無償スキャンが見つけた二十の穴：香港の非営利団体のMicrosoft 365セキュリティ監査

要点： 香港のある非営利団体は、「セキュリティはMicrosoftが見ている」という理由で、Microsoft 365 は初期状態から安全だと考えていた。無償のクイックセキュリティチェック——Secure Score のレビュー、ScubaGear ベースライン、1時間のウォークスルー——は、午後のうちにおよそ20件の指摘を洗い出した。どれもMicrosoftの落ち度ではない。すべて、誰も一度も見ていなかった設定である。

この分野：誰もレビューしたことのないテナントの上で、組織全体が動いている

香港の非営利団体、慈善団体、業界団体が Microsoft 365 を使う様子は、小規模企業とおおむね同じである。ただし一点、重要な違いがある。背後にあるIT体制がさらに乏しいことだ。

20〜40名の協会であれば、典型的には運営マネージャーが一人いて、「IT」を、会員管理、イベント運営、ウェブサイト、会計システムと並べて担当している。IT部門はなく、外部のITプロバイダーとリテイナー契約を結んでいないことも多い。いるのは、何年も前にテナントを構築した誰か——ボランティアかもしれないし、理事の知人かもしれないし、すでに退職した職員かもしれない。

そのテナントが抱えているものは軽くない。会員および寄付者の記録。数十年分にわたることもある。受益者情報——社会福祉団体にとっては、これ以上ないほど機微なデータである。助成金申請と助成元との往復書簡。給与と人事のファイル。理事会資料。写真と同意書。取引先および団体自身の口座情報。しかも協会は委員会と入れ替わるボランティアで動くため、こうした資料は長い年月をかけて多数のアカウントへ共有され、再共有され、委譲されてきている。

そしてそのすべてを静かに支えている前提がある。*Microsoftは大きく真面目な会社で、我々は対価を払っている。だからこれは対処済みのはずだ。*

この前提は半分正しい。Microsoftは確かにプラットフォームを運営しており、しかも上手に運営している——データセンター、サービス自体のパッチ適用、可用性。しかし自社テナントがどう構成されているかは、線のこちら側、つまり利用者側の領分である。そして現在の構成は、初日にそう構成されたもの、プラス以後に誰かが変更したもの、である。Microsoftの誰も、あなたの管理者ロールや共有の既定値をレビューしてはいない。「うちは Microsoft 365 を使っている」と「うちの Microsoft 365 テナントは安全に構成されている」の間にあるこの落差こそが、本稿の主題そのものである。

シナリオ：1時間足らずで20件の指摘

以下は特定の実在団体ではなく、この規模の組織が実際にどう動くかに基づいて構成した複合的なシナリオである。

香港のある非営利団体は職員およそ30名、Microsoft 365 を6年間使っている。導入したのはコンサルタントで、メールボックスの移行はきちんとやり遂げ、そしてごく当然に、その委託は終了した。以後、団体は成長し、大きなプログラムを4つか5つ回し、インターンや有期のプロジェクト職員を次々に迎えては送り出し、事務局長も一度交代している。

運営マネージャーは、無償のセキュリティチェックの案内を受け入れる。理由は——のちに彼女自身が認めるように——主として無償であり、調達手続きが不要だったからである。読み取り専用のアクセスを付与するのに約15分。1時間のウォークスルーは翌週に設定された。

戻ってきたレポートには、およそ20件の指摘が並んでいた。どれ一つとして風変わりなものはない。全体として、それは6年分のごく普通の組織的ドリフトの肖像である。

多要素認証は一部のアカウントで有効になっているが、全アカウントに強制されてはいない。そして未適用のアカウントの中に、管理者権限を持つものが二つある。30名の組織に全体管理者が5名おり、うち3名は何年も前に単発の作業のためにロールを付与された人物である。共有メールボックスがサインイン可能なまま、パスワードは一度も更新されていない。複数のSharePointサイトと数十のファイルが、2023年の助成元レビューのために作られた「リンクを知っている全員」の期限なしリンクで共有されている。パートナー団体のゲストアカウントが、2つのプログラムを経てもなお有効である。最新のサインイン制御を迂回するレガシー認証プロトコルが依然として許可されている。条件付きアクセスのポリシーは一つも存在しない。メールボックス監査は既定で有効だが誰も見たことがなく、異常が起きても人間に届くアラートは存在しない。退職した職員のアカウントは適切にライセンス解除されず共有メールボックスへ変換されており、いまも2つのチームサイトに権限を持っている。

運営マネージャーの反応はよくあるもので、二つの部分からなる。前半は警戒。後半のほうが有益で、それは安堵である——なぜなら、ここに並んでいるものはすべて「設定」であり、設定は変えられるからだ。このリストのどれ一つとして、新しいソフトウェアも、新しい予算も、プロジェクトも必要としない。必要なのは、誰かが一度見て、そのうえで何から直すかを決めることだけである。

そこにこそ、この作業の価値のすべてがある。この団体は、目を背けていたセキュリティ上の問題を抱えていたのではない。見ることのできないセキュリティ態勢を抱えていたのである。

「既定で安全だと思っていた」ことの実際のコスト

何かがそれを視界へ引きずり出すまで、この落差は不可視である。 監視もアラートも定期レビューもないということは、問題の最初の兆候が問題そのものになるということだ——寄付者が実在する職員アドレスから不正な支払い依頼を受け取るとか、助成元のデューデリジェンス質問票が届いて、団体が答えられない設問が並んでいるとか。

過剰共有は、誰も意図しなかった失敗である。 上のリストの指摘のほぼすべては、親切な誰かが、実在する問題を、素早く解決した結果として生まれている。助成元とフォルダを共有する。コンサルタントに管理者権限を渡して直してもらう。引き継ぎを円滑にするため退職者のメールボックスを開けたままにする。それぞれの判断はその時点では筋が通っていた。ただ、どれ一つ見直されなかった。見直す仕組みが存在しなかったからである。

非営利団体は、高度でない攻撃にとって魅力的な標的である。まさに近づきやすく見えるからだ。 脅威が高度であることはまれである。乗っ取られたメールボックスを使って寄付や取引先への支払いの振込先を書き換える。あるいは事務局長から来たように見える説得力のあるメッセージを経理担当へ送る。これらの攻撃が依存しているのは、弱いサインイン制御と、誰も見ていないことであって、技術的な高度さではない。

助成元や企業パートナーが尋ねる場面は増えている。 助成契約や企業パートナーシップのデューデリジェンスには、データの取り扱いとアクセス制御に関する設問が日常的に含まれるようになった。答えられない団体がその場で却下されることは通常ない。ただ、サイクルごとに手続きが少しずつ難しくなり、その理由が説明されることはめったにない。

個人データに関する責任は、人数に応じて縮まらない。 香港で会員・寄付者・受益者のデータを保持する非営利団体は、はるかに大きな組織と同じ責任をそのデータに対して負う。個別の状況で「合理的な措置」が何を意味するかは、貴団体自身の助言者に判断を委ねるべき問いである。しかし実務上の出発点はどこでも同じだ。構成を一度も検分したことのないシステムの中で、データを保護していると示すことはできない。

Brocentの見解：無償チェックの価値は、それが本当に無償で、本当に速いことにある

Brocentは2007年に北京で事業を始め、以来アジア各地でIT運用を担ってきた。2016年から香港に拠点を置き、2021年からはグループ本社をシンガポールに構えている。「Microsoft 365 の構成を最後にレビューしたのはいつですか」という問いに、最初の正直な答えが「一度もない」である組織を、数多く見てきた。

そこから学んだのは、あまり格好のよくないことである。難しいのは評価そのものではなく、誰かに着手させることのほうだ。有償の監査は——たとえ良心的な価格であっても——意思決定のゲートを作る。問題があるかどうか分からない段階で、誰かがその支出を正当化しなければならない。つまり、深刻な指摘が出る可能性が最も高い組織ほど、最も見に行かない。予算が最も少なく、確信も最も乏しいからである。

だからクイックセキュリティチェックは、150ユーザーまでのチームに対して無償であり、カード登録もスコーピング通話も不要である。これは試用版でも簡易版でもない。実際の評価である。Microsoft Secure Score のレビュー、CISAのオープンソースツール ScubaGear による自動ベースラインチェック、MFAと条件付きアクセスのクイックチェック、優先順位づけされた上位20件の指摘、そしてエンジニアが各指摘を平易な言葉で説明する1時間のウォークスルー。

その限界についても同じくらい率直であるべきだ。無償の評価を過大に売り込めば、無償で提供する意味そのものが失われる。クイックセキュリティチェックは態勢チェックであって、監査グレードのレポートではない。Microsoft の Secure Score が読めるのはAPIが露出している設定だけであり、監査人もサイバー保険会社もそれを正式な評価とは認めない。自動化ツールにはそもそも見えない統制も存在する——ブレークグラス（緊急アクセス）アカウントが存在し適切に保護されているか、Entra の管理者ロールが実際にどう制限されているか、Teams の外部アプリポリシーが何を許可しているか、Power BI の共有がどう統治されているか。これらを検査するには完全な CIS Microsoft 365 Benchmark が必要で、それは別の有償案件である。

多くの非営利団体にとって、この線引きはきれいに解決する。一度も見ていないのであれば、無償チェックは十分な量を見つけるし、見つかったものを直すところにこそ効果がある。監査グレードのレポートが重要になるのは、外部の誰か——助成元、監査人、保険会社——が証拠を必要とするときであって、何から直すかを見極めようとしているときではない。

実務ではどう見えるか

アクセス付与は約15分、しかも読み取り専用。 テナントへ読み取り同意を付与する。準備はそれだけである。エージェントの導入はなく、設定の変更もなく、評価中に何かが書き換えられることもない。

Secure Score のレビューが、現在地に数値を与える。 Microsoft自身のスコアリングがベースラインを与え、さらに有用なことに、あとで測るための推移線を与える。それが目的地ではないが、関係者全員が理解できる出発座標にはなる。

ScubaGear ベースラインチェックは独立した基準で走る。 ScubaGear はCISAのオープンソース Microsoft 365 ベースラインツールであり、ベンダーの見解ではなく、公開された外部の期待値の集合である。これを走らせるということは、指摘が「自分で読みに行ける何か」に照らして測られているということだ。

MFAと条件付きアクセスは名指しで確認される。 実務上、この規模の組織で最も深刻度の高い指摘はたいていここにある。MFAが強制されていないアカウント、その中に混じる管理者アカウント、依然として許可されているレガシー認証、そしてサインインがどこから・どのように許されるかを統べる条件付きアクセスポリシーの不在。

受け取るのは優先順位づけされた上位20件であって、生の一覧ではない。 これは聞こえる以上に重要である。ツールは何百もの観測項目を生成できるが、ITに週4時間しか割けない運営マネージャーにとってそれは役に立たない。リストは「最も速くリスクを下げるもの」の順に並んでいる。

1時間のウォークスルーが、各指摘を平易な言葉で説明する。 それが何を意味するか、何が起こり得るか、直すのにどれくらいの手間か、後回しにできるか。この会話に義務は付随せず、そして多くの団体が最も価値があったと言うのがこの部分である。理解できていない指摘は、行動に移されない指摘だからだ。

その後にさらに深さが必要になった場合、道筋は暗示ではなく明示されている。CISベンチマーク監査は、Entra ID、Defender、Purview、Exchange Online、SharePoint、Teams にわたる CIS Microsoft 365 Benchmark のレベル1と2を完全にカバーし——Secure Score には見えない手動統制を含めて——監査人・保険会社が受け入れられる証拠パックを、優先順位づけされた是正ロードマップと工数見積もりとともに、固定価格2,500〜4,500米ドルで提供する。その先には、Secure Score 80+ への伴走型是正とポリシー強化を加えるハードニング＆コンプライアンスがあり、テナントごとの個別見積もりとなる。この規模の非営利団体の多くは、どちらもすぐには必要としない。知っておく価値があるのは、それらが存在すること、そして価格がいくらかである——誰かが「M365のレビューは五桁のコンサルティング案件です」と言ってくる前に。

組織が Microsoft 365 のセキュリティを扱う三つの方法

既定値が安全だと仮定する

• 理由： 「Microsoftだから、セキュリティは向こうが見ている。」
• コスト： ゼロ。そして圧倒的に最も一般的な状態である。
• 得られるもの： 初日にテナントが構成された内容と、以後に権限を持つ誰かが行ったすべての変更。どれもレビューされていない。共有リンク、ゲストアカウント、管理者ロールが静かに積み上がる。
• 本当の問題： これは「少量の保護」ではなく「不明な量の保護」であり、そして肝心な瞬間において、不明はゼロと同じ振る舞いをする。

有償の第三者セキュリティ監査

• 内容： 認められたベンチマークに照らした包括的な評価で、証拠グレードの文書を生成する。
• 得られるもの： 手動統制を含む完全なカバレッジ、監査人・助成元・保険会社に出せる説明可能なレポート、そして是正ロードマップ。
• コスト： 実費が発生する。そして非営利団体にとってより制約的なのは、問題があるかどうか誰も知らない段階で、その支出を正当化しなければならないことである。
• 適する場面： 外部の誰かが証拠を必要とするとき、あるいは無償チェックがすでに十分な量を明らかにし、深掘りする価値があると分かったとき。

スコア付きの無償チェックと優先順位レポート

• 内容： Secure Score レビュー、ScubaGear ベースライン、MFAと条件付きアクセスのチェック、上位20件の指摘リスト、1時間のウォークスルー——150ユーザーまでのチームに無償、スコーピング通話不要。
• 得られるもの： 現在の態勢の実像、何から直すかの順序づけられたリスト、各項目の説明。費用なし、義務なし。
• 得られないもの： 完全なCISベンチマーク監査が持つ手動統制のカバレッジと、証拠グレードの文書。
• 適する場面： 誰もテナントをレビューしたことがないとき——そしてそれが、多くの非営利団体や協会が実際にいる位置である。

よくある質問

本当に無償ですか

クイックセキュリティチェックは150ユーザーまでのチームに無償で、カード登録もスコーピング通話も不要です。実際のスコア付きレポートを生成する本物の評価であり、サンプルでも簡易版でもありません。有償ティア——固定価格2,500〜4,500米ドルのCISベンチマーク監査、およびテナント単位で見積もるハードニング＆コンプライアンス——は、監査グレードの証拠や伴走型の是正を必要とする組織のためにあり、いずれも問い合わせて初めて出てくる見積もりではなく公開価格です。

1時間のウォークスルーでは何をしますか

エンジニアが優先順位順に指摘をたどり、各項目について、その設定がいま何をしているか、それによって何が起こり得るか、変更にどれくらいの作業が要るか、緊急なのか後回しにできるのかを説明します。プレゼンテーションではなく会話です。実際に有益な部分の多くは、「この指摘はうちの実際の運営にとって何を意味するのか」とお尋ねいただくところにあります。レポートはいずれにせよお手元に残り、義務は付随しません。

Brocentに恒久的な管理者権限を渡す必要がありますか

いいえ。評価はテナントへの読み取り専用同意を用います。付与するのはお客様であり、いつでも取り消せます。何も導入せず、評価中に何も変更せず、管理者権限も不要です。指摘の修正をのちに当社へご依頼いただく場合は、それは別の会話であり、必要なアクセスもその際に個別に合意します。

監査にはどのくらい時間がかかりますか

読み取りアクセスの付与に約15分。自動処理の部分——Secure Score レビューと ScubaGear ベースライン——はその後すぐに終わり、ウォークスルーは予定された1時間です。お客様側の総所要時間は2時間を大きく下回ります。これは意図的な設計です。この評価は「余力のある人が誰もいない」組織のために作られており、そうした組織こそ、一度もやったことがない可能性が最も高いからです。

監査で重大な問題が見つかったらどうなりますか

予定されたウォークスルーを待たず、直ちにお知らせします。実務上「重大」とは通常、保護されていない管理者アカウント、実際の権限を持ったまま有効なゲストまたは退職者のアカウント、あるいは広く共有すべきでない資料が広く共有されている状態を指します。いずれも当日中に変更できる設定です。当社がしないのは、重大な問題を見つけて、それを提案書の裏に人質として置いておくことです。当社にご依頼いただくかどうかに関係なく、指摘とその直し方の平易な説明をお渡しします。

これは継続的なセキュリティ管理の代わりになりますか

なりません。この点は明確にしておく価値があります。時点チェックが教えるのは、テナントが今日どう構成されているかです。来月誰かが作る共有リンク、MFAに登録されないまま入る新入職員、春にプロジェクトのために追加されるゲストアカウントについては何も教えません。構成は継続的にドリフトします。だからこそこのチェックは当社のマネージドプログラムの中で年次に再実施され、だからこそ継続的な監視は単発の評価ではなく管理型ITプランに属します。

IT担当のいない小規模な非営利団体にも向いていますか

まさにそのケースのために設計されています。技術的な準備も、調達手続きも、社内の専門知識も不要です。読み取りアクセスを付与していただければ、結果は平易な言葉で説明します。優先順位づけをしているのは、レポートを受け取るのがたいていエンジニアではなく、ITに週数時間しか割けない運営マネージャーだからです。貴団体がその状態にあるなら、あなたは例外ケースではなく、想定読者そのものです。

このチェックの位置づけ：まず一度見る、そして見続ける誰かを置く

無償の評価は良い第一歩であり、悪い目的地である。20件の指摘は、今日どこに立っているかを教える。しかし来四半期に作られる共有リンクも、MFA登録のないまま入職する新人も、退職した事業担当のアクセスが本人より18か月長く生き残ることも、止めはしない。実際の病理は構成のドリフトであり、時点チェックはその写真にすぎない。

このループを閉じるのは、テナントを継続的に所有する誰かである——MFAと条件付きアクセスを意図ではなくポリシーとして強制し、入社・退職の手続きを回してアクセスが雇用と同時に始まり終わるようにし、ドリフトを監視し、何かが起きてからではなく決められた周期で態勢をレビューする。それが管理型ITプランである。指名されたチーム、職員が実際に到達できるサービスデスク、Microsoft 365 環境をカバーする管理型クラウドサービス、そして一度きりではなく繰り返されるセキュリティレビュー。当社のプランはユーザー単位・市場別に価格が設定され、料金ページで公開されているため、30名の非営利団体にとって予算の議論は探索作業ではなく算数になる。

とはいえ、賢明な順序は今日プランを購入することではない。まず見ることである。無償のMicrosoft 365 セキュリティチェックを受け、6年分のごく普通のドリフトが実際に何を残したのかを知り、上位いくつかの指摘を直す——その多くは費用ではなく午後一回で済む。そのうえで、不安ではなく証拠に基づいて、貴団体に継続的な監視が必要かどうかを判断すればよい。そこから始めたい場合は、お問い合わせいただければ読み取りアクセスとウォークスルーを手配する。