Teams監査ログガバナンス：Microsoft 365 完全ガイド

By Mirko Peters · 2026-03-12 · Updated 2026-03-24

Microsoft 365 における Teams 監査ログガバナンスを極めましょう。本ガイドでは、Teams のアクティビティに関する監査、ログ管理、モニタリングを包括的に解説します。

Automatically translated with AI from the original post. Read the English original

Cover: Fix Microsoft Teams Governance Sprawl with Enforced Decisions

Microsoft Teams の安定運用とトラブル回避が仕事なら、監査ログガバナンスは必ず押さえておくべきテーマです。監査ログは、Teams 環境で行われるほぼすべての操作を記録します。誰が、何を、いつ、どのように行ったのかが分かります。コンプライアンス対応、原因不明の不具合の調査、セキュリティ上の脅威の検出のいずれが目的であっても、監査ログは頼りになる主要な情報源です。これを無視するのは、ピザ店で火災報知器を無視するようなものです。

本ガイドでは、Teams 監査ログガバナンスに必要な知識を整理します。監査ログの基本的な仕組み、設定方法、データの調べ方、そしてコンプライアンスとセキュリティを維持するための実践的な手順を順に解説します。不審なアクティビティの見つけ方、面倒なコンプライアンス要件への対応方法も取り上げます。さらに、多くの人が見落としがちですが、専門家が活用している PowerShell スクリプト、API、自動アラートといった高度なツールも紹介します。

ポリシーの作成から日々のモニタリングまで、小規模な非営利団体から規制の厳しい大企業まで対応できる内容です。本ガイドを、Teams の混乱を秩序に変え、信頼を築き、リスクを減らし、望ましくない形で組織が報道されることを防ぐためのロードマップとしてご活用ください。競合のガイドが読み飛ばしたり、駆け足で扱ったりする詳細にも踏み込みます。Microsoft Teams のガバナンスについて、分かっていることと分からないことの両方に自信を持って取り組めるようになることを目指します。

Teams 監査ログガバナンスに関する 8 つの意外な事実

Teams 監査ログガバナンスでは、多くのサービス横断的なアクションが見えてきます。Teams に関連する SharePoint、OneDrive、Exchange のイベント（ファイルの編集や会議の招待など）が Teams の監査証跡に表示されます。そのため、あるサービスでの操作が Teams の監査調査に現れることがあります。
ゲストユーザーのアクティビティも追跡できます。Teams におけるゲストユーザーや外部ユーザーの操作（参加、ファイルへのアクセス、メンバーシップの変更など）が記録されるため、外部とのコラボレーションのガバナンスを監査可能な状態にできます。
監査レコードにはメッセージ本文は保存されません。監査エントリには、誰が、何を、いつ、どこで行ったかといったメタデータが記録されますが、通常はメッセージの本文全体は含まれません。そのため、詳細な内容の確認が必要な調査と、メタデータを中心とした調査とでは、対応が異なります。
一般的なユーザー操作は、驚くほど細かく記録されます。メッセージの編集、削除、リアクション、チャットの復元などのイベントがすべてログに残るため、Teams 監査ログガバナンスの下で詳細なユーザー行動分析が可能になります。
保持期間とライセンスは重要です。基本的な監査ログには既定の保持期間（一般的には 90 日）があります。高度な監査や延長保持を構成していない限り、この期間を超えたデータは残りません。そのため、長期的なガバナンスには、明確な計画と適切なライセンスが必要です。
チームやチャネルを削除しても、監査履歴は消去されません。削除前のアクティビティに関する監査エントリは引き続き利用できるため、リソースを削除した後でもガバナンスとコンプライアンスに役立ちます。
監査データは SIEM や自動化ワークフローに出力できます。Teams の監査ログは API 経由でストリーミングやエクスポートができ、セキュリティ情報およびイベント管理（SIEM）システムへ送信したり、アラートを自動化したりできます。これにより、ガバナンスを事後対応ではなく、先回りした対応に変えられます。
一部のイベントは遅延したり、まとめて記録されたりします。多くの Teams 監査イベントは速やかに表示されますが、一部のアクティビティは監査ログに表示されるまで数時間かかることがあります。そのため、Teams 監査ログガバナンスにおけるリアルタイム監視の期待値は、適切に設定しておく必要があります。

Microsoft Teams における監査ログガバナンスの理解

技術的な話に入る前に、少し整理しておきましょう。監査ログとは何か、そして Teams におけるガバナンスとは実際に何を意味するのかを理解することが第一歩です。企業や規制対象の組織で Microsoft Teams を扱う場合、重要なのは誰が誰にメッセージを送ったかだけではありません。データセキュリティ、透明性、そして法的なトラブルに巻き込まれないことといった、より大きな全体像があります。

監査ログは、いわばデジタルの防犯カメラの役割を果たします。Teams 環境全体のアクティビティや変更を記録し、何が起きているのかを把握し、必要なときに事実を証明するための一連の経緯を提供します。ただし、データを追跡するだけでは全体の半分にすぎません。ガバナンスでは、ログに構造、ポリシー、コントロールを組み合わせます。適切なガバナンスがあれば、何を監視するのか、どのくらいの期間保持するのか、そして誰が監視を担当するのかを決められます。

IT 部門や経営層にとって、強力な監査ログのガバナンス計画は、インシデントへの対応、コンプライアンスチェックへの合格、機密データを適切な場所に保つうえで役立ちます。単にチェックリストを埋めることが目的ではありません。秩序を作り、期待値を明確にし、監査証跡を使って自信を持って意思決定することが重要です。次のセクションでは、監査ログが何を記録するのか、そしてそれを効果的に管理するために必要な戦略的な取り組みに焦点を当てます。Teams ガバナンスが職場の混乱を自信に満ちたコラボレーションへと変える方法について詳しくは、こちらの詳しい解説をご覧ください。

Microsoft Teams の監査ログとは

Microsoft Teams の監査ログは、Teams 環境内で発生した操作やイベントを時系列で記録したものです。ユーザーのサインイン、メッセージの投稿、ファイルの共有、チームやチャネルの作成、メンバーシップの変更などのデータを記録します。つまり、誰が、いつ、どこから、何をしたのかを示す詳細なアクティビティ履歴の役割を果たします。

これらの監査ログは、セキュリティの脅威やポリシー違反の追跡から、トラブルシューティング、法的要件への対応まで、組織のあらゆる活動の把握に役立ちます。Microsoft 365 では、サービスごとに個別の監査ログが生成されますが、Teams のログは Teams 内での共同作業や変更に特化しています。このレベルの追跡は、コンプライアンスレポートの作成や、Teams 環境全体での説明責任の確保に欠かせません。

Teams 監査ログ管理における主要なガバナンス戦略

監査ポリシーを会社のガバナンス目標に合わせる: 全体的な Teams ガバナンスの枠組みとビジネスニーズを支える監査ログポリシーを策定します。管理操作、機密性の高いチャネルへのアクセス、外部との共有など、監視が重要な Teams のアクティビティを定義してください。これらがセキュリティ目標およびコンプライアンス要件と一致していることを確認します。
明確なオーナーシップと役割の割り当てを徹底する: 監査ログのレビューとポリシーの適用に対する責任を明確に割り当てます。構成を管理する人、ログを定期的に確認する人、検出された問題に対処する人を明示してください。オーナーが変更を行う権限とリソースを持つようにすることで、単に指標を追跡するだけの「統制の錯覚」を避けられます。詳しくはこちらのポッドキャストエピソードで取り上げています。
ログ管理を広範なコンプライアンスと統合する: Teams 監査ログの管理を、組織全体のリスク管理、法務、IT ポリシーと結び付けます。この統合により、規制当局によるチェック、インシデント対応、調査の際に監査の証拠を確実に利用できるようになります。
継続的なレビューとポリシー更新を計画する: ガバナンスは一度行えば終わりというものではありません。ログ管理プロセスの定期監査を計画し、監視ルールを更新し、新たなリスクやコンプライアンス基準に応じて記録対象を見直してください。Teams 環境の成長や規制の変化に合わせて、計画を適宜調整します。
すべてを文書化する: 監査ログポリシー、レビュー手順、インシデント対応の詳細な記録を維持します。十分な文書化は、コンプライアンスを支え、調査を迅速化し、担当者や役割が変わった際にも運用の継続性を確保します。

Teams 監査ログへのアクセスと検索

監査ログの記録が始まったら、次の課題は必要な情報に迅速かつ確実にたどり着くことです。このセクションでは、Microsoft 365 内で Teams 監査ログを検索する実践的な方法に焦点を当てます。データに埋もれないための検索方法と、これらのログが保存され、アクセスできる各管理センターの両方を理解しておくとよいでしょう。

監査ログへのアクセスは、セキュリティ上の理由からアクセス許可によって制限されています。特定のユーザー、操作、日付を探す際に適切な検索フィルターを組み合わせられるかどうかで、問題を素早く解決できるか、ノイズの中で迷子になるかが決まります。次のセクションでは、テキストクエリ、イベントフィルター、より専門的な検索ツールの使い方を見ていきます。

IT 管理者やコンプライアンス担当者にとって、Microsoft 365 管理センターや Teams 管理センターを使うことは日常的ですが、ログのレビューのためにその機能を最大限に活用することは別の話です。以下では、最短のナビゲーション経路の確認、適切な役割の割り当て、日常的な監視と監査時の緊急対応の両方に向けた検索の組み立て方を解説します。

Microsoft Teams での監査ログ検索方法

テキストベースのキーワード検索: キーワード、ユーザー名、リソース名を入力して、特定の個人やチームに関連するイベントを見つけます。検索語を組み合わせると、調査や社内監査の結果をすばやく絞り込めます。
日付と時間範囲のフィルター: 時間ベースのフィルターを使うと、調査対象の期間だけに監査ログを絞り込めます。結果の量が減り、潜在的なインシデントやコンプライアンス上の確認期間を調べる際に関連性の高い情報だけを確認できます。
イベントの種類とアクションによるフィルター: 「チャネルの削除」「メッセージの投稿」「ファイルのダウンロード」など、特定の Teams アクティビティでフィルターします。関連性の低いデータを確認せずに、リスクの高いアクションに絞り込めます。
IP アドレスと場所による検索: 特定の IP アドレスや地域によって記録されたログエントリを検索します。想定外の場所からのアクセスを検出するのに役立ち、不審な動作やコンプライアンス違反の兆候を把握できます。
高度なクエリの作成: Microsoft Purview または Security ポータルの高度な検索機能やカスタム検索ビルダーを使用します。これらのツールでは、複数のフィルター(ユーザー、アクション、デバイスなど)を組み合わせたり、定期的な調査や監査用に検索を保存したりできます。
検索結果のエクスポートとレポート作成: フィルターした結果を Excel、Power BI、SIEM プラットフォームにエクスポートして、さらに分析できます。構造化されたエクスポートは、フォレンジック調査、コンプライアンスの要約、そして根拠を示せる監査証跡の保持に欠かせません。

Microsoft 365 管放センターを使用した監査ログへのアクセス

ナビゲーション: Microsoft 365 管理センターにサインインし、コンプライアンスまたはセキュリティポータルに移動して、ナビゲーションブレードから「監査」または「監査ログ」を選択します。この一元的な画面から、Teams やその他の Microsoft 365 サービスのログに統合的にアクセスできます。
アクセス許可: 監査ログへのアクセスは、コンプライアンス管理者、セキュリティ管理者、グローバル管理者などの特定のロールを持つユーザーに制限されています。必要に応じて、Azure Active Directory または管理センターの設定からこれらのロールを割り当ててください。
ダッシュボードとスケジュール設定: ポータルのダッシュボードを使うと、最近のログイベントを一目で確認できます。定期レポートを設定すれば、繰り返し行うレビューを自動化できます。ダッシュボードでは、傾向、アラート件数、ユーザーのアクティビティの概要を表示できることが多く、状況をすばやく確認するのに役立ちます。
委任されたアクセス: 職務の分離を厳格に行う組織では、完全な管理者権限を与えずに監査ログの確認を行えるよう、委任されたアクセスを設定します。これにより、リスクを抑えつつ、監視や調査に対する適切な網羅性を確保できます。

Teams の監査ログを有効にして構成する

Teams の監査ログのメリットを活かすには、まずログが実際に取得されていることを確認し、組織の要件に合った方法で設定する必要があります。監査ログの有効化は、コンプライアンスやセキュリティのプログラムにおける最初の重要なステップです。幸いなことに、Microsoft では基本的なログの取得を比較的簡単に開始できます。一方で、複雑な要件を持つ組織向けに高度な構成オプションも用意されています。

このセクションでは、管理ポータルでの GUI 操作による方法と、PowerShell を使用したより技術的な方法の両方を見ていきます。Microsoft 365 テナントでは監査が既定で有効になっていることが多いものの、自社固有の要件に合わせて設定を確認し、カスタマイズすることをお勧めします。あわせて、アクセス許可の確認、定期的なエクスポートの設定、コンプライアンス監査に備えたドキュメントの準備も行っておきましょう。

すべての詳細を自動化またはカスタマイズしたい方(または設定の微調整が好きな方)にとって、PowerShell は GUI では実現できない手段を提供します。以下では、手動と自動化の両方の方法におけるベストプラクティスを紹介し、初日から堅牢で信頼性の高いログ取得を実現することに重点を置きます。

Teams と Microsoft 365 で監査ログを有効にする方法

既定の監査ログの状態を確認する: ほとんどの新しい Microsoft 365 テナントでは、監査が既定で有効になっています。ただし、そのまま放置せず、コンプライアンスポータルまたはセキュリティポータルにアクセスして、「監査」セクションで状態を確認してください。
必要なアクセス許可を割り当てる: 監査ログを有効化または管理できるのは、セキュリティ管理者、コンプライアンス管理者、グローバル管理者のロールを持つユーザーだけです。監査機能を管理できるよう、IT 部門やコンプライアンス担当の責任者にこれらのロールが割り当てられていることを確認してください。
ポータルから監査ログを有効にする: Microsoft Purview(コンプライアンス)ポータルで [監査] タブに移動し、「ユーザーと管理者のアクティビティの記録を開始する」を選択します。画面の指示に従って確認し、Teams を含む Microsoft 365 全体の監査を有効化してください。
PowerShellで監査ログを有効にする: 高度な管理者の方や、テナント全体での一括操作が必要な場合は、Exchange Online PowerShellで Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true などのコマンドを実行し、統合監査ログを有効にします。
監査ログのアクティビティを検証する: Teamsでいくつかの操作（メッセージの投稿、チャネルの作成など）を実行し、監査ログを検索して、イベントが記録されていることを確認します。
記録と共有: 監査ログの有効化に関して実施したすべての手順を記録します。付与したアクセス許可、変更した設定、実施したトラブルシューティングなどが対象です。コンプライアンス文書用に、スクリーンショットとメモも保存してください。
よくある問題のトラブルシューティング: ログが欠落している場合や最新の状態でない場合は、ライセンス（E1/E3/E5のプランによって保持期間やログの種類が異なります）、機能の反映遅延、ロールの設定ミスを確認してください。トラブルシューティングには、Microsoft のサポートリソースやテナントの正常性ダッシュボードを活用します。

PowerShellによる詳細な監査ログの構成

Exchange Online PowerShellに接続する: PowerShellセッションを開き、Connect-ExchangeOnline を使用して Exchange Online に接続します。これにより、監査ログの構成に関するすべてのコマンドレットを利用できます。
監査パラメーターをカスタマイズする: Set-MailboxAuditBypassAssociation や Set-Mailbox などのコマンドレットを使用して、記録する Teams のイベント、対象となるユーザーの包含・除外、重要なアカウントに対する特別な条件を細かく調整します。
監査ログのエクスポートを自動化する: Search-UnifiedAuditLog とエクスポート処理を組み合わせ、監査ログをローカルまたはクラウドのストレージへスケジュールどおりにエクスポートするスクリプトを作成します。長期保管や SIEM ツールへのログ連携に役立ちます。
特定のイベントを照会する: Search-UnifiedAuditLog コマンドレットとフィルター用のパラメーターを使用し、ファイル共有や管理者による権限昇格など、Teams 関連のイベントを絞り込んで取得します。
ガバナンスの自動化と連携する: PowerShell スクリプトを Power Apps や Power Automate と組み合わせ、監査ログのアクティビティに基づいてワークフローを起動します（例: アラートを送信する、レビューを開始する）。Teams のライフサイクル管理を高度化するには、Graph API の利用も検討してください。詳細はこちらの Teams ガバナンスの自動化に関するガイドを参照してください。
トラブルシューティングとセキュリティへの対応: スクリプトが失敗した場合や、ログが不完全に見える場合は、サービス正常性、ロールのスコープ、PowerShell セッションの設定を確認します。自動化スクリプトで資格情報を安全に扱うため、Microsoft のベストプラクティスに従ってください。

Teams の監査ログの保持とコンプライアンスポリシー

Teams の監査ログを有効にしたら、次に検討すべき課題は、これらの記録をどのくらいの期間、どのルールに基づいて保持するかです。保持は単なるストレージの問題ではなく、コンプライアンス、プライバシー、リスク管理における重要な要素です。GDPR、SOX、業界固有の要件など、組織ごとに適用される規制は異なるため、監査ログの保持に影響する要因を理解することが不可欠です。

このセクションでは、Teams ログの既定の保持ポリシー、保持期間をカスタマイズするための要因、そしてコンプライアンス基準が Teams のガバナンスにどのように組み込まれるかを解説します。ライセンスのレベル（E1、E3、E5）、地理的な制約、法的要求が、構成可能な内容や必ず適用すべき内容にどう影響するかも取り上げます。また、長期的なデータ保持のコストやプライバシーへの影響を考慮しつつ、規制を満たし、監査を円滑に進められるようログポリシーを整合させる方法も説明します。

監査ログの保持に関する選択肢と理由を把握しておくと、コンプライアンス担当者、法務チーム、規制当局からの難しい質問にも的確に答えられるようになります。そして、環境を安全かつ効率的に保ち、法令を遵守できる判断につなげることができます。

Teams における監査ログの保持期間を理解する

既定では、ほとんどの Microsoft 365 プラン（E1/E3）で Teams の監査ログデータは90日間保持されます。E5 または Microsoft 365 の高度なコンプライアンスアドオンライセンスでは、保持期間が180日以上に延長されます。実際の保持期間は、ポリシーや規制の適用地域によって異なる場合があります。

保持設定は、コンプライアンス要件、ストレージコスト、社内ポリシーによって決まるため、ユースケースごとにこれらの要素を慎重にバランスさせてください。ログを長期間保持すると調査や監査に役立ちますが、ストレージやプライバシーに関する考慮事項が増えます。コンプライアンスリスクや法的要件が変化するのに合わせて、設定を随時見直してください。

監査ログのコンプライアンス要件と標準

GDPR への対応: 監査ログに保存する個人データは必要最小限にとどめ、データ主体からのアクセス要求と削除要求に対応できるようにします。また、明確な保持期間を定めます。データの最小化とプライバシーへの準拠を、ログを定期的に確認して検証してください。
HIPAA と医療データの標準: 医療情報を扱う組織では、HIPAA の要件を満たすために、レコードへのアクセス、変更、開示を監査ログで記録する必要があります。監査ログへのアクセスは厳格なロールベースの制御で保護し、改ざんを検知できる仕組みを備えてください。
Sarbanes-Oxley法 (SOX): ログには、重要な財務関連の活動、管理者による操作、システムの変更を記録する必要があります。保持期間は規制上の要件に合わせて設定し、監査証跡の検証のためにログへアクセスできる状態を維持してください。
社内ポリシーと地域ごとの規則: Teams の監査ログの保持期間を、組織固有のポリシー（データ主権や業界規制など）に合わせて調整します。Microsoft のプライバシーフレームワークに記載されている国内法（米国の州法、EU のガイドラインなど）との整合性も保ってください。Copilot などの新しいツールについては、こちらのプライバシーとコンプライアンスの概要で取り上げられています。
ベストプラクティスのチェックリスト: アクセス許可を定期的に確認し、監査ログのエクスポートや連携をテストし、インシデント対応のドキュメントを明確に整備してください。また、監査ログの設定は少なくとも四半期ごとに確認します。コンプライアンス監査や調査の要求には、明確で最新の記録をもとに迅速に対応できるよう備えておいてください。

監査ログを使った Teams のアクティビティとセキュリティの監視

監査ログの有効化と構成が済んだら、次に行うべきことは、重要な事項を監視するためにログを実際に活用することです。運用の確認とプロアクティブなセキュリティの両方が対象になります。Teams の監査ログは、ユーザーと管理者の操作を追跡し、ポリシー違反の可能性を検出し、深刻な事態に発展する前にセキュリティ上の脅威を察知するための貴重な情報源です。

監査ログによる監視は、過去の問題に対応するだけでなく、安全策を講じ、アラートを設定し、リスクに先手を打つことを意味します。法務チーム、人事部門の調査、IT セキュリティ担当者のいずれが必要とする場合でも、どの Teams のアクティビティが追跡されているのか、そして監視をどのように細かく調整するのかを正確に把握することが不可欠です。

このガイドのこの部分では、Teams のログで取得されるアクティビティの種類から、個別の監視ルールの設定、より高度な異常検出の手法まで扱います。適切に設計されたログポリシーによって問題を早期に発見し、重要なビジネスデータを保護し、夜もより安心して過ごせるようになる方法を紹介します。ユーザーがリモートで働く場合や、24 時間体制で作業する場合でも同様です。

監査ログで監視される Teams のアクティビティ

メッセージの投稿と編集: ユーザーが Teams のチャットやチャネルでメッセージを送信、編集、削除したタイミングを記録します。不適切なコミュニケーションに関する人事部門やコンプライアンス部門の調査では、この情報が重要になります。
チャネルとチームの管理: チームやチャネルの作成、変更、名前の変更、削除を記録します。管理者は、許可されていないチームの乱立や、業務の継続性に影響する誤った削除を検出できます。
ユーザーとグループのメンバーシップの変更: チーム、チャネル、グループに追加または削除されたユーザーを追跡します。アクセス権の再認定を確認したり、通常と異なるアクセスの傾向を調べたりする必要がある IT、人事、セキュリティの各チームにとって重要な情報です。
ファイルの共有とアクセス: Teams に接続された SharePoint ドキュメントライブラリ内のファイルのアップロード、ダウンロード、アクセス許可の変更を監視します。アラートを設定すると、データ漏えいや情報の持ち出しの試みを発見しやすくなります。
アプリの統合とボットの利用: サードパーティ製アプリ、ボット、カスタムコネクタの統合に関する操作を記録します。重要な業務システムへのアクセスを管理している組織や、ワークフローを自動化している組織では、この監査が特に重要です。
管理者とコンプライアンスの操作: ポリシーの変更、アクセス許可の付与、コンプライアンス設定の更新などのイベントを記録します。これらのイベントは、コンプライアンスの証明やインシデント発生時の根本原因の追跡に使える、裏付けのある監査証跡の作成に役立ちます。

適切に文書化された Teams の監査ログは、ユーザーの操作を追跡し、問題を調査し、コンプライアンス認証を支援したいと考える人事部門、法務チーム、セキュリティ関係者による機能的なレビューを可能にします。

Teams 監査ログのアクティビティポリシーの設定

ユーザー行動の監視ポリシー: 繰り返しのサインイン失敗やチャネルの大量削除など、通常とは異なるアクティビティを検出するルールを設定し、リスクの高い操作を迅速に発見します。
データアクセスポリシー: 機密性の高い社内文書のファイルダウンロードや共有にフラグを立てるポリシーを作成し、影響の大きいアクセスイベントへの対応に重点を置きます。
機密操作ポリシー: 新しい管理者ロールの割り当てや Teams 設定の大きな構成変更など、対象となる操作のトリガーを定義します。
カスタムポリシーの調整: ワークロード、ユーザーの役割、リスクプロファイルに基づいて通知と対応を調整し、監視が過剰にならず、正確に機能するようにします。

Teams 監査ログデータにおける異常検出

自動ベースライン分析: Microsoft 365 の組み込みツールまたはサードパーティ製のセキュリティツールを使用して、Teams のアクティビティにおける「通常」のパターンを確立します。たとえば、平均的なサインイン時刻、メッセージ量、アクセス場所などが対象になります。
外れ値と不審なパターンの検出: ルールを構成する(または AI/ML モデルを使用する)ことで、新しい国からのユーザーサインイン、異常なファイルの移動、削除されたチームやチャネルの急増など、通常とは異なるイベントを検出します。これらは内部脅威や侵害されたアカウントの兆候である可能性があります。
ツールキットと AI によるサポート: Microsoft Sentinel、Microsoft Defender for Cloud Apps、Security Copilot を活用し、Teams のログを他のデータソースと統合して高度な脅威を検出します。詳しくは、AI がセキュリティ運用をどのように変えつつあるかを取り上げたこちらの記事（Microsoft Security Copilot について）をご覧ください。
アラートとワークフローの統合: 異常が検出されたら、自動化されたワークフローにより IT 担当者へ通知したり、封じ込めアクションを開始したりできます。アラートを対応プレイブックと統合しておくことで、不審なアクティビティが発生した際にチームが後手に回らないようにします。
ポリシーの継続的な見直し: フィードバックや実際の調査結果に基づいて異常検出のしきい値を調整し、誤検知を最小限に抑えつつ、真陽性の検出精度を高めます。

Teams 監査ログのコンプライアンスに向けたアプリケーションセキュリティポリシーの定義

アプリのアクセス許可の制御: Teams に接続できるアプリやボットを制限するポリシーを作成し、業務上の必要性とリスクに基づいてアクセス許可を制限します。
重要なアクティビティのログ記録: 監査ログでアプリのインストール、構成変更、同意の付与を確実に記録します。これらは、意図的か否かを問わずデータが公開される入り口になりえます。
ポリシー適用の例: コンプライアンス基準を満たさない特定のアプリ連携をブロックし、サードパーティアプリの設定における危険な変更を検出するために、アクセス許可の昇格に対するアラートを設定します。
セキュリティの最適化: 許可されているアプリを定期的に見直し、新しい連携や脅威が現れるたびにポリシーを更新して、セキュリティ上の穴をふさぎます。

高度な監査ツールとデータ統合

Teams の監査ガバナンスをさらに掘り下げると、高度な組織では API やセキュリティプラットフォームを活用し、監査ログデータへのアクセス、相関分析、分析の方法を大幅に強化しています。エクスポートの自動化、SOC 運用への監視の統合、複数のクラウドアプリにまたがる制御の適用など、目的が何であれ、これらのツールは基本的な管理ポータルでは到底及ばない規模と柔軟性を提供します。

Office 365 Management Activity API のような API を使うと、Teams やその他の Microsoft 365 のログを一括で取得したり、SIEM プラットフォームにデータを転送したり、ログの履歴をオンデマンドで照会したりできるようになります。Microsoft Defender などのツールと組み合わせれば、脅威を先回りして監視し、複雑なポリシーを適用し、潜在的なリスクへの対応をより迅速に行えます。

以下のセクションでは、実際の環境でこれらの統合がどのように機能するかを具体的に解説します。認証や安全なデータ取得から、Defender による高度な脅威検出の活用まで扱います。技術的な手順だけでなく、これらの統合がもたらすビジネス上の価値にも焦点を当て、新たなコンプライアンスやセキュリティ上の課題に先手を打てる Teams 環境の維持を目指します。

監査ログへのアクセスに Office 365 Management Activity API を使用する

API の基本と設定: Office 365 Management Activity API は、Teams と Microsoft 365 の監査ログへのプログラムによるアクセスを提供します。管理ポータルで API を有効にし、Azure AD アプリケーションの資格情報で認証したうえで、コンテンツの種類、日付の範囲、イベントの種類などのログ収集パラメーターを指定します。
データのエクスポートと自動化: API を使うと、コンプライアンス保管、インシデントのフォレンジック、高度なセキュリティ分析のために、監査データの大規模なエクスポートを自動化できます。定期的なデータ取得をスケジュールすれば、データレイクや SIEM ツール、バックアップアーカイブへ自動的にデータを送れます。
リアルタイムのアクティビティ監視: API をカスタムダッシュボード、監視アプリ、ワークフローと統合すると、運用チームやセキュリティチームに近リアルタイムの情報を提供できます。これにより、インシデントの検出と調査のサイクルを短縮できます。
分析・レポートツールとの統合: API でエクスポートした監査ログを、Power BI、カスタムレポートポータル、またはサードパーティの分析プラットフォームへ直接送信します。高度な組織では、この統合を使って傾向を把握し、ユーザー動作のベースラインを作成し、異常にすばやく対応しています。
ポータルベースのアクセスに対する利点: API による方法を使うと、手動のポータルエクスポートに比べて、より詳細なクエリ、大量データの転送、より高速な自動化が可能になります。また、大規模な環境でも、安全なロールベースのアクセス制御を実現できます。
主な検討事項: 認証とアクセス許可のモデルを慎重に計画し、API の使用方法を文書化し、利用量が多い時間帯に API のスロットリングやクォータの問題が発生していないか監視してください。

Microsoft Defender for Cloud Apps と Teams の監査ガバナンスの統合

監査ログの取り込み: Microsoft Defender for Cloud Apps (旧 MCAS) は、Teams の監査ログをネイティブに取り込み、疑わしいアクティビティやポリシー違反がないかデータを分析します。
ポリシーの構成: Defender を使うと、Teams 向けの詳細なポリシーを設定し、リスクの高いアプリの利用、データの持ち出しの試み、コンプライアンスに反する動作に対してリアルタイムのアラートを発生させられます。
高度なインシデント対応: Defender は、Teams のイベントに関連する脅威インテリジェンスに基づいて、セッションのブロックやユーザーの停止など、自動または手動の封じ込め措置を実行できます。
メリット: この統合により、セキュリティ調査の速度と精度が向上し、SOC チームは検出から是正措置へスムーズに移行できます。これらの運用に関する AI 主導の見方については、Security Copilot の実際の活用について取り上げたこちらのディスカッションをご覧ください。

監査ログデータを行動につながる知見に変える

監査ログを収集するのは作業の半分にすぎません。本当の価値は、ログを解釈し、どのように対応するかを判断することにあります。監査ログは、何を探せばよいかわからなければ意味のない生データが並んでいるため、最初は圧倒されるように見えるかもしれません。このセクションでは、生データから実用的な知見へと進み、ログを意味のあるビジネス上の判断につなげられるようになることを目指します。

重要なのは、ログが存在することを確認するだけでなく、どのイベントが本当に重要かを理解することです。リスクやビジネスへの影響に基づいてイベントの優先順位を付ける方法を学ぶことで、アラート疲れを減らし、本当に注意が必要な対象に集中できます。同じくらい大切なのは、ログから見えたことを記録し、是正手順を作成し、ガバナンスのプレイブックを見直す方法を理解することです。

次のサブセクションでは、リスク評価、イベントの分類、そして監査ログから得た知見を具体的で実行可能な改善につなげる方法について、理論と実践の両面から掘り下げます。ログを確認するたびに、自組織のデータを使ってコンプライアンスとセキュリティを強化し、脆弱な状態から回復力のある状態へ移行していく、そのための進め方です。

リスクとビジネスへの影響に基づく監査ログイベントの優先順位付け

通常と異なるアクセス元: 新規の IP アドレスや海外の IP アドレスからのサインインにフラグを付けます。これらはアカウントの侵害やポリシー違反を示している可能性があります。
特権の昇格: ユーザーに新しい管理者権限が付与されたイベントに注意を払ってください。これらは多くの場合、重大な構成変更や不正なアクティビティの前触れです。
重要データへのアクセス: 機密ファイルや社内の機密情報を含むダウンロードや共有を重点的に確認します。
一括操作または削除: 予期せず大量のチーム、チャネル、ファイルが作成または削除されたインシデントを優先して対応します。
ポリシー違反またはコンプライアンス違反: 社内規定や法的基準に違反するパターン(未承認の外部共有や不正なアプリ統合など)に素早く対処します。

監査ログの調査結果から実行可能なガバナンス計画を策定する

弱点の特定: 監査ログの概要を確認し、繰り返し発生するパターン、監視の欠落、想定していないリスクの高いユーザー行動（業務時間外の継続的なサインインや、管理されていないアプリの利用など）を見つけ出します。
是正措置の提案: 検出された各事項について、アクセス許可の変更、多要素認証の有効化、アクセス制御ポリシーの更新など、是正のための対応策を整理します。各対応策には責任者を割り当て、明確な期限を設定します。
リスクの文書化と共有: 監査ログの各検出事項、評価したリスクレベル、提案された是正措置、実施する是正対応を記録します。IT、コンプライアンス、法務、人事など関係する担当者とレポートを共有します。
ガバナンスポリシーの見直し: 得られた知見を使って、既存のガバナンス文書を調整します。たとえば、ログに現れた実際のインシデントに基づいて Teams の利用ポリシーを更新したり、許可するサードパーティ製の統合を再定義したりします。
変更のテストと検証: 新しい制御や業務プロセスの改善を実装した後、監査ログを再確認して効果を検証し、具体的な成果を示します。ガバナンスを継続的に進化させ、回復力を保つために、必要に応じて繰り返します。
フィードバックによる改善: 監査ログから得られた教訓をスタッフのトレーニングや今後のインシデント対応プレイブックに組み込み、監査ログの検出事項が「一度きり」で終わらず、継続的な改善につながるようにします。

複数プラットフォームにまたがる監査ログの相関分析と統合

Teams の監査データを読み解けるようになったら、次は視野を広げましょう。これらのログを SharePoint、Exchange、さらにはサードパーティ製ツールからの情報とどのように結び付けられるでしょうか。ハイブリッドで複数のプラットフォームを使う今日の職場では、サービス横断で監査ログを相関分析することが、リスク管理とコンプライアンスの新たな標準になっています。

このセクションでは、Teams の監査ログを中央の監視システムに統合し、他のワークロードのログと組み合わせて、より深い調査と幅広い可視化を実現する方法を扱います。たとえば、堅牢な SIEM（Security Information and Event Management）ソリューションを持つ組織は、ログが分断されていると見逃してしまう脅威を検出できます。Exchange のフィッシングメールが、Teams での不審なファイル共有につながるケースがその一例です。

以降では、Teams の監査データを SIEM に取り込む実践的な手順と、Microsoft 365 全体でユーザー活動を追跡するためのベストプラクティスを解説します。総合的な監視がセキュリティを強化するだけでなく、ガバナンスとインシデント対応をいかに効果的にするか、そして相関分析の見落としや監督の分断を防ぐ方法を確認していきます。

Teams の監査ログと SIEM ソリューションの統合

コネクタの構成: Office 365 または Teams 向けの専用コネクタを使用して、監査ログのストリームを Microsoft Sentinel、Splunk、QRadar などの SIEM プラットフォームに直接送信します。取り込みがリアルタイムまたはほぼリアルタイムで行われるようにコネクタを設定します。
Teams 固有のイベントのマッピング: Teams のイベントを SIEM のスキーマに正規化します。Microsoft の操作（チャネルの作成、ファイル共有など）を、分析とアラートに使いやすいログフィールドに変換します。
アラートと脅威検出の調整: SIEM でカスタムルールやクエリを作成し、権限の変更、大量のファイルダウンロード、未承認ドメインへの外部共有など、リスクの高い Teams の行動を監視します。これらのシグナルを他のプラットフォームのシグナルと組み合わせて、脅威検出を強化します。
調査のためのログの集約: Teams、SharePoint、Exchange のログを一元化し、フォレンジックチームが Microsoft 365 全体にわたって攻撃、コンプライアンス違反、業務上のギャップを追跡できるようにします。
統合の監視とトラブルシューティング: コネクタの状態、SIEM のログカバレッジ、イベントマッピングの正確性を定期的に確認し、統合されたシステムが信頼性を保ち、効果的に機能するようにします。

Microsoft 365 サービス全体でのユーザー活動の追跡

統合ログクエリの設定: Microsoft 365 統合監査ログを使用して、Teams、SharePoint、Exchange のアクティビティデータをまとめ、一元的な監視を実現します。
プラットフォーム横断の相関分析: サービスをまたいだユーザー操作を追跡する分析クエリを作成します（例：ユーザーが Teams で機密ファイルを受け取り、その後 SharePoint にアップロードする場合）。エンドツーエンドの調査に活用できます。
モニタリングのベストプラクティス: 統合監査ログの対象範囲を定期的に監査し、プライバシーを守るためのアクセス許可の境界を設定して、プラットフォームをまたぐ重要な動作を自動化ツールでフラグ付けしてください。Teams と SharePoint がダッシュボードの利用状況やプラットフォーム横断のワークフローでどう異なるかについては、こちらのダッシュボード比較ガイドをご覧ください。

監査ログのガバナンスとポリシー適用の自動化

正直に言って、監査ログを手作業で確認していては、とても拡張できません。Teams 環境が大きくなり、脅威が高度化するにつれて、IT 部門やセキュリティ担当者に過度な負担をかけずにリスクを素早く検知し、ガバナンスを適用するには自動化が欠かせません。

監査ログのガバナンスを自動化するとは、リアルタイムのイベントアラート、適応型の監視ポリシー、高度な分析を活用して統制を強化することを指します。このセクションでは、手作業による事後的なチェックから、ポリシーに基づく先回りの監視へ移行する方法を説明します。後追いの対応に追われるのではなく、問題が顕在化した時点で検知して対応できる状態を目指しましょう。

本セクションでは、業務上極めて重要なアクティビティに対する自動アラートの構成方法を取り上げ、人間だけでは到底及ばない速度と精度で異常を検出できる機械学習ツールの活用方法も紹介します。自動化によってコンプライアンス要件と現場の運用とのギャップを埋め、無駄なノイズを減らして安心感を高めましょう。

重要な監査ログイベントに対する自動アラートの実装

Security & Compliance ポータルでネイティブアラートを設定する: 管理者の特権昇格、機密ファイルの外部共有、大量削除など、重大度の高いイベントについて、Microsoft Purview ポータルまたは Teams 管理センターでアラートポリシーを定義します。
PowerShell による自動化を活用する: Windows タスクスケジューラーまたは Azure Automation でスケジュール実行する PowerShell スクリプトを使用して、直近の監査ログを事前定義したパターンでスキャンし、条件に合致した場合は IT 部門やセキュリティチームに即座に通知します。
サードパーティ製ソリューションと統合する: Teams の監査ログを外部のアラートプラットフォームや SIEM に接続し、組織の対応ワークフローに合わせた柔軟なプラットフォーム横断のアラートを実現します。
エスカレーションと対応パスを定義する: アラートを特定のインシデント対応プレイブックに関連付けておくことで、重大な Teams イベントでアラートが発生した際に、チームが何をすべきかを正確に把握できるようにします。
ルールを継続的に見直して改善する: どのアラートポリシーが実際の対応につながっているかを定期的に評価し、しきい値を調整するとともに、ノイズの多い冗長なルールを削除して、アラート疲れを防ぎます。

Teams 監査ログの異常検出に機械学習を活用する

機械学習ベースのセキュリティプラットフォームを採用する: 不審な Teams アクティビティのパターン(通常とは異なるサインイン時刻、メッセージの急増、特権の悪用など)を検出するために、ML モデルを組み込んだ Microsoft Defender XDR や Azure Sentinel などのソリューションを導入します。
動作のベースラインを確立する: ユーザー、チーム、管理者の「通常」の動作を ML システムに学習させ、そのベースラインを使って、脅威やポリシー違反の可能性がある外れ値を検出します。
自動的な脅威の特定: ML ツールは、静的なルールでは見逃しがちな複雑な攻撃シナリオを検出します。例としては、複数アカウントによる協調的なアクセス、Teams と SharePoint の間での横方向の移動、目立たないデータ持ち出しの試みなどがあります。
アラートの優先順位付けと抑制: ML による分類を使用して誤検知を除外し、対応リソースを、人による確認が必要な本当に高リスクな事象や異常な事象に集中させます。
モデルを継続的に更新して改善する: 検証済みのインシデントの結果を ML システムにフィードバックしてモデルを再学習させ、新たな脅威や動作が現れるたびに、Teams 環境でのノイズを減らし精度を高めます。

Teams 監査ログのガバナンスに関する重要なポイントとベストプラクティス

Teams 監査ログのガバナンスで一歩先を行くには、すべてのアラートを追いかけることではなく、賢明な基本ルールを定め、状況を常に把握し続けることが重要です。まずは、監査ログの記録、アクセス、チーム管理について「何を」「なぜ」行うのかを明確にしたガバナンスポリシーを設計しましょう。そのうえで、初日からロール、責任、遵守すべき行動について関係者全員の認識をそろえることが必要です。

監査ログを有効にするだけで終わりにしないでください。ログの保持期間とアクセス制御は、会社のリスク許容度とコンプライアンス要件に合わせて時間をかけて構成しましょう。監査イベントを確認、分類、優先順位付けして、ノイズに埋もれないようにしてください。重大度の高いイベントが発生したときに、本当に重要なアラートを受け取れることが大切です。最も重要なシナリオについては、カスタムアラートと自動化されたポリシーの適用を構築しておくと、コーヒーを何杯飲んでも解決できないような頭痛の種を大幅に減らせます。

Teams の枠を超えて考えましょう。包括的なガバナンスとは、Teams の監査ログを SIEM プラットフォームや Microsoft 365 統合監査ログといった、より広範なツールと連携させることを意味します。サービスをまたいで追跡すると可視性が高まり、一つのシステムだけを監視していると見逃してしまうリスクの高いパターンを捉えやすくなります。さらに意欲があれば、機械学習や自動化を試して、自分では気づきにくい巧妙な異常を検出してみてください。

最後に、監査ログのレビューを行動につなげる燃料として活用してください。得られた知見を使って、ガバナンスフレームワークを改善し、新たな是正手順を策定し、コンプライアンス文書を強化しましょう。混乱を減らし、Teams の乱立を抑えるためのヒントとして、Teams 管理の自動化に関する実践的な戦略や、混乱を自信ある協業に変えるガバナンスフレームワークの構築もご覧ください。

よくある質問: Microsoft Purview ポータルと Microsoft 365 監査ログのガバナンス

Teams の監査ログガバナンスにおいて、Microsoft 365 監査ログはどのような役割を果たしますか?

Microsoft 365 監査ログは、Microsoft Teams、SharePoint、Exchange などの Microsoft サービス全体の監査レコードを収集します。Teams の監査ログガバナンスにおいては、Microsoft 365 監査ログが Microsoft Teams のアクティビティ（Microsoft Teams 内のイベント）に関する監査レコードを一元的に提供します。これにより、監査ログの検索、監査エントリの表示、監査ログレポートの生成が可能となり、コンプライアンスの実証やインシデントの調査に役立ちます。

Teams のアクティビティの監査ログは、どのように検索しますか?

監査ソリューションを選択し、Teams のアクティビティ、日付範囲、ユーザーアカウントなどのフィルターを指定することで、Microsoft Purview ポータルまたはコンプライアンスセンターから監査ログを検索できます。ポータルでは、会議、メッセージのイベント、Teams サイト内のファイルアクセスなど、監査ログのエントリの種類を検索できます。これにより、ユーザーと管理者のアクティビティを記録したデータを見つけられます。

監査レコードはどのくらい保持されますか?また、監査ログの保持ポリシーとはどのようなものですか?

監査レコードは、Microsoft Purview で構成された監査ログの保持ポリシーと、Microsoft 365 または Office 365 の関連する保持設定に従って保持されます。既定の保持期間は、ライセンス（例: Microsoft 365 E5 ライセンスや E5 Ediscovery and Audit アドオン）や、構成した監査の保持期間によって異なります。Purview の監査設定で監査ログの保持ポリシーを確認し、ガバナンス要件を満たしているかを確かめてください。

Teams のイベントに関する監査ログレポートを表示したり、監査データをエクスポートしたりできますか?

はい。Microsoft Purview ポータルで監査ログレポートを表示できるほか、監査ログの検索結果を CSV にエクスポートして詳細な分析に利用できます。監査ログレポートにはアクティビティの監査レコードが含まれ、Microsoft Teams のイベントを表示できます。Microsoft 全体のイベントに関する監査ログとして、SIEM と連携させたり、調査に活用したりできます。

Teams の監査ログや高度な監査機能にアクセスするには、特定のライセンスが必要ですか?

基本的な監査機能は多くの Microsoft 365 サブスクリプションで利用できます。ただし、保持期間の延長や一部の監査レコードの詳細などの高度な機能には、Microsoft 365 E5 コンプライアンスライセンスまたは E5 Ediscovery and Audit アドオンライセンスが必要な場合があります。監査ログ、監査ログレポート、拡張された監査の保持ポリシーにアクセスするために Microsoft 365 E5 やアドオンが必要かどうかは、Microsoft Learn のライセンスに関するガイダンスで確認してください。

Microsoft Entra と Microsoft Entra ID は、Teams の監査ログガバナンスとどのように関係しますか?

Microsoft Entra および Microsoft Entra ID(旧 Azure AD)は、アイデンティティとアクセスに関するイベントを提供します。これらのイベントは監査レコードとして記録され、監査ログ内で Microsoft Teams のアクティビティと関連付けることができます。包括的なガバナンスを実現するには、Microsoft Entra、Teams のイベント、その他の Microsoft サービスのログを組み合わせることをお勧めします。そうすることで、Microsoft サービス全体の監査の相関関係を確認し、ユーザーと管理者が実行したアクティビティを把握できます。

Teams 経由でアクセスした SharePoint ファイルの監査ログエントリは、どこで確認できますか?

Teams で共有または保存されたファイルは、多くの場合 SharePoint に保存されます。これらのアクセスイベントは監査レコードを生成し、Microsoft 365 の監査ログで確認できます。Purview の監査検索を使用して、SharePoint ファイルへのアクセスに関する監査ログエントリを表示し、Teams サイトや特定のユーザーで絞り込みます。「view audit」や「view audit log」などの用語を含めると、Teams から開いた、または変更したファイルに関連するユーザーと管理者のアクティビティを見つけやすくなります。

組織で監査設定とガバナンスのベストプラクティスに確実に従うには、どうすればよいですか?

明確な監査設定と保持ポリシーを確立し、必要な監査の保持期間を文書化し、Microsoft 365 サービス全体で監査を有効にして、アクティビティの監査ログレポートと監査レコードを定期的に確認してください。Microsoft Purview ポータルを使用してログを検索し、監査ログのデータをエクスポートしてアーカイブします。そのうえで、Microsoft Entra、Teams サイト、Microsoft 365 グループのポリシーと調査結果を組み合わせ、説明責任を果たせるガバナンスプログラムを維持してください。