3分でわかる！クラウドセキュリティ診断

資料をダウンロードする《無料》

中小企業の情シス1,000人に聞いた

「クラウドサービスのセキュリティ対策」
実態調査結果を発表！

急増中のクラウド経由の情報漏洩にどう対策している？クラウドサービスを利⽤している企業様の対策状況や課題を調査しました。

資料をダウンロードする《無料》

Microsoft 365の普及

Microsoft 365 とは、マイクロソフト社が提供する業務用アプリケーションを、クラウド上で提供するサービスの総評です。

コロナ禍によって普及したテレワークにより、Microsoft 365の利用が増加しました。2020年にわずか数カ月で利用が3倍増加したWeb会議ツール「Teams」も、Microsoft 365の一つのアプリケーションです。
また、マイクロソフト社の提供するOfficeを使用していた企業も、近年の働き方改革やクラウドシフトの波でMicrosoft 365に切り替える企業が増加しております。
国内のほとんどの企業がWord、Excel等のOffice製品を利用していると考えられるため、いざクラウドに移行しよう、という際もマイクロソフト社のサービスであるMicrosoft 365を選択する企業が圧倒的に多い、ということもあるでしょう。

Microsoft 365のプランや機能

ひとくちにMicrosoft 365とはいっても、従来のOffice製品やTeams以外にも、SharePoint（情報共有サービス）やOneDrive（オンラインストレージ）、Exchange（電子メールサービス）など、提供しているサービスは多岐にわたっています。
また、提供するサービスはプランによって異なります。

※ 2023年6月時点の情報　詳細はマイクロソフト社のサイトでご確認ください

Microsoft 365はどのプランにおいても非常に多機能なサービスが提供されるため、導入時の検討要素は広範囲になります。
また、各機能によって管理設定項目が数多く存在するため、管理者が一元管理しこれらの設定をセキュアな状態に維持し続けることが、大変困難です。
コロナ禍で緊急的に導入された企業の方は、いち早く利用開始できることに注力するあまり、セキュリティ面がおろそかになることが想定されますが、セキュリティ対策は大丈夫でしょうか？

Microsoft 365 設定不備によるセキュリティリスク

Microsoft 365を導入している企業にとっては、Microsoft 365は企業が守るべき機密情報などがふんだんに詰まった倉庫であり、クラウドサービスであるが故に、倉庫の前までは誰でもアクセスすることが可能です。
設定次第では容易に倉庫の中に入られ、情報を好きなように入手・改ざんされる可能性があるでしょう。
「うちはMicrosoft 365に機密情報など置いていないから」と安心してはいけません。
ユーザーの利用方法によっては、機密情報を配置していなくとも、さまざまなリスクが存在します。

・アカウントを乗っ取り、お客様などの関係者に対しての詐欺行為に使用される
・SharePoint外部共有リンクを通して攻撃者に情報を取得される
・カレンダーが外部公開され、機密情報が外部に漏えいする
・外部ドメインへメールを転送してしまい、情報が漏えいする
・フィッシングメールの踏み台となり、スパムメールを配信する

情報の倉庫という観点のリスク以外にも、さまざまなリスクが存在するMicrosoft 365を安全に利用するため、
しっかりとセキュリティ対策を実施したいという企業は多いです。
セキュリティ対策のベースラインを決め、確認をおこなっていく必要があると考えます。

Microsoft 365 の CISベンチマーク

そこで、CISベンチマークと呼ばれるものをご存知でしょうか？
Center for Internet Security が公開しているベストプラクティス集で、クラウドやシステムを安全に構成するための基準などを取りまとめたドキュメントです。
OSやソフトウェアからクラウドサービスまで、さまざまな環境に対するベストプラクティスがまとめられています。

　CIS Benchmark – CIS (Center for internet Security)

その中でも、今回はMicrosoft 365のCISベンチマークをご紹介します。
項目が6分類されており、分類毎に確認内容が細かく定義されています。
Microsoft 365を安全に使用するために、一体何からどう手を付ければよいのか困っている管理者にとっては大変有益な情報となり、活用していくべきドキュメントです。

この様に、CISベンチマークは、網羅的にセキュリティに関する設定について、確認するべき項目が整理されています。

ベンチマークを活用した確認ポイント

多くの事例をみてきた中で、特に注意すべきポイントをピックアップして説明します。

(1) 多要素認証

弊社が最も重要と捉えている項目は「認証」に関わる項目です。今や常識となってきている多要素認証の設定はしっかりとチェックをしておくべき重要ポイントとなります。
お客様によっては、ユーザビリティが悪くなる事を懸念されている場合があります。
しかし、クラウドサービス提供者との責任範囲の分界点上、認証を疎かにしてセキュリティ事故がおきた場合、クラウド利用企業の責任になってしまいますので、対応が必要な項目であると考えます。

(2) 外部共有リンク

SharePointを使用した際において、外部共有リンクに関する確認項目があります。
クラウド特有の便利な機能であるものの、リンクの共有期間が長くなると、意図したユーザー以外にアクセスされるリスクが高まります。
ユーザーは意識せず共有リンクを利用している場合が多いので、有効期限の設定を見直すことが推奨されています。
共有相手のダウンロードが終われば直ぐに共有リンクを解除するべく、最低限の共有期限を設定する、ということが本項目での重要なポイントとなります。

(3) ゲストユーザー

また、ゲストユーザーに関する項目も確認しておく必要があります。
ゲストユーザーを活用すると、Teamsで共同作業を行うなど、社外のユーザーとのコラボレーションが可能となり、業務やプロジェクトなどを円滑に進める事が可能です。
ゲストユーザーを利用した共同作業も外部共有と同じくクラウド特有の便利な機能ではありますが、誰がゲストユーザーを招待する権限を持っているのかという点は確認が必要です。
また、ゲストユーザーの一覧は、定期的にチェックし、必要最低限のユーザーのみが登録されていることを確認してください。

(4) 運用に関する項目

CISベンチマークでは、セキュリティリスクに関する確認項目だけでなく、「各種レポート機能をどのような運用で確認していくか」といった日々の運用に関する確認項目も存在します。
弊社でCISベンチマークをもとにお客様の環境を確認した際、「運用方法まで検討する時間がなく放置していたので、このようなアドバイスはありがたかった」と、お客様よりお言葉をいただいたことがありました。

最後に

CISベンチマークについて、今回は確認ポイントを4点を抜粋してご紹介しましたが、CISベンチマークはSaaSセキュリティ設定の有効なベースラインとして、無償で活用することができます。
網羅的にセキュリティ設定の確認が可能で、システムの設定項目だけでなく、日々の運用に潜むリスクにも着目した確認が可能となり、管理者にとっては大変有益な情報を提示してくれます。
なお、Microsoft 365をはじめとするクラウドサービスは、さまざまな設定やサービスがユーザーの意思とは関係なく次々と追加されますので、ご留意ください。
今回はMicrosoft 365のCISベンチマークをご紹介しましたが、その他OSやサーバーなど、さまざまな種類のCISベンチマークが提供されておりますので設定状況の確認が必要な際には、是非ご確認ください。
項目数の数が多く英語表記となるため「定期的な確認が困難だ」という場合には是非弊社にご相談ください。
Microsoft 365セキュリティ診断の詳細については、こちらをご確認ください。

エムオーテックス株式会社
クラウドセキュリティ診断チーム

掲載されている情報は、投稿日の情報です。最新の情報と異なる場合がありますのでご了承ください。

3分でわかる！クラウドセキュリティ診断

資料をダウンロードする《無料》

中小企業の情シス1,000人に聞いた

「クラウドサービスのセキュリティ対策」
実態調査結果を発表！

急増中のクラウド経由の情報漏洩にどう対策している？クラウドサービスを利⽤している企業様の対策状況や課題を調査しました。

資料をダウンロードする《無料》