Microsoft 365のセキュリティ対策。クラウドサービス活用時の注意点とは？

かつてパッケージビジネスだったマイクロソフトのOfficeシリーズは、「Microsoft 365」としてサブスクリプションモデルとなり、ユーザーは常に最新のアプリケーションをオンライン経由で使えるようになりました。

ここで心配なのがセキュリティ面です。「クラウド＝セキュリティへの不安」と懸念される方も少なくないでしょう。当然ながらMicrosoft 365では、さまざまな角度でセキュリティ対策が講じられています。

本記事ではMicrosoft 365の概要とセキュリティ対策の内容を説明し、民間事業者が考えるべきクラウドサービス活用時のセキュリティ対策ポイントをお伝えします。

Microsoft 365とは？

Microsoft 365とは、PowerPoint・Word・ExcelなどのOffice 365製品をはじめ、Windows OSやEMS（Enterprise Mobility + Securit）を組み合わせた統合型ソリューションを指します。

マイクロソフトのホームページでは「ユーザーと企業がより多くのことを達成できるように、革新的なOffice アプリ、インテリジェントなクラウド サービス、最高水準のセキュリティをひとつにまとめたソリューション」と表現しています。

参考：Microsoft「Microsoft 365とは」

Microsoft 365とOffice 365の違い

Microsoft 365は、2020年4月からOffice 365が名称変更して生まれたソリューションです。特に大きく異なる点がユーザーへの提供方法です。

Office 365は、買い切り型の永続型ライセンスによる提供形態でした。つまり、初期費用としてパッケージ購入額が必要となりますが、それを支払えば、あとは追加費用をかけることなく永続的にパッケージ機能を利用することができました。

一方でMicrosoft 365は、月額課金型のサブスクリプションモデルで提供されています。Office 365で必要だった初期費用の発生はなく、毎月の支払価格はプランによって異なります。

これだけ聞くと「一括で最初に支払った方が、長く使う分にはお得だ」と感じる方もいるかもしれませんが、問題はサポート期間です。ソフトウェアは、開発されたタイミングから陳腐化がスタートし、時間が経過するにつれてセキュリティホールや機能的な制約など、さまざまな問題が発生します。メーカーがサポートをしている間はそれらに対応したバージョンが追加開発されパッチとして適用できますが、サポートが終了したバージョンについては対応がなされません。

つまり、永続型ライセンスと言っても、実質的にサポートが切れたバージョンを使い続けることは、ユーザーとしては非常にリスクの高い行為だと言えます。

これに対してサブスクリプション型で提供される商品・サービスにおいては、メーカーは最新の機能を該当バージョンに適用し続けて提供することになります。よって、ユーザーはサポート期限を気にすることなく、常に最新の機能を使い続けることが可能です。

つまりMicrosoft 365は、Office 365と比較して、より中長期的な活用を想定して提供されているものとなります。

それ以外にも、利用できる機能やそれに伴うターゲット、価格の違いもあります。詳細は以下の記事をご参照ください。

関連記事：Microsoft 365とOffice 365の違いとは？機能や活用シーンを紹介！

Microsoft 365を活用するメリット

Microsoft 365を利用すると多くのメリットを享受できます。

まず、Microsoft 365は従来のパソコン端末だけでなく、スマートフォンやタブレットにも対応しています。1ライセンスで最大15台のデバイスに連携可能で、デバイスの種類を選ぶ必要がなく、利用チームの状況に応じて柔軟にデバイスを活用できます。

また先ほどお伝えしたように、サポート切れによるセキュリティリスクが発生する心配がないこともメリットと言えるでしょう。

さらに、Microsoft 365はウイルスやマルウェア対策も万全です。こちらについては、次の章で詳しく見ていきます。

■合わせて読みたいページ

Microsoft 365のセキュリティ対策内容

Microsoft 365が搭載・実施しているセキュリティ対策について、ここでは6つに分けてご紹介します。

暗号化された通信

Microsoft 365では、ユーザーの端末とクラウドサービス間の通信を全て「暗号化」しています。要するに、例え盗聴等をされたとしても、第三者にとって意味をなさない値に変換された形でのデータのやりとりとなるため、極めて安全にデータ通信を任せることができます。

セキュリティグループ機能

Microsoft 365には、アクセス権限を司る「セキュリティグループ」機能が搭載されています。具体的には、SharePoint（コラボレーションやドキュメント管理等を行うためのソフトウェア）などのMicrosoft 365リソースへのアクセスを制御し、ユーザーおよびデバイス単位でグループを設定できます。よって、業務範囲によって閲覧可能なデータをより簡単に設定することが可能です。

メールのフィルタリング機能とトランスポートルール機能

Microsoft 365のメールサービスには、Exchange Online Protection（EOP）と呼ばれる、スパムやマルウェアなどの脅威から組織を保護するフィルタリング機能が標準で搭載されています。ユーザーは特別に意識することなく、デフォルトのEOP設定のままで、悪意のあるメールを弾いてメールサービスを利用できます。

また、Exchange Onlineから送受信するメールに対して特定の条件を設定し、対象メールに決められた処理を実行させる「トランスポートルール」という機能も標準搭載されています。たとえば、社外の特定ドメインにメールを送信しない、メールの送信には上長の承認が必須などのルールが考えられます。上述のフィルター機能と併せて設定・活用することで、必要なメールを見落とすことなく、悪意のあるメールのみを弾いて業務を進行できます。

冗長化されたデータ保存

日本リージョンにおけるMicrosoft 365のデータは、3箇所の日本データセンターで管理しています。また、それぞれのデータセンター内およびデータセンター間同士で冗長管理がなされているため、万が一災害などで片方のデータセンターが消失しても、もう片方のデータセンターが問題なければ、そのままMicrosoft 365を使い続けることができます。

不正アクセス対策に向けた2段階認証機能

Microsoft 365には2段階認証機能が搭載されているため、ログインにおける当人認証強度を、より一段と高く設定できます。具体的には、1段階目でID/パスワードを入力したあとに、電話やSMS（ショートメッセージ）などで追加認証を必要とすることが可能です。

24時間365日のサポート体制

多くのITクラウドベンダー大手が実施しているように、Microsoft 365でも、一般法人向けにMicrosoft Online Services テクニカルサポートが24時間365日体制で提供されています。具体的には、電話とWebでの問い合わせ（Microsoft 365 管理センター）の2種類の方法が提示されています。有事の際には、すぐに問い合わせ対応を受けることが可能です。

クラウドサービスを活用する際のポイント

最後に、Microsoft 365のような「クラウドサービス」を活用する際のポイントについて解説します。

セキュリティ対応レベルが高いクラウドサービスを選定する

何よりもまず、セキュリティ対応レベルの高いクラウドサービスおよび事業者を選定しましょう。

データのバックアップ体制や冗長化対応はもとより、アクセスログ管理やハード障害などの対策状況、通信データの暗号化の有無、脆弱性判定の実施状況と対策状況など、自社が求めるセキュリティ強度に応じて十分にチェックすることが大切です。

IDの適切な管理

クラウドサービスを使う際には、必ずユーザーを一意の単位で表現するIDが前提となります。このID管理を適切に行うことが重要です。

退職者などの不要なIDの無効化や、ログインに必要なパスワードの「ワンタイムパスワード」化、連続入力への回数制限など、複数の施策実施を検討しましょう。

情報の「ログ化」

何かセキュリティ事故や確認事項が発生した場合に、必要となるのが「ログ」です。誰がいつどのような処理を実行したのかを定量的に把握できるよう、ログを明確に残せるよう設定しておくことが、情報漏えい等の発生時に役立つだけでなく、セキュリティリスクの予防にもつながります。

社内体制の整備

クラウドサービスの利用に向けて、社内体制を整備することも大切です。チームの中で誰がどの情報にアクセスできるかを明確化し、セキュリティインシデント発生時にどのような対応を進めれば良いかのフロー設定など、具体的なアクションベースで策定・整備を進めることが重要です。

なお、企業によるセキュリティ対応については、以下の記事も関連トピックとしてご参照ください。

関連記事：情報漏洩のリスクと対策は？企業の個人情報漏洩やテレワークでの事例も解説
MDM（モバイルデバイス管理）とは？ EMM、MCM、MAMとの違いとともに解説

クラウドサービスの利用とセキュリティ対策は不可分の関係性

ここまでご覧いただいたとおり、クラウドサービスの利用とセキュリティ対策の確認および実施は不可分の関係にあります。本記事で言及した、クラウドサービスを活用する際のポイントを今一度確認し、自社に最適なソリューションの導入を進めましょう。

コネクシオが提供するLINE WORKSも、堅牢なセキュリティを構築したビジネスチャットです。コミュニケーションDXのセキュリティ面に不安のある担当者は、ぜひお気軽にご連絡ください。

■合わせて読みたいページ