M365・社内IT 自己点検解説記事

解説記事 › 全般

一人情シスのM365点検チェックリスト：まず見る16項目と直す順番

仕様やプランは変わります。設定を変える前に、最新の公式資料（記事末尾の「参考」）で確認してください。この記事は個人による非公式の解説です。

自社の設定の抜けは？ 16問・約3分の無料の自己点検で、点数と優先して直す点がわかります。

一人情シスのM365点検は、「認証 → 管理者 → 外部との共有 → 退職者 → 端末 → メール → データ」の順に、16項目を見ていくと、抜けを減らせます。 この記事は、公式資料で確認した内容にもとづく、チェックリストです。各項目に、確認する場所と、詳しい解説記事へのリンクを付けました。2026年11月時点の内容です。

この記事は、個人による非公式の解説です。仕様やプランは変わる可能性があるため、設定を変える前に、各記事末尾の「参考」の公式資料を確認してください。点検は、無料のM365・社内IT 自己点検（16問・約3分）でも、できます。

1. 認証（サインインの守り）

# 点検項目 確認する場所・ポイント 詳しい解説
1 全員に MFA を必須にしているか Entra ID Free は「セキュリティの既定値群」、P1 以上は条件付きアクセスで必須にできる。両方は同時に使えない （この記事の末尾に補足）
2 SMS・音声だけに頼る人がいないか 2027年2月1日以降、使える方法が SMS・音声だけの人は、パスキーの登録が必須になる（管理者は2027年7月1日） SMS認証の終了
3 管理者が、フィッシングに強い方式を使っているか パスキー（FIDO2）、Windows Hello、証明書ベースが対象。Authenticator の通知やコード、SMS は含まれない SMS認証の終了
4 レガシー認証をブロックしているか サインインログで洗い出し、条件付きアクセスを「レポート専用」で確認してから「オン」にする レガシー認証を止める

2. 管理者

# 点検項目 確認する場所・ポイント 詳しい解説
5 グローバル管理者が5人未満か Entra 管理センターの「ロールと管理者」。権限の小さいロールに分ける 管理者の人数
6 緊急用アカウントがあるか 2つ以上、クラウド専用、パスキー（FIDO2）、条件付きアクセスから除外、90日ごとに確認 緊急用アカウント
7 ユーザーによる外部アプリへの同意を制限しているか 既定は、管理者の同意が不要な権限なら、利用者が同意できる。Microsoft は、検証済み発行元の低リスクな権限だけに制限し、管理者の同意ワークフローを有効にするよう勧めている 下の補足を参照

3. 外部との共有

# 点検項目 確認する場所・ポイント 詳しい解説
8 外部共有の範囲を決めているか SharePoint の組織の既定は「リンクを知っていれば誰でも」。Microsoft は非推奨で、使うなら期限を付けて閲覧のみにする ゲストの棚卸し（共有の項を参照）
9 ゲストを定期的に棚卸ししているか 非アクティブなゲストの確認は、既定90日。自動の整理には ID Governance などのライセンスが要る ゲストの棚卸し

4. 退職者

# 点検項目 確認する場所・ポイント 詳しい解説
10 退職日の手順があるか パスワードのリセットと全セッションのサインアウト → サインインのブロック（最大24時間）。メールの引き継ぎが終わるまで、アカウントを削除しない 退職者のアカウント対応

5. 端末

# 点検項目 確認する場所・ポイント 詳しい解説
11 会社のPCを暗号化しているか Intune の「エンドポイントセキュリティ → ディスク暗号化」で BitLocker を配れる。回復キーの保管先も確認する。ローカル管理者のパスワードは、Windows LAPS で個別に管理できる 下の補足を参照

6. メール

# 点検項目 確認する場所・ポイント 詳しい解説
12 社外への自動転送を管理しているか 既定の「自動（システム制御）」は、組織で挙動が違う。送信スパムフィルターで「オフ」を明示する 自動転送を止める
13 SPF・DKIM・DMARC を設定しているか 設定は、SPF → DKIM（CNAME 2本）→ DMARC の順。DMARC は、DNS で設定する 下の補足を参照
14 添付ファイル・リンクの検査と、報告の窓口があるか Safe Links・Safe Attachments は、Defender for Office 365 の機能（プランによる）。Outlook の「報告」ボタンで、不審メールを集められる 下の補足を参照

7. データ

# 点検項目 確認する場所・ポイント 詳しい解説
15 監査ログを、調べられる状態か 既定で有効、標準は180日。Exchange Online PowerShell で有効かを確認する 監査ログの保持期間
16 削除したデータを戻せる期間を知っているか SharePoint・OneDrive は93日、メールは既定14日（最大30日）。別途バックアップを検討する 削除データの復元期間

補足（解説記事が無い項目）

1. 全員の MFA：Entra ID Free の組織は、セキュリティの既定値群で、全員に MFA の登録を求め、レガシー認証もブロックできます。P1 以上の組織は、条件付きアクセスで細かく設定します。条件付きアクセスに切り替えるときは、先に、セキュリティの既定値群をオフにする必要があります。

7. ユーザーの同意：悪意のあるアプリに権限を与えると、メールやファイルを取られる手口があります。Microsoft は、検証済み発行元のアプリだけに限る設定を勧めています。あわせて、管理者の同意ワークフローを有効にすると、利用者が管理者に承認を依頼できます。

11. 端末：BitLocker の回復キーが、Entra ID に保管されているかを確認してください。Windows LAPS は、端末ごとに違うローカル管理者のパスワードを、自動で変更して保管します。Entra 登録のみの端末は、LAPS に対応していません。

13. メール認証：DKIM は、独自ドメインごとに、2本の CNAME レコードを DNS に登録して、有効にします。DMARC は、管理画面ではなく、DNS で設定します。Microsoft の例では、p=none、p=quarantine、p=reject が示されていて、段階的に厳しくするのが、現実的です。

14. メールの保護：Safe Links と Safe Attachments は、Exchange Online Protection の標準ではなく、Defender for Office 365 の機能です。含まれるプランは、契約によって違います。疑似フィッシングの訓練（攻撃シミュレーション）は、Defender for Office 365 の Plan 2 または E5 が必要です。

直す順番の提案

すべてを一度にやる必要はありません。次の順番が、小さな会社には、取り組みやすいと考えます（これは公式資料の記載ではなく、この記事の提案です）。

  1. まず（1〜2週間）：項目1・2・3・6。サインインの守りと、締め出しの備え。SMS・音声の終了は、期日が決まっているため、早めに人数を調べておく
  2. 次に：項目5・10・12。管理者の整理、退職日の手順、自動転送。事故の元になりやすい部分
  3. そのあと：項目4・8・9。影響の確認が必要な、レガシー認証のブロックと、共有の整理
  4. 余裕があれば：項目11・13・14・15・16。端末、メール認証、監査、復元

設定を変える前には、必ず、影響範囲、業務が止まるか、戻し方を確認してください。各解説記事に、表でまとめています。クライアントなど、他社のテナントで作業する場合は、必ず相手の承認を取ってから行ってください。

まとめ

16項目のうち、いくつ「はい」と言えるかを、まず数えてください。1つも確認できていない項目は、その分野の解説記事から、手を付けるのが近道です。

点検の結果は、点数と、優先して直す3点で、見られます。M365・社内IT 自己点検は、全40問から毎回16問を出題する、無料のツールです（入力は送信されません）。

参考

2026年11月時点で確認した公式資料です。各項目の詳細は、各解説記事の「参考」にもあります。

自社のM365の設定を、3分で点検する（無料）
16問に答えるだけで、点数・優先して直す3点・確認が必要な項目が出ます。回答はブラウザ内だけで処理し、送信しません。

点検をはじめる

あわせて読みたい