Microsoft 365 の監査ログは有効？保存期間は？ライセンス別セルフチェック

要点： Microsoft 365 の監査ログの保存期間は、Audit (Standard) で180日です。E5 レベルのライセンスを持つユーザーの Exchange、SharePoint、OneDrive、Entra の記録は、Audit (Premium) の既定で1年間保存されます。企業向けプランの多くでは監査が既定で有効ですが、Business Basic、Business Standard、Business Premium では既定で無効のため、管理者が有効にする必要があります。PowerShell のコマンド1つでどちらの状態か分かるので、遡って調べる可能性のある期間と照らし合わせてください。

監査ログの設定に気づくのは、たいてい最悪のタイミングです。不審なサインインや、誰も作っていないメールボックスのルールが見つかり、「いつ、何があったのか」と聞かれたときです。監査が一度も有効になっていなければ、検索できるものは何もありません。有効でも保存が180日で、出来事が7か月前なら、証拠はすでに期限切れです。

本記事は約30分でできるセルフチェックです。Microsoft 365 の統合監査ログが有効かどうか、ライセンス別の保存期間、別管理でずっと短い Entra ID のサインインログ、そして期間が足りない場合の対処を扱います。保存期間の数値は2026年11月5日に Microsoft Learn で確認しました。Microsoft は数値を見直すことがあるため、各節に根拠のページを明記しています。

自社のテナントで Microsoft 365 の監査ログは有効ですか？

必ずしも有効ではなく、ライセンスによります。Microsoft によると、Microsoft 365 の組織では監査ログは既定で有効ですが、Business Basic、Business Standard、Business Premium などの中小企業向けライセンスでは既定では有効になっていません。企業向けライセンスの無料試用で作られた管理外テナントも同様で、管理者が手動で有効にする必要があります。

Business Premium は中小規模の会社でよく選ばれるため、小規模な組織には重要な点です。該当する場合は、確認するまで有効だと思い込まないでください。

確認するには、Exchange Online PowerShell（Security & Compliance PowerShell ではありません）に接続し、次を実行します。

Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled

True なら監査は有効、False なら無効です。Microsoft は、同じコマンドを Security & Compliance PowerShell で実行すると、監査が有効でも常に False になると注意しています。違うセッションで実行して、存在しない問題を調べることのないようにしてください。

False の場合は、Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true を実行するか、Microsoft Purview ポータルの「監査」ページで、ユーザーと管理者のアクティビティの記録を開始するバナーを選択します。Microsoft によると反映までに最大60分、検索できるようになるまで数時間かかることがあります。遡っての記録はされないため、無効のままの日数だけ、後から調べられない日が増えます。

設定の変更には Exchange Online の「Audit Logs」ロールが必要です。既定では Compliance Management と Organization Management のロールグループが持っています。

Microsoft 365 の監査記録はどのくらい保存されますか？

保存期間は記録が書き込まれる時点で決まり、操作を行ったユーザーのライセンスに従います。Microsoft Purview のドキュメントによる整理は次のとおりです。

• Audit (Standard)：180日。 2023年10月17日以降に生成された記録は180日、それ以前は90日でした。E5 レベルのライセンスを持たないユーザーとゲストユーザーの基本です。
• Audit (Premium) の既定ポリシー：4つのワークロードは1年。 Microsoft Entra、Exchange、OneDrive、SharePoint の監査記録が1年保存されます。このポリシーは変更できず、Microsoft 365 E5 または Office 365 E5、あるいは Microsoft Purview Suite や E5 eDiscovery and Audit アドオンを持つユーザーの操作に適用されます。
• Audit (Premium) のその他の記録：既定で180日。 Teams などは、カスタム保持ポリシーを作成しない限り180日です。
• アドオンで最長10年。 あるユーザーの記録を10年保存するには、E5 レベルのライセンスに加えて、10年間の監査ログ保持アドオンが必要です。遡及はされず、ポリシー作成前の記録は保持できません。
• ユーザー以外のアクティビティ：1年固定。 サービスプリンシパルの操作、システムイベント、アプリケーションのアクティビティは1年固定で、変更できません。

見落とされがちな点があります。保存期間は検索する人ではなく、*記録を生成したユーザー*に従います。E5 が数名で大半が Business Premium のテナントなら、一部の人は1年分、残りは180日分の履歴になります。また Microsoft は、ライセンスを変更するとそれ以降のデータの有効期限が変わるものの、すでに書き込まれた項目には影響しないとしています。

ライセンス別ではどうなりますか？

実務上の目安として使い、実際の割り当ては Microsoft 365 管理センターで確認してください。

Business Basic、Business Standard、Business Premium

監査は既定で無効なので、最初に確認します。有効にすれば Audit (Standard) の記録が180日分得られます。監査ログの保持ポリシーは Audit (Premium) の機能のため、この階層にはありません。

Microsoft 365 E3 と Office 365 E3

Audit (Standard) が既定で有効で、保存は180日です。多くの中規模テナントがここに該当します。保険会社や調査で過去12か月を問われた場合、検索できる履歴は180日が上限です。

Microsoft 365 E5、Office 365 E5、または E5 Compliance / Purview Suite / eDiscovery and Audit アドオン

ライセンスを割り当てたユーザーに Audit (Premium) が適用されます。Exchange、SharePoint、OneDrive、Entra の記録は既定で1年、その他は180日で、カスタム保持ポリシーで延長できます。カスタムの監査ログ保持ポリシーは最大50件、作成には Purview ポータルの「Organization Configuration」ロールが必要です。

カスタムポリシーは既定を上書きします。短くする方向にも働きます。Microsoft の例では、Exchange メールボックスのアクティビティに1年より短いポリシーを作ると、その記録の保存は短くなります。1年あると考える前に、既存のポリシーを確認してください。

Entra ID のサインインログも同じものですか？

違います。ここが2つ目の落とし穴です。Microsoft Entra の監査ログとサインインログは、Microsoft 365 の統合監査ログとは別物で、保存期間は Purview Audit ではなく Entra ID のエディションで決まります。Microsoft Learn（2026年11月5日確認）では次のとおりです。

• Entra ID Free： 監査ログとサインインログは7日。
• Entra ID P1 と P2： 監査ログとサインインログは30日。
• リスクのあるサインイン： Free は7日、P1 は30日、P2 は90日。
• Microsoft Graph アクティビティログ： ストレージや分析ツールに送らない限り保持されません。

Business Premium には Entra ID P1 が含まれるため、Entra 内のサインイン履歴は30日分です。来月になって不審なサインインに気づく場合には短すぎます。Microsoft によると、E5 レベルのライセンスを持つ組織は Audit (Premium) で Entra の監査ログを既定より長く保持でき、どの組織でも Azure Monitor 経由で Azure ストレージアカウントにエクスポートできます。

アカウント乗っ取りが疑われる場合の実務的な意味は単純です。詳細なサインインデータは30日分、監査アクティビティは180日または1年分ということがあり得ます。必要になる前に、どれがどれかを把握しておいてください。

実際の設定はどう確認しますか？

次の手順を順に行います。各手順は数分です。

1. 監査が有効か確認する。 上記の Get-AdminAuditLogConfig を Exchange Online PowerShell で実行し、結果と日付を記録します。
2. テスト検索をする。 Microsoft Purview ポータルで「監査」を開き、直近7日を指定して、自分のサインインや開いたファイルを検索します。結果が出なければ、監査が無効か、まだ検索できない状態です。
3. 最も古い記録を探す。 ツールが許す最大の範囲で1人のユーザーに絞り、最古の記録を確認します。1年分あるはずのユーザーの最古記録が約180日前なら、ライセンスかカスタムポリシーが期間を短くしています。
4. カスタム保持ポリシーを一覧する。 Security & Compliance PowerShell で Get-UnifiedAuditLogRetentionPolicy を実行します。Microsoft によると、このコマンドは既定ポリシーを返さないため、空の一覧は正常です。
5. ユーザーとライセンスを対応させる。 E5 レベルのライセンスを持つ人を控えます。管理者や役員などの特権アカウントは、履歴を長く残したい対象です。
6. Entra のエディションとログの出力先を確認する。 Entra 管理センターで Free、P1、P2 のどれか、サインインログと監査ログを長期保存のために別の場所へ送っているかを確認します。
7. 誰が検索できるか記録する。 監査検索には専用の権限が必要です。調査担当者が検索でき、誰も設定を無効にしていないことを確認してください。Microsoft によると、監査を無効にする操作自体も記録され、Search-UnifiedAuditLog -Operations Set-AdminAuditLogConfig で確認できます。

出力は保管してください。確認した日にテナントがどう構成されていたかを示す記録になります。

保存期間が短い場合は何を変えますか？

目標は、何に答える必要があるかで決まります。目安は、どこまで遡る可能性があるかを先に決め、そこに届く最も安い方法を探すことです。

• まず監査を有効にする。 有効にしなければ何も復元できません。既定で無効の SMB ライセンスでは、Microsoft の手順に従い、Purview ポータルまたは PowerShell コマンド1つで手動で有効にします。
• 期限前にエクスポートする。 Office 365 Management Activity API で記録を自社のストレージや SIEM に取り込めます。Microsoft はこれを既定の180日より長く保持する方法としています。Entra のログは Azure Monitor でストレージアカウントにアーカイブできます。
• 重要なユーザーだけ延長する。 カスタム保持ポリシーは、対象ユーザーに Audit (Premium) のライセンスが必要です。全員ではなく、管理者、経理、役員のアカウントなど少数で足りることが多くあります。
• 10年アドオンは慎重に。 ユーザー単位で、規制、法務、契約上の期間が求められる場合にだけ価値があります。必要だと決めつけないでください。
• ポリシー一覧を見直す。 既定を黙って短くしているカスタムポリシーは、削除または修正します。

より長い期間が「必須」かどうかは、保険会社、監査人、法務アドバイザーに確認する事項で、本記事の範囲ではありません。本記事が提供するのは、何が有効で、何が、どのくらい保存されるかという事実の土台です。

Microsoft 365 セキュリティ監査とどう関係しますか？

監査ログの状態と保存期間は、構成監査で確認する項目の1つです。インシデント後にどんな証拠が残るかを左右するため、メール転送、認証、共有の設定と並んで発見事項になります。Brocent の Microsoft 365 セキュリティ監査では、構成のみを読み取ります。監査が有効か、どの保存期間が適用されるかを確認し、メールや文書の内容は読み取りません。発見事項の見せ方はサンプルレポート（英語ページ）、確認するその他の領域はセキュリティ監査チェックリストをご覧ください。

保険の質問票でも重要です。サイバー保険の書式には「管理者のアクティビティを記録し、一定期間ログを保管していますか」という質問がよくあります。回答は記憶ではなく、上記の確認結果に基づいてください。証跡の集め方はサイバー保険の質問票の裏付けとなる Microsoft 365 の証跡にまとめています。

よくある質問

Microsoft 365 の監査ログは既定で有効ですか？

企業向けテナントの多くでは有効です。Microsoft によると、Business Basic、Business Standard、Business Premium、および企業向けライセンスの無料試用の管理外テナントでは既定で有効ではありません。Exchange Online PowerShell で Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled を実行すると、自社の状態が分かります。

Microsoft 365 の監査ログはどのくらい保存されますか？

2023年10月17日以降の記録は、Audit (Standard) で180日です。Audit (Premium) と E5 レベルのライセンスがあれば、Exchange、SharePoint、OneDrive、Entra の記録は既定で1年、カスタムポリシーとアドオンライセンスで最長10年まで延ばせます。

Purview Audit の Standard と Premium の違いは？

Standard は検索、エクスポート、API アクセス、180日の保存を提供します。Premium は、4つのワークロードの既定1年保存、カスタム保持ポリシー、アドオンによる最長10年保存、インテリジェントな分析情報、より広い API 帯域を加え、Standard の機能をすべて含みます。

Business Premium のサインインログは1年残りますか？

残りません。Business Premium には Entra ID P1 が含まれ、Entra 内のサインインログと監査ログは30日です。Purview の監査記録は別のストアで、E5 以外のユーザーは180日です。長く残すにはログをエクスポートします。

監査を有効にする前の記録は復元できますか？

できません。監査は遡及しません。記録は有効にした時点からのみ存在し、保存期間を変更しても、すでに書き込まれた項目は延長されません。

Brocent の監査は、監査ログの中身を読みますか？

読み取り専用の Microsoft Graph アプリで構成を確認します。監査が有効か、保存期間がどう設定されているかも含まれます。メールや文書の内容は読み取りません。レポートは、一般的なサイバー保険の質問票や Cyber Essentials の質問に対する証跡として使えるよう設計されていますが、認証の付与や保証はしません。

次のステップ

今日、3つの確認をしてください。監査の状態、重要なユーザーの最古の記録、Entra のエディションです。結果と日付を控えます。この項目とテナントのそのほかの部分を第三者に確認してもらいたい場合は、Microsoft 365 セキュリティ監査の料金ページに人数別の固定価格があります。1～10名で450米ドルから、一回限り・税別で、読み取り専用アクセスの付与後5～7営業日でレポートを納品します。

確認結果について相談したい場合はお問い合わせください。あわせて、Microsoft 365 セキュリティ監査の費用と Microsoft 365 セキュリティチェックリストもご覧ください。