Microsoftが矢継ぎ早にMicrosoft 365のセキュリティ強化策を打ち出している。M365 Appsのセキュリティベースライン公開、Teams管理センターへのTrust機能追加、そしてDefender for Office 365 Plan 1のE3プランへの標準搭載——これらが同時に展開され始めた。日本のIT現場にとっても他人事ではない動きだ。

セキュリティベースラインとは何か

「セキュリティベースライン」とは、Microsoftが推奨するセキュリティ設定の基準値をまとめたものだ。今回のM365 Apps向けベースラインは、Word・Excel・PowerPoint・Outlookといったアプリ群に対して、どのポリシーをどの値に設定すべきかを明示した公式ガイダンスとなる。

これまでも非公式の推奨設定はあったが、今回は明確に「ベースライン」として整理された。つまり、「このポリシー設定を下回るのはリスクがある」という公式のラインが引かれたことを意味する。グループポリシーやIntune経由で展開できるため、大規模環境でも適用しやすい。

Teams管理センターのTrust機能

Teams管理センターに追加されたTrust機能は、外部ユーザーや外部テナントとのコラボレーション時の信頼レベルを細かく制御するものだ。どのテナントを「信頼する」か、どの操作を許可するかをきめ細かく管理できるようになる。

ゼロトラストのコンセプトである「すべてを検証し、最小権限を付与する」に沿った機能拡張であり、特にマルチテナント環境を持つ企業や、顧客・パートナーと頻繁にTeamsを使ってコラボする組織にとって重要な管理ポイントとなる。

E3にDefender for Office 365 Plan 1が標準搭載

今回の施策の中で最も実務的なインパクトが大きいのが、Defender for Office 365 Plan 1のE3プランへの標準搭載だ。これにより、Safe Links（URLの動的検証）やSafe Attachments（添付ファイルのサンドボックス検査）などの機能が、E3ライセンスのユーザーも追加コストなしで利用できるようになる。

これまでこれらの機能はE5ライセンスまたは別途アドオン購入が必要だった。E3止まりで運用している中堅企業にとっては、実質的なセキュリティ機能の引き上げが無償で行われることになる。

Security Copilotは2026年4月〜6月にE5向け段階展開

AIを活用したセキュリティ分析機能であるSecurity CopilotについてはE5ライセンス向けに、2026年4月20日から6月30日にかけて段階的に展開される予定だ。セキュリティインシデントの要約・分析、脅威の自動調査などを支援する機能群であり、セキュリティオペレーションチームの負担軽減に貢献することが期待される。

実務への影響——日本のIT管理者が今すぐすべきこと

1. ベースラインの把握と現状ギャップの確認 公開されたM365 Appsセキュリティベースラインを入手し、現在の組織ポリシーとの差分を確認する。特にIntuneやグループポリシーを使ってM365アプリを管理している場合、どの設定がベースラインを下回っているかを可視化することが第一歩だ。

2. E3環境ではDefender機能の有効化を確認 E3ライセンスを使っている場合、Safe LinksやSafe AttachmentsがテナントでONになっているか確認する。ライセンス上使えるようになっても、管理者が明示的に有効化しなければ機能しない設定も多い。

3. Teamsの外部連携ポリシーの棚卸し Trust機能が追加されたこのタイミングで、外部テナントとの共有設定を一度見直す良い機会だ。「なんとなく許可になっている」設定が残っていないか確認する。

筆者の見解

セキュリティは正直、細かい話が多くて食指が動きにくいジャンルではある。が、今回の一連の施策はその「細かさ」の中でも骨太な方向性が見えるものだと思う。

E3へのDefender標準搭載は、現場への影響という意味では地味に大きい。これまで「E5は高くて買えないので、Safe Linksは諦めている」という組織が日本にも相当数存在する。その現実に対してMicrosoftがアンサーを出したと読むことができる。セキュリティ機能を「上位プランだけの特権」にし続けることのリスクを、Microsoftが認識したということでもある。

セキュリティベースラインの公式化も評価できる。「ベンダーの推奨には理由がある」と常々思っているが、その推奨が公式ドキュメントとして整理されることで、管理者がステークホルダーに説明するための根拠が得られる。「MicrosoftがこのポリシーをONにしろと言っている」という文書は、現場でのセキュリティ施策の推進力になる。

Zero Trustを本気でやろうとすると、ネットワーク・認証・認可の3層すべてに手を入れる必要がある。今回のTrust機能や設定ベースラインの整備は、「認可層」の管理をより精緻にするための布石として機能する。道のりはまだ長いが、プラットフォームとして必要な仕組みを着実に積み上げているのは確かだ。MicrosoftにはMicrosoft 365という強力なプラットフォームがある。この方向で積み上げ続ければ、エンタープライズのセキュリティ基盤として揺るぎない地位を確立できる力は十分にある。

出典: この記事は Microsoft Rolls Out Security Baseline for Microsoft 365 Apps, Teams Admin Center Trust Features の内容をもとに、筆者の見解を加えて独自に執筆したものです。