it-service@brocent.com
Microsoft 365 セキュリティ
2026年8月の対象期間における、テナントのセキュリティ態勢、条件付きアクセス、メール脅威対策、外部共有、データ保持、ライセンス利用状況。
ID統制は堅牢。共有と保持ポリシーには意思決定が必要
テナントのセキュアスコアは、達成可能な上限に対して74%に到達し、当期で8ポイント上昇しました。多要素認証の登録完了とレガシー認証プロトコルの遮断が主な要因です。条件付きアクセスは全従業員アカウントを対象に、デバイスのコンプライアンスと場所の条件を適用しており、ユーザー単位の除外は残っていません。
ガバナンス上のギャップ2件は、技術作業ではなくクライアント側の意思決定を要します。SharePointとOneDriveで11件のリンクが「リンクを知っている全員」に共有されており、うち4件は投資家向け資料を含むフォルダを指しています。またTeamsチャットには保持ポリシーが適用されておらず、チャットの証跡は自社が定めたスケジュールではなくプラットフォームの既定で削除されます。メール対策は当期に1,284件の悪意あるメッセージをブロックし、フィッシングのペイロードが配信された事実は確認されていません。
期末時点のテナント状況
セキュアスコアは、マイクロソフトの絶対上限ではなく、保有ライセンスで達成可能な最大値に対する割合で表しています。これにより期間比較が可能となり、自社が保有していない機能によってスコアが歪められることもありません。
対応が必要な4件
根拠。 SharePointとOneDriveに「リンクを知っている全員」形式のリンクが11件存在し、うち3件は当期に作成されたものです。4件はインベスターリレーションズサイト配下のフォルダを指し、11件のうち2件には有効期限がありません。
影響。 匿名リンクは転送可能で追跡できません。転送されたコピーを含め、URLを受け取った人は誰でも認証なしに内容を閲覧できます。投資家向け資料においては、機密保持と規制の両面でのエクスポージャーとなります。
推奨対応。 テナント全体で匿名リンクをマーケティングサイトのみに制限し、30日の有効期限を強制したうえで、投資家向けの4件は閲覧のみの実名外部ゲストへ切り替えます。
根拠。 メールボックスとSharePointには7年の保持ポリシーが適用されています。Teamsのチャットとチャネルメッセージには何も適用されておらず、プラットフォームの既定に従い、定められたスケジュールで保存されていません。
影響。 業務上の議論は、いまやメールと同じ頻度でチャット上で行われます。保持ポリシーがなければ、その経路について記録管理方針を示すことができず、紛争や規制当局の照会に対してチャットの証跡を確実に提出することもできません。
推奨対応。 メールと揃えて、Teamsのチャットとチャネルに7年の保持ポリシーを適用し、その決定を記録管理メモに残します。これは技術作業ではなく、保持期間についてのクライアントの意思決定を要します。
根拠。 受信トレイ規則2件が、選択したメッセージの写しを外部の会計事務所ドメインへ転送しています。いずれも2024年にクライアントの承認を得て作成されて以降、見直されておらず、テナント全体の自動転送ブロックにはこの2件の例外が設定されています。
影響。 外部転送は、アカウント侵害後の標準的な持ち出し経路です。常設の例外は、本来有効な統制を弱めるものであり、デューデリジェンスの定番の質問でもあります。
推奨対応。 両規則を、会計士が実名ゲストとしてアクセスする共有メールボックスへ置き換えたうえで、転送の例外を完全に削除します。
根拠。 ゲストID 9件が1つ以上のTeamsへのアクセス権を持ちます。うち3件は2026年5月以降サインインしていません。元監査人、担当が変わったファンドアドミニストレーターの連絡先、デザイン会社の連絡先です。
推奨対応。 休眠中の3件を削除し、四半期ごとのゲストアクセスレビューを有効化して、点検ではなくポリシーによって削除が行われるようにします。
最後まで依存していたスキャナーのワークフローを移行したうえで、2026-08-07に基本認証とレガシープロトコルによるアクセスを遮断しました。これにより7月の指摘事項がクローズし、184件のパスワードスプレー試行が認証に到達しなくなり、セキュアスコア改善のうち5ポイントに寄与しました。
5項目のサービスレベルすべて達成
| 約定サービスレベル | 目標 | 実績 | 判定 | 備考 |
|---|---|---|---|---|
| 条件付きアクセスの適用範囲 | 従業員の100% | 100% | MET | ユーザー単位の除外なし |
| セキュアスコア | 70%以上 | 74% | MET | 保有ライセンスの上限に対して |
| フィッシング報告のトリアージ | 4時間以内 | 平均1.1時間 | MET | 利用者からの報告14件を処理 |
| テナント構成変更の変更管理 | 100%記録 | 100% | MET | 変更7件、すべてチケット化 |
| 月次レポート発行 | 第5営業日まで | 第3営業日 | MET | 2026-09-03発行 |
3期間の推移
| 指標 | 2026年6月 | 2026年7月 | 2026年8月 | 推移の方向 |
|---|---|---|---|---|
| セキュアスコア | 61% | 66% | 74% | 上昇中。残るポイントはクライアントの方針決定が必要。 |
| ブロックした悪意あるメール | 998 | 1,172 | 1,284 | 業界全体のキャンペーンに伴い増加。ブロック率は維持。 |
| 利用者からのフィッシング報告 | 9 | 11 | 14 | 報告の増加は脅威ではなく良い兆候。 |
| 匿名共有リンク | 6 | 8 | 11 | 毎期増加 — テナント単位の制限が必要。 |
| 外部ゲスト | 12 | 11 | 9 | 休眠ゲストの削除に伴い減少。 |
| 保持ポリシー未適用のワークロード | 2 | 2 | 2 | 動きなし。Teamsチャットとチャネルは未適用のまま。 |
データと保持が最も弱い領域で、90%との差の大半を占めます。未解決の指摘2件はいずれもこの領域にあり、どちらもクライアントの判断事項です。
条件付きアクセスポリシー
| ポリシー | 対象 | 条件 | 制御 | 状態 | 除外 |
|---|---|---|---|---|---|
| 全ユーザーにMFAを要求 | 全従業員 | すべての場所 | MFA | 有効 | ブレークグラスのみ |
| レガシー認証をブロック | 全アカウント | レガシークライアント | ブロック | 有効 | なし |
| 準拠デバイスを要求 | 全従業員 | デスクトップ | コンプライアンス | 有効 | なし |
| 香港・中国以外からのサインインをブロック | 全従業員 | 名前付きの場所 | ブロック | 有効 | 出張の免除3件 |
| 管理者にMFAを要求 | 特権5件 | すべての場所 | MFA + PIM | 有効 | なし |
| 非管理端末のセッション制限 | 全従業員 | ブラウザのみ | ダウンロード禁止 | 有効 | なし |
| 高リスクサインインをブロック | 全従業員 | リスク = 高 | ブロック | レポートのみ | 強制適用は保留 |
高リスクサインインのポリシーは、正当な業務が阻害されないことを確認するため、意図的にもう1期間レポートのみモードとしています。強制適用は2026-09-15を予定しています。
メール脅威対策
| 区分 | 件数 | 配信 | 備考 |
|---|---|---|---|
| ブロックしたフィッシング | 742 | 0 | 大半はテナントのログイン画面を装った資格情報詐取ページ。 |
| ブロックしたマルウェア | 96 | 0 | すべて添付ファイル型。ゲートウェイで隔離。 |
| ブロックした迷惑・一括メール | 446 | — | 通常の量。誤検知の申告なし。 |
| なりすまし試行 | 18 | 2 | 確度の低い経営層なりすまし2件が受信トレイに到達。いずれも利用者が報告し1時間以内に削除。 |
| ブロックしたセーフリンクのクリック | 27 | — | 利用者がクリック。クリック時点でリンクを解析しブロック。 |
| 利用者が報告したメッセージ | 14 | — | 11件が悪意あり、3件は問題なし。平均トリアージ1.1時間。 |
共有・ゲスト・保持
| 項目 | 件数 | 状態 | 備考 |
|---|---|---|---|
| 匿名リンク — 投資家サイト | 4 | 要対応 | 閲覧のみの実名ゲストへ切り替え。 |
| 匿名リンク — その他サイト | 7 | 要確認 | 2件が期限なし。30日を既定として適用。 |
| 有効な外部ゲスト | 6 | 問題なし | ファンドアドミニストレーター、監査人、顧問弁護士、代理店2社。 |
| 休眠中の外部ゲスト | 3 | 削除推奨 | 2026年5月以降サインインなし。 |
| 保持 — メールとSharePoint | 7年 | 適用済み | 変更不可の保持。記録管理方針と一致。 |
| 保持 — Teamsチャットとチャネル | なし | ギャップ | プラットフォーム既定のみ — 指摘事項を参照。 |
| 有効なデータ損失防止ポリシー | 3 | 問題なし | 香港IDカード、銀行口座、パスポートのパターン。ブロック4件、上書きなし。 |
期をまたいで繰り越される未解決項目
| 番号 | リスク | 深刻度 | 担当 | 期限 | 状況 | 次のアクション |
|---|---|---|---|---|---|---|
| M365-R01 | 投資家向け資料の匿名共有 — 追跡できない閲覧アクセス | HIGH | クライアントIT + BCS | 2026-09-30 | 未着手 | テナント全体で匿名リンクを制限し、4件を実名ゲストへ切り替え。 |
| M365-R02 | Teamsチャットに保持ポリシーがない — 記録管理方針を示せない | HIGH | クライアントCOO | 2026-09-30 | 未着手 | クライアントが保持期間を確定。BCSがポリシーを適用。 |
| M365-R03 | 常設の外部転送の例外 — 持ち出し統制を弱める | MEDIUM | BCS Support Center | 2026-10-31 | 未着手 | 共有メールボックスへのゲストアクセスに置き換え、例外を削除。 |
| M365-R04 | 高リスクサインインのポリシーが未強制 — レポートのみモード | MEDIUM | BCS Support Center | 2026-09-15 | 対応中 | 最終のレポートのみレビュー後、強制適用へ切り替え。 |
| M365-R05 | ゲストアクセスのレビュー周期がない — 削除が点検頼み | LOW | BCS Support Center | 2026-10-31 | 未着手 | 運用リードを承認者として四半期ゲストレビューを有効化。 |
次期のコミットメント
| BCS Support Center の対応 | クライアントへのお願い |
|---|---|
| 匿名リンクを制限し、30日の有効期限を既定として適用する。 | Teamsのチャットとチャネルメッセージの保持期間を確定する。 |
| 2026-09-15に高リスクサインインのポリシーを強制適用する。 | 投資家向けリンク4件を実名ゲストアクセスへ切り替えることを承認する。 |
| 休眠ゲスト3件を削除し、四半期のゲストレビューを有効化する。 | 会計士がメッセージの写しを引き続き必要としているか確認する。 |
| 毎期、保有ライセンス上限に対する統制領域別のセキュアスコアを報告する。 | 四半期ゲストアクセスレビューの承認者を指名する。 |
本レポートの作成方法
| データソース | 抽出日時 | レコード数 | 用途 |
|---|---|---|---|
| セキュアスコアのエクスポート | 2026-09-01 02:05 HKT | 5領域 | 保有ライセンス上限に対する統制領域別スコア。 |
| 条件付きアクセスのエクスポート | 2026-09-01 02:10 HKT | ポリシー7件 | ポリシーの状態、条件、除外。 |
| Defender for Office 365 | 2026-09-01 02:40 HKT | 31日分 | 区分別のブロック件数、セーフリンクのクリック、利用者報告。 |
| SharePoint共有レポート | 2026-09-01 03:10 HKT | リンク11件 | 匿名リンクの一覧と有効期限の状態。 |
| Purviewの保持とDLP | 2026-09-01 03:20 HKT | ポリシー3件 | ワークロード別の保持適用状況、DLPの一致と上書き。 |
| ライセンス割当レポート | 2026-09-01 | 40ライセンス | 割当済みと購入済みの突合。 |
手法と定義
セキュアスコアは 企業が保有するライセンスで達成可能な最大値に対する割合として示します。マイクロソフト自身の表示値には上位ライセンスを要する統制も含まれるため、実態より低く見え、期間比較もできません。本レポートではその値を使用しません。
ブロックしたメールは 配信前または配信時点で止めたメッセージを数えます。いったん配信され後から自動削除されたものは、一定時間は利用者が到達できた以上、配信済みとして報告します。
匿名リンクとは 認証なしにアクセスを許可する共有リンクすべてを指し、閲覧専用か編集可能か、有効期限の有無は問いません。
対象外。 アカウントのライフサイクルとMFA登録の詳細はシステムアカウント管理レポートで、SharePointサイト内部の権限詳細は四半期のアクセス権限レビューで報告します。エンドポイントの準拠状況は構成管理レポートで報告します。
本書は説明用に匿名化したサンプルです。顧客名、テナント名、サイト名、ユーザー識別子、第三者組織名は架空または一般的な名称に置き換えています。件数、比率、日付、指摘事項は代表的な管理対象テナントを反映したものです。実際の顧客データは一切含まれていません。
BCS Support Center · it-service@brocent.com
本レポートについて、よくいただくご質問
テナントが実際に保有するライセンスで達成可能な最大値に対する割合として報告します。マイクロソフトの表示値は上位ライセンスを要する統制を含むため、どのテナントも実態より悪く見え、期間比較もできません。
期限のない匿名共有リンク、Teamsチャットに保持ポリシーがないこと、常設の外部メール転送の例外、そして休眠ゲストアカウントです。4つとも本ページのサンプルレポートに登場します。
含まれません。ここではテナントのセキュリティ態勢を報告し、テナントデータの保護はバックアップとリカバリのレポートで報告します。同じ統制を二重に数えないためです。
御社のMicrosoft 365セキュリティレポートに何が書かれるかを見る
無料ITヘルスチェックでは、御社の実環境に対して本レポートの初版を作成します。費用も、その後の契約義務もありません。期間は約1週間、御社チームのお時間は数時間程度です。