調査結果によると、2025年9月から2026年9月の1年間に不正アクセスやアカウント侵害、あるいはその疑いに直面した企業は全体の71.5％に達している。特筆すべきは、これらの侵害や疑いが発生した企業のMFA適用状況だ。被害に遭った、または疑いがあった企業の89.8％はMFAを適用していた。MFAを適用していなかった企業はわずか6.3％で、「MFAを導入していなかったから侵害された」という説明では事態の全体像を捉え切れない。

　問題の本質は、MFAの有無ではなく個別アカウントの運用実態にある。侵害またはその疑いがあった対象アカウントごとのMFAの状況を分析すると、「適用していたが、一時的に無効化・除外されていた」ケースが43.0％を占め、最多だった。次いで「適用していたが、認証方法・設定に問題があった」が21.4％だ。これらを合算すると、全体の64.4％のアカウントで、MFAを適用しながらも実質的に機能していない状態だったことが分かる。

　システム移行期間の措置やMFAが利用不可なレガシー業務アプリケーションの利用など、業務上の理由で特定のアカウントをMFAの対象から一時的に除外する場合がある。しかし、その一時的な除外措置が解除されず、恒久的な設定として放置されることで、攻撃者に狙われる脆弱（ぜいじゃく）な入り口を作り出している構造が読み取れる。

一度きりの点検と見落とされる内部統制

　セキュリティ設定の点検体制にも継続性の欠如が表れている。「Microsoft セキュアスコア」や「CIS Benchmark」といったセキュリティ推奨基準を用いて、自社の設定状態を点検した経験を持つ企業は82.6％に上る。自社の設定に自信を持っている企業も67.1％を占める。しかし、その設定点検を定期的に続けていると回答した企業は32.7％に急減する。多くの企業で、設定の点検が導入時や特定のタイミングでの一度きりの作業になっている。

　見直された設定項目を見ると、セキュリティ施策の偏りが生じていることも明らかになった。見直し項目の上位は、ログイン時の条件によって利用を制限する「条件付きアクセス」が40.4％、管理者アカウントの保護が32.2％だ。これらはシステムの入り口における防御策として重視されている。

　一方で、システム内部の権限や監視体制への意識は低い。「OAuth」による外部アプリケーションとの連携許可範囲を見直した企業は11.0％、誰がいつ何をしたかの記録を管理する監査ログやアラート設定を見直した企業は10.1％にとどまる。「Microsoft 365 Copilot」をはじめとするAIツールとの連携を導入している企業は90.1％に達したものの、これに伴うアクセス権限の定期的な見直しを実施しているのは29.4％に過ぎない。グローバル管理者などの強い権限を持つ特権ロールを定期的に棚卸しする企業も38.6％にとどまり、内部統制の維持に課題がある。

見直しを阻むのは「費用」ではなく「業務停止リスク」

　企業がセキュリティ設定の定期的な見直しや修正に踏み切れない背景には、どのような障壁があるのか。「Microsoft 365 E5」などの上位ライセンスに移行するための費用を障壁として挙げた企業は10.8％にとどまり、費用が最大の要因ではないことが示された。

　設定見直しの障壁として上位を占めたのは、「設定の画面や項目が分かりづらい」の32.5％と、「既存の業務や連携アプリが利用できなくなるリスクがある」の31.8％だ。Microsoft 365はクラウドサービスとして継続的に機能の追加や既定値の変更が発生するため、管理画面の構造も変化する。システム担当者は、設定変更によって既存の業務プロセスが停止するリスクを恐れており、安全に設定を変更するための判断材料が不足している現状がある。

　限られた人員でMicrosoft 365などのクラウドサービスを安全に運用するには、新しいセキュリティ製品を次々と追加する前に、現状の設定が推奨基準からどの程度ずれているのかを可視化する必要がある。業務影響のリスクを排除するための明確な判断材料を持ち、一時的な除外設定を定期的に本来の推奨状態に戻す仕組みが重要だ。