🍝 Microsoft 365のセキュリティ設定スパゲッティ 🍝

Microsoft 365には20以上の管理ポータルと、重複する何百ものセキュリティ設定が存在します。本記事では、この複雑さによって無意識のうちにテナントの設定ミスが起きやすくなる理由と、MSPがスタック全体で明確な視認性を確保するためにできることについて解説します。

著者:

Paul Barnes

公開日:

2023年4月17日

企業は生産性と競争力を維持するために、Microsoft 365などのクラウドベースのアプリケーションへの依存度を高めています。しかし、特にITやセキュリティのリソースが限られている中小企業にとって、これらのアプリケーションのセキュリティ管理は容易ではありません。

この短い記事では、Microsoft 365を使用する中小企業が直面している主なセキュリティ課題のいくつかを検討します。

複数の管理ポータルを管理する課題

Microsoft 365を使用する企業が直面する最大の課題の1つは、管理しなければならない管理ポータルの圧倒的な多さです。Azure ADからYammerに至るまで、20以上の主要な管理ポータルが存在し、 200以上のサブポータルもあります。これにより、どの設定を構成する必要があり、それらがどこにあるかを自力で把握し続けることは事実上不可能です。

最も高度な技術を持つIT管理者であっても、Microsoft 365環境で設定が必要なすべてのセキュリティ設定を明確に把握するのは困難です。こちらをご覧ください： http://msportals.io/ このサイトでは、Microsoftが提供するすべてのクラウドポータルが一覧表示されています：

List of all portals currently available — Microsoftクラウドポータルのコレクション

さらに悪いことに、このポータル群の中には 200近くの設定グループ も存在します。これは、Microsoft 365環境を適切に保護するために設定が必要な項目が、潜在的に何千にも及ぶことを意味します。

セキュリティ推奨事項の実装の難しさ

MicrosoftはMicrosoft 365環境向けに膨大なセキュリティ推奨事項のリストを提供しています。 Microsoft Security Score は、これらのセキュリティ推奨事項に関して顧客がどの位置にいるかを測定するベンチマークの試みですが、特にITリソースの限られた中小企業にとっては実装が困難な場合があります。

Microsoft Security score - good luck! — Microsoft Security Score

推奨事項は多くの場合、複数のポータルや設定グループに分散しています。Security Scoreツールで一部のディープリンクが提供されているものの、入り組んだ設定画面で迷子になり、変更による影響を解読するために複数のヘルプ画面を参照しているうちに現在地を見失ってしまいます。

さらに質が悪いことに、これらの推奨事項は、現在のサブスクリプション権限では企業がアクセスすらできないサービスに適用される場合もあります。

自動強制適用されるセキュリティの既定値

この混乱ぶりを認識しているMicrosoftは昨年、Microsoft 365環境に対して特定のセキュリティの既定値を自動強制適用し始めると発表しました。これはセキュリティ向上の観点からは非常に前向きな一歩ですが、IT管理者やマネージドサービスプロバイダー（MSP）が頭を抱えるような課題も伴います。

Microsoft Security Defaults enabling prompt

自動適用されたセキュリティの既定値は、一部の環境において特定の機能を阻害する可能性があります。実際、私の知っている地元の小規模企業でこれが有効化された際、共有メールアカウントでMFAが強制されるようになり、1人を除く全従業員がメールにアクセスできなくなって不意を突かれました。セキュリティの観点からは同情の余地があまりありませんが、彼らは何が起きたのか理解できず、解決方法を模索する中で絶え間ない頭痛の種となりました。

セキュリティパートナーの必要性

上記の課題を踏まえると、企業がMicrosoft 365環境（およびその他の無数のSaaSプラットフォームやアプリ）のセキュリティを管理するにはサポートが必要であることは明確です。セキュリティパートナーは以下のような様々なタスクを支援できます：

顧客のニーズやリスクプロファイルに沿った、最も適切なセキュリティ推奨事項のアドバイス
クライアントが専門家でなくてもセキュリティ推奨事項を実装
クライアントの環境の安全を確保するための24時間365日のセキュリティ脅威の監視
攻撃者や内部関係者によるインシデントが発生した場合のセキュリティインシデントへの対応

Overeではこの必要性を理解しており、第一歩は企業が直面する可能性のある潜在的な問題の意識を高めることだと考えています。そのための方法の1つとして無料ツールを提供しており、企業がMicrosoft 365に関連するセキュリティポスチャを容易に把握できるようにしています。これにより、🍝 Microsoft 365のセキュリティ設定スパゲッティ 🍝

に対処する際にどうしても生じてしまうギャップをいくらか埋められることを期待しています。現在Overeセキュリティプラットフォームを構築中であり、このツールは最初にリリースされるサービスの1つですので、準備が整い次第お知らせできるよう、ぜひ当社サービスにご登録ください！

‍

Overe ニュースレター

スパムはありません。最新のリリースやヒント、興味深い記事、独占インタビューを毎週受信トレイにお届けします。

ありがとうございます！送信が完了しました。

おっと！フォームの送信中にエラーが発生しました。