【2026年版】Microsoft 365（Office 365）のセキュリティ対策｜追加費用ゼロでできる設定7つと管理者MFA必須化

「Microsoft 365」とは、WordやExcelなどのOfficeソフトを利用できる定額のサブスクリプションサービスのことです。

※Microsoft 365については以下の記事で詳しく解説していますので、こちらをご覧ください。

 

 

Microsoft 365は多くの企業で導入されていますが、「セキュリティ面は安全なのか」「どのようなセキュリティ対策を実施しているのか」などと気になる方も多いのではないでしょうか？

本記事では、Microsoft365のセキュリティ設定について詳しく解説していきます。

先に結論をお伝えします。Microsoft 365は契約しただけでは安全になりません。守りの強さを決めるのは製品そのものではなく、管理画面でどこまで設定してあるかです。
そしてその設定の多くは、いま契約しているプランのまま追加費用ゼロで有効にできます。

この記事は、従業員30〜300名くらいの中小企業で、情報システムを1〜2名で兼任している方や、総務・経理の方が片手間でMicrosoft 365の管理者を担当している方に向けて書いています。
専門用語はそのつど言い換えながら進めますので、管理画面をまだ開いたことがない方でも読み進められます。

この3つを見るだけで、自社にどれくらい直すところがあるかはほぼ分かります。逆にこの確認を飛ばしてセキュリティ製品の相見積りを取っても、すでに持っている機能にお金を払うことになりかねません。

Microsoft 365は契約しただけで安全？守ってくれる範囲と自社で設定する範囲

結論から言うと、Microsoftが守るのはサービスの土台までで、誰にどこまで使わせるかという設定は利用する会社側の責任です。この線引きを「責任共有モデル」と呼びます。

責任共有モデルとは、クラウドサービスの安全を、サービス提供者と利用者で分担して守るという考え方です。
データセンターの物理的な守りやサーバーの管理はMicrosoftの担当ですが、誰がどのアカウントを持ち、どのファイルを社外に出せる状態にしているかは、契約した会社側でしか決められません。

守る範囲	担当	具体例
データセンター・物理設備	Microsoft	建物の入退室管理、サーバー機器、電源や回線の冗長化
サービスの基盤とパッチ適用	Microsoft	Exchange OnlineやSharePointの脆弱性修正、大規模障害への対応
迷惑メール・ウイルスの初期防御	Microsoft	全クラウドメールボックスに既定で入っている検疫機能
アカウントと認証の強さ	自社	多要素認証、退職者の停止、管理者の人数
ファイルの共有範囲	自社	SharePoint・OneDrive・Teamsの外部共有をどこまで許すか
設定の見直しと監視	自社	監査ログの確認、ポリシーの適用、例外の棚卸し

表の下3行がすべて自社の担当である点に注目してください。実際のご相談でも、事故の入口になるのはほぼこの3つです。
Microsoftの守りが弱いから漏れたのではなく、社内の設定が初期値のままだったから漏れた、というケースが圧倒的に多いのが実情です。

Microsoft 365のセキュリティリスク

Microsoft 365は多くの企業で利用されており、高水準なセキュリティ対策が講じられています。しかし、以下の2つのセキュリティリスクがあります。

1. 不正アクセスのリスク
2. 人的ミスによるデータ漏洩のリスク

下記でそれぞれのリスクについて説明します。

①不正アクセスのリスク

Microsoft 365は、クラウド上にデータを保存しています。ユーザーはデータをどの場所からでも簡単に共有できるため非常に便利ですが、その一方で第三者が外部から不正アクセスされるという可能性も高くなります。

不正アクセスされると、情報漏えいにつながったり、不正にサービスを利用されたりなど、企業にとって大きな損害に繋がります。このようなセキュリティ事故を防止するには、第三者の不正アクセスを防止する対策が何よりも重要です。

②人的ミスによるデータ漏洩のリスク

Microsoft 365はデータ共有をスムーズに行えるメリットがある反面、社員が情報共有の相手を間違えてしまい、意図しない相手に誤ってデータが漏れてしまうというケースも考えられます。

データが漏洩することで、様々なトラブルに繋がる可能性もあるため、操作ミスや不注意などによる人的ミスをどのように防止するのかも重要です。

③退職者・元担当者のアカウントが残るリスク

上の2つに加えて、中小企業でいま最も見落とされているのが、辞めた人のアカウントがそのまま生きているという問題です。
Microsoft 365はインターネットにつながっていればどこからでもサインインできるため、退職者が自宅からメールやファイルを見続けられる状態が、気づかれないまま何年も続くことがあります。

しかもこれは外部からの攻撃と違って、ウイルス対策ソフトでは一切検知できません。
正規のIDとパスワードで正しくサインインしているだけなので、システムから見れば通常の利用と区別がつかないからです。
実際のご相談でも、「退職から半年たってから、その人のアカウントで海外からサインインされていたログが見つかった」という例がありました。

対策そのものは難しくありません。退職手続きのチェックリストに「サインインをブロックする」「セッションを失効させる」「ライセンスを外す前にファイルを引き継ぐ」の3行を足すだけです。
ライセンスを外しただけではログイン済みのスマホから使い続けられてしまう点だけ、注意してください。

 

 

2026年のいま何が変わった？管理者の多要素認証（MFA）はすでに必須

結論として、Microsoft 365管理センターにサインインする管理者は、2025年2月から多要素認証（MFA）が必須になっています。
「うちはまだMFAを入れていない」という会社でも、管理画面に入る人だけは実質もう避けて通れません。

多要素認証（MFA）とは、IDとパスワードに加えて、スマートフォンのアプリ通知や指紋など、もう1つ別の方法で本人確認をする仕組みのことです。
パスワードが盗まれても、その2つ目を突破できなければサインインできないため、乗っ取りを大幅に減らせます。

Microsoftは公式ドキュメントで、MFAが99.2%を超えるアカウント侵害攻撃をブロックできるという自社調査を示しています。
セキュリティ製品を新しく買うより先にMFAを入れたほうがよい、と当社がいつもお伝えしているのはこの費用対効果のためです。

いつ、どこから必須になったのか

必須化は一度にではなく、対象のサービスごとに段階的に進められました。公式の適用スケジュールは次のとおりです。

対象	必須化の時期	中小企業への影響
Azureポータル／Microsoft Entra管理センター／Intune管理センター	2024年10月以降（順次）	設定変更を行う管理者に影響
Microsoft 365管理センター（admin.microsoft.com ほか）	2025年2月以降（順次）	ほぼすべての会社の管理者が対象
Azure CLI／Azure PowerShell／モバイルアプリ／REST API	2025年10月1日以降（順次）	自動化スクリプトを使っている会社に影響

逆に、マネージドIDやサービスプリンシパルといった「人ではないアカウント」は今回の必須化の対象外です。
自動処理をユーザーIDで動かしている場合は、この機会に見直しておくと、次の変更があったときに慌てずに済みます。

Microsoft Learn「必須の多要素認証」（一次情報） ➡

 

Microsoft社のセキュリティ対策について

Microsoft社では、ユーザーが安心してMicrosoft 365を利用できるように様々なセキュリティ対策を講じています。ここからは、Microsoft社のセキュリティ対策について詳しく解説していきます。

①多要素認証の導入

Microsoft 365では、不正アクセスを防止する対策として、多要素認証（2段階認証）の設定が可能です。
多要素認証とは、パスワード以外にもう１つの要素での認証を求める認証方法のことを指します。
たとえば、携帯電話など自分が所持しているデバイスや、本人の指紋や顔、虹彩などをパスワードに加えて認証時に要求します。

2つの認証方法を組み合わせることで、セキュリティレベルを大きく向上させることができるのです。

パスワード設定はセキュリティ対策として一般的な方法の一つとなっていますが、パスワードを推測されたり、総当たりの攻撃（ブルートフォース攻撃といいます）で破られたりするリスクがあります。
多要素認証を導入すれば、仮にパスワードが漏えい・推測されても次の段階の認証を突破できないため、不正なアクセスを防止することが可能です。

 

セキュリティの規定値群について

Microsoftでは、管理者権限を持つユーザーに対し、多要素認証を有効にしておくことが強く推奨されています。多要素認証を有効にする方法はいくつかありますが、「セキュリティの既定値群」を利用する方法がおすすめです。

【2026年時点の補足】この記述は現在も有効ですが、前提がひとつ変わりました。
Microsoftの公式ドキュメントによると、ビジネス向けMicrosoft 365のすべてのサブスクリプションにはMicrosoft Entra ID Free が含まれ、その一部である「セキュリティの既定値群」は既定でオンになっています。
つまり比較的新しく契約したテナントでは、多要素認証はすでに有効になっている可能性が高いということです。

一方で、古くから使っている環境では管理者が過去にオフにしていることがあります。
確認する場所は Microsoft Entra管理センター の「ID」→「概要」→「プロパティ」→「セキュリティの既定値群の管理」です。
ここが無効になっていたら、後述の条件付きアクセスで代替しているかどうかを必ず確かめてください。

セキュリティの既定値群を有効化する手順については、以下の公式ページにて詳しく解説されています。設定する手順についてはこちらをご覧ください。

Microsoft Learn「セキュリティの既定値群」（一次情報）➡

セキュリティの既定値群をオンにする前に確認したい4つのこと

この設定は無料で効果が大きい一方、オンにした瞬間に業務が止まることがあります。止まるのは人が使うパソコンではなく、複合機や古い機器といった「機械」側です。
公式ドキュメントも、有効にする前に古い認証方式を使っていないか確認するよう警告しています。

確認すること	なぜ必要か	止まりやすいもの
古い認証方式（レガシ認証）を使っていないか	セキュリティの既定値群は Exchange ActiveSync の基本認証をブロックする	複合機のスキャンtoメール、古いメールソフト、警報装置
デバイスコードフローに依存する機器がないか	2026年7月1日以降、新規テナントは既定値の一部としてこのフローをブロックする	画面やキーボードを持たない機器、一部の業務端末
ディレクトリ同期アカウントの扱い	Entra Connect／Cloud Sync の同期アカウントは既定値から除外される	（除外されるため止まらないが、他用途への流用は不可）
2017年より前に作られたテナントか	古いExchange Onlineテナントは先進認証が既定で無効のことがある	サインインのループが起きる

複合機のスキャンtoメールは、この先2026年12月にも大きな変更が控えています。セキュリティ設定とあわせて、一度まとめて棚卸ししておくと二度手間になりません。

「セキュリティの既定値群」と「条件付きアクセス」はどちらを使うべき？

結論として、30名前後までで例外が少ない会社はセキュリティの既定値群のままで十分です。
部署ごとに扱いを変えたい、特定のIPアドレスからだけ許可したい、といった細かい制御が必要になったら条件付きアクセスに移ります。両方を同時に使うことはできません。

条件付きアクセスとは、「誰が」「どこから」「どの端末で」アクセスしようとしているかに応じて、許可・追加認証・ブロックを自動で切り替える仕組みです。
公式の比較は次のとおりです。

比較軸	セキュリティの既定値群	条件付きアクセス
必要なライセンス	なし（Entra ID Free で利用可）	Microsoft Entra ID P1 以上
カスタマイズ	できない（オンかオフのみ）	フルカスタマイズが可能
導入の手間	簡単に使える	要件に応じて設計が必要
向いている会社	例外が少なく、まず土台を作りたい会社	部署・拠点・端末で扱いを変えたい会社

Microsoft 365 Business Premium には Microsoft Entra ID P1 が含まれているため、Premiumを契約している会社は条件付きアクセスを追加費用なしで使えます。
ただし、いきなり全社に適用して管理者自身が締め出される事故が非常に多いので、公式が推奨するとおり、全体管理者を割り当てたクラウド専用の緊急アクセス用アカウントを2つ用意し、すべてのポリシーの除外に入れてから適用してください。

 

 

②警告メッセージの表示

Microsoft 365では「データ損失防止機能」が搭載されています。たとえば機密情報がメールに含まれている場合、画面に警告メッセージが表示される仕組みとなっています。

他にもメール送信に関してルールを設定することも可能です。たとえば、社外へのメール送信自体を禁止したり、上司の承認後でなければ送信できない状態にしたりといったことができます。

また、操作をログで確認できるため、トラブルが起きた際にログを遡って原因を特定することも可能です。

【2026年時点の補足】ここで触れているデータ損失防止（DLP）は、どのプランでも同じように使えるわけではありません。
メールやファイルの持ち出しを検知して警告・ブロックする機能は Microsoft 365 Business Premium 以上が前提で、Business Basic・Business Standard には含まれていません。

一方、送信ルールそのもの（社外への自動転送の制御や、条件に応じてメールを止めるメールフロールール）は Exchange Online の機能なので、Basic・Standard でも設定できます。
「どこまでが無料でできるのか」は後述のプラン比較表で整理しています。

 

③災害リスクに対する対策

仮にある1つの地域で災害が起きてしまうと、サーバーが停止してMicrosoft 365のサービスを利用できなくなるリスクがあります。

Microsoft社では、大阪・東京・埼玉の3カ所にデータセンターを設けています。1つの地域で災害が起こってデータセンターが稼働しなくなったとしても、他のデータセンターに切り替えてそのまま利用することが可能です。

④Microsoft Defender for Business

Microsoft Defender for Business を利用すれば、ランサムウェアやマルウェア、フィッシングなどの脅威から会社のデバイスを保護することが可能です。

Microsoft Defender for Businessとは、Microsoft 365 Business Premium に含まれているセキュリティサービスのことです。
公式の位置づけでは、上位の Microsoft Defender for Endpoint プラン1 と同等で、プラン2の一部機能も備えた中小企業向けの製品とされています。
近年のテレワークの普及に伴い、企業で利用する端末を保護するエンドポイントセキュリティが重視されています。

【2026年時点の補足】Premium以外のプランでも後付けできます。
Microsoftの公式価格ページによると、Defender for Business はアドオンとして1ユーザーあたり月額449円（税別・年間サブスクリプション・最大300ユーザー）で追加できます。
Business Basic や Business Standard のままEDRだけ足したい場合は、この選択肢を先に検討してください。

なお、Business Premium をさらに強化する「Business Premium のMicrosoft Defender スイート」を別途購入すると、
Microsoft Entra ID P2、Defender for Identity、Defender for Endpoint プラン2、
Defender for Office 365 プラン2、Defender for Cloud Apps が使えるようになります。
ただし中小企業では、まず標準機能を使い切ってからで十分です。

Microsoft365の詳細なプランごとの違いはこちらを御覧ください↓

なお、

エンドポイントセキュリティの重要性について、以下の記事で解説しています。こちらも参考にしてみてください。

 

 

メールの守りはどう強くする？「事前設定されたセキュリティポリシー」は初期状態でオフ

結論として、メール対策でいちばん効果が大きく、いちばん見落とされているのがこれです。
Microsoftが推奨する設定を一括で適用できる「事前設定されたセキュリティポリシー」という機能があるのですが、公式ドキュメントにも、初めてこのページを開いたときはStandard保護と厳密な保護がオフになっている可能性がある、と書かれています。

事前設定されたセキュリティポリシーとは、迷惑メールやフィッシング、危険な添付ファイルへの対策を、Microsoftがデータセンターでの監視結果をもとに決めた推奨値でまとめて適用してくれる仕組みです。
細かい数値はほとんど変更できませんが、裏を返せば設計に悩む必要がありません。設定項目を1つずつ検討する時間がない中小企業ほど向いています。

3種類のうち、どれを選べばよいか

種類	具体的にどういうことか	おすすめの使い方
組み込みの保護	安全な添付ファイル・安全なリンクの基本的な保護が自動で適用される。ただし Defender for Office 365 が前提のため実質 Business Premium 向け	下の2つを設定するまでの最低ライン
Standard 保護	推奨値のバランス型。誤検知を抑えつつ有害なメールを止める	まずは全社員をここに入れる
厳密な保護	判定をより厳しくした設定	経営層・経理・総務など、狙われやすい部署だけ

当社が中小企業にご提案するときは、まず全社員をStandard保護に入れて1〜2週間運用し、業務に支障が出ないことを確認してから、経理と役員だけを厳密な保護に上げる、という順番にしています。
いきなり全員を厳密な保護にすると、取引先からの正常なメールまで隔離されて問い合わせが増えるためです。

設定する場所と、必要な権限

項目	具体的にどういうことか
開く画面	Microsoft Defender ポータル（security.microsoft.com）の「事前設定されたセキュリティ ポリシー」
適用の単位	すべての受信者／ユーザー・グループ・ドメイン単位で指定
必要な権限	組織の管理またはセキュリティ管理者（全体管理者でなくても設定できる）
所要時間	初回で15〜30分程度

Microsoft Learn「事前設定されたセキュリティ ポリシー」（一次情報） ➡

プランによって何が違う？Basic・Standard・Premiumでできることの差

結論として、セキュリティの観点で本当に差がつくのは、条件付きアクセス・端末管理・メールの高度な保護の3点です。
Microsoftの公式ドキュメントに掲載されている対応表を、中小企業向けに整理すると次のようになります。

機能	Business Basic	Business Standard	Business Premium
Microsoft Entra ID（ID管理）	Free	Free	プラン1
多要素認証（セキュリティの既定値群）	○	○	○
条件付きアクセス（細かい制御）	×	×	○
メールの組み込み保護（迷惑メール・ウイルス）	○	○	○
Defender for Office 365（安全なリンク・添付）	×	×	プラン1
基本的なモビリティとセキュリティ（簡易MDM）	○	○	○
Microsoft Intune（本格的な端末管理）	×	×	プラン1
Defender for Business（EDR）	×	×	○
情報保護・DLP（持ち出しの制御）	×	×	○

30名で比べると年額はいくら違うのか

公式サイトに掲載されている価格（いずれも税別・年間サブスクリプションの月額換算）で、従業員30名の場合の年額を並べると次のようになります。
金額は2026年9月時点の参考値で、改定される場合があります。

項目	Business Basic	Business Standard	Standard ＋ Defender for Business	Business Premium
1人あたり月額	1,049円	2,098円	2,547円	3,298円
30名の年額	約377,640円	約755,280円	約916,920円	約1,187,280円
セキュリティ面でできること	MFAと迷惑メール対策まで	同上（アプリが増えるだけ）	＋端末のEDR	＋条件付きアクセス・Intune・メール高度保護・情報保護

注目していただきたいのは3行目と4行目の差です。
StandardにDefender for Businessだけを足すと1人あたり月2,547円になり、Business Premiumの3,298円との差は月751円、30名で年間約27万円しかありません。
その差額で条件付きアクセス・Intune・Defender for Office 365 プラン1・情報保護がまとめて付きます。

したがって、EDRを足したいという理由でアドオンを検討しているなら、先にBusiness Premiumへのプラン変更を比較してみることを強くおすすめします。
当社にご相談いただくケースでも、結果的にPremiumのほうが安く収まる会社が多数派です。

追加費用ゼロでできるセキュリティ対策は？いま契約中のプランで7つ

結論として、プランを上げたり製品を買い足したりしなくても、いまのライセンスのままで効果の大きい対策が7つあります。どれも管理画面の設定だけで完結し、費用は1円もかかりません。

対策	やること	目安の時間	必要なプラン
1. 多要素認証を全社で有効化	セキュリティの既定値群がオンか確認する	15分	すべて
2. 事前設定されたセキュリティポリシー	Standard保護を全社員に割り当てる	30分	すべて（Premiumはより強く効く）
3. 全体管理者を2〜3名に絞る	不要な管理者権限を外し、専用アカウントに分ける	30分	すべて
4. 退職者の停止手順を決める	サインインブロックとセッション失効を手順書に追加	1時間	すべて
5. 監査ログを確認する日を決める	月1回15分、異常なサインインを見る日をカレンダーに入れる	30分	すべて
6. 外部共有の範囲を見直す	SharePoint・OneDriveの共有リンクの既定を絞る	1時間	すべて
7. 社外へのメール自動転送を明示的に設定する	「自動 – システム制御」のままにせず、オフを明示的に選ぶ	30分	すべて

合計しても半日程度の作業です。
実際のご相談では、この7つのうち3つ以上が手つかずという会社が大半で、セキュリティ製品の見積りを取る前にここを埋めるだけで、リスクの大きい部分はかなり減らせます。

とくに効くのは7番目のメール自動転送

アカウントを乗っ取った攻撃者が最初にやることの1つが、被害者のメールを自分のアドレスへ自動転送する設定を入れることです。
こうしておけば、パスワードを変えられたあとも情報を盗み続けられるからです。

転送設定は本人の画面からこっそり入れられるうえ、見た目には何も変わらないため、社内の誰も気づきません。
受信トレイのルールで転送されると、管理者が見ても通常の設定と区別がつきにくいのも厄介なところです。

ここで注意したいのが既定値の扱いです。
この設定は送信スパムフィルターポリシーの「自動転送」で制御しますが、選択肢は「自動 – システム制御」「オン – 転送が有効」「オフ – 転送が無効」の3つがあり、既定は「自動 – システム制御」になっています。

まず自社がどちらの状態かを確かめてください。Microsoft Defenderポータルの「自動転送メッセージレポート」を開くと、実際に社外へ自動転送しているユーザーの一覧が確認できます。
ここに身に覚えのないアカウントが並んでいたら、それはすでに侵害されている可能性があります。

そのうえで、原則は「オフ」に設定し、業務上どうしても転送が必要な人だけ申請ベースで例外にする運用が現実的です。
なお、社内ユーザー同士の自動転送はこの設定の影響を受けないため、部署内の共有などが止まる心配はありません。

いまの安全度は何点？Microsoft セキュア スコアで現在地を数値で知る

結論として、何から手を付けるか迷ったら、まずMicrosoft セキュア スコアを開いて点数と推奨アクションの一覧を見るのが最短です。
追加費用はかからず、Microsoft Defenderポータルからすぐ確認できます。

Microsoft セキュア スコアとは、自社のセキュリティ設定がどこまで推奨状態に近いかを点数で表す指標です。
点数が高いほど、推奨される対策がより多く実施されていることを示します。推奨アクションは1つあたり最大10ポイントで、実施すると加点されます。

公式ドキュメントによると、セキュリティの既定値群をオンにするだけで、「すべてのユーザーがMFAを完了できるようにする（9ポイント）」「管理ロールにMFAを要求する（10ポイント）」「レガシ認証をブロックするポリシーを有効にする（7ポイント）」の3つが満点になります。
つまり無料の設定ひとつで、合計26ポイントがまとめて入る計算です。

当社では、初回のご相談時にこのスコアと推奨アクションの一覧をお客様と一緒に画面で確認し、「無料でできるもの」「プラン変更が必要なもの」「自社には不要なもの」の3つに仕分けるところから始めています。
点数そのものより、仕分けの結果として残った作業リストのほうが実務では役に立ちます。

Microsoft Learn「Microsoft セキュア スコア」（一次情報） ➡

管理者アカウントはどう守る？全体管理者は「緊急時だけ」が公式の考え方

結論として、全体管理者は日常的に使うアカウントではありません。
Microsoftの公式ドキュメントは、最小限のアクセス許可の原則を強く推奨し、全体管理者は非常に特権的な役割であり、既存のロールを使えない場合の緊急時に限定すべきだと明記しています。

最小権限の原則とは、その人が仕事をするのに必要な最低限の権限だけを渡すという考え方です。
全員に全体管理者を配ってしまうと、そのうちの誰か1人が乗っ取られただけで会社全体の設定を変えられてしまいます。

よくある状態	何が問題か	どう直すか
全体管理者が5人以上いる	1人が乗っ取られると全社が危険になる	常設は2〜3名に絞る
社長や役員が全体管理者のまま	狙われやすいうえ、本人は設定をしない	権限を外し、必要時だけ付与する
管理者が普段の業務も同じアカウントで行う	メールでフィッシングに遭うと管理権限ごと奪われる	管理作業用のアカウントを別に作る
緊急用アカウントがない	ポリシーの設定ミスで全員が締め出される	全体管理者を割り当てた緊急用を2つ用意し、ポリシーの除外に入れる
退職した情シス担当の権限が残っている	外部から設定を変更できてしまう	退職手続きで権限の棚卸しを行う

なお、設定作業のすべてに全体管理者が必要なわけではありません。たとえば前述の事前設定されたセキュリティポリシーは、セキュリティ管理者のロールでも設定できます。
役割ごとにロールを分けておくと、日常の作業を安全に回せます。

情シスが陥りやすい落とし穴は？現場でよく見る8つ

結論として、事故の多くは高度な攻撃ではなく、設定したつもりになっていた、という単純な穴から起きます。当社が実際のご相談でよく目にするものを整理しました。

落とし穴	何が起きるか	対処
MFAを一部の人だけ免除している	その1人が狙われて突破される	例外は期限付きにし、棚卸しの対象にする
事前設定されたセキュリティポリシーが未設定	安全なリンク・添付の保護が効いていない	Standard保護を全社員に割り当てる
セキュリティの既定値群をオンにして複合機が止まった	スキャンtoメールや警報通知が送れなくなる	先に古い認証を使う機器を洗い出す
条件付きアクセスをいきなり全社に適用	管理者自身が締め出される	レポート専用モードで2週間試してから適用する
監査ログを誰も見ていない	侵入に気づくのが数か月後になる	月1回15分の確認日をカレンダーに入れる
退職者のライセンスだけ外している	ログイン済み端末から使い続けられる	サインインブロックとセッション失効をセットで行う
アラートの通知先が担当者1名	休職・退職で誰も気づかなくなる	通知先は必ず2名以上にする
バックアップを取っていない	削除や暗号化から元に戻せない	保持期間の仕様を確認し、必要なら別途用意する

最後のバックアップについて補足すると、Microsoft 365の標準機能にある「ごみ箱」や保持期間は、あくまで一定期間の復元手段であってバックアップではありません。
ランサムウェアで暗号化されたり、退職者が意図的に消したりしたデータを長期にわたって戻したい場合は、別の仕組みが必要になります。

費用はどれくらい？補助金は使えるのか

結論として、この記事で紹介した対策の大半は追加費用ゼロで、かかるとしても社内の作業時間だけです。お金が必要になるのは、プランを上げるか、標準機能では足りない部分を補うときに限られます。

費目	目安	備考
設定の見直し（自社で実施）	0円	半日〜1日の社内工数のみ
Business Premiumへのプラン変更	1人あたり月1,200円の増（Standardから）	条件付きアクセス・Intune・EDR・情報保護が付く
Defender for Business アドオン	1人あたり月449円	Basic・Standardのまま端末のEDRだけ足す場合
外部への設定代行・診断	10万〜40万円程度	台数と拠点数で変動。相見積りを推奨
社員向けのセキュリティ教育	1人あたり年数百〜数千円	eラーニング型のサービスを利用する場合

見落とされがちですが、いちばん大きな費目は社内の作業時間です。情報システム担当が1〜2名の会社では、設定そのものより「業務を止めずに順番に適用する段取り」に時間がかかります。

補助金は使えるのか

既存契約の設定変更だけでは、補助金の対象になりにくいのが実情です。
デジタル化・AI導入補助金は登録されたITツールの導入が前提なので、いま持っている機能を有効にする作業そのものには使えないと考えてください。

やりたいこと	補助金の対象になりやすいか	補足
いまの契約のまま設定を見直す	対象になりにくい	費用が発生しないため、そもそも申請の必要がない
Microsoft 365を新規導入・上位プランへ移行	対象になる場合がある	登録ITツールかどうかを事前に確認
セキュリティ製品を新規導入	対象になる場合がある	会計・勤怠などとまとめて申請すると通りやすい
社員教育のeラーニング	対象になる場合がある	年度ごとに要件が変わるため公募要領を確認

今日から何を始めればいい？3ステップで進める

結論として、次の3ステップを順番に進めれば、追加費用をかけずに守りの土台はほぼ作れます。合計でも半日程度です。

ステップ	やること	所要時間	費用
STEP1	Microsoft セキュア スコアを開き、推奨アクションを一覧で書き出す	30分	0円
STEP2	MFAの状態と、事前設定されたセキュリティポリシーのオンオフを確認する	1時間	0円
STEP3	全体管理者の人数と、退職者アカウントの残りを棚卸しする	1〜2時間	0円

STEP1を飛ばさないでください。自社の点数と推奨アクションの一覧がないまま製品の相見積りを取ると、各社がそれぞれ違う前提で提案してくるため、比較ができなくなります。
逆にこの3ステップの結果をそのまま渡せば、それが相談資料として機能します。

そのうえで、標準機能では足りない部分が残ったときに、はじめて製品の追加やプラン変更を検討する、という順番にしてください。この順番を守るだけで、同じ予算で守れる範囲は確実に広がります。

M365でまず何を見直すべきか？

初期設定のままでは穴が残るため、入口・共有・監査・脅威対策を順に見直すことが重要です。観点は次のとおりです。

項目	具体的にどういうことか
認証	多要素認証必須化、レガシー認証の遮断
メール	危険な自動転送・外部転送の制限と監査
共有	Teams/OneDrive/SharePointの外部共有を必要範囲に
監査/脅威	監査ログ有効化とDefender系の機能適用

 ポイントは、機能を全部入れるのでなく『運用に乗る順』で適用する点です。設定変更は影響範囲の確認とロールバック手順をセットにします。優先度の高い項目から順に進めることが出発点になります。なお最終的には、評判や機能数でなく自社の現状と業務に優先順位を付け、

無理なく続けられる体制に落とし込むことが、投資を成果へ結びつける近道になります。加えて運用開始後も定期的に見直しを行い、現場の声をもとに小さく改善していく姿勢が、効果を持続させ無理のない定着を実現する鍵となります。

中小企業はどう運用すべきか？

運用は、優先度の高い設定から段階適用とルール化を進めることが重要です。押さえる進め方は次のとおりです。

進める順番	やること
棚卸し	利用ライセンス・既存設定・例外運用を一覧化
適用	MFA・転送制限・共有設定・監査の順に段階適用
ルール	申請・例外・退職時運用のルールと窓口を整備
監視	ログ確認頻度と異常対応の初動手順を準備

 最大のつまずきは、設定を入れて満足し例外・退職時運用で穴が残ることです。当社は中小企業のM365セキュリティ運用を伴走支援しています。設定とルール・監視を一体で運用することが、被害を防ぐ要点になります。なお最終的には、

評判や機能数でなく自社の現状と業務に優先順位を付け、無理なく続けられる体制に落とし込むことが、投資を成果へ結びつける近道になります。加えて運用開始後も定期的に見直しを行い、現場の声をもとに小さく改善していく姿勢が、

効果を持続させ無理のない定着を実現する鍵となります。

M365安全設定チェック

M365安全設定の基本とは、Microsoft 365の安全なセキュリティ設定のことで、初期設定のままでは穴が残るため入口・共有・監査・脅威対策を順に見直すことが重要です。

多要素認証必須化とレガシー認証の遮断、危険な自動転送・外部転送の制限と監査、Teams/OneDrive/SharePointの外部共有を必要範囲に、監査ログ有効化とDefender系の機能適用が観点で、

機能を全部入れるのでなく運用に乗る順で適用し設定変更は影響範囲の確認とロールバック手順をセットにします。

利用ライセンス・既存設定・例外運用の一覧化、MFA・転送制限・共有設定・監査の順での段階適用、申請・例外・退職時運用のルールと窓口の整備、ログ確認頻度と異常対応の初動手順の準備が要点で、設定を入れて満足し例外・退職時運用で穴が残る失敗を避け、

設定とルール・監視を一体で運用することが要点となります。

より詳しい一次情報は公式の解説もあわせてご確認ください。

Microsoft 365 公式（一次情報） ➡

この記事のよくある質問（FAQ）

本記事に関して、よく寄せられる質問をまとめました。

Q. 最優先で見直すべき設定は？

A. 優先順位をつけるなら、まず多要素認証、次に「事前設定されたセキュリティポリシー」のStandard保護、そして全体管理者の人数を2〜3名に絞ることの3つです。
いずれも追加費用ゼロで、半日あれば終わります。社外への自動転送の制限も同じ日にあわせて行うと効果的です。

Q. 追加コストなしでできますか？

A. はい、この記事で挙げた7つの対策はすべて追加費用ゼロで実施できます。
有料になるのは、条件付きアクセスによる細かい制御・端末管理（Intune）・メールの高度な保護で、これらはBusiness Premiumに含まれます。
端末のEDRだけならアドオンで1人月449円から追加できます。

Q. 中小企業でも実施できますか？

A. できます。むしろ人数が少ない会社ほど、例外の管理が楽なぶん進めやすいのが実情です。
セキュリティの既定値群と事前設定されたセキュリティポリシーは、細かい設計をせずオンにするだけで推奨値が適用されるため、専任の担当者がいなくても運用に乗ります。

Q. 最新の機能はどう確認しますか？

A. Microsoft セキュア スコアを開けば、自社の設定状況と推奨アクションが一覧で表示されるので、これを月1回見るのがいちばん確実です。
加えて、管理センターのメッセージセンターには仕様変更の予告が届きます。料金や機能の条件は変わるため、契約前には必ず公式ページと販売店に確認してください。

関連情報・お問い合わせ

お問合せはこちら➡

まとめ

今回は、Microsoft365のセキュリティ設定について解説しました。

Microsoft 365は、セキュリティレベルが非常に高いサービスとなっており、世界中の企業で利用されています。

Microsoft 365を安全に使うためには、定期的に安全性のチェックを行うことをおすすめします。たとえば「Microsoft セキュア スコア」などを利用すれば、現在の安全性を評価できます。ぜひ試してみてください。

最後にもう一度整理します。Microsoft 365のセキュリティは、高い製品を買い足すことではなく、すでに持っている機能を正しくオンにすることから始まります。
管理者の多要素認証はすでに必須化されており、メールの推奨設定は初期状態でオフのことが多く、全体管理者は緊急時に限定するのが公式の考え方です。

まずはセキュア スコアを開いて現在地を確認し、追加費用ゼロでできる7つを埋めてください。
そのうえで足りない部分が残ったときに、Business Premiumへの変更や製品の追加を検討するのが、同じ予算でいちばん広く守れる順番です。

アーデントでは、Microsoft 365の導入から設定の見直し、補助金を活用したプラン変更のご相談までを1つの窓口で承っています。
「どこから手を付ければよいか分からない」という段階でも構いませんので、お気軽にご相談ください。

Microsoft 365のセキュリティ設定を相談する ➡

 

Microsoft 365の導入、プランの切り替え等をお考えの方

弊社を通してMIcrosoft365を導入頂くと以下のメリットがあります。

①デジタル化・AI導入補助金を活用して2年間半額で導入可能
②複数ツール導入で公式価格より3％お値引き
③他ITツールとの各種API連携もご提案可
④MIcrosoft365の導入、使い方もサポート対応可

まずは以下のフォームもしくはお電話でお問い合わせくださいませ。

お問い合わせはこちら⇒　株式会社アーデント　０３－５４６８－６０９７

※「Microsoft 365の記事を見た」とお伝え下さい。

Microsoft365お問い合わせフォーム

※法人向けサービスのみ対応しております。個人向けサービスは対応できませんので、ご注意ください。

必要な項目のすべてをご入力いただき、「アーデントに問い合わせる」ボタンをクリックしてください。必須のついている項目は必須入力項目です。

会社名
性必須
名必須
メールアドレス必須
電話番号必須
コメント
アーデントに問い合わせる

   

関連記事

・Microsoft365の安全なセキュリティ設定を解説

・Teamsのウェビナーと会議の違いを分かりやすく解説！

・Power AppsとPower Automateの違いとは？

・Copilot in Power Appsとは？何ができるのかを詳しく解説！

・OneNoteの共有方法をわかりやすく解説！

・Microsoft Bookingsとは？機能、メリット・デメリットを徹底解説

・Exchange Onlineとは？機能、メリット・デメリットを徹底解説

・Sharepointとは？機能、メリット・デメリットを徹底解説

・OneDrive for BusinessとOneDriveとの違いとは？

・法人向けMicrosoft365のプラン、料金をとにかく分かりやすく解説

・Microsoft 365 Business StandardとE3プランの違いとは？

・Microsoft365とは？初心者向けに分かりやすく解説

・Teamsの使い方を初心者向けに分かりやすく解説！

株式会社アーデントは、デジタル化・AI導入補助金の支援事業者を行っております！

アーデントからデジタル化・AI導入補助金を使ってクラウドツールを導入するメリットは以下の通りです。

メリット①対象ツールを２年間、半額、もしくは１／４で利用可！

メリット②会計、経費精算、請求書処理、受発注ツール導入なら、PCやタブレットの購入も補助が受けられ半額！

メリット③補助期間終了後は、公式価格よりお値引き！

メリット④各種IT活用、DX、保守サポートでより貴社のIT化を促進、生産性を向上します！

【弊社取り扱いクラウドツール】

🔹オフィス・グループウェア: 　Google Workspace※、Microsoft365、desk'nets NEO※
🔹ノーコード業務改善：kintone、Zoho※、楽楽販売、JUST.DB※、サスケworks
🔹コミュニケーション: 　サイボウズオフィス、Garoon、Chatwork、LINE WORKS、zoom
🔹会計・経費管理: 　マネーフォワード、freee、楽楽精算、楽楽明細、楽楽請求、invox
🔹電子契約・文書管理:　 freeeサイン、クラウドサイン、GMOサイン、Adobe Acrobat、box
🔹セキュリティ対策: 　sophos、SentinelOne、ESET、トレンドマイクロ、CloudGate UNO
🔹バックアップ: 　syscloud、Avepoint、veeam
🔹RPA・自動化: 　RoboTANGO、DX-Suite、Yoom※、バクラクシリーズ
🔹勤怠・労務管理: 　勤革時、楽楽勤怠、マネーフォワード
🔹物流・在庫管理: 　ロジザードZERO
🔹教育・マニュアル作成管理:　 iTutor、NotePM、leaf
🔹PBX・電話システム: 　INNOVERAPBX※、MOTTEL※、ZoomPhone※
🔹端末管理：LANSCOPE、clomo、ISM Cloud One
🔹リモートデスクトップ：RemoteOperator在宅
🔹受付ipad：ラクネコ※
🔹タスク管理、その他：Adobe creative cloud、Notta、JOSYS、backlog※
など

※こちらのツールは補助期間終了後の値引不可

また、上記以外のツールも取り扱いできるものが多々ありますので、一度ご相談ください。

デジタル化・AI導入補助金2026の詳細、お問合せはお電話頂くか、以下の記事を御覧ください↓

デジタル化・AI導入補助金お問合せ：03-5468-6097

以下の動画では、採択のポイントや申請にあたっての注意点などを詳しく解説していますので、
あわせてご覧ください！