Microsoft 365のセキュリティ対策12選【前編】

「Microsoft 365」の“セキュリティ専任チーム”が担うべき役割とは？

「Microsoft 365」のセキュリティを強化するために、何をすべきだろうか。組織、情報収集、認証の観点から、重要なセキュリティ対策を紹介する。

公開 2020年07月28日 08時30分

更新 2022年09月06日 19時48分

著者

Johna Till Johnson

[TechTarget]

印刷する連載新着通知を受け取る

　オフィススイートのサブスクリプションサービス「Microsoft 365」（旧「Office 365」）の導入、運用を試みる際に起こり得る、主な問題や設定ミスにはどのようなものがあるのか。それらの課題に対処するにはどうすべきなのか。本連載はMicrosoft 365のセキュリティを高める12項目のベストプラクティスを取り上げる。第1回となる本稿は、まず3つのセキュリティ対策を紹介しよう。

対策1．Microsoft 365セキュリティ専任チームの創設

併せて読みたいお薦め記事

Microsoft 365（Office 365）のセキュリティ対策

クラウドサービス利用時のセキュリティ対策

　まずはMicrosoft 365関連のセキュリティ対策を専門とするチームを創設するとよい。このチームが取り扱う業務の範囲は次の通りだ。

既知の問題を学習する
対策とベストプラクティスを従業員に勧告する
Microsoft 365の導入プロジェクトにおいて、セキュリティの観点から見た計画を立案する
システムインテグレーターと連携して、ベストプラクティスに沿った移行と導入を遂行する
問題が起きた場合はMicrosoftの技術エキスパートと直接やりとりする

対策2．Microsoftのドキュメントの参照

　Microsoftは自社製品・サービスの脆弱（ぜいじゃく）性、特に設定問題に関連する脆弱性について、さまざまな解説用ドキュメントを提供している。専任チームはこれらのドキュメントを定期的に見ることを習慣化して、内容に習熟しなければならない。

対策3．DMARC、SPF、DKIMの利用

　2020年にMicrosoftが発表したドキュメントでは、送信元ドメインの認証（送信ドメイン認証）技術「DMARC」（Domain-based Message Authentication, Reporting and Conformance）の利用を推奨している。DMARCは、送信者側が受信者側のメールシステムに対して、送信者本人になりすましたメールを受け取った際にどのように扱うかを設定できるようにする。これにより受信者側で、なりすましメールが開封されることを防ぐ。

　DMARCを他の送信ドメイン認証技術「SPF」（Sender Policy Framework）や「DKIM」（DomainKeys Identified Mail）と併用すれば、より強固な守りを実現し、なりすましやフィッシングのリスクを減らすことができる。Microsoft 365でこれらの送信ドメイン認証技術を利用するには、メールサービス「Exchange Online」を利用する必要がある。

　中編は、引き続き4～9個目の対策を紹介する。