Microsoft 365（旧Office 365）は、常に最新版のOfficeなどを使えるサブスクリプションサービスです。使い勝手のよさなどから導入企業が増えています。本記事では、Microsoft 365を企業内でより安全に使うための施策として、HENNGE OneやMicrosoft Defenderなどのセキュリティサービスを紹介します。
[RELATED_POSTS]そもそもMicrosoft 365とは?
Microsoft 365は、OfficeやTeamsなどが含まれる、クラウド上のサブスクリプションサービスです。具体的な特徴としては、
- 常に最新版のOfficeアプリケーションを利用できる
- クラウドストレージの容量が大きい（1TB）
- Mac、Windows、iOS、Androidなど、OSを選ばずに利用できる
- 複数名で同じファイルを編集するための「共有」機能を使える
といったことが挙げられます。
Microsoft 365が抱えるセキュリティリスクと対策機能
Microsoft 365には、社外からの不正アクセス、機密データの漏えい、従業員のミスなどによるデータの漏えいといったセキュリティリスクが存在します。これらのリスクに対して、2段階認証、データ漏えい対策、セキュリティグループなどの機能と仕組みを設けることで対策しています。
不正アクセスを防ぐための対策機能
Microsoft 365では、万が一IDやパスワードを盗まれたとしても、それだけではアクセスできないよう、2段階認証を設定できるようになっています。具体的には、
- 1段階：ID/パスワードなどを入力
- 2段階：電話、SMS（ショートメッセージ）、モバイルアプリなどで認証
といったもので、2段階のステップが完了しない限り、ユーザーは目的のデータにアクセスできません。
データ漏えいを防ぐための対策機能
データの漏えいは、不正アクセスだけでなく、ヒューマンエラーによって発生することもあります。このような万が一のデータ漏えい発生リスクに対して、Microsoft 365では、データ損失防止、トランスポートルールといった機能によって対策しています。
データ損失防止（DLP：Data Loss Prevention）は、社内の機密データを適切に共有するのに有効な機能です。特定のキーワードが含まれるデータなどを機密情報と認識し、許可されていないユーザーはアクセスできないようにします。さらに機密情報がメールなどで外部送信されようとした場合にこれをブロックし、管理者に通知する機能も備えています。
メールに関しては送受信を監視し、あらかじめ設定した条件に該当するメールに特定の処理を実行するトランスポートルールを適用することも可能です。例えば、ある条件に該当するメールの送信を禁止したり、上司の承認後にのみ送信できるようにしたりといった運用を行えるようになります。
データを保護するための対策機能
従業員のミスなどによるデータ漏えいに対しては、ユーザー単位でのアクセス権限設定を簡単に行えるセキュリティグループ機能が用意されています。セキュリティグループを作成する方法には大きく分けて、
（1）Microsoft 365管理センターを操作する
（2）PowerShellでコマンドを実行する
の2種類があります。Microsoft 365管理センターで作成する方法は、プログラミングの知識がなくても、簡単な操作でセキュリティグループを作れることが特徴です。PowerShellでコマンドを実行する方法は、新しいメンバーに権限付与する場合もコマンドを実行するだけで済むため、管理コストを抑えられます。PowerShellのコマンドを一度作っておけば、簡単に権限付与などができるので運用も簡単です。
クラウドサービスを利用するときは、災害などでサーバーが停止したときにどのような対策が取られているのかが気になりますが、Microsoft 365では、複数のデータセンターにデータを保存することでリスク回避を行っています。日本国内だけでも大阪・東京・埼玉の3カ所にデータセンターがあり、災害など何らかの原因であるデータセンターがダウンしたとしても、別のデータセンターにアクセス先を切り替えることで、継続して使えるようになっています。
Microsoft 365をより安全に使うためには
Microsoft 365を、よりセキュリティに万全を期したうえで利用するのであれば、
- 「Microsoft 365の安全性チェック」を確認する
- セキュリティサービスを利用する
といった対策を取る必要があります。
「Microsoft 365の安全性チェック」を確認する
管理者権限のあるアカウントで「Microsoft 365の安全性チェック」にアクセスすると、現状の設定に「点数」が付けられます。そのため、点数を見て足りないところを確認・設定するだけで、セキュリティレベルを引き上げることが可能です。
セキュリティサービスを利用する
Microsoft 365のデータ漏えいリスクのひとつに不正アクセスがあることは上述した通りです。万が一社内の管理者権限のあるユーザーが不正アクセスを行った場合には、OneDriveなどを使って重要なファイルを参照できてしまいます。不正アクセスに対しては別途、セキュリティサービスを利用して対策することがおすすめです。
Microsoft 365におすすめのセキュリティサービス
おすすめできるセキュリティサービスとして、Microsoft DefenderとHENNGE Oneを紹介します。
Microsoft Defender
Microsoft Defenderは、マイクロソフト社が提供しているマルチプラットフォーム対応のセキュリティサービスです。かつてはWindows Defenderといった名称でWindows 8以降のOSに搭載されていましたが、2019年3月にMac版が提供開始されたのにともない、Microsoft Defenderというサービス名称に統一されました。現在、Microsoft DefenderはWindows 10/11などに搭載されています。無償で利用できるウイルス対策やファイアウォールのほかにも多数の機能から構成され、有償サービスとしては、個人向けおよびビジネス（法人）向けが提供されています。特に法人向けであるMicrosoft Defender for Businessでは、セキュリティリスクを特定したり、リアルタイムでの保護が可能であったりなど、豊富な機能がそろっています。
Microsoft Defenderの価格
Microsoft Defenderは月額380円（税抜、年間サブスクリプションで自動更新）で利用できます。30日間無料で試用することも可能です。
HENNGE One
HENNGE One（ヘンゲ・ワン）は、クラウドサービスを利用する際に必要とされるセキュリティ対策をひとつのサービスで提供するソリューションです。国内マーケットシェア No.1を誇り、高い信頼性があります。不正アクセスに対しては、以下に挙げる機能で対策を強化できます。
- 豊富な多要素認証
IP制御やワンタイムパスワードなどの多要素認証機能はもちろん、デバイス証明書（HENNGE Device Certificate）を利用したアクセス元端末制御機能も搭載しています。
- メール誤送信対策
一時的な送信保留、送信メールのフィルタリング、個人情報を含む添付ファイルのクラウドストレージへの自動アップロードなどの機能が用意されています。メール誤送信による情報漏えいを防止します。
- 一元的なユーザー管理
Active Directoryと連携し、自社のユーザー情報を同期します。
- SAML 2.0認証によるシングルサインオン
追加の費用をかけずに、様々なクラウドサービスとのシングルサインオンを実現します。複数のクラウドサービスを利用する際も、ユーザーは何回もIDやパスワードを入力する必要はなくなり、使い勝手は大幅に向上します。
- アクセス状況監視
不正アクセスを監視・検知します。
HENNGE Oneの価格
HENNGE Oneには、利用できる機能によって「IdP Edition」「E-Mail Security Edition」「Suite」の3種類のプランが用意されています。
「IdP Edition」ではIDaaS(SaaS認証基盤)を中心に、アクセス制限や多要素認証、セキュアブラウザなどの機能が追加されたプランです。月額150円からと、リーズナブルな料金で利用できます。
「E-Mail Security Edition」は、メールセキュリティに特化したプランです。メールによる攻撃、情報漏えいを防げるほか、誤送信対策などのメールセキュリティ機能を利用できます。月額200円から利用できます。
「Suite」は「IdP Edition」および「E-Mail Security Edition」で提供される機能すべてを利用できるプランです。200を超えるSaaSサービスのシングルサインオンやメールディフェンダー、さらには脱PPAP（パスワード付きZIPファイルをメールで送り、解凍用パスワードを別メールで送る方法）対策や、従業員の入退社にともなうアカウント管理なども行えます。「HENNGE One Suite」には、カスタムユーザー属性の利用可能数の違いなどにより「Basic」「Pro」の2プランがありますが、「Basic」であれば、月額600円で利用できます。
まとめ
Microsoft 365には2段階認証など、セキュリティ上のリスクを回避する機能が搭載されていますが、企業で利用するには十分とは言えません。情報漏えいなどのセキュリティ事故を未然に防ぐためには、HENNGE Oneなどの不正アクセスを監視・検知するセキュリティサービスを導入し、万全な対策を取ることをおすすめします。
