🍝 Microsoft 365のセキュリティ設定スパゲッティ 🍝

Microsoft 365には20以上の管理ポータルと、重複する数百ものセキュリティ設定が存在します。本記事では、この複雑さによって知らないうちにテナントの設定不備が発生しやすい理由と、MSPがスタック全体で明確な可視性を得るための対策について解説します。

著者

Paul Barnes

公開日

2023年4月17日

企業は生産性と競争力を維持するために、Microsoft 365のようなクラウドベースのアプリケーションへの依存を強めています。しかし、これらのアプリケーションのセキュリティ管理は、特にITやセキュリティのリソースが限られている中小企業にとって、非常に困難な課題となる場合があります。

この短い記事では、Microsoft 365を利用する中小企業が直面している主なセキュリティ課題について解説します。

複数の管理ポータルを管理する課題

Microsoft 365を利用する企業が直面する最大の課題の1つは、管理しなければならない管理ポータルの膨大さです。Azure ADからYammerに至るまで20以上の主要な管理ポータルが存在し、 サブポータルは200以上におよびます。このため、どの設定をどこで構成する必要があるのかを手動で把握し続けることは実質的に不可能です。

高度なスキルを持つIT管理者であっても、Microsoft 365環境で構成が必要なすべてのセキュリティ設定を明確に把握することは困難です。Microsoftが提供するすべてのクラウドポータルが一覧化されている、こちらのサイトをご覧ください: http://msportals.io/ （Microsoftクラウドポータルのコレクション）:

List of all portals currently available — Microsoftクラウドポータル一覧

さらに事態を複雑にしているのは、 200近くの設定グループ がこれらの一連のポータル内に存在することです。つまり、Microsoft 365環境を適切に保護するためには、潜在的に何千もの設定を構成する必要があるということです。

セキュリティ推奨事項の実装の難しさ

MicrosoftはMicrosoft 365環境向けに膨大なセキュリティ推奨事項のリストを提供しています。 Microsoft セキュアスコアは、顧客がこれらのセキュリティ推奨事項に関してどの位置にいるかを測定するための試みですが、特にITリソースが限られている中小企業にとっては実装が困難な場合があります。

Microsoft Security score - good luck! — Microsoft セキュアスコア

推奨事項は複数のポータルや設定グループに散在していることが多く、セキュアスコアツールのディープリンク機能を利用したとしても、統一感のない設定画面にすぐに迷い込み、変更が及ぼす影響を理解するために複数のヘルプ画面を参照するうちに、自分がどこにいるのか分からなくなってしまいます。

さらに厄介なことに、既存のサブスクリプション機能ではアクセス権すらないサービスに対する推奨事項が提示されることすらあります。

セキュリティの既定値の自動適用

この混乱ぶりを認識しているMicrosoftは昨年、Microsoft 365環境向けに特定の「セキュリティの既定値群」の自動適用を順次展開すると発表しました。これはセキュリティ強化の観点からは非常に前向きな一歩ですが、IT管理者やマネージドサービスプロバイダー（MSP）が頭を抱えるような課題も伴います。

Microsoft Security Defaults enabling prompt

自動適用されるセキュリティの既定値は、一部の環境で特定の機能を妨げる可能性があります。実際、私の知る地元の中小企業でこれが有効化された際、共有メールアカウントでMFA（多要素認証）が強制され、1人を除くすべての従業員がメールにアクセスできなくなるという不意打ちに見舞われました。セキュリティの観点からは同情の余地は少ないものの、彼らは何が起きたのかまったく理解できず、解決方法を模索する中で多大な頭痛の種となりました。

セキュリティパートナーの必要性

前述の課題を考慮すると、企業がMicrosoft 365環境（および無数の他のSaaSプラットフォームやアプリ）のセキュリティを管理する上で支援を必要としていることは明らかです。セキュリティパートナーは、以下を含むさまざまなタスクをサポートできます:

顧客のニーズとリスクプロファイルに合わせた最適なセキュリティ推奨事項のアドバイス
顧客側が専門知識を持っていなくてもセキュリティ推奨事項を実装
顧客の環境の安全を確保するための24時間365日のセキュリティ脅威監視
攻撃者や内部関係者によるインシデントが発生した場合のセキュリティインシデント対応

Overeではその必要性を理解しており、最初のステップは企業が直面しうる潜在的な問題についての意識を高めることだと信じています。その手段の1つとして、企業がMicrosoft 365に関連するセキュリティ態勢を容易に把握できる無料ツールの提供を予定しています。これにより、🍝 Microsoft 365の設定スパゲッティ 🍝

を扱う際に必然的に生じるギャップの解消に少しでも役立てば幸いです。現在Overeセキュリティプラットフォームを構築中であり、このツールは最初にリリースされるサービスの1つです。準備が整い次第お知らせしますので、ぜひサービスにご登録ください！

‍

Overe ニュースレター

スパムはありません。最新のリリース情報やヒント、興味深い記事、限定インタビューを毎週メールでお届けします。

ありがとうございます！送信が完了しました。

申し訳ありません。フォームの送信中にエラーが発生しました。