なぜ Microsoft 365 の監査ログを無視できないのか

By Mirko Peters · 2026-08-28

エンタープライズ・サイバーセキュリティにおける最も重要でありながら見落とされがちな柱の一つ、Microsoft 365 の監査ログについて詳しく見ていきます。組織が日々の業務をクラウドに依存しているなら、機密情報、従業員データ、財務データ、機密性の高いやり取りを Exchange、SharePoint、OneDrive、Teams に保存している可能性が高いでしょう。ここで一つ単純な質問をさせてください。明日の朝、高度な脅威アクターや悪意のある内部関係者が環境からデータを静かに持ち出したとき、現在のセキュリティ構成は侵害を検知して警告してくれるでしょうか。

Automatically translated with AI from the original post. Read the English original

Cover: Build a Zero Trust Incident Timeline with Microsoft 365 Audit Logs

多くの組織にとって、その答えは深刻な「いいえ」です。Microsoft 365 テナントで統合監査ログが無効になっていたり、設定が不適切だったりすると、セキュリティ部門とコンプライアンス部門は完全に視界を失った状態になります。このブログ記事では、監査データを無視することに潜むリスクを明らかにし、これらのログがゼロトラストアーキテクチャの土台となる仕組みを解説します。さらに、ログ戦略を有効化し最適化するために必要な具体的な手順を示し、最新の音声解説とのつながりも紹介します。これらの考え方を実践する方法について詳しく聞きたい場合は、関連するポッドキャストエピソード Build a Zero Trust Incident Timeline with Microsoft 365 Audit Logs もぜひご覧ください。

M365 監査ログとは

定義と目的

M365 監査ログは、Microsoft 365 を利用する組織にとって欠かせないツールです。さまざまなサービス全体でユーザーのアクティビティを追跡し、セキュリティとコンプライアンスの維持を支援します。Microsoft によると、「監査ログは、お客様のテナントと Microsoft 365 の内部インフラストラクチャの両方を維持、トラブルシューティング、保護するうえで重要な役割を果たします」とされています。つまり、これらのログはユーザーの操作を監視するだけでなく、Microsoft 365 環境全体の健全性を確保するうえでも役立ちます。

M365 監査ログの主な目的は、ユーザーの操作を可視化することです。誰がいつ、どのデータにアクセスしたかを確認できます。この可視化は、不正アクセスの試みを特定し、ユーザーが適切なアクセス許可を持っていることを確認するうえで重要です。ログを分析することで、潜在的なセキュリティ脅威に迅速に対応し、強固なセキュリティ態勢を維持できます。

主な機能

M365 監査ログには、セキュリティ運用を強化するいくつかの主要な機能があります。代表的な機能は次のとおりです。

機能	説明
監査ポリシーと範囲	数十のサービスにまたがる数千のイベントを対象とし、組織のニーズに合わせてログ記録を調整できます。
監視と異常検出	ツールがログのパターンを分析して異常にフラグを立て、通常と異なるアクティビティに基づく潜在的なインシデントの特定を支援します。
分析ツールとの統合	API によって、SIEM システムへのログの集約と分析が可能になり、データの相関付けを強化してセキュリティ運用を向上させます。

これらの機能により、包括的なセキュリティ戦略を構築できます。たとえば、監査ポリシーを使えば、組織固有のニーズに応じて記録するイベントを細かく設定できます。この柔軟性により、セキュリティ評価に最も関連するデータを確実に取得できます。

さらに、監視と異常検出の機能によって、ユーザーの行動における通常と異なるパターンを把握できます。この予防的なアプローチにより、深刻なインシデントに発展する前に潜在的な脅威を捉えられます。M365 監査ログを分析ツールと統合することで、全体的なセキュリティ運用を強化し、データを相関付けてインシデントに効果的に対応しやすくなります。

M365 監査ログとゼロトラスト

ID の検証

ID の検証は、ゼロトラストモデルの中核をなすものです。M365 監査ログはこのプロセスで重要な役割を果たします。Microsoft 365 の各サービスにおけるユーザーのアクティビティを詳細に記録するためです。これらのログを分析することで、ユーザーが自分の主張どおりの人物であることを確認できます。この検証プロセスは、機密データへの不正アクセスを防ぐのに役立ちます。

サインインの試行やユーザーの操作を監視すると、異常を素早く特定できます。たとえば、ユーザーが普段と異なる場所やデバイスからサインインした場合、ログでアラートが上がります。この即時のフィードバックにより、侵害が起きる前に対処できます。確認済みのユーザーだけがリソースにアクセスするようにすることで、セキュリティ態勢を強化できます。

アクセスの制限

アクセスの制限は、ゼロトラストのもう一つの重要な原則です。M365 監査ログを使うと、厳格なアクセス制御を徹底できます。誰がいつどのデータにアクセスしたかを追跡できます。この可視性により、ユーザーが役割に応じた適切なアクセス許可を持っているかを確認できます。

不正なアクセスの試行に対してアラートを設定できます。ユーザーがアクセスすべきではないデータにアクセスしようとすると、ログがその操作にフラグを立てます。この先回りの取り組みは、データに対する統制を維持し、内部脅威のリスクを低減するのに役立ちます。アクセスログを定期的にレビューすれば、必要に応じてアクセス許可を調整し、機密情報にアクセスできるのは承認されたユーザーだけであるようにできます。

継続的な監視

ゼロトラスト環境で説明責任を維持するには、継続的な監視が欠かせません。M365 監査ログは、30 を超える Microsoft 365 サービスにわたるユーザーと管理者の操作を追跡する統合監査ログを提供します。この包括的な監視により、異常な操作や不審な操作を早期に特定でき、「Verify explicitly」(明示的に検証する)というゼロトラストの原則にも沿います。

監査ログを定期的にレビューすると、アクセスと操作の可視性を維持できます。これにより、承認されたユーザーとデバイスだけがリソースを利用している状態を確保できます。さらに、M365 監査ログはコンプライアンスとセキュリティインシデントへの対応も支援します。IT チームが潜在的なセキュリティ侵害を素早く検出して対応できるようになります。継続的な監視を実施することで、進化する脅威に適応する堅牢なセキュリティの枠組みを構築できます。

M365 監査ログの有効化

ステップバイステップガイド

M365 監査ログの有効化は、ユーザーのアクティビティを監視し、セキュリティを強化するために欠かせません。Microsoft 365 環境で監査ログを有効にするには、次の手順に従ってください。

UAL の状態を確認: まず、統合監査ログ (UAL) が有効かどうかを確認します。次の PowerShell コマンドを実行して確認できます。
```
Get-AdminAuditLogConfig
```
UAL を有効化: UAL が有効になっていない場合は、次のコマンドを使って有効にします。
```
Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true
```
アクセス許可の割り当て: ログへのアクセスが必要なユーザーアカウントに、「表示専用の監査ログ」または「監査ログ」のいずれかのアクセス許可を必ず割り当ててください。
ログ監査の有効化: ログ監査が有効になっていることを確認します。この手順は、監査ログにアクセスするために欠かせません。
有効化の待機: 監査を有効にした後、ログにアクセスできるまで数時間かかる場合があることに注意してください。

ヒント: 2019 年より前に作成された古いテナントでは、監査ログが既定で有効になっていない場合があります。問題が発生した場合は、ライセンスの制限やサービスのプロビジョニングの遅延を確認してください。

構成オプション

M365 監査ログを構成するときは、セキュリティとコンプライアンスを最大限に高めるために、次のオプションを検討してください。

保持ポリシー: 組織のニーズに合った保持ポリシーを選択します。代表的な種類は次のとおりです。

保持ポリシーの種類	説明
無期限	コンテンツを無期限に保持します。
期間指定での削除	指定した期間が経過したらコンテンツを削除します。
定期的な保持	一定期間コンテンツを保持した後に削除します。

アクティビティの監視: Exchange Online、SharePoint、OneDrive、Teams、Azure Active Directory など、さまざまなサービスにわたるユーザーと管理者のアクティビティを監視します。この包括的な監視により、異常を発見しやすくなります。
アラートポリシー: 不審なアクティビティに対するアラートポリシーを設定します。たとえば、大量削除や危険なアクセスの試行に対してアラートを作成できます。
定期的なレビュー: 監査ログを定期的にレビューして、普段と異なるパターンを特定します。この習慣は、強固なセキュリティ態勢の維持に役立ちます。
管理者アクセスの制限: 監査ログへのアクセスは、セキュリティ、コンプライアンス、上級管理者のロールに限定します。この制限により、内部脅威のリスクを低減できます。

これらの手順と構成オプションに従うことで、M365 監査ログを効果的に有効化して管理でき、組織にとって堅牢なセキュリティの枠組みを確保できます。

M365 監査ログのベストプラクティス

アラートシステムとの統合

M365 Audit Logs をアラートシステムと統合すると、セキュリティ運用が強化されます。この統合により、セキュリティインシデントに関するリアルタイムの通知を受け取れます。迅速なアラートによって、潜在的な脅威にすばやく対応できます。効果的な統合のためのベストプラクティスは次のとおりです：

ベストプラクティス	説明
ロールベースのアラート管理	チームごとに責任を定義してアラートの処理を効率化し、冗長なアラート対応を減らします。
人工知能（AI）の活用	アクティビティデータを分析してパターンを検出し、予測アラートを生成します。インシデントが深刻化する前に防止するのに役立ちます。
データ損失防止（DLP）の監視	機密データが露出するリスクを管理者に通知します。セキュリティと運用効率のバランスを取るには、効果的な監視戦略が必要です。
コンプライアンスとガバナンス	Azure Blueprints を使用して、アラート管理のポリシーを定義および適用します。これにより、コンプライアンス要件との整合性を確保し、監査に対応できるドキュメントを提供します。

これらのプラクティスを実装することで、全体的なセキュリティ態勢を向上させることができます。M365 Audit Logs を SIEM システムと統合すると、環境を詳細に可視化できます。この可視化により、迅速なインシデント対応と、専任のセキュリティ運用センター（SOC）による継続的な監視が可能になります。

積極的なセキュリティ対策

積極的なセキュリティ対策は、M365 Audit Logs の効果を最大限に高めるうえで不可欠です。これらの対策により、リスクが重大なインシデントに発展する前に特定し、軽減できます。次の戦略を検討してください：

ユーザーのアクセス許可を制限するロールベースのアクセス制御
機密データの暗号化
多要素認証
定期的なセキュリティ評価
データ損失防止ポリシー
エンドポイント保護
ネットワークのセグメント化

さらに、ユーザーのサインインアクティビティを監視すると、通常と異なる動作を検出できます。明確な監査証跡を確立することで、アクセスや変更を効果的に追跡できます。組織の内部と外部の両方からのサインインを監査することは極めて重要です。この取り組みにより、セキュリティ侵害の可能性を示す通常と異なるサインインアクティビティを特定できます。

積極的な対策は、可視性とログ記録を強化します。包括的な可視性により、セキュリティインシデントの検出と調査が向上します。インシデントへの対応が速いほど、被害は小さくなります。こうした積極的なセキュリティ対策を採用することで、組織のセキュリティフレームワークを大幅に強化できます。

M365 Audit Logs によるコンプライアンス対応

コンプライアンス要件への対応

M365 Audit Logs は、組織がさまざまなコンプライアンス要件を満たすうえで重要な役割を果たします。これらのログにより、ユーザーアクティビティに関する必要な可視性が得られます。これは規制への準拠に不可欠です。M365 Audit Logs がサポートする主なコンプライアンス標準は次のとおりです：

Microsoft 365 Audit Logs は、情報資産の保護に関する管理策を含む ISO 27001:2013 規格への準拠をサポートします。
監査ログの有効化は、HIPAA や GDPR などの規制要件を満たすうえで不可欠です。
ログ記録ポリシーを業界のフレームワークに合わせることで、監査や調査の際に、適切な注意義務を果たしていることを示せます。
監査ログを定期的に確認し、アラートを統合することで、積極的な脅威検出が強化されます。

Microsoft は、HIPAA や GDPR を含む 100 以上のコンプライアンス認証を取得しています。ただし、組織は準拠を確実にするために独自の安全対策を実装する必要があります。コンプライアンスは Microsoft と組織が共同で担う責任であることを忘れないでください。M365 Audit Logs を活用することで、コンプライアンス上の義務を効果的に管理できます。

監査証跡とレポート

M365 Audit Logs によって生成される監査証跡は、コンプライアンスレポートにとって極めて重要です。これらの証跡はユーザーと管理者のアクティビティを追跡し、規制基準への準拠を示すうえで重要です。コンプライアンスレポートにおける監査証跡の重要な側面は次のとおりです：

監査証跡は、ユーザーと管理者のアクティビティを追跡するために不可欠であり、コンプライアンスレポートにとって極めて重要です。
これらのログの保持期間は、セキュリティ要件、コンプライアンスガイドライン、調査上のニーズによって決まります。これにより、組織は規制基準を満たせます。
ログの保持期間を延長すると、フォレンジック調査に役立ち、コンプライアンス監査に必要なドキュメントを提供できます。

内部および外部のコンプライアンス監査に向けて M365 Audit Logs を効果的に活用するには、次の手順に従ってください：

組織で統合監査ログが有効になっていることを確認します。
規制要件を満たすために、監査ログの保持ポリシーを確認します。
監査アクセス用のロール割り当てを確認し、適切な監督体制を維持してください。
ユーザーと管理者のアクティビティを定期的に監視し、異常な動作を早期に検出してください。

さらに、保持期間が終了する前に関連するログのサブセットをエクスポートし、信頼性の高い証拠の連鎖を構築してください。四半期ごとにセルフ監査をスケジュールし、ログをコンプライアンスポリシーと照らし合わせて確認してください。SIEM ツールとの統合も、積極的な監視を強化するうえで役立ちます。

M365 監査ログを活用することで、コンプライアンス対応のための堅牢な枠組みを構築できます。この枠組みは規制要件への対応に役立つだけでなく、組織全体のセキュリティ態勢の強化にもつながります。

M365 監査ログは、Zero Trust セキュリティの枠組みを大きく強化します。ユーザーのアクティビティに関する重要な可視性を提供し、通常と異なるサインインや過度なメール転送などの異常を検出できるようにします。この可視性により、データ損失防止ポリシーを適用し、潜在的な脅威にすばやく対応できます。

さらに、これらのログはユーザーと管理者の操作を追跡することでコンプライアンスを支援し、説明責任の確保にもつながります。監査ログを定期的にレビューすることで不審なアクティビティを特定でき、強固なセキュリティ態勢を維持するうえで欠かせません。M365 監査ログを活用すれば、セキュリティリスクを先回りして管理し、機密データを効果的に保護できます。

よくある質問

Microsoft 365 監査ログは何に使用しますか?

Microsoft 365 監査ログは、Microsoft 365 サービス全体でユーザーと管理者のアクティビティを追跡するために使用します。不正アクセスの検出、コンプライアンスの監視、セキュリティインシデントの調査に役立ちます。

M365 監査ログは Zero Trust セキュリティをどのように支援しますか?

ユーザーの操作を継続的に可視化し、ID を検証して、厳格なアクセス制御の適用を支援します。これは Zero Trust の原則である "never trust, always verify"(決して信頼せず、常に検証する)を支えるものです。

記録されるアクティビティをカスタマイズできますか?

はい、組織のニーズに応じて監査ポリシーを調整し、特定のイベントを記録できます。これにより、最も関連性の高いセキュリティデータに集中できます。

監査ログはどのくらいの期間保持されますか?

保持期間は、設定したポリシーによって異なります。ログを無期限に保持することも、期間ベースの保持を設定して、コンプライアンスや調査のニーズに対応することもできます。

監査ログには誰がアクセスできますか?

割り当てられたアクセス許可を持つユーザー(セキュリティ担当者やコンプライアンス担当者など)のみが、監査ログにアクセスすべきです。アクセスを制限することで、内部脅威のリスクを低減できます。

監査ログからアラートを受け取るにはどうすればよいですか?

監査ログをアラートシステムや SIEM ツールと統合できます。これらのシステムは、不審なアクティビティをリアルタイムで通知します。

M365 監査ログはコンプライアンス監査に役立ちますか?

もちろんです。HIPAA や GDPR などの規制に対する組織の準拠状況を示す、詳細な監査証跡を提供します。

ログで不審なアクティビティに気付いた場合はどうすればよいですか?

すぐに調査してください。ログを使ってアクティビティを追跡し、発生源を特定したうえで、侵害を防ぐための是正措置を講じてください。

🎧 このエピソードを聴く

Build a Zero Trust Incident Timeline の実践的な解説をお探しですか?このエピソードでは、このトピックを分かりやすく解説し、Microsoft 365、Azure、Power Platform、セキュリティ、AI、そして現代の働き方にとってなぜ重要なのかを紹介します。

このエピソードは次のような方におすすめです:

Build a Zero Trust Incident Timeline の背景にある主要な概念を理解する
Microsoft のテクノロジーエコシステム全体の中での位置付けを確認する
組織にとって実践的な価値を生み出せる場面を知る

関連する M365 FM のエピソードもぜひご覧ください:

M365 FM で、実践的な Microsoft の話題をさらにご覧ください。