Microsoft 365 セキュリティチェックリスト：優先順位つき15項目

要点： まずID関連から。全ユーザーのMFA、緊急アクセス用アカウント2つ、レガシー認証のブロック、管理者アカウントの分離です。次にメール保護を有効にし、Secure Scoreを確認し、監査ログが使えることを確かめます。最後に、設定がいつの間にか変わるのを防ぐ四半期ごとの点検を行います。各項目は「操作を1つ、確認場所を1つ、詳しい解説へのリンク」で構成しています。

Microsoft 365テナントを管理する方（情シス担当、管理者権限を持つ総務担当、運用保守の委託先）向けのチェックリストです。終えると、何が有効で何が無効か、何を判断すべきかが日付つきの記録として残ります。メニューのパスは2026年10月28日にMicrosoft Learnで確認しました。Microsoftはメニューをよく変更するため、パスが合わない場合はポータル内で設定名を検索してください。

今週：ID

1. 全ユーザーでMFAを有効にする。 条件付きアクセスのポリシーがなければ「セキュリティの既定値群（security defaults）」を、あれば条件付きアクセスを使います。セキュリティの既定値群の場所は Microsoft Entra admin center > Entra ID > Overview > Properties > Manage security defaults です。詳しい手順はMicrosoft 365でMFAを有効にする方法を参照してください。
2. 緊急アクセス用アカウントを2つ作る。 Microsoftは、Global Administratorロールを持つクラウド専用アカウントを2つ以上用意し、パスキー（FIDO2）で認証し、サインインをブロック・制限する条件付きアクセスから除外することを推奨しています。ポリシーを作る前に用意してください。締め出されてからでは遅いためです。条件付きアクセスの基本ポリシーを参照してください。
3. レガシー認証をブロックする。 IMAP、POP3、SMTPの基本認証などの古いプロトコルはMFAに対応できず、攻撃者に回避される原因になります。セキュリティの既定値群は、これらをブロックします。条件付きアクセスの場合は、Exchange ActiveSync clientsとOther clientsを条件にしてアクセスをブロックするポリシーを作り、まずReport-onlyで動かします。まだ使っているものは Microsoft Entra admin center > Entra ID > Monitoring & health > Sign-in logs で、Client Appで絞り込んで確認し、User sign-ins (non-interactive) タブでも同じ絞り込みを行います。
4. 管理者アカウントを分ける。 管理作業用のアカウントと、日常のメール用のアカウントを別にします。Microsoftもセキュリティの既定値群の解説で同じことを勧めています。
5. 条件付きアクセスの基本ポリシーを展開する。 Report-onlyで始めてから有効にします。最初の6本は条件付きアクセスの基本ポリシーにあります。

今月：メール、可視化、ライセンス

1. メールに事前設定のセキュリティポリシーを適用する。 Microsoft Defenderポータルで Email & collaboration > Policies & rules > Threat policies > Preset Security Policies を開きます。初回はStandard protectionとStrict protectionがオフになっていることが多いので、どちらかをユーザーに割り当てます。設定の詳細はExchange Online Protectionの設定にあります。
2. 送信ドメインごとにSPF、DKIM、DMARCを設定する。 手順は同じExchange Online Protectionの解説にあります。
3. Defender for Office 365を使うか決める。 ライセンスにPlan 1かPlan 2が含まれているなら機能を有効にします。なければ必要かを検討します。Defender for Office 365 Plan 1とPlan 2の違いを参照してください。
4. Secure Scoreを確認する。 Microsoft Defenderポータルの security.microsoft.com/securescore を開き、推奨アクションと、それぞれのポイントを確認します。推奨アクション1件あたり最大10ポイントです。直す順番と限界はMicrosoft Secure Scoreを上げる方法、CISやScubaGearとの違いはSecure Score・CIS Benchmark・ScubaGearの比較を参照してください。
5. 払っているのに有効にしていない機能を洗い出す。 保有ライセンス（E3、E5、EMS）と実際に使っている機能を突き合わせます。Microsoft 365 E3・E5・EMSのセキュリティ機能を参照してください。
6. 監査ログが使えることを確認する。 Microsoftによると、Audit (Standard) は既定で有効で、記録は180日間保持されます。Microsoft Purviewポータルの監査ログ検索ツールで直近1日分を検索し、結果が出ることを確かめます。検索には自分のアカウントに権限が必要です。
7. 暗号化メールの送り方を押さえる。 取引先の情報を扱う社員は手順を知っておくべきです。Outlookで暗号化メールを送る方法を参照してください。

今四半期：設定の劣化を防ぐ

1. 緊急アクセス用アカウントを90日に1回以上テストする。 Microsoftの案内では、少なくとも90日ごとと、IT担当者の異動後に検証します。各アカウントでサインインでき、使用時のアラートが発報されることを確認します。
2. Defenderポータルを毎週見る。 見る場所は5つ、所要15分です。Microsoft Defenderポータルガイドを参照してください。
3. 第三者の確認を受ける。 担当者には見えなくなっている問題を、別の目が見つけます。確認の範囲と見積もりの考え方はMicrosoft 365セキュリティ監査の費用を参照してください。

よくある間違い

1. 条件付きアクセスがあるのにセキュリティの既定値群も有効のままにする。 両者は二者択一です。MicrosoftはEntra ID P1/P2を持つ組織には条件付きアクセスのほうが適していると述べており、ポリシーに置き換える前にセキュリティの既定値群を無効にする必要があります。
2. 緊急アクセス用アカウントなしで条件付きアクセスを作る。 誤ったポリシー1本で全管理者が締め出されることがあります。
3. Secure Scoreを合格点のように扱う。 Microsoftは、推奨される対策をどれだけ使っているかを示すもので、侵害されやすさを示すものではないと説明しています。
4. 確認せずにレガシー認証をブロックする。 スキャナー、複合機、古いメールクライアントが使えなくなることがあります。Report-onlyで1週間サインインログを見ましょう。
5. 一度チェックして終わりにする。 13〜15番はカレンダーに入れます。

効果の確認方法

1. Sign-in logsでテストユーザーのサインインを開き、MFAが要求されたことを確認します。
2. プライベートウィンドウでテストユーザーとしてサインインし、MFAの画面が出ることを確認します。
3. Secure Scoreを開き、スコアと日付を記録して、翌月に比較します。
4. 各点検の日付を簡単な一覧に残します。確認者はこの一覧を求めます。

FAQ

Microsoft 365のセキュリティチェックリストとは何ですか？

Microsoft 365テナントでアカウント乗っ取りやメール攻撃の可能性を下げるための設定を、順番に並べ、確認場所を添えたものです。上のリストはIDを最優先にしています。ほかの対策の多くがIDに依存するためです。

Microsoft 365のセキュリティのベストプラクティスは何ですか？

全ユーザーのMFA、緊急アクセス用アカウント、レガシー認証のブロック、管理者アカウントの分離、メール保護ポリシー、監査ログ、定期的な見直しが中心です。いずれも上の項目に入っています。

Office 365のセキュリティとMicrosoft 365のセキュリティは同じですか？

Office 365はMicrosoft 365の一部です。このチェックリストの設定の多くはどちらの呼び方でも当てはまりますが、使える機能は保有ライセンスで決まります。

Microsoft 365のセキュリティ設定はどのくらいの頻度で見直しますか？

Defenderポータルは毎週、Secure Scoreは毎月、緊急アクセス用アカウントは90日に1回以上です。IT担当者やライセンスが変わったときは全体を見直します。

条件付きアクセスは必要ですか。セキュリティの既定値群で足りますか？

セキュリティの既定値群は追加ライセンスなしで使え、決まった保護が入ります。Entra ID P1/P2があり、例外設定や細かな制御が必要なら条件付きアクセスが向いています。

この15項目をお客様のテナントに照らして確認し、報告書にまとめる作業をご希望の場合は、Microsoft 365セキュリティ監査をご覧ください。

2026年10月28日にMicrosoft Learnで確認：セキュリティの既定値群、Microsoft Secure Score、緊急アクセス用アカウント、レガシー認証のブロック、Microsoft Purviewの監査、事前設定のセキュリティポリシー。