Microsoft 365のメールセキュリティは、メール機能を提供する Exchange Online に付属するExchange Online Protection（EOP）が提供します。本稿では、Microsoft 365 の標準機能や各プランで提供されるメールセキュリティの機能と対策の課題について解説します。
執筆：Meta Associates 高間剛典
監修：サイバーソリューションズ株式会社 営業本部 マーティング部
Microsoft 365のメール機能は、Exchange Onlineが提供
Microsoft 365 のメール機能は Exchange Online が担っています。Exchange Online は、Microsoftが提供するクラウドベースのメッセージング プラットフォームであり、メール、予定表、連絡先、タスクなどの機能を利用できます。
Exchange Onlineは、ビジネス向けのメール機能や50GBまでのメールボックスの提供、大容量ファイルの送信機能、グループウェア機能（カレンダー、コンタクト、タスクの共有、管理）などが含まれています。
関連記事：Microsoft 365 のメールサービスを提供するExchange Online
Exchange OnlineのメールセキュリティはExchange Online Protectionが提供
出所：Exchange Online Protection (EOP) の概要 | Microsoft Learn
Exchange Onlineのメールセキュリティは、Exchange Online Protection（EOP）で提供します。EOPは、クラウドベースのメールフィルタリングサービスであり、スパム、マルウェア、その他のメールから攻撃される脅威からExchangeOnlineを保護します。EOPは、Exchange Onlineメールボックスを持つすべてのMicrosoft 365 に含まれます。
Microsoft Deffender for Office 365を導入することでExchange Online Protectionのメールセキュリティを強化できます。
関連記事：Exchange Online Protection とは？ Microsoft 365 に標準で搭載されているメールセキュリティについて徹底解説
高まるメール経由でのセキュリティリスク
IPA（情報処理推進機構）が 2023 年1月25日に発表した「情報セキュリティ10大脅威 2023」では、セキュリティ10大脅威のうち、メールに関連する脅威が6件もランクインされています。また、セキュリティレスポンスサービスを提供している、Internet Secure Service の代表取締役 最高責任者 徳田敏文氏によると、セキュリティインシデントの要因は、メールからの侵入が90％以上と述べています。
| 順位 | 前年順位 | 法人部門の脅威 |
| 1位 | 1位 | ランサムウェアによる被害 |
| 2位 | 3位 | サプライチェーンの弱点を悪用した攻撃 |
| 3位 | 2位 | 標的型攻撃による機密情報の窃取 |
| 4位 | 5位 | 内部不正による情報漏えい |
| 5位 | 4位 | テレワーク等のニューノーマルな働き方を狙った攻撃 |
| 6位 | 7位 | 修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃） |
| 7位 | 8位 | ビジネスメール詐欺による金銭被害 |
| 8位 | 6位 | 脆弱性対策の公開に伴う悪用増加 |
| 9位 | 10位 | 不注意による情報漏えい等の被害 |
| 10位 | 圏外 | 犯罪のビジネス化（アンダーグラウンドサービス） |
高まる脅威には、メールセキュリティ対策の網羅性が重要
高まるメールに関する脅威へ対応するには、メール受信、メール送信、アーカイブ、シングルサインオンの４つのカテゴリーでセキュリティ対策の導入を検討しましょう。
Microsoft 365 プラン別のメールセキュリティの機能
Microsoft 365 メールセキュリティを提供するExchange Online ProtectionとDefender for Office 365 のプラン別の機能は以下の通りです。Defender for Office 365 のプラン1とプラン2は、メールセキュリティの機能に違いはありません。
| プラン | ユーザー 月額料金 |
EOPの機能 | Defender for Office365の機能 | ||
| アンチウイルス アンチスパム |
未知の添付 ファイルの検査 |
メール本文のリンク、添付ファイルのリンクの検査 | フィッシング 詐欺対策 |
||
| Exchange Online プラン1 | 500円 | ✓ | オプションで追加可能 Defender for Office 365 プラン1 月額220円 Defender for Office 365 プラン2 月額630円 Defender for Office365 プラン１とプラン2にメールセキュリティ関連の機能差はありません。 |
||
| Exchange Online プラン2 | 1,000円 | ✓ | |||
| Microsoft 365 Business Basic |
750円 | ✓ | |||
| Microsoft 365 Business Standard |
1,560円 | ✓ | |||
| Microsoft 365 Business Premium |
2,750円 | ✓ | |||
| Office 365 E1 | 1,250円 | ✓ | |||
| Office 365 E3 | 2,880円 | ✓ | |||
| Office 365 E5 | 4,750円 | ✓ | |||
| Microsoft 365 E3 | 4,500円 | ✓ | |||
| Microsoft 365 E5 | 7,130円 | ✓ | ✓ | ✓ | ✓ |
Microsoft 365 メールセキュリティの不足点
メールセキュリティの内、黄色の機能がEOPの標準で提供されます。赤色の機能は、プランアップ または、オプションで実現できます。EOPだけでは、必要なメールセキュリティを網羅できません。契約しているプランで提供されるセキュリティ機能を確認し、不足しているものや強化したい対策について検討しましょう。
メール受信時のセキュリティ強化する
基本的なウイルス対策/スパム対策は Microsoft 365 標準に付随されるEOPにて対応します。Microsoft Defender for Office365 を追加することで、さらに強化が可能になります。しかし、EMOTET感染などの原因になるパスワード付きZIPファイル経由のマルウェアは、Microsoft 365 の標準/オプションでは対応できません。PPAP対策を強化したい場合や、添付ファイルの送受信が多い場合はサードパーティのセキュリティ対策の導入がおすすめです。
メール送信時の誤送信・情報漏洩対策
メールの誤送信防止には、トランスポートルール設定が有効です。トランスポートルールとは、管理者が特定条件に応じてメール送信先や宛先などのメールフローを制御できます。組織外にメールを送信する場合には、上司の承認を求める設定が可能です。
トランスポートルールでの設定も可能ですが、UIが解りづらかったり、設定のルールが複雑です。誤送信防止の運用効率化にあは、サードパーティ製品の導入も有効です。
事例：7,000アカウントのMicrosoft 365メールセキュリティオンプレからクラウドへ移行で運用管理を低減
添付ファイルの暗号化
添付ファイルの暗号化には、Online Message Encription（OME）で暗号化できます。ただし、25MBのサイズ制限があります。大きいサイズを暗号化する場合は、サードパーティ製品の導入も検討しましょう。
アーカイブ
Exchange Online に含まれている全てのプランには、アーカイブ機能のExchange Online Archive (EOA) が含まれています。ExchangeOnlineで送受信したメールデータを保管することができます。メール監査や訴訟時など、必要なメールを探し出すというようなデータを抽出することもできます。
記事：すべてのメールを保管するメールアーカイブの導入目的と製品の選び方
Microsoft 365 Exchange Online Archive (EOA) での抽出設定
- 保持タグ※を設定
- 保持ポリシーを設定（対象、期間、など）
- 検索条件の設定（抽出したいメールの条件を設定、期間、対象者など）
- 検索結果の抽出が完了後に、Outlookで表示されるように設定する
検索結果の表示には、Outlookのメールクライアントアプリが必要です。プロセスが煩雑で手間に感じる場合は、サードパーティ製品の検討も選択肢としてあります。特に検索性を求めるのであれば、サードパーティを検討したほうがよいです。
Teams アーカイブは、Teamsのメッセージ、通話内容、ファイルをアーカイブします。Teamsアーカイブを利用するには、上位プランを契約するかTeamsアーカイブのオプション契約が必要です。しかしライセンスコストが高くなる上に、Teamsのみアーカイブではコストパフォーマンスがよくありません。また検索の利便性は EOAと同様に高くないため、利便性を求める場合は、サードパーティ製品を導入されるケースが多いです。
関連記事：Microsoft 365 メールセキュリティの課題と対策
月額200円〜、Microsoft 365 のセキュリティを強化するサードパーティ製品
Cloud Mail SECURITYSUITE（サイバーソリューションズ）
特徴
- PPAP対策が送受信両方できる
- 多層防御とサンドボックスを利用できる
- 必要なセキュリティ対策だけを選択して導入できる
- 月額200円から導入可能
必要な対策を見極め Microsoft 365 メールセキュリティ強化を
メールセキュリティは、広範な領域をカバーする必要があります。まず、自社での要件を整理し、どのようなセキュリティ対策が必要かを明確に把握することが重要です。
Microsoft 365 を利用している場合、標準で提供されるセキュリティ機能を確認しましょう。Microsoft 365 は多くのセキュリティ機能を提供していますが、すべての要件を網羅することは難しいかもしれません。そのため、不足する分については、上位プランにアップグレードすることを検討することができます。また、運用面でのセキュリティを確保するために、サードパーティ製品を導入することも一つの方法です。
Microsoft 365 では対応できない特定の要件、例えばPPAP対策やメール監査機能などが必要な場合は、サードパーティ製品を導入することを考えましょう。これにより、よりさらに高度なセキュリティ対策を実現することができます。
特にコスト面を重視する場合は、サードパーティ製品を組み合わせることも一つのアプローチです。特定のセキュリティ機能を必要な分だけ導入し、効果的なコスト管理を図ることができます。
メールセキュリティ は単一のアプローチだけではカバーしきれない幅広い課題を抱えています。自社の要件に合わせてMicrosoft 365の機能を活用し、不足する部分を効果的に補完するためにサードパーティ製品を検討することで、より堅牢なメールセキュリティを実現することができます。