マルチテナント向けMicrosoft 365セキュリティプラットフォームの選び方（失敗しないためのポイント）
10社以上のクライアントのMicrosoft 365を管理しているなら、どこで問題が生じているか既にお分かりでしょう。Entra IDでのテナントの切り替え作業。適切な優先順位付けのないDefenderのアラート。セキュア スコア、スプレッドシート、勘を頼りに追跡されるセキュリティ態勢。実際に問題が発生した際の遅く一貫性のない対応。
直感的に別のツールを探したくなりますが、通常それは間違った一手です。問題はツールではありません。運用モデルが大規模展開に耐えられないことであり、ほとんどのプラットフォームはそれを解決するように作られていないのです。
ですので、デモを始める前に、実際に何を取り除き解決しようとしているのかを明確にしてください。その答えがすべてを左右します。
マルチテナント向けMicrosoft 365セキュリティプラットフォームの選び方（失敗しないためのポイント）
ほとんどのMSPが抱えているのはツールの問題ではなく、運用の問題です。本記事は、無意味なデモに何ヶ月も費やすことなく、明確なプラットフォームの意思決定を行うための実践的なフレームワークです。
なぜMSPの規模になるとMicrosoft 365のセキュリティが破綻するのか
Microsoftのセキュリティスタックは非常に強力です。しかし、マルチテナント運用向けには構築されておらず、そのギャップが自然には解決しない4つの現実的な問題を生み出しています。
1. クライアント全体のリスクを可視化できない
各テナントはそれぞれの状況しか示しません。次のような問いに答える直感的な方法はありません。
→ 今、最もリスクに晒されている顧客は誰か？→ テナント間で共通して発生している課題はどこか？→ 全体の中で最初に修正すべき点は何か？
結果として、ビジネス全体のリスクを管理するのではなく、顧客ごとに後手に回った対応をすることになります。
2. モニタリングが成果ではなく作業を生み出している
ほとんどのセキュリティ監視ツールは意思決定ではなくアクティビティを表示します。不審なサインイン、受信トレイ ルールの変更、権限の昇格などが表示されますが、明確な優先順位付け、テナント横断的なコンテキスト、一貫した対応ルートは得られません。アラートが溜まり、本当の問題が埋もれてしまいます。
3. 態勢管理と対応が分断されている
セキュア スコア、ベースライン、ポリシーチェックなど、適切な態勢管理を導入しているかもしれません。しかし実際に問題が発生した際、対応は別の場所で行われます。ツールが異なり、ワークフローが異なり、時には担当者も異なります。
そのギャップこそがインシデントを悪化させる原因となります。
4. すべてが優秀なエンジニア依存になっている
業務の標準的な進め方を組み込んだプラットフォームがなければ：
→ 同じ問題が毎回異なる方法で解決される→ 若手スタッフが自信を持って対応できない→ シニアエンジニアがボトルネックになる
これはリスクが高く、拡張性もありません。
優れたプラットフォームが実際に果たす役割
マーケティングの文句を取り除けば、要するに4つの点に集約されます。評価する価値のあるプラットフォームであれば、これらすべてに対応しているはずです。
これら4つのことができなければ、それは管理対象が1つ増えるだけのツールに過ぎません。
✓ Assess（評価）- すべてのテナントで重要な問題を把握する
スコアやダッシュボードではなく、実際の誤設定、顧客間に共通するパターン、リスクの明確な優先順位付けです。どのクライアントが今最もリスクに晒されているか、そしてその理由をプラットフォームが提示できないのであれば、その役割を果たしていません。
✓ Harden（強化）- 一貫した方法で問題を修正する
複数のテナントに同じセキュリティ制御を適用し、長期間維持し、設定の乖離を防ぎます。すべての修正が手作業であるなら、それはプラットフォームではありません。単に今までやっていたことの高価なバージョンに過ぎません。
✓ Monitor（監視）- アラートのノイズを削減する
優れた監視はアラートを減らし、増やしません。量よりもコンテキストが重要です。プラットフォームは、何を処理すべきかの判断を助けるものであり、作業すべき長いキューを渡すものであってはなりません。
✓ Respond（対応）- クライアントを横断して迅速に対処する
シニアエンジニアがその場にいなくても、複数のテナントに対して同じアクションを数秒で安全に実行できるべきです。対応がいまだにテナントごとに行われている場合、検知機能では補いきれないリスクに晒されています。
誰も十分に取り上げていないアイデンティティと条件付きアクセスの問題
Microsoft 365の最も深刻なインシデントの多くは、マルウェアではなくアイデンティティから始まります。
侵害された資格情報。過剰な権限を持つアカウント。一度許可されたまま見直されていない永続的なアクセス。MFAのバイパス成功後に盗まれたセッション トークン。これらこそが現在重要な攻撃ベクターであり、多くのプラットフォームでは後回しにされています。
Conditional Access（条件付きアクセス）は、MSPにとって事態が複雑化する部分です。
クライアントごとにCAポリシーは異なります。適切に設定されているものもあれば、大半はそうではありません。そして、CAポリシーが意図する動作と実際に適用されている内容とのギャップこそが、攻撃者の活動領域となります。
次の機能を提供しないプラットフォームは：
→ すべてのテナントにわたるCAポリシーギャップの可視化→ 誤設定または欠落しているポリシーを大規模に特定する機能→ ポリシーが意図通りに実際に適用されていることの確証
...現在のMicrosoft 365で最も一般的な攻撃経路に晒されたままにしています。
トークンの盗難は事態をさらに悪化させます。盗まれたセッション トークンを持つ攻撃者はMFAを完全にバイパスします。つまり、監視システムが認証後の異常を特にとらえていない限り、適切に設定されたCAポリシーでさえ検知できません。
これは、多くのMSPがインシデントの発生後になって初めて気づく詳細です。プラットフォームは事象の前にこれを顕在化させるべきです。
プラットフォームを評価するためのフレームワーク
機能リストに気を取られてはいけません。デモでは、ベンダーは常に自社製品の優れている点を見せます。これら5つの質問は、製品が対応できていない点を明らかにするために設計されています。
質問1 - テナントをまたいで操作できますか、それとも閲覧できるだけですか？
多くのプラットフォームはマルチテナント ダッシュボードを表示しますが、アクションは依然としてテナントごとに1つずつ行われます。それはレポート作成であり、マルチテナンシーではありません。 すべてのデモでこの点を追求してください。
質問2 - 実際の露出状況を表示しますか、それともスコアだけですか？
実際の誤設定、コントロールの相互作用、そして堅牢化後にアクセスやリスクがどこにまだ残っているかをベンダーに見せるよう求めてください。
デモが「スコアは78%です」にとどまるようであれば、検討をやめましょう。
質問3 - 監視によって作業は削減されますか？
アラートの量、品質、そしてアクションが提案されるか自動化されるかを確認してください。他の場所からのアラートを集約するだけであれば、管理すべきインターフェースがもう1つ増えただけで、何も得られていません。
質問4 - 大規模かつ迅速に対応できますか？
直接尋ねてみましょう：
→ 複数のクライアントに対して同じアクションを即座に適用できますか？→ ジュニアメンバーでも安全に実行できますか？
回答が不確実な場合、対応は遅く、不整合なままになります。
質問5 - ツールスタックをシンプルにできますか？
優れたプラットフォームはスタックの一部を置き換えるものであり、その上に追加されるものではありません。何かを削減することなく、別のダッシュボード、ワークフロー、コスト層を追加するだけであれば、適切な問題を解決していない可能性があります。
追加の質問 - Conditional Accessとアイデンティティ リスクをどのように処理しますか？
これは多くのMSPが聞き忘れる質問です。以下を追求してください：
→ すべてのクライアントのCAポリシーのギャップを1か所で確認できますか？→ トークン盗難や認証後の異常を検出できますか？→ テナント間で過剰な権限を持つアカウントや永続的なアクセスを特定できますか？
回答があいまいな場合、そのベンダーにとってアイデンティティは優先事項ではありません。しかし、あなたにとっては優先事項であるべきです。
多くのMSPが見落としがちな幾つかのこと
🔴 グリーン（緑色）が安全を意味するわけではない
ギャップが存在していてもダッシュボードが正常に見えることがあります（特にアイデンティティとアクセスにおいて）。高いSecure Scoreと侵害されたテナントは排他的ではありません。数字だけで判断しないようにしましょう。
🔴 Conditional Accessのギャップは問題が発生するまで目に見えない
設定されているように見えるポリシーと、正しく適用されているポリシーは同じではありません。CAの誤設定は、Microsoft 365の侵入の最も一般的な根本原因の1つであり、テナント全体で適切なツールがないと最も特定が難しいものの1つです。
🔴 トークン盗難はコントロールを密かにバイパスする
MFAで終わりではありません。攻撃者は認証後にセッション トークンを盗み、MFAを完全にバイパスすることが増えています。プラットフォームが認証後の異常を監視していない場合、現在のスタックではカバーできていない検出ギャップが存在します。
🔴 リスクが実際に存在するのはアイデンティティである
最も深刻なインシデントのほとんどは、エンドポイントではなくアイデンティティに起因しています。侵害された資格情報、過剰な権限を持つアカウント、誰も気づかなかった永続的なアクセス。プラットフォームがこの領域を深掘りしない場合、他の何をカバーしていても不完全です。
🔴 一貫性は精巧さに勝る
12のクライアントのうち4つに適用される高度なコントロールよりも、すべてのクライアントに適用されるシンプルなコントロールの方が勝っています。信頼性はセキュリティのプロパティです。それを機能と引き換えにしてはいけません。
🔴 スピードはセキュリティ体制の一部です
テナントをまたいで迅速に行動できなければ、検知だけでは救われません。被害が発生するのは検知と対応のギャップです。対応を遅らせたり複雑にしたりするプラットフォームは、保護手段ではなくリスクとなります。
本当に問うべき問い
ほとんどのMSPが抱える問題はツールの不足ではありません。ツールを増やすことでかえって悪化している運用の問題です。
Microsoft 365のセキュリティプラットフォームを評価する際は、機能一覧表を無視してください。Secure Scoreの連携やコンプライアンスバッジも無視しましょう。
1つだけ問いかけてみてください。これは、管理しているすべてのテナントにおいて、運用をよりシンプルに、迅速に、そして一貫したものにしてくれるでしょうか？
もしそうでないなら、それは管理対象のツールが1つ増えるだけに過ぎません。
プラットフォームの比較
現在プラットフォームを検討中の方のために、MSPが導入プロセスでよく検討する一般的な選択肢を網羅した詳細な比較もご用意しています。