Microsoft 365のセキュリティ対策とは？主な機能やリスクを解説

Microsoft 365は、メールやファイル共有、オンライン会議など、企業のさまざまな業務で利用されています。業務に欠かせないサービスとして活用が広がる一方で、アカウントを狙ったサイバー攻撃や情報漏えいなど、セキュリティ面への備えが重要になっています。

本記事では、Microsoft 365のセキュリティについて押さえておきたいポイントを整理し、実際のサイバー攻撃事例や自社で取り組める対策などを紹介します。

Microsoft 365のセキュリティは安全？

Microsoft 365は、企業での利用を想定したセキュリティ対策が組み込まれているクラウドサービスです。Microsoftは製品やサービスの設計・運用においてセキュリティを重視する取り組みを進めており、Microsoft 365にも組織の環境を保護するための仕組みが用意されています。

ただし、Microsoft 365を導入していればあらゆるセキュリティリスクを防げるわけではなく、利用できる機能の範囲や組織側の設定、アカウント・データの運用方法などによって実際のセキュリティレベルは変わります。Microsoft 365を安全に利用するには、備わっている仕組みを理解したうえで自社の利用環境に応じて設定や運用状況を見直すことが重要です。

Microsoft365の基本情報については、以下の記事で詳しく紹介しています。

Microsoft365とは？機能やプラン、導入のメリットをわかりやすく解説

Microsoft 365の主なセキュリティ機能

Microsoft 365のセキュリティ機能として、主に以下の5つが挙げられます。

• 多要素認証による不正ログインのリスク軽減

• 条件付きアクセスによるアクセス制御

• Microsoft Defender for Office 365による脅威対策

• 通信中・保存中のデータを守る暗号化

• DLPによる機密データの外部流出防止

ここでは、それぞれのセキュリティ機能について解説します。

多要素認証による不正ログインのリスク軽減

多要素認証（MFA）は、パスワードに加えてスマートフォンや生体情報など、複数の要素を使って本人確認を行う仕組みです。パスワードだけで認証する場合、認証情報が第三者に知られると不正にサインインされるおそれがあります。

多要素認証を利用すれば、パスワードが漏えいしても別の認証要素が求められるため、第三者による不正ログインのリスクを抑えられます。

条件付きアクセスによるアクセス制御

条件付きアクセスは、ユーザーや利用するアプリ、場所、デバイスなどの情報をもとに、アクセス条件を制御する機能です。Microsoft Entra IDでポリシーを設定することで、状況に応じてアクセスを許可したり追加の認証を求めたりできます。

多要素認証が本人確認を強化する機能であるのに対し、条件付きアクセスはアクセス時の状況に応じて認証条件を変えられる点が特徴です。利用環境に合わせて細かく制御できるため、より柔軟なアクセス管理に活用できます。

Microsoft Defender for Office 365による脅威対策

Microsoft Defender for Office 365は、フィッシングやマルウェアなどの脅威からメールやMicrosoft 365のコラボレーション環境を保護するためのサービスです。

主な機能としては、メールなどに含まれるURLを確認する「Safe Links」や添付ファイルを検査する「Safe Attachments」などが挙げられます。契約するプランによって利用できる機能は異なりますが、メールやコラボレーション機能を起点とした攻撃への対策を強化することが可能です。

通信中・保存中のデータを守る暗号化

Microsoft 365では、通信中のデータとクラウド上に保存されているデータの両方に暗号化が利用されています。暗号化によって情報をそのままでは読み取れない状態に変換し、第三者による不正な閲覧を防ぎます。

また、通信時にはTLSなどを利用してデータを保護し、クラウド上に保存された情報についても暗号化が行われています。データの送受信時だけでなく、保存中のデータも保護できる点が特徴です。

DLPによる機密データの外部流出防止

DLP（Data Loss Prevention）は、組織が扱う機密情報を識別し、不適切な共有や外部への持ち出しを防ぐための仕組みです。Microsoft PurviewではDLPポリシーを設定し、対象となる情報を監視・保護できます。

具体的には、個人情報や財務情報などを含むデータにルールを設定し、条件に該当する操作を検知・制御するといった管理が可能です。機密データがどのように扱われているかを監視できるため、意図しない外部流出を防ぐための対策として活用できます。

Microsoft 365で注意したいセキュリティリスク

Microsoft 365にはさまざまなセキュリティ機能が備わっていますが、それだけですべてのリスクを防げるわけではありません。外部からの攻撃だけでなく、共有設定の不備や利用者の操作によって情報漏えいにつながるケースも考えられます。

ここでは、Microsoft 365を利用する際に注意したい主なセキュリティリスクとして以下の5つを解説します。

• フィッシングによる認証情報の窃取

• 認証情報の悪用によるアカウントの乗っ取り

• メールや添付ファイルを介したマルウェア感染

• 共有設定の不備による情報漏えい

• 内部不正や誤操作によるデータ流出

フィッシングによる認証情報の窃取

Microsoft 365では、IDやパスワードなどの認証情報を狙ったフィッシングが大きなリスクの一つです。攻撃者は、Microsoftや取引先などを装ったメールを送り、正規のログイン画面に似せた偽サイトへ利用者を誘導します。

そこでIDやパスワードを入力すると、その情報が攻撃者に取得されてしまいます。見た目だけでは正規のページと判断しにくい場合もあるため、利用者が気づかないまま認証情報を渡してしまう点がフィッシングの怖さです。

認証情報の悪用によるアカウントの乗っ取り

取得された認証情報が悪用されると、第三者が正規のユーザーになりすましてMicrosoft 365へアクセスするおそれがあります。

アカウントを乗っ取られると、そのユーザーが利用できるメールやファイルなどを第三者に閲覧・操作される可能性があります。権限の大きいアカウントほどアクセスできる情報も多いため、組織全体への影響が大きくなる点に注意が必要です。

メールや添付ファイルを介したマルウェア感染

Microsoft 365では日常的にメールを利用するため、不正なリンクや添付ファイルがマルウェア感染の入口になる可能性があります。利用者が不審なファイルを開いたり、リンク先から悪意のあるファイルを取得したりすることで端末が感染するケースが考えられます。

メールを介した攻撃は日常業務の中で遭遇する可能性があるため、Microsoft 365を利用するうえで警戒すべきリスクの一つです。

共有設定の不備による情報漏えい

Microsoft 365では、OneDriveやSharePointなどを使ってファイルを共有できます。便利な一方で、共有範囲やアクセス権限の設定を誤ると本来閲覧できない相手にも情報を公開してしまう可能性があります。

外部からの攻撃がなくても設定内容によって情報漏えいが生じてしまうため、Microsoft 365を利用するうえで注意したいリスクです。

内部不正や誤操作によるデータ流出

Microsoft 365で扱うデータは外部からの攻撃だけでなく、組織内部の利用者によって流出する場合もあります。従業員が業務上アクセスできる情報を意図的に持ち出したり、メールの送信先や添付ファイルを誤ったりすることが主な原因となります。

正規の権限を持つユーザーであっても、情報の扱い方を誤れば社外への流出につながりかねません。外部攻撃とは異なり、内部の利用者による不正や操作ミスを起点として起こり得るリスクです。

Microsoft 365環境で実際に発生したサイバー攻撃

Microsoft 365を狙ったサイバー攻撃では、認証情報の窃取やアプリへのアクセス権限を悪用する手法などが確認されています。

ここでは、Microsoft 365環境を対象として実際に報告されたサイバー攻撃事例を4つ紹介します。

• 偽のログイン画面による認証情報の窃取

• 乗っ取りアカウントによる不正メールの送信

• 多要素認証を狙った認証突破

• 悪意のあるアプリによるアクセス権限の取得

偽のログイン画面による認証情報の窃取

Microsoft 365では、正規のサインイン画面を模倣したフィッシングサイトを使い、利用者の認証情報を窃取するサイバー攻撃が確認されています。Microsoft 365だけでなく、OutlookやOneDrive、SharePointなど、実際に利用されているサービスに似せた画面が使われるケースもあります。

普段利用しているサービスと見分けにくい画面を用いることで、利用者からIDやパスワードなどの認証情報を取得する手口です。

乗っ取りアカウントによる不正メールの送信

Microsoft 365では、すでに乗っ取った正規アカウントを利用し、同じ組織の従業員などへフィッシングメールを送信するサイバー攻撃も確認されています。外部の不審なアドレスではなく、実際に業務で使われているアカウントが利用されるのが特徴です。

正規アカウントから送られたメールは受信者に警戒されにくく、さらに別の認証情報を狙う手口へ発展する可能性があります。一つのアカウント侵害を起点に、組織内へと被害が広がってしまう手法です。

多要素認証を狙った認証突破

Microsoft 365では、多要素認証を導入している環境でも認証後の状態を狙ったサイバー攻撃が確認されています。「Adversary-in-the-Middle（AiTM）」といった手法を用いて利用者と正規サービスの通信の間に第三者が入り、認証済みのセッション情報などが取得されてしまいます。

このサイバー攻撃は多要素認証そのものを破るのではなく、認証後のアクセス状態を狙う手口です。

悪意のあるアプリによるアクセス権限の取得

Microsoft 365では、ユーザーに悪意のあるアプリへのアクセス許可を承認させる「同意フィッシング」と呼ばれるサイバー攻撃も確認されています。アプリ連携時に表示される同意画面を利用し、Microsoft 365上のデータへアクセスするための権限を取得する手法です。

一度アクセス権限を与えてしまうと、その許可範囲に応じてメールやファイルなどの情報へアクセスされるおそれがあります。IDやパスワードを直接盗むのではなく、ユーザーが承認した権限を利用して情報を取得するサイバー攻撃です。

Microsoft 365を安全に使うためのセキュリティ対策

Microsoft 365のセキュリティ対策では、現在の設定や適用範囲が自社の運用に合っているかを確認することが重要です。

ここでは、Microsoft 365を安全に使うためのポイントとして以下の5つを解説します。

• 認証・アクセス制御の設定を見直す

• 脅威を検知・防御する仕組みを整える

• 通信やデータを暗号化して保護する

• 機密データの流出を検知できる体制を整える

• 自社での対応が難しい場合は専門家に相談する

それぞれ詳しく見ていきましょう。

認証・アクセス制御の設定を見直す

Microsoft 365への不正アクセスを防ぐには、まず認証方法とアクセス条件を確認することが重要です。多要素認証（MFA）を有効にするだけでなく、「どのユーザーに適用されているか」「例外設定が残っていないか」まで確認すると良いでしょう。

条件付きアクセスを利用できる場合は、場所やデバイス、ユーザーの状況に応じてアクセス条件を設定するのがおすすめです。単に機能を有効化するのではなく、管理者アカウントや社外アクセスといった影響の大きい箇所から見直すことで、不正アクセスにつながる設定上の抜けを減らしやすくなります。

脅威を検知・防御する仕組みを整える

メールや添付ファイル、リンクを経由した脅威に備えるためには、検知と防御の仕組みを整える必要があります。具体的な対策としては、Microsoft Defender for Office 365などのセキュリティ機能を活用する方法が挙げられます。

また、自社で利用しているメールやコラボレーション環境を踏まえ、どのような脅威を検知・防御する必要があるのかを整理しておくと良いでしょう。必要な保護範囲を明確にしておけば、対策の抜けを把握しやすくなります。

通信やデータを暗号化して保護する

Microsoft 365で扱う情報を保護するには、通信中や保存中のデータが適切に暗号化されているかを確認することが大切です。Microsoft 365では標準で暗号化が行われていますが、扱う情報や利用方法によっては追加の保護が必要になる場合もあります。

自社で扱う情報の重要度に合わせて保護方法を整理することで、データが第三者に閲覧されるリスクを抑えられます。

機密データの流出を検知できる体制を整える

個人情報や財務情報などを扱う場合は、機密データがどこに保存され、どのように共有されているかを把握することが重要です。

こうした機密データの管理には、Microsoft PurviewのDLPなどを活用する方法があります。あらかじめ定めた条件に基づいて機密情報の共有や操作を検知・制御できるため、保護対象と実際の運用を踏まえてルールを設定すると良いでしょう。

ただし、検知ルールを細かく設定しすぎると通常の業務まで制限してしまう可能性があるため、必要な範囲を見極めながら調整することが大切です。

自社での対応が難しい場合は専門家に相談する

Microsoft 365のセキュリティ対策では、ライセンスや利用機能、既存設定によって確認すべき箇所が変わります。そのため、自社だけでは現在の設定に問題がないか判断しづらいケースもあるでしょう。

こうした場合は、外部の専門家に相談することで現在の利用環境や設定状況を客観的に整理できます。自社に不足している対策や優先して見直すべき箇所も明確にできるため、限られたリソースでも必要性の高い部分からセキュリティ対策を進めやすくなります。

セキュリティ環境の見直しならICへ

引用元：システム開発のIC

Microsoft 365のセキュリティ対策は、利用している機能や設定内容、社内のIT環境によって確認すべきポイントが異なります。そのため、現在の対策状況を正しく把握し、自社の環境に合った改善方法を検討することが重要です。

ICでは、セキュリティリスクへの具体的な対処方法に悩む企業に向けて、現場型のITコンサルティングを提供しています。現状と課題を整理し、優先度の高いものから実現可能な改善策を提案します。

また、必要に応じて開発・構築から運用まで一貫して支援することも可能です。Microsoft 365を含む社内IT環境について、「現在のセキュリティ対策で十分なのかわからない」「何から見直せば良いか整理したい」とお悩みの場合は、ぜひICへご相談ください。

まとめ

Microsoft 365には、多要素認証や条件付きアクセス、脅威対策、暗号化、DLPなど、さまざまなセキュリティ機能が用意されています。一方で、これらの機能が備わっていても、設定や運用方法によっては不正アクセスや情報漏えいといったリスクが残ります。

安全に利用するためには、認証やアクセス制御、メール対策などを個別に確認し、自社の利用環境に合った対策を組み合わせることが重要です。すでにMicrosoft 365を導入している場合も、現在の設定や適用範囲を定期的に見直すことをおすすめします。

自社だけではセキュリティ上の課題や優先して見直すべき箇所を判断しにくい場合は、外部の専門家に相談する方法もあります。IT環境のセキュリティ対策に課題を抱えている場合は、企業の課題に応じた改善を支援するICを検討してみてはいかがでしょうか。