BSI、DORA、NIS2を読み解く：Microsoft 365環境にとってのKRITISの意味

By Mirko Peters · 2026-08-12

ポッドキャストへのご参加ありがとうございます。クラウドのワークスペースが、欧州およびドイツの最も厳しい規制に耐えられる状態にあるのか、気になったことがある方は、ぜひこのまま お読みください。

Automatically translated with AI from the original post. Read the English original

ポッドキャストへのご参加ありがとうございます。クラウドのワークスペースが、欧州およびドイツの最も厳しい規制に耐えられる状態にあるのか、気になったことがある方は、ここが最適です。今回は、先日の番組での重要な議論であるPrepare Microsoft 365 for German KRITIS Requirementsをさらに掘り下げます。重要インフラ分野で事業を運営する場合、生産性と堅牢なコンプライアンスの両立は、あれば望ましいものではなく、法的な義務です。本ガイドでは、規制の全体像を整理し、Microsoft 365のコンプライアンス機能を確認し、セキュリティとサイバーレジリエンスを検討し、Copilotの導入準備を評価したうえで、環境を万全に強化するための具体的な手順をご紹介します。

KRITISの要件の概要

規制基準

KRITIS環境で事業を運営する場合、厳格な規制を遵守する必要があります。これらの規制は、ドイツの重要インフラを保護するためのものです。連邦情報セキュリティ庁（BSI）は、セキュリティとデータ保護に関して高い基準を定めています。BSI C5、DORA、NIS2のフレームワークに従う必要があります。これらの規制では、システムをサイバー脅威から守り、サービスの可用性を確保することが求められます。DORAとNIS2はいずれも、インシデントへの対応力と迅速な復旧力の向上に重点を置いています。リスクに対処し、機密情報を保護できることを示す必要があります。また、サイバーセキュリティ指令では、インシデントの報告やアクセス制御に関する厳格なガイドラインの遵守も求められます。

コンプライアンスの基準

コンプライアンスとレジリエンスを達成するには、いくつかの基準を満たす必要があります。まず、定期的なリスク評価を実施する必要があります。これにより、システムの脆弱な箇所を特定できます。また、市民と当局を保護するために、データ保護影響評価（DPIA）も実施しなければなりません。DORAとNIS2では、セキュリティ対策の文書化と頻繁なテストが求められます。攻撃を検知し、対応し、そこから復旧できることを示す必要があります。継続的なコンプライアンスとは、セキュリティ管理策を最新の状態に保ち、頻繁にレビューすることを意味します。さらに、規制を理解し、インシデント発生時の対応方法を把握できるよう、スタッフへの教育も必要です。これらの基準を満たすことは、罰則の回避とサービスの継続につながります。

クラウドサービスへのマッピング

Microsoft 365などのクラウドソリューションへ移行する場合、KRITISの各要件を、プラットフォームの機能に対応づける必要があります。このプロセスは複雑になることがあります。DORAとNIS2は、クラウドプロバイダーに高い水準を求めています。必要な管理策をMicrosoft 365がすべてサポートしているかを確認する必要があります。たとえば、ID管理、アクセス制御、データの所在地オプションを確認しなければなりません。ドイツの行政向けクラウド（German Administration Cloud）は、最高水準を満たす方法の一例を示しています。すべての要件を満たすために、Microsoft AzureやGoogle Cloud Platformを組み合わせたマルチクラウド戦略が必要になる場合もあります。デジタル主権や特殊なワークロードの要件があると、このマッピングはさらに難しくなります。すべての指令に継続的に準拠するため、構成を頻繁に見直す必要があります。Microsoft 365のDORA関連機能は、こうした要件の多くを満たす助けになりますが、慎重な計画が欠かせません。

ヒント：マッピングのプロセスは必ず文書化してください。監査時に準拠を証明しやすくなり、規制の変更に合わせて管理策を更新する作業も容易になります。

Microsoft 365のコンプライアンス機能

組み込みツール

Microsoft 365には、KRITISへの準拠を支援する組み込みツールが用意されています。これらのツールは、セキュリティ、バックアップ、アーカイブの要件を管理するのに役立ちます。Microsoft 365 バックアップを使用すると、誤削除やサイバー脅威からファイルやメールを保護できます。自動バックアップのスケジュールを設定して、データを安全に保つことができます。また、Microsoft 365 バックアップは、インシデント発生後にファイルを迅速に復元するのにも役立ちます。Microsoft 365 アーカイブを使用すると、重要なドキュメントを長期間保管できます。この機能により、監査や法的要件に備えて記録を保持できます。Microsoft 365 アーカイブはバックアップと連携し、重要な情報を失わないようにします。eDiscoveryを使用すると、調査時にファイルやメールを検索できます。Microsoft 365 バックアップにより、データを自ら管理でき、KRITISの基準を満たすことにも役立ちます。

注: バックアップおよびアーカイブのシステムは、頻繁にテストしてください。この取り組みにより、必要なときにデータが保護され、利用可能な状態を維持できます。

認証

Microsoft は、セキュリティとコンプライアンスへの取り組みを示す認証を提供しています。KRITISの要件を満たすために、ISO 27001、BSI C5、GDPRなどの認証を活用できます。これらの認証は、Microsoft 365がデータ保護とバックアップに関する厳格なルールに従っていることを証明するものです。Microsoft 365 バックアップを使用して、これらの基準に適合させることができます。Microsoft は、新しい規制に合わせて認証を定期的に更新しています。最新情報は Trust Center で確認できます。認証は、システムが法的および業界標準を満たしていることを監査人に示すのに役立ちます。Microsoft 365 アーカイブを使用すると、これらの認証で求められる保持ポリシーをサポートできます。

データ所在地

Microsoft 365 においてデータがどこに保存されているかを把握しておく必要があります。KRITISでは、機密情報を特定の地域に保管する必要があるため、データ所在地が重要です。Microsoft 365 では、データを保存する場所を選択できます。選択した場所のデータを保護するために、Microsoft 365 バックアップを使用できます。Microsoft 365 アーカイブは、コンプライアンスのために適切な地域で記録を保持するのに役立ちます。データの移動やバックアップを制御するポリシーを設定できます。Microsoft は、データ所在地とバックアップの状態を監視するためのツールも提供しています。これらの機能を使用して、BSI および KRITIS の要件を満たすことができます。

ヒント: 更新後は、必ずバックアップとアーカイブの設定を見直してください。この手順により、コンプライアンスを維持し、データを保護できます。

Microsoft 365 におけるセキュリティとサイバーレジリエンス

重要インフラを守るには、強固なセキュリティとサイバーレジリエンスを構築する必要があります。Microsoft 365 には、KRITIS、DORA、NIS2の厳しい要求に対応するための幅広いツールが用意されています。これらのツールは、高度な脅威への防御、コンプライアンスの維持、デジタル運用レジリエンスの確保を支援します。安全で回復力のある環境を構築するために、これらの機能の使い方を理解しておく必要があります。

ID管理

ID管理は、セキュリティ戦略の基盤となります。誰がシステムにアクセスでき、何ができるかを制御しなければなりません。Microsoft 365 では、すべてのアプリケーションにわたる高い特権によるアクセスを排除できます。このアプローチにより、攻撃対象領域が縮小し、データが保護されます。Microsoft Entra ID では、高い特権を持つワークロード ID であるサービス プリンシパルのリスクレベルを評価できます。適切なライセンスがあれば、これらの ID に条件付きアクセス ポリシーを適用できます。サービス プリンシパルを特権アカウントと同様に扱うことは、KRITISにおいて極めて重要であり、デジタル運用レジリエンスの要件にも合致します。厳格なアクセス制御を徹底し、特権アクセスによるリスクを最小限に抑える必要があります。

多要素認証

多要素認証（MFA）は、環境に強固な保護層を追加します。管理者アカウント、バックアップシステム、高い権限を持つすべてのユーザーに対して MFA を展開する必要があります。MFA を使うと、パスワードが盗まれた場合でも、攻撃者がアクセスすることは格段に難しくなります。この対策は、DORA、NIS2、その他のサイバーセキュリティ指令への準拠を支えます。不正アクセスを難しくすることで、サイバーレジリエンスを高められます。

条件付きアクセス

条件付きアクセスを使うと、ユーザーとサービス プリンシパルのサインイン方法に関するルールを設定できます。MFA を必須にしたり、リスクの高いサインインをブロックしたり、場所やデバイスに基づいてアクセスを制限したりできます。これらの制御は、ゼロトラストの原則を徹底するのに役立ちます。ポリシーを調整すれば、新たな脅威にも素早く対応できます。条件付きアクセスは継続的なコンプライアンスを支え、KRITIS、DORA、NIS2 の厳格な基準を満たす助けになります。

脅威からの保護

重要なインフラストラクチャを狙うサイバー脅威は多岐にわたります。Microsoft 365 には、これらの脅威を検出、防止、対応するための高度なツールが用意されています。サイバーレジリエンスを構築し、組織を攻撃から守るために、これらの機能を必ず活用してください。

高度な分析

Microsoft 365 の高度な分析は、通常とは異なる動作や潜在的な脅威を見つけるのに役立ちます。リアルタイムの可視化と動作ベースの検出は、リスク管理に欠かせません。これらのツールを使えば、ユーザーやデータを狙う高度な攻撃を特定できます。Microsoft 365 の分析機能は、迅速に対応するために必要な情報を提供することで、デジタル運用レジリエンスを支えます。

• 職務に基づいてユーザーのアクセスを制限するために、ロールベースのアクセス制御（RBAC）を実装する必要があります。
• RBAC を厳格に適用し、監視することで、不正アクセスを防ぎ、サイバー攻撃のリスクを低減できます。
• リアルタイムの監視により、被害が発生する前に脅威を検出できます。

インシデント対応

インシデント対応は、サイバーレジリエンス計画の重要な要素です。さまざまな種類のデータ損失やサイバーインシデントに備えて、詳細な運用手順書が必要です。Microsoft 365 は自動化された脅威対応をサポートしており、攻撃を迅速に封じ込めるのに役立ちます。リアルタイムの可視化と自動対応がなければ、攻撃の検出と阻止に苦労するおそれがあります。重要なインフラストラクチャを狙う高度な脅威を見つけるには、動作ベースの検出が不可欠です。どのような事態からも確実に復旧できるよう、インシデント対応計画は頻繁にテストしてください。

ヒント: DORA や NIS2 指令の変更に備え、インシデント対応手順を定期的に見直して最新の状態に保ってください。

データ保護

データ保護は、コンプライアンスとレジリエンスの両面で極めて重要です。Microsoft 365 には保持ポリシーと訴訟ホールドがありますが、重要なインフラストラクチャを守るにはそれ以上の対策が必要です。すべての高権限アカウントに多要素認証を実装してください。バックアップ システムは定期的にテストし、復旧手順を検証してください。変更不可のストレージを使用すると、ランサムウェアによるバックアップの削除や改変を防げます。データ損失のシナリオに備えて、包括的なインシデント対応手順を策定してください。標準機能を超える高度な監視とアラート システムも導入してください。これらの対策により、DORA、NIS2、およびデジタル運用レジリエンスの厳格な要件を満たせます。

完全なコンプライアンスを確実にするには、独立したバックアップ ソリューションや高度な監視も検討する必要があります。Microsoft 365 の DORA 対応機能は取り組みを支えますが、最高水準の保護を実現するには、追加の層を加える必要があります。このアプローチにより、コンプライアンスとレジリエンスを達成し、進化を続けるサイバー脅威から重要なインフラストラクチャを守れます。

注意: 継続的なコンプライアンスを維持するため、データ保護戦略は常に最新のサイバーセキュリティ指令や規制の更新に合わせてください。

Microsoft 365 Copilot の準備状況

Copilot のセキュリティ

重要なインフラストラクチャを保護するには、強固なセキュリティが必要です。Microsoft 365 Copilot には、KRITIS、DORA、NIS2 の標準要件への対応を支援する高度な機能が備わっています。Copilot は Microsoft Purview の秘密度ラベルと連携します。この統合により、AI とエンタープライズ級のセキュリティを組み合わせることができます。Copilot が作成するすべてのドキュメント、メール、チャットは、お使いのコンプライアンス ルールに従います。Copilot は、暗号化、アクセス許可、ラベルの継承を自動的に適用します。

Microsoft 365 Copilot は Microsoft Purview の秘密度ラベルと統合されるようになりました。AI の力とエンタープライズ級のセキュリティを組み合わせます。つまり、Copilot が生成するすべてのドキュメント、メール、チャットは組織のコンプライアンス ルールに従い、暗号化、アクセス許可、ラベルの継承を自動的に適用されます。

Microsoft 365 バックアップを使えば、Copilot が生成したコンテンツを保護できます。バックアップがあれば、インシデント発生後にファイルを復旧できます。Microsoft 365 バックアップは、データを安全に保つことでサイバー レジリエンスを支えます。バックアップ システムは頻繁にテストしてください。この取り組みは、レジリエンスの維持と DORA および NIS2 要件への対応に役立ちます。Microsoft 365 アーカイブを使うと、監査に備えて Copilot のコンテンツを保存できます。アーカイブは記録を利用可能な状態に保つことで、コンプライアンスとレジリエンスを支えます。

ガバナンス評価

KRITIS 環境で Copilot を導入する前に、ガバナンスを評価する必要があります。コンテンツ ガバナンスは、Copilot が情報を作成、共有、保存する方法の管理に役立ちます。DORA および NIS2 の要件に対応するには、強固なコンテンツ ガバナンスが必要です。Microsoft 365 バックアップは、ファイルとメールを保護することでコンテンツ ガバナンスを支えます。重要な記録を保持するには、Microsoft 365 アーカイブを使用してください。アーカイブは、法律および監査の要件への対応に役立ちます。

データ アクセス ガバナンスは、レジリエンスにとって重要です。Copilot のコンテンツにアクセスできるユーザーを明確に定めたルールを設定する必要があります。データ アクセス ガバナンスは、ゼロ トラストの原則を支えます。ガバナンス ポリシーは頻繁に見直してください。この手順は、リスクの管理とレジリエンスの維持に役立ちます。Microsoft 365 バックアップと Microsoft 365 アーカイブが連携して、コンテンツ ガバナンスとレジリエンスを支えます。

ヒント: Copilot 導入に向けた準備状況チェックリストを作成しましょう。バックアップ、アーカイブ、コンテンツ ガバナンス、データ アクセス ガバナンスの手順を含めてください。このチェックリストは、DORA および NIS2 の要件への対応に役立ちます。

ライセンス要件

Microsoft 365 で Copilot を使用するには、適切なライセンスが必要です。高度なセキュリティ機能やバックアップ機能には、多くの場合、上位のプランが必要です。Microsoft 365 DORA 機能は、レジリエンスとコンプライアンスを支えます。Copilot を導入する前にライセンスを確認してください。Microsoft 365 バックアップと Microsoft 365 アーカイブを利用できることも確認してください。これらの機能は、Copilot のコンテンツの保護とレジリエンスの維持に役立ちます。

ライセンスは定期的に見直す必要があります。DORA および NIS2 の更新により、要件が変わる可能性があります。レジリエンスを維持するために、必要に応じてライセンスを更新してください。Microsoft はライセンスの状況を追跡するためのツールを提供しています。これらのツールを使って、KRITIS の標準要件を確実に満たしてください。

注: Copilot の準備計画には、必ずライセンスの確認を含めてください。この手順により、バックアップ、アーカイブ、ガバナンスに抜け漏れが生じるのを防げます。

ギャップと制限への対応

追加の統制

KRITIS環境では、サイバー防御を強化する必要があります。Microsoft 365には多くのツールがありますが、厳しい規制に対応するには追加の統制を加えなければなりません。機密性の高い議論や意思決定の保護は、文書の保護と同じくらい重要です。ワークフローのすべての段階でバックアップに注力してください。Microsoft 365のバックアップではファイルを復元できますが、リアルタイムのコラボレーションも保護する必要があります。コンプライアンスでは、会議やチャットでの情報の扱い方まで対象になっています。ビジュアルコラボレーションツールも中核的なインフラの一部であり、セキュリティ戦略に含める必要があります。バックアップはファイルだけのものではなく、すべてのコミュニケーションの回復力を支えるものです。メール、チャット、共有ドキュメントを保護するためにバックアップを活用してください。ガバナンスは、サイバー環境を安全に保つうえで重要な役割を果たします。新しい規制に合わせて、ガバナンスポリシーを頻繁に見直す必要があります。バックアップは、これらのポリシーを徹底し、コンプライアンスを維持するのに役立ちます。

• 文書だけでなく、機密性の高い議論や意思決定も保護してください。
• ファイル、メール、チャット、ビジュアルコラボレーションツールにバックアップを活用してください。
• 規制に合わせてガバナンスポリシーを更新してください。
• サイバーレジリエンスのため、バックアップシステムを定期的にテストしてください。

ヒント: セキュリティツールでは使いやすさを優先してください。ユーザーにとってツールが使いにくいと、シャドーITが問題になりかねません。バックアップは、使いやすく、信頼性が高いものであるべきです。

サードパーティ製ソリューション

サイバー戦略の不足部分を補うために、サードパーティ製ソリューションが必要になる場合があります。Microsoft 365のバックアップで多くのニーズはカバーできますが、KRITISの一部の要件にはさらに多くの対応が求められます。独立系のバックアップツールは、追加の保護を提供できます。これらのツールは、インシデント発生後にデータを迅速に復元するのに役立ちます。ランサムウェアに耐性のあるイミュータブルバックアップを作成するために利用できます。サードパーティ製のバックアップソリューションは、高度な監視とアラートの仕組みを提供していることが多くあります。変更を追跡し、脅威をより早く発見できます。これらのツールは、詳細なレポートを提供することで、ガバナンスの取り組みを支えます。Microsoft 365との連携性が高いソリューションを選ぶべきです。バックアップの統合により、スムーズな復元とコンプライアンスが確保されます。サードパーティ製ツールがすべての規制を満たしているかを必ず確認してください。これらのプロバイダーのバックアップは、監査への合格を支援し、インフラを保護できます。

注: サードパーティ製のバックアップソリューションは、必ずMicrosoft 365環境でテストしてください。この手順により、規制への対応とサイバーレジリエンスの維持が確実になります。

規制面の課題

KRITISの規制に対応しようとすると、多くの課題に直面します。規制は頻繁に変わるため、バックアップとガバナンスの戦略を最新の状態に保つ必要があります。サイバー脅威も急速に進化します。新たなリスクに適応できるバックアップシステムが必要です。Microsoft 365のバックアップはコンプライアンスの維持に役立ちますが、規制の動向を綿密に監視する必要があります。ガバナンスはポリシーだけの問題ではなく、リアルタイムの統制の問題です。監査人に対して、バックアップシステムがあらゆる種類のデータを保護していることを示さなければなりません。規制では、インシデントから復旧できることを証明する必要があります。バックアップのプロセスを文書化し、頻繁にテストしてください。バックアップはコンプライアンスの取り組みを支え、罰則を回避するのに役立ちます。スタッフにはバックアップの手順を守らせ、ガバナンスのルールを理解させるための教育が必要です。規制では継続的な改善が求められます。バックアップとガバナンスの戦略を定期的に見直してください。

警告: 規制により、バックアップデータを特定のリージョンに保存することが求められる場合があります。法的要件に適合しているか、必ずバックアップ設定を確認してください。

Microsoft 365でKRITIS対応を準備するための実践的な手順

構成のベストプラクティス

まず、KRITIS に備えて環境を整えるために、強固な構成のベスト プラクティスから始める必要があります。すべてのユーザーに安全な認証を設定してください。アカウントの保護には多要素認証を使用します。機密データへのアクセスは、ロールを慎重に割り当てて制限します。アクセス許可を頻繁に見直し、不要な特権は削除してください。チーム向けに論理的なサイト構造を作成します。ユーザーが情報をすばやく見つけられるよう、ファイルとフォルダーを整理します。検索と追跡を改善するために、ドキュメントにメタデータを適用します。日常業務に合ったワークフローを設計してください。バックアップ システムは定期的にテストします。インシデント発生後にファイルを復元できることを確認してください。すべての構成変更を文書化します。監査やコンプライアンス チェックのために記録を保管してください。

ヒント: 構成設定の定期的な見直しを予定してください。ギャップを見つけやすくなり、環境の安全性を維持できます。

継続的な監視

脅威を検出し、コンプライアンスを維持するために、環境を監視する必要があります。Microsoft 365 には、継続的な監視のためのツールがいくつか用意されています。これらのツールを使うと、ユーザーのアクティビティやデータの流れを分析できます。アラートが表示されたら、すばやく対応できます。アクティブ監視を行うと、問題が大きくなる前に対応できます。

• アクティブ監視では、データを確認し、問題があればアラートで通知します。
• リアルタイム検出により、脅威をすばやく阻止できます。
• 自動調査により、問題を見つけて迅速に修正します。

セキュリティ イベントを追跡するダッシュボードを設定する必要があります。ログは毎日確認してください。新たな脅威が出現したら、監視ツールを更新します。スタッフがアラートに対応できるようトレーニングしてください。継続的な監視によりインフラストラクチャを安全に保ち、KRITIS への準拠を支えます。

ガバナンス ポリシー

KRITIS への備えを支えるために、明確なガバナンス ポリシーが必要です。強固な情報アーキテクチャを確立してください。組織に合ったセキュリティ モデルを構築します。すべてのワークフローを対象とするガバナンス フレームワークを作成します。チームがどのように連携しているかを分析します。アクセスしやすい論理的なサイト構造を設計します。情報を整理するためのメタデータ ルールを実装します。機密データを保護するアクセス ルールを設定します。ガバナンスを日常業務に組み込みます。ポリシーは頻繁に見直し、規制が変わったら更新します。ガバナンスを組織文化の一部にしてください。ユーザーにルールの遵守と問題の報告を促します。

注: 適切なガバナンスは、コンプライアンス基準への対応に役立ち、環境のレジリエンスを維持します。

ユーザー トレーニング

Microsoft 365 環境の安全性とコンプライアンスを維持するうえで、あなたは重要な役割を担っています。ユーザーにトレーニングを行うことは、サイバー脅威や人為的ミスに対する強固な防御につながります。スタッフに Microsoft 365 を安全に使用する方法と、KRITIS の規制に従う方法を教える必要があります。

まず、トレーニング計画を作成します。ユーザーに必要なスキルを特定してください。セキュリティの基礎、データ保護、コンプライアンス ルールに重点を置きます。多要素認証、安全なパスワードの管理、フィッシング メールの見分け方に関するレッスンを含めてください。機密情報の取り扱い方と、不審なアクティビティの報告方法をユーザーに教えます。

さまざまなトレーニング方法を組み合わせて使用します。オンライン コース、ライブ ワークショップ、クイック ガイドを提供します。Microsoft 365 に組み込まれている学習ツールを使うと、トレーニングを進めやすくなります。ユーザーに質問や経験の共有を促してください。トレーニングを業務の定期的な一部にします。

ヒント: 毎月短いトレーニング セッションを予定してください。頻繁なトレーニングにより、セキュリティへの意識を保ちやすくなります。

ユーザーの知識を確認する必要があります。クイズと実践演習を実施します。フィッシング攻撃をシミュレーションして、スタッフの対応を確認します。結果を確認し、フィードバックを行ってください。ベスト プラクティスに従っているユーザーを評価します。追加のサポートが必要なユーザーを支援します。

規制の変更に合わせて、トレーニングを更新する必要があります。KRITIS、DORA、NIS2のルールは頻繁に進化します。トレーニング資料は四半期ごとに見直してください。Microsoft 365で新機能がリリースされたら、新しいレッスンを追加します。最新の脅威やコンプライアンスの更新情報を、ユーザーに継続的に伝えてください。

セキュリティを重視する文化を醸成しましょう。重要インフラを守る責任は全員が共有していることを、ユーザーに繰り返し伝えてください。セキュリティを日常業務の一部にします。良い習慣は評価し、リスクのある行動はすぐに是正しましょう。

注意: 十分にトレーニングを受けたユーザーは、KRITIS基準への対応を支え、サイバーインシデントのリスクを下げます。

ユーザートレーニングへの投資は、組織のレジリエンスを高めます。スタッフは脅威を見分け、ルールに従い、インシデントから回復する力を身につけます。その結果、組織にとってより安全なMicrosoft 365環境が実現します。

IT リーダーのための実行可能な推奨事項

コンプライアンスロードマップ

コンプライアンスへの道のりを進めるには、明確なロードマップが必要です。まずは慎重な計画から始めましょう。進捗を測定できるマイルストーンを設定し、Microsoft 365への移行を円滑に保ちます。中央のプラットフォームを使って、システムをリアルタイムで監視してください。これにより即時のアラートを受け取り、サイバーリスクを早期に発見できます。新たな脆弱性を常に確認し、変化する規制に合わせてポリシーを更新してください。移行は小さなウェーブに分割します。こうすることでリソースを管理しやすくなり、各ステップを追跡できます。ユーザーにはガイドとセルフサービスツールを提供しましょう。これらのリソースはヘルプデスクへの問い合わせを減らし、チームの迅速な適応を助けます。

ヒント: ロードマップの各ステップを文書化してください。この習慣は、コンプライアンスの証明とサイバーレジリエンスの目標達成に役立ちます。

コラボレーション

強固なコラボレーションは、セキュリティとレジリエンスの基盤になります。IT、コンプライアンス、ガバナンスの各チームを連携させましょう。各グループは、サイバーリスクと規制について独自の視点を持っています。定期的な会議を開き、最新情報を共有し、サイバーレジリエンス戦略を見直してください。チームワークと安全なコミュニケーションを支えるために、Microsoft 365のツールを活用します。各メンバーの役割を明確に定めましょう。この体制により、サイバーインシデントへの対応が迅速になり、ガバナンスポリシーの実効性も維持されます。オープンなフィードバックを奨励してください。チームがアイデアを共有することで、規制への対応とレジリエンス向上のより良い方法が見つかります。

• 部門横断のワークショップを予定し、サイバー脅威を確認します。
• 共有ダッシュボードを使って、ガバナンスとセキュリティのタスクを追跡します。
• サイバーインシデントへの迅速な対応を称賛しましょう。

注意: コラボレーションは、新たな規制への適応とサイバーレジリエンスの強化に役立ちます。

定期的な見直し

システムとポリシーは頻繁に見直す必要があります。サイバー脅威は急速に変化し、規制も頻繁に更新されます。セキュリティ統制、ガバナンスルール、バックアップシステムを確認するスケジュールを設定してください。訓練や インシデントレポートの確認を通じて、サイバーレジリエンスをテストします。新たなリスクに合わせて、トレーニングプログラムを更新しましょう。チームからのフィードバックを活用して、ガバナンスフレームワークを改善します。規制の変更を追跡し、ポリシーをすぐに調整してください。この習慣により、組織は監査や新たなサイバー課題に備えられます。

• ガバナンスとセキュリティの設定を四半期ごとに見直してください。
• 実際の業務シナリオを用いて、サイバーレジリエンス計画をテストします。
• 変更のたびにドキュメントを更新してください。

警告: 継続的な見直しは、サイバー脅威に先んじ、すべての規制に対応するための鍵です。

Microsoft 365 KRITIS 対応チェックリスト

本チェックリストを使用して、Microsoft 365 が KRITIS（重要インフラ）の要件および組織のセキュリティ・コンプライアンス要件を満たすように構成・運用されていることを確認してください。

OneDrive for Business と Microsoft 365 のクラウドストレージ

Microsoft 365 Kritis とは何か、OneDrive とどのように関係しますか？

Microsoft 365 Kritis とは、重要インフラ（Kritis）環境で Microsoft 365 サービスを利用するためのガイダンスと構成を指します。IT-Sicherheitsgesetz やその他の規制要件を満たすため、OneDrive for Business にはより厳格なクラウドストレージの制御、データの所在地、暗号化、アクセス管理が求められます。

Kritis 環境で OneDrive と SharePoint を保護するにはどうすればよいですか？

Kritis のシナリオで OneDrive と SharePoint Online を保護するには、Defender for Business などの高度なセキュリティ機能を有効にし、Azure Active Directory による条件付きアクセスを適用し、データ損失防止（DLP）を使用し、秘密度ラベルを適用して、共有設定を監査してください。これらの手順は Microsoft 365 プレミアムサブスクリプションの推奨事項に沿っており、365 アプリケーションとクラウドストレージの保護に役立ちます。

Microsoft Teams、Kritis におけるコラボレーション基盤とワークスペース

重要インフラ環境で Microsoft Teams を使用できますか？

はい、適切なガバナンスを施せば、Microsoft Teams は Kritis 環境で使用できます。必要に応じて外部アクセスを無効にし、有効な Microsoft 365 アカウントで多要素認証を強制し、情報バリアを適用して、eDiscovery と監査機能でコミュニケーションを追跡してください。Teams を Business Standard または Business Premium のプランと組み合わせることで、必要な制御機能を確保できます。

Kritis におけるコラボレーション基盤のセキュリティのベストプラクティスは何ですか？

ベストプラクティスとしては、最小権限の原則に基づいて Microsoft 365 アプリを使用すること、機密性の高いチームを分離すること、AI 機能を使用する場合は Copilot のアプリ制限を有効にすること、組み込みのセキュリティ制御を適用すること、そして DLP とエンドポイント保護を備えた SharePoint と OneDrive for Business を統合した安全なワークスペースを維持することが挙げられます。

Office 365、Microsoft Office、Kritis シナリオでの Office 365 の利用

Kritis 環境では、どの Office アプリケーションを制限すべきですか？

外部接続や マクロを含むコンテンツを許可する Office アプリケーションを制限してください。サポートが終了した Office 2024 プレビューなどの旧バージョンの利用は制限し、Office のインストール手順では有効な Microsoft 365 アプリを使用するようにしてください。IT-Sicherheitsgesetz に基づいて運用する場合は、Word と PowerPoint でリスクの高いマクロや外部コンテンツの読み込みをブロックするポリシーを適用してください。

サブスクリプションプランは Kritis のコンプライアンスにどのように影響しますか？

サブスクリプションプランによって、利用可能なセキュリティ機能とコンプライアンス機能が決まります。Microsoft 365 Personal と Family には企業向けの制御機能がありません。Business Premium、Business Standard、Microsoft 365 プレミアムのサブスクリプションには、Defender for Business、Azure AD 条件付きアクセス、高度な DLP などの機能が含まれます。Kritis のコンプライアンスに必要な Microsoft 365 サブスクリプション機能をサポートするプランを選択してください。

Microsoft Copilot、AI 機能、Kritis での Word の Copilot 利用

Kritis 環境で Microsoft Copilot などの AI 機能は許可されますか？

データの取り扱いとプライバシーのリスクを評価すれば、AI 機能は使用できます。Kritis では、データの所在地、ログ記録、モデルのプライバシーが規制要件を満たさない限り、Copilot 機能および Word の Copilot を無効にするか、厳格に制御してください。社内ポリシーを使用して Copilot アプリへのアクセスを管理し、機密データの露出がないか Copilot 機能を監視してください。

規制に違反せずに Copilot 機能を安全に有効にするにはどうすればよいですか？

Azure Active Directory による厳格なアクセス制御を実装し、Copilot を特定のユーザーグループに限定し、すべての操作をログに記録して、機密性の高い入力内容を編集し、テナントレベルの制御を用いて、データが外部モデルに送信されないようにしてください。Microsoft 365 Kritis を運用する際は、これらの制御を IT-Sicherheitsgesetz および企業のリスク評価と整合させてください。

Advanced Security、Defender for Business、組み込みのセキュリティ

Kritis 環境の構成において、Defender for Business はどのような役割を果たしますか？

Defender for Business は、エンドポイントの検出と対応、脅威保護、Microsoft 365 アプリとの統合を提供します。Kritis 環境では、高度な脅威の検出、デバイスのコンプライアンスの適用に役立ち、条件付きアクセスや DLP と統合することで多層防御を構成します。

重要インフラ向けに組み込みのセキュリティが正しく構成されていることを確認するにはどうすればよいですか？

多要素認証の有効化、条件付きアクセス ポリシーの実装、Office アプリ全体での秘密度ラベルと暗号化の利用、Defender for Business の展開、監査ログとセキュリティ ベースラインの定期的な確認によって、組み込みのセキュリティを確保します。構成のドリフト チェックを維持し、Microsoft 365 または Office アプリのバージョンが変わるたびにポリシーを更新してください。

サブスクリプション、サブスクリプション プラン、KRITIS 環境での Microsoft のインストール

Microsoft 365 Kritis にはどのサブスクリプション プランが推奨されますか?

KRITIS 向けには、規模に応じて Microsoft 365 E3/E5 または Microsoft 365 Business Premium などのエンタープライズ グレードのプランを選択してください。これらのプランには、Microsoft 365 Personal や Family を超える高度なセキュリティ、コンプライアンス、管理機能が含まれており、規制要件や重要インフラストラクチャの保護により適しています。

KRITIS 環境で Microsoft Office を安全にインストールするには、どのような手順が必要ですか?

管理された展開方法で Office をインストールします。Microsoft Endpoint Manager を使用して Microsoft 365 アプリを配布し、署名済みの更新プログラムを強制し、ローカル管理者権限を制限し、基本的なセキュリティ設定を構成します。また、すべてのインストールが、会社のポリシーと Active Directory 統合で管理される安全な Microsoft アカウントで認証されるようにしてください。

Microsoft 365 Apps、Microsoft Apps、Office アプリケーション

KRITIS の担当者に対して、365 アプリケーションへのアクセスをどのように管理すればよいですか?

KRITIS の担当者を専用の Azure AD グループにまとめ、マーケットプレース アプリの制限に条件付きアクセスを適用し、不要な Microsoft アプリを無効にし、Office アプリケーションにセッション制御を適用して、アプリ保護ポリシーで業務データと個人利用のデータを分離することでアクセスを管理します。

KRITIS における OneDrive for Business の同期クライアントについて、特別な考慮事項はありますか?

はい。OneDrive の同期を管理対象デバイスに限定し、管理されていないエンドポイントでは同期を無効にしてください。保存時と転送時の両方で暗号化を適用し、既知のフォルダー移動と DLP を構成して、機密ファイルが無許可でクラウド ストレージに保存されないようにします。同期アクティビティを監視し、アクセス ログを定期的に監査してください。

SharePoint、SharePoint Online、KRITIS でのコラボレーション

重要インフラストラクチャのドキュメントを、SharePoint Online で安全に管理するにはどうすればよいですか?

SharePoint Online では、サイト単位の秘密度ラベルを使用し、外部共有を制限し、バージョン管理と監査を有効にして、厳格なアクセス許可の継承を適用してください。機密性の高いコンテンツは、追加の制御を備えた専用サイトでホストします。個人用ファイルは OneDrive for Business と統合し、共有ドキュメントは SharePoint のガバナンスの下で管理します。

SharePoint および Teams サイトには、どのようなガバナンス ポリシーを設けるべきですか?

サイトの作成、ライフサイクル、アクセス許可モデル、許可する Microsoft アプリ、外部共有のルールを定義するガバナンス ポリシーを策定してください。自動化されたポリシーを使用して、保持、DLP、ラベル付けを適用します。ワークスペースのメンバーシップを定期的に見直し、IT セキュリティ法および社内の KRITIS 要件に準拠していることを確認してください。

まとめ

BSI、DORA、NIS2 の厳格な要件に対してクラウド環境を保護するには、綿密な計画、厳密な構成、継続的な監視が必要です。本日の詳細解説で取り上げ、関連するポッドキャスト エピソード Prepare Microsoft 365 for German KRITIS Requirements でさらに掘り下げたとおり、Microsoft 365 は世界水準の生産性およびセキュリティ ツールを提供しますが、重要インフラストラクチャでは既定の設定だけでは不十分なことがほとんどです。多要素認証を実装し、堅牢なバックアップおよびアーカイブ ソリューションを活用し、積極的なガバナンスを維持することで、Microsoft 365 を、準拠性が高く回復性に優れた組織の基盤へと転換できます。引き続き警戒を怠らず、コンプライアンスのフレームワークを最新の状態に保ち、クラウド セキュリティを極めるためのさらなる専門的な議論については、関連エピソードをぜひお聴きください。