Microsoft Office 365は、マルチテナントパブリッククラウド環境で実行される。ユーザーデータは「Active Directory」コンテナーを使って分離するが、追加料金を支払って別のOffice 365環境を用意することもできる。

　Office 365環境へのあらゆるアクセスは、“ロックボックス”アプローチを採用する厳密なRBAC（役割ベースのアクセス制御）技術で管理される。エンジニアは特定のタスクについてアクセスを要求し、その都度それぞれの要求が個別に検査され、アクセス期間とモニタリングが適用される。

　Office 365へのネットワーク接続には、デフォルトでインターネット経由のSSL/TLSが使われる。Office 365環境内の保管データは、AES（Advanced Encryption Standard）アルゴリズムを利用するMicrosoftの暗号化機能「BitLocker」で暗号化される。

　Office 365のカスタマイズ可能な暗号化ポリシーは、保管コンテンツに適用したり、ドキュメントへの署名に使用したりできる。管理者は「Windows Rights Management Service」を利用して、暗号化コンテンツにアクセスできるユーザーや、ユーザーへのアクセス許可の種類、ユーザーがコンテンツにアクセスできる状況を指定できる。また、Microsoftは電子メール用の暗号化機能の提供も開始した。「Microsoft Azure Rights Management」に組み込まれた「Office 365 Message Encryption」を使えば、管理者は、暗号化をいつどのように適用するかを柔軟にコントロールでき、コンテンツキーワードや、社内宛てか社外宛てかといった条件を設定できる。

　管理者は、Office 365へのあらゆるアクセスの管理に、Azureから組み込みのActive Directory認証環境を利用するか、オンプレミスのActive Directoryを使って内部のActive Directoryストアを統合することができる。それ以外のディレクトリストアと認証システムとして、「Active Directoryフェデレーションサービス」や、米SecureAuth、英Swivel Secureなどのサードパーティー製セキュリティトークンサービスがある。より高度なフェデレーションを設定して、真のシングルサインオンをサポートすることも可能だ。現行のドメイン資格情報を使って企業ユーザーのOffice 365への認証を行うと同時に、マルチファクター認証オプションとクライアントベースアクセス制御も連結すれば簡単なNAC機能が実現する。例えば、公衆無線接続や公共PCからOffice 365にアクセスしようとするユーザーをクライアントアクセスポリシーで制限することができる。

Office 365セキュリティ：長所

　Office 365の大きな強みとして、DLP（データ損失防止）ポリシー制御がある。セキュリティ管理者は、「Microsoft Exchange Online」および「Microsoft Outlook 2012」にDLPルールを作成し、ユーザーが電子メールで送信しようとしているコンテンツや添付ファイルが、機密情報の既知のパターンやカスタムパターンと一致していると、そのユーザーに警告を通知できる。コンテンツは、送信者、宛先、社内社外のアドレス、ドメインなどの条件に基づいて分類され、パターンと一致した場合は、警告を通知した上で送信を許可するか、明示的なポリシー上書きを管理者に通知して許可するか、完全に遮断することになる。

　Office 365では、「Office 365電子情報開示（e-Discovery）センター」内に強力な電子情報開示ポリシーも用意されている。電子情報開示センターへのアクセスは、RBACを使ってコンプライアンス担当者や法務担当者に許可することができる。また、このツールで電子メール、ドキュメント、サイトメールボックスなどOffice 365の全データストレージを簡単に検索したり、データを保持したりできる。Office 365にはスパム対策とマルウェア対策の管理も組み込まれており、機密情報の遮断や警告など一部の項目は、管理者が設定できるようになっている。

Office 365セキュリティ：短所

　Office 365の短所の1つは、ユーザーがマルウェアとスパムメールの証拠をMicrosoftから入手できない点だ。添付ファイルとスパムメールは遮断され、遮断されたコンテンツをMicrosoftが脅威情報やマルウェアの分析用にユーザーへ提供することはない。スパムやフィッシングデータを調べてセキュリティ調査を強化したい大規模企業から見れば、この点が大きなマイナスになるだろう。

　DLPサービスは、管理者にとって使いやすいとはいえるが、かなり簡易化されており、緻密さや設定可能項目が不十分だと考える企業もありそうだ。

　最後に、Microsoftは、欧州連合（EU）のデータ保護法から個人医療データ保護に関する米HIPAA法、情報セキュリティの国際標準ISO 27001まで、数多くのコンプライアンス要件を満たしているが、機密データをクラウド環境に置くことは依然としてリスクを伴うものである。コンプライアンスに関する責任は、どのアウトソーシングモデルを選ぶかに関係なく、今後も企業が負うことになる。

まとめ

　総合的に見て、Office 365は、強力で柔軟なクラウドアプリケーションサービスの提供を目指しており、幅広いセキュリティ機能が含まれている。さらに多くのセキュリティ機能が追加され、ユーザーが設定できる項目が増えることで、これからOffice 365に移行する企業にとって、Office 365のセキュリティは大多数の企業のニーズを十二分に満たすものとなるだろう。

本稿筆者のデイブ・シャックルフォード氏は、米Voodoo Securityのオーナー兼主席コンサルタント。米IANSの主任職員のほか、SANSアナリスト、上級インストラクターを務め、研修コースの考案も担当。また、セキュリティ、コンプライアンス、ネットワークアーキテクチャおよびエンジニアリングの各分野の多数の組織と情報交換を続け、VMware vExpert受賞者として、セキュアな仮想化インフラの立案や設定など幅広い経験も有する。これまで、米ConfiguresoftのCSO、米Center for Internet SecurityのCTOのほか、複数のFortune 500企業においてセキュリティアーキテクト、アナリスト、マネジャーを歴任。さらに、『Virtualization Security: Protecting Virtualized Environments』の著者、『Hands-On Information Security Lab Manual』の共著者でもある。先頃、米SANS Institute向けに、仮想化セキュリティに関する最初の研修コースを共同考案者として公開した。現在、米SANS Technology Instituteの理事であり、Cloud Security Alliance（CSA）の米アトランタ支部の責任者でもある。