Microsoft 365の設定不備が招くサイバーリスク、「正しい設定」の進め方とは？

　多くの企業が導入しているMicrosoft 365だが、しっかり設定しないまま使用してしまう企業も少なくない。その理由としては、「オンプレミスからクラウドに変わるため、従来の管理手法が使えない」「Microsoft 365は機能が多く設定が複雑で、正しい設定が分からない」といったものが挙げられる。

　一方、Microsoft 365の不適切な設定に起因するサイバー犯罪の被害が多発しており、米国国土安全保障省が注意喚起を行っている。そこで有効な対策の第一歩になるのが、米国CIS（Center for Internet Security）が公開している基準に従った、Microsoft 365の設定値の評価だ。

　本資料では、Microsoft 365やAzure Active Directoryの設定値を評価して、不適切な設定を検出するクラウドセキュリティ診断サービスを紹介する。設定を“可視化”することによって「導入時テストで使用していたアカウントや共有設定が残っていた」「本来共有されるべきでないアプリケーションが共有可能となっていた」といったリスクが明らかになるという。