--- title: Microsoft 365 のセキュリティ態勢不備は、IT サービス事業者が直ちに解消すべき攻撃経路 description: Acronis Security Posture Managementは、AIを活用したリスク検知、自動修復、一元的な監視・ユーザー管理・レポーティング機能を備え、すべての顧客を対象としたマルチテナント型のMicrosoft 365構成管理を実現します。 canonical_url: https://www.acronis.com/ja/blog/posts/microsoft-365-posture-gaps-are-attack-paths-msps-need-to-close-now/ locale: ja last_updated: 2026-10-11 --- [Acronis ブログ](https://www.acronis.com/ja/blog/) # Microsoft 365 のセキュリティ態勢不備は、IT サービス事業者が直ちに解消すべき攻撃経路 Acronis Security Posture Managementは、AIを活用したリスク検知、自動修復、一元的な監視・ユーザー管理・レポーティング機能を備え、すべての顧客を対象としたマルチテナント型のMicrosoft 365構成管理を実現します。 [![Image 2: Acronis Editorial Team](https://staticfiles.acronis.com/images/content/d85707ae91461544212d39836dc32b42.png)](https://www.acronis.com/ja/blog/authors/acronis/ "Acronis Editorial Team") [Acronis Editorial Team](https://www.acronis.com/ja/blog/authors/acronis/) 8 分で読める内容です Last updated 2026年7月22日(水) その他の利用可能な言語[Deutsch](https://www.acronis.com/de/blog/posts/microsoft-365-posture-gaps-are-attack-paths-msps-need-to-close-now/) [English](https://www.acronis.com/en/blog/posts/microsoft-365-posture-gaps-are-attack-paths-msps-need-to-close-now/) [Español](https://www.acronis.com/es/blog/posts/microsoft-365-posture-gaps-are-attack-paths-msps-need-to-close-now/) [Français](https://www.acronis.com/fr/blog/posts/microsoft-365-posture-gaps-are-attack-paths-msps-need-to-close-now/) [Italiano](https://www.acronis.com/it/blog/posts/microsoft-365-posture-gaps-are-attack-paths-msps-need-to-close-now/) [Português](https://www.acronis.com/pt/blog/posts/microsoft-365-posture-gaps-are-attack-paths-msps-need-to-close-now/) Microsoft 365 への攻撃は、必ずしも劇的なゼロデイから始まるわけではありません。多くの攻撃はもっと単純なところから始まります。盗まれたパスワード、悪意のある Office ファイル、誤ったアプリケーション承認、あるいは過度に緩いまま放置されたテナント設定などです。 IT サービス事業者の技術者が今問うべきことは、「Microsoft が脆弱性を修正した後でも、顧客テナントの設定が依然として攻撃の糸口になっていないか」という点です。 その答えを左右するのがセキュリティ態勢です。Microsoft は、多要素認証（MFA）の利用を推奨しています。MFA を利用しているアカウントは、[侵害される可能性が 99.9% 以上低く](https://learn.microsoft.com/en-us/entra/identity/conditional-access/policy-all-users-mfa-strength)なるためです。また、レガシー認証を無効化することも推奨しています。[資格情報スタッフィング攻撃の 97% 以上、パスワードスプレー攻撃の 99% 以上がレガシー認証プロトコルを悪用している](https://learn.microsoft.com/en-us/entra/identity/conditional-access/policy-block-legacy-authentication#:~:text=Based%20on%20Microsoft%27s%20analysis%20more%20than%2097%20percent%20of%20credential%20stuffing%20attacks%20use%20legacy%20authentication%20and%20more%20than%2099%20percent%20of%20password%20spray%20attacks%20use%20legacy%20authentication%20protocols.%20These%20attacks%20would%20stop%20with%20basic%20authentication%20disabled%20or%20blocked)からです。MFA の適用範囲が不十分、レガシー認証が有効、管理者ロールの過剰な割り当て、ユーザー同意ポリシーの緩さ、過度な共有設定、不完全な監査ログといった状況は、決して机上のリスクではありません。これらは現実の攻撃経路です。 ## 技術者の課題： リスクのある設定は見落とされやすい Microsoft 365 には、メール、ファイル、ID、コラボレーションデータ、そして日々の業務ワークフローへのアクセスが集中しています。顧客がバックアップ、エンドポイント保護、メールセキュリティを導入していても、テナント自体の設定に不備があれば攻撃の余地は残ったままです。 技術者が注意すべきリスク領域は、なじみの深いものです。 * MFA が一貫性のある形で適用されていない * レガシー認証がまだ有効になっている * グローバル管理者やその他の特権ロールを持つユーザーが多すぎる * OAuth アプリに過剰な権限が付与されている * ユーザーの同意設定により、危険なアプリが承認できるようになっている * 外部共有、メールボックスの転送、監査設定が検証されていない これらは、空論ではなく、現実のリスクに直結する問題です。あるユーザーやアプリ、脆弱なポリシーから侵害が始まっても、被害を封じ込められるか、大規模なインシデントへ発展するかは、セキュリティ態勢に委ねられています。 ## 2 つの事例で見る、セキュリティ態勢が重要な理由 以下に示すのは、技術者が管理すべき Microsoft 365 のリスクの一部にすぎません。攻撃経路は異なっていても、行き着く先は同じであることを示しています。セキュリティ態勢が不十分だと、攻撃者に付け入る隙を与えてしまいます。 ### 例 1：不正な同意付与 [Microsoft Defender の文書](https://learn.microsoft.com/en-us/defender-office-365/detect-and-remediate-illicit-consent-grants)では、攻撃者がユーザーをだまして悪意のある Microsoft Entra ID アプリケーションに同意させる「不正な同意付与攻撃（Illicit consent grant）」について解説しています。一度同意が与えられると、そのアプリはテナント内にネイティブなユーザーアカウントを持たなくても、メール、連絡先、ファイルなどの Microsoft 365 データへアクセスできてしまいます。パスワードのリセットや MFA だけでは不十分です。悪意のあるアプリは組織の外に存在するからです。 Microsoft 365 のテナントにとって重要である理由 これはクラウドだからこそ成立してしまう攻撃経路です。エンドポイント攻撃は必要はありません。パスワードを窃取する必要も、マルウェアを使う必要もありません。攻撃者は ID とアプリケーションの信頼関係を悪用することで、ステルス性と持続性の高いアクセスを確立します。 アクロニスによるリスク軽減策 [Microsoft 365 向け Acronis Security Posture Management](https://www.acronis.com/ja/solutions/cloud/microsoft-365-security-posture-management/) は、こうしたリスクを低減するためのセキュリティ態勢管理を、技術者が効率的に実施できるよう支援します。これにより、[承認済みの顧客アプリのみにアクセスを制限する](https://dl.managed-protection.com/u/baas/help/wp/M365SecurityPosture/en-US/index.html#auth-ca-approved-apps.html)ポリシーの施行を支援し、[管理者承認ワークフロー](https://dl.managed-protection.com/u/baas/help/wp/M365SecurityPosture/en-US/index.html#auth-admin-consent-workflow.html?Highlight=oauth)を通じて未承認または危険な OAuth アプリへの露出を減らし、認証や同意に関する安全なフローが一貫して適用されるようにします。 ### 例 2： Entra ID の特権昇格 発生した事象 [CVE-2026-24305](https://www.cvedetails.com/cve/CVE-2026-24305/) は、Entra ID における特権昇格の脆弱性として分類されています。Entra ID は Microsoft 365 環境における ID 管理とアクセス制御の中核を担っています。そのため、このレイヤーに承認の不備があると、ユーザーやアプリケーション、サービスによるリソースへのアクセスに影響を及ぼす可能性があります。 Microsoft 365 のテナントにとって重要である理由 ID は、Microsoft 365 のアクセス制御を支える基盤です。攻撃者が承認の不備や権限昇格経路を悪用すると、リスクは 1 つのメールボックスやファイルだけにとどまりません。アクセス制御や管理者権限、さらにはテナント全体のセキュリティに影響を及ぼす可能性があります。 アクロニスの対応策 2026 年のこれまでに報告された Microsoft 365 の脆弱性の多くは、ID 管理とアクセス制御に関するものです。Microsoft 365 向け Acronis Security Posture Management は、脆弱性そのものを修正するものではありません。しかし、脆弱性が悪用された後に、攻撃者による特権昇格や持続的なアクセス、データの持ち出しを防ぐことで、被害の拡大を抑えます。アクロニスは、Microsoft 365 の脆弱性による侵害の影響を最小限にとどめます。 ## 本質的な問題： セキュリティ態勢の不備が複数の攻撃経路を生み出す セキュリティ態勢の不備 想定される事態 アクロニスの対応策 MFA の適用が不十分 MFA が適用されていないアカウントが 1 つあるだけで、テナント全体の態勢が弱まる MFA の適用状況を継続的に検証し、適用漏れや無効化されたポリシーを検出。設定の逸脱を通知し、MFA の適用を自動的に復元する。 レガシー認証が有効のまま 古いプロトコルは、強固な承認制御を回避することがある レガシー認証が確実にブロックされていることを検証し、例外設定やポリシーの逸脱を検出・通知したうえで、ポリシー施行を復元する 管理ポータルの保護が不十分 保護されていない管理者アカウントが 1 つあるだけで、テナント全体にリスクが及ぶ可能性がある 管理ポータルに対する MFA の適用状況を検証し、弱体化したポリシーを検出し、逸脱を通知して MFA の適用を復元する ユーザーによる危険な同意やリスクのある OAuth アプリ 悪意のあるアプリがメールやファイルに継続的にアクセスする可能性がある ユーザー同意の設定を検証し、過剰に緩い設定を検出するとともに、設定の逸脱を通知し、制限された同意モデルを適用する 管理者同意ワークフローが無効化された状態 リスクのあるアプリ承認が適切にレビューされない可能性がある ワークフローが有効であることを検証し、無効化または誤設定された承認フローを検出して、安全な承認設定を復元する テナント間の構成ドリフト ユーザー、アプリ、設定の変更に伴い、リスクが気づかれないまま蓄積される ベースラインへの準拠を継続的にチェックし、構成ドリフトを検出し、軽微な逸脱を自動修復して、長期にわたり一貫性のある状態を維持する 攻撃者は、次のステップの足掛かりとなる設定の脆弱点を執拗に探索します。[アクロニスを利用した他の事例はこちらをご覧ください](https://dl.managed-protection.com/u/baas/help/wp/M365SecurityPosture/en-US/index.html)。 一度の手動チェックで一部のリスクは検出できますが、テナント設定は常に変化しています。新しいユーザーが追加され、管理者のロールが変更され、アプリの権限要求が行われ、共有設定が調整され、業務継続のために例外が設定されます。これが、構成ドリフトが発生する理由です。 ## 手動チェックでは対応しきれない理由 1 つのテナントを正確に確認するだけでも時間がかかります。IT サービス事業者が規模を拡大するにつれて、顧客ごとにユーザー、ライセンス、アプリ、例外、セキュリティ要件が異なるため、技術者にとってこのプロセスは一層複雑になります。技術者は、Microsoft Entra、Defender、Exchange、SharePoint など複数の管理領域を横断しながら、組織全体のセキュリティ態勢を検証する必要があります。 このアプローチは時間がかかり、一貫性に欠けます。また、どこを確認すべきか、各設定がリスクにどう影響するかを正確に理解している経験豊富な技術者に大きく依存します。IT サービス事業者には再現可能なワークフローが必要です。期待される態勢を定義し、その標準に対して各テナントを比較し、リスクのある逸脱を検出し、それがインシデントになる前に修復します。 ## Microsoft 365 向け Security Posture Management が担う領域 Microsoft 365 向け Acronis Security Posture Management は、IT サービス事業者の技術者がこのプロセスを単一のコンソールから複数の顧客テナントにわたって管理するのに役立ちます。各テナントを手動でチェックする代わりに、技術者はベストプラクティスのベースラインに基づいて Microsoft 365 環境を評価し、逸脱を見極め、標準となるワークフローを通じてリスクのある設定を修復できます。 Acronis Security Posture Management により、技術者は以下を実現できます。 * 事前定義されたセキュリティベースラインに基づいてテナントをスキャン * 構成ドリフトとベースラインからの逸脱を検知 * 複数顧客のリスクの高い設定を優先的に処理 * 手動または自動修復を適用 * 状態と改善状況を可視化する態勢レポートを生成 * 再利用可能なベースラインテンプレートにより、セキュリティを一貫して管理 ## ベースラインテンプレートと自動修復により、プロセスを再現可能に 顧客ごとに必要な構成が異なるため、ベースラインテンプレートが重要になります。アクロニスのベースラインテンプレートにより、IT サービス事業者は再利用可能なセキュリティ標準を定義し、個別のベースライン設定を構成し、顧客テナントに対してテンプレートの展開や取り消しを行うことができます。アクロニスのテンプレートライブラリには、Microsoft のベストプラクティスと業界標準に準拠した 40 以上のベースラインが含まれており、マルチテナント管理により、パートナーは標準を一度定義するだけで関連する顧客全体に適用できます。 自動修復が有効な場合、技術者はテナントがベースラインから逸脱していることを検出するだけにとどまりません。選択した修復ポリシーにより、逸脱を自動的に解消するか、技術者に修正のガイダンスを提示できます。 ## 今すぐ有効にすべき理由 今すぐ Microsoft 365 向け Security Posture Management を有効にすることで、攻撃者に先んじて脆弱な経路を発見できます。ベースラインテンプレートを適用し、構成ドリフトを監視し、リスクのある逸脱を修復して、改善結果を顧客に提示します。 [こちらのデモでは、](https://www.youtube.com/watch?v=JafIr3g1Ht0&t=5s)マルチテナントビューから複数テナントを管理し、すぐに利用できるベースラインを活用して構成ドリフトを検出し、ガイド付き、または自動化されたワークフローを通じて問題を修復する方法をご紹介しています。 ## Microsoft 365 向けAcronis Security Posture Management のトライアルを開始する 攻撃者はすでに、MFA 未設定、レガシー認証、リスクの高いアプリの同意、過剰な管理者権限、脆弱な共有設定、監査の死角といった弱点を探しています。 [トライアルを開始して](https://www.acronis.com/ja/solutions/cloud/microsoft-365-security-posture-management/)、顧客テナントをスキャンして逸脱を特定し、適切なベースラインを適用してリスクを修復し、セキュリティ態勢レポートで改善状況を可視化してください。 攻撃者より一足先にリスクのあるテナントを把握しましょう。[Microsoft 365 向け Acronis Security Posture Management](https://www.acronis.com/ja/products/cloud/demo/?service=security-posture) を今すぐ有効に。 [サイバーセキュリティ](https://www.acronis.com/ja/blog/tags/cybersecurity/) [サイバープロテクション](https://www.acronis.com/ja/blog/tags/cyber-protection/) [MSPのサイバーセキュリティ](https://www.acronis.com/ja/blog/tags/msp-cybersecurity/) [データ保護](https://www.acronis.com/ja/blog/tags/data-protection/) [クラウドセキュリティ](https://www.acronis.com/ja/blog/tags/cloud-security/) [M365 Security & Protection](https://www.acronis.com/ja/blog/tags/m365-security-protection/) ## Written by ![Image 3: Acronis Editorial Team](https://staticfiles.acronis.com/images/content/d85707ae91461544212d39836dc32b42.png) Acronis Editorial Team [前の記事](https://www.acronis.com/ja/blog/posts/whatsapp-username-security-risk-jp/) [WhatsAppのユーザー名導入で何が変わる？利便性の向上とセキュリティリスクをアクロニスTRUが解説](https://www.acronis.com/ja/blog/posts/whatsapp-username-security-risk-jp/) [次の記事](https://www.acronis.com/ja/blog/posts/openai-hugging-face-incident-ciso-message-jp/) [AIエージェント時代の新たなセキュリティ課題](https://www.acronis.com/ja/blog/posts/openai-hugging-face-incident-ciso-message-jp/) Acronis について 2003年にシンガポールで設立されたスイス企業であるアクロニスは、世界15か所にオフィスを置き、60か国以上に従業員を擁しています。Acronis Cyber Platformは150か国に26言語で提供され、21,000社を超えるサービスプロバイダーに採用され、75万社以上の企業を保護しています。 [Add as a preferred source on Google](https://google.com/preferences/source?q=acronis.com) ## Related stories Want to learn more? Read the latest stories featuring this solution on our blog. [Acronis ブログ](https://www.acronis.com/ja/blog/) ![Image 4: バックアップ戦略は、増え続ける Microsoft 365 データに追いついていますか？](https://staticfiles.acronis.com/images/blog-card/3edebee79d168c1116f79c814e5c5010.png) [バックアップ戦略は、増え続ける Microsoft 365 データに追いついていますか？](https://www.acronis.com/ja/blog/posts/is-your-backup-strategy-keeping-up-with-the-growth-of-microsoft-365-data/) 生産性スイートとしての Microsoft 365 の利用が拡大するにつれ、そのデータ量は爆発的に増加しています。Microsoft Teams、SharePoint、Outlook、OneDrive の利用により、日々大量の文書、会話、共有ファイルが生成されています。 **2026年7月16日(木)**4 分で読める内容です ![Image 5: ベースラインテンプレートのご紹介：Microsoft 365 のセキュリティ管理を大規模にカスタマイズ](https://staticfiles.acronis.com/images/blog-card/e0107cd8d25c39f16ec8468eeb4fa6a4.png) [ベースラインテンプレートのご紹介：Microsoft 365 のセキュリティ管理を大規模にカスタマイズ](https://www.acronis.com/ja/blog/posts/introducing-baseline-templates-deliver-tailored-microsoft-365-security-management-at-scale/) 昨今の MSP（マネージドサービスプロバイダー）は、複数の顧客に対して Microsoft 365 のセキュリティを確保するには、画一的な方法では対応できないことを理解しています。各顧客には、固有のリスク、コンプライアンス要件、ポリシーがありますが、それでもパートナーはすべての環境で一貫性と効率性を両立させなければなりません。 **2025年11月23日(日)**6 分で読める内容です ![Image 6: 攻撃を恐れず事業を守る! ITmedia Security Week 2025秋 で講演を行います](https://staticfiles.acronis.com/images/blog-card/2e9850183ae56c17c1f6680f250f2370.png) [攻撃を恐れず事業を守る! ITmedia Security Week 2025秋 で講演を行います](https://www.acronis.com/ja/blog/posts/itmedia-security-week-2025-fall-japan/) ランサムウェアをはじめサイバー攻撃関連の報道が相次ぐ中、企業は危機感を高めています。特に生成AI活用が加速しつつある現在はデータ、人、組織を包括的に守ることが不可欠。しかし、セキュリティ対策がピンポイント対策の集積となり、人材不足も重なって迅速な検知・対処に課題を抱えている例が少なくありません。 経営環境変化に対応し、安全に事業を継続、発展させるには、サイロ化した人手中心の対策を「統合的に守る仕組み」へとリデザインすることが急務です。何を自社で守り何を外部に任せるべきか、何を人が担い何を自動化すべきなのか。現実的な道標を提示します。 **2025年11月5日(水)**2 分で読める内容です