Microsoft 365 のセキュリティ機能を利用する

Microsoft 365 サブスクリプションでは生産性を高めるさまざまなアプリケーションとサービスが利用できますが、それだけでなくデータやユーザーを保護するセキュリティの機能も含まれています。
ランサムウェアを始めとするマルウェアへの感染、不正侵入や意図しないミスによる情報漏洩など、ビジネスに大きな影響を与えるインシデントは後を絶ちません。以下の例のように、これらのインシデントは企業・組織の事業継続に大きな影響を与え、有形無形の損害には計り知れないものがあります。

こうしたセキュリティインシデントの予防と被害の最小化のために、Microsoft 365 のセキュリティ機能を活用することができます。
今回の記事では、Microsoft 365 で利用できるセキュリティ機能の中から「多要素認証」「条件付きアクセス」「Microsoft Defender for Business」を紹介します。

多要素認証はMicrosoft 365 へのサインインで、パスワード以外にもう１つの要素での認証を求める機能です。これにより、パスワードのみのサインインよりセキュリティを大きく向上させることが可能です。
パスワードは便利な手段ですが、常に漏えいの危険があります。またパスワードの設定によっては推測や総当たりでの攻撃で破られるリスクがあります。実際に発生しているMicrosoft 365 への侵入・侵害の事例でも、その多くがパスワードを突破されたことによるものです。
多要素認証はパスワードという「知識」の要素に加えて、「所持」（ドングルトークンや携帯電話などのモノの所有）・「生体」（指紋、顔、虹彩などのヒトそのもの）の要素を認証時に要求する機能です。これによりパスワードが漏えい・推測されても追加の認証を突破できないので、不正なアクセスの危険性が大きく削減されます。
とりわけ管理者権限（特にグローバル管理者の役割）を持つユーザーアカウントに対して多要素認証強制することが強く推奨されています。

多要素認証は以下のいずれかの方法で有効にできます。

「セキュリティの既定値群」を利用する

多要素認証は「セキュリティの既定値群」を利用する方法で有効にすることが推奨されています。セキュリティの既定値群を有効にすると、その一環として多要素認証も有効になります。
セキュリティの既定値群を有効にする手順は以下のとおりです。

これにより、以下のように多要素認証が有効になります。

併せて以下のセキュリティポリシーも有効になります。

ユーザーごとに構成する

以下のような組織では、セキュリティの既定値群を有効にできません。

これらの組織では、以下に示す方法でユーザーごとに多要素認証を構成できます。

ユーザーごとの多要素認証の設定とセキュリティの既定値群・条件付きアクセスでの多要素認証の設定が両方行われている場合は、より制限の強い設定が有効になります。ユーザーごとの多要素認証で「強制」となっているユーザーは（管理者権限がなくとも）常に多要素認証を求められます。セキュリティの既定値群が有効の場合は、ユーザーごとの多要素認証で「無効」となっているユーザーも多要素認証が有効になります。

条件付きアクセスとは、ユーザーがMicrosoft 365 にサインインしてリソース（ファイルやデータ）にアクセスする際に、状況（シグナル）に応じてアクセスを許可するためにユーザーに求める「要求」を決定する機能です。
シグナルとは下図のようにユーザー（アカウントや所属するグループ）・場所（アクセス元のIPアドレス）・アクセスに使用しているデバイス・アクセスしようとしているアプリケーションなどです。要求とは多要素認証や組織で管理されているデバイスの利用、登録済みアプリの利用などで、シグナルによってはアクセスの拒否も行われます。
サインインやアクセスの条件を細かく規定し、必要に応じて多要素認証や管理されたデバイスでのアクセスを求めることで正規のユーザー以外のなりすましによるサインイン、アプリケーションやリソースへのアクセスをブロックすることが可能となります。

Microsoft 365 Business Premium やMicrosoft 365 E3/E5 のライセンスをお持ちの場合は、条件付きアクセスを利用してより柔軟で強固な多要素認証ポリシーを構成し、ユーザーにMicrosoft 365 へのサインイン時に多要素認証を求めることができます。

条件付きアクセスを構成するには以下の手順を実行します。ここでは管理者の役割を持つユーザーに対して多要素認証を要求する設定を行います。

Microsoft 365 は Office アプリケーションやOffice のオンラインサービスだけでなく、エンドポイント、ID、メール、およびアプリケーション全体を保護するセキュリティソリューション「Microsoft Defender」の機能が用意されています。
Microsoft 365 Business 向けにはMicrosoft Defender for Business が提供されています。

Microsoft Defender for Business はエンドポイントデバイス（Windows PC やモバイルデバイス）に総合的なセキュリティを提供する、EDR（Endpoint Detection and Response）ソリューションです。

Microsoft Defender for Business を使用すると、ランサムウェア、マルウェア、フィッシングなどの脅威から会社のデバイスをより適切に保護できます。

Microsoft Defender for Business を有効にしてデバイスを登録（オンボード）する手順は、以下のとおりです。
※Microsoft 365 Business Premium の場合の手順です

セットアップウィザードの実行中に自動オンボードを行った場合は、これで準備完了です。

自動オンボードを行わなかった場合は、デバイスの登録（オンボード）を行います。
Microsoft Defender for Business に登録してセキュリティ対策が行えるデバイスは、Windows PCだけでなくMacやモバイルデバイス（AndroidやiOS/iPad OS）も含まれます。また追加ライセンスを購入するとWindows や Linux のサーバーも登録できます。

オンプレミスのActive Directory ドメインに参加しているWindows PC であれば、ドメインでグループポリシーを構成することでオンボードを行うことが可能です。またテナントで既にMicrosoft Intune を利用されている場合は、Intune でポリシーを構成することでデバイスのオンボードを行えます。
多数のデバイスのオンボードを行う場合は、グループポリシーまたはIntune を利用したオンボードを行ってください。
※モバイルデバイスのオンボードにはIntune が必要です

一度に10台以下の少数のWindows PCとMacを登録する場合には、ローカルスクリプトを使ってオンボードすることも可能です。Active Directory やIntune を利用していない場合でも、すぐにデバイスの登録が行えます。
ローカルスクリプトでWindows PCを登録する手順は以下のとおりです。

実際にデバイス上でセキュリティ上の問題が検出された場合、上の例のようなアラートが表示されます。またメール通知を有効にしていれば、メールでも通知を受信でき、個人向けのセキュリティ対策ソフト（例えばWindowsに標準搭載の「Windowsセキュリティ」）では行えないセキュリティ状況の一括監視がこれで可能になります。

Microsoft Defender for Business は専任のセキュリティ担当者がいない中小規模の企業でも安価で容易に使い始めることができるEDR（ Endpoint Detection and Response）ソリューションです。管理・運用を他のMicrosoft 365 サービスと統合できるので、その負荷も少なくなります。
300人以下の規模で高度なエンドポイントセキュリティ対策の利用を検討されている場合、Microsoft 365 Business Premium で Microsoft Defender for Business を利用することがお勧めです。

Microsoft 365 には現代のインターネット環境で想定されるセキュリティリスクに対処するための、高度なセキュリティ機能が多く用意されています。
現在のサイバー攻撃に対してパスワードだけでは不十分なアクセス制御を、多要素認証や条件付きアクセスでより強固で安全なものにできます。またMicrosoft Defender のEDR機能により組織のデバイスでの異常な動作（マルウェアへの感染、不正アクセスなど）を早期に検知しブロックや修復などの措置を取ることができます。
こうした機能を活用すれば、企業のビジネスに大きな影響を与えるセキュリティ上の事故や問題を予防し、万一の場合も被害を最小化できます。

小規模・中規模の企業では条件付きアクセスの構成やMicrosoft Defender for Business が利用できるMicrosoft 365 Business Premium を活用することで、大きなコストを掛けずに大企業レベルと同等のセキュリティ対策を行えます。

また300人以上の規模の企業には条件付きアクセスの構成やMicrosoft Defender の機能を始めとする多くのセキュリティ機能を持った Microsoft 365 E3/E5 をお勧めします。

Microsoft 365 Business Premium、Microsoft 365 E3/E5 の導入、Teams Essentials・Microsoft 365 Business Basic/Standard からBusiness Premium へのステップアップをご検討の方は、ぜひ当社担当営業までご相談ください。