ゼロトラストの時代は「アイデンティティ」が新たな境界：Microsoft 365 でゼロトラストを使いこなす

By Mirko Peters · 2026-08-28

ポッドキャストと関連ブログへ、おかえりなさい！最近のエピソードをお聞きいただいている方はご存じのとおり、私たちはクラウドセキュリティを深く掘り下げており、アーキテ…

Automatically translated with AI from the original post. Read the English original

ポッドキャストと関連ブログへようこそ。最近のエピソードをお聴きいただいている方はご存じのとおり、クラウドセキュリティ、アーキテクチャのブループリント、そして最新のテナントを確実に守るために何が必要かを、私たちは詳しく掘り下げてきました。今回の記事では、その最近の議論の中核となる概念を広げて解説します。音声版をお聴きになりたい方は、関連エピソードZero Trust Across Microsoft 365 and Dynamics 365をご覧ください。今回は、アイデンティティが究極の境界になった理由と、Microsoft Entra ID（旧 Azure AD）、Intune、Microsoft Defender を使って、妥協のないゼロトラストの枠組みを実装する方法を取り上げます。

Microsoft 365 におけるゼロトラストの概要

長年、企業のセキュリティは中世の城のように作られてきました。物理ネットワークの周囲に分厚く破られない壁を築き、いったん堀を越えて内側に入り込んだ者は、初期状態で信頼されていたのです。こうした従来の「城と堀」型のセキュリティモデルは、今日のハイブリッドでクラウドファーストな職場では根本的に成り立ちません。従業員はコーヒーショップ、自宅のオフィス、世界各地のモバイルデバイスから企業アプリケーションにアクセスしており、企業ネットワークの境界は消えてしまいました。新たな境界は、もはや物理ファイアウォールや社内 IP 範囲ではなく、アイデンティティなのです。

Microsoft 365 でゼロトラストアーキテクチャに移行するということは、「決して信頼せず、常に検証する」という、ただ一つの譲れない考え方で運用することを意味します。承認された場所から接続しているという理由だけでユーザーやデバイスが安全だと見なすのではなく、利用可能なすべてのテレメトリに基づいて、アクセス要求のひとつひとつをリアルタイムで検査し、評価し、検証します。

今日の脅威の状況においてゼロトラストが重要な理由

現代の脅威の状況は、かつてないほど速く、賢く、そして自動化されています。攻撃者はもはやパスワードを推測しているだけではありません。人工知能を使ってフィッシング作戦を大規模化し、高度な資格情報の使い回し攻撃を実行し、疲労攻撃や AITM（Adversary-in-the-Middle）フレームワークによって、従来の多要素認証の要求を回避しています。

さらに、Microsoft 365 や Dynamics 365 のようなクラウド環境には、機密性の高い財務記録、顧客関係データ、独自の知的財産など、組織にとって最も貴重なデジタル資産が保管されています。サイバー犯罪者は組織への侵入に成功すると、保護が不十分なサービスアカウントや権限の過剰なユーザーロールを使って横方向に移動しようとします。ゼロトラストを導入すれば、攻撃者が単一のユーザー資格情報を侵害できたとしても、継続的な検証、最小権限のアクセス許可、コンテキストに基づくアクセス制御という壁に突き当たることになります。

ゼロトラストアーキテクチャと中核となる原則

堅牢なゼロトラストアーキテクチャを構築するには、重なり合う複数のセキュリティ分野を組み合わせる必要があります。購入できる単一の製品や、Microsoft 365 管理センターで切り替えるスイッチのようなものではありません。3 つの基本の柱に支えられた、全体的な戦略です。

• 明示的に検証する: ユーザーの ID、場所、デバイスの正常性、サービスまたはワークロード、データの分類、異常の検出など、利用可能なすべてのデータポイントに基づいて、常に認証と認可を行います。
• 最小特権アクセスを使用する: ジャストインタイム（JIT）およびジャストイナフアクセス（JEA）のモデル、リスクベースの適応型ポリシー、データ保護によってユーザーアクセスを制限し、生産性とセキュリティの両方を確保します。
• 侵害を前提とする: ネットワーク、ユーザー、デバイス、アプリケーションの認識によってアクセスを分割し、影響範囲を最小限に抑えます。エンドツーエンドで暗号化し、分析を活用して可視性を高め、脅威の検出を推進し、防御を継続的に改善します。

アイデンティティとアクセス管理の実装

Microsoft 365 では、アイデンティティが主要な適用ポイントとなるため、アイデンティティとアクセス管理（IAM）の戦略がセキュリティ態勢の土台になります。堅牢な IAM 制御がなければ、セキュリティスタック全体が砂の上に建つことになります。

多要素認証

多要素認証（MFA）の有効化は必須です。標準的なパスワード保護だけでは、現代のフィッシング手法に対して十分とはいえません。Microsoft Authenticator アプリの番号一致、ハードウェア FIDO2 セキュリティキー、Windows Hello for Business など、複数の異なる方法でユーザーの本人確認を求めることで、不正なアカウントアクセスの可能性を大幅に下げられます。フィッシング耐性のある MFA は例外なくすべてのユーザーに適用し、管理者アカウントには厳格なポリシーを適用すべきです。

条件付きアクセス

静的なアクセスルールの時代は終わりました。Azure AD 条件付きアクセスは、セキュリティ境界の頭脳として機能し、リソースへのアクセスを許可する前にリアルタイムのリスクシグナルを評価します。ユーザーがサインインを試みると、条件付きアクセス ポリシーは次のような要素を即座に確認します。

• 通常とは異なる場所、あるいは物理的に移動が不可能な場所からのサインインか。
• デバイスは組織のセキュリティベースラインに準拠しているか。
• ユーザーとサインインセッションに関連付けられたリスクスコアはどの程度か。
• アクセス先アプリケーションの機密性から、ステップアップ認証が必要か。

システムが異常を検知した場合、セッションが確立される前に、アクセスをブロックしたり、パスワードの再設定を要求したり、多要素認証をただちに求めたりできます。

デバイスコンプライアンスとエンドポイント管理の確保

ID が正当なものであっても、企業データへのアクセスに使われるデバイスがマルウェアに侵害されていたり、パッチが適用されていない古いオペレーティング システムで動いていたりすれば、組織は依然として重大な脆弱性を抱えたままです。デバイスコンプライアンスは、エンドポイントが Microsoft 365 テナントに近づく前に、厳格なセキュリティ要件を満たしていることを保証します。

Microsoft Intune と Microsoft Defender for Endpoint を併用すると、管理者は厳格なエンドポイント ポリシーを適用できます。フルディスク暗号化（BitLocker または FileVault）を義務付けたり、セキュア ブートと TPM（Trusted Platform Module）チップを必須にしたり、オペレーティング システムのセキュリティ パッチを厳格な期限内に適用させたりできます。たとえばウイルス対策エージェントが無効化されたり、OS のバージョンが古くなったりしてデバイスが準拠しなくなった場合、条件付きアクセス ポリシーは是正されるまで、そのデバイスのアクセス権を自動的に剥奪できます。

データ保護と情報ガバナンス

テナントへのアクセスを守るだけでは半分にすぎません。データそのものも、どこへ移動しても守る必要があります。従来の境界モデルは、ネットワーク内のデータは安全だと想定していました。しかし、リモートワークやクラウドでのコラボレーションが当たり前の現在では、ファイルは組織の境界を越えて絶えずダウンロード、共有、メール送信されています。

Microsoft Purview を使えば、機密データを自動的に検出、分類、ラベル付けできます。暗号化を組み合わせた秘密度ラベルを適用することで、保護はドキュメントそのものに付随します。機密ファイルが持ち出されたり、許可されていない受信者に送られたりしても、暗号化によってファイルは読めない状態に保たれます。さらに、データ損失防止（DLP）ポリシーが Exchange Online、SharePoint、OneDrive、Microsoft Teams 全体でガードレールとして機能し、クレジットカード番号、個人を特定できる情報（PII）、知的財産の共有を能動的にブロックします。

継続的な監視、脅威の検出、対応

ゼロトラスト アーキテクチャは動的なものであり、絶えず警戒を続ける必要があります。継続的な監視により、セキュリティ チームは壊滅的な侵害の通知を待ってから行動するのではなく、常に先手を打てます。統合監査、ログの一元収集、Microsoft Sentinel との SIEM 連携を通じて、組織はユーザーとデバイスの動作を深く把握できるようになります。

Microsoft Defender は、自動化されたセキュリティ オペレーション センター（SOC）の拡張として機能します。Defender は ID、エンドポイント、メール、クラウド アプリケーションにまたがるシグナルを分析します。自動調査によって、通常と異なる大量のファイルダウンロードや横方向への移動の試みといった不審な動作が検出されると、感染したエンドポイントを隔離し、侵害されたアカウントを無効化し、管理者にリアルタイムで通知する自動修復スクリプトを実行できます。

Dynamics 365 へのゼロトラストの拡張

Microsoft 365 が生産性とコラボレーションのツールを守る一方で、事業に欠かせない業務の多くは Dynamics 365 の中にあります。機密性の高い顧客台帳、財務記録、業務パイプラインがそこに保管されています。Dynamics 365 にもゼロトラストの原則を適用することが極めて重要です。

Dynamics 365はAzure ADと密接に統合されているため、メールやドキュメントの保存と同じ厳格な条件付きアクセスポリシー、MFA要件、デバイスのコンプライアンスチェックを、CRMおよびERPのユーザーにも適用できます。さらに、ロールベースのアクセス制御（RBAC）とフィールドレベルのセキュリティを活用すると、営業担当者、サポート担当者、外部パートナーが、それぞれの職務に必要なレコードと特定のデータフィールドのみを参照できるようになります。

セキュリティのベストプラクティスとよくある落とし穴

ゼロトラストの導入は、目的地ではなく道のりです。組織は途中でよくある落とし穴に陥りがちです。大きな落とし穴の一つが、誤った安心感です。条件付きアクセスを有効にしたり、Microsoft Secure Scoreを高くしたりすれば作業は完了したと考えてしまうのです。セキュリティの状態を保つには、継続的な調整、監査、ログの確認が必要です。

もう一つよくある課題は、制限が厳しすぎるポリシーによって正当な業務フローが意図せず遮断され、アクセスの問題が発生することです。セキュリティチームは、Entra IDのサインインログと条件付きアクセスのインサイト ブックを使いこなし、ユーザーの生産性を損なうことなくポリシーの競合を迅速に診断できる必要があります。何より、継続的な従業員教育と啓発活動が不可欠です。技術的な統制も、それを維持する人間のファイアウォールと同じ強さしかないからです。

実際の導入事例と得られた教訓

米国労働省のような連邦政府機関から、グローバルなエンタープライズ向けソリューションプロバイダーまで、あらゆる分野の組織がMicrosoftのセキュリティスタックを使ってゼロトラストモデルへの移行に成功しています。これらの導入から得られる共通の教訓は、段階的な展開が極めて重要だということです。

すべての厳格なセキュリティポリシーを一晩で適用しようとすると、必ず業務上の摩擦が生じ、ユーザーがシャドーITの回避策に流れてしまいます。成功している展開は、パイロットグループから始め、自動化を活用して管理の負担を最小限に抑え、組織の成熟度に応じてセキュリティのベースラインを段階的に強化しています。

Microsoft 365向け包括的ゼロトラスト チェックリスト

環境を監査し、進捗を追跡するために、主要な運用領域にわたる基本的なチェックリストを活用してください。

• すべてのユーザーアカウントと管理者アカウントに対して、フィッシング耐性のあるMFAとAzure AD条件付きアクセスを適用します。
• 既知の資格情報窃取攻撃の経路を排除するため、レガシ認証プロトコルをブロックします。
• 企業所有のエンドポイントとBYODエンドポイントをすべて、厳格なコンプライアンスポリシーのもとでMicrosoft Intuneに登録します。
• Microsoft Defender for Endpointを導入し、すべてのデバイスでEDRテレメトリが有効になっていることを確認します。
• Microsoft Purviewの秘密度ラベルとDLPポリシーを使用して、機密データを分類、ラベル付け、暗号化します。
• Azure AD PIMを介して、Just-In-Time（JIT）の特権アクセス管理を実装します。
• 統合監査ログを有効にし、テナントのテレメトリをMicrosoft Sentinelと統合します。
• 定期的な机上演習、セキュリティ態勢の評価、Secure Scoreのレビューを実施します。

よくある質問

ゼロトラストの原則とは何で、Microsoft 365にはどのように適用されますか？

ゼロトラストの原則では、ユーザー、デバイス、ネットワークのいずれにも暗黙の信頼を与えません。Microsoft 365では、Azure ADによる継続的なID検証、条件付きアクセスによる状況に応じた評価、Intuneによるデバイスの正常性の検証、Purviewによるデータ中心の保護を利用して適用します。

Microsoft 365向けのゼロトラストを設計し、実装するにはどうすればよいですか？

実装は、包括的なセキュリティ評価と資産の検出から始まります。そのうえで組織は段階的な展開計画を採用します。MFAなどの基本的なID保護から始め、Intuneによるデバイスコンプライアンスに拡張し、さらに高度なデータガバナンスと脅威監視を重ねていきます。

ゼロトラストの原則を適用するうえで、Intuneはどのような役割を果たしますか？

Intuneはエンドポイント管理とデバイスのコンプライアンスポリシーを適用します。リソースへのアクセスを許可する前に、デバイスが組織のセキュリティ基準を満たしていることを確認することで、IntuneはID検証とデバイスの状態のギャップを埋めます。

ゼロトラストはコンプライアンスや規制要件にどのような影響を与えますか？

ゼロトラストは、データ保護、厳格なアクセスログ、暗号化、自動化された監査証跡を運用アーキテクチャに直接組み込むことで、コンプライアンスを大幅に簡素化します。そのため、金融、医療、政府の各分野における規制の枠組みへの対応が容易になります。

Microsoft 365でゼロトラストを習得することは、組織がクラウドのセキュリティ態勢に対して行える投資の中で、最も効果の大きいものの一つです。境界防御からID検証、最小権限のアクセス、侵害を前提とする考え方へと発想を転換することで、クラウドで安全に革新を進められる、回復力と俊敏性のある組織を構築できます。これらの戦略をさらに掘り下げるには、ぜひ完全版のポッドキャストエピソード「Zero Trust Across Microsoft 365 and Dynamics 365」もご覧ください。引き続きセキュリティに注意し、常に検証を怠らないようにしてください。それでは次回のエピソードでお会いしましょう！