには空の SPF と拒否の DMARC を設定し、なりすましに使えないようにすること。

CIS の対応：Exchange Online。SPF と DKIM、DMARC の公開はいずれも Level 1。

領域 9：Defender for Office 365 のポリシー。プリセットは適用済みか、既定値のままか

確認すること：「標準」または「厳密」のプリセットセキュリティポリシーが全ユーザーに適用されているか、安全なリンクと安全な添付ファイルがメール、Teams、Office ファイルで有効か、フィッシング対策の偽装保護に自社の経営陣とドメインが登録されているか、ゼロ時間自動消去が有効か。

場所：Defender ポータル、メールとコラボレーション、ポリシーとルール、脅威ポリシー。最初の項目がプリセットセキュリティポリシーで、続いてフィッシング対策、スパム対策、マルウェア対策、安全な添付ファイル、安全なリンクが並びます。

合格の基準：最低でも「標準」プリセットをテナント全体に適用し、経理と経営陣には「厳密」を適用すること。偽装保護には名前を偽装されやすい人物を登録し、安全な添付ファイルを SharePoint、OneDrive、Teams にも拡張し、検疫からの解放権限を見直すこと。どの機能がどのライセンスに含まれるかはプランによって異なるため、不合格と判定する前に自社プランの内容を確認してください。

CIS の対応：Defender for Office 365 のセクション。プリセットと安全なリンクは Level 1、より厳しい設定は Level 2。

領域 10：監査ログとアラート。統合監査ログは有効か、警報は誰かに届くか

確認すること：統合監査ログが有効か、ライセンスに応じてイベントがどれだけ保持されるか、メールボックス監査が有効か、どのアラートポリシーが存在し誰が受け取るか。

場所：Microsoft Purview ポータル、監査。有効になっていなければバナーが表示されます。Defender ポータル、アラートポリシーで誰に何が通知されるか。メールボックス監査の状態は Exchange 管理センターまたは PowerShell。

合格の基準：監査ログが有効で、保持期間を把握し、必要なら延長していること。新しい転送ルール、権限昇格、大量ダウンロード、異常なサインインに対するアラートポリシーが、実際に読まれるメールボックスへ届くこと。四半期ごとに、ログに自社ドメインのイベントが実際に含まれていることを確認すること。

CIS の対応：テナントの衛生状態とログ。監査ログの有効化とメールボックス監査は Level 1。

領域 11：DLP と秘密度ラベル。規制対象データの流出を止めるものはあるか

確認すること：データ損失防止ポリシーが一つでも存在するか、どの機密情報の種類を監視しているか、Exchange、SharePoint、OneDrive、Teams を対象にしているか、秘密度ラベルが発行され使われているか。サンプルでは、本人確認書類の組み込みの種類が 2,000 件近いファイルに一致していたにもかかわらず、ポリシーは一つもありませんでした。

場所：Purview ポータル、データ損失防止、ポリシー。Purview、情報保護、ラベルとラベルポリシー。分類子がすでに検出しているものはコンテンツエクスプローラー。

合格の基準：自社の市場と業種に関係する機密情報の種類を対象に、少なくとも一つの DLP ポリシーをテストモードと通知付きで運用し、一か月の調整後に強制へ移行すること。少数のラベル（公開、社内、機密）を全ユーザーに発行し、新規文書に既定ラベルを適用すること。ポリシーは実際に保有するデータに見合った規模に保つこと。

CIS の対応：Purview のセクション。機密の種類に対する DLP は Level 1、ラベルとより厳しい強制は Level 2。

領域 12：デバイスとアプリの保護。自社データを開くスマートフォンとノート PC で何が起きているか

確認すること：個人のスマートフォンがアプリ保護ポリシーなしにメールやファイルにアクセスしていないか、条件付きアクセスが準拠デバイスまたは保護されたアプリを要求しているか、管理されていないデバイスがいくつあるか、会社のノート PC が暗号化されエンドポイント保護を実行しているか。サンプルでは、七台の個人スマートフォンがアプリ保護なしでサインインしていました。

場所：Intune 管理センター、アプリ、アプリ保護ポリシーでモバイルアプリケーション管理。デバイス、コンプライアンスで準拠の定義。Entra 管理センター、デバイスでデバイス一覧と参加状態。条件付きアクセスでそれらを結び付ける許可の制御。

合格の基準：iOS と Android 向けのアプリ保護ポリシーで PIN、暗号化、会社データのワイプを要求すること。Windows と macOS 向けのコンプライアンスポリシーで暗号化とエンドポイント保護を要求すること。条件付きアクセスでそのいずれかを強制すること。デバイスの確認はテナント監査より深い領域であり、Brocent では別の Intune デバイス監査で扱っています。こちらにも独自の サンプルレポート（英語ページ）があります。

CIS の対応：Intune とデバイスのセクション。アプリ保護とコンプライアンスは Level 1、より厳しいデバイス要件は Level 2。

このチェックリストでは分からないこと

12 の領域を一通り確認すれば明らかな不備は見つかり、ほとんどの小規模テナントではいくつも見つかるでしょう。しかし、分からないことが三つあります。

不備同士の優先順位は付けられません。レポート専用のままのレガシー認証ポリシーと p=none の DMARC レコードはどちらも不合格ですが、前者は今日にも攻撃者の侵入口になり、後者は主に到達率に影響します。指摘事項には重大度と修正の順序が必要で、それには自社の組織に関する判断が要ります。

手動確認の管理項目は点検できません。ベンチマークの推奨事項には、単一の設定からは読み取れないものがあります。緊急アクセス用アカウントが実際に監視されているか、管理者が本当に別アカウントを使っているか、ポリシーの例外グループに正当な理由があるか。人が見て、尋ねる必要があります。

第三者が依拠できる証拠にはなりません。自分の観察結果をまとめた表は自社には役立ちます。しかし保険会社、顧客の調達部門、Cyber Essentials の評価者は通常、日付入りのエクスポートと、そのテナントを構成していない人物による手法の説明を求めます。サンプルレポートの証拠パックは、それがどのようなものかを示しています。

自己点検か、Secure Score か、独立した監査か

• このチェックリストで自己点検する： 午後の数時間で済み、明らかに外れている設定が見つかります。初回の把握や、誰も見直していないテナントに向いています。得られるのはメモであって証拠ではありません。
• Microsoft Secure Score： テナントに標準で含まれ、継続的に更新され、推移を見るのに役立ちます。ただし Microsoft が採点対象に選んだアクションしか採点しないため、手動確認の管理項目やベンチマークのいくつかの項目を見落とし、そのパーセンテージは外部の誰もが認める合格基準ではありません。
• CIS ベンチマークに照らした独立監査： 審査者が読み取り専用アプリケーションで構成を読み、手動確認の項目を点検し、すべての指摘事項に証拠と修正順序を付けて格付けし、保険会社、顧客、評価者に対する証拠として使えるよう設計されたレポートを作成します。Brocent の監査は人数に応じた固定料金で、1 名から 10 名は 450 米ドルから、レポートは 5 営業日から 7 営業日で納品します。範囲と料金は Microsoft 365 セキュリティ監査のページ にあります。

賢明な順序は、まずチェックリストを実施することです。何も見つからなかった場合でも、保険会社にそう伝える前に独立した見解がほしくなるでしょう。多く見つかった場合は、重大な項目を修正してから監査を受け、結果を第三者に記録してもらうのが良い流れです。

よくある質問

Microsoft 365 セキュリティ監査チェックリストには何が含まれますか

上記の 12 領域です。MFA の適用範囲、条件付きアクセス、特権ロールと緊急アクセス用アカウント、レガシー認証と SMTP AUTH、アプリの同意とエンタープライズアプリケーション、ゲストと外部共有、メールフローと転送、SPF/DKIM/DMARC、Defender for Office 365 のポリシー、監査ログとアラート、DLP と秘密度ラベル、デバイスとアプリの保護。これらは CIS Microsoft 365 Foundations Benchmark の領域と、Brocent のサンプルレポートの構成に対応しています。

このリストで Microsoft 365 テナントを監査するのにどれくらいかかりますか

50 名程度までのテナントなら、閲覧者ロールを持っていれば、すべての設定を読んで記録するのに午後の数時間です。手動確認の項目の点検、特権ロールを持つ人へのヒアリング、重大度と修正手順を付けた指摘事項の作成にはかなり長い時間がかかります。独立監査の納期が 5 営業日から 7 営業日とされているのはそのためです。

チェックリストの実施にグローバル管理者は必要ですか

必要ありません。グローバル閲覧者でこのページのほぼすべてを読み取れます。Defender と Purview のポータルはセキュリティ閲覧者で確認できます。グローバル管理者アカウントで監査するのは避けてください。最小権限でどこまで見えるかを確かめること自体が監査の一部です。

Office 365 セキュリティ監査と同じものですか

同じです。Office 365 はこのスイートの旧称で、テナント、Entra ID、Exchange Online、SharePoint は同じサービスです。チェックリストはそのまま適用できます。「Office 365 セキュリティ監査」で検索する方が求めているのは、まさにこの内容です。

どのバージョンの CIS ベンチマークに照らすべきですか

監査する時点で公開されている CIS Microsoft 365 Foundations Benchmark の最新版です。Brocent のサンプルレポートは v7.0.0 と明記しており、どの推奨事項を用いたか読者が分かるよう、すべてのレポートにバージョンを記載しています。どの提供者にもバージョンを明示するよう求めてください。

自分で行わない場合、Microsoft 365 セキュリティ監査の費用はいくらですか

Brocent の独立監査は人数に応じた固定料金です。1 名から 10 名は 450 米ドル、11 名から 25 名は 990 米ドル、26 名から 75 名は 1,800 米ドル、76 名から 150 名は 2,900 米ドル、それ以上は個別見積もりです。グローバル管理者が読み取り専用アプリケーションに同意してから 5 営業日から 7 営業日でレポートが届きます。料金表の全体と各バンドの内容は 監査の料金ページ に、背景は Microsoft 365 セキュリティ監査の費用 の記事にあります。

このチェックリストでサイバー保険や Cyber Essentials を通過できますか

チェックリストは、それらの質問票が尋ねる設定、特に MFA、管理者アカウント、レガシー認証、パッチ適用を見つけて修正する助けになります。このページも監査レポートも、認証を付与したり保険会社の判断を保証したりするものではありません。監査レポートはそうした場面で証拠として使えるよう設計されていますが、十分かどうかは評価者や保険会社の判断です。

次のステップ

12 の領域を自社のテナントに照らして確認し、メモを日付とともに残してください。第三者の目が必要なら、Brocent の独立監査は読み取り専用アプリケーションで同じ領域を読み取り、手動確認の項目を点検し、450 米ドルからの固定料金で 5 営業日から 7 営業日以内に格付け付きレポートを納品します。詳細は Microsoft 365 セキュリティ監査のページ を、納品物のイメージは サンプルレポート（英語ページ）をご覧ください。自社のテナントについてのご相談は コンサルタントにお問い合わせ ください。