米国土安全保障省（DHS）の傘下のセキュリティ専門機関であるサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が2019年5月に公開した報告書は、Microsoft 365のID管理サービス「Azure Active Directory」（Azure AD）の管理者アカウントにおいて、多要素認証（MFA）がデフォルトで有効になっていない点を指摘した。管理者アカウントは最高水準の権限を持つため、その保護は重要だ。デフォルト設定を変更して、管理者のMFAを必須とすれば、セキュリティ強化に向けて大きく前進できる。

対策5．メールボックス監査の有効化

　CISAの同報告書は、2019年1月までMicrosoft 365の「メールボックス監査」機能がデフォルトで有効になっていなかったことも指摘した。この機能は、エンドユーザーの操作履歴を記録し、ポリシーに違反した操作がないかどうかを検査できるようにする。セキュリティチームは、この機能がデフォルトで有効になっていることを確認しなければならない。

対策6．パスワード同期の必要性の判断

　「Azure AD Connect」は、オンプレミスのディレクトリサーバ「Active Directory」（AD）とAzure ADの設定を同期するツールだ。オンプレミスの「Microsoft Office」からMicrosoft 365に移行する際、デフォルトではAzure AD Connectが、オンプレミスADのパスワードでAzure ADのパスワードを上書きする。つまり、もしオンプレミスADのIDが不正アクセスされていた場合、攻撃者は同期の際に、クラウドサービスでの侵害行為につなげられる。パスワードの同期が必要な場合は、クラウドサービスに対するオンプレミスのインフラ起因の攻撃や、オンプレミスのインフラに対するクラウドサービス起因の攻撃の危険性について、入念に検討する必要がある。

対策7．レガシープロトコルからの脱却

　「POP3」（Post Office Protocol 3）や「IMAP4」（Internet Mail Access Protocol 4）といったレガシーなメールプロトコルを利用している場合、MFAの利用を強制できない場合がある。CISAはこうしたレガシープロトコルの利用を停止するよう勧告している。

対策8．ソフトウェアとOSの更新

　「Office 2007」のような古いバージョンのソフトウェアには既知の脆弱（ぜいじゃく）性がある。Microsoft 365に移行する前に、移行対象のソフトウェアを現行バージョンに更新すべきだ。

対策9．サードパーティーアプリケーションのテスト

　Microsoft 365をサードパーティーアプリケーションと組み合わせて使用する場合は注意を要する。社内で開発したものであれ、社外開発のものであれ、Microsoft 365と連携させる前にセキュリティテストを実施しなければならない。

　後編は、残りの10～12個目の対策を紹介する。