Microsoft 365 の初期設定｜中小企業が最初にやる10項目
Microsoft 365 を導入した直後にやるべき設定は、多要素認証、管理者アカウントの分離、共有の既定値の見直しです。この3つを済ませるだけで、情報漏えいや乗っ取りのリスクを大きく下げられます。この記事では、社内に情シスがいない中小企業向けに、導入直後に押さえたい10項目を優先順に整理します。設定画面の名称や手順は変わることがあるので、細部は公式ドキュメントで最新情報を確認してください。
まず済ませたい3項目（セキュリティの土台）
1. 全員に多要素認証を設定する
パスワードだけでは、使い回しや漏えいで簡単に乗っ取られます。スマートフォンのアプリなどを使う多要素認証を、管理者だけでなく全員に有効にします。Microsoft 365 には、推奨される設定をまとめて有効にする仕組みがあります。まずはそれを使い、個別の調整は後から行うのが現実的です。
2. 管理者アカウントを日常業務用と分ける
管理者権限を持つアカウントで、日常のメールやファイル作業をしないようにします。管理者用のアカウントを別に作り、普段は一般権限のアカウントで仕事をします。管理者アカウントが乗っ取られると、全社に影響するためです。管理者は最低2名分用意し、一人に依存しない形にします。
3. 外部共有の既定値を見直す
SharePoint や OneDrive の共有リンクは、初期状態では広く共有できる設定になっていることがあります。「リンクを知っている全員」が既定になっていないかを確認し、社内限定、または指定した相手のみに絞ります。外部との共有が必要な部署だけ、例外として許可する考え方が安全です。
次に整えたい4項目（運用のルール）
4. 退職者処理の手順を決める
退職者のアカウントは、放置すると不正ログインや情報持ち出しの入口になります。手順の例は次の通りです。
- サインインをブロックし、すべてのセッションを終了する
- メールの転送設定や自動応答を確認し、必要なら上長に転送する
- OneDrive のファイルを後任に引き渡す
- ライセンスを外し、一定期間後にアカウントを削除する
削除を急がず、まず「止める」ことが大切です。保存期間や引き渡し方は、会社のルールとして文書にしておきます。
5. ライセンスの割り当てを一覧にする
誰にどのライセンスが付いているかを一覧にし、退職者や使っていない人の分を見直します。ライセンスの種類によって使える機能が異なるため、一覧があると「この人はなぜ使えないのか」という問い合わせにも答えやすくなります。
6. Teams のチーム作成ルールを決める
誰でもチームを作れる状態にすると、似た名前のチームが乱立し、どこに何があるか分からなくなります。チームの作成を申請制にするか、命名ルール（部署名と用途など）を決めておきます。使わなくなったチームの整理方法も、あわせて決めます。
7. SharePoint のサイト構成を決める
部署ごと、プロジェクトごとなど、サイトの作り方を最初に決めます。フォルダーの階層が深くなりすぎないよう、「3階層まで」のような目安を置くと、後から探しやすくなります。個人の OneDrive に会社の重要なファイルを置かない、というルールもここで決めます。
備えとして押さえたい3項目
8. バックアップの考え方を決める
Microsoft 365 には、削除したファイルやメールを一定期間復元できる仕組みがあります。ただし、保持期間を過ぎたものや、誤って上書きした内容がすべて戻るわけではありません。「どのデータを、どのくらいの期間、戻せる必要があるか」を決め、必要なら保持ポリシーの設定や、外部のバックアップサービスの利用を検討します。詳細は公式ドキュメントで確認してください。
9. 迷惑メール・なりすまし対策を確認する
メールの送信元を偽装されないよう、ドメインの認証設定（SPF、DKIM、DMARC と呼ばれるもの）を確認します。ドメインを管理している業者と、Microsoft 365 の両方で設定が必要になることがあります。設定の有無は、管理画面やドメインの管理画面で確認できます。
10. 監査ログと通知を有効にする
誰がいつ何をしたかの記録（監査ログ）が有効になっているかを確認します。あわせて、不審なサインインがあったときに管理者へ通知が届くようにします。何かあったときに「調べられる状態」にしておくことが目的です。
設定を「決めたこと」として残す
10項目の設定を済ませたら、何をどう設定したかを簡単な文書に残します。設定画面を見れば分かる、と思っても、半年後には忘れています。担当が変わったときに引き継げる形にしておくことが、設定そのものと同じくらい大切です。
設定の見直しや日々の運用を外部に任せたい場合は、Microsoft 365 導入・運用支援のページをご覧ください。
よくある質問
多要素認証を設定すると、社員から不満が出ませんか？
最初は手間に感じる人もいます。導入前に「なぜ必要か」を説明し、設定方法を図付きで案内すると、多くの場合は定着します。社員向けの説明会をセットにするのも有効です。
全部を一度にやる必要がありますか？
ありません。まず1〜3の3項目を済ませ、残りは1か月ほどかけて順に進める形で十分です。優先順位が分からない場合は、現状を点検してから順番を決めます。
設定の細かい手順はどこで確認すればよいですか？
Microsoft の公式ドキュメントで確認してください。管理画面の名称や場所は更新で変わることがあり、この記事の内容も、細部は時点によって異なる可能性があります。
まとめ
Microsoft 365 の導入直後は、多要素認証、管理者アカウントの分離、共有の既定値の見直しの3項目を最優先で済ませます。次に、退職者処理、ライセンス一覧、Teams と SharePoint のルールを整え、バックアップ、なりすまし対策、監査ログで備えます。設定した内容は文書に残し、担当が変わっても引き継げる状態にしておきましょう。細部は公式ドキュメントで最新情報を確認してください。