中小企業のMicrosoft 365で先に直すのは、多要素認証、古い認証の停止、共有設定、管理者アカウント、メールの保護の5項目です。追加の製品を買う前に、いまの契約と管理画面でできる範囲から進められます。
今日やることは、メールを自動で送っている機械と仕組みの洗い出しです。複合機のスキャン送信、設備の異常通知、受発注システムの通知などを書き出してください。2026年12月末に、SMTP AUTHの基本認証の扱いが変わるからです。
1：多要素認証を全員に適用する
使う方法はライセンスで決まります。Microsoftの説明を整理すると、次のとおりです。
| 方法 |
使える条件 |
向いている会社 |
| セキュリティの既定値群 |
Entra ID Freeを含むすべての組織 |
複雑な要件がなく、一律でよい |
| 条件付きアクセス |
Entra ID P1またはP2 |
人や状況ごとに条件を分けたい |
| ユーザーごとのMFA |
すべての組織（推奨されていない） |
新しく選ばない |
ユーザーごとのMFAが残っていると、ほかの方法を使う前にオフにする必要があります。先にどの方法で動いているかを確かめてください。
セキュリティの既定値群は、［Entra ID］→［概要］→［プロパティ］で有効にします。Microsoftによれば、2019年10月22日以降に作られたテナントでは有効になっている可能性があります。登録の猶予だった14日間は、2024年7月29日以降なくなりました。
Microsoftは、多要素認証がID関連の攻撃の99.2%超を防げるとしています。これはMicrosoftの調査の数字で、自社で同じ効果が出ると決まるわけではありません。
条件付きアクセスのポリシーがある組織では、既定値群を使う前提が変わります。英語版の説明は、既定値群が向く組織として「条件付きアクセスのポリシーがない」ことを挙げています。
2：古い認証を止める
古い認証とは、多要素認証に対応していないログインの方式です。Microsoftの分析では、盗んだパスワードの使い回しを狙う攻撃の97%超が古い認証を使っています。
Exchange Onlineの説明によれば、OutlookやPOP、IMAPなどの基本認証はすでに削除されました。残っている主な論点がSMTP AUTHです。
SMTP AUTHの基本認証の予定（Microsoftの発表）
- 2026年12月まで：今の動きのまま
- 2026年12月末：既存のテナントで既定で無効。管理者は有効に戻せる
- 2026年12月より後に作るテナント：既定で使えない
- 2027年後半：最終的な廃止の日を発表
製造業で確かめる場所
たとえば、工場の複合機がスキャンした図面をメールで送っている場合です。Microsoftの手順は、スキャナーや業務アプリからのメール送信を説明しています。古い機種や長く使っている業務システムは、基本認証のまま動いているかもしれません。
機械ごとに、送信に使っているアカウント、認証の方法、OAuthへの対応を確かめます。対応できない機械は、販売店に聞くか、手順のページにある別の送信方法を検討します。
変更の日が来てから動かすのは避けたいところです。止まると、気づくのは通知が来なくなった後になるからです。
既定値群にも注意が要ります。古いメールの方式を止める機能を含むので、有効にすると同じ機械が止まる場合があります。条件付きアクセスを使える会社は、Microsoftの手順どおり「レポート専用」で影響を見てからオンにします。
3：社外との共有の範囲を絞る
共有の設定は、SharePoint管理センターの［ポリシー］→［共有］にあります。SharePointとOneDriveの共有の上限をここで決めます。サイトごとの設定は、組織の設定と同じか、それより厳しいものにしかできません。
共有の範囲は、広い順に次の4段階です。
- すべてのユーザー：リンクを持つ人は、認証なしで開ける
- 新規および既存のゲスト
- 既存のゲスト
- 組織内のユーザーのみ
最初に確かめるのは1の扱いです。使う必要がなければ、2以下に変えます。業務で使い続けるなら、リンクに有効期限を設定し、権限を閲覧のみに制限できます。
変更の前に確かめること
Microsoftの説明では、外部共有を制限すると、通常1時間以内にゲストがアクセスできなくなります。やり取りの途中の案件がないか、対象の部署へ先に確かめます。
合わせて見直すのは、次の2つです。
- 既定のリンクの種類：共有の画面で最初に出る選択肢。［特定のユーザー］が最も制限が強い
- ゲストのアクセスの有効期限：期間を過ぎたゲストのアクセスが切れる設定
この2つは、社員が操作を誤らなくても効く設定です。全員に注意を呼びかけるより先に、画面の初期値を変えます。
4：管理者アカウントを分ける
会社を登録したアカウントは、自動でグローバル管理者になります。そのアカウントを、社長や担当者が普段のメールにも使っていないかを確かめてください。
Microsoftの資料をもとに、見る点は次の4つです。
- グローバル管理者は5人未満に抑える
- 管理の作業と普段の仕事で、アカウントを分ける
- 仕事に必要な権限だけを渡す（利用者を作るだけなら、グローバル管理者にしない）
- 緊急用の管理者アカウントを少なくとも2つ用意する
緊急用のアカウントは、特定の個人に割り当てず、緊急時だけ使うものです。扱いに注意が要るので、作るときは上のMicrosoftのページの手順を見てください。
委託先の情報システム会社が管理者権限を持っている場合は、その一覧も確かめます。契約が終わった会社の権限が残っていないかどうかは、人の数を数えるだけでは分かりません。
5：メールの保護と記録を確かめる
メールの保護は、事前設定されたセキュリティポリシーから入ると、個別に設定しなくて済みます。推奨の設定を、まとめて利用者に割り当てる仕組みです。標準の保護と厳格な保護は、初めて開いたときにオフになっている場合があります。
契約によって使える保護が変わります。Defender for Office 365があるかを確かめ、足りない場合はメールセキュリティの製品比較で他の製品も確かめられます。
記録も一緒に確かめます。Microsoftの説明では、Business Basic、Business Standard、Business Premiumなど中小企業向けライセンスの監査は既定で有効ではなく、手動で有効にする必要があります。
有効にしていないと、後から何があったかを調べられません。有効にすると、ログは180日間保持されます。［Purview］ポータルで今の状態を確かめてください。
5項目を直したあと、続けるには？
設定は一度直しても、人の入れ替わりや機能の追加でずれていきます。Microsoft セキュアスコアを見ると、推奨される対策がどれだけ実施されているかを確かめられます。点数を上げること自体を目的にせず、未対応の項目を上の5つと照らし合わせて使います。
複数のSaaSの設定をまとめて見たくなったら、SSPM（SaaSの設定管理）の製品比較が次の候補です。認証を製品として強くしたい場合は、多要素認証の製品比較で方式と費用を確かめられます。
Google Workspaceも併用しているならGoogle Workspaceの共有とログインの見直し、社員が使うクラウド全体を見たいならCASB製品の比較の見方へ進みます。クラウド全般の考え方はクラウドセキュリティの記事一覧にまとめています。
