Microsoft TeamsとSharePointにおけるゲストアクセスのセキュリティ: ベストプラクティスと戦略

By Mirko Peters · 2026-05-21

ゲストアクセスの安全な管理とは、デジタルの扉を開きながらも、裏の窓を開けっぱなしにしないことです。Microsoft TeamsやSharePointの環境では、ゲストを受け入れることは利便性の問題だけではありません。組織のデータ、評判、コンプライアンスの体制を守ることにも直結します。外部のパートナー、委託先、顧客と共同作業をする場合でも、重要なファイルやチャットが誤った相手の手に渡らないよう、堅牢なアクセス制御を徹底することが欠かせません。

Automatically translated with AI from the original post. Read the English original

ゲストアクセスの安全な管理とは、デジタルの扉を開きながらも、裏の窓を開けっぱなしにしないことです。Microsoft TeamsやSharePointの環境では、ゲストを受け入れることは利便性の問題だけではありません。組織のデータ、評判、コンプライアンスの体制を守ることにも直結します。外部のパートナー、委託先、顧客と共同作業をする場合でも、重要なファイルやチャットが誤った相手の手に渡らないよう、堅牢なアクセス制御を徹底することが欠かせません。

このガイドは、Microsoft 365で外部アクセスを管理するIT管理者、セキュリティ担当者、そしてその他の関係者を対象としています。強固なゲストアクセスポリシーを構築するための実践的な戦略を紹介し、実際に存在するリスクを理解し、コンプライアンス監査人を満足させつつ、チームの協働を妨げるほど過剰に締め付けない方法を解説します。Wi-Fiからクラウドまで、オンボーディングからオフボーディングまで、そして実際に機能する拡張可能なエンタープライズ向けソリューションまで、幅広く取り上げます。

安全でないゲストネットワークによるセキュリティリスクの理解

ゲストアクセスはビジネスの共同作業において大きな利点となりますが、厳格な管理を怠ると、すぐにセキュリティ上の危険地帯になってしまいます。組織が管理していない人物やデバイスが接続を許された瞬間から、リスクは始まります。開いたままのネットワークポートや適切に保護されていないWi-Fi、そしてクラウド上で過剰に共有されたドキュメントはすべて、重要な業務データへの直接的な経路になりかねません。

ゲストアクセスの扱いが不注意だと、組織はさまざまな攻撃経路に直面します。ロビーのイーサネットポートに訪問者が接続する場合もあれば、見知らぬデバイスから委託先の担当者がTeamsの会議に参加する場合もあります。こうした脅威は単なる仮定の話ではありません。ゲストの境界が脆弱になると、データ漏えい、マルウェアの蔓延、コンプライアンス違反のリスクが格段に高まります。

このセクションでは、ゲストアクセスのセキュリティを優先することがなぜ任意ではないのか、全体像をお伝えします。明確なネットワークのセグメント化、慎重なアクセスポリシー、定期的なセキュリティチェックの習慣が欠かせない理由を説明します。その後、データの窃取やマルウェアから、意図しないデータ公開に至るまで、主な脅威のカテゴリを取り上げます。そして、これらの穴をふさぐことが、業務の継続性と収益性にとってなぜ重要なのかを解説します。

露出したシステムによるデータ窃取とマルウェア攻撃

1. 暗号化されていないゲストネットワーク。オープンで保護されていないWi-Fiやイーサネット接続口は、攻撃者にとって格好の標的です。通信が暗号化されていない場合や、ネットワークが分離されていない場合、近くにいるだけで盗聴者が機密性の高いメール、認証情報、機密ファイルを傍受できます。そうなると、自社の非公開情報はあっという間に外部に知られてしまいます。
2. マルウェアとランサムウェアの拡散。ゲストが保護されていないネットワークに接続すると、管理されていないデバイスがマルウェアを持ち込む恐れがあります。ゲスト自身がそれに気づいていない場合もあります。いったん内部に侵入したマルウェアは、他のデバイスや中央サーバーに広がり、本格的なランサムウェア攻撃につながる可能性があります。
3. 中間者攻撃（MitM攻撃）。攻撃者は、露出したネットワークを悪用して中間者攻撃を仕掛けることがあります。ゲストのデバイスと自社システムの間に静かに潜み、通信を傍受したり、マルウェアを注入したり、データを改ざんしたりします。親しげに見えたゲストが、ネットワーク全体を見渡せる敵へと一変しかねません。
4. セッションハイジャックと認証情報の窃取。ゲストネットワークに分離やセッション保護の仕組みがなければ、攻撃者はセッションCookieや認証トークンを盗み取ることができます。そうなると、攻撃者を正規のゲストや社内ユーザーだと見なしているシステムに、不正にアクセスされてしまいます。
5. 実例: 会議室での混乱。現地での打ち合わせに訪れたベンダー担当者を想定してください。彼らは社内の開放型ゲストWi-Fiに接続しますが、そのデバイスは感染しています。脅威は適切にセグメント化されていないネットワーク上を広がり、昼食時には社内の複数のPCが侵害されています。その結果、対応に何時間もかかり、損害は数千万円に及ぶ可能性もあります。

不正アクセスがデータ侵害につながる仕組み

1. 横方向への移動。攻撃者は、弱いゲストアクセス制御を足がかりにネットワーク内を横方向に移動し、本来触れるはずのないシステムやデータを探ります。ゲストネットワークと社内ネットワークが適切に分離されていなければ、侵害された1台のゲストデバイスが、デジタル環境のあらゆる場所への扉を開いてしまう可能性があります。
2. 権限昇格。 制限が緩い場合、攻撃者はソフトウェアのバグや既定の設定を悪用して、より高い権限を取得し、ゲストからの管理者へと侵害範囲を広げることができます。「ただの」ゲストアクセスだったものが、一気に機密データベースや役員のメールボックスにまで到達してしまうのです。
3. データの持ち出し。 保護されていないゲスト資格情報を通じて侵入されると、攻撃者は企業の機密データを見つけ出し、コピーし、盗み出すことができます。顧客リストであれ知的財産であれ、ゲストのアクティビティを綿密に監視・確認していなければ、侵害は気付かれないまま進行してしまいます。

ゲスト Wi-Fi のセキュリティとネットワークの整合性における役割

ゲスト Wi-Fi ネットワークは、社内リソースへの扉を開くことなく、来訪者にインターネット接続を提供するためのものです。強力なセキュリティ制御や適切なセグメンテーションが欠けていると、攻撃経路となり、脅威が基幹業務へと容易に波及する恐れがあります。適切に管理されたゲスト Wi-Fi は重要な防御策として機能し、外部のデバイスが機密性の高い業務システムやデータと混ざり合わないようにします。

暗号化、アクセスの分離、キャプティブポータルといった対策がなければ、単純な Wi-Fi パスワードでは不十分です。設定に不備のあるゲスト向け無線ネットワークは、攻撃者にステルス性の高い侵入口を与え、ネットワークの整合性を損ない、マルウェアやデータ窃取が組織全体に及ぶリスクを高めます。

ゲスト Wi-Fi のセキュリティとアクセス制御のベストプラクティス

ゲストネットワークがなぜリスクになり得るのかを確認したところで、実際の問題に発展する前に、その弱点をふさいでいきましょう。安全なゲスト体験の提供は、ロビーに来訪する人でも、リモートでログインするパートナーでも、基本的なパスワードだけでは不十分です。誰が接続できるか、何ができるか、そして利用状況をどのように把握するかというすべての観点を網羅する、技術的な制御と適切なポリシーを組み合わせる必要があります。

このセクションでは、組織を保護し、業務を円滑に保つための中核となる戦略を紹介します。ネットワークのセグメンテーション、効果的な認証、明確なコンプライアンスルール、定期的な監査などが、堅牢な多層防御アプローチの基盤となります。ベストプラクティスを実践する準備はできましたか。次のセクションでは、堅牢なゲスト Wi-Fi とアクセス制御をシステム全体に実装するための具体的な手順と検討事項を示します。

ゲスト Wi-Fi セキュリティの実装: 保護のためのチェックリスト

1. ネットワークのセグメンテーションを徹底する。 ゲストのトラフィックを業務ネットワークから分離し、来訪者がインターネット上のリソースにのみアクセスできて、社内システムにはアクセスできないようにします。VLAN または個別の SSID を使用して、ゲストが機密データに裏口からアクセスすることがないようにします。
2. キャプティブポータルを導入する。 カスタマイズ可能なキャプティブポータルを利用し、アクセスを許可する前に、来訪者に利用規程への同意、身元の登録、またはスポンサーの承認を求めます。これにより、単なる覗き見を防止できるだけでなく、追跡と説明責任も容易になります。
3. 安全な暗号化を必須にする。 ゲスト Wi-Fi ネットワークでは、常に WPA3(少なくとも WPA2)の暗号化を必須にしてください。オープンや WEP で保護された Wi-Fi は攻撃者を招き入れるようなもので、通信の傍受やハイジャックが容易になってしまいます。
4. 帯域幅の上限と利用ポリシーを設定する。 各ゲストが使用できるネットワークリソースを制御し、1 人の来訪者や攻撃者が IT の処理能力を使い尽くしたり、ネットワークを不正な目的で利用したりすることを防ぎます。
5. ゲストデバイスの分離を有効にする。 ゲストネットワーク上のデバイス同士が互いを認識したり、やり取りしたりできないようにします。これにより、侵害されたデバイスが他の来訪者を攻撃したり、横展開を試みたりすることを防げます。
6. 定期的なネットワーク監査をスケジュールする。 ゲストネットワークの構成、利用ログ、ポリシーを定期的に確認します。不正なデバイス、トラフィックの急増、不審な動作の兆候を確認し、問題が深刻化する前に検知できるようにします。

ゲストアクセス制御: ID、コンテキスト、アクセス許可の管理

1. ゲストの ID を検証する。 アクセスを許可する前に、メールによる確認、電話番号の検証、信頼できる外部 ID プロバイダーを使用したフェデレーション認証など、適切な検証を必須にします。これにより、無作為の者や悪意のある者の侵入を防ぎます。
2. コンテキストを考慮したアクセスポリシー。 アクセスの判定は、単純な「許可」か「拒否」かの二択であるべきではありません。ゲストの接続元、デバイスの正常性、アクセスの時間帯、業務上の必要性を考慮してください。状況に応じた制御を行うことで、リスクの高いシナリオではアクセスを絞り込み、正当な通常業務の範囲では緩和できます。
3. ロールベースの細かいアクセス許可。 ゲストには必要なものだけにアクセスを許可し、それ以上は与えないでください。ユーザーのロールと目的に基づいてアクセス許可を割り当て、共有フォルダー、チャネル、アプリケーションへのアクセスを業務上の最小限の要件に制限します。
4. 継続的なポリシーの評価。 特に関係性やプロジェクトの範囲が変わったときには、ゲストのアクセス許可を定期的に再評価してください。業務上の必要性がなくなった場合や状況が変わった場合は、速やかにアクセスを削除または縮小します。
5. 透明性の高いアクセスログと監査証跡。 ゲストのアクティビティについて詳細なログを保持し、迅速な確認やコンプライアンスの要件に備えてください。これらのログは不審な動作の発見に役立つほか、後日問われた際に、アクセスをどのように保護してきたかを監査担当者に正確に示すことができます。

Microsoft 365とクラウドにおけるゲストアクセスの保護

多くの組織がMicrosoft 365を利用するようになった今、ゲストアクセスの保護はもはやオフィスの中だけの課題ではなく、クラウドの課題でもあります。社外のパートナー、コンサルタント、ベンダーをTeamsやSharePointサイトに招待することは生産性を大きく高めますが、制御が不十分だとデータ漏えいやコンプライアンス違反への新たな入口にもなります。

Microsoft 365のようなクラウド環境では、コラボレーションとセキュリティのバランスを取るために慎重なポリシー設計が必要です。ファイルが誤った受信者に届いたり、閲覧する必要のない人に過剰に共有されたりしないよう、強固な招待プロセス、一貫したアクセス許可のレビュー、高度なリスク管理が求められます。その代償は、規制当局による罰金から評判の失墜まで多岐にわたります。

以降のセクションでは、Microsoft 365でゲストユーザーを管理する方法、ファイル共有のリスクへの対処法、そして条件付きアクセスなど Microsoft 自身のツールを使って、クラウド上のコラボレーションを物理的なオフィスと同等に安全なものにする方法を具体的に解説します。Teamsのセキュリティを強化する実践例については、Microsoft Teamsのセキュリティ強化に関するこちらのポッドキャストで詳しく取り上げています。

Microsoft 365におけるゲストユーザーアクセスの管理

1. 安全なゲスト招待を設定する。 Microsoft Entra 管理センターを使い、Teams、SharePoint、OneDriveから直接ゲスト招待を送信します。外部ユーザーには、アクセスを許可する前に、自身のメールアドレスまたはフェデレーション資格情報で本人確認を行うよう求めてください。
2. 多要素認証（MFA）を適用する。 すべてのゲストアカウントで MFA を必須にしてください。ゲストの所属組織のセキュリティが弱くても、自社側で MFA を設けておけば、攻撃者がデータにアクセスするまでにもう一つの障壁を置くことができます。
3. 既定で権限を定義し、制限する。 メンバーシップの完全な権限を安易に付与しないでください。代わりに、Microsoft 365 の最小権限のゲストロールを活用します。正当な業務上の理由がない限り、共有とグループメンバーシップを制限してください。
4. ゲストアクセスを定期的にレビューする。 アクセスレビューを定期的にスケジュールし、使われていないアカウントや不審なアカウントを特定します。不要なアクセス許可を削除し、コンプライアンスとインシデント検出のために監査ログを注意深く監視してください。
5. ガバナンスを一元化する。 Microsoft Entra ID と監査ログを使い、すべてのゲストのアクセス経路とアクティビティを追跡します。ガバナンスモデルは、Teams Security Hardening Best Practicesで示されているようなベストプラクティスに合わせてください。条件付きアクセス、DLP、厳格な監査を組み合わせ、多層的な防御を実現します。

Microsoft 365における過剰共有と意図しないアクセスのリスク軽減

1. 広範な共有のアクセス許可を制限する。 ユーザーが Teams、SharePoint、OneDrive のファイルを「リンクを知っている全員」と共有できないようにしてください。共有は、特定の個人や組織に限定することを優先します。これにより、外部ゲストが誤って機密ファイルにアクセスしてしまうことを防げます。
2. プライベート チャネルと共有チャネルを適切に使い分ける。 Teams のプライベート チャネルは、機密性の高い話し合いに最適です。厳格なアクセス制御と、安全なコラボレーションのための専用の SharePoint を利用できます。社外のパートナーとの連携には共有チャネルが適している場合もありますが、アプリの制限と適用範囲に注意してください。詳しくは Private vs. Shared Channels in Microsoft Teams をご覧ください。
3. 社外共有の動きを監視する。 ファイルやフォルダーが社外に共有されたときのアラートを構成してください。Microsoft Purview の DLP（データ損失防止）ルールを使用すると、ゲストが機密文書をダウンロードしたり再共有したりするのを防げます。
4. 共有されたコンテンツを定期的に確認する。 Teams、SharePoint、OneDrive で社外共有されているデータについて、定期的な監査を実施してください。ファイルやフォルダーが当初の共有目的や業務上の目的から外れている場合は、アクセスを削除または調整してください。
5. 共有のベスト プラクティスを社内に周知する。 社内のスタッフが、社外とのコラボレーションに適切な共有設定を使う方法を理解していることを確認してください。また、安全なプロセスを使うことで、全員がより安全に、よりコンプライアンスを守れる理由も伝えてください。

ゲストに対する条件付きアクセス ポリシーとエンタイトルメント管理

1. 条件付きアクセス ポリシーを実装する。 ゲストが M365 ワークスペースにアクセスできるタイミングと方法の条件を設定してください。条件には、場所、デバイスの正常性、時間帯などが考えられます。リスクのあるサインインには、MFA などの追加認証を必須にしてください。
2. 期間限定のアクセスを構成する。 ゲストを無期限にとどめないようにしましょう。自動化されたエンタイトルメント管理ツールを使用して、特定の期間だけアクセスを許可してください。プロジェクトの終了や契約の満了時には、アクセス許可が自動的に削除されます。
3. 定期的なアクセス レビューをスケジュールする。 スポンサーや管理者へのリマインダーを使って、ゲストのアクセスを定期的にレビューする作業を自動化してください。もうアクセスが必要ないアカウントには、速やかに対応します。
4. 機密データにはステップアップ認証を必須にする。 ゲストが極秘のファイルにアクセスしようとした場合、ポリシーによって追加の検証を必須にするか、ダウンロードを制限する必要があります。これはより広範なセキュリティ モデルにも関連しており、その詳細は Microsoft Copilot's Security Model で説明しています。厳格な最小特権のアクセスと継続的な監視が不可欠です。
5. Microsoft Entra と Purview を活用する。 Entra ID と Purview DLP ポリシーを使用して、ID と機密データを一元的に管理してください。Teams、SharePoint、ゲスト アカウント全体で、監査ログとインシデント検出の一貫性を確保します。

ゲストのオンボーディング、オフボーディング、ライフサイクル管理

ゲストを受け入れることは、単に歓迎マットを敷くことではありません。誰が参加しており、誰が退出したのかを把握し、ゲストが必要以上に滞在しないようにすることが重要です。ゲスト アクセスは常に一時的なものとして扱い、忘れられたアカウントがセキュリティ上の時限爆弾にならないよう、制御を組み込んでおく必要があります。

ライフサイクル管理は、適切なゲスト アクセスの基盤です。パートナーが参加した時点からオフボーディングする日まで、アクセスを提供、追跡、レビュー、迅速に取り消す仕組みが必要です。特に、プロジェクトの終了、契約の変更、インシデントの発生時には、迅速な対応が求められます。これにより攻撃対象領域を小さく保てるだけでなく、コンプライアンスの面でも役立ちます。

以降のセクションでは、主なオンボーディングの方法、非アクティブなユーザーを見つけて整理する効果的な方法、そして必要に応じて有効期限の強制や緊急時の取り消しを行う方法を紹介します。このプロセスを確実に行うことが、ネットワークを使いやすく、かつ堅牢に保つための鍵です。

ゲストのオンボーディング オプション: セルフサービス、スポンサー、事前プロビジョニングされたアカウント

1. セルフサービス登録。 この方法では、多くの場合 Web ポータルを通じて、ゲストが自分で登録できます。大規模なグループや一時的な訪問者に便利ですが、厳格な ID 確認や承認と組み合わせないと、未確認のユーザーを受け入れてしまうリスクがあります。
2. スポンサーの承認。 この方法では、正社員がゲストを保証します。スポンサーはゲストの必要性を確認し、本人確認を行ったうえで、申請を送信します。時間はかかりますが、機密性の高い環境に対して、人の目による確実なゲートキーパーとなります。
3. 事前プロビジョニングされたアカウント。 IT管理者または人事部門が、ゲストアカウントを事前に作成します。請負業者や長期的なパートナーに使われることが多い方式です。ロール、有効期限、各ゲストがアクセスできるリソースを厳密に管理できますが、管理者の関与が大きくなります。
4. 適切な組み合わせの選択。 イベントや定期的な来訪者にはセルフサービスを、リスクの高い領域にはスポンサーによる承認を、継続的または規制対象のアクセスには事前プロビジョニングを使います。複数の方式を組み合わせると、セキュリティを損なうことなく柔軟性を確保できます。

非アクティブなゲストの管理と定期的なセキュリティレビューの実施

1. 非アクティブの監視。 監査ログ、アクセス履歴、または Microsoft Entra のツールを使用して、一定期間（たとえば30日または90日）サインインしていないゲストアカウントを特定します。使われていないアカウントは、攻撃者に狙われやすい見落とされがちな侵入口になります。
2. 非アクティブユーザーの検出の自動化。 最近のプラットフォームでは、一定期間非アクティブなゲストアカウントにフラグを付けたり、自動的に停止したりできます。手動による監視への依存を減らし、すき間をすばやく塞ぐことができます。
3. 定期的なレビューのスケジュール設定と記録。 IT チームは、すべてのプラットフォームにわたるゲストアクセスを確認するために、定期的（毎月または四半期ごと）にレビューを実施する必要があります。コンプライアンスと適切な注意義務を示すために、レビューの結果を監査ログに記録します。
4. 完了または変更後の迅速なアクセス削除。 プロジェクトの終了や関係の変化が生じたら、直ちにゲストアクセスを取り消します。次回の定期レビューまで待つ必要はありません。ここでも自動化が役立ちます。
5. 監査証跡の適切な維持。 ゲストの追加、変更、削除をすべて正確に記録します。これはインシデントの調査に役立つだけでなく、規制や監査の要件を満たすためにも必要です。

ゲストの資格情報を取り消し、有効期限ポリシーを適用する方法

1. 有効期限の自動設定。 すべてのゲストアカウントに組み込みの有効期間を設定します。指定期間が過ぎると、再確認されない限りアクセスは自動的に取り消されます。これにより、長く放置されたゲストが無期限に残ることを防げます。
2. 即時の取り消しの有効化。 契約の終了、アカウントの侵害、ポリシー違反などの緊急時には、IT チームが管理センターから、または緊急用スクリプトを通じて、即座にアクセスを取り消せるようにしておく必要があります。
3. 機密性の高い操作にはMFAを必須化。 アクセスレベルの変更、有効期限の調整、緊急の取り消しなど、リスクの高いすべての操作に多要素認証を適用します。これにより、不正な変更に対する保護がもう一層強化されます。
4. 取り消しの監査と確認。 アクセスを取り消したら、監査ログで未完了のセッションや有効な資格情報が残っていないことを確認します。特にインシデントの後には、定期的な抜き打ちチェックを予定に組み込みます。
5. 緊急時の手順に関するスタッフの教育。 脅威やコンプライアンス上の指摘があった場合にゲストをすばやく削除できるよう、チームに明確な手順書を用意します。対応が速いほど、侵害や規制当局による罰金のリスクは低くなります。

エンタープライズ級のゲストアクセス：拡張性とセキュリティスタックの統合

大規模なゲストアクセスの管理、たとえば広大なキャンパス、複数棟のオフィス、大規模な会議場などでは、基本的なポリシーだけでは不十分です。セキュリティ態勢を引き続き厳格に保ちながら、数百人、場合によっては数千人のゲストを問題なく処理できるシステムが必要です。

ゲスト管理のエンタープライズ向けソリューションは、既存の ID プロバイダー、SIEM ツール、エンドポイント管理ツールとシームレスに統合する必要があります。これにより、接続場所や方法にかかわらず、すべてのユーザーが同じレベルの監視、コンプライアンス、インシデントへの迅速な対応の対象となります。

次に、多数の来訪者のオンボーディングを効率化する方法と、既存のセキュリティ管理をゲストアクセスのソリューションと連携させる方法を説明します。外部ユーザーの出入りが絶えない状況でも、コストを抑えつつ運用をスムーズに保つことが重要です。

来訪者とイベント参加者向けのゲストアクセスの拡張

1. 事前プロビジョニングまたは一括作成されたアカウントの利用。 大規模なイベントや頻繁な来訪者のために、ゲストアカウントをまとめて事前に設定します。これによりチェックインが迅速になり、全員が固有の資格情報を持つことになります。パスワードの共有や脆弱なアカウントの発生を防げます。
2. 一時的なアクセス資格情報の展開。 1日または1週間後に自動的に期限切れとなる時間制限付きの来訪者用パスを発行します。これにより、うっかり忘れたゲストによるリスクを抑え、使われないアカウントが蓄積するのを防ぎます。
3. オンボーディングプロセスを効率化する。セルフサービスの登録キオスクや QR コードによるサインアップを使い、待ち時間を減らします。機密性の高いスペースには、スポンサーによる承認と組み合わせ、認可された訪問者だけがロビーを通過できるようにします。
4. 複数のデバイス種類をサポートする。オペレーティングシステムや管理状態に関係なく、ノートパソコン、タブレット、スマートフォンのいずれでもオンボーディングプロセスがスムーズに機能するようにします。
5. 追跡とレポートを自動化する。誰がいつ入場し、どのリソースにアクセスしたかを自動的にログとして記録します。これにより、イベント後の監査が容易になり、不審な動きもすばやく見つけられます。

ゲストアクセスをセキュリティスタックにシームレスに統合する

1. ゲストアクセスを中央の ID プロバイダーに接続する。Azure AD や Okta などのプラットフォームと統合し、社内と社外のすべてのアクセスを単一の信頼できる情報源で管理します。これにより、アクセス許可の変更、アカウントの削除、監査が大幅に簡単になります。
2. SIEM でログとモニタリングを一元化する。ゲストアクセスのログを SIEM(Splunk や Sentinel など)に取り込みます。ログイン、ファイル共有、異常な操作などのすべてのイベントが既存のダッシュボードに表示され、同じ対応ワークフローをトリガーできるようになります。
3. ポリシーの適用と DLP 対策を統合する。ゲストに対する制御を、Microsoft 365 の Purview DLP(データ損失防止)などの全社的なセキュリティポリシーと整合させます。これにより、複雑なコラボレーションのシナリオであっても機密情報の漏えいを防げます。多層的なセキュリティについて詳しくは、Teams Security Hardening Best Practices をご覧ください。
4. エンドポイント保護とデバイスコンプライアンスツールと統合する。エンドポイント管理ソリューションを使い、アクセスを許可する前にデバイスの状態に基づいてリスクを評価します。侵害されたデバイス、脱獄されたデバイス、準拠していないデバイスからのゲストアクセスは、既定でブロックします。
5. 迅速なインシデント対応の連携を確保する。組み込みの統合機能を使うと、ゲストアカウントで不審な動きが検出された際に、セッションの終了やアクセスの隔離などのアラートと対応を自動化できます。

ハイブリッドワークとゲストセキュリティのための統一されたアクセスポリシー

ハイブリッドワークによって「ゲスト」の意味は変わりました。1 週間オフィスに滞在するゲストもいれば、世界中からコラボレーションするゲストもいます。ユーザーが物理的なゲスト Wi-Fi からクラウドベースの Teams や SharePoint へと移動する中で、ルールがばらばらだとセキュリティの穴やユーザーの混乱が生じます。

統一されたアクセスポリシーは、ゲストがどこから、どのように接続しても一貫した基準を設定し、そのギャップを埋めます。公衆 Wi-Fi を使う来訪者であっても、Microsoft 365 経由で参加するリモートの委託業者であっても、統一された枠組みにより、すべてのゲストが同じレベルの ID 確認、アクセス制御、コンプライアンスチェックを受けることになります。

このアプローチは、ハイブリッドワーク、複数の拠点、そして管理対象と非管理対象が混在するデバイスを組織が同時に扱う中で、特に重要になります。ハイブリッド環境の調整の参考として、Microsoft Places のようなツールは、デジタルと物理の両方の職場全体で、テクノロジーがアクセスとコラボレーションをどのように効率化できるかを示しています。

ゲストユーザー向けのデバイスに依存しない認証方法

• フェデレーション ID(SSO)。ゲストが自組織の資格情報を使って認証できるようにします。追加のデバイス設定を必要とせず、シームレスかつ安全なサインインを実現します。
• アダプティブ多要素認証(MFA)。リスク、場所、デバイスの種類に基づいて、段階的な認証を要求します。ゲストのデバイスに関係なく、機密性の高いアクセスを保護します。
• ワンタイムパスコードとマジックリンク。メールまたは SMS で送信される使い捨てコードを使用します。デバイスの登録を必要とせず、迅速かつ安全な認証が可能です。
• パスワードレス サインイン方式。生体認証や認証アプリを活用し、さまざまなハードウェアで速く使いやすいログインを実現します。ゲストにとっての手間を最小限に抑えます。